7月底，美国明尼苏达州30余个社区水务系统的 OT 设备遭到协同网络攻击。随后，相关影响范围扩展至多个州。公开信息显示，部分设施的自动化控制功能受到干扰，但多数系统依靠人工操作和既有应急机制维持运行，未造成饮用水安全事故。
事件发生后，美国网络安全和基础设施安全局（CISA）于7月30日发布警示，要求水务和污水处理行业立即排查暴露在互联网环境中的 PLC 及其他 OT 设备。警示提到，攻击者可通过修改 PLC 密码使操作人员失去访问权限，也可能通过修改网络参数使控制器离线；已有事件导致部分系统进入人工运行状态，个别地区发布煮沸用水通知。至8月上旬，公开报道显示，受攻击或被确认遭到针对的水务设施已涉及至少多个州。
这不是一次孤立的海外安全事件。它触及了水务物联网最现实的安全问题：越来越多的 PLC、RTU、视频终端、传感器、蜂窝通信设备和远程维护接口进入网络，而安全能力没有同步进入现场。
水务现场设备具有点多、线长、分布偏远、长期无人值守等特点。很多系统是在不同阶段逐步建设起来的：早期设备通过串口或专网通信，后续增加 4G/5G、光纤、远程调试和平台接入；设备能连上、数据能上传，但“谁在接入、谁能访问、数据是否可信、异常是否可见”等问题，未必得到系统性解决。
从已披露情况看，风险通常集中在四个方面。
第一，公网暴露。PLC、RTU 或远程管理界面直接暴露在互联网中，攻击者可通过扫描发现设备并尝试入侵。对于生产控制设备而言，公网可达本身就是高风险状态。
第二，资产失管。蜂窝路由器、临时维护链路、第三方接入设备可能没有被完整记录，也未被纳入常态化安全检测。CISA 特别提示，应关注由运营方、供应商或系统集成商部署、但未进入资产清单的蜂窝通信设备。
第三，身份与权限薄弱。默认口令、共享账号、长期有效的远程权限，都会使设备身份和人员身份失去约束。攻击者一旦获得入口，往往不需要高复杂度技术，就可能影响控制器的可用性。
第四，边界模糊。当办公网、业务平台、远程运维网络与生产控制网络之间缺少有效隔离时，IT 侧风险可能向 OT 侧扩散，进而影响供水、排水、闸控和监测等实体过程。
因此，水务物联网安全的重点，不应只放在中心平台和机房，而应前移到 RTU、网关和传感器所在的现场边缘。RTU遥测终端不是简单的数据采集设备，而应成为现场可信接入和安全防护的第一道关口。
以涪泽RTU遥测终端的安全设计为例，其核心不是附加几个安全功能，而是围绕“设备、网络、数据”建立近源防护能力。
在设备接入层，RTU遥测终端支持基于 IEEE 802.1X 协议和设备指纹特征的双模认证，对接入设备进行身份核验；结合 ACL 访问控制和端口隔离，可限制设备的访问范围，减少非法终端接入和越权通信。
在网络防护层，RTU遥测终端可基于黑白名单实施访问控制，只允许合规 IP 与前端设备通信；同时具备入侵检测能力，通过报文分析识别网络嗅探、密码爆破、拒绝服务等异常行为并告警。对于点位分散、链路复杂的水务场景，这种防护应部署在靠近设备的一侧，而不是只依赖中心平台事后发现。
在数据安全层，RTU遥测终端采用基于 SE 国密芯片和数字证书的双向身份认证机制，并支持 HTTPS 加密传输。其意义在于，不仅要保证数据“传到了”，还要确认设备身份真实、数据来源可信、传输过程不被窃取或篡改。对水量、压力、水质等关键监测数据而言，真实性与完整性本身就是业务安全的一部分。
当前，水务已被纳入关键信息基础设施重点保护领域。《网络安全法》要求网络安全措施与系统建设同步规划、同步建设、同步使用；《关键信息基础设施安全保护条例》要求运营者建立安全责任体系，开展监测、检测、风险评估和应急处置，对依法认定的关键信息基础设施，核心数据、重要数据和个人信息还应按规定使用商用密码加以保护。
对水务行业而言，安全不是数字化之后的补课，而是数字化建设的前提。只有让每一个现场终端具备可信身份、受控通信、加密传输和异常感知能力，才能真正守住水务数据的可信边界与生产控制的安全底线。
