Chapter 01・§1.1 – §1.4
ODM/OEM 製造業的資安本質
一般企業資安框架為什麼不夠用；ODM/OEM/EMS/JDM 商業模式差異及其資安意涵；2024–2026 產業結構位移——AI 伺服器如何改變資安責任邊界。
1.1 一般企業資安框架為什麼不夠用
主流資安框架（NIST CSF 2.0、ISO/IEC 27001:2022、CIS Controls v8.1）都是產業中立的。中立是它們的優點，也是它們用在 ODM 時的根本限制：它們假設組織保護的是「自己的資訊資產」，而 ODM 保護的主要是別人的資產。
這個差異會一路傳導到每一個技術決策。舉三個具體例子：
資料分類的所有權問題
一般企業的資料分類是「機密／內部／公開」三到四級，由資料擁有者（data owner）決定。ODM 的 PLM 系統裡卻同時存放四類權責完全不同的資料。
可用性目標的定義問題
一般企業的 RTO/RPO 以「業務系統恢復」為單位，ODM 的實際 KPI 是出貨（shipment）——單位不同，BCP 的設計就不同。
合規對象的多重性問題
一般企業合規的對象是監理機關，ODM 至少有四層合規對象，且其中最嚴格的幾層並不公開。
例一：資料分類的所有權問題
ODM 的 PLM 系統裡同時存放：
- 客戶 A 的產品設計（客戶擁有，受客戶 NDA 拘束，客戶有稽核權）
- 客戶 B 的產品設計（同上，但客戶 A 與 B 是競爭對手，彼此絕不能看到）
- JDM 專案的共有 IP（雙方共有，無單一所有權人可授權存取決策）
- 集團自有的製程 know-how（集團擁有，可能已被列為「國家核心關鍵技術」）
四類資料的分類權責、保存期限、跨境傳輸規則、事件通報對象全部不同。用單一資料分類政策套上去，必然在某一類上失效。
例二：可用性目標的定義問題
ERP 恢復但 MES 沒恢復，出不了貨；MES 恢復但 EDI 與客戶系統的介接沒恢復，出貨無法計入客戶帳。因此 ODM 的 BCP 單位必須是「一條產線從投料到出貨的完整資訊鏈」，而非個別系統。Kojima Industries 案的教訓正是如此：小島以紙本看板與人工配送圖面維持運作，這是「以人工維持出貨」的能力，不是任何 DR 演練會涵蓋的項目。
例三：合規對象的多重性問題
ODM 合規的對象至少有四層：
- 所在地監理機關（台灣金管會、中國 CAC、歐盟成員國主管機關、美國 DoD）
- 品牌客戶（Apple、Microsoft、Google、NVIDIA、Dell、HPE 的供應商安全要求）
- 產業聯盟（RBA、TISAX、SEMI）
- 客戶的客戶所受的監理（例如客戶是美國上市公司，其 SEC Item 1.05 義務會下壓為對我方的 24–48 小時通知要求）
1.2 ODM/OEM/EMS/JDM 的商業模式差異及其資安意涵
| 模式 | 品牌 | 設計 IP | 庫存 | 資安意涵（本手冊推論） |
|---|---|---|---|---|
| OEM | 擁有 | 通常擁有 | 視外包程度 | 資安邊界較清楚，接近一般企業 |
| CM / CEM / ECM | 無 | 無 | 原物料／在製品 | 主要保護生產排程與 BOM |
| EMS | 無 | 無（依客戶規格） | 大量（倉儲為主要利潤中心之一） | 倉儲與物流系統成為關鍵資產；WMS 停擺＝出不了貨 |
| ODM | white-label 情境下可有 | 擁有 | 成品 | 自有 IP 與客戶 IP 並存於同一 PLM，是最複雜的資料治理情境 |
| JDM | 共有 | 雙方共有 | 多轉包 | 最難處理：同一份設計同時受雙方 NDA 拘束，無單一所有權人可授權 |
| Design House | 無 | 擁有所產出設計 | 無 | 純 IP 業務，資料外洩即業務終結 |
模式定義來源：VentureOutsource 第三方評論；資安意涵為本手冊推論。
1.3 2024–2026 的產業結構位移：AI 伺服器如何改變資安責任邊界
台灣 ODM/EMS 產業在 2024–2026 年間經歷了本世紀最劇烈的結構位移。
| 公司 | 2025 全年營收 | YoY | 等級與來源 |
|---|---|---|---|
| 鴻海 Hon Hai | NT$8.1 兆；EPS NT$13.61（1991 年以來新高）；ROE 11.25% | +18%（營利 +29%、淨利 +24%） | 已證實 鴻海官方新聞稿 2026-03-16 |
| 緯創 Wistron | NT$2.18 兆（US$68.9bn），首度超越廣達 | +108.4% | 已證實 Taiwan News 2026-01-09 |
| 廣達 Quanta | NT$2.124 兆 | +50.5% | 已證實 同上 |
| 緯穎 Wiwynn | 由約 NT$3,600 億增至近 NT$1 兆；AI 產品逾 50% 營收 | +163.7% | 第三方評論 天下 2026-02-04 |
| 仁寶 Compal | US$23.7bn（較 2021 峰值 US$38.4bn 下滑） | 衰退 | 第三方評論 同上 |
| 英業達 Inventec | 年增約 7% | +7% | 第三方評論 同上 |
鴻海 2025Q4 出現一項結構性里程碑：「雲端網通產品營收首度於 ICT 傳統旺季超越智慧消費電子，成為單季最大產品類別」已證實（鴻海新聞稿 2026-03-16）。
L10/L11 系統組裝帶來的三個資安責任擴張
NVIDIA GB 系列走向 rack-level 最小交付單位，單一 GB200 機櫃價值達 US$3.1M第三方評論（天下 2026-02-04），使後段組裝（L10 機櫃整合、L11 系統測試）的價值倍增。這對資安的意義是：
從「代工廠自身 IT」擴張到「產品安全（PSIRT）」
L10/L11 涉及 BMC、BIOS、韌體整合與燒錄。一旦 ODM 承接韌體整合，就進入 EU CRA 意義下「含數位元素產品」的責任鏈，且會被要求提供 SBOM、漏洞處理流程與支援期承諾。這是第 20 章的主題。
從「保護資料」擴張到「保護生產過程的完整性」
Data I/O Corp.（半導體燒錄設備商，客戶含 Apple／Google／Amazon／Microsoft）於 2025-08-16 遭勒索攻擊，其 8-K 申報明載事件「暫時影響公司營運，包括內外部通訊、出貨、收貨、製造生產及各項支援職能」已證實（SEC 8-K）。燒錄站、測試站、韌體簽章金鑰的完整性，是產品供應鏈攻擊的關鍵節點。
從「單一法域」擴張到「多法域資料落地」
北美設廠（仁寶德州 US$5 億投資、英業達德州 L10/L11 已投產並擴至墨西哥泰國、和碩德州 2026H1 試產）第三方評論同時引入美國法域的資料落地、人員背景調查與出口管制（ITAR/EAR deemed export）要求。
1.4 本章可稽核產出
- 一份「集團商業模式對照表」，逐一事業群標註屬 ODM／EMS／JDM／Design House，並標註其主要客戶類型
- 一份「資料所有權矩陣」，列出 PLM/ERP/MES 中各類資料的擁有者、NDA 來源、稽核權歸屬
- 一份「出貨資訊鏈圖」，標出從投料到客戶收貨之間所有必要的資訊系統與介接
Chapter 02・§2.1 – §2.3
2026 年製造業威脅情勢
為什麼製造業連續五年居全球受攻擊產業之首；亞太為主戰場（佔製造業事件 68%）；威脅情勢的四點綜合結論。
2.1 為什麼製造業連續五年居首
2.1.1 IBM X-Force Threat Intelligence Index 2026 版
涵蓋 2025 年資料，2026-02 發布。廠商主張
| 指標 | 數值 |
|---|---|
| 製造業佔全球攻擊事件比例 | 27.7% |
| 連續居首年數 | 第 5 年 |
| 初始存取：對外服務應用程式漏洞利用 | 32% |
| 初始存取：有效帳號濫用 | 16% |
| 初始存取：外部遠端服務 | 11% |
| 以營運中斷或勒索為目的之惡意程式 | 45% |
| 涉及竊取金融資產或智慧財產（IP） | 40% |
| 損及品牌聲譽 | 20% |
| 製造業事件地理分布 | 亞太 68%／北美 23%／歐洲 5%／拉美 2% |
| 對外服務應用程式漏洞利用整體年增 | +44% |
- 亞太佔 68%。這代表以北美數據為基準的國際資安建議會系統性低估本集團的曝險。台灣、中國、泰國、新加坡廠區的威脅密度高於歐美廠區，資源分配不應平均分攤。
- 初始入侵以「對外應用漏洞（32%）」為首、遠高於釣魚。這與多數企業把資安預算集中於郵件安全與意識訓練的配置直接衝突。本手冊據此在 0.1 節將「對外攻擊面管理與邊界修補時窗」列為投資順位第一。
2.1.2 Verizon DBIR 製造業專章：一年內的風險輪廓惡化
這是本手冊最關鍵的一組對照數據。廠商主張
| 指標 | 2025 DBIR | 2026 DBIR | 變化 |
|---|---|---|---|
| 事件數 / 確認外洩數 | 3,837 / 1,607 | 3,627 / 2,713 | 確認外洩大增 69% |
| 前三大模式合計 | 85% | 91% | ↑ |
| 外部行為者 | 86% | 95% | ↑ |
| 內部行為者 | 14% | 5% | ↓ |
| 財務動機 | 87% | 87% | — |
| 間諜動機 | 20%（前年僅 3%） | 15% | 仍遠高於歷史基期 |
| 惡意程式涉入 | 66% | 75% | ↑ |
| 勒索軟體佔外洩比例 | 47% | 61% | ↑ |
| 漏洞利用為初始入侵途徑 | 23%（作為 action） | 38%（初始途徑） | 大幅上升 |
| 竊取憑證 | 34% | 41% | ↑ |
| 網路釣魚 | 19% | 13% | ↓ |
| 第三方涉入 | — | 61% | 遠高於全產業 48% |
| 人為因素 | — | 56% | — |
2026 DBIR 全體數據（Executive Summary）：分析 22,000+ 起確認外洩、145 國；第三方涉入 48%（年增 60%）；勒索軟體佔全部外洩 48%；漏洞利用躍升為第一初始入侵途徑（31%），憑證濫用降至 13%；間諜動機區域差異極大（北美 3% vs. EMEA 36%）；勒索金中位數 US$139,875；69% 受害者拒付。
- 製造業的「間諜動機」在 2024 年由 3% 跳升至 20%，2026 年仍在 15%。這是製造業與其他產業最大的差異——多數產業的攻擊者只要錢，製造業的攻擊者有相當比例要的是設計圖與製程。這使得「付了贖金就沒事」的假設對 ODM 完全不成立，也使 DLP 與 IP 保護的優先序高於一般產業。
- 製造業第三方涉入 61% vs 全產業 48%。這是本手冊在第 21 章主張「供應鏈治理不是合規項目，而是主要風險曝險」最有力的單一數字。
- 釣魚下降（19%→13%）、漏洞利用上升（23%→38%）。攻擊經濟已從「騙人」轉向「掃描與利用」。這不代表可以停掉意識訓練，但代表邊際投資報酬率已經翻轉。
2.1.3 ENISA Threat Landscape 2025
觀察期 2024-07-01 至 2025-06-30，2025-10 發布 v1.2。已證實（歐盟機構出版品）
- 威脅排序：DDoS 76.7%、入侵 17.8%
- 製造業佔全部事件 2.9%，在 NIS2 各部門中排名第 4（ETL 2024 為第 7 名——排名上升）
- 製造業主要威脅為網路犯罪 59.3%，其中 Akira 勒索軟體佔 48.7%
- 勒索軟體佔網路犯罪事件 81.1%；共觀察到 82 種勒索軟體變種
- 供應鏈攻擊佔威脅類別 10.6%
- 漏洞利用佔入侵向量 21.3%；其中近 70% 導致實際入侵，68% 導致惡意程式部署
ENISA Threat Landscape 2026 已於 2026-09-22 發布，觀察期為 2025-01-01～2025-12-31（樣本 8,257 件）；製造業佔所記錄事件的 6.9%，排名第 4；製造業事件以未授權存取（80.4%）為主；勒索軟體宣稱案件中製造業佔 25.2%，居各部門之首；製造業勒索家族前三為 Qilin 17.4%、Akira 11.5%、SafePay 8%。已證實。上述 2.9% 是 2025 版資料，兩版觀察期間與樣本口徑不同，不宜直接當作年增幅。
2.1.4 Dragos OT Cybersecurity Year in Review
廠商主張
| 指標 | 2025 版（涵蓋 2024） | 2026 版（涵蓋 2025） |
|---|---|---|
| 追蹤威脅群組 | 23 個（9 個活躍） | 26 個（11 個活躍） |
| 新命名群組 | GRAPHITE、BAUXITE | AZURITE、PYROXENE、SYLVANITE |
| 鎖定工控的勒索集團數 | 80（前年 50，+60%） | 119（+49%） |
| 受害工業組織數 | — | 3,300 家（年增 49%） |
| 製造業佔勒索受害者比例 | 逾 50% | 逾三分之二（>66%） |
| OT 衝擊 | 25% 案例導致 OT 場域完全停擺，75% 造成營運中斷 | 對手加強測繪工業控制迴路 |
2.1.5 CrowdStrike Global Threat Report 2026（2026-02-24）
廠商主張
- eCrime 平均突破時間（breakout time）降至 29 分鐘，較 2024 快 65%；最快觀測值 27 秒；某案例入侵後 4 分鐘即開始外傳資料
- AI 賦能攻擊年增 89%
- 中國關聯行動年增 38%；北韓關聯事件年增逾 130%
- 雲端入侵年增 37%；國家級行為者鎖定雲端環境年增 266%
- 42% 被利用漏洞在公開揭露前即遭利用
- 中國關聯行為者 67% 的漏洞利用可直接取得系統存取；40% 鎖定對外邊界裝置
- 中國關聯行為者對物流業鎖定年增 85%
2.1.6 Sophos State of Ransomware in Manufacturing and Production 2025（2025-12-03）
2026-09-29 更新：截至 2026-09-29 未見製造業專版 2026，以下仍為 2025 製造業版數字。Sophos 跨產業版 State of Ransomware 2026（2026-07-15，n=2,158、17 國）稱 79% 的勒索攻擊源自身分遭入侵，身分已超越漏洞利用成為首因廠商主張。
樣本：332 家製造與生產組織、17 國、100–5,000 員工。廠商主張
| 指標 | 數值 |
|---|---|
| 攻擊根因第一名 | 漏洞利用 32% |
| 惡意郵件 | 23%（前年 29%） |
| 受害主因自陳：缺乏專業能力 | 42.5% |
| 受害主因自陳：未知的防護缺口 | 41.6% |
| 資料遭加密比例 | 40% |
| 純勒索（不加密）攻擊 | 10%（前年 3%） |
| 加密前即遭攔阻的比例 | 五年新高 |
| 平均勒索要求 | US$1.2M（年減 20%） |
| 平均實付 | US$1.0M；51% 受害者付款 |
| 平均復原成本（不含贖金） | US$1.3M |
2.2 威脅情勢的四點綜合結論
入口已從人轉向機器
漏洞利用（X-Force 32%／DBIR 製造業 38%／Sophos 32%）在三個獨立來源上一致成為首要入侵途徑，且釣魚同步下降。（2026-09-29 補充：Sophos 跨產業版 2026 改稱身分遭入侵為勒索首因廠商主張，身分與漏洞兩條入口須並重，見第 12 章。）
速度已超越人工流程
29 分鐘的突破時間，對照多數企業以「工作日內回應」為 SLA 的告警處理流程，缺口是數量級的。
動機在製造業是雙重的
財務 87% ＋ 間諜 15%，且兩者的最佳防護策略不同（前者靠韌性，後者靠 DLP 與最小權限）。
邊界不在自己手上
61% 的第三方涉入比例，代表超過一半的風險發生在自己的控制範圍之外。
2.3 本章可稽核產出
- 一份以本章數據為基礎的「集團威脅情勢簡報」（建議 8–10 頁，供董事會或稽核委員會使用）
- 一份「威脅假設清單」（threat assumptions），明列本集團的資安設計是基於哪些威脅前提，供年度檢視
- 一份「MITRE ATT&CK v19.2 對映」，將本集團現有偵測規則對映至 ATT&CK，並標示 Stealth 與 Defense Impairment 兩個新戰術的覆蓋缺口
Chapter 03・§3.1 – §3.6
已驗證事件研究：電子製造業的實證教材
本章所有事件均經一手或權威具名來源查證。無來源者不列入——這是本手冊與坊間「資安事件懶人包」的根本差異。
3.1 電子製造／ODM／EMS／半導體供應鏈事件總表
| 事件 | 受害組織 | 日期 | 攻擊者／手法 | 已確認影響 | 證據等級 |
|---|---|---|---|---|---|
| Foxconn 墨西哥廠勒索 | 鴻海 Foxconn CTBG MX（Ciudad Juárez） | 2020-11-29 | DoppelPaymer | 鴻海證實「美國一套支援美洲營運的資訊系統遭攻擊」，分階段復原 | 公司聲明 已證實／攻擊者宣稱之 1,200–1,400 台伺服器、20–30TB 備份刪除、1,804 BTC 贖金 尚未證實 |
| Compal 勒索 | 仁寶電腦 | 2020-11-08 | DoppelPaymer | 逾 1/4 內部電腦遭加密；製造系統據報未受影響 | 第三方評論（公司未完整證實） |
| Advantech 勒索 | 研華 | 2020-11 | Conti | 研華發言人證實：「少數伺服器遭攻擊，部分資料可能遭竊」 | 公司聲明 已證實／750 BTC 贖金 尚未證實 |
| Quanta / Apple 藍圖勒索 | 廣達電腦 | 2021-04-21 | REvil (Sodinokibi) | REvil 宣稱竊得 Apple 產品設計圖，索討 US$50M，於 Apple 春季發表會當日公布 MacBook Pro 圖紙施壓 | 第三方評論＋攻擊者宣稱 尚未證實 |
| Delta Electronics 勒索 | 台達電子 | 2022-01-18 | Conti | 台達電公開聲明：僅影響非關鍵系統，對營運無重大影響 | 公司聲明 已證實／談判紀錄顯示之 1,500 伺服器 + 12,000 電腦、US$15M 贖金 尚未證實 |
| TSMC 2018 病毒事件 | 台積電 | 2018-08-03 | 電腦病毒（WannaCry 變種，官方未具名） | 官方新聞稿：根因為新機台軟體安裝過程操作失誤，機台連上內網後病毒擴散。Q3 營收影響約 3%、毛利率影響約 1 個百分點；8/6 全面復原；資料完整性與機密資訊未受損 | 已證實（受害方一手聲明） |
| TSMC 供應商 Kinmax 外洩 | 供應商 Kinmax Technology（鑫豪科技） | 2023-06-29/30 | LockBit | 台積電聲明：供應商事件導致「伺服器初始設定與組態相關資訊」外洩，「未影響台積電營運，亦未洩漏任何客戶資訊」，並終止與該供應商的資料交換 | 公司聲明 已證實／LockBit 索討 US$70M 尚未證實 |
| MKS Instruments 勒索 | MKS Instruments（半導體設備） | 2023-02-03（2/6 申報 SEC） | 勒索軟體（未具名） | 營收衝擊約 US$200M（Q1 預期約 US$10 億，減損 20%）；影響 Photonics 與 Vacuum Solutions 兩事業部及全公司營運與製造系統 | 已證實（SEC 申報＋法說會） |
| Applied Materials 連帶損失 | Applied Materials | 2023-02-16 法說會 | 供應商遭勒索之連鎖衝擊 | 官方財測明列「與一家供應商近期公告之資安事件相關之 US$250M 負面影響」 | 財測數字 已證實／供應商即 MKS 第三方評論 |
| Data I/O 勒索停工 | Data I/O Corp.（半導體燒錄設備） | 2025-08-16（8/22 申報 8-K） | 未具名（無集團認領） | 8-K 申報：事件「暫時影響公司營運，包括內外部通訊、出貨、收貨、製造生產及各項支援職能」 | 已證實（SEC 8-K） |
| Foxconn 北美廠勒索（2026） | 鴻海北美設施 | 2026-05（5/12–13 證實） | Nitrogen 勒索集團 | 鴻海發言人證實北美部分設施遭攻擊；Kaspersky ICS-CERT 記錄 5/1–5/12 網路中斷導致廠區關閉、5 月 5 日第一班無生產 | 公司證實 已證實／停工細節 廠商主張／8TB、1,100 萬檔案宣稱 尚未證實 |
| Cyber Power Systems 事件 | 碩天科技（台灣） | 2026-05-07 | 未具名 | IT 系統阻斷 | 廠商主張 |
| Murata Electronics NA 外洩 | 村田製作所北美子公司 | 2026-04-30 | 未具名 | 僅個資外洩，無生產中斷 | 廠商主張 |
3.2 五個必須從中學到東西的案例
案例 A：TSMC 2018 —— 資安事件的根因可以是「作業程序」
台積電官方新聞稿明確指出根因是新機台軟體安裝過程的操作失誤，機台連上內網後病毒擴散。這不是駭客攻擊，而是未經掃描的機台接入生產網路。
對 ODM 的落地要求：
- 新機台／新設備進廠必須有強制的「入網前掃描與隔離期」流程（quarantine VLAN + 惡意程式掃描 + 韌體版本核對）
- 這正是 SEMI E188（Malware Free Equipment Integration，2022-02） 的規範目的：規範設備交付與支援期間之防惡意程式、網路存取控制、安裝、升級、還原程序
- 對照 SEMI E187（Cybersecurity of Fab Equipment，2022-01）：OS 支援、網路安全、端點防護、資安監控四項基線
- SEMI E191（Computing Device Cybersecurity Status Reporting，2024-10）：要求設備商就每台連廠網之運算裝置回報裝置識別碼、OS 製造商／名稱／版本／build
台積電也示範了危機溝通的標準：明確說明根因、量化財務影響（Q3 營收 3%）、明確排除最壞情境（資料完整性與機密資訊未受損）、給出復原時程。這份新聞稿本身就是 ODM 值得收藏的溝通範本。
案例 B：MKS Instruments → Applied Materials —— 供應商的資安事件會出現在你的財測裡
MKS 遭勒索造成自身 US$200M 營收衝擊；下游的 Applied Materials 在法說會財測中明列 US$250M 負面影響。也就是說，下游客戶的損失大於受害者本身。
對 ODM 的落地要求：
- 供應商風險評估的排序基準不應是「供應商規模」，而是「該供應商停擺時，我方多久出不了貨」（single point of failure 分析）
- 關鍵供應商必須簽訂事件通知條款（發現後 24–48 小時通知）與替代來源（second source）條款
- 財務單位應將「關鍵供應商資安事件」納入營收預測的風險情境
案例 C：TSMC / Kinmax —— 供應商測試環境也是你的攻擊面
Kinmax 說明遭入侵的是其「內部特定測試環境」，外洩內容為系統安裝準備與預設組態（含客戶名稱）。台積電的回應是終止與該供應商的資料交換。
對 ODM 的落地要求：
- 供應商資安問卷必須涵蓋非生產環境（測試、開發、Demo），這是最常被遺漏的區塊
- 交付給供應商的「系統初始組態資訊」本身就是敏感資料，應納入資料分類
- 事件發生時的斷聯決策權（誰有權切斷與供應商的資料交換）必須事先定義
案例 D：Kojima Industries → Toyota —— 一家供應商可以停掉整個國家的產能
2022-02-26 小島工業系統遭未授權存取而離線，Toyota 日本全部 14 座工廠停產一日，系統約一個月內幾近全面復原。小島以紙本看板與人工配送圖面維持運作。豐田章男於攻擊後第四天親訪小島總部。已證實（Toyota Times）
坊間流傳的「28 條產線／13,000 輛」數字僅見於第三方報導，列為 第三方評論。
對 ODM 的落地要求：
- 「以人工維持出貨」的能力必須是可演練的正式程序，不是災難時的臨場發揮。應產出一份「降級作業手冊（degraded mode operations manual）」，內容包含：紙本工單格式、人工配送流程、離線 BOM 副本的保存與更新機制、人工品質紀錄格式。
- 客戶關係管理：豐田章男親訪供應商，顯示在客戶產線受影響時，最高層溝通是必要的。事件應變計畫應包含 C-level 對客戶的溝通劇本。
案例 E：Clorox → Cognizant —— 你的外包服務台就是你的身分驗證邊界
Clorox 2023 年 8 月遭社交工程攻擊，SEC 申報認列 US$49M 費用。2025 年 7 月 Clorox 對 IT 外包商 Cognizant 提訟求償 US$380M，主張攻擊者僅需致電 Cognizant 服務台冒充員工要求重設密碼與 MFA 即得手；訴狀載明「該專員在所有通話中均未曾驗證來電者確為該員工」。Cognizant 反駁其僅提供「範圍狹窄的服務台服務」。已證實（為法院文件主張）
對 ODM 的落地要求（這是本手冊認為最被低估的一項）：
- 服務台（help desk）的身分驗證程序必須被視為關鍵資安控制，並納入定期紅隊測試（含 vishing 演練）
- 密碼與 MFA 重設必須要求帶外驗證（out-of-band verification）：主管確認、視訊比對證件、或既有已註冊裝置的推播確認
- 外包服務台的合約必須明訂身分驗證程序、留存通話錄音、並賦予稽核權
3.3 其他製造業重大事件（跨產業對照）
| 事件 | 受害組織 | 日期 | 已確認影響 | 證據等級 |
|---|---|---|---|---|
| Norsk Hydro LockerGoga | Norsk Hydro ASA（挪威鋁業） | 2019-03-19 | 公司季報原文：「The financial impact of the cyber-attack is estimated to be around NOK 650-750 million for the full year.」Q4 認列保險理賠 NOK 187 million | 已證實（上市公司財報） |
| Brunswick Corp. | Brunswick（船舶引擎） | 2023-06-13 | CEO 於 Q2 2023 法說會：Q2 營收衝擊 US$85M，全年 EBITDA 影響 US$60–70M；復原耗時 9 天 | 已證實（法說會） |
| Johnson Controls | Johnson Controls International | 2023-09-23 | SEC 季報：「未經授權存取、資料外傳，並於公司部分內部 IT 基礎架構部署勒索軟體」；FY2024 Q1 認列 US$27M 費用（已扣除保險理賠）。亞洲辦公室先遭入侵後橫向擴散 | 費用與 SEC 語句 已證實／贖金 US$51M、27TB 宣稱 尚未證實 |
| Jaguar Land Rover | JLR / Tata Motors | 2025-08 下旬起，停產約 5 週 | 英國 Cyber Monitoring Centre 正式評定為 Category 3 系統性事件，估英國經濟損失 £19 億（區間 £16–21 億），影響逾 5,000 家英國組織 | 已證實（獨立監測機構正式評定） |
| Collins Aerospace MUSE → 歐洲機場 | Collins Aerospace（RTX） | 2025-09-19/20 起 | ENISA 證實機場中斷肇因為勒索軟體攻擊（HardBit）。Heathrow、布魯塞爾、柏林報到與行李系統中斷；逾 1,000 台電腦可能受影響，清理後出現再感染；英國 NCA 逮捕一名 40 歲男性 | ENISA 確認與逮捕 已證實／HardBit 歸因 第三方評論 |
| Asahi Group | 朝日集團控股 | 2025-09-29 停工，10-03 證實 | 官方證實為勒索軟體攻擊且資料外傳；日本境內 6 座設施停止營運；Super Dry 以人工接單方式恢復生產，10/15 恢復出貨 | 公司證實 已證實／Qilin 宣稱之 27GB、US$3.35 億損失 尚未證實 |
| Denso | 電裝（義大利、摩洛哥廠） | 2026-03-28 | Qilin；公司確認對生產「無顯著影響」 | 廠商主張 |
| Mackay Sugar | Mackay Sugar（澳洲） | 2026-06-10 | Gentlemen 勒索集團；製糖與甘蔗運輸停擺，6/12 以人工恢復，6/26 全面恢復 | 廠商主張 |
3.4 軟體與 IT 供應鏈攻擊
| 事件 | 日期 | 手法 | 已確認影響 | 等級 |
|---|---|---|---|---|
| MOVEit Transfer（Cl0p） | 2023-05-27 起 | CVE-2023-34362（CVSS 9.8）SQL Injection | Emsisoft 統計（2024-06-28）：2,773 個組織、95,788,491 名個人受影響 | 統計 廠商主張／CVE 與 KEV 收錄 已證實 |
| 3CX 桌面應用供應鏈污染 | 2023-03 | 首例「供應鏈攻擊引發另一供應鏈攻擊」 | Mandiant 調查：源頭為 Trading Technologies X_TRADER 安裝程式（其網站 2022-02 遭入侵），部署 VEILEDSIGNAL 後門後於 2023-03 攻入 3CX 建置環境。歸因 UNC4736（疑北韓，與 Lazarus 關聯，中度信心） | 廠商主張（具名一手鑑識） |
| XZ Utils 後門 | 2024-03-29 揭露 | CVE-2024-3094；多年社交工程滲透開源專案取得維護者權限 | CISA 警示：XZ Utils 5.6.0 與 5.6.1 遭植入惡意程式碼。注意：CVE-2024-3094 並未列入 CISA KEV（未觀察到實際遭利用） | 已證實 |
| tj-actions/changed-files GitHub Actions 遭污染 | 2025-03-14 起 | CVE-2025-30066；所有版本標籤被改指向惡意 commit，將 CI/CD 記憶體中的機密傾印至公開建置日誌 | CISA 於 2025-03-18 列入 KEV（到期日 2025-04-08）。關聯的 reviewdog/action-setup@v1（CVE-2025-30154）亦已列入 KEV | 已證實 |
| Shai-Hulud npm 自我複製蠕蟲（第一波） | 2025-09 | 自我複製 worm，post-install 階段執行 | CISA 公告：逾 500 個 npm 套件遭污染。竊取 GitHub PAT 與 AWS/GCP/Azure API 金鑰 | 已證實 |
| Shai-Hulud 2.0（第二波） | 2025-11 | 改於 pre-install 階段執行（無需人為互動）；新增破壞性 fallback（可摧毀使用者家目錄） | Unit 42：影響數萬個 GitHub repo，觀察到 25,000+ 惡意 repo、約 350 個帳號；建立 GitHub Actions workflow 作為 self-hosted runner 持久化 | 廠商主張 |
3.5 邊界／VPN 裝置漏洞利用：CISA KEV 收錄狀態逐一查證
以下為直接解析 CISA 官方 KEV 目錄鏡像（catalogVersion 2026.08.27，共 1,685 筆）的比對結果，證據等級全部為 已證實。
| CVE | 產品 | KEV | 收錄日 | 修補期限 | 已知用於勒索 |
|---|---|---|---|---|---|
| CVE-2023-46805 | Ivanti Connect Secure / Policy Secure | ✅ | 2024-01-10 | 2024-01-22 | Known |
| CVE-2024-21887 | Ivanti Connect Secure / Policy Secure | ✅ | 2024-01-10 | 2024-01-22 | Known |
| CVE-2025-0282 | Ivanti Connect Secure / Policy Secure / ZTA | ✅ | 2025-01-08 | 2025-01-15（7 天） | Known |
| CVE-2025-0283 | Ivanti | ❌ 未列入 KEV | — | — | — |
| CVE-2025-22457 | Ivanti Connect Secure / Policy Secure / ZTA | ✅ | 2025-04-04 | 2025-04-11 | Known |
| CVE-2024-21762 | Fortinet FortiOS | ✅ | 2024-02-09 | 2024-02-16 | Known |
| CVE-2024-55591 | Fortinet FortiOS / FortiProxy | ✅ | 2025-01-14 | 2025-01-21 | Known |
| CVE-2025-32756 | Fortinet 多項產品 | ✅ | 2025-05-14 | 2025-06-04 | Unknown |
| CVE-2024-3400 | Palo Alto PAN-OS | ✅ | 2024-04-12 | 2024-04-19 | Known |
| CVE-2025-0108 | Palo Alto PAN-OS | ✅ | 2025-02-18 | 2025-03-11 | Unknown |
| CVE-2023-4966（Citrix Bleed） | Citrix NetScaler ADC / Gateway | ✅ | 2023-10-18 | 2023-11-08 | Known |
| CVE-2025-5777（Citrix Bleed 2） | Citrix NetScaler ADC / Gateway | ✅ | 2025-07-10 | 2025-07-11（1 天） | Known |
| CVE-2025-20333 | Cisco ASA / FTD | ✅ | 2025-09-25 | 2025-09-26（1 天） | Unknown |
| CVE-2025-20362 | Cisco ASA / FTD | ✅ | 2025-09-25 | 2025-09-26（1 天） | Unknown |
| CVE-2025-53770（ToolShell） | Microsoft SharePoint | ✅ | 2025-07-20 | 2025-07-21（1 天） | Known |
| CVE-2024-24919 | Check Point Quantum Security Gateways | ✅ | 2024-05-30 | 2024-06-20 | Known |
| CVE-2024-40766 | SonicWall SonicOS | ✅ | 2024-09-09 | 2024-09-30 | Known |
| CVE-2025-23006 | SonicWall SMA1000 | ✅ | 2025-01-24 | 2025-02-14 | Known |
| CVE-2024-3094（XZ Utils） | XZ Utils | ❌ 未列入 KEV | — | — | — |
2026 年新增 KEV 的邊界裝置趨勢（直接統計）
2026-01-01 至 2026-08-27 共新增 201 筆 KEV。廠商分布前段：Microsoft 36、Cisco 14、Apple 8、Fortinet 6、Ivanti 5、Google 5、Oracle 4、SolarWinds 4。
值得製造業 IT 特別注意者：
- CVE-2026-0257｜Palo Alto PAN-OS 認證繞過｜2026-05-29 收錄｜已知用於勒索
- CVE-2026-50751｜Check Point Security Gateway 不當認證｜2026-06-08｜已知用於勒索
- CVE-2026-15409／15410｜SonicWall SMA1000（SSRF／程式碼注入）｜2026-07-14｜均已知用於勒索
- CVE-2026-20131｜Cisco Secure Firewall Management Center 反序列化｜2026-03-19｜已知用於勒索
- CVE-2026-45659｜Microsoft SharePoint Server 反序列化｜2026-07-01｜已知用於勒索
- CVE-2026-8452｜Citrix NetScaler ADC/Gateway 記憶體越界｜2026-08-26（最新）
- Cisco Catalyst SD-WAN Manager 於 2026 年遭連續收錄 6 筆以上
- Ivanti 重心自 Connect Secure 移轉至 EPMM／Endpoint Manager／Sentry
CISA 緊急指令 ED 25-03（Cisco ASA/FTD）—— 修補時窗的新基準
發布日 2025-09-25，涉及 CVE-2025-20333（RCE）與 CVE-2025-20362（權限提升）。指令明載攻擊者「可竄改唯讀記憶體（ROM）以在重開機與系統升級後持續存在」，且至少早自 2024 年即具備修改 ASA ROM 之能力（關聯 ArcaneDoor 行動）。
期限要求：
- 9/26 23:59 EDT 前完成盤點、上傳 core dump 至 Malware Next Gen 並套用更新
- 9/30 前永久斷開已終止支援的 ASA 硬體
- 10/2 前回報完整清冊
- 後續所有 Cisco 更新須於釋出後 48 小時內套用
已證實（CISA 緊急指令原文）
- 邊界裝置的緊急修補 SLA 必須以小時計（本手冊建議：KEV 收錄且標記 known ransomware use 者，24 小時內完成或隔離）
- 必須假設邊界裝置一旦遭入侵即無法信任其韌體完整性——這代表事件應變程序中，邊界裝置的處置不是「打補丁」而是「更換或重刷 + 憑證全面輪換」
3.6 本章可稽核產出
- 一份「同業事件教訓對照表」，將本章五個案例的落地要求逐項對映至本集團現況（已做／部分／未做）
- 一份「邊界裝置清冊」，含型號、韌體版本、EOL 日期、對外暴露的服務、負責人
- 一份「KEV 緊急修補 SOP」，明訂發現至完成的時限、例外核准層級、無法修補時的隔離替代方案
- 服務台身分驗證程序的書面規範，含帶外驗證要求與 vishing 演練排程
- 一份「降級作業手冊（degraded mode operations manual）」草稿
Chapter 04・§4.1 – §4.8
國家級行為者、內部威脅與 OT 威脅
台灣 ODM 必須把國家級行為者當成常態威脅；Proofpoint「Phish and Chips」；Volt / Salt / Silk Typhoon；APT41 / Winnti；台積電 2nm 案確立的內部威脅模式；勒索軟體不需要碰 PLC。
4.1 為什麼台灣 ODM 必須把國家級行為者當成常態威脅
一般企業的威脅模型可以合理地把 APT 列為「低機率、高衝擊」的尾部風險。台灣電子製造集團不行——原因有三：
- 集團持有的資料（先進製程 know-how、hyperscaler 機櫃設計、車用電子安全機制）本身就是國家級情蒐目標
- 集團位於美中科技競爭的物理與法律交會點
- DBIR 2026 顯示製造業間諜動機仍佔 15%，遠高於歷史基期的 3%
4.2 Proofpoint「Phish and Chips」：最直接相關的一手研究
Proofpoint 於 2025-07-11 發布（7/16 更新）的研究，揭露 2025 年 3–6 月間至少三個中國關聯行為者集群密集鎖定台灣半導體產業，涵蓋製造、封裝、測試、設計、設備服務供應鏈，乃至分析台灣半導體的投資分析師。廠商主張（具名一手研究）
| 集群 | 目標 | 時間 | TTP |
|---|---|---|---|
| UNK_FistBump | 半導體製造、封裝、測試及供應鏈組織 | 2025-05～06 | 冒用遭入侵的台灣大學電郵帳號發送求職主題釣魚；以加密壓縮檔投遞 Cobalt Strike Beacon 與 Voldemort 後門（以 Google Sheets 作 C2） |
| UNK_DropPitch | 主要銀行中專責台灣半導體的投資分析師 | 2025-04～05 | 偽裝虛構投資公司；投遞 HealthKick 後門與原始 TCP reverse shell；濫用 Intel EMA 建立持久化；使用 ProfitServer VPS 與 SoftEther VPN |
| UNK_SparkyCarp | 一家台灣半導體公司 | 2025-03（另 2024-11） | 以「帳號安全警告」為餌的憑證釣魚；自製 AitM 框架；網域 accshieldportal[.]com、acesportal[.]com |
| UNK_ColtCentury | 台灣半導體組織之法務人員 | 2024-10 | 無害開場信建立信任後投遞疑似 SparkRAT；與 TAG-100、Storm-2077 重疊 |
Proofpoint 評估此活動「很可能反映中國在美台出口管制下追求半導體自給自足的戰略優先」。
三個對防護設計的直接影響
郵件網域信譽檢查會失效
UNK_FistBump 的入口是遭入侵的台灣大學電郵帳號——這是合法網域、合法寄件者、有正常 SPF/DKIM/DMARC。任何以「寄件網域信譽」為核心的郵件安全策略對此無效。必須依賴行為分析型的 ICES（Integrated Cloud Email Security）與附件沙箱。
攻擊面包含非技術部門
UNK_ColtCentury 鎖定的是法務人員，不是工程師。法務、財務、採購、人資持有的資料（合約、專利佈局、供應商名單、外派名冊）對情蒐者同樣有價值，但這些單位通常不在資安加強保護的名單上。
求職主題是高效誘餌
人資與用人主管必須開啟外部履歷附件，這是業務必要。對策不是禁止，而是將 HR 收件流程導向專用的隔離環境（例如僅能在瀏覽器沙箱中預覽的招募系統，禁止本機下載）。
4.3 Volt Typhoon：預置（pre-positioning）的意義
CISA 聯合公告 AA24-038A（2024-02-07；共同具名：CISA、NSA、FBI ＋ 澳洲 ASD、加拿大 CCCS、英國 NCSC、紐西蘭 NCSC）已證實：
- 在部分受害者 IT 環境中維持存取與立足點「至少五年」，並多次反覆擷取憑證
- 已確認受害關鍵基礎設施部門：通訊、能源、運輸系統、水與污水
- 高信心評估「行為者正在 IT 網路中預置（pre-positioning）以便中斷 OT 功能」
- 手法：大量使用 living-off-the-land（PowerShell、原生管理工具）而非投放惡意程式
「五年」這個數字改變了偵測策略的設計前提。若對手已在網路中潛伏數年且不使用惡意程式，則：
- 以惡意程式偵測為核心的防護（AV、沙箱）在數學上偵測不到
- 日誌保存期限成為偵測能力的硬上限——若只保留 90 天日誌，五年的入侵無從回溯
- 必須引入行為基線異常偵測（UEBA）與定期威脅獵捕（threat hunting）
4.4 Salt Typhoon 與 Silk Typhoon：電信與 IT 供應鏈
Salt Typhoon（CISA 等多國聯合公告，2025-08-27）已證實：涉及別名 Salt Typhoon、OPERATOR PANDA、RedMike、UNC5807、GhostEmperor；鎖定電信、政府、運輸、住宿、國防；手法核心為利用骨幹路由器漏洞。
Silk Typhoon（Microsoft，2025-03-05）—— 這是對 ODM 最具操作意義的一則廠商主張（Microsoft 一手）：
Microsoft 揭露 Silk Typhoon 策略轉向：不再直攻目標，改為入侵 IT 解決方案供應商以取得下游存取。
- 遭鎖定的供應商類型：IT 服務與基礎架構、遠端監控管理（RMM）、託管服務供應商（MSP）、雲端資料管理、特權存取管理（PAM）廠商
- 核心 TTP：濫用竊得的 API 金鑰與憑證存取下游租戶與客戶環境；密碼噴灑；於 GitHub 蒐集外洩的企業密碼；部署 web shell；操縱 service principal／OAuth 應用程式以外傳資料
- 利用之漏洞：CVE-2025-0282（Ivanti，2025-01 0-day）；歷史上包括 CVE-2024-3400（Palo Alto）、CVE-2023-3519（Citrix）、ProxyLogon 系列
4.5 APT41 / Winnti：已進入司法紀錄的供應鏈攻擊
美國司法部 2020-09-16 公告已證實：起訴 7 名被告，核心公司為 成都 404 網路科技（Chengdu 404）。
- 逾 100 個受害組織，明列產業包含「軟體開發公司、電腦硬體製造商、電信業者、社群媒體、遊戲公司、非營利組織、大學、智庫、外國政府」
- 受害地域明確包含台灣
- 起訴書特別載明供應鏈攻擊：「駭客入侵軟體供應商並修改其程式碼，以利進一步入侵該供應商的客戶」
4.6 內部威脅：台積電 2nm 案確立的三個技術事實
智慧財產及商業法院，2026-04-27 一審判決已證實——台灣首宗國安法「國家核心關鍵技術」定罪案。
| 項目 | 內容 |
|---|---|
| 涉案技術 | 2 奈米製程（經指定為「國家核心關鍵技術」），另涉 14 埃（Å）製程 |
| 適用法律 | 國家安全法（國家核心關鍵技術營業秘密罪，主要）＋營業秘密法（次要） |
| 陳立明（前台積電 Fab 12 良率工程師，後任職東京威力科創行銷部門） | 有期徒刑 10 年 |
| 陳威傑（台積電在職工程師） | 有期徒刑 6 年——未經授權存取台積電資料庫、拍攝敏感檔案並於 2024–2025 年間傳送予陳立明 |
| 呂易穎（前東京威力科創經理） | 湮滅證據罪成立 |
| 東京威力科創子公司 | 罰金新臺幣 1.5 億元（1 億元賠償台積電、5,000 萬元繳交國庫） |
| 手法 | 陳立明利用台積電人脈吸收在職同仁 |
三個無法靠邊界防護解決的技術事實
- 合法帳號：陳威傑是在職員工，使用自己的帳號登入。任何以「阻擋未授權存取」為前提的控制都不會觸發。
- 超出職務需要的資料庫存取權限：他能存取的資料超出其工作所需。這是最小權限（least privilege）未落實的直接後果。
- 以手機拍攝螢幕規避 DLP：所有基於檔案傳輸、剪貼簿、列印監控的 DLP 對此無效。
對應的控制設計（第 16 章詳述）：
- 最小權限＋定期權限再認證（access recertification）：至少每半年由用人主管重新確認每一個高敏感資料庫的存取名單
- 存取行為分析（UEBA）：偵測「查詢量異常」「查詢範圍超出歷史模式」「非常規時段存取」
- 離職前異常查詢偵測：離職申請提出後 90 天回溯 + 前瞻的高敏感資料存取稽核，應為標準程序
- 螢幕浮水印（dynamic watermarking）：無法阻止拍攝，但可在外洩後追溯來源，且具嚇阻效果
- 人脈吸收的偵測：這已超出技術範疇，需要 HR、法務與資安的聯合機制（離職員工赴競爭對手任職的追蹤、異常的內部聯繫模式）
4.7 OT/ICS 威脅：勒索軟體不需要碰 PLC
Dragos 具名威脅群組（與製造業相關）
廠商主張
| 群組 | 狀態 | 相關性 |
|---|---|---|
| KAMACITE | 2026 版列名 | 提供初始存取，交棒予 ELECTRUM |
| ELECTRUM | 2026 版列名 | 具 OT 破壞能力 |
| VOLTZITE | 2026 版列名 | 與 Volt Typhoon 重疊，關鍵基礎設施預置 |
| BAUXITE | 2025 版新命名 | 與 CyberAv3ngers（關聯伊朗 IRGC-CEC）技術重疊 |
| GRAPHITE | 2025 版新命名 | 鎖定東歐與中東的能源、油氣、物流、政府 |
| AZURITE / PYROXENE / SYLVANITE | 2026 版新命名 | 2026 年報告新增 |
ICS 專用惡意程式（Dragos 2025 版，涵蓋 2024）
廠商主張
- FrostyGoop：操縱 Modbus TCP/502 通訊。Dragos 於調查中辨識出全球逾 46,000 台對外暴露、使用 Modbus 通訊的 ICS 裝置
- Fuxnet：歸因於親烏克蘭團體 BlackJack，設計用於攻擊工業感測器網路
最重要的結論：IT 事件足以停產
Help Net Security 依 Kaspersky ICS-CERT Q2 2026 分析指出，勒索集團無需取得控制系統存取即可中斷工業生產。本手冊表列的四個案例全部是此模式的實證：
| 案例 | 被攻擊的是 | 造成的產線後果 |
|---|---|---|
| Asahi（2025-09） | IT 訂單系統 | 日本 6 廠停工 |
| Kojima → Toyota（2022-02） | 供應商 IT 系統 | Toyota 日本 14 廠停產一日 |
| JLR（2025-08） | IT 事件 | 停產 5 週 |
| Foxconn 北美（2026-05） | 網路中斷 | 5 月 5 日第一班無生產 |
4.8 本章可稽核產出
- 一份「非工程部門高風險名單」（法務、財務、採購、人資、高階主管助理），並套用強化的郵件與端點保護
- HR 履歷收件的隔離環境設計（沙箱預覽、禁止本機下載）
- 日誌保存期政策，明訂身分／網路／DNS 日誌保存 ≥24 個月
- 第三方遠端存取盤點表，標註每一條通道的認證方式、是否經 PAM/ZTNA、金鑰是否長期有效
- 高敏感資料庫的存取名單與半年度再認證機制
- 離職前異常存取稽核 SOP
- 新進員工營業秘密聲明與前雇主資料清查程序
Chapter 05・§5.1 – §5.12
法規與客戶合規地景：2026 年的分水嶺
歐盟收緊（CRA、NIS2、RED、GDPR/Data Act/AI Act）、美國鬆綁（CMMC 暫停 Phase II）；台灣法規；客戶驅動的驗證體系；以最嚴時限倒推的單一通報決策樹；AEO 與 CTPAT。
5.1 總體判斷：歐盟收緊、美國鬆綁
2026 年是兩個方向相反的合規年。不可把兩者寫成同向趨勢，否則合規資源會配置錯誤。
| 方向 | 事實 | 對 ODM 的資源意義 |
|---|---|---|
| 歐盟收緊 | CRA Art. 14 通報義務 2026-09-11 起適用；NIS2 已有四國遭移送 CJEU；捷克新法 2025-11-01 生效且逾越 NIS2；RED DA 已於 2025-08-01 適用 | 歐洲廠區與出貨歐盟的產品線，需在 2026H2–2027 投入 |
| 美國鬆綁 | 美國 DoW 2026-07-13 宣布立即暫停 CMMC Phase II（2026-09 以 DFARS 類別偏離制度化）；Phase I 自評與 DFARS 252.204-7012 仍有效 | 不可解散 CMMC 專案，但可延後 C3PAO 驗證預算 |
5.2 EU Cyber Resilience Act — Regulation (EU) 2024/2847
5.2.1 時程（全部 已證實）
以下全部 已證實。
| 里程碑 | 日期 |
|---|---|
| 簽署 | 2024-10-23（Strasbourg） |
| 生效 | 2024-12-10 |
| Chapter IV（Art. 35–51，驗證機構通報）適用 | 2026-06-11 |
| Article 14 通報義務適用 | 2026-09-11（已適用） |
| 主要義務全面適用 | 2027-12-11 |
| 執委會實務指引發布 | 2026-07-27 |
5.2.2 Article 14 的雙軌通報時限
actively exploited vulnerability
- 24 小時內早期預警（early warning）
- 72 小時內漏洞通報（產品資訊、漏洞性質、已採行矯正措施）
- 矯正／緩解措施可用後 14 天內最終報告
severe incident
- 24 小時內早期預警
- 72 小時內事故通報
- 事故通報後 1 個月內最終報告
通報對象：同時送交協調者 CSIRT 與 ENISA，經 Single Reporting Platform 一次提交。製造商並須通知受影響使用者；若製造商延遲，CSIRT 得逕行通知使用者。
5.2.3 兩個必須立即行動的現況風險
風險一：通報義務已適用，應立即啟用平台帳號與流程。ENISA 確認 Single Reporting Platform 已於 2026-09-11 上線；製造商透過 官方平台通報，須完成 EU Login與代表人註冊，選定協調者 CSIRT。已證實
風險二：CRA 調和標準的 OJ 引用須逐項核對。標準化請求 M/606 的交付時程涵蓋 2026-08-30、2026-10-30 與 2027 年尚未證實（2026-09-29 未能以一手來源覆核）。ETSI 於 2026-08-13 宣布 17 項垂直類 EN 304 xxx 最終草案進入 Public Enquiry（核准程序第一階段），依類別於 2026 年 9 月中至 11 月中結束；尚非調和標準。截至 2026-09-29 未見任何 CRA 調和標準刊登於 Official Journal。標準完成不等於自動產生「符合推定」（presumption of conformity），仍須查明是否已刊登於 Official Journal。已證實
5.2.4 Annex I 結構與 SBOM 要求
- Part I — 產品性質之基本網路安全要求（設計、開發、生產階段）
- Part II — 漏洞處理要求（於支援期間 support period，最短 5 年）共 8 點：
- SBOM：識別並記錄產品所含元件與漏洞，包含「a software bill of materials in a commonly used, machine-readable format covering at least the top-level dependencies」
- 無延遲修補漏洞
- 定期有效之安全測試與審查
- 已修補漏洞之公開揭露（含嚴重度與修補指引）
- 協同漏洞揭露政策（CVD policy）
- 提供聯絡管道以利漏洞情資分享
- 安全之更新派送機制（簽章、防竄改）
- 安全更新免費且與功能更新分離（技術可行時）
Annex I 逐字條文於本次查證中僅取得第三方轉錄，正式出版前建議以 EUR-Lex PDF 覆核官方文字。
5.2.5 ODM 特有的「誰是 manufacturer」問題
CRA 的義務主體是「manufacturer」。ODM 為品牌客戶生產含數位元素產品時，誰是 CRA 意義下的 manufacturer 取決於產品以誰的商標上市——通常是品牌商，但 ODM 將透過合約承接 SBOM、漏洞處理與支援期義務。執委會頁面未就 ODM/OEM 責任分配提供細節，此分配問題屬 尚未證實，須依個案合約與後續指引判斷。
5.3 NIS2 Directive (EU) 2022/2555
5.3.1 轉換狀態（2026 年）
| 事項 | 內容 | 等級 |
|---|---|---|
| 轉換期限 | 2024-10-17（Art. 41） | 已證實 |
| 2024-11-28 | 執委會對 23 個會員國發出 letter of formal notice | 已證實 |
| 2026-07-08 | 執委會將 Ireland、Spain、France、Netherlands 移送歐盟法院（CJEU），並請求法院科處一次性罰款及按日罰款 | 已證實 |
| 2026-01-20 | 執委會提出 NIS2 修正指令（COM(2026)13）及 Cybersecurity Act 2（COM(2026)11）；截至 2026-09-29 仍為提案 | 已證實（提案存在） 尚未證實（立法進度） |
5.3.2 Article 21(2) 十項最低要求
(a) 風險分析與資訊系統安全政策；(b) 事故處理；(c) 營運持續（備份管理、災難復原、危機管理）；(d) 供應鏈安全（含與直接供應商／服務提供者關係之安全面向）；(e) 網路與資訊系統取得、開發與維護之安全，含漏洞處理與揭露；(f) 評估風險管理措施有效性之政策與程序；(g) 基本網路衛生實務與資安訓練；(h) 密碼學與加密之政策與程序；(i) 人員安全、存取控制政策與資產管理；(j) 多因素或持續驗證、安全語音／視訊／文字通訊與緊急通訊系統。
Art. 21(3) 另要求考量各直接供應商特定弱點與其產品／資安實務之整體品質。
5.3.3 Article 23 通報
- 24 小時：early warning（載明是否疑似違法／惡意行為、是否具跨境影響）
- 72 小時：incident notification（初步評估、嚴重度、影響、IoC）
- 期中報告：應要求提出
- 1 個月：final report（詳細描述、威脅類型與根因、緩解措施、跨境影響）
5.3.4 捷克：本集團最需要注意的成員國
| 項目 | 內容 | 等級 |
|---|---|---|
| 法律 | Zákon č. 264/2025 Sb., o kybernetické bezpečnosti，取代 181/2014 Sb. | 已證實 |
| 生效日 | 2025-11-01 | 已證實（NÚKIB 官方簡報） |
| 子法 | Vyhláška č. 408/2025 Sb., o regulovaných službách，同日生效 | 已證實 |
| 主管機關 | NÚKIB（布爾諾），內設 GovCERT.CZ | 已證實 |
| 登記 | 符合條件後 60 日內通報登記；多數實體實務期限為 2025-12-31 | 第三方評論 |
| 落地期限 | 自 NÚKIB 登記決定送達之日起 1 年內開始執行安全措施（§13(4)）及事件通報義務（§15(4)）；應以捷克廠實際收受決定日期推算 | 已證實 |
| 雙層制 | vyšší režim（高階）：大型企業、全部 ISP、策略性重要服務；nižší režim（低階）：中型企業、小型 ISP | 已證實 |
| 通報 | 高階：24h 通報 NÚKIB → 72h 詳報 → 30 日（持續中 60 日）最終報告。低階：72h 通報國家 CERT | 已證實 |
| 罰則 | 最高 CZK 250,000,000 | 第三方評論 |
| 鍍金條款（gold-plating） | 捷克逾越 NIS2：所有資安事件均須通報；供應鏈安全義務較廣；明示 ISO 27001 驗證或歐盟實施規則之落實「不足以」滿足捷克法；策略性服務另有供應鏈審查與國內可用性雙年測試 | 第三方評論 |
捷克廠若為中型以上企業，原則上即屬納管，影響數百萬元等級的合規支出。
行動建議：由捷克廠透過 NÚKIB 登記入口（portal.nukib.gov.cz）執行正式自我識別，並取得當地法律意見書，確認企業規模與 NACE 分類。切勿依本手冊或任何二手資料直接認定不納管。
5.4 EU RED Delegated Regulation (EU) 2022/30
| 項目 | 內容 | 等級 |
|---|---|---|
| 法源 | 啟動 RED 2014/53/EU Art. 3(3)(d) 網路防護 / (e) 個資與隱私 / (f) 詐欺防制 | 已證實 |
| 採認 | 2021-10-29 採認，2022-01-12 刊登 OJ | 已證實 |
| 延期依據 | Delegated Regulation (EU) 2023/2444（2023-07-20 採認） | 已證實 |
| 現行適用日 | 2025-08-01（已生效逾一年） | 第三方評論（Notified Body 明確指出） |
EN 18031 系列與 OJ 引用之限制 —— ODM 最常踩雷之處
Commission Implementing Decision (EU) 2025/138 of 28 January 2025（OJ 刊登 2025-01-30）已證實：
- EN 18031-1:2024 → Art. 3(3)(d)（連網無線電設備，網路防護）
- EN 18031-2:2024 → Art. 3(3)(e)（處理資料之設備：連網、育兒、玩具、穿戴）
- EN 18031-3:2024 → Art. 3(3)(f)（處理虛擬貨幣或貨幣價值）
限制條款（極重要）：
- 三者共通：標示為 "rationale" 與 "guidance" 之章節不賦予符合推定；且若允許使用者選擇不建立／不使用密碼（clauses 6.2.5.1–6.2.5.2），即失去符合推定。
- EN 18031-2 另加：玩具與育兒設備之家長／監護人存取控制（clauses 6.1.3–6.1.6）必須實作。
- EN 18031-3 另加：安全更新評估準則（clause 6.3.2.4）不得僅依單一實作方式。
5.5 GDPR、Data Act、AI Act
5.5.1 GDPR 製造商重點
| 條文 | 義務 |
|---|---|
| Art. 32 | 技術與組織措施：加密、假名化、CIA 三性、韌性、定期測試 |
| Art. 33 | 向監理機關通報個資外洩 72 小時內 |
| Art. 34 | 高風險時通知資料主體 |
| Art. 35 | DPIA（如生物辨識門禁、員工監控） |
| Art. 37 | DPO（大規模系統性監控時） |
| Art. 44–49 | 國際傳輸：SCC（Implementing Decision (EU) 2021/914）、TIA——集團內台／中／墨／泰資料流動之核心 |
5.5.2 EU Data Act — Regulation (EU) 2023/2854
| 項目 | 內容 | 等級 |
|---|---|---|
| 生效 | 2024-01-11 | 已證實 |
| 適用日 | 2025-09-12（已生效） | 已證實 |
| 製造商義務 | Chapter II：connected product 須「設計上」即可讓使用者取用其產生之資料（Art. 3）、使用者取用權（Art. 4）、依使用者要求分享予第三方（Art. 5）；禁止不公平契約條款 | 已證實 |
| Art. 3(1) 設計義務之適用範圍 | 依 Art. 50，適用於 2026-09-12 之後投放市場之連網產品 | 已證實 |
| 營業秘密 | 設有保護配套，但不得作為全面拒絕分享之藉口 | 第三方評論 |
5.5.3 EU AI Act 與 Digital Omnibus
| 里程碑 | 日期 | 等級 |
|---|---|---|
| 生效 | 2024-08-01 | 第三方評論／公知 |
| 禁止性 AI 實務 + AI 素養 | 2025-02-02（已生效） | 第三方評論 |
| GPAI 義務 | 2025-08-02（已生效） | 第三方評論 |
| Digital Omnibus on AI＝Regulation (EU) 2026/1744 | 2026-07-08 簽署，2026-07-24 刊登 OJ，2026-07-27 生效（Council 最終通過日 2026-06-29 尚未以一手來源覆核） | 已證實 |
| 獨立式高風險 AI（Annex III） | 延後至 2027-12-02（原 2026-08-02） | 已證實 |
| 嵌入產品之高風險 AI（Annex I） | 延後至 2028-08-02（原 2026-08-02） | 已證實 |
| AI 監理沙盒建置 | 延後至 2027-08-02 | 已證實 |
| Art. 50 透明度義務 | 2026-08-02 起適用（已適用） | 已證實 |
| 既有生成式系統之合成內容標示（Art. 50(2)）過渡期；新增禁止事項（未經同意之性深偽、CSAM） | 2026-12-02 | 已證實 |
5.6 美國：CMMC 與出口管制
5.6.1 CMMC 2.0 的 2026 年變局
| 事件 | 日期 | 等級 |
|---|---|---|
| 32 CFR Part 170「CMMC Program」最終規則刊登 | 2024-10-15 | 已證實 |
| 生效日 | 2024-12-16 | 已證實 |
| 48 CFR DFARS 採購規則（DFARS Case 2019-D041）刊登 | 2025-09-10 | 已證實 |
| 生效日 | 2025-11-10 | 已證實 |
| 🚩 DoW 宣布「立即暫停」CMMC Phase II 要求 | 2026-07-13 | 已證實 |
| DFARS 類別偏離 2026-O0025 Rev.3：將暫停制度化 | 2026-09 | 已證實 |
暫停之內容：原訂 2026-11-10 生效之 Phase II 要求（含 C3PAO 第三方驗證強制化）即刻暫停。
仍然有效：Phase I 自評要求全數維持；DFARS 252.204-7012 保護 covered defense information 之契約義務不變；NIST SP 800-171 Rev 2 仍透過自評與政府主導評鑑執行。
成立 CMMC Reform Task Force，原定 60 日內（約 2026-09-11 前）向 DoW CIO 提出報告；截至 2026-09-29 未見公開報告、重啟日期或新規則；報告先送 DoW CIO，是否公開由其決定第三方評論。後續應持續追蹤，不可推定 Phase II 已重啟或取消。
2026-09 更新：DoW 以 DFARS 類別偏離 2026-O0025 Rev.3（取代 2026-07-16 的 Rev.2）將暫停制度化。契約官須自新舊招標與契約移除 CMMC 第三方驗證要求，僅得要求 Level 1／Level 2 自評，並以 DFARS 252.204-7012／NIST SP 800-171 Rev 2 為基線；2026-11 的 Phase 2 轉換已暫停。既有契約於下一選擇權期間或行政修約時移除相關要求。eCFR 條文（32 CFR 170、252.204-7021／-7025）本身未修改。已證實
5.6.2 CMMC 等級與 Rev 2 / Rev 3 的關鍵區別
| 等級 | 要求 | 評鑑方式 |
|---|---|---|
| Level 1 | FAR 52.204-21 之 15 項要求，保護 FCI | 年度自評，不得有例外或 POA&M |
| Level 2 | NIST SP 800-171 Rev 2（2020-02 版含 2021-01-28 更新）110 項，保護 CUI | 自評 或 C3PAO 第三方 |
| Level 3 | NIST SP 800-172（Feb 2021）精選 24 項強化要求 | DIBCAC 政府評鑑 |
關鍵：32 CFR Part 170 明文採 NIST SP 800-171 Revision 2。Rev 3（2024-05-14 發布）尚未納入 CMMC 規則，DFARS 亦仍指向 Rev 2。已證實
另註：NIST SP 800-172 Rev. 3 已於 2026-05-13 定稿，為 2026 年新出文件，多數市面手冊尚未收錄。CMMC Level 3 未來若改採 Rev 3，將是重大變更點，應納入追蹤。
5.6.3 DFARS 條款與流下義務
- 252.204-7021 Contractor Compliance with CMMC Level Requirements（契約條款）
- 252.204-7025 Notice of CMMC Level Requirements（招標條款）
- 252.204-7012 事故通報（72 小時內報 DIBNet）、媒體保存 90 天
- 252.204-7019 / -7020 SPRS 自評分數
- 分包流下（flow-down）：主約商須將 CMMC 要求流下至會處理、儲存或傳輸 FCI/CUI 之分包商；分包商須自行於 SPRS 登錄自評結果並年度確認，並提供各處理 FCI/CUI 系統之 CMMC UID
5.6.4 ITAR / EAR：技術資料的地理與國籍圍籬
| 項目 | 內容 | 等級 |
|---|---|---|
| ITAR | 22 CFR Parts 120–130；管制 USML 國防物品與 technical data；製造／出口者須向 DDTC 註冊（Part 122）；「出口」包含向外國人釋出技術資料（含美國境內釋出）；22 CFR 120.54(a)(5) 提供端對端加密之安全港（FIPS 140-2 或相當 AES-128，且不得存放於或自 §126.1 國家傳送）；120.54 將於 2026-10-13 新增 (a)(8)(9)（航空器存活性裝備），不影響 (a)(5) | 已證實 — eCFR 2026-09-25 覆核 |
| EAR | 15 CFR Parts 730–774；CCL 於 Supplement No. 1 to Part 774（ECCN）；Commerce Country Chart 於 Supplement No. 1 to Part 738；Country Groups 於 Supplement No. 1 to Part 740 | 已證實 CFR 部號與 Supplement 位置 |
| Deemed Export | 於美國境內向外國籍員工釋出受管制技術，視同對其國籍國之出口——對 ODM 之美國廠與跨國工程協作影響最大 | 第三方評論／公知 |
| Entity List / Affiliates Rule（50% 規則） | BIS 於 2025-09-29 施行關係企業規則（90 FR 47201）：受一個或多個列名實體合計持股 50% 以上者自動受限；2025-11-10 起暫停一年至 2026-11-09（90 FR 50857） | 已證實 |
| 暫停再延長 | 美方官員稱將再延兩個月至約 2027-01-10；截至 2026-09-29 尚無 Federal Register 公告 | 🚩 第三方評論 須向法務／貿易合規確認 |
5.7 台灣
5.7.1 資通安全管理法
| 項目 | 內容 | 等級 |
|---|---|---|
| 現行法 | 2018-06-06 公布，2019-01-01 施行 | 公知 |
| 修正草案 | 行政院 2024-07-04 通過送立法院 | 已證實 |
| 立法院三讀 | 2025-08-29 三讀通過部分條文修正 | 已證實 |
| 公布與施行 | 2025-09-24 總統公布修正全文 35 條；行政院定自 2025-12-01 施行；施行細則、資通安全事件通報及應變辦法、情資分享辦法、責任等級分級辦法等子法已於 2025-12 至 2026-01 修正發布 | 已證實 |
| 修正重點 | ① 公務機關禁止下載、安裝、使用「危害國家資通安全產品」；② 主管機關明定為數位發展部；③ 特定非公務機關應配置資通安全長、建立專責人員制度；④ 資安專職人員適任性查核；⑤ 中央目的事業主管機關之行政調查權；⑥ 未依規定通報資安事件之罰鍰上限由 500 萬元提高至 1,000 萬元 | 已證實 |
| 適用對象 | 公務機關 ＋ 特定非公務機關（關鍵基礎設施提供者、公營事業、政府捐助之財團法人） | 已證實 |
落地要求：採購與資產管理系統須能識別並阻擋受管制品牌之網通／資安產品。這需要在 CMDB 中維護一份「受限廠牌清單」並與採購系統整合。
5.7.2 個人資料保護法與個資會
| 項目 | 內容 | 等級 |
|---|---|---|
| 2023 修法 | 非公務機關個資外洩最高罰 1,500 萬元；增訂第 1-1 條個資會設立依據 | 第三方評論 |
| 2025 修法 | 2025-10-17 立法院三讀 | 第三方評論 |
| 公布日 | 2025-11-11 總統公布 | 已證實 |
| 施行日 | 🚩 由行政院另定，截至 2026-09-29 仍未定；個資會尚未成立（籌備處表示施行日待組織法完成，組織法尚未完成立法） | 已證實 |
| 修正重點 | ① 個資事故知悉即應通知當事人，不以先確認違法為前提；② 應向個資會通報並立即採取有效應變措施；③ 個資會為主要主管機關並具執法權，設 6 年過渡期；④ 公務機關設個人資料保護長；⑤ 對個資會處分改採直接行政訴訟 | 第三方評論 |
| 子法草案預告 2026-01-22（預告期 60 日） | ①《個人資料檔案安全維護管理辦法》②《個人資料事故通知通報及應變辦法》③《個人資料保護長及相關人員執掌職能條件及訓練辦法》④ 施行細則修正；2026-02 至 03 另預告推進會議運作、檢查非公務機關作業、公務機關稽核等辦法；截至 2026-09-29 均僅預告、尚未發布 | 已證實 |
| 通報時限 | 知悉個資事故起 72 小時內通報並通知當事人；觸發門檻：涉特種個資、逾 1 萬筆、或影響逾 100 人 | 第三方評論 |
5.7.3 金管會上市櫃公司資安要求
資安人力分級已證實（金管會 2023-03-09 新聞稿）
| 級別 | 家數 | 定義 | 應設置 | 期限 |
|---|---|---|---|---|
| 第一級 | 115 家 | 實收資本額 ≥ NT$100 億、或臺灣 50 成分股、或主營電子商務仲介 | 資訊安全長 ＋ 資安專責主管 ＋ 資安專責人員 ≥2 人 | 2022 年底 |
| 第二級 | 1,387 家 | 上述以外之上市櫃公司（排除連續虧損或每股淨值低於面額者） | 資安專責主管 1 人 ＋ 資安專責人員 ≥1 人 | 2023 年底 |
| 第三級 | — | 其餘 | 指定人員兼任 | — |
年報揭露：自 2022 年度起，年報應揭露資安風險管理架構、資安政策、具體管理方案、投入資安管理之資源、重大資安事件損失、可能影響及因應措施。已證實
金管會 2024-03-05 精進措施已證實：修正《上市上櫃公司資通安全管控指引》；提高資訊安全內部控制查核比重；於重大訊息 FAQ 明確化資安事件重大性標準；強化子公司資安監督；推動加入 TWCERT/CC。
ESG 評鑑指標 S-12（115 年第一屆；原公司治理評鑑指標 2.24）已證實
| 要件 | 內容 | 計分 |
|---|---|---|
| 要件 1 | 建置風險管理架構：設資安專責單位、設置資安主管、設資安委員會、定期檢討政策、定期向董事會報告 | 三要件須全數符合方得基本分 |
| 要件 2 | 訂定並揭露資安政策與具體管理方案 | 同上 |
| 要件 3 | 量化揭露投入資源：資安保險金額、人力數、會議頻率、資產監控覆蓋率 | 同上 |
| 要件 4 | 取得 ISO 27001／CNS 27001 或同等標準之第三方驗證，並揭露效期起訖日（須涵蓋 115 年） | 加 1 分 |
5.7.4 TWSE 重大訊息：最緊迫的通報時限
已證實（TWSE 重大訊息參考問答集 115 年 3 月版）
- 依《重大訊息之查證暨公開處理程序》第 4 條第 1 項第 26 款發布
- 重大性認定範圍：綜合評估「財務損失、商譽或智慧財產權之損害、顧客或供應商關係之影響、競爭優勢之喪失、修補漏洞及未來加強資安保護措施之成本」
- 具體應發布情形：
- 「重要資通系統、官方網站等，遭駭客攻擊或入侵，致無法營運或正常提供服務」
- 「個資、大量內部文件檔案資料有外洩之虞」
- 同一事件遭不同主管機關罰鍰累計達 100 萬元
- 未設損失金額佔實收資本額百分比之門檻，採重大性原則個案判斷
- 時限：回應媒體報導之資安事件，至遲不得逾發現後或經證交所通知後 2 小時內辦理
5.7.5 營業秘密法與國家核心關鍵技術
| 項目 | 內容 | 等級 |
|---|---|---|
| 國家安全法第 3 條 | 2022 年修法增訂經濟間諜罪，侵害「國家核心關鍵技術之營業秘密」者加重處罰；並增訂域外使用之處罰 | 第三方評論 |
| 首批清單 | 2023-12-05 國科會公告 22 項（含 14 奈米以下製程、後量子密碼等） | 第三方評論 |
| 前版清單 | 32 項（2024-12-31 修正） | 已證實 |
| 增修預告 | 國科會預告增修為 42 項（新增 10 項、變更 1 項），預告期至 2025-12-08；領域涵蓋國防科技、太空、農業、半導體、資安、量子、能源、AI | 已證實 |
| 現行清單 | 42 項：行政院 2026-02-13 公告修正（院臺科字第1141037623號），即日生效 | 已證實 |
5.8 客戶驅動的驗證體系
5.8.1 TISAX / VDA ISA —— 版本制度已於 2026 年改變
| 項目 | 內容 | 等級 |
|---|---|---|
| 2026 年現行版本 | VDA ISA 6（2023-10 發布，2024-04-01 起委託之評鑑適用；ENX 頁面未標示 6.0.3） | 已證實 |
| 新版 VDA ISA 2027 | 2026-07-01 正式發布（ENX 於 TISAX 十週年公布） | 已證實 |
| 強制適用 | 2027-01-01 起委託之 TISAX 評鑑一律適用 ISA 2027；以 ISA 6 開立初次評鑑最遲至 2027 年 3 月 | 已證實 |
| 命名制度變更 | 廢除 6.0.x 版號，改為年度命名（ISA 2027）；每年夏季發布、次年 1 月 1 日生效（原三年一版） | 已證實 |
| 模組 | Information Security（43 項控制項修訂）、Prototype Protection（重構為 Basic (AL2) 與 Facilities (AL3) 兩級）、Data Protection | 第三方評論 |
| AI 模組 | 無獨立 AI 模組；ISA 2027 僅以雲端服務示例（AI chatbots、AI agents）納入 AI，ENX 表示 AI 已涵蓋於 ISA 既有控制項 | 已證實 |
| 評鑑等級 | AL1（自評）／AL2（遠距＋文件）／AL3（現場深度） | 第三方評論 |
5.8.2 RBA —— 一項必須澄清的常見誤解
| 項目 | 內容 | 等級 |
|---|---|---|
| RBA Code of Conduct 8.0 | 2024-01-01 生效 | 已證實 |
| RBA VAP Standard V8.1 | 2026-09-27 版（前版 8.0.2 為 2025-03-10）；新增 "Risk of Non-conformance" 類別，另僅就工時新增 "Opportunity for Improvement" | 已證實 |
| VAP 評鑑方式 | document review、interviews with management and employees、visual site survey；現場評鑑 1–5 天；不符合項分 minor / major / priority 三級，V8.1 另增 risk of non-conformance | 已證實 |
| V8.1 新定義 | 將 "IT Services" 供應者（含資安服務）列為服務供應商類型；此非對受稽廠區的資安稽核範圍，但下述「VAP 不含資安」的判斷應以 V8.1 重新確認 | 已證實 |
RBA CoC 8.0 的 Ethics 章節確有「Protection of Identity and Non-Retaliation」（申訴人身分保護）、「Privacy」、「Intellectual Property」等與資安相關的條款，但這些是行為準則的要求，不等於 VAP 稽核會查核資安控制。
結論：客戶的資安要求來自獨立的資安條款，不可與 VAP 混為一談。若銷售或客戶服務單位以「我們通過 RBA VAP」回應客戶的資安問卷，將構成不實陳述風險。
5.8.3 車用電子
- ISO/SAE 21434:2021「Road vehicles — Cybersecurity engineering」，2021-08-31 發布，2026-07-15 起進行系統性審查已證實。要求全生命週期資安工程、TARA、分散式資安活動與 Cybersecurity Interface Agreement（CIA）——ODM 作為 Tier-1/Tier-2 必須與 OEM 簽署 CIA 並承擔分工
- UN R155/R156（CSMS/SUMS 型式認證）透過 OEM 流下至供應商第三方評論
- TISAX 為德系 OEM 之資訊安全入場券
5.8.4 半導體設備（SEMI）
已證實（SEMI 官方頁）
| 標準 | 全名 | 發布 | 範圍 |
|---|---|---|---|
| SEMI E187 | Specification for Cybersecurity of Fab Equipment | 2022-01 | Fab 設備 by-design 資安基線：OS 支援、網路安全、端點防護、資安監控 |
| SEMI E188 | Specification for Malware Free Equipment Integration | 2022-02 | 設備交付與支援期間之防惡意程式：網路存取控制、安裝、升級、還原程序 |
| SEMI E191 | Specification for Computing Device Cybersecurity Status Reporting | 2024-10 | 設備商須就每台連廠網之運算裝置回報裝置識別碼、OS 製造商／名稱／版本／build |
| SEMI E191.1 | SECS-II Protocol for Computing Device Cybersecurity Status Reporting | — | E191 之 SECS-II 實作 |
性質：SEMI 標準為自願性技術協議，但台積電等大廠已於採購合約中強制要求（客戶驅動）第三方評論。
5.8.5 客戶稽核要求的公開程度：一張必須知道的對照表
這是本手冊在客戶合規章節最重要的一張表——它區分了「可查證的義務框架」與「不可公開的技術要求細節」。
| 客戶 | 公開資安要求文件 | 可公開查證程度 | 等級 |
|---|---|---|---|
| Microsoft | SSPA ＋ DPR v12（FY26）：全文公開、多語版（含簡體中文）、獨立評鑑報告範本公開 | 高 | 已證實 |
| Apple | Supplier Code of Conduct v5（2025-11-11 生效）§6.5–6.8：框架公開；§6.6 Information Security 採併入引用（incorporation by reference）指向「Apple's Information Security and Data Privacy requirements」，該技術要求文件不公開 | 中 | 框架 已證實／內容 尚未證實 |
| 無。其公開的 vendor security assessment 頁面是 Google 作為受評供應商的資料，非 Google 對供應商的要求 | 無 | 尚未證實 | |
| NVIDIA | 有 PSIRT 政策與 AI Trust Center；對供應商的資安要求無公開文件 | 無 | 尚未證實 |
| Meta / HPE / Dell | 本次未取得公開供應商資安要求文件 | 無 | 尚未證實 |
| RBA VAP | 官方範圍不含資安 | 確認不適用 | 已證實 |
Microsoft SSPA/DPR 的細節（唯一可完整公開引用的 hyperscaler 範例）已證實：
| 項目 | 內容 |
|---|---|
| 核心文件 | Microsoft Supplier Data Protection Requirements (DPR) |
| 現行版本 | Version 12（FY26） |
| 適用範圍 | 全球所有處理 Personal Data、Microsoft Confidential Data 及／或使用 AI Systems 的供應商 |
| 觸發分類 | ① Personal Data ② Microsoft Confidential Data ③ AI Systems（v12 新增重點） |
| 合規方式 | ① 自我聲明（self-attestation） ② 經選定者須完成獨立評鑑（Independent Assessment） |
| 週期 | 年度合規循環 |
| 新供應商 | 未完成 SSPA 前不得開始工作 |
- 不要對外宣稱「Google 要求供應商符合 X」除非有合約依據——這類陳述無公開文件可佐證，一旦被質疑會損害可信度。
- DPR v12 新增 AI Systems 為觸發分類，代表集團若以 AI 工具處理 Microsoft 相關業務資料，將觸發額外的合規義務。這是第 23 章 AI 治理必須涵蓋的場景。
- Apple §6.6 的併入引用模式，代表實際技術要求存在於合約附件而非公開文件。集團的合約資料庫必須能夠檢索「每個客戶對我方的具體資安技術要求」，否則稽核時無法證明遵循。
5.9 通報與揭露：以最嚴時限倒推的單一決策樹
5.9.1 美國 SEC 資安揭露規則
已證實（SEC 2023-07-26 新聞稿）
| 項目 | 內容 |
|---|---|
| Form 8-K Item 1.05 | 判定重大（material）之資安事件後 4 個營業日內揭露 |
| Regulation S-K Item 106 | 年度（10-K）揭露資安風險管理流程、策略與治理（含董事會監督） |
| 外國發行人（FPI） | Form 6-K 揭露事件、Form 20-F 年度揭露 |
| 合規日 | 年度揭露自 2023-12-15 以後結束之會計年度起；事件揭露自 2023-12-18 起 |
5.9.2 全球通報時限總覽
| 時限 | 來源 | 觸發條件 |
|---|---|---|
| 1 小時 | 中國《國家網絡安全事件報告管理辦法》 | CII 營運者之網路安全事件（2025-11-01 施行） |
| 2 小時 | TWSE 重大訊息 | 回應媒體報導之資安事件 |
| 4 小時 | 中國《國家網絡安全事件報告管理辦法》 | 一般網路營運者向省級網信部門報告（2025-11-01 施行） |
| 24 小時 | EU CRA Art. 14 | 遭實際利用之漏洞／嚴重事故之早期預警 |
| 24 小時 | NIS2 Art. 23 | 重大事故早期預警 |
| 24 小時 | 中國網路數據安全管理條例 Art. 10 | 危害國家安全與公共利益之資料安全缺陷 |
| 24–48 小時 | 客戶合約（美國上市客戶最常見） | 可能影響客戶之資安事件 |
| 72 小時 | GDPR Art. 33 | 個資外洩通報監理機關 |
| 72 小時 | CRA / NIS2 第二階段 | 完整事故通報 |
| 72 小時 | 台灣個資法（修正後） | 個資事故通報個資會並通知當事人 |
| 72 小時 | DFARS 252.204-7012 | 通報 DIBNet |
| 4 個營業日 | SEC Form 8-K Item 1.05（客戶端義務） | 重大資安事件 |
| 14 天 | CRA | 漏洞最終報告 |
| 1 個月 | CRA / NIS2 | 事故最終報告 |
- 是否涉及媒體／已對外曝光 → 觸發 2 小時重訊路徑
- 是否涉及含數位元素產品 → 觸發 CRA 24 小時路徑
- 是否涉及歐盟受規範實體 → 觸發 NIS2 24 小時路徑
- 是否涉及客戶資料或可能影響客戶產品 → 觸發合約 24–48 小時路徑
- 是否涉及個資 → 觸發 GDPR/個資法 72 小時路徑
- 是否涉及中國境內重要資料 → 觸發 24 小時路徑
六條路徑的判定必須在同一份表單、同一次會議中完成，由法務、資安、投資人關係、業務四方共同判定。
5.10 AEO 與 CTPAT
| 制度 | 資安相關內容 | 等級 |
|---|---|---|
| EU AEO | 法源 UCC Regulation (EU) 952/2013 Art. 38–39 ＋ Implementing Regulation (EU) 2015/2447；類型 AEOC／AEOS／併用；準則含 Art. 39(e) 適當之安全與保安標準；AEO Guidelines 明訂 IT 安全措施要求（存取控制、備份、災難復原、資料完整性、實體機房安全） | 已證實 |
| US CTPAT | 現行版為 Minimum Security Criteria – Foreign Manufacturers（2021-10）；第 4 節 Cybersecurity（4.1–4.13） 為獨立類別，要求含書面資安政策（Must）、惡意程式防護、定期安全測試、年度政策檢視、依角色授權與離職撤銷存取（Must）、個人帳號與強密碼、遠端存取採 VPN 或 MFA（MFA 為建議）、個人裝置、仿冒軟體、資料備份（Should，異地／雲端為建議）、媒體盤點與清除；資安訓練列於 12.8 | 已證實 — CBP MSC PDF 2026-09-29 覆核 |
5.11 主合規總表
完整版見附錄 B。以下為 ODM 集團最須優先處理的十項：
| 順位 | 法規／標準 | 關鍵日期 | 核心義務 | 本集團行動 |
|---|---|---|---|---|
| 1 | EU CRA Art. 14 | 2026-09-11 | 24h/72h/14d 通報至 CSIRT+ENISA | 已適用：完成 EU Login 與平台代表人註冊、選定協調者 CSIRT、演練 24/72 小時通報 |
| 2 | TWSE 重大訊息 | 現行 | 回應媒體 2 小時內 | 預擬重訊範本與發言授權鏈 |
| 3 | 客戶合約通知 SLA | 現行 | 24–48h 通知客戶 | 盤點所有客戶合約之通知條款與時限 |
| 4 | 捷克 Act 264/2025 Sb. | 2025-11-01 生效 | 登記決定送達後 1 年內落地；所有事件均須通報 | 立即完成自我識別與登記（CZ-NACE 26 中大型企業屬納管） |
| 5 | 金管會資安人力與年報揭露 | 現行 | 資安長＋專責單位；揭露人力數與資源 | 確保揭露內容與實際能力一致 |
| 6 | 中國 CSL（2025 修正） | 2026-01-01 生效 | 罰鍰上限 RMB 1,000 萬、個人 100 萬 | 中國區合規檢視 |
| 7 | EU RED DA | 2025-08-01 已適用 | 連網產品不得允許免密碼 | 寫入 PLM 設計規範與 NPI 檢核點 |
| 8 | TISAX / VDA ISA 2027 | 2027 起強制 | 年度改版節奏 | 建立年中檢視新版流程 |
| 9 | CMMC Phase I | 現行（Phase II 已暫停） | SPRS 自評、SSP/POA&M（Rev 2） | 維持現況，延後 C3PAO 預算 |
| 10 | 台灣個資法修正 | 施行日待定 | 72h 通報 + 通知當事人 | 建置大量當事人通知能力 |
5.12 本章可稽核產出
- EU Login 註冊完成證明 ＋ 各歐盟實體之國家 CSIRT 聯絡窗口清單
- CRA 角色分配標準合約條款範本
- 捷克廠 NÚKIB 正式自我識別結果與當地法律意見書
- 一份「單一通報決策樹」流程圖與判定表單
- 預擬之重大訊息草稿範本（三種情境：系統中斷／資料外洩之虞／主管機關裁罰）
- 客戶合約資安條款資料庫（可依客戶檢索技術要求與通知時限）
- PLM 設計規範中的 RED DA 密碼強制條款
- 受管制品牌清單並與採購系統整合
Chapter 06・§6.1 – §6.7
中國法律隔離：ODM 集團最硬的結構性約束
先破除「中國法律要求完全獨立 IT 系統」的錯誤前提；CSL 2025 修正的罰則躍升與個人責任；跨境傳輸三軌與門檻；無法以技術化解的法律衝突；隔離架構六個決策點；隔離與集團治理可視性的張力。
6.1 一項必須先破除的錯誤前提
「中國法律要求外資企業建立完全獨立的 IT 系統」——這個說法在法源上無法成立。（本手冊查證結論）
中國的跨境資料傳輸法制提供三條合法路徑，並設有明確的豁免門檻。2025 年 3 月 CAC 公布的數據顯示：受審的 509 項資料項中，325 項獲准出境第三方評論。這個核准率不支持「資料絕對不能出境」的假設。
6.2 中國法規現況（2026-08-30 查證，2026-09-29 更新）
| 法規 | 通過／發布 | 生效 | 等級 |
|---|---|---|---|
| 網路安全法（CSL） | 2016-11-07 | 2017-06-01 | 已證實 |
| CSL 2025 修正 | 2025-10-28 全國人大常委會通過 | 2026-01-01（已生效） | 已證實 |
| 資料安全法（DSL） | 2021-06-10 | 2021-09-01 | 已證實 |
| 個人資訊保護法（PIPL） | 2021-08-20 | 2021-11-01 | 已證實 |
| 網路數據安全管理條例 | 國務院令第 790 號，2024-09-24 公布 | 2025-01-01 | 已證實 |
| 促進和規範數據跨境流動規定（CAC） | 2024-03-22 公布 | 公布日即生效 | 第三方評論（逐條譯本） |
| MLPS 2.0／等級保護 2.0（GB/T 22239-2019） | 2019-05-10 發布（現行） | 2019-12-01 | 已證實 國家標準全文公開系統 |
| 國家網絡安全事件報告管理辦法（CAC） | 2025-09-15 公布 | 2025-11-01 | 已證實 |
| 個人信息出境認證辦法 | 2025 公布 | 2026-01-01 | 已證實 |
| 網絡數據安全風險評估辦法（CAC／工信部／公安部） | 2026-06-18 公布 | 2026-08-20 | 已證實 |
| 小型個人信息處理者個人信息保護簡化措施規定 | 2026 公布 | 2026-09-01 | 已證實 |
6.2.1 CSL 2025 修正的罰則躍升
已證實
| 情形 | 修正前 | 修正後 |
|---|---|---|
| 首次違規 | 警告 | 警告 → RMB 1 萬–5 萬 |
| 拒不改正 | RMB 1 萬–10 萬 | RMB 5 萬–50 萬 |
| 造成嚴重後果（資料外洩、關基受損） | — | RMB 50 萬–200 萬 |
| 特別嚴重 | — | RMB 200 萬–1,000 萬 |
| 個人責任 | — | RMB 5 萬–100 萬 |
| CIIO 首次違規 | 警告 | RMB 5 萬–10 萬 |
| 未經認證之網路安全產品 | — | 沒收並處違法所得 5 倍以下 |
另新增第 20 條：國家支持 AI 基礎理論與關鍵技術研發、訓練資料與算力基礎設施、倫理規範與風險監測。
6.2.2 網路數據安全管理條例（790 號令）關鍵條號
已證實（中國司法部官方英譯）
| 條號 | 義務 |
|---|---|
| 第 9 條 | 加密、備份、存取控制等技術措施 |
| 第 10 條 | 安全缺陷通報；涉及危害國家安全與公共利益者 24 小時內報告 |
| 第 11 條 | 立即啟動應急預案並及時通知受影響方 |
| 第 21–22 條 | 告知義務；敏感個資單獨同意、未滿 14 歲須監護人同意 |
| 第 33 條 | 重要資料處理者每年風險評估並報省級主管機關（《網絡數據安全風險評估辦法》2026-08-20 施行後，報告須於評估完成後 20 個工作日內報送主管部門，無明確主管部門者報網信部門） |
| 第 35–38 條 | 出境條件；第 37 條重要資料出境須通過 CAC 安全評估 |
6.2.3 跨境資料傳輸的三軌與門檻
第三方評論（逐條譯本）
| 情形 | 機制 | 條號 |
|---|---|---|
| 不含個資與重要資料 | 豁免 | 第 3 條 |
| 境外來源個資於中國境內處理後回傳（未引入境內資料） | 豁免 | 第 4 條 |
| 履行契約所必需／依法制定之勞動規章制度實施人力資源管理／緊急情況保護生命健康／年度累計出境 <10 萬人個資 | 豁免 | 第 5 條 |
| 10 萬–100 萬人個資，或敏感個資 <1 萬人 | 標準合約備案 或 個人資訊保護認證 | 第 8 條 |
| >100 萬人個資，或敏感個資 >1 萬人；或 CIIO 出境個資／重要資料 | CAC 安全評估 | 第 7 條 |
| 自貿區 | 得制定負面清單，清單外資料豁免 | 第 6 條 |
三條路徑的有效期第三方評論：安全評估 三年（原兩年已延長）；標準合約備案於協議存續期間有效，僅目的、地點、接收方重大變更時須更新；PIP 認證由 CAC 認可機構發證。
重要數據定義：「與特定領域、群體、區域相關，或達到一定規模或敏感度，其洩露或外洩可能危害國家安全、經濟穩定、社會秩序或公共健康之數據」。企業無須自行認定，除非主管機關通知。
可稽核產出：中國各廠的勞動規章制度文本、民主程序證明（職代會紀錄）、公示證明，應由 HR 保存並可供資安／法務調閱。這是技術架構之外、但決定架構合法性的文件。
6.3 真正驅動隔離的三個因素
既然法律未強制完全隔離，為什麼實務上仍要隔離？本手冊的分析是：驅動因素是三項可查證因素的交集，而非單一法規。
重要數據認定的不確定性
企業無須自行認定重要數據，須待主管機關通知。這在營運上是規劃風險——今天合法出境的資料，可能在被認定為重要數據後即需重新走 CAC 安全評估。架構若已假設可自由出境，屆時的改造成本極高。隔離是對這個不確定性的對沖（hedge）。
敏感個資 1 萬人門檻對製造集團極易觸發
中國三廠（上海浦東、重慶、天津）員工規模以萬計。一旦傳輸涉及敏感個資（生物特徵門禁資料、健康檢查紀錄、金融帳戶），1 萬人門檻極易跨越，即需 CAC 安全評估。這使「把所有員工資料統一放在全球 HR 系統」在合規上變成高成本選項。
客戶合約要求
如 §5.8.5 所述，客戶（尤其美國品牌）的資料處理要求可能與中國落地要求直接衝突。客戶可能要求「本專案資料不得存放於中國境內」或「中國員工不得存取本專案資料」——這是合約隔離要求，與 PIPL 無關，但同樣需要技術隔離來落實。
6.4 無法以技術架構化解的法律衝突
DSL 第 36 條與 PIPL 第 41 條規定：未經中國主管機關批准，不得向境外司法或執法機關提供境內資料。這與以下三者存在無法以技術架構化解的直接衝突：
| 衝突對象 | 衝突情境 |
|---|---|
| 美國 eDiscovery | 美國訴訟中的證據開示要求集團提供中國境內的郵件、文件、日誌 |
| CMMC / DFARS 稽核 | 美國政府或 C3PAO 要求檢視處理 CUI 之系統，若該系統或其備份涉及中國 |
| 客戶稽核 | 美歐客戶要求稽核中國廠區的資安控制並取得日誌、組態、人員名單 |
- 合約層：在所有客戶合約中預留「以當地法律為限（subject to local law）」條款，明訂當提供資料將違反所在地法律時，雙方以替代方式（現場檢視不帶走、匯總統計、第三方見證）滿足稽核目的。
- 架構層：中國區的稽核證據在境內產生、在境內保存、以匯總形式對外呈現。例如中國區 SIEM 保存原始日誌於境內，僅將「告警數量、處理時效、未修補高風險漏洞數」等匯總指標送出。
- 治理層：設立跨境資料請求的單一審核窗口（法務主導，資安與中國區合規參與），任何來自境外的資料請求一律經此窗口，不得由個別單位自行回應。
- 紀錄層：所有拒絕提供的請求均須留存書面紀錄與法律依據，以備日後向境外機關說明。
6.5 中國區隔離架構的六個決策點
以下為本手冊建議的架構決策清單。每一項都需要明確的「隔離 / 受控連通 / 共用」三選一決定，並記錄理由。
| # | 決策點 | 選項 | 本手冊建議 | 理由 |
|---|---|---|---|---|
| 1 | 身分（IdP） | 完全獨立租戶 / 同租戶不同網域 / 完全共用 | 完全獨立租戶 | 避免全球目錄無差別複寫中國員工個資；且客戶的「中國員工不得存取」要求最容易在獨立 IdP 上落實 |
| 2 | 業務系統資料庫（ERP／MES／PLM／HR） | 境內實例 / 全球實例 | 境內實例，與海外實例分離 | 對沖重要數據認定的不確定性；HR 資料依第 5 條豁免回傳匯總即可 |
| 3 | 網路連通 | 完全斷開 / 受控閘道 / 全球 WAN 直連 | 受控閘道 | 完全斷開會使營運不可行；受控閘道可稽核、可阻斷，並對應合法性基礎 |
| 4 | 資安維運（SIEM／EDR 遙測） | 境內 SIEM / 全球 SIEM / 雙軌 | 境內 SIEM ＋ 僅送出去識別化告警 | 日誌含個資與可能的重要資料；EDR 遙測回傳原廠雲端須確認資料落地位置 |
| 5 | 雲端 | 中國雲（阿里／騰訊／Azure China／AWS 寧夏北京）/ 境外雲 | 中國雲，且須完成等保定級與備案 | 對外提供服務之系統依 MLPS 2.0 定級（多為二級，關鍵者三級） |
| 6 | 密碼與金鑰 | 國際演算法 / SM 系列 | 涉及等保三級者須符合中國密碼法與 SM 系列要求 | 商用密碼合規要求 |
6.6 隔離與集團治理可視性的張力
這是台灣 ODM 特有的治理難題。金管會 2024-03-05 精進措施明文要求「強化子公司資訊安全監督」已證實；同時，ESG 評鑑指標 S-12（原 2.24）要求母公司揭露集團層級的資安管理架構與投入資源。但技術隔離會削減母公司對子公司的可視性——母公司要證明對中國子公司的資安監督有效，卻無法取得其原始日誌與詳細組態。
本手冊建議的解方框架：治理層可視性與技術層隔離分離設計。
| 層次 | 中國區 | 集團總部 | 說明 |
|---|---|---|---|
| 技術層 | 獨立 IdP、境內資料庫、境內 SIEM、受控閘道 | 無直接存取 | 隔離 |
| 指標層 | 產生標準化的資安指標 | 接收匯總指標 | 指標定義由總部制定、數值由中國區產生：修補時效、告警處理時效、教育訓練完成率、高風險弱點數、事件數與分級 |
| 稽核層 | 接受總部委任之稽核 | 接收稽核報告 | 由總部指派或委任第三方於境內執行稽核，帶回稽核報告（結論與不符合項）而非原始資料 |
| 政策層 | 執行總部政策，並疊加當地法規要求 | 制定集團政策基線 | 政策一致、實作可異 |
| 事件層 | 依集團分級標準通報 | 接收事件通報與處理狀態 | 通報內容為事件描述與分級，不含原始日誌 |
6.7 本章可稽核產出
- 一份「中國區架構決策紀錄（Architecture Decision Record）」，逐項記錄 §6.5 六個決策點的選擇與理由
- 中國各廠勞動規章制度文本、民主程序證明與公示證明（HR 保存，資安／法務可調閱）
- 一份「跨境資料請求審核程序」，含單一窗口、審核表單、拒絕紀錄範本
- 客戶合約中的「以當地法律為限」標準條款
- 一份「中國區資安指標定義書」，明訂哪些指標須產生、頻率、計算方式
- 中國區系統的等保定級與備案清單