【BN Promotion】國泰世華銀行營運長章光祖~個資法與APT將是金融業的兩大挑戰|數位時代 BusinessNext

「新版個資法與日益猖獗的APT攻擊，可說是金融業今年的內憂外患！」國泰世華銀行營運長章光祖解釋，客戶資料是金融業的資產，以往尚未實施新版個資法前，對於保護個資已不遺餘力；但資料處理很難避免外洩發生，倘若真發生事故，新版個資法很重視業者是否有善盡管理人的責任，也就是到底是否缺乏適當管理才造成憾事。再加上金融業因為握有龐大個人資料，本來就屬於駭客眼中攻擊目標，因此防止資料外洩，變成金融業最關注的資安課題。

章光祖笑著說，在七十、八十年代時，常可以看到銀行報表被中式早餐業者拿來包油條，這其實就是資料外洩了，但當時個資並未被視為有價值，因此不受重視；隨著資訊系統從封閉式走向開放，網路的興起、雲端計算的運用等，當資料取得更加容易，且駭客更加猖獗，使得保護資料避免外流更刻不容緩。

上圖為國泰世華銀行營運長章光祖。

保護資料避免外洩****要從企業作業流程做起

「個人資料保護與資訊安全的工作不僅關係到IT部門，還牽涉到其他業務單位，因此不能視為資訊議題，而必須要從企業整體的流程開始檢視。」章光祖認為，保護資料外洩必須要從整體的作業流程著手做起，而不是單靠某一個防毒軟體、應用程式或系統就可以保護，雖然資安業者可提供客製化的產品，但光靠買配備來增強戰力是不夠的，必須從強健體魄做起，先檢視自己目前的身體狀況，再來練身體，當身體練好了，自然就不怕外來的威脅。因此國泰世華在資料防衛戰的作法，首先就是進行ISO 27001:2005資訊安全管理制度(Information Security Management System)的認證，藉由在認證過程當中，檢視企業作業流程，是否有達成「機密性」、「完整性」、「可用性」的資訊安全管理目標。

當取得ISO 27001資安認證後，國泰世華進一步聘請外部資安顧問團隊針對個資法的規範與資訊系統的因應，作進一步的資安設備投資，優先導入個人資料含量最高的客服中心、存匯系統以及信用卡中心等三大部門。

資安設備加上資安教育才能打造完善的防護力

「資安防護無法做到100%！」章光祖解釋，資安投資永無止盡，儘管今年花費大量投資預防做到90%的防護，但隨著新科技的興起再加上駭客魔高一丈的侵略行動，事隔兩三年後，現在的資安防禦能力就會迅速下降到五、六成，屆時又將要投資新資安設備來維持防護力。因此，資料保護除了依賴資安設備外，最重要的還是對員工進行資安教育與配合資安政策，尤其是業務單位的配合，假如第一線的業務同仁不配合，則有再好的防護也很容易引狼入室。國泰世華資訊總管理處副理陳慶儒補充，個資安全政策由IT、法務、風險管理與人資部門等籌組的委員會來制訂，訂出那些規範一定得遵守，而哪些資料非執掌同仁不能碰觸，並引進稽核進來擔任內稽，確保徹底執行個資安全政策。舉例來說，業務單位可能會查閱客戶資料，瀏覽資料庫裡的報表等使用行為，但若超過自己權限的使用範圍時，或是異常性重複查詢某些資料時，IT單位就會做Log Control Code來做資料流的控制，把重要資料與異常使用的Log檔留存下來，作一個報表分析提供給主管單位知曉，若真的發生資料外洩，至少也能快速因應與防堵。

章光祖強調，資安教育訓練是一項成本最低的卻最需要確實做的投資，國泰世華的新鮮人在新人訓練時，都會加強資安課程，此外也在e-learning國泰學習網規劃資安議題課程，透過教育訓練宣導，希望同仁可以確切落實資安政策。

三階段措施預防APT攻擊

隨著智慧型手機與平板電腦的使用愈來愈普及，個人裝置BYOD（Bring-Your-Own-Device）盛行，行動資訊安全成為企業另一個重視的資安議題。章光祖表示，目前國泰世華並未限制同仁使用個人裝置，如智慧型手機或平板電腦等，但私人的設備無法連到企業內部網路，也無法讀取公司郵件，確保公司資訊不會透過私人裝置流到外部。此外，除了有業務需要外，基於安全的考量，國泰世華也不開放員工使用社交網絡，以免提供駭客攻擊的跳板。

章光祖說，去年繼日本Sony遭到駭客APT進階持續性滲透攻擊（Advanced Persistent Threat），造成數百萬客戶資料外洩，因此對於APT議題也相當重視。國泰世華資訊總管理處襄理賴彥廷解釋，APT的防護共分成事前、事中與事後三階段作法。由於在APT的入侵管道中，電子郵件通常是攻擊的最佳點，最常見的方式就是冒名發寄送以假亂真的郵件，並夾帶惡意程式檔，因此當外部郵件有夾帶執行檔或是可疑的文件檔，事前在系統端一律會被過濾機制擋下來。若在事前無法即時攔截下來的惡意程式，則在事中持續監測威脅擋下；若不幸到事後發生入侵時，也能儘速修復漏洞恢復系統穩定。

「商譽是無價的，也是企業最重要的資產。」章光祖強調，面對個資法的實施，正是企業檢視資訊安全系統的最佳時機。資訊安全保護不只是技術層面，而是經營者的體認以及同仁能否確切遵守資安政策。若是管理者瞭解個資保護與企業營運息息相關時，一定會投資足夠資源與心力做到滴水不漏的資安防護。

趨勢科技專家觀點

現今企業面對資訊安全主要有兩大層面，其內憂指的是即將上路的新版個資法，企業如何保護客戶個資不外洩；至於外患就是日益猖獗的APT攻擊。APT攻擊之所以難以防範，主要是APT是一種計畫縝密且具有長期目標的攻擊活動，具有低調、持續性、與潛伏期長等特性，因而很容易躲過一般的資安防護。以往的防護方式主要是透過管控邊界網路(Gateway)和用戶端(Client)；但這並不足以防止APT所構成的全方位威脅。面對APT，趨勢科技建議，企業首先要評估當前的暴險程度，以及對抗APT攻擊情境與防禦能力；接下來，再提升關鍵安全控管措施與流程藉此強化偵測、矯正與事件應變能力。最後則是主動減少漏洞以縮小攻擊面。

想了解更多APT防護之道>>>

員工自行墊付差旅、採購、雲端訂閱或廣告費，月底再拿著單據報帳；不同部門各自綁定信用卡，企業難以即時掌握支出；員工離職後，若原有付款設定沒有同步移轉，也可能影響後續業務運作。這些看似零碎的支付問題，背後都涉及一個關鍵議題：中小企業能否更有效率的管控資金。

對資源有限的中小企業而言，支付管理不只是財務部門的行政工作，當支出分散、現金流難以預測，甚至連跨境匯款都存在時間與到帳金額的不確定性，企業的營運效率與成長速度都可能受到影響。

為協助中小企業解決上述挑戰，萬事達卡（Mastercard）提供端到端商務解決方案–虛擬卡、車隊卡、跨境匯款服務到Virtual C-Suite，讓支付從單純的交易工具，轉化為企業管理資金與做決策的基礎。

以商務卡結合虛擬卡，讓每一筆支出更可控

Mastercard台灣區董事總經理陳懿文指出，中小企業目前常見的支付方式主要是信用卡與轉帳，若大量依賴員工代墊，不僅增加報帳與核銷成本，也讓企業難以即時掌握整體支出。「導入商務卡後，企業可以將原先分散在員工身上的支出收回企業管理，同時，進一步設定使用規則，例如限定交易商家、金額、消費類別、使用期間或國家，讓企業對資金使用建立更細緻的控管機制。」

除了支付管理，商務卡也能進一步降低企業日常營運成本。陳懿文表示，商務卡持卡人可透過商務優惠計畫Easy Saving Specials，取得Google Workspace、Shopify、LinkedIn、Notion、Sixt、 Agoda等品牌優惠，涵蓋雲端服務、電商營運與數位行銷等企業常見支出。

虛擬卡的In Control平台則讓支付管理變得更精準。例如，企業可以針對特定通路建立虛擬卡號，讓員工綁定手機支付差旅費；也可以針對單筆訂單產生一次性虛擬卡號，直接將付款與訂單串聯，後續再透過虛擬卡號進行核銷與對帳，降低人工處理成本。

透過Commercial Connect API，企業可以把虛擬卡功能整合進既有的企業資源規劃（ERP）系統、採購或費用管理系統，從發卡、付款到後續管理，都能在原本熟悉的平台上完成。目前相關方案已整合SAP Concur、SAP Taulia、Pay4You、Grasp Technologies與Kresus等平台，也支援企業自行建置的客製化ERP系統。

Mastercard台灣區董事總經理陳懿文：「我們以每年1,750億筆交易的資料為基礎，將中小企業每一個進出與支付節點問題，逐步設計出不同的解方，一步步實踐『支付至簡，商業致遠』的願景。」

圖／數位時代

從車隊卡到跨境匯款，助中小企業降低營運不確定性

對物流、運輸等擁有大量車輛的企業來說，加油、維修是每天都會發生的固定支出，過去，不同加油站可能需要不同儲值卡，管理不易，也可能因支付問題影響車輛調度與運輸，導入Mastercard的車隊卡後，問題不復存在。

企業可以限定卡片只能用於加油、維修、停車等特定商用項目，並進一步將卡片與車號或駕駛人建立關聯，例如一張卡對應一台車或一位駕駛，或讓駕駛人以虛擬卡支付車輛所需費用。對企業來說，這不只是換一張卡，而是把原本分散的車隊支出納入同一套管理架構，在維持車輛正常運作的同時，也提高資金使用的透明度。

同樣的邏輯，也延伸到日益增加的跨境匯款需求。隨著中小企業將業務版圖擴展到海外市場，對跨境匯款的需求將隨之攀升，若仍以傳統的方式進行跨境匯款，不僅得等候長達1到3天的匯款時間、也常因為中轉銀行收取費用導致到帳金額有落差，更不用說即時追蹤匯款進度，一旦款項延遲或金額出現落差，就可能進一步影響對帳與供應鏈運作。

為解決上述挑戰，Mastercard推出Mastercard Move，讓中小企業可以輕鬆掌握每一筆匯款的狀態，以更有效率的方式完成跨境匯款，全球60%的市場可於1小時內到帳、95%的市場1天內可到帳，同時，以全額到帳降低到帳金額不確定帶來的營運風險。

從掌握現在到預見未來，Mastercard用Virtual C-Suite把數據變成經營洞察

協助中小企業以商務支付方案優化支付與資金管理後，Mastercard接下來思考的是，知道錢花在哪裡後，若能進一步知道未來會發生什麼，創造的商業價值更高。如果支付數據不只是用來對帳，而能進一步回答「未來現金流會怎麼變化」、「現在適不適合擴張」、「企業的成長速度是否落後同業」，支付的價值就會從管理工具進一步提升為決策工具。

而這也是Mastercard會推出Virtual C-Suite的原因，目標是讓資源相對有限的中小企業也可以透過數據分析洞悉未來局勢。

陳懿文表示：「我們以每年1,750億筆交易的資料為基礎，再結合企業自身的財務數據推出Virtual C-Suite服務，其中預計Virtual CFO功能將在今年底於特定市場試點營運。中小企業只要將銀行與交易等數據上傳到平台、或者是透過API串聯財務系統或發卡行的網路銀行，即可協助企業掌握財務健康、預測現金流，以及進行同業比較。」

Virtual CFO就像中小企業虛擬財務長，透過對話式問答，不僅能從支付數據中找出企業忽略的議題，還會提供可執行的專業建議，讓企業看見下一步，進而提升營運韌性與績效。

舉例來說，一家餐廳營收持續成長，卻可能因為平台款項較晚入帳、食材需要即時付款，造成現金流壓力；對餐廳營運者來說，問題倒不是「有沒有賺錢」，而是「錢什麼時候進來」的現金流管理，Virtual CFO在協助其挖掘出這個議題後，將進一步從收付款週期找出落差，再協助企業評估付款條件、付款時間等調整方式。

同樣的情況也可能發生在企業擴張時。接到新客戶或大訂單，看起來是成長機會，但如果資金準備不足，反而可能增加營運壓力，透過Virtual CFO，企業可以預測未來現金流，再決定是否擴張據點，以及確切的時間。同業比較則提供另一個分析角度，舉例一家自行車店的年營收成長15%，單看數字會覺得營收數據亮眼；但若Virtual CFO進一步比較同業數據後發現平均成長率是30%，將重新思考成長速度，建議主推商品、調整客單價，以及進行相應的行銷投入。

從商務卡到虛擬財務長，Mastercard提供的不是單一產品，而是一套隨企業成長逐步疊加的支付管理層次——先把分散的支出收回可控範圍，再透過數據預見現金流與擴張時機。對於還在用員工代墊、多張信用卡管理支出的中小企業來說，第一步不必等到導入Virtual CFO，從申請一張商務卡、設定使用規則開始，就能踏出第一步。從商務支付方案到Virtual CFO服務，Mastercard致力實踐「支付至簡，商業致遠」的願景：當支付流程更簡單、資金流向更透明，數據便能成為企業決策的依據，協助中小企業從掌握當下，進一步預見未來。