資安人媒體主辦、中華民國電腦稽核協會協辦的 2026 金融資安發展論壇，10 月 14 日在台北富邦國際會議中心舉行。
金管會資訊服務處處長 林裕泰 在會中說明，6 月 18 日發布的《金融業後量子密碼遷移參考指引》如何排定遷移優先序。壓軸座談由
國立政治大學 資訊學院副院長暨資安中心主任 左瑞麟 主持，邀請星展銀行、永豐銀行與資策會資安所的代表，從盤點、混合式加密到舊系統補償性控制措施，談指引在銀行實務上怎麼落實。
指引屬參考性質，優先序看兩項評分
指引不是強制規範。林裕泰表示，後量子密碼（Post-Quantum Cryptography，PQC）的演算法尚未經過長時間驗證，遷移中間可能經歷混合加密、第一次遷移與第二次遷移，所以要先建立密碼敏捷性（Crypto-Agility），也就是集中管理金鑰與加密機制，日後換演算法不必從頭來過。
延伸閱讀：
金管會徵詢代理 AI 安全文件，林裕泰：要當員工管，不是當系統管
指引策略五以量子風險與遷移時間兩項評分排定優先序。風險高又耗時的系統宜專案化推動，並及早與供應商對話。風險較低的系統，可併入例行升級（Business As Usual，BAU）或配合設備汰換。林裕泰說明，對外傳輸中只靠非對稱式加密保護的機敏資料要最優先處理，TLS 1.0 或 1.2 應升級到 TLS 1.3。涉及證交所、集保等樞紐機構的系統，要配合其時程。指引建議 2026 至 2027 年準備與規劃，2027 至 2029 年試辦與基礎升級，2035 年前完成全面遷移。
林裕泰也提醒，現在正值編列明年度預算與採購的時間，建議把密碼敏捷性與遷移要求寫進招標規格。資安設備使用年限常達四、五年，期限到時仍不支援就得另起專案汰換。
盤點要先找得到，再排順序
星展（台灣）商業銀行 資訊安全部部主管 李嘉銘 表示，盤點的原則是「能別人找就不要自己找」。他的順序是先請廠商說明系統，再看銀行公會、財金公司等樞紐機構，以及 SWIFT 與信用卡組織已處理的部分，剩下的才由銀行自行掃描。盤點完還要依用途排序，區分對外網路、核心系統與內部系統。他說，星展先從對外網站下手，HTTPS 的加密演算法已換成後量子演算法，但不敢說已全面完成。
永豐商業銀行 副總經理兼資安處處長 高大宇 提醒，樞紐機構帶頭的部分可以跟著做，自己的對外服務要自己盤，供應商則要追問是否符合 NIST 的 FIPS 203、204 與 205，否則日後的費用不知算誰的。
資策會 資安科技研究所主任 蕭榮興 指出，資策會三年來協助至少十家業者盤點，歸納出三種做法：以非核心系統試做，針對高機敏或對外連線系統，或依指引與樞紐機構規格先盤出要對接的系統。
混合式是過渡，不是終點
指引把混合模式（Hybrid Mode）定位為過渡策略，並建議2027至2029年測試，評估對交易延遲與硬體效能的影響。高大宇說明，混合式是在傳輸時多加一層後量子保護，但封包位元組數會大幅增加，路由器等網路設備跟不跟得上是關鍵。
主持人左瑞麟解釋，採用混合式不是為了向下相容，而是因為後量子演算法較新，尚未經長期實務驗證，傳統與後量子兩邊都要保證安全。李嘉銘則從密碼敏捷性切入，演算法參數日後可能再調整，與其每次改程式，不如把加密抽成獨立服務讓系統呼叫，規格改了也不必重來。
舊系統升不了，先補償再汰換
指引在採購與供應鏈管理一節指出，舊型 HSM、終端載具、ATM、POS 與第三方 SDK 等升級不確定的元件，應列入優先汰換或替代清單。無法升級的老舊設備若短期內無法汰換，應提出補償性控制措施，例如具後量子能力的 VPN 閘道、代理伺服器，或強化多層次防護。
蕭榮興分享一個案例。一家國內國防工業廠商的上游供應商，連線仍停留在 TLS 1.2 以下，甚至 TLS 1.0，因零件關鍵、資訊化程度低而無法要求升級。資策會預計今年底前試辦代理伺服器方案，在最外層的 CDN 或閘道導入後量子防護，內部再配合軟硬體升級計畫慢慢遷移。他認為這是過渡架構，能較快達到安全狀態並節省成本。
李嘉銘指出，無法加密的連線可先用 VPN 或代理伺服器保護，但伺服器之間的內部加密無法靠代理處理，所以帳號權限管理、多因素驗證（MFA）、零信任與網路微分割這些基礎工仍要做好。高大宇則表示，尚未升級的系統要有補償措施與退場計畫，指定負責人，經討論後決定是否暫時接受風險，並把決策依據留下來。
依指引與三位講者的說法，金融業可先從下列項目著手：
- 優先盤點對外 TLS 端點，並將 TLS 升級到 1.3。
- 把密碼敏捷性與後量子準備度寫進採購規格與合約。
- 向供應商確認是否支援 FIPS 203、204 與 205。
- 無法汰換的舊設備，提出補償性控制措施並訂定退場計畫。
▲ 首圖圖說：由左至右依序為 國立政治大學 資訊學院副院長暨資安中心主任 左瑞麟、星展（台灣）商業銀行股份有限公司 資訊安全部 部主管 李嘉銘、永豐商業銀行股份有限公司 副總經理兼資安處處長 高大宇、資策會 資安科技研究所主任 蕭榮興