能管+ Security
資安說明
能源管理系統連著配電盤、空調與泵浦，資安不只是資料外洩的問題，也關係到設備能不能被正確控制。這一頁說明能管+ 實際做了哪些防護、哪些資料會離開案場，以及導入時雙方各自的責任。
Data flow
資料在哪裡、誰拿得到
留在案場、原廠不會取得的資料
- 電表、水表、空調等設備的量測數據與歷史趨勢（使用冰機分析報告時，僅送出所選期間的冰機資料）
- 告警事件與處理紀錄
- 水電費單檔案（未啟用費單辨識時）
- 電費分攤帳單與報表
- 稽核紀錄與登入紀錄
會送到原廠雲端的資料
以下是能管+ 與原廠雲端之間全部的資料往來。除授權與版本外，皆可依案場政策關閉；連不上雲端時，系統在現場照常運作。
- 授權與版本必要
- 授權序號、設備識別碼與軟體版本，用於驗證授權、防止整機複製，並於系統啟動時回報執行版本。無法連外的案場可改用離線授權檔。
- 定期狀態回報預設開啟，可關閉
- 每 15 分鐘回報授權狀態、系統健康、設備數量與收值主機連線概況，讓維運團隊及早發現異常，不含量測數據。
- 設定藍圖保底預設開啟，可關閉
- 每日一份加密的系統設定（設備點位、空間、告警規則、帳號與權限；密碼僅以雜湊形式存在），作為主機損毀時的還原來源。不含量測歷史與費單。
- 郵件代寄選用
- 使用原廠郵件代寄時，告警通知的收件人與內容會經原廠寄出；改用自有郵件伺服器則不經原廠。
- 費單辨識選用
- 上傳的水電費單會送至原廠辨識服務，由 AI 模型擷取欄位後回傳；未啟用時可手動輸入。
- 冰機分析報告選用
- 建立冰水主機 M&V 分析工單時，所選期間的冰機運轉資料會送至原廠分析服務，產出報告後回傳。
- 遠端存取選用
- 沒有固定 IP 的案場，可由客戶啟用加密反向通道，讓授權人員從外網連入。
Authentication
帳號與登入
密碼不以明文保存
密碼以 bcrypt 雜湊保存，並要求至少 8 碼、包含英文與數字，且不得與帳號相同或屬於常見弱密碼。
擋下暴力破解
連續 5 次登入失敗即鎖定帳號 15 分鐘；同一來源每分鐘的登入嘗試次數也有上限。短時間大量失敗會觸發資安告警。
雙因素驗證
支援 TOTP 驗證器（如 Google Authenticator），可設定為管理者與具設備控制權限者必須啟用，或全員必須啟用。
工作階段可控
可設定登入有效期限與閒置逾時；使用者可登出所有裝置，變更密碼時其他裝置自動登出。
沒有預設帳號
首次安裝時由客戶建立第一個管理者帳號，系統不帶任何預設帳密。
Access control
權限與稽核
角色分級
內建管理者、操作者、檢視者，也可自訂角色；每個功能的檢視、修改與控制權限分開授予。
防止越權
使用者只能授出自己已有的權限，只能管理層級比自己低的帳號，避免透過帳號管理功能取得更高權限。
全程留下紀錄
所有設定變更、設備控制、備份還原與授權變更都寫入稽核紀錄，紀錄中的密碼與金鑰會遮蔽。
Encryption
傳輸與儲存加密
網頁 HTTPS
內建 HTTPS，可使用自簽憑證或客戶自有憑證；啟用後一般連線自動導向加密連線。
收值通道加密
收值主機與伺服器之間的 MQTT 連線支援 TLS 1.2 以上，並可要求雙向憑證驗證。
每台收值主機獨立憑證
每台收值主機有自己的連線金鑰，且只能存取自己的資料通道，單一主機外洩不影響其他主機。
敏感設定加密保存
雙因素金鑰、郵件伺服器密碼、通知管道憑證與備份檔，皆以 AES-256 加密保存。
Device control
設備控制安全
二次確認與權限
下達控制前需二次確認，且只有具控制權限的帳號可以操作，每一筆都記錄是誰、何時、對哪台設備做了什麼。
過期指令不執行
網路延遲而超過時效的控制指令會被現場直接丟棄，重複送達的指令也只會執行一次。
現場再次把關
收值主機執行前會再確認該點位確實可控，空調控制在送出後讀回設備狀態，確認指令已生效。
Hardening
網頁與系統防護
瀏覽器安全標頭
採用嚴格的內容安全政策（CSP），並禁止頁面被嵌入其他網站，降低跨站攻擊與點擊劫持的風險。
資料庫查詢防護
資料庫查詢全面參數化，自訂計算公式使用白名單解析，不執行任意程式碼。
對外埠最少化
只開放網頁與收值兩個埠，其餘內部服務僅在本機運作，不對網路開放。
外掛沙箱
客製外掛在隔離的沙箱中執行，無法對外連線，只能唯讀取用使用者本身被授權的資料。
Backup & updates
備份、更新與授權
加密備份
每日自動備份系統設定，備份檔加密並附校驗碼，還原前先檢查完整性；重設或還原前自動建立回復點。
簽章驗證的更新
每個更新檔都經原廠數位簽章與雜湊驗證，Windows 執行檔另有程式碼簽章；系統不會在無人確認時自行更新。
更新失敗自動回復
更新前先備份，新版本無法正常啟動時自動回到前一版。
破壞性操作上鎖
清除資料等高風險操作預設鎖定，需具備權限、重新輸入密碼並確認案場代碼才能執行。
Vendor access
原廠存取原則
沒有後門
系統沒有萬用密碼，也沒有隱藏的原廠帳號，原廠無法自行登入或重設客戶的帳號。
帳號救援只能在現場
忘記密碼或遺失驗證器時，只能在伺服器主機上以系統管理員權限、並輸入案場代碼執行救援，過程全程記錄並通知。
遠端維運由客戶決定
原廠或建置夥伴需要遠端協助時，須由客戶開啟遠端存取並提供帳號，協助結束後可隨時關閉。
Shared responsibility
導入時的責任分工
能管+ 安裝在客戶的環境中，安全需要雙方一起顧好。
原廠與建置夥伴
- 提供軟體更新與安全修補
- 依案場規劃收值主機與網路架構
- 協助設定帳號權限、雙因素驗證與 HTTPS
- 提供資安問卷回覆與技術文件
客戶
- 將能管+ 主機與收值網路置於受控的內部網路
- 定期更新作業系統，妥善保管主機與帳號
- 對資料庫做定期備份，並保存一份於異地（系統內建備份存放在本機）
- 依內部政策決定是否開啟雲端回報與遠端存取
需要資安問卷或更詳細的技術文件？
告訴我們貴單位的資安要求，我們會協助回覆問卷並說明導入架構。