「看不見就無法保護」，業界呼籲美 CISA 對聯邦機構發布 OT 約束性指令

2026 / 10 / 08

編輯部

營運技術網路安全聯盟（Operational Technology Cybersecurity Coalition，OTCC）發布白皮書，呼籲美國網路安全暨基礎設施安全局（CISA）針對聯邦機構的營運技術（OT），發布具約束力的營運指令（Binding Operational Directive，BOD）。外媒報導指出，白皮書認為聯邦機構的 OT 缺乏統一基線與可視性，需要可強制執行的規範。

供水系統遭攻擊、機關盤點不足

白皮書引述的背景之一，是近期網路攻擊已波及至少 12 個美國州的數百個供水系統。許多受害設備直接暴露在網際網路、使用預設或無密碼，或未與其他網路隔離。

聯邦文職機關管理逾 8,000 棟自有或租用建築，內含空調、電力、門禁、供水與建築自動化系統。美國政府問責署（GAO）的調查發現，22 個受查文職機關中，僅 7 個完整達成白宮要求，盤點其聯網的 OT 與物聯網（IoT）設備，而盤點期限是 2024 年 9 月。多數機關自行管理 OT，使 CISA 難以掌握整體資安狀態。報導指出，人工智慧（AI）降低了複雜攻擊的門檻，使 OT 成為更具吸引力的目標。

白皮書建議：六項基線與單一負責人

這份 8 頁的白皮書提出的基線，涵蓋 OT 資產可視性、網路分段、可強制執行的遠端存取管控、組態基線、事件整備，以及經驗證的備份與復原。白皮書同時建議，每個機關指定一名高階主管或統一單位，負責 OT 盤點、基線與事件整備。

倡議者怎麼說

OTCC 執行董事塔蒂亞娜．波爾頓（Tatyana Bolton）表示：「看不見的東西就無法保護。」她認為，約束性指令能讓各機關有可強制執行的基線。

OTCC 政策總監麥可．賈西亞（Michael Garcia）指出，OT 常落在資訊長辦公室與設施管理之間的灰色地帶，結果無人負責資安。Elisity 的 OT 資安負責人戴夫．威廉斯（Dave Williams）則表示，明確的權責歸屬，能預先決定優先順序與資源限制如何取捨。