TUV NORD Taiwan新气象 深化永续发展与信息安全服务

北德IT事业群协理林家弘(右二)强调，2022年不仅新增FIDO实验室、提升检测技术能量，也针对网安顾问服务投入更多资源，图左一为北德IT事业群资深经理崔存得，右一及左二依序为北德IT事业群资深经理郑雯真、北德总经理特助锺睿珍。TUV NORD Taiwan

创始于1988年的「香港商汉德技术监督服务亚太有限公司台湾分公司」，从2022年6月起，正式更名为「台湾德国北德技术监护顾问股份有限公司」(以下简称「北德」)，英文名称则变更为「TUV NORD Taiwan」。

北德总经理特助锺睿珍指出，此次更名的主要动机，一方面是为了因应市场发展趋势，另一方面让客户对TUV NORD Taiwan的认知更具一致性，促使整体业务发展更顺利。她强调尽管名称改变，但北德与过去的汉德一脉相承，沿袭在台湾累积33年的专业检验服务经验，在组织架构、高端主管、技术团队等各方面皆无异动，100%技术能量都传承自德国TUV NORD总部。

从2022年开始，北德将「永续」列为未来5~10年长期发展的首要策略目标，底下涵盖管理系统、产品安规、信息安全、永续发展及功能安全等五大营运策略方针。此外展望未来5年，北德亦把「Safety for Security」列为另一项策略发展主轴，将上述五大方针中的永续发展、信息安全列入深耕重点。

德国TUV NORD集团旗下子公司TUViT，专门负责信息安全相关检测业务，而在台湾对应于TUViT的角色，即是北德内部的IT事业群。以往IT事业群侧重经营CB(Certification Body验证机构)发证服务，截至2021年设有CC(Common Criteria)、FIPS 140-3口令模块等两个CB实验室；自2022年起，IT事业群在经营方向上出现两大变革，一是新增FIDO实验室，聚焦在FIDO Alliance定义的Authenticator Certification Level标准，为涉及无口令认证、多重认证的服务流程，提供检测与发证服务；另一是在既有CB发证服务外，加强经营前端顾问服务。

深化网安顾问能量，形塑一条龙服务价值

北德IT事业群协理林家弘表示，市场上已有不少提供网安顾问服务的业者，但许多客户担心顾问与CB稽核员之间的概念不同，对标准的理解也不同，导致彼此在沟通协调上花费较长时间，可能为专案投下不确定性变量。

反观北德IT事业群，顾问、稽核服务分属两单位，彼此各司其职，角色上并无重叠；但由于隶属同一集团，两单位不仅概念一致，协调流程也更为顺畅。因此随着IT事业群拉高顾问服务能量，更有助于为车用、工控或其他与网安间接相关的产业客户，营造一条龙服务优势，确保能在客户缺省的时间内达成取证目标。

林家弘说，近年承作半导体厂委托的CC检测案件时，发现客户面临的自驾车或工控安全合规需求持续升高，IT事业群深觉应可善用累积多年的稳定发展基础，将网安顾问服务能量叠加上去，帮助客户缩短从申请到取得证书的周期。

谈到FIDO实验室，与早先启动的口令模块实验相同，都是国内率先成立、且唯一的检测服务，使台厂无需大费周章到国外受测。

北德IT事业群资深经理崔存得指出，根据FIDO定义，针对涉及身份验证技术的服务，包括最上层存放公钥的服务器，直到采用的生物办识方法与装置，不论哪一个环节，或是整体服务架构，各自需要接受Functional Level、Biometric Component Level或Authenticator Level或等不同认证；而北德专注提供Authenticator认证服务，区分为1~4等级、数字越大阶层越高，旨在验证整体服务流程是否符合FIDO国际规范，让最终使用者获得可信赖的网安保障。像是金融机构、第三方支付业者或相关软件开发商，甚至扩及门禁、保全、识别卡等服务供应商，皆为目标客户。

依客户的预算与需求范畴，助力实现最佳网安效果

林家弘说，从IoT到AIoT，其中讲究的网安议题，已从基础架构层面不断往外延伸，惟理论上不管针对工控、5G、自驾车等领域，基本网安架构皆相同，差别只在最后使用端呈现的产品类型。北德期望立足在国标准规范上，协助这些新兴服务或技术相关参与者，如芯片制造商、车商...等等取得认证，确保销售到市场上产品与模块受到安全保障。

针对各界度关注的工控与车用相关网安议题，北德IT事业群资深经理郑雯真补充说，在工控部份，国际公认的遵循规范为IEC 62443，可区分为流程、产品及系统等不同标准。至于车辆网络安全标准ISO/SAE 21434，在2021年8~9月出炉，对业界算是新规范，因此北德近期接获较多的询问需求；ISO/SAE 21434内含组织、产品层级等不同标准，现阶段大多台厂优先锁定组织层级标准、列为取证目标，系因取证时间平均8~12个月，算是相对较短，反观产品层级标准牵涉SDLC(Software Development Life Cycle)，要求研发团队需具备安全漏洞修补能力，且有完善的外包管理机制，因门槛较高故列为未来挑战目标。

郑雯真说，随着IT事业群增强顾问服务能量，可望为客户提供更完善的服务体验。在专案未Kick off前，即可根据客户的预算、需求状况，建议取得哪方面的认证；一旦成案，顾问团队就与客户访谈，分析实况与标准的落差，据此协助客户进行补强，接着以内稽方式检视导入成效，厘清哪边已做好、哪边还未做好，再引导客户端网安代表了解现状，编列预算购置必要工具与人力资源，将尚未做足的部份改善完毕。此后北德会协助安排外稽、取证程序，也将持续协助改善外稽人员评定的缺失，直到获取证书为止。

总括而论，北德认定网安是攸关企业永续经营的风项项目之一，因此论及永续议题，不宜仅单纯涵盖绿色产品及能源。鉴于此，今后北德基于永续发展策略，除提供ISO 50001能源管理系统、社会责任报告书、ESG等相关盘查服务外，亦将持续强化网安顾问与认证服务内容。