【臺灣資安大會直擊】國泰金控推動零信任強化計畫，目標三年內集團各子公司重要風險場景達到進階水準

在今年資安大會上，國泰金控表示，針對導入零信任架構，他們已制定了三年強化計畫，目標在三年內讓重要風險場景達到進階等級。針對AI和雲端技術，國泰金控也制訂了相對應的資安治理措施。

國泰金控資安長陳明環表示，從去年開始，他們根據金管會發布的零信任架構參考指引釐清現況，並找來顧問公司盤點出集團各子公司的共通性強化項目。依據去年的評估結果，國泰金控各子公司將會依據業務需求和資源配置，進行三年的強化計畫，目標是讓主要風險場景能升級到指引中定義的進階等級。

針對AI資安治理，陳明環表示，他們較注重資料防護議題，包括如何和廠商擬定合約，確保廠商不能保留資料，另外，針對存放在雲端環境中的資料，也需要進一步做遮蔽和加密，同時避免將公司私鑰存放在雲端環境。

其它國泰在AI議題中關注的資安焦點，還有模型與系統安全、存取權限管理、治理架構與政策制訂、透明性與可解釋性，合規與標準對齊等等。

國泰金控的負責任AI治理架構包含六大面向，分別是策略、法制、流程、組織、技術，和應用。其中，流程面包含風險評估框架和AI審核流程，組織面則包括資料AI治理委員會和科技委員會。

近年來，國泰金控積極發展上雲計畫，而針對雲端資安防護，國泰金控強調搭建安全的資安架構，包括加強資料加密、IAM權限控管、機敏資料保護，和端到端的安全防護等等。另外，針對雲端技術架構，國泰也會從資安面考量整體基礎設施和維運開發框架。

除了雲端技術和AI，因應委外廠商、軟硬體供應商被作為跳板攻擊的案例逐漸增多，供應鏈管理也成為國泰注重的資安議題。