Executive Summary
一句話結論
跨國 ODM/OEM 製造業集團的 IT 資安防護網，不能是「一般企業資安框架的製造業版本」，而必須是一套以「客戶信任」為交付物、以「產線不停」為最高可用性目標、以「多法域資料主權」為結構性約束的三重特化架構。三者中的任何一項被忽略，防護網在商業上就是失效的——即使它在技術上完全符合 ISO 27001。
Key Numbers
2026 年威脅情勢關鍵數字
所有數字均依手冊之證據分級方法論標註來源等級。
Five Findings
五項關鍵發現
製造業已連續五年是全球受攻擊最多的產業，且亞太是主戰場
IBM X-Force Threat Intelligence Index 2026 版（涵蓋 2025 年資料，2026-02 發布）指出，製造業佔全球攻擊事件 27.7%，連續第五年居冠；其中亞太地區佔製造業事件的 68%，北美 23%，歐洲僅 5%。首要初始入侵手法是對外服務應用程式漏洞利用（32%），其次為有效帳號濫用（16%）與外部遠端服務（11%）。廠商主張這個地理分布對台灣 ODM 集團具有直接意義：多數國際資安投資建議是以北美風險輪廓為基準寫成的，直接照抄會低估亞太曝險。
對 ODM 而言，最大的風險曝險不是自己被打，而是「第三方」與「作為別人的第三方」
Verizon DBIR 2026 版製造業專章顯示，製造業事件中第三方涉入比例達 61%，遠高於全產業的 48%。廠商主張同時，ODM 自身正是品牌客戶眼中的第三方——Jaguar Land Rover 2025 年停產五週的事件，經英國 Cyber Monitoring Centre 正式評定為 Category 3 系統性事件、估計英國經濟損失 £19 億，並影響逾 5,000 家英國組織已證實；損失的絕大部分不在 JLR 自身，而在其供應鏈。ODM 在這張圖中的位置，就是那 5,000 家。
IT 事件足以停掉產線，不需要攻擊者碰到任何一台 PLC
Dragos 2025 年度報告指出，其處理的案例中 25% 導致 OT 場域完全停擺、75% 造成營運中斷廠商主張。四個已證實案例構成同一模式：小島工業（Kojima）IT 系統遭入侵 → Toyota 日本全部 14 座工廠停產一日已證實，Toyota 官方媒體；Asahi 訂單系統癱瘓 → 日本境內 6 座設施停止營運已證實，公司聲明；JLR IT 事件 → 停產五週；鴻海北美設施 2026 年 5 月遭 Nitrogen 勒索 → Kaspersky ICS-CERT 記錄 5 月 5 日第一班無生產。這代表營運持續計畫（BCP）必須涵蓋「IT 全斷、以人工維持出貨」的實戰演練，而非僅有機房級的災難復原。
2026 年是「歐盟收緊、美國鬆綁」的分水嶺，兩者不可寫成同向趨勢
歐盟 Cyber Resilience Act（Regulation (EU) 2024/2847）的 Article 14 通報義務已於 2026-09-11 適用；ENISA 的 Single Reporting Platform 已於同日上線，製造商須使用平台向協調者 CSIRT 與 ENISA 通報已證實。CRA 調和標準須經 Official Journal 引用才有符合推定；引用狀態應逐項核對。美國國防部（Department of War）於 2026-07-13 宣布立即暫停 CMMC Phase II 要求，Phase I 自評與 DFARS 252.204-7012 仍然有效已證實。合規資源配置必須據此重新排序。
最嚴苛的通報時限不是法規，是交易所規則與客戶合約
臺灣證交所《重大訊息之查證暨公開處理程序》要求，回應媒體報導之資安事件至遲不得逾發現後或經證交所通知後 2 小時內辦理已證實；美國上市客戶為滿足 SEC Form 8-K Item 1.05 的四個營業日期限，普遍在合約中下壓供應商 24–48 小時通知義務。這兩者都比 GDPR 的 72 小時與 NIS2 的 24 小時更緊。事件應變程序必須以最嚴時限倒推設計單一通報決策樹，而非為每部法規各寫一套流程。
Investment Priorities
建議的投資排序（三年）
| 順位 | 領域 | 理由（可查證錨點） | 建議年度 |
|---|---|---|---|
| 1 | 對外攻擊面管理與邊界裝置修補時窗（EASM＋緊急修補 SLA） | X-Force 2026：製造業初始入侵 32% 為對外應用漏洞；CISA ED 25-03 要求 Cisco 更新於釋出後 48 小時內套用 | Y1 上半 |
| 2 | 身分（防釣魚 MFA、特權存取、非人身分 NHI） | DBIR 2026 製造業竊取憑證 41%；Clorox 案的入口是服務台未驗證來電者身分 | Y1 |
| 3 | 偵測與應變（SIEM/XDR 統一、SOC 流程與人力） | CrowdStrike 2026：eCrime 平均突破時間降至 29 分鐘，最快 27 秒 | Y1–Y2 |
| 4 | 第三方與供應鏈治理（含客戶稽核應對） | DBIR 2026 製造業第三方涉入 61% | Y1–Y2 |
| 5 | 資料安全（DSPM/DLP/EDRM，客戶 IP 與 JDM 共有 IP） | X-Force 2026：製造業 40% 事件涉及竊取金融資產或 IP；台積電 2nm 案（2026-04-27 一審）確立在職員工合法帳號＋螢幕拍攝的內部威脅模式 | Y2 |
| 6 | 韌性（不可變備份、IT 全斷演練、產線人工作業手冊） | Dragos：25% 案例 OT 完全停擺；Kojima 以紙本看板維持運作 | Y2 |
| 7 | 產品安全 PSIRT / SBOM / CRA 落地 | CRA Art. 14 已於 2026-09-11 適用，全面義務 2027-12-11 | Y1（通報立即；全面義務 Y1 Q4 前，見 §26.3 R5） |
| 8 | OT 分區與可視性（IEC 62443 zones & conduits） | IEC 62443-2-1:2024 Ed.2 已刻意消除與 ISMS 的重複，可掛在既有 ISO 27001 之下 | Y2–Y3 |
| 9 | AI 治理與 Agentic AI 安全 | Gartner 2026 Hype Cycle：AI SOC Agents 位於期望膨脹頂峰、滲透率僅 1–5%，且四度警告 "agent washing" | Y1 完成 AI 清冊與高風險義務（R4）；Y3 深化治理（治理先行、採購後行） |
Board Questions
給董事會的三個問題
若集團最大客戶明天要求我們在 24 小時內通報任何可能影響其產品的資安事件，我們的流程能否做到？做不到的話缺口在哪一個環節？
若台北總部 OA 網路今晚全斷 72 小時，桃園與上海產線能否繼續出貨？誰做過這個演練，最近一次是什麼時候？
我們揭露在年報上的資安人力數與投入資源，能否支撐我們對客戶宣稱的資安成熟度？兩者之間是否存在可被稽核發現的落差？
Structure
手冊結構
四部・30 章・8 附錄。各章末尾均設「本章可稽核產出」，可直接轉為專案待辦。
背景：為什麼 ODM/OEM 需要一套不一樣的防護網
製造業資安本質、2026 威脅情勢、已驗證事件研究、國家級行為者與內部威脅、法規與客戶合規地景、中國法律隔離。
第 II 部・第 7–10 章設計：框架選擇與總體架構
四層框架堆疊、設計十原則、九層 × 三橫切 × 五分區總體架構、信任分區與邊界設計的落地方法。
第 III 部・第 11–23 章分層設計：L0–L9 與三個橫切面
治理、身分、網路、端點、應用與雲端、資料、偵測應變、暴露面、OT 廠務、產品安全，加上供應鏈、韌性、人員與 AI 治理三個橫切面。
第 IV 部・第 24–30 章落地：組織、預算、成熟度與治理
組織與人力設計、預算模型、成熟度模型與三年路線圖、指標體系、選型方法論、限制與風險、董事會議程。
前言・§0.2–§0.4方法論：證據分級與 2026 時效性警示
四級證據分級（已證實／廠商主張／第三方評論／尚未證實）、三條查證紀律、名詞與範圍界定、十六項必須更新的認知。
附錄 A–H附錄：總表、問卷與工具套件
標準總表、合規總表、事件總表、控制項對映矩陣、60 題成熟度自評問卷、Claude Code + GitHub Prompt 套件、查證缺口、引用來源。
Reading Paths
依角色的建議閱讀路徑
| 你的角色 | 建議閱讀路徑 |
|---|---|
| 資安長／CISO（要向董事會報告） | 0.1 執行摘要 → 第 5 章法規地景 → 第 9 章總體架構 → 第 26 章成熟度與路線圖 → 第 30 章治理建議 |
| IT 主管（要編預算） | 0.1 → 第 9 章 → 第 25 章預算模型 → 第 28 章選型方法論 → 附錄 D 控制項清單 |
| 資安架構師（要畫架構圖） | 第 7–10 章 → 第 11–23 章全部 → 附錄 D |
| SOC 主管 | 第 3–4 章威脅與事件 → 第 17 章 SOC 層 → 第 27 章指標體系 |
| 廠務／OT 負責人 | 第 6 章中國隔離 → 第 19 章 OT 層 → 第 22 章韌性 |
| 產品安全／PSIRT | 第 5 章 → 第 20 章產品安全層 → 附錄 B 合規總表 |
| 稽核／GRC | 第 0.2 節方法論 → 附錄 A/B/D → 附錄 E 成熟度自評問卷 |
| 要把手冊 repo 化的人 | 附錄 F：Claude Code + GitHub Prompt 套件 |
About This Edition
文件資訊與版本說明
| 項目 | 內容 |
|---|---|
| 文件編號 | GSMD-RPT-2026-0830-01 |
| 版本 | v1.0（全新深化改版，取代 GSMD-RPT-2026-0815-01） |
| 發行日期 | 2026 年 8 月 30 日 |
| 查證基準日 | 2026 年 8 月 30 日 |
| 時效資訊更新 | 2026 年 9 月 29 日；原版文件編號與發行日不變 |
| 密級 | 公開 / Public（通用參考版，不含任何集團實際控制項現況、評估結果或缺口資料） |
| 讀者定位 | 資安治理決策層（CISO、資安長、IT 主管、董事會稽核委員會）與技術落地層（資安架構師、SOC、廠務 IT）並重 |
| 語言 | 正體中文（臺灣慣用語），英文專業術語、標準編號與法規名稱一律保留原文 |
| 篇幅 | 正文約 5 萬字（不含附錄程式碼區塊） |
2026-09-29 時效更新紀錄：以 2026-09-29 為基準，依官方或一手來源覆核下列狀態，並同步更新正文、附錄 A、附錄 G 與附錄 H：
- 歐盟：ENISA CRA Single Reporting Platform 已於 2026-09-11 上線、Article 14 通報義務已適用；ENISA Threat Landscape 2026 已於 2026-09-22 發布（製造業 6.9%、排名第 4）；NIS2 移轉化案已於 2026-07-08 由執委會提交歐盟法院；AI Omnibus 為 Regulation (EU) 2026/1744、2026-07-27 生效；AI Act Art. 50 自 2026-08-02 適用；捷克 408/2025 Sb. 已確認涵蓋 CZ-NACE 26 中大型企業；覆核 Data Act Article 50。
- 美國：CMMC 依 DFARS class deviation 2026-O0025 Rev.3 暫停，重啟時程未定；BIS Affiliates Rule（90 FR 47201）暫緩至 2026-11-09；以 eCFR 覆核 ITAR 條號；確認 CISA Secure by Design Pledge 頁面與 ZTMM v2.0 名稱；取得 CTPAT Foreign Manufacturers MSC 條文；覆核 NIST SSDF 草案狀態。
- 台灣與中國：資通安全管理法修正已於 2025-12-01 施行；個資法修正施行日截至 2026-09-29 仍未定；國家核心關鍵技術清單已於 2026-02-13 公告為 42 項；115 年起公司治理評鑑轉為 ESG 評鑑，資安指標改為 S-12；中國《國家網絡安全事件報告管理辦法》（2025-11-01 施行，1／4 小時）與《網絡數據安全風險評估辦法》（2026-08-20 施行）；MLPS 2.0 日期已由國家標準全文公開系統確認。
- 產業要求與分析師：VDA ISA 2027 已於 2026-07-01 發布、2027-01-01 起委託之評鑑適用且無獨立 AI 模組；RBA VAP Standard 已更新為 V8.1（2026-09-27）；Gartner Hybrid Mesh Firewall MQ 2026-09-07 版、IGA Market Guide 2026-08-28 版、首屆 Software Supply Chain Security MQ（2026-06-17）；Sophos State of Ransomware 2026 與 Red Heron／Gitea 事件補充。
- 附錄 G：62 項中已結案 13 項、仍待查證 49 項。另修正 CMMC Task Force 的過期預定時程及三年路線圖的法定期限配置。
原版威脅統計仍保留其觀察期與來源；未逐項重新查證的歷史內容不得視為 2026-09-29 的新資料。新增來源已併入附錄 H 各分類。
本手冊與前版的關係
本手冊為 GSMD-RPT-2026-0815-01《跨國 ODM/OEM 製造業 IT 資安防護網設計》的全新深化改版，而非增補版。使用者選擇的定位是「重新查證 2026 年最新法規與威脅數據，架構更完整，不刻意避開既有內容但全面加深加寬」。因此：
- 所有法規日期、標準版本、市場評測報告均於 2026-08-30 重新查證（其中重要狀態已於 2026-09-29 再次覆核，見上方時效更新紀錄），並在正文中以逐項來源標註。前版若干引用在本次查證中已被證實過時或錯誤，於第 0.4 節「時效性警示」中逐條列出。
- 架構由前版的「分層清單」升級為「九層 × 三橫切 × 五信任分區」的三維設計模型，並補入成熟度模型、預算模型、三年路線圖與指標體系。
- 新增第 IV 部「落地」與附錄 F「Claude Code + GitHub Prompt 套件」，使本手冊從「說明什麼該有」延伸到「如何維護、如何評估、如何把控制項當程式碼管理」。
- 前版仍可作為 2026 年 8 月中旬的時點快照保留；本版發行後，建議以本版為單一有效版本（single source of truth）。