金融業資安風險持續升溫，銀行公會近日發布最新版《金融機構資通系統與服務供應鏈風險管理規範》，明確要求各金融機構在選任供應商時，必須揭露持股 25%以上的實質受益人與控制權來源國，等同將「外資背景」納入資安審查重點，防止境外勢力藉由科技服務滲透金融體系。

新版規範明訂，除核心資通系統全面納管外，凡第二、第三類系統單筆採購金額逾一千萬元者，也需納入管理。銀行在委外前應進行資訊安全可行性分析與集中度評估，並將資安成本納入採購規畫中，以降低系統性風險。同時，契約條款須明確規範不得任意轉包，並建立資料安全、異常通報與退場替換等機制，確保資安事件可追蹤、可控管。

同時，新版規範新增供應商持續監督與教育訓練制度，包括定期第三方稽核、安全訪視與人員資安訓練，確保服務全生命週期均符合國內法規與金融資安要求。此舉呼應金管會推動的「供應鏈資訊安全」政策，讓金融業能在 AI、雲端及跨境資料處理等高風險環境下，建立統一資安門檻。

銀行業者指出，這項修訂是金融資安治理的重要轉折，讓「外包不再是風險灰區」，也標誌著台灣金融業資安防線已從內控延伸至整條產業鏈，與國際資安監理標準正式接軌。

(來源網址：https://money.udn.com/money/story/122376/9075454)

0