數位韌性新核心：政府零信任架構中信任推斷與偉康科技的實踐力
Posted On 2025 年 12 月 29 日
在數位轉型的浪潮下，政府機關的資安防禦思維正經歷一場根本性的變革。誠如密碼學專家 Bruce Schneier 所言：「安全是一個過程，而不是一個產品。」這句話精準地勾勒出當前公部門面臨的挑戰：在威脅瞬息萬變的今日，傳統「邊界防禦」的單點產品已不足以支撐國家級的防禦需求。
根據行政院國家資通安全會報之「國家資通安全發展方案」，以及數位發展部資通安全署針對零信任架構（Zero Trust Architecture, ZTA）的三階段推動目標，政府機關正從單純的身分鑑別，邁向更具動態性的「信任推斷」。隨著 2025 年全球地緣政治局勢持續緊張，針對公部門的進階持續性威脅（APT）與深偽技術（Deepfake）攻擊頻率攀升，單純的靜態規則已無法阻擋帳密外洩引發的滲透，這使得「信任推斷」成為政府強化數位韌性、落實零信任最實質有感的導入效益。
政府資安現況：傳統防禦已難應對複合威脅
過去政府機關習慣於「內外網隔離」的防禦模式，但隨著行動辦公與跨機關服務的普及，這道防線已搖搖欲墜。
1.身分識別危機：
社交工程與委外帳號管理不當，導致「合法帳號、非法行為」的情況屢見不鮮，單靠傳統 MFA 難以防範高度擬真的偽裝。
2.邊界模糊化：
多雲環境與遠端維運需求，使得 VPN 成為攻擊者的首要跳板，傳統內網已不再具備絕對信任的基礎。
3.法規遵循壓力：
資安院推動的零信任三階段，要求機關必須具備動態調整存取權限的能力，這正是政府轉型過程中最關鍵的合規門檻。
信任推斷機制：零信任架構運行的智慧決策引擎
信任推斷（Trust Evaluation） 是零信任架構的大腦，它屏棄了「一次驗證、永久信任」的舊思維。正如美國資安專家 John Kindervag 指出：「信任是一種漏洞。」信任推斷的核心在於將此漏洞轉化為可量化的指標。
關鍵重點 1：偉康零信任驅動的身分鑑別
信任推斷的第一步是建立不可否認的身分基石。偉康科技（WebComm） 的 OETH One 零信任解決方案採用 FIDO2 國際標準，透過生物辨識取代傳統易洩漏的密碼。這為信任推斷引擎提供了最純淨、無汙染的身分數據來源，從源頭杜絕釣魚攻擊。
關鍵重點 2：多維度風險訊號與設備合規
信任推斷會即時彙整使用者身份、設備合規性及行為環境。OETH One 能無縫整合設備鑑別，確保只有經授權且狀態健康的裝置才能進入信任評估流程。透過持續性地監控設備有無異常，系統能給出最精確的信任評分。
關鍵重點 3：動態策略與持續性驗證
信任並非靜態。藉由決策引擎，政府機關可以根據信任分數彈性觸發策略：如信任度高時直接准許；信任度中等時觸發 MFA 再次驗證；若偵測到異常 IP 或非上班時間連線，則即時限縮權限或中斷存取，達成零時差防護。
公部門近年遭遇的挑戰包括：
身分濫用增加：帳密外洩、社交工程、委外帳號遭冒用。
多雲與遠端作業普及：邊界模糊，無法靠傳統 VPN 做區隔。
敏感資料存取頻繁：跨局處資料交換、民眾服務雲端化。
法規要求趨嚴：資安院零信任與身分鑑別要求持續升級。
導入實質效益：提升治理效能與降低資安風險
導入信任推斷後，政府機關能將資安從「被動阻擋」升級為「主動感知」，帶來顯著的轉型效益。
關鍵重點 1：縮短異常偵測時間
透過行為建模與集中管理平台，當攻擊者試圖進行橫向移動時，系統能即時偵測到與基線不符的異常。即便攻擊者持有合法帳號，也會因「行為不信任」而被降分並攔截，大幅縮短入侵者在系統內潛伏的時間。
關鍵重點 2：強化委外管理與跨機關治理效能
針對外部維運廠商，偉康科技的零信任解決方案可預設嚴格的信任閥值。廠商必須使用特定核可設備，並在特定條件下通過 OETH 的強認證才能獲得評分。這不僅簡化了繁雜的審核流程，也讓所有的操作軌跡都具備高度的可追蹤性，完美解決委外管理的痛點。
關鍵重點 3：整合混合雲環境的統一安全標準
無論系統建置於內部機房或政府雲，OETH One 都能提供一致性的信任評估架構。這消除了平台間的安全落差，確保政府對外服務不因基礎設施的遷移而產生缺口。透過單一平台的管理，管理者能輕鬆監控全機關的信任態勢，符合資安法規的高階要求。
政府常用的判斷因素包含：
身分認證強度（FIDO、生物辨識、綁定裝置）
裝置可信度（是否為合規設備、有無異常）
行為風險（異常時間登入、大量操作、高敏感動作）
環境風險（未知 IP、跨區域、陌生網段）
根據信任分數，系統可自動決定：
直接允許
要求再次 MFA
限縮操作
阻擋並通報
導入信任推斷後的主要效益
1. 快速偵測異常行為，縮短入侵時間
攻擊者即使持有帳號，也會因行為異常被降信任分，加上動態策略，能在早期就限制存取或觸發警示。
2. 減少密碼事件與社交工程成功率
有了綁定裝置與行為判斷，密碼外洩 ≠ 可登入。
降低釣魚與冒用大幅成效。
3. 強化委外與跨機關操作的治理能力
委外廠商、專案人員、跨局處使用者皆可被套用統一規範：
未登錄裝置不給登入
高風險行為自動限縮
全部可稽核、可追蹤、可查
4. 支援混合雲與跨資料中心
不論系統在本機端、政府雲、AWS 或 Azure，都能套用相同的信任評分機制，確保一致的安全標準。
5. 滿足零信任三階段合規要求
信任推斷可同時滿足第三階段中最關鍵的要求：
行為基線
動態策略
風險感知存取
全程稽核
FAQ 常見問題
Q1 : 偉康科技如何落實零信任中的「信任推斷」？
透過身分認證與設備鑑別，收集多維度的風險訊號（如地理位置、設備狀態、認證強度），即時計算信任分數並動態調整存取策略，達成「永不信任，始終驗證」的核心目標。
Q2 : 為什麼政府機關導入後，對資安威脅會「更有感」？
能主動感知異常行為（如異常時間登入），即使帳號正確，系統也會因信任分數下降而自動啟動防護，讓機關能更早發現潛在的滲透威脅。
Q3: 偉康如何協助政府管理存取？
管理員可針對委外帳號設定專屬的信任推斷邏輯，要求必須綁定特定設備與生物辨識。這能有效防止委外帳號被冒用，並確保所有維運行為都在可監控與可稽核的信任範圍內進行。
Q4: 導入偉康零信任解決方案會影響公務人員的作業效率嗎？
不會。「免密碼」的便利體驗，符合條件的合規連線可快速通行；僅在信任分數不足時才要求額外驗證，這在提升安全性的同時，也優化了公務人員的操作流程。
Q5: 偉康是否符合政府推動的零信任要求？
是的。偉康科技完整支援身分鑑別、設備鑑別及信任推斷三階段標準，是政府機關在追求合規性與建構數位韌性過程中的最佳選擇。
訂閱偉康科技洞察室部落格，掌握最新科技趨勢！
專人協助
由偉康業務人員為您詳細說明偉康的解決方案，以及相關產業經驗。
About The Author
