新加坡網絡安全局（CSA）更新的關鍵資訊基礎設施（CII）網絡安全實務守則，要求業者把防護視野從指定的關鍵系統，擴大到與其相連的系統及企業網絡。新版於 2026 年 7 月 29 日發布，著重治理、網絡可視性、威脅偵測與應變復原能力。418

CSA 另宣布將於 2026 年稍後推出雲端服務專屬守則。不過，現有資料未能確認該守則是否已正式發布，因此雲端部分仍應視為待公布，而非已確定的最終要求。5718

CII 新版守則，改變了什麼？

不只看關鍵系統本身。 新版要求加強對互相連接系統的監督，也把與 CII 相連的企業網絡納入安全視野；網絡可視性及威脅偵測亦是重點。1825

治理責任更受重視。 守則強化董事會監督，並要求建立有文件紀錄的網絡韌性框架。相關報導指出，框架涵蓋風險承受度、風險緩解、風險轉移與復原，並須定期檢視。183339

把應變能力納入日常準備。 CII 業者須具備偵測、應對攻擊及復原的能力，並進行網絡安全演練。配套技術指引亦提及模擬對手攻擊、滲透測試及威脅狩獵。71823

此外，CSA 將 Cyber Trust Mark 第 5 級認證納入提高 CII 安全基準的措施；公告列明，CII 業者須於 2027 年底前取得第 5 級認證。24

為何現在更新？

CSA 表示，此次修訂旨在應對進階持續性威脅（APT）及人工智能（AI）促成的威脅。這也是自 2022 年以來首次更新 CII 守則。523

現有資料支持 AI 相關威脅是修訂原因之一，但不足以證實「前沿 AI 已加速漏洞發現或攻擊執行」這項更具體的說法。因此，較穩妥的理解是：新版更著重主動偵測、測試、應變與復原，同時加強治理。5723

修訂亦與《網絡安全法》的修正方向相呼應，並把互相連接的系統納入更廣泛的安全考量。25 對業者而言，保護指定的 CII 系統固然重要，但也要檢視與其相連的網絡及系統是否納入監督。1825

雲端專屬守則：目前可以確定什麼？

CSA 表示，隨着 CII 業者愈來愈多採用雲端技術，將另行推出雲端服務網絡安全實務守則，目標是為支援關鍵系統的雲端環境訂立安全基準。57

部分報導形容，預計守則會涵蓋雲端託管 CII 的安全部署、運作及管理。21 但目前可用資料未能確認最終要求、諮詢意見是否如何納入，也未能證實 AWS、Google Cloud 及 Microsoft Azure 的供應商專屬配套指南是否已發布。取得 CSA 正式守則及相關文件前，這些細節都不宜視為定案。1821

CII 業者現在可先做的檢視

以下是依照已報導重點整理的準備方向，不能取代閱讀守則全文或確認適用要求：

• 治理紀錄： 檢視董事會監督及網絡韌性框架如何記錄。1833
• 相連系統： 盤點與 CII 相連的網絡和系統，確認相關安全風險是否納入監督。1825
• 偵測與應變： 檢查網絡可視性、偵測覆蓋及演練安排，並評估應對攻擊和復原能力。718
• 測試與認證： 檢視模擬對手攻擊、滲透測試及威脅狩獵如何納入安全測試，並留意 Cyber Trust Mark 第 5 級認證期限。2324
• 雲端安排： 在 CSA 正式公布雲端守則前，先不要把尚未確認的控制措施或實施指引當成最終要求。518

整體而言，2026 年 CII 守則把網絡安全定位為治理與韌性議題，不只是技術防護。CII 守則已發布；至於雲端專屬要求，仍須以 CSA 正式公布的最終版本為準。

新加坡網絡安全局（CSA）更新的關鍵資訊基礎設施（CII）網絡安全實務守則，要求業者把防護視野從指定的關鍵系統，擴大到與其相連的系統及企業網絡。新版於 2026 年 7 月 29 日發布，著重治理、網絡可視性、威脅偵測與應變復原能力。418

CSA 另宣布將於 2026 年稍後推出雲端服務專屬守則。不過，現有資料未能確認該守則是否已正式發布，因此雲端部分仍應視為待公布，而非已確定的最終要求。5718

CII 新版守則，改變了什麼？

不只看關鍵系統本身。 新版要求加強對互相連接系統的監督，也把與 CII 相連的企業網絡納入安全視野；網絡可視性及威脅偵測亦是重點。1825

治理責任更受重視。 守則強化董事會監督，並要求建立有文件紀錄的網絡韌性框架。相關報導指出，框架涵蓋風險承受度、風險緩解、風險轉移與復原，並須定期檢視。183339

把應變能力納入日常準備。 CII 業者須具備偵測、應對攻擊及復原的能力，並進行網絡安全演練。配套技術指引亦提及模擬對手攻擊、滲透測試及威脅狩獵。71823

此外，CSA 將 Cyber Trust Mark 第 5 級認證納入提高 CII 安全基準的措施；公告列明，CII 業者須於 2027 年底前取得第 5 級認證。24

為何現在更新？

CSA 表示，此次修訂旨在應對進階持續性威脅（APT）及人工智能（AI）促成的威脅。這也是自 2022 年以來首次更新 CII 守則。523

現有資料支持 AI 相關威脅是修訂原因之一，但不足以證實「前沿 AI 已加速漏洞發現或攻擊執行」這項更具體的說法。因此，較穩妥的理解是：新版更著重主動偵測、測試、應變與復原，同時加強治理。5723

修訂亦與《網絡安全法》的修正方向相呼應，並把互相連接的系統納入更廣泛的安全考量。25 對業者而言，保護指定的 CII 系統固然重要，但也要檢視與其相連的網絡及系統是否納入監督。1825

雲端專屬守則：目前可以確定什麼？

CSA 表示，隨着 CII 業者愈來愈多採用雲端技術，將另行推出雲端服務網絡安全實務守則，目標是為支援關鍵系統的雲端環境訂立安全基準。57

部分報導形容，預計守則會涵蓋雲端託管 CII 的安全部署、運作及管理。21 但目前可用資料未能確認最終要求、諮詢意見是否如何納入，也未能證實 AWS、Google Cloud 及 Microsoft Azure 的供應商專屬配套指南是否已發布。取得 CSA 正式守則及相關文件前，這些細節都不宜視為定案。1821

CII 業者現在可先做的檢視

以下是依照已報導重點整理的準備方向，不能取代閱讀守則全文或確認適用要求：

• 治理紀錄： 檢視董事會監督及網絡韌性框架如何記錄。1833
• 相連系統： 盤點與 CII 相連的網絡和系統，確認相關安全風險是否納入監督。1825
• 偵測與應變： 檢查網絡可視性、偵測覆蓋及演練安排，並評估應對攻擊和復原能力。718
• 測試與認證： 檢視模擬對手攻擊、滲透測試及威脅狩獵如何納入安全測試，並留意 Cyber Trust Mark 第 5 級認證期限。2324
• 雲端安排： 在 CSA 正式公布雲端守則前，先不要把尚未確認的控制措施或實施指引當成最終要求。518

整體而言，2026 年 CII 守則把網絡安全定位為治理與韌性議題，不只是技術防護。CII 守則已發布；至於雲端專屬要求，仍須以 CSA 正式公布的最終版本為準。