一張證書背後的系統邏輯

2026年10月，研華宣布旗下AFE-E630邊緣工業系統正式通過DEKRA德凱集團的IEC 62443-4-2:2019 Security Level 2(SL2)獨立評估，取得符合性證明證書(Assessment of Conformity, AoC)。這份評估報告，證明該產品在身分識別、使用控制、系統完整性、資料機密性、受限資料流、事件回應、資源可用性等七項基礎要求上，符合工業資安標準規範。

老實說，這不是那種「秀肌肉」用的技術文件。這更像是在告訴客戶：我們這個產品在資安這件事上，有第三方背書，不是自己說了算。對工業電腦產業來說，資安合規已經從「選配」變成「基本配備」。

歐盟CRA法規：一套新的遊戲規則

很多人可能沒注意到，歐盟《網路韌性法案》(Cyber Resilience Act, CRA)正在分階段實施。根據歐盟執委會官方資料，CRA的通報義務自2026年9月11日起適用，主要義務則自2027年12月11日起適用。

CRA對適用的硬體與軟體產品提出產品資安、漏洞處理及通報等要求，製造商須依產品類別完成相應符合性程序。業界把這叫做「Secure by Design」——不是產品做完了才來想資安怎麼補，而是從設計階段就得把這件事想清楚。具體義務、符合性評估方式會依產品特性及風險分類而有所不同。

DEKRA德凱集團執行長Stan Zurkiewicz說：「數位信任是工業創新走向全球市場的重要基礎。」這話聽起來很漂亮，但背後的意思很直白：當你的儲能系統、工業控制器連上網路，資安漏洞不是會不會出事的問題，而是出事時損失有多大的問題。資安合規，已經從技術選項，變成風險管理的必要環節。

台灣工業電腦業者開始跑流程

翻開近期產業動態，會發現台灣主要工業電腦業者正在加速資安認證布局：

  • 四零四科技(Moxa)：2026年7月22日正式公告，其UC系列64位元Arm工業電腦取得IEC 62443-4-2 SL2認證，涵蓋官方公告所列的UC系列指定產品範圍。
  • 研華：2026年10月不僅AFE-E630產品取得SL2符合性證明，更與DEKRA簽署合作備忘錄(MOU)，以AFE-E630評估為起點，深化雙方在工業資安領域的合作。

這些動態反映的核心問題是：誰能更早建立可驗證的資安能力？研華嵌入式事業群總經理張家豪在相關場合表示：「『合規』已從產品上市前的認證程序，逐漸成為全球客戶在產品設計初期就必須考量的重要課題。」

翻譯一下：客戶不會等你產品做完才問資安怎麼辦，而是在專案初期就會問你有沒有合規能力。這是採購決策的前置條件，不是加分題。

認證背後的成本與整合難題

但這裡有個現實問題：從產品設計初期就導入資安合規，勢必拉高研發成本與開發時程。這些成本最終會如何反映在終端售價？系統整合商願意為此買單嗎？這些都是產業必須面對的商業課題。

更關鍵的是，產品層級的資安評估無法取代整體系統與網路架構的風險評估。AFE-E630即便通過IEC 62443-4-2 SL2評估，證明產品元件本身符合特定技術安全要求，但實際場域的資安防護仍需評估整體網路架構、系統整合方式、營運環境等多重因素。單一元件的合規評估，僅能提供基礎保障，無法涵蓋所有場域風險。

用工程語言來說：單一元件過測試，不代表整個系統穩定。就像晶片良率再高，如果封裝、測試、整合環節沒做好，最後還是會出問題。

結語：合規不是終點，而是新的基準線

研華這次取得的IEC 62443-4-2 SL2符合性證明，為其在邊緣AI與工業物聯網領域建立了可驗證的資安能力基準。隨著歐盟CRA等法規陸續生效，全球儲能系統、智慧工廠等應用場景對產品資安的要求只會越來越高。資安合規將從技術問題，逐步演變為商業決策的核心變數。

對台灣工業電腦產業來說，這不僅是技術升級，更是在全球供應鏈中建立信任基礎的長期工程。沒有人會因為你通過認證就給你拍手，但如果你沒通過，可能連參與專案的機會都沒有。