隨著數位轉型持續深化，企業的營運技術（OT）環境正快速與IT系統、雲端平台及遠端存取機制整合。連網能力帶來效率提升，同時也讓原本相對封閉的工業環境暴露於更多資安風險。然而，IT重視資料保密與系統完整性，OT則更關注設備安全、營運穩定與產能連續性，故防護策略也須有所區隔。
企業資安長在規劃OT防護策略時，應採取「威脅導向」思維，而非單純複製IT治理框架。第一步是建立完整且持續更新的資產可視性，除了盤點控制器、人機介面、感測器等設備外，更要掌握設備間的通訊關係、已知漏洞及與IT網路的連結方式，才能真正了解暴險面。
<p> 其次，網路分段應成為OT防護的重要基礎。許多工業環境仍存在扁平式網路架構，一旦遭到入侵，攻擊者便能快速橫向移動。企業可依循ISA/IEC 62443等國際標準建立安全區域與通訊通道，在不影響工業協定正常運作下，限制風險擴散，提高異常行為的可偵測性。
<p> 此外，威脅情報的選擇也須更貼近工業場域。一般IT威脅情資難以反映工業控制系統面臨的實際風險。企業應關注針對關鍵基礎設施與工業控制系統的攻擊趨勢，了解特定產業常見的攻擊手法與駭客行為模式，並將情資轉化為具體的偵測規則、補償性控制措施與應變計畫。
<p> 在治理層面，OT資安最大的挑戰是組織協作。IT團隊重視資安治理與合規要求，OT團隊則以生產穩定與設備可用性為優先。資安長需要建立跨部門治理機制，讓雙方共同參與風險評估、維護規劃與事故演練，確保資安措施兼顧營運需求與防護效果。
<p> 面對IT、OT與雲端環境持續融合的新局，OT資安不再只是工廠或設備部門的議題，而是企業整體風險管理的重要環節。唯有從威脅情境出發，掌握資產、了解攻擊路徑並強化跨部門合作，企業才能在數位化與連網化持續加速的同時，維持關鍵營運安全與韌性。
<p> 在台灣，OT資安更是產業競爭力的重要基礎。身為全球半導體與高階製造重鎮，企業除了做好自身防護，更應強化供應鏈安全，並將資安韌性納入營運管理。OT資安的目標並非追求零風險，而在於在遭遇攻擊時，仍能快速恢復核心產能，確保營運不中斷。
<p> ＜本文作者：楊光明現為Fortinet解決方案技術總監＞