IT 與 OT 安全性：關鍵差異與最佳實務

什麼是 IT 與 OT 安全性？

IT 與 OT 安全性保護兩個不同的領域，而攻擊者如今將其作為單一攻擊面加以利用。問題的規模已有文件記錄：FBI 的 2024 網際網路犯罪報告 收到超過 4,800 件來自遭受網路攻擊的關鍵基礎設施組織的申訴，其中勒索軟體作為這些產業中最普遍的威脅，較去年同期上升 9%。IT 與 OT 安全性透過將業務系統與工業流程分離，並協助您在 IT 遭入侵演變為實體中斷之前加以阻止，來降低該風險。

IT 安全性 保護您用來處理、儲存及傳輸業務資訊的系統。伺服器、筆記型電腦、雲端平台與企業應用程式都屬於其範疇。其優先模型遵循經典的 CIA 三元組：機密性優先，其次是完整性，再來是可用性。如果伺服器需要緊急修補程式，您會將其離線、套用更新，然後重新上線。

OT 安全性 保護直接與實體世界互動的系統。 SCADA 系統監控電網、PLC 控制化學製程，以及 HMI 操作水處理廠，這些都是 OT 資產。 NIST OT 安全性指南 將 OT 定義為「與實體環境互動的廣泛可程式化系統與裝置」。其優先模型反轉為 AIC：可用性優先，其次是完整性，再來是機密性。您不能為了週二的修補週期而讓運轉中的反應爐離線。

關鍵差異在於後果。IT 遭入侵會讓您損失資料與金錢。OT 遭入侵則可能造成生命損失。這就是為什麼了解這些領域有何不同，以及它們如今如何連結，對於每一位在現代網實體環境中工作的防禦者都很重要。理解這一點的起點是融合：使這兩個領域變得密不可分的過程。

什麼是 IT/OT 融合？

IT/OT 融合是企業 IT 系統與工業 OT 系統之間歷史性隔離的瓦解。在 20 世紀的大部分時間裡，OT 環境都是獨立運作的，透過實體空氣隔離與企業網路分開，執行企業工具無法觸及的專有通訊協定，並由工廠工程師而非 IT 安全團隊管理。這種隔離是刻意為之。而且在很長一段時間內，它也確實有效。

有三股力量瓦解了這種模式：

• 工業物聯網 (IIoT)： 感測器、控制器與現場裝置被連接到企業網路與雲端平台，以實現遠端監控與營運效率，首次讓 OT 資產上線。
• 工業 4.0： 現代製造原則要求在生產系統與商業智慧工具之間進行即時資料整合，從而在原本明確的邊界之間建立直接的資料路徑。
• 遠端存取擴張: 企業 VPN 與雲端連線延伸至過去必須親臨現場才能存取的工廠環境，通常是由供應商支援需求與疫情時代的人力變化所驅動。

這些力量各自都獨立提高了 OT 的暴露面。合在一起，它們瓦解了工業安全數十年來所依賴的空氣隔離假設。

結果是空氣隔離大致上已不復存在。工程工作站會連接到企業網域，SCADA 系統會將遙測資料推送至雲端分析平台，而供應商遠端存取路徑每天都會跨越 IT/OT 邊界。 CISA 的 IT/OT 融合分析 記錄了這種連線擴張如何使 OT 環境可直接從企業網路存取，進而也可從網際網路存取。

對安全團隊而言，融合意味著您的 SOC 現在必須掌握執行 Modbus、DNP3 與您的 SIEM 從未剖析過的工業通訊協定之環境可視性，並管理那些已服役 20 年卻從未套用安全修補程式的裝置。挑戰不僅是技術性的。它需要共享治理、聯合事件回應，以及跨越兩個具有不同營運優先順序領域的統一可視性策略。若要理解融合對安全性的影響，先了解每個領域實際由哪些部分構成會有所幫助。

IT 與 OT 安全性的核心組成元件

這兩個領域保護的資產在本質上不同、執行不同的通訊協定，並建立在不同的營運假設之上。了解這些資產是什麼，以及它們為何以那樣的方式建構，才能讓 IT 與 OT 之間的安全差異變得可理解，而非任意。

IT 安全性元件

您的 IT 安全性堆疊會在多個層面保護企業資訊系統：

• 端點: 伺服器、工作站、筆記型電腦與行動裝置
• 企業網路: 支援業務營運的企業 LAN、WAN 與網路基礎架構
• 雲端平台: IaaS、SaaS 與應用程式層控制
• 身分與存取: 驗證、授權與權限管理

這些層承載了大部分的業務資料與使用者活動。安全營運平台透過 SIEM、 EDR/XDR 與事件回應工作流程將它們串聯起來。

OT 安全元件

OT 安全保護工業控制系統及其支援基礎設施。該 NIST OT 安全指南 將關鍵元件分類如下：

• SCADA 系統： 針對電網、管線和供水系統等分散式基礎設施進行監督式監控與控制
• 分散式控制系統： 分布於整個生產設施中的控制元件，常見於連續製程製造
• 可程式化邏輯控制器： 專為離散製程（例如組裝線）設計的控制器
• 人機介面： 用於監控和控制工業製程的操作員介面

安全儀表系統會新增專用層級，以便在製程變數超出安全限制時執行保護性停機。Modbus、DNP3、PROFINET、EtherNet/IP 和 OPC UA 等工業通訊協定是為可靠性與即時效能而設計，而非為安全性而設計。

這些元件在 Purdue Enterprise Reference Architecture 內運作，這是業界標準模型，將 OT 環境從現場裝置到外部系統組織為階層式層級。第 3.5 層，即 IT/OT 邊界上的 DMZ，是大多數安全控制集中的位置。該 NIST 網路分段指南 建議防止第 4 層裝置與較低的營運層級直接通訊。這些架構差異不僅是結構上的；它們決定了安全團隊在各環境中實際上能如何回應威脅。

IT 與 OT 安全營運

相同的威脅，無論是遭入侵的憑證、未經授權的裝置，還是異常的網路連線，若出現在 IT 環境或 OT 環境中，所需的回應都會非常不同。各領域的營運限制形塑了安全團隊所能做出的每一項決策。

IT 安全營運

IT 安全依循快速回應週期運作。您的 SOC 會將來自端點、網路裝置、雲端工作負載和身分識別系統的遙測資料匯入集中式平台。行為式 AI 和關聯引擎會即時分析這些資料，根據已知攻擊模式和行為基準標示異常。發現威脅時，您可以 隔離端點、終止程序、強制重設密碼，或在數秒內推送緊急修補程式，因為業務影響是可控的。

OT 安全營運

OT 安全 在不同的限制下運作。您無法在大多數 PLC 或 RTU 上安裝代理程式，因為它們缺乏運算資源。您也無法執行主動式弱點掃描，因為如同該 NIST OT 安全指南 所警告：「在 OT 中不加區分地使用 IT 安全實務，可能會造成可用性和時序中斷。」在企業 LAN 上屬於例行作業的網路掃描，可能會使資源受限的 PLC 當機，或迫使其進入故障安全停機狀態。

OT 監控依賴被動式網路分析、工業通訊協定的深度封包檢測，以及網路層級的行為異常識別。您會為控制器、感測器與 HMI 之間的正常通訊模式建立基準，然後標記偏差。回應模型會優先考量製程穩定性：您不會像隔離筆記型電腦那樣隔離正在運作的化學反應器。回應決策需要不同的程序與決策權限，並且除了網路風險之外，還必須將製程安全納入考量。這些營運上的差異，是一組更深層的架構、生命週期與優先順序模型分歧的實際體現，而這些分歧正是區隔這兩個領域的關鍵。

IT 與 OT 安全之間的關鍵差異

七個關鍵面向區分了這些領域：

在這些維度中，優先順序模型與生命週期落差這兩項承載了最多的營運權重。它們是安全團隊在嘗試將企業工具與流程套用到工業環境時，所遭遇大多數摩擦的根本原因。

優先順序倒置

對於 OT 環境， CISA IT/OT convergence report 強調可用性，以及安全且可靠的程序控制。 多因素驗證 若延遲緊急存取、加密增加處理延遲，或需要重新開機的安全控制，都會直接與 OT 對即時可用性的要求相衝突。

生命週期落差

OT 系統的服役時間通常遠長於企業 IT 資產，而且往往無法依照一般 IT 時程進行修補。這會造成持續性暴露，因此需透過分段、監控、補償性控制與工程審查來管理，而非僅依賴例行修補。

這些差異說明了為何將 IT 控制直接套用到 OT 環境會產生風險，以及為何規範各領域的合規框架在根本上也有所不同。

OT 安全合規與法規要求

OT 安全不只是最佳實務的選擇；對許多產業而言，它是法律要求。自從備受矚目的事件顯示工業網路攻擊對國家安全的影響後，法規環境已大幅擴展。

• NERC CIP (North American Electric Reliability Corporation Critical Infrastructure Protection)： 北美各地大型電力系統營運商的強制要求。NERC CIP 標準要求公用事業針對電子存取、實體安全、事件通報及供應鏈風險管理實施特定控制。不合規的罰則最高可達每項違規每日 100 萬美元。
• TSA Pipeline and Railroad Security Directives： 在 Colonial Pipeline 攻擊事件後，TSA 發布了網路安全指令，目前已進入第三版。這些指令要求向 CISA 通報事件、指定網路安全協調員，並對管線與鐵路營運商提出特定的存取控制與網路分段要求。
• NIST SP 800-82: 聯邦政府針對 ICS 與 OT 安全的主要技術參考文件。雖然對所有私人組織並非法律強制要求，但它是 CISA 在其自身指引中引用的標準，對於尋求聯邦合約或在受監管關鍵基礎設施產業營運的組織而言，實際上等同於必須遵循。
• NIS2 Directive (EU): 《網路與資訊安全 2 指令》已於 2024 年 10 月將強制性網路安全要求擴展至整個歐盟的營運商，涵蓋能源、水務、製造與運輸。組織必須實施風險管理措施、在 24 小時內通報重大事件，並確保供應鏈安全。

大多數受監管組織使用 IEC 62443 作為其基礎 OT 標準，並根據其產業別與地理位置，將其控制對應至 NERC CIP、NIST 800-82 或 NIS2 要求。合規框架告訴你要達成什麼；理解為何你現有的 IT 工具無法在 OT 中達成同樣重要。

為何傳統 IT 控制在 OT 環境中失效

標準 IT 安全工具是為企業環境設計的。在 OT 中，每一類工具都會以特定且已有文件記錄的方式失效。

• 端點代理程式： IT 端點代理程式可能會干擾工程系統，將合法的控制行為誤判為惡意活動，並在那些從未設計來承載現代安全軟體的系統中造成不穩定。
• 通訊協定盲點： IT 安全工具會檢查 HTTP、HTTPS 和 SMB 等標準通訊協定。它們無法解碼 Modbus、DNP3、PROFINET 或專有工業通訊協定。這表示它們無法識別未經授權的工程變更、找出惡意的 OT 特定命令，或區分合法的設定值變更與攻擊者操控化學製程之間的差異。
• 隔離風險： 企業應變手冊要求立即隔離遭入侵的系統。在 OT 中，隔離管理渦輪機、管線閥門或化學批次的控制器，可能會引發連鎖性的實體故障。回應決策必須將程序安全納入考量。
• 修補不相容性：  CISA OT patching guide 說明 OT 修補不遵循傳統 IT 修補流程、排程或方法。它需要以工程為基礎的分析，並與營運團隊密切協調，以優先確保安全與持續運作。

了解 IT 工具的不足之處，是建立可跨兩個領域運作之安全模型的基礎。但工具限制只是整體情況的一部分。融合環境也帶來了任何單一產品都無法單獨解決的結構性挑戰。

可視性與攻擊面挑戰

兩個結構性問題使融合的 IT/OT 環境始終比單獨的任一領域更難防禦：你往往看不到自己試圖保護的是什麼，而且你所防禦的邊界還在持續擴大。

可視性落差

許多組織仍然缺乏對其 OT 資產全貌的完整可視性，尤其是在控制器與現場裝置層，因為這些層級的營運風險最高。這使得在實體後果出現之前，很難發現未經授權的變更、資產漂移或攻擊者移動。

持續擴大的攻擊面

隨著工業組織將工廠連接到雲端服務、遠端存取平台、供應商及企業系統，攻擊面 已擴展到遠超出傳統工廠邊界。OT 隔離的假設在現代環境中已不再成立。每一個新的連線點，都是從 IT 進入 OT 的潛在入口路徑，而塑造當前法規與安全格局的那些事件證明，攻擊者已學會利用 正是如此。

真實世界的 IT/OT 攻擊案例

IT/OT 融合的理論風險，已在能源、製造與水務基礎設施等領域的已記錄事件中真實上演。以下每個案例都始於常見的 IT 攻擊向量，並升級為營運中斷或實體危害，這證明 IT/OT 邊界並不是安全控制；它是攻擊目標。

1. Colonial Pipeline，2021： Colonial Pipeline 披露，一起勒索軟體攻擊導致該公司 主動關閉 管線營運。此次中斷影響了美國東岸數日的燃料配送，該公司後來也表示支付了約 440 萬美元的贖金。
2. 沙烏地阿拉伯石化設施中的 Triton，2017： 美國司法部 起訴了一名俄羅斯政府研究人員，指其與 Triton 惡意軟體有關；該惡意軟體鎖定一家石化工廠的安全儀表系統。DOJ 表示，該惡意軟體旨在造成緊急停機，並透過干擾 SIS 邏輯而帶來實體傷害風險。
3. Oldsmar 水務設施，2021： 在佛羅里達州，一名入侵者存取了 Oldsmar 市的水處理廠，並且 試圖提高氫氧化鈉 濃度，從每百萬分之 100 提高到每百萬分之 11,100；此資訊來自地方當局與聯邦機構分享的官方事件細節。

這些事件呈現出一致的模式：入侵始於傳統 IT 存取，但影響最終轉為營運、實體或安全相關問題。它們也有一條共同主線，即其所利用的缺口：可視性不足、分段不充分、缺乏 OT 專屬事件回應，以及 IT 與 OT 團隊彼此脫節。以下做法可直接對應這些缺口。

IT 與 OT 安全最佳實務

同時保護 IT 與 OT 環境，不只是部署更好的工具而已。這需要一套審慎的策略，在套用企業安全的監控與回應嚴謹性的同時，也尊重 OT 的營運限制。以下六項實務構成該策略的基礎。

1. 採用整合式治理框架

使用 IEC 62443 作為 OT 安全的基礎標準，並將其對應至 NIST CSF 2.0 與 ISO 27001，利用 CISA IT/OT convergence report 讓企業與工業環境的治理保持一致。

2. 在 IT/OT 邊界強制執行網路分段

實作 ISA/IEC 62443 的區域與通道模型，以減少從 IT 橫向移動到生產環境的風險。遵循 NIST network segmentation guide 來實作防火牆規則，防止第 4 層裝置直接與營運裝置通訊。在 Purdue Level 3.5 DMZ 套用 zero trust principles，將 IT 網路視為相對於 OT 的不受信任區域。

3. 建立完整的 OT 資產可視性

你無法保護你看不見的東西。盤點每一個 PLC、SCADA 伺服器、HMI、閘道器與 IoT 裝置。對資源受限的 OT 裝置使用無代理探索，並在支援的工程工作站與 OT 伺服器上輔以代理式涵蓋。更好的資產情境可強化 ICS 安全，並改善 network segmentation 決策。

4. 針對工業通訊協定部署行為異常分析

不要再侷限於基於特徵碼的工具。有效的 OT 監控需要對 Modbus、DNP3 與 OPC UA 等工業通訊協定進行深度協定分析，以找出異常命令模式、未經授權的裝置互動，以及通訊協定操弄企圖。將 OT 監控資料整合到你的 SOC 工作流程中，而不是讓它獨立運作。

5. 建立 OT 專屬事件回應手冊

如果直接套用到 OT，你的 IT 事件回應手冊將造成傷害。建立獨立手冊，優先考量生產安全與持續性，並依照 NIST IR 8576 的建議，納入與 OT 廠商及供應商進行的桌上演練。強健的事件回應規劃是 ICS 安全的核心部分。

6. 統一 IT 與 OT 安全團隊

不要再讓 IT 與 OT 安全各自成為孤島。結合 IT 威脅分析與 OT 製程知識的整合式資安團隊，搭配共享工作流程與協調一致的事件回應，在壓力情境下會展現出顯著更高的韌性。

要大規模執行這些最佳實務，需要一個專為融合環境打造的平台。

Unleash AI-Powered Cybersecurity

Elevate your security posture with real-time detection, machine-speed response, and total visibility of your entire digital environment.

Get a Demo

重點整理

IT 與 OT 安全服務於不同的優先事項：資料機密性與營運安全。IT/OT 融合已消除過去保護工業環境的實體隔離，形成需要統一治理的共享攻擊面。標準 IT 控制在 OT 環境中失效，因為它們無法解析工業通訊協定、無法適應裝置的長生命週期，也無法尊重必須讓實體流程持續運作的要求。 

保護融合環境需要遵循 NERC CIP 與 NIS2 等產業特定要求，在 ISA/IEC 62443 之下進行整合式治理，在 IT/OT 邊界實施嚴格的網路分段、無代理 OT 可視性、行為異常分析，以及 OT 專屬事件回應手冊。