19. 某智慧製造工廠計畫導入零信任安全架構( Zero Trust Architecture, ZTA)以保護其營運技術(Operational Technology, OT)網路。相較於傳統的資訊技術(Information Technology, IT) 環境，在 OT 場域中實施 ZTA 時，面臨的最大挑戰通常是什麼？
(A) 使用者身分多元，難以統一管理
(B) 缺乏足夠的網路頻寬來處理持續的驗證請求
(C) 大量老舊的工業控制系統(ICS)與設備不支援現代化的身分驗證協定
(D) OT 環境中的資料流量過於龐大，難以進行深度封包檢測(Deep Packet Inspection, DPI)

這題的正確答案是 (C) 大量老舊的工業控制系統(ICS)與設備不支援現代化的身分驗證協定。

以下為您解析為什麼這是 OT 場域導入零信任（Zero Trust）時最棘手的「痛點」：

核心解析

零信任架構的核心原則是 「永不信任，始終驗證 (Never Trust, Always Verify)」。這意味著每一次的存取請求，都需要經過強大的身分驗證（如 MFA、SSO）與加密傳輸。

然而，在 OT (營運技術) 環境中，這與現實狀況存在巨大的鴻溝：

1. 設備生命週期極長 (Legacy Systems)：

   IT 設備（電腦、手機）通常 3-5 年汰換一次，容易支援最新的 OS 與資安協定。但工廠內的 PLC（可程式化邏輯控制器）、HMI 或 CNC 機台，往往一用就是 10 年、20 年甚至更久。

2. 缺乏原生資安設計 (Insecure by Design)：

   當初設計這些老舊工控設備時，預設環境是封閉的（Air-gapped），根本沒考慮過資安。

   • 它們運算能力低，跑不動複雜的加密運算。

   • 它們使用 Modbus、PROFINET 等明文傳輸協定，完全不具備「驗證身分」的功能。

   • 它們通常無法安裝代理程式 (Agent) 來執行零信任所需的端點檢查。

結論： 你無法要求一台 20 年前的 PLC 跳出視窗要你輸入帳號密碼，或是進行多因子認證。這使得「以身分為中心」的零信任架構難以直接套用在這些終端設備上，通常需要透過「補償性控制措施」（如在前端加裝資安閘道器）來解決，這是與 IT 環境最大的差異。

其他選項為何不是主要挑戰？

• Option (A) 使用者身分多元，難以統一管理

  • 雖然 OT 環境涉及原廠廠商、維護人員與操作員，身分確實複雜，但這在 IT 環境（供應鏈管理）同樣存在。透過 IAM (身分識別存取管理) 系統通常可以解決，並非技術上的「硬傷」。

• Option (B) 缺乏足夠的網路頻寬來處理持續的驗證請求

  • 身分驗證封包的流量極小，對於工廠網路頻寬的負擔微乎其微。OT 網路擔心的通常是「延遲 (Latency)」而非「頻寬 (Bandwidth)」。

• Option (D) OT 環境中的資料流量過於龐大，難以進行深度封包檢測 (DPI)

  • 事實上，OT 的控制指令流量通常比 IT 的多媒體流量小得多且規律。目前的工業級防火牆已有足夠效能處理 OT 協定的 DPI 解析。真正的問題在於有些專有協定是不公開的，導致 DPI 看不懂內容，而非流量太大。