年初新竹某家半導體廠傳出由於生產線機台設備故障，雖然僅有短暫的運轉中斷，卻造成數千萬元的損失。對於依賴生產線持續高效率運作的製造業而言，機台設備一旦發生故障，輕則影響產能、降低稼動率，重則製程報銷、原材料作廢，甚至影響產量、交期，對企業而言都是莫大損失。
為了減少這種問題，各種工廠都會盡可能購置最具穩定性的設備。不過，如今製造業想要降低生產機台設備的停機率，還得再考慮一個重要因素：資訊安全。
工廠機台的資安問題
 |
| ▲台灣Fortinet技術顧問劉乙建議，製造業應儘快建置功能完整、簡單易用的UTM防禦體系，以避免隨時可能發生的資安事件。 |
廠務主管或生產主管可能很難想像，廠房裡那幾部造價動輒千萬元的機台，也可能遭到病毒或駭客的威脅。台灣Fortinet技術顧問劉乙透露：「其實過去好幾宗宣稱跳電或故障停機事件，幕後的真相根本是機台中毒！」
會發生這種現象，其實有跡可循。十幾年前所謂PC-based的自動控制設備，由於穩定性較差，往往被視為不足以擔當生產線重任，然而時至今日，由於硬體可靠度、作業系統穩定性、備援防呆設計與運算控制邏輯的長足進步，生產線設備的運算及通訊單元變得愈來愈向當前的電腦架構靠攏。
目前幾乎各類型的生產機台、自動化設備廠商都普遍以標準化的電腦零組件來取代專屬元件，控制核心由PLC（可程式邏輯控制器）移到通用的作業系統平台，廠商間互不相通的field-bus（現場匯流排）也轉換成TCP/IP的工業乙太網路協定。
「走進廠房裡看看，機台裡面跑的作業系統從OS/2到Windows都有，如此一來開發維護的成本、難度都降低，IP化的通訊也很容易和生產執行管理（MES）等系統進行整合，」劉乙指出，但是這也讓原本幾乎不可能中毒或被入侵的機台，開始面臨與一般IP設備相同的資安風險。
其實產業界的專家早已注意到機台設備的資安問題。例如全球半導體製造商組成的產業研究組織ISMI就在去年6月及12月分別發佈了針對「病毒防護」及「智財保護」的半導體設備安全綱領，當中規範了機台設備應如何防止惡意威脅進入與機密智財外洩。事實上，這也正是製造業在資訊安全方面最關切的兩大議題。
防禦方案須完整易用
當前現場機台設備都已經逐漸納入內部網路（Intranet）的連結範圍中，所面對的資訊安全風險其實已經近似於伺服器機房與辦公資訊設備，但是大多數的生產管理與廠務部門人員，對資安防禦的概念其實都並不熟悉。劉乙認為，除了必須花時間對實際負責機台設備的單位加強資安教育訓練之外，各分散據點的工廠更有必要儘快建構功能完整、簡單易用的資安防禦體系，以避免隨時可能發生的安全事件。
要在生產現場對機台及控制設備環境部署資安方案，首先一定要考慮安裝的簡便性，最好是隨插即用的網路端硬體設備，以減少安裝設定的難度。事實上，工廠也不太可能自行在機台設備上安裝防毒系統之類的軟體方案，因此in-line的資安硬體裝置應該是比較合理的做法，直接設置在機台與內部封閉式網路的接口處即可發揮作用。
其次，最好是採用具備完整防護能力的單一裝置，如此一來可以讓部署架構及維護管理單純化。否則若在機台前端疊床架屋設置多種不同功能的設備，萬一發生斷線或故障時，光是鎖定問題點可能就得花上許多時間，更別說還有面臨不同供應商互踢皮球的可能性。
佈建防護 UTM有解
「最理想的規劃就是基於UTM（整合性安全閘）的整體監測方案，」劉乙指出，設計良好的UTM方案不僅可以單一設備提供包括防火牆、防毒防駭、虛擬隔離網路、入侵防禦等安全機能，更重要的是簡單設定即可安裝使用，並能進行遠端集中管理，最能符合廠區普遍缺少資安人員的情況，無須由總部MIS人員不斷奔波管理維護。
UTM的防火牆功能除了可以避免惡意攻擊入侵機台設備，造成中毒或其他損害，也可以經由設定管理規則，禁止所有非正常運作的向外連線行為，阻絕機密資料圖件外洩的管道。相較於一般使用者的電腦，廠房機台儀器設備的網路連線行為十分單純，不大可能主動瀏覽網站、寄送郵件或對外提供服務，因此一旦發生異常的連線行為，UTM將能很容易判別阻擋，再結合配套的記錄監控告警機制，管理者就能循線找出是否感染惡意程式或遭受有心人士不當使用。
劉乙指出，Fortinet針對製造業的資訊安全，就規劃有一套基於UTM的解決方案，以屢獲獎項及認證的高效能UTM設備FortiGate擔任阻絕威脅的防護閘，並由FortiManager集中管控設備負責統一管理派送資安政策及病毒特徵碼等更新，再加上FortiAnalyzer記錄報表設備進行集中式記錄、報表、告警以及網路流量掃描分析與事件追蹤，三種獨立式硬體組成完整的工廠資安整合管理解決方案。