全方位整合與自動化網路資安領導廠商Fortinet公司今（26）日發布《2023年OT與網路資安現況調查報告》（2023 State of Operational Technology and Cybersecurity Report），針對台灣及全球570位營運技術（OT）專業人員進行調查結果顯示，多數企業組織仍在過去12個月內遭到駭客入侵。值得注意的是，高達95%的OT組織預計在未來12個月內，將安全管理工作交由資安長（CISO）負責，讓資安管理的權責劃分更加明確清楚。

僅有約一成的 OT 組織認為內部的安全防護成熟度是屬於「高度成熟」的第 4 級，顯示 OT 專業人員的資安意識有所提升

Fortinet台灣區總經理吳章銘表示：「在台灣，製造業等仰賴OT的產業近年來不僅在工業4.0時代與智慧工廠的推動下快速轉型，更持續於全球半導體等重點供應鏈扮演要角，這也意味著業者是否具備足夠的資安韌性，將成為台灣強化產業競爭力的核心關鍵。」

根據Fortinet最新調查顯示，雖然OT企業組織的資安防護已初見成效，但仍有不少改善空間。因此，建議IT與資安團隊應增加對OT環境的熟悉度，並採取多項措施來強化防禦能量，像是導入零信任機制、加強資安意識培訓、採用整合與自動化的網路安全平台等，以化解駭客威脅帶來的資安危機。」

依該報告提出的4大發現，包括：

一、 駭客威脅持續猖獗，多數OT組織仍成網路犯罪者重點攻擊目標：

隨著IT與OT環境邁向高度整合，企業組織皆致力於強化資安防護，以應對日益嚴峻的駭客威脅。然而，Fortinet調查顯示，雖然過去12個月內未曾經歷任何網路安全攻擊的企業較去年成長近2成，但仍有高達75%的OT組織表示，至少遭到駭客入侵一次。此外，利用惡意軟體（56%）及網路釣魚（49%）所發動的入侵行動，持續成為OT環境最常見的資安事件類型，更有超過3成的組織表示，曾在過去12個月內淪為勒索軟體的攻擊對象。

二、 OT組織高估自身資安成熟度，精準掌握內部安全防禦能量成挑戰：

除了成為駭客鎖定的重點攻擊目標，針對智慧製造系統、關鍵基礎設施等OT場域資安成熟度的自我評估，也是企業組織近來面臨的困境之一。目前僅有約1成的OT組織認為內部的安全防護成熟度是屬於「高度成熟」的第四級，較去年減少7%，顯示OT專業人員的資安意識與整體思維有所提升，並運用更加精準有效的工具來掌握自身的安全防禦能量。

在此同時，逾3成（32%）的OT組織指出，當資安攻擊事件發生時，IT和OT系統皆會受到影響，相比去年增長超過1成。

三、 近8成OT組織擁有逾百台智慧連網裝置，資安風險與威脅更甚以往：

Fortinet數據顯示，近8成企業組織的OT環境內設有逾百台具備IP連網功能的OT機台與設備，凸顯日益擴大的受攻擊面與網路威脅，對於資安防護團隊而言，是相當艱鉅的挑戰。此外，有超過3/4的OT專業人員表示，部署網路安全解決方案有助於強化營運生產力，尤其是提升效率（67%）及靈活性（68%）等方面。

不過，當解決方案的類型與數量逐漸增加，企業如何在高度融合的IT及OT環境，落實統一的安全防護策略與措施，也變得愈發困難。而OT環境系統逐漸老化的問題，更是讓資安人員面臨的風險加劇，超過7成的組織指出，其工業控制系統（ICS）的平均使用時長已達6~10年。

四、 近全數OT組織安全管理工作將交棒資安長，以明確權責劃分強化資安治理成熟度：

面對資安人才與相關技能的缺乏，以及資安專業人員招募不易的重大挑戰，多數的OT企業組織仍將「資訊安全」列為優先項目。根據Fortinet調查，將近全數（95%）的企業計畫在未來12個月內將OT場域的安全管理工作交由資安長負責，以取代過去主掌相關業務的營運主管或團隊。

除此之外，企業內部的OT資安管理人員現在也多半改由IT高階安全主管來擔任，而非產品管理部門，顯示OT企業組織資安策略的核心決策權，正在從營運團隊轉移至其他部門領導者，且多數皆是交棒給資安長或安全長（CSO）。

當OT產業進入工業4.0 與智慧製造的全新階段，如何建立全方位的資安防禦策略，並確保關鍵供應鏈營運不中斷，成為台灣不論規模大小的企業近年來在OT資安防護面臨的重要課題。面對與日俱增的資安風險，Fortinet建議企業組織應善用「零信任（Zero Trust）」機制，以落實完整的數位資產盤點與分割，並藉由持續性的驗證，確保只有獲得信任的使用者、設備或應用程式得以存取內部的關鍵機敏資訊。

企業組織同時也應當透過網路安全培訓與認證，提升員工與營運團隊的防禦思維，更可以開設基礎的資安意識訓練課程，讓遠距辦公的工作者及身處相同網路環境的家人，從安全防護弱點進化為企業組織最強大的防線。

資安技術部署方面，Fortinet則建議企業組織建立高整合性與自動化的OT網路安全平台，並與擁有廣泛解決方案組合的供應商合作。藉由 OT 安全營運中心（SOC）等解決方案，完成從基本的資產管理、網路分段到進階的威脅回應，助企業資安長在IT與OT環境高度融合的環境下，輕鬆簡化資安防禦複雜度。而企業組織亦可透過網路存取控制（NAC），保護連線至企業網路的各項關鍵數位資產，包含工業控制系統、資料蒐集與監控系統（SCADA）、物聯網（IoT）裝置及自攜設備（BYOD）等，進而為OT環境提供持續且完整的可視性、控制與自動回應，打造全方位OT資安防護網，全面守護企業網路安全。