台灣企業低估軟體供應鏈風險，建議每家設立資安長！Google Cloud解密職務6大必備技能

作者 : 張如嫻

圖片 : Google Cloud

為了健全企業資安環境，金管會要求台灣上市櫃公司依照營運規模與業務情況配置資安專責人員，截至今年上半年，台灣公開發行以上企業（含公開發行、興櫃、上櫃、上市）有23.1%設置資安長職務，比例不算高，但已較去年同期成長14.8個百分點。然而，仍有不少資安長是由IT人員或其他部門主管兼任。

作為掌握公司資訊安全的「指揮官」，資安長究竟需要具備哪些能力、該做哪些事？《今周刊》專訪Google Cloud亞太區CISO（Chief Information Security Officer）辦公室負責人Daryl Pereira，解密資安長的必備技能和角色。

首先，要有什麼樣的經歷才能當資安長？Pereira曾在德意志銀行、西太平洋銀行IT部門工作，他指出，有這樣專長和經歷的人，的確比較容易當到資安管理者，「但我也遇過資安長來自商業、化工和心理學背景，所以我認為擔任資安長的關鍵，是要對商業和技術都了解。」Pereira的意思是，資安長必須知道，當我們使用科技進行業務時，會產生哪些商業上的風險，所以就算是IT背景的人，也不見得都能勝任資安長。

資安長六大職責 打造企業防護罩

那麼資安長究竟要擔任什麼樣的角色？Pereira則給出六大工作重點。

第一是企業治理。Pereira指出，資安長得先了解公司組織架構、具備領導力，並對高階經理人和董事會發揮影響力；也就是說，資安長要協助高階主管了解如何用科技安全地發展業務。

第二是了解人為因素。資安攻擊事件發生，大多都與人為因素有關，比如駭客利用社交工程手法詐騙，所以資安長得想辦法避免員工受騙、降低人為錯誤發生，「資安長要很清楚人的行為，此時心理學素養是很有幫助的。」Pereira補充。

第三，資安長必須做風險管理，第一步是了解公司擁有的數位資產、系統、硬體等，替機敏資料做保護措施，甚至員工的個資都要受保護。而資安長在進行風險管理時，當然也要對公司營運通盤了解。

「所謂資訊風險管理，不能只是待在象牙塔裡做，」Pereira說，「資安長要很清楚公司用什麼樣的系統來營運、系統如何設計、要有怎麼樣的防範，才會讓他在系統故障的時候，仍然獲得相對應的保護。」

第四點則是企業的持續經營管理，意指企業在面對突發事件或危機時，能夠確保關鍵業務持續運作，並在可能的情況下迅速恢復至正常運營的過程。

當網路攻擊事件發生且成功，企業很可能會停止營運，因此資安長必須在事前就做好規劃和演練，並讓所有員工都知道，資安事件發生後要如何回應、如何盡快復原並奪回控制權。

「幾年前大家不太知道這件事的重要性，但現在越來越多人開始重視，一旦遭到駭客攻擊，其實要盡快介入處理。」Pereira指出，資安長最重要的工作，就是召集各部門參與，包括財務、法務、人力資源、公關、技術部門乃至執行長都得了解，資安事件發生時各自的任務。

第五是技術，資安長必須與資訊長密切合作，了解公司使用哪些系統提供產品或服務，包括設置網路監控中心，辨識登入記錄、管理使用者權限、偵測防火牆是否有漏洞。

最後則是法遵。Pereira指出，資安長必須了解國際法規，並注意是否有新的規範，尤其是營運據點包含海外的企業，像台灣有上市櫃公司設立資安長的規定；新加坡沒有，但資安法卻規範一旦發生資安事件造成損失，需由高階主管跟董事會負責，他們有可能會被刑事處罰或繳罰鍰，所以很多公司也會設立資安長職務。

善用AI 企業資安更升級

在AI時代下，台灣企業的確擔心AI會被駭客拿來作為攻擊手段，不過Pereira認為這也是機會，AI可以解決「Tread（威脅）、Toil（苦力）、Talent（人才）」三大問題。

比如能讓AI閱讀情資，進而辨識可能的風險、提高防禦力來避免威脅；過去得靠人翻閱大量資料，一個個追蹤和偵測是否有惡意行為，現在則能靠AI快速掃過，自動幫你找出異常。

人才部分，可以用AI來提升工作效率和品質，比如靠AI調整不同程式語言寫成的防火牆以節省時間。

回到台灣，Pereira指出，企業可能低估了軟體供應鏈相關的資安威脅，根據 iThome 2024資安大調查，只有4%企業擔心未來一年發生「軟體供應鏈資安事件」，在25項風險中倒數第三，排在第22位。相較於美國企業對這項風險的擔憂應該排到前五名，明顯低估，「因此台灣企業對資安意識的確還有提升空間。尤其台灣面臨高地緣政治風險，無論政府或民間都應該在強化資安防護與意識。」Pereira說。

「我認爲解方還是回到AI，」Pereira表示，光是亞太地區資安相關工作就有一百多萬個職缺還沒有找到人，我們不可能一夕之間就把所有的工作職缺都填補上，但運用AI可以讓一個人的生產力倍增，做好防禦工作；同時他也建議台灣企業都要聘用資安長，並建立好的資安團隊，根據上述的六大要點來佈局，使用合適的工具提升資安防護。

更多今周刊文章
兆豐、玉山、台新…15家國銀聯手打社群詐騙！對網紅、平台抽廣告，合約進行的喊停「付違約金也要做」
00878存股成本從18.08→19.34元，愈買愈貴該停買？破解均價迷思！達人存股115張實證：「這樣做」賺更多

加入今周刊LINE好友，掌握更多資訊！