金融業在資訊系統的資安控管上不容許有任何疏失，以免造成可能的危害，而金融主管機關的嚴格稽核，也使得各金融單位如履薄冰，透過各種機制檢查及維護系統的安全性。第一金證券為了因應主管機關嚴格的要求，除了建構完整且強固的內部安全防護機制外，亦導入資訊安全評估方案，利用弱點掃描與滲透測試機制找出及防制資安漏洞，讓駭客無可趁之機，強化電子交易的安全。

第一金證券為第一金控旗下專責證券交易與相關事務的子公司，除了提供傳統證券交易服務模式之外，也提供電子交易平台，讓投資戶可以利用網路便捷地查閱相關資訊並申購或銷售股票。

金管會對於金融相關業者在資訊系統的安全性規範，採行相當高標準的要求，業者除資訊安全架構要依據國際標準之外，還須定期進行資訊安全評估，以確保內部資訊系統及電子交易的安全。

網路交易危險多，檢核保安全

「傳統的金融與證券交易大多靠電話與本人親自到營業櫃檯辦理，因在封閉系統中，資訊安全較能受到保障，」第一金證券資訊服務處協理林忠誾表示，「但開放網際網路交易後，風險越來越高、越來越多樣化，常面臨包含網頁竄改、SQL Injection或其他的資安威脅。」

資訊部門人員由於工作負擔繁重，專業知識與處理能力無法跟上資安威脅與防護架構專業的快速發展，因此委外由專業廠商執行資安服務是最好的方式，也能藉此降低企業內部資訊管理的工作負擔，同時確保整個資訊安全不會有任何疏失。

第一金控集團體系相當龐大，除了弱點掃描由第一金控統一規劃執行外。為了提昇整體資訊安全能力，第一金證券則另外自行採取HiNet為服務供應商，提供其他多種資安解決方案與服務。

HiNet資安專業實力強 委託評估最安心

「過去我們時常聽見HiNet在寬頻服務上的硬實力，而資安服務部分則更展現了HiNet的軟實力，」林忠誾表示，「從網路安全維護與管理機制，乃至於對於政策規章的執行力，都呈現了HiNet的專業與技術，而這些也是我們遴選廠商的重要關鍵。」

第一金證券採用多種HiNet提供的服務，除基礎網路連線之外，還採用「HiNet入侵防護服務」，利用位於HiNet網路端的入侵防護服務，過濾所有匯流至企業入口網站的內容，將有害或攻擊封包屏除於管道之外，讓頻寬得到更有效的利用率。

對第一金證券而言，過去在沒有導入「HiNet入侵防護服務」之前，資訊部門時常以為因下單或查詢過多， 導致頻寬不足，但細究其內容，發現可用的內容僅只有70%；但是在導入「HiNet入侵防護服務」後，在網路端即阻擋過濾有害內容，頻寬可利用率幾乎達到100%。

「建構一條從網路端到企業入口端，乾淨又安全的管道一直是資訊部門的理想，」林忠誾認為，「現在導入『HiNet入侵防護服務』之後，不但安全性提昇許多，也讓頻寬可用率大幅提昇，讓我們享受到更多的額外效益。」
由於有了這項經驗，第一金證券對於HiNet所提供的資安服務更有信心，加上安全評估部分是每年都須進行的項目，因此去年開始便轉由HiNet協助進行整體安全評估專案，讓第一金證券可以確保資訊系統的健全性、安全性與完整性。

俗話說：「術業有專攻」，金融業除了自己的專業領域及知識外，其他資訊基礎建設部分應該是交由專業廠商處理。如果第一金證券自行建構同等級的資訊安全防護，除讓資本支出過於龐大，維運費用也相當可觀，因此交由專業資安廠商負責，可以降低設備與人力等相關成本，更可提高服務品質。

到府服務佳 訓練更確實

「HiNet安全評估」方案提供內部與外部兩種執行方式，這是因為某些重點設備並非外部網路能夠直接存取，必須要委由資安專家由內部測試，才能找出系統可能的問題所在。而除了專案服務執行地點的差異外，HiNet同時也提供到府簡報與教育訓練等專業諮詢服務，讓企業在了解內部資訊架構狀態，亦能夠了解最新的資安威脅與相對應的解決方案。

「我們之所以要採用『HiNet安全評估』，就是因為目前資安架構的複雜性與專業度越來越高，」林忠誾表示，「由HiNet SOC監控中心資安專家提供服務，可以降低內部人員的工作負擔；並藉由到府簡報與教育訓練，則能夠加強對現今資安威脅與資安知識的強度。」

第一金證券確保安全 讓服務更完整

第一金證券對於資訊安全的要求相當嚴謹，因此將電子交易平台與內部員工上網電路分開，而其安全需求也不盡相同。電子交易要優先做到防竄改與防竊取，而員工上網則是導入行為管理與網站安全管理；資料庫部分則是導入DLP，以及用戶端的控制。行為控管方面是為了確保軟體的一致性、行為的可靠性並預防不當行為而引入病毒、蠕蟲或木馬等惡意程式，並確保機密檔案安全性。

安全評估方面則是與HiNet合作，針對電子交易與資訊平台，進行滲透測試。上次的專案執行過程中，HiNet派來4名資安專家，共花費1.5個月時間，針對各個系統、漏洞與相關軟體人員及程式開發者進行遠端及到府測試，並提供相關技術諮詢。

「之所以選擇HiNet，是因為服務品質好、人力充足，且時間上能夠配合第一金證券，」林忠誾表示，「畢竟證券業有其維運時間的特殊性，需要廠商能夠彈性配合，才能有效執行專案。」

第一金證券長久以來便是採用HiNet的上網服務，在基礎建設部分給予HiNet相當高的評價。因此許多與網路安全相關的專案，包含安全評估、入侵防護方案，乃至於ISO 27001認證也是由HiNet協助輔導導入，因此所有的資安部分都與HiNet相當程度的結合。為了提昇公司整體資訊安全能力，除了配合第一金控集團統一執行弱點掃描，第一金證券另外規劃執行「HiNet 安全評估」專案，可以強化安全防護並縮短弱點補強的時間。

就整體資安規劃來說，透過HiNet的服務能夠大幅降低企業內部員工的負擔，舉例來說，透過「HiNet入侵防護」報表對於log分析與判斷，可以降低許多人力與時間，可以讓現有資源發揮更好；另外就是跟隨現行攻擊、駭客行為與工具的演變，可以讓相關安全防護也跟上腳步。

「資安已經是現在企業亟需關注的項目，」林忠誾認為，「但受限於企業規模與人才培養等問題，與其內部自行作業不如將非企業專業領域的工作，委由其他專業廠商執行，如此更能收到事半功倍之效。」