金鑰 19 年未換，企業資安審計制度應如何改革？

企業金鑰長達 19 年未更換，暴露出資安審計制度在執行層面的嚴重脫節。根據最新統計，台灣企業每日面臨高達 263 萬次網路攻擊，且高達 97% 的企業曾遭遇身分相關的資安入侵，其中機器身分的安全控制不足是主因。數位發展部與金管會已針對個資管理缺失加強裁罰力道，並要求上市櫃公司將資安治理納入年度評鑑。這類長期未更新的憑證與金鑰，已成為駭客利用「身分權限」滲透企業核心系統的最脆弱環節，迫使監管機構從事後補救轉向事前預防的強制性審查。

這種「殭屍金鑰」的存在反映出企業內部審計長期偏重形式合規，而非動態風險管理。資安審計制度的改革核心應轉向「身分優先」的防禦架構，將自動化金鑰輪替與機器身分管理納入強制性稽核項目。隨著 AI 攻擊技術演進，傳統的人工抽查已無法應對龐大的身分資產，企業必須導入零信任架構並建立即時監控機制。這不僅是為了規避法規裁罰風險，更是為了在供應鏈韌性成為競爭力的時代，確保數位資產不因過時的憑證管理而崩潰，推動資安從成本中心轉型為企業經營的信任基礎。