澳洲關鍵基礎設施安全中心（CISC）於2026年10月27日公布新版關鍵基礎設施風險管理計畫（CIRMP）指引，強化身分驗證、網路隔離及供應鏈安全管理，並納入人工智慧可能帶來的營運風險。相關議題於11月11日受到台灣資安媒體關注，可供國內關鍵服務營運單位參考。

 

【事件經過】

 

澳洲依《2018年關鍵基礎設施安全法》（SOCI Act）建立風險管理制度，要求適用的關鍵基礎設施營運單位識別並降低安全風險。

 

CISC新版指引針對憑證遭竊、攻擊者橫向移動、供應鏈依賴及關鍵系統持續運作提出管理方向。

 

同時，隨著AI系統逐漸參與重要決策，指引也提醒營運者評估AI可能產生的錯誤建議、遭惡意操控及系統故障風險。

 

【影響範圍】

 

CIRMP適用於澳洲法規指定的關鍵基礎設施類別，並依資產及營運者身分區分不同管理義務。

 

新版指引強調，對適用強化要求的關鍵系統與遠端存取服務，應採用具抗釣魚能力的多因素驗證（MFA），並透過網路隔離限制不必要的系統連線。

 

在營運韌性方面，指引提出重要系統應具備獨立運作能力，避免其他設備故障或復原時造成連鎖中斷。

 

本次為資安管理指引更新，並非軟體漏洞事件，因此沒有對應CVE編號或CVSS分數。

 

【建議措施】

 

營運單位應建立關鍵系統資產與連線清冊，確認管理介面、遠端存取方式及不同系統之間的連線需求。

 

對高權限帳號及重要遠端服務，應檢查MFA是否具備抗釣魚能力，並透過網路區隔降低橫向移動風險。

 

供應鏈管理方面，應盤點重要供應商、遠端維護權限、關鍵設備與軟體來源，建立替代方案及服務中斷應變程序。

 

導入AI決策支援系統時，則應建立人工覆核與故障處置程序，並保留必要的人工作業能力。

 

【國內機關與企業之影響與因應】

 

澳洲CIRMP並非台灣法規，其相關要求不能直接視為國內機關的法定義務。

 

不過，對國內政府機關、金融機構、能源產業及其他關鍵基礎設施營運者而言，相關管理方向具有參考價值。

 

組織可依適用的安全規範及政府組態基準（GCB），將帳號權限、網路隔離、遠端存取及第三方服務納入定期檢查，並透過備援及復原演練確認關鍵服務的持續運作能力。

 

【新聞出處】

 

媒體名稱：iThome

發布日期：2026年11月11日

 

原文網址：

https://www.ithome.com.tw/news/180258

 

官方資料：

Australian Critical Infrastructure Security Centre（CISC）

 

Critical Infrastructure Risk Management Program Guidance

 

官方網站：

https://www.cisc.gov.au/

 

法規與管理義務說明：

https://www.cisc.gov.au/how-we-support-industry/regulatory-obligations