loading...
國內金融業近期接連傳出資安事件，駭客攻擊手法也隨人工智慧（AI）發展加速演變，金融機構面臨的防禦壓力升高。金管會近日召集76家金融機構資安長及相關公會代表，針對AI時代資安風險研商因應方向，提出縮小對外曝險、漏洞風險排序、強化董事會資源挹注，以及導入防禦性AI等4大重點，盼從被動防守轉向更積極的防禦機制。
金管會資訊服務處處長林裕泰表示，這次會議共有76家金融機構資安長或代理人出席，並邀集相關公會交換意見。近期資安事件頻傳，金融業除了面對傳統駭客攻擊，也必須留意AI加速漏洞搜尋、攻擊自動化帶來的新威脅，防禦思維有必要隨之調整。
在具體作法上，首先是強化資安基本功，將對外曝險面縮減至最低，尤其外部人員存取及高權限帳號管理，應落實零信任、多因子驗證與最小權限原則，搭配網路分段及監控措施，避免駭客突破單一防線後，進一步擴大入侵範圍。
其次，面對系統漏洞增加，金融機構不能只追求全面修補，更要建立風險排序機制。林裕泰指出，當多個漏洞同時出現，應優先辨識哪些可能遭到惡意利用、引發AI自動化攻擊，或讓駭客取得系統控制權，再依風險高低安排修補順序，避免有限的資安人力與資源分散。
落實以AI對抗AI
他舉例，微軟10月透過AI修補1,413個資安漏洞，顯示AI已大幅加快漏洞發現及處理速度，也意味金融機構必須提升應對效率，不能再單純依賴傳統人工檢測與修補方式。
此外，金管會也提醒，資安不應只是資訊部門的責任，經營階層及董事會必須掌握最新威脅情勢，並提供資安團隊足夠的人力、預算及技術資源。隨著攻擊型態改變，資安防護已牽涉整體營運風險，管理階層應提高重視程度。
至於防禦工具，金管會建議業者在風險可控前提下，審慎導入防禦性AI，運用於漏洞偵測、修補、威脅情資分析及資安監控，落實以AI對抗AI。不過，AI工具本身也須納入風險管理，避免新技術反而衍生新的資安破口。
林裕泰表示，會中也蒐集到業者提出的新意見，金管會將進一步研議，避免與現行政策重複，後續再視討論結果對外說明。◇
