供應商釀永豐銀資安漏洞事件怎防？ 金管會擬祭2招：擴大資訊聯防、分級界定委外責任

永豐銀傳出多筆異常轉帳，共影響418名客戶、427筆交易，合計逾4千萬款項遭匯出。永豐銀高層今日（11/4）晚間召開記者會表示，該事件是外部駭客利用新網銀交易系統的供應商安全設定所致，規劃將向供應商求償。

供應商成資安漏洞怎麼防？金管會資訊服務處處長林裕泰今日上午於臺灣週「資安韌性與戰略」座談會指出，金管會正規畫讓供應商加入原先只開放給金融業者的資安聯防平台F-ISAC，讓情資更能即時分享與協作；針對如何強化供應鏈資安，林裕泰也提出數點建議，包括金融機構應最小化供應商權限、將供應商資安失守納入資安攻防演練情境、強化多層次備援等。

為鼓勵情資協作　金管會研議供應商加入F-ISAC

針對供應商的資安防護，金管會現行措施是增修訂資安自律規範或作業指引，納入核心資訊系統供應商及第三方服務提供者的風險評估、查核等管理機制。林裕泰透露，規劃今年底進一步鼓勵金融業者和關鍵供應商進行情資分享與協作，包括讓金融機構的供應商加入F-ISAC。

現行銀行、保險、證券期貨、投信投顧等各業別金融機構，會透過金融資安資訊分享與分析中心（F-ISAC），進一步交流資安資訊、諮詢及相關演練。林裕泰表示，為了強化供應鏈資安，目前F-ISAC正研擬如何讓供應商加入，例如開放供應商以金融機構推薦的身分參與，建立「供應商會員」機制，讓供應商也能像金融機構一樣，取得及時情資進行安全防護。

林裕泰也表示，金管會正在研訂供應商分級機制，以及委外資安責任的參考範圍。根據金管會去年12月提出的「金融資安韌性發展藍圖」，為了因應供應鏈攻擊增溫趨勢，金管會規劃根據產業特性、供應商接觸資通系統的類別，及資料敏感度等面向進行分級，進而研訂資安責任的委外契約參考條款，例如資安服務水準協議（SLA）、資料保護責任、資安事件通報時限，及資安風險揭露等。

供應商失守如何接招？金管會：強化多層次備援、事前演練是關鍵

而對金融業者來說，現行該如何強化供應鏈資安，林裕泰也提出數點建議。林裕泰表示，金融機構開放給供應商的權限應最小化，也就是「原則關閉、必要開通、用後即關」。當供應商發生資安事件，金融機構應能立刻停止供應商授權，並建議事先演練類似情境，包括預建停用授權、輪替金鑰等劇本。

他也提醒，有些供應商並非單一廠商，而是雲端服務平台，一旦雲端出問題，可能導致平台上眾多資料同時外洩。金融機構應進一步檢視SaaS與代管平台，釐清責任界線、整合授權範圍。

另外，金管會已連續幾年針對金融機構辦理DDoS、網路攻防及其他資安演練，並開設金融資安演訓專班。林裕泰表示，今年的重大資安事件應變情境演練，也首次針對AI攻擊與雲端服務兩大情境進行演練。在這兩類情境中，若供應商資安失守，金融機構須考慮將其服務與連線停掉後，是否有替代措施。

林裕泰表示，強化「多層次備援」很重要，針對供應商退出情境，要有替代方案並確認資料可攜，金融機構應事先掌握資料匯出方式、保留離線副本、驗證替代方案；金融業也可演練僅保留關鍵服務的降級運作，並驗證備援可行。林裕泰強調，多層次備援是為了保護金融客戶的重要資產，若備援能量不足，金融機構也要能識別哪些服務須優先回復，讓關鍵服務及時穩定。