零信任，若不想淪為「空洞口號」

在金融業遭駭客攻擊的損害擴散至整體之際，金融當局於上月14日宣布，已確認銀行、儲蓄銀行等16家公司的入侵事故。據悉，這些事故共外洩約10萬筆資訊。之後，代信證券（Daishin Securities）客戶資訊外洩的事實也進一步曝光。

金融當局將零信任視為解方，並要求金融業將資安體系轉換為以零信任原則為基礎的架構。零信任原則的意思就是絕對不信任、並且永遠驗證。

此次應對格局與去年國內駭客事故時相似。當時，電信業者與電子商務企業都遭到駭客攻擊。那時也普遍強調零信任可作為改善方案，部分企業更承諾將以事故為借鏡，建立以零信任為基礎的資安體系。

今年金融業再次發生事故。此次事故原因被指向外部攻擊面管理失敗，以及身分驗證與授權管理不足。這兩項問題都早已被點出，而在零信任一再被強調之下，基本資安控制失守的情況又再度出現。

外界指出，零信任導入需求之所以淪為一次性口號，背景在於缺乏執行基礎。企業沒有遵循零信任的義務，任何制度也都未要求企業必須遵循零信任。即使企業主動強化資安，也看不到明顯成果或效益，使得將資安視為投資而非成本的觀念說服力下滑。此外，即便有推動零信任的意願，也難以判定該從哪裡著手，對於何種程度才算零信任，同樣缺乏一致共識。

這樣的現場認知，也在本報9月舉辦的「2026 Information Security Solution Conference」參與者調查中獲得印證。94名受訪者中，有39人，也就是41.5%，將指南與參考案例不足，列為實現零信任的最大困難。

要讓零信任落地，政府支援被視為必要條件。政府於2023年透過「資訊保護產業的全球競爭力確保戰略」，宣布要在2027年前帶動零信任全面擴散。然而，在目標時點已近的當下，承諾是否能兌現仍不明朗。作為基準的指南自2024年公布的2.0版本後便停滯不前，而持續了3年的試辦計畫，預算也遭到縮減。

用來掌握零信任擴散程度的體系也不完善。科學技術資訊通信部在提交給國會立法調查處的資料中，將擴散事業的成果管理指標設定為「試辦導入支援件數」。然而，實際上並沒有可用來掌握有多少企業已完成資安體系轉換的實態調查。因此，僅靠以支援件數為中心的管理，難以確認實際轉換程度。

後續制度也未見進展。去年底，作為零信任義務化核心的資訊通信網法修正案雖已提出，但之後毫無進展。公共採購優惠也付之闕如，稅制支援同樣不存在。在法規修正、採購優惠與稅制支援都未跟進的情況下，將零信任提出為替代方案的主張，也被認為缺乏實質性。

零信任規範並不是什麼龐大的網路安全戰略，零信任的本質可說是提醒人們重新檢視那些容易被忽略的小環節。零信任的定位是新的基礎，而僅僅強調導入並不足夠。仍需要為其落實建立基礎。

每逢事故發生，總會重複提出相同的替代方案，但執行條件並沒有改變。若執行條件維持不變，就很難期待結果有所不同。因此，為讓零信任落實所需的制度，以及為讓零信任落實所需的支援，都必須重新整備。若宣示與執行之間的落差無法弭平，零信任就可能淪為空洞口號，駭客事件之後也恐怕會再次重複相同說法。

來源: IT DAILY · Kim Ho-jun 原文: https://www.itdaily.kr/news/articleView.html?idxno=242658

參考資料

• https://www.itdaily.kr/news/articleView.html?idxno=242658