資訊物理電力系統

資訊物理電力系統（Cyber-Physical Power System, CPPS）是一種將計算、通訊與控制等資訊技術（Cyber）與發電、輸電、配電等實體電力基礎設施（Physical）深度融合的複雜系統。其核心在於透過感測器網路收集實體世界的即時數據，經由通訊網路傳輸至運算單元進行分析與決策，再透過致動器對實體設備進行精準控制，形成一個閉環回饋系統。這與傳統僅用於單向監控的SCADA系統不同，CPPS強調雙向互動與自主協同。在風險管理體系中，CPPS被視為國家關鍵基礎設施的核心，其安全與韌性直接影響國家安全與經濟穩定。國際標準如 **IEC 62443** 系列為工業自動化與控制系統（IACS）的安全性提供了框架，而 **NIST網路安全框架（NIST CSF）** 則為保護此類關鍵基礎設施提供了全面的指導方針。台灣的 **《資通安全管理法》** 也將能源領域列為關鍵基礎設施，要求營運者建立並落實資通安全維護計畫，確保CPPS的穩定運作。

企業在風險管理中應用CPPS韌性評估，可遵循以下步驟： 1. **建立系統模型與依賴性分析**：首先，需繪製出CPPS的網路與實體拓撲結構，識別關鍵節點（如變電站、控制中心）與其間的資訊流、能量流依賴關係。可利用關聯特徵矩陣等方法，量化不同組件間的耦合強度，為後續風險分析提供基礎。 2. **威脅場景模擬與脆弱性評估**：基於 **MITRE ATT&CK for ICS** 等框架，模擬各種網路實體協同攻擊場景。依據 **NIST SP 800-82** 指引，評估系統在不同攻擊下的脆弱性，找出最可能導致連鎖故障的薄弱環節。 3. **韌性量化與改善措施**：採用如「連鎖故障恢復指數（CFRI）」等量化指標，評估系統在遭受攻擊後的損失程度與恢復能力。根據評估結果，導入符合 **IEC 62443** 標準的防禦措施，如網路分區、強化存取控制與制定應變復原計畫。台灣某電力公司透過此方法，將其智慧電網計畫的預期斷電風險降低了15%，並成功通過年度關鍵基礎設施安全審計。

台灣企業在導入CPPS安全與韌性管理時，主要面臨三大挑戰： 1. **新舊系統整合的複雜性**：台灣電力系統中存在大量運作數十年的傳統機電設備（OT），與現代化的資訊技術（IT）系統整合時，常因通訊協定不相容、缺乏原生安全設計而產生大量攻擊面。 2. **跨領域專業人才短缺**：同時精通電力工程、自動控制與網路安全的「OT/IT融合型」人才極為稀少，導致企業在規劃、建置與維運CPPS安全機制時力不從心。 3. **供應鏈安全風險**：CPPS中的許多關鍵組件來自國際供應商，其軟硬體的安全性難以完全掌握，可能潛藏後門或漏洞。 **對策**： * **優先行動**：應優先進行全面的資產盤點與風險評估，並依據 **IEC 62443** 標準實施網路隔離，將關鍵控制系統與企業網路分開。預期時程：6個月內完成初步隔離。 * **解決方案**：與專業顧問合作，導入自動化威脅偵測系統，建立常態性的員工跨領域培訓計畫，並要求供應商提供軟體物料清單（SBOM）以強化供應鏈安全審查。