拚资安防护 金管会发零信任架构参考指引

林裕泰表示，此指引比照美规启动「永不信任，持续验证」的机制，针对以往金融业未部署重兵的「内网」，强化防护、侦察与拦阻。过去国银就发生过骇客从国银海外分行入侵银行内网、远端遥控台湾ATM盗领走数千万元的案例，内网是金融资安防御最脆弱的一环，若建立好「零信任架构」的话，当内网遭骇客渗透、内部可适当侦测拦阻，保护关键资源。

金管会上半年调查金融业零信任架构状况，包括38家银行、40家保险公司、19家券商、3家投信、1家期货，各家分很多等级在推动，只是重点不见得一致，有此指引即可分阶段进行，由外而内缩小可能被攻击的面，并增进防御纵深、由内而外扩大防护面，参考分级指标分阶段导入资安管控措施，有能力者也可一步到位。

林裕泰说，指引是参考美国网际安全暨基础设施安全局（CISA）零信任成熟度模型，并依据国内金融业属性及既有资安防护能量进行调适，分四阶段分级指标，并点出六大高风险场域，可让金融机构从二方向对齐，一是从「点」连成「线」，去盘点资源存取途径，包括身分、设备、网路、应用程试、资料；二是场域上各金融机构重视可能不同，可自行检视要优先强化的部分，以风险导向来讲，就有六大高风险场域，包括远距办公、云端存取、系统维运管理、应用系统管理、服务供应商、跨机构协作」。

四级包括一是「静态指标」，着重既有资安防护机制的优化及整合，包含双因子身分鉴别、设备识别、网路区隔与流量加密、应用程式最小授权原则、机敏资料加密及外泄防护等；二是融入「动态指标」，参采零信任概念，针对异常样态动态撤销、限缩存取授权或即时告警。

三是即时指标为主，建议整合资安监控机制，对入侵指标或攻击行为等进行即时侦测、判断与应处；四是最佳化的整合指标，建立可依资安政策快速调适的管理机制，确保安全性及合规性。