在數位轉型的浪潮下,金融產業面臨前所未有的資訊安全挑戰。根據Veracode最新研究報告顯示,金融機構的資安現況令人憂心,高達76%的金融組織存在「資安債務」(即超過一年未修復的資安漏洞),其中50%更具有高風險等級的資安缺陷。這個數據凸顯出金融業在資安防護上的嚴峻挑戰。
從經濟損失的角度來看,金融業資安事件的平均損失高達608萬美元,遠高於其他產業。這與金融業本身的特性有關 - 它不僅掌握大量敏感的用戶資料與金融資產,同時也是駭客攻擊的首要目標。特別是在2024年3月美國財政部的報告中指出,威脅行動者已開始運用AI工具來尋找和利用軟體漏洞,這使得資安威脅更加複雜且難以防範。
研究發現金融業的應用程式資安問題主要來自兩個面向:自行開發(first-party)和第三方依賴(third-party)程式碼。雖然84%的資安債務來自自行開發的程式碼,但78.6%的高風險資安債務卻源自第三方依賴。這反映出供應鏈安全的重要性,也說明為何美國網路安全暨基礎設施安全局(CISA)積極推動開源軟體安全路線圖與安全設計承諾。
在修復時效方面,金融機構處理自行開發程式碼的漏洞平均需要9個月,而第三方程式碼則需要13個月。這種修復進度的落差,加上新興的AI威脅,使得金融機構面臨更大的資安風險。同時,隨著ISO 20022、PCI DSS、NIS2和DORA等法規框架的實施,金融機構必須更積極地預防應用程式中的漏洞,否則可能面臨違規處罰。
為了改善這個情況,專家建議金融機構應優先處理占比3.3%的高風險資安債務。透過採用AI驅動的修復工具和應用程式安全態勢管理(ASPM)解決方案,可以在短時間內偵測、評估並修復這些漏洞。這不僅能有效降低資安風險,也能確保符合監管要求。
展望未來,金融產業必須正視AI驅動的網路攻擊帶來的新威脅。在追求創新和客戶便利性的同時,也要投入足夠資源強化資安防護。這包括建立完善的資安治理機制、定期進行安全評估、加強供應鏈管理,以及導入新型資安工具等多管齊下的方式。唯有如此,才能在數位金融時代中保持競爭力,同時確保客戶資產與資料的安全。
詳情請看：
50% of financial orgs have high-severity security flaws in their apps
