虛擬威脅無所不在，微軟資訊安全技術長教三招護資安|數位時代 BusinessNext

虛擬威脅無所不在，微軟資訊安全技術長教三招護資安

微軟技術長 Diana Kelley 提醒現代企業在數位轉型的過程中，不可忽略資訊安全的重要性。企業需要能以機器學習方法找出攻擊手段特徵，並自動化整合工具，來面對多數複雜、快速變種的虛擬威脅。

微軟資訊安全技術長 Diana Kelley 提醒，現代快速變遷的數位環境已經和過去很不一樣，沒有百分之百保證安全這回事，企業必須學習與虛擬威脅共處，與更多合作夥伴用多元的整合手段，學習完成資訊安全工作。

當生活中出現越來越多的智慧終端裝置，物聯網安全也是接下來智慧生活不可避開的問題。Diana Kelley 建議服務提供商在考慮解決方案時，可特別注意 選用硬體是否能具晶片等級的安全防護、安全的作業系統與雲服務等三要素來強化智慧生活的安全性。

數位化帶來機會跟隱憂

隨著數位環境更加普及，智慧裝置已經取代許多科技或人力，在第一線服務著我們的日常，例如手機與 App 就可以做到無卡提款，也可以作為許多商業大樓的身分認證裝置。

對許多不同業種的企業來說，如何將現有服務過渡到數位化環境更是迫在眉睫，數位轉型一詞更是許多未來經理人的共通焦慮。

雲服務與智慧化終端裝置，加上包含智慧交通工具等，更多無所不在的物聯網應用的全球數位化環境，為許多企業同時帶來了機會與威脅。全球化對很多企業的成長路徑來說，意味著更多市場、客戶與潛在商業機會。能夠讓人隨時在線，也意味著生產力進一步提升。

可以快速規模化的雲端服務與儲存空間，不但允許我們可以更有效率、低成本的完成技術工作，也意味著我們可以更快速、全面地分析巨量資料。同時也有機會透過快速開發建立新功能，並能夠回應威脅（無論是商業策略上的、或是虛擬安全威脅都是）。

數位化詐騙變形無所不在

這樣的數位環境也不是沒有隱憂，全球化也讓我們觀察到更多數位排他問題，例如數位落差可能導致沒有足夠數位資源的人群無法近用某些先進服務，人們也更容易在線上串連產生新的認同問題。

更多裝置、更多服務、甚至現在連供應鏈也永遠在線，意味著他們有更高的機會面對安全威脅。從終端到雲端，人們在線上識別安全上，需有新的控制手段。

根據微軟所出版的第23期智慧安全報告，如今駭客在線上的主要活動在於攻擊個人識別（例如你的帳號、密碼、身份證字號、銀行帳號、金鑰等），取得你的身份識別後就有更多可能可以攻擊或近用其他線上服務，得到權限接觸資料與服務，並掠奪所需資源。前三名攻擊手段主要是殭屍網路（Botnet）、詐騙釣魚（Easy Mark Methods）與軟體綁架工具（Ransomeware）。

根據殭屍網絡研究，近期由美國聯邦調查局與歐洲刑警組織在內的多國聯合網路犯罪行動小組與微軟、ESET、ICANN 在內的產業夥伴，共同繳獲的殭屍網路： Gamarue 發現，其下擁有 464 支獨立的殭屍網路、透過 1214 個控制伺服器運作，並有 80 餘種不同的木馬程式滲透各類型的裝置或服務。

網路釣魚或詐騙更是常被發現的攻擊手段，透過精心設計的電子郵件、假網站服務或各種散佈技術、手段，惡意目的組織透過連結騙取你的個人資料，僅在2017年 12 月到 2018 年 1 月的兩個月內，微軟透過旗下服務偵測出接近 2 億封釣魚郵件。WannaCry 這個綁架軟體，在前陣子更是讓許多企業或個人難以招架，工作成果或服務隨著快速感染無法運作的電腦或伺服器一起付之一炬。

沒有百分百的供應鏈安全，謹記系統更新還是上策

以大型製造商與供應鏈為例，現在許多廠商的生產環境中幾乎都設計運營著混合雲架構，同時使用實體與虛擬隔離的公有雲與私有雲服務。許多製造環境可能還是從第三方供應商所採購的機器設備與控制系統，這些控制系統一定帶有底層的作業系統與其上特定生產用的應用程式，由許多不同的系統透過內部或外部網路串連，共同組成生產線的全體，生產高度自動化的同時，供應鏈安全變成重要課題。

所有製造商都希望能最大化產能利用率，在生產線設備歲修、固定維護時間，也很少注意要同步排定資訊系統的更新。

Diana Kelley 進一步說明，現在主流的資訊安全意識，是越靠近現代化的作業系統、應用程式或工具，越有機會達成資訊安全的防護工作。就算是已經過時的作業系統或應用程式，多數負責任的軟體服務商、資訊安全公司也會針對新興的特定威脅推出相應的更新或整理程式。就算產能利用率高，還是建議製造商的技術部門，需要先透過沙盒驗證更新或整理程式可維護這些作業系統，同時保證生產所需的應用程式能夠繼續正常運作，再盡快排入固定維護時程進行完整更新作業來保障供應鏈安全。

自動化與機器學習工具，是處理虛擬威脅的現代顯學

Diana Kelley 也在 2018 微軟年度資安大會中，引用現任奇異數位集團（GE Digital）的軟體工程副總裁 Dave McCrory 在 2010 年所提出數位化企業所需面對的「資料引力法則」（law of data gravity）進一步分享，資料作為真正企業營運的核心，雲端化成為必然趨勢，選擇能夠提供快速處理資料能力的雲服務商，服務商能結合自身經驗協助面對虛擬威脅、在客戶應用服務過程中所累積的資安經驗提供安全實踐就成為現代企業面對數位轉型的重要考量。

無論是各資料安全商的報告或各大資訊安全研討會，都可見威脅現代網路安全的攻擊事件與手段在環境快速數位化、聯網的近年成指數化成長。

如今，雖然持續有新種的網路攻擊手段，但無論是殭屍網路、釣魚詐騙或綁架軟體的各種變種都有特定的手法或資料特徵。持續提供服務的數位化企業，比過去更需要選用有自動化快速處理能力的解決方案或服務，甚至針對虛擬攻擊，以機器學習方法等對流量、訊號資料進行處理，在短時間提出應對方案。

Diana Kelley 指出，就算是已經成為企業雲端服務巨頭的微軟，面對各種綁架軟體的變種，也透過建立沙盒，在其中以機器學習方法分析找到可能的威脅手段，最快可以在 14 分鐘內自動整合現有工具，通過沙盒中的演練並快速佈署至現有服務中。

如何讓跨國匯款像轉帳一樣簡便且安全？從用戶需求出發的改變

過去，講到跨境匯款，多數人的第一直覺是「麻煩」。除了可能需要有外幣帳戶、或事先約定帳號，或需要先完成換匯之外，還必須配合銀行營業時間，匯款完成後通常需要等待兩、三個工作天才能到帳，若碰上週末或假日，更可能因此錯過付款時機；另一方面，傳統 SWIFT 國際匯款還存在中間銀行扣費不透明的問題，匯出金額與收款金額經常出現落差，使用者不僅得反覆估算、多匯甚至補匯，有時還得多花時間跟收款方逐筆對帳，若遇上語言溝通障礙，將直接拉升處理難度，甚至因帳款不足或金額爭議，衍生交易取消、退匯等問題，不僅增加成本，也影響原本的留學繳費、交易或投資安排。

為了解決這些痛點，國泰世華銀行重新拆解整個跨境匯款流程，將產品設計回歸用戶需求，使用狀況獲得熱烈迴響：CUBE App 小額跨境匯款服務上線五個月，交易量即成長近五倍。用戶最直接感受到的改變是，整個跨境匯款流程變得更接近日常轉帳。第一，不需要預先開立外幣帳戶，也不用事先完成約定帳號，可直接透過台幣帳戶、以非約定轉帳方式完成跨境匯款；第二，服務支援 24 小時、全年無休，即使深夜或假日，也能快速完成交易。第三，用戶可透過 App 隨時掌握匯款進度，並在匯款過程中清楚看到收款方實際可收到的金額、確保全額到帳，不需要反覆確認款項流向，也降低了中間銀行扣費不透明造成的收款金額不足等困擾，讓繳交海外學費、支付旅遊費用、跨境購物或海外投資，都能更安心、更有效率。CUBE App 小額跨境匯款服務不僅是一項全新的金融服務，而是降低等待成本、操作成本與認知成本的跨境金流體驗，讓跨境金融服務真正融入日常生活。

跨境金流創新不僅滿足便利性，24 小時全天候服務仍兼顧安全性，把關風險

要將複雜的跨境金流流程轉化成 App 上的幾次點擊，背後是一場龐大的金融工程。

從市場研究、系統架構設計、產品規畫、開發測試到正式上線，國泰世華不僅攜手國際金融夥伴 VISA，更集結前、中、後台 IT、營運、作業、法遵、法務、風控、稽核、財會等十多個部門共同投入，重新設計外匯作業流程與營運模式，打造兼顧使用體驗、營運效率與風險控管的跨境金融服務。

舉例來說，傳統的銀行外匯服務並非為不間斷運作，為了提供 24 小時全天候服務，團隊努力突破既有作業限制、重新設計相關流程與系統機制，讓交易即使在非人工審核的時段，也能符合風險控管、洗錢防制（AML）及各項合規要求。同時，透過交易限額、多層 AML 機制、交易監控，以及與合作夥伴共同把關等設計，在便利性與安全性之間取得平衡。

除了營運流程，跨境金流還必須因應不同國家的法規與收款規則做調整，為此，國泰世華銀行重新調整系統架構與作業流程，降低使用者填寫匯款資料的門檻，服務上線後，亦持續優化操作介面與使用體驗。

例如，香港收款帳戶需分別填寫分行代碼與帳號，若格式錯誤便可能遭退匯；日本則因法規要求，首次跨境匯款前必須完成 eKYC 驗證，因此，團隊在系統介面加入對應提醒、欄位檢核與流程引導，有效降低因資料填寫錯誤造成的退匯情形，以及減少使用者的操作困擾。

服務推出後，國泰世華銀行觀察到：跨境金流逐漸從低頻金融交易轉變為數位生活的重要環節，應用情境也從支付海外留學費用、海外投資，延伸至跨境旅遊、跨境購物、國際活動報名等更多元的生活場景，因此，除了持續優化系統介面與服務功能，國泰世華也將目光延伸至整體跨境生活體驗，透過內外部資源協作，串聯更多元的跨境生活場景，讓金融服務從「完成一筆匯款」，進一步走向「滿足地球村生活圈需求」，以更便利、安全且貼近使用情境的服務，陪伴用戶自在連結全球，真正融入用戶的每日生活。