資安風暴接連來襲！ 金管會呼籲金融業優先落實這六大防禦措施

從金融機構系通遭受資安攻擊、PHP等廣泛使用軟體陸續揭露重大安全漏洞，及數位憑證緊急換發事件等，近日資安事件頻傳，金管會昨（12）日召開本年度第2場金融機構資安長聯繫會議，今日（11/13）說明會議內容，並呼籲金融機構優先落實6大重點措施，分別為掌握外部曝險及處置重大安全漏洞、資料存取落實「零信任」原則、評估導入防禦性AI、強化委外供應鏈聯防、確保關鍵金融服務持續運作及快速復原，及強化董事會及高階管理階層資安治理責任。

金管會表示，金管會於11月12日召開115年度第2次金融機構資安長聯繫會議，由金管會副主任委員莊琇媛主持，邀集銀行、證券期貨及保險業資安長，就金融資安治理、代理人工智慧（AI）安全管理、AI新興攻擊風險及重大資安事件應變等議題進行專題演講及交流，並針對近期重大資安威脅，提醒金融機構優先強化重要系統安全防護、客戶資料與交易安全及事件應變能力，以提升金融體系整體資安防護及營運韌性。

金管會表示，近期國內外陸續發生金融機構及數位資產服務業者遭受資安攻擊、客戶資料外洩及金融資產遭未經授權移轉等事件，加以PHP、Node.js等廣泛使用之軟體陸續揭露重大安全漏洞，以及數位憑證緊急換發事件，凸顯資安風險已涵蓋軟體弱點、身分與權限管理、委外供應鏈及重要數位信任服務等不同環節，且可能進一步影響客戶權益及金融服務之持續運作。另隨著前沿AI模型能力快速提升，攻擊者可能運用AI加速弱點發掘、攻擊路徑分析及攻擊工具開發，大幅壓縮金融機構弱點修補與事件應變之時間，對金融資安防護帶來新的挑戰。

金管會籲請金融機構優先落實下列六項重點措施：

一、掌握外部曝險及處置重大安全漏洞：金融機構應持續掌握對外服務系統、API、管理介面及第三方維運入口等曝險情形，關閉或限制不必要之對外存取，並運用軟體物料清單（SBOM）等方式掌握重要軟體元件及版本。對於對外曝險、已遭利用、可自動化執行或取得控制權之重大弱點，應優先修補並驗證改善成效；無法即時修補者，應採取必要之替代控管措施。

二、強化重要資料、交易安全及高風險存取控管：落實零信任原則，強化高權限帳號、委外遠端連線及重要系統介接之身分驗證與權限管理、網路微分段，並對重要資料存取、交易指令及權限異動等高風險操作，建立授權檢核、異常偵測及必要之即時攔阻機制，防範資料外洩、未經授權交易及權限濫用，並降低對客戶權益之損害。

三、強化軟體安全開發，評估導入防禦性AI：將安全設計、程式碼及軟體元件檢測、安全設定檢核等資安左移措施納入系統開發與維護流程，強化第三方軟體及部署安全。並因應駭客運用 AI 輔助攻擊之威脅日益升高，金管會於今年 10 月發布「金融業運用代理 AI 安全諮詢文件」，金融機構應於風險可控下，審慎評估導入防禦性 AI 技術，朝「以 AI 對抗 AI」方向發展，優先將 AI 應用於漏洞偵測及修補、威脅情資蒐集與更新等資安防禦工作。

四、善用資安情資並強化委外供應鏈聯防：善用金融資安資訊分享與分析中心（F-ISAC）等情資分享機制，將重大漏洞及攻擊情資及時轉化為弱點修補、防護調整及異常追查等具體措施；並加強共同供應商、雲端服務及重要軟體之風險管理，落實委外系統權限與安全設定檢核，以及跨機構情資分享、事件通報及協同應處。

五、確保關鍵金融服務持續運作及快速復原：完善營運持續及備援復原機制，針對AI攻擊、重要系統入侵、雲端或供應商服務中斷等情境辦理演練，驗證緊急處置、服務降級、備援切換及復原能力，確保關鍵金融服務持續運作。另應強化重要數位憑證及信任鏈管理，建立緊急換發與驗證機制，降低第三方信任服務異常之影響。

六、強化董事會及高階管理階層資安治理責任：AI已改變資安防禦型態，資安及AI風險管理已非僅資訊或資安部門的責任，金融機構應由董事會及高階管理階層納入整體治理，明確界定決策權限、管理責任及風險承受程度，並支持資安長判斷與需求，配置充足的人力、預算及技術等資源，確保資安治理政策有效落實。

金管會強調，資安韌性的核心不僅在於降低資安事件發生之可能性，更在於面對攻擊速度加快、威脅持續演變之環境下，金融機構能否及早發現異常、迅速控制損害，並維持關鍵金融服務之持續運作。金融機構應依風險急迫性優先處理重大資安曝險，並透過持續監控、定期檢測及情境演練，驗證各項防護與應變措施之實際成效，避免重大風險未獲及時處理，或因應變不及而擴大對客戶及金融服務之影響。