澳洲更新關鍵基礎設施資安指引，強化網路隔離措施並納入AI風險管理建議

澳洲內政部轄下CISC更新關鍵基礎設施風險管理計畫（CIRMP）指引，說明業者如何透過身分驗證、網路隔離及供應鏈管理，降低網路攻擊與關鍵服務中斷的風險。新版指引也納入AI系統可能造成的營運風險。

在身分驗證方面，新版指引要求適用強化規範的業者，針對關鍵系統及遠端存取服務採用防網路釣魚多因素驗證（MFA）；若無法採用，仍須透過其他合理措施降低帳號憑證遭竊取或濫用的風險。

為防止攻擊者入侵後進一步滲透其他關鍵系統，業者應掌握關鍵系統之間的連線情況，並限制不同系統之間的存取。在網路隔離方面，指引提出的措施包括讓關鍵系統能夠獨立運作，不必依賴其他連接網際網路的電腦及關鍵系統。此外，當其他電腦需要重建或復原時，關鍵系統仍應能持續運作至少3個月。

業者除了盤點主要供應商及關鍵元件，也應了解供應商是否由外國企業或政府持有或控制，以及供應商對關鍵系統具有哪些存取或控制權限。CISC指出，即使透過核准供應商採購，仍可能取得仿冒或品質不符標準的零組件，導致設備故障，影響關鍵服務的復原進度。

CISC也以AI決策支援工具為例，指出這類工具若提供錯誤建議、發生故障或遭攻擊者濫用，可能影響關鍵服務運作，甚至造成敏感資訊外洩。為降低相關風險，CISC建議工作人員先確認AI提供的建議是否正確，再決定是否採取行動；業者也應保留人工處理方式，確保AI系統故障時，仍能維持必要的作業。