顧問實戰專欄

台灣電力股份有限公司大林發電廠：關鍵基礎設施的資安實盾——OT 系統換證驗證與 ICS 防護實務

沒有華麗的擺拍照片，只有最硬核的資安技術對決！團隊近期順利完成了國家級關鍵基礎設施（CII）的 ISO/IEC 27001:2022 外部換證驗證 關鍵輔導任務[cite: 1, 2]。透過 4 天全日（共計 24 小時）的密集前置實地輔導，以及 1 天的全程外部陪同稽核，最終協助一線運轉同仁落實高強度的控制措施模擬，順利通過國際驗證機構的嚴格考驗，成功獲得原證書換發資格！

本次驗證的核心範圍，聚焦於電廠核心的 OT 運作技術與工業控制系統（ICS），涵蓋核心發電機組之分散式控制及資料擷取系統（DCDAS）、開關場監控系統（SCADA）及輸煤控制系統（CHCS）之網路、機房與日常維護。團隊將本次外部稽核的實務觀察，提煉出所有導入 OT 資安管理體系（ISMS）時，最常遇到的「四大防護深化盲點」供業界先進參考：

• 可攜式媒體（USB）的軌跡防護 (A.8.12 / A.8.13)： 工控環境因實體隔離（Air-Gapped）特性，常仰賴可攜式媒體進行資料更新或備份。多數組織雖備有專屬掃毒設備，但往往忽略了「紀錄留存」的完整性。程序書若定義使用前必須掃毒，就必須做到 100% 的紙本或數位表單軌跡留存，否則極易成為合規破口。

• 實體環境的「防災資產保護」評估 (A.7.3)： 控制室或相關核心機房的實體安全，常依循傳統辦公大樓的消防配置。但依據新版標準精神，傳統水系滅火設備一旦連動，對精密程控設備的破壞往往大於火災本身。應積極評估並導入氣體式滅火器等精準防災措施，以降低營運持續中斷的風險。

• 歷史紀錄的生命週期管理 (A.8.10)： 現場運轉紀錄與檢查表單常因為「留存備查」的習慣而無限期保存。在新版 ISO 27001 的精神中（A.8.10 資訊刪除），過期且無法律或業務留存必要的機敏紀錄若未及時銷毀，反而會增加實體外洩與資產管理的合規風險。組織必須建立明確的文件生命週期並定期評估。

• 多套管理制度的「一致性」整合 (A.8.13 / A.8.15)： 一線運轉維護單位通常保有歷史悠久的現場運轉定檢表，而全廠則有一套統一的 ISMS 資訊備份與日誌管理程序。若未將兩者整合，常導致管理斷層。顧問輔導的核心價值，在於協助將日常運轉表單與 ISMS 規範進行矩陣式對接，確保一線現場的管理一致性。

通過外部稽核與證書換發，是國際標準對組織防禦縱深的階段性肯定。但團隊始終強調：「稽核通過不是結束，而是管理系統 PDCA 循環的開始。」關鍵基礎設施的資安輔導，向來是一場高智力的防禦推演。透過這 5 天的密集作戰，團隊不僅協助客戶完備了制度的合規性，更協助一線同仁將資安意識真正內化為現場運作的日常本能！

偉潤科技股份有限公司：攜手國防工業合格廠商，打造堅實資安堡垒！

偉潤科技是國防部評鑑合格的國防工業廠商，專注於航電測試維修、自動測試裝備 (ATE) 及高頻阻抗量測技術。在國防與軌道工業領域，資訊安全不僅是承諾，更是國家安全供應鏈的一環。

本次輔導亮點針對偉潤科技「技術專業、組織精實」的特性，不走傳統大企業的繁文縟節，而是採取「精準打擊、務實防護」的策略：
• 聚焦核心資產： 鎖定自動測試參數、治具設計圖與維修技術文件之保護。
• 強化基礎設施： 針對辦公環境網路、NAS 資料儲存及員工端點設備進行資安防護。
• 量身打造政策： 協助落實「捍衛國防機密，保障技術資產」的資安承諾。

感謝偉潤科技經營團隊的信任，讓我們一起為台灣的國防產業供應鏈資安貢獻一份心力！

立薏科技股份有限公司：不只是拿證書，而是玩真的！

在 ISO 顧問這一行，最怕遇到只想「買證書」的客戶。但在輔導【立薏科技】的過程中，我看到的是一家軟體公司對品質的極致堅持。

面對 ISO 27001 最棘手的 A.8.28 安全程式碼开发，他們沒有選擇這條路上的「最低標準」。即使是成本受限的中小企業，他們依然堅持落實：
• 嚴格的源碼檢測機制。
• 紮實的備份還原演練。
• 針對雲端服務（SaaS）的深度風險評估。

立薏科技，一家值得信賴的軟體開發夥伴。身為你們的輔導顧問，我與有榮焉！

工業安全衛生協會-高雄技術服務處：內部稽核員訓練

您的公司還在玩「球員兼裁判」的稽核遊戲嗎？

面對各項管理系統，若只會拿著公版查檢表盲目打勾、甚至事後補簽造假紀錄，在真正的外部主任稽核員眼裡，這些缺乏客觀證據（Log/軌跡）的表單，全都是一戳就破的致命缺失（Non-Conformity）。

系微股份有限公司：深化 ISO 27001 資安治理與韌體防禦

身為系微股份有限公司的 ISO 27001 導入顧問，這幾年見證了系微在資安治理上的堅持。近期重返會議室，面對 700 多位菁英團隊，我們進行了一場高含金量的資安意識升級。

針對系微深耕的韌體開發產業，課程直擊 2025 年核心威脅：
• UEFI 與韌體層級攻擊 (Rootkit)： 剖析駭客如何鎖定底層代碼，強化防禦邏輯。
• RaaS (勒索軟體即服務)： 解析商業化攻擊鏈，建構關鍵防禦節點。

信旭企業股份有限公司：薪資結構與勞資制度優化方策

企業轉型擴編期，往往是勞資風險最高的時刻。近日協助信旭企業股份有限公司進行人力資源制度診斷，目標明確：透過「合規治理」與「績效激勵」達成雙效目標。

本次專案實施重點：
• 合規防禦： 從加班費基數核算、出勤管理至工作規則漏洞修補，將勞檢隱患降至最低。
• 績效模型建置： 透過薪酬結構梳理，將勞資風險成本轉化為具備激勵性的人力資源資本。