Security

Security（資訊安全）是指透過技術、人員與流程的整合，確保資訊系統的機密性（Confidentiality）、完整性（Integrity）與可用性（Availability）三大目標。根據ISO/IEC 27001:2022標準，Security不只是技術防護，更包含風險評鑑、控制措施的設計與持續改善的完整管理體系。在AI應用場景中，Security的概念延伸至AI系統的韌性（Resilience），防止對AI模型的對抗性攻擊（Adversarial Attacks）。與Privacy（隱私）不同，Security是實現Privacy的技術前提——沒有Security，Privacy的保護機制將無法有效運作。台灣個資法第27條亦要求企業採取適當之安全維護措施，確保個人資料不被非法外洩，這正是Security在台灣法規框架下的具體要求。對於企業而言，Security是數位轉型的底層防線，任何AI應用若缺乏Security設計，將面臨模型偏誤、資料外洩及品牌聲譽受損的系統性風險。

實務導入通常分為三個階段：第一階段為「資產盤點與風險評鑑」，企業需識別AI模型、訓練資料集及個人資料的資產價值與威脅情境，參考NIST AI RTO框架進行評估。第二階段為「控制措施實施」，包含加密技術（如AES-256）、存取控制（RBAC）、AI模型安全測試（如對抗性測試）及員工資安意識培訓。第三階段為「監控與回應」，建立SOC（安全運營中心）即時監控異常存取行為，並制定資安事件應變計畫（Incident Response Plan）。以台灣某大型電信業者為例，導入ISO 27701認證後，其資安事件處理時間縮短40%，個資外洩風險事件減少60%，同時通過GDPR合規審查，有效降低潛在罰金風險。量化指標上，企業應追蹤「平均偵測時間（MTTD）」與「平均回應時間（MTMT）」，目標是將MTTD控制在2小時內，MTMT控制在4小時內，以降低資安事件的衝擊範圍。

台灣企業導入Security主要面臨三大挑戰：第一為「法規多重合規壓力」，同時需符合台灣個資法、ISO 27701及歐盟GDPR，導致合規成本倍增。建議採取「一次建置、多重合規」策略，以ISO 27701作為核心框架，彈性對應不同法規要求。第二為「AI資安人才稀缺」，傳統資安人才對AI安全（如模型投毒防護）缺乏專業，企業應透過跨域培訓與外部顧問合作，建立AI Security專責團隊。第三為「中小企業資源有限」，許多台灣中小企業僅關注傳統防火牆與防毒軟體，忽略AI應用場景下的新型攻擊。建議採取分階段導入策略：第一年聚焦基礎資安防護（ISO 27701），第二年導入AI安全治理框架（如NIST AI RTO），以可量化的階段性目標（如資安事件減少20%）驅動管理層持續投入。