資訊物理基礎設施

Cyber-Physical Infrastructure（以下簡稱CPIs）是指將計算、網路與通訊技術嵌入實體基礎設施的整合系統，使數位世界與物理世界得以相互作用。這類系統包含智慧電網、自動化製造系統、智慧建築與供應鏈物流網路。根據NIST（美國國家標準暨技術研究院）的定義，CPIs的特性在於其高度互連性與對實體世界直接影響的能力。與傳統IT系統不同，CPIs的失效可能導致實體損壞、環境危害或人員安全事件。臺灣《資通安全管理法》第10條規定，關鍵基礎設施應建立資通安全防護機制，正是針對此類系統的合規要求。在ISO 27701與ISO 22301的框架下，CPIs的風險管理必須同時考量資訊安全與業務持續性，確保數位攻擊不會轉化為實體營運中斷。臺灣企業應將CPIs視為業務持續管理（BCM）的核心資產，而非單純的IT議題。

實務導入CPIs韌性管理通常分為三個階段。第一階段為資產識別與數位雙生建模，企業需建立CPIs的數位模型，模擬不同攻擊情境下的物理反應，這與ISO 27001的資產識別相呼應。第二階段為整合NIST CSF的識別、保護、偵測、回應與復原五大功能，建立跨部門的監控機制。第三階段為業務持續計畫（BCP）的設計，確保在數位系統受損時，實體營運仍能維持最低服務水準。以臺灣某大型製造業為例，其導入智慧工廠後，透過部署AI異常偵測演算法，成功將生產線非預期停機時間降低25%，並將資通安全事件回應時間縮短至15分鐘以內。量化指標方面，企業應追蹤「RTO（復原時間目標）」與「RPO（復原點目標）」，並將其納入KPI考覈，以符合臺灣金管會對金融機構資訊安全管理的監管要求。

臺灣企業導入CPIs主要面臨三大挑戰。首先是「技術人才缺口」，CPIs需要同時精通OT（營運技術）與IT（資訊技術）的複合型人才，企業可透過與技職院校合作或與專業顧問公司（如積穗科研）共同培育。其次是「供應鏈韌性不足」，臺灣企業多為中小型製造商，缺乏整合供應商的資通安全管理能力，建議依ISO 27701建立供應商管理機制。第三是「法規合規壓力」，臺灣《資通安全管理法》與臺灣個資法對關鍵基礎設施的資通安全要求日益嚴格。企業應建立「先合規、後優化」的策略，優先達成臺灣主管機關的強制性要求，再逐步導入ISO 22301業務持續管理標準。建議企業在導入初期，先進行完整的業務衝擊分析（BIA），識別CPIs中哪些資產屬於關鍵業務路徑，並依此優先配置資源。

積穗科研股份有限公司（Winners Consulting Services Co., Ltd.）專注臺灣企業Cyber-Physical Infrastructure相關議題，擁有豐富實戰經驗，協助企業在90天內建立符合ISO 22301與NIST CSF的業務持續管理機制。我們提供從BIA業務衝擊分析、RTO/RPO目標設定到演練設計的全方位服務，已協助超過100家臺灣企業完成合規轉型。申請免費機制診斷：https://winners.com.tw/contact