隨著萬物聯網的深化，物聯網（IoT）資安議題已從單純的設備防護，提升為攸關商業營運持續性與國家關鍵基礎設施韌性的複雜挑戰。對企業而言，真正的焦點並非曝露於公網的消費級裝置，而是與製造產線與營運流程緊密相連的營運科技（OT）環境。
TXOne Networks（睿控網安）執行長劉榮太指出，IoT的範疇涵蓋極廣，從港口自走式起重機、企業自建影像監控，到醫療影像設備與智慧製造機台，皆屬於連網資產。然而，企業所需釐清的重點並非這些裝置是否連入公共網際網路，而是它們如何在內部網路、專網與雲端之間形成新的攻擊面，以及資安控管如何與「營運不中斷」的需求相容。
劉榮太強調，近年的主流做法已將IoT安全納入攻擊面管理（ASM）的範式：先建立全域可視性，盤點所有可被外部或內部觸及的資產，評估曝險程度與風險熱點，再規劃修補與補強策略。對多數企業而言，工業物聯網（IIoT）的真正挑戰，不在於是否連上Internet，而在於是否可能被濫用為橫向移動的跳板，或被操控進而中斷產線。
另一方面，OT與IIoT這類高度情境化的場域，往往需要針對特定問題選擇技術領先的專精解決方案。劉榮太直言，平台化的架構確有價值，但現實上難以將數十類安全專業職能壓縮集中在少數供應商；尤其在OT領域，因應營運不中斷、遺留系統生命週期長、通訊協定多樣且封閉等特性，企業多半仍會在關鍵斷點採納最佳解組合。這意味著IT或資安管理者必須在成本效益、整合度與場域適配性之間取得平衡。
人機協作提高準確度
談及人工智慧（AI）在資安中的角色，劉榮太將其區分為三個層次：機器學習、生成式AI（GenAI）與代理式AI（Agentic AI）。機器學習已廣泛應用於工控與網路流量異常偵測、弱點利用預測與憑證濫用跡象分析；GenAI則能將資安知識以自然語言對話形式實現民主化，讓非資安人員也能理解控管要求、撰寫合規文件與標準作業程序；Agentic AI則嘗試讓系統根據情境自動選取或改寫SOAR腳本，進行持續威脅獵捕與動態化回應。然而，AI的導入必須配合組織成熟度，以「建議先行，審慎自動」為原則，所有自動化動作均須可逆、可驗證，並保有人工監督。
他提醒，即便是相對成熟的機器學習，若訓練資料偏態或環境特徵變遷，偵測率也會隨時間下降。在惡意程式偵測領域，若僅依賴學習模型而未善用特徵碼與威脅情報資料湖，成效往往不足以支撐營運級需求。這也解釋了為何OT資安操作更適合「白名單＋黑名單」的雙層策略：白名單以行為基線學習正常製程的通訊頻率、協定組合、程式與帳號活動，將場域語境（OT Context）嵌入模型；黑名單則保留對已知惡意行為的指標，以避免被繞過。兩者交織，才能在誤報與漏報之間取得可維運的平衡。
進一步談到Agentic AI，劉榮太主張「先讓人把流程做熟，再逐步授權AI」。若沒有經過人員反覆驗證的既定流程與演練（如應變決策樹），過早交由AI全自動化，將帶來過度風險。OT的本質是以安全（Safety）與可用性為優先，一些設備如自走式起重機與關鍵製程控制，營運時根本不能隨意關閉或隔離。AI若要被信任，必須理解「不能做什麼」。因此，導入路徑宜分階推進：初期階段以機器學習輔助弱點修補排序；進一步透過GenAI生成安全計畫與人員分工的作業流程，縮短從零到一的時程；待流程成熟後，再考慮引入Agentic AI協助威脅獵捕與動態回應，並持續維持人機協作的授權與監督。
法規與供應鏈雙輪驅動
推動OT資安的不僅是技術創新，更有監管規範與供應鏈壓力的驅動。歐盟《網路韌性法》（CRA）將於2027年強制施行，關鍵基礎設施亦納入《NIS2》框架的擴大義務。對設備製造商與系統整合商而言，若產品安全與維運控管能力未達法規門檻，將不僅難以獲得市場准入，更可能面臨高額罰款。
劉榮太指出，歐洲市場已出現「資安即交付」的現象，大型機台製造商在產品銷售時同步提供資安能力，或透過外掛安全元件滿足CRA特定條文，例如以隔離機制或虛擬修補技術來降低即時更新的困難，務實填補合規落差。在供應鏈端，半導體產業則積極以準則與產業社群推動安全能力標準化，將其作為投標與驗收的必要條件，藉此建立共通語言，讓上游元件供應商與下游客戶能更有效率地溝通風險與緩解措施。
TXOne Networks執行長劉榮太指出，OT資安的核心在於People、Technology、Process三者協同到位，AI的角色並非取代，而是補足流程與知識的斷層，進而降低導入的難度與時程。
然而，阻礙OT資安規模化落地的關鍵挑戰往往不是技術本身，而是人力與流程。兼具OT與資安專業的人才極度稀缺，加上OT環境對停機的敏感度極高，稍有疏失便可能造成工廠現場對資安專案的負面觀感與口碑傳播，形成所謂的「部署陰影」。因此，成功的導入策略必須兼顧「不干擾營運」的部署手法，並輔以可複製的作業範本。
劉榮太透露，TXOne正嘗試將標準作業程序與最佳實務轉化為可互動的GenAI輔助機制：先透過感測設備蒐集網路流量，建立資產輪廓與弱點概觀，再以問答方式釐清產線關聯、維護時段與人力配置，最後輸出排序後的風險清單與部署建議，甚至包含角色職責分配。這套方法能根據企業規模彈性調整，無論僅有三名維運工程師或是百人團隊，都能獲得適切的落地方案，將原本「專家限定」的門檻降低至「合格工程師可執行」。