前言

集保結算所的核心任務為維持我國股票、期貨及債票券系統的安全與穩定。身為金融領域基礎設施的提供者，本公司肩負資本市場營運的關鍵使命；因此，持續強化對各類人為與自然災害之防護能力，並將服務中斷的可能性降至最低，為本公司長期深耕之關鍵目標。

在企業眾多安全威脅中，「內部威脅」因隱匿於體系內部，成為整體防禦中最脆弱且最難偵測的一環。由於企業多採封閉式系統，外部攻擊難度較高，而內部威脅如同「從內部瓦解的堅固堡壘」，破壞力極大。為此，我們必須深刻識別內部威脅來源，透過建立全員防衛意識、健全防護組織與規範程序，以防患於未然。

內部人員威脅樣貌

在建立有效防護前，我們必須先了解「內部人為威脅」的多元面貌，其具體樣態涵蓋了：暴力行為、間諜活動、實體破壞、財物盜竊，以及透過網路發動的攻擊破壞等。 內部人員可能採取暴力手段危害組織或職場同仁；在間諜活動方面，則包含受他國政府指使或以經濟利益為目的的滲透。同時，實體與虛擬的基礎設施均可能遭受蓄意破壞。在竊盜行為中，又以內部人員竊取數據資料最為頻繁。最後，透過網路發動的破壞行動，已成為近年來最重大的安全威脅。內部人員威脅除樣態區分外，亦可分為「蓄意」與「非蓄意」行為。蓄意行為可透過法規規章與控管程序加以防範；然而，人員在無意疏忽或意外狀況下造成威脅的非蓄意行為，因其隨機性而更難防護，是目前防衛的重中之重。

內部人員威脅防護建構

綜上所述，針對內部人為威脅，應從安全意識、制度程序、權限管理與防衛技術四大面向建構防禦體系，說明如下：

一、安全意識：著重人員安全意識的教育與養成（如防範社交工 程攻擊、避免資訊外洩等）。以某資訊公司於114年12月26日發生的專案個資外洩事件為例，該案係內部人員為求業務執行便利，不慎揭露敏感資訊，即是典型「非蓄意行為」導致的重大錯誤。

二、制度程序：應盡可能完善操作程序並落實檢核機制。即便平時遵守規定的員工，在意外狀況下（如操作疲勞或緊急疏忽）仍可能造成組織風險，常見案例包括輸入錯誤指令、將機敏文件誤寄予錯誤對象等。

三、權限管理：針對擁有存取權（Accessibility）、權限（Authority）及核心知識（Knowledge）的特定人員，應制定嚴格的控管程序。建議導入雙重或三重覆核機制（Two-man rule），以防堵內部人員（含維修廠商）之蓄意破壞或無心之過。

四、防衛技術：導入行為監控技術，利用 AI 與機器學習偵測異常的系統存取行為（如非常規時間登入、異常資料下載模式等），旨在提早識別並消弭潛在的內部威脅。

結論

內部人為威脅因具備特權存取身分並熟悉系統漏洞，其破壞行為極具隱蔽性，常被誤認為正常業務操作，導致惡意活動難以即時察覺。無論是蓄意破壞或因資安意識不足導致的疏忽，內部人為威脅對企業的風險已不亞於外部攻擊。 因此，強化防護措施已是刻不容緩的課題，唯有從人員管理、制度建立、落實執行及技術防禦等面向全面精進，方能確保設施安全。