【iThome 2023資安大調查系列2】一般製造業企業資安風險圖（2023～2024）

一般製造業是各產業中IT預算最低，也是資安預算最少的產業，2023年資安預算平均只有329萬元，約占IT預算的8%。一般製造業者的資安信心也比其他產業來得低落，一般製造業對資安能力有信心的企業大約只有21%（其中只有5.3%對自家資安能力極度有信心）。但是，今年一般製造業的資安投資比去年多了一成五，也反映出已有一些一般製造業開始正視資安資源不足的問題。

一般製造業所面臨的資安挑戰依舊不小，在2022年的遭駭指數為54%，比整體產業指數50％來得略高，平均一年遭駭天數達到198天。需要通報到資安長的重大資安事件平均約16.5件。發現攻擊時間平均約8.6天，得花3.5天才能復原，復原能力比高科技製造業來得強上許多。

一般製造業資安預算有限更需要投入高風險衝擊又高的風險項目，從整體資安態勢來看，未來一年，一般製造業需要特別注意的首要風險是勒索軟體資安事件，這是連續第三年出現在一般製造業首要風險中。其次，未來一年需要優先留意的次要風險則是釣魚網站和社交工程手段，尤其社交工程手段在去年，不論衝擊程度或發生風險都是名列第三的項目，但在未來一年，發生風險提高了，名列第一，成了企業需要特別留意，這將會是企業員工經常面對的資安風險項目，必須格外提高員工資安意識才能順利因應。

其餘在第一象限衝擊高風險也高的資安風險項目，還包括了商業郵件詐騙、駭客攻擊、資安漏洞事件、網路犯罪者的攻擊、資料外洩事件、顧客資安事件，今年新增列的兩項生成式AI風險，對一般製造業來說，ChatGPT資安事件和ChatGPT淪為輔助攻擊工具的風險也較高，同樣列入了第一象限。

許多一般製造業的企業，在2023年開始重新評估和調整他們的IT策略，重點轉而聚焦在加強IT彈性和數位韌性，來因應疫後新常態的挑戰。隨著這幾年陸續強化IT系統建置，尤其今年有6成一般製造業想要打造更強健的數位體質，加速內部流程數位化和自動化，2成想要強化供應鏈韌性，這些投資也連帶改善了一般製造業者技術債的影響，老舊系統對一般製造業者的影響，在今年調查中，大幅減少了許多，只有24.4%企業認為系統老舊成為擋不住網攻的原因，比去年的31.6%比例改善了不少。

ChatGPT是一般製造業今年最想採用的熱門技術項目，但是，對其他產業來說，ChatGPT資安事件多半不會列入第一象限，而是第二或第四項象限，但卻是一般製造業得留意，得不斷提醒員工，避免將企業機敏資料外流到ChatGPT上而有外洩的風險。

另外，一般製造業者還得留意三項風險項目的變化，來自內部人員，包括了現任員工或離職員工所發動的攻擊，成了未來1年快速崛起的風險項目，排名竄升速度遠高於其他項目，而物聯網攻擊和深偽冒用事件也處於第一象限邊緣，快要進入高衝擊和高風險的警戒清單中，一般製造業若有餘裕，也可以多加注意。

 企業資安風險圖製作說明  在iThome 2023年CIO暨資安大調查中，由企業自評各資安項目的兩項指標，一項是該項目對企業帶來的衝擊程度（衝擊極高和衝擊極低），另一項是這個項目未來1年的發生風險（極可能發生與極不可能發生），再換算成不同程度的量化數據來製圖。垂直軸是該項目對企業的衝擊，位置越往上代表衝擊越大，水平軸是企業未來1 年發生該項目的風險，位置越右，代表可能性越大。紅色文字的項目為今年發生風險明顯提高者。

 問卷說明  大調查執行期間從2023年4月20日到5月10日，對臺灣大型企業、歷屆CIO大調查企業、政府機關和大學的IT與資安主管，進行線上問卷，有效問卷407家，其中59.8%填答者為企業資安最高主管。

資料來源：2023 iThome CIO大調查，2023年7月