新聞

美國多州水務與廢水處理設施近來接連遭到網路攻擊，科羅拉多州兩家供水企業更遭攻擊者直接修改設備設定。美國政府近期也針對營運科技（OT）安全採取新動作，NIST公布新版OT安全指南初步草案，CISA與FBI則提醒關鍵基礎設施業者留意第三方ICS整合商的安全風險。

NIST在新版OT安全指南草案中擴充不同領域的介紹，包括建築自動化與控制系統、供水與廢水系統，以及工業物聯網（IIoT）與雲端融合等內容，並改以網路安全框架CSF 2.0重新編排。新版也擴充OT資產管理、網路監控與偵測等安全控制實作指引，並加入系統管理功能保護與零信任原則等安全架構內容。草案目前徵詢意見至11月30日。

CISA與FBI也以2025年的實際入侵事件示警，外國網路攻擊者入侵一家美國工業自動化解決方案業者，並建立9個ZIP壓縮檔，其中包含約800個檔案，涉及客戶SCADA資訊、ICS設備詳細資料及相關系統圖，研判攻擊者可能打算將這些資料外傳。這起事件凸顯第三方ICS整合商遭入侵後，客戶OT環境資訊也可能面臨風險。

CISA與FBI因此提醒關鍵基礎設施業者限制第三方ICS整合商的存取權限，第三方遠端連線應經過可監控的路徑，並在可行情況下採取按需開放方式。業者也應要求整合商提供其供應的軟硬體清單，掌握相關設備如何連接自身基礎架構，以及如何進行更新；對於關鍵作業，業者還應保留操作設備所需軟體的離線備份及人工操作能力，確保第三方ICS整合商遭入侵時，仍能維持關鍵作業並進行系統復原。