工控資安的議題逐漸受到業界重視，2023 年適逢疫情緩解，結合疫情期間製造業積極發展數位化與遠端工作的趨勢，工控場域逐漸意識到資安防護的重要性。業界面對工控資安的威脅持續增加，國際自動化學會(International Society for Automation, ISA) 便提出IEC 62443作為工控資安標準。IEC 62443規範工業自動化與控制系統的資訊安全，所規範的情境包含所有使用工控系統的場域，例如工廠以及關鍵基礎設施。
IEC 62443 FR1~7全面防護
台灣德國萊因工業服務與資訊安全業務經理莊珮甄(圖1)說明，包含IEC 62443在內的資安標準，會規範產品整個生命週期的資訊安全，也就是產品設計、開發、營運階段，都需要符合資安規範。IEC 62443即透過7個基本要求(Foundational Requirements, FR)，全方位確保工控資安。以IEC 62442-4-2的產品資訊安全技術控制要求為例，FR1要求產品進行身分驗證的控制，FR2則透過使用控制，避免工控設備收到未經授權的操作。FR3關注系統完整性，確保應用程式的完整性。FR4是確保機密資料不會外洩、受到竄改，避免錯誤資料導致錯誤決策。FR5是數據流限制與保護，透過將系統分段，防止不必要的數據流。FR6是藉由即時通報安全違規事件並及時改正，強化資安防護。FR7則要求確認應用程式或設備的資源可用性，以維持服務正常運作。
從元件層級到系統整合及營運端，包含場域的擁有者，在資安方面都要考量上述7個基本要求。只是不同角色切入資安的角度不同，例如負責設計元件的人員，在元件設計的時候就要考量如何確保資訊安全，系統整合者也要有能力識別所採用的元件是否安全，並且要求供應商提供安全的產品。
導入IEC 62443-4-1遇多重挑戰
多數廠商會優先導入IEC 62443-4-1的流程安全，以及IEC 62443-4-2的產品安全認證。例如四零四科技(Moxa)即花費三年時間，在2018年取得IEC 62443-4-1認證。四零四科技工業網路安全事業部經理彭立先(圖2)表示，Moxa長期經營工控市場，導入相關的安全認證有利於客戶信任。導入IEC 62443-4-1期間，Moxa先從制定開發流程著手，再為每一個流程搭配符合資安等級的設備。例如在安全的環境中進行程式開發，並且在開發流程中導入資安檢測軟體，確保程式碼的安全。
上述導入IEC 62443-4-1的過程中，彭立先認為最大的挑戰在於，企業內部的資安意識需要長時間培養。Moxa透過與Bureau Veritas合作，逐一檢視既有的開發流程與資安的關聯。隨後進一步從資安的角度規畫流程，也確認每一個資安功能所達成的目的，以及如何執行。同時Moxa也投入大量時間，釐清開發流程安全的產品，可以為客戶帶來哪些應用價值。
製造業常見三大資安弱點
彭立先指出，製造業常見的三大資安風險，包含網路連線管理、韌體更新管理，以及遠距連接權限控管不足。上述風險都可能造成工廠系統的資安漏洞，進一步影響產線運作。
針對製造業的工廠網路管控，彭立先說明，部分工廠尚未積極管理網路接口，也沒有清楚盤點整個網路架構中，有哪些設備聯網。常見的情況是，工作人員在廠內看到產線有閒置的網路接口，就直接用手邊的電腦接取網路。但若是該台電腦中有病毒或是其他資安疑慮，即有可能成為駭客入侵產線網路的漏洞。
如果工廠已經確立完整的網路管控機制，下一個常見的資安弱點在於韌體或軟體的更新管理。在工廠運作中，工廠內的軟體或韌體多數傾向不更新，以確保產線正常運作。例如工廠內的其中一個PLC，已經寫好程式並順利運作，接著新的韌體可以修補既有的資安漏洞。但是工廠可能為了避免更新之後的韌體與原有的程式衝突，因而不更新。面對工廠通常較少更新韌體，資安解決方案供應商就需要協助工廠導入其他資安工具修補資漏洞。
除了軟體與韌體更新，疫情期間帶來的遠距連線趨勢，也增加了製造業的資安風險。彭立先分析，受到疫情影響，不少工程師會進行遠端服務，因而突顯遠端連線安全控管的重要性。最理想的遠端連線控管，是清楚管理哪些人可以遠端存取工廠的網路，且依照人員職權，只能存取特定的機台，便能大幅降低遠端連線帶來的資安風險。
看待工控資安的長遠發展，莊珮甄表示五年內，可能還不會看到工控領域大規模導入IEC 62443。因為要建立業界對於工控資安的意識仍需要時間，且當資安觀念普及，企業也還要投入時間與資源了解相關規範。與此同時，企業在導入IEC 62443之前，也需要從資安的角度強化體質。企業面對資安風險，可以參考IEC 62443，建立內部的資安意識與文化，確認系統的資安弱點、推動流程安全，並善用相關的資安設備。
面對駭客對工控系統的攻擊，IEC 62443從元件、系統及營運層面，完整規範工控資安。製造業最常見的資安弱點，包含網路接口管理不足，導致產線的網路接口可能成為駭客伺機入侵的管道。同時工廠傾向長期使用舊版的軟體/韌體，資安漏洞可能無法透過軟體更新修補。而疫情帶來的遠端工作模式，也可能成為資安破口。因此企業需要透過參考資安規範等方式，保有資安意識。
