換不掉的舊系統　停不了的資安警報　

對各種工業機台的使用者跟設備製造商而言，如果機台搭載的軟體經常更新，軟體工程團隊未必有足夠時間將其調整到最佳狀態。另一方面，機台作業系統(OS)的更新，更是個浩大工程，不僅OS本身的穩定性需要重新驗證，在OS上執行的各種舊軟體，還有可能出現相容性問題，需要一個個仔細檢視。

這使得目前製造業所使用的機台設備，不管是採用Linux或微軟(Microsoft)的Windows OS，往往都是很多年前的舊版本。以半導體設備為例，據台積電提供的統計數據顯示，目前在各大晶圓廠裡所使用的設備，大多仍使用Windows XP，即便是新採購進來的機台，搭載的也還是Windows XP。眾所周知，微軟早在很多年前就已經停止更新Windows XP，即便是接續Windows XP的Windows 7，也將在2020年1月停止支援。換不掉的Windows XP，使得半導體設備暴露在極高的資安風險中。

事實上，半導體產業只是整個工業設備的縮影，其他設備所使用的軟體也都有類似問題。如CNC工具機、機器手臂的控制器，到石化、鋼鐵業的連續製程系統，裡面所使用的軟體普遍都很老舊。

BYOD/DIY改裝引入更多風險

也因為很多生產設備都已經非常老舊，為了滿足新的功能需求，很多自動化工程師都會利用開源硬體模組來對既有設備進行改裝，添加所需的新功能。但這其實會對系統的資訊安全造成很大風險，美國航太總署(NASA)就曾經發生過有工程師自帶樹莓派(Raspberry Pi)模組進NASA工作，結果導致NASA被駭客入侵的事件。 

BYOD對資安的挑戰，在IT領域已經被廣泛探討，但OT設備的DIY改裝，會埋下多少安全上的隱患，卻很少被公開討論。不被討論，不代表問題不存在。審慎檢視所有改裝行為對系統配置造成的變更，是所有製造業在進行物聯網布建時不可或缺的基本動作。

OT人資安意識須徹底翻轉　白名單技術不可或缺

面對上述OT安全問題，設備產業跟製造業者都必須在心態上徹底調整。對於IT領域的資訊安全人員來說，永遠假設系統已經被攻破，是很基本的心態。換言之，IT領域的資安人，最優先思考的，其實是應變劇本跟損害管控，然後才開始倒推回去，找出系統可能存在的弱點，並予以補強。

但OT領域的資訊人員普遍還沒有這種觀念，因為OT有自己的獨立網路跟層層防火牆保護，所以OT的資訊人員危機意識其實還不太夠。在解決老舊軟體、作業系統的安全問題之前，OT領域的資訊人員應該要先加強危機意識，之後再來探討該如何用新技術來修補問題。有很多新的資安技術可以應用在OT設備上，例如導入白名單機制，嚴格限制機台上可以安裝的應用軟體種類，並且對應用軟體的執行狀況進行嚴密監管，確保應用軟體無法執行它不該進行的操作。

此外，如果狀況許可，導入雲端其實也有助於提高OT設備的安全性。這個說法看似跟資安常識背道而馳，但事實上雲端業者對資安技術的掌握度跟風險意識，往往比很多製造業者來得高，反應速度也更快。以微軟的Azure雲端服務來說，當某個用戶的應用系統感染到病毒或惡意軟體，只要一被偵測到，馬上就會被隔離，因此災情很難進一步擴大到其他使用者身上。

總結來說，不管是IT還是OT，面對資安風險的因應之道，都是保護、偵測與反應這三個環節。但反應的重要性常常被輕忽，因為一般提到資安，都是在談保護跟偵測，然而，在資安事件發生時，能否迅速反應，將決定其受害的輕重程度。

確保資料一致性　區塊鏈為資安打地基

資訊安全是物聯網應用發展的前提，但目前絕大多數的業者都將重點放在防毒跟對抗惡意軟體上，卻忽略了物聯網系統中，為數眾多的資料採集節點，例如感測器所產生的資料，是否真實可靠。但最古老的駭客行為，其實是針對資料進行竄改，以謀取經濟利益。因此，如何避免這類節點所產生的資料遭到竄改，其實是資安最基本的工作，而這也正是區塊鏈技術能使得上力的地方。

區塊鏈技術因為比特幣(Bitcoin)等數位貨幣的爆紅而備受矚目，導致外界經常將區塊鏈跟數位貨幣畫上等號，但這其實是個大誤解。區塊鏈技術最獨特的地方，在於提出了分散式帳本的概念，這使得駭客即便攻破系統中的某個節點，竄改其帳本上的部分資料，跟其他節點上的帳本資料一比對，立刻就會被發現，除非駭客同時攻破了足夠數量的節點，並進行資料竄改。

而且，為了簡化運算跟儲存空間的需求，通常每一個分散式帳本都只有整體資料的一部分，這使得駭客更難以竄改資料，因為即便攻破多個節點，取得的帳本資料上，不一定含有駭客想竄改的那筆資料。 

簡言之，帳本越分散，透過區塊鏈保護的資料越難被竄改。而這正是區塊鏈技術可以用來打造物聯網信任根(Root of Trust)的原因。試想，當一個物聯網中的資料被分散到數以千計、甚至萬計的節點中，而且每個節點所擁有的資料又只有整體資料的一部分時，攻擊者要破壞資料一致性(Data Integrity)的難度會有多高？ 

區塊鏈技術在確保資料一致性方面，有著先天上的優勢。另一方面，區塊鏈技術也在不斷進化，讓很多運算資源很有限的嵌入式系統，也能跑得動區塊鏈演算法。別把區塊鏈跟挖礦混為一談，才能瞭解區塊鏈技術的潛力跟未來發展方向。