金管会召开全体金融业资安长会议 明确下达六大最新资安防护指令

金管会周四召开115年度第2次金融机构资安长联系会议，由金管会副主委庄琇媛主持，金管会在会议中也明确要求金融机构必须要优先落实以下六大重点资安措施：

一、掌握外部曝险及处置重大安全漏洞：

金融机构应持续掌握对外服务系统、应用程式介面（API）、管理介面及第三方维运入口等曝险情形，关闭或限制不必要之对外存取，并运用软体物料清单（SBOM）等方式掌握重要软体元件及版本。对于对外曝险、已遭利用、可自动化执行或取得控制权的重大弱点，应优先修补并验证改善成效；无法即时修补者，应采取必要的替代控管措施。

二、强化重要资料、交易安全及高风险存取控管：

落实零信任原则，强化高权限帐号、委外远端连线及重要系统介接的身分验证与权限管理、网路微分段，并对重要资料存取、交易指令及权限异动等高风险操作，建立授权检核、异常侦测及必要的即时拦阻机制，防范资料外泄、未经授权交易及权限滥用，并降低对客户权益的损害。

三、强化软体安全开发，评估导入防御性AI：

将安全设计、程式码及软体元件检测、安全设定检核等资安左移措施纳入系统开发与维护流程，强化第三方软体及部署安全。并因应骇客运用AI辅助攻击的威胁日益升高，金管会于今年10月发布「金融业运用代理AI安全咨询文件」，金融机构应于风险可控下，审慎评估导入防御性AI技术，朝「以AI对抗AI」方向发展，优先将AI应用于漏洞侦测及修补、威胁情资搜集与更新等资安防御工作。

四、善用资安情资并强化委外供应链联防：

善用金融资安资讯分享与分析中心（F-ISAC）等情资分享机制，将重大漏洞及攻击情资及时转化为弱点修补、防护调整及异常追查等具体措施；并加强共同供应商、云端服务及重要软体的风险管理，落实委外系统权限与安全设定检核，以及跨机构情资分享、事件通报及协同应处。

五、确保关键金融服务持续运作及快速复原：

完善营运持续及备援复原机制，针对AI攻击、重要系统入侵、云端或供应商服务中断等情境办理演练，验证紧急处置、服务降级、备援切换及复原能力，确保关键金融服务持续运作。另应强化重要数位凭证及信任链管理，建立紧急换发与验证机制，降低第三方信任服务异常的影响。

六、强化董事会及高阶管理阶层资安治理责任：

AI已改变资安防御型态，资安及AI风险管理已非仅资讯或资安部门的责任，金融机构应由董事会及高阶管理阶层纳入整体治理，明确界定决策权限、管理责任及风险承受程度，并支持资安长判断与需求，配置充足的人力、预算及技术等资源，确保资安治理政策有效落实。

另随著前沿AI模型能力快速提升，攻击者可能运用AI加速弱点发掘、攻击路径分析及攻击工具开发，大幅压缩金融机构弱点修补与事件应变之时间，对金融资安防护带来新的挑战。

周四的这场会议，来参与的包括了银行、证券期货及保险业资安长，包括金融资安治理、代理人工智慧（AI）安全管理、AI新兴攻击风险及重大资安事件应变都为重要议题。针对近期重大资安威胁，金管会在会中也特别提醒金融机构优先强化重要系统安全防护、客户资料与交易安全及事件应变能力，以提升金融体系整体资安防护及营运韧性。

本文转自：TNT时报