工業自動化與控制系統安全－第3部：系統

IEC 62443-3是國際標準IEC 62443系列中，專門針對「系統層級」安全要求的核心部分，旨在保護工業自動化與控制系統（IACS）或稱營運技術（OT）。此部分最重要的文件是IEC 62443-3-3，它定義了七大基礎功能需求（Foundational Requirements, FRs），涵蓋識別與存取控制、使用控制、系統完整性、資料機密性、限制資料流、及時回應事件與網路可用性。此標準引入了「安全等級」（Security Levels, SLs）概念，將系統防護能力由低至高分為SL1到SL4四個等級，用以應對從意外誤操作到具備國家級資源的惡意攻擊等不同威脅。相較於著重資訊機密性的ISO 27001，IEC 62443-3-3更關注工業環境中至關重要的系統可用性與操作安全，為系統整合商與資產所有者提供了具體、可操作的技術安全框架。

企業應用IEC 62443-3的核心在於將抽象的風險管理轉化為具體的技術控制措施。導入步驟如下：第一步「風險評估與網路分區」，對整體工業控制系統進行風險評估，並依據功能與風險等級，將系統劃分為不同的「區域」（Zones）與「管道」（Conduits）。例如，台灣的晶圓製造廠可將生產機台區、中央監控室劃為不同區域。第二步「定義目標安全等級（SL-T）」，根據各區域的風險評估結果，為其設定一個目標安全等級（SL-T），從SL1到SL4。關鍵製程區域可能要求SL3，而與辦公網路連接的管道則需嚴格的存取控制。第三步「導入與驗證安全控制」，依據各區域的SL-T，實施IEC 62443-3-3中對應的技術要求，如強化存取控制、部署工業防火牆、建立入侵偵測系統等，並最終驗證已達成的安全等級（SL-A）。透過此流程，企業可將OT網路風險降低超過30%，並顯著提升面對網路攻擊時的營運韌性。

台灣企業導入IEC 62443-3主要面臨三大挑戰。首先是「IT與OT的文化與技術鴻溝」，IT團隊重視機密性與更新頻率，而OT團隊則優先考量系統穩定與可用性，導致在修補程式管理、安全政策推行上產生衝突。其次為「大量老舊（Legacy）系統的整合困難」，許多工廠仍運作著無法輕易更新或安裝防護軟體的舊式控制系統，使其難以符合標準要求。第三是「OT資安專業人才匱乏」，兼具工業流程知識與網路安全技能的專家稀少，中小企業尤其缺乏資源。為克服這些挑戰，企業應成立跨部門的OT資安推動小組，共同制定符合營運需求的政策。針對老舊系統，應採用網路隔離、虛擬補丁等補償性控制措施。最後，可與外部專業顧問合作，透過顧問的導入經驗與工具，加速建立防護能量，並規劃分階段實施計畫，優先保護最高風險的關鍵資產，逐步擴展至全廠區。