想像一下，工廠產線突然停擺，資安人員急忙衝進現場，卻發現沒人知道這台故障的機器到底是誰管的、能不能重啟，甚至連它有沒有連上網路都不清楚。這不是電影情節，而是許多企業在維護工廠安全時面臨的真實慘狀。
台灣 CIO 雜誌 報導指出，合勤投控資安長觀察到一個危險現象：許多企業在會議室裡談的是高深的安全架構和工具，但一回到工廠現場，卻連最基本的「資產真相」都掌握不住。這裡提到的 OT，也就是營運技術，是指工廠裡用來控制生產設備的系統。舉例來說，PLC 就像是自動化設備的微型大腦，負責控制機器手臂的動作；而 HMI 則是人機介面，也就是操作員下達指令的觸控螢幕。如果連這些大腦和螢幕由誰維護、跑什麼版本都不知道，資安防禦就只是蓋在沙灘上的城堡。
為什麼會陷入這種困境？因為多數組織把資產盤點看成一次性的專案，而不是日常營運的一部分。美國國家標準暨技術研究院下的中心，也就是 NCCoE，在二零二六年中特別啟動了關於 OT 環境資產管理的專案。這項行動提醒管理層，問題不在於不知道要盤點，而是沒能將資料轉化為決策依據。如果沒有真實的現場資料，後續談再多的風險控制，都只是建立在想像之上的管理空談。
合勤投控資安長建議企業精進治理流程，應從三件事補起：
第一是基礎識別。企業必須持續知道現場有哪些系統，而非依賴當年的驗收清單。雖然工廠環境變動較慢，但設備汰換或臨時維修都會讓資料失真。難點在於舊設備對掃描很敏感，因此必須將更新責任納入日常的維護流程。
第二是營運脈絡。光知道設備在那裡不夠，還要了解它在製程中的角色。停機五分鐘會損失多少錢？誰有權限做變更？如果資安團隊缺乏這些資訊，所有的系統弱點看起來都會一樣危險，導致資源錯置。
第三才是安全控制。目前許多企業的做法是倒過來，先買昂貴的偵測工具或訂指標，最後才發現基礎資料根本對不起來。這種報表看起來很精美，其實只是在掩蓋對現場掌握度不足的事實。
這對董事會與高階主管來說是一個警訊。OT 投資如果只看工具數量或告警數字，很容易誤判成熟度。現在應該追問的是：我們能不能在合理時間內，說清楚哪些關鍵設備還在用舊版本？哪些例外處理已經超過核准期限？如果連這些問題都答不出來，管理層就必須警覺，目前的資安防線可能比想像中脆弱得多。
[ 文章來源：連資產真相都掌握不住，OT 治理多半只會停在紙面 ]
