工信部近期发布的《工业控制系统软件安全合规指南》对工业软件全生命周期提出了更细化的要求。作为长期服务制造业数字化转型的陕西珠玑科技有限公司，我们结合多个落地项目，梳理出以下要点。

一、合规新规的核心变化

新规将安全左移，强调设计阶段即需嵌入威胁建模，并要求供应链透明化。具体而言：

• 软件物料清单（SBOM）成为强制交付项，需覆盖开源组件版本及漏洞状态
• 工控协议模糊测试覆盖率不低于80%
• 高危漏洞修复窗口从30天压缩至15天

这对软件开发流程的敏捷性与安全性平衡提出了更高要求。

二、落地实施的关键步骤

基于智能科技与精密科创的融合思路，我们建议分三步走：

1. 资产测绘与分类分级：梳理所有工业软件组件，标记涉及控制逻辑的核心模块
2. 自动化合规流水线：在CI/CD中集成SBOM生成、静态扫描与协议模糊测试
3. 持续监测与响应：部署运行时安全探针，建立漏洞情报联动机制

注意：老旧PLC固件往往不支持SBOM自动提取，需人工补录并定期复核。

三、常见问题与应对

问：遗留系统无法满足15天修复窗口怎么办？
答：可采用虚拟补丁或网络微隔离作为过渡补偿措施，但需向监管方提交风险接受说明。

问：SBOM格式选SPDX还是CycloneDX？
答：两者均可，建议与数字服务平台对接时统一为CycloneDX，便于自动化解析。

通过技术咨询与企业赋能相结合，珠玑科技已帮助多家客户将合规准备周期缩短40%。

工业软件安全合规不是一次性审计，而是持续工程。建议企业每季度做一次红蓝对抗演练，并将结果反哺到开发规范中。