最新消息, Page 8 Category

根據iThome 2021資安大調查，重視資安的金融業，未來面對駭客攻擊、透過社交工程手法發動攻擊、勒索軟體，以及資安漏洞事件的四大資安威脅風險，成為金融業強化資安防護的首要課題。

金管會於109年8月6日推動『強化金融資安行動方案』，旨在提供民眾安心便利、穩定不中斷的金融服務，從強化主管機關資安監理、深化金融機構資安治理、精實金融機構資安作業韌性、發揮資安聯防功能四大面向切入，加強檢查金融業的資訊安全措施。

以今年上半年為例，金管會針對多家金融業有未落實資訊安全作業及未確實執行內控等缺失進行裁罰，歸納以下資安缺失： ( 參考資料來源 – 金融監督管理委員會 )

閱讀完整電子書

實踐「綠色金融行動方案2.0」及「資安行動方案」之防護Backbone良方

 

在過去數月前面臨Covid-19 疫情的高峰期，所有員工都迫切需要遠距工作。儘管疫情似乎正在逐漸趨緩，但辦公環境以及辦公設備可能會永遠改變。

隨著疫情趨緩，一些員工將返回實體辦公室，尚有一些員工將採行混合模式工作，還有大量員工將無限期地遠距工作，且有部分企業將採行「隨處皆是辦公環境：WHA」。

然而，在工作場域以及連線操作設備越發多元下，員工及維運商對於遠端存取的連線需求也日益增加，而且亦無法確保遠距連線工作設備是否感染惡意程式，在此趨勢下，對於個資與機敏資料的保護、交易與核心系統之安全，使得資訊及資安部門面臨更大管理負擔及挑戰。

在此嚴峻的疫情與工作場域的改變下，紛紛開始思考如何建構「身分存取安全機制」的重要性，無論連線操作者來自於何方，首重『三零政策』才能建構絕佳有效的『資安防禦新疆界』。

參閱國內知名資訊媒體業者 – iThome在2021年「資安大調查」資料中，分析金融業在未來1年，將面對首要的四項攻擊與風險：(1) 來自駭客的攻擊、(2) 透過社交工程手法發動的攻擊、(3) 勒索軟體導致的外洩事件、(4) 資安漏洞造成的資安事件。

就上述風險與攻擊可能造成的危害，身份安全可保障組織最重要資產的安全並同時提高業務的靈活性，令組織安心無慮。CyberArk身分安全成功藍圖是一個最佳實踐框架，借鑒成功導入 6,900 多家全球客戶的經驗，更集結人員、流程及技術領域數十年的經驗與專業知識，對實現成功的身份安全而言至關重要。特此，提供五大階段之『控制措施與技術』，達成風險降低之目標及防護效益：

[撰文者：力悅資訊 王甯申]
更多方案內容，請參閱以下官網資訊：
CyberArk https://www.cyberark.com/zh-hant/
力悅資訊 http://www.cyberview.com.tw/cyberark/

如何提供穩定不中斷的金融服務，更保護金融消費者的財產與隱私

金管會於109年8月6日推動『強化金融資安行動方案』，旨在提供民眾安心便利、穩定不中斷的金融服務。

該計畫之推動以二至四年為期，保護金融消費者的財產與隱私，資安行動方案從四個面向切入：

強化主管機關資安監理、深化金融機構資安治理、精實金融機構資安作業韌性、發揮資安聯防功能 (架構圖如下圖一)，亦提出36項資安措施。

更從二方面提供指引功能：

(一)現有資安再優化精進措施：如檢視資安風險因子與金融監理工具連結之有效性、增修訂新興金融科技資安規範等。

(二)規劃資安新思維方向：如推動一定規模金融機構或純網銀設置資安長，強化金融資安韌性，建立資安應變體系。

本篇將特別著重於「新興金融科技資安規範」，提出具體行動方案與建議：

依據金融資安行動方案執行措施表內資訊，針對構面一、強化資安監理中，增修以下兩個工作小項，提出工作說明重點：

就上述兩項規範，格外著重於「新興科技安控」與核心資訊系統供應鏈之風險評估管理要求，於此，CyberArk身分安全平台中，提供以下安控與稽核建議：

一、執行與落實零信任安全存取：

在創新金融發展下，多元化的新興科技持續導入，從過去的邊際防護到縱深防禦的做法，以不足以抵禦來自於多方的攻擊與入侵，為了建構強而有效的核心與交易系統防護控制點，唯有執行「零信任的身分識別」才是關鍵，具體可執行的建議如下：

• Human Identity：ID + Password + MFA + PAM à Login success
• Machine Identity：UID + Password + AP Secretless Broker à Authentication successful

二、建立供應鏈與維運商零信任安全存取：

• 無論供應鏈或維運商自內部進行連線操作時，必須是由廠商以個人帳號進行多因子身分驗證，確保登入前的身分驗證安全。
• 若供應鏈或維運商自外部網路連入系統進行維運時，必須避免在遠端連線設備上輸入帳密(尤其是特權帳密)，且採行更加嚴謹的「生物識別驗證機制」，確保遠端連入時的驗證，並且建立外網連線的Terminal gateway，完整留存系統維運時的操作記錄與影像擷取，作為日後稽核與備查。

預期效益：

透過上述的建議與作為，除可落實資安行動方案的要求外，共創以下「金三角」目標：

1. 金融機構：

健全資安管理制度，提升資安防護能量；並得以在資通安全的基礎上，運用新興科技發展金融業務，提供消費者更安心、便利與多樣之金融服務，讓您完全無後顧之憂、勇往直前、再創營收佳績。

2. 金融產業：

透過供應鏈與維運商的安全存取與管控機制，建構金融資安聯防體系，厚植金融體系防禦能量，營造安全的金融服務發展環境，奠定金融科技創新及發展之根基。

3. 金融消費者：

安心使用更加便利、不中斷的數位化金融服務，並在保障財產與隱私安全情況下，獲得金融消費者更高的評價與服務滿意度提升。
 

[撰文者：力悅資訊 王甯申]
更多方案內容，請參閱以下官網資訊：
CyberArk https://www.cyberark.com/zh-hant/
力悅資訊 http://www.cyberview.com.tw/cyberark/