根據新加坡國家網路安全局（CSA）統計， 2020年1月至10月勒索軟體案件近75%的增長，相較於2019年的案件總數有著大幅度的增長。其主要目標鎖定金融、製造、零售和醫療保健等各類產業的企業。根據《ASEAN Cyberthreat Assessment 2021 report》的數據，到2020年第二季度末，所有企業的平均防治勒索軟體支出已從2018年第三季度不到1萬美元增長到每個事件17.8萬美元以上。大型企業甚至平均支付超過100萬美元金額的贖金。不僅僅是國外，台灣於2021年以來在金融業、製造業、電商及相關產業也苦於駭客的威脅，除了客戶機敏資訊、公司營運資料、智慧財產IP…等多樣機敏資訊外洩，被駭客勒索金額更從數百到數十億台幣不等。為此，如何解決企業內部身分保護風險外漏，是我們刻不容緩必須解決的問題。
四種快速降低資安風險的作法
CyberArk為特權存取管理領域的廠商，並結合了CyberArk Labs全球客戶經驗，總結四種快速降低資安風險的作法，助力金融業通過這些作法，立即降低風險，使企業免遭受任何不易察覺的攻擊，運用以下四種降低風險作法：
- 防止企業身分憑證被盜竊或洩漏
- 不再依賴過往的用戶名稱及密碼
- 檢測並阻止橫向或縱向移動
- 識別與身分特權相關的異常狀況
因應後疫情時代非接觸應用蓬勃發展，流程自動化、雲端服務、AI運用、物聯網、DevOps等新興科技的浪潮推動下，金融業正將迎來新一波數位改革的華麗變身，也由於面對Covid19的衝擊，台灣實施了近3個月的三級警戒，金融業從只能在辦公室辦公，演變至今除了可遠距視訊會議外，也成就了各種多元化遠距辦公的作為，然而，面對各式潛在的數位攻擊行為，駭客更是虎視眈眈等著藉由數位化的過程有任何的疏失，從遠端竊取企業資料，使企業人心惶惶。面對現今不同的使用情境及新技術的演進，如何架構新一代的智慧資安，管控企業內部統一身分管理平台刻不容緩，據此，CyberArk在金融產業揭渚了高階主管須具備的三大核心管理思維及五大實施步驟，務求加速金融業數位轉型及保全企業及客戶權益。
三大核心管理思維
一、數位轉型，資安隨行（零常設特權Zero sustain privilege management）
金融數位化已是不可逆的趨勢，如何與客戶運用數位化零接觸式進行多管道的溝通也已經是現在進行式，然而如何乘浪疾駛，卻又要做好資安管理的後勤補給，著實是目前企業高管的一大挑戰，所以如何規劃並運用零信任基礎下的運營管理，當是現在資安長或是資訊長的首要任務。在大型企業，平均有480位使用者擁有24x7x365的Always-on IT管理權，攻擊者竊取一個帳密即可能接管整個企業網路，常設特權也是勒索軟體能快速散播的主因，因此減少常設特權是現階段相當重要的防禦手段。
二、統一管理，IDaaS（統一身分管理Unified Identity Security Platform）
資訊安全防護已是金融業最重要的一環，而身分管理無疑是管理者的第一要務，如何將過往企業已發展數十年使用資訊架構中的身分權限，作完整且一致的統一控管，並考量Policy as a Code的實際作為，降低企業內身分權限的遺失，並符合主管機關合規性及稽核的考核，提升作業效率也達到身分保存要求。Verizon Data Breach Investigations Report曾揭露29%的攻擊牽涉到被竊取的帳密，因此多因子驗證已是業界在身分驗證的共識，企業內外的身分生命週期管理、身分目錄管理及單一簽入機制更是資安防護要點，建立統一的身分安全管理平台刻不容緩。
三、環保地球，永續經營（永續金融資安Sustainable Finance Cyber Security）
因應金管會於2020年8月發布「綠色金融行動方案2.0」，企業內管理機制需導入創新綠色電子數位化運維程序，降低文本輸出簽核及加強稽核效率，提升企業競爭力並兼顧低碳轉型，此外也須積極接軌國際ISO 27001, 22301, PCI..等規範，持續引導及支持金融業實體產業發展，驅動一個正向循環的永續金融生態圈。
五大實施步驟ABCDE
- 應用系統安全思維（Application Secret Management）
開發人員實現軟體建置與測試的自動化，而IT部門正實現佈建工作的自動化；這兩個團隊都仍然認為，安全性減緩他們前進的步伐，雖然持續整合、持續部署與DevOps實踐都可以協助提高靈敏性，但同時也造成資安風險，包括將帳密秘密資訊儲存在原始程式碼庫中以及隨意將憑證或帳密保存在各處，這種不好的習慣使正式環境中的每種軟體皆可能引發風險！運用妥善的工具保護應用程式、腳本及其他非人類身分使用的憑證帳密是當務之急。
- 基礎建設高權限控管（Backend Infrastructure Management）
成熟的特權帳號管理是保管人盡責的表現，擴大落實範圍到整個企業ＩＴ卻不容易，各種商業軟體、應用程式、機器人、自動化腳本及開發維運工具，每個環節都是阿基里斯的腳踵，建立完整的信任鍊，達到零常設特權當屬必要。
- 雲端身分特權運維（Cloud Identity Access Management）
安全邊界從企業擴展至雲端為企業帶來全新的安全挑戰，過去安全的網路邊界已經變得模糊，零信任資安思維崛起，取而代之的是經驗證過的合法身分，在雲端除了人的身分，機器身分及其存取權更加複雜，如何運用資安管控及ＡＩ協助降低企業所面臨的風險正是新興課題，更須盡早落實。
- 穩健資安作為 (Defensive Security)
疫情下多數企業在資安作為打了折扣，因為開放更多人使用VPN執行作業，忽略居家作業環境的安全性，一些不可或缺的配套機制，例如業務人員的操作錄製、IT人員遠端作業的安全性、廠商維護的資安考量、如何進行臨時授權及提權等等更形重要，新型態的資安管控方式在疫情下於是誕生：安全的Web網頁應用操作連線、無密碼(Passwordless)及VPN的安全遠端存取、廠商維運管理及Just-in-Time授權遠端連線等資安服務可謂大旱之下的及時雨。
- 終端權限存取管理（Endpoint Privilege Management）
攻擊往往是從端末滲入，取得存在端末的高權限服務帳密或端末的管理者帳密更是常見的手段，一個疏忽就是整個企業淪為勒索攻擊的肉俎，基礎的資安控制往往是最艱難的，但這也是所有金融稽核必定要求的，落實最小授權！
在數位金融的旅程上，金融業尤應重視其數位化帶來的潛在威脅，面對新型態資安攻擊手法，傳統防毒軟體、偵測工具或是網路防火牆等已無法完全確保企業被駭及資安威脅，若是任何的客戶機敏資料外洩，或是營業秘密被竊取，對金融業尤其是名譽的損傷，在客戶的心目中，「信任」是金融業面對客戶的不二法門。
CyberArk與力悅資訊在這十六年來秉持著共好的志念，持續創新資安管理科技提供統一的身分管理安全解決方案，不只專注在資訊安全技術深度，更冀望能協助創造更多業務價值，從而協助金融業在抵抗各式資安攻擊、提升業務產出效率、助力數位業務發展、滿足稽核及合規性。CyberArk資訊安全也攜手C3 Alliance生態系夥伴，提供金融業資訊安全及全方位需求的創新服務。