英國、美國、加拿大、澳洲、紐西蘭、荷蘭與德國等七國資安機構於9月29日共同發布新版營運技術(OT)安全指引，協助組織建立完整的OT環境可視性，作為強化網路防護的首要步驟。
此次發布的指引由英國國家網路安全中心(NCSC)主導，聯合澳洲訊號局(ASD)、美國網路安全暨基礎設施安全局(CISA)、加拿大網路安全中心、美國聯邦調查局(FBI)、紐西蘭國家網路安全中心、荷蘭國家網路安全中心，以及德國聯邦資訊安全辦公室(BSI)共同制定。
五大核心原則架構
該指引針對部署或營運OT設備與系統的資安從業人員，提出五項核心安全原則：
- 定義建立與維護OT環境完整清冊的流程
- 建立OT資訊安全管理計畫
- 識別與分類資產以支援風險決策
- 識別並記錄OT系統內的連線狀況
- 理解並記錄第三方風險
每項原則皆附有詳細的執行步驟，指導OT資安團隊具體落實。
「OT環境完整清冊」涵蓋範圍
本次公布的指引強調建立「OT環境完整清冊」(definitive record)的重要性，這不僅是技術資產清單，更需反映OT系統如何支援組織的任務與營運。完整清冊應包含：
- 組件清單：個別設備、控制器、軟體與虛擬化系統，並依關鍵性、暴露程度及可用性需求分類
- 連線架構：資產在OT網路內外的互動方式、使用的通訊協定，以及延遲或頻寬等限制
- 系統架構：區域與管道的分段措施、備援或高可用性配置等韌性設計，及關鍵設計決策的理由
- 供應鏈與第三方存取：連接環境的供應商、整合商與服務提供者，及其管理與保護措施
- 業務影響評估：資產或連線失效或遭入侵時，對營運、財務與安全的影響
資安實務考量
NCSC警告，OT環境完整清冊本身就是高度敏感資訊，因為攻擊者若掌握這些資料，將更容易規劃並執行有效攻擊。因此，這些清冊應僅供必要人員存取，並透過嚴格的變更控制加以保護。
指引也承認，建立完整清冊需要時間。許多組織已擁有部分資訊，散布在設計文件、供應商手冊、維護日誌或監控工具中。關鍵在於整合這些片段資訊、驗證正確性，並持續更新。
NCSC安全架構師在聲明中強調。OT系統維持著電力供應、供水、製造生產線運作以及關鍵國家服務。一旦這些系統遭入侵或中斷，將對安全、營運、經濟甚至國家韌性造成實質影響。
值得注意的是，此指引發布距離六個參與國簽署首個統一OT安全分類法(unified OT security taxonomy)僅一個月時間，顯示各國持續深化OT安全領域的國際合作。