數發部訂定通訊傳播控制系統資安防護基準，2027年元旦生效

營運技術資安資訊分享與分析中心（OT-ISAC）近期盤點亞太地區關鍵基礎設施與營運技術（OT）資安政策變化，其中提到數位發展部已針對依《資通安全管理法》納管的通訊及傳播領域關鍵基礎設施提供者，訂定控制系統資安防護基準。根據數發部9月16日公告，這項新制將於2027年1月1日生效。

這項基準適用於受納管業者自行或委外開發的控制系統，並依系統防護需求分為高、中、普三級，訂定不同的資安要求。

為降低控制系統遭未經授權存取的風險，新規要求遠端存取須事先取得授權，存取來源須為預先定義及管理的存取控制點，並採用加密及多因子鑑別機制，同時監控相關連線。對於高、中防護等級的控制系統，若要修改工程邏輯或變更保護參數，還須採取多因子鑑別或第二階段確認機制。

除了限制系統存取，新制也要求業者加強控制系統的網路防護。高防護等級系統須與一般資通系統網路隔離，並建立網路邊界監控機制；中防護等級系統則須建立網路邊界存取管控機制。若控制系統的漏洞無法修補，業者須透過網路區隔、限制存取來源或強化監測等替代控制措施，降低相關風險。

新規也依防護等級，分別訂定資料備份、備援測試及營運持續計畫演練等要求，以因應控制系統可能發生的中斷。控制系統若委外開發，業者也須依防護等級，將系統開發各階段的資安需求納入委外契約。

OT-ISAC認為，這項基準考量到專用或老舊控制系統可能面臨的技術限制。若業者受技術限制，或因個別控制系統的設計、結構等因素，確實難以執行規定的防護措施，可提出佐證資料及替代控制措施，經數發部同意後實施。