七國資安機構發布新版營運技術(OT)安全指引

英國、美國、加拿大、澳洲、紐西蘭、荷蘭與德國等七國資安機構於 9 月 29 日共同發布新版營運技術 (OT) 安全指引，協助組織建立完整的 OT 環境可視性，作為強化網路防護的首要步驟。

此次發布的指引由英國國家網路安全中心 (NCSC) 主導，聯合澳洲訊號局 (ASD)、美國網路安全暨基礎設施安全局 (CISA)、加拿大網路安全中心、美國聯邦調查局 (FBI)、紐西蘭國家網路安全中心、荷蘭國家網路安全中心，以及德國聯邦資訊安全辦公室 (BSI) 共同制定。

五大核心原則架構

該指引針對部署或營運 OT 設備與系統的資安從業人員，提出五項核心安全原則：

• 定義建立與維護 OT 環境完整清冊的流程
• 建立 OT 資訊安全管理計畫
• 識別與分類資產以支援風險決策
• 識別並記錄 OT 系統內的連線狀況
• 理解並記錄第三方風險

每項原則皆附有詳細的執行步驟，指導 OT 資安團隊具體落實。

「OT環境完整清冊」涵蓋範圍

本次公布的指引強調建立「OT 環境完整清冊」(definitive record) 的重要性，這不僅是技術資產清單，更需反映 OT 系統如何支援組織的任務與營運。完整清冊應包含：

• 組件清單：個別設備、控制器、軟體與虛擬化系統，並依關鍵性、暴露程度及可用性需求分類
• 連線架構：資產在 OT 網路內外的互動方式、使用的通訊協定，以及延遲或頻寬等限制
• 系統架構：區域與管道的分段措施、備援或高可用性配置等韌性設計，及關鍵設計決策的理由
• 供應鏈與第三方存取：連接環境的供應商、整合商與服務提供者，及其管理與保護措施
• 業務影響評估：資產或連線失效或遭入侵時，對營運、財務與安全的影響

資安實務考量

NCSC 警告，OT 環境完整清冊本身就是高度敏感資訊，因為攻擊者若掌握這些資料，將更容易規劃並執行有效攻擊。因此，這些清冊應僅供必要人員存取，並透過嚴格的變更控制加以保護。

指引也承認，建立完整清冊需要時間。許多組織已擁有部分資訊，散布在設計文件、供應商手冊、維護日誌或監控工具中。關鍵在於整合這些片段資訊、驗證正確性，並持續更新。

NCSC 安全架構師在聲明中強調，OT 系統維持著電力供應、供水、製造生產線運作以及關鍵國家服務。一旦這些系統遭入侵或中斷，將對安全、營運、經濟甚至國家韌性造成實質影響。

值得注意的是，此指引發布距離六個參與國簽署首個統一 OT 安全分類法 (unified OT security taxonomy) 僅一個月時間，顯示各國持續深化 OT 安全領域的國際合作。

本文轉載自：資安人