【台湾资安大会直击】金融机构创新同时,强化企业资安韧性将成为企业发展关键

发布于2019-04-13 16:50:46

导读: 勤业众信联合会计师事务所董事万幼筠,在2019台湾资安大会的金融安全论坛上,分享金融机构在创新同时,该如何强化资安韧性(CyberResilience)。金融机构在发展AI
导读: 金融机构在金融创新的同时,也面对着难以预测的资安威胁,该如何强化资安韧性(Cyber Resilience),将成为企业发展的重要课题。

勤业众信联合会计师事务所董事万幼筠,在2019台湾资安大会的金融安全论坛上,分享金融机构在创新同时,该如何强化资安韧性(Cyber Resilience)。

金融机构在发展AI、Blockchain、Cloud、Big Data等新兴科技时,在资讯安全上也会带来更大的挑战。

“金融创新下,需要资安韧性来拨云见月。”勤业众信联合会计师事务所董事万幼筠,在2019台湾资安大会的金融安全论坛分享,金融机构在创新的同时,面对难以预测的资安威胁,该如何强化资安韧性(Cyber Resilience),将成为企业发展的重要关键。

根据国际清算银行(Bank of International Settlements,BIS)旗下的巴塞尔银行监管委员会,委托美国哥伦比亚大学学者研究数位新创下金融监理(Regtech)的技术变异趋势中指出,归纳出7项新兴技术主流,包括了人工智能、API(Application Programming Interface)、大数据分析、生物辨识、云端运算、分散式账本技术与语意技术。

金融创新带来的资讯安全完美风暴

但,万幼筠提到,这些应用在金融创新的新兴技术,过去鲜少讨论其安全性,他举例,如何检验算法的安全?本身具备安全性的区块链技术,应用在交易上又该如何确保安全性?万幼筠形容,“数位创新带来了一场资讯安全的完美风暴。”

他进一步解释,所谓的资讯安全完美风暴,是指技术变异到我们的生活工作中,使得资安风险与事件,呈现指数型成长。但是,我们团队的资安专家不够多,在人才耦合上形成人才缺乏。然而,万幼筠提到,金融业务创新上的进展,比风险因应的方式还快,解决方案还未提出,风险已先被发现,让资安事件与违规行为的影响越来越大。

加上金融业为了商业竞争,又会快速部建新兴科技应用。接着,随着新兴法规的出现,企业又缺乏足够的安全技能与合规决策。环环相扣下,未来将使得资讯安全成为银行的主要业务之一,他强调。

万幼筠也指出,组织的资安能力,在新兴技术带来的破坏式创新,改变了新的资安应变能力差距(Gap),而这差距是大到无法预估。面对应用新兴技术带来的安全问题,企业更要做足准备应变。他提到,企业应具备增强式资讯安全思维(Augmented Cybersecurity),就是导入这些新兴科技,放到企业复杂的环境里,例如用AI做资安。

不只企业要这样做,万幼筠认为,监理机关未来也会用这些新技术,来侦测金融机构采用新技术带来的新兴风险。

数位创新下5大资安挑战

Deloitte认为,在数位创新风潮下,有5大资安挑战。第一是威胁情势的演变,新的威胁情势,使得网络威胁的频率与复杂度增加。第二是商业环境与技术的交融不一样,使得安全与隐私监管增加。

第三是有许多合规议题很难解决,金融机构只要在欧洲设有分行,还是会遇到GDPR,万幼筠强调,金融机构在合规上得做到一步到位,如在隐私权上,有去势别化议题、资料如何储存等,在做同一规范上,得满足所有新科技因素。第四是资安人才短缺。第五是得管理不同的安全工具。而这5大资安挑战,也反映了技术变革和网络风险的重要性。

AI带来的安全风险,应遵循5项原则避免风险产生

针对金融科技带来的安全风险,万幼筠以AI为例,他指出,AI风险背后,来自不够稳健的算法。他强调,算法是AI技术的核心,如果缺乏适当的算法风险意识与开发指引,将可能带有偏见的决策,使民众无法信任AI技术带来的服务。

所有AI都是数据与资料的推演,万幼筠指出一一指出算法的风险。如果资料来源本身有差异,造成推演规则逻辑有错时,就会产生偏误(bias),导致AI模型产生无效或是不公平的结果,而缺乏有关算法风险的意识,会使得开发者无法在一开始就发现偏误。然而,使用不正确的算法、资料品质不佳,或是参数选择不适当,都会导致AI模型不准确(inaccuracy)。再来,若缺乏对AI训练的回馈监控,就会使其容易成为算法攻击的对象。万幼筠也提醒,使用者若对AI模型的限制了解不够深入,容易错误诠释AI产出的结果,造成不适当的决策。

万幼筠指出,AI研发与应用的过程中,应遵循5项原则,避免应用上违背伦理标准或本身模型不够稳健,而产生风险。一是需促进公共利益与福祉,二是在应用大量数据训练AI模型时,在个人资料处理与应用上,应该要遵循一定标准,以避免侵害个人隐私。三则是遵守公平原则,从搜集训练数据、建模、测试到部属,AI的研发与应用不应受到人为操弄或外部攻击,导致决策结果出现偏差,进而造成图利特定族群的不公平结果。

四是在导入AI系统的同时,应建立AI安全评估机制,监控AI是否正常运作。同时,也要设立紧急停止机制,确保当AI出现非预期的后果时,能及时停止并采取因应措施。万幼筠强调,透过这安全评估机制,交易双方就得需符合当初所设定的安全与风险规范。最后一项原则,则是让AI的技术逻辑与商业模式,能够被外界或独立第三方机构进行检视,以确保AI的应用符合法规或技术规范,并在人为可控制的情境下运作。

使用资料必须执行的数据治理5大阶段

万幼筠提到,金融科技的另一大安全风险,就是大量使用各类数据的隐私保护执行,然而,要运用资料,得先去识别化,让个资不再具有直接或间接识别性。万幼筠指出,GDPR出现后,去识别化时最常见的两种的隐私工程技术,就是假名化(Pseudonymization)与匿名化(Anonymization)。他也提到,资料保护形式能做到一定程度的话,资料共享与共用就会进到安全性模式。

企业决定进行资料去识别化之前,得先盘点资料字段及内容,确认哪些字段内容包含机敏资料,需要进行去识别化。盘点过后,针对不同特定领域的资料,除了一般性资料分类,也应该依据机敏程度与风险水准,进行资料分级。接着,得依据资料等级,选用不同安全性的去识别化技术和算法,确保资料不会透过拼凑、反解密等方式被轻易重新识别。最后是,去识别化后的资料得进行管理,把具各种不同特定目的、授权、申请核准等方式释出分享。

他也认为,数据治理未来一定会投射到企业董事会定期需研究的部分,并一层一层逐次往企业各阶层进行安全控制规范。

最后,万幼筠提到,技术带来新的差距,是资安产业很好的机会。未来,对于资安人员的技术分工,也会越来越明显。而资料科技,也会大量改变技术安全型态的风貌。文⊙李静宜