摘要

  • NIST 于 2026 年 9 月 21 日发布《运营技术安全指南》SP 800-82 第四版首份公开草案，意见征集截至 11 月 30 日。它不是定稿，也不是对某个运营者的合规判断。
  • 审稿说明计划在最终出版时，将威胁及研究资料的附录 C、D 转为网页资源，将工控控制叠加层与 RMF 应用的附录 E、F 另行出版。现有草案仍完整包含四个附录。
  • 本文主张把参考资料版本与现场风险决定绑定留痕。这是编辑分析提出的记录方法，并非 NIST 新设的强制条款。

试想一座供水设施完成了网络监测方案评审。数年后有人问：当时为何允许某段控制网络采用例外做法？档案写着“依据 SP 800-82”，却没有说明所读的是哪一版、哪些威胁资料、哪份控制叠加文件。即使当年的判断合理，这样的记录也难以复核。这里是用来检验档案质量的假设场景，不是已发生的供水事故。

NIST 此次草案把运营技术定义为监测或改变物理环境的可编程系统，范围包括工业控制、楼宇、水务、交通等。修订说明强调与 CSF 2.0 的 Govern 功能衔接、企业风险管理、资产管理、网络监测、系统管理功能保护及零信任原则。这些内容不能自动变成“某设施必须立即部署某产品”的结论；性能、可靠性和人身安全仍须纳入现场取舍。

真正改变证据管理方式的，是 PDF 开头的审稿说明。NIST 计划让附录 C 和 D 所载的威胁、事件、机构与研究信息在最终版中转为网页资源，以便及时更新；附录 E 的 OT Overlay 和附录 F 的 RMF 应用说明则计划独立成文。这是未来出版安排，尚未完成。321 页的初始草案中仍可找到四个附录，公开意见也可能影响最终安排。

把易过时的信息从固定 PDF 中分离，有明确收益。附录 D 还提醒，其对机构的描述并未核实，读者应向相关机构确认最新情况。然而“今天最新”与“当时所见”是两种不同的证据。若网页持续改变，后来的审计员只拿到现行页面，就无法知道原决策当时面对的是哪些事实和建议。

一个可复核的决策包，不必很厚，却应写明指南版本、网页资源的日期及留存副本、若有使用则包括配套文件版本、设施与流程边界、安全和可用性约束、采纳或偏离的理由、批准者和复审条件。哈希能帮助确认副本未变，却不能证明措施有效，更不能代替对现场条件的了解。还要把 NIST 的建议、其他来源可能施加的法律义务与运营者自己的风险接受区分开。

附录 E 本身只是对 SP 800-53 第五版控制与基线的部分 OT 化调整，不是一张可直接套用到任何工厂的清单。附录 F 讨论 OT 场景下如何运用 RMF，并注明有些任务可选。由此，指南名气不能替代本地选择的责任。11 月 30 日是提交意见的截止日，不是第四版生效日；评论者可以要求更清楚的网页版本标识与历史归档办法。

来源