日前，臺積電傳出電腦病毒感染事件，導致部分生產機臺與設備宕機，受影響范圍遍及臺積電各廠區。消息一出引發制造業極大震撼，制造業標桿企業，竟然也在資安管理上“栽跟頭”。更引起各界對工業互聯網資訊安全的高度重視。

制造業借鑒臺積電工廠病毒擴散事件

此次事件中，企業調查是“新機臺在安裝軟件的過程中操作失誤”，在未完成病毒掃描偵測的作業前，讓新機臺連網上線，以致發生WannaCry變種病毒擴散，造成了大規模設備停工，預估損失近1.7億美元。

如果，素來以管理精實著稱的臺積電，都會發生生產機臺病毒感染事件，顯見在資安防護工作上，即便建立了密不透風、滴水不漏的資安高墻，卻仍然會有百密一疏之處。對于一般管理不夠嚴謹、資訊防護資源欠缺，或者中小型企業來說，或許就更難以防堵病毒的惡意侵入了。

事實上，愈先進的廠房，使用的設備自動化程度愈高，系統也愈復雜。而高度自動化的設備，意外停機所遭受的影響與損失也會愈大。

從臺積電的案例中，我們不難理解，在物聯網應用強調Machine to Machine（M2M）設備連網、系統高度連動的自動化環境下，若是遭受了病毒或黑客的攻擊，那么，影響范圍和營運損失，恐怕是企業難以承受之重。

因此，在工廠逐步邁向工業物聯網（IIoT）全面連線生產環境下，企業對資訊防護的作為中，已不單純只是資訊人員的工作。從生產管理到資訊管理、甚至行銷、財務、總務等所有部門，從上到下的全體員工，都必須透過管理制度、觀念學習、制度規范等等手段，推動IIoT資訊安全的正確觀念，規范SOP行動標準，以共同抵御來自四面八方的資安漏洞和可能威脅。

工業物聯網時代 制造業提筑資安防火墻

PC時代，電腦病毒的出現，多是憤世嫉俗的玩家用來證明自己的破壞能力；隨著Internet的出現，有心人士將黑客當成賺錢工具；到了物聯網時代，企業及工廠的生產制造設備陸續連上云端，物聯網設備目前的資安防護技術尚未完備，眾多的設備、閘道連結節點又可能存在許多未發現的漏洞，加上制造業相對缺乏資安保護意識與措施，企業和工廠仿佛就像一臺忘了設定安全機制的提款機，隨時可能被黑客索求。

Gartner預測，到2020年時，全球使用中的連網物件數量將達到204億個，硬件總支出金額預計將達3兆美元。GSMA智庫 (GSMA Intelligence) 預估，2025年全球的工業物聯網設備連接數量，將達到138億個，而工業物聯網在工廠的應用產值，預計可達3.7兆美元，而大中華地區的連接數約為41億個，約占全球工業市場的三分之一。對黑客而言，可見有多大的“資安商機”在其中。

目前許多導入工業物聯網的公司并未落實資安防護策略，主要是因為營運科技（Operation Technology；OT）與資訊科技（Information Technology；IT）的連結過程之間，因為二者標準協定的落差，造成整合上的困難，而這也是影響工廠數字轉型的主要因素。

OT與IT原本各司其職，而工業物聯網則促成了OT與IT環境走向融合互通，但因二者的本質、架構、協調標準并不相同，因此在融合過程中，現有針對IT系統設計的資安產品，已無法為工業物聯網的資安需求提供有效的防護。

而資安問題會成為制造業的高度風險，除了企業不了解工業物聯網潛藏威脅的嚴重性，以及OT與IT整合系統的防護技術尚不成熟外，還有第三個原因，就是缺乏資安執行計劃。

傳統工廠中的一些連網設備，例如機器手臂，過去少有資安事件問題發生；而機器手臂的核心操作系統，很多是使用模組化的開源程式碼（Open Source）進行開發，模塊設計時并未考量資安防護，當跟其他裝置連結時，溝通界面就可能產生安全漏洞。

據統計預測，企業在物聯網資安投資部分，隨著威脅的不斷升級，全球資安市場規模未來有上看千億美元的潛力。Gartner最新統計，2018年全球在資訊安全產品及服務支出的費用將超過1,140億美元，較2017年增加12.4%；預計2019年市場將持續成長8.7%，達1,240億美元。

IIOT入侵管道的知己知彼

在IoT時代，萬物聯網背后的意義就是，愈來愈多裝置都會具備IP位置，都擁有連網能力，以辦公室為例，舉凡個人電腦、智能手機、網路印表機、網路攝像頭、網路電話、印表機、乃至照明系統、打卡鐘…，皆可能成為黑客入侵的入口，進一步擴散病毒。

而在工廠生產線部分，像是自動控制工具機、工業網路設備、數據采集分析（SCADA）系統、物聯網感測端點／傳輸節點…也都可能遭受侵入。

此外，在員工個人的網路安全行為部份，像是個人資通訊設備的使用（包括手機、筆電和US盤等）、網路釣魚、DDoS攻擊、Wi-Fi釣魚式攻擊，也是黑客常用的攻擊手法。

舉例來說，發生在封閉場域環境的臺積電病毒事件，發生的主因是因為新機臺安裝軟件的過程中，未做好防毒隔離措施，因此可能經由U盤導致病毒感染。

2016年，NweWorldHacker黑客組織使用Mirai病毒感染了美國東部10萬部監控攝影機，對DNS服務供應商Dyn發動DDoS攻擊，讓許多網站停止服務，影響了近半個美國Internet。

2015年發生的烏克蘭大停電，起因是黑客對電廠員工進行網路釣魚，取得員工登入權，從遠端登入電廠系統后截斷電力，且更改密碼、關閉電話系統，讓員工無法登入重啟系統、也無法互相聯絡。

2014年發生在德國鋼鐵廠的資安事件中，黑客駭入鋼鐵廠的工作網路中，取得鼓風爐控制權，造成巨大的損失；2010年伊朗核電廠發生Stuxnet蠕蟲感染事件，黑客借由視窗作業系統的Ink捷徑檔嵌入惡意程式，對西門子的自動化生產控制系統進行攻擊，所幸未對當時即將上線運作的核能發電系統造成影響。

黑客攻擊企業、工廠的案例不勝枚舉，因此企業除了必須注意網路防護，重視實體裝置與內部設備行為的防護，還要作好員工上網的觀念教育與行為規范，盡速建立從內到外的完整資安防御網。

此外，設備制造商、基礎設施供應商亦應尋借助專業資安業者的協助，共同定義資安威脅的屬性與來源，強化網路架構設計，推出符合物聯網環境的防火墻解決方案。經由多方的共同努力和重視，有效降低工業物聯網的資安風險。

鞏固工業物聯網資安 企業制勝之道

推動工業物聯網建制的關鍵之一，就是制造系統與資訊系統要做到完美連接，因此在資安策略的規劃上，不僅是資訊部門的工作，必須由OT、IT相關人員協力合作，重新建立物聯網架構的資安政策。

對于制造業來說，工廠內的生產制造系統就是企業營運命脈，對高度自動化、高度連動的物聯網生產線來說，任何設備一旦無預警故障停機，不止造成整條生產線的停擺，也會造成原物料、半成品的損失，影響到訂單延遲出貨的賠償問題、公司商譽損失…等問題。OT與IT在運作上本來就有明顯差異，各自需要不同的資安處理原則；因此，在推動工業物聯網資安時，不能忽視以制造系統穩定為前提，以及制造部門的管理特性和作業需求。

制造業若要有效推動工業物聯網的資安建制，大致可以注意下列四個重點：

首先，要做好設備資產的盤點工作。盤點項目在于機臺廠牌、型號、韌體、軟件版本型號等等的列表統計，盤點重點則應針對工業控制系統、數據采集與分析系統、資料庫結構等，分析出可能的弱點或漏洞，進行改善。

其次，在完成資產盤點之后，應配合標準生產SOP，檢視生產流程中所有可能遭受攻擊的弱點，預測黑客或病毒的攻擊流程和擴散方式，完成風險評估和威脅場景，建立資安威脅模型，然后進行漏洞掃描、滲透測試、模擬攻擊、完成系統安全性驗證工作、危機處理演練。

第三，病毒技術與病毒變種總是“日新月異”，黑客攻擊手法令人防不勝防，因此在完成資產盤點、資安威脅模型后，也要隨時注意系統安全更新，調整資安威脅模型、并且作好人員的資安觀念訓練及安全作業的SOP、權限管理。因為，唯有隨時保持資安意識與能力的與時俱進，才能防患于未然。

第四，在資安防護的工作上，莫存自掃門前雪的心態，企業應與各方資安單位保持互動，掌握專業領域最新的物聯網資安問題與技術，分享學習資安情報與策略作法，例如Critical Intelligence、ICSCERT、Infragard、IoTSF、ISAC、OWASP、SCADAHacker…等組織。

各地積極研擬物聯網資安舉措

隨著物聯網應用的普及，病毒與黑客攻擊的案件頻傳，資安廠商積極布局物聯網資安服務外，產品與設備制造商也開始將資安防護列入技術研發重點。不止如此，各國與國際組織也正視物聯網資安問題，針對個資泄露、殭尸攻擊等問題，推動立法規范。

2017年美國發布“強化聯邦網路與關鍵基礎設施網路安全”命令，要求公私企業及政府單位必須分享黑客攻擊情資，8月再提出物聯網安全強化法案，規定機關單位采購物聯網設備時，必須符合網路安全操作標準安全需求。

歐盟組織在2017年則提出了聯網器材后門加密禁令，要求傳輸端點對點兩端都提供加密程序，并且禁止賣給終端用戶的聯網器材“偷開后門”。

中國于2017年3月，中國聯通聯合眾多企業與研究機構，在ITU-T SG20訂出全球第一個物聯網區塊鏈（Blockchain of Things；BOT）標準，定義去中心化的可信賴物聯網服務平臺框架，用區塊鏈技術為物聯網資安問題提出一道解方。

中國***地區也在2017年年底，公告“IPCAM資安產業標準及檢測規范”正式版，推動網路攝影機的安全驗證工作；并在2018年中發布IoT設備資安驗證標章制度，列為資安采購優先原則。

各地IoT產品規范紛紛上路，在法規要求下，未來廠商生產的設備需具備資安設計。物聯網市場正從功能優先進入實用導向，用戶對資訊安全設計重視度，也將進一步推進到產業標準規范，廠商也更積極重視設備的資安保護設計，及早建構其產品優勢。