臺灣通訊傳播資安管理再升級數發部新防護基準2027年生效

11/05/2026

通訊傳播資安防護基準將於2027年正式生效。數發部針對通訊傳播控制系統訂定新的資安防護要求，期望透過制度化管理，強化相關系統的安全性與整體防護能力。

臺灣關鍵基礎設施資安防護再升級！數位發展部正式訂定「通訊及傳播領域控制系統資安防護基準」，預計於2027年1月1日生效。未來受《資通安全管理法》納管的通訊及傳播領域關鍵基礎設施提供者，必須依照控制系統的防護需求，落實遠端存取管理、身分驗證、網路隔離、漏洞管理及營運持續等資安措施，進一步強化重要通訊服務的安全性與穩定性。

隨著通訊基礎設施逐漸數位化，控制系統與資訊網路之間的連結日益密切，資安威脅也不再侷限於傳統電腦與伺服器，而可能延伸至負責設備監控、運作管理及服務維持的營運技術（Operational Technology，OT）環境。

此次新制不僅針對控制系統建立明確的資安要求，也考量不同系統的技術特性與防護需求，採取分級管理方式，協助受納管業者在維持既有服務運作的同時，逐步提升整體資安防護能力。

數發部訂定控制系統資安防護基準　2027年1月1日正式實施

營運技術資安資訊分享與分析中心（OT-ISAC）近期盤點亞太地區關鍵基礎設施與營運技術資安政策變化，其中提到臺灣數位發展部已針對通訊及傳播領域的關鍵基礎設施提供者，建立控制系統資安防護基準。

根據數發部2026年9月16日公告，這項新制將於2027年1月1日正式生效。

新規適用對象為依《資通安全管理法》納管的通訊及傳播領域關鍵基礎設施提供者，涵蓋其自行開發或委外開發的相關控制系統。

為使不同重要程度的系統能採取適當防護措施，數發部依照控制系統的防護需求，將系統區分為高、中、普三級，並分別訂定對應的資安要求。

這種分級管理方式，主要是考量不同控制系統在營運功能、服務重要性及風險程度上的差異，避免所有系統採用完全相同的防護要求。

對受納管業者而言，未來除了維持原有的資訊安全管理工作，也需要進一步盤點控制系統的資安需求，確認相關防護措施是否符合新制規範。

OT營運技術與傳統IT不同　控制系統資安成為關鍵議題

此次新規的一項重要背景，是營運技術系統在關鍵基礎設施中的重要性持續提升。

一般企業常見的資訊技術（Information Technology，IT）系統，主要用於資料處理、電子郵件、辦公應用及企業管理。

相較之下，營運技術（OT）系統通常與實際設備、監控程序及營運流程密切相關，重視設備可用性、系統穩定性及服務不中斷。

在通訊及傳播領域，相關控制系統可能涉及設備監控、網路運作管理及其他維持服務正常運作的功能。

一旦重要控制系統發生異常，潛在影響可能不只是資料無法存取，也可能涉及設備管理效率下降、服務中斷或營運流程受阻。

此外，部分OT環境可能使用專用設備、特定通訊協定或較長生命週期的系統，無法完全比照一般辦公電腦的方式進行更新及防護。

例如，企業可以相對容易地安排一般辦公設備更新，但某些控制系統若需要長時間持續運作，就必須審慎評估更新或重新啟動是否影響既有服務。

因此，OT資安管理除了防範未經授權的存取，也必須兼顧系統穩定性與營運持續能力。

這也是此次防護基準特別針對控制系統訂定相關措施的重要原因。

遠端存取管理全面強化　須授權、加密並採多因子鑑別

遠端存取是此次新制的重要防護項目之一。

隨著企業採用遠端維護、集中監控及委外技術支援等管理模式，控制系統可能需要允許特定人員從其他網路環境進行操作。

這類功能雖然有助於提升管理效率，但若缺乏適當的存取控制，也可能成為攻擊者嘗試進入控制系統的途徑。

為降低相關風險，新規要求遠端存取必須事先取得授權，且存取來源應為預先定義及管理的存取控制點。

同時，相關連線須採用加密及多因子鑑別機制，並對遠端存取活動進行監控。

透過這些措施，業者可以更明確地管理哪些人員、設備或連線來源具有存取控制系統的權限。

其中，多因子鑑別（Multi-Factor Authentication，MFA）可在帳號密碼之外，增加額外的身分驗證步驟，降低單一憑證遭到非法取得後所帶來的風險。

而連線加密及存取監控，則有助於保護遠端操作過程中的資訊安全，並提供後續異常行為調查所需的紀錄。

對於經常需要遠端維護的控制系統而言，建立完整的授權與監控流程，將是落實新制的重要工作。

修改工程邏輯與保護參數　高、中防護等級須加強驗證

除了遠端連線管理，新制也特別關注控制系統的重要操作權限。

根據防護基準，對於高、中防護等級的控制系統，若要修改工程邏輯或變更保護參數，必須採取多因子鑑別或第二階段確認機制。

這項要求的目的，是避免重要控制設定僅憑單一帳號登入就能直接修改。

在控制系統環境中，工程邏輯與保護參數可能涉及設備如何執行特定程序，以及系統在不同條件下如何進行控制或保護。

若相關設定遭到未經授權的修改，可能影響系統原有的運作方式，甚至造成服務穩定性問題。

因此，針對重要操作增加額外驗證或確認程序，有助於降低帳號遭盜用、操作錯誤或未經授權變更所帶來的風險。

這也反映出OT資安防護與一般資訊系統的差異：除了保護資料，還必須重視操作指令與控制參數的完整性。

強化網路隔離與邊界監控　降低攻擊橫向擴散風險

在網路安全方面，數發部也依照控制系統防護等級，訂定不同的隔離與存取管理要求。

根據新規，高防護等級控制系統須與一般資通系統進行網路隔離，並建立網路邊界監控機制。

中防護等級控制系統則須建立網路邊界存取管控機制，限制不必要的連線與存取行為。

這些要求反映出網路區隔在OT環境中的重要性。

當企業的辦公網路、對外服務系統與控制系統之間存在連線時，若缺乏適當的存取限制，攻擊者可能利用其中一個環境的安全弱點，嘗試進一步接觸其他系統。

透過網路隔離、邊界管控及異常流量監控，可以降低不同網路區域之間的風險傳遞。

例如，將重要控制系統與一般辦公環境適當區隔，並限制可連線的設備與服務，有助於縮小攻擊者可能接觸的範圍。

此外，建立網路邊界監控機制，也有助於資安管理人員及早發現異常連線或不符合預期的存取行為。

不過，網路隔離並不代表所有控制系統都必須完全斷開外部連線，而是需要依照實際營運需求，建立符合風險程度的連線管理與安全控制。

老舊控制系統難以更新　新制允許採取替代防護措施

對許多關鍵基礎設施業者而言，控制系統的漏洞管理是一項長期挑戰。

部分OT設備可能使用較舊的作業系統、專用軟體或特殊硬體，無法像一般電腦一樣頻繁安裝更新。

此外，某些控制系統需要長時間持續運作，若貿然安裝修補程式，可能造成相容性問題，甚至影響正常服務。

因此，當控制系統存在已知漏洞，但因技術或營運限制而無法立即修補時，企業需要採取其他方式降低風險。

此次防護基準也考量這類情況，要求業者透過適當的替代控制措施，降低無法修補漏洞所帶來的安全威脅。

相關措施可能包括網路區隔、限制存取來源，以及強化異常行為監測等。

例如，若某項設備無法更新至最新版本，業者可透過限制可存取該設備的網路來源，降低不必要的外部接觸。

同時，也可以加強相關連線及系統活動的監控，以便在發生異常時及早察覺。

這種管理方式並非忽略漏洞，而是在現有技術限制下，透過其他安全控制降低實際風險。

資料備份、備援測試與營運持續計畫納入規範

除了防止未經授權的存取及網路攻擊，新制也強調控制系統在發生異常時，是否具備持續運作與復原能力。

根據防護基準，數發部依照不同防護等級，分別訂定資料備份、備援測試及營運持續計畫演練等要求。

對通訊及傳播領域而言，重要系統的穩定運作直接關係到服務品質與營運持續性。

即使企業已部署防火牆、身分驗證及其他防護措施，仍無法完全排除設備故障、人為操作失誤或網路攻擊造成系統中斷的可能性。

因此，建立備份及復原機制，是降低事件衝擊的重要環節。

不過，備份並不只是定期保存資料，更需要確認備份內容是否完整，以及在必要時能否順利還原。

同樣地，備援系統也應透過適當測試，確認主要系統發生異常時，是否能依照既定程序進行切換。

營運持續計畫演練則有助於企業檢視人員分工、事件通報、系統復原及跨部門協調流程。

透過事前規畫與定期演練，業者可以在實際事件發生時，降低臨時應變所造成的混亂，提升服務復原效率。

控制系統委外開發　資安要求須納入契約管理

隨著控制系統日益複雜，部分業者可能委託外部廠商負責系統開發、整合、維護或技術支援。

然而，委外開發並不代表資安風險就能完全交由供應商承擔。

如果系統在設計、開發或部署階段缺乏適當的安全要求，後續可能增加弱點修補、權限管理及系統維護的困難。

因此，此次新制也針對委外開發的控制系統訂定相關要求。

依照不同防護等級，受納管業者須將系統開發各階段的資安需求納入委外契約。

這代表資安管理不應只在系統正式上線後才開始，而是需要從規畫、設計、開發到交付等階段，逐步納入安全考量。

例如，企業可以在委外契約中明確規範適用的資安要求、權限管理責任、系統測試及交付驗收條件。

透過契約管理，業者與外部供應商能更清楚了解各自的安全責任，降低因分工不明而產生的管理風險。

對高度依賴外部技術廠商的OT環境而言，供應鏈與委外管理也將成為整體資安治理的重要一環。

考量技術限制　業者可提出佐證與替代控制措施

值得注意的是，數發部此次訂定的防護基準，並非完全忽略既有控制系統的技術限制。

OT-ISAC指出，新規考量到部分專用或老舊控制系統，可能因設備設計、系統結構或技術條件，難以直接套用所有防護要求。

例如，部分設備可能不支援特定驗證功能，或因系統架構限制，無法在不影響營運的情況下立即完成相關調整。

對於這類情況，新制提供替代控制措施的處理方式。

若業者確實因技術限制，或個別控制系統的設計與結構因素，難以執行規定的防護措施，可提出相關佐證資料及替代控制措施，經數發部同意後實施。

這項安排讓業者能在符合監理要求的前提下，依照實際系統條件規畫可行的防護方式。

不過，替代控制措施並不代表業者可以自行決定不遵守規範，而是必須提出合理說明與防護方案，並取得主管機關同意。

這也反映出OT資安管理需要在安全性、技術可行性及營運穩定性之間取得適當平衡。

2027年新制上路前　受納管業者應提前盤點控制系統

隨著新制預計於2027年1月1日正式生效，受納管的通訊及傳播領域關鍵基礎設施提供者，應及早確認現有控制系統與新規要求之間的差異。

首先，業者需要掌握自身控制系統的範圍，包括自行開發與委外開發的系統，並確認各系統所適用的防護等級。

其次，應檢視現有遠端存取機制，確認是否具備事前授權、加密、多因子鑑別及連線監控等措施。

在網路防護方面，則應確認重要控制系統是否已建立適當的網路隔離、邊界存取管理及異常監控機制。

對於存在已知漏洞但無法立即修補的設備，也應評估可行的替代控制措施，並準備相關風險評估與佐證資料。

此外，企業也需要檢視資料備份、備援測試、營運持續計畫，以及委外開發契約中的資安要求。

若部分措施因技術限制難以執行，應提早評估是否需要依規定提出替代控制方案，避免新制生效後才開始處理相關問題。

透過提前盤點與規畫，業者可以更有效率地安排必要的安全改善工作，同時降低對既有營運造成的影響。

臺灣關鍵基礎設施資安管理持續深化　OT防護成重要方向

此次數發部訂定通訊及傳播領域控制系統資安防護基準，反映出臺灣關鍵基礎設施資安管理正逐步延伸至更具營運特性的控制系統環境。

過去企業資安防護經常聚焦於辦公電腦、伺服器、電子郵件及一般資訊網路，但隨著數位化程度提高，控制系統與實際營運設備之間的安全關係也日益受到重視。

對通訊及傳播領域而言，重要系統不僅需要防止未經授權的存取，也必須具備持續運作、異常偵測及快速復原的能力。

此次新制透過高、中、普三級防護要求，將遠端存取、身分驗證、網路隔離、漏洞管理、備援測試及委外管理納入規範，提供受納管業者更明確的安全管理方向。

同時，考量老舊及專用控制系統的技術限制，允許經主管機關同意後採取替代控制措施，也使相關要求更能符合實際OT環境的運作需求。

參考來源 : https://www.ithome.com.tw/news/180167