金管會為什麼要推零信任？

2024年7月，金管會正式發布《金融業零信任架構參考指引》。這份指引的出台有其脈絡：金融業這幾年加速擁抱雲端、開放API、遠距辦公，傳統靠防火牆守住「內外界線」的做法，在這些趨勢下越來越不管用。攻擊者一旦突破邊界，在內網幾乎暢行無阻。

指引把零信任成熟度分成四個等級——靜態策略、動態策略、即時控制、最佳化——並點名了幾個最該優先處理的場景：遠距存取核心系統、特權帳號操作資料庫、第三方廠商連線維護、跨機構資料交換。這些確實是金融業近年資安事件的熱區。

導入零信任，真正的門檻在哪？

零信任的概念不難理解——「永不信任、持續驗證」。但實際要在一家金融機構裡落地，遇到的問題往往不是技術面，而是組織和流程面。

最大的障礙是既有環境太複雜。金融業的IT架構經過多年堆疊，核心系統可能跑了十幾年，大量Legacy System不是想改就能改。你不可能叫所有系統一夕之間都支援零信任的驗證機制，得有辦法分階段、分場景地切入。

再來是身分治理的問題。很多金融機構的帳號權限管理還是靠人工——員工轉調了、專案結束了、供應商合約到期了，帳號和權限卻還留在那裡。這些「殘留權限」正是攻擊者最愛利用的破口。零信任要求「最小權限」，但如果連現在誰有什麼權限都搞不清楚，最小權限根本無從談起。

然後是特權帳號。根據多份資安研究報告，超過八成的重大資安事件都涉及特權帳號的濫用。金融業的核心系統、資料庫、網路設備全都需要特權帳號來維運，這些帳號如果管不好，其他零信任措施做再多也是白搭。

實務上怎麼做？從身分和特權切入

零信任涵蓋的面向很廣（身分、設備、網路、應用程式都要顧），但以金融業的現況來看，最能產生即時效果的切入點是身分治理和特權存取管理。把這兩塊做好，等於把零信任最核心的「控制誰能存取什麼」先建立起來。

身分治理：SailPoint

SailPoint的身分安全平台可以把員工、承包商、第三方廠商的帳號生命週期自動化管理。從到職開帳號、轉調調權限、離職關帳號，整個流程都拉進系統裡，不再靠人工追蹤。它的AI分析功能可以主動揪出異常的權限配置——比如一個一般行員卻擁有DBA權限——這正是金管會指引裡「動態策略」層級要求的能力。

特權存取管理：CyberArk

CyberArk是全球特權存取管理（PAM）的龍頭。它的做法是把所有特權帳號的密碼集中存放在Vault裡，使用者要操作核心系統時，透過CyberArk代理連線，密碼全程不揭露，操作過程全程錄影。這完全符合零信任「持續驗證、全程稽核」的要求。對金融業來說，這也是面對金檢時最能拿出來的具體證據。

持續監控怎麼做？

零信任不是裝完就沒事，需要持續監控所有存取行為。ArcSight作為台灣金融業使用率最高的SIEM平台，可以把身分驗證事件、特權操作紀錄、異常存取行為全部收進來做關聯分析，對應到指引中「即時控制」層級的要求。如果你的機構已經有ArcSight，只要把零信任相關的Use Case規則加進去，就能馬上開始監控。

建議怎麼開始

每家金融機構的IT環境和資安成熟度都不同，不可能有一套標準流程照抄。但有幾個原則可以參考：先從指引點名的高風險場景開始（特別是特權帳號和遠距存取），不要試圖一次做完所有面向；先把身分治理和特權管理的基礎架構建立起來，再逐步往其他零信任面向延伸。

頤合資訊在金融業有多年的導入經驗，如果需要評估目前的零信任成熟度或討論導入規劃，歡迎直接跟我們聊聊。