37. 情境如附圖所示。依據本案資安檢查報告及公司 背景條件，請問 XYZ 公司在工廠端的資安維護作業，下列 何項較「不」合適？
(A) 修補弱點掃瞄和滲透測試的高風險項目
(B) 修補新交付的 OEE 系統源碼掃瞄的高風險項目
(C) 更新既有 PLC 工控系統的 Windows 定期發佈的更新 檔案
(D) 定期更新新交付報工平板的 Android 發佈的更新檔 案

題目問的是「就工廠端的資安維護作業來看，下列哪一項作法『比較不合適』？」
在一般 IT 系統環境中，例行地修補高風險弱點、安裝最新安全更新，當然是好習慣；
但在工廠端（ICS/SCADA/PLC 等工業控制系統）中，『盲目地』對 PLC／工控系統做例行性（如每月）
Windows 系統更新，往往是不被建議或甚至被禁止的。

原因在於：

1. PLC/工控系統 常常有客製化或專用驅動、軟體，亦與生產流程、穩定性、連續運轉息息相關。
2. 一旦做了系統更新或安裝了新的安全修補，有可能導致驅動或工控軟體不相容，造成停工，甚至對生產線造成衝擊。
3. 工控系統的更新流程，多半需經過完整測試、驗證，並且常由原廠或專業人士先進行評估後才會推行。

相比之下：

• (A) 「修補弱點掃瞄和滲透測試出來的高風險項目」：屬於常見且必要的資安作業。
• (B) 「修補新交付的 OEE 系統源碼掃瞄的高風險項目」：新系統上線前本就應該處理高風險程式漏洞。
• (D) 「定期更新新交付報工平板的 Android 系統」：行動裝置維護更新對於漏洞防堵也十分重要。

反倒是

• (C)『更新既有 PLC 工控系統的 Windows 定期發佈的更新檔案』較不合適，因為 PLC／工控系統對可用性（Availabillity）與相容性要求極高，必須經過完整驗證或依廠商流程來進行更新，而不是像一般商用 Windows 作業系統一樣做常態性自動更新。