金融資安2.0九大重點一次看 零信任網路尚不擴及上市櫃

金融資安遭駭事件頻傳，受駭者不乏國際知名大型機構，金管會今 (27) 日發布「金融資安行動方案」2.0 版，副主委邱淑貞表示，強化金融業資安防護能力，主要是回應總統提示，希望強化金融韌性與應變的機制，未來持續推動九大重點工作。其中，因應疫情帶動異地 / 居家辦公模式，及資料與服務雲端化，鼓勵「零信任」網路部署，但先從金融機構開始，尚不擴及上市櫃公司。

邱淑貞表示，為追求安全便利不中斷的金融服務，金管會在 2020 年 8 月 6 日發布金融資安行動方案，執行迄今已逾兩年，經與金融周邊單位、金融同業公會與金融機構公私協力積極執行下，主要績效指標如設置資安長、導入國際資安標準、辦理資安攻防演練與競賽、建立金融資安事件應變體系等項目均已達成，占全計畫 86%，持續辦理項目占比 14%。

為因應業務發展與科技進步，且疫情推動異地與居家辦公變多，加上金融駭客頻傳，金管會今天進一步推出「金融資安行動方案」2.0 版，將以三年為期分階段推動，自 2023 年起每季檢討成果，九大重點分別為：一、擴大資安長設置，定期召開資安長聯繫會議；二、因應數位轉型及及網路服務開放，增修訂自律規範；三、深化核心資料保全及營運持續演練。

四、擴大導入國際資安管理標準及建置資安監控機制；五、鼓勵資安監控與防護之有效性評估；六、鼓勵零信任網路部署，強化連線驗證與授權管控；七、鼓勵配置多元專長資安人才；八、提升資安情資分享動能，增進資安聯防運作效能；九、辦理資安攻防演練，規劃重大資安事件支援演訓。

其中，第一項的資安長部分，銀行及一定規模以上金融機構均已經設置副總經理層級以上的資安長，考量電子支付業者易達一定比例者，其資安防護對整體營運影響也很高，因此也併納入要求設立資安長範圍，舞外，券商需設資安長的公司也從 13 家提高到 20 家。

而在鼓勵零信任網路部署方面，因應疫情帶動異地 / 居家辦公模式，及資料與服務雲端化、使用者行動化、存取設備多元化，傳統基於信任邊界的網路模型已難以滿足新形態工作需求，因此規劃鼓勵金融機構逐步導入身分鑑別、設備鑑別及信任推斷等零信任網路 3 大核心機制，搭配網路及資源的細化權限管控，以更能因應後疫情時期及數位轉型的資安防護需求；零信任網路鼓勵金融業先行，尚不擴及上市櫃公司。

金管會強調，將藉由加強與其他國家金融資安機構交流合作或簽定 MOU，掌握國際金融資安情勢，結合國際資安組織，共同強化資安防禦。也會持續提升金融機構資安防護能量，建構安全的金融服務發展環境，作為金融科技創新發展的基礎，提供消費者安心、便利與多樣化的金融服務。