可愛的熊大、饅頭人貼圖，是許多人對LINE的印象，成立8年至今，這家在全球擁有1.64億月活躍用戶的科技公司，服務領域從通訊、娛樂、電商、金融、區塊鏈幾乎無所不包。
許多台灣用戶可能都還記憶猶新，2018年時LINE帳號被盜用的情況嚴重，此外假消息、LINE Pay被盜刷的消息也時有所聞，隨著旗下服務越來越多元，LINE所面對的資安挑戰也越來越大。
像LINE這樣掌握龐大用戶資料的公司，資安就像是鎮守在第一線的士兵，必須發揮最大的戰力抵禦外侮。《數位時代》前進LINE位於日本東京的總部，與身兼重責大任的資安團隊見面，深入了解資安在LINE企業文化中的意義，以及背後的運作。
LINE面臨的三大資安挑戰
走進會議室裡，LINE資安部門經理市原尚久（Naohisa Ichihara）開宗明義點出LINE目前面對的三大資安挑戰。
「現在的LINE其實就是一家資料公司，這當中有許多的服務都是跟其他公司一起合作的。」LINE是一間快速成長的公司，跨國、跨產業的合作也快速增加中，舉例來說，在日本的合作夥伴有豐田汽車、台灣則有一卡通。
對公司內部來說，面臨軟體開發方法多樣化、專案數量成長、組織國際化、資料應用等挑戰；外部的威脅也日益強大，像是駭客的功力越來越強、詐騙手法推陳出新、科技技術的演進、大規模攻擊；還有最麻煩的是，各國地區對於資安法規的要求，不僅日益嚴苛、差異也不小，這些因素都讓LINE投注更多的資源與心力在資安議題上。
從源頭把關，資安奠定產品設計基礎
去年LINE收購韓國網路資安顧問公司GrayHash，同時延攬旗下知名白帽駭客加入資安團隊。從今年五月更大動作重整資安團隊，在東京總部成立資安中心，目前共擁有約80位成員鎮守在第一線。
我們常說食品安全要從源頭把關，資安也是一樣的，LINE資安團隊分享，許多開發人員可能太專注在開發產品，而忽略資安的基本功，或者開發人員用創新的方式開發，也有可能忽略資安問題。因此，LINE導入了安全設計（Secure by Design）、隱私設計（Privacy by Design）這兩項原則，市原尚久分享：「推出每一項新服務前，都要經過層層關卡，當安全審核（security review）通過時，才能對外公布上線時間。」
簡單來說，把資安作為一切的設計基礎，因為許多資安問題並不是出在程式設計本身，而是在機制設計上。許多與第三方合作的服務，若在機制上沒有設計好，就可能被駭客利用。
因此，每個新服務從規劃初期，資安團隊就會深入參與，「我們會跟開發者討論，像是什麼樣的資安方式適合用在這項產品上， 」除了必須符合全球資安法規，還必須遵循不同市場的在地資安法規，像是歐洲有GDPR、台灣有個資法，適法性問題必須在產品概念萌芽的最初，一併納入討論。
在地化是資安設計上非常重要的觀念，LINE台灣資深資安工程師劉威成舉例，先前台灣帳號被盜問題很嚴重，但每個國家使用通訊軟體習慣不同，有些盜帳號方法在日本行得通，在台灣就碰壁，「要根據各地使用特性變更資安設計，讓盜帳號的人放棄這個平台。」
導入機器學習，終結帳號被盜
盜用帳號、垃圾訊息，是近年LINE比較嚴重的問題，市原尚久回憶，2016年開始LINE就導入機器學習技術反制，不過一開始並不順利，機器學習模型並不能即時修正，讓攻擊者每隔一段時間就能找到漏洞，逃開機器學習的監控。
舉例來說，2017年是盜用帳號最氾濫的一年，雖然當時團隊採取應變措施，讓盜帳號問題在2018年趨緩，但2018年6月再度變嚴重的趨勢。市原尚久解釋，後來資安團隊找出機器學習模型可以自動更新的方法，藉由每周更新、修正模型，以及改善使用介面，成功解決盜用帳號、垃圾訊息的問題。市原尚久自豪地表示，2018年9月至今，都沒有任何帳號被盜用的紀錄。
當然，許多漏洞還是得靠「社群的力量」，才能變得更安全。在美國有許多科技公司都設有漏洞獎勵計畫（Bug Bounty Program），這樣的風氣在亞洲比較不盛行。LINE從2016年起推出漏洞獎勵計畫，提供獎金給發現漏洞的駭客，「希望讓駭客知道，他是一個正義的角色。」資深資安工程師劉威成解釋，這項計畫的目的是希望結合外部白帽駭客的社群力量，一起維護產品資安，這項計畫也有名人堂機制，劉威成透露過去曾有台灣的駭客上榜過。
確保資料蒐集隱私，LINE讓用戶有更多自主權
Facebook、Google這些科技巨頭，透過蒐集資料來提供用戶服務，對LINE而言，生態圈內日趨多元的服務，意味著取得用戶資料的頻率越來越頻繁。
「我們必須非常小心，確保隱私合規、遵守當在地規範。」無所不在的數位足跡與個資交換，每個人在網路世界都顯得赤裸，市原尚久認為，在蒐集用戶資料的同時，也必須提供用戶相對應的資訊，「要讓大家知道我們在做什麼，提供更多資訊增加透明度。」
LINE從2017年開始，每半年都會發布透明度報告，市原尚久預告，今年下半年會重新設計隱私設定介面，讓用戶掌握更多自主權與空間，每位用戶未來可以依據自己的使用習慣，來修改隱私設定，而不是適應服務提供者所設定的遊戲規則，「我們也會跟外部的專家討論，聽取更多的意見作為參考。」
深植資安DNA，市原尚久：不該害怕討論
LINE認為，資安的觀念必須深植在企業內部文化中。目前LINE無論對內對外，都採取「零信任（ZERO TRUST）」策略，意思是任何裝置或系統都不能輕易信任，每次存取都必須認證、授權，而非傳統只認證一次，「這是我們基礎的文化，」市原尚久說。
LINE GrayLab資安研究室的負責人李丞鎮（Seung Jin Lee）分享，一般人可能會認為，公司的私網比一般網路安全，但這樣的觀念必須翻轉，「要讓所有員工知道，我們並不能信任網路，更不會把敏感的資訊放在上面，公司內部的私網也是一樣的，必須很小心。」
不只是對一般人，對多開發者來說，資安都是略有門檻的議題，甚至許多員工害怕談論資安，擔心造成產品開發時程延誤。市原尚久用「基礎文化」來形容資安在LINE內部的地位，因為資安團隊在前期開發階段，就密切跟開發團隊互動，「大家可以隨意在Slack上問問題，或是隨時找一間會議室討論。」讓資安在公司內部，營造出一種輕鬆沒有壓力，可以隨時彼此討論的議題。
同時，內部也定期舉辦跟資安有關的講座與活動，這不只是人人必須熟悉的必修課，更是深植在每位liner身上的DNA。
