【未來四年最重要的資安監理，從根本思維展開大變革】金融資安韌性發展藍圖出爐

一起資安事件已知最極端的損失有多大？25億美元，相當於臺幣775億元。哪一家金融公司，承受得起如此巨額的損失？

兩年前，國際貨幣基金組織（IMF）的一份報告，顛覆了全球金融業面對資安威脅最根本的態度。

根據IMF這份「2024年全球金融穩定報告」指出，多數資安災情的規模，大約50萬美元（約臺幣1,500萬元）的損失，但是，也有可能出現極端情況，一起資安事件，就會出現高達25億美元的損失，大約是一般金融公司年營收的8倍。不只是影響一家金融機構，就算只是一次的網路攻擊，若造成金融交易平臺的短暫停擺，也足以衝擊整個金融市場，甚至波及不同的金融交易市場，產生連鎖性的壓力，例如帶來整體股市的劇烈波動。

金融資安監理思維大轉變

國際貨幣基金組織這份報告讓許多國家認清了當前資安威脅的重大影響，加速了各國金融資安監理思維的轉變，邁向更全面、更主動的資安戰略，從風險可能發生的「事前防範」作為，轉變為「威脅必然發生」的「事後韌性」對策，希望提升金融機構因應極端情境的營運韌性。

金管會在2025年底最後一場記者會，發布了「金融資安韌性發展藍圖」，作為未來四年，金融產業資安監理最重要的新戰略。這份藍圖的出爐，正式宣告了我國金融資安戰略的改變，跟進全球，從「被動防禦」思維，轉變成「主動韌性」思維。

金管會資訊服務處處長林裕泰在發布時強調：「這份資安發展藍圖涵蓋了最新的國際資安監理趨勢，以及國內資安戰略焦點。」

金管會在2025年底最後一場記者會，發布了「金融資安韌性發展藍圖」，作為未來四年，金融產業資安監理最重要的新戰略。這份藍圖的出爐，正式宣告了我國金融資安戰略的改變，跟進全球，從「被動防禦」思維，轉變成「主動韌性」思維。圖片來源／金管會

舉例來說，國際資安監理趨勢，近兩年焦點包括了強化高層責任和資安成熟度提升，也要推動資安左移和軟體物料管理（SBOM），新興科技則聚焦AI資安和後量子密碼遷移，對於金融供應商管理和營運韌性也越來越重視。

國內則以去年公布的國家資通安全戰略2025和國家資通安全發展方案的焦點為主，像是零信任、後量子密碼、AI技術、供應鏈管理、關鍵系統備援轉型、第三方資安實兵演練和桌上兵推等。

早在五年前，金管會開始更有架構性地規畫臺灣的金融資安監理策略，2020年8月時發布了「金融資安行動方案1.0」，願景是安全便利不中斷的金融服務，主要目的是建立金融業重視資安的組織和文化，來提升資安治理和持續營運能力，最明顯的要求是資安長成為金融業必要設置，主要KPI不到2年就達標超過8成。

金管會2020年8月發布「金融資安行動方案1.0」，主要KPI不到2年就達標超過8成。2022年底的2.0方案開始鼓勵金融業部署零信任網路。在2025年底最後一場記者會則發布了「金融資安韌性發展藍圖」。圖片來源／金管會

金管會隨之在2022年底發表了精進的2.0方案，延續1.0方案的願景，增加十多項資安精進措施，最重要的一項是開始鼓勵金融業部署零信任網路。到了2024年7月，金管會公布了「金融業導入零信任架構參考指引」，提出四階段零信任分級導入策略，讓金融業者更清楚如何擁抱零信任。

從災難預防，轉為假設災難必然發生的因應

從2020年到2025年，這五年來，金管會的資安監理主要採取以系統為中心的「營運持續」思維，目標是關鍵金融系統提供的服務不會中斷，從合規導向來設計相關規範，來降低、避免和防範各種資安的風險，這是一種盡可能希望資安事故不要發生的角度來考慮。

但是，到了2026年，新發布的「金融資安韌性發展藍圖」，金管會的資安監理思維，從本質上有了截然不同的大改變，不是擴大了資安治理的範圍，從系統為中心，轉變為以服務為中心，從關鍵系統的防護，擴大到整個生態，連同供應商、合作夥伴都要納入考量。

資安戰略的思維也從災難預防，轉變為假設災難必然發生的前提，來設計新的資安監理戰略，將資安議題的高度，從最低的合規標準要求，上升到公司治理層級，

金管會透過這份資安韌性發展藍圖，希望金融機構遭遇資安災難時，可以更主動、更有韌性、快速恢復，更有效的控制災情，降低損失。

資安韌性發展藍圖有四大主軸，有根本性的改變

光是比較過去方案和未來藍圖的架構，就可以看到本質上的變化，同樣採取了四大主軸的設計，資安行動方案包括了「建立資安監理」、「深化資安治理」、「精實金融韌性」、「發揮資安聯防」四大構面，而金融資安韌性發展藍圖則區分成「目標治理」、「全域防護」、「生態聯防」和「堅實韌性」。過去多是「點」的做法，如資安長設置，或是「線」的策略，例如資安聯防。新的藍圖則擴大到「面」的戰略，例如生態聯防。

「面對資安威脅不斷提升，資安不應該只是合規，我們需要有更先進的目標。」林裕泰強調。

金融資安韌性發展藍圖區分成「目標治理」、「全域防護」、「生態聯防」和「堅實韌性」四大主軸，分成10類工作項目，包括了29項措施，其中有7項延續了2.0方案，延續且擴大或強化的措施也有10項，其餘新增措施則多達了12項。圖片來源／金管會

在「目標治理」主軸上，要打造一個可以衡量和提升的治理體系，主要從強化高層問責、法規調適、提高人才韌性開始推動。而在「全域防護」主軸上，則要實現從安全設計到技術韌性的全鏈防護，打造一個可以持續演化的安全技術藍圖，所以，金管會要推動資安左

與零信任架構，而且開始因應AI、PQC新興技術的部署。在第三項主軸「生態聯防」上，新的藍圖想提升整體生態系的資安成熟度，而不只是單一公司而已，從強化供應鏈資安管理、資安情資分析合作著手，甚至要深化國際性的聯防，從前三項主軸，要來支撐最後一項主軸「堅實韌性」的實踐，以確保關鍵服務持續與快速恢復。

從四大主軸，分成10類工作項目，包括了29項措施，其中有7項延續了2.0方案，延續且擴大或強化的措施也有10項，其餘新增措施則多達了12項。

延續措施，像是資安人才培育做法，如資安人才職能地圖、鼓勵取得資安證照等。對企業鼓勵導入國際營運持續管理標準等，鼓勵持續實施DDoS攻防演練、紅藍隊演練。

在資安情資分享上，金管會也將持續加強金融資安的國際合作，例如與國際夥伴分享我國資安攻擊案例等。

2.0方案原有的金融產業資安攻防演練和相關培訓，如金融機構DDoS、網路攻防演練、重大事件應變情境演練等，也都會持續辦理。

資安納入企業的治理核心

對原有金融資安行動2.0方案的持續或擴大措施，主要改變是在企業治理上，林裕泰補充，下一階段的重點是，讓資安長負起更高的責任和賦權機制。

金管會將參考美國紐約州金融服務署（NYDFS）所推動的金融機構資安長職責聲明要求。

例如企業要明訂出資安長在資安治理、風險管理、事件應對等方面之具體職責要求，每年資安長也要向董事會報告前一年度的資安整體執行情形，報告內容涵蓋資安計畫執行成果，重大資安事件的改善、資安風險評估、資安預算和資源的運用情況等，換句話說，這也讓企業管理高層更了解企業整體資安狀態，也能負起對應的責任。

新發展藍圖更要求金融機構，必須適度授權給資安長，可以提出改善方案或相當的控制措施，金管會在未來四年的資安監理上，希望金融機構可以建立「責任、權限、資源」三位一體的金融資安治理架構，來強化問責鏈。這是延續過去資安治理，但又進一步強化資安長權責的新做法。

另一個持續推動的措施是各項資安監控和防護有效性的措施，像是金管會在2024年就規畫將資安監控及組態基準，延伸到雲端服務環境，2025年3月先發布了多項公雲服務相關的參考基準。

未來兩年，金管會預計在2026年增加容器服務，2027年增加尚未涵蓋的PaaS服務範疇，例如雲端資料庫、無伺服器應用、雲端SOAR等，讓金融機構在雲地維持一致的資安防護高水準。

最後來看12項新措施的新亮點，包括了資安左移和軟體供應鏈管理（SBOM）、新興科技採用指引（AI安全和後量子遷移）、積極推動零信任架構、多層次備援架構的強化等。

從鼓勵到正式推動零信任，高風險場域先導

金融機構零信任架構的採用。金管會早在2.0方案就開始鼓勵金融業部署零信任網路，2024年中更發布了「金融業導入零信任參考指引」，同樣採取鼓勵而非強制的做法，訂出分階段導入的建議做法，並且提出了六大高風險場域，鼓勵金融業者優先導入零信任架構，像是遠距辦公、雲端存取、系統維運管理、應用系統管理、服務供應商、跨機構協作等。

根據金管會2025年的調查，多數金融機構已經陸續導入或規畫要導入到至少一個場域中，多數機構是針對遠距辦公場景。下一階段藍圖中，金管會轉由從「鼓勵」態度，轉為積極推動高風險場域的零信任架構導入。

資安左移和軟體供應鏈管理是兩大新亮點

金管會要鼓勵金融機構導入軟體安全開發和相關的CI/CD流程，將安全納入設計的資安左移策略，像是軟體分析設計階段，就進行風險評估或威脅建模，並將安全控制嵌入到開發生命週期的多個階段，從設計、開發、測試與部署流程中，也要安全性工具如SAST和DAST，整合到後續的CI/CD流程，善用軟體成分分析來識別所用的相關元件，產生軟體物料清單(SBOM)，來提高軟體組件透明度與可追溯性，還要連結弱點資料庫，來進行漏洞管理與即時版本更新。這些是國外大型科技公司常見的現代化安全開發做法，金管會希望金融機構也能具備同樣的安全開發流程和能力。

金管會要鼓勵金融機構導入軟體安全開發和相關的CI/CD流程，可以將安全控制嵌入到開發生命週期的多個階段，從設計、開發、測試與部署流程中。金管會希望金融機構也能具備不輸科技大廠的安全開發流程和能力。圖片來源／金管會

未來一年，金管會更計畫要委託銀行公會，在現有開放銀行Open API規範基礎上，訂出更完整，可以涵蓋金融機構外部夥伴API和內部API的一套新的API安全基準。

因為金融機構越來越依賴第三方供應商或外包商，尤其許多AI服務來自第三方業者，金融供應鏈的組成也比過去更加複雜化。在發展藍圖上，金管會打算要訂定供應商分級及委外資安責任參考範本，訂出不同風險等級供應商，各自必要的資安條款，這不只可以簡化金融委外的複雜性，也將對資安產業帶來新的統一規範能力。

其中，SBOM（軟體物料清單），也將成為金融軟體供應商的未來標準配備，來強化金融機構對於軟體供應鏈的安全管理。

AI資安與後量子遷移的前瞻部署

這份發展藍圖規畫了未來四年的金融資安監理政策方向，也將未來四年金融機構必須面對的新興科技議題，納入考量，尤其是AI資安和更長遠的後量子演算法遷移（PQC）做法。

這份發展藍圖將未來四年金融機構必須面對的新興科技議題，納入考量，尤其是AI資安和更長遠的後量子演算法遷移（PQC）做法。計畫用一年時間訂定AI系統安全防護及檢測參考指引和金融業PQC遷移參考指南。圖片來源／金管會

金管會計畫用一年時間，訂出，來加速金融機構的AI採用，將參考國際組織OWASP的生成式AI安全性專案、AI進階威脅框架MITRE ATLAS等國際AI資安框架的安全設計及檢測機制，引導金融機構在AI系統設計階段，就納入風險評估和威脅建模，以便搭配相關防護機制，來降低AI的曝險程度。

而在後量子密碼課題上，雖然這是一個更長遠的資安議題，不過，金管會已經在2025年7月就籌設了一個先導小組，透過F-ISAC建立溝通機制，來研擬PQC遷移的準備工作，未來還會陸續建立加密技術清單，鑑別金融機構所用的加密技術，以便來評估安全等級和可能的業務風險。一年後要訂出一份金融業PQC遷移參考指南。金管會也會持續辦理相關的遷移準備工作，像是PQC人才培訓、供應商調查、訂定系統汰換採購策略等。

關鍵服務加強多層次備援架構

最後一項值得關注的新亮點措施是，關鍵金融服務的備援機制，將進一步發展成多層次備援機制。金管會在2.0方案中，對金融機構傳統慣用的本地、異地的備份、備援做法，增加了第三方或雲端資料保存要求，到了韌性發展藍圖，金管會計畫更細緻的設計不同備援情境的韌性要求，將依據不同情境的最小復原需求，來訂定復原時間目標、資料復原點目標，作為備援設計和資源分配的依據，金融機構未來可以針對不同備援情境或災難，來設計多層次不同的應變和恢復做法。

不只是金融機構自己關鍵服務的備援，還要擴大考慮到金融服務生態系的運作和備援，例如核心系統業者、電信業者、支付處理機構、API介接對象等供應鏈夥伴，都將成為金融機構多層次備援機制的考量環節。

這份影響臺灣未來四年所有金融機構，甚至軟體產業、資安產業的金融資安發展藍圖，透過產業規範和最佳實務的做法，雙軌並行來提升金融機構的資安治理成熟度，也從管理面和技術面，雙管齊下，要來強化金融機構的軟體安全與供應鏈管理。

「金融資安韌性發展藍圖最終目標是，期望金融業建立一套可執行、可量測、可提升、可國際接軌的韌性治理模式。」林裕泰在記者會上如此強調，也揭開了臺灣金融資安監理的新時代。