金融資安行動再升級 微軟強化金融業數位韌性與防禦能力

近年來，隨著金融業的數位化發展，資安挑戰變得更加複雜。為了因應這個問題，超過75家金融機構設立資訊長、24家董事擁有資安背景，並加強資安措施，透過政策和科技投資提高資安防護，以確保客戶資料安全。此外，金管會也推出了「金融資安行動2.0」，將擴大政策涵蓋範圍到生態圈資安，並鼓勵金融業擁抱零信任。

加速資安應變，金管會再推出「金融資安行動2.0」

金融業面臨不斷變革的資安威脅，金管會持續推動金融資安行動方案，推出2.0版，加強「金融韌性」。2.0版主打3大新方向，包括：資安長聯盟化、生態圈資安和零信任架構。透過加強業界資安合作、建立全方位資安防護，以及採用零信任架構，讓金融業更有效應對不斷變化的資安挑戰。

「金融韌性」指的是金融產業面對網路攻擊和資訊安全威脅的關鍵能力。為了強化金融韌性，金融機構需加強核心資料保全和落實零信任網路。此外，金融機構也需加強員工資安教育與訓練，建立完整的資安管理制度，以及與第三方服務供應商的資安風險管理等措施。

加強核心／非核心資料保全 建立災難復原的漸進式作法

核心資料可謂是金融業務的基石，如客戶資料、交易資料、風險資料等，若遭到竊取、損毀、駭入或洩漏，將對金融機構造成極大的損失和風險。在加強核心資料保全的過程中，建立健全的業務的持續營運(Business Continuity, BC)與災難復原(Disaster Recovery, DR)機制至關重要，當災害發生時，金融機構需要能夠在最短時間內恢復業務，以確保客戶的權益和信心不受損害。

其中，實體異地備援機制是災難復原的重要手段，可以確保核心資料的持續存儲和安全備份。但是，實體異地備援機制的投資和維運成本往往較高，且需要定期維護和演練。微軟Azure雲端平台提供原生的雲端備份機制與協力廠備份解決方案，能為金融企業核心資料的持續存儲、安全備份與災難復原實現漸進式作法的策略，更有效地降低災備整體成本。

微軟Azure Site Recovery災難復原服務能將雲端作為地端的正式備援環境，透過ASR的災難復原能力，讓企業可操作預期或非預期的災備演練，實行異質環境轉移，最小化停機時間，減少業務損失，並有效的降低災備整體成本。Azure Marketplace則支援廣泛的第三方合作夥伴的資料儲存方案，在任何意外發生時，回復最近的資料狀態點。

而Azure Backup原生備份服務提供雲端原生的管理功能，可將Azure環境的服務資料以及企業內部部署的系統備份至Azure Backup的存儲庫中，並透過管理介面的生命週期管控功能，實現自動化管理。

導入零信任網路架構 身分鑑別、設備鑑別與信任推斷

除了強化核心與非核心資料的保全，導入零信任網路架構是提高金融韌性的關鍵一環，必須對所有設備、使用者和資源不斷驗證與審核，對於金融機構客戶的資料達到更高的安全性，才能在面對全球資安新威脅包括：網路釣魚、勒索軟體攻擊、區塊鏈安全等情況時，避免遭受駭客攻擊和資訊外洩的風險。

微軟是美國國家資安卓越中心 (NCCoE) 推動商用產品符合 NIST 零信任架構之合作廠商之一，透過強大的零信任解決方案Microsoft Security，可以整合企業執行零信任網路的三大核心機制，包括身分鑑別、設備鑑別及以風險為基礎的信任推斷。

其中微軟Azure AD B2C 是一種客戶身分識別存取管理解決方案，每天能夠支援數百萬名使用者和數十億次驗證。 負責驗證平台的規模調整和安全性，以及監控和自動處理威脅 ，例如拒絕服務、密碼噴濺或暴力密碼破解攻擊。

金融資安行動2.0提出了一系列重要的行動方針和解決方案，金融業必須加強資安措施以應對不斷變化的風險，強化資安韌性，提升客戶信心，維護金融系統穩定運作，而在微軟的平台上，企業除了有安全的雲端基礎結構之外，針對零信任架構策略，也都有完整的布局協助企業建構資安韌性。

本文轉載自 風傳媒