《WHATs NEXT》勤業眾信數位科技風險服務協理白哲豪：勤業眾信數位科技風險服務協理白哲豪：CBOM資產盤點場景複雜多元，目前無自動化解決方案能百分之百完整涵蓋

「CBOM盤點沒有單一解方，因為其本來就不是單一應用情境。市面上的工具主要是透過網路層、原始碼跟檔案三個層級進行掃描盤點，這三個工具已經能夠大幅度找出CBOM資產，但並未能夠完全覆蓋。」勤業眾信數位科技風險服務協理白哲豪，在第11屆《WHATs NEXT》量子科技高峰會中指出。

白哲豪表示，由於Deloitte是以顧問角度切入相關議題，近幾個月甚至從去年開始，各界便陸續展開資產盤點的討論。他說明，勤業眾信以 NIST 密碼資產盤點分類為基礎，整合 Deloitte 全球專案觀察，歸納出40+企業非對稱密碼應用場景。

他進一步指出，儘管各界都期待能有一套工具、不論是硬體或軟體，能夠完整盤點出所有資產，但以Deloitte自身的實務經驗來看，這些場景中真正能透過工具解決的約四成左右。他說，真正需要的部分，除了過去在治理層面常談到的資產盤點可作為參考來源外，更多時候必須仰賴與業務單位或第一線同仁訪談、了解，才能掌握全貌。

白哲豪分析，盤點之所以棘手，關鍵在於場景太多，涉及硬體層、軟體層、供應鏈，甚至開源部分，某些加解密應用還牽涉到生態圈中特定的PKI基礎設施，形成一個多重且複雜的結構。他認為，現階段是一個好的開始，但過程中各界勢必要先花大量時間完成盤點，接下來才是解決方案的問題。

談到Deloitte全球在後量子密碼（PQC）領域的布局，白哲豪說，基於事務所保密原則，無法透露明確客戶名稱，但全球量子網路就緒核心專家分布於美國、瑞士、荷蘭等地。他並提到，Deloitte 今年 4 月於 IIT-Bombay 成立 QCoDE 量子企業中心，聚焦量子應用與產學人才培育。此外，Deloitte早在2023年便與世界經濟論壇合作推出「Quantum Readiness Toolkit」工具包，協助各行各業做好準備。

白哲豪觀察到，不同國家在因應量子電腦與PQC威脅的準備上，仍各自保有一定程度的做法與節奏。他表示，台灣方面會配合政府與主管機關的策略，同時參考國際專家與國際標準，並積極尋求在地資源，目前Deloitte在PQC相關的硬體、軟體產品上都已有合作並持續了解相關發展。他並指出，就目前態勢而言，主管機關與金融業將是首當其衝需要因應的產業，其次則是受到美國供應鏈相關要求影響的半導體等產業。