第一银行资讯管理中心副总经理刘培文,深谈了银行由核心固守到开放银行的资安思维变革.他认为,资安防护的领先指标是企业的价值观与文化,而传统银行在面临数位转型的浪潮下,也须打造新型数位安全架构来因应,而因数位转型带来的业务变革,也使得银行采取的资安典范得跟着转移.
今年,台湾资安大会的主题是韧性决胜(Resilience Matters),第一银行资讯管理中心副总经理刘培文在8月12日举办的金融安全论坛专场,以一个浅显易懂的比喻,来解释资安与韧性的关系.他提到,如果将河岸堤防譬喻为资安的防护,那么韧性需要考虑的除了修筑堤防,还得考虑当堤防挡不住百年洪水的时候,沿河的居民要如何快速迁移,让居民生活不因这场洪水而被中断.
刘培文进一步指出,资安是企业经营面临的风险之一,而企业应对风险的态度与方式,决定了企业的韧性.他提到,如果企业的文化与价值观长期不重视资讯安全,或对资安有错误的认知,会导致这家企业的资源错置,还有流程也会不成熟到位,使得资安事故发生的几率大幅增加.而在发生资安事故的当下,就没有办法做好的应变.
在谈企业的资安防护,刘培文认为,谈技术与管理做得到不到位,其实是落后指标."资安防护的领先指标,是企业的价值观与文化",企业能不能掌握自身的实际状况,同时掌握外头环境发生的变化,透过变革领导,来决定资源如何做重新分配,才能持续应对资安的变革甚至其他风险.
在2016年发生的ATM盗领案后,刘培文坦言,这对第一银行(以下简称一银)带来一场货真价实的震撼教育,从董事会到各个高阶主管,对资安都有了深刻的体认,就像是打了疫苗一样,资安事故冲击带来的集体记忆,直到3年后的今天,他观察到,这样的效益仍然存在."对企业来说,得把资安事件看作把危机化为转机的机会,这也是建立企业韧性重要的一个环节."刘培文强调.
他更提到,也因为这样的效益,一银过去3年多,在资安的资本投资的预算,都是ATM事件发生之前的2倍,也做了30几项的资安建置专案,像是EDR,虚拟上网,档案清洗,网络区隔等,基本上都是为了强化终端的设备,因为这过去在一银的环境是较被忽略的弱点.
在资安防护的投资上,刘培文提醒:"资安设备绝对不是万灵丹",每一种资安设备都有其长处与它的限制.此外,许多事情即便买了资安设备也无法解决.比如,ATM事件后,一银花了2年多时间,把海内外全行的网络架构重新检讨调整,服务器重新盘点,再移置到适当的位置.他解释,如果不做这些清理调整,资安监控人员每天得花上许多时间处理噪声,根本没有时间去处理真正的资安讯号.
除了要了解资安设备的长处与限制,刘培文提到,大多数时候,许多资安设备侦测到的情报含金量,相对是低的.所以,必须把不同设备并联或串接,建立起资安讯号放大器,可以把各别设备监测到微弱的讯号放大,让隐藏的威胁或弱点,可以提早侦测到.
刘培文强调:"资安防护的重点是,在采购的各种有形的资安设备之上,把无形的资安情资讯号放大器建立起来."他解释,这样的放大器连结的可以是企业内部的资安设备与设备间,也可能是ISAC与企业内部设备间,也许是VA/PT资安检测流程与资安应变的流程.它是资讯与资讯间的转换与加成,系统与系统间如何做到自动介接,以及流程与流程之间怎样因应外在状况的不同,能够动态串连.
他进一步提到,针对这样的资安系统架构工程,市场上也开始有新的技术解决方案,像是SOAR(Security Orchestration Automation and Response)就宣称可以将威胁情报平台,资安监控平台,事件应变平台等,透过剧本(Playbook)把这些东西串起来.不过,刘培文表示,这些解决方案还很新,导入时要花许多时间调校剧本.所以,最重要的核心点是,他提到,尤其是银行过去大部分是资讯部门凌驾于安控部门,没有技术人员扮演讯号放大器,也就是类似CSIRT团队的角色,提升监控的效率与速度.
然而,要推动资安事件应变与资安系统架构工程,刘培文强调,就需要专责的资安单位与专业的资安人员来实现.一银在ATM事件的隔年,便决定成立资安专责部门,组成了数位安全处,并将资讯处安控部移转到数位安全处,改名为安全管理部外,还增加了安全技术部.
他提到,原本资讯部底下的安控单位人员的工作,包括资安管理与落实安控,内稽内控等仍然很重要.但是,一定要有人去掌握分析内外部的资安威胁情报,等于是资安防护系统架构的构成,必须要有自家的专责团队来负责.
此外,金管会要求超过兆元资产的银行与保险公司,都要设立独立的资安专责部门,刘培文表示,资安专业人才难寻.好在金管会近期提出金融资安行动方案,金管会愿意协调周边单位开设金融资安人才养成专班,训练更多资安人才.
不过在实务上,刘培文表示,成立了资安专责部门,现下的问题反而是资讯部门与资安部门要如何分工合作.即便可以清楚地定义这两部门的职责分工,但仍有许多灰色地带讲不清楚.以长期发展的工作,比如银行的数位转型,现阶段可能根本无法清楚定义资安部门应该扮演的角色或承担的责任;但是,他坦言,现在资安部门若不参与,再过了2到3年后,系统已开发完成,数位产品都上线,那就来不及了.
资讯与资安单位磨合的这段时间,他提到,总是会有本位主义或者涉及部门绩效的问题,反而是企业在推动资安,真正要去注意的事情,否则长期下来就可能造成部门间的摩擦.一银的作法是,在资安推动的组织设计,成立了资安管理小组,该小组是由资讯处与数位安全处组成,由刘培文亲自主持联席会议,让双方在分工合作上得到共识.
此外,"资安绝对不只是资讯与资安单位的事情",必须有机制让企业从上到下,包括董事会一直到每位员工,都知道自身应负的资安责任.而董事会则需从企业治理的角度,让资安成为企业治理的一环.
然而,刘培文表示,这些作为仍是以传统银行的资讯架构与传统分行业务的思维所设计,以边境防御及核心固守的企业资讯架构为前提所做的事情.
他进一步表示,传统银行不只面临骇客带来的资安威胁,更面临BigTech,FinTech及即将要开放的纯网银,这对银行来说是经营风险.为了要因应这些经营风险,传统银行必须尽快拥抱数位转型,从商业模式,数位产品,到资讯系统及架构都需要全面革新.刘培文比喻:"资安事故就像台风,地震,是短期的灾害;但是,数位转型对传统银行的冲击不下于全球暖化."这也意味着,资安也必须打破边境防御及核心固守的思维,打造新的数位安全架构.
刘培文提到,以信用贷款系统举例,传统银行的资讯系统是从客户提出申请,进件,银行照会,审核,核贷结果通知与申复,对保签约到最后拨款使用,都在eLoan系统上由银行行员操作,而系统是浑然天成,无法切分.
但,随着开放银行的发展,可能贷款客户会先在比价平台进行比价,所以,银行必须在第一时间,就透过API将核贷试算金额传送给比价平台.所以,他表示,银行就必须将原本eLoan系统,像乐高积木一样重新把功能拆解,可能必须要用微服务,开放API因应新产品的需求.而面临系统爆量需求,也可用容器化方式,让系统架构能向外扩充.
一银也观察到,各家银行推出行动银行,数位存款账户后,顾客登入手机银行查看银行账户的频率变高.甚至,未来在开放银行架构下,顾客可能一人下载了好几个App,都绑定银行的账号,又或许TSP那边的App自动每半小时登入客户的银行账户检查一下,使得银行每年要付出的大型主机CPU费用也同样会大幅增加.
刘培文指出,这也代表业务带来的变革,让银行的资讯架构,流程,软件工程等也会改变,相对带动银行采取的资安典范也要跟着转移.就以资安检测为例,现在的系统是需求谈好开出规格,系统设计与开发完成后,功能测试完再交给资安单位做资安测试后才能上线,过程得花上1到2年的时间.
然而,因应数位转型,这样的方式没办法应付市场的变革,得用敏捷开发,CI/CD,DevOp.刘培文提到,未来,也许由资安人员操作资安检测软件的过程被转换成script,程式人员开发的过程中,开发完的模组马上就做测试,朝向Security as Code的方向发展.所以,他强调,软件的资安测试未来绝对不能只有在新开发或改版上线前才进行,银行必须建立可以持续执行的自动验证机制.
不只资安检测,刘培文更列出需要因应数位转型,来调整的12个面向.包括设备升级(APIM,WAF),建立资料管理标准,建立API标准,建立资安管理标准,Cloud-Ready资讯架构,数位软件安全(DevSecOp),智能化资安监控,供应链安全管理,资安共享生态圈,隐私保护,法令遵循,数位转型治理.
他更指出,像是资安监控,供应链安全管理及资安共享生态系,可能对大部分银行来说都是新议题.在资安监控,过去银行的许多监控设备,是由网络层,传输层的攻击讯号来发现恶意行为.
不过,开放银行后,骇客可能会先攻击TSP后,再假冒TSP客户透过API向银行发出交易指示.这时从银行角度来看,是合法的客户与交易行为,无法从网络流量判断是否为骇客入侵,攻击行为.刘培文表示:"资安监控须朝向智慧化,自动化,高阶化迈进,并与应用及产业知识结合来判断."
而银行与TSP伙伴之间的关系,得回到供应链安全下手,资安更将转变为共享责任.在资安监控,金管会将推动金融机构SOC与二线SOC协同运作,刘培文认为,如何将TSP业者纳入金融资安共享体系将是重大挑战.因为,"这是供应链的关系,大家被绑在一起,没有人能独善其身."此外,不光是银行在业务上要发展生态系,资安本身也要往生态系的方向前进.
刘培文强调,银行的治理方式必须转变,要往数位治理的方向前进.对于资安从业人员来说,除了顾好每日工作,别忘了外头的世界已经在改变,从韧性的角度,资安部门也有责任去了解外面的数位变革,将对企业造成何影响,这影响也会决定企业资安的资源与流程该如何改变.文⊙李静宜