關鍵資訊基礎設施

關鍵資訊基礎設施（Critical Information Infrastructure, CII）是指在國家層面，一旦中斷或遭到破壞將對國家安全、社會秩序、經濟穩定及民眾基本權益產生重大衝擊的資訊系統與資通系統。根據台灣《電信管理法》第20條及《電信管理法》第22條之規定，電信事業應建立電信資通安全管理機制，確保其關鍵資通系統的韌性。國際上，NIST（美國國家標準暨技術研究院）在《NIST CSF 2.0》框架中將CII納入關鍵功能識別範圍，要求組織建立資產識別、保護、偵測、回應與恢復的完整循環。CII與一般資訊系統的差異在於其「系統性影響」——其失效可能導致連鎖性的社會功能癱瘓，而非僅是單一企業的商業損失。因此，CII的風險管理必須採用情境式風險評鑑（Scenario-based Risk Assessment），而非僅關注單點資通安全事件。在ISO 27701隱私框架下，CII的資料保護要求更為嚴苛，因為其資料外洩可能涉及國家安全層級的資訊外洩風險。

實務導入CII風險管理通常分為三個階段：第一階段為資產識別與分類，企業需依據ISO 22301的業務衝擊分析（BIA）盤點哪些資訊系統屬於CII範疇，並設定關鍵業務功能（Critical Business Functions）。第二階段為風險評鑑與控制措施設計，參考NIST CSF的「識別（Identify）」與「保護（Protect）」功能，建立多層次防護，包括零信任架構（Zero Trust Architecture）、加密傳輸及備份機制。第三階段為持續監控與應變演練，透過SOC（安全監控中心）實施24/7監控，並定期進行資通安全演練（如ISO 22301要求的BCP/DRP演練）。以台灣電信業者為例，2024年導入AI驅動的異常流量偵測後，資通安全事件的平均偵測時間（MTTD）縮短了40%，資通安全事件的平均處理時間（MTTR）降低了55%，有效提升了營運韌性。

台灣企業在導入CII管理時面臨三大挑戰：首先是法規合規的複雜性，台灣電信管理法、個資法及金融控股公司法對CII有不同要求，建議採取「一框架多合規」策略，以ISO 27701作為統一控制框架。其次是技術人才稀缺，特別是具備OT/IT整合能力的資安人才，企業應透過外部顧問合作與內部人才培育計畫（如CISA/CISSP認證補助）同步進行。第三是供應鏈風險管理不足，CII的風險往往來自第三方供應商，建議依ISO 27730供應商關係安全管理標準建立供應商評鑑機制。建議企業在導入初期優先聚焦於「關鍵業務流程（Critical Business Processes）」，以有限資源達成最大風險降幅，並設定90天快速導入目標，逐步擴展至全體資通系統。