網域是資產不是工具！TWNIC 籲企業將網域納入安全治理

過去企業談資安，焦點多半放在內部：防火牆是否更新、系統是否存在弱點、員工帳號是否遭盜用。TWNIC執行長余若凡則表示，在詐騙橫行時代下，企業安全治理處理的不再只是添購一套資安設備，而是需要把網域、路由等底層基礎設施，重新納入「資產」管理思維。

余若凡觀察到，近年風險擴大最快的領域，其實在企業「對外」的一端：官方網站、電子郵件，這些企業與消費者、客戶、供應商溝通的主要窗口。因此，企業及組織單位應該將網站、網域視為數位資產，而不僅是工具。工具損壞或遺失，換掉即可；但資產一旦被奪取或冒用，企業承擔的是消費者信任的流失，以及難以估算的商譽損失。

讓信任從相信變成「可以查證」

消費者對企業信任的第一步，從企業選擇網域名稱時就已展開。網域名稱愈複雜、愈不直覺，消費者愈可能拼錯或混淆，也就愈容易誤入相似的仿冒網域；企業也應持續監控是否有人註冊與自身商標、品牌高度近似的網域，及早發現、及早處理。

接下來，是強化網站與郵件本身的技術防護，讓身分真偽不再僅憑感覺判斷。DNSSEC可視為網路電話簿的防偽認證機制：一般DNS解析如同查閱電話簿，將網域名稱翻譯成對應的網路位址，但缺乏防偽機制時，這本「電話簿」的內容可能遭到竄改。啟用DNSSEC後，每一層查詢都會加上驗證，降低查詢結果遭竄改而未被發現的風險。DNSSEC早期因相關程式工具不夠完善，金鑰管理與設定較為複雜，稍有疏漏就可能導致網站無法存取，因此實務導入門檻較高。如今相關工具已更加完整，且大多數DNS代管服務業者均支援DNSSEC，通常只需一鍵即可啟用，大幅降低使用難度；不過，仍需要企業主動開啟這項功能。

在路由層級，TWNIC 持續推動 RPKI 相關機制：ROA（路由來源授權）可理解為IP位址持有者的「路線登記」，聲明哪些ASN (自治系統號碼)有權在網路上宣告該 IP 位址區塊；ROV (路由來源驗證) 則是接收端收到路由資訊時的「路線查核」，確認路由宣告是否可信。台灣目前 ROA 涵蓋率已接近九成，屬相對成熟的一環；下一步重點，是持續推動更多業者建置 ROV 查核機制。

余若凡提醒，驗證機制本身仍有侷限：若網域設定可被任意更動，再周全的驗證也難以守住這項資產。TWNIC因此建立讓外界能主動掌握現況的控管機制，Registry Lock是其中之一。一旦啟用，網域任何異動都須先通知所有人，取得同意後才會執行，藉此防止未經授權的修改或移轉。企業也可透過TWNIC提供的check.twnic.tw網站免費自我檢測：輸入網址後，即可查看網站是否啟用HTTPS、DNSSEC、Registry Lock等防護項目，作為進一步補強的依據。

從委外治理到綠色域名

TWNIC去年開始試營運的「綠色域名」服務，就是設計來解決另一群同樣需要被信任、卻更難靠自身資源建立防護的對象，如非營利組織。透過「綠色域名」，非營利組織向TWNIC完成網域所有人身分驗證後，可取得一枚標章掛在網站上；民眾點擊標章，即可查詢該網域真正的註冊人資訊，確認眼前網站是否確實是自己想捐款的機構。「綠色域名」服務只要是.tw.台灣網域名稱，且註冊人是企業、組織單位都可以申請。TWNIC下一步規劃將此服務逐步推廣至金融業、物流業與政府機關等領域。

此外，余若凡觀察到幾項治理細節，企業委外時應事前留意。第一、網域與相關帳號應登記在企業自己名下，而非委外廠商名下。一旦廠商掌控帳號，企業日後要證明自己是真正所有人，或要取回帳號，都可能相當困難。

第二、企業應在委外合約中，明確要求廠商完成DNSSEC、SPF (Sender Policy Framework，寄件者政策框架)、DMARC (Domain-based Message Authentication, Reporting, and Conformance, 電子郵件寄件者驗證機制）、DKIM（ Domain Keys Identified Mail, 域名金鑰辨識郵件機制）等基本設定，並確認未來異動須經企業同意；第三、委外的通報與配合要求，應在簽約當下講清楚，而非等到出事才發現雙方認知不同；第四、合約結束或委外廠商異動時，也應要求對方完整交還所有存取權限與相關設定，避免留下模糊地帶。

信任也是資產　需要被長期守護

余若凡強調，TWNIC接下來將持續朝幾個方向推進：向企業IT人員與經營層推廣網路治理觀念，分享第一線觀察到的問題；協助一般民眾建立辨識網域真偽的基本能力，並持續提供網站檢測、域名驗證管理等工具，讓企業快速掌握自身防護現況。

建立可信任的網路環境，從來不是單一機構、單一企業能獨力完成的事，這需要大家一起努力。當整體環境愈來愈值得信任，不論是企業做生意，或是投入開發更多新服務、新技術，都會因為民眾願意信任而走得更順利；反過來，信任一旦被少數事件消耗殆盡，受損的其實是所有人共同仰賴的數位環境本身。