從AI應用到AI治理：第一線資訊科技揭台灣企業資安防線新課題

過去一年，台灣企業導入AI應用的速度明顯加快，尤其在竹科等科技製造聚落，員工透過AI工具處理研發資料已成常態。然而，不知情狀況下外洩機敏資料的「影子AI」（Shadow AI）問題，也讓企業面臨新的資安挑戰。長期協助台商建構跨國網路與資安架構的第一線資訊科技（前身為DYXnet第一線，現為其台灣獨家代理商）近年觀察到，企業對AI資安的關注正快速升溫，並從資安防護延伸至更完整的AI治理框架。第一線資訊科技售前技術經理廖洺鋐與DYXnet第一線產品和服務管理總監施純烽接受資安人專訪，分享協助企業因應AI導入風險、建立治理架構的觀察。

Shadow AI與資料外洩：企業導入AI後浮現的資安新破口

研發人員使用AI工具時，內容是否包含機敏資料，是目前最常被問到的問題。廖洺鋐表示，竹科企業尤其在意資料落地，擔心資料上傳後被用於模型訓練，因此明確要求資料不得外流。第一線資訊科技除了既有的高階過濾方案，也為中小型企業提供較具成本效益的替代方案，並以API讓企業掌控可上傳的內容類型，針對個人裝置連網行為建立代理程式（Agent）過濾，偵測違規即先行封鎖。近年其服務範疇也從底層網路、雲端與資安，逐步整合為完整的雲網安服務，同時觀察到企業關注焦點正從資料外洩，延伸到帳號權限與最高權限保護（PAM）等身分治理層面。

身份治理進化：從MFA到FIDO無密碼驗證

隨著攻擊手法持續演進，企業身分防護也從單純的身分驗證，逐步走向更完整的權限與行為管理。除了多因子驗證（MFA）外，部分客戶已開始關注更進階的FIDO無密碼驗證。廖洺鋐表示，目前相關規格已具備支援能力，並持續進行測試與驗證。在身分防護上，則結合Fortinet身分驗證方案、特權帳號管理（PAM）與身分識別管理（IAM），強化從身分驗證到權限控管的整體防護，部分客戶也導入第三方沙箱工具，強化相關行為的監控與辨識。隨著AI代理人（AI Agent）逐步普及，如何辨識與管理非人類身分，也將成為企業身分安全布局的新課題。

從資料備份到異地備援：企業資料韌性布局升溫

除了身分議題，備份備援（DR）也是客戶高度關注的另一面向。廖洺鋐指出，約九成客戶要求資料備份，與台灣政府近年推動異地備援政策方向一致；完整DR備援投資比例不高，多集中在具規模財力的上市櫃企業，因成本遠高於單純備份。第一線資訊科技與雲端儲存商Wasabi合作，透過不可竄改（Immutable）備份技術，確保地端環境即使遭勒索軟體加密，仍可從雲端還原未受污染的資料。

全球AI治理從口號走向法制化：DYXnet第一線取得ISO/IEC 42001認證的意義

廖洺鋐的觀察呈現了台灣企業在AI導入初期面對的具體痛點。將視角拉高到全球時，施純烽則看到治理層面正發生結構性轉變。他指出，過去AI治理討論多停留在倫理口號；但近一兩年明顯轉變，歐盟AI法案上路、台灣AI基本法也已推動立法。對兩岸三地布局的台商而言，挑戰在於各國AI法規要求不一。施純烽認為，AI治理已跨越單純資安範疇，成為跨技術、財務與企業管理的「共同責任」課題。面對此趨勢，DYXnet第一線於2025年取得ISO/IEC 42001人工智慧管理系統認證，是同業中第一批取得此認證的網路服務供應商之一，該標準2023年發布，DYXnet第一線自2024年起投入認證準備，也反映其在AI治理領域的前瞻布局。

建構可視、可追溯、可問責的AI資安治理架構

施純烽進一步指出，企業面對AI應用帶來的資安與治理挑戰，可從資料防護、法規遵循與AI服務控管三個層次著手，逐步建立可視、可追溯、可問責的治理架構。

第一層是防止員工不知情外洩機敏資訊，他舉例，即使僅詢問AI一句合作背景，也可能洩漏合作訊息，為因應此風險，第一線與Fortinet、Palo Alto等資安廠商的技術整合，可提供提示詞檢核與阻擋機制。其次是法規遵循，各產業AI使用情境差異極大，目前仍缺乏明確案例可循，是最難解部分。第三則是企業希望取得「可控的AI服務」，第一線也正與多家廠商合作研議整合方案。

除了三層架構，可問責性也是經營層日益關注的議題：廖洺鋐觀察台灣高科技客戶尤其重視，但責任歸屬是否明確、技術上能否精確追溯，仍是落實挑戰；施純烽則強調，可追溯性是經營層最關注的核心之一，第一線持續推動將AI日誌轉化為視覺化資訊，讓企業能更清楚掌握AI使用行為。

未來趨勢與落地實踐：從防禦外部攻擊到治理內部AI行為

這些治理原則，最終仍要回應快速變化的威脅環境。施純烽認為，與其談三年趨勢，不如以三個月為觀察週期：過去一兩年資安產業多聚焦防禦外部AI攻擊，現在更需面對治理內部員工使用AI導致的資料外流，資安廠商研發策略也逐漸轉向部署企業內部治理產品。廖洺鋐觀察，目前判斷提示詞注入等AI攻擊的偵測與防禦工具仍相當有限。

回到台灣市場實務面，廖洺鋐說明第一線資訊科技的落地做法：第一層在地端部署傳統硬體防火牆邊界防禦，第二層透過雲端SASE強化控管。台灣客戶大致分兩種型態：大型企業要求落地在地端；中小型企業則有更為完整的「閉環」做法。

從協助台商建構跨國網路連線，到整合雲網安服務，再延伸至AI應用所衍生的資安與治理需求，第一線資訊的服務範疇持續拓展，也呼應台灣企業從「導入AI應用」走向「建立AI治理」的發展歷程。