过去十年，楼宇自控系统的建设逻辑是"能连上就行"：Modbus总线拉到位，BACnet控制器接进网，传感器数据汇聚到平台，项目验收只看联动逻辑跑不跑得通。安全这件事，往往停留在"机房上了锁"这个层面。但形势已经变了——GB/T 22239-2019《信息安全技术 网络安全等级保护基本要求》全面实施后，医院、学校、交通枢纽、党政机关办公楼这类公共建筑的楼宇自控系统，越来越多地被认定为等保二级甚至三级对象，测评不过，系统无法通过整体验收。
楼控网络天然是个高暴露面：点位成千上万、设备厂商繁杂、施工分包层层转手，很多项目交工时连默认密码都没改过。更麻烦的是协议层——Modbus、BACnet这些工业协议设计年代久远，报文明文传输、无认证机制，等于一栋楼的运行数据和控制通道敞开着挂在内网上。昨天的多协议网关选型：异构系统整合的最佳实践里我们提过"安全基线"是验收前必须确认的细节，今天这篇就把这条线展开成一份可执行的清单。
不是所有楼控系统都要做等保，判断依据是系统遭到破坏后侵害的客体：只影响单栋商业楼的运营秩序，通常按等保二级管理；一旦接入医院诊疗环境、轨道交通、党政机关或区域能源调度平台，影响公共安全或社会秩序，就可能定到三级。定级由运营使用单位牵头，组织专家评审后报公安机关备案，三级系统每年至少测评一次，二级系统两年一次。
落到工程实践上，有三件事必须在项目早期就做：第一，和设计院、业主确认系统定级结论写进设计文件，别等竣工验收时才发现定级争议；第二，把等保要求写进招标文件的技术条款，让设备选型和集成方案提前对齐；第三，明确测评边界——楼控系统独立定级还是作为大楼整体信息化系统的一部分测评，两种模式下设备清单和整改责任完全不同。
结合多轮公共建筑楼控系统的测评实践，扣分集中在下面六个位置。这张自查表可以在项目任何阶段逐项过：
| 风险项 | 典型问题 | 整改动作 |
|---|---|---|
| 网络边界无隔离 | 楼控网与办公网、安防网混用同一VLAN，广播风暴互相影响 | 按"管理网/控制网/设备网"三层分区，VLAN+ACL隔离，跨区数据只经网关白名单端口 |
| 默认口令与弱口令 | 控制器、网关出厂admin/admin，竣工资料里密码从不修改 | 建立设备口令台账，首次上电强制改密，复杂度+90天更换周期 |
| 协议明文传输 | Modbus TCP、BACnet/IP报文明文，抓包即可篡改控制指令 | 北向接口切换OPC UA/TLS或MQTT over TLS；纯明文接口限制在隔离网段内 |
| 远程运维通道失控 | 厂家远程维护用向日葵等公共远控软件，无审批无审计 | 统一堡垒机，双因子认证+会话录像；临时通道用完即关 |
| 固件漏洞无管理 | 控制器固件版本混乱，漏洞公告无人跟进 | 建立固件版本台账，OTA批量升级机制，漏洞通告闭环跟踪 |
| 日志留存不足 | 控制器日志仅存本地，掉电即失，审计追溯无从谈起 | 网关心日志（登录/配置变更/通讯中断）集中上送，留存≥180天 |
这六项里，网络分区是地基。一个被广泛验证过的分区模型是：现场层（传感器、执行器，纯物理总线）→ 控制层（DDC控制器、PLC，控制网段）→ 管理层（BMS服务器、能耗平台，管理网段）。层与层之间只留明确的数据通道，控制层不直连互联网，管理层不直达现场设备。这样既满足等保的边界要求，也把单点失陷的爆炸半径限制在最小范围。
很多整改之所以痛苦，是因为安全能力在设备选型时就没被写进需求。等保合规不是验收前打个补丁，而是从招投标阶段就要落地的能力清单。选型时直接向厂家要这几样东西：安全白皮书（说明设备支持哪些加密与认证机制）、固件升级策略（OTA还是刷机、漏洞响应SLA）、默认安全配置清单（出厂关闭了哪些端口和服务）。
网关和主控设备是安全能力的集中体现。以同时支持Modbus RTU/TCP、BACnet/IP、OPC UA与MQTT四种协议的能耗网关为例，北向MQTT接口支持用户名密码认证与TLS加密传输，管理口支持HTTPS访问，配合VLAN隔离后，下行明文协议被严格限制在设备网内部，对外只暴露加密通道——这就是"明文不出设备网"的落地形态。控制侧同理，ECC200网络控制器：BACnet/IP与Modbus双协议楼宇自控主控承担控制网的核心调度角色，其登录审计、口令策略和断网自治能力，决定了控制层这条边界在测评中是否站得住。传感器层的选型同理可参考传感器选型大全：按建筑场景选型号的一站式指南中关于设备固件与运维通道的章节，选型阶段漏掉的安全项，整改阶段的成本会翻十倍。
文档先行。等保测评一半是技术核查，一半是文档核查。系统拓扑图（标注安全域划分）、设备资产清单（型号/固件版本/IP/责任人）、口令管理制度、运维审计记录、应急预案，这五样是必查项。很多项目技术整改做得漂亮，却卡在"拿不出制度文件"上。
漏洞扫描与整改闭环。测评机构会对管理网段做漏洞扫描，控制器和网关的开放端口、弱加密套件、已知CVE都会上榜。整改不必追求零漏洞——高危漏洞修复、中低危有缓解措施和说明，形成闭环记录即可。关键是提前自扫一遍，别等到现场扫描才发现某台控制器跑着五年前的固件。
别让协议选择成为减分项。测评人员看到满楼明文Modbus TCP直连管理层，会直接在安全通信这一项扣分。如果点位架构已定型无法大改，补救方案是在管理网边界部署加密网关，或按通信协议全景指南：Modbus/BACnet/MQTT/OPC UA对比与选型决策树中的决策路径，把对外的供数接口逐步迁移到OPC UA/TLS或MQTT over TLS上。
等保2.0对楼宇自控系统的真正影响，不是多了一次测评流程，而是把"安全"从运维期的补丁变成全生命期的设计输入。定级结论决定架构边界，选型清单决定整改成本，分区模型决定事故半径——这三件事做在前面，测评就是一次水到渠成的体检；做在后面，就是一场伤筋动骨的手术。下一篇我们回到数据本身：能耗监测数据要可信，时间同步是地基——NTP与PTP在楼控系统中该怎么选、怎么配，敬请期待。
延伸阅读：多协议网关选型：异构系统整合的最佳实践 · 多协议能耗网关（Modbus RTU/TCP、BACnet/IP、OPC UA、MQTT四协议直连） · ECC200网络控制器（BACnet/IP与Modbus双协议主控） · 通信协议全景指南：Modbus/BACnet/MQTT/OPC UA对比与选型决策树 · 传感器选型大全：按建筑场景选型号的一站式指南
