网络安全等级保护2.0正式实施后，工业控制系统、数据中心和关键信息基础设施被明确纳入三级及以上保护要求。在近几年的测评实践中，生产网与管理网之间缺少有效隔离、跨网访问缺乏审计，是工业企业最常见的扣分项。
建设工控边界防护体系，首先要厘清网络分区：把直接控制PLC、DCS的生产控制区与上传报表、浏览网页的管理信息网从物理或逻辑上分开，中间通过工业网闸或单向光闸完成必要的数据交换，而不是简单靠一台防火墙把两个网段连起来。
其次要落实「最小权限」。工程师站、运维终端、历史数据库各自需要跨网访问什么数据、在什么时间段、以什么协议访问，都应形成明确的交换策略，而不是开放全端口。最后，所有跨网操作必须留存日志，确保测评时能向评委出示完整的交换记录。
