去年某省级电力调度中心的一次红队测试暴露了典型问题：攻击者通过安防系统NVR的弱口令进入内网，横向移动至办公区后，竟能直接触达调度大屏的控制主机。这个案例说明，网络信息安全与物理安防早已不是两条平行线。

割裂建设的代价

多数园区的现状是：安防系统工程由弱电集成商负责，网络信息安全交给IT部门，两套体系各自招标、独立运维。结果是视频专网与办公网之间靠一台老旧防火墙硬隔离，安全技术防范设备（如门禁、道闸）的固件版本三年未更新，而网络安全侧连资产台账都拿不到。

协同设计的三个锚点

我们的做法是从信息系统集成阶段就介入，而非事后修补：

• 资产统一建模：将摄像机、门禁控制器、周界报警主机纳入CMDB，与服务器、网络设备同等管理，赋唯一资产ID。
• 流量基线联动：安防专网内东西向流量做白名单，视频流、控制信令的端口与协议固定，偏离即告警。
• 事件闭环响应：门禁异常开启触发SOAR剧本，自动调取附近摄像机录像并冻结该卡权限。

软件层的融合实践

在网络安全软件开发层面，我们为某金融园区定制了中间件：南向采集安防设备的SNMP Trap与Syslog，北向输出标准Syslog给SIEM。这样无需更换现有安防平台，就能实现网络信息安全策略的统一下发与审计。实测将威胁平均响应时间从47分钟压到8分钟。

落地建议

1. 先做资产测绘，把安防设备的IP、MAC、固件版本、开放端口拉全。
2. 在核心交换机上镜像安防专网流量，跑一周基线再定策略。
3. 合同里明确：安防系统工程验收前需通过网络安全侧的基线核查。

协同不是把两套系统硬拼在一起，而是让安全能力渗透到安防系统的设计、集成、运维全周期。当摄像机、门禁和防火墙说同一种语言，防御纵深才算真正合拢。