制造业落实176号令：工厂办公网与生产网硬隔离，阻断勒索病毒横向扩散

制造工厂的办公网承载邮件、OA、ERP等业务，生产网则连接PLC、工业控制设备、机器视觉及生产管理系统。一旦办公电脑感染勒索病毒，如果办公网与生产网之间缺少有效的安全边界，攻击就可能沿着可达链路继续扩散，造成生产数据受损、业务中断，甚至影响正常生产秩序。

公安部令第176号《公安机关网络空间安全监督检查办法》自2026年10月1日起施行，相关监督检查涉及网络安全管理制度、防范网络攻击和网络侵入、风险隐患整改等内容。对于制造企业而言，落实网络安全要求不能只依靠电脑杀毒软件，还需要从网络架构、访问权限和安全防护等方面入手，降低办公网风险向生产网蔓延的可能性。

一、工厂办公网与生产网互通，存在哪些安全风险？

1. 办公网感染，可能成为攻击起点

员工打开钓鱼邮件、下载恶意文件或访问被入侵的网站，都可能导致办公终端受到攻击。如果办公电脑能够直接访问生产管理服务器、工程师站或其他工业设备，攻击者就可能进一步探测漏洞、窃取凭据，尝试向其他系统横向移动。

2. 网络分区不彻底，难以控制攻击范围

部分工厂虽然划分了办公网和生产网，但两者仍通过路由、共享服务器或远程维护通道互通。如果缺少严格的访问控制，逻辑上的网络分区就难以充分限制跨网访问。一旦某个节点被攻陷，风险仍可能沿着允许通信的路径扩散。

3. 单一防护手段难以覆盖所有风险

防火墙、终端杀毒软件和网络隔离各有作用。如果只部署其中一种措施，仍可能留下防护缺口。例如，终端防护无法替代网络边界控制，网络隔离也不能解决所有Web应用漏洞和恶意文件问题。制造企业需要结合生产特点，建立多层次的安全防护体系。

二、智慧光迅如何构建办公网与生产网安全防护体系？

1. 全光网络划分区域，明确办公与生产边界

智慧光迅全光网络方案可根据工厂办公、生产控制、视频监控和设备管理等业务需求规划网络架构，通过合理的网络分区、VLAN及访问策略，明确不同业务区域的通信边界，避免办公终端与生产设备默认互通。

对于安全要求较高的生产控制区域，企业还应根据风险评估采用独立物理链路、专用隔离设备或其他适用措施。需要注意，VLAN划分本身不等于物理硬隔离，具体方案应结合现场拓扑、业务依赖和安全要求确定。

2. 梦想网关IPS、WAF、AV协同防护，补齐安全短板

智慧光迅梦想网关还融合IPS、WAF和AV防病毒等安全能力，可根据实际部署情况，为工厂网络提供多层次防护。

IPS入侵防御： 支持10000+入侵防御规则，可辅助识别和拦截符合检测规则的攻击流量，降低漏洞利用、恶意探测等网络攻击带来的风险。

WAF网站防护： 针对工厂OA、ERP门户等Web业务系统，可提供常见Web攻击防护，覆盖OWASP Top 10相关风险，降低网站漏洞被利用的可能性。

AV防病毒： 支持400万+病毒特征库，可辅助检测和拦截特征库覆盖范围内的恶意文件及病毒威胁，为网络边界增加一层防护。

三项能力各有侧重：IPS主要应对网络攻击，WAF侧重Web应用防护，AV针对相应恶意文件和病毒威胁提供检测能力。多层防护能够降低部分攻击成功的概率，但不能替代办公网与生产网之间必要的隔离，也无法保证拦截所有新型勒索病毒。

3. 结合通密一体规划，兼顾网络建设与安全管理

对于厂区跨度大、生产设备分布广的制造企业，智慧光迅以全光为底座、音视频为引擎、安全为护盾，打造 “通密一体”方案，并将全光网络承载、远端供电与安全管理需求统一规划，减少部分点位重复布线和后期维护的复杂度。

通密一体主要侧重基础设施与业务建设的协同，办公网与生产网之间的安全边界仍需通过适当的隔离架构、防火墙策略、访问权限和审计机制落实。网络建设与安全策略同步规划，才能兼顾生产连续性和网络防护需求。

三、从网络架构到日常运维，建立防护闭环

制造企业应定期梳理办公网与生产网之间的连接，检查跨网访问规则、远程维护账号和设备漏洞，及时清理不必要的通信通道。同时，应做好办公终端防护、系统补丁更新、关键数据备份和应急演练。涉及工业控制系统的网络改造，应提前评估业务依赖并充分测试，避免策略调整影响正常生产。

落实176号令相关网络安全要求，关键不是简单地把网络分成两个网段，而是让办公与生产之间的访问有边界、攻击有防护、异常能处置。 智慧光迅以全光网络为基础，结合梦想网关防火墙、IPS入侵防御、WAF网站防护及AV防病毒能力，帮助制造企业完善网络安全防护体系，降低勒索病毒横向扩散对生产业务造成的影响。

FAQ

Q：办公电脑中了勒索病毒，生产网真的不会受影响吗？

A：在正确部署的前提下，办公域和生产域走独立PON口，办公域的流量在物理层到不了生产域。即便办公终端已经被完全控制，攻击者的扫描流量只能停留在办公PON口范围内。配合微隔离，办公域内的横向扩散也被限制在最小范围。

Q：176号令的远程检测能发现工厂IT/OT隔离的问题吗？

A：可以。公安可以通过漏洞探测、渗透性测试等方式远程检测办公网段能否到达生产网段、内网暴露了哪些端口、哑终端是否存在弱口令。如果办公网与生产网之间只有形式上的VLAN划分而缺乏有效管控，检测结果会直接反映出来。远程检测提前三个工作日告知即可实施，留给“临时补配置”的空间很小。