工業資安是管理問題：各公司如何著手進行

Simon Nutz，工業資安顧問

「資安？那不是我們關注的事！」– 當被問到資安時，那仍然是機器製造商和營運商的常見反應。「我們的 IT 部門負責資安」，他們略帶歉意補充表示。不過在實務上，IT 欠缺具體知識，特別是關於自動化網路的知識。另一方面，設計工程師或甚至健康與安全經理（HSE）不確定如何處理網路資安。所以，您如何為工業資安做好準備？

機械規則（MR）將自 2027 年 1 月起在歐盟強制實施。其適用於想要在歐盟進口或操作機械設備的所有公司。MR 以防毀損保護措施的形式規定工業資安。因此，工業資安對企業來說越來越至關重要，並因此是管理任務。管理階層必須確保工業資安在公司內根深蒂固。

讓每個人皆參與其中
為了要成功，第一步就是要讓所有參與者團結起來。對機器建置商來說，這意指 IT 和開發／設計以及（如可用）負責資安者（如 CISO）。對使用者來說，這是 IT、生產技術、生產管理、HSE 及 CISO。
第一步是要構建知識並培養對工業資安的普遍理解：工廠與機械設備產業面臨的法律義務為何？安全和資安如何連接？IT 和 OT 介面在哪裡交會？

第二步，這些跨領域團隊為該公司制定合適策略，其中包含實作概念。這是關於在內部結構內找到位置：未來職責將在哪裡？您機械設備的網路拓撲架構如何？這如何符合新法律要求？

實作始於風險評估
只有這樣，該公司才能實行工業資安。首先對潛在有害事件進行評估和量化，然後進行保護要求分析。由於網路連結、數位化及 AI 的漏洞可能性以及潛在攻擊和操縱，也識別為此程序的一部分。重要：除了機密性、完整性及可用性等典型 IT 保護目標外，對於工業資安的保護目標也包含安全性，即機器的功能安全。

資安風險評估始終是起點。這是分析資安漏洞所導致的威脅和風險。這意指資安措施必須持續進行監控和調適。這通常涉及複雜的 IT 基礎設施與網路，這需要額外的技術專業知識和資源。

徵求資安與安全專家！
在自動化領域著手推行工業資安並尋求外部支援的任何人皆應意識到，IT 資安專業知識只能提供有限協助。這是因為降低機械設備遭受攻擊風險 (工業資安) 的流程，與降低機械設備本身可能產生風險 (安全) 的程序非常相似。欲實行工業資安的人員必須是機械安全專家，並熟悉相關規範與標準，尤其是機械規則。

該法規的具體實作目前正在不斷變化。在一些地方，協調標準仍然正在制訂。作為機械安全專家，Pilz 密切參與並在塑造相關標準方面發揮積極作用。Pilz 以服務和培訓的形式將此專業知識傳授給客戶。「工業資安的基本原則」訓練針對的是初學者。學員將學習相關術語和要求，並理解機器和網路資安背景方面的網路安全。最佳做法有助於理解生產方面的網路資安風險。
「自動化資安認證專家（CESA）」培訓可提供在工業自動化網路中實行有效組織與技術措施所需的工具。

除了培訓計畫外，Pilz 也可以提供「識別進入管理」（I.A.M.）產品組合。針對與人員保護、責任保護、最大產能及資料保護相關等多項任務，提供產品和客製化解決方案。舉例來說，應用範圍包含使用者身分驗證、安全操作模式選擇、資料與網路資安，以及權限管理等。透過這種方式，便能整合安全與資安於同一系統。

世界各地機器製造商和營運商應立即設法解決這個問題，以便及時準備好應對工業資安的挑戰。有必要構建知識、定義職責和介面，並制定個別策略。在理想情況下，管理階層會啟動此程序。