2026-09-08 資訊安全新聞重點報告

1. 政府提出 AI 資安三階段策略
- 結論：政府規劃以三階段推進 AI 資安防護，並把政府採購與供應商管理納入中期重點，顯示 AI 應用治理將從技術防護擴及採購、供應鏈及持續管理機制。
- 關鍵事實：
- 策略以三個階段安排 AI 資安工作，但新聞標題未揭露各階段的實施時程、執行單位與具體管制要求。
- 政府採購及供應商管理被列入中期防護範圍，代表外部產品、服務與合作廠商將成為治理重點。
- 後續：各階段的制度內容、採購審查標準及供應商資安責任分工，仍待相關政策細節公布。

2. 親俄駭客將台灣基礎設施與製造業列為威脅焦點
- 結論：TrendAI 示警親俄駭客正關注台灣，國家級基礎設施與製造業可能成為暗網攻擊目標；企業防護重點已不只資訊系統，也包括營運技術與關鍵服務韌性。
- 關鍵事實：
- 報導指出國家級基礎設施出現在暗網威脅視野中，顯示關鍵服務系統須持續檢視外部攻擊暴露面。
- 製造業被點名面臨空前威脅，反映工業環境、供應鏈連線與生產持續性可能是攻擊者關注方向。
- 後續：親俄組織是否已發動具體攻擊、涉及哪些產業或系統，新聞標題資訊尚未明朗。

3. 親俄駭客地下犯罪經濟持續威脅台灣與全球
- 結論：另一報導指出親俄駭客組織已將台灣視為攻擊目標，且地下犯罪經濟仍持續運作；威脅並非單一事件，而是具備組織化、跨境化特徵的長期風險。
- 關鍵事實：
- 報導明確將台灣列為親俄駭客組織的攻擊目標，與關鍵基礎設施及製造業受威脅的警訊相互呼應。
- 地下犯罪經濟持續威脅全球，代表駭客攻擊可能結合工具、資訊、服務與資金等犯罪鏈條運作。
- 後續：相關組織的具體攻擊手法、受害範圍與政府或企業因應措施，仍待後續資安通報確認。

4. AI Agent 資安治理須延伸至全生命週期
- 結論：精誠資訊認為，AI Agent 的風險已從生成錯誤內容升高為可能執行錯誤行動；企業應將資安控管納入設計、部署、操作與退役的全生命週期治理。
- 關鍵事實：
- 報導以「從說錯話走向做錯事」概括 AI Agent 風險，指出具備工具調用或任務執行能力後，後果可能更直接。
- 治理範圍被定位為全生命週期，意味企業不能只在模型上線前測試，也須管理後續權限與使用行為。
- 後續：企業如何制定 Agent 授權邊界、人工覆核與異常停用流程，將是實際導入時的待觀察重點。

5. Apollo 外洩案凸顯社交工程仍是企業防線缺口
- 結論：Apollo 外洩案顯示，企業即使部署大量資安設備，仍可能因一通電話或人員應對失誤而失守；人為漏洞與社交工程防護仍是資安治理難點。
- 關鍵事實：
- 報導以「一通電話」點出事件核心，顯示攻擊者可能利用人際互動與信任關係，而非僅以技術手段突破防線。
- 事件凸顯資安設備不足以單獨消除風險，員工身分查驗、通報程序與權限控管同樣是防禦環節。
- 後續：Apollo 外洩的實際原因、資料影響範圍及後續補救措施，依現有標題資訊尚未明朗。

6. 虛擬資產安全聯盟成立，四業者共同布局數位金融
- 結論：四家業者成立虛擬資產安全聯盟，以安全議題切入數位金融商機；此舉反映虛擬資產服務競爭正逐漸由交易功能延伸至資安、信任與合作生態系。
- 關鍵事實：
- 聯盟由四家業者組成，主軸鎖定虛擬資產安全，但新聞標題未提供成員名稱及各方具體分工。
- 成立目的與數位金融商機相連，顯示業者試圖透過共同合作建立更具安全訴求的服務或市場定位。
- 後續：聯盟是否提出共同標準、技術服務、資安驗證或與金融機構合作方案，仍待正式計畫揭露。

7. 香港 CIO／CDO 體制缺位引發數位治理討論
- 結論：香港數位治理架構因 CIO／CDO 職能定位受到討論，報導質疑由廉政體系訂定系統標準的適切性；北部都會區建設被視為重整治理機制的契機。
- 關鍵事實：
- 報導聚焦廉政相關機構是否「越俎代庖」制定系統標準，反映資訊治理權責與專業分工存在爭議。
- CIO 與 CDO 體制被指存在缺位問題，討論核心在於政府資訊、資料及數位轉型的統籌責任應如何配置。
- 後續：香港是否調整主管架構、重訂技術標準制定程序，及北都項目如何納入相關治理安排，仍待觀察。

8. 東擎科技取得 IEC 62443-4-2 SL3 工控資安證書
- 結論：東擎科技通過 DEKRA 德凱獨立評估並取得 IEC 62443-4-2 SL3 證書，代表其工控網路安全產品獲得較高安全等級驗證，有利於切入重視 OT 防護的市場。
- 關鍵事實：
- 驗證由 DEKRA 德凱執行，認證標準為 IEC 62443-4-2，屬工業自動化與控制系統資安相關規範。
- 取得的安全等級為 SL3，新聞標題顯示評估對象與工控網路安全能力有關，但未列出產品型號與測試範圍。
- 後續：該證書將如何轉化為客戶導入、產業合作或海外市場成果，仍待公司後續揭露。