OT 資安是什麼？產線設備連網後的風險、網段分區與帳密管理

OT 資安是什麼？OT（Operational Technology，營運技術）指的是直接控制機台、產線與廠務設備的那一層，例如 PLC、人機介面、感測器、空壓與冷卻系統；OT 資安就是保護這一層，讓設備不會被人亂改參數、不會因為一台中毒的電腦而整條線停下來。辦公室的 IT 資安顧的是資料不外洩，工廠的 OT 資安排第一的是「產線不能停、人不能受傷」，兩邊的優先順序剛好相反。

這題我們是從系統端碰到的。恆遠幫製造業做生產力管理系統，也把掃碼槍、標籤機、溫度感測器、ESP32 Wi-Fi 節點和 3D 列印機的資料串進系統。每次討論到「這些設備要接上網路」，老闆問的第二個問題幾乎都是：這樣會不會被駭？這篇把我們跟客戶討論時會攤開的那張圖整理出來：OT 和 IT 差在哪、設備連網最常出事的三個地方、網段怎麼分、感測節點的帳密怎麼管，以及中小工廠預算有限時先做哪五件事。

先給結論：中小工廠做 OT 資安，前三步花的錢不多。把設備的預設密碼全部換掉、讓產線網路跟辦公室網路分開、廠商遠端連線改成「要用才開、用完就關」，就擋掉了大部分常見的入侵路徑。這三件事美國 CISA 在 2025 年 5 月發的 OT 主要緩解措施裡也列在最前面。

OT 資安跟 IT 資安差在哪

最大的差別是「出事時先保什麼」。IT 系統出問題，關機重開、還原備份，損失的是資料與工時；OT 系統出問題，可能是爐溫失控、機台撞刀、整批料報廢。所以很多 IT 的標準動作，搬到產線上會變成風險。

看懂這張表就會明白，OT 資安的做法偏向「把設備圍起來、管好誰能進來」，少靠在設備本身裝東西。這也是為什麼網段分區和遠端連線管理會是重點。

產線設備連網後最常見的風險

工廠被入侵，很少是駭客用了什麼高深的手法。多數是三種很普通的破口，而且常常同時存在。

USB 這條台灣有前例。2018 年 8 月 3 日台積電公告生產機台遭病毒感染，竹科、中科、南科部分產線停擺（數位時代報導），事後檢討指向新機台安裝時沒有先做掃毒。這件事直接促成了後面會講的半導體設備資安標準 SEMI E187。

網段分區怎麼做：Purdue 分層與區域管道

網段分區的意思是：依照設備的重要程度把網路切成幾塊，塊與塊之間只開「真的需要」的連線。業界最常用來畫這張圖的是 Purdue 分層模型，把工廠從感測器到企業系統分成幾層；包括 NIST SP 800-82 第三版（2023 年 9 月出版的 OT 資安指引）在內的文件，說明典型 OT 架構時都用這種分層。

中小工廠不必真的切出六層。實務上切成三塊就很有效：辦公室網段、產線網段、兩者中間的隔離區。辦公室的電腦不能直接連機台，機台也不能直接上網；兩邊要交換的資料（工單下到產線、報工回到系統），都經過中間那台主機轉一手。

國際標準 IEC 62443（由 ISA 與 IEC 共同發布的工業自動化與控制系統資安系列標準）把這個概念講得更精準：把安全需求相同的設備劃成一個「區域（zone）」，區域之間的通訊只能走受控的「管道（conduit）」，並替每個區域設定目標安全等級 SL 1 到 SL 4，從防範無心的誤操作，到防範資源充足的專業攻擊。工廠要拿去對外說「我們符合 62443」需要正式評估；自己內部規劃時，借用「區域＋管道」這個思考方式就很夠用。

這段跟 工業物聯網 那篇講的「不換機台，先從感測器收資料」是同一件事的兩面：資料要收得進來，路也要先規劃好。

機台通訊這段誰負責

講到網段，一定會碰到 PLC、OPC UA、Modbus 這些工業通訊。這裡先講清楚分工：直接讀寫機台控制器，通常由機台原廠或自動化設備商處理，他們最清楚自家控制器能開哪些埠、改了會不會影響保固。我們負責的是系統端：資料進到隔離區之後怎麼收、怎麼存、誰能看、誰能改。

把這張表攤開跟各家廠商對一次，常常就會發現某一格沒人管，例如遠端連線是設備商自己裝的、公司沒人知道帳密。資安上的漏洞，很多就是長在這種「大家以為別人在管」的縫裡。

感測節點與 MQTT：帳密和加密怎麼管

溫度感測器、ESP32 Wi-Fi 節點這類小設備，是工廠最容易「先接了再說」的東西。它們便宜、數量多、裝在角落，最容易被忽略。MQTT 是這類設備最常用的傳輸方式（白話解說見 MQTT 是什麼），它本身支援帳密與加密，但預設不一定有開。

我們做 ESP32 加 MQTT 串進系統時，固定會做這幾件事：

• 一台節點一組帳密：不讓整廠的感測器共用同一組，某台被拆走或被破解，只要停用那一組。
• 傳輸走 TLS 加密：Wi-Fi 上傳的溫度、產量資料，路過的人抓不到明文。
• 主題權限只給剛好夠用：溫度節點只能發布自己那條主題，不能訂閱別人的，更不能發控制指令。
• 感測器走獨立的 Wi-Fi：跟辦公室、訪客 Wi-Fi 分開，連線只通往隔離區的 broker。
• 斷線時先存在本機：網路被切斷或主機維護，資料不會掉，恢復後補傳（做法見 ESP32 MQTT 實作）。

broker 端的三層防護（帳密認證、TLS、ACL 存取控制）和 Mosquitto 實際設定，我們在 MQTT 帳密認證夠安全嗎 寫過完整一篇，這裡不重講。冷藏庫、烤爐這類溫度監控的完整做法，可以看 溫度監控系統怎麼做。

我們的看法：資安要在寫系統之前就排進規格

我們的立場很直接：OT 資安最便宜的時間點，是在畫系統架構的那一週。等系統上線、設備都接好了才補資安，常常要重拉網路線、重設每一台設備，費用跟停機時間都翻倍。所以我們估 MES 或報工系統時，會把「資料從哪一區進來、經過哪台主機、誰有權限」列成規格的一部分，跟功能清單一起報價（報價怎麼拆可以看 MES 系統價格怎麼算）。

反過來說，我們也不建議中小工廠一開始就買一整套 OT 資安監控設備。那類產品有它的價值，但如果預設密碼都還沒改、網段都還沒分，買了也只是看著警報響。先把基本功做完，再決定要不要往上加。

中小工廠先做的五件事

預算有限時，照這個順序做。前三件幾乎不用買新東西，主要花的是人力和停機協調的時間。

第五件常被跳過，但 CISA 那份緩解措施把「保留手動運作的能力」單獨列一項，因為勒索軟體真的打進來時，能不能靠紙本與手動撐幾天，決定了損失多大。備份怎麼規劃可以參考 資料備份與災難復原完整指南。

如果你想知道目前的網路有沒有明顯破口，弱點掃描與滲透測試是專業資安公司的工作；兩者差在哪、什麼時候需要，見 弱點掃描、滲透測試、壓力測試差在哪。我們不做這類檢測，但系統開發時會配合檢測結果修正。

台灣相關規範與標準

台灣目前沒有一條法規強制所有工廠做 OT 資安，但有幾份文件會間接影響你，尤其是供應鏈上游的客戶開始要求的時候。

如果你是半導體或電子供應鏈的設備商，E187 是最可能直接碰到的要求；其他產業的中小工廠，比較常見的情境是大客戶發一份資安問卷，問你有沒有網段分區、有沒有密碼政策、有沒有遠端連線管理。上面五件事做完，那份問卷大多答得出來。

OT 資安也可以放進更大的資安框架看。辦公室端近年流行的零信任，核心是「每次連線都要驗證、只給最小權限」，跟 OT 的區域管道是同一個精神（見 Zero Trust 是什麼）；要從 VPN 一步步換過去，可以看 零信任怎麼導入。

把資安放進 MES 規劃裡

如果你正在評估 MES，資安不必另外開一個專案，放進原本的規劃流程就好。MES 系統完整指南 裡講的導入步驟，每一步都可以加一個資安問題：

• 需求訪談：哪些設備要連網？資料是唯讀還是要回寫機台？
• 架構設計：收資料的主機放哪一區？跟 ERP 怎麼交換（工單與報工的分工見 MES ERP 怎麼串接）？
• 設備串接：每家設備商的遠端連線怎麼管？感測節點的帳密誰保管？
• 上線驗收：權限有沒有照角色設？操作紀錄留多久？備份還原演練過了嗎？

從 OT 與 IT 整合的全貌看智慧製造，可以接著讀 台灣製造業智慧製造導入完整指南。

系統端怎麼做出生產可見性與異常管理，可以看我們做過的生產力管理系統。想找人做系統、而且希望一開始就把資料流與權限規劃好，可以跟我們聊聊。

我們怎麼看

OT 資安適合每一家準備讓設備連網的工廠，不分規模；差別只在做到多深。30 到 100 人的工廠，把預設密碼、網段分區、遠端連線、備份這四件事做紮實，已經擋得住多數常見的入侵。需要對外證明合規（例如半導體供應鏈的 E187、國際客戶的 62443 稽核）時，才需要找專業資安顧問做正式評估。

恆遠做的是系統開發：MES、報工、溫度監控這類系統，以及把 MQTT、掃碼槍、標籤機、ESP32 Wi-Fi 感測器的資料安全地收進系統。機台控制器與工業協定這段由設備商負責，資安檢測與滲透測試交給專業資安公司。我們的角色是讓系統端從第一天就照區域、權限、加密的原則設計，不留需要事後補的洞。