可爱的熊大、馒头人贴图，是许多人对LINE的印象，成立8年至今，这家在全球拥有1.64亿月活跃用户的科技公司，服务领域从通信、娱乐、电商、金融、区块链几乎无所不包。
许多台湾用户可能都还记忆犹新，2018年时LINE帐号被盗用的情况严重，此外假消息、LINE Pay被盗刷的消息也时有耳闻，随着旗下服务越来越多样，LINE所面对的安全挑战也越来越大。
像LINE这样掌握庞大用户数据的公司，安全就像是镇守在第一线出租车兵，必须发挥最大的战力抵御外侮。《数字时代》前进LINE位于日本东京的总部，与身兼重责大任的安全团队见面，深入了解安全在LINE企业文化中的意义，以及背后的运行。
LINE面临的三大安全挑战
走进会议室里，LINE安全部门经理市原尚久（Naohisa Ichihara）开宗明义点出LINE目前面对的三大安全挑战。
“现在的LINE其实就是一家数据公司，这其中有许多的服务都是跟其他公司一起合作的。”LINE是一间快速增长的公司，跨国、跨产业的合作也快速增加中，举例来说，在日本的合作伙伴有丰田汽车、台湾则有一卡通。
对公司内部来说，面临软件开发方法多样化、项目数量增长、组织国际化、数据应用等挑战；外部的威胁也日益强大，像是黑客的功力越来越强、诈骗手法推陈出新、科技技术的演进、大规模攻击；还有最麻烦的是，各国地区对于安全法规的要求，不仅日益严苛、差异也不小，这些因素都让LINE投注更多的资源与心力在安全议题上。
市原尚久（右）在2015年加入LINE，目前是LINE Corporation的安全策略与Trust&Safety团队经理。
从源头把关，安全奠定产品设计基础
去年LINE收购韩国网络安全顾问公司GrayHash，同时延揽旗下知名白帽黑客加入安全团队。从今年五月更大动作重整安全团队，在东京总部成立安全中心，目前共拥有约80位成员镇守在第一线。
我们常说食品安全要从源头把关，安全也是一样的，LINE安全团队分享，许多开发人员可能太专注在开发产品，而忽略安全的基本功，或者开发人员用创新的方式开发，也有可能忽略安全问题。因此，LINE导入了安全设计（Secure by Design）、隐私设计（Privacy by Design）这两项原则，市原尚久分享：“推出每一项新服务前，都要经过层层关卡，当安全审核（security review）通过时，才能对外公布上线时间。”
简单来说，把安全作为一切的设计基础，因为许多安全问题并不是出在程序设计本身，而是在机制设计上。许多与第三方合作的服务，若在机制上没有设计好，就可能被黑客利用。
因此，每个新服务从规划初期，安全团队就会深入参与，“我们会跟开发者讨论，像是什么样的安全方式适合适在这项产品上，”除了必须符合全球安全法规，还必须遵循不同市场的在地安全法规，像是欧洲有GDPR、台湾有个人信息法，适法性问题必须在产品概念萌芽的最初，一并纳入讨论。
本地化是安全设计上非常重要的观念，LINE台湾资深安全工程师刘威成举例，先前台湾帐号被盗问题很严重，但每个国家使用通信软件习惯不同，有些盗帐号方法在日本行得通，在台湾就碰壁，“要根据各地使用特性变更安全设计，让盗帐号的人放弃这个平台。”
LINE从今年五月起大动作重整安全团队，在东京总部成立安全中心，目前共拥有约80位成员镇守在第一线。
导入机器学习，终结账号被盗
盗用帐号、垃圾消息，是近年LINE比较严重的问题，市原尚久回忆，2016年开始LINE就导入机器学习技术反制，不过一开始并不顺利，机器学习模型并不能即时修正，让攻击者每隔一段时间就能找到漏洞，逃开机器学习的监控。
举例来说，2017年是盗用帐号最泛滥的一年，虽然当时团队采取应变措施，让盗帐号问题在2018年趋缓，但2018年6月再度变严重的趋势。市原尚久解释，后来安全团队找出机器学习模型可以自动更新的方法，借由每周更新、修正模型，以及改善使用接口，成功解决盗用帐号、垃圾消息的问题。市原尚久自豪地表示，2018年9月至今，都没有任何帐号被盗用的纪录。
当然，许多漏洞还是得靠“社群的力量”，才能变得更安全。在美国有许多科技公司都设有漏洞奖励计划（Bug Bounty Program），这样的风气在亚洲比较不盛行。LINE从2016年起推出漏洞奖励计划，提供奖金给发现漏洞的黑客，“希望让黑客知道，他是一个正义的角色。”资深安全工程师刘威成解释，这项计划的目的是希望结合外部白帽黑客的社群力量，一起维护产品安全，这项计划也有名人堂机制，刘威成透露过去曾有台湾的黑客上榜过。
确保数据搜集隐私，LINE让用户有更多自主权
Facebook、Google这些科技巨头，通过搜集数据来提供用户服务，对LINE而言，生态圈内日趋多样的服务，意味着取得用户数据的频率越来越频繁。
“我们必须非常小心，确保隐私合规、遵守当在地规范。”无所不在的数字足迹与个人信息交换，每个人在网络世界都显得赤裸，市原尚久认为，在搜集用户数据的同时，也必须提供用户相对应的信息，“要让大家知道我们在做什么，提供更多信息增加透明度。”
市原尚久用“基础文化”来形容安全在LINE内部的地位，是因为安全团队常常在前期开发阶段，就密切跟开发团队交互。
LINE从2017年开始，每半年都会发布透明度报告，市原尚久预告，今年下半年会重新设计隐私设置接口，让用户掌握更多自主权与空间，每位用户未来可以依据自己的使用习惯，来修改隐私设置，而不是适应服务提供者所设置的游戏规则，“我们也会跟外部的专家讨论，听取更多的意见作为参考。”
深植安全DNA，市原尚久：不该害怕讨论
LINE认为，安全的观念必须深植在企业内部文化中。目前LINE无论对内对外，都采取“零信任（ZERO TRUST）”策略，意思是任何设备或系统都不能轻易信任，每次访问都必须认证、授权，而非传统只认证一次，“这是我们基础的文化，”市原尚久说。
LINE GrayLab安全研究室的负责人李丞镇（Seung Jin Lee）分享，一般人可能会认为，公司的私网比一般网络安全，但这样的观念必须反转，“要让所有员工知道，我们并不能信任网络，更不会把敏感的信息放在上面，公司内部的私网也是一样的，必须很小心。”
不只是对一般人，对多开发者来说，安全都是略有门槛的议题，甚至许多员工害怕谈论安全，担心造成产品开发进程延误。市原尚久用“基础文化”来形容安全在LINE内部的地位，因为安全团队在前期开发阶段，就密切跟开发团队交互，“大家可以随意在Slack上问问题，或是随时找一间会议室讨论。”让安全在公司内部，营造出一种轻松没有压力，可以随时彼此讨论的议题。
同时，内部也定期举办跟安全有关的讲座与活动，这不只是人人必须熟悉的必修课，更是深植在每位liner身上的DNA。