公共與關鍵基礎設施部門

Public and Critical Infrastructure Sector（以下簡稱關鍵基礎設施部門）指對國家安全、經濟、社會運作有重大影響的基礎設施，包括能源、金融、通訊、交通、醫療、政府機關及供應鏈。根據ISO 22301業務持續管理標準與NIST CSF 2.0框架，這些部門被定義為「關鍵性」而非「重要性」，因為其失效將導致社會功能崩潰。臺灣《關鍵基礎設施保護法》將其細分為電信、能源、金融、交通、醫療、政府機關、資訊通訊、水務、核能、氣候變遷應變及其他影響國家安全的領域。每個部門需建立獨立的風險識別、應變與恢復機制，並與國家級應變機構（如臺灣國家網路安全中心）建立通報機制。這與一般商業祕密保護不同，其核心目標是「韌性」（Resilience）而非單純的「防護」（Protection），強調在受攻擊後仍能維持最低服務水準的能力。對於企業而言，這意味著必須將資通安全納入董事會層級的風險治理議題。

實務應用需遵循「識別→保護→偵測→回應→恢復」五階段循環。第一步，依據ISO 27701與臺灣個資法要求，盤點所有涉及關鍵服務的資通系統與個人資料處理流程。第二步，依據NIST CSF 2.0的「治理」（Govern）功能，建立跨部門的危機管理委員會，確保決策鏈在緊急狀況下仍能運作。第三步，依據ISO 22301設計業務持續計畫（BCP），包含RTO（復原時間目標）與RPO（復原點目標）的量化設定。臺灣某大型電信企業在2023年透過導入ISO 22301與NIST CSF框架，將重大資通安全事件的平均應變時間（MTTR）縮短了40%，並將資通安全事件的資通安全事件應變率提升至95%。企業應每半年進行一次演練，並將演練結果納入KRI（關鍵風險指標）監控，確保在實際危機發生時，關鍵服務的可用性維持在99.9%以上。

臺灣企業主要面臨三個挑戰。首先是「法規碎片化」：臺灣目前缺乏單一的關鍵基礎設施法規，企業需同時遵循《資通安全管理法》、《個人資料保護法》及各部會的個別法規，建議建立「一法多規」的整合合規矩畫。其次是「供應鏈韌性管理不足」：許多企業僅關注自身安全，忽略了供應商帶來的間接風險，應依ISO 27701要求供應商提交資通安全承諾書，並定期進行供應商風險評鑑。第三是「人才與資源配置」：關鍵基礎設施部門的資通安全人才極為稀缺，企業應建立內部人才培育機制，並與學術機構或專業顧問機構（如積穗科研）合作。建議企業在導入初期，先以「高衝擊業務流程」為優先，分階段擴展至全組織，並將資通安全投入納入年度資本支出規劃，而非一次性專案。

積穗科研股份有限公司（Winners Consulting Services Co., Ltd.）專注臺灣企業Public and Critical Infrastructure Sector相關議題，擁有豐富實戰輔導經驗，協助企業在90天內建立符合國際標準的管理機制，已服務超過100家臺灣企業。申請免費機制診斷：https://winners.com.tw/contact