PwC：AI成企業資安首要議題 逾八成將增加資安預算

(中央社財經訊息服務20261102 11:06:03)PwC發布《2027全球數位信任洞察報告》，針對71個國家與地區、3,934位企業高階主管與資訊部門主管進行量化調查。調查結果指出，AI已成為企業安全的首要議題，受訪資安主管認為，在各類網路威脅中，企業對於「針對AI系統發動的攻擊」最缺乏應對準備。84%受訪者預期資安相關預算將增加，且AI為優先投資項目。

主要發現 ● 在各項網路威脅中，資安主管認為企業準備最不足的威脅是「針對AI系統發動的攻擊」（50%）；其次是雲端相關威脅（40%）、第三方資料外洩（34%）及勒索軟體（33%）。 ● 企業最缺乏應對準備的AI攻擊手法包括：遭自主殭屍網路入侵（53%）、對抗式攻擊（52%）及資料中毒（52%）。 ● 在資安長最為關注的議題中，量子運算帶來的風險被列在第四位。然而，目前僅21%組織已推動量子安全措施，近半數（49%）尚未開始量子相關安全準備。

AI已成為企業安全首要議題 隨著AI能力不斷提升，安全準備不足的問題也變得更加迫切。目前，前沿AI模型已能找出過去未知的軟體漏洞，並在極少人力介入的情況下，透過複雜的途徑攻擊這些弱點。地緣政治亦正在改變網路風險態勢。半數（50%）受訪者正在調整供應商、第三方及供應鏈風險管理；另有49%受訪者著手調整網路保險、事件回應與危機管理，以強化面對地緣政治威脅的防禦能力。

資誠智能風險管理諮詢公司董事長張晉瑞表示，在複雜的風險與威脅環境下，AI安全已成為最迫切的議題，企業應同時關注部署速度與安全性。在遭遇攻擊的情況下，維持業務運作，是網路安全的最終目標。AI帶來新的安全風險，同時也為資安防護者創造數十年來最大的機會。企業應思考如何在導入AI的同時，建立信任與控制能力。

量子運算安全亦不容忽視 除了AI帶來的資安風險，下個網路安全挑戰已逐漸浮現。「量子運算帶來的風險」在企業認為最缺乏應對準備的威脅中排名第七。但在資安長最為關注的議題中，量子運算帶來的風險被列在第四位。這顯示最接近網路風險的管理者，已深刻感受到應對量子運算威脅的重要性。

量子運算相關的安全準備需要耗費數年，而不僅是幾個月，因此企業應從現在開始著手準備，以便在量子末日（Q-Day，指量子電腦能力成熟到可以輕易破解目前全球主流加密技術的那一天）到來前做足準備。然而，調查顯示目前僅21%的企業已推動量子安全措施，近半數（49%）尚未開始量子相關安全準備。

提升安全韌性 強化資料保護 企業在網路安全方面的投資已持平數年，但根據最新調查， 84%資安與財務主管表示，正在增加網路安全預算以因應不斷演變的威脅，比去年高出6個百分點，且高達58%安全主管將AI列為主要投資項目。

在影響網路安全支出的因素排序上，約半數（51%）受訪者將「資料保護與信任」列為首要考量；其次依序為「防範利用AI進行攻擊（46%）」，以及「保護AI與自主代理（45%）」。這項關注十分重要，AI是否可信賴取決於基礎資料品質。

企業的關鍵資料風險管理措施主要有七大項目，包括資料分類政策、在主要資料外傳管道實施外洩防護、大規模資料加密或匿名化、在資料生命週期各階段實施資料控管、資料品質管理能力、探索並編製結構化與非結構化資料、資料最小化措施。儘管前沿AI相關漏洞日益增加，在七項針對組織的關鍵資料風險管理措施中，企業平均僅落實三項。僅5%企業全面落實這七項措施，此比例低於去年的7%。反映資料管理缺口不但持續存在，還進一步擴大。

資料保護工作的基礎也仍需強化。僅不到半數企業（49%）全面落實資料分類政策，以及在主要資料外傳管道實施外洩防護（48%），且其他措施全面落實的比例更低。隨著AI、雲端及互聯生態系統應用持續擴大，相關基礎能力將更加重要。企業無法在不安全的資料基礎上確保網路韌性。

AI可強化資安防禦 人員監督仍是關鍵 面對網路攻擊，AI也許是最好的防禦工具之一。隨著AI成為網路安全投資的優先事項，資安主管選擇在最講求速度與規模的項目上部署AI。半數受訪者（50%）將威脅偵測與警示列為優先項目，其次依序為詐騙偵測（43%）以及網路釣魚偵測與應變（42%）。當網路攻擊的速度逐漸超出人類應對能力，AI也成為資安團隊不可或缺的利器。

企業雖開始運用AI代理進行網路防禦，但多半扮演協助的角色，僅22%願意授權AI在未經人工審核的情況下自主執行完整的防禦措施；38%受訪者可接受AI代理在特定範圍內自主行動；另有36%受訪者傾向由人員主導各項防禦行動，AI則提供協助。

例行工作是較為合適的起步點。調查發現，組織傾向授權自主代理執行定義明確、重複性高的工作，例如威脅情資豐富化與關聯性分析（49%）、隔離或刪除網路釣魚信件（47%），以及移除惡意軟體並修復系統（46%）。

超過半數（55%）受訪者將AI技術的可靠性和成熟度，列為在安全營運環節中提高AI自主程度的三大阻礙因素之一；另有46%受訪者指出，AI決策的責任歸屬與可解釋性也是主要阻礙。

阻礙並不只來自於技術本身，44%資安長指出，員工在AI監督與治理方面的技能，亦是組織提高AI代理自主程度的阻礙因素。與全體受訪者相比，資安長似乎更能意識到，成功部署AI，需要合適的人員負責監督。

資安託管服務成不可或缺的一環 網路安全人才與技能缺口仍是企業面臨的一大挑戰。為有效留才，企業將提供成長機會（59%）、強化網路安全文化（53%），以及提供AI輔助工具與訓練（53%）列為優先事項。

隨著AI逐步融入安全營運，企業亦越來越重視如何幫助員工與AI協作。然而，能力落差並不僅限於AI領域，整體技能與資源不足，都是保護營運技術與產業系統時面臨到的挑戰。

面對這些能力缺口，調查反映出一個趨勢：資安託管服務已成為不可或缺的一環。AI安全與雲端安全，是企業自認應對準備最不足的領域，因此，這兩個領域也成為投資與尋求託管服務的重點項目。調查顯示，資安主管將AI（53%）、雲端安全（49%）、資料保護與信任（42%），以及威脅管理（39%），列為未來一年採用託管服務的優先事項。

六大面向強化網路安全 資誠智能風險管理諮詢公司董事長張晉瑞建議，企業應從治理、營運韌性、資料保護、生態系風險、價值創造及人機協作六大面向強化網路安全。首先，應將網路風險全面且持續納入組織決策流程，明確界定責任歸屬並強化治理，確保領導者掌握關鍵資訊，在做出業務決策時同步評估相關風險。

第二，在營運韌性方面，企業應以遭遇攻擊時仍能維持關鍵營運為目標，先釐清「最小可行營運水準」（minimum viable company），盤點維持運作所需的基本能力，並針對支援這些能力的技術與第三方，制定測試及復原計畫。

第三，在保護資料、AI與新興技術方面，資料保護是企業長期存在的缺口，隨著組織更大規模運用AI進行網路防禦，並考慮賦予AI代理更高的自主權，這項缺口也變得更為棘手。若要建立可信賴的AI，就必須先奠定資料基礎。

第四是管理生態系、第三方與技術集中風險。網路風險將隨著企業生態系統擴散，包括雲端服務供應商、技術平台、供應商及其他第三方，其服務中斷或流程中的漏洞都可能轉化為企業風險。因此，要建立企業韌性，就必須盤點外部資源，並釐清風險可能集中在哪些環節。

第五是運用可信賴的技術與資料創造企業價值。網路安全不僅能保護企業價值，更能幫助企業創造價值。因此，企業應從導入新技術、投資AI／雲端／資料之初，就將安全因素納入整體價值評估，讓企業更有信心的創新與成長。

最後是建立人機協作的營運模式。隨著AI代理自主程度提高，企業領袖應同步建立責任機制、培養員工能力，並設置適當的控管措施，讓員工能在明確的工作流程、安全的平台及可信賴資料的基礎下，與AI代理進行協作，以維持品質、韌性與信任。

PwC《2027全球數位信任洞察報告》，針對71個國家與地區、3,934位企業高階主管與資訊部門主管進行量化調查，調查期間為2026年5月至7月，其中36%受訪者來自年營收超過50億美元的企業。 更多內容，請至： https://www.pwc.com/us/en/services/consulting/cybersecurity-data-tech-risk/library/global-digital-trust-insights.html