2026年9月第三週的資安新聞熱點，聚焦歐盟CRA通報義務上路、AI安全爭議升溫與個資保護監管強化；針對網路、應用程式與端點的漏洞利用攻擊持續頻傳，國內外亦接連傳出企業遭駭...
回顧2026年9月第三週的資安動態，產品資安合規成為重要焦點。隨著歐盟網路韌性法（CRA）的通報義務正式上路，歐盟網路安全局（ENISA）宣布CRA單一通報平臺上線，產品漏洞與重大資安事件的通報，已從產業最佳實務進一步成為法規明確要求；在臺灣，資安院則從國內產業發展角度出發，呼籲企業提升產品資安事件應變小組（PSIRT）的發展成熟度，並指出資訊服務業也應及早建立相關機制。
AI安全議題也再度升溫。如何兼顧安全護欄、人類控制與發展速度，引發業界不同立場；與此同時，各界也加快提出因應措施，微軟發布AI行為準則，OpenAI揭露先進AI安全新措施。企業防禦與治理架構也持續調整，雲端安全聯盟（CSA）除了將AI代理納入零信任微分段控管，也發布企業零信任管理指引，建議成立專責辦公室推動長期治理；美國網路安全與基礎設施安全局（CISA）則在內部威脅指引中納入AI風險。
此外，國內外重大資安事件也接連揭露。臺灣方面，長榮航空與長榮航太、崴寶精密科技、達爾膚相繼發布資安重訊；海外則有日本政府系統、證件辨識平臺涉及大規模資料外洩或面臨外洩風險，義大利醫療機構也因勒索軟體攻擊導致多項醫療服務中斷近兩週。
政策法規
歐盟CRA通報義務自9月11日正式生效，帶動國際產品資安合規成為本週焦點。除了ENISA啟用單一通報平臺並發布中小企業成熟度模型、開放原始碼安全基金會OpenSSF示警開源專案注意通報規範外，國家資通安全研究院也呼籲臺灣企業須提升PSIRT成熟度，強調不僅硬體製造業，資訊服務業也應及早建立機制，才能提升臺灣整體產品資安應變能力。
歐盟CRA通報義務上路，臺灣企業建置PSIRT升溫，資安院提醒成熟度仍有落差
歐盟網路韌性法案（Cyber Resilience Act，CRA）的通報義務先行上路，臺灣廠商產品資安應變能力成焦點，資安院指出，國內建置PSIRT的企業雖增加但成熟度須提升，提醒PSIRT並非「有就好」，能否跨部門穩定運作才是合規關鍵，且產品資安已是國際趨勢，資訊服務業亦應積極建立PSIRT機制。
歐盟網路韌性法案漏洞通報義務上路，OpenSSF提醒開源專案應做好漏洞協調
歐盟網路韌性法案（CRA）針對製造商的漏洞與資安事件通報義務已於9月11日生效，開放原始碼安全基金會（OpenSSF）說明CRA製造商通報義務生效後對開源社群的影響，並強調一般開源專案維護者與CRA定義的開源軟體管理者（open-source software steward）屬於不同角色。一般維護者並不因這項新規直接承擔CRA通報義務；開源軟體管理者的通報義務則視其參與數位元素產品開發等情況而定。
隨著漏洞與重大資安事件通報義務自今年9月11日起率先適用，歐盟網路安全局（ENISA）也在同日宣布，正式啟用CRA單一通報平臺（Single Reporting Platform，SRP），供製造商通報已遭積極利用的產品資安漏洞，以及具有數位元素的產品面臨的重大資安事件。
資源有限的中小企業如何盤點CRA準備缺口？ENISA推出SME產品資安成熟度評估模型
面對CRA帶來的資安要求，ENISA在啟用CRA單一通報平臺之際，特別提及今年7月針對資源有限的中小企業所發布的「CRA成熟度評估模型」。該模型藉由提供具體且系統化的檢視工具，協助企業從5大領域（治理與文件、風險管理及安全設計、漏洞與修補管理、產品生命週期管理，以及資安意識與能力）展開全面評估。
CSA發布企業零信任管理指引，建議成立專責辦公室推動長期治理
雲端安全聯盟（CSA）發布《零信任計畫管理指引》（Zero Trust Program Management Guidance），提醒企業零信任不只是導入特定資安技術，而是需要長期協調跨部門工作、資源與既有資安措施。CSA因此提出專責治理架構，要求持續追蹤導入進度與成效。為避免相關工作分散在不同部門，CSA建議成立零信任計畫管理辦公室（ZT PMO），統籌不同事業單位與技術團隊的導入進度、預算及資源配置。
美國國安局據傳推動大規模改組，將設五大任務中心強化網路安全與AI能力
美國國家安全局（NSA）據傳正在推動近10年來規模最大的組織改組，將以中國、網路安全、人工智慧、戰鬥支援及全球情報等五大任務主軸，成立五大任務中心，縮短情報支援軍事作戰的時間。各中心預計最快明年1月達到完整作戰能力，但部分組織歸屬及與美國網路司令部的協作方式仍未確定。
澳洲警方逮捕涉及駭客組織TeamPCP的攻擊者，牽連逾千個組織的軟體供應鏈攻擊
澳洲警方逮捕兩名涉嫌參與駭客組織TeamPCP攻擊活動的男子。警方調查指出，該團體近年透過入侵開源軟體及開發平台，竊取開發人員憑證、驗證資訊與原始碼，相關攻擊疑已波及全球逾1,000個組織，竊取約50萬組憑證及至少300GB資料，兩名嫌犯目前合計面臨14項刑事指控，警方仍在持續調查中。
資料安全
個資外洩事件頻傳，各國對資料保護的監管與企業責任也持續加強。臺灣消基會近日藉跨境電商平臺個資外洩案示警，指出平臺權限控管與資安治理漏洞，也凸顯跨境個資監管困境，呼籲政府加速成立個資保護委員會；韓國則進一步修法，針對造成1,000萬人以上個資外洩的重大事件，將最高罰款由營收3%提高至10%，並強化執行長與個資保護長責任。
消基會：酷澎案凸顯跨境個資治理缺口，籲政府加速成立個資保護委員會、跨境平臺將國內用戶資料在境內儲存納入監管
自2023年12月「個人資料保護委員會籌備處」啟動，如今邁入2026年，其正式掛牌時程成外界焦點。近日消基會重提去年底爆發的酷澎個資外洩事件，強調當涉及20萬國人資料的伺服器設於境外時，在分散式監管架構下，現行法規難以直接查核海外系統，唯有加速個資會的正式運作並補強跨境傳輸規範，才能有效因應跨國數位服務帶來的隱私風險。
嚴懲超過千萬筆資料外洩的企業，韓國最高將處以公司年營收10%作為罰款
9月9日韓國資料隱私主管機關個人資訊保護委員會公布個人資訊保護法新措施，9月11日起正式實施，修法主要目的是針對反覆資料外洩實施懲罰性處罰，加強企業執行長與個資保護長的責任，並強制取得ISMS-P認證。修訂後的個人資訊保護法也明定，因有意或防護措施鬆散導致1,000萬人以上個資外洩的企業，最高罰金由現行總營收的3%提高為10%。
日本數位廳GSS政府共通環境遭駭，已知VPN漏洞修補前遭利用，24.6萬筆個資恐外洩
日本數位廳揭露一起涉及政府共通業務環境GSS的資安事件，攻擊者利用VPN漏洞入侵系統，約24.6萬筆政府機關職員及相關業務人員個資可能外洩。數位廳後續發布的Q&A更指出，遭利用的是攻擊前已公開、CVSS風險評分為中級（Medium）的已知漏洞，儘管當時已採取比一般應變速度更快的方式處理，但攻擊者仍搶在修補程式套用前成功入侵。
9月1日全球證件辨識平臺業者IDScan證實發生資安事件，導致大量民眾駕照資料外洩。先前媒體報導，外洩資料高達1.5億筆。該公司透過網站公告指出，接獲通知有特定資料遭非授權存取，立即採取措施防護系統，並偕同第三方專業人士調查事件本質及損害幅度。初步調查顯示，駭客可能已存取並竊走儲存於IDScan.net雲端平臺上，客戶帳號下的部分客戶資料。
勒索軟體The Gentlemen近期接連鎖定醫療產業，Nutex、Veradigm均向SEC揭露資安事件
醫療產業近期接連遭到勒索軟體組織The Gentlemen鎖定，美國醫療設施營運商Nutex Health與電子健康紀錄（EHR）業者Veradigm在9月初接連被列入其資料外洩網站。值得注意的是，兩家公司也恰好都向美國SEC提交資安事件報告文件，其中Veradigm揭露事件源自一家第三方供應商，攻擊者利用從該供應商竊得的憑證，存取Veradigm的API並下載患者個人資料。
ShinyHunters聲稱竊取20萬筆佛州駕駛資料，佛州主管單位證實駕照資料庫DAVID遭入侵
ShinyHunters聲稱入侵佛羅里達州駕駛與車輛資訊資料庫DAVID，竊取逾20萬筆駕駛紀錄，並以知名性犯罪者艾普斯坦（Jeffrey Epstein）在該資料庫中的駕駛資料作為證明。佛州主管單位FLHSMV於9月11日證實資料庫確實遭入侵，表示攻擊者使用的是遭洩露的Plant City警察局帳號，目前尚未確認實際遭竊資料量。