金融网安方案2.0出炉 重点一次看

因应数码金融服务需求增加，金管会表示将督导相关单位就移动应用程序、云端服务、网络身份验证等议题持续检讨修正相关规范。李建梁摄

金管会27日发布「金融网安移动方案」2.0，包含扩大网安长设置、导入数码身份验证国际规范、强化核心数据保全机制等措施。

其表示，第一代金融网安移动方案于2020年上路，此次发布的2.0版则订有40项措施，包括12项新增措施，将以3年为期分阶段推动，整体愿景是「追求安全、便利、不中断的金融服务」。

扩大网安长设置、网安联防及演练

金管会起初要求银行及一定规模以上金融机构设置副总经理层级以上之网安长，此次则将电子交易达一定比例的业者纳入范围，并规划2023年起定期办理网安长联系会议。

其表示，截至2022年第3季止，银行及符合要件的证券商有13家、期货商2家、投信业5家、保险业8家已完成设置网安长。

金融网安信息分享与分析中心于2022年底建置网安情资关联分析平台，提供自动化情资介接功能及建立情资分享奖励机制。此外，金管会表示将持续办理分散式阻断服务攻击（DDoS）及重大网安事件情境演练。

数码金融起飞 身份验证成重要课题

金管会指出，金融机构因COVID-19（新冠肺炎）疫情加速数码转型，对数码金融服务之倚赖加深，传统金融服务场景已扩展至「金融生态圈」。

为降低运用新兴科技的风险，将督导相关单位就移动应用程序（App）、云端服务、开放银行的开放应用程序界面（Open API）、网络身份验证（eKYC）、新型态网安攻击样态等议题，持续检讨修正相关规范。

因应金融服务委外及跨业型态发展（如云端服务、移动支付等），增修订网安自律规范或作业指引，纳入核心资通讯系统之软硬件供应与维运商、第三方服务提供者等之风险评估、边际防护及委外稽核等面向。

同时，参考ISO 29115「数码身份验证等级」架构，将网络身份验证依登录、信物管理、验证等阶段，区分验证强度等级，建立与业务风险对照之规范。

零信任架构、异地备份须演练

金管会表示，国际间包含美国、欧盟等都将发展零信任网络网安防护环境视为网络安全战略，而台湾也将依循这样的趋势，因此鼓励金融机构采零信任网络部署，导入身份监别、设备监别及信任推断等零信任网络3大核心机制。

为避免重大网安事件、天然灾害及地缘政治等因素导致数据灭失，并影响广大民生，研议并鼓励重要金融机构强化重要核心数据保全机制，包含核心档案及数据库加密与分持、备份储存于第三地或云端等机制。

金管会指出，为确保核心业务在灾损时可维持运作，金融机构多已建置异地备份与备援环境，但异地切换涉及资源人力调度、外部协同作业及信息网络等调整介接等众多层面，因此鼓励金融机构联合外部相关单位办理资通系统联合演练，以应灾害备援实务需求。

针对国泰世华银行近期频传服务不稳定问题，金管会29日即对国泰世华开罚新台币1,200万元，并调降总经理月薪30%，为期3个月。金管会指出，国泰世华在短时间内频繁发生信息系统及基础设施异常事件，致多次金融服务中断，已严重影响客户使用金融服务之稳定及安全性，属银行内部控制制度面之重大缺失。

国泰世华银行日前公告，与美式卖场好市多（Costco）的联名卡合约将在2023年8月7日届满，2022年双十节期间系统当机导致卖场民怨四起。不过，也有知情人士表示，国泰在推动数码金融方面，可说是业界领头羊，相对得承担较高风险。

责任编辑：毛履万亿