NIS2 和相關法規：為OT/ICS團隊打造全方位視野
關鍵機構韌性(CER)指令：
與OT/ICS團隊的關聯性
CER指令與NIS2相輔相成，主要針對實體基礎設施的風險，例如電力中斷、蓄意破壞或極端天氣事件等。NIS2著重於數位威脅，而CER則確保實體系統與營運流程同樣具備韌性。
需知事項
截至2024年10月，各國主管機關已開始點名關鍵機構，並審查其風險管理流程。這代表貴組織的實體與資安韌性計畫都將接受審查—包括如何保護OT環境、維持運作連續性，以及協調緊急應變機制。預期將與監管機關展開更多合作，同時推動實體與資安風險策略的整合。
歐盟資安韌性法案(ECRA)：
與OT/ICS團隊的關聯性
ECRA已於2024年12月正式立法，並對所有具數位元件的產品加入強制性資安要求。包括OT系統、工業設備和嵌入式軟體。
需知事項
此法令將於2027年12月開始執行，但貴組織現在就應開始檢視數位供應鏈。ECRA要求產品在設計階段即納入安全機制，並建立漏洞管理機制，同時廠商需提供持續性的支援服務。這代表對設備製造商的審查將更加嚴格，並加強對關鍵ICS環境中運作元件的供應鏈監管。
ENISA NIS360 2024 報告：OT/ICS資料揭露了什麼
ENISA NIS360 2024報告評估了依據NIS2指令被列為高度關鍵的產業，其資安成熟度與關鍵性。此分析結合指令涵蓋產業的內部數據與歐盟統計局(Eurostat)的見解，旨在協助各成員國及國家主管機關發掘不足之處，並確立優先行動方向。
觀點1：網路安全成熟度等級參差不齊
報告指出，由於受《電網資安規範》(Network Code on Cybersecurity)等專門法規的規範，電力產業的資安成熟度名列前茅。其他關鍵基礎設施產業明顯落後。
天然氣、石油、區域供熱與供冷，以及氫能等次產業的資安成熟度明顯較低，各機構特別在舊有OT系統整合與事件後應變能力方面面臨挑戰。海運業同樣面臨舊有OT系統的挑戰，儘管其在全球貿易中扮演關鍵角色，但因系統老化而更容易受到網路攻擊的威脅。這種差異凸顯出，法規架構與產業專屬指引是推動OT環境資安成熟度的關鍵因素。
觀點2：兩大OT/ICS產業領域處於高風險區
以下高度關鍵的產業處於高風險區：海運和天然氣業。根據報告，以下是每個產業應關注的問題。
海運業
- 優先執行OT弱點評估
- 在新系統部署或升級時，落實「安全設計原則」
- 制定並測試跨境事件的事件回應計畫
天然氣
- 加強事件後回應計畫，並定期進行測試
- 與電力和製造業合作
- 專注於保護供應鏈
NIS2 合規要求：OT/ICS實施指南
有義務提供機構聯絡方式：
- 行動：確保在ENISA註冊準確且最新的聯絡資訊。
- 策略：在OT/ICS安全團隊指定一個溝通NIS2相關事宜的主要聯絡人。建立三個月內更新變更的流程。在歐盟提供服務的外國公司必須指定一名代表。
有義務通報潛在的嚴重事件：
NIS2 對於迅速且有效的事件通報極為重視，並設有嚴格的時限與未遵循時可能面臨的制裁。這對OT/ICS領域而言至關重要，因為一旦發生事件，可能引發連鎖性的實體與經濟影響。
OT/ICS領域中「重大事件」的判定標準包括：
- 嚴重影響營運服務。
- 造成重大經濟損失(例如，生產停機、設備損壞)。
- 對人員或實體本身產生重大的非實質或實質影響。
監督、執行、罰款和處罰：對OT/ICS的風險
NIS2建立了分級的監管與執法機制，其中「關鍵機構」將面臨比「重要機構」更嚴格的監督體系然而，兩類機構若未遵循規範，都可能面臨嚴重的處罰後果。
監督：貴組織的OT/ICS營運應有以下預期
- 所有機構的基本要求：
- 與機構的法定代表人進行協調式監管。
- 涵蓋對貴組織OT/ICS基礎設施與資安作業的現場與場外稽查。
- 主管機關可要求提供資安政策執行的相關資料與證據，以評估是否符合規範。
- 針對關鍵機構的額外要求：
- 定期及臨時稽核，包含蒐集貴組織OT資安現況的相關證據。
- 主管機關可對貴組織的工業系統進行隨機且未預先通知的檢查。
違規處罰措施：針對OT/ICS的改正與指令措施：
若監管過程中發現違規情事，將啟動執法程序。
- 對所有納入管轄範圍的機構，地方主管機關可採取以下措施：
- 發出警告。
- 發布具約束力的指令，要求在指定期限內完成事件改正(此項對OT事件應變尤為關鍵)
- 可命令停止違規行為，並公開相關調查結果，同時提供具體改進指引
- 要求在期限內落實資安稽核建議事項
- 實施行政罰款
- 針對關鍵機構的額外執法措施包括：
- 暫時禁止執行長或法定代表人行使管理職權(突顯高層對OT資安的責任追究)。
- 指派監督官員進駐貴組織，以監控合規執行情況。
- 發布具約束力的預防性指令，並設定嚴格的執行與回報期限。
影響執法行動與處罰的考量因素：
在決定執法措施與處罰時，主管機關將考量以下因素：
- 違規行為的嚴重程度(例如：多次違規、未通報或未改正重大OT事件、阻礙稽核、或提供虛假資訊)
- 違規行為持續的時間長短
- 過去違規行為
- 所造成的實質或非實質損害，以及受影響的使用者範圍(例如對關鍵服務或公共安全的影響)
- 故意或疏忽
- 為防止或減輕損害而採取的措施
- 與主管機關的配合程度
OT/ICS初始行動快速檢核清單：:
除前述行動項目外，以下提供一份OT資安團隊可用於啟動NIS2落實工作的快速檢核清單。
- 資產檢測與盤點：所有相關資產，包括OT中的基於作業系統和嵌入式系統，是否在適當的期限內進行詳細檢測？
- 政策與程序：貴組織的資安政策是否已完整文件化、有效傳達，並在OT環境中定期評估其成效？
- 事件通報流程：在貴組織的OT營運中，是否已建立明確且全員理解的流程，用以通報可能構成NIS2所定義的重大事件？
- 漏洞和威脅管理：所有納入範疇的OT資產是否已完成識別、持續監控，並積極管理其弱點與威脅？
- 回應能力：貴組織是否具備辨識、監控、警示及有效應對OT威脅的能力？
- 工單與文件管理：在貴組織的OT/ICS資安作業流程中，是否已導入工單系統，以管理並記錄事件偵測、分級處理與應變流程？
- 關鍵流程安全：關鍵的OT流程及其相關資產是否已明確識別、完整文件化，並受到適當的資安防護措施保護？
- 供應鏈風險管理：貴組織是否已識別OT/ICS元件與服務的供應鏈風險，並主動採取相應的風險緩解措施？
- 可靠證據：在稽核與評估過程中，貴組織的OT資安管理系統所提供的工業資產相關證據是否有力？
工業網路資安標準：為實現NIS2合規而打造的OT/ICS資安架構
工業網路資安 不僅有助於偵測風險，還使團隊能夠在複雜的OT環境中積極管理和補救風險。這項營運智慧是達成並維持NIS2合規的關鍵。
工業網路資安平台的獨特之處在於，它不僅能蒐集詳盡的資產層級資安資訊，還能同時支援修復行動。這代表您不僅能識別風險，還能據以採取精準行動，填補防護缺口並強化防禦能力。
對於許多OT團隊來說，資源是有限的。工業網路資安平台透過整合OT環境中的風險資料，進行分析，並提供優先次序明確的改善建議，從而簡化整體作業流程。小型專業團隊即可統籌制定策略性應對方案，同時由在地營運團隊掌握執行主導權。此種平衡可確保組織在不造成人力或預算負擔的情況下，持續提升資安成熟度。
