博弈38kky.com

工商時報【廖世偉臺大資訊工程系副教授】純網銀即將開張，未來消費者不需要走進分行填表單，利用手機螢幕即可完成所有手續，真正全年無休的讓人隨時隨地可以進行金融活動，讓金融科技監理與資安技術比起以往更顯其重要性，如何找出事半功倍的方法，值得業者與相關單位多加謹慎規劃。本文先談監理科技，來日再說自動科技監理。沒有監理科技，合規金融科技也無法健全發展，監理目標是達成純網銀資安及生態中立性。但監理往往是事後監理，對消費者傷害已經造成，事前自律及自動科技監理才是事半功倍的方法。不同於傳統銀行的用戶有實體分行可去，純網銀用戶主要是從手機來認識這個新銀行，24小時都可從手機或桌機操作，用戶體驗依賴好用、感動人心、激勵人心的App。因此，純網銀後台系統必須符合現有資安規範，如ISO27001（資訊安全管理系統認證），但強度是24小時線上等級。銀行前台變化尤大，不只是量變，而是質變：用戶不再是到分行在表單上簽名蓋章，而是數位簽章，體驗與資安態樣完全不同。純網銀第一要務「獲客」在應用五花八門的AI及區塊鏈金融科技之前，純網銀第一要「獲客」，在短時間內，客戶數目要達到各家宣示的百萬級，又不想用戶碰到如日本7pay近日之用戶盜用問題，純網銀的挑戰不小。純網銀的起手式是身分認證，如何成功獲客則是馬上面對的痛點。法規「銀行受理客戶以網路方式開立數位存款帳戶作業範本」的第三條定義了銀行如何受理開立數位帳戶。但我國自然人憑證普及率不高，手機開戶者往往隨身沒有自然人憑證，內政部規劃的晶片身分證將於2020年10月開始導入，到時用戶可以手機NFC（近距離無線通訊）讀取身分證晶片裡的憑證，並可數位簽章，這對純網銀緩不濟急。難道要各家網銀去開模，打造一個手機USB dongle（轉接器）以在過渡期間時，用戶可插入自然人憑證接上手機？我們只能說，克難式讀卡機之手機版，並不是最好解法。根據法規「金融機構辦理電子銀行業務安全控管作業基準」及其作業範本，金融作業的中心思想是實名制，跟網際網路不同，而欲符合安控基準高風險場景，關乎資安之私鑰管理更是重中之重，不能放在App或網頁瀏覽器，必須有「第三方認證」確保金鑰儲存安全。日本金融廳（FSA）今年對Sub-SIM的實驗結果報告指出，FSA認證除對中間人攻擊、瀏覽器惡意程式攻擊防護度高外，在身分認證上也沒有問題。相對OTP（One-Time Password，一次性密碼）之低安全性，FSA認證之FPoS（FinTech Platform over Sub-SIM，薄膜卡金融科技平台）值得台灣借鏡。在台灣過渡到晶片身分證期間，FPoS也能讓各網銀發卡，此卡即含薄膜卡，用戶不需換SIM卡或換手機，純網銀就能獲客，以達成電信及手機中立。科技金融的開放金融時代到來筆者觀察四周年輕人往往是使用科技金融的服務，而不是坐等金融科技的產品。從國外coinlend.org的存放款服務利率來觀察，很多學生使用這所謂「開放金融」，不傾向接近網銀來滿足他們的金融需求。DeFi（Decentralized Finance，去中心化金融）用戶與純網銀的客群重疊。個人期許，任何純網銀不應走到國外網銀的老路：「高利吸存款、低利放款以及亂投資搶回報。」DeFi雖號稱Decentralized（去中心化），但往往比CeFi（Centralized Finance）還中心化（Centralized）。最後領錢常不在智能合約上，手動式風險大。政府對此的態度為何？筆者相信DeFi在洗錢防制、反資恐的國際趨勢中，還是需要適度監理才走得久遠。金融科技監理與資安有眾多挑戰。本文末提出兩項待解答的疑慮：第一，政府對金融科技監理是否像美國一樣開放積極；第二，我們如何面對DeFi中存借放款的金融服務？不必等待政府的時程表，事前自律及自動科技監理將事半功倍，也不牴觸政府監理。適度監理才能更健康長遠，而自律及自動科技監理則可作為日後監理的參考。