在數位金融高速發展的今天，資料外洩、勒索攻擊、帳號盜用等事件層出不窮。讓金融業面臨前所未有的資安挑戰。面對跨境合規與多樣化的威脅，傳統的「邊界式防禦」已無法有效因應。繼去年金管會發布《零信任導入指引》後，今年更進一步推動金融雲端資安監控基準，為產業建立新的安全規範。根據iThome報導，2024年金融業在資安的投資較前一年增加11.2%，且近四成機構開始投資零信任身分與設備鑑別，零信任正成為全球金融機構強化資安的核心策略。
為何金融業需要導入零信任架構？
用零信任思維重新檢視資安政策
承上述的風險與挑戰，企業應以零信任思維重新檢視內部的資安政策和架構流程，包含以下三個方向：
- 由外而內：縮小攻擊表面，增加防禦深度
- 由內而外：擴大防護表面，限縮損害衝擊
- 提高可視性：持續監控與驗證
根據美國網路安全暨機數數師安全局(CISA)發布的零信任成熟模型，零信任能力包含五大支柱：身分、裝置、網路、應用程式及資料。企業應逐步在各個領域導入零信任的核心原則，包含不預設信任、持續驗證、最小授權，並從手動設定發展到完全自動化，從被動的安全政策到主動治理。盤點途徑如下：
- 身分：雙因子身分驗證、動態屬性存取授權等
- 設備：設備健康度合規性管理如作業軟體更新、防毒軟體更新
- 網路：全程加密傳輸、具適當網段分割，採最小需求原則的網路連線
- 應用程式：內部與外部的安全性設定、最小授權原則
- 資料：機敏性資料加密儲存、資料外洩防護、資料存取活動及時偵測
企業可從高風險場域著手五大支柱協同運作，打造全面的安全策略，並持續驗證所有使用者、裝置、應用程式和存取要求。這種分層方法旨在讓攻擊者更難以入侵，有助降低攻擊的風險，更好的保護企業寶貴機密與資料。
除了零信任架構，金融機構未來關注4大議題
- AI在資訊安全的優與憂：AI的出現使網路威脅和手法更趨複雜，近年更有許多AI工具衍生的金融詐騙事件；然而AI若能運用在威脅偵測、自動應變、弱點管理等領域，則能為企業帶來大幅度的效率提升和安全升級。根據iThome，2024年五成金融業者開始驗證生成式AI金融應用的可行性，也同時積極提高員工使用AI的資安意識。
- 電子簽章與身分驗證新法規：因應網路服務擴增，建立eKYC等級與業務風險對照表，電子簽章效力等同親簽，當私密金鑰資料外洩或遺失等事件需做出通知。
- 強化供應鏈資安與合規風險管理：金融業供應商眾多，往往面臨許多資安議題包含資訊不透明、多層外包和資安預算不足等核心問題，易引發資安的破口與看不見的風險，應建立安全的資料交換機制與完整的軌跡追蹤，以確保資安合規性，讓供應鏈的資料風險不影響企業營運。
- 後量子密碼挑戰：後量子加密 (PQC) 是指抵禦強大量子電腦攻擊的加密演算法。儘管大規模量子電腦仍處於開發階段，但「先竊取、後解密」(HNDL) 的威脅模式意味著企業必須立即開始為量子安全的未來做規劃。國際金融業包含美國、日本和新加坡皆開始啟動PQC遷移計畫。
OmniStor 以「資料為變界」回應金融業零信任需求
ASUS OmniStor 零信任檔案管理系統，透過多重的資料安全防禦機制，為擁有大量機敏資料的金融業，打造整合型的單一資料管理平台，面對單位內外隱藏的資料威脅，提供兼具安全防護與軌跡稽核的應用，將零信任思維深化至各個節點，滿足最小權限及持續驗證的核心原則。OmniStor提供滿足內外兼備的解決方案如下：
A.對內強化控管
- 整合成員帳密，強化登入安全
- 存取權限控管，確保資料不落地
- 完整行為軌跡，滿足合規與監控
B.對外提升主動防禦力
- 資料安全性設定，機密不外洩
- 儲存傳輸加密，檔案交換更安全
- 勒索病毒偵測，異常行為終止同步
此外，華碩集團近日亦宣布自主研發的後量子密碼演算法，正式通過美國國家標準與技術研究院(NIST)旗下之密碼演算法驗證暨化，未來將廣泛整合應用於華碩各產品線，提供全球企業與個人用戶最先進的抗量子資安解決方案，持續強化金融資安韌性。
想了解更多 OmniStor 零信任檔案管理系統嗎？>>https://www.asuscloud.com/omnistor/
需要免費諮詢零信任檔案管理解決方案？>>https://www.asuscloud.com/contact/
參考資料來源：
- iThome: https://www.ithome.com.tw/article/162261
- 【信任賦能共創數位新生態】2025台灣數位信任論壇簡報
- 華碩新聞：https://press.asus.com/tw/news/press-releases/asus-post-quantum-cryptography-cavp/