製造業網路安全(cybersecurity for manufacturers)正面臨前所未有的威脅：2022年針對製造業的網路攻擊佔所有攻擊的25%，相較2018年的10%大幅攀升。更令人憂心的是，超過80%的製造商在過去一年經歷至少一次資料外洩事件，勒索軟體攻擊比例也從23%躍升至36%。
實際上，數位轉型風險正以同樣速度擴張。當製造商加速導入智慧工廠、物聯網設備與雲端技術時，每個新的AI模型部署、SaaS整合或自動化流程都帶來更多資料暴露、第三方依賴與存取管理複雜性。特別是對於醫療設備製造商(medical device cybersecurity for engineers and manufacturers)與物聯網設備製造商(foundational cybersecurity activities for IoT device manufacturers)而言，建立完善的基礎網路安全措施已成為當務之急。我們將深入探討製造業如何在數位轉型浪潮中建立堅實的安全防線。
製造業數位轉型如何擴大網路攻擊面
預計到2027年，全球連接裝置將突破410億台。此一規模擴張為製造業帶來嚴峻考驗，特別是當92%的工業組織已部署物聯網技術時，每個新增設備都可能成為駭客的入口點。
智慧工廠與物聯網設備帶來的新漏洞
物聯網裝置存在多重結構性缺陷。舊作業系統包含已知漏洞卻難以更新，多數設備缺乏內建防毒功能。製造商常使用弱密碼或硬編碼密碼，使用者部署後也不更改，讓暴力攻擊輕易得逞。針對CNC工具機的研究顯示，駭客可篡改刀具參數設定，導致設備損毀或產品缺陷。物聯網裝置一旦遭入侵，可被組成殭屍網路執行DDoS攻擊，或成為滲透企業網路的跳板。
雲端遷移增加資料暴露風險
雲端環境中，66%的儲存桶和63%公開暴露的儲存桶都含有敏感資料。AI驅動應用程式因不安全的雲端儲存習慣與寫死的登入憑證，暴露使用者資料並帶來供應鏈攻擊風險。僅有34%的企業清楚所有資料的儲存位置，39%能完整分類資料，47%的機敏雲端資料未加密。
第三方供應商整合複雜化威脅管理
供應鏈攻擊已從單點滲透演變成多層次複合威脅。2024年AT&T因第三方雲端平台漏洞，導致逾億用戶敏感資料外流。對單一供應商的攻擊可造成多間工廠長時間停產，引發生產延遲與供需失衡。
傳統設備與新技術整合的安全缺口
IT與OT系統融合打破了傳統工控系統的物理隔離狀態。原本封閉的工控網路接入企業內網甚至公共雲平台，攻擊面急劇擴大。在67%遭遇雲端攻擊的企業中，憑證竊取是主要攻擊手段。
製造商面臨的四大關鍵網路安全挑戰
2023年製造業遭遇638次勒索軟體攻擊，成為首要攻擊目標。工業控制系統領域緊隨其後，共發生115起事件，運輸業則有65起。此外，2023年勒索軟體事件造成的損失成本較前一年增加74%。德國約950家企業與機構遭受勒索軟體攻擊，經濟損失達1786億歐元，較前一年的304億歐元大幅攀升。
勒索軟體攻擊頻率與損失激增
連續四年來，勒索軟體事件一直是製造業中最大的資安威脅。超過一半的製造業者認為，在未來一年內極有可能遭遇這類事件，擔心此威脅的企業數量比去年增加5%。2025年共有306個勒索軟體組織處於活躍狀態，受害者總數達7902個，明顯高於2024年的6129個和2023年的5336個。製造業遭受的攻擊最多，共有930個受害者。
IT與OT團隊協作不足阻礙防禦
根據IBM資料，2024年美國平均資料外洩成本為936萬美元。然而，IT團隊在實施OT計畫時，若未意識到其既有的IT偏見，便可能構成重大挑戰。IT安全工具注重頻繁修補，但在OT環境中應用可能造成災難性後果，強制重新啟動會中斷關鍵製程並導致中斷或安全危害。Ponemon Institute研究指出，在兩年內，超過90%營運OT系統的組織經歷了一個或多個破壞性安全事件，其中至少50%遭受OT系統基礎設施攻擊，導致設備或工廠停機。
資產可見性不足導致盲點
超過30%的企業存在「資產黑洞」現象，設備閒置率高達25%，重複採購率超過15%。製造業對偵測能力的信心最弱，僅有61.7分，顯示對偵測網絡資安事件能力缺乏信心。主要阻礙因素包括員工資安意識不足佔48%和預算編列不足。在工控系統檢測中，暴露易遭攻擊服務的比例高達35%，其次為暴露不安全工控協定佔16%和設備使用預設密碼佔15%。
合規壓力與監管要求日益嚴格
全球監管機構針對工業資安推出更嚴格的規範，例如歐盟的NIS2指令、北美的NERC CIP標準及澳洲的SOCI法規。這些法規擴大了資安範疇，強調領導階層的責任，並對不合規企業施以重罰。美國證券交易委員會的新規定要求上市公司在重大資安事件發生後，須在4個工作天內揭露事件的性質、規模及對公司的影響。
如何將網路安全嵌入數位轉型策略
將網路安全融入數位轉型需要系統性方法，而非事後補救。製造商必須從策略規劃階段就將安全要求納入每個技術決策。
建立零信任架構保護關鍵資產
零信任模型遵循「永不信任、持續驗證」原則，要求對每次存取請求進行嚴格身分驗證和授權。製造業遭受資安攻擊後平均復原時間超過一週，零信任架構能有效防堵內外部威脅並精準控管存取權限。此架構透過身分鑑別、設備鑑別及信任推斷三大核心機制，在允許存取前評估安全性。
實施持續監控與事件回應計畫
SANS Institute提出六步驟事件回應計劃：準備、識別、包含、根除、復原、學習。持續監控能縮短識別威脅和開始事件回應的時間。在工業控制網路部署監測審計設備，可及時發現系統漏洞、惡意軟體及網路攻擊。
採購前進行設備安全審查與風險評估
採購工程、財物前應確認安全衛生需求，考量可能引起的危害及風險。設備須具備緊急停止按鈕、安全連鎖裝置，使用危害性氣體需配置偵測器。
培養員工網路安全意識與技能
高達68%的資安事件涉及人為因素。企業應針對不同角色設計培訓內容，財務部門聚焦商業電郵詐騙，人資部門強化個資保護。透過模擬演練讓員工在真實情境下學習識別威脅。
製造業網路安全人才短缺與解決方案
專業人才匱乏已成為製造業網路安全的致命弱點。工控系統與傳統IT安全截然不同,優先順序從「保密性-完整性-可用性」轉變為「可用性-完整性-保密性」。
關鍵技能需求:工控系統與威脅識別
工控系統包含SCADA系統、分布式控制系統(DCS)、可編程邏輯控制器(PLC)等。安全防護需解碼Modbus、S7、Profinet、EtherNet/IP等工業協議。OT資產生命週期長達15至30年,遠超IT系統的3至5年,許多老舊設備已無適用安全補丁。工控系統面臨五大威脅:自然災害、內部人為失誤、設備功能故障、惡意代碼(包括PLC蠕蟲)及針對性網路攻擊。
IT與OT安全專業人才培養途徑
CISAW工業控制系統網路安全認證聚焦安全防護、威脅檢測、應急回應等核心能力。課程基於等保2.0、IEC 62443等標準,涵蓋漏洞評估、入侵檢測、安全加固。西門子SITRAIN網路安全培訓採動態方法,平等處理技術、流程與人員,提供早期風險識別與漏洞彌補的實用技能。
建立跨部門協作文化彌補技能差距
IT-OT融合凸顯明顯技能差距。有效防護需同時具備資安與工業流程專業知識。交叉培訓活動促進對各領域業務細微差別的相互理解。
結論
毫無疑問(without a doubt),製造業正處於網路安全與數位轉型的關鍵交叉點。我們見證了攻擊面隨著智慧工廠、物聯網設備與雲端技術的部署而擴張,勒索軟體威脅持續升溫。零信任架構、持續監控、跨部門協作,加上(coupled with)專業人才培育,已成為建構完整防禦體系的核心要素。唯有將安全思維深植於數位轉型的每個環節,製造商方能在創新與風險之間取得平衡,確保營運韌性與長期競爭力。