跨國保險科技新創 OneDegree 發布臺灣保險業資安曝險調查報告，針對 30 家壽險及產險業者的外在資安曝險情形進行評級與分析。透過內部資安團隊 Cymetrics 研發的曝險評估即服務 EAS (Exposure Assessment as a Service)，結合法遵技術面之合規評估，望力助在地保險業者洞悉其可能存在之外在資安曝險，著手優化治理流程，提升風險管理效益。
[ 加入 CIO Taiwan 官方 LINE 與 FB ，與全球CIO同步獲取精華見解 ]
OneDegree 資安長周彥儒表示：「近幾年，駭客攻擊標的正逐漸從銀行業轉向保險業，主要因保險業擁有龐大的數據資料，但資安成熟度較不足，駭客因此能以較低成本獲取更高報酬。OneDegree 深知資安攻防是場不對稱的戰爭，因此望透過本次的資安曝險調查報告，協助臺灣保險業者以快速、簡易、低成本的方式，洞悉其可能存在之外在資安曝險，化風險為企業競爭優勢。」
OneDegree 共同創辦人梁德源補充：「為持續協助保險業者掌握自身企業的網路曝險和系統弱點，OneDegree 亦將 Cymetrics 服務整合至 IXT 保險科技解決方案中。在協助保險業者推出創新產品與服務的同時，也提供穩固的資安防護後盾，跟進法遵規範，保護品牌信譽與價值。」
本次資安曝險調查針對五大常見外部曝險面進行分析，重點結果包含：
- 網路服務：95％ 以上的臺灣保險業者皆有控管對外服務，資安評級平均落在 A 的等級，即從外部的角度蒐集不到資料，很難針對業者的對外服務進行資料蒐集及攻擊嘗試。
- 網站：臺灣保險業者資安評級平均落在 B- ~ B ，也就是有外部曝險面上的弱點，可能因此成為攻擊者攻擊鏈的一環。而評級降低的原因主要在於業者網站的防禦設定上有五項安全設置錯誤比例偏高，推測因其大多為預設的配置，導致容易被忽略。
- 電子郵件：臺灣保險業者資安評級平均落在 C ~ B-，也就是從攻擊者的角度而言，有明顯的資安弱點，若被攻擊者發現則很有可能成為攻擊鏈上的一環。而評級降低的原因主要在於業者大多忽略 DMARC 以及 SPF 設置，導致郵件系統安全出現弱點，使業者容易成為攻擊者鎖定執行社交工程攻擊的標的。
- 帳號密碼：臺灣保險業者資安評級平均落在 A，不過需要注意的是有 20% 的業者在暗網被揭露相關帳號密碼等情資，產生極大的資安曝險，故此項目評級特別拆開為 80% 業者為 A+，而 20% 業者為 C+。
- 雲端安全：臺灣保險業者評級分數皆為 A+ 以上。本調查並未發現保險業者在其網域名稱下有任何對外公開之雲端儲存體或公共程式庫，然而 OneDegree 預期在數位轉型驅動下，有越來越多企業會逐步採納公有雲服務，因此將持續關注並擴充雲端安全的曝險測試項目。
此外，OneDegree 亦針對產業法遵技術面進行保險業者合規評級：
- ISO27001：產業合規平均分數 87.7 分，主要因證撤銷機制未設定完整、不安全加密套件及憑證過期而被扣分。
- PCI DSS：產業合規平均分數 76.7 分，主要有兩大項扣分項目：
- 網站應用上的 CSP（內容安全性原則）未配置或配置錯誤、X-Frame-Options 未設置或安全等級不足及缺少 CSRF Token 及 Cookie 的三項基本設定未設置或配置錯誤。
- 因憑證撤銷機制未設定完整、不安全加密套件及憑證過期。
- GDPR：產業合規平均分數 89.1 分，主要因證撤銷機制未設定完整、不安全加密套件及憑證過期而被扣分。
改善建議矩陣化
OneDegree 統合臺灣保險業者之總體風險及曝險狀況，依據風險危害程度與改善之複雜度進行衡量，以矩陣方式視覺化改善建議，提供業者權衡自身內部資源，評估改善之優先順序。
研究方法：本調查之資安評級方式為系統性地歸納由 MITRE 提出的 ATT&CK 資安框架，以及美國國家基礎建設諮詢委員會公開的通用漏洞評分系統，並根據即時風險情資調整評級權重；OneDegree 亦針對產業法遵技術面進行合規評級。
欲瞭解更多資訊，歡迎下載完整報告。
