🏭 OT資安全面啟動 建構工控場域資訊安全管理

全球企業吹起數位轉型風潮，資訊安全成為備受關注的議題。根據《2021臺灣企業領袖調查》，28%的CEOs未來三年將大幅投資在網路安全和數據隱私的投資。尤其在工業物聯網時代， 運營科技 (Operation Technology, OT) 領域的安全更是下一個需要被考慮的風險和被克服的威脅。

資誠今舉辦OT資安全面啟動研討會，重點摘要：
1️⃣ 保護 OT網路免受網路威脅的第一步是了解企業 OT營運流程
2️⃣ 在識別出各種風險情境後，才能識別出所處產業可能遭遇到的特定 OT風險
3️⃣ 實施 OT電腦系統資訊安全評估與 ICS工業控制系統資訊安全管理制度

🏷IG 搜尋 pwc_tw
🏷TG https://t.me/PwC_Taiwan

日前獲金管會核准進行監理沙盒試驗、將成為國內首家推出「美股ETF定期定額」的阿爾發投顧，接軌國際資安標準不遺餘力。阿爾發投顧宣布，在該公司積極落實國際資安標準ISO／IEC 27001，自主導入資訊安全管理制度（ISMS），並建置各種資安管控系統，貫徹內部管控制度下，2月26日已通過加拿大第三方TCIC環奧國際公司驗證，3月12日榮獲ISO／IEC 27001證書。

阿爾發投顧董事長陳志彥表示，金管會積極推動金融科技創新，阿爾發響應政策，積極尋求優質、嚴謹的資訊安全管理系統，來強化客戶資料的隱私保護及資訊安全。這次榮獲國際認證，對阿爾發是很大的肯定，也為該公司日前才通過的「金融監理沙盒創新實驗計畫-落實普惠金融之機器人理財服務」，奠定資訊安全基礎。

陳志彥表示，阿爾發機器人理財，是提供個人化財務規劃的應用平台，積極追求讓客戶有專業資產配置及投資管理服務。

阿爾發榮獲國際獎項之際，同步為下階段發展做好準備，在國內市場下一階段推動開放銀行（Open Banking）發展串接API「消費者資訊查詢」服務，民眾將可同步透過阿爾發平台，查詢到個人的存款明細和信用卡消費等資料，達到一站式資料整合性檢視的便利性。

未來民眾想掌握個人儲蓄和支出狀況，藉由阿爾發平台，也能了解資產狀況，做好投資理財。

https://udn.com/news/story/7239/5319287

強化資安治理，臺灣北市聯合醫院揭露他們的新目標，首先資安治理成熟度將朝向Level 2管理型，法規遵循面將擴大ISMS管理制度驗證範圍，做到所有核心資通系統都導入，預計將在未來兩年內完成

(工務局)
隨著都市進步，各種管道線路的更新維護在所難免，然而時常封路施工，引發改道或塞車等問題也時有所聞，民眾常常被耽誤行程，導致許多投訴。為因應此等狀況，臺南市工務局推出便民APP「臺南市道路挖掘行動查報系統」，供市民查詢施工路段，以及舉報違法施工。但經過旺詮實測，發現APP問題很多，效果根本不如預期。
我在質詢中指出，首先，APP首頁的公告與活動，不斷顯示讀取，沒有載入任何資訊，一片空白(見圖1)。而其中案件查詢的功能也一片空白(見圖2)。最麻煩的是，重要的通報功能操作非常繁瑣，若民眾點擊「現地通報」會發現，首先必須選取你要通報的管線聯絡人，選擇公司或單位後，出現的是一大串工程師、副總、管理員的名字(見圖三)，民眾根本不知道他們是誰，如何通報。況且有些工程在標示上不清楚，甚至貪圖方便沒有告示牌，民眾通報也只是想擁有安全方便的用路環境，還要花那麼大的功夫了解這是誰的管線? 誰的工程? 該聯絡誰? 如此麻煩還會有人想通報嗎? 不如一通電話打到工務局投訴，那麼這個APP到底有什麼功用? 除了功能上的問題，APP的讀取時間也相當長，需要20秒，有時候使用還會閃退，相當不方便。工務局在工作報告中宣稱，目前也有540萬人次使用這個APP，但看看網路評價Google Play的評價分數為2.8分，APP Store的評價分數為2.7分，所有評論幾乎都是抱怨畫面空白與閃退等問題，顯示該款APP確實需要改進。
在質詢現場，蔡旺詮也請工程企劃科科長林科良當場試用APP，發現問題確有其事，旺詮也統計工務局是否有在關心使用自家開發的APP，結果偌大局處19位官員，居然只有5位同仁有下載使用經驗，令人質疑，自家人都不使用，怎麼知道問題出在哪裡?
工務局長蘇金安表示，APP已經使用多年，會立即檢討改進。工程企劃科科長林科良也回應，會主動上網了解APP的負評部分，並請專人回復，吸收民眾的意見再作改進。
蔡旺詮強調工務局設計查詢APP的立意良好，但必須考慮到APP的實用性，與實際操作的層面。網路是現代人民與市府溝通的橋樑，千萬不要敷衍了事，忽視小地方，民怨就是一點一滴累積出來的。也呼籲若工務局有技術問題，應盡速與APP設計者探討，不要失了E化的美意。

(水利局)
全台水情吃緊，回收再利用的再生水成為熱門焦點。而日前完成再生水交換的台積電與奇美更是全台首例，備受關注。
據了解，台積電將仁德再生水廠1萬噸的額度，轉讓於奇美，而奇美也將自己1萬噸的自來水額度轉讓給台積電，並由台積電補足較高的再生水費差額。交易後，由於奇美距離仁德再生水廠較近，就不用大費周章拉管線到較遠的台積電，奇美就近使用再生水，而台積電使用奇美原本的自來水額度，市府因此次交換而省下18億的管線費用，成為佳話。
但由於是全台首例，目前沒有太多案例可以參照，在制度與法規上還未完善。市議員旺詮在質詢中提出，未來臺南再生水工程完工後，每日可提供6.3萬噸的再生水，可見再生水產量也越來越多，使用者也會增加。如何完美複製台積電與奇美的交換經驗，使更多業者交換成功，將是市府努力的目標。蔡旺詮指出，這次交換是市府在長年協商下促成的，也肯定市府的用心與努力。然而再生水的交換不能只靠協商，政策上的輔導也很重要。他表示因為奇美與台積電都是大廠，承受能力高，所以最終答應交換，但未來可能出現小廠與小廠交換的案例，該如何吸引業者，必須有相應的配套措施。
旺詮分析，再生水雖與自來水品質相當，但還是略差，尤其是某些製程嚴格的產業，要設計什麼誘因使廠商願意使用再生水，這是必須考慮的。其次，本來就願意使用再生水的廠商，為何要特意去交換成自來水，他們與市府簽約使用再生水，只要坐等市府將管線拉好即可使用，似乎沒有理由替市府省下管線費用，而多此一舉刻意交換。想使用再生水的業者距離遠，不想使用的業者距離近，導致拉管線的經費負擔加大，所以交換勢在必行，如何分配協調減少費用，並配對業者研議換水，政策上的補助與優惠設計，將是未來的關鍵。
同時旺詮也關心近來載水車頻繁使用的問題，上週新市區的產業道路因載水車頻繁路過，導致路面塌陷龜裂，他指出水利局與工務局必須見微知著，去了解是否有其他載水車行駛的路線也有路況問題，他提到現在水資源緊缺，如果這些路段因路況問題引發載水車車禍，那將是巨大的損失，甚至現在連火警救災用水也使用載水車運送再生水，如果因為車禍耽誤救災，豈非罔顧人命。水利局長韓榮華表示，將與工務局、經發局加強合作，對運水路線做詳細檢查。
呼籲加強跨局處合作，請水利局與經發局將公務及民間載水車常使用的路線地圖，彙整後轉發給工務局，由工務局進行路況的檢查。以維護水資源與市民安全。

混合戰是什麼？
混合戰是多元方面的，不光是陸海空武器裝備，還包含民心士氣都混在一起，包含新聞、假訊息、輿論等等，影響民心，甚至導致國家陷入最大問題，使得平戰轉換不易。

所以我特別注意到北約有混合戰的應變中心，2019 年，這個中心進行了史上最大規模混合戰演練─「 Locked Shields 計畫」。其計畫假設「一個虛構的島嶼國家 Berylia 正在經歷不斷惡化的安全局勢」，「該國正在進行全國大選」。Berylia 面對供水、電力、通訊網路等民生基礎設施的網路攻擊；而這些網路攻擊的破壞造成民心騷動，甚至威脅大選計票結果的公正性，影響選舉結果。演習的目標是整合國家網絡快速反應小組，在巨大的壓力下維持各種系統的運作，並解決國家協調機制、執法選擇和戰略溝通的能力。CCDCOE 指出這項演習除了是北約相關部門的「年度壓力測試」，同時也具有整合各會員國網路防禦、執法與相關戰略社群的重要意義。

我們便需要了解類似的任務，目前在台灣有哪些單位在因應？未來應該有哪些單位的人力加入？需要有哪些能力養成和制度的配套？我想請問國防部部長，認為有沒有必要成立專責小組，研究台灣面臨混合戰的危機？而我們潛在威脅敵人，是否正在使用這樣的工具在打擊台灣？需不需要行政院成立這樣的小組？

國防部部長回應，行政院有此類編組，不管災防、應變這都可以轉化，並同意平戰轉換的狀況幾乎會很緊湊，國軍需要再縮短平時轉換戰時的應變時間，比如縮短至平常編組就要朝向戰時編組做整理。

我也提醒，部長和我都同意潛在的威脅對手，對台灣有混合戰的威脅可能性，我建議在不同部會的行政單位，都需要對混合戰有足夠的認識，我們才有辦法傳達給民眾，什麼是混合戰，社會大眾才有機會一起來應對。

此外，全球唯一闡述網路空間法律的「塔林手冊」（Tallinn Manual）在 2017 年出版最新版，最新版目的在敲定政府在虛擬世界打仗時應該遵守的規範。因為網路衝突可能產生的情況無窮無盡，會引發一長串的法律問題與難題，塔林手冊試圖在解決這些問題。因此，手冊闡述全球適用於網路空間的現行法律，也討論了例如：網路刺探應該跟一般間諜行動一樣，受到相同法律規範嗎？一個國家可以取得戰爭犯的網路身分與密碼並使用嗎？如果我們要研究混合戰應變中心在台灣如何落實，便需要參考這本手冊討論的各種網路作戰定義、網路作戰行為，以及在法律上可以如何規範。當然，台灣的法律不見得按照塔林手冊訂定，但是這本手冊有很大的參考價值。我建議國防部可以仔細研究看看，部長也欣然同意。

再來關於反滲透，，所謂網路的「反滲透」甚至是「主動作戰」，就包括了解中國網路世界的習性，並搭配中國當下的政治社會經濟事件，以及可以因此而反滲透的方式；而不是認為中國的長城永遠堅不可破。

比方說，如果在中國網路上特別針對全國性議題來動搖中央政府的威信，就會受到比較大的打壓；但是如果是針對地方貪官汙吏來在網路上進行輿論戰，或者如果我們能主動發現某個省份某個縣市有群眾事件，因此在中國網路上幫忙散佈這個消息，有沒有可能因此中國地方對台灣發動的資訊戰就會因此減弱，因為他們必須把重心放到處理轄區的維穩上？希望國防部可以從這個方向去研究一下。

對外主動作戰，內部也要謹慎安全，我特別關心國防廠商的安全控管機制，上個會期我也曾質詢過，像是機動第六組的人力準備情形，當時因為國防科技廠商，有一些內部的零件或者是當時招標跟細則沒有顧慮到，，所以我當時就要求，應該要有個機動的第六小組，去處理安全管控，當時相關單位表示人力可能有點吃緊，但會陸續補充，所以我想請教現在的人力準備情況？

部長回應我，目前已有編成，有幾個跟國防工業有關，特別是國防產業的大廠，已開始進駐。

我在這裡特別要表達，曾經有參與國防產業公司的部分股東背景，有兩個股東是海外集資的基金，因為是散戶，很難知道背後成分有誰。我主提案的《國防產業發展條例》修正案，便是回應了動態查核的重要性。如果中資利用資本市場的開放性，假借外資、僑資或港資名義申請投資國防產業，我們就認為法律需要有更嚴格的規範。

因此，我們法案建立重要國防產業和國安產業的大股東適格性審查為管制機制；同一人或同一關係人單獨、共同或合計持有重要國防產業已發行有表決權股份總數超過 5% 就必須申報；超過 10%、25% 或 50% 者，都必須事先申請核准。這參考了《金控法》對於大股東適格性的規範；如果今天我們對於金控業都要求大股東的適格性，便沒有道理不在國防產業和國安產業引進類似的規定。我們希望能藉此查核參加國防產業的大股東的背景和適格性，對於這些一定比例持股的股東能事先有所掌握和審核。希望國防部一起來努力，小心把關台灣的國防產業！

外交及國防委員會，國防部 邱國正部長。
===============================
【烏日服務處】
地址｜臺中市烏日區中山路一段525號
電話｜(04)2337-7383
服務時間|週一至週五 9:00-18:00
【沙鹿服務處】
地址｜台中市沙鹿區中山路537號
電話｜(04)2662-0913
服務時間|週一至週五 9:00-18:00
【霧峰服務處】
地址｜台中市霧峰區文化巷57號
電話｜(04)2330-5663
服務時間|週一至週五 9:00-18:00
【大肚服務處】
地址｜台中市大肚區自由路148號
電話｜(04)2699-8903
服務時間|週一至週五 9:00-18:00
【龍井服務處】
地址｜台中市龍井區中央路三段169號
電話｜(04)2639-1163
服務時間|週一至週五 9:00-18:00
【龍井新庄聯絡處】
地址｜434-006 台中市龍井區新庄街一段138號
電話｜0917-191-058

【免費法律諮詢服務】 （需事前預約）
烏日─每周四 19:00-21:00
沙鹿─每週三 09:30-12:00、每周五 19:00-21:00
大肚─每週二 19:00-21:00
龍井─每週三 19:00-21:00
霧峰─每週五 19:00-21:00

【免費長照 2.0 諮詢服務】 （需事前預約）
烏日─每週三 16:00-18:00
沙鹿─每週二 16:00-18:00
大肚─每週二 19:00-21:00

【3Q聽你說 委員服務時間】 （需事前預約）
大肚─週二 19:00-21:00（每月二、四週委員時間）
龍井─週三 19:00-21:00（每月一、三週委員時間）
烏日─週四 19:00-21:00（每週委員時間）
沙鹿─週五 19:00-21:00（每月一、三週委員時間）
霧峰─週五 19:00-21:00（每月二、四週委員時間）

#3Q陳柏惟 #中二立委 #台灣基進
===============================
◆ 訂閱3Q的Youtube → https://www.youtube.com/c/3QChen
◆ 追蹤3Q的FB → https://www.facebook.com/3Q.PehUi/
◆ 訂閱3Q的Podcast → 3Q陳柏惟
◆ 追蹤3Q的IG → wondachen
◆ 追蹤3Q的噗浪 → wondachen
◆ 追蹤3Q的推特 → @3QTan
===============================
◆ 台灣基進官網 → https://statebuilding.tw/
◆ 訂閱台灣基進官方Youtube → https://pros.is/L8GNN
◆ 追蹤台灣基進官方臉書 → https://www.facebook.com/Statebuilding.tw/
◆ 捐款支持台灣基進 → https://statebuilding.tw/#support

上一次美國大選，大家應該還記得吧，選完沒多久，美國就有很多人跳出來說，美國大選被鹹豬手揩油了。那隻鹹豬手就是俄羅斯。有很多人相信，俄羅斯總統普丁發動網軍用假新聞分化美國社會，讓川普當選。美國為此還成立了特別檢察官調查，調查的結果也證實了俄羅斯的確伸出了鹹豬手，只是川普沒有跟鹹豬手串謀。時光飛逝，美國馬上又要舉行大選，只剩下三個月不到，美國情報單位在8/7又出面警告，這次大選還是有鹹豬手，而且從一隻變成了三隻。

那這三隻鹹豬手要幹嘛呢?NCSC也有說噢，俄羅斯想盡辦法要讓川普再度連任，但中國跟伊朗則是想盡辦法要讓川普選不上。所以外國如果也可以投票的話，選票看起來就是這樣，俄國會投給川普，中國跟伊朗就會投給民主黨的拜登

俄羅斯的普丁為什麼那麼喜歡我們川貴人呢？專家分析，普丁看準川普和他有著相同理念，就是討厭全球化，因此積極向川普招手，想和美國重修舊好。NCSC的聲明就說，一些與克里姆林宮關係密切的人物，現在正利用社群網站與電視媒體，積極為川普助選，同時打擊向來對俄羅斯立場強硬的拜登；甚至連烏克蘭的親俄勢力也來參一咖。其實在NCSC這次的警告之前，美國情報單位就已經掌握情資，指出俄羅斯在2016年大選時，曾經試圖駭進全美50州的選務系統，還入侵了兩黨的全國委員會，偷人家的電子郵件和通訊軟體的資料，但這可不是俄國最擅長的，克里姆林宮的慣用技倆就是派出大批網軍，模仿或假冒美國候選人的競選標誌發文，藉此挑起族群對立、製造憤怒與恐懼，最終目的就是要煽動美國分裂、引發社會混亂、破壞美國人對政府的信心，這些是主要目的，接下來才是「順便」支持一下他們偏好的候選人，也就是川普。

再看到中國。中國不想要川普當選的原因，應該不用情報人員來告訴你吧?過去三年多，只要不是住在月球的，大概都知道川普反中。但是人家俄羅斯又用駭客又買廣告，中國用什麼方法呢?根據NCSC中國目前主要的做法是，不斷利用疫情抨擊華府，我想大概就是像一直說川普的防疫做這麼爛，千萬不能讓他選上之類的，或是對阻撓中國利益的政治人物施壓、轉移與反駁中國受到的批評。像是對中國批評很多的美國聯邦參議員盧比歐 (Marco Rubio)、克魯茲 (Ted Cruz)就都登上了中對美的制裁名單。

至於伊朗也是很不希望撕毀了核協議，又對伊朗進行經濟制裁的川普選上。因此積極發動網路攻擊手段，在社群網站上散播假消息以及反美內容，見縫插針分化美國社會，目的就是要顛覆美國的民主制度。

這三隻鹹豬手哪隻比較厲害呢?《紐約時報》引述一位情報官員的說法指出，在「干預美國大選」這件事上，俄羅斯與中國完全是不同的等級。俄國有如龍捲風一樣，快又猛，會對美國民主體制造成立即的損害；中國比較像氣候變遷，緩慢但非常廣，但威脅程度恐怕更嚴重。至於伊朗呢?不重要。美國情報官員還說目前中國和伊朗似乎還在評估介入程度，而俄羅斯則是已經做出實際行動的積極干預了。也就是俄羅斯的鹹豬手已經伸出來了，但中國跟伊朗還在想，我到底要不要伸出去?伸出去可以摸到什麼呢?

但是在全球化的環境中，平常錢流來流去，人也跑來跑去，一個開放社會如何在選舉的時候，可以杜絕外國的影響呢?這就好像漂亮女生你把她關在家裡，誰都不見，當然不怕鹹豬手。但就是要能讓妹子，打扮得漂漂亮亮出門，鹹豬手還沒辨法攻擊，這才是高招嘛！這個事困難度很高，但不是不可能，美國政治評論雜誌《Mother Jones》專欄，整理了歐洲各國都是怎麼對付俄羅斯鹹豬手，像歐洲老大哥德國採用紙張選票，駭客就不能駭進來改改數字就好，還制定了「反駭」策略，包括使用網路攻擊行動來對付駭客，同時為政黨提供援助，加強他們的網路安全，外加梅克爾政府三不五時就會提醒公眾，注意俄羅斯的干預行動，而且在政府鼓勵下，所有政黨都承諾不使用假帳號來打選戰。

法國的各種媒體和Google都實施了「事實查核」，來對抗假新聞，選戰最後幾天會實施媒體禁令，防止駭客或假消息在最後關頭左右選情，政府也同樣會向民眾示警，小心外國干預行動。瑞典政府會定期公布選舉計畫的最新資訊，同時會教育選民提防外國干預，瑞典媒體也發展出一套事實查核的聯合行動，揪出來自國外的假新聞。結論就是政府帶頭祭出反制措施，才能有效抵抗「外侮」。但回到美國，川貴人自己都捲進勾結外國勢力的醜聞裡，好像也不太能指望他採取什麼行動。那國安專家們怎麼建議呢？我們歸納出幾點辦法。

首先是要從法規上做出限制，美國參議院情報委員會先前就發布了一份報告，建議針對社群媒體立法，要這些平台向用戶說明，他們為什麼會看到某些政治廣告，這些內容又是誰付錢刊登的，就類似廣播電視管理法之類的規範，好確保俄羅斯等外力將不能付費干預選情。
根據統計，美國大選「黑錢」規模近年不斷暴增（2008年6900萬美元→2012年3.1億美元），美國國會2010年就提出一項《披露法》（DISCLOSE Act），規定候選人和各勞工團體、稅務編碼為501(c)(4)的公共慈善機構、Super PACs超級政治行動委員會等，必須公開競選活動支出明細和捐款來源，藉此打擊不當的政治獻金。

美國總統大選民主黨的黨內初選，就在愛荷華州出了大包，原本為了防止駭客攻擊計票系統，所以遲遲不願讓系統曝光，結果沒想到在正式開票的時候，計票App整個大當機，導致黨部最後只能尷尬地用手動計票，這件事情被川普笑了好久，還糗到登上國際媒體版面，現在一堆專家就呼籲，拜託好好加強票務基礎設施。錢要花下去，維護電力和網路設備，以及電子選票系統，最重要的是，萬一出現爭議，應該要使用紙本選票來查核選舉結果。
尤其這一次因為疫情的關係，很多地方可能必需要投票站與郵寄投票兩個系統一起做，複雜度更高，出錯的可能性也更高，也給駭客更多可趁之機，最可怕的是，萬一選舉有些什麼瑕疵，選輸的人一定不服氣，選舉的公平性不被接受，那美國的民主制度真的就玩完了。
今天琪斐大放送的關鍵字是：
#通俄門再起
#三隻鹹豬手
--------------------------------------
《#范琪斐的寰宇漫遊》每周四晚間8點55分在 #寰宇新聞台 播出，沒跟上的也沒關係，歡迎訂閱我們的 YouTube 頻道 🔔#范琪斐的寰宇漫遊 🔔https://reurl.cc/ZvKM3 1000pm準時上傳完整版！