因應金融創新科技,改變營運模式的資安新思維

如何提供穩定不中斷的金融服務,更保護金融消費者的財產與隱私

 

金管會於109年8月6日推動『強化金融資安行動方案』,旨在提供民眾安心便利、穩定不中斷的金融服務。

該計畫之推動以二至四年為期,保護金融消費者的財產與隱私,資安行動方案從四個面向切入:

強化主管機關資安監理、深化金融機構資安治理、精實金融機構資安作業韌性、發揮資安聯防功能 (架構圖如下圖一),亦提出36項資安措施。

更從二方面提供指引功能:

(一)現有資安再優化精進措施:如檢視資安風險因子與金融監理工具連結之有效性、增修訂新興金融科技資安規範等。

(二)規劃資安新思維方向:如推動一定規模金融機構或純網銀設置資安長,強化金融資安韌性,建立資安應變體系。

本篇將特別著重於「新興金融科技資安規範」,提出具體行動方案與建議:

依據金融資安行動方案執行措施表內資訊,針對構面一、強化資安監理中,增修以下兩個工作小項,提出工作說明重點:

就上述兩項規範,格外著重於「新興科技安控」與核心資訊系統供應鏈之風險評估管理要求,於此,CyberArk身分安全平台中,提供以下安控與稽核建議:

一、執行與落實零信任安全存取:

在創新金融發展下,多元化的新興科技持續導入,從過去的邊際防護到縱深防禦的做法,以不足以抵禦來自於多方的攻擊與入侵,為了建構強而有效的核心與交易系統防護控制點,唯有執行「零信任的身分識別」才是關鍵,具體可執行的建議如下:

  • Human Identity:ID + Password + MFA + PAM à Login success
  • Machine Identity:UID + Password + AP Secretless Broker à Authentication successful

二、建立供應鏈與維運商零信任安全存取:

  • 無論供應鏈或維運商自內部進行連線操作時,必須是由廠商以個人帳號進行多因子身分驗證,確保登入前的身分驗證安全。
  • 若供應鏈或維運商自外部網路連入系統進行維運時,必須避免在遠端連線設備上輸入帳密(尤其是特權帳密),且採行更加嚴謹的「生物識別驗證機制」,確保遠端連入時的驗證,並且建立外網連線的Terminal gateway,完整留存系統維運時的操作記錄與影像擷取,作為日後稽核與備查。

預期效益:

透過上述的建議與作為,除可落實資安行動方案的要求外,共創以下「金三角」目標:

  1. 金融機構:

健全資安管理制度,提升資安防護能量;並得以在資通安全的基礎上,運用新興科技發展金融業務,提供消費者更安心、便利與多樣之金融服務,讓您完全無後顧之憂、勇往直前、再創營收佳績。

  1. 金融產業:

透過供應鏈與維運商的安全存取與管控機制,建構金融資安聯防體系,厚植金融體系防禦能量,營造安全的金融服務發展環境,奠定金融科技創新及發展之根基。

  1. 金融消費者:

安心使用更加便利、不中斷的數位化金融服務,並在保障財產與隱私安全情況下,獲得金融消費者更高的評價與服務滿意度提升。
 

[撰文者:力悅資訊 王甯申]
更多方案內容,請參閱以下官網資訊:
CyberArk https://www.cyberark.com/zh-hant/
力悅資訊 http://www.cyberview.com.tw/cyberark/