# [ HITCON 論壇 ] 金融業如何迎擊數位戰場的第一道烽火 - 翁浩正, 蔡福隆 處長, 郭建中 董事長, 蘇清偉 資安長, 劉培文 執行副總經理

{%hackmd @HITCON/r1z4zylVv %}

> 從這開始
>
## 企業如何評估防禦機制成效？

聯徵中心郭董事長

- 最好的解決方案不是購買產品，而是**與滲透測試團隊合作**
- **內部也要監控**，發生什麼事情
- 預算方面也要考慮到，透過實際演練，評估防禦機制的成效

富邦金控資安長

- **有效性**才能掌握資安上預算投資的成本
- 採用縱深防護，定期檢視防護並統計誤報與阻擋次數
- 滲透測試仍是最好的檢視方法

第一金控劉副總

- 在金管會要求下每年定期執行滲透測試，但定期的滲透測試仍有其侷限性
- 即便找最好的資安團隊來做處理，仍然只能看到企業**當下**的情況，團隊是否在日常落實資安才是重要的
- 設備有效性、人員安全意識與資安團隊能力成熟度的評估應分開檢視
- 人員間資訊警覺性的串連

## 由主管機關角度是如何評估防禦有效性，並希望企業如何應變資安事故

蔡處長

- 現行要求金融機構建構資安監控機制
- 資安監控機制要求一定技術與知識，企業應投入相關人力訓練成本

## 如何說服企業董事會願意投入資安防禦成本與資源

聯徵中心郭董事長

- 須由不同面向報告董事會資安建構效益與成本
- 聯徵中心服務不能斷線 4 小時
- 金管會要求每年要將資安成果呈報被董事會

富邦

- 每年製作資安治理藍圖呈現董事會

## 如何把關供應鏈安全

第一金控劉副總

- 可透過契約定期協同資安專業者稽核委外供應廠商
- 主管機關可就服務供應廠商資安技術水平進行驗證與管理
- 多數攻擊行為發生於API介接處，導致無法由企業內部觀察攻擊的發生
- 例如只能看到最終交易結果，中間的過程看起來都是合法的操作

蔡福隆 處長

- 在供應商承包前，金融機構可先檢視服務供應商是否具備相應資安能力

富邦
- 資安險

###### tags: `HITCON2020`,`HITCON`