因應這兩年來疫情促成全球企業數位轉型腳步不斷加快，資安威脅變得更加詭譎難測。受駭者從政府、基礎建設擴及科技業，就連傳產及電子代工產業亦無法倖免。加上駭客組織愈趨企業化，都讓企業內部資安必須加大力道，擴及產業鏈上下游聯防，而不再以「工廠機器又不上網」來粉飾太平！

尤其是在最近《經濟學人（The Economist）》雜誌封面上，將台灣列為「地表上最危險的地方（The dangerous place on Earth）」之後，除了再度引發政治、軍事、外交等熱議話題之外，最應該重視的，還是由於近年來美中貿易及科技戰開打，導致全球供應鏈重組等趨勢，才讓台灣製造業的角色越來越吃重。

加上早從2020年開始，受到疫情影響加快數位化腳步，各種資通訊新興科技技術持續深入日常生活，同時促進AIoT應用的普及，也帶來資安事件和挑戰頻增，資安防護範圍更為廣泛，已不再侷限於單純的「資訊（IT）」領域，還包含了現場操作（OT）層面，成為現今全球管理階層最頭疼的問題。

根據Cybersecurity Venture研究，全球截至2021年因資訊安全事件已造成6兆美元的成本損失，僅次於美國和中國的世界第三大經濟體。而近年伴隨著物聯網、AI技術，帶動工業4.0、智慧製造的浪潮，工廠場域的資安風險也隨之升溫，尤其工業物聯網大量將IT與OT融合的佈建下，促使受封閉式網路保護的OT端，大量暴露在網路威脅之下。因此，企業應透過更完整由端到雲的資安防護，以確保在資安環境數位轉型，免於資安威脅。

如最近發生美國燃油管線營運業者殖民管線公司（Colonial Pipeline）遭受駭客大肆攻擊事件，便導致全美最大的燃料輸送網路停擺，最後不得不支付了近500萬美元加密貨幣贖金，得到駭客提供的解鎖工具，才讓該公司受到癱瘓的電腦能重新使用。

圖1 : 由於近年來美中貿易及科技戰開打，導致全球供應鏈重組等趨勢，才讓台灣製造業的角色越來越吃重。圖為台積電晶圓廠房。（source：TSMC）

駭客轉型企業化　中小企業亟須政府奧援

就連台灣半導體、電子代工產業也無法倖免，2020~2021年陸續傳出仁寶、研華、鴻海、宏碁受到REvil勒索軟體攻擊，最近的苦主則是蘋果公司（Apple）的PC和其他伺服器業者重要的組裝協力廠商廣達電腦，不僅遭竊取大量網路數據資料，並須以加密貨幣限時支付5000萬～1億美元。否則駭客就會在Apple新品發表會前，上網公布所有Apple加工設備的圖紙，以及員工和客戶的所有個人數據，或將這些資料售予蘋果公司的競爭者。

既試圖勒索Apple買回產品藍圖，也可能會導致廣達遭客戶調整訂單量，使得該公司在第一時間便啟動資安防禦機制，與多家外部資安公司技術專家合作處理，並將所監測到的異常網路狀況，通報予政府執法部門與資安單位。

圖2 : 近年來駭客組織逐漸企業化和分工細密，除了開發出更快加密及竊取資料的軟體，還為此發布新聞稿，提供下線所需工具包，事成後從贖金中支付一定比率給組織。（source：static.wixstatic.com）

由此可見，近年來駭客組織逐漸企業化和分工細密，除了開發出更快加密及竊取資料的軟體，還為此發布新聞稿，邀請記者採訪；同時積極培訓「下線」，提供所需工具包，包含該組織開發的軟體、勒贖電郵範本和如何發動攻擊的教材，待每次網路攻擊事成後，就會從贖金中支付一定比率給組織。

台灣電子設備協會（TEEIA）智慧製造促進會主委葉勝發便指出：「隨著台灣製造業數位轉型腳步加快，最大資源除了石油之外就是資訊，也造成資安問題接踵而來，甚至還有更多廠商的資安事件秘而不宣，一場無煙硝的第三次世界大戰早已悄悄開打！」

如今駭客組織已不再像過去，僅單純植入釣魚軟體、木馬程式來竊取、加密受害者資料而已，還會進一步威脅公布、轉賣其客戶資料，以圖「雙重勒索」，同時獲利。中小企業的資安防護能力卻相當有限，所以葉勝發建議業者應儘快盤點內部資料是否安全，並細分機密等級，再決定該投資添購軟硬體或爭取外界政府、法人、IT廠商奧援。

產官法人齊力　落實「資安即國安」策略

政府也必須鼓勵廠商自主研發、深厚產業鏈結與提升資安技術，才能在5+2產業創新的基礎上打造6大核心戰略產業，讓「資安即國安」不只淪為一句口號，還要讓資安產業的實力能被全球信賴。

經濟部工業局近來便負責配合行政院「資安產業發展行動計畫（2018-2025）」全期程目標，促進台灣資安產業規模逐年成長，以資安硬體和模組為大宗，資安服務次之，2020年產值達到新臺幣552億元，成長率11.9%，還高於全球2.8%，又以「資安營運管理服務」、「資料與雲端應用安全」和「資安檢測鑑識顧問服務」成長最多，成長率分別為15.3%、14.5%和12.6%。

另為強化新興領域防護，為5G、半導體等技術導入資安技術，並打造高階實戰場域等目標，包括成立資安攻防及跨國合作機構，和完善資安高教環境。經過2021年政府加碼補助後，加上其他5大核心戰略產業和國/民營企業，分別投資約20億元、83億元導入資安科技，預估2025年後產值可望上修到800億元。

工研院資通訊研究所副組長卓傳育指出，經濟部工業局約從3~4前便提出SECPAAS平台，共集結台灣超過50家資安業者，提出80項解決方案，也藉此強化企業信任，讓資安業者進入內部檢視，除了已先輔導台灣5G、IoT智慧製造產業改善資安，2020年更開始針對台灣面板、電子設備等先進製造業者引導投入主題式研發計畫，強化OT資安。

今年4月再針對供應鏈資安，公布新一波主題式研發計畫，每家參與的企業還要連帶上下游5家供應協力廠商，從而瞭解彼此如何交換資料的過程及評量資安治理等級，確保不會出現漏洞。包含：資安成熟度，協助企業評估資安需求，並提供最經濟、有效解決方案才會有感，同業也能比較彼此分數而良性競爭。勒索軟體鑑識服務，係基於企業現有資安團隊能力不足，在兼顧保護隱私的前提下，由公正第三方支援，提供先期鑑識工作。等到7月台南沙崙資安服務基地落成後，將就近服務中南部傳產業者。

在日前剛落幕的「CYBERSEC 2021台灣資安大會」上，工業局再次主導成立「台灣資安館」以展示更進階的資安場域防護成果，包含智慧交通資安、工控安全、5G資安、與智慧工廠資安等4大情境主題。

其中於「工控安全」主題區，展示石油與天然氣2套工業控制模擬系統，結合資安攻擊情境模擬廠區的運作流程及網路環境，未來還將提供從業人員測試環境，發展台灣自主工控情境腳本及培訓工控資安專業人才；另外設有「空氣品質微型感測裝置」場域實驗室，展示合格標章驗證流程與實證案例，並提供設備商技術與諮詢服務。

「智慧工廠資安」主題區，則主要展示工業局去年開始推動－智慧製造場域資安強化的合作案，以建立開放實測場域為核心，透過跨域結合智慧製造，發展台灣自主資安解決方案。讓民眾及企業體驗智慧工廠在資安事件發生「事前、事中與事後」之應變情境，協助企業降低遭受勒索病毒事件發生的風險，提升台商回流投資的產線資訊安全！

圖3 : 經濟部工業局針對「工控安全」主題展示工業控制模擬系統，並結合資安攻擊情境模擬廠區的運作流程及網路、測試環境，發展台灣自主工控情境腳本及培訓工控資安專業人才（攝影：陳念舜）

製造業反求諸己　應自主掌握OT資安能力

然而，多數企業常將資安關注焦點放在外部的駭客攻擊，而把資源大量投入鞏固防火牆，卻忽略了內部資訊安全的重要性，讓有心人得以藉由內網登入，輕易入侵企業內部，竊取珍貴的商業機密，造成無法彌補的商業損失。

根據PMMI最新報告《2021 Cybersecurity: Assess Your Risk》指出，隨著數據收集的需求遽增，並擴散到加工和封裝，大多數公司都朝向工業物聯網（IIoT）製造模式發展。許多工廠都設立了感測器，以及監控各處數據的零組件所形成的網路架構。但因為單一零組件和感測器處理效能有限，往往缺乏內建安全防護功能。

加上生產線為了提高效率，同樣也是高度整合，前端通常直接連到末端流程，而收集數據的感測器也互相連接形成範圍更廣的系統聯網，若不仔細細分和監控，單一漏洞可能很快就成為入侵公司網路的起點。因此，為了提高安全性，製造商如何掌握漏洞並加以解決，是最基本且重要的能力。

否則，從ERP管理、銷售協調，再到即時專案協作，許多製造商已將雲端和邊緣運算應用於數據管理等處，雖然部署雲端可以解決一部份網路安全問題，卻也會造成製造商過度依賴雲端服務供應商，缺乏從安全角度正確評估雲端服務的知識。

趨勢科技揭密資安　屬於製程之一而非附加成本

趨勢科技也呼籲企業應正視數位轉型所帶來的必要挑戰，應用系統與基礎架構發生徹底改變。即除了因為大量關鍵設備連網，導致IT與OT之間的界線愈趨模糊，大大提高駭客攻擊面；還有伴隨5G應用興起的CT（Communication Technology）領域，都讓企業所面臨的資安管理議題加倍複雜，迫使企業不得不擴大資安戰線。特別是在全球供應鏈扮演要角的台灣智慧製造業，尤應重新審視資安政策，依據轉型階段目標部署完善的資安防護。

趨勢科技執行長暨共同創辦人陳怡樺進一步表示，以往製造業可能認為自己含金量不高，沒有人要攻擊自己，但現實的狀況已今非昔比，除了遭受攻擊的事件頻傳，過去製造業的機台可能被認為不是電腦，或安全隔離在網路之外。但她認為：「目前隨著業界導入大量IT技術而變得不同，才剛剛開始想到這些事情，距離能等到自覺並扭轉觀念，還有很長的路要走。」

如今，經過現今數位轉型之後，已徹底轉變了傳統價值鏈模型，在於「從資料到決策」的轉換過程，更突顯資料安全的重要性，只要有資料的地方，就必須要有安全的考量，以免發生蒐集不到、蒐集了錯誤的資料，甚至資料被鎖住的情況，所以須在每個環節都做足資安措施。她特別舉智慧製造為例，包括從最初採集資料的正確性，直到打破穀倉進行資料連結整合及深度分析後，才能做出正確判斷，從而擬定有效策略，才能創造出商業價值。

陳怡樺嘗試以防疫措施比喻：「企業做數位轉型，資安的腳步也要跟上。」第一步要思考如何做好隔離，降低內部系統遭感染機率；第二步要防護重要資產，善用緊急修補（如虛擬補丁），以減少重症發生機率；第三步要積極預防，例如更換新機台時，優先選用有良好資安防護系統的設備。」除此之外，資安的轉型也需要配合企業數位轉型不同階段的目標，進行完善的資安防護部署，才能在企業營運效率與數位化間取得平衡。

尤其如今台灣更在全球製造業重組供應鏈扮演要角，鎖定OT環境進行攻擊的勒索病毒卻日漸增多。趨勢科技副總經理暨工業物聯網公司TXOneNetworks執行長劉榮太指出，自從2019遭受勒索病毒事件發生的風險，提升台商回流投資的產線資訊安全！

圖4 : 因應OT環境棘手的威脅情勢，TXOneNetworks建議企業審慎規劃資安建設，並時刻檢視既有的資安政策是否完備，仍為企業永續經營關鍵要點之一。（source：TXOneNetworks）

依趨勢科技觀察2020年127個新出現的勒索軟體中，前10名皆以鎖定感染OT、工業控制系統（ICS）為攻擊目標，其中就有8個曾在OT場域出現過，如此也反映出當OT環境採用大量IT技術，同時加速了駭客對OT環境的危害，所承受的企業責任損失，已不只是單一產線停工而已。

劉榮太強調：「企業唯有正視弱點，才能突破！」由於製造業供應鏈上下游關係緊密，OT場域的機台運作可謂牽一髮動全身，系統可停機的時間極短；加上廠內有數以百計或老舊且未更新的設備裝置，大多數情況下皆難以執行漏洞修補與系統更新動作。倘若人員操作不當疏失，以及未採取適當的網路隔離與不安全的認證存取等因素，再再使得工業網路環境暴露在巨大風險中，讓製造業的資安管理與維護陷入困境。

「因應OT環境棘手的威脅情勢，企業如何在營運不受干擾的情況下，打造有效的網路安全防護，將成為製造業提高生產力與資安營運效率的關鍵。」劉榮太表示，可預見2021年疫情仍將持續影響全球企業營運，工廠遠端操作需求不斷提升，讓駭客擁有更多可趁之機。因此審慎規劃資安建設，並時刻檢視既有的資安政策是否完備，仍為企業永續經營關鍵要點之一，才能在營運效率提升之餘，同時確保企業內部的機密製程安全無虞。

由於工控環境的獨特需求，也使得企業很難找到既能保護工控環境，又能兼顧效能要求的資安防護。例如選用特徵掃瞄的防毒軟體雖然能偵測已知威脅，卻需要時時連網來更新病毒碼，非常不適合用於工控環境使用。而採用機器學習技術為基礎的進階解決方案，雖然能夠迅速偵測異常狀況與未知威脅，誤判情況卻經常發生，徒增營運上的困擾。

至於應用程式控管與系統鎖定型的解決方案雖然較為單純，且信任名單部署起來也較容易，卻可能使得機器設備的用途僵化受限，因此只適合用途固定不變的系統。這些單一面向的技術雖然可滿足特定用途的需求，卻無法提供工控生產環境所需的兼容性：既要確保資產設備安全無虞、又要維持生產線營運順暢。

陳怡樺強調：「資安不再只是獨立一個產業，而是所有產業裡面該有的基本內涵。對製造業而言，資安就是製程的一部分，千萬不能把它想成附加的成本。」畢竟台灣約有30%GDP都來自於製造業，台積電同時撐起了全球數位轉型的半邊天，倘若能讓台灣製造的所有元件與成品都能納入資安要素考量，也就有助於世界數位轉型更成功、安全。期待透過提升資安的價值，能讓台灣產業的地位更穩固，讓MIT成為全球產業可信賴的標誌。

**刊頭照（攝影：陳念舜）