【2024臺灣資安年鑑｜資安十年特輯】法遵議題是驅動臺灣資安產業發展關鍵

近年來，各種資安攻擊威脅經歷巨大的轉變，從以往的低調潛伏國家型駭客，逐漸轉變為現在高調且引人注目的目標式勒索，這種攻擊形式的改變，深刻的影響了社會大眾和企業對資安威脅的認知，迫使他們必須更積極地應對網路威脅。

趨勢科技臺灣區總經理洪偉淦提及，像是戰爭型態的改變，也對資安發展產生了重大影響。最具體的例子便是，2022年爆發的烏俄戰爭，更清楚彰顯出，國與國之間的對立，已經演變成以資訊戰為前提的情報戰爭。

洪偉淦認為，這種戰爭型態的轉變讓人們意識到，現今的網路戰爭已經具有前所未有的影響力和危險性，也促使更多人對資安的重視。

資安政策制定和推動，對臺灣資安發展扮演關鍵角色。洪偉淦表示，政府應該針對不斷變化的威脅環境，制定相應的法規要求，以保護國家和民眾的資訊安全，同時政府也為企業提供必要的政策支持和保護，以帶動資安產業整體發展，例如政府提供企業資金支持和稅收優惠等措施以促進資安產業發展。

他以金管會為例，金管會修訂了上市櫃公司重大訊息公告程序，要求在發生資安事件時，必須發布重大訊息，這一舉措，不僅提高了企業對於資安的重視程度，更推動了資安市場的發展。

資安人才的培育和扎根，是資安發展的關鍵因素之一。洪偉淦表示，臺灣資安社群在國際競賽中取得了優異成績，引起了政府的關注，而在這段期間，有許多資安新創公司也應運而生，進一步推動了臺灣資安產業的正向發展。

洪偉淦認為，資安社群的興起，為臺灣提供了更多的資安人才，也為資安產業的未來發展注入新的活力；但是，政府對於資安人才的培養，不只是要提供相應的課程培訓，也應該通過配套的政策措施，吸引更多資安人才願意投入相關領域。例如，政府可以通過提高資安工作的薪資水準，並且改善工作環境等方式，藉此吸引更多資安人才願意投身資安產業。

資安對提升臺灣國際競爭力，及國際角色的扮演，都具有關鍵的作用力。

洪偉淦坦言，資安不僅僅是企業面臨的問題，也是國家面臨的問題，因此，政府不只要積極推動資安產業的發展，也應該將資安轉化為國家的競爭優勢，像是政府可以通過制定相應的政策措施，促進資安產業的穩健發展，同時，還可以為保障國家的資訊安全，提供更加堅實的基礎。

（攝影／洪政偉）

政府法遵要求，成臺灣資安發展主要動力

在臺灣資安產業的發展過程中，洪偉淦表示，政府的法規制定，對於塑造資安產業的發展方向和市場格局，扮演關鍵性的作用。長期以來，資安問題一直被視為重要議題，然而，隨著資安威脅日益增加，政府不得不加強相關法規制定，以應對不斷變化的威脅形勢。

首先，政府透過法規制定，規範企業因應資安事件的作為。他進一步解釋，金管會於2021年4月修訂了「臺灣證券交易所股份有限公司對有價證券上市公司重大訊息之查證暨公開處理程序」，將資安事件納入企業發布重大訊息範疇，也規定相應的處理程序。

政府這樣的舉措，規範上市櫃公司一旦發生資安事件，就必須立即發布相關的重大訊息，從而提高了企業對於資安的關注度，也使得資安管理成為公司營運不可或缺的一環。

其次，政府法規也對企業的資安管理機制，提出具體要求。例如，金管會要求上市櫃公司必須設立資安專責單位，並指派資安長負責資安事務。洪偉淦認為，主管機關的要求，不僅使得企業高層對於資安議題更加重視，也為資安市場帶來了更多的機遇和挑戰。

例如，金管會通過修訂內部控制制度處理準則，要求上市公司設置資安專責主管和資安專責人員，並將公司納入不同等級進行分類管理。這一舉措，同時強化企業的資安管理機制，進而提高企業對於資安議題的重視程度。

他表示，對於符合相關規定的公司而言，設立資安專責單位，已經成為一項必要的法規要求，政府通過對資安事件的規範、對企業資安管理機制的要求，以及對資安管理的落實，政府法規讓企業正視資訊安全的重要性，也帶動並促進資安市場的發展和繁榮、拓展資安產業的規模。

台積電將資安事件，轉成產業資安的動力

除了政府的法規要求外，洪偉淦認為，台積電在2018年8月3日所爆發的資安事故，對於臺灣整體的資安發展，也是一個重大的轉捩點。

台積電因為生產線電腦中毒，造成當機三天，該起資安事件，也讓台積電於當年的第三季，認列25.96億元的損失，也是臺灣企業因單起資安事件，造成實質損失最大的事件。

洪偉淦表示，臺灣應該從台積電的資安事件中，要有更深刻的體會和學習。首先，台積電作為臺灣資安防護的模範生，爆發資安事件後，對各界帶來的震撼和衝擊，不僅在於事件本身造成的損失，更在於這次事件暴露了，即便是資安防護領域的佼佼者，也無法完全避免遭受資安攻擊的事實，這對臺灣資安產業而言，無疑是一次深刻的警醒。

然而，洪偉淦認為，更值得各界關注的是，台積電在事件後所展現的應對措施和後續行動。他說，台積電從爆發資安事件後，不僅積極強化了內部和外部的資安防禦作為，更重要的是，他們還將對資安的要求，拓展到整個半導體供應鏈業者，推出半導體供應鏈的資安標準，這一項舉措對於整個半導體產業的資安建設而言，提供了一個重要的範例和引領，具有深遠的意義。

台積電出面，聯合業界共同推動了半導體晶圓設備資安標準SEMI E187，並且也發布相關資安標準導入指南等具體規範，藉此提升半導體產業供應鏈的安全性。洪偉淦表示，台積電的作為，除了提高半導體產業整體的資安水準外，更彰顯出，臺灣在相關產業的領導地位和影響力。

「資安議題不僅僅是技術層面的挑戰，更是一個管理和策略問題。」洪偉淦強調，台積電之所以能夠成功應對資安事件，不僅在於其技術能力強大，更在於其積極的管理以及策略措施。因此，如何從資安治理的角度出發，不斷完善企業的資安策略和流程，才能夠提高其對資安事件的應對能力。

洪偉淦說，從全球爆發的Wannacry勒索軟體事件開始，大家就必須意識到，資安攻擊的形式和手法正在不斷的轉變，企業所面臨的網路威脅不斷增加，因此，面對持續演進的資安威脅時，不僅僅是消極被動的抵禦，更應做到主動積極的防護作為。

台積電發生資安事件對於臺灣帶來的影響是深遠的，他表示，企業除了要從該起資安事件吸取教訓，不斷完善資安治理並提高資安防禦能力外，更要思考，如何將資安轉化為企業的競爭優勢，才能夠應對未來更大的挑戰。

「資安不僅僅是一個保護系統安全的問題，更是一個企業的核心競爭力。」洪偉淦表示，資安是持續不間斷的過程，需要不斷地進行剖析和反思，只有讓資安成為企業的商業優勢，才能真正做到攻防兩端對等，才從被動防禦轉變為主動防禦。

（攝影／洪政偉）

臺灣資安產業面臨規模化、產品化和國際化挑戰

臺灣資安產業的發展過程中，面臨著一系列挑戰和關卡，包括市場認知、資安產品的規模化、國際化以及供應鏈資安要求等方面。這些問題不僅影響著企業的發展，也牽動著整個資訊安全產業的未來方向。

第一個面臨的挑戰就是，如何提升市場對資安的認知，洪偉淦表示，許多企業高層對於資安的認知，仍然停留在將資安視為合規、不得不做的程度，並非將其視為業務上的競爭優勢。

他坦言，這種觀念的轉變需要時間和空間去理解，同時還需要外在環境的推動，像是，企業如何應思考如何將資安納入公司競爭力，將資安視為能夠提升產品安全性、提供客戶更安心服務的競爭優勢；另外，供應鏈業者對資安的要求，這不僅是合規問題，更是影響企業是否能夠進入市場的競爭優勢。

洪偉淦認為，臺灣資安產業面臨的挑戰，需要從企業能否認知資安是企業競爭優勢、資安產品如何做到規模化和國際化，以及供應鏈資安要求等多方面進行綜合考量和改進。

臺灣有許多資安公司在快速成長的過程中，面臨著如何實現「規模化」的困境。洪偉淦表示，公司如果要做到規模化，就需要擁有更多「產品化」的思維，但同時也要面對，規模化擴大之後「國際化」所帶來的種種挑戰。

他認為，唯有實現「產品化」，才能夠實現快速且大量的複製，公司才有辦法做到「規模化」；然而，公司做到規模化後，勢必朝向「國際化」發展，在這段過程當中，則需要大量資金投入，這也牽涉到臺灣在資本投資市場的改善，如何募得更多資金，有助於臺灣資安新創業者，進行海外市場的經營和拓銷，會是突破限制的重要關鍵。

臺灣資安產業發展面臨的五大挑戰與展望

過去十年，臺灣的資安產業經歷了蓬勃發展，但也面臨著不少挑戰。在這段時間裡，資安已然成為國安的一部分，然而，國際情勢的詭譎多變，以及資安威脅手法的演變，對於臺灣的資安產業發展提出了新的挑戰。

首先，凸顯資安治理的重要性。企業在談及如何應對未來的資安挑戰時，洪偉淦便強調了資安治理的重要性，因為，資安治理不僅僅是關於技術層面的防禦，更包括對資安政策的制定和執行，以及對資產和流程的有效管理。他表示，透過良好的資安治理，企業才可以提高對資安威脅的應對能力，才能建立更為穩健的資安防禦體系。

其次，重視技術更新與資安管理議題。技術的快速更新是資安產業一個永恆的挑戰，洪偉淦指出，面對不斷變化的技術和威脅，企業需要不斷更新自己的資安解決方案，以保護自身免受各種攻擊的威脅；同時，良好的資安管理也是至關重要的關鍵，因為，企業需要確保已有的資安設備和解決方案，可以得到有效的管理和監控，才能夠確保其正常運作和有效性。

第三，落實法規的合規與資安實踐。隨著資安意識的提高，越來越多的法規和合規要求也在不斷出現。企業需要遵守這些法規，保證自身的資安運作符合相關的法律法規。然而，僅僅是達到法規的合規，還不足以確保資安，企業還需要將法規合規與實際的資安實踐相結合，才能夠確保資安措施能夠真正發揮作用。

第四，重視PDCA循環與持續改進。

持續改進是資安管理的重要原則，通過不斷進行的PDCA（Plan-Do-Check-Act）循環，企業可以不斷評估自身資安狀況，找出存在的問題和不足之處，並採取相對應的措施以進行改進。洪偉淦認為，這種持續改進的精神，對於確保企業資安的有效性，至關重要。

最後，洪偉淦則強調教育與培訓對於企業資安發展的重要性。他表示，資安意識的提升需要從基層做起，企業應該加強員工的資安教育和培訓，提高他們的資安意識和技能，才能以更加理想的方式，因應未來將面對的各種資安挑戰。【本文採訪日期為2024年4月】

 本文出自《CYBERSEC 2024 臺灣資安年鑑》