數位發展部已訂定通訊及傳播領域關鍵基礎設施提供者的「控制系統資通安全防護基準」，9 月 16 日公告、2027 年 1 月 1 日生效。依《資通安全管理法》被指定為關鍵基礎設施提供者的通傳業者，自行開發或委外開發的控制系統都要符合這套基準；老舊或專用系統真的做不到的，可以提出佐證和替代控制措施，經數發部同意後實施。離生效只剩不到兩個月，受影響業者現在就該做差距盤點。
新聞摘要
- 法規名稱：數發部法規查詢系統列為「數位發展部所管通訊及傳播領域關鍵基礎設施提供者控制系統資通安全防護基準」（法規編號 GL000203）。OT-ISAC 報告的英文名稱為 Cybersecurity Protection Baseline for Control Systems of Critical Infrastructure Providers in the Communications and Broadcasting Sectors。
- 公告與生效：2026 年 9 月 16 日公告，2027 年 1 月 1 日生效（iThome、OT-ISAC、Industrial Cyber 一致）。
- 適用對象：經指定的通訊及傳播領域關鍵基礎設施提供者，範圍包括自行開發及委外開發的控制系統。OT-ISAC 特別指出，這不是適用全台所有 OT 環境的通用規定。
- 彈性條款：因技術限制，或個別控制系統的設計、結構等因素確實難以執行規定措施的，可提出佐證資料及替代控制措施，經數發部同意後實施。
背景：為什麼通訊傳播也要管「控制系統」
一般講資安，多半是辦公室電腦、網站、資料庫這類「資通系統」（IT）。控制系統屬於營運技術（OT），是讓實體設施運作的系統，例如機房的電力、空調與監控，或網路與播送設備的管理控制。這類系統一旦被入侵或中斷，影響的不只是資料，而是通話、上網、廣播電視這些民眾每天用到的服務。
依行政院「國家關鍵基礎設施安全防護指導綱要」，通訊傳播是我國關鍵基礎設施領域之一，和能源、水資源、交通、金融、醫院等並列。依《資通安全管理法》，關鍵基礎設施提供者由中央目的事業主管機關指定、報行政院核定，屬於「特定非公務機關」，本來就要訂定資安維護計畫、設資安專職人員並接受稽核。
其他領域已經先有類似規範：交通部訂有交通領域工業控制系統資安防護基準（9 大構面、90 項控制措施），經濟部 2022 年（民國 111 年）公告能源與水資源領域工控資安防護基準，衛福部 2023 年發布醫院醫療儀器相關系統防護基準。數發部資安署今年 5 月也修訂《關鍵資訊基礎設施資安防護建議》，參考 ISA/IEC 62443、新增老舊設備的「替代方案（補償控制）」，作為各領域訂定防護基準的藍圖。這次通傳領域的基準，可說是補上這一塊。
主要要求
以下細項是 iThome 依法規內容整理的重點，本站尚未能直接讀取數發部條文與附表全文，屬單一來源，標為「未核實」，實際條文以數發部公告為準：
- 分級防護（未核實）：依控制系統防護需求分為高、中、普三級，各級要求不同。
- 遠端存取（未核實）：須事先授權，來源須是預先定義及管理的存取控制點，採加密與多因子鑑別，並監控連線。高、中等級系統若要修改工程邏輯或變更保護參數，還須多因子鑑別或第二階段確認。
- 網路防護（未核實）：高等級系統須與一般資通系統網路隔離，並建立網路邊界監控；中等級須建立網路邊界存取管控。
- 無法修補的漏洞（未核實）：須以網路區隔、限制存取來源或強化監測等替代控制措施降低風險。
- 營運持續（未核實）：依等級訂定資料備份、備援測試及營運持續計畫演練要求。
- 委外開發（未核實）：須依等級把系統開發各階段的資安需求寫進委外契約。
已由兩個以上來源確認的是：基準涵蓋自行或委外開發的控制系統，以及老舊、專用系統可申請替代控制措施、經數發部同意後實施。
時間線
- 2026/5/19：數發部資安署發布修訂後的《關鍵資訊基礎設施資安防護建議》，參考 ISA/IEC 62443，新增補償控制。
- 2026/9/16：數發部公告通訊及傳播領域關鍵基礎設施提供者控制系統資安防護基準。
- 2026/10：OT-ISAC 亞太 OT／關鍵基礎設施資安政策報告（資料截至 10/20）列入此基準，評為「已確認的政策發展」。
- 2026/11/2：iThome 報導。
- 2027/1/1：基準生效。
誰會受影響
- 直接適用：經數發部指定、報行政院核定的通訊及傳播領域關鍵基礎設施提供者。實際名單未公開，業者應以收到的書面指定通知為準。
- 間接受影響：替這些業者開發、維護控制系統的系統整合商、設備商與遠端維運廠商。委外契約、遠端連線方式都可能被要求調整。
- 不直接適用：一般企業與其他領域的 OT 環境（其他領域另有各自主管機關的基準）。
建議措施
企業／IT 管理者
- 先確認公司是否被指定為關鍵基礎設施提供者，並到數發部法規系統下載條文與附表全文對照。
- 盤點所有控制系統（含委外開發），依防護需求初步分出高、中、普等級。
- 清查所有遠端連線：廠商維護帳號、跳板機、VPN，收斂到少數受管控制點，補上多因子鑑別與連線紀錄。
- 檢查 OT 與辦公室網路是否真的隔開，邊界有沒有存取管控和監控。
- 列出無法更新或修補的老舊設備，提早規劃替代控制措施並準備佐證資料，生效前送數發部。
- 檢視委外契約是否寫入各開發階段的資安需求，續約或新約時一併補上。
- 確認備份能還原，把控制系統中斷情境納入營運持續演練。
一般用戶
- 這是規範業者的法規，民眾不需要做任何設定或申請。
- 若接到自稱電信業者或「數發部」要你配合「資安新規」更新資料、點連結或提供驗證碼，都是詐騙，請掛斷並撥 165 查證。
- 家中可準備第二種聯絡方式（例如不同業者的門號或市話），網路或通訊中斷時仍能聯繫。
資料來源
- iThome：數發部訂定通訊傳播控制系統資安防護基準，2027年元旦生效（2026/11/2）
- iThome：資安日報 11 月 2 日
- OT-ISAC：APAC OT/CI Cyber Policy Intelligence Report（PDF，第 2.7 節）
- Industrial Cyber：OT-ISAC tracks 2026 Asia-Pacific cybersecurity policy shifts
- Red Tiger Security：Asia-Pacific OT Cyber Rules（2026 年 10 月）
- 數位發展部主管法規查詢系統：GL000203 基準條文
- 數發部資安署：關鍵基礎設施資安防護
- 數發部資安署：修訂《關鍵資訊基礎設施資安防護建議》（2026/5/19）
- 數發部資安署：資安政策與法規（各領域防護基準）
- 全國法規資料庫：資通安全管理法
發表留言