台積電總裁魏哲家在八月六日的記者會上,提到機台的作業系統主要使用Windows 7,沒有進行即時系統安全性更新,也是此次栽在老病毒WannaCry的原因之一。
聽來尋常的電腦更新,為什麼台積電會做不到?「工業機台參數特意調整過,不容易做修補程式的更新。」趨勢科技資深技術顧問簡勝財指出,尤其連嵌入式設備也要全面更新修補程式,是一大工程。
簡勝財也強調,雖然WannaCry去年就出現,已經是老病毒,但是散布極為快速,變種迭代也不斷出現,不能將之視為絕種的病毒,仍得提防。
美國政府呼籲:自動化工廠應導入「白名單」
工研院資訊與通訊研究所所長闕志克指出,現在的智慧工廠多半是加一道防火牆擋住外來惡意軟體,但碰上台積電這一課,業界會進一步開始思考,智慧工廠如何防止類似的事情發生。
闕志克長期研究資安產業,他觀察,為了保護重要產線,美國政府已公開建議自動化工廠導入「白名單」機制。所有自動化工廠機台或控制發電設施的電腦、固定功能的設備和系統,都以白名單機制正面表列限制電腦能運行的程式,只執行該執行的任務。
-
白名單:相對於負面表列的黑名單為拒絕名單,正面表列的白名單則為允許名單,限制比較嚴格。
為了保護產線,這應該是智慧工廠的基本款,但白名單現在仍不是主流,因為牽涉到設備原廠支援,所以在台灣還不普遍。闕志克指出,台積電若有導入白名單,即使帶有病毒的新機台連上其他機台,病毒也無法作怪。
對於工廠來說,要落實資安,不僅要投入金錢、還有時間,優先順序難免被擱到產能之後;但資安不只是防毒系統產品,更要落實在人員教育及管理策略,才是一體。
「資安看不到,對平常營收沒有幫助,對ROI(投資報酬率)又沒有影響。」工研院產業科技國際策略發展所研究總監楊瑞臨指出,病毒事件對台積電長期而言是正面影響,因未來導入自動化、大數據及AI(人工智慧),資安環節將愈來愈重要。