整理／鄭宜芬
金融監督管理委員會於 12 日召開 2026 年度第 2 次金融機構資安長聯繫會議，邀集銀行、證券期貨及保險業資安長，就金融資安治理、代理人工智慧（AI）安全管理、AI 新興攻擊風險及重大資安事件應變等議題進行專題演講及交流，並針對近期重大資安威脅，提醒金融機構優先強化重要系統安全防護、客戶資料與交易安全及事件應變能力，以提升金融體系整體資安防護及營運韌性。
[ 加入 CIO Taiwan 官方 LINE、Facebook 與 LinkedIn，與全球 CIO 同步獲取精華見解 ]
金管會表示，近期國內外陸續發生金融機構及數位資產服務業者遭受資安攻擊、客戶資料外洩及金融資產遭未經授權移轉等事件，加以 PHP、Node.js 等廣泛使用之軟體陸續揭露重大安全漏洞，以及數位憑證緊急換發事件，凸顯資安風險已涵蓋軟體弱點、身分與權限管理、委外供應鏈及重要數位信任服務等不同環節，且可能進一步影響客戶權益及金融服務之持續運作。另隨著前沿 AI 模型能力快速提升，攻擊者可能運用 AI 加速弱點發掘、攻擊路徑分析及攻擊工具開發，大幅壓縮金融機構弱點修補與事件應變之時間，對金融資安防護帶來新的挑戰。
金管會已於 2025 年 12 月發布「金融資安韌性發展藍圖」，以目標治理、全域防護、生態聯防及堅實韌性為主軸，推動「可預測、可防禦、可復原」之金融資安生態系，並於 2026 年 7 月發布「金融業應對 AI 攻擊的挑戰與策略建議」，提醒金融機構因應 AI 加速資安攻擊之風險，深化既有資安韌性措施。
此次資安長會議特別邀請中研院陳孟彰博士以「AI 攻防」專題演講，並延續前述政策方向，聚焦四項重要議題：一、精進金融機構資安治理成熟度評估工具，協助業者朝向風險導向及成果導向之資安治理發展；二、就「金融業運用代理 AI 安全諮詢文件」交換意見，強化代理 AI 之安全治理、風險分級及安全控管；三、宣達因應 AI 攻擊風險之策略及技術防護措施；四、2026 年度納入 AI 攻擊與雲端服務情境之重大資安事件應變演練經驗分享，期透過政策引導及實務交流，提升金融機構資安治理、威脅防禦、事件應變及跨業協同處理能力。
[ 推薦閱讀：【專訪】第一銀行副總經理兼資安長劉培文：資安治理 邁向韌性銀行 ]
金管會強調，面對近期重大資安事件及新興攻擊威脅，金融機構應由董事會及高階管理階層督導，以保障客戶資料與交易安全及維持關鍵金融服務為首要目標，並依風險急迫性及業務重要程度，主動辨識及優先處理重大資安風險，以降低對客戶權益及金融體系之影響。金管會籲請金融機構優先落實下列六項重點措施：
- 掌握外部曝險及處置重大安全漏洞：
金融機構應持續掌握對外服務系統、API、管理介面及第三方維運入口等曝險情形，關閉或限制不必要之對外存取，並運用軟體物料清單（SBOM）等方式掌握重要軟體元件及版本。對於對外曝險、已遭利用、可自動化執行或取得控制權之重大弱點，應優先修補並驗證改善成效；無法即時修補者，應採取必要之替代控管措施。
- 強化重要資料、交易安全及高風險存取控管：
落實零信任原則，強化高權限帳號、委外遠端連線及重要系統介接之身分驗證與權限管理、網路微分段，並對重要資料存取、交易指令及權限異動等高風險操作，建立授權檢核、異常偵測及必要之即時攔阻機制，防範資料外洩、未經授權交易及權限濫用，並降低對客戶權益之損害。
- 強化軟體安全開發，評估導入防禦性 AI：
將安全設計、程式碼及軟體元件檢測、安全設定檢核等資安左移措施納入系統開發與維護流程，強化第三方軟體及部署安全。並因應駭客運用 AI 輔助攻擊之威脅日益升高，金管會於今年 10 月發布「金融業運用代理 AI 安全諮詢文件」，金融機構應於風險可控下，審慎評估導入防禦性 AI 技術，朝「以 AI 對抗 AI」方向發展，優先將 AI 應用於漏洞偵測及修補、威脅情資蒐集與更新等資安防禦工作。
- 善用資安情資並強化委外供應鏈聯防：
善用金融資安資訊分享與分析中心（F-ISAC）等情資分享機制，將重大漏洞及攻擊情資及時轉化為弱點修補、防護調整及異常追查等具體措施；並加強共同供應商、雲端服務及重要軟體之風險管理，落實委外系統權限與安全設定檢核，以及跨機構情資分享、事件通報及協同應處。
- 確保關鍵金融服務持續運作及快速復原：
完善營運持續及備援復原機制，針對 AI 攻擊、重要系統入侵、雲端或供應商服務中斷等情境辦理演練，驗證緊急處置、服務降級、備援切換及復原能力，確保關鍵金融服務持續運作。另應強化重要數位憑證及信任鏈管理，建立緊急換發與驗證機制，降低第三方信任服務異常之影響。
- 強化董事會及高階管理階層資安治理責任：
AI 已改變資安防禦型態，資安及 AI 風險管理已非僅資訊或資安部門的責任，金融機構應由董事會及高階管理階層納入整體治理，明確界定決策權限、管理責任及風險承受程度，並支持資安長判斷與需求，配置充足的人力、預算及技術等資源，確保資安治理政策有效落實。
[ 推薦閱讀：Shadow AI 安全威脅難防，企業重要系統需優先納入治理 ]
金管會強調，資安韌性的核心不僅在於降低資安事件發生之可能性，更在於面對攻擊速度加快、威脅持續演變之環境下，金融機構能否及早發現異常、迅速控制損害，並維持關鍵金融服務之持續運作。金融機構應依風險急迫性優先處理重大資安曝險，並透過持續監控、定期檢測及情境演練，驗證各項防護與應變措施之實際成效，避免重大風險未獲及時處理，或因應變不及而擴大對客戶及金融服務之影響。
金管會表示，將持續依循「金融資安韌性發展藍圖」，透過資安治理成熟度評估、金融檢查、資安情資分享及情境演練等機制，關注金融機構重大資安風險改善成效及事件應變能力，並依資安威脅情勢及金融業實務需求，滾動精進相關資安監理措施，促進金融機構由合規導向逐步邁向風險導向及成果導向之資安治理，提升金融體系整體資安防護及營運韌性，維護客戶權益、金融服務安全及民眾信任。
(本文授權非營利轉載，請註明出處：CIO Taiwan)
