金融銀行的資安故事: 資安意識不足
2022 年 9 月，永豐商業銀行因勸誘客戶以融資方式購買理財商品、搭售房貸壽險、及保險代理業務的不當銷售行為，遭金管會重罰 1,800 萬元，並對高層主管做出停職處分。這起事件不只是法規違規，更突顯了銀行內部控管與資訊安全意識的嚴重缺失。
金融機構在推動業績成長的同時，若忽略內部控制與員工教育訓練，將可能陷入高風險的資訊安全與合規危機。ISO 27002:2022 6.3「資訊安全認知及教育訓練」 提供了一套有效的方法論，幫助企業建立合規機制，降低法規與資安風險。本文將探討此事件暴露出的核心問題，並提供創新解方。
一、永豐銀行事件暴露的資安管理缺陷
這次違規事件中，永豐銀行的主要問題包含：
- 內控機制鬆散，未有效監督員工行為 銀行內部已明文禁止勸誘客戶貸款投資，但業務員仍透過話術推銷，顯示內部監管流於形式。 房貸壽險業務存在「搭售」行為，這代表銀行並未建立有效的客戶適合度評估與監督機制。
- 資安意識不足，導致不當操作 部分理財專員「保管客戶簽署的空白表單」，甚至「自製對帳單」提供給客戶，這是明顯的資訊安全風險。 電訪流程未落實，許多違規案件直到被檢舉後才曝光，代表內部風險管控機制失效。
- 組織文化導致不當銷售行為 這次事件的關鍵不只是個別員工的違規，而是銀行的績效獎酬機制設計有問題，導致理財專員為了業績，不惜違反合規要求。
這些問題的本質，在於銀行沒有將資訊安全與內控意識真正落實在員工行為中，導致整體風險暴露。
二、為何傳統的內控與教育訓練無法解決問題？
許多金融機構每年都會舉辦內控與資訊安全教育訓練，但效果往往不佳，主要原因如下：
- 培訓方式過於被動，員工難以內化資訊安全概念 傳統資安訓練多以 PPT、線上課程為主，員工只是「看完就結束」，並沒有真正改變行為。
- 內容過於制式化，未針對不同角色提供專屬訓練 IT 部門、理財專員、電訪人員的資安風險不同，但許多企業卻使用相同教材，導致訓練效果有限。
- 缺乏即時監控與強化機制 訓練完成後沒有後續考核或行為監控，導致員工學過後容易遺忘，無法落實在實際業務操作中。
這些問題說明，企業若要真正落實資安意識，不能只靠一次性的訓練，而需要更具策略性的管理與行為強化機制。
三、ISO 27002:2022 的創新解決方案
ISO 27002:2022 6.3「資訊安全認知及教育訓練」 提供了一套有效框架，幫助企業建立資訊安全文化，避免類似永豐銀行的風險。
1. 透過行為科學設計資安訓練，讓員工真正改變
企業應導入 行為設計（Behavioral Design），讓資安教育變成一種習慣，而非一次性課程。具體方法包括：
- 微學習（Microlearning）：將資安知識拆解為 3-5 分鐘的短影片或測驗，透過 App 或內部系統定期推播，確保員工持續學習。
- 情境模擬（Scenario-based training）：透過模擬違規情境（如勸誘客戶貸款、偽造文件），讓理財專員與電訪人員學習如何應對合規風險。
2. 建立「資訊安全大使」制度，提高資安落實度
企業可在不同部門設置資安大使（Security Ambassadors），負責：
- 定期檢查員工對資訊安全的落實情況。
- 組織內部分享會，交流資安與合規案例。
- 協助風險監測，發現內部不當行為。
透過這種「由內而外」的推動方式，資安文化才有可能真正落實。
3. 利用 AI 技術動態監測，及時矯正資安行為
- 即時警示系統：當系統偵測到業務員使用敏感客戶資訊時，自動發送警告通知，提醒可能的資安風險。
- 行為追蹤分析：AI 透過數據分析，找出高風險行為模式，例如： 某些業務員經常透過不當話術推銷產品。 內部文件存取異常，可能存在未經授權的個資查閱行為。
這些技術能有效防止違規行為，讓企業能夠在風險發生前先行控制。
四、銀行如何建立符合 ISO 27002:2022 的資安管理策略？
針對銀行業，企業應從以下三個層面來建立完整的資安教育與內控機制：
- 政策層面 訂定明確的「業務員資安行為準則」，要求所有業務行為符合 ISO 27002:2022 標準。 強制執行定期資安考核，未達標準者需補修課程，確保合規性。
- 技術層面 導入 AI 監控系統，識別高風險交易與行為模式。 建立電子稽核機制，確保所有內部審查有據可查。
- 人員管理層面 設立「資安績效指標」，將資安合規納入業務員的獎酬考核。 建立「資安獎勵制度」，鼓勵員工主動檢舉或回報可疑行為，提高整體資安意識。
永豐銀行的違規事件提醒我們，資訊安全與內控管理並非單純的 IT 問題，而是關乎組織文化與行為管理的核心議題。ISO 27002:2022 6.3「資訊安全認知及教育訓練」 提供了具體的管理指引，幫助企業建立更完善的資安教育機制。
透過行為設計、資安大使制度、AI 監控等創新方法，企業不僅能降低資訊安全風險，還能提升內控管理效率，確保業務發展與合規要求並行。資訊安全不是一個單獨的課題，而是一個企業文化的養成，唯有從根本改變，才能真正降低風險，確保企業的長期穩健經營。
參考文獻來源:
https://www.fsc.gov.tw/ch/home.jsp?id=131&parentpath=0,2&mcustomize=multimessages_view.jsp&dataserno=202209060002&dtable=Penalty
