【臺灣資安大會直擊】台新新光資安主管：資安預算不等於資安部門預算，企業應重新定義資安投資範圍

來源：https://www.ithome.com.tw/news/175742

「資安預算應占IT預算多少比例？」，相信是許多人關心的資安治理議題，也是企業資安長爭取資安預算的根本。台新新光金控資訊安全部資深協理方振維在今年臺灣資安大會中分享他的看法，他認為資安預算比例存在一個根本問題，不同企業對「什麼是資安」的定義並不一致，導致許多數字根本無法直接比較。

他表示，企業真正需要思考的，不只是資安部門編列多少經費，而是哪些IT與基礎設施投資，本質上與資安風險治理有關。

資安預算不只是資安部門的預算

方振維表示，目前許多企業在計算資安預算時，往往只統計資安部門直接掌握的項目，例如防火牆、EDR或SOC平臺等，實際上，企業大量與資安有關的支出，經常被歸類在IT、機房、網管或基礎設施預算之中。

他舉例，包括AD（Active Directory）、NAC（Network Access Control）、備份系統、機房UPS、發電機、零信任架構、微分段（Micro Segmentation），甚至EOS／EOL設備汰換等，這些都和資安風險高度相關。

「不是資安單位的預算，才叫資安預算」，方振維說。

他指出，許多企業在資安預算比例上存在極大的差異，關鍵原因在於定義不同。有些企業將防火牆列入資安，有些則是列入網管；有些將備份系統視為IT基礎設施，但也有企業認為備份與勒索軟體防護密切相關，因此應納入資安範疇。

因此，即使同樣宣稱「資安預算占IT預算10%」，不同企業各自涵蓋的內容也可能完全不同。

回歸CIA本質

方振維認為，企業談資安時，不應只聚焦在駭客入侵，而是應重新回到CIA三大核心，也就是機密性（Confidentiality）、完整性（Integrity）與可用性（Availability）。

他特別點出，許多企業多注意機密性、完整性，但是長期忽略Availability的重要性。

例如勒索軟體攻擊，真正影響的就是系統可用性；而備份系統、機房供電、UPS與發電機等，雖然常被視為IT維運項目，但本質上都與系統是否能持續運作有關，因此也屬於資安治理的一部分。

他以企業機房為例指出，即使不是遭到駭客攻擊，只要UPS故障導致系統停擺，對客戶而言結果並沒有差別。「客戶不會管你是自殺還是他殺，他只知道系統不能用」。

資安不是煞車，而是企業的安全氣囊

對於企業內部常將資安視為阻礙營運的部門，方振維也提出不同看法。他認為，資安不應是阻止業務發展的「煞車」，而更像是汽車的安全氣囊。

許多資安措施，例如VPN、VDI跳板、多因素驗證、微分段與權限控管，確實會影響便利性，使得資安部門容易成為內部抱怨對象。但企業若只追求方便，而忽略風險控管，最終付出的代價可能更高。

「離公司最近的方法，就是把網路拔掉、電腦關機，但這不是企業真正要的」，他說。

因此，企業應在營運效率與風險控管之間取得平衡，而不是追求所謂「絕對安全」。

偵測能力比完美防禦更重要

方振維也認為，企業不應幻想能完全阻止駭客入侵，而應假設攻擊者已經進入內部環境。相較於單純強化邊界防禦，他更強調EDR/XDR、行為監控、Log分析、偵測與回應事件、事件追蹤的重要性。

他指出，許多企業真正的問題並不是遭駭，而是「駭客待在內部很久卻沒有被發現」。

此外，他也提到，現今勒索軟體攻擊往往會優先鎖定備份系統，因此企業即使有備份，也未必代表具備完整復原能力。

他認為，企業與其把資源過度投入在災後救援，不如更早投入在防禦、偵測與復原能力建設上。

三層式資安預算架構

針對企業該如何盤點資安投資，方振維提出「三層式資安預算」概念。第一層是直接資安預算，包括防火牆、EDR、IAM與SOC等直接與CIA相關的資安工具；第二層是與Availability有關的預算，例如備份、機房、UPS、備援中心與供電系統等。

第三層則是間接資安預算，包括AD、變更管理、EOS／EOL設備汰換、零信任架構與微服務等，雖然不一定由資安部門主導，但與資安風險高度相關。

他強調，企業真正應該關注的，不是單純追求資安占IT預算的比例，而是能否透過一致的定義與長期追蹤，理解風險變化與投資方向是否合理。

'

VCF 9.1增強橫向存取安全，擴充EDR整合勒索軟體隔離復原

來源：https://www.ithome.com.tw/review/175733

相隔近一年，博通（Broadcom）月初宣布VMware Cloud Foundation（VCF）推出9.1版更新，提供AI與Kubernetes原生的私有雲基礎架構平臺，強調能讓企業在部署推論與代理式AI應用系統時，享有更低的成本、強化的安全性，以及自由選擇最佳GPU與CPU硬體的彈性。

關於安全性方面的功能突破，VCF 9.1主打能針對AI資料主權與治理需求提供零信任架構，能在基礎架構層級整合多種機制，保護Hypervisor到應用程式的AI工作負載、專屬AI模型與訓練資料。VMware強調，VCF 9.1能提供公有雲無法比擬的安全性，因為用戶實施零信任網路分段、主權復原（sovereign recovery），以及無需額外工具的持續漏洞修補，可強化AI系統部署於正式使用環境的資安態勢。

首先，關於零信任網路防護，VCF 9.1提供用戶個別選購的進階服務，實踐零信任的橫向存取安全（Zero Trust Lateral Security），因為VMware 將vDefend整合至VCF，當中的分散式入侵偵測系統（IDS）或入侵防禦系統（IPS）得以延伸至VCF，而能以此防護執行在Kubernetes平臺的AI工作負載。原本能保護虛擬機器的vDefend分散式IDS或IPS，現在也能用於VMware vSphere Kubernetes Service（VKS）叢集，提供網路檢測與防護機制，企業可藉此執行威脅行為偵測與虛擬修補（virtual patching）。

而在橫向存取威脅預防效能上，由於新支援IDPS Turbo Mode，網路吞吐量可提升3倍。根據博通內部測試，對於分散式推論的威脅檢測效能，每臺主機的吞吐量可達到3 Gbps至9 Gbps，每個VCF工作負載網域的總防護能力可達到9 Tbps。

若將VCF用在私有雲環境與網際網路應用系統時， 由於VMware強化vDefend分散式防火牆，使得這套基礎架構平臺的應用程式辨識能力提升5倍，針對網路第7層的活動能有更清楚的能見度、更簡易操作且細緻的資安政策強制控管能力，而且當中也新增基於身分的防火牆隔離機制，可支援多站點環境，以便實施統一且簡化的政策強制控管。

VCF 9.1另一項安全強化措施是針對勒索軟體攻擊，提升企業內部環境基礎架構平臺的復原能力。VMware提供隔離的復原環境與整合的驗證工具，例如，原本預設使用博通旗下的端點偵測與應變系統（EDR）Carbon Black，現在新增端點安全平臺CrowdStrike Falcon的支援，能夠保護AI模型與訓練資料，相較於公有雲環境，若處於危機發生後的復原期間，不需為此進行跨境資料搬移，免於承擔龐大的頻寬費用。

這項功能的實現，也是透過VCF用戶另一個選購的進階服務VMware Advanced Cyber Compliance（ACC），在這個解決方案的9.1新版，可針對內部環境的乾淨資料隔離儲存區（isolated clean rooms），提供整合的網路攻擊復原工作流程，當中提供涵蓋各個環節的自動化處理引擎，可大規模執行識別、驗證、復原的處理。

具體而言，企業可透過內建AI/ML的EDR驗證復原點（restore points），即可針對已開機啟動的虛擬機器，識別當中是否存在無檔案（fileless）與基於檔案進行攻擊的惡意軟體，確保復原資料在接觸正式環境之前是乾淨的。在此同時，除了預設支援Carbon Black，現在CrowdStrike Falcon也加入ACC的網路復原流程，提供用戶更多選擇與多層次防護。

產品資訊

VMware Cloud Foundation 9.1

●原廠：VMware by Broadcom

●建議售價：廠商未提供

●部署形式：VMware vSphere Foundation、VMware Cloud Foundation Edge、VMware Cloud Foundation

●選購擴充元件：VMware vSphere Foundation可搭配VMware Live Recovery，VMware Cloud Foundation可搭配VMware Private AI 9.1、VMware Data Services Manager 9.1

●多國語言版本：英、日、西、法

●組成架構：每個VCF Fleet包含VCF Automation、VCF Operations、VCF Instance；每個VCF Instance包含1個管理網域、2種工作負載網域；每個管理網域包含VCF Management Services、Cloud proxy、License server、SDDC Manager、NSX Manager、Management vCenter、ESXi Cluster；工作負載網域1包含NSX Manager、Workload vCenter、ESXi Cluster、上面建置應用系統的虛擬機器；工作負載網域2包含NSX Edge或Virtual Network Appliance、NSX Manager、Workload vCenter、搭配vSphere Supervisor的ESXi Cluster、上面建置應用系統的虛擬機器、容器、虛擬機器與容器

●整合的VMware產品：vSphere、vSphere Kubernetes Service、VCF Operations、VCF Operations for networks、VCF Operations fleet management、VCF Automation、vSAN、NSX

vSphere、vSAN、NSX、vSphere Kubernetes Service、VCF Operations、VCF Automation、HCX、VCF Private AI services

●搭配Kubernetes最新版本：1.35.2（vSphere Kubernetes release，VKr）

【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】

'

老牌Windows診斷工具Sysinternals推出新版本，3大工具同步升級

來源：https://www.ithome.com.tw/news/175743

常用於系統監控與資安事件分析的Windows診斷工具集Sysinternals，近日發布新版本， 涵蓋系統啟動分析工具Autoruns、記憶體傾印分析工具ProcDump，以及螢幕放大與標註工具ZoomIt的更新 。

其中Autoruns更新至14.2版，新增對Windows套件化封裝應用程式（Windows packaged apps）的支援，提升對當前Windows應用程式新型啟動機制的解析能力。ProcDump更新至12.0版，新增透過-pt參數，以整個程序樹（process tree）為單位擷取記憶體dump資料，讓記憶體dump分析可以涵蓋整個應用程式的父子程序結構，不像舊版ProcDump只能針對單一程序擷取記憶體資料。

ZoomIt則升級至12.0版本，新增Webcam畫面疊加（webcam overlay）的影片擷取功能，可在錄製螢幕操作畫面時，加入透過網路攝影機拍攝的人員說明畫面（結合的視訊畫面能在影片中設為圓形或矩形），另一個是在影片剪輯器當中，支援追加短片追加功能（appending clips），為完成技術展示的工作提供更強大的功能。

'

【臺灣資安大會直擊】酷澎臺灣資安長陳浩維宣布：酷澎首個公開版漏洞獎勵計畫，並揭露背後的戰略藍圖

來源：https://www.ithome.com.tw/news/175741

你敢不敢讓自家的產品、系統或服務，公開讓全世界的白帽駭客，進行漏洞回報呢？跨境電商酷澎（Coupang）臺灣暨日本資安長陳浩維日前（5月6日）在「臺灣資安大會CyberSec 2026」的大會演講中，首度公開酷澎臺灣將與全球規模最大的漏洞通報平臺HackerOne合作消息，推出「公開版漏洞獎勵計畫」（Public Bug Bounty Program），陳浩維說：「這不只是臺灣第一個與HackerOne的合作計畫，也是酷澎全球首發合作專案。」

陳浩維也在臺灣資安大會現場，針對先前韓國酷澎因為內部前中國籍員工外洩客戶個資，有20萬名臺灣客戶受到牽連一事，正式對大眾鞠躬道歉。

除了表達歉意，他強調，酷澎臺灣近兩年積極和數位發展部合作，不論從物流隱碼、Passkey技術導入，到零售與旅宿業情資分享中心（R-ISAC）的倡議，也同時積極投入臺灣資安人才培育，以及支持臺灣資安社群運作。

陳浩維認為，產業可能有競爭關係，但面對資安這件事情上，唯一的敵人就是攻擊者，「我們都是Team Taiwan，One Team，One Fight。」他說。

臺灣酷澎與HackerOne合作，臺灣首例也是酷澎全球首例

全球最具規模的漏洞回報平臺HackerOne，長期與財星五百大企業及政府機關合作，協助企業建立有組織、有獎勵機制的資安漏洞研究生態。不過，在臺灣，從未有企業與HackerOne合作推出「公開版漏洞獎勵計畫」（Public Bug Bounty Program）——開放所有資安研究人員皆可參與、公開透明的漏洞回報機制。

此次，陳浩維公開宣布「酷澎臺灣公開版漏洞研究計畫（Coupang Taiwan Public Bug Bounty Program）」，在演講開始前一個小時正式上線。他指出，這不僅是HackerOne進入臺灣市場以來的首個公開計畫，也是酷澎集團在全球各個市場中，第一個率先啟動此類公開計畫的據點。

「我們希望對資安研究有興趣的朋友，可以一起來保護臺灣的消費者，讓這個網路更安全，」陳浩維表示，臺灣數位發展部的法人機構資通安全研究院，去年也開始舉辦這類的漏洞獎勵計畫，也有越來越多企業開始願意加入這樣的活動。

不過，陳浩維強調，這次與HackerOne合作的公開版漏洞獎勵計畫，是奠基在已經運作一段時間的「私有版」漏洞回報計畫──邀請特定研究人員參與，隨著這個活動從私有轉為公開，意味著：酷澎願意將自己的資安體質公開，並接受全球資安社群的挑戰與檢驗。對酷澎而言，這是一種需要高度自信，也需要高度誠意的決定。

酷澎臺灣此舉，除了肯定臺灣的資安社群能量，也標誌著這家跨境電商，已經決定將資安防禦的觸角，從內部的封閉測試轉向全球白帽駭客的集體智慧。這項決策的背後，不僅是對技術實力的自信，更是酷澎在經歷資安風暴後，重塑數位信任的關鍵一步。

韓國酷澎資安事件，牽連20萬名臺灣客戶

陳浩維坦言，要理解這一切倡議背後的重量，必須先回到幾個月前在韓國酷澎爆發的那場資安事件。

2025年，酷澎韓國發生嚴重的資安事件，有一名中國籍的酷澎韓國前員工，利用其對公司內部系統的知識與存取權限，對酷澎及酷盟（Coupang Eats）的顧客資料進行了未經授權的存取與竊取。根據韓國酷澎委託第三方數位鑑識公司Mandiant進行的獨立調查結果，此事件影響了約20萬名臺灣顧客的個人資料。

受影響的臺灣顧客資料，包含：姓名、電話、電子郵件地址等基本聯絡資訊，以及部分帳戶相關的欄位。不過，陳浩維也再三強調，這起資安事件並不涉及信用卡資訊、密碼，以及身分證字號等高度敏感的資料。

「根據多家資安公司共同進行的資訊監控，以及數位鑑識報告，我們的總結是，目前都沒有任何遭到濫用的情形。」陳浩維表示，韓國主管機關的聯合調查小組也得到相同結論。

他指出，從調查結果可以發現，受影響的顧客資料沒有被散布、沒有被分享或轉移給任何第三方，也沒有看到被進一步犯罪利用的案例。「但我們會持續進行監控，這個工作不會停止，」陳浩維說。

在確認事件影響臺灣顧客的當下，酷澎臺灣第一時間通報主管機關數位發展部，並持續保持暢通的溝通。事後，酷澎臺灣也對每一位受影響的臺灣顧客，發放新臺幣一千元等值的酷澎購物券。

為了更了解受到影響客戶的心聲，陳浩維也到第一線，親自接聽客服電話，直接與客戶溝通，而且，他和其中一位顧客談了一個多小時的電話。在這樣的過程中，陳浩維清楚感受到臺灣客戶的憂慮、不滿和不安。

對此，他也以酷澎臺灣資安部門的主管，以及臺灣資安社群的一份子，在臺灣資安大會的講臺上，正式對大眾鞠躬道歉、表達歉意。

內部威脅與日俱增，惡意的主動竊取行為比例也大增

陳浩維表示，酷澎韓國發生的資安事件，其實就是所謂的內部威脅（Insider Threat），「這起事件跟一般資安攻擊不一樣的地方，在於攻擊者是內部人員，」他說。

他也援引美國政府對於「Insider」的定義：利用組織內部知識或授權存取權限，進行有害或無益行為的人員——可能是現職員工、前員工，也可能是承包商或供應商。他清楚的指出，內部威脅的危害，往往比外部攻擊更難察覺，也更難防範，因為「攻擊者原本就站在防線之內。」

根據Ponemon Institute於2026年發布的《Cost of Insider Risks 2026 Global Report全球內部風險成本報告》，內部威脅造成的平均損失已達每年195萬美元，相較2022年的162萬美元，增幅超過兩成。

報告同時指出，在所有內部威脅事件中，約有52％來自員工疏失，27％則屬於惡意的主動竊取行為，然而，後者的比例正在逐年成長；此外，該份報也顯示，約73%的受訪組織擔心，AI工具的使用會加入內部資料外洩的風險；但這些組織中，僅有18%已經具備完善的AI治理機制。

陳浩維指出，美國的中大型企業近年來已開始在資安團隊內部，建立獨立的「Insider Threat Program」（內部威脅應對計畫），目前有63％的組織導入，一年可以減少7起內部威脅的事件發生，也可以減少820萬美元的損失。

有別於一般的事件應變機制。美國政府甚至透過總統行政命令（EO），要求所有關鍵基礎設施（CI）的主管機關建立此類計畫。根據數據，這些計畫的導入，已讓相關事件數量減少了約一半。

要如何應對內部威脅呢？陳浩維引述美國國家反情報和安全中心的「內部威脅防護計畫」提出五大要點。首先，組織必須識別自身最重要的資產與數據，也就是「皇冠上的珍珠」（Crown Jewels）；其次，需要跨部門整合，包括資安、法務、人資等，建立完善的通報機制與標準作業程序。

第三，要鼓勵員工主動回報可疑行為，而不是依賴被動偵測；第四，導入使用者行為分析（UEBA）等偵測工具；第五，在整個組織打造全員參與的資安文化。畢竟，「最容易被忽略的風險，往往來自最熟悉的人，」他說。

AI時代的資安新常態，攻擊成本趨近於零

為了更清楚描繪當前資安威脅的整體輪廓，陳浩維引用美國網路安全暨基礎設施安全局（CISA）前局長及多位資安長共同發布的《The AI Vulnerability Storm: Building a Mythos-ready Security Program》報告，其中也提到，在2018年，一個漏洞（CVE）被公開之後，駭客平均需要兩年三個月才能將其發展為可用的攻擊手法；但到了2026年，這個時間已縮短到僅僅十個小時。

換句話說，過去資安團隊賴以為生的「修補窗口」（Patching Window）——也就是漏洞公開後，企業得以在遭受攻擊前完成修補的時間——在AI輔助攻擊的時代，已近乎消失。

陳浩維認為，當攻擊不再是偶然的個案，而是必須面對的日常，特別是因為AI日益普及與強大的關係，漏洞從發現到被利用的時間（Time to Exploitation）從數年縮短至短短十小時的今天，傳統的三十天修補窗口已然失效。

報告中的另一組數據同樣震撼：2026年，漏洞公開當天（Day 0），就已有高達百分之二十五的比例被攻擊者直接利用。

與此同時，根據美國國家標準暨技術研究院（NIST）於2026年4月發布的公告，NIST已宣布未來不再對所有新增漏洞完整的分析與評分，而是優先處理已被部署或涉及關鍵系統的漏洞——這個決定的背後，正是因為漏洞的產出速度已遠超人工處理的能量。

「攻擊不再是偶然發生的個案，它將持續發生，並可能以不同的型態呈現，」陳浩維認為，當被攻擊成為日常，身為資安從業人員更重要的是，在面對這些事件的時候，如何對內強化資安措施，對外展現負責任的態度與積極的處理。「讓我們從每一次的事件中，變得更強大。」他也：「AI時代的資安，攻擊更容易，信任更昂貴。」因此，所有的行動，都必須作到連結、共享和培育。

打造「全球資源、臺灣先行」的酷澎臺灣資安團隊

陳浩維在兩年前加入酷澎美國西雅圖總部，成為資安團隊的第一號員工，此前曾在亞馬遜服務超過十年，也是亞馬遜資安部門的第一位臺灣籍員工，負責網路鑑識、全球漏洞獎勵計畫，以及內部威脅（Insider Threat）調查等業務。今年，他離開居住了十幾年的美國，以酷澎臺灣暨日本資安長的身分返回臺灣，回到他一直說是「起點也是終點」的土地。

陳浩維指出，酷澎臺灣的資安團隊不只是聽命於總部的執行單位，更是勇於任事、敢於針對資安議題率先全球推出各項新服務的「創新樞紐」。「我們不只是跟各個總部合作，我們也會提出臺灣自己的倡議，」他說。「我們勇於率先在臺灣推動全球未有的資安計畫，然後再把這些經驗推向全球。」

在過去兩年中，酷澎臺灣利用其獨特的市場地位，將臺灣作為資安最佳實踐的實驗基地。這種「臺灣先行」的定位，在酷澎的數個實際案例清晰可見。

解決LINE難以控管稽核問題，導入企業版Line Works

首先是Line Works的導入。臺灣有高達九成以上的智慧型手機用戶使用LINE作為日常通訊工具，其滲透率之高在全球幾乎難出其右。對於企業而言，這代表員工很自然地將工作訊息、客戶資料，甚至商業機密，透過個人LINE帳號進行傳輸——而資安團隊既無法稽核，員工離職後也無法清除相關群組或訊息記錄。

酷澎臺灣選擇正面解決這個問題，而不是強行禁止員工使用熟悉的介面。陳浩維表示，他們找上了由日本開發的LINE Works，功能上類似於企業版LINE的通訊平臺。

「在臺灣酷澎導入之前，LINE Works只有服務日本客戶，根本沒有臺灣客戶，甚至試過每一個管道，也找不到相關的聯絡方式。」陳浩維說，過程相當艱辛，但最終建立了連結，開啟了合作。

LINE Works整合了組織的單一登入（SSO）機制，通訊紀錄可以納入資安偵測系統，員工離職後的存取也可受控管理，同時也能與公司的客戶關係管理系統整合，能在不改變員工習慣的前提下，將影子IT納入監控，這項由臺灣發起的倡議，隨後也開始影響酷澎全球的資安布局。

主動識別仿冒網站，三步驟下架詐騙網站

其次是針對電商產業最頭痛的詐騙網站問題，酷澎臺灣亦建立主動出擊的防禦機制。陳浩維展示一個實際案例：一個網域名稱與酷澎高度相似的仿冒網站（coupangkp.tw），不僅複製了酷澎的官網外觀，還設有假冒的登入頁面，並透過LINE帳號誘導消費者聯繫，進行詐騙。

而在酷澎臺灣的資安團隊中，設有專責的威脅情資分析專家，每天分析驗證國際威脅情資廠商提供的資訊、比對本地域名資料，一旦發現偽冒酷澎的釣魚網站，便透過 AI與自然語言處理（NLP）技術進行自動化分析，主動識別仿冒網站。

他表示，仿冒網站的情資一旦確認，便同步啟動三個層次的下架程序：首先，向TWNIC和165反詐騙通報窗口，申請域名的DNS網域的解析封鎖（RPZ），使釣魚網址無法解析；接著要求社交平臺下架詐騙帳號（包含FB、LINE帳號）；最後，通知域名註冊商將違法網域徹底撤除。

陳浩維表示，製作這些仿冒網站的成本很低，速度很快，但酷澎臺灣透過縮短偵測與下架的時間差，大幅提高詐騙者的營運成本，有效降低了品牌信任受損的風險。

引進物流隱碼與Passkey技術，把資安創新落地成顧客體驗

過去兩年，酷澎臺灣連續參與數位部的「數位韌性產業計畫」，在數位部數位產業署、工研院及數位新創協會的支持與協助下，推出了兩項受到矚目的技術創新。

第一項是2024年推出的「跨境物流隱碼科技」陳浩維指出，在電商的物流配送的流程中，包裹上的運送標籤幾乎必然印有顧客的姓名、地址與電話號碼——這是在每次配送過程中，個資就會被所有經手人員看見的系統性風險。

酷澎臺灣的解法是，在酷澎跨境電商服務「火箭跨境」的物流標籤上，以安全碼取代顧客的真實電話號碼，搭配QR Code進行加密通訊，讓快遞員在需要聯繫收件人時，只需掃碼即可透過安全管道撥打，顧客的真實電話始終不會直接暴露在紙本標籤上。

陳浩維表示，這項計畫不只在臺灣落地，也是酷澎跨境物流鏈中的首次導入，被酷澎視為「臺灣先行，全球可能跟進」的範本之一。

第二項是2025年打造FIDO免密碼的新世代數位信任防線，推出「Passkey無密碼登入」進行數位身分驗證升級，這也是酷澎臺灣與全球開發團隊共同研發的自主技術，讓臺灣用戶可以透過生物辨識（如指紋或臉部辨識）完成帳號登入，徹底省去記憶密碼的需要。

「沒有密碼，就沒有密碼被盜的風險；沒有密碼，也就沒有憑證填充攻擊（Credential Stuffing）的著力點。」陳浩維說，這項作法是臺灣跨境電商首例，也是酷澎持續強調的「以資安提升顧客體驗」的具體呈現。

他指出，這兩項計畫讓酷澎臺灣連續兩年獲得數位部「友善電商」的認可，成為數位韌性產業計畫中的標竿案例。

此外，酷澎臺灣也成功加入FIRST（Forum of Incident Response and Security Teams）——全球最重要的資安事件應變組織之一，他表示，加入FIRST需要兩個現有會員的背書（Sponsor），酷澎同時獲得臺灣電腦網路危機處理暨協調中心（TWCERT/CC），以及韓國資安協會（KISA）的聯合推薦，成為少數由兩國資安機構共同背書而加入的會員，並強化了酷澎在國際資安社群中的正式地位。

推動臺版零售情資分享中心R-ISAC，把競爭對手變成資安夥伴

身為臺灣電商零售業的一份子，陳浩維提出他認為臺灣電商產業最需要的一項集體行動：建立零售業情資分享與分析中心（Retail-Information Sharing and Analysis Center，R-ISAC）。

ISAC的概念起源於美國，目的是讓同一產業的組織，在不涉及商業機密的前提下，共同分享威脅情資、最佳實踐，以及資安事件的應對經驗。也就是說，讓產業的競爭者面對資安這個共同的敵人時，可以成為彼此的盟友。

美國早已有成熟的零售與旅宿業ISAC（Retail and Hospitality ISAC），酷澎本身也是其核心成員，他也和美國ISAC有長期聯繫。「在業務層面，我們都有競爭，但在資安領域，我們的競爭對手只有一個，就是攻擊者，」陳浩維表示，希望產業成員可以成為夥伴，提升整個產業的資安應對能力，尤其是在AI這個資訊不對稱的今天，我們更需要互助、交流與協力。

臺灣R-ISAC的推動，已獲得數位部數位產業署署長蔡福隆，以及中華民國無店面零售商業同業公會（CNRA）的秘書長為許生忠的支持與指導；未來將透過無店面商業公會轄下的資安委員會的運作機制，推進臺灣R-ISAC的實際運作。

在組織架構上，臺灣R-ISAC規畫設有指導委員會（Steering Committee）負責策略指引、跨部門協調與對外合作，以及營運辦公室（Operations Office）負責日常管理、會員服務與專案推動；主要功能涵蓋情資整合與分享、AI輔助的情報平臺、警訊推播、責任與隱私合規處理，以及會員招募與成員培育等。

陳浩維特別強調，臺灣R-ISAC的關注範圍不限於技術性的威脅指標（IOC），也將涵蓋詐騙情資——包括仿冒網站與各類詐欺手法的資訊分享，「這些可以分享給同業，讓整個電商生態都能提早預警。」他說。

在機制設計上，酷澎臺灣的規畫是以「輕量化」起步，利用AI Agent自動化情資的整理、驗證與初步分析威脅指標（IOC），同時維持「Human in the Loop」的人工審核機制，確保資料品質與隱私保護兼顧。陳浩維表示，未來臺灣R-ISAC的情資，也有機會與國際情資網絡進行交換，讓臺灣的電商資安防線真正接上全球的視野。

打造數位信任飛輪，資安不是成本而是企業競爭力

陳浩維用「數位信任飛輪」來涵蓋酷澎臺灣的整體資安策略。他指出，這個飛輪模型的核心是「信任」，外圍由四個互相驅動的要素組成，包括：公私協力；酷澎導入新資安技術；顧客數位信任提升，以及整體產業安全升級。

每一個要素的強化，都會帶動下一個要素的前進，最終讓整個飛輪加速轉動。陳浩維說：「我們希望資安的角色，不只是一個成本中心，而是可以帶動企業發展，一起跟產業把資安的標準拉到更高的水平，蛻變為推動企業成長的『信任引擎』。」

在資源投入上，酷澎集團在全球擁有超過兩百位資安專業人員，並在資安、個資保護及資訊安全基礎建設上的投入，2023年資安及資訊科技總投資額達290億元，到2024年成長為450億元。

陳浩維表示，這些投資數字因酷澎是韓國上市公司，依規定必須做相關的資訊揭露，而從相關資訊也可以觀察到，酷澎在過去三年，已連續成為韓國上市企業資安投入的前三名。

在臺灣，酷澎目前也開始採用本土的資安廠商，並計畫持續擴大合作範圍。陳浩維說，如果這些合作模式成功落地，或許也能鼓勵臺灣的資安新創廠商向更廣的國際市場擴展，可以由酷澎臺灣的經驗將這些臺灣資安業者的產品或服務，引進韓國甚至是全球酷澎，也藉此帶動臺灣資安產業的成長。

投入資安人才教育，鼓勵參與數位動員

除了技術與組織的建設，酷澎臺灣也積極投入資安人才的培育。過去一年，陳浩維率領團隊走訪了四所臺灣大學（包括兩所公立與兩所私立大學），分享企業資安團隊的日常工作與職涯路徑，希望讓有興趣的學生對這個領域有更真實的認識。今年，酷澎臺灣也將繼續進入校園，延續這條教育之路。

酷澎也與教育部AIS3相關計畫合作，推動資安教育向下紮根，攜手培育新世代資安人才；以參與臺灣駭客年會HITCON 2025等在地資安活動，用實際行動支持臺灣本地的資安社群。

「我今年離開了居住了十幾年的美國，回到了美麗的家鄉臺灣，」陳浩維說：「當時出國留學時，我的目標非常明確：我的起點就是終點，也就是回到這裡，在吸收完這些經驗與知識後，如果有一天可以回來幫忙，我覺得會是一件非常美好的事情。」

臺灣二十年來持續遭受網路攻擊，臺灣雖然沒有天然資源，卻有為數眾多的惡意行為者虎視眈眈。他說：「我們需要一起去保護，一起團結，對抗這些惡意的攻擊者，保護網路生態系的使用者。」

陳浩維也透露，他也非常期待能參加今年夏天的「漢光演習數位動員」，這是他過去在美國時，因遠距離而無緣參與的事。他說，他的團隊中，也有成員會一起參與這個數位動員，因為，他希望：「酷澎臺灣不只是一個商業的市場參與者，也希望成為臺灣整體數位防衛力量的一部分。」

'

【臺灣資安大會直擊】醫院OT資安不能照辦公室IT那套！應先盤點、縮小範圍，再談防護

來源：https://www.ithome.com.tw/news/175738

在今年度臺灣資安大會醫療資安論壇上，擁有近30年醫療儀器工程資歷的張韶良，拋出一個問題：當IT要求密碼長度從4位、8位一路拉高到16位，還得同時包含英文、數字與符號，這套資安規則搬進醫療現場，行得通嗎？

他描述一個場景：當醫護正在搶救病人，醫療儀器突然要求輸入密碼登入，「這有可能嗎？不可能。」因為，「在醫療儀器界，救命最重要。」辦公室IT的資安邏輯，沒辦法直接搬進病房。

在他看來，醫院要真正做好OT（Operational Technology，營運技術）資安，第一步不是每臺設備都加裝防火牆，也不是直接套用辦公室的資安規範，而是先完成資產盤點、設備分類與網路盤查，從原本動輒上萬臺設備中，找出真正需要優先保護的邊界設備與控制系統，再進行安全管控。他也提醒，資安法屬於通法，醫療器材管理法才是醫療儀器的專法，當兩者有衝突，仍應以專法優先。

IT講究機密性，醫療OT更重視「可用性」

張韶良目前擔任亞東紀念醫院、秀傳醫療體系與羅東博愛醫院醫工顧問，同時也是中華民國生物醫學工程學會資安委員會主委。他花了不少篇幅解釋IT與OT的本質差異，因為在他看來，這個誤解，正是醫院推動OT資安最大的阻力。

他指出，傳統IT資安遵循CIA三原則，也就是機密性（Confidentiality）、完整性（Integrity）與可用性（Availability），其中多數IT系統，常把機密性放在第一順位，例如透過多因子驗證、複雜密碼、閒置逾時登出等機制，確保資料不被未授權存取。

但在OT環境裡，排序並不相同。「在OT的世界，可用性最大。」

張韶良指出，對醫療現場而言，設備能不能持續運作，比能不能登入更重要。當資訊系統發生異常時，設備至少必須先能用，才能維持臨床診療不中斷。

他也給了一個簡單的判斷框架：在IT世界，密碼是門神；但在OT世界，若過度要求密碼，反而可能變成擋住救命的牆。醫療OT的核心追求，是持續營運（Business Continuity），而不是存取控制。

病安不等於資安，高病安設備不一定有高資安需求

除了IT與OT的差異，張韶良也特別澄清另一個醫療圈常見的誤解：病人安全（Safety）並不等於資訊安全（Security）。

他解釋，醫療領域談的Safety，指的是設備本身設計、故障或使用過程中可能對病人造成的風險；Security則是來自外部惡意攻擊，例如駭客入侵、未授權存取或惡意操控。

「高病安不等於高資安。」張韶良說。

他舉例，像內視鏡屬於高病安風險設備，因為會直接侵入人體；但如果設備本身沒有電腦，也沒有網路介面，資安風險未必高。反過來，一臺接上院內網路的行政電腦，即使與病人沒有直接接觸，也可能因為暴露在網路環境中，而成為更高的資安風險來源。

做好醫院OT資安，第一步是盤點、縮小範圍

談到實務落地，張韶良認為，醫療儀器OT資安最大的迷思，就是認為每一臺設備都要做同樣等級的防護。

但真正的第一步，恰恰是先盤點、縮小範圍。

他指出，衛福部目前定義的「資安列管醫療儀器」有4個條件：設備不只要位於院區內，還必須具備院內網路或網際網路連線能力、具網路位址追蹤性（非DHCP），並且需要與醫療資訊系統（HIS）、影像儲傳系統（PACS）等醫療IT系統交換資料或上傳資訊，才屬於優先列管的範圍。

透過這些條件篩選，一家醫學中心原本超過2萬臺設備，可以先縮減到約200臺；再從中找出真正負責資料交換或設備控制的核心節點，最後真正需要優先防護的，往往只剩10到20臺。

真正要保護的是邊界主機，不是每一臺終端設備

那這10到20臺設備，究竟是什麼？

張韶良指出，它們通常不是病房裡每一臺超音波或監測設備本身，而是位於網路邊界、負責對外交換資料的邊界主機，或是負責管理多臺終端設備的控制系統。

例如，在加護病房裡，一套中央監測系統可能同時串接數十張病床，但真正把資料上傳到院內資訊系統的，往往只有中央主機；電腦斷層掃描（CT）、MRI等大型影像設備，也通常由單一控制主機整合影像與診療資料，再上傳到PACS或HIS。

張韶良用老鷹抓小雞比喻：「當老鷹要抓小雞的時候，是誰在幫它擋？是母雞在幫它擋。」

換句話說，真正該優先強化的，是這些資料出口與控制節點，而不是讓每一臺醫療儀器，各自承擔相同的防護成本。

資安法是通法，醫療器材管理法才是專法

在法規架構上，張韶良也提醒，醫療OT和一般企業IT最大的不同之一，在於它不只受《資通安全管理法》規範，還同時受到《醫療器材管理法》等專法約束。

「當通法與專法衝突的時候，要以專法為優先。」他說。

換句話說，即使IT團隊熟悉資安法的治理框架，也不代表能直接把同一套邏輯套用到醫療儀器上，因為醫療設備本身還有另一套專屬的法規、驗證與風險管理機制。

張韶良指出，衛福部目前將醫院資通系統大致分成三類進行管理，分別是一般資訊系統（IT）、醫療儀器系統（Medical OT），以及水電、消防、門禁、電梯等其他支援設施。三類系統各有不同的風險評估方式與防護要求，第一步都必須先完成資產盤點與可視化。

在治理流程上，醫院也必須依照資安法要求落實PDCA循環，也就是年初提出資安維護計畫，年底提交執行成果，若期間發生資安事件，還必須同步完成通報與後續改善。

此外，醫院也會依規模與角色被賦予不同責任等級，其中醫學中心多被列為A級，重度責任醫院與區域教學醫院則多屬B級，對應不同等級的防護要求。

張韶良也提到，衛福部針對醫療領域制定的資通系統資安防護基準，內容涵蓋10個控制構面、36個控制目標，以及78項控制措施，相較一般IT常用的附表十，多了3個控制構面，內容涵蓋網路架構、識別鑑別、營運持續，以及系統通訊防護等更貼近醫療OT場域的控制要求。

除了設備本身，近年法規修正的另一個重點，則是委外廠商管理。張韶良透露，資安署與衛福部近年盤點資安事件後發現，不少問題與委外人員管理有關，因此今年後續的稽核重點，預計也會朝這個方向加強。

最後建議：先規畫網路，再談設備防護

談到實務建議，張韶良最後將重點放在網路治理。

他認為，不需要每臺儀器各加一套防火牆。若20臺設備各花3萬元加裝防火牆，光設備成本就超過60萬元，後續還得持續維護防火牆規則、韌體版本與稽核設定，管理成本也會愈來愈高。

相較之下，若從全院視角重新規畫網路架構，透過網路分段、OT網域隔離，以及邊界設備集中治理，往往只需10多萬元，就有機會達到更好的防護效果。

「網路規畫好，IT、OT不煩惱。」在張韶良看來，醫療OT資安沒有絕對標準，也不是花錢就能解決，但只要從正確的地方開始，醫院就有機會用有限資源，把真正的高風險節點先守住。

'

【臺灣資安大會直擊】金管會揭金融資安韌性藍圖最新進展，即將發布金融業PQC遷移指引

來源：https://www.ithome.com.tw/news/175737

金管會去年底發布了影響未來四年金融資安監理的「金融資安韌性發展藍圖」，經過半年，金管會資訊服務處處長林裕泰在剛落幕的臺灣資安大會上，揭露了半年來的多項成果和新進展。

金融資安發展藍圖聚焦四大主軸，包括了目標治理、全域防護、生態聯防和堅實韌性。在目標治理上，金管會希望企業公司治理，董事會將資安納入公司治理核心，董事會不要只停留在合規思維，更要從業務目標角度思考安全控管如何配合。也要能參考主管機關政策或同業資安水準，設定企業未來半年、一年的資安目標，作為衡量成效的依據。

去年初，林裕泰看到本土資安廠商一份紅隊演練結果報告，提到舉辦上百場紅隊演練中，過半數演練都發現了共同的AD CS弱點，企業的網域管理員權限，不到幾分鐘就遭到紅隊掌控。

這份報告讓他思考，金融業不只需要分享情資，也需要更多資安實際經驗。今年四月，金管會舉辦了一場長達4天的金融資安交流會FORCE 2026，透過公開徵稿，召集金融機構分享金融資安韌性發展藍圖相關實務經驗，最後集結了40位講師，12場深度解析和1場攻防實戰，超過800人次參與。「這場難得的經驗交流，不是分享應該做什麼，而是實際做了什麼，參考資安發展較快的金融同業經驗，作為自己日後進階目標的參考。」

為了設定目標導向的發展，金管會也正在建立一套可以量測、可以成長的金融韌性成熟度分級評估指標，整合了CRI Cyber Profile的量化指標，正在設計一套依據四大治理主軸的成熟度發展階梯，像是軟體安全開發分級，第一級（L1）是版本控制中心化，第四級（L4）則要達到高度自動化持續合規檢核。或在新興AI治理分級指標上，L1是建立框架和盤點應用，L4則要達到具備偵測AI對抗性攻擊的能力。

「希望金融業者不只符合公會所訂的最低合規標準，而要思考未來可以發展的成熟度階段。」林裕泰表示。

在全域防護上，金管會希望推動金融業資安作業左移，包括了CI/CD部署流程，也希望金融業開始建立SBOM來促進軟體供應鏈的透明化，讓SBOM可以和CVE或KEV等資安弱點資料庫整合，一旦出現新弱點，就可以即時修補。金管會更希望將API安全基準，從Open API延伸到夥伴API，甚至是金融機構的內部API安全管理。

資安漏洞武器化時間只剩９小時，因應AI漏洞風暴的三大對策

林裕泰特別提到CSA、OWASP 等機構聯合在5月1日發布的最新AI資安報告《The “AI Vulnerability Storm”:Building a “Mythos-ready” Security Program 》，報告中指出，因為AI的進步，資安漏洞武器化的時間大幅縮短，一個漏洞遭利用的時間，2018年要花2.3年，2024年縮短到56天，到了2026年，大幅縮短到只剩下9小時，而且是會出現Mythos等級的自動化攻擊。

企業如何因應這樣的AI漏洞風暴？這份報告提出了三個建議，第一是部署AI防禦代理，用AI對抗AI，第二是從修補思維轉向彈性阻止，透過網路分段、零信任架構等來避免AI攻擊快速擴散，縮小爆炸半徑，最後一項是企業要建立漏洞維運VulnOps的機制。

其中第二點建議，正是金管會過去兩年力推的零信任架構，過去是推動導入高風險場域，現在則希望金融業落實，要逐漸將零信任架構導入金融資安基礎規範。

過去兩年，期望企業盤點資源存取途徑，用零信任思維來深化資安防護，尤其在每一道關卡，都要搜集足夠的日誌與事件資料收集，送到SOC平臺監控和判斷。

金管會多年來推動金融業者要從駭客攻擊角度來部署資安防護，累積了不少資安監控規則。從去年到今年，金管會將原本的地端監控機制，延伸到雲端監控機制，讓金融資安監控組態基準（MCB），逐漸納入雲端基礎建設和雲端常用資安設備。

其中一項金管會正在討論的雲地資安範疇是容器環境，也找來相關廠商配合實測，預計今年7月底完成金融機構容器安全監控暨組態基準，將會涵蓋雲地服務業者及容器安全日誌收集等相關監控項目和規則的訂定。

去年金管會推動的金融資安攻防演練中，實測了資安監控組態基準的效果，這套基準可以涵蓋超過9成的演練攻擊手法，像是APT10、APT40、無檔案式攻擊、企業間諜活動攻擊等情境，對整體監控情境有高度完整性。

「金管會推動這些事情不是為了合規，而是為了讓它真正發揮作用。」林裕泰強調：

「目前最迫切的挑戰是AI和後量子密碼遷移。」他強調，AI與AI的戰爭已經發生了，金管會原本今年考慮參考OWASP的GenAI資安專案，發展臺灣金融業可用的資安防護框架，但是AI進步太快了。

像OWASP的GenAI資安專案，幾乎每個月發布一份報告，持續更新指標，有時甚至一個月好幾份。MITRE ATLAS整理的AI攻擊樣態資料，攻擊手法和案例也不斷增加。所以，「如何將安全控制嵌入系統設計流程，是金融業未來要努力的目標。」他強調。如何建構一個環境，可以讓AI幫忙做事，又能夠確保安全的運作，金管會正與相關機構與單位共同試驗中，相關做法更成熟後會對外公布。

Y2Q剩下不到4年，金融業要更早因應PQC遷移

另一個金融業的新興科技挑戰是後量子密碼遷移，根據CSA的Y2Q倒數計時（量子計算具備破解密碼的能力時間表），剩下不到4年的時間。Google更在今年RSA中預告，提早到2029年完成遷移，這意味著Y2Q的時間可能更為縮短。

金融業PQC遷移要面臨不少挑戰，第一個挑戰是，金融服務範圍廣，而且往往不是由單一機構獨立完成，像跨行轉帳就是一個涉及多個機構的跨行交易系統。「不是自己的系統單獨升級就夠，必須配合整套體系的運作才能完成。」林裕泰剖析。另一個挑戰是，金融業追求穩定，遷移過程必須維持服務不中斷。

去年7月開始，金管會啟動「金融業後量子密碼遷移先導計畫」，找來代表性金融機構成立量子先導小組，即將完成「金融業後量子密碼遷移參考指引」。

「不是要金融機構馬上開始遷移，而是要先做好遷移的準備工作。」林裕泰舉例，像是先鎖定高風險資產，來進行加密應用的盤點和風險評估，而不用全面性盤點。他強調：「PQC遷移工作不是一次性的任務，而會先進行混合加密，再過渡到量子加密。」PQC演算法也還沒經過足夠的時間來驗證安全性，日後可能還需要第二次或第三次的遷移。

盤點完成後，金融機構要建立自己的加密演算法清單或控管表，也可以趁機將企業散落各地的加密機制整合，建立加密敏捷性，像是統一管理分散在程式碼中的加密機制。

這份參考指引在策略面，希望加速金融的IT供應商及早投入PQC解決方案，等到金融業啟動遷移作業時有足夠的技術和產品支援，另外在管理，也會提供加密應用盤點和風險評估、排定優先順序的做法，以供金融機構規劃自己的遷移路徑、時程和所需資源。還會從技術面，評估專業人力需求、PQC演算法和產品採購策略、系統資源差異，提供企業人力培訓，汰換與擴充資訊訓設備的參考。金管會也會推動典範試點，讓更多金融同業參考。

在軟體供應鏈資安上，金管會希望資安標準可以延伸到委外供應商端，因此也計畫要訂定供應商分級和委外資安責任的參考範本，參考了關鍵電信業者的做法。未來也會鼓勵關鍵供應商分享資安情資和協作，例如聯合資安演練等。

他指出：「希望供應商建立一個觀念，落實資安不是成本，而是轉錢的能力。」資安做得越好，可以接到更多標案和業績，資安可以視為利潤，而非成本，這是資通訊業供應商必須有的認知。

在情資分享上，F-ISAC和金融機構的情資分享已有很好的效果，下一步希望擴大到非金融機構情資分享和國際合作。金融資安交流會中，也找來情資貢獻度最高的前三名金融業者分享經驗。他們不只是搜集情資，更要化為實際的行動。他們搜集到一份情資，不只用來檢視自己的防護、偵測、阻擋能力，也將整理後的情資回饋F-ISAC，分享給其他成員，形成一個良性循環。

從去年開始，金管會特別舉辦攻防演練體驗營，像在四月金融資安交流會中就有一場。讓沒有足夠人力自己演練的中小型金融機構，可以透過體驗營，來了解駭客怎麼攻擊，自己又要如何防護。

林裕泰提醒：「攻防演練只是一種過程，發現問題不是目的，而是要在演練過程裡，同步檢查資安防禦環境。一個單一事件，可能是造成系統性失靈的環節。」

現在金融業機構的多層次備援，不會採取和正式環境1比1的備援資源，但在資源不足的環境下，是否可以應付正常的流量。多層次備援機制也要從韌性角度來思考，資源不足時，要優先確保哪些關鍵金融服務的持續運作，演練SOP是否也納入這些韌性考量。

林裕泰也分享了他在金融資安交流會中得到的體會，從許多資安典範的經驗中，他歸納，資安落實原則，就是「堅持最小權限、追根究底、日常落實」。面對AI新興科技的挑戰，IT與資安單位更要率先擁抱，成為最了解，也最能掌握AI的人，將自己視為實驗平臺，才會得到深刻的體驗，日後更有能力評估業務單位的AI發展。

'

Mirai變種xlabs_v1殭屍網路現蹤，劫持Android裝置發動DDoS攻擊

來源：https://www.ithome.com.tw/news/175735

資安威脅情報公司Hunt.io近日發布研究報告，揭露基於Mirai變種的新型殭屍網路惡意軟體xlabs_v1，鎖定暴露在網際網路，且啟用ADB（Android Debug Bridge）介面的Android裝置，入侵並控制受害設備組成DDoS攻擊網路。任何預設啟用 ADB且連上網際網路的物聯網硬體設備，都有可能中招。

Hunt.io指出xlabs_v1是由Mirai衍生而來，主要針對採用Android平臺的連網設備，例如電視機上盒、智慧電視與家用路由器等，透過TCP 5555埠的ADB介面入侵部署惡意軟體，並將受害裝置加入殭屍網路，用於對遊戲伺服器與Minecraft連線伺服器發動DDoS攻擊。

xlabs_v1的特徵還包括：支援多架構版本，包括ARM、MIPS、x86-64、ARC 與Android APK， 並提供多達21種流量攻擊模式，架構在TCP、UDP與各種未被特定應用格式包裝的流量型態（raw protocols）之上 ，能偽裝為RakNet與OpenVPN流量以規避防護機制，還內建頻寬偵測功能，會測量受害設備的傳輸速度並依此設定收費分級，顯示xlabs_v1雖然是基於Mirai架構，但已演化為商業化營運的攻擊工具。

'