合規邁向韌性治理 啟動 AI 與量子前瞻布局
面對新型態攻勢，金融資安除了新技術導入，也要進行前瞻部署，從單點防禦擴展至生態系聯防，更從合規進階到韌性治理。
採訪／施鑫澤‧文／鄭宜芬‧刊期／2026.5
強化防護成效、提升可量化能力，並因應 AI 與量子運算帶來的新風險，是目前金融機構維繫營運連續性的關鍵議題。
金融監督管理委員會資訊服務處處長林裕泰表示，資安的價值不應只停留在符合法規，而是要能在事件發生時「快速反應、快速恢復」，成為金融體系穩定運作的關鍵支撐。目前推動的「金融資安韌性發展藍圖（FORCE-B）」，將引導金融機構從過去的合規導向，轉向韌性治理模式。
[ 加入 CIO Taiwan 官方 LINE與 Facebook，與全球 CIO 同步獲取精華見解 ]
從合規邁向成果導向 重塑資安治理架構
過去金融業多為被動合規。金管會在「金融資安韌性發展藍圖」中提出以目標治理、全域防護、生態聯防與堅實韌性為主軸的四軸架構，特別是「目標治理」的概念，鼓勵金融機構參考國際框架（如 NIST CSF 2.0），設定可量測的成熟度指標，強化整體防護能力。
林裕泰認為，監理要求應轉化為企業爭取資源與推動改善的依據，而非限制創新的框架；資安亦需提升至董事會層級，從組織治理層面推動長期投資與能力建設。例如過去監理方式以符合基準為主，未來將轉為引導機構採用 NIST CSF 2.0 或 CRI Profile 等架構，以成果導向建立成熟度目標，朝向典範實務邁進。
在全域防護方面，傳統資安多在系統上線後才進行補強，但不少攻擊源自設計階段的邏輯漏洞，即使部署防火牆或 WAF 仍難以完全防範。建議將資安左移，導入安全設計（Secure by Design），以降低風險並減少後期修補成本。
對於復原能力建構上，考量異地備援難以達到完全等量支援，藍圖亦推動「多層次備援」機制，例如結合雲端或第三地支援，確保在極端情境下關鍵業務仍可維持運作。
建立聯防生態系 強化供應鏈與情資共享
為建構跨域共防的智慧情資生態系，林裕泰建議進行供應商分級、資安事件通報機制，金融業也可以分享情資或透過紅隊演練發現的共通弱點，以打破資安孤島。
- 強化供應鏈透明度與問責：
參考台積電做法，推動供應商分級管理，並在委外合約中加入強制資安事件回報條款。透過研訂「委外資安責任參考範本」，確保供應商在發生事故時必須及時通報，避免成為防護破口。
- 提升 SOC 與聯防 SOC 的協同效能：
為了讓聯防更有效率，金管會推動金融機構將其內部的資安監控機制（SOC）與 F-ISAC 的聯防 SOC 接軌。透過導入標準化的監控組態基準，聯防 SOC 能對各機構回傳的事件單進行自動化關聯分析，精準掌握攻擊手法（TTP）與影響範圍。
- 建立多元情資與通報管道：
除了現有的 API 自動化情資交換機制外，亦規劃建立「金融資安漏洞通報與回應管道」，提供類似 Bug Bounty 的正式通報機制，鼓勵外部研究人員或相關單位回報潛在漏洞，並由 F-ISAC 協助轉介相關機構進行後續處理。
- 深化國際聯防與合作：
透過加入 FIRST、APCERT 等國際組織，定期舉辦跨國交流並分享我國的威脅分析報告，有助於即時掌握全球資安趨勢，以及提升我國金融資安體系的國際信任度。
[ 推薦閱讀：FORCE 2026 揭金融業資安競爭力三關鍵：聯防×AI×後量子 ]
零信任落地 風險導向推動分階段導入
然而，中小型機構常因資安人力與資源有限，難以像大型機構建構涵蓋身分、設備、網路、應用程式與資料等全面的防護體系，對於參與複雜攻防演練或導入新型架構可能相對保守。
林裕泰認為，機構規模並非導入零信任的絕對限制。小型機構因系統範圍較為單純，只要能明確界定關鍵資產與保護標的，反而可在有限資源下，依循指引逐步建立基本防護能力。
他建議可參考金管會發布的「金融業導入零信任架構參考指引」，並採取風險導向策略，優先選擇「高風險但影響範圍相對可控」的場域進行導入，循序推進整體架構。金管會亦透過經驗交流，協助資源有限的機構加速落地，擴大零信任防護範圍。
資安左移＋SBOM 強化開發與供應鏈安全
為了從被動防禦轉向主動防禦，林裕泰建議推動資安左移（Shift-Left）與軟體物料清單（SBOM），有助於擴展防護範疇、提升弱點追蹤的透明化，提前排除邏輯漏洞。
透過系統化盤點所使用的開源與第三方元件，金融機構可在漏洞揭露時迅速辨識受影響範圍，避免過去需耗費數日才能釐清風險的情況，讓供應鏈安全從「事後補救」轉為「事前掌握」，提升應變效率。
- API 安全範疇的全面擴張：
在 API 安全範疇方面，過去金融業多聚焦於開放銀行（Open Banking）的對外 Open API。但現今資安風險已不限於外部服務，在零信任的架構下，建議相關安全基準應延伸至合作夥伴（Partner API）與內部系統（Internal API），並依據資料敏感度與使用對象進行分級管理，落實差異化控管。
- 建立供應鏈透明度與即時弱點追蹤：
在供應鏈透明度與弱點管理方面，SBOM 的導入使資訊系統所涉及的各類元件可清楚列冊，進一步連結如 CVE 或 CISA KEV 等弱點資料庫。當新漏洞出現時，機構能即時掌握影響範圍，並進行補丁更新與版本控管，降低第三方元件成為供應鏈攻擊入口的風險。
- 從設計階段解決「邏輯漏洞」：
許多資安事件並非傳統防護機制不足，而是源自設計階段的邏輯漏洞。例如過去發生的大規模應用層 DDoS 事件中，部分網站即因系統設計缺陷（如異常查詢耗用過多資源）而遭攻擊。為此，Secure by Design 在開發初期進行威脅建模（Threat Modeling），及早排除潛在風險。
- 整合 CI/CD 流程的自動化檢測：
實際落地時，林裕泰亦建議金融機構將安全檢測機制整合至 CI/CD（持續整合與部署）流程中。透過 SAST（靜態分析）與 DAST（動態測試）等工具進行自動化掃描，使安全基準能隨每次程式更新持續落實，強化整體防護。
為應對新興風險，林裕泰建議推動資安左移與 SBOM，依循金融業 AI 系統安全防護指引，並及早啟動 PQC 轉型。
[ 推薦閱讀：【金融業】Golomt Bank 以開放生態與 AI 聯防重塑國家金融命脈 ]
AI 代理人之戰 金融資安新型態攻防
面對 AI 與量子運算等新興科技帶來全新的攻防型態，「金融資安韌性發展藍圖」已將這兩者納入前瞻部署重點。
相較傳統威脅，AI 攻擊更具隱蔽性與複雜度。林裕泰預期，未來資安將逐步演變為「代理人對代理人（Agent vs. Agent）」的攻防模式，攻擊者與防禦方皆運用 AI 技術進行對抗。在此情境下，若資安單位未能及早熟悉 AI 技術，將難以在業務導入過程中提供有效的風險評估與防護建議。
從國際監理趨勢來看，包括世界經濟論壇（WEF）與美國貨幣監理署（OCC）等機構，已將 AI 視為影響網路安全環境的重要變數。特別是針對預測式與生成式 AI 所衍生的攻擊手法，如對抗式機器學習，均可能對金融體系穩定性帶來新的挑戰。
為因應此風險，金管會規劃研訂「金融業 AI 系統安全防護指引」，並從多個面向強化防護基礎。
- 對齊國際前瞻標準：
參考國際組織相關框架，如 OWASP「生成式 AI 安全專案（GenAI Security Project）」及 MITRE ATLAS（Adversarial Threat Landscape for AI Systems）框架，將相關安全設計與檢測機制納入金融業規範。
- 落實 Secure by Design：
在具體推動上，強調 Secure by Design 原則，要求金融機構於 AI 系統開發初期即進行風險評估與威脅建模（Threat Modeling），確保防護範疇能同時涵蓋傳統網路威脅及 AI 特有攻擊類型。
- 導入隱私強化與安全性驗證：
在資料與系統保護方面，指引亦將納入隱私強化技術（PET）的導入建議，以降低敏感資料外洩風險，並規範機構對 AI 系統進行定期的安全測試、驗證與演練，持續檢視其風險暴露程度。
- 建立公私協力規範基準：
金管會亦規劃透過籌組工作小組，集合產業力量共同研訂指引，解決業務單位在應用 AI 技術時面臨的資安難題，提升整體應用的安全性與可控性。
[ 推薦閱讀：中信金揭 FinLLM 三大關鍵：在地推理模型、評測標準與人才機制 ]
推動 PQC 轉型 建立長期加密韌性
面對量子運算對現行加密技術造成的威脅，目前金融業多仍處於基礎盤點階段，需釐清各項系統所採用的加密技術及其相依關係。林裕泰指出，為確保能抵禦量子電腦對現行非對稱式加密技術的威脅，金管會已啟動後量子密碼學（PQC）轉型規劃。
- 研訂遷移指引、技術清單識別：
為推動整體轉型，金管會邀集 16 家金融機構成先導小組，著手進行密碼學技術盤點與業務風險評估。並規劃制定「金融業 PQC 遷移參考指引」，指導機構盤點加密資產並建立遷移計畫，提供未參與機構作為後續遷移規劃的依據。
- 建立評估與管理機制：
在執行面上，建立更完整的評估與管理機制，包括協助金融機構盤點 ICT 環境中所使用的加密技術，涵蓋網路協議、硬體設備及軟體元件，並依據資料保密期限、業務衝擊及國際接軌需求等因素，評估轉換優先順序。
- 推動加密敏捷性：
加密敏捷性（Cryptographic Agility）被視為轉型過程中的關鍵能力。金管會將引導機構提升系統彈性，以利未來面對加密演算法更替時，能以較低成本與風險進行調整。相關指引內容亦將涵蓋技術人力培訓、供應商能力評估及系統採購策略，確保新導入設備具備因應量子風險的能力。
- 因應國際趨勢採取混合機制：
在過渡策略上，參考國際標準（如 NIST 所發布之演算法標準）及歐盟建議，金管會評估採取「混合機制」，將 PQC 加上傳統加密，以降低新演算法潛在風險，同時維持既有交易與身分驗證機制的安全性與穩定性。
透過可量測、可持續演進的防護體系，讓金融資安不僅能應對新興攻擊，更能確保金融機構營運不中斷、維持市場穩定。
(本文授權非營利轉載，請註明出處：CIO Taiwan)
