整理／鄭宜芬
為協助金融機構因應量子運算技術發展可能帶來之資安風險，金融監督管理委員會18日發布「金融業後量子密碼遷移參考指引」，作為金融業辦理後量子密碼（Post-Quantum Cryptography, PQC）遷移整備工作之參考。該指引就治理機制、密碼技術盤點、加密敏捷性、生態系協作、風險排序、供應鏈管理及測試切換等面向，提出規劃重點與建議，以利金融機構依循風險導向及循序漸進原則，整備相關遷移作業。
[ 加入 CIO Taiwan 官方 LINE、Facebook 與 LinkedIn，與全球 CIO 同步獲取精華見解 ]
金管會表示，2025年底發布的「金融資安韌性發展藍圖」已將金融業後量子密碼遷移列為推動重點事項之一。考量金融服務高度仰賴身分驗證、交易簽章、跨機構介接及資料保護等機制，隨著量子運算技術持續發展，現行公鑰密碼機制未來可能面臨安全性風險，並可能衍生「先攔截、日後解密」（Harvest Now, Decrypt Later, HNDL）及「現在信任、稍後偽造」（Trust Now, Forge Later, TNFL）等威脅，進而影響交易安全、資料機密性、完整性及金融機構營運穩定，金融機構實有及早規劃並推動整備作業之必要。
[ 推薦閱讀：【專訪】金融監督管理委員會 資訊服務處處長林裕泰 ]
此次參考指引聚焦金融業特有之應用情境、跨機構互通依賴與高可用營運限制，提供金融業因應PQC之七大策略方向：
- PQC政策與治理-將密碼技術風險納入企業風險管理：
PQC遷移是一項跨年度、跨部門的長期工程，金融機構必須將量子風險提升至董事會層級，視為企業風險管理之戰略議題，另成立跨部門「後量子遷移工作小組」，由資安長(CISO)、資訊長(CIO)或相當層級主管擔任召集人，並明確權責。
- 盤點密碼技術應用，建立密碼技術清單（CBOM）：
密碼技術盤點須形成可維護、可連結業務使用情境與外部依賴之密碼技術資產清單；建議採「先依風險與優先度限定盤點範圍、逐步擴張覆蓋」之策略，並以清單品質優先，可透過建立基礎清冊、使用情境導向、建立可維護CBOM、分層導入盤點方法及盤點制度化等作法逐步推進，另評估運用AI等自動化工具輔助盤點及CBOM維護。
- 提升加密敏捷性(Crypto-Agility)，優先清除「密碼反模式」：
鑑於PQC標準與產品仍持續演進，遷移策略不宜以一次性演算法替換為目標，建議同步提升加密敏捷性，以利未來於演算法或參數迭代時，得以例行性變更方式辦理，避免每次更新均演變為大型改版專案。目標將加密機制設計為獨立模組，並搭配憑證自動化管理，實務上則建議優先改善密碼反模式，例如手動管理傳輸層安全協定（TLS）憑證、弱加密套件、金鑰憑證硬編碼等。
- 建立生態系協作機制與共通業務風險圖像：
鑑於金融生態系高度互聯，參考指引以「四階呈現」概念推動跨機構對齊，由樞紐機構（如財金公司、證交所等）統籌推進角色，負責擬訂生態系遷移路線圖並運作跨機構協作機制；由具代表性之金融機構率先提出共通業務盤點框架與風險圖像作為參考底稿，協助同業以一致脈絡展開自體盤點。
- 以風險導向建立遷移優先序：
採「量子風險評分」與「遷移時間評分」兩軸交叉評估，並將兩軸評分結果轉化為風險高低與遷移難易分群，採相對排序方式決定遷移優先序與資源配置，另納入必要約束條件（如涉及生態系遷移之時限），將遷移優先序轉化為可執行、可分期推進、可驗證且可滾動更新之遷移路線圖。
- 更新採購與供應鏈管理要求：
金融機構宜將PQC準備度與加密敏捷性明確納入採購、委外與合約管理機制，可從啟動關鍵供應商PQC準備度調查、更新採購文件要求（採購/規格/驗收）、增修採購與委外合約（責任/服務水準）、建立卡關元件提早處置機制、建立供應鏈共同驗證機制、以供應鏈資訊回饋遷移排序等作法分階段導入。
- 建立測試、切換與營運韌性機制：
金管會表示，除選定演算法與完成供應鏈協調外，PQC或混和模式的導入能否安全上線、穩定營運，關鍵在於測試治理、切換策略、回退演練與可觀測性。金融機構宜將相關活動制度化，形成可重複、可稽核的證據鏈，以降低遷移期間之服務中斷、互通失效與例外處置風險，可從測試治理、切換與回退、監控與可觀測性、證據留存與稽核對應等作法逐步導入。
[ 推薦閱讀：間接提示注入攻擊正泛濫！駭客金融詐騙與資料外洩新利器 ]
就整體推動時程而言，指引參考NIST、G7、FS-ISAC等國際組織所提遷移路線圖及國際標準發展趨勢，建議金融業循序辦理相關整備作業。短期（2026年至2027年）以建立治理架構、盤點方法、密碼技術清冊及加密敏捷性基礎為重點；中期（2027年至2029年）著重推動試辦驗證、基礎升級及共同測試機制；中長期（至2035年）就高風險及高關鍵系統優先辦理遷移，並逐步擴大遷移場景。
金管會並表示，現階段以驅動金融機構及關鍵供應商等及早規劃整備為主要目的，並將續聚焦生態系對齊、供應鏈治理、試辦驗證三條主線，分別為由樞紐機構擬訂金融生態系遷移計畫、建置(或整合)共通供應鏈調查與追蹤機制及推動先導試辦與經驗分享。
金管會表示，將持續視國內外技術發展、標準演進及金融實務需求，適時滾動檢討推動期程及精進指引內容，並透過試辦驗證、經驗分享及生態系協作等方式，凝聚金融業後量子密碼遷移之共識與做法，俾利配合國際發展趨勢及生態系整體推動時，得以順利接軌。
(本文授權非營利轉載，請註明出處：CIO Taiwan)
