零信任指引 金融业6场域先行

金管会资讯服务处长林裕泰举例，如果骇客透过钓鱼邮件侵入到内部设备，内网资安防护可在其流窜时，完成侦测与拦阻。

金管会表示，零信任架构不可能一次到位，考量资安防护有一定的量能，如双因子身分验证、健康设备检查及网段隔离，金融机构可在既有的基础上，以零信任的思维继续深化。

金管会所发布的参考指引，建议金融机构可择高风险场域作为优先导入零信任架构的标的，金管会举例6大场域，如远距办公，使用者及设备位于传统资安防护边境外；云端设备位于传统资安防护边境外；系统维运管理，如主机设备及系统管理包含作业系统、资料库的特权帐号。

应用系统管理如帐号管理员或高权限者帐号，可接触大量个资或机敏资料使用者；服务供应商如委外厂商的远端维运管理；跨机构协作，如重要应用系统外部使用者。但金管会强调并不限制前述场域，金融业可适当评估。

零信任架构导入策略，区分4阶段分级指标盘点高风险场域。第一级为静态指标，除既有的双因子身分鉴别、设备识别、网路区隔与流量加密、应用程式最小授权原则、机敏资料及外泄防护，由关键资源存取路径强化防护纵深。

第二级为动态指标，是零信任「永不信任、持续验证」的概念，将资源存取时的动态属性如时间、地点、设备合规状态纳为授权审核条件，可针对异常样态动态撤销、限缩存取授权或即时警告。

第三级是即时指标，建议整合资安监控机制，于安全资讯与事件管理平台收容及整合资源存取相关事件，对入侵指标或攻击行为样态，等进行即时的侦测、判断与应处。第四级为最佳化的整合指标，建立可依资安政策快速调适至一致性且自动化的管理机制，确保安全性及合规性。

金管会表示会定期调查金融机构导入及进程，与各公会、周边单位共同依据对金融属性、规模及业务风险，衡量实际资安防护需求及执行可达性。金管会上半年已完成所有银行、保险及证券19家调查。