目錄

• 您可能想知道
• 主要議題
• 重點見解表
• 後續...

您可能想知道

• 香港的銀行在防禦未來對加密的量子威脅方面準備得如何？

• 香港金融管理局正在採取哪些實務步驟，以在2030年前提升業界的準備度？

主要議題

香港金融管理局（HKMA）對本地銀行業就量子運算所帶來的即將到來挑戰提出了明確且令人警醒的評估。在與 FiNETech 會議同時發布的白皮書中，HKMA 引入了一項新指標——量子準備度指數，並給予銀行業初步分數為 2.3（滿分10）。此低分反映大多數機構仍處於了解量子風險的早期階段，而非擁有具體計畫或技術實作。

該指數追蹤四個階段的準備情況：認知、規劃、試點計畫及實務準備。根據白皮書所依據的調查，約有 68% 的銀行至少有某種程度的認知或已進入規劃與試點階段，而其餘則尚未開始有意義的參與。即使在董事會有討論量子議題的銀行中（約占受訪銀行的一半），也只有大約三分之一開始了與量子技術相關的探索性測試或試點工作。

這些發現很重要，因為量子運算對保護金融交易與資料的密碼演算法構成未來潛在威脅。國際機構指出並在 HKMA 白皮書中重申的一個特別令人擔憂的攻擊向量是「今日蒐集、日後解密」（"harvest now, decrypt later"）。在此情境下，對手如今蒐集並儲存加密資料，期望未來具量子能力的機器能夠解密這些資訊。金融機構保存敏感的交易記錄、個人資料及密鑰，因而成為此類長期資料蒐集策略的主要目標。

雖然能夠破譯廣泛使用公鑰加密的大規模量子系統目前尚未存在，專家估計此類能力可能在本世代末期開始出現。鑑於此不確定性，監管機構與標準組織強調應採取主動做法：提升密碼彈性、制定遷移至後量子密碼學（PQC）的計畫，並進行能驗證新演算法與操作程序的試點。

針對低分的回應，HKMA 公布了一系列實務介入計畫，旨在把業界在 2030 年的目標分數提高至 10。此策略的主要要素包括與學術夥伴共同開發的後量子密碼學工具包、提升技術與治理團隊技能的一系列工作坊，以及協助銀行建立密碼彈性與負責任處理量子機會的教材。這些措施反映了對準備度既是技術性也是組織性的理解：需要董事會層級的治理、風險評估、技術測試與員工訓練。

HKMA 的倡議是全球推動的一部分。其他監管機構與政府也設定了類似時程與目標。例如，美國近來的行政措施顯示出加速量子運算研究與在約 2030–2031 年間將聯邦系統遷移到後量子密碼學的趨勢。此類平行行動增加了全球金融業對 PQC 規劃的壓力，因為跨境金融的互聯性及許多銀行的全球業務範圍。

在營運層面，銀行面臨若干具體任務以提升準備度。首先，機構必須盤點系統、第三方關係與舊有服務中的密碼依賴性。第二，應識別具有長期保密需求、容易遭受「今日蒐集、日後解密」攻擊的關鍵資料。第三，組織應在測試環境中試行後量子演算法，以評估效能影響、互通性限制與遷移路徑。第四，治理機構——包括董事會與高階風險委員會——需要定期獲得簡報，並建立明確的升級路徑與補救時程。

另一項重要考量是與更廣泛生態系統的協調：供應商、雲端服務提供者、支付網路與清算系統。許多參與者需要採用 PQC 標準，才能使單一銀行的遷移有效。因此，HKMA 的工具包與工作坊也旨在促進產業對話，提供可降低分散並促進一致採用的共同框架。

最後，教育與人才培育對縮短技能缺口是必要的。技術人員、風險管理人員與董事會成員的量子素養至關重要，才能讓組織在演算法選擇、遷移順序與風險容忍度上做出明智決策。HKMA 對訓練的重視處理了這個人員面向，這在嘗試達到對未來密碼威脅的韌性時，往往與技術測試一樣重要。

簡言之，HKMA 的低準備度分數可視為一個催化劑：它突顯了現有弱點，同時提出一項結合技術工具、協調產業活動與治理改進的多年計畫。隨著 2030 目標，香港監管機構敦促銀行在預期量子能力密碼分析工具到來之前，從認知轉向行動。

重點見解表

後續...

展望未來，HKMA 的評估應促使銀行、供應商與監管機構之間立即且協調的行動。要達到真正的準備度，需要持續投入於密碼資產盤點、演算法試點、供應商協調與員工訓練。由於威脅是全球性的且可能長期存在，最有效的策略將結合技術遷移計畫、治理與產業間合作。如果銀行落實 HKMA 的建議，結果不僅是對量子時代威脅的韌性提升，也會強化整體資安態勢。持續監測、透明的進度報告與跨境監管協調，對確保 2030 年的抱負成為可行的現實而非僅是願景，至關重要。