誰能在數碼轉型與駭客攻防的雙重壓力下，依然穩健前行？答案屬於那些將資訊安全融入血液的企業。澳洲聯邦銀行（Commonwealth Bank of Australia）如何攜手 AWS 以 DevSecOps 引領安全文化革新？本文將以 AWS re:Invent 2024 的現場案例，揭示安全與創新的完美交集。
安全文化是數碼轉型的基石
「安全是客戶對我們最重要的期望。」AWS 資訊安全總監 Chris Betz 在 AWS re:Invent 2024 安全研討會開場時如此強調。在 AWS，安全不僅是技術與工具的集合，更是深植於組織 DNA 的文化。這種文化使安全成為主動的內部思維，而非被動的外部規範。
這種理念與澳洲聯邦銀行不謀而合。作為服務澳洲三分之一人口和四分之一企業的最大銀行，澳洲聯邦銀行對安全的重視程度可想而知。該銀行技術總監 Rodrigo Castillo 表示：「安全、韌性和可靠性是我們的最高優先事項。」
澳洲聯邦銀行選擇 AWS 作為安全轉型夥伴，正是看中 AWS 對安全文化的長期投入。AWS 不僅將安全報告直接呈交給 CEO，更將安全視為組織的最高優先事項。這種從上而下的安全文化，為澳洲聯邦銀行的數碼轉型提供了堅實的基礎。
AWS 安全支柱：從文化到技術的全方位保護
AWS 的安全理念不僅體現於文化層面，更落實於從晶片到雲端的全方位技術保護。在硬體層面， 處理器設計為最安全、最強大、最節能的處理器：
- 完全加密所有高速實體硬體介面，防禦硬體攻擊
- 記憶體中的資料在操作期間始終加密
- 指標認證使程式碼注入攻擊更難成功執行
而 則進一步強化了安全架構，完全消除了人工管理存取，所有操作均透過安全、經過認證和授權的最低權限管理應用程式介面（Application Programming Interface, API）執行。這種革命性的安全架構，為雲端運算提供了前所未有的安全保障。
除了硬體保護，AWS 還透過自動推理（Automated Reasoning）技術提供安全證明機制。這種基於數學和邏輯的形式化驗證方法，能夠在任何可能的情境下驗證系統行為，為雲端基礎設施和服務的正確性和安全性提供更高層次的保證。AWS 是第一個也是唯一在大規模使用自動推理的雲端供應商，將安全從經驗層面提升到數學證明層面。
什麼是 DevSecOps？
開發安全運維（Development Security Operations, DevSecOps）是一種整合安全實踐於開發運維（DevOps）流程中的方法論。傳統上，安全常被視為開發過程的最後一步，往往導致安全問題在項目後期才被發現，增加修復成本和延誤上線時間。DevSecOps 則將安全視為「從設計開始」的核心元素，將其整合到軟體開發生命週期（Software Development Life Cycle, SDLC）的每個階段。
在 DevSecOps 模型中，安全不再是專屬安全團隊的責任，而是整個開發團隊的共同責任。透過自動化安全測試、持續安全監控、威脅建模和安全即程式碼（Security as Code, SaC）等做法，DevSecOps 旨在同時兼顧開發速度、程式碼品質和安全防護，實現「快速且安全地交付」的目標。
澳洲聯邦銀行的 DevSecOps 轉型
澳洲聯邦銀行的 DevSecOps 轉型是一次文化層面的深度變革。該銀行不再將安全視為開發流程中的一個階段或一個部門的職責，而是整合到開發與營運的每個環節中。
「DevSecOps 轉型是我們採取的一種文化方式，為客戶打造明日銀行。」Rodrigo Castillo 解釋道。該銀行建立了一套技術戰略，以實現「共同建設更光明的未來」的願景。
最值得注意的是，澳洲聯邦銀行創建了 12 項能力模型，專注於團隊成熟度而非特定工具。例如，他們不會強制推行特定的安全工具，而是專注於「自動化安全」這一能力本身，讓團隊有彈性在複雜多樣的技術環境中找到適合自己的解決方案。
「有些團隊可能在測試方面已經很成熟，我們不希望他們只專注於此。如果他們在自動化安全或自動化控制保證方面需要更多幫助，他們可以選擇關注這些領域。」Castillo 說明了這種能力導向模型的彈性。
這種專注於團隊成熟度而非特定工具的方法，使澳洲聯邦銀行能夠實現從傳統安全模型到現代 DevSecOps 的平穩過渡。工程團隊現在對服務承擔端到端責任，包括安全層面，不再視安全為「別人的事」。
關鍵技術實踐：AWS 安全服務的整合應用
在技術層面，澳洲聯邦銀行充分利用了 AWS 的先進安全服務。其中， 的 是一項簡單但效果顯著的功能，只需一鍵操作即可大幅提升安全防護。
同時， 中的 使該銀行能夠在整個 AWS 組織中統一資源配置標準。這是 的新功能，允許統一定義所有虛擬私有雲（Virtual Private Cloud, VPC）的安全設定，避免依賴事後的檢測和反應性控制。
此外， 與 的零 ETL（Extract, Transform, Load）整合，使澳洲聯邦銀行能夠在不建立複雜 ETL 管道或複製資料的情況下，輕鬆搜尋安全數據。Amazon Security Lake 使用開放網路安全架構框架（Open Cybersecurity Schema Framework, OCSF）標準化資料，為安全分析提供便捷途徑。
這些技術實踐不僅提升了安全性，還大幅提高了效率。Castillo 提到：「我們實施了 AWS 每週營運審核，效果非常好。更多問題從根本上得到解決，我們解決事件的時間減少了一半。」
轉型成果：數據說話
澳洲聯邦銀行的 DevSecOps 轉型取得了顯著成果，數據足以說明一切：
- 效率提升 ：僅一年內，生產部署的變更數量翻倍，同時影響客戶的事故數量大幅減少
- 安全審查 ：網路安全審查速度提高四倍，控制措施高度自動化
- 控制保證 ：從每年評估約 2,500 項控制屬性增加到每月超過 12,000 項，提升近 60 倍
- 文化轉變 ：訓練了 800 多名安全領袖，推動工程團隊對安全的文化轉型
- 員工滿意度 ：工程師淨推薦值（Net Promoter Score, NPS）在過去四季翻倍
最值得注意的是員工滿意度的提升。「工程師們感到更快樂，」Castillo 強調，「他們感覺可以做出更多貢獻，而不會創造安全漏洞或技術債務，他們感到自己更有價值。」
這種文化轉變不僅提高了交付速度和質量，還大大改善了銀行的創新文化。「它為我們的工程團隊創造了大量空間，例如，使用生成式 AI 工具和能力，並已經取得了令人驚嘆的成果。」Castillo 總結道。
安全與創新並重：金融科技未來展望
展望未來，安全與創新的關係將更加緊密。AWS 已開始為後量子時代做準備，過去十年積極參與後量子密碼演算法的標準化工作，與全球組織如美國國家標準與技術研究院（National Institute of Standards and Technology, NIST）、歐洲電信標準協會（European Telecommunications Standards Institute, ETSI）和開放量子安全倡議（Open Quantum Safe Initiative）合作。
同時，機密運算（Confidential Computing）在金融數據保護方面的應用前景廣闊。 （AWS Nitro 隔離區）可以完全隔離計算環境，處理高度敏感的數據，為金融機構提供更高層次的數據保護。
生成式 AI 與安全的融合也是未來發展的重要方向。AWS 與 Anthropic 的合作展示了如何在保障客戶資料與合規需求下，推動 AI 創新。Anthropic 資訊安全總監 Jason Clinton 在 re:Invent 2024 上指出：「AWS 為客戶提供了 Claude，具備多項合規認證，這是作為年輕公司的 Anthropic 尚未擁有的。」AWS 透過其 Nitro 架構，確保客戶可以在安全隔離的環境中使用 Claude，且所有資料皆在 AWS 處理，Anthropic 不會接觸客戶數據。這樣的架構，讓企業客戶能清楚地交代其 AI 使用的合規脈絡與資料保護措施。
最後，澳洲聯邦銀行的案例告訴我們，真正的安全轉型不僅關乎技術，更關乎文化。正如 AWS 資訊安全總監 Chris Betz 所言：「文化滋養安全創新。」只有將安全融入企業文化基因，才能在數碼轉型的道路上建立真正的無形守護與有形防線。