International Maritime Organization Resolution MSC.428(98) 國際海事組織 MSC.428(98) 分辨率

International Maritime Organization Resolution MSC.428(98) 是IMO於2021年通過、2024年起全面生效的決議，要求加盟國確保其管轄船舶具備應對網路威脅的韌性能力。此決議並非單一法規，而是一項政策框架，要求各國政府透過立法、行政手段及教育訓練，確保航行安全與資訊安全同步提升。它與IMO《國際海上安全管理規則》（ISM Code）相輔相助，將網路安全從「資訊科技議題」提升為「航行安全議題」。對企業而言，這意味著網路韌性已成為法定合規要求，而非選配選項。台灣企業應參照ISO/IEC 27701資訊安全管理標準與NIST網路韌性框架（Cyber Resilience Framework）進行系統性規劃，以確保符合IMO的監管趨勢。此外，此決議與台灣《航海法》及《航海安全法》的交叉合規性，是企業建立BCM機制時不可忽視的法律基礎。

實務導入可分為三個階段：第一階段為「差距分析」，企業應對照IMO MSC.428(98)要求與現有SMS進行比對，識別關鍵資產、威脅情境與現有控制措施的缺口。第二階段為「控制措施整合」，將NIST框架的「識別、保護、偵測、回應、恢復」五大功能嵌入日常航行作業流程，確保網路事件發生時不影響船舶操控安全。第三階段為「持續監控與演練」，定期進行網路應變演練（Cyber Incident Response Drills）。以台灣某大型航運公司為例，導入後透過將網路韌性指標納入KPI，使其年度網路安全事件處理時間（MTTR）縮短30%，同時符合IMO合規要求，避免因未達標而面臨船舶滯留或保險理賠爭議。建議企業建立量化指標，如：網路韌性成熟度得分、員工訓練覆蓋率、系統恢復時間目標（RTO）達成率等，以具體化BCM成效。

台灣企業導入時常見三大挑戰：第一為「法規認知落差」，許多中小型航運業者對IMO決議的具體要求尚不清晰，建議透過專業顧問進行法規解讀與轉譯。第二為「技術人才短缺」，海上作業環境特殊，IT人才難以直接應用於船舶OT環境，企業應投資跨域培訓，結合航海專業與基礎資安知識。第三為「供應鏈風險管理不足」，船舶設備供應商眾多，網路漏洞往往來自第三方供應商。對策上，企業應建立供應商管理機制，要求供應商符合ISO 27701或類似標準。優先行動項目應為：1. 2024年前完成現有SMS與IMO決議的差距盤點；2. 建立網路安全事件應變團隊（CSIRT）；3. 制定至少三套應對情境的BCP計畫。預計6個月內完成基礎框架建立，12個月內達成完整合規。

積穗科研股份有限公司（Winners Consulting Services Co., Ltd.）專注台灣企業International Maritime Organization Resolution MSC.428(98)相關議題，擁有豐富實戰輔導經驗，協助企業在90天內建立符合國際標準的管理機制，已服務超過100家台灣企業。申請免費機制診斷：https://winners.com.tw/contact