監控與資料擷取系統

SCADA（Supervisory Control and Data Acquisition）系統，中文為「監控與資料擷取系統」，是一套用於大規模工業流程的自動化控制解決方案。其核心功能是從遠端站點的感測器和設備（如遠端終端單元RTU、可程式化邏輯控制器PLC）收集即時數據，並將其傳送至中央主機進行處理、顯示於人機介面（HMI），讓操作員能夠進行遠端監控與下達控制指令。在風險管理體系中，SCADA系統被視為營運技術（OT）的核心資產，其安全性直接關係到關鍵基礎設施的穩定。根據美國國家標準暨技術研究院（NIST）發布的SP 800-82《工業控制系統安全指南》，SCADA系統的風險管理應優先保障可用性與完整性，因其失效可能導致嚴重的實體損害、環境污染或公共安全事件，這與傳統IT系統優先保障機密性的思維有顯著區別。

在企業風險管理中，保護SCADA系統的實際應用遵循一套結構化方法，以確保營運韌性。第一步是「風險評鑑與資產盤點」，依據NIST SP 800-82或IEC 62443標準，全面識別SCADA網路中的所有資產，包括控制器、伺服器與網路設備，並評估其面臨的威脅與脆弱性，確定風險等級。第二步是「導入縱深防禦安全控制」，這不僅是安裝防火牆，更需建立多層次防禦。例如，將OT與IT網路進行實體或邏輯隔離、在SCADA網路內部進行區域劃分、實施嚴格的存取控制與白名單機制，並部署專為工業環境設計的入侵偵測系統。第三步是「建立持續監控與應變機制」，設立安全監控中心（SOC）分析OT網路流量，並制定詳細的事件應變計畫，定期演練。台灣某半導體廠透過此方法，成功將未經授權的網路存取事件減少40%，並確保其生產線在面對網路威脅時能持續運作，完全符合IEC 62443的年度審計要求。

台灣企業在強化SCADA系統安全時，主要面臨三大挑戰。首先是「老舊系統的技術債」，許多關鍵基礎設施的SCADA系統已運行超過十年，其作業系統老舊且無原廠支援，無法安裝現代資安軟體，形成巨大安全缺口。其次是「OT與IT的文化衝突」，OT工程師以「穩定壓倒一切」為最高原則，抗拒任何可能影響系統運行的變更（如安全更新）；IT人員則強調即時修補漏洞，雙方目標不一致導致資安政策難以推行。第三是「專業人才匱乏」，市場上兼具工業流程知識與網路攻防技術的「工控資安」人才極度稀少。為克服這些挑戰，建議的對策如下：1. 對於老舊系統，應優先導入網路隔離與虛擬補丁等「補償性控制措施」，在不更動主系統的前提下降低風險，預計6個月內完成部署。2. 成立由廠長或營運副總領導的「OT資安治理委員會」，強制IT與OT部門協作，共同制定風險可接受的資安政策。3. 與外部專業顧問合作，進行客製化人才培訓與風險評鑑，逐步建立內部能量。