挪威首度公開全國網路風險等級就是「高」：成功得逞的網路攻擊半年增為 3 倍，國防、太空、關鍵基礎設施列高風險，小供應商可能被當跳板，AI 讓找漏洞更快
趨勢新聞2026 年 10 月 28 日
挪威負責國家資安的國家安全局（NSM）10 月 27 日（挪威時間）第一次對外公布「全國網路風險等級」，一公布就是「高」，五級裡的第二高。NSM 說，過去半年針對挪威企業與機構、成功得逞的網路攻擊增為 3 倍；國防、太空、關鍵基礎設施，以及替攸關國安單位提供服務的業者，都面臨高風險。跟台灣讀者有關的是另外兩句：攻擊次級供應商（常是小公司），可能是為了借道進入供應鏈的其他單位；AI 找漏洞比人快，企業補洞也得跟著快。本站的讀法：如果你是替大廠、醫院或公家單位維護系統的台灣業者，這兩個提醒同樣值得參考。談到這次調整，NSM 局長 Arne Christian Haugstøyl 對 VG 說，等級調高不代表挪威多數民眾更容易受害。
「高」是什麼意思，以前是幾級
NSM 原文列的五級是：非常低、低、中等、高、極高。「中等」被當成常態，意思是本來就預期會有人攻擊挪威企業。這次 NSM 用的動詞是「調高」，但據 TV2 報導，以前的等級和評估都列為機密；NSM 原文沒有寫上一次是哪一級，本站能確定的只有「中等」是常態基準。據 VG 報導，風險等級和威脅評估是兩回事，威脅只是風險的一部分，挪威的威脅等級另由情報單位與警察安全局追蹤。
為什麼現在公開？局長在原文說：「NSM 以前從沒公開過這類評估。現在這麼做，是因為非得加強挪威企業的韌性與應付網路攻擊的能力。」（本站譯）VG 另報導，公開也是為了讓拿不到機密資訊的供應商看得到。
3 倍、小供應商與舊設備
NSM 原文寫，國防部門、國防工業與太空產業暴露在高風險中，關鍵基礎設施與替攸關國家安全單位提供服務的業者也是；這些單位不斷遭到偵察、入侵嘗試與實際入侵、勒索軟體，以及阻斷服務攻擊（DDoS，用大量流量把網站或服務塞到打不開）。局長說，成功得逞的網路攻擊半年增為 3 倍，其中幾起後果嚴重。本次 NSM 公告未列實際件數，也未指名攻擊者；據 TV2 報導，局長說俄羅斯常被提到，但 NSM 不針對特定行為者，國家與犯罪集團都可能是威脅。
小供應商這一點，原文寫攻擊也打到攸關國安單位的次級供應商（分包商），可能是攻擊者想借此進入供應鏈中更上層的單位；VG 引述局長說，這類供應商往往是小企業。據 VG 報導，局長說的另一個入口是收不到安全更新的舊設備或設定錯誤的設備，從家用路由器到防火牆都算。VG 與 TV2 都報導，局長舉了奧斯陸近郊 Lørenskog 市政府大量資料被偷、拿到暗網販售的案子，以及今年稍早電信業者 Telia 的資料外洩。
AI 這段要讀仔細
NSM 原文說，用語言模型和「代理式 AI」（能自己規劃、一步步執行任務的 AI）發動網路攻擊，對挪威企業是嚴重風險，但「目前在挪威還沒有記錄到」（本站譯）；它可能造成的破壞，已納入這次的風險評估。局長的說法是：「AI 分析大量資料，找漏洞比人類過去做得更快。」（本站譯）這讓攻擊有機會更頻繁、規模更大，防守方補洞的速度也要跟上。據 VG 報導，他在記者會上警告，企業修補已知漏洞，可能只剩幾小時、而不是幾天或幾週。
NSM 要企業做什麼
NSM 公布一份措施清單，強調都不是新東西，多數來自它既有的資通安全基本原則。重點包括：能抵擋網路釣魚的多因素驗證（例如支援 FIDO2 標準的實體安全金鑰；釣魚網站騙到密碼，也較難通過這一關）、安全更新與汰換舊設備、改掉出廠預設密碼、關掉用不到的功能、定期備份並測試能不能還原、盤點所有設備與軟體，以及要求供應商具備適當的資安管理，並對它們的次級供應商提出同等要求。NSM 也寫明，這些措施不能消除所有風險。據 VG 報導，挪威政府在 2027 年度預算案提議增加 NSM 1.8 億挪威克朗（約新台幣 6.3 億元，以 2026 年 10 月 28 日 1 克朗約兌 3.48 元換算），這筆數字本站讀到的報導中只有 VG 寫。
各家怎麼報
時間範圍不一致：NSM 原文、VG 與 Euronews 寫「過去半年」；TV2 寫「過去一年」，中央社（綜合法新社與 Euronews）也寫「一年內」。本站以 NSM 原文的半年為準，法新社原稿本站沒有讀到。等級名稱方面，中央社用「升高」與 5 級量表「第2級」；NSM 原文名稱為 HØYT（高），按風險由高往低數是第二級。
台灣有沒有類似的東西
台灣依《資通安全管理法》，由數位發展部主管、資通安全署執行相關業務，規範對象是公務機關與關鍵基礎設施提供者等特定非公務機關；這些單位委外建置、維運系統時，須監督受託廠商的資安管理。一般中小企業不在直接納管範圍。截至 10 月 28 日，本站沒有查到台灣有對外公布、像挪威這樣分五級的全國網路風險等級。本站的讀法：挪威的等級只評估挪威，不代表台灣的風險跟著升高；但「小供應商被當跳板」的路徑不分國界，假設一家替大廠維護網站或 ERP 的十人公司被攻破，受害的可能不只它自己。