2022 年初國際半導體產業協會 (SEMI) 結合半導體產業鏈上中下游、數位發展部數位產業署及產、學機構的力量，推出由台灣主導的半導體晶圓設備資安標準 SEMI E187-Specification for Cybersecurity of Fab Equipment（以下簡稱 SEMI E187)。標準擬定完成後，如何協助產業逐步導入 SEM …

EU《Cyber Resilience Act》達成最終協議，將加強連網產品（從智慧玩具到工業機械產品）的網路安全，解決硬體和軟體中的漏洞。 生效後，硬體和軟體產品的製造商、進口商和分銷商將有 36 個月的時間適應新要求，但與製造商的事件和漏洞報告義務相關的要求，將只有 21 個月的寬限期。 新 CRA 法規主要希望達成的目標如下: ⚠ 新法引入了歐盟範圍內針對硬體和軟體產品的設計、開發、生產和上市的網路安全要求，以避免歐盟成員國不同立法產生的重疊要求。（🚩為何重要？製造商將需要關注自家產品的 security development lifecycle、量產到產品退役階段的網路安全議題！） ⚠ 該法規將適用於所有直接或間接連接到其他設備或網路的產品。（🚩為何重要？涵蓋的製造商、開發商、系統整合商範圍將更加廣泛！） 備註：現有歐盟規則中已規定網路安全要求的產品除外，如醫療設備、航空產品和汽車。

隨著工業自動化和智慧製造的發展，工廠的生產流程和營運資料都逐漸數位化，因此也面臨了更大的資安威脅，產業界也開始關注 OT 資安。為了保護工業控制系統（ICS）的安全，國際電工委員會（IEC）發佈了 IEC 62443 系列標準，為工業自動化系統的安全設計、開發、部署和運維提供了一套內外兼顧的指引。以往的資安標準都專注在 IT 領域，像是公司內機房或雲端郵件伺服器。然而，這些經驗與標準無法完全移植到 OT 資安，因為兩者抱持的理念與面對的情境並不完全相同。 比如說 OT 系統更注重可用性且設備壽命相當長，因此我們無法直接使用 IT 資安的控管方式。再者，若是 IT 資安遭遇威脅，通常只會產生經濟後果；OT 資安倘若發生事故，則可能影響人員的生命安全，甚至是社會運作。目前 IEC 62443 相對來說，是一個相對完整的標準，除了系統技術之外，它還包含了對於流程與人員的管理面要求，共分為四個部分：

#IEC62443 #OT #Cybersecurity #Development Lifecycle 今天台灣國際智慧能源週 (Energy Taiwan) 剛結束，就剛好看到 BV 德國資安團隊傳出的好消息。 PROGNOST 的監控系統已在業界有 20 多年的專業經驗，特別是石油和天然氣行業提供先進的監控系統、診斷服務和機械保護。這次的 IEC 62443–4–1 取證過程，PROGNOST Systems 和 Burckhardt Compression AG 兩家公司攜手合作，在軟體和硬體兩個層面的物聯網監控系統開發流程 (Software and Product Development Lifecycle) 上共同取證，導入 IEC 62443 系列資安標準與認證可確保貴公司的工業控制系統符合最高的網路安全標準，不存在已知漏洞並針對公認的網路威脅提供最大程度的保護，並能為您的客戶減低 OT 場域的風險與損失。

I’m glad to complete the Aalto EMBA Marketing Module led by Prof. Hannu Seristö. Our discussions in class through those 5 case studies (LaRoche-Posay, Wine War, Vestas Wind System, Rolex, and Star Alliance) were valuable and inspiring. All the participants identified the problems and shared their points of view. I…

2021 年 European Commission 通過了 #無線設備指令 增加 Article 3.3 (d), 3.3 (e) & 3.3 (f) 三項資安相關的要求，涵蓋了有無線功能的消費類電子和工控物聯網產品，可說是影響非常廣泛的法案！ 在 2023 年五月份時，看到的最新消息是在 6 月 21 日之後，European Commission 正式決定延長這三個條款強制遵守的時間點，目前草案是建議延至 2025 年 8 月 1 日。 Amending Delegated Regulation (EU) 2022/30 as regards the date of application of the essential requirements for radio equipment and correcting that Regulation. [Amendment] In Article 3 of Delegated Regulation (EU) 2022/30, the second paragraph is replaced by the following:

前幾天開始了《管理經濟》的課程，林教授先從個體經濟開始和大家分享，並要求大家同步思考在工作上的應用。 課後回家的路上，剛好刷到一段章義伍老師的視頻，章義伍老師是多所學校 EMBA 課程的特聘教授，曾擔任麥當勞和聯想在中國市場的經理人。 他在共贏領導力一書和多場演講中都有分享這段話： 「很多公司發生的狀況是，不做事的人對做事的人擁有評價權。」 沒事的人盯着做事的人，議論做事的人做的事，使得做事的人做不成事、也做不好事。 於是老闆誇獎沒事的人，因為他看到了有人做不成事；於是老闆訓誡做事的人，因為他真的沒有做成事。 一些沒事的人總是沒事做。一些做事的人總有做不完的事。一些沒事的人滋事鬧事，使得做事的人不得不做更多的事。 「結果，好事變壞事，小事變大事，簡單的事變複雜的事。」 套用到經濟學的法則，效率市場會自動調整供需、價格之間的關係，這些不做事的人會做出這樣的選擇，表示公司或組織內提供了這些人行為的剩餘價值高過了讓他們動手做事的價值，所以他們才做出對自己最有利的選擇。

全球首款獲得 ISA/IEC 62443–4–2 主機設備認證的工業電腦 — 聽聽來自 Bureau Veritas 和 Moxa 團隊的深度分享 As IT/OT convergence continues to advance, the need for enhanced network security, endpoint protection, strong reliability, and a long lifecycle becomes critical for the development of next-generation Industrial IoT (IIoT) systems that can effectively defend against cyberthreats. In order…

淺談 ISA/IEC 62443 資安標準在A級關鍵基礎設施單位中的應用方式 #關鍵基礎設施 #OT #Cybersecurity #IEC62443 #資通安全責任等級 為積極推動國家資通安全政策，加速建構國家資安環境，以保障國家安全，維護社會公共利益，數位發展部資通安全署與各界專家制定的資通安全管理法及子法，目的就是為了協助各個責任等級的機關建立一個完整的 cybersecurity 防護框架，降低遭受網路攻擊時的風險與損失。 在「資通安全責任等級分級辦法」中也明確定義了 A 級、B 級、C 級、D 級及 E 級 （資安責任等級由高至低）的機關，這次的建議則是會著重於 A、B、C 三個等級的機關單位，像是涉及國家機密、國防外交、區域醫院、關鍵基礎設施…等。 在「資通安全責任等級分級辦法」中同時由管理面、技術面、認知與訓練三個層面，提到了各級機關單位的應該要執行的事項，其中與敝公司這類型的公正第三方單位有關的事項包含了：