主要心得
- 關鍵基礎設施可能因企業網路而遭受中斷，而近期公共醫療領域的案例顯示，單一使用者涉及惡意檔案的操作，便可能引發連鎖反應，進而導致營運中斷。
- 電子郵件仍是攻擊面中最繁忙的入口之一：這是一個設計上便能大規模觸及裝置及其操作者的通道。
- 隔離環境仍需仰賴來自連網側的內容，因此在檔案傳入更敏感的系統之前，進行上行檢測至關重要。
- 創新對韌性至關重要，但對於每個新的供應商、系統整合及更新管道，其規劃應與其所帶來的營運效益同樣謹慎。
- 針對此一現實所建構的防禦機制，將電子郵件安全視為多層次、整體性模型的支柱之一，在內容傳遞至讀者（無論是人還是機器）之前，便進行檢查並降低風險。
關鍵基礎設施可能在「空氣間隙」之前就遭到干擾
在關鍵基礎設施領域中，隔離往往被視為安全的終極目標：將網路分段、為最敏感的系統建立物理隔離，問題便能得到控制。然而，業務運作其實發生在隔離核心之外：排程、物流、計費、製程歷史資料庫、監控等。這些領域同樣也是攻擊面。
因此，問題不僅在於「空氣間隙」後方有何設施，更在於在任何威脅抵達該處之前，哪些環節可能遭到破壞。對於許多關鍵基礎設施組織而言——包括醫院、銀行以及若位於「空氣間隙」後方便無法正常運作的交通網絡——業務網路是其基礎設施體系中的重要組成部分。
而這個領域有一扇特別繁忙的「前門」。電子郵件是攻擊面中最繁忙的入口之一，也是每個組織出於設計考量而刻意保持開放的管道，因為工作就是透過這個管道傳入：供應商的更新、承包商的文件，以及啟動專案的試算表。它帶來雙重威脅：一方面透過可執行的檔案和連結侵襲裝置；另一方面則透過說服使用者開啟這些檔案來影響人員。鮮有其他管道能以類似的規模同時達成這兩點。 以下案例皆屬公開紀錄，並展示了電子郵件、惡意檔案或可信用戶的操作，如何成為引發更廣泛營運中斷的第一步。
愛爾蘭衛生服務執行局是少數選擇完全透明處理的受害者之一，該局委託並發布 了一份獨立審查報告，因此才能對此案進行詳細剖析。 2021年3月，一名使用者誤點了釣魚電子郵件，導致其工作站遭惡意軟體感染。攻擊者隨後在該環境中潛伏八週才觸發勒索軟體，並利用這段時間入侵伺服器與特權帳戶、進行橫向移動，並竊取資料，直到全國範圍內出現明顯中斷前，其活動都未被察覺。 該醫療服務機構為遏止疫情蔓延，關閉了其資訊科技系統。各醫院改用紙筆作業，全國範圍內的預約皆被取消，恢復運作耗時超過四個月，截至 2024 年 11 月，修復成本估計達1.02 億歐元。
電子郵件安全疏失極少僅止於電子郵件層面；它可能引發連鎖反應，導致營運中斷與業務受阻，並造成財務損失。 2024年，Ascension 表示，一名員工下載了惡意檔案，該組織將此描述為「無心之失」。這起事件迫使這家全美規模最大的醫院網絡之一不得不改派救護車、延後醫療服務，並事後通報共有5,599,699 人受到影響。
資安主管應考量的一種情境是：起初看似一切如常，攻擊者潛伏在企業網路內部，竊取網路拓撲圖、工程文件、帳密、維護時程表，甚至轉帳工作流程本身等資訊。 而當「窺探」轉化為「行動」時，其後果甚至可能波及實體世界。據報導，2015 年針對烏克蘭電力網的攻擊便是如此展開：公開報導與技術分析指出，攻擊者先是透過攜帶 BlackEnergy 惡意軟體的魚叉式網路釣魚電子郵件，成功入侵企業網路；隨後進行偵察、竊取憑證，並有組織地破壞變電站。該事件影響了約225,000 名用戶。一則受信任的訊息、一項例行操作，卻引發了多重營運後果。
攻擊面持續擴大
關鍵基礎設施之所以進行創新，是因為它別無選擇。威脅情勢日益加劇，對系統正常運作時間的期望不斷提高，而系統的韌性也越來越依賴於更智慧、更互聯的系統。 一座過去二十年來始終採用相同運作邏輯的變電站，如今可能已連線至雲端分析系統；一台過去每班次僅需人工檢查一次的泵浦，如今可能已將遙測數據串流傳送至供應商；而過去僅在設備故障後才進行的維護，如今則可能由人工智慧與機器學習驅動的預測機制所引導。這些改進並非可有可無的干擾，而是關鍵基礎設施與時俱進的關鍵所在。只要安全模型能隨著周邊技術一同演進，其中蘊藏的機遇將十分可觀。
每一波創新都會帶來變革：新的程式碼、新的整合方案、新的供應商、更新管道，以及新的遠端存取路徑。透過周詳的規劃，這些變革都能被妥善管理。資安主管可以定義資料的流動方式、供應商的連線方式、更新的驗證流程，以及內容在進入敏感工作流程前應接受檢查的環節。風險不在於創新本身，而在於未經規劃的信任。 每家新供應商和承包商都可能建立新的電子郵件往來關係，其中包含附件、發票及更新通知，而使用者通常會被預期開啟這些內容。攻擊面隨之擴大，那些看似合法卻不可信的內容得以滲透的入口點數量也隨之增加。
那麼，當現代化進程的速度超越了針對其設計的防禦措施時，會發生什麼情況？這就是所謂的「複合效應」：即使攻擊者的能力從今天起停滯不前，安全風險仍可能持續擴大，因為環境中不斷出現新的連線點。人工智慧與機器學習雖能提升防禦方的運作韌性，但攻擊者的能力同樣未見放緩跡象。在攻擊端，人工智慧能加速研究、鎖定目標及迭代過程，這使得有計畫且具適應性的資安措施，成為「負責任創新」的一部分，而非其障礙。
鮮有營運商能精確預測五年後自身環境將呈現何種樣貌，因此今日的安全架構，或許早已僅在守護昨日的網路拓撲。目標並非阻礙創新，而是確保安全措施能與創新同步演進。隔離機制依然重要，但它僅是更廣泛韌性模型中的一層防護，而非唯一的解決方案。
這讓我們陷入什麼境地
資安主管們通常會透過提出三個問題來評估威脅：攻擊者是否具備意圖、能力與機會？對於許多關鍵基礎設施環境而言，這三個問題的答案都越來越多地呈「是」。
- 意圖： 關鍵基礎設施會遭到敵對勢力有針對性地攻擊，這些攻擊者會事先研究其攻擊目標，而由於潛在的回報足以抵銷所付出的努力，因此關鍵基礎設施很可能仍會是攻擊目標。
- 能力： 攻擊行動日益工業化，人工智慧降低了建置、測試及輪替攻擊活動的成本。
- 機遇：隨著創新將過去獨立運作的系統相互連結，而內容也持續跨越殘存的界線，攻擊面隨之產生變化。
這三者背後都蘊含著一對相同的恆量：人們將持續依賴電子郵件，因為這是維持營運不可或缺的；而內容也將持續跨越我們所劃定的許多界線，因為這正是企業運作的方式。
針對此一現實所建構的防禦機制，其架構清晰可辨。它將電子郵件安全視為周邊防線中最繁忙的關卡之一，並據此配置相應資源，作為整體模型的支柱之一。 該防禦體系在該入口處分層部署控制措施，各層負責不同任務，確保在收件者（無論是人還是機器）接觸內容之前，便已對其進行檢查並降低風險。它利用運作迴路中的 AI 輔助分析，以實現更快速的關聯分析、更迅速的分流處理，並從被攔截的攻擊嘗試中更快地學習，從而更貼近攻擊者設定的節奏。此外，由於威脅環境持續變化，它將持續改進視為負責任現代化的一部分。
值得帶回您自身環境中思考的問題很簡單：當內容流向您最無法承受損失的系統時，最後一個真正對其進行檢查的點在哪裡？而該點能否識別出那些刻意設計成看似安全且值得信賴的內容？對許多組織而言，追溯該內容最初抵達之處，往往會回到同一個地方：收件匣。
