資安5缺 駭客不上門才怪

Edvard Grieg - Peer Gynt Suites - 1 and 2

【摘要2017.10.8.中時】遠銀遭駭被盜走新台幣18億元，令外界詫異台灣金融資安防護網竟如此薄弱，屢屢出包。冰凍三尺非一日之寒，問題癥結出在心態，面對資安，國銀多僅要求達到金管會的規定就好，反觀駭客卻不斷力圖技術精進，藉以四處攻城略地，為此，在這場資安競賽中，國銀不思改進，就只能祈禱駭客千萬別找上門！

早在去年孟加拉央行遭駭客以同樣手法入侵，被搬走近10億美元（約新台幣300億）。資誠會計師事務所資安專家指出，當時追回大部分被盜資金，但被匯到斯里蘭卡、菲律賓的近億美元石沉大海，追不回來，未久SWIFT（環球銀行間金融電訊網路）組織即提出相關用戶強化方案。

針砭國銀資安，有5大罩門亟待改善，分別是主事者心態不夠積極，技術不夠、管理不佳，缺乏人才，及資安主管層級太低。

主事者得過且過，自我要求太低，自然衍生了技術、管理未到位問題，賦予資安主管的位階也跟著偏低。殊不知國外金融機構資安長與資訊長、法遵長多是平起平坐，風險可相互制衡，不會出現國內多人有權指揮資安長開防火牆的可笑狀況。

更誇張的是，資安人才培育嚴重不足，這問題不僅在企業，連須協助企業的政府單位，也鬧人才荒。

資安不僅金融界要思改善，所有單位都須防患未然！KPMG資安專家提出警告，從去年層出不窮的金融網路安全攻擊，到今年SWIFT事件，若連銀行普遍認為安全、成熟的SWIFT防護機制，都已被攻破，未來只要是任何國際級駭客認為有利可圖的攻擊對象，無論是否為封閉式網路，只要未與時俱進，採取更進一步的積極作為，都極可能被突破，「飛航管制網路被突破導致飛安問題、油水電網路被攻陷導致重大民生事件等，都不會再是電影中的情節。」

近來政府部門資安防護及管理機制屢遭駭客攻擊，數位國土安全備受考驗。立法院預算中心評估報告指出，中央、地方政府資訊安全防護人力、經費及法規皆不夠完善，多數人力大多是「兼職」，就連科技部、國發會、金管會等部分機關甚至未配置專職人力，已造成資安防護工作難以落實。

立法院預算中心在107年度中央政府總預算案評估報告指出，行政院所屬機關資訊人力吃緊，不少資訊業務必須委外辦理。2012年至2016年行政院及所屬機關資訊設備相關經費，自140億7千餘萬元逐年下滑至115億9千餘萬元，減幅達17.6％，但資訊業務委外經費占資訊設備相關經費經費比率，自43.5％成長至55.5％，已逾5成，在缺乏配套規範之情況下，亦可能衍生資訊安全之委外風險。

同時，若從中央及地方政府歷年編列資安防護經費以及人力配置觀察，不論是人力或是經費中央政府都較地方政府充裕，而六都又比其他縣市充裕，顯示資安防護也呈現「城鄉不均」。

根據法務部資訊處資料，資訊業務委外應掌握包括「不能失去主控性」及「應排除核心業務」兩項原則，但政府現行資訊安全政策及委外政策，少見敘及前述原則。考試院也曾經批評，資訊部門負荷沉重，且政府機關人員角色逐漸轉為以辦理委外採購專案規畫與專案管理工作為主，逐漸失去技術主控性，導致委外風險節節升高。

評估報告進一步指出，國內資安法規未臻健全，公部門雖有資通安全推動單位與相關遵行法律與法令，但其中屬法律者所規範目的各異，並非針對資通安全管理為整體考量而制定；屬法令者對資通安全管理雖定有較細節之規範，但其位階較低，且規定分散，適用上難免不足，致相關單位不易落實。

報告呼籲相關部門應盡速完成「資通安全管理法」立法程序，賦予各機關資通安全維護義務的法源，提升資通安全能量。