【全面盘点国家级资安情报力：经济部打造E-ISAC】管理水资源与能源OT系统，维运难度高

经济部管理的业务型态包山包海、种类繁多，-为了强化对于关键基础设施业者的资安管理，借由依序打造各种相关的资安平台，纳管相关的关键基础设施业者。

经济部资讯中心主任马正维表示，八大关键基础设施业者中，经济部同时肩负-机关水利署提供的水资源关键基础设施的管理，以及包括油、水、电等民间能源业者的管理。

由于我国-揭橥“资安即国安”的政策方针，加上资通安全管理法已经于今年一月一日正式实施，主管机关就可以善用资安法对于关键基础设施服务提供者（CI）的规范，要求相关业者。

根据“第五期国家资通安全发展方案”（2017年～2020年），该部也拟定“经济部关键基础设施安全维护计划”。马正维说，为了强化能源及水资源关键资讯基础设施的安全，便建置开发经济部资安资讯分享与分析平台（简称E-ISAC），并透过国家资安情资分享中心（N-ISAC）与其他领域ISAC进行串接，建立跨领域的资安联防机制，并为关键资讯基础建设的整体资安防护奠定基础，提升能源与水资源领域关键基础设施领域的资通安全。

2018年经济部完成E-ISAC的建置后，便透过情资搜集、分享与分析机制，与下属机关完成情资交换，例如，向下和能源局PE-ISAC、水利署W-ISAC、国营事业中油、台电、台水等ISAC介接外，也向上与N-ISAC介接。

以2019年1、2月为例，E-ISAC共发布38篇资安情资，包含来自国内外资安组织、N-ISAC、其他下属ISAC之资安情资；他们亦分享20篇资安情资给下属ISAC，并上传3篇资安情资给 N-ISAC。该期间E-ISAC会员浏览资安情资，合计 442人次，已发挥情资交流分享效益。

“经济部做事都要想到产业发展，”马正维笑说，油、水、电的OT（营运技术）与IT是分开的，但多数台湾资讯服务业者对OT并不了解。因此，便由经济部出面说服油、水、电等相关业者，开OT测试场域（Test Bed），提供台湾资服业者练功。

经济部出面，要求油水电业者开放测试场域

为了让相关的油水电业者对提供测试场域安心，他指出，经济部也定下开放原则，包括：不影响油水电场既有的运作；资安业者不直接连至油水电场的工控设备；以及，台湾资安业者对于收到各种测试资料都不外传。

马正维表示，在提供测试场域时，经济部也坚持要由台湾资安业者主导，透过与外国业者合作的方式，学习国外的作业方式，希望可以提升台湾资安业者对OT系统的了解与掌握度。

由于能源及水资源领域的厂区维运人员，过去较少接触资讯与资安相关技术与管理议题，且在OT环境下，多关注可用性与人身安全，并不了解OT安全的重要性，因此，马正维认为，要如何提升厂商人员的资安意识是一大挑战。

2020年预计建置二线SOC，但目前能源与水资源领域的业者，都是经由OT的入侵侦测系统设备的镜射埠（mirror port），将资料汇出，但仍有安全性考量，因此，在无法取得资料的情况下，二线SOC如何有效运作仍是考验。

 相关报导  打造国家级资安情报力