Google雲端GCP服務應臺灣金融機構上雲需求，完成獨立第三方單位聯合查核

Google臺灣今日（3/28）宣布，Google雲端GCP服務已在臺完成首次聯合查核，GCP也是第一個公開揭露，自家GCP服務應多家金融機構上雲需求，已接受獨立第三方單位聯合查核的公雲業者。

雖然金管會日前放寬了對於境內外雲端委外作業規定和程序，以後銀行業者使用境內雲端服務（如GCP），處理一般性事務或辦公應用，不需要事先申請核准，但使用雲端服務仍需遵循風險管控的原則，依金管會法規完成虛擬稽核，來確保金融機構、監理機關或委外查核人員，日後可取得雲端委外作業的執行資訊，例如實地查核權。

不過依金管會對於金融業上雲的稽核程序明定，除了自行委託第三方查核機構之外，使用同一雲端供應商的金融機構，也可以聯合委託第三方來查核雲端業者。

但臺灣金融業開放上雲上路3年多，以往大多是採取個別委託來完成金融企業上雲的查核，如國泰、富邦等，反觀採用聯合委託模式，只有在如歐洲等國外較常見，不過，就在Google臺灣GCP服務接受獨立第三方單位完成聯合查核後，臺灣終於有第一個公開的金融業上雲聯合查核案例。

這次聯合查核共有三家金融機構，第三方查核單位針對受查核的金融業者其所使用的GCP服務進行審查與查核，主要包含IaaS與PaaS服務的查核。

透過採取聯合查核模式 ，Google表示，第三方單位可以將聯合委託的多家金融業者提出共同查核要求，整合到統一查核作業中，向雲端業者進行查核，讓這些相同查驗作業可以在同一次查核程序中完成，除了簡化查核程序，也能讓查核作業變得更有效率，進而加速金融業上雲的採用，對於雲端廠商而言，也能減少大量查核次數而增加的資安風險。

在聯合查核過程中，獨立第三方除了確認GCP服務基礎架構、作業程序和安全控管等措施，須符合聯合委託的每家金融機構營運需求，更會對是否符合金管會法規查核要求進行查驗。還會對資料隱私、資料中心安全、身分與存取權管理、互通性，以及其他多關鍵領域加以審查，確認有無符合CSA Cloud Controls Matrix、ISO 27001和ISO 27017等風險控管規範。