金管會 11 月 12 日召開資安長會議，11 月 13 日發布新聞稿，籲請金融機構優先落實六項重點措施。新聞稿的背景段提到，近期國內外陸續發生金融機構及數位資產服務業者遭受資安攻擊，並列出客戶資料外洩、資產被未經授權轉走等類型。11 月 3 日永豐銀行發生異常轉帳，部分媒體報導這場會議時，把兩件事放在一起寫，下面「與永豐銀事件的關係」一節會整理報導與官方各說了什麼。
事件本身的經過、金管會要求永豐銀提交報告的時程，以及金融機構委外的法規，已經整理在永豐銀行資安事件：418 人被轉走 4,176 萬元，金管會怎麼說、用戶要注意什麼，這篇不重講。我們來看看這次會議到底要求了什麼，對一般民眾又代表什麼。
會議基本資料
| 項目 | 內容 |
|---|---|
| 會議名稱 | 115 年度第 2 次金融機構資安長聯繫會議 |
| 日期 | 2026 年 11 月 12 日（新聞稿 11 月 13 日發布） |
| 主持 | 金管會莊副主任委員（新聞稿未載全名，報導作莊琇媛） |
| 與會對象 | 銀行、證券期貨及保險業的資安長 |
| 專題演講 | 中研院陳孟彰博士，主題「AI 攻防」 |
資料來源：金管會新聞稿〈金管會資安長會議聚焦AI攻擊與代理AI安全，籲金融業強化防禦及應變〉。
新聞稿列出的議題有四項：資安治理成熟度評估工具的精進、「金融業運用代理 AI 安全諮詢文件」的意見交流、因應 AI 攻擊的策略與技術防護、以及今年納入 AI 攻擊與雲端服務情境的重大資安事件應變演練經驗。
六項措施整理
新聞稿的用語是「籲請金融機構優先落實」六項重點措施。部分媒體標題寫成「指令」，新聞稿描述這六項措施時沒有用這個詞，這點先分清楚。
| 項目 | 金管會要金融機構做的事 |
|---|---|
| 1. 外部曝險與漏洞處置 | 掌握對外服務系統、API 與第三方維運入口，關閉或限制不必要的對外存取；運用軟體物料清單（SBOM）等工具；優先修補重大漏洞，無法即時修補的要採取必要的替代控管措施 |
| 2. 資料、交易與高風險存取控管 | 落實零信任（Zero Trust）原則，管好高權限帳號、委外遠端連線與系統介接；高風險操作要有授權檢核、異常偵測與即時攔阻 |
| 3. 軟體安全開發與防禦性 AI | 推動資安左移措施，並做安全設計、程式碼及軟體元件檢測；評估導入防禦性 AI（新聞稿用語為「以 AI 對抗 AI」），用於漏洞偵測、修補與威脅情資 |
| 4. 情資分享與供應鏈聯防 | 善用金融資安資訊分享與分析中心（F-ISAC）等管道，把情資變成具體的防護動作；加強共同供應商、雲端服務與重要軟體的風險管理，跨機構協同處理 |
| 5. 營運持續與快速復原 | 針對 AI 攻擊、系統遭入侵、雲端或供應商服務中斷等情境演練；強化重要數位憑證及信任鏈管理，建立緊急換發與驗證機制 |
| 6. 董事會與高階管理層責任 | 資安與 AI 風險納入公司整體治理，明確界定決策權限、管理責任及風險承受程度，並配置足夠的人力、預算與技術資源 |
資料來源：金管會新聞稿（連結同上），各項措施內容由站長依新聞稿重新整理，用語以新聞稿原文為準。
另外，新聞稿提到金管會後續會依《金融資安韌性發展藍圖》，用成熟度評估、金融檢查、情資分享與情境演練追蹤各機構的改善成效，並滾動調整監理措施。
先看幾個名詞
- SBOM（軟體物料清單）：列出一套軟體用了哪些元件、各是什麼版本的清單。出現漏洞時，可以很快查出自己有沒有用到。
- 零信任（Zero Trust）：不因為人在內網就預設可信，每次存取都要驗證身分與權限。
- F-ISAC：金融業彼此交換資安情資的平台，全名是金融資安資訊分享與分析中心。
- 防禦性 AI：新聞稿第三項措施提到的「以 AI 對抗 AI」，用途列有漏洞偵測、修補與威脅情資。
報導提到的「四大面向」
會議當天，中央社與經濟日報另有一篇報導，轉述金管會資訊服務處處長林裕泰對這次會議的說明，歸納成四個面向：
| 面向 | 報導的說法 |
|---|---|
| 資安基本功 | 減少對外暴露，外部人員存取採零信任，落實多因子驗證、最小權限與足夠的監控 |
| 動態排序漏洞 | AI 找漏洞的效率高，金融業現有的修補量能可能跟不上，要依「能不能被利用」「會不會被 AI 自動化攻擊」排序處理 |
| 董事會責任 | AI 已改變資安防禦型態，強調高階管理階層的資安責任，希望董事會給予資安長足夠資源與支持 |
| 防禦性 AI | 報導引述金管會的說法：駭客用 AI 時，不用 AI 可能處在落後局面；並提到金管會 10 月發布金融業運用代理 AI 安全諮詢文件，建議在風險可控下優先導入漏洞偵測、漏洞修補、情資更新等用途 |
資料來源：經濟日報轉載中央社〈AI資安攻擊升溫 金管會資安長會議緊盯4大面向〉。
截至撰稿時，尚未在金管會新聞稿找到「四大面向」這個分法，新聞稿的架構是上面的六項措施。兩邊內容大致可以互相對照，只是分類不同。另一篇經濟日報報導（〈永豐銀遭駭敲警鐘！金管會急召76家資安長 堵災情擴大〉）也用「四大防禦重點」，分類又稍有不同，並寫到金管會當天召集 76 家金融機構資安長，與公會代表及相關人員合計近 200 人。這個家數與人數，截至撰稿時同樣尚未在新聞稿找到相關說明。有興趣的話，可以自行前往金管會官方網站查詢最新說明。
這次會議和永豐銀事件的關係
報導與官方能確認的有這幾點：
- 金管會新聞稿的背景段沒有點名任何銀行，也沒有出現「永豐」二字，只寫近期國內外陸續發生金融機構及數位資產服務業者遭受資安攻擊。
- 經濟日報 11 月 12 日的報導（〈永豐銀遭駭敲警鐘！金管會急召76家資安長 堵災情擴大〉）在標題與內文，把這場會議放在永豐銀遭駭的背景下。中央社同日的報導（經濟日報轉載）也提到永豐銀行近期遭駭客攻擊、多名客戶帳戶異常轉帳。這是報導對背景的描述，不是新聞稿的說法。
- 金管會莊副主委在 11 月 4 日臺灣週的論壇上，提出對金融業的三項期許：資安列為董事會與高階管理層的治理責任、假設事故必然發生並建立偵測到復原的能力、跨業協作（經濟日報報導，標題把永豐銀事件與這場發言並列）。
至於六項措施當中，哪一項是針對永豐銀事件的哪個環節，官方沒有逐項對應，本文也不替它對應。事件原因還在調查中，這部分以檢調與金管會後續公告為準。
對一般民眾有什麼影響
六項措施是對金融機構提出的要求，民眾不用做任何設定，也看不到馬上的改變。以下是站長自己的看法：
措施的方向，其實和你的日常有關
零信任、高風險操作即時攔阻、異常偵測，這幾項措施的內容，和一般人帳戶有沒有被亂動、被動了能不能很快發現，是同一類事。我自己會留意往後銀行有沒有把這類機制講清楚。
自己能做的還是那幾件事
- 交易通知與推播不要關，定期看一下帳戶明細。
- 發現看不懂的轉出，先用銀行官網或卡片背面的電話聯絡客服，再視情況報警。
- 來路不明的網站與連結不要點。中央社 11 月 12 日的報導（經濟日報轉載）提到，金管會呼籲民眾不要點擊來路不明的網站。
詳細的防詐做法，永豐銀那篇有更完整的整理，這裡就不重複。
參考資料與延伸閱讀
- 金管會新聞稿：金管會資安長會議聚焦AI攻擊與代理AI安全，籲金融業強化防禦及應變（2026-11-13）
- 原新聞：金管會召開全體金融業資安長會議 明確下達六大最新資安防護指令（UDN）
- 防堵資安威脅 金管會列六大重點落實措施（經濟日報，2026-11-13）
- 金管會示警AI攻擊風險 呼籲金融業落實6大措施（中央社，經濟日報轉載，2026-11-13）
- AI資安攻擊升溫 金管會資安長會議緊盯4大面向（中央社，經濟日報轉載，2026-11-12）
- 永豐銀遭駭敲警鐘！金管會急召76家資安長 堵災情擴大（經濟日報，2026-11-12）
- 永豐銀事件敲警鐘！金管會示警金融資安 提三大防線（經濟日報，2026-11-04）
- 金融監督管理委員會
- 站內延伸閱讀：永豐銀行資安事件：418 人被轉走 4,176 萬元，金管會怎麼說、用戶要注意什麼
發佈留言