關於最近韓國企業駭客事件的感想

繼最近韓國電信（KT）與樂天信用卡（Lotte Card）伺服器遭駭客入侵後，加上之前發生的SK電訊（SKT）與SBI儲蓄銀行等案例，大型企業的資訊外洩事故可說是層出不窮。這些事件令人毛骨悚然的地方在於，它們可能不單純只是短暫的駭客攻擊，而是經過長年縝密策劃的結果。到底出了什麼問題，才會讓這種事不斷重演？

我在幾家公司待過後，發現一個共通的問題，那就是「沒有一家公司能好好應對資安問題」。這裡說的公司，指的不單是經營團隊或特定部門，而是包含董事會、全體員工，甚至外包人員和清潔人員在內的「公司整體」。把密碼寫在便利貼上、用通訊軟體分享密碼、使用公共Wi-Fi等，這些在公司裡最基本的資安守則，在現實中往往只因為一句「我都忙死了，哪有時間管那個」，就輕易被打破。我認為現在的韓國社會，甚至可以說2025年的所有國家，都極度缺乏對IT資安的基本概念。

雖然政府說要引導IT資安相關的投資，但這只是沒有抓到問題核心的片面想法。目前資安人員領著最低的薪水，在公司裡講話也沒什麼份量。比起負責賺錢的業務或開發人員，負責「守護」金錢的資安人員，其價值並沒有得到應有的認可。假設有員工把密碼寫在自己的筆記本上，或是拍下來存檔。如果在重視資安的金融業，這絕對是足以被開除的嚴重問題，但實際上很難想像會有人因此受到懲處。跟發生性騷擾事件就會被懲處的情況相比，就能清楚看出我們社會對資安問題的標準有多低。

我認為要解決這個問題，無論是短期還是長期，唯一的方法就是實施強烈的懲罰性賠償。如果這些事件發生在美國，SKT恐怕得面臨數兆韓元的罰款與賠償。KT和樂天信用卡的事件甚至可能導致盜刷，這是法院應該考慮勒令停業的重大問題。不只是大企業，就連中小企業或小攤商，只要發生資訊外洩事故，就必須嚴格追究責任。只有這樣，我們的社會才會真正意識到IT資安的重要性，並給予資安人員應有的評價。現在大家都只投資能賺錢的人力，但未來也必須體認到守護金錢的人力有多重要。

有些人可能以為只有金融業出問題，但真的是這樣嗎？在AI時代，大家真的有努力在守護那些重要數據嗎？我甚至懷疑，銀行、證券公司、加密貨幣交易所，甚至是政府的基礎設施，說不定早就被看光光了。我們最該參考的優良範例，就是大型製造業的資安文化。他們嚴格防範內部員工外洩公司技術。只要被抓到把設計圖帶出去，不管是常務還是專務，一律移送法辦。或許有人會說，那是因為製造業的伺服器與外部斷開才能做到，但說到底，是因為他們知道一旦外洩「衝擊」會有多大，所以才會採取強硬手段。同樣地，如果我們的社會能真正體會到個人資訊外洩的衝擊與影響力，並強化懲罰性賠償責任，IT資安就不會再被拋在腦後了。