美國 CISA 公布「CISA 2030」策略：從被動防守改為搶先清掉駭客據點，點名營運技術（OT）與軟體安全，60 天內開始檢討、180 天內交實施方案、365 天內報進度

趨勢新聞2026 年 10 月 28 日

美國網路安全暨基礎設施安全局（CISA）是美國負責網路防禦的聯邦機關，也發布「已遭利用漏洞目錄」（KEV，只收已確認有人拿來攻擊的漏洞），本站另一則報導的 PHP 漏洞讓 WordPress 網站也在範圍內，也出自這份目錄。CISA 美國時間 10 月 26 日公布接下來幾年的工作方向，叫〈CISA 2030: Defend, Harden, Prevail〉（防禦、強化、致勝），全文 12 頁。白話說，它要從被動防守改成主動出擊：和業者一起找出駭客已經偷偷取得的系統權限並清掉，不讓對方拿來破壞電力、供水、交通、通訊這類系統，並把人力集中在一旦停擺衝擊最大的設施上。這份策略沒有對企業新增任何規定，也沒有列預算金額。本站的讀法：對台灣一般人，短期內看不到直接變化；有關係的是賣工廠控制設備、軟體給美國電力、水務等客戶的台灣廠商，策略點名的營運技術與軟體安全，之後可能變成客戶問卷上的題目。

三大支柱各寫了什麼

第一根支柱「防禦」（Defend），要 CISA 帶頭做全國網路防禦，整合政府、企業、州與地方政府、國際組織的力量。底下四項目標裡，本站的讀法是有兩項跟台灣廠商最近：一是營運技術（OT，監測或控制實體設備與流程的系統，例如工廠產線、電廠、淨水廠裡的控制系統），CISA 要和業者一起把 OT 環境現代化、看得清楚有哪些設備、偵測異常，並「確保 OT 供應鏈的完整性」（assure OT supply chain integrity，本站譯）；二是軟體安全，CISA 要和夥伴制定以資料為依據的指引與最佳做法，推動「軟體安全與供應鏈透明」（software security and supply chain transparency，本站譯）。這一節也點名超級智慧與量子運算，說 CISA 要主導這類技術的安全分析。

第二根支柱「強化」（Harden）講排優先順序。策略舉的例子是能源、供水、交通與電信，並寫 CISA 會「降低不針對特定威脅、涵蓋所有災害的做法的優先順序」（deprioritize threat-agnostic, all-hazards approaches，本站譯），改用以風險和後果為準的分析，把資源放在一旦中斷，對公共安全、經濟和國安衝擊最大的設施。第三根支柱「致勝」（Prevail）講韌性，也就是被打中之後還能撐住、快速恢復：CISA 要強化十個區域辦公室，擴大政府緊急時的優先通訊服務，用上 5G／6G 與商用衛星星系，並更新演練與規劃能力。

「主動預判」要改什麼

CISA 代理局長安德森（Nick Andersen）在策略的開場信寫，為了執行川普政府 2026 年 3 月的〈美國網路戰略〉與第 14239 號行政命令，CISA 將從被動防禦，轉為「積極、預判的姿態，在敵人把據點武器化、用來攻擊我們的系統之前，主動清除他們在國防關鍵基礎設施裡的據點」（an aggressive, anticipatory stance that actively eliminates adversarial footholds in defense-critical infrastructure prior to weaponization against our systems，本站譯）。他也承認，再強的防禦都不保證擋得住入侵，所以重點包括駭客進來後要能很快發現、把人趕出去，讓關鍵運作不中斷。

策略前言還有一段自我檢討：CISA 成立八年，任務範圍一直變動、優先順序不清，「犧牲了因應威脅所需的專注與靈活」（have come at the expense of the focus and agility，本站譯），所以要改變運作模式。新聞稿裡，安德森呼籲關鍵基礎設施業者、供應商與科技製造商「現在就行動」（act now，本站譯）。這是呼籲，不是命令；策略全文沒有寫任何罰則或期限是給企業的。

時程：三個期限都是給 CISA 自己的

策略〈The Path Forward〉一頁（印刷頁碼第 8 頁）列出三個期限，主詞都是 CISA：60 天內開始檢討核心服務與能力，180 天內交出實施方法與衡量成果的方式，365 天內報告執行進度。文件沒有寫從哪一天起算；本站以公布日 10 月 26 日推算，大約是 2026 年 12 月 25 日、2027 年 4 月 24 日與 2027 年 10 月 26 日。新聞稿把 180 天那項寫成「提出實施策略並衡量成果的計畫」，和策略全文的用字略有出入，意思相同。

跟台灣有什麼關係

先講已知的。12 頁全文沒有提到台灣，也沒有提到 KEV 目錄或任何既有指引會怎麼改。台灣負責資通安全業務的專責機關是數位發展部資通安全署，《資通安全管理法》的主管機關是數位發展部，法中的「關鍵基礎設施提供者」由中央目的事業主管機關指定、報行政院核定，也有應盡的資安義務。CISA 的策略是美國機關自己的工作方向，不會改變台灣的法定義務。

再講推論，以下都是本站的讀法。第一，這份策略沒有宣布 KEV 作業有任何變更，企業可以照現行的 KEV 與原廠公告評估修補，再留意 CISA 後續公布的具體措施。第二，賣可程式邏輯控制器（PLC，用來控制機器運作）、工業電腦、網通設備或軟體給美國電力、水務、交通客戶的台廠，「OT 供應鏈完整性」與「供應鏈透明」可能落到客戶的採購問卷上，例如要你交代設備裡用了哪些軟體元件、出了漏洞多久修。策略沒有點名要哪一種文件，所以現在能做的是先把產品的軟體組成與修補紀錄整理好，而不是急著去拿某一張證書。第三，策略說資源要依風險與中斷後果排序，但沒有說用什麼門檻或名單判斷，哪些美國客戶會感受到變化，目前無法判斷。

不確定的部分也很多：策略沒有預算數字，所以本則沒有新台幣換算；沒有列出哪些設施算「最重要」，只說會協助白宮建立國家風險登錄冊（National Risk Register，用來描述並量化國家基礎設施風險）；檢討後會不會調整、整併或縮減哪些服務，文件也沒有說明，三個期限也沒寫成果會不會對外公開。