OT（Operations Technology）」涵蓋用於工業自動化的實體與數位設備，範圍包含 PLC、SCADA、HMI、RTU 以至網路交換機與感測器等裝置。儘管「ICS」（Industrial Control System）與 OT 多被交替使用，但 OT 的範疇更廣，不僅是控制系統，亦包括支持工業流程的整體基礎設施。每一個 OT Asset，是一個可識別且可管理的設備，應該納入統一資產清單（inventory），並含關鍵屬性如型號、位置、固件版本、網段位置等，以當作資安管理的「Single Source of Truth」。

為什麼需要 OT 資產管理？

依據 NIST、德國 IT 安全法規、歐盟「Cyber Resilience Act」等標準，OT 資產管理是資安底層功能，支撐風險評估、漏洞與補丁管理、配置控管與事件回應等一切後續工作。缺乏完整資產管理，OT 網路與 IT 流程融合後將喪失可見度，設備異動無法掌控，風險無法量化。

🔧 資產盤點方式：被動 vs 主動

• 被動監控：如流量封包擷取，但僅可發現連線中設備，無法掌握離線設備或細部資訊。

• 主動偵測：透過工業通訊協定（如 Modbus、DNP3）主動探測，可識別網段拓撲、固件版本與非線上設備等，在 OT 環境中，主動偵測效益顯著，需平衡掃描強度與安全影響，是建構全面資產清單的必要手段。

🛠 管理流程與核心功能

完整的 OT 資產管理應包括：

1. 持續識別與登錄：定期更新清單，以反映新增或移除資產。

2. 變更與配置管理：記錄設備組態、補丁、固件版本等，以供合規性與稽核使用。

3. 漏洞與補丁管理：依據資產資料自動關聯 CVE，優先處理高風險設備。

4. 政策與審核：建立授權與未授權設備控制政策，主動偵測不符項並回報 WaterISAC+7OTbase by Langner+7media.journoportfolio.com+7。

⚠ 注意事項與風險

• 安全vs 可用性：OT 系統對可用性高敏感，主動掃描策略必須謹慎設計，避免觸發設備異常。

• 資料準確度依賴於流程管理：盤點不只是技術性任務，亦是人為流程管控考驗。

• 使用者教育不可少：組織須有專責團隊維護資產資料，並與 OT 運營部門合作。