延續自這兩年來疫情肆虐全球期間，推動基礎建設及產業數位轉型需求大增，工業電腦（IPC）應用也越來越普及，隨之造就營運技術（OT）資安領域的完美風暴。由於皆採用PC + Windows OS架構，讓駭客只須採用與資訊科技（IT）同一套「解決方案」，就能入侵OT產線設備，也促使資安軟體業者開始與IPC硬體業者積極整合以協同解決。

根據Cybersecurity Venture研究，近年來伴隨著物聯網、AI技術，帶動工業4.0、智慧製造的浪潮，讓工廠遠端操作需求不斷提升，並為此設立了大量感測器，以及監控各處數據的零組件所形成的網路架構。卻常因為單一元件的處理效能有限，往往缺乏內建安全防護功能，也讓駭客擁有更多可趁之機，據統計只須平均耗時5分鐘，就能針對剛連線的裝置攻擊。

生產線又為了提高效率，而從前端ERP接單，直接連結到後端MES流程高度整合，用來蒐集數據的感測器也會互相串連，形成範圍更廣的工業物聯網系統。因大量將IT與OT融合的佈建下，促使原來受封閉式網路保護的OT端大量暴露在網路威脅之下，形成一場完美風暴，單一漏洞可能很快就會成為入侵公司網路的起點。截至2021年全球因資訊安全事件已造成6兆美元的成本損失，建議企業應透過更完整由端到雲的資安防護，以確保在資安環境數位轉型，免於資安威脅。

其中，工業控制系統（ICS）環境的資安防護便在「防患於未然」，以免遭遇巨大的資安危機。依趨勢科技研究觀察2020年10大勒索病毒家族，皆鎖定感染OT、ICS為攻擊目標，台灣科技製造業也成為駭客發動勒索病毒攻擊的受駭者。且在最新針對日本、德國及美國的工業網路資安調查中，也顯示有高達61%的受訪製造業者都經歷過資安事件，甚至造成43%企業產線停擺4天以上，劇烈衝擊著製造業營運。

Gartner也預測，企業在2023年因為CPS（Cyber-Physical Systems）遭受攻擊，造成的財務損失已超過500億美元；加上受到資安攻擊衍伸的相關賠償、訴訟、保險、監管罰款，以及人為失誤所產生的責任損失將持續擴大，顯示OT安全性勢必成為製造業營運的一大挑戰。

因應現今只要有資料的地方，就必需要有安全的考量。否則可能發生蒐集不到，或是蒐集了錯誤的資料，甚至是資料被鎖住不能用的情況，所以必須在每一個環節做足準備。趨勢科技執行長陳怡樺便強調：「對製造業而言，資安應該就是製程的一部分，千萬不能當成附加成本。務必讓台灣製造的所有元件與成品，都能有資安思維在其中，才能夠幫助世界數位轉型的成功更安全。」

依趨勢科技觀察，現今政府與銀行雖然一直都是駭客主要攻擊目標，但2020年製造業與醫療業遭受攻擊的狀況更嚴重。由於台灣GDP有30%以上都是來自於製造業，在全球製造業重組供應鏈扮演要角，半導體產業更被譽為「護國神山」，撐起了全世界數位轉型的半邊天，鎖定OT環境進行攻擊的勒索病毒也與日俱增，對於製造業已是當務之急。

最近台灣政府積極在五加二產業創新的基礎上打造新一代六大核心戰略產業，便特別強調「資安即國安」的重要性，已在《產業創新條例》條文中將新增資通安全產品或服務投資抵減優惠項目，包含：終端與行動裝置防護、網路安全維護、資料與雲端安全維護有關的硬體、軟體、技術或技術服務，及跨終端、網路、雲端的資通安全技術服務等。藉以鼓勵產業加速或提前導入資安產品或服務，儘速完備台灣產業資安聯防體系，確保可在國際供應鏈上取得客戶信賴，並能因應國際日益嚴重的資安攻擊與威脅。

圖1 : 因大量將IT與OT融合的佈建下，促使原來受封閉式網路保護的OT端大量暴露在網路威脅之下，形成一場完美風暴，單一漏洞可能很快就會成為入侵公司網路的起點。（source：arbor-technology.com）

法人協助推廣零信任　降低資訊存取前端風險

另隨著近年來美中科技戰導致供應鏈重組等因素，全球企業的營運模式正大幅改變，使得資安不再只是單純的技術議題。若是遭遇網路端攻擊，現行普遍使用防毒軟體打造防火牆雖也一樣有效，但在駭客規模逐步企業化，漏洞偵測工具及加密等攻擊手法不斷精進之後，資安漏洞未來只會持續增加、防不勝防。

企業必須確保用戶能在任何環境、從任何地點無縫存取必要的應用程式與數據；同時控管不同網路、裝置與地點的存取權限並執行適當的安全防護，才能因應目前混合辦公與數位優先的互動模式。已有業者開始引進美國積極提倡的「零信任（Zero Trust）」概念，要求每個資源使用控制權限都有明授予的特權，強調當用戶和裝置每次存取企業網路資訊，皆需經過驗證帳密、生物特徵，藉此降低安全風險。

根據思科（CISCO）最新發表《安全成果研究第二卷》（Security Outcomes Study Volume 2）調查報告中也指出，現今共有88%台灣受訪者的公司已投資「零信任」策略、68%穩定執行、20%公司在技術部署已臻成熟。另有86%受訪者表示，公司正投資於「安全存取服務前端」（Secure Access Service Edge ,SASE）架構，其中68%反映導入進度良好、18%指出技術部署已至成熟階段。

IPC大廠提升供應鏈互信　確保雲端與邊緣運算資安

值得一提的是，考量供應鏈牽一髮動全身的特性，在分工細膩、認證嚴格的高科技產業尤其如此，供應商必須承認資安絕對不是單家企業能獨善其身，以免若出現嚴重的資安疏失，將會嚴重損及供需雙方信任的基石。

且隨著人工智慧（AI）、邊緣計算、5G、網路虛擬化等新一代技術發展，使企業需要更高速、安全、彈性的網路架構，都讓資安問題從過去單純的security，又多了一層safety考量，企業已難存有僥倖的心態，更應該要清楚意識到，絕對不可能有「絕對的安全」！

甚至必須在採購流程裡，強制納入供應商的資安能力評估，進而透過不同規模的聯防，才有利於爭取時效，將安全融入產業生態中，讓參與聯防的所有上、中、下游夥伴，能持續交付、提供安全的產品與服務，實現防護資源的最佳化。「在資安防禦上，需要講求零信任，而在聯防上，供應鏈則需要相互信任。」

工業電腦大廠立端科技近年來也強化對於電信邊緣運算及工業物聯網布局，以網安為核心，協同各垂直市場技術領導夥伴，提供SD-WAN及NFV等網路虛擬化應用的網路白牌設備解決方案，共獲得Verizon在內的全球20大電信營運商認可，已完成超過20萬企業SD-WAN站點部署。進而宣佈與台灣大學電機系團隊進行產學合作計畫，打造新一代無線入侵偵測與防禦系統，提升立端產品無線網路傳輸的安全性。

研華公司則展示其WISE-STACK私有雲工業物聯網解決方案在智慧工廠的應用，透過研華邊緣設備原本的安全機制與資安共創夥伴合作整合，將硬體、韌體、軟體、服務與顧問打包成一套完整解決方案，讓資安貫穿整個物聯網基礎架構與應用情境，以確保裝置連接由端到雲端的安全防護，解決不同產業對生產數據的安全疑慮，以加速實現智慧製造數位轉型過程。

智慧工廠從底層端點生產設備本身內建資安防護軟體，到雲端服務的應用之間，皆可依資安特性分層，並透過可視化工具即時監控生產與資安可能產生的威脅，包括：第一層在既有邊緣設備，提供的白名單/UTM防護方案；第二層WISE-STACK私有雲工業務聯網解決方案，提供IaaS及PaaS多樣的資安機制；第三層與共創夥伴的資安軟體防護機制合作，多層式防護以保障數據安全、降低資安風險。

圖2 : 透過研華邊緣設備原本的安全機制與資安共創夥伴合作整合，將硬體、韌體、軟體、服務與顧問打包成一套完整解決方案，讓資安貫穿整個物聯網基礎架構與應用情境。（攝影：陳念舜）

整合工控軟硬體同中求異　全方位解決供應鏈資安疑慮

趨勢科技與工業電腦廠商合組的工業物聯網資安公司TXOne Networks（睿控網安）執行長劉榮太進一步指出，如今工控資安最大的問題約可歸納為IT與OT聚合（Convergence）而成，「由於現代OT工控環境大量使用IT的技術，充斥著大量多樣的端點，不僅存在著有自身尚未修補的安全漏洞，還要添加其他IT環境的弱點，但OT卻往往沒有與IT環境同樣的防護措施，這也為駭客提供了各式各樣的攻擊機會，面對更嚴重的威脅。」

其中OT架構主要可以分為三層，第一層為服務層，囊括應用程式等服務；第二層則是ICS工控系統；第三層，也就是最底層的設備、裝置等，但無論是攻擊任何層級，都可能造成製造廠商一整條線停擺，導致面臨嚴重生產問題。若是供電系統、水庫等相關類型的關鍵基礎建設受到攻擊，所造成的可能是民生問題，甚至危及廠房整體運作與人身安全。

然而，因為工業與資訊產業的需求不同，前者實際運作的工作場域更常處於戶外極高溫或極低溫，或者像在船上要防摔、列車上要防震等，許多地點電源不也穩定，大型機台須兼顧節能又不能延遲而影響運轉。劉榮太說：「過去資訊業談的資安，優先順序通常是『C-I-A』，也就是機密性、正確性、可用性。」

但是工廠卻是相反，最重要的是先時時確保運作，還要考量實體的人身安全，比如系統問題可能造成毒氣外洩、鑽油平台失誤會造成生態災害等等，這些都是可用性的範疇，應先確保人命安全、場域可用，接著才會考慮正確與機密性。

因此，有別於資安防護在傳統IT領域是用來監管異常事件，OT人員更在乎機台哪裡出問題，所以不能直接採購IT的管理軟體供營運端使用，對於安全管理的劃分也要調整成從機台角度出發，使得製造業很難找到既能保護工控環境的資產設備安全無虞，又兼顧生產線效能及營運順暢的解決方案。加上OT的場域與資安部署較為碎片化，將會有愈來愈多新型態技術加入環境中，無論是資安業者或是企業端皆須與時俱進，以防堵網路攻擊的威脅。

劉榮太強調：「OT資安必須要Top-down，而非過去Bottom-up的思維！」即除了要針對既有漏洞補丁（patching）之外，還應導入零信任（Zero Trust）、微分割（Micro Segmentation）等架構，阻斷所有機台都要存取的資料庫、HMI等不該連結到的端點藉由虛擬修補，來因應場域端點無法停機修補的困難；以信任（白）名單限制重要端點，只能執行允許的應用程式。或是運用AI機器學習、自動化等技術程序，更為了解攻擊途徑或守法，以儘量降低風險。

TXOne Networks亦非透過完全客製化方式去滿足所有工廠多變環境下的客戶需求，而是針對相同垂直領域客戶，提供不同模組化架構的ICS網路資安防護解決方案。目前專為供應製造業現場所需的首創原生OT端點防護資安解決方案TXOne StellarProtect，便為了保護在各種嚴苛環境中的現代化OT設備需求的端點而設計。

除了結合機器學習與ICS信任根（root of trust，RoT）技術，蒐集了1,000多個ICS 軟體憑證與授權，並已預先完成確認可信任標的檔案，還要認得工控大廠的通信協定；再搭配內建的ICS應用程式行為學習引擎，不必連上網路，就能用來防範已知及未知的惡意程式攻擊，或人為操作失誤所造成的營運中斷，協助企業在營運不受干擾的情況下，快速滿足OT不同場域、特定用途等需求。

圖3 : TXOne Networks針對相同垂直領域客戶，提供不同模組化架構的ICS網路資安防護解決方案，以滿足在所有工廠多變環境下的客戶需求。（攝影：陳念舜）

同時強調從機台一落地到進入工廠場域，製造業者就可以開始利用TXOne StellarProtect來驗證防毒，機台廠商也會要求更上游IPC供應商必須在交貨組裝前，同樣通過驗證與記錄，成為機台的安全履歷，才能符合「零信任」要求。

從而確保關鍵ICS可正常營運，並避免重複掃瞄惡意程式的動作影響效能，協助身處不同數位轉型階段的企業簡化與解決複雜多變的資安問題，在不影響效能、不中斷營運，以及能應付任何環境條件下，提高生產力與資安營運效率。

。

總結

除了上述常見的OT工控環境資安問題，已有資安軟體與工業電腦大廠聯手解決之外，隨著近期元宇宙（Metaverse）概念被熱議，也有專家提醒，隱私與資安將成為影響元宇宙發展的最大黑洞！

目前元宇宙可被理解為是沉浸式的社群連結，也是VR/AR的應用提升，但也勢必要搜集大量的眼部活動、表情、語音、生物特徵或周遭環境等數據；因此不論是穿戴裝置遭駭客入侵，或是元宇宙入口平台的數據遭濫用，又例如虛擬資產被盜等網路資安風險事件，到了元宇宙時代並不會消失，過去駭客可能透過PC、手機入侵系統，將來也可能利用頭上的VR/AR裝置，同樣需要精密的資安防護。

台灣工研院智慧機械中心經過智慧製造技術驗證場域，整合AR/VR遠距沉浸式協同工程與零信任（Zero Trust）資安防護架構等技術，協助產業導入智慧製造系統解決方案及新生態體系，從點線面提供單站智慧化、產線數位化、跨域雲端管理等全方位技術服務；同時輸出智慧製造SI系統整合服務，佈建東南亞市場海外產線，提升台商競爭力。

現在只要透過與研華合作開發的智慧機上盒SMB，就能連上工研院VMX機械雲，使用所有「零信任」資安防護功能模組SaaS軟體；再向下連結機台、裝置等硬體，達到國際端點傳輸資訊安全的最高等級，如同動態防火牆，不像一般VPN架構洩漏帳密就破功。進而與達梭系統合作，將SMB從新舊不同機台蒐集到的Edge Computing資訊上傳達梭系統（DASSAULT SYSTEMES）的3D EXPERIENCE平台，用於戰情室建構Digital Twins、元宇宙等體驗活動。

圖4 : 現在只要透過工研院與研華合作開發的智慧機上盒SMB，就能連上機械雲，使用所有「零信任」資安防護功能模組；再向下連結機台，點對點傳輸資料。（攝影：陳念舜）

**刊頭圖（source：iiot-world.com）