3、系统访问控制：用户身份认证、权限分级管理、多因素认证实施
系统访问控制，说白了就是「谁可以进，进来能干什么」。
我做了这么多年自控系统安全，见过太多因为访问控制没做好而出事的案例。有一次，一个工厂的操作员误点了不该点的按钮，整条产线停了三个小时。原因是什么？权限没分清楚，一个普通操作员居然有工程师级别的控制权。嗯，这种坑，咱们得提前填上。
3.1 用户身份认证：第一道门
身份认证是系统的大门。你想想看，如果连进门的人是谁都搞不清楚，后面的权限管理全是空谈。
我个人习惯把认证分为三个层级：
- 你知道什么：密码、PIN码
- 你拥有什么：智能卡、USB密钥、手机令牌
- 你是什么：指纹、人脸、虹膜
在自控系统里，我建议至少采用前两种组合。单靠密码？太危险了。我在项目中遇到过，一个工程师把密码贴在显示器边框上，整个车间的人都能看到。你说这跟没锁门有什么区别？
核心原则：自控系统的身份认证，不能只依赖密码。必须引入硬件因素或生物特征。
3.2 权限分级管理：谁该干什么
认证通过之后，接下来就是「你能干什么」。权限分级，说白了就是给每个人划定活动范围。
我一般把自控系统的用户分成这几类：
| 角色 | 典型权限 | 说明 |
|---|---|---|
| 操作员 | 监视、启动/停止 | 只能操作自己工位上的设备 |
| 工程师 | 修改参数、下载程序 | 可以调整控制逻辑，但不可删除系统日志 |
| 管理员 | 用户管理、审计、系统配置 | 拥有最高权限，但操作需双人复核 |
| 审计员 | 只读查看日志 | 不能做任何操作，只能看 |
这里有个坑，我曾经见过一个工厂，所有工程师都用同一个「admin」账号登录。出了事故根本查不出是谁干的。你想想看，这跟一群人都用同一把钥匙进门，丢了东西找谁去？
警告：绝对禁止共享账号！每个用户必须有唯一的身份标识。这是审计追溯的基础。
3.3 多因素认证实施：再加一把锁
多因素认证，就是前面说的三种因素里至少取两种。为什么需要它？因为单一因素太容易被攻破了。
我记得有一次做安全评估，一个工程师的密码是「123456」，我用了不到三秒就猜出来了。如果当时启用了多因素认证，就算密码泄露，没有他的手机令牌，照样进不去。
实施多因素认证时，我建议按以下步骤来：
- 评估风险等级：关键工位（如反应釜控制、紧急停车系统）必须启用多因素认证
- 选择认证方式：自控系统环境复杂，推荐使用硬件令牌或手机APP动态码
- 制定回退策略：如果令牌丢失怎么办？要有管理员手动重置的流程
- 定期测试：每季度做一次多因素认证的演练，确保关键时刻不掉链子
小技巧：在自控系统中，多因素认证不要做得太复杂。操作员每班要登录几十次，如果每次都要输动态码，他们会想办法绕过去。我建议对高频操作采用「一次认证，会话有效」的方式。
3.4 知识体系框架
下面这张图，是我自己梳理的访问控制核心逻辑。你看一眼就能明白整个体系是怎么串起来的。
这张图把三个核心模块串在了一起。身份认证是基础，权限分级是规则，多因素认证是加固。三者缺一不可。
3.5 避坑指南
最后，分享几个我踩过的坑：
- 我曾经在一个项目里，把所有操作员都设成了「工程师」权限，因为「省事」。结果一个新手误改了PID参数，整条线震荡了半小时。从那以后，我再也不敢偷懒了。
- 我曾经见过一个工厂，多因素认证的硬件令牌放在抽屉里没人用，因为「太麻烦」。后来被审计发现，直接开了整改单。所以，流程设计一定要考虑用户体验。
- 我曾经遇到一个客户，权限分级做得很好，但忘了给审计员开只读权限。结果审计员每次都要借别人的账号登录，日志里全是「admin」的操作记录。你说这审计还有什么意义？
嗯，访问控制这件事，说难不难，说简单也不简单。关键是要把规矩立好，然后严格执行。别等到出了事故再后悔，那时候就晚了。