屬性式存取控制

屬性式存取控制（ABAC）是一種存取控制模型，它透過評估一組包含使用者屬性（如職位、安全許可）、資源屬性（如資料分類、創建部門）及環境屬性（如時間、地點、設備狀態）的政策，來決定是否授予存取權限。美國國家標準暨技術研究院（NIST）在特別出版物 SP 800-162 中提供了完整的 ABAC 指南。相較於傳統的角色式存取控制（RBAC）僅依賴靜態的角色分配，ABAC 提供更具彈性與情境感知能力的動態授權。在風險管理體系中，ABAC 是實現「最小權限原則」與「資料最小化」的關鍵技術控制措施，能有效支援歐盟《一般資料保護規則》（GDPR）及台灣《個人資料保護法》對於存取目的限制的要求，確保資料僅在合法、特定的條件下被存取。

在企業風險管理中導入 ABAC 的步驟如下：第一步，「屬性識別與來源整合」，全面盤點與存取決策相關的使用者、資源和環境屬性，並建立一個集中的屬性服務（Attribute Service）來整合來自人資、IT資產管理等多個系統的資料。第二步，「政策語言標準化與制定」，採用如 XACML（可擴展的存取控制標記語言）等標準化語言，將企業的存取控制規則（例如：財務部門的經理只能在上班時間從公司內部網路存取過去三年的財務報表）轉化為機器可讀的政策。第三步，「部署決策與執行點」，建置「政策決策點」（PDP）負責評估政策，以及「政策執行點」（PEP）負責攔截存取請求並強制執行決策。一家跨國金融機構導入 ABAC 後，將高風險交易系統的存取錯誤率降低了85%，並將法規遵循的審計準備時間從數週縮短至數天，顯著提升了營運效率與安全性。

台灣企業導入 ABAC 主要面臨三大挑戰：一、「屬性資料品質與孤島問題」，企業內部使用者與資源屬性資料常散落於不同部門的舊有系統，資料不一致且難以即時取得。二、「政策邏輯複雜化」，當業務規則繁多時，政策的撰寫、測試與維護變得極其複雜，容易產生邏輯漏洞。三、「技術人才與既有系統整合」，缺乏熟悉 ABAC 架構與政策語言的專業人才，且既有應用系統多為角色導向，改造整合的技術門檻高。克服策略建議如下：針對挑戰一，應優先啟動「屬性資料治理專案」，建立統一的屬性資料來源與同步機制，可從單一關鍵應用系統開始試點（預計時程3個月）。針對挑戰二，導入「政策即代碼」（Policy-as-Code）實踐，利用版本控制系統管理政策，並建立自動化測試流程。針對挑戰三，應優先為新開發的雲端原生應用導入 ABAC，對於舊系統則可採用 API 閘道器作為代理執行點（Proxy PEP），逐步遷移，並與外部專家合作進行人才培訓。