台湾F-ISAC届满三年，金管会揭露推动进度与成果

面对金融科技快速发展与网络攻击风险增高趋势，随着-在8大关键基础设施成立ISAC，建立国家级资安联防架构，由金融监督管理委员会（金管会）推动的F-ISAC（资安资讯分享及分析中心），成立至今即将满三年，从情资共享的威胁预警，到应变协处与监控防护，整体产业资安联防架构已然成形，参与会员数已达376家（至2020年8月），这当中已包括国内所有的银行与保险公司，同时也有证券、期货、投信投顾业者，以及Fintech发展推动计划中的业者加入。

将进一步打造监控组态基准与成熟度机制

在10月底，金管会资讯服务处处长蔡福隆揭露了他们最新的资安联防三大计划，包括自动化演练、资安监控组态与成熟度评估。

第一，建置自动化网络攻防演练场域。

基本上，这个演练场域的目的，在于验证资安防护策略与资安事件紧急应变程序的有效性。蔡福隆表示，演练就是希望能够了解骇客的攻击手法，也就是透过自动化脚本的攻击模拟，让防守方的受训人员训练侦测与拦阻的资安防护技术。由于他们之前都是以人工的方式来模拟攻击，他表示，之后利用自动化的攻击模拟平台，好处在于可以增加训练的场次。

其次，是建置金融资安监控中心，这部分将有两个发展重点，蔡福隆指出，包括订定资安监控作业标准，以及建置二线SOC（资安事件监控中心）。

在8月举行的台湾资安大会上，金管会主任委员黄天牧提到这件事，到了10月，蔡福隆说明更多现行进展：他们正研拟资安监控组态基准及作业指引，已讨论出95项规格，包括需要搜集那些日志资料等，才能有办法有效监控，未来并将利用锁定金融业的APT37、APT38骇客组织攻击手法，来强化监控组态基准的规则；而在第一线金融机构要建立自身的监控中心之外，F-ISAC建立二线的监控，将导入系统化分析机制，分析事件资讯关联性及风险程度，以识别我国金融领域潜在资安威胁及风险。

第三，是建置金融机构资安治理成熟度评估机制。

近年来，资安成熟度的概念已成主流，现在我们看到金管会也期望推动相关机制，而他们又是如何进行？蔡福隆表示，今年他们已经找了11家金融机构开始试行，同时，他们也根据美国联邦金融机构检查委员会（Federal Financial. Institutions Examination Council，FFIEC），所颁订的网络安全评估工具（CybersecurityAssessmentTool），让金融机构可以评估其网络安全风险和防护状态，希望借此了解国内金融机构资安治理的程度，并跟国外相互比较，以更精进资安治理。

提升金融产业资安防护水准，从情资到演练及教育

对于F-ISAC在这三年的成果，蔡福隆也列出具体进展。例如，在情资分享方面，中高风险为情资累计发布达798则，包括金融资安事件、高风险资安漏洞、骇客攻击手法等，另外，F-ISAC也提供伪冒金融网站与App，以及商业电子邮件诈骗BEC等情资，强化资安联防。

对于DDoS与勒索软件攻击趋势，以及针对ATM、SWIFT的情资，也是F-ISAC关心的焦点。以DDoS威胁而言，金融业在2018年4、5、11月，以及2019年10、11月，都发生多家业者遭攻击的事件，大家都不敢轻忽，而他们也曾邀请10家金融业者参与DDoS攻防演练，包含瞬间大量与间歇性持续攻击方式，测试电子交易网站之可用性与防护能力。

在教育训练方面，F-ISAC举办24场资安研讨会，以及8个梯次的威胁猎捕实作课程，较特别的是，还有两场针对高风险或重大事件的闭门会议，因应SWIFT交易系统资安与IBM大型主机异常事件处理。

关于国际合作方面，他们在2018年与美国FS-ISAC合作，成为其全球情资分享体系会员，在2019年，也与日本F-ISAC签署合作协议，并与欧盟FI-ISAC、以色列CERT-IL及韩国FSI建立情资交换管道。

至于成功推动F-ISAC的经验，蔡福隆也整理出几个重点，包括金融机构的信赖，例如建立营运规范及TLP灯号，监理机关保证不介入会员通报，以及公权力适度介入以求落实，此外还要有执行单位与金融机构都要能够投入，包括临时需求的配合与国际合作，以及业者要有专责单位与专业人力。

此外，过去其实官方还有提到需持续营造与会员之间信任感，要会员也能主动贡献情资，不过在这次成效发表中未提到这点，应是会员们也要共同努力的目标，才足以让整个生态朝向正面发展。

关于F-ISAC的营运，也是外界关注焦点，目前委由财金资讯负责，初期经费来源由行政院科技计划预算挹注，这三年经费分别是2018年4,600万元，2019年3400万元，2020年3,800元，计划将于2020年底届期。为使持续稳健营运，因此，后续F-ISAC将向会员收取费用，在今年6月，收费标准草案已经出炉，除16家金控主体的年费20万元，并以资产规模画分不同会费级距。未来，收费机制将专款专用，并将成立委员会监督。