觀點 on 資安見聞錄

[觀點] 雲端運算安全入門(完) - 虛擬化安全與雲端資安服務

Wed, 27 Feb 2013 07:49:00 +0000

上一次我們探討了雲端服務的身分驗證，提到目前許多雲端服務綁定的都是使用者的帳號，如果沒有實施強健的安全機制，一旦帳號被挾持，就會產生嚴重的安全問題，本期將說明此系列文章的最後一個單元，說明雲端運算採用虛擬化技術的安全風險和透過雲端所提供的安全服務。

在雲端運算的領域之中，最早被許多人認為是一種雲端技術的就是虛擬化技術，但事實上在雲端運算還沒有成為熱門的話題之前，虛擬化就已經被運用在儲存系統中，而且進一步擴展到主機層的虛擬化及網路層的虛擬化。

對雲端運算的三種服務型式-SaaS、PaaS、IaaS而言，虛擬化目前已被廣泛的運用在IaaS服務之中，藉由虛擬主機(VM)的幫助，服務供應商提供了一個巨大的虛擬資源池(pool)，讓雲端運算可以快速且彈性的擴充，並且支援多租戶的方式，讓使用者可以採自助的方式，自由地調配所需的運算能力(包括CPU處理器、記憶體容量、儲存空間及虛擬主機的數量等)，同時虛擬主機也可作為提供SaaS、PaaS等服務的強大基礎。

虛擬化可能的安全風險

雖然虛擬化為服務供應商在基礎設施方面，降低了許多建置的成本，但是在方便快速的背後，虛擬化也隱含了許多資安方面的風險，目前最常被關注的就是虛擬化應用了Hypervisor作為了虛擬主機的管理層，一旦它被攻陷而被惡意人士操控時，就可能會影響所有在它之下的虛擬主機安全。

其次，虛擬主機作為多租戶方式提供給不同的使用者來操作，如何有效地區隔並控制在同一實體主機上的網路安全，避免彼此之間的干擾和刻意的攻擊，也是服務供應商的一大挑戰，而且在使用者租用完虛擬主機之後，如何確保曾經儲存過的資料會被徹底銷毀，除了技術面的保證之外，使用者對於服務供應商的執行過程和信任，至今仍然是一個容易受到質疑的問題。

至於在虛擬主機之間的網路流量方面，由於是在實體主機的背板上直接傳輸，傳統的網路安全設備如防火牆、入侵偵測系統等將無法偵測並阻擋可能的惡意行為，因此就必須採用同樣已虛擬化的防火牆、入侵偵測系統等，來監控虛擬主機之間的網路流量，另外，新一代的網路安全設備可透過API層和與Hypervisor管理層的結合，也能夠將實體的網路架構和虛擬化環境結合，同時來管控所有產生的網路流量。

採用虛擬化技術的安全建議

在雲端安全聯盟(CSA)所提出的雲端運算關鍵領域安全指南中，針對虛擬化技術所提供的安全建議，包括：

使用者應該識別服務供應商所採用的是何種虛擬化技術，並注意所公布關於虛擬化技術的安全漏洞和修補方式。另外，和傳統的作法一樣，使用者必須區隔測試用的虛擬主機和實際上線的虛擬主機，以避免可能的互相干擾和資料混用的問題。
使用者必須確保在每一台虛擬主機中，都具備所需的安全機制如防火牆、防毒軟體、入侵偵測系統等，除了供應商所提供的安全機制之外，也可以考慮採用第三方的安全服務，減少對供應商的依賴，強化所使用的虛擬主機安全。
注意虛擬主機映像檔(VM Image)的安全，如果含有惡意程式的虛擬主機被直接佈署到虛擬化環境之中，也就等於越過了外在的防禦，可以直接由內部發動攻擊。因此，未使用的虛擬主機映像檔，建議採取加密的方式，以避免受到不當的利用。
如果是含有敏感資訊並有高安全要求的虛擬主機，它的映像檔無論在關機或運作時都應該加密，雖然加密的作法可能會降低虛擬主機的效能，但為了安全性考量則是可以接受的。同時也要注意若對虛擬主機實施了Snapshot備份，是否會間接造成此一控制失效的問題，因為惡意人士也可能從備份的Snapshot中，提取出想要獲得的敏感資訊。
在虛擬主機尚未啟動之前，通常是處於關閉的狀態，換句話說，它無法即時地去更新作業系統的修補程式(patch)，以避免利用已被發現的安全漏洞來進行攻擊。因此，當這些虛擬主機被啟用之後，應該先進入一個隔離的區域，並且在更新完所有新增的修補程式之後，才能夠進入到正式的作業環境之中。

透過雲端實現的安全服務

雲端運算的興起，除了改變傳統的IT服務之外，對於強化資訊安全方面，也提供了許多貢獻，過去許多企業礙於人力、成本、效能或更新速度的問題，遲遲未能採用的資安防禦方式，藉由雲端安全服務(Security as a Service；SecaaS)的採用，可以降低企業在安全管理上的負擔，並且獲得更加充裕的安全技術支援，協助企業降低所面臨的資訊安全風險。

對企業來說，採用雲端安全服務的優勢是可以馬上獲得業界的最佳實務(best practice)和許多技術專家的支援，並且透過雲端可量測的服務與透明的報表，企業也可以清楚地了解資安方案對企業整體的效益。舉例來說，針對防毒服務，企業可依據實際的電腦數量和使用者人數的增長再來選購所需的服務；另外，軟硬體等安全設備維護與每天產生的日誌(Log)管理，都可藉由委外的資安服務來提供協助，降低企業內部自行營運的管理成本。

目前，業界所提供的雲端安全服務有：

身分識別(IAM)服務 – 透過雲端來進行使用者的身分驗證，並賦予使用者所需的存取權限，可以解決企業跨區域國界的驗證效能問題，並且可透過雲端服務來保存各項登入與存取記錄，甚至匯整到資安事件管理(SIEM)服務，以因應不當存取的資安事件，提供預防和處理的機制。

防資料外洩(DLP)服務 – 在防止資料外洩方面，佈署DLP方案是一種可以預防資料從各項傳輸管道不當洩露的控制措施，透過中央政策(Policy)的制訂，並在終端設備如筆記型電腦安裝代理軟體(Agent)，可以管制資料從各種週邊介面(如USB)傳遞的內容，如果內容違反了企業安全政策(例如含有個人資料或信用卡號)，則可即時地加以阻擋。

網站(Web)安全 – 企業可以將網頁瀏覽的流量導引至雲端服務之中，藉由服務供應商所提供的分析機制，可以阻擋不當的網頁瀏覽和惡意程式的下載。即使使用者已離開了企業內部，仍然可以透過雲端服務，讓使用者的網站瀏覽行為受到保護，甚至可進一步強化使用者在使用網站應用程式時的安全。

郵件(Email)安全 –可以避免使用者掉入垃圾郵件、詐騙郵件的陷阱，即時阻擋使用者打開惡意的郵件附檔，並且透過身分驗證機制、數位簽章和加密方式，來確保郵件內容的正確性與安全。

資安事件管理 – 藉由供應商所提供的資安事件管理平台(SIEM)，可以協助企業匯整所有的事件記錄，並提供關聯式分析來協助企業評估和預防可能的資安事件，並且協助進行處理。對於事件記錄的保存，能提供完整性的防護，以作為安全事件的調查和相關報告的證據。

營運持續與災難復原 – 透過雲端強大的運算能力與可彈性調配的資源，對於無法接受IT服務中斷的企業而言，可以透過雲端來達成應用程式與資料備援的目標，一旦事故發生而需要在另一個地點重啟服務，服務供應商可快速提供在不同地點的應用程式、資料存取和IT基礎設施所需要的各項資源。

盡可能識別並管理雲端風險

藉由雲端所提供的安全服務，雖然能為企業帶來許多優勢，但同樣地它也具備了雲端服務共同存在的弱點與風險，例如企業必須確保網路的暢通與安全的連線管道，才能放心的採用雲端安全服務；雲端安全服務同樣依賴服務供應商與使用者所簽訂的服務等級協議(SLA)規範，一旦協議內容不夠完善或是服務供應商無法達成使用者的要求，使用者同樣需要預先考慮雲端服務的可移植性和資料移轉的問題，這些都是所有雲端服務不可輕易忽視的重點。

最後要提醒大家，目前雲端服務仍在不斷演進與成長之中，雖然雲端運算安全指南已為我們點出了需要關切的安全問題，但是仍然有許多未知的安全風險可能產生，我們唯有持續並盡可能地意識到可能的風險，才有辦法去管理風險，並且將風險降到可以接受的程度。希望這一系列的文章，能夠給所有服務供應商和使用者作為參考，並且讓我們一起來共同努力，才能打造出更好的雲端運算環境，提供更加安全便利的各項雲端服務。(本文刊載於2012年12月號網管人雜誌)

[參考資料]
CSA：Security Guidance for Critical Areas of Focus in Cloud Computing

[觀點] 雲端運算安全入門(十二) - 雲端身分驗證與存取管理

Sun, 06 Jan 2013 14:35:00 +0000

上一次我們談到了雲端資料加密與金鑰管理的佈署重點，需要考量資料所在的位置及傳輸方式，作為選擇對應加密措施的基礎。至於在金鑰的管控方面，針對生命週期中的各個階段，金鑰本身同樣也需要實施適當的保護與備援機制，本文將說明有關雲端身分驗證與存取管理的重點。

在現今網路發達的資訊時代，每個人在每一天或多或少都會使用到各式各樣的資訊系統，像是使用電子郵件、瀏覽臉書，或是進行網路購物、線上拍賣，甚至是網路銀行等。基本上，每當使用者登入資訊系統，並且能夠存取資訊時，至少都會經過三個階段，首先是要確認使用者的身分，其次是系統會決定給予使用者的權限，最後則是留下驗證與授權的各項記錄，以確認是否符合相關政策與程序的要求。

在還沒有雲端服務之前，以上所提到的三個階段，幾乎都是在企業的內部環境中進行，由資訊部門自行來管控，並且互相協調網路、系統和使用的應用程式。但是隨著企業採用了雲端服務之後，這些作業方式就可能會跨出企業的邊界之外，改為由服務供應商來協助提供，而且隨著所採用的雲端服務模式與部署架構，有關身分驗證與存取管理的方式將變得複雜，同時也無法完全由企業內部的資訊部門來完全掌控。

提供身分驗證的安全機制

針對身分驗證與存取管理，業界普遍所提供的資安解決方案稱之為IAM(Identity and Access Management)，在IAM之中至少會有三個層面是必須重視的，分別為驗證(Authentication)、授權(Authorization)及稽核(Auditing)。

在驗證方面，一旦使用者要求登入資訊系統時，必須要確認使用者或是提出要求登入的另一系統或應用程式的身分，所以將會採取一個身分驗證的流程。目前，資訊系統用來驗證身分的方式，不外乎有以下三種：

你知(What you know) – 這是一種最常見，也是所有資訊系統幾乎都會內建的一種身分驗證方式，例如以使用者所知曉的帳號與密碼、約定的暗號及預先設好的問題答案等，這些都是可作為確認使用者身分的一種方式。
你有(What you have) – 藉由使用者持有獨一無二的物件，作為識別身分的憑據，常見的像是身分證(ID card)、提款卡、電子憑證等，作為佐證來判定使用者的合法身分。
你是(What you are) – 這是目前成本比較高昂，也是較難被破解的一種身分驗證方式，所採取的作法就是確認使用者的生物特徵，例如指紋、虹膜、視網膜、臉型、聲音、掌紋、指靜脈等。以上所提到的身分驗證方式，無論是哪一種都可以作為獨立的驗證方法，但是如果能夠同時採取兩種以上的驗證方式，其安全強度將遠遠高於只採取一種的作法，這也就是俗稱的多因素驗證方式，可以有效降低冒用他人身分的情況發生。

在通過驗證之後，並不代表使用者即可完全掌控系統，必須還要依照其身分來賦予適當的安全權限，在這裡有一項資安原則是必須要遵循的，稱之為最小權限原則(principle of least privilege)，也就是說對於使用者，只需要給予其作業所需的最小權限即可，而不是直接給予管理者或其他過大的權限。

無論使用者的身分是一般使用者或是系統管理者，在操作資訊系統的過程中，都必須要保留各項的記錄，以評估應如何適當控制其在合理的使用範圍內，並且可作為確認其是否遵守各項作業程序和政策要求，同時分析可能的安全事件，以降低系統所面臨的資安風險。

身分驗證的佈署方式

對傳統的資訊應用服務而言，在身分驗證方面採取的作法並不複雜，通常是在企業內部架設專屬的目務服務(Directory service)伺服器，並且設定各項存取政策(Policy)，讓各個用戶端設備及使用者，可以連接企業內部的目錄服務，並且可提供給各項應用服務來使用，以減少重覆登入的情況，同時也可串接多重的身分認證來源。

在這種架構之下，即使某些目錄服務有可能位於外部供應商所提供的伺服器中，但通常這是為了避免進行身分驗證時的效能問題，而將目錄服務同步至此一伺服器上，並非由外向內來進行覆寫，在風險方面仍是可以掌控的。換句話說，傳統作法的身分驗證機制，通常都是位於獨立的伺服器上，但是對雲端服務而言，身分驗證的方式卻可能會來自於不同的來源，所需要的授權流程也將改為必須依照供應商所制訂的方式來進行。

企業在採取雲端服務之前，對於身分驗證和存取管理，有以下幾個要素是必須要事先考量的：

身分供應方式 – 對於採用公有雲端服務的企業來說，創建新的使用者和回收已開設的帳號，將是必要的作業流程，所以了解服務供應商是如何提供所需的使用者帳號，以及如何刪除不再使用的帳號，就是必要的功課，這也將有助於企業分析如何將現有的使用者管理方式，進一步延伸至雲端服務之中。

身分驗證方式 – 一旦企業開始採用雲端服務，如何確保所採用的身分驗證機制具有足夠的安全強度，避免受到外來的破解入侵，將是不可輕忽的重點，因此了解雲端供應商的身分驗證方式，包括是否採取了多因素驗證或憑證管理，才可判斷此項雲端服務能否符合企業對於安全的信任和期望。

身分管理聯盟 – 在雲端服務之中，有所謂的身分供應商(IdP)是可以提供企業和服務供應商之間所需的身分管理服務，這時候，了解身分供應商與服務供應商彼此的合作關係，以及對於身分生命週期的管理就顯得相當重要，企業也勢必要了解這種作法，是否可以有效保護系統的安全性，以及確保資料的機密性與完整性。

身分驗證與存取管理的建議

在CSA的雲端運算關鍵指南中，對於身分驗證和存取管理，提出了以下建議，可作為企業在採用雲端服務時的評估基準與參考：

目前的雲端服務，藉由供應商所提供的身分驗證功能，可能無法完全滿足企業所需的功能要求，在這種情況之下，建議企業仍要避免採用獨特的身分連結與管理方式，否則將會增加身分管理的複雜性，以及未來無法易於遷移的問題。
採取業界標準的身分連結方式是最好的，像是目前廣泛運用的SPML模式，如果供應商支援此一服務供應標記語言，將會降低身分管理的獨特性，必要時企業也需要修改其身分授權的資料庫，以便延伸至雲端服務之中。
在身分證認方面，企業通常有兩種選擇，一種是採用企業認證，藉由身分驗證供應商所提供的服務，以聯盟方式來建立與雲端服務供應商的信任。另一種則是讓使用者以個人的名義，透過普遍應用的公有服務，像是Google、Yahoo、Windows live及Open ID等來建立可在多個網站使用的身分憑證。
如果企業使用的是IaaS的基礎服務，為了達成伺服器的管理要求，利用VPN來建立專屬通道，會是較為簡易的驗證方式，若是直接透過應用程式進行相互連結，那麼採用SSL的加密協定是必要的作法，應該確保應用程式在一開始設計時，即具備可接受此一形式的身分驗證。
隨著雲端服務愈來愈多，各項系統的身分驗證要求將形成企業運作的負擔，因此透過身分聯盟來減少登錄系統的要求是可行的作法，但要注意的是在不同的服務供應商之間，如何確保身分驗證的有效性，並提供所需的身分週期管理，將成為評估雲端服務供應商時的重要關鍵。

在雲端的環境之中，各項服務的應用都非常仰賴使用者的帳號和身分，一旦使用者的身分受到冒用或盜用，勢必對企業的營運和資訊安全會造成龐大衝擊，因此選擇具備一定強度以上的身分驗證方式，並事先了解可能面臨的安全風險，絕對是企業必要的功課之一，尤其是雲端服務很可能讓傳統的身分驗證變得更加複雜，並且產生以前所未知的資安風險，這是所有採取雲端服務的企業，務必要有的認知與挑戰。(本文刊載於2012年11月號網管人雜誌)

[參考資料]
CSA：Security Guidance for Critical Areas of Focus in Cloud Computing

[觀點] 個人資料的資安控制措施

Tue, 27 Nov 2012 15:15:00 +0000

在個人資料保護法尚未三讀通過之前，個資保護並不是一個受人矚目的熱門議題，個人資料頂多只是附屬在資訊安全工作中，需要被記錄的一項資訊資產。

雖然資訊安全是一項重要的工作，但是在過去，對於許多企業組織而言，卻不見得是一項必須要達成的營運目標，只有那些具有遠見的管理人員，為了降低可能因為駭客入侵或不當存取而產生資料外洩的營運風險，或是受到上級主管機關要求的政府單位，才會認為資訊安全是一項需要落實的工作項目，進而要求各個部門需要強化資訊安全。

如今，隨著個人資料保護法的實施，個資保護已成為一項勢在必行的工作，許多過去未曾在意資訊安全的企業組織，突然之間被要求需針對個人資料進行保護，並提出因應的相關做法，這時候往往都會感到不知所措。

即使是過去已經導入資訊安全管理標準ISO 27001的單位或是已具有資安風險意識的組織，在面對個資保護議題時也會出現一個很大的疑問，那就是現在已進行的資安工作到底等不等於個資保護工作？這是一個值得探討的問題。

保護個資先從重視資安開始

若是從個人資料與隱私維護的角度出發，我認為可以把資訊安全視為是一項必要的基礎工作，這也就是說，如果一家企業，它的資訊安全做不好的話，想要達到個人資料保護，似乎是不太可能的事。

因此，我們除了依照個人資料保護法條款的要求，必須盡到個人資料蒐集、處理和利用等相關責任義務之外，或許應該先回歸到資訊安全的基礎，針對個人資料來思考一些技術面或管理面的辦法，實施適當可行的資安控制措施，以確保個人資料的機密性、完整性及可用性。

所以，面對個人資料保護法的種種要求，基本上我們可以依照「大處著眼，小處著手」的策略來因應，首先請把握住大方向的資訊安全原則，再選擇可以針對個人資料實施保護的做法，這樣才不會流於只是東拼西湊，最終自亂陣腳而失去方向。話雖如此，那麼到底應該要從何處開始來著眼與著手呢？

對組織來說，建議可以從個人資料生命週期來予以著眼，也就是思考如何在個人資料的蒐集、處理、利用、傳輸及銷毀的過程中，都能實施相對應的管理辦法。目前，這部份可以參考國際經濟合作發展組織(OECD)和亞太經濟合作組織(APEC)的隱私保護原則來進行。

舉例來說，在個人資料保護法中，「蒐集」是指以任何方式來取得個人資料，而OECD和APEC針對個人隱私保護的指導方針中，就提到了個人資料的限制蒐集和告知原則，要求對於個人資料的蒐集應該有所限制，並且應該採用公正、合法的方式，在當事人同意之後才可以進行蒐集，同時也要透過隱私保護政策的聲明，讓當事人能夠清楚其個人資料被蒐集的類別和使用目的。依據這些可供參考的國際原則，我們就可以一一以文件化的方式來制訂相關的個資管理辦法。

至於小處著手的部分，我們可以將確保資料的機密性、完整性、可用性，作為個人資料的基本保護要求，使位於各處的個人資料都能受到妥善防護，以避免可能發生違法或損害組織的資安事件。

維護個人資料的機密性

想要達到維護個人資料機密性的目標，建議採取的資安控制措施，至少要包括資料分級和加密機制。針對資料的分級，相信許多人都知道，不管是紙本文件或電子檔案都可以依照其機密性來分為公開、內部使用、機密等各項級別，但是千萬別忽略了資料分級的目的，不僅僅是為了分級而進行，而是要讓所有人員能夠清楚在處理這些資料時，應該要採取的相對安全作法是什麼，所以除了要定義企業組織中的資料屬於何種級別之外，也要清楚說明其對應要求的安全措施。

例如以個人資料來說，為了尊重個人隱私並符合法律的要求，我們通常會將含有個人資料的文件或檔案，指定它屬於機密等級，因此在實務作法上，為了確保資料的機密性，針對含有個人資料的資訊系統，建議要實施身分驗證和權限控管，以確保只有經過授權的人才可存取。

另外，針對儲存個人資料的主機和資料庫，也要安裝防毒軟體或入侵偵測系統，並且定期修補、檢測是否存有安全漏洞。如果個人資料若需要透過電子郵件傳送給其他人，那麼就應該採取郵件的加密技術，或是針對附加檔案使用常見的壓縮加密方法，以避免電子郵件中途受到攔截，或是因為不小心寄錯收件人，而導致嚴重的個資外洩。

在此要特別提醒大家注意，資料加密只是為了確保內容不會受到不當揭露的基本作法，加密技術的本身並無法確認傳送資料的來源就是正確的傳送者，所以更好的作法是再搭配可識別身分的數位簽章，以確認資料來源的正確性與合法性。

維護個人資料的完整性

所謂資料的完整性，是指資料內容不會受到不當的竄改，並且能夠確保資料在處理和儲存時的正確與完整。因此針對個人資料，我們需要採取有效的身分驗證和授權方式，以確保唯有合法的使用者才能依照其權限來存取編輯個人資料。

針對身分驗證，基本上有三種應用方式，分別為你知(what you know)、你有(what you have)，你是(what you are)。

「你知」是最常見的一種身分驗證方式，例如個人帳號和密碼，幾乎是所有資訊系統都會內建的一種安全機制。在這個機制之中，要注意的是密碼本身是否要求一定長度(例如8碼以上)，具備足夠的複雜度(例如英文大小寫、數字及符號混合)，並且定期(例如3個月)要求使用者更改。

「你有」則是利用實體的憑證和Token等，來佐證其為帳號的合法使用者。

「你是」則是採用生物特徵，例如指紋、聲紋、臉型、虹膜等方式來確認使用者的身分。

如果存放個人資料的系統，能夠採取兩種以上的身分驗證方式，即是所謂的雙因素驗證，其系統的安全強度將遠高於僅採取一種像是帳號密碼的驗證方式。而除了身分驗證和授權之外，保存系統相關的日誌記錄(log)也十分重要，日誌記錄必須能夠完整的記錄系統的存取過程，因此管理人員所面臨到的第一件事，就是需要確認如何蒐集、如何存放，並且保護哪些日誌記錄。

系統的日誌記錄還需要定期的審查，因為它可能指出了正在發生的安全事件，所以一項好的日誌記錄管理系統，至少要能夠廣泛的支援常見的系統、網路、應用程式等所產生的日誌檔案，並且可以實施正規化以進行相關事件的彙整分析，同時也要儲存原始的記錄，以便作為未來訴訟的事件證據。在個人資料保護法中，和個人行為(如瀏覽網頁)有關的軌跡記錄，可能也歸屬於是一種個資，因此同樣需要實施妥善的保護。

維護個人資料的可用性

所謂的可用性，是要確保個人資料能夠在需要使用的時候可以被順利地存取，換句話說，可能會影響到資料存取使用的風險都應該被考量。一般而言，為了確保系統不會受到像是病毒、阻斷服務攻擊等事件，導致系統當機或網路中斷，間接影響資料無法存取的情況發生，安裝防毒軟體、防火牆、入侵偵測系統，已經成為一項基本的安全配備。

如果為了進一步確保和個資存取相關系統的可用性，事先選擇有效的資料備份方式、資安事件處理流程與災難復原計劃就顯得相當重要。在資料備份方面，通常可採取增量備份、差異備份和完整備份等方式，在此需要考量的重點是資料復原點(RTO)的設計，這就牽涉到企業組織必須評估自己能夠忍受多久的資料無法存取的時間。

另外，一旦資安事件發生時，相關部門必須思考其因應的處理作法，過去許多資安事件的處理可能會被歸於資訊部門應該負責的事，但是隨著資料的主體為個人資料時，和個人資料有關的其他部門，都應被納入來一併思考。

舉例來說，一旦發生員工的個資外洩事件，蒐集和處理員工個資的人力資源部門就需要了解可能的發生原因，並且通知當事人目前的外洩情況；儲存個人資料的資訊部門可能需要調閱個資存取的系統日誌記錄；法務部門可能需要評估法律相關的適用條款與賠償問題等。以上這些問題說來簡單，但往往是個資法實施之後的最大挑戰，因此若能及早因應的話，就能有備而無患了。

[觀點] 雲端運算安全入門(十一) - 雲端資料加密與金鑰管理

Sat, 24 Nov 2012 02:44:00 +0000

上一次談到了雲端環境對應用程式部署的影響，我們需要考量資料控制、資源共享和法規問題所可能帶來的風險，更應確保一開始在軟體開發生命週期中，已將安全問題納入成為檢測的重點之一，本期我們將探討雲端資料加密與金鑰管理。

在雲端運算服務之中，若以公有雲為例，雲端資料的儲存基本上是以委外方式來進行，這意味著除了同一個儲存資源會由多個用戶來共享之外，系統管理人員也可能會擁有可存取資料的權限，因此，如何確保資料的機密性與完整性，這是在雲端安全中最常被提出來探討的問題。

相對於傳統的IT服務而言，企業資料皆是存放在內部並且透過內網來傳輸和交換，如果擔心資料可能外洩或受到不當的竄改，最簡單的方式就是採取加密機制。例如使用電子憑證或壓縮加密方式，針對檔案本身來進行加密；或者是針對網路傳輸的管道加密，像是採用VPN或SSL加密等，當然兩種方式也是可以同時使用的。

可是一旦轉換到雲端的環境之中，企業到底該如何來因應這樣的情況呢？一般而言，傳統的加密方式在雲端之上仍舊是可行的，只不過在應用的過程中可能會讓作業模式變得較為複雜，進而違背了當初選擇採用雲端服務可以簡化資訊服務的初衷，所以是否要採取加密的作法，往往會讓企業陷於兩難的思考。

評估資料轉移後的安全

針對重要的商業營運的機密性或是和個人有關的敏感性資料，我們實施安全管控的目的是希望能確保它的安全，因此可能會採用身分驗證、存取控制和資料加密等種種措施來加以防護。不過，當資料可能從原先受到良好控制的環境，移動到不同的儲存地點或儲存媒體時，必須注意到原有的安全機制是否仍然存在。

舉例來說，某些資料存放在內部檔案伺服器時，在存取時會受到帳號密碼和系統權限的控管，但是當這些資料備份到磁帶之後，原先的安全機制可能會無法生效，因此必須採用其他補償性的作法，包括檔案加密、可上鎖的容器、專人遞送等，都是可行的辦法之一。同理，一旦資料移轉到雲端環境之中，也千萬別忘了要採用對應的安全措施，以避免資料受到侵害事件的發生。

雲端加密的佈署重點

對許多的雲端服務供應商來說，為了提高用戶對於雲端服務的信心，同時也避免可能的資料外洩問題，在其所提供的服務中，資料加密往往會是標準的安全配備之一，只是對於雲端用戶來說，除了期待供應商能夠提供這樣的安全機制之外，為避免可能會有供應商的內部員工不當存取，以及確保未來資料可以徹底的銷毀，也會採用自我的加密方式，為資料安全提供更多一層的保障，同時也降低對於供應商的過多依賴。

目前，在雲端環境之中，企業需要考量的加密實施重點，大致有以下三個層面：

加密靜態存放的資料 – 對於採用雲端儲存的用戶，如果資料需要長期的存放，可在採取自行加密之後，再傳輸到服務供應商所提供的儲存環境，這樣的作法可以讓用戶管理加密的金鑰，在必要時再自行將資料加以解密。

加密動態傳輸的資料 – 一旦資料離開可自行控管的安全邊界，需要傳輸到服務供應商所提供的雲端環境之中，並且在供應商的網路進行傳輸時，必須要確保資料能受到妥善防護。所以在選擇服務供應商時，就要先了解其針對資料傳輸的實際作法，評估是否具備所需的安全強度，並且明訂在合約之中。

加密備份媒體的資料 – 資料的備份若是採用一般的備份媒體如磁帶、光碟等，服務供應商通常會提供相關的加密作法，但這也會需要用戶來自行驗證加密的可靠性，並且確認資料可以在解密之後完全復原。

萬一在雲端的環境之中，實施資料加密的方式是有困難的，而且可能會對用戶或服務供應商的營運流程造成干擾，其實還有一些替代性的作法。例如用戶可以依賴供應商所提供的整體安全機制，但是當發現傳輸至雲端的資料若含有敏感性內容時，可以利用自行建置的資安產品技術，在資料傳輸之前將它修改，並加入可追蹤的資料標記。另外，如果傳輸的是可識別至特定個人的資料，也可以預先將特定的欄位內容進行模糊化，例如姓名、身分證字號、信用卡號等，以避免違反了個資法規的要求。

金鑰管理的安全建議

在雲端環境之中，採用加密的好處是可以強化資料的存取安全，同時也能確保一旦資料需要徹底銷毀時，透過銷毀加密所使用的金鑰，讓資料不會殘存在服務供應商或是輕易地被還原。但是考量到雲端多租戶的特性，對於公有雲的服務，使用單一金鑰方式來加密所傳輸和儲存的資料是不被建議的，而且為了避免過度依賴供應商，建議由用戶自行來維護加密機制並進行金鑰管理，將是比較適合的安全作法。

基本上，雲端的金鑰管理方式，相較於傳統金鑰管理要求是相同的，其考量的重點包括了：

金鑰的儲存保護 – 金鑰的處理方式應如同其他敏感的資料，因此在傳輸、存放、備份時都需要受到妥善的防護，尤其是金鑰的儲存地點要避免和加密資料位於相同的儲存媒體，以避免連帶性的災難同時發生。

金鑰的存取控制 – 誰可以取得並使用金鑰，是金鑰存取控制實施的重點，為了限制只有特定的個體才可使用，因此強健的身分驗證機制和職務角色的分離，都可以預防發生不當的資料存取事件。

金鑰的備份還原 – 金鑰一旦遺失，也就意味著資料再也回不去了，所以針對經過加密的重要資料，必須建立其安全的金鑰備份機制，在管理的作法方面，可以參考一些國際的協議和標準，例如OASIS和IEEE1619.3等。

在CSA的雲端運算關鍵指南中，針對金鑰管理方面，也提出了以下可供參考的建議：

無論採取何種加密和解密的產品方案，都應採取業界認可的金鑰管理實務作法(best practice)，並確認其來源的可靠性，加密方式也要依循相關的行業要求與政府標準，避免採用老式的加密作法如DES等。
請建立一系列的權責區分運作方式，例如將雲端服務供應商和金鑰管理方式分開，並且了解供應商的人員管理是否實施了職責分離，以避免系統管理員權限過大。
如果金鑰管理的機制是由雲端服務供應商所提供的，必須要確保金鑰的產生、使用、儲存、備份、還原和銷毀等生命周期，已經有適當的定義並導入管理作法，並且也要了解供應商如何區隔與管理多租戶在金鑰方面的使用。
針對金鑰的註冊和使用流程應進行完整的測試，尤其當企業採用了DLP方案或檔案內容偵測系統時，應確認相關的加解密動作可以順利的進行。
建議可將加密機制與金鑰管理運作與企業的身分驗證機制相結合，將可獲得彈性化的運作，並且易於進行安全審查和稽核。
包括靜態、傳輸和備份的資料，都應該納入加密的考量，如果採用了IaaS服務，包括虛擬機器(VM)的加密機制，也必須事前進行評估和了解。

了解您的雲端安全責任

在雲端服務之中，藉由服務供應商所提供的操作介面，我們看似可針對所擁有的資料進行上傳、編輯、下載等，進行種種的管理，但事實上用戶對於資料的掌控是受到限制的，例如無法得知資料實際所在的位置、資料被備份存放的地點，以及資料是否已完全進行銷毀等。因此，若想要避免可能的資安問題，並非都只是將責任完全轉嫁給服務供應商，自己不需要採取任何的安全措施。

當然，安全控管的實施內容是取決於用戶如何看待其所存放的資料，從現階段來看，在雲端服務之中，資料加密和金鑰管理已是可用來保護資料的機制，至於該如何實施，這就牽涉到用戶本身的企業營運模式，也請您務必要將法規風險放在其中來加以審慎評估了。(本文刊載於2012年10月號網管人雜誌)

[參考資料]
CSA：Security Guidance for Critical Areas of Focus in Cloud Computing

[觀點] 工作職場個資與隱私保護

Wed, 21 Nov 2012 14:11:00 +0000

隨著個人資料保護法的正式實施，目前與個人隱私保護有關的議題也逐漸躍上檯面，事實上，個人隱私是屬於憲法保障的人格權之一，因此對企業雇主而言，除了含有隱私的個人資料檔案，必須要有妥善的防護措施之外，如何去尊重員工的個人隱私權，確保工作職場的隱私保護，已是責無旁貸需要重視的地方。

依據個人觀察，有些企業老闆因為擔心員工將公司的網路、電腦拿來公器私用，所以喜歡安裝一些網路監控或電腦監看的軟硬體，以達到監督員工的目的，卻不知道在未告知員工的情況下，擅自實施這樣的作法，很可能已經侵犯到員工的隱私權。

最近，由某家人力資源業者所公佈的一份調查發現，有五成的上班族在求職時，曾遭遇過雇主詢問個人隱私的問題，包括像是身體特徵、婚姻情況、政黨問題等，這項結果也引發立委提案要求修正就業服務法，增列要求雇主不得詢問與工作內容無關的個人隱私資料。

隨著社群網路的興盛，所引發的隱私問題也更受到民眾的關注，這也促使相關業者，像是微軟和Google紛紛增聘了隱私保護專家和律師團隊，處理來自於產品或應用服務本身，所引發的隱私問題。對此，Facebook甚至打算修改隱私政策，禁止公司和政府單位查看求職者的詳細社交資訊，並且由隱私長公開聲明，提醒雇主不得在面試時，要求求職者必須交出個人的Facebook帳號和密碼，因為這將會涉及侵犯隱私，並且可能需要承擔法律的責任。

工作職場個資注意事項

對大多數的企業而言，人力資源部門(HR)是蒐集個人資料的主要窗口，HR所接觸的個人資料，可概分為求職者與內部員工的資料。對求職者來說，想要應徵獲取一份工作，就必須要準備好自己的履歷，無論是自行投遞，還是透過人力銀行業者來發送，在這份履歷之中，至少會提到個人的姓名、住址、電話、學歷、工作經歷、自傳等資訊。

如果HR因為求職者沒有被錄取，不去善盡保管責任而任意棄置履歷，很可能就會損害到個人的隱私。另外，即使求職者順利應徵成功，依約定日期至公司報到之後，通常也需要按照HR的要求，填寫員工的個人基本資料，而在這份資料之中，對於隱私的揭露程度將來得更高，因為員工可能需要填上出生日期、身高體重、服役記錄、個人照片、親屬資料和緊急聯絡人等，關於這些資訊是否都要一一揭露，蒐集的目的到底是什麼，未來隨著個資法的要求，HR必須要了然於心才行。

所以，人力資源部門的朋友們，請務必注意了，一旦個資法實施之後，貴部門可能就是首當其衝的單位，為了因應法規的要求，以往人資單位的個資蒐集流程，像是新人報到需填寫的資料內容，可能就要進行適法性評估，對於這些所建立的員工個人資料檔案，也要建立足夠的安全控制措施。換句話說，在蒐集、處理和利用員工個人資料方面，基本上就要注意以下幾點：

在蒐集個資時 - 是否已依照法令規定告知當事人，所蒐集個人資料之目的和利用範圍等相關資訊。HR要注意所蒐集的個資內容，是否與該員工負責的職務有明顯的關聯需要，以避免個資的過度蒐集。基本上，應避免蒐集太過敏感的隱私資料，例如醫療、基因、性生活、健康檢查和犯罪前科，除此之外，包括宗教理念、性別傾向、政黨理念、身體特徵等，也要盡量加以避免。如果真的需要蒐集敏感個資，那麼就要清楚所引用的法源依據為何，以免受到員工的質疑。

在處理個資時 – 個資的新增、刪除、修改，是否有妥善的身分驗證與存取控制，對於資料的保管地點與保管方式，也要實施安全強度的評估，尤其是存放個資檔案的主機和相關設備，是否有足夠的安全機制，以確保資料的機密性與完整性。另外，也需要制訂個人資料的查詢處理流程，以回應當事人對主張個資權利時的查詢請求。

在利用個資時 – 考量相關的使用是否符合當初的蒐集目的，並且在合法的範圍之內，如果利用目的與當初蒐集時不符，就要重新取得當事人的書面同意。在資料交換方面，萬一個資需要進行跨國的傳輸，就要考量當地的法律限制，並採取加密的保護方式，同時要求對方也要盡到個資保護責任。最後，與個資有關的查詢、調閱等，都要留下記錄，以作為實施資安稽核時的參考。

尊重工作場所的個人隱私

在工作場所中與隱私有關的事項，最常見的就是對於場所的監控錄影，事實上這已是一種普遍的行為，雇主為了要確保資產的安全，在重要的出入口設立門禁管制、監視系統、進出登記等，這些都可以被大多數的員工接受，因為這同時也保護了員工在工作場所的安全，但建議應該在新進員工訓練時，進行相關事項的說明。

隨著資訊科技的發達，現在針對資訊系統的監控也變得非常容易，比較正面的作法像是病毒的偵測、垃圾郵件的過濾、應用系統的存取活動記錄等，這些都是比較容易能夠讓員工理解與接受的行為。但是在這些範疇之外，是否會有假藉監控之名，而行侵犯隱私之實，這就存在著許多模糊的空間。

例如，有些公司會以資產管理名義，以桌面拍照、鍵盤測錄的方式，記錄員工所輸入的所有內容，來掌握員工對內對外的資訊溝通行為。另外，也有公司會監看即時通訊軟體所傳送的資訊，並且記錄利用電腦上網所瀏覽的網站和停留時間。以上這些作法，是否會觸犯隱私相關法律，這些需要留給法律專家來予以解讀，但站在資安管理的實務面來看，建議公司若要進行資訊監控，務必要在管理政策中，公開說明是為了何種目的以及如何來實施，藉由預先告知員工公司的監控行為，取得員工的同意之後再來進行，將可大幅減少有關隱私侵犯的爭議。

以電子郵件的監控而言，有些公司會事先向員工聲明，所提供給員工的各項資訊設備，皆是屬於公司資產，僅限於與工作目的或業務方面的使用，其他與工作無關的個人資料，請勿放置在公司電腦上，也不要透過公司的電子郵件系統來進行發送。而為了能夠有效確保資訊安全，公司保有檢查郵件系統的權限，在過程之中，有可能會檢視到屬於員工帳號的郵件內容，請員工務必要小心注意。在實務方面，若能透過以上的事先聲明，再取得員工同意進行簽署，這種事先告知且尊重員工的作法，會比較容易讓員工理解並接受。

個資安全是兩方皆有的責任

對雇主而言，一旦員工進入公司任職，公司就必須依照內部的管理制度和相關法律，審慎並尊重員工的隱私，直到雇用關係終止，甚至在終止之後仍要盡到法律要求的保密責任。所以在個人資料的處理和利用方面，原則上就應該秉持公開、合理的目的，並且事先讓員工知情，同時管理階層也需要建立明確的個人資料與隱私保護政策，切實遵守以符合員工對於個人隱私保護的期待。

最後，如果不是雇主，而是有員工蓄意違反公司的隱私政策，意圖窺探、濫用或竊取他人的個人資料，針對員工違反個資保護的行為，雇主應該要如何處理呢？建議可以依照以下的步驟來實施：

記錄員工的基本資訊，包括姓名、部門、到職日期、直屬主管、訓練記錄等。
完整描述員工的不當行為，包括日期、時間、違反的行為舉動等。
準備與個資保護有關的法規，包括公司的個資保護政策、個資法條款內容等。
正式發函給員工，通知並要求其立即改善不當的行為，確認此通知函已傳達給員工，保留文件和簽署記錄等。
在通知內容中，說明如果員工行為未實施改善，其可能面臨的懲處後果，提醒這些不當的行為記錄也將呈現在其員工檔案之中。
如果事件已超出公司管理的範疇，則可依照合約或訴諸法律途徑來解決。

在現今的工作職場之中，有關個人隱私保護的相關權責仍然曖味不明，許多員工為了擔心飯碗不保或升職考量，只能選擇默默承受一些不公平的待遇。但雇主的監控行為到底是為了資安管理？還是侵害隱私？這其中的確存在著一條難以界定的界限，只能呼籲雇主務必要參照法律要求和資安專家的建議，審慎地因應以避免觸法了。

[觀點] 網站隱私與個人資料保護

Mon, 12 Nov 2012 15:10:00 +0000

Google之前宣佈，為了精簡與整合60多項所提供的服務使用條款，包括了搜尋、電子郵件、影片、地圖等服務，將在2012年3月1日起實施更新的隱私權政策。雖然Google表示此一調整將讓隱私政策更加簡單易懂，而且絕對不會販售使用者的個人資訊給第三方，仍然在國內外引起了許多的意見與關注，歐盟隱私單位甚至提出在相關的調查結束之前，希望Google能暫緩實施新的隱私政策內容。

目前，透過網站蒐集資料是最簡便快速的方式，組織要如何因應個人資料保護法的要求，確保個人隱私和資料安全，已是必須要審慎因應的重要課題。

對大多數的組織而言，關於個人資料的蒐集，主要區分為二種方式，一種是非自動化的蒐集，也就是所謂傳統的資料蒐集方法，透過人為訪談記錄或填寫紙本文件來取得個人資料；另一種則是自動化的蒐集，也就是透過網站和應用程式來獲得個人資料。

網站蒐集個資的行為

線上服務業者透過網站來蒐集和個人有關的資料，也可分為主動和被動二種模式，主動模式是指透過網頁提供的表單空格、單選或複選的選項、下拉式選單等項目，讓使用者依照網頁說明來輸入或選擇對應的資料。在蒐集時應注意只蒐集必要的資訊即可，並且清楚標示需要使用者提供的內容，讓使用者能夠明白哪些是必要的資訊、哪些則是可以自由選擇是否填寫的內容。

至於被動的蒐集模式，則是指在使用者比較無法察覺的情況下，蒐集使用者瀏覽網頁的行為或使用網站互動功能的記錄，這種蒐集方法，主要是透過一些技術性的措施來達成，例如使用Cookie、Web beacon來獲得使用者的裝置資訊、位置資訊、應用程式版本、偏好語言等資料。

大多數的網站都會使用Cookie來追縱記錄使用者的瀏覽行為或身分資訊，Cookie是一個非常小的文字檔案，在瀏覽網站的時候會儲存到電腦中，它的內容包括了識別名稱或號碼、網域名稱及有效日期等，當使用者下一次再瀏覽同一個網站時，透過Cookie就可以識別使用者，並且自動載入使用者的偏好設定。Web beacon則是一個很小的單點圖像，通常是放在電子郵件中來判斷使用者是否已經開啟郵件，也可以和Cookie搭配使用，用來記錄使用者所瀏覽的特定網頁資訊，以及作為瀏覽人數的計算或廣告點選次數統計等。

無論採取主動或被動的蒐集模式，組織透過網站蒐集個資的行為，都必須要盡到告知使用者的義務，目前最簡單的方式是透過網站蒐集資料聲明或是隱私政策宣告，讓使用者能夠得知個人的資料是如何被蒐集，以及如何被利用。當然，使用者最關心的是所有被蒐集的個人資料，是否會受到妥善的防護，避免不當的揭露或對隱私造成損害。

網站個人隱私政策

在網站的個人隱私保護政策中，建議業者必須具體說明蒐集資料的目的、蒐集的方法，以及將會如何處理和利用。一般而言，至少需要說明以下項目：

所蒐集的資訊內容 – 網站所主動蒐集的資訊，可能包括要求使用者提供姓名、住址、電話、出生日期、電子郵件等，若網站提供了電子商務服務，也會要求提供信用卡號碼和帳單寄送地址等項目。至於被動蒐集的內容，則可能包括時間、日期、使用者裝置的IP位址、作業系統類型、網頁瀏覽器版本、頁面瀏覽的記錄、搜尋的關鍵字內容、點選連結的網址、地理位置資訊等。透過以上這些資訊，將可以用來了解使用者的瀏覽偏好和顯示個人化的廣告內容等行為，建議業者應該在隱私政策中清楚說明所有可能主動或被動蒐集的資訊內容。

隱私政策適用的範圍 – 說明隱私政策是否適用於網站業者提供的所有服務，或是僅限於特定服務的內容，尤其像是網站如果提供了廣告服務，或是某些互動服務可能連結其他特定網站，也需要讓使用者明白隱私政策是否同樣適用這些服務。

資訊的利用與揭露 – 以使用目的來說，蒐集這些個人在網站上的使用資訊，主要是為了搭配網站所提供的互動功能，或是提供使用者更快速的服務，當然也可能是為了提供更精準的個人化廣告。在隱私政策中，業者需要說明所蒐集的資訊將會如何使用，例如用來聯絡通知業者所提供的產品或服務資訊，或是顯示個人化資訊內容和廣告服務。同時如果還需要與其他組織分享所蒐集的資訊，也必須清楚說明使用者的權利並告知使用者，個人資訊若未事先獲得使用者同意，將不會對第三方揭露各項資訊內容，但若是為了因應法律要求，則將會依照相關規定提供執法單位所需要的資訊。

使用Cookie和Web beacon – 大多數的網站都會使用Cookie或Web beacon來追蹤使用者的行為，在隱私政策中，應說明使用者是否可以決定接受或拒絕Cookie，或是刪除已接受的Cookie內容。目前大多數的網頁瀏覽器，都可以讓使用者決定是否自動接受Cookie或是僅接受當下所瀏覽的網站所傳送的Cookie，同時，使用者也可以自行刪除過去瀏覽時曾經接受的Cookie。但是，業者也必須說明若使用者不接受Cookie時可能會造成的影響，包括像是無法使用網站特定服務，或是不提供的網站廣告和互動功能。

如何確保個人資訊的安全 – 說明所蒐集的資訊儲存方式和存取機制，以及所遵守的法規和所採取的安全控制措施，例如說明當個人資訊透過網路傳送時，資訊內容將會採取加密方式，以避免受到不當的竄改或揭露。

使用者的權利 – 說明使用者是否可檢視及編輯網站上的個人資訊、是否可要求更正無法自行變更的資訊、是否可要求停止接收網站所提供的個人化資訊服務如廣告顯示方式和行銷電子郵件等。

隱私政策的變更流程 – 說明隱私政策可能會不定時進行更新，以符合服務的內容和相關法規及客戶的要求，在變更生效之前，業者將會採取公告方式，或是個別寄送郵件通知給使用者，以告知所變更的各項內容。

業者的聯絡方式 – 說明若使用者對於隱私政策的內容有意見或問題時，要如何與業者聯繫，通常可提供寄送問題的電子郵件信箱，或是提供電子表單讓使用者自行填寫，也可以直接提供業者的服務電話等。

落實網站個資安全

在隱私政策之中，說明並強調業者所採取的資訊安全措施，也是贏得使用者信賴的一個重要項目。除了基礎的安全技術，像是防火牆、主機安全防護和存取身分驗證之外，建議業者對於網站提供的安全機制，至少還需要包括二大層面，分別是資料傳輸的安全和應用程式的安全。

針對網站資料傳輸，目前最常採用的就是SSL加密機制，在傳輸像是密碼、帳戶等敏感資訊時，可以透過它提供所需的基本安全防護。至於應用程式的安全，則包括了業者在網站應用服務建置的初期，針對應用程式安全就要有妥善的考量，例如使用安全的開發工具、避免使用含有弱點的程式語法，以及進行應用程式弱點掃描、網站滲透測試等，這些都是業者可用來強化安全的實際作法。

除了業者所宣稱的安全措施之外，對使用者來說，也可以透過第三方所提供的信任標章，作為對個人隱私保障判斷的依據。業者想要獲得標章，就必須遵守對於隱私保護的各項要求，例如需要實施的安全技術和管理機制，並且通過定期的稽核，並提出相關報告，才能取得資格在網站上展現此一標章，讓使用者可以驗證其所提供的隱私保護。

目前，國外有三大標章是可信賴網站的象徵，分別為TRUSTe、BBBOnline和WebTrust，在國內則有經濟部針對電子商務產業，所推動的台灣個人資料保護與管理制度(TPIPAS)，其中所提供的資料隱私保護標章，也可作為使用者在進行線上交易或使用網站服務時的隱私保護參考。

[觀點] 雲端運算安全入門(十) - 雲端上的應用程式安全

Sun, 04 Nov 2012 13:11:00 +0000

上一次說明了資料中心的營運重點，包括如何更有效率地管理與因應雲端服務所衍生的彈性化需求，也提到了必須要求服務供應商在發生資安事故時進行通報，並依照事前所擬定的應變流程進行處理，同時也要保留相關的記錄作為事故檢討，本文將探討在雲端之上的應用程式安全。

資訊科技改變了世界，影響了所有人的生活，藉由資訊科技所提供的各項資訊服務，使得企業的經營運作更加地便利。對於傳統主從式架構(Client-Server)的應用服務而言，無論其資訊應用是檔案存取、電子郵件或是網頁瀏覽等，在程式的開發設計與維運方面，許多企業都累積了多年的經驗因而駕輕就熟，針對來自於軟體、作業系統、網路架構等可能產生的安全風險，隨著許多資安事件的發生，慢慢地也產生了安全意識與認知。

不過，隨著雲端運算的出現，當這些應用程式部署到雲端之中，無論採用的型式是軟體即服務(SaaS)、平台即服務(PaaS)或基礎架構即服務(IaaS)，依照其服務型式的不同，應用程式的安全管理卻變成了一大挑戰。其主要的原因是傳統的應用服務大都來自企業本身資訊部門，無論開發、部署、維運、事件處理，有任何問題都能找到對應的窗口與負責的人員，但是對公有雲的雲端服務而言，本質上就是一項委外服務，也就表示以往既有的安全管控作法，也就必須要延伸至服務供應商的領域之中。

雲端環境對應用程式的影響

隨著雲端運算的廣泛運用，一旦將應用服務移轉至雲端環境之中，部署至雲端的應用程式，就會與多種不同的系統之間彼此產生依賴關係，這對於應用程式的配置與部署將變得十分複雜，而且在管理的責任方面，甚至有可能因為應用服務的運作資源，分別屬於不同的服務供應商，當有問題發生時，也就需要花費更多心力在協調與溝通。

此外，如果使用服務供應商所提供的雲端開發工具，在應用程式開發過程中就會影響既有的軟體開發生命週期(SDLC)，包括了設計、開發、文件管理、品質管理、測試、上線、維運與除役等過程，這些與企業既有的作法可能會有明顯的不同，而且開發工具的提供是來自於服務供應商，因此工具的可用性與安全責任的歸屬，必須要在事前就進行討論並達成共識，以避免日後產生不必要的爭議。

更重要的是，傳統上像是由網站應用程式所提供的資訊應用服務，本身就面對了許多來自基礎設施、作業系統、應用程式本身、網路架構的弱點等，所衍生出的資訊安全問題，這些問題一旦未獲得適當的控制或解決，當它部署到雲端環境之中，這些安全弱點同樣是存在的，而且有可能引發來自外部眾多安全威脅的利用，所以就需要我們在安全方面實施有效的管理與更多的關注。

確保雲端應用程式的安全

無論是雲端服務供應商或是用戶，針對支持應用程式運作的系統和相關存取的資料，都必須事先了解其可能面臨的安全風險，一般而言，其主要的風險包括：

缺乏安全管理 - 管理階層沒有意識到雲端服務可能帶來的新風險，缺少安全政策可作為依據來實施管理和稽核，也沒有實施對應的安全措施。

資料難以控制 - 雲端的特徵是資源虛擬化，並同時提供給眾多的用戶來使用，雖然用戶看似可以管理雲端上的資料，但實際上卻難以得知資料的所在地，以及相關的存取與銷毀作法，這一切都需要依賴服務供應商來協助進行。

資源隔離問題 - 由於雲端的多租戶特性，可讓來自世界各地的用戶共享資源，一旦供應商無法有效隔離共用的資源，保持像是記憶體、儲存空間、網路傳輸的獨立性，就可能會導致資訊的機密性、完整性和可用性受到侵害。

法規遵循問題 - 雲端服務打破了疆界的限制，也面臨了不同區域和產業的法規要求，礙於雲端服務本身的透明度先天不足，如果缺乏後天有效的監控機制，服務供應商也無法提出相關的法規遵循保證，將使雲端服務面臨可能違反法規的問題。

為了因應雲端服務的安全風險，企業的管理階層需要及時提供雲端所需的各項資源，以確保有足夠的能量來因應可能發生的雲端安全問題，因此，若能在事前擬定一個應用程式安全確保計畫(Application Security Assurance Program)，將會是比較好的作法。

在這份計畫之中，至少需要涵蓋應用程式的設計、開發、部署、轉移與維護等過程，並且設定明確的目標與可量測的方式，以及如何實施與追蹤確認等，同時也要為應用程式設定所需的隱私與安全政策，以符合法令法規的要求。此外，應用程式在雲端上的相容性問題，也是不可忽視的重點，建議在程式開發的過程中，即確保使用業界認可或標準的工具與程式語言，以避免存在已久的安全弱點或相容性問題發生。

至於資料的存取安全問題，則應確認服務供應商提供了足夠強度的身分驗證機制，並且採用適當的隔離作法，在應用程式的組態與變更管理方面，除了建立標準的作業流程，更應保留和提供可稽核的各項日誌記錄。由於雲端服務在安全風險方面有繼承的特性，所以也要了解應用程式底下的開發平台運作、基礎設施的實體安全，尤其當這些服務是來自於服務供應商本身所倚賴的第三方供應商。

雲端應用程式的佈署建議

針對雲端應用程式的有效佈署，並且降低可能的安全風險，以下是來自雲端運算關鍵領域指南中所提供的實務建議：

傳統的應用程式開發流程強調軟體開發生命週期(SDLC)，即使到了雲端環境也仍然要繼續維持，在各項流程之中所設定的檢查點，需要納入資訊安全的要求，包括針對雲端安全威脅與弱點的評估、系統上線前的安全檢測等。
當應用程式之間的通訊必須跨越不同主機時，即使主機是位於同一個資料中心，或是以虛擬主機型式存在同一台實體主機上，也不要預先假設在彼此之間的通訊是安全的，安全通道的建立與加密機制的採用仍是必要的安全措施。
針對雲端應用程式的運作，需要了解其日誌(log)的產生與儲存方式，因為相關的系統訊息可能是敏感的，所以對於應用程式日誌和測試記錄，其儲存的地點與安全控管就顯得十分重要。
在考慮各項針對雲端的資安威脅時，除了來自外部的入侵行為之外，不要遺漏了內部管理可能的人員威脅，因此需要確保人員的「最小權限原則」與「職責區分」，避免權限過大或是集中在某一特定的人士手中。
評估合法用戶可能的非法入侵或濫用問題，建議可採取縱深防禦的方式，也就是在不同的階層實施安全管控，例如採取虛擬主機隔離、資料加密、金鑰管理等，並確認當系統發生錯誤時，預設應為禁止使用者和其應用程序來存取系統。
對於雲端應用程式的漏洞修補與安全檢測，應採用合適的工具與流程，事先評估漏洞修補的影響層面與必要性，將有助於萬一因修補而導致意外的資安事故時，可因應的處理方式與範圍。
用戶若是需要針對服務供應商所提供的應用程式、開發平台或基礎設施進行弱點評估或滲透測試時，務必事先取得供應商的同意或明訂於合約之中。由於雲端服務具有多租戶的特性，為避免無法分辨合法的測試或是實際攻擊行為，一般供應商都會限制評估測試的範圍，甚至也可能會拒絕此一要求，此時就應尋求其他的替代方案，例如由供應商定期自行測試，並且提供評估報告。
實施原始碼檢測(Code review)，定義所採取的作法和所依循的標準，評估常見的問題(如Buffer Overflows, SQL injection)，並進行動態的原始碼分析，以便在發現弱點時可以進行修補。此外，應避免在雲端主機上揭露過多的應用程式運作資訊，並對第三方所提供的程式庫(binary)進行弱點評估。

在雲端之上的應用程式，其牽涉的安全議題相當的廣泛，對企業而言，最簡單的方法還是回歸到在部署之前，即預先建立應用程式的安全確保計畫，以進行應用程式的風險評估，了解應用程式可能對企業產生的衝擊，以及是否可以有效採取對應的安全控制措施，作為判斷此應用程式是否適合部署至雲端之上的基礎。

其次，在應用程式運作的過程中，需要了解相關的組態變更管理與事件處理作法，並且要求定期實施測試、稽核或檢視其運作狀態。

最後，請用戶務必與服務供應商維持良好的溝通管道，以因應法規要求來獲得各項必要的協助與支援，這樣將可讓雲端服務成為企業營運的利器，不致於對營運反而產生不必要的風險。 (本文刊載於2012年9月號網管人雜誌)

[參考資料]
CSA：Security Guidance for Critical Areas of Focus in Cloud Computing

[觀點] 雲端運算安全入門(九) - 資料中心營運與事故回應處理

Mon, 29 Oct 2012 15:36:00 +0000

上一期說明了傳統的實體環境安全、營運持續計劃和災難復原，與雲端運算之間所具有的緊密關係，這些傳統的資安問題，仍然會深深地影響雲端服務的佈署與運作，接下來本期將要說明資料中心營運與資安事故的處理與因應事項。

在雲端服務還沒有成為熱門的議題之前，資料中心就已經存在IT的運作環境之中，因為資料中心可以提供共享的資源，包括伺服主機、儲存設備等，透過集中化的方式以達到更有效率的管理。但是傳統的資料中心，通常為了滿足擴充的需求，在設計架構上會特別提供超出水準之上的資源，一旦若是閒置而未充分地利用，相對地反而耗費了許多管理與能源消耗的成本。

隨著雲端服務的興起，資料中心的資源共享模式，正好滿足了雲端服務的主要特徵，因此資料中心的建置數量也隨之不斷地增長，以提供更多雲端服務所需要的運算資源，而且傳統閒置資源可能造成的浪費，也透過如虛擬化技術的運用，可以實施彈性且自由度高的擴充作法，以最佳化各項硬體設備與支援服務的使用。

評估資料中心的服務能量

對雲端服務的用戶而言，在一開始評估是否要採用雲端服務，並且選擇合適的服務供應商時，就應該將服務供應商是否有能力可提供所需的運算資源、可彈性地擴充調配，並具有足夠的成本價格競爭力納入考量。同時，更重要的是在提供雲端服務的過程中，是否有足夠的能力可以因應處理可能發生的資安問題，這包括了基礎設施與技術架構的設計、符合要求的服務持續性與可用性，以及在資安事故發生時的回應速度與處理的可靠性等。

事實上，在採用雲端服務之前，就要對資料中心進行有效的評估並不容易，因為這有賴於服務供應商願意配合的程度，以及用戶本身對於基礎設施與技術架構的理解能力。用戶除了可親自到場觀察資料中心的軟硬體設備之外，將各項服務水準指標呈現在服務等級協議(SLA)之中，並且獲得供應商的確認與回覆，通常也會是比較可行的作法。

另外，透過詢問相關的服務問題，也將有助於用戶進行事前評估，例如了解供應商是否依賴第三方提供服務運作所需的資源？當用戶需要擴充運算資源時，供應商如何進行動態的調整配置？一旦所租用的資源達到上限時，供應商如何即時地將更多資源不中斷地提供給用戶？請觀察服務供應商對這些問題的回應，是否可以滿足自己的規劃與需求。

選擇資料中心的評估建議

當用戶與雲端服務供應商簽訂合約時，在資料中心的運作方面，CSA的雲端運算關鍵領域指南，提出了以下建議可作為用戶的參考：

用戶必須評估服務供應商所提供的雲端運算服務，是否可滿足雲端運算的五大關鍵特徵，包括廣泛的網路存取方式、快速且彈性的架構、可量測的服務、按照需求自行調配、虛擬化的資源池等，以了解其基礎設施和技術架構，是否可達到服務等級協議的要求。
了解服務供應商如何進行資源的彈態調配以及主要來源，在服務等級協議之中清楚的設定各項服務指標，確保彼此在一個可量測的基礎之上來擬定合約內容。
了解服務供應商是否有持續改善或擴充資源的計劃，一旦服務供應商本身在政策、作業流程、應用工具的改變，都有可能對用戶所採用的服務造成影響，如果服務供應商承諾將會持續地優化其服務內容，這將會是服務供應商良好的市場競爭條件。
由於雲端服務的多租戶特性，請評估服務供應商在提供眾多客戶相同的服務時，在系統、網路、資料、人員和管理方面，是否能夠達到有效的隔離與職責區分，以避免不同用戶之間可能產生的干擾與影響。
對雲端服務供應商而言，提供技術服務的窗口或是服務台(helpdesk)，會是影響客戶觀感的重要項目，因此提供標準化的作業流程與工具，將能夠大幅提升問題處理的能力。對於用戶來說，如果服務供應商的服務支援方式與組織內部的IT服務方式相同，就能更有效地處理可能發生的事故或問題。
針對營運持續的問題，用戶應了解服務供應商的營運持續與災難復原計畫，評估其進行事故處理的方式，例如如何為系統更新修補程式，是否有既定的政策與流程？是否進行演練，以驗證各項計畫的有效性等。換個角度來看，用戶也應將採用雲端服務，在服務中斷時可能造成的影響與處理方法，納入本身的營運持續管理之中。

了解資安事故監控與通報

雲端運算服務的特色與傳統IT服務有著明顯的不同，它不再只是單一服務，提供給單一用戶來使用，因此只要有一些小小的變動，都有可能影響到眾多來自不同組織的的用戶，所以在資安事故的處理方面，更需要小心謹慎地來進行，而且為了滿足不同用戶的需求，更需要建立有效的應變機制才行。

在雲端的世界裡，資安事故的發生不可能百分之一百的避免，因此一定要有對應的處理方式，尤其是雲端服務牽涉到IT基礎的設施架構、應用程式部署的平台環境，以及應用程式本身的運作，其中只有要任一環節的疏忽，都可能對雲端服務造成重大的影響，例如造成不當的資料遺失或服務中斷等，這些都需要相關的知識與專業技術才能有效地避免。

用戶必須了解供應商如何去蒐集與雲端服務運作有關的資料，並且持續地進行分析判斷，一旦判定其為可能的事故，如何在最短的時間內，採用何種方式通報給用戶，同時進行事故的回應與處理。在雲端服務的環境之中，由於資料存放的位置難以掌握，因此在不同國家所發生的事故，所要遵循的法規和處理流程可能有所不同，是否有可能因為法律的調查要求，而間接影響到用戶所租用的雲端服務，建議在合約中要求供應商作出適當的說明，用戶再評估是否可接受此一風險。

未來，隨著個人資料保護法的實施，在資安事故的應變處理將產生更大的挑戰，如果某一資安事故中包含了個人資料的不當存取或遺失，那麼在處理過程中，如何依照法律的要求進行通報，並且有效地保護事故處理過程中有關的各項證據，是服務供應商需要妥善規劃的項目，這也是用戶在選擇採用服務供應商，評估是否使用雲端服務來處理與個人有關的資料時，不可忽略的重點之一。

資安事故應變處理的建議

在雲端服務的運作過程之中，難免都會遇到與資安相關的問題，如果沒有適當的因應作法，很可能就會演變成影響業務運作的重大事故，因此用戶在資安事故的預防溝通與服務供應商的應變處理作法，將會成為風險管理的重要關鍵，以下是雲端運算關鍵領域指南中所提供的實務建議：

無論採用的是哪一家服務供應商所提供的雲端服務，都必須事先了解其對於資安事件的監控方式與事故處理流程，用戶可要求服務供應商提供並說明其事故處理的應變計畫，以及應變計畫的測試與演練記錄。另外，在服務部署之前，更要清楚的定義哪些屬於一般的事件警示(例如系統效能不足)？哪些屬於需要進行立即處理的事故(例如資料損毀或遣失)？

在一個動態變動的雲端環境之中，對傳統的鑑識行為是一個很大的挑戰，包括設定事故調查的範圍、證據蒐集的方式、保留資料的完整性及確認符合證據力的鑑識過程等。因此在服務合約或服務等級協議中，必須清楚地明訂資安事故的因應處理事項，其中也應包括事故相關記錄的蒐集、檢驗、分析和鑑識報告。

當事故發生時，如何調閱及提供事故相關的記錄，對用戶來說是不可或缺的，因為在多租戶的使用環境中，如何分離出與事故有關的資料，並且不侵犯到其他用戶的隱私，在技術面與流程面都是供應商的一項考驗。另外，一旦事故是採取系統回復的方式來處理，那麼事故過程的日誌記錄是否能夠保留並提供調閱，也是需要事先確認的。不過，隨著虛擬化技術的應用，在某些層面上，系統的分析與監控是持續運行的，這將會縮短事故發現與回應的時間，而且相關的虛擬映像檔，也可以快速地轉移到其他地點進行保存和檢驗，這對於事故鑑識也會形成一大幫助。

雲端服務的用戶，對於供應商進行事故調查的參與可能非常有限，尤其是隨著所採用雲端服務的型式不同，針對事故鑑識調查的能力也會有著很大的差異。以IaaS服務來說，用戶可以在所租用的虛擬主機中，使用鑑識工具進行主機的事故調查，但是在基礎設施如網路、儲存設備的記錄調閱方面，就有賴於服務供應商的協助；至於PaaS和SaaS的調查，因為涵蓋了應用平台的API介面與應用程式的運作部署，相關的記錄更需要依賴服務供應商的大力支援，才有辦法判定可能的事故原因是位於哪一層面(例如有缺陷的API或應用程式的漏洞)，因此用戶與服務供應商更需要緊密的配合才行。

請事先了解有哪些服務運作記錄將會被留存和其所保存的期限，相關日誌記錄的範圍可能包括網路系統、安全設備、應用程式、系統管理員登入與存取、備份與還原、組態變更、系統效能、系統錯誤訊息等。同時，用戶也必須了解服務供應商是否有防止竄改的安全措施(例如加密)，以確保記錄的有效性。(本文刊載於2012年8月號網管人雜誌)

[參考資料]
CSA：Security Guidance for Critical Areas of Focus in Cloud Computing

[觀點] 雲端運算安全入門(八) - 傳統安全、營運持續與災難復原

Wed, 26 Sep 2012 15:11:00 +0000

上一篇我們說明了關於雲端服務的相互運作與可移植性，這是屬於雲端治理部分的最後一項安全領域，接下來將會解說雲端營運的部分，會牽涉到許多的技術性安全議題，這也是大多數組織較為重視的地方，和IT單位也會有更密切的關係。

在「傳統安全、營運持續和災難復原」的安全領域中，雲端服務的用戶和供應商必須了解傳統的資安問題，在轉移到雲端服務的架構之後，是否都有對應的控制措施，一旦組織轉而採用或是由資訊單位本身提供雲端服務之後，對於資訊安全的控管與營運持續的要求為何？如何進行災難復原？就成為不得不去面對的一大問題。

對公有雲而言，由於雲端運算是由外部第三方所提供的服務，隨著所採用的系統主機、網路設備、儲存空間、資料本身都委外來處理，因此進行安全風險評估時，就需要確認服務供應商是否皆採取了對應的控制措施，使系統和資料都能受到妥善的防護。

若是組織建置了私有雲的話，對提供服務的內部資訊單位而言，維護主機、網路和系統的安全，更是責無旁貸的責任，針對可能面臨的資安問題與預期的風險，勢必也要有因應的處理方式。

如果從雲端服務的型式來看，上層的服務若是由下層的服務來支持提供，那麼在評估安全時，就不能不去了解底下開發平台和基礎設施可能具有的安全風險。因為在雲端服務之中，SaaS會繼承PaaS、PaaS也會繼承IaaS服務可能具有的安全問題，所以位於上層的服務供應商所需要承擔的安全責任會更多，對於底層和基礎資訊設施有關的傳統安全問題，也就不可輕易地忽略。

落實人員管理與實體安全

面對傳統的資安問題，由於牽涉的層面較廣，因此採用深層防禦的策略，分層實施控制措施，將能夠有效地降低風險。以資料中心的管理為例，實體安全是資安防禦的第一線，控制措施至少包括了安全政策、門禁與人員管制、身分識別與授權、環境偵測與監控設備、機房管理辦法、緊急應變程序、人員教育訓練等。另外，還需要確認資料中心位置地點是否合適、考量自然災害發生的可能性，以及是否取得國際標準驗證如ISO 27001、ISO 20000等，這些都可作為落實有效管理的參考。

記得千萬不要忽視人的問題，對雲端服務供應商而言，即使佈署了各項技術性的安全措施，像是防火牆、入侵偵測系統、虛擬化安全、防毒軟體等，只要有人可以直接進行機房，直接操作系統或接觸到網路設備，就可以關閉電源重啟系統，也能夠破壞網路連線，所造成的影響與立即性的衝擊，可能遠高於駭客長時間不斷地試著入侵系統，所以更需要採取適當的控制措施。

針對人員安全管理，採用職責分離的方式和最小權限原則，可以避免權限過大的情況，舉例來說，一項重要的系統變更流程，最好可以設計需要兩位不同職務的人員才能完成，並且給予工作所需的權限即可，而不直接賦予過大的管理權限。同理，在應用程式管理方面，也要避免讓程式開發人員和應用系統營運人員屬於同一人，以避免可能的安全漏洞遭到掩蓋而受到惡意人士的利用。

此外，若是敏感性或權限較大的高風險工作，在人員到職前應做適當的背景查核，確認在過去並無不當的行為記錄；到職後要給予安全宣導訓練，說明各項的資訊安全規定，並要求簽署保密協定；萬一人員有異動時，也要依據離職流程確認職務的交接，進行系統權限的停用與轉移等。

營運持續與災難復原是一體二面

雲端運算若是採用服務的方式來提供，如何確保服務不會到資安事件的影響，能夠持續有效的運作，對服務供應商而言是不可缺少的工作。從資訊安全的角度來看，所有的工作幾乎都圍繞在機密性、完整性和可用性三個要素來進行，因此和服務供應商所簽定的合約或服務等級協議中，針對這三項要素就需要明確可量測的指標，才有辦法定義在何種狀況下造成所謂的服務中斷。

營運持續計劃的有效性在整體的營運持續管理中是最重要的一環，如何證明其有效性，就來自於營運持續計劃是否完整、是否符合現況，以及是否有足夠的資源可以順利實施。在之前的雲端治理與風險管理中曾經提到，服務供應商在營運持續計畫中至少要具體說明事故發生時的應對策略、處理流程、備援機制及災難復原計畫等內容。

在應對策略方面，包括了需要成立危機應變小組(Emergency Response Team；ERT)與事件處理小組(Incident Response Team)，清楚定義人員的職責與工作；在處理流程方面，至少需要涵蓋偵測、通報、判斷、處理與記錄五項流程；萬一災難已經造成損害，需要進行各項設施或資料復原時，就要依照當初風險評鑑的結果，針對系統風險等級所設定的優先順序，以及所要求的資料復原時間點(Recovery Point Objective)和復原目標時間(Recovery Time Objective)，依序來進行還原；在災難復原計畫中，也要說明在復原過程時所需要的基本安全控制，包括復原場所的安全、人員的安全職責等。

實務可行的作法與建議

在雲端安全聯盟(CSA)所提出的雲端運算關鍵領域安全指南中，針對傳統安全、營運持續與災難復原的建議，包括：

雲端服務供應商針對用戶所需的安全要求，應該建立一個安全基準，像是系統管理、實體環境安全、人員作業程序、事件處理等，在一開始提供服務時，若能制定較為嚴格的安全要求，長遠來看除了能夠確實符合客戶符求之外，也比較會符合成本效益。
雲端服務的用戶，應該盡可能的實際到場檢查雲端服務供應商的各項安全措施，檢查項目至少要涵蓋資訊基礎設施、實體安全、營運持續管理等，但礙於雲端服務多租戶的特性，傳統的一對一的系統稽核方式可能會難以進行，因此參考第三方的獨立稽核報告，或是與其他用戶一起進行查核，會是比較可行的做法。
在雲端服務之中，雲端服務供應商的內部人員是一項主要的風險因子，因此在安全管理要求方面，用戶應該確認是否有專業的資安管理人員(例如持有CISSP、CISM、CCSK等證照)，並且了解人員的職務運作和訓練情況，確認符合了職責分離與最小權限原則。
在營運持續方面，用戶應檢視合約或服務等級協議中有關營運持續的流程與要求，確認服務供應商所提供的營運持續計畫、災難復原計畫和演練記錄。如果供應商已獲得如BS 25999或ISO 22301的營運持續管理標準驗證，或是可證明其營運持續管理已遵循了以上標準，對用戶來說將會更有保障。
針對SaaS、PaaS、IaaS等不同的服務型式，需要了解並確認服務供應商和其本身與服務供應商的依存關係，以避免因為資安風險繼承的緣故，而導致用戶的權益受損。

隨著雲端服務的日漸普及，服務供應商將會面臨客戶的要求來進行稽核，或是需要提供客戶自我稽查或第三方查核的證據，因此需要保留的文件記錄，在傳統安全、營運持續與災難復原方面，至少包括了人員職務分配表、使用者權限管理和審查記錄、系統組態變更記錄、相關人員的保密協定、營運持續和災難復原計畫、稽核報告、預防或矯正行動計劃等，這些都是可作為已落實有效安全管理的證明。(本文刊載於2012年7月號網管人雜誌)

[參考資料] CSA：Security Guidance for Critical Areas of Focus in Cloud Computing

[觀點] 雲端運算安全入門(七) - 雲端資料可移植性與相互運作

Sun, 02 Sep 2012 15:06:00 +0000

上一篇文章我們提到，針對資料一旦存放至雲端之後，應該要考量的資料安全風險和所需的控制措施，本期將針對雲端治理的最後一個知識領域「可移植性與相互運作」，說明一旦需要更換雲端服務供應商時，實務上要注意的建議與做法。

隨著雲端運算服務的蓬勃發展，對組織而言，可供選擇的服務供應商也會愈來愈多，就像一般的委外服務一樣，不見得永遠都會是可合作的夥伴，在許多情況之下，我們可能會想要更換雲端服務供應商，例如：服務供應商所提供的服務，達不到企業所需的業務要求或服務水準，甚至是無端的暫停服務或服務中斷；或是合約期滿之後，服務商提高續約的服務價格，或是想要修改合約內容，造成雙方的歧見無法達成共識等。

因此，在一開始評估選擇雲端服務供應商時，資料是否可順利移轉到其他儲存設施或同類型的服務供應商，以及服務供應商是否能夠支援資料移轉的工作，就顯得十分重要，若是等到需要處理這些資料移轉工作時，才思考到相關的配套作法，往往是緩不濟急，尤其是若在當初的合約中，並未規範相關的事項，舊有的服務供應商又不願意提供所需的支援，可能就會引起更多的問題，更別提還需要維護資料本身的安全。

個人認為，這項問題屬於雲端服務中潛藏的風險之一，因為若服務的市場機制尚未成熟，並且缺乏共通性的移轉標準，其實很難找出一個適當的方法來因應，也無法去驗證服務商所提出的方法是否確實有效。所以從安全的角度來思考，除了倚賴服務商的支援之後，雲端服務使用者本身，也要思考是否能夠以自身的能力，來降低可能的風險。例如，透過自行進行資料與環境組態的備份、一開始即選擇相同服務的不同供應商作為備援，並自行測試資料的移轉機制等。

考慮更換服務商的安全風險

隨著所採用雲端服務模式不同，在考慮可移植性時，所需要關注的重點也有所不同，例如對屬於基礎建設服務(IaaS)的虛擬主機而言，需要重視的是可用性，也就是轉移到新的服務供應商之後，是否同樣具有主機組態的控制能力，讓原來的資料存取、儲存和應用都能順利運作。

對屬於應用程式開發平台的雲端服務(PaaS)，關注的焦點則在於新的服務供應商，所提供的開發環境是否有足夠的相容性，能夠大幅降低應用程式需要修改的情況，並且能夠提供同樣的安全機制，讓所開發的應用程式能夠繼續運作。至於對雲端軟體服務如雲端儲存應用(SaaS)而言，考量的並非是相容性的問題，因為很有可能會以新的應用程式來取代舊有的應用程式，所以重要的是存放在雲端的資料，是否仍舊具有足夠的安全機制如身分驗證、資料加密等，以確認這樣的轉移不會產生新的安全風險。

IaaS移轉的安全建議

在IaaS的環境中，如果考慮要將所組用的雲端主機，移植到新的服務供應商，要注意的是基礎設施的硬體和虛擬機器(VM)的轉移問題，首先要確定的是系統中所需要運用的基本需求是什麼？這就牽涉到轉移之後將要規劃採取什麼樣的系統，是否可能會藉此一併將系統升級，所以新的服務供應商所提供的包括中央處理器(CPU)的速度、記憶體大小、硬碟容量等，就可能會影響未來在上面運作的系統是否能夠順暢的運作。

接著需要了解的是網路安全的架構，因為移轉到新的服務供應商之後，他們的網路設備和API介面可能都會不同，所以需要事先確認其功能與連接方式如何運行，以確保所需的管理功能都可以使用。如果採用的是虛擬化技術，在移植到新的服務商供應商之前，應該先了解他們採取的是哪一種虛擬化技術，無論是VMware、Hyper-V或是其他技術等，以確保VM映像檔和Hypervisor管理介面皆可正常使用，在移轉之後也必須要求舊的服務供應商必須將VM映像檔安全地刪除。

PaaS移轉的安全建議

如果在一開始採用PasS服務時，所採用的就是標準化的開發工具、程式語言、API等組件，那麼在移轉時所要花費的力氣和遭遇的問題就會少掉很多，也比較不會出現相容性的問題。若是先前使用太多客製化的工具，那麼在移轉時所遇到的困難和花費，很可能會遠比繼續使用舊有的雲端服務來得高。

對PaaS服務來說，有很多的檢查事項需要事前釐清，包括：

了解舊有服務供應商所提供的控制功能有哪些，並且與新服務供應商一一來進行比較。
了解針對資料傳輸和備份還原，是否有工具來協助進行。
了解基礎服務像是監控、日誌服務、稽核等，在新的服務供應商方面如何運作。同樣的，也要了解新的服務供應商如何對產生的資料提供所需的安全保護。
進行移轉之前需要進行測試，以確保新的服務供應商所有的服務都能正常使用，因此擬訂一份測試計畫是必須的，在計畫中說明測試步驟和釐清相關責任歸屬，並且詳細記錄各個階段的測試結果，以文件化方式來留存。

SaaS移轉的安全建議

在SaaS環境中，大多數使用者採用的是瀏覽器介面，藉由服務供應商所提供的管理功能，來使用相關的應用服務，在這裡需要關注的地方毫無疑問就是資料本身，所以如何進行資料的存取和備份就是需要理解的重點。同樣的，隨著使用的時間的愈長，資料所累積的數量也會更多，如果現有的環境中可提供相關的工具，就可以利用它來進行轉移，而伴隨著服務的使用，過去所產生的日誌、存取記錄、metadata等資料，也需要與舊有的服務供應商來協調如何取得，並且要求在服務合約中止之後，確認已經安全的銷毀。

此外，無論任何的變動，都可能產生一定的營運風險，所以在過程中的文件化記錄，將可協助我們掌控各個階段的變動，因此進行測試是在雲端服務進行移轉時，絕對不可忽略的環節。

最後，決定更換雲端服務供應商，對舊有的合作夥伴而言，一定是不樂意見到的商業行為，因此不見得願意全力支援使用者的轉移計畫，所以若能在一開始與舊有服務供應商所簽訂的合約中，能明訂未來在移轉服務時，服務供應商應提供的協助與支援，將會是最好的辦法，而對於新的服務供應商來說，在移轉之前是否能夠提供測試環境和評估的相關作業程序，以確保安全性、相容性和可用性等種種問題，對使用者來說，將可減少在服務移轉時，所面臨的營運風險。(本文刊載於2012年6月號網管人雜誌)

[參考資料]
CSA：Security Guidance for Critical Areas of Focus in Cloud Computing

[觀點] 雲端運算安全入門(六) - 雲端資料安全防護與管理

Sun, 29 Jul 2012 23:50:00 +0000

對組織而言，雲端服務和傳統資訊服務的最大不同之處，在於資料的本身不再像以往可由組織內部的資訊人員來管理，而是完全交由外部的雲端服務供應商。雖然對於用戶來說，藉由服務供應商所提供的管理介面，仍然可以針對資料進行新增、刪除、修改等動作，但事實上這樣的控制程度是很低的，因為用戶完全不清楚資料實際位於何處，以及是否已經完整的進行備份。

雲端資料的安全挑戰

由於雲端的資料會受到來自許多不同用戶端設備的存取，所以在安全風險的思考方面，至少要考慮會有誰(人員、應用程式、系統)能存取這些資料？能夠透過什麼樣的方式(設備、管道)來進行存取？

舉例來說，隨著個人雲端化的時代來臨，許多組織員工為了使用的方便性，可能會將一些含有商業活動的敏感性資料，在未經授權的情況下就上傳到雲端，也沒有依照組織的安全政策，實施加密或存取控制等相關的安全保護措施。針對這種情況，建議可以透過一些資安技術的輔助，像是資料庫或檔案存取活動的監控，以及防止資料外洩防護(DLP)方案的佈署來提供一些協助。

目前，雲端安全聯盟認為和雲端資料有關的安全挑戰，大致可分為以下幾項：

資料本身的安全 – 在傳統的IT環境中，為了達到資料的安全，我們會依照資料的機密性、完整性、可用性、真實性、認證、授權和不可否認性等要素來進行風險的評估，並且採取對應的安全控制措施，這些安全要求到了雲端的時代，仍然是不可或缺的因應作法。

資料存放的位置 – 由於雲端運算的特徵之一為服務資源是透過集中化資源池的概念來提供，可以動態且彈性的調配用戶所需的資料儲存空間，因此用戶對於資料本身所在的位置是難以控制的。如果組織對於資料存放的位置有明確的要求，就需要在合約或服務等級協議中明訂清楚，讓服務供應商來保證資料和備份檔案都會存放在所要求的地理位置內。

資料的刪除與銷毀 – 一旦用戶終止與服務供應商的合約關係，如何確保曾經存放過的資料，已被徹底有效的刪除銷毀，在實務方面來說不太容易。除了要尋求一項可用的技術，能夠有效清除包括儲存空間或虛擬主機上所存放或運算過的資料之外，另外對於資料內容自行加密，或是要求服務供應商提出資料銷毀的切結保證，將會是比較可行的因應作法。

不同用戶資料的混合 – 由於雲端服務採用了虛擬化技術，在同一個實體主機或儲存設備空間，將會提供給多個不同用戶來租用，這也就表示在同一個位置裡，可能會同時存在著不同用戶的資料，對於這些敏感資訊要如何加以區隔，以避免混合之後產生不必要的風險，也被視為是一項安全挑戰。資料的備份與重建 – 用戶需要有一項清楚的認知，就是在所有的雲端服務中，不見得都會提供備份與資料重建的功能。換句話說，在採用服務之前，用戶必須確認供應商在資料備份方面的實際作法和流程，以避免資料不會受到意外的遺失、覆蓋和損毀，建議也要定期加以測試，確認資料可真正完整的復原。

法律所需的資料發現 – 一旦所採用的雲端服務牽涉到法律案件調查時，如何發現並提供法律訴訟所需的證據，就顯得十分重要。因此，想要確保供應商能夠提供或是用戶能夠發現所需的電子證據，在實務方面仍然存在著許多困難。資料的聚合和推理 – 如果將大量的資料集中在雲端之上存放，有一個風險為當資料內容可以匯整或相互關聯參照時，也可能洩露出敏感的資訊。舉例來說，像是個人資料的內容如果可以輕易進行交叉比對，那麼所反映出的資訊可能會識別出特定的個人，進而造成個人隱私的不當揭露，因此這個問題也要予以審慎評估。

資料安全生命週期

在雲端安全聯盟(CSA)所提出的雲端運算關鍵領域安全指南中，針對資料安全的維護，認為它與一般所談的資料生命週期有所不同，必須要配合資料安全的生命週期中的各個階段，實施對應的各項安全控制措施才行。所謂的資料安全生命週期，可分為以下六個階段：

產生(Create) – 資料一旦產生，首先要做的就是針對資料進行分級分類，最常見的安全分類是將資料區分為一般、內部使用、機密、極機密等，再分別對應到不同的存取控制和安全處理要求。
儲存(Store) – 在資料的儲存階段，需要針對資料實施存取控制，依照用戶所具有的身分來賦予適當的權限。另外，相關的控制措施還包括了資料加密、權限管理及資料內容的過濾等。
使用(Use) – 在資料使用階段，安全的控制措施包括了針對存取資料的活動進行監控，並且需要依照所定義的政策來使用，在這裡也同樣會實施權限的管理。如果資料將會提供給應用程式存取使用，那麼應用程式的安全防護也會是必要的措施。
分享(Share) –資料如果需要進行傳輸或資料交換，除了實施加密機制、存取控制和確保所使用的應用程式本身的安全之外，建議的控制措施還包括可針對資料所流經過的位置，例如存放的資料庫、行動裝置與儲存媒體、採用的網路通訊協定等層面來實施安全管制，以避免資料受到不當的外洩。
歸檔(Archive) – 如果資料需要進行長時間的備份歸檔時，要注意的是所使用的儲存媒體是否已經具有足夠的安全防護，包括了資料內容進行加密處理，針對儲存媒體所存放的環境和位置來實施有效的監控與防護，以落實有效的資產管理。
銷毀(Destroy) – 一旦資料確認不需要再使用，或是終止與雲端服務供應商的合約關係時，相關的資料就應該進行安全的銷毀，並且要偵測掃瞄是否可能有殘餘的資料，如果無法確保資料已經徹底刪除，那麼對資料內容進行高強度的加密，並且銷毀所使用的金鑰，也算是一種補償性的安全控制措施。

資訊傳輸與安全建議

如果組織對於資料傳輸有高度的安全性要求，雲端運算關鍵領域安全指南也給予我們的三項可行的建議作法。首先是可針對用戶端和應用程式來進行加密，如果資料存放在用戶端設備或透過應用程式傳輸之前，就能夠實施加密，資料安全將會獲得較多的保障。其次是針對網路連線的加密，可以透過硬體設備或軟體方式，建立所需的加密連線通道，常見的作法包括SSL、VPN、SSH等，確保在點對點之間已實施了安全防護。第三項作法是採用代理伺服器(Proxy-based)的加密方式，這對於一些較為老舊或缺少加密功能的應用程式來說，最大的好處是在傳輸資料之前，能夠將資料先傳輸到代理伺服器，再透過它來實施資料加密功能。

針對資料安全的防護與管理，傳統最基本的作法就是考量如何達到資料的機密性、完整性和可用性，這些在雲端時代仍然是可用的，只是如今一旦把資料放入到雲端之中，隨著佈署模式與服務型式的不同，將會衍生出其他的安全風險，並且也會遭遇到不同的挑戰，若仍然是完全依照傳統的資料保護作法來進行，很可能會水土不服而難以因應，所以這時候組織就需要採取更多角度的控制措施了。(本文刊載於2012年5月號網管人雜誌)

[參考資料]
CSA：Security Guidance for Critical Areas of Focus in Cloud Computing

[觀點] 雲端運算安全入門(五) - 雲端法規遵循與稽核建議

Wed, 20 Jun 2012 13:11:00 +0000

上次我們談到了雲端運算的法律問題與電子證據的採集提供，對大多數由第三方所提供並且跨越國界的雲端服務而言，法律議題將會是一大挑戰。

因此，為了符合法規的要求，實施稽核將是一項必要的做法，本期將探討雲端的法規遵循事項與安全稽核建議。

許多組織由於本身所處行業屬性或是國情不同，所面臨到的法規要求也有所不同，舉例來說，像是健康醫療產業和電子商務業者，雖然他們可能採用同一雲端供應商的服務，但是對於如何維持法規的符合性，其要求的重點就會有顯著的差異。一般而言，醫療業者較為著重的是個人資料的隱私維護，而電子商務業者強調的則是交易過程的資料安全，因此如何評估雲端服務供應商所能涵蓋的資安與法規要求，將會是一開始就需要協調溝通與相互理解的重點。

因此，用戶在採用雲端服務之前，就必須要先了解供應商所提供的雲端服務是否能夠實現符合法規的要求，以及是否可能產生無法接受的風險。例如在新版個人資料保護法中，醫療資訊的蒐集是受到限制的，如果透過雲端服務去蒐集民眾的醫療相關資訊，並且作為資訊交換平台再提供給第三方合作業者的查詢利用，很可能就會有違法之虞，這時候雲端服務就不該是組織應考量的實務作法。

另外，先前曾經提過在服務供應商和用戶之間，到底該如何區隔彼此在法律上的責任，可能是容易受到遺漏的地方，對服務供應商來說，這同時也牽涉到是否有能力可以提供用戶法規遵循的相關資料，包括了能夠展現法規要求的文件、作業流程和稽核證據，以及能否配合必要的定期稽核與實施方式等，這些都將會影響用戶採用雲端服務的意願。

盡早釐清法規遵循的要求

事實上，雲端服務所具有的彈性特徵，相對於組織對法規的遵循要求，兩者之間就有如是在頭尾開往不同方向的火車機車頭，如果一方面愈是保有彈性，也就表示另一頭的法規愈難予以規範實施，而彼此之間在拉扯時所產生的營運風險，就是組織必須及早加以因應的地方。

換句話說，如果組織對於法規遵循有著高度的要求，那麼尋找有共同想法的服務供應商，將可以有效避免彼此對於法規有著不同的期待與差異發生。目前，許多的國際標準都還沒有考量到雲端服務的適用性與要求，就以最普遍的資訊安全管理標準ISO 27001為例，條文中並沒有特別提到針對雲端服務的資安控制措施。不過，這並不表示雲端服務就不適用於來自ISO 27001的安全要求，而是需要服務供應商與用戶來協調彼此能夠認可的方式。

在CSA的雲端運算關鍵領域安全指南中，對於法規遵循的問題，建議應從以下三個面向來加以探討：

首先是站在「企業治理」的角度而言，法規遵循的要求可能來自於組織內部的政策與董事會決議，也涵括了外部的法律、工業標準與合約。因此需要確保組織的管理階層、利害關係人(如股東)及營運策略(包括政策指引和控制措施)，彼此之間能夠達到一致平衡，才足以為企業作出有效的決策，這也就表示雲端服務的採用，必須要符合企業營運成長與管理目標才行。
其次是站在「企業風險管理」的立場，必須基於組織的營運目標，採行一套切實可行並且能夠識別特定事件的風險評鑑方法，藉此來評估風險存在的可能性和對組織可能造成的衝擊，以便實施適當的監控與回應，保護並且創造利害關係人可獲致的最大效益。
最後則是理解「法規遵循與稽核要求」，要能夠有效識別與企業有關的法令、規範、社會責任、合約要求等，評估萬一無法符合以上的要求時，對企業可能產生的風險和造成損害的成本，以決定所需要採取的改善行動。

雲端服務稽核實施建議
除了從服務供應商和消費者角度來看法規遵循要求之外，雲端運算也為稽核人員出了一個頭痛的難題，首先會面臨的就是到底有哪些法規適用於雲端服務，其次則是受稽方或服務供應商到底要如何展現已經符合特定法規的要求。對雲端服務的安全管理而言，實施稽核是一項必要的作法，可以確認自己或服務供應商是否已符合內部與外部的各項要求。

針對雲端服務的安全稽核，雲端運算關鍵領域安全指南也提供了以下建議：

將實施稽核的權利納入合約之中，如果雲端服務供應商已取得相關的國際認證(如ISO 27001)，則認證的相關內容可作為替代實施的參考。
用戶應要求有權獲得稽核所需的相關資訊，包括了系統架構、Log、稽核報告等。
用戶可要求雲端供應商定期審查、更新、發佈和資訊安全有關的流程與文件，包括了弱點分析與風險處理的改善行動。
雲端服務供應商與用戶之間，彼此應同意採用共同的架構與標準，以確保在安全管理與控制上的要求能夠趨於一致。
用戶應選擇熟悉雲端服務的稽核人員，對許多稽核員來說，熟悉法規條款內容已是必要的專業之一，但是面對新興的雲端應用服務，稽核員對於雲端服務的特徵、佈署模式及服務型式，勢必也要有所了解才行。

討論合約內容以尋求共識
對服務供應商和用戶而言，如何在稽核過程中，準備法規所需且充足的資料，其實是相當困難的，這也就是說，事前了解雲端服務的特徵與架構，可以讓彼此雙方站在一個良好的溝通基礎上。如果雲端服務供應商，本身已經取得相關法規標準的認證，這將會是彼此合作的最佳證明；如果缺少了法規標準認證，服務供應商也能夠提出符合要求的證明，同樣可以作為替代性的因應參考。

如果組織在法規遵循方面有一定的要求，那麼在一開始和服務供應商討論合約內容時，就應該讓法規專家能夠及早介入，以確保合約內容能夠符合組織的期待與要求。例如在合約之中，納入有權針對服務供應商實施稽核的條款，說明供應商需要配合的實施範圍與工作內容，以及需要提供給稽核人員的審查資料等。

最後要提醒的是，在討論法規遵循時，千萬不要只侷限在雲端服務供應商和採用服務的組織本身，應該也要將供應商背後的供應商和使用組織服務的終端使用者也一併納入，如果服務供應商能夠將法規遵循完全落實在雲端服務合約之中，那這很可能就是解決法規問題的良方，更有可能是吸引眾多企業和政府單位，願意投入採納雲端服務的亮點之一。(本文刊載於2012年4月號網管人雜誌)

[參考資料]
CSA：Security Guidance for Critical Areas of Focus in Cloud Computing

[觀點] 雲端運算安全入門(四) - 法律問題與電子證據蒐集

Mon, 07 May 2012 14:41:00 +0000

上一次談到了雲端運算與組織的經營治理，也就是高階管理階層對於雲端安全問題應有的認知，以及因應雲端部署和第三方的管理建議，本文將探討和雲端運算有關的法律問題與證據蒐集，以及用戶和服務供應商如何因應安全事件的調查。

雲端運算的其中一項特徵是會將資源作動態的虛擬化分配，也就是說雲端資料的儲存位置將跨越國界，這對於許多雲端服務的用戶來說，可能會無法控制或是根本不清楚資料實際的存放地點。一旦企業選擇透過雲端運算，將商務或個人相關資料移轉到雲端之中，對於雲端服務可能面臨的法律議題，就必須要有所認知並了解所需的因應作法。

目前在各個國家，針對資料的存取和利用，特別是和隱私有關的個人資料，都有其法律規定與要求，例如在亞太地區，包括日本、澳洲、紐西蘭等國家，以及即將實施個人資料保護法的台灣，對於個人資料的保護與安全方面，都有需要遵守的規範，其中最值得作為參考的基礎，就是由經濟合作發展組織(OECD)，針對個人資料的限制蒐集、正確完整性、具明確目的、限制利用、安全保護、公開、個人參與及責任義務等，所提出的個人資料保護八大原則，以及亞太經濟合作論壇(APEC)所提出的隱私保護綱領。

在歐洲，則有歐洲經濟區(European Economic Area)的會員國依照歐盟在1995年公佈的資料保護指導綱要(Data Protection Directive)和2002年公佈的ePrivacy Directive，這些法規都有提到針對資料的安全要求和必須遵守的責任義務。

至於在美國，則有特定產業的相關法規，像是要求相關金融產業必須保障個人金融資訊隱私，確保資料的機密性、完整性，避免資訊遭到未經授權的存取與誤用的Gramm Leach Bliley Act(GLBA)法案；針對醫療產業，要求相關單位必須確保個人醫療資訊，實施良好的存取控制措施，保護資訊在傳輸過程中不會被竊取或竄改的HIPPA (Healthcare Information Portability and Accountability Act)法案；以及對信用卡和支付卡行業，要求必須實行嚴謹的網路安全措施，以保護信用卡持卡人資料安全的標準PCIDSS(Payment Card Industry Data Security Standard)。

以上提到的這些法規，都會對於在雲端上蒐集、處理和利用資料，以及將個人資料傳輸到雲端儲存服務中，產生需要注意的法律議題。

雲端運算的法律問題

對採用雲端服務的組織而言，一旦將資料傳輸到雲端之中，就必須要對相關的資料保護、安全管理、法律問題的責任歸屬定義清楚。尤其採用的是由第三方所提供的服務，那麼在合約之中，除了要求所需達到的服務等級水準之外，對於在資料處理、傳輸、儲存中所引發的問題，造成違反法令法律的事件時，彼此雙方的角色所應擔付的責任，最好是透過書面協議的方式，作為共同遵守的依據參考。

換句話說，在採用雲端服務之前，組織必須評估本身對於採用雲端服務，在資料安全上面的需求、限制和期望，才能藉此來選擇所需的雲端服務型式與佈署模式，特別是要事先了解本身行業相關法令的規定，像是對資料傳輸加密方式和儲存地點有所要求的話，就可以將它反映在與服務供應商所簽訂的服務合約之中。

關於合約的部份，許多服務供應商都會提供制式的合約給用戶進行審閱，但如果合約內容無法滿足用戶對於特定風險的要求，用戶就必須提出並考量是否需要實施額外的風險控制。舉例來說，如果用戶採用的是雲端客戶關係管理(CRM)服務，為了因應個資法的要求，如果在制式合約中並未明確定義相關內部人員的保密責任，或許就需要定義額外的個人責任義務聲明來要求相關人員簽署，同時也註明供應商必須負起連帶的損害賠償責任。

要提醒用戶要注意的是，採用雲端服務並非是一成不變的，為了因應業務環境的不同和新版法令法規的要求，用戶必須要負起對服務供應商的監督責任，應該找出適合自己行業的評估與監控方法，例如定期實施測試、稽核，甚至要求在特定期限屆滿之後，重新審查服務條款和合約內容，這些都是可以考量實施的作法。

因應法規的證據提供

如果您看過歐美的法律影集或電影的話，您會察覺到當發生法律訴訟時，光靠相關人等的證詞是不足的，必須配合在法庭上具有公信力的證據，對於訴訟成敗才能發揮關鍵性的影響。目前，除了在犯罪現場採集的實體證據之外，隨著資訊科技的發達，電子儲存資訊(Electronically stored information ; ESI)或數位證據(Digital evidence)用來作為呈堂證物，也成為因應資訊犯罪事件而受到矚目的焦點。

由於在雲端之上儲存了大量的電子或數位化資訊，如何因應法規要求加以採集(E-Discovery)，對雲端服務供應商和用戶來說都是一項不可忽視的問題，在雲端運算關鍵領域安全指南中，針對這個部份提出了以下的考量重點，簡要說明如下：

資料擁有者、託管者的責任釐清：當發生法律訴訟時，利害關係人有責任因應法律要求提供所需要的資訊，或是可主動提出以證明自己的清白。在雲端服務之中，雖然用戶是資料本身的擁有者，但可能是委託交由服務供應商來進行資料的管理，而且在服務運作的過程之中，針對資料的處理還會衍生出其他的相關電子資訊，例如資料存取的登入記錄、資料儲存備份記錄、系統運作的日誌等，這些資訊可能是用戶本身無法控管的。因此，若發生資料外洩事件時需要進行調查，那麼相關證據的提供絕非只是單方的責任，所以事前對資料管理責任的釐清就是必要的工作。
回應法律調查和法院傳票的過程：以發生資料外洩事件為例，調查單位除了瞭解用戶所存放的資料類型之外，也可能會調查是否和服務供應商的雲端環境與應用程式有關，因此可能會直接傳喚服務供應商提供所需的資訊，這部分有可能不需要用戶的同意下就可進行，因此用戶和服務供應商雙方對於法律調查的流程需要有事先的認知與共識。另外，用戶很可能希望供應商在接到需要配合法律調查的要求時，可以在盡快通知可能受到影響的用戶，並且提出解釋與說明，因此建議將通知流程也納入在服務等級協議之中。
數位證據的發現與搜索：如果組織使用的是完全自行管理的傳統資訊服務，一旦發生問題時，就可以很快的進行調查並且搜索保存可能的證據。但是，如果採用的是委外的雲端服務，用戶不見得有權限使用搜尋工具來取得所需的證據，若是需要服務供應商提供的話，就必須對進行的方式流程，以及可能產生的費用進行協商。
電子記錄與數位證據的保護：對雲端服務供應商而言，相關電子記錄依據雲端的服務與佈署模式可能會不同，但原則上仍會依照傳統的作法，像是保留相關日誌(log)的方式來進行。用戶需要評估對於這些電子記錄或未來可能成為證據的保護作法，是否足以符合行業法規和法律要求，尤其是電子記錄容易受到損毀、竄改與消除的特性，如何確保電子記錄可明確反映事件發生的原貌，以及在蒐集的過程中，是否依照標準程序來進行採集，並且可持續維持正確與完整，確保其可被法庭所採納等，這些針對電子記錄的保護機制與調閱作法，可能也是一開始在選擇服務供應商時就要評估的重點。
電子記錄的費用與保存：鑒於用戶可能會要求服務供應商保護相關的電子記錄，因此站在供應商的角度而言，定義所保存的資料範圍、期限及大量資料保存所產生的費用，就是需要思考的問題。如果無法達到用戶在服務協議中所要求的水準，那麼是否能夠提供其他的機制，像是讓用戶可自行下載保存電子記錄，可自行保管以作為事件調查與訴訟的參考。
電子記錄的蒐集與鑑識：雲端服務供應商可能會允許用戶自行蒐集其所需的必要記錄，這些也會明訂在服務等級協議之中，但由於提供給大量的用戶使用，因此就要考量相關記錄的存取方式與頻寬問題。例如供應商可以同意讓用戶存取過去三年的交易記錄，但是將會限制只能單次下載最近二個星期的資料。至於若是用戶為了採集證據，想要使用映像(bit by bit)數位鑑識作法，可能不見得會被供應商同意，因為它需要連結到特定的硬體設備，礙於雲端服務的多租戶特性，這種作法是否會對其他用戶造成衝擊，也都需要事先的溝通與協調。

及早因應法規的遵循要求

由於法規遵循的要求日漸受到重視，也為了因應新型態的雲端服務，許多法律與技術專家都提出了不同的因應作法，尤其針對採取由第三方提供的委外服務，在美國和歐盟的相關法規，都建議將法規遵循的要求與責任，延伸至服務供應商，並且要求在合約之中加以規範和限制。

但是，由於牽涉到儲存在雲端的資料會跨越國界的限制，以及各國對於隱私保障的法律要求有所不同，再加上雲端數位證據的搜索採證仍顯得困難重重，所以有關雲端服務和法律的問題仍會不斷地被提出討論，無論如何，這是一個無法避免的議題，建議雲端服務的供應商和用戶都要審慎面對才行。(本文刊載於2012年3月號網管人雜誌)

[參考資料]
CSA：Security Guidance for Critical Areas of Focus in Cloud Computing

[觀點] 雲端運算安全入門(三) - 雲端治理與風險管理

Wed, 11 Apr 2012 14:38:00 +0000

上一期提到了雲端運算的基礎架構，說明雲端運算的必要特徵、部署模式與服務型式，對服務提供商和使用者而言，有了一個可以共同探討的知識框架，對雲端服務應實施哪些資安控制也比較能夠達成共識，接下來將討論有關雲端治理與風險管理的重點。

雲端運算聯盟將雲端運算安全區分為三個部分，分別是雲端架構、雲端治理和雲端營運，在雲端架構的部分，主要針對雲端的五項必要的特徵、四種部署模式和三種服務型式作了說明，這些也可以作為在探討雲端安全時的共同基礎，在這之上來區分有關雲端服務提供商和使用者的安全責任，以及可能面臨的安全風險。

在雲端運算不同的服務型式之間，其安全風險彼此之間是有相互依賴性的，舉例來說，如果有一個雲端服務廠商所提供的服務內容為軟體服務(SaaS)，這項服務建置在某一個雲端開發平台之上(PaaS)，而開發平台背後也採用了另一家廠商的雲端基礎架構(IaaS)服務，此時，在安全風險方面的相關問題都會是繼承的。

也就是說，這一家雲端服務提供商，除了要維護應用程式的安全性和可用性之外，同時也要確保所使用的開發工具沒有安全漏洞，而且在運作過程中要確保運算、網路、儲存設施的安全，本身就必須要負起相對較多的安全責任。而使用軟體服務的使用者，則是要在服務水準、安全控制措施、法規遵循等，也要在合約之中明確要求，以釐清相關的管理責任。

雲端運算的安全措施

從資訊安全的角度出發，一個組織的安全程度是基於其對於風險的控制程度，以ISO 27001的資安控制項目而言，包括了資安組織、資安政策、資產管理、人員安全、實體安全、通訊與作業安全、存取控制及系統開發與維護等，這些與雲端運算也都脫離不了關係。主要原因是雲端運算採用的仍是傳統的IT技術，需要的仍是既有的網路、運算和儲存資源，換句話說，在雲端運算中的資安管理，和傳統的IT環境並沒有什麼不同，只是因為不同的部署模式和服務模式，使用者和服務提供商所需要承擔的風險程度將會不同，因此需要妥善評估和彼此有關的營運風險。

因此，為避免雲端運算服務可能產生更多的營運風險，並且達到妥善的企業治理，組織就一定要意識到可能發生的風險議題和管理責任。這些也都牽涉到企業內部是否已設計了適當的組織結構，透過風險管理的方式與作業流程，來降低所面臨的安全風險。甚至更進一步將風險管理的作法，擴展到已實施的所有業務之中，或是提供支援服務的第三方單位，並且持續地加以監控量測改進，以達到企業治理的整體效益。

雲端治理與管理建議

根據雲端運算關鍵領域安全指南，針對雲端治理和管理方面所提供的建議，以及實務上的考量重點，簡要說明與分析如下：

安全費用的投資：組織除了投資在私有的基礎運算架構和資源上面，若是採用了外包的雲端運算服務，必須考量到服務提供商的安全管理能力、應用程式運作環境的安全控制，以及稽核審查方式來加以評估，以確保各項的安全控管能夠滿足組織的需求。

資安與業務目標一致：無論採取了何種的雲端服務型式和部署模式，資訊安全的控管絕對不會只是單一方面的責任，必須透過不斷地協調溝通，配合彼此雙方的業務性質和需求，使相關的資安控制作法能夠與業務目標趨於一致，以避免採用雲端服務之後，忽略或遺漏了和業務有關的營運風險。

定義人員職責角色：基於不同的服務型式，人員介入與需要承擔的風險不同，對於服務角色的定義與人員的安全職責，在各自要求的服務範圍之內，必須要有仔細的陳述，這也就表示在問題發生時，人員可以按照既定的職責來實施對應的處理作法。例如在不同的部署模式方面，公有雲與私有雲的預期責任和要求肯定不同，最好是透過已完成的風險評估報告，來釐清使用者與供應商之間的不同要求、角色責任與期望。

治理架構與流程協調：組織若採用了雲端運算服務，可能會面臨不同的提供商，因此在服務的開發、設計與交付方式，也會有不同的需求與流程。因此，使用者與提供商在協同治理的架構和流程方面，可以依照彼此不同的需求，將它反映在服務等級協議(SLA)之中。在這份協議裡，記得要把安全部門納入，以評估各項的資安控制措施在雲端之中是可行的，並且將其考量與建議一併加入合約之中。

雲端遷移安全考量：如果組織是從舊有的IT環境之中，想要一步一步跨入到雲端之中，那麼在安全方面要如何考量呢？最好的方式是依照相關標準(例如ISO 27001)來建立量測指標，然後將它文件化並留存記錄，以因應稽核時的確認需求，提供已實施控制措施的相關證明。

資訊風險管理建議

之前曾經提到，雲端運算有一項重要特徵為「虛擬化的資源池」，它是為了支援眾多的使用者，所以將運算、儲存等相關資源集中在一起，再依照使用者的需求進行彈性化的調配。因此，也產生了另一個概念，稱之為「多租戶(Multi-Tenancy)」模式，對雲端服務提供商而言，所提供的雲端服務將面對無數來自不同地點、不同組織、不同用戶端的使用者，他們對於安全的強化、隔離、計費、管控和服務等級、資源需求各有不同，但這些資源都來自於同一家提供商，甚至可能是同一台實體主機、同一個儲存設備，如何強化其安全性，降低可能的風險，並且滿足客戶需求，就成為雲端服務的另一項挑戰。

由於雲端運算的隨需供應和多租戶特點，傳統所實施的資安稽核與風險評估方式可能就不太適用，或是需要進行一些調整。實施資安稽核時會牽涉到是否已在合約中註明相關的稽核權利，包括多久進行一次、稽核範圍、稽核方式、由誰來實施、需要提供哪些稽核日誌(log)等。

至於技術方面的評估，傳統的應用系統最常使用的方法就是進行弱點掃瞄或滲透測試，但是礙於雲端服務是同時提供給大量用戶，這些測試方法可能會影響到其他使用者的權益，因此服務提供商很可能會拒絕或限制其作法，那麼用戶就需要在合約中註明免責的條款，或是尋找替代的評估方法和符合評估需求的替代提供商。

在企業的風險管理方面，面對新型態的雲端服務，傳統的風險評鑑方法仍然是派得上用場的，在評估組織所使用或所提供的雲端服務風險時，需要識別和服務有關的各項資產，找出資產本身可能具有的弱點和來自外部的潛在威脅，然後分析風險和事件發生的可能性與衝擊，再賦予其風險的等級，最後，依據組織可用的資源和經由管理階層所核准的可接受風險等級，來實施對應的風險處理計劃。

一般而言，採用相關的資安控制措施來降低風險是顯而易見的作法，但是在風險管理的過程中，需要確保使用者和服務提供商，對於風險評鑑的作法是一致的，對於發生可能性與衝擊的定義也要相同，這樣在風險評鑑的結果和後續的風險處理上，才能夠達成共識。

第三方的管理建議

站在企業風險管理的角度，無論決定採用何種雲端服務、服務型式和部署模式，在過程之中，都應該要與組織既定的風險管理目標和業務目標一致。這也就是說，如果採用的是來自第三方所提供的服務，如果它不能滿足組織在風險管理的要求，或是採用一致的風險管理作法，組織就需要進一步評估本身是否有其他因應風險的能力。舉例來說，如果服務提供商無法同意由使用者進行對主機的滲透測試，或許使用者可接受由提供商提出的評估報告，或是自行對資料本身實施加密等補償性的控制措施，以降低可能的資訊安全風險。

因此，在第三方的管理建議方面，安全指南提到使用者應該將雲端服務和安全視為供應鍊的安全問題，這也就是說除了需要對服務提供商實施相關評估之外，對於其本身也依賴的資源供應商，也要有一定程度的了解，以避免一連串的事故連鎖反應，最後影響了自身的權益。那麼，對於服務提供商的評估內容有哪些呢？除了要求有文件化的記錄來展現提供商如何評估自己的風險，也包括其如何控制與及時處理可能的安全問題，以及如何定義與資訊安全相關的要求。

接著，使用者還需要了解服務提供商如何因應服務可能中斷的情況，這部分就包括其是否事先設想了可能導致服務失效的場景，並且提出對應的營運持續計畫(BCP)。在營運持續計畫中至少要具體說明事故發生時的應對策略、處理流程、備援機制及災難復原計畫等內容，並且了解這些計畫是否確實可行，同時符合組織對於風險管理的要求。換句話說，營運持續計畫的測試與演練結果，將會是在選擇雲端服務提供商的重要參考依據。

最後還要提醒使用者，在選擇雲端服務提供商時，除了考量服務價格及所需成本之外，提供商在市場上的知名度、財務情況、事件處理能力、以及支援其服務的背後供應商等都會是評估的重點，也千萬不要忘記去了解提供商的溝通管道與協助窗口是否順暢。因為雲端服務的特色是不需要倚賴供應商的介入，即可調配各項運算資源，可是一旦有問題或事故發生，若找不到相關的人員來及時處理，可能就會對組織造成更多的損害。(本文刊載於2012年2月號網管人雜誌)

[參考資料]
CSA：Security Guidance for Critical Areas of Focus in Cloud Computing

[觀點] 雲端運算安全入門(二) - 認識雲端運算架構與框架

Sun, 18 Mar 2012 15:19:00 +0000

安全問題普遍被認為是採用雲端服務的最大障礙，但事實上雲端並不會比現有的IT環境更加安全或不安全，所謂的安全強度是基於組織本身所能接受的風險程度，因此必須先了解雲端運算的架構，才能評估可能的風險，最後依此來決定是否採用雲端服務，或是要將何種資訊、流程或服務轉移到雲端之上。

依據個人的觀察，許多人只要一提到雲端運算相關的議題，大致上會有三種不同的看法。

首先是認為雲端將是未來的趨勢，企業必須盡早擁抱這項新技術，才能夠為產業創新，並且帶來更多獲益；其次則是認為雲端運算是舊酒裝新瓶，不過是廠商的行銷包裝手法，並沒有太多值得應用之處；最後一種看法是認為雲端服務就是要把資料和系統外包給別人處理，並且透過網際網路來存取，讓人感到很不安全，所以根本無意採用所謂的雲端服務。

目前，從不同的產業、技術和角度而言，各界對於雲端運算的解讀各不相同，姑且不論以上的觀點究竟誰對誰錯，個人認為在評斷雲端服務之前，一定要先問問自己，所認知的雲端運算到底是什麼？在雲端之上可以提供哪些服務？雲端應用了哪些技術架構？可能存在哪些安全風險？到底能夠為組織帶來什麼好處？

如果以上的問題，都已有了相當肯定的答案，同時也了解一旦雲端服務中斷而無法使用，或是資料受到未經授權的存取時，組織將受到什麼樣損害的話，相信接下來對於雲端運算所提出來的見解，都會是非常受用的。然而，若只是以偏蓋全的思考，以訛傳訛的用一個雲端卻各自表述的話，所得到的結果肯定是沒有交集，也會是沒有意義的論戰。所以，我們必須先找出一個共同的標杆，作為採用雲端運算和相關服務的評估基礎。

雲端運算的必要特徵

在雲端運算關鍵領域安全指南中，針對雲端運算的組成定義，採用的是美國國家標準技術研究院(NIST)的工作定義，它為雲端運算定義了五項必要的關鍵特徵、四種部署模式和三種服務型式，可作為在評估雲端運算安全時的一致性解釋與參考。

針對NIST定義的五項必要特徵，說明如下：

廣泛的網路存取方式 - 「如果沒有了網路，那就不會有雲端」這是廣泛受到認同的一句話，也就是說雲端服務的能力都是藉由網路來提供，因此在用戶端設備方面，必須支援廣泛的連結，包括目前流行的智慧型手機、平版電腦、筆記型電腦，甚至於可連網的家電等，都要可以享受到雲端服務的便捷。或許您會問，一旦原有的資料或系統轉移到雲端之後，那是不是就只能使用全新的服務，舊有的服務像是ERP、CRM和POS系統等該何去何從呢？新的雲端服務能夠與其他服務進行連結嗎？關於這點請不用擔心，這些都已有對應的解決方案，可以同時支援傳統服務或是其他嶄新的雲端服務。
快速且彈性的架構 – 雲端服務的特色之一，就是所有服務都可以按照自己的需要來隨時購買，例如著名的Amazon EC2(Amazon Elastic Compute Cloud)服務，它可以讓使用者依照需求來租用虛擬的主機，並且安裝執行任何想要的應用程式。這也就是說，使用者可以指定所需要的主機配備資源，包括了中央處理器、記憶體、硬碟容量等，再依照使用的時間來付費，並且可以隨時的創建或終止，這種能夠快速上線的服務，其背後可提供的資源是令人超乎想像的。
可量測的服務 – 因為服務有價，所以提供的資源必須是能夠量測的，目前最常見的方式，是可以依照中央處理器、儲存空間和網路頻寬來計費，雲端服務供應商可以提供透明化的資訊報表，讓使用者作為參考，同時也提供了各項監控的方式，讓使用者能夠合理評估，以便進行資源最佳化的使用。
按照需求自行調配 – 因為雲端運算具有了快速且彈性的架構，所以一切資源的使用都可按照使用者的需求來進行調配，同時最重要的一點是，過程中完全不需要等待雲端服務供應商的人員介入或協助，只要透過了網頁化的互動介面，所有的資源配置在彈指之間，即可自行調整完成。
虛擬化的資源池 – 雲端運算可以同時提供服務給大量的使用者，這也就表示雲端服務供應商需要有強大且充足的資源，才能應付來自世界各地眾多的使用需求。因此，雲端服務供應商會將所需的運算資源，包括了實體和虛擬，統統匯整到一個虛擬化的資源池之中，用戶需要多少資源，就撥出多少資源來供應。舉例來說，某用戶需要1TB的儲存空間，供應商可能從單一的實體硬碟，或是串接而成的陣列系統，從不同的地點透過網路來提供所需的容量，使用者並不需要知道資源實際的所在位置，即可順利的使用，並且可以再進行動態的擴充，這也是雲端運算的一項重要特徵。

雲端運算的部署模式

談到雲端運算，最為人所知的就是它的部署模式，這也是大家最常聽到的雲端名詞，包括了以下四種型態：

Public公有雲 – 所謂的公有雲，顧名思義就是所提供的是針對大眾的公開服務，像是主機運算、資料庫、資料儲存等服務，這朵雲會是由某個組織所擁有，依照資源的使用量和時間來對使用者進行計價。

Private私有雲 – 私有雲是相對於公有雲的一種佈建型態，主要是避免過度開放，以降低雲端服務提供給不同的使用者時，可能造成的安全問題。因此，它只會針對單一組織來提供服務，並且由該組織或委任的第三方來管理。私有雲是許多組織從現有的IT環境，邁向雲端的第一步，藉由去調配既有的IT設備，或是導入新的虛擬化技術，將可用的資源集中成為虛擬的資源池，再針對組織的使用者來提供服務，可充分利用雲端的彈性，同時藉由單純化的管理方式來降低風險。

Community社群雲 – 這朵雲是由許多個組織來一起共享，以支援特定的社群服務，例如目前由相關單位推動的醫療雲、教育雲等，以共同的訴求和具有相同使命的目的為號召，提供特定社群的雲端服務。這些雲端服務所需要的設備資源，可能會位於組織內部同一地點，或是委由外部單位來協助提供。

Hybrid混合雲 – 雲與雲之間雖然是獨立存在，但是彼此卻可以相互連結應用，對於一個組織同時採取了兩種以上不同的雲端服務型態，稱之為混合雲。例如企業可運用公有雲的運算資源，但是運算結果的資料儲存和分析歸檔，卻由內部的私有雲來協助完成，這種混合的型態，可以大幅增加應用服務的可移動性，同時降低企業完全採用公有雲的安全風險。

雲端運算的服務型式

至於雲端運算的服務型式，也是早期雲端運算在技術面最常討論的重點，NIST將所有雲端服務型式歸類為三種，簡稱為「SPI」型式，說明如下：

SaaS軟體即服務 – 使用者所採用的雲端服務，來自於雲端服務供應商的應用軟體，最著名的就是Google，包括了電子郵件、地圖、文件、協作平台等，使用者可以廣泛地利用各種可連網的裝置，透過瀏覽器或行動裝置上的App，即可使用其應用服務，軟體本身所運作的平台或底層的基礎設施，使用者完全不需要管理或參與，這對使用者來說，可以大幅降低系統管理、軟體授權、硬體設備等費用，雲端服務供應商則能夠有效控制軟體的使用、版本更新、安裝散布等問題。

PaaS平台即服務 – 使用者藉由雲端服務供應商所設置完成的開發平台，使用其所支援的程式語言和開發工具來進行軟體開發或測試，其優點是平台所需的硬體基礎設施，完全不需要使用者費心維護，只需要調配控制所在的主機組態即可，而且開發平台的使用可以依照實際的需求和時間來付費，同時可要求雲端服務供應商必須確保開發平台的可用性與穩定性，並且節省自行建置平台和開發工具的費用和人力、物力與時間成本。

IaaS基礎架構即服務 – 對使用者來說，若需要彈性的建置軟體開發或運算環境，基礎架構即服務會是最佳的選擇，因為雲端服務供應商只提供必要的基礎設施，像是網路、儲存空間、處理器等資源，其他的像是作業系統、套裝軟體、應用程式等，都可以完全交給使用者來自行掌控，所以它具有高度的可擴充性，但是相對的，使用者所需負擔的安全風險也會更高。

雲端運算服務的角色

在雲端運算服務之中，依照所扮演的角色不同，所關注的焦點也會不同，一般而言，雲端服務主要會有三種角色，第一種角色是使用者，其關注的重點在於如何評估一家可靠的雲端服務供應商來滿足所需的各項服務、如何去簽訂服務的使用合約以確保可能的安全問題受到妥善處理，以及如何維持一定的服務水準。第二種角色就是雲端服務供應商，依照所提供不同的服務型式，其關心的事項包括了如何建立必要的基礎設施(如硬體、軟體、虛擬化技術)、如何進行監控與管理來滿足服務水準要求、如何實施安全控制措施來降低安全風險、如何提供標準化作業平台和軟體等。最後一種角色則是雲端服務開發者，它的重點會放在如何挑選一個標準的開發環境、如何去創建雲端服務、如何遞送給使用者、如何進行分析與改善等。

所以在了解雲端運算最基本的五項關鍵特徵、四種部署模式和三種服務型式之後，接下來我們就可以從不同的角色來評估雲端服務所面臨的安全風險，進而提出可行的風險處理方法和應對之道。(本文刊載於2012年1月號網管人雜誌)

[參考資料]

CSA：Security Guidance for Critical Areas of Focus in Cloud Computing
Cloud Computing Use Case White Paper V4

[觀點] 雲端運算安全入門(一) - 您了解雲端之上的安全風險嗎？

Mon, 30 Jan 2012 14:35:00 +0000

雲端運算是目前最熱門的資訊科技應用之一，透過無遠弗屆的網路連結與運算資源，讓組織可以獲得過去需要耗費大量成本才能使用的服務。不過，新科技的應用總有其風險存在，想要降低可能的安全風險，就有賴於足夠的認知和正確的應對之道。

在幾年前談到雲端運算時，它還只是一個趨勢和概念，許多人對於雲端都有不同的解讀與說法，甚至有人認為它只是舊酒裝新瓶的商業炒作，會是另一個網際網路上的泡沫。但是，隨著今日Amazon、Salesforce所提供的商業應用已相當成熟，Google、Apple所提供的Google doc、iCloud等服務，更讓一般大眾都能享受到雲端科技所帶來的便利與創新，雲端應用已不再只是一項口號，而是真正地實現在我們的生活之中。

面對雲端運算和其衍生的各項創新服務，有些先知先覺的開創者已經品嘗到甜美的果實，後知後覺的採用者也因為前人的經驗累積，逐漸地跟上雲端的腳步，但也有人因為不了解雲端，只是道聽塗說而害怕可能的安全問題，一直裹足不前的結果，反正讓自己錯失了良機，同時也失去了產業競爭力，這是令人感到惋惜的地方。

當然，雲端的應用並非全然都是正面的好，站在使用者的角度，我們必須先了解雲端先天的限制與部署的架構，才能讓它的應用符合自身的需求，同時也要明瞭可能潛藏的安全風險，才能進一步有效地駕御它，使其成為營運發展的好幫手，所以接下來的一系列文章，將帶領大家來一窺雲端安全的全貌。

雲端風險來自於何處？

在過去的文章中曾經提到，雲端的風險主要來自於三個層面，分別是網路、資料與法規，而這些風險又會充分地反映在雲的架構、治理與營運之中，同時也千萬不要忘了，目前雲端仍架構在既有的資訊技術之上，這也就是說，傳統的資訊安全問題，在雲端之上依舊會存在，仍然需要我們審慎去處理應對，所以包括像是實體安全、網路安全、系統安全，一直到應用程式安全等，這些對應的安全控制措施都是不可缺少的。

為了對整體的雲端安全有所掌握，在2009年的RSA會議中，有數十家業者宣布共同組成了雲端安全聯盟(Cloud Security Alliance；CSA)，希望藉由業界的實務經驗與力量，來因應雲端應用可能面臨的安全問題，因此，雲端安全聯盟的主要任務，就是提供雲端應用的實務知識和訓練，以協助組織克服並有效降低在採用雲端服務時的風險，所以在2009年4月發布了第一版的雲端運算關鍵領域安全指南(Security Guidance for Critical Areas of Focus in Cloud Computing)，透過數十位橫跨美國、歐洲、亞太地區的專家學者，提供了務實詳盡的的觀點和建議，來幫助企業和組織在部署或採用雲端服務時，有足以參考的最佳實務依據。

除了雲端安全指南之外，為了培育更多業界的雲端安全人才，雲端安全聯盟在2010年6月推出了雲端安全認證計畫，並且設計了全世界第一張針對雲端安全的知識認證CCSK(Certificate of Cloud Security)，以便確保從事相關的雲端產業人員，具有足夠的認知來捍衛雲端的安全。

了解雲端應有的安全責任

隨著雲端服務的應用愈來愈多元，產業也在實務中經歷了更多安全議題的洗禮，在2011年11月，雲端安全聯盟正式發布更新的雲端運算關鍵領域安全指南v3.0，在這份指南之中，將雲端安全劃分為三大部分，並且涵蓋了14項安全領域：

第一部分：雲端架構(Cloud Architecture)
在這個部分，首先提到了第一項安全領域 -「D01雲端運算架構框架」，它是根據美國國家標準與技術研究所(NIST)所提出的雲端運算定義，說明了雲端運算所具有的五大必要特徵、3種服務型式及4種部署的模式，讓組織可以依照其所提供或採用的雲端服務，明瞭其安全責任和管理重點。

第二部分：雲端治理(Governing in the Cloud)
所謂的雲端治理，它關注在五項安全領域，包括「D02治理與企業風險管理」，要求組織必須具備評估雲端運算風險的能力，像是雲端服務供應商如何應對風險、組織保護敏感資訊的責任等；其次是「D03法律議題：合約與電子證據發現」，談到了在事故發生時，組識對於資料隱私、證據蒐集和法律相關的責任；再來是「D04法規遵循與稽核管理」，協助組織了解如何符合內部與業界法規的要求，以及實施安全稽核的重點；接下來是「D05資訊管理與資料安全」，組織必須依照機密性、完整性、可用性，以及資料的生命周期來實施對應的控制措施；最後一項為「D06相互運作與可移植性」，提到一旦雲端服務需要轉移或更換供應商時，如何確認供應商具備可執行運作的能力。

第三部分：雲端營運(Operating in the Cloud)
第三部分是雲端營運，牽涉到許多技術性的安全議題，也是大多數組織比較會重視的地方，它包括以下八項安全領域：

「D07傳統安全、營運持續和災難復原」- 組織需要了解傳統的安全問題是否已有妥善的處理，以及採用雲端服務之後，萬一發生事故，應如何確保既有的營運水準，並且具備災難復原程序。
「D08資料中心營運」- 要求事先評估雲端服務供應商和其資料中心的營運程序，以掌握可能的安全風險。
「D09事故回應」- 說明事故發生時，當下是否有緊急應變與處理的能力，並且能夠依照法規要求進行通報，以避免災情的擴大。
「D10應用程式安全」- 要求評估在雲端環境下運作的應用程式，是否含有可能的安全漏洞，以及既有的應用程式是否適合移至雲端運行。
「D11加密與金鑰管理」- 提到業界針對加密機制和金鑰管理的安全建議，還有要如何落實資料的存取保護。
「D12識別、權限與存取管理」- 談到了身分驗證與授權的重點性，如何在雲端上提供所需的身分供應與存取控制。
「D13虛擬化」- 著重在目前普遍應用在雲端的虛擬化技術，如何避免虛擬主機的安全風險，以及在虛擬化環境中的安全管理問題，提供了實務可行的建議。
「D14安全即服務」 - 安全即服務的重點在有別於如何確保在使用雲端服務時的安全，從另一個角度透過雲端服務來評估和強化系統和資料的安全。

如何因應雲端安全風險

針對雲端運算可能面臨的安全風險，雲端安全聯盟在「Top Threats to Cloud Computing」文件中識別了七項最常見的安全威脅：

濫用與非法使用–雲端運算提供了近乎無限的運算、網路與儲存資源，除了應用在正面的商業行為之外，也可能受到惡意人士的利用，作為像是破解密碼、阻斷服務攻擊、惡意程式主機、殭屍網路(Bonet)等的利器，大幅提升其非法活動的能力。
不安全的介面與APIs –雲端運算透過許多應用程式介面來提供服務，如果在身分驗證方面不夠嚴謹或是存在安全漏洞，可能就會造成使用時的安全問題。
惡意的內部員工–在雲端上可能存在大量的商業資料和重要的商務應用服務，一旦雲端服務供應商的內部員工有惡意存取或破壞的行為，就會造成組織重大的損失。
資源共享的技術問題–許多雲端服務是基於共同的軟硬體資源，提供給各來自不同組織的使用者，一旦某項資源受到損害(例如主機被滲透竊取資料)，即可能央及其他共用的使用者。
資料遺失或外洩–雲端服務供應商存放資料的地點(包括儲存設備和資料中心)，如果沒有實施良好的管控或備份機制，可能就會造成資料外洩或損毀。
帳號或服務被挾持–雲端供應商藉由使用帳號來提供各項服務，如果帳號安全機制遭到破解，或是帳號受到竊取利用，都會導致服務的失效。
未知的風險–雲端提供了創新服務，也就代表背後藏有許多未知的風險，即使在技術層面上已不斷的更新修補，管理機制也可能會有不足的地方，再加上資料隱私要求在各個國家皆不相同，資料安全與合法性仍需要持續的重視。

除了以上常見的安全威脅，在雲端服務之中，基於所扮演的角色不同，所考量的安全問題也不會相同。以服務的使用者來說，最關心的莫過於成本效益是否可達成既定的目標、使用方面是否能符合需求，以及是否具有安全的問題，而這些都會反應在其挑選雲端服務供應商的條件，以及未來所簽定的合約與服務水準協議(SLA)。

若是服務的供應商，所需要考量的安全層次就會多更多，例如從最底層的硬體建置和效能方面，是否足以應付雲端的大量存取使用；架構在硬體之上所使用的軟體虛擬化技術，是否可達成有效分配運算、網路、儲存等資源，以及虛擬映像檔的管理安全性；還有再往上到應用面的不同部署型式(私有雲、公有雲等)和服務型式(SaaS、PaaS、IaaS)的安全責任歸屬，加上管理方面的支援能力(如報表、帳務、容量管理、安全監控等)，這些都是在提供服務之前需要確認的事項。

所以，為了因應雲端的安全風險，組織務必要具備足夠的雲端運算安全認知才行，建議最可行的方式，就是先從國際認可的作法來著手，而雲端安全聯盟所提供的雲端運算關鍵領域安全指南，正是最佳的實務參考，這些擁有雲端安全知識的人員，未來還可進一步取得CCSK雲端安全知識認證，成為組織中重要的雲端運算安全人才，也才能更有效地推動各項雲端應用服務。(本文刊載於2011年12月號網管人雜誌)

[參考資料]

CSA：Security Guidance for Critical Areas of Focus in Cloud Computing

CSA：Top Threats to Cloud Computing

[觀點] 解析資訊安全控制措施(完) - 資訊安全與法規遵循

Tue, 10 Jan 2012 14:19:00 +0000

上一次我們談到ISO 27001中有關如何避免資安問題影響企業營運的要求，以及在發生資安事件之前，應如何建立相關的事件處理應變流程，本文將說明在標準附錄的最後一項，有關法規遵循的控制措施。

在過去，每當與企業管理階層談到資訊安全的議題時，通常被重視的程度，大都遠低於和業務活動相關的事項。探究其背後原因，乃是當資安事件發生時，主管人員皆認為其可能造成的衝擊並不大，採取方式也往往是由內部人員來自行處理。

不過，隨著組織在營運活動上，愈來愈倚靠資訊系統的運作，再加上資訊可被傳遞的管道愈來愈多，讓現今的資安問題變得更加複雜，一旦發生資料外洩事件，也容易受到媒體矚目，民眾所產生的不良觀感，將對組織的信譽造成傷害，加上當事人若受到實質損害時，也會訴諸法律來尋求必要的賠償。

此外，企業若發生商業機密的外洩，也必須要因應與客戶或供應商所簽訂的合約中，明訂需要負責或賠償的事項，所以對企業而言，重視資安問題並在營運過程中識別出需要遵守的法律、法規及合約的安全要求，將它落實在內部的政策與作業規範，將會是最好的做法，只要能及早未雨綢繆，就可避免因資安事件所造成的傷害與損失。

法規遵循與適法性要求

在ISO 27001附錄A.15中提到，法規遵循與安全政策必須能夠有效地實施，它包括了三個控制項目，首先「A.15.1遵循適法性要求」的目標，就是要讓組織避免違反任何法律、法規、合約、應盡義務及任何與安全有關的要求，也就是要降低組織不小心違反法律的風險。

組織想要確保不會發生違反法規的事件，最好的方法就是預先找出在法律和行業規範中必須要遵守的事項，然後融入相關的管理要求中加以實施。這裡一共有六項控制措施，分別說明如下：

A.15.1.1 識別適用的法條
這項控制措施是要求組織對於本身所適用，或是對資訊系統提出要求的相關法律、法規和合約，都必須要明確的識別並界定出來，採取文件化方式加以記錄，並且維持在最新的狀態。在實務方面，企業需要遵守和資安有關的法律，包括了刑法、著作權法和個人資料保護法等，除了要將適用的法律識別出來，最重要的是在內部的管理程序中，也要將這些要求作清楚的明訂與說明。

A.15.1.2 智慧財產權
這項控制措施是要求組織必須確保所使用的資料和軟體，不會涉及違反智慧財產權的法律要求，所以要建立適切的管理程序。以著作權和智慧財產權為例，組織可以在管理程序中明訂購置軟體的方式和原則，說明為了尊重智慧財產權，內部一律使用合法授權的軟體，並嚴禁非法下載音樂、影片和未授權的軟體，同時也要為合法軟體建立一份軟體清單，並且定期清查以避免違法情事發生。

A.15.1.3 組織記錄的保護
為了確保組織運作符合法律、法規及合約的要求，組織在必要時需要提出證明，這項控制措施就是要求組織應保護和法律及營運有關的記錄，避免其受到竄改、毀損和偽造，而失去足以作為證據的能力。在實務方面，組織需要評估究竟有哪些記錄需要留存，採取什麼樣的安全措施，考量到這些記錄如何產生、如何記錄、存在地點、存放型式、加密方式和存取權限等。一般而言，電磁記錄和紙本文件的保護方式是不同的，電磁記錄要注意加密方式和所選擇的儲存媒體，以便能妥善保存；若是文件的話，儲存地點的環境安控會是重點，同時也要賦予保存期限，期滿之後若不再需要這些記錄時，就可以選擇安全的作法來進行銷毀。

A.15.1.4 個人資訊的資料保護與隱私
隨著個人意識的高漲，以及個人資料保護法所賦予對於個人資料的自主控制權利，對於可識別出特定個人的資料，務必要妥善保護，因此這項控制措施要求組織必須依照法律規定，以確保個人隱私和個人資料保護。建議組織可從人員、流程、技術三個方向來進行，包括指定專人來負責個資管理、對員工實施教育訓練以了解個資保護的責任；流程方面則依照個資法對個資蒐集、處理和利用的要求，在作業辦法中加入符合法律的措施；至於技術面則依據個資存取、傳輸和儲存方式，實施技術控管和留下適當記錄，以便定期進行稽核，這部分還可配合「A.10.10.1稽核存錄」和「A.10.10.3日誌保護」的要求來進行。

A.15.1.5 防止資訊處理設施的誤用
組織必須防止使用者可能濫用各項資訊處理設施，實務上的作法為要求使用者需要進行申請流程和取得管理階層授權，才可使用資訊處理設施。針對含有敏感資料的設施，則可配合監視系統的使用，並且在一開始提示警告的訊息，讓使用者了解這些資訊處理設施皆屬於組織所有，使用過程也會實施監控記錄，除非已經獲得授權，否則不得有任何的資訊存取行為。

A.15.1.6 加密控制措施的規定
組織若在資料保護上使用加密控制措施，必須遵守當地國家法令的要求，同時了解這些可實施加密的設備，是否會有進出口的相關限制。如果加密技術有輸出至其他國家的需求時，也要事先徵詢法律專業人員的見解，以避免違反國家安全的事件發生。

安全政策與技術遵循

在「A.15.2安全政策與標準的遵循性和技術遵循性」項目中，目標是要確保資訊系統皆能符合組織安全政策的要求，因此需要進行定期審查和稽核，確認資訊系統符合安全實作標準和文件化的規範。在這個項目中一共有兩項控制措施，說明如下：

A.15.2.1 安全政策與標準的遵循性
對於已導入資訊安全管理系統的組織而言，需要依據資安政策與標準的要求，建立各項安全的作業程序，這項控制措施就是要求所有管理人員，必須要確保在其職責範圍之內，相關已頒布的安全作業程序都已正確的被執行，同時留有記錄可確認達成資安政策的目標。因此，管理人員需要定期審查這些程序實施的結果，若發現有任何不符合的情況發生，就需要判斷其原因，評估是否要採取相對應的矯正措施，以防止這些事件再次發生，同時也要向管理階層來回報。

A.15.2.2 技術遵循性查核
管理制度除了可進行定期審查和稽核之外，針對資訊系統也要查核是否符合安全標準的要求，這項控制措施即是要求定期採技術性方式來查核各項資訊系統，因此在實務上，建議由有經驗或持有專業認證的人員來進行。例如許多組織會使用自動化工具，針對網站進行弱點掃瞄，或是採取手動方式，針對系統進行滲透測試，再提出網站的安全改善報告。請記得所有技術性的查核過程，務必都要事先取得授權，並且在適當的監督和記錄下，由專業人士來實施，以避免引起其他不必要的問題。

資訊系統的稽核考量

ISO 27001附錄的最後一個控制項目是A.15.3「資訊系統稽核考量」，它的目標是要確保資訊系統在稽核的過程中，可以對組織產生最大效益，同時避免不必要的干擾與風險。在這個項目中包括二項控制措施，說明如下：

A.15.3.1 資訊系統稽核控制
針對資訊系統，組織將依據安全政策的要求，定期實施相關的稽核，但是這些稽核活動，可能也會引起其他的安全風險。這項控制措施要求資訊系統的稽核活動，必須要有嚴謹的規劃，以避免造成營運的中斷，因此在實施之前，我們必須考量所實施的範圍、所需要的資源及所採取的稽核手法。舉例來說，若是針對資料庫系統進行查核，則所使用的工具或指令，務必確保僅能針對資料本身進行唯讀存取，不會新增、刪除或修改資料的欄位屬性和內容；另外在實施之前，也務必取得管理階層的授權，在明定的時間和條件下進行，過程中也要留下記錄，以便在意外發生時採取應變作法。

A.15.3.2 資訊系統稽核工具的保護
組織在實施資訊系統稽核時所使用的工具，往往具有特殊的權限或敏感性，因此這項控制措施要求所有系統稽核工具，都必須要有適當的保護，以避免濫用或受到破解的情況發生。所以，負責資訊系統稽核的人員必須具有獨立性，使用的工具也要和開發或運作中的系統分開，並且實施權限控管，在必要時甚至可先從運作中的系統移除，以避免受到誤用。

資訊安全是一個管理流程

對許多未正視資安的組織而言，資訊安全仍停留在購置產品設備，防範網路入侵等技術性的問題上，卻忽略了組織最大的資安風險，往往是來自於人員的不當行為或疏失，才會導致資料外洩的事件發生，更忘了這些人為的問題，往往是所有最先進設備都難以阻擋的最大威脅來源。

所以，資訊安全絕對不是建置產品的過程，而是一項管理的流程，它透過標準的文件化要求，進行資訊安全的風險管理，配合實施適當的安全控制措施，就可以讓組織內在的體質變好，而不需要老是倚賴華麗的外套，來抵禦可能的病菌入侵。

個人希望透過這一系列的文章說明，讓您的組織可以透過持續不斷的計劃(P)、執行(D)、檢核(C)和改善行動(A)，將風險降至可接受的程度，確保各項營運活動無後顧之憂，為各位創造出最好的機會和最佳的工作效益。(本文刊載於2011年10月號網管人雜誌)

[觀點] 解析資訊安全控制措施(十) - 資安事故管理與營運持續

Sun, 08 Jan 2012 11:31:00 +0000

上一次我們談到了ISO 27001中有關資訊系統的安全規格要求，以及在系統開發時，如何導入適當的安全控制來降低系統的安全風險，本期將說明接下來的資安事故管理與營運持續的控制措施。

在資訊安全的世界裡，無法達到所謂百分之百的安全，能夠做到的只有相對的安全，這是組織務必要體認的實際情況，因此，難免會有一些資安事件，像是電腦中毒、駭客入侵、資料損毀等狀況發生。既然無法保證絕對不會發生資安事件，那麼在事件發生時，為了要降低可能的損害，就需要事先建立處理應變的方式，才能將衝擊降到最低，甚至還要進一步擬定營運持續計劃，以便在災害擴大時，仍能保持業務營運的正常水準。

資訊安全事故管理

在ISO 27001附錄A.13中提到的是資訊安全事故管理的資安要求，它有兩個控制項目，「A.13.1是通報資訊安全事件與弱點」，目標是要確保和資訊系統有關的資安事件與弱點，都擁有相對應的處理程序，並且能夠正確及時地被傳達通報。這也就是說，只要是和資訊系統有關的人員，包括系統管理者、供應商及使用者，都必須要了解這些不同種類事件和弱點的通報程序、聯絡方式和正確的聯絡窗口，這個項目具有兩項控制措施，說明如下：

A.13.1.1通報資訊安全事件
這項控制措施是要求組織建立正式的資安事件通報程序，以便相關人員能夠採用適切的管道，快速將資安事件回報給管理人員，以便及時來因應和處理。通常一個完整的通報程序，包括要指定一個正式的聯絡人和代理人，並提供文件化的資安事件通報程序和表單，讓通報人員能夠依照事件通報指示，記錄和事件有關的重要細節，像是發生的時間、地點、系統錯誤訊息、監控指數，以及其他主觀判定異常的行為，以作為事件處理的依據參考。

為了要讓人員熟悉資安事件通報的作業流程，建議組織應定期舉辦教育訓練，讓新進人員都能具備必要的認知，或是定期的實施事件模擬演練，以便在事件真正發生時不會因手忙腳亂而忽略了訊息通報。

A.13.1.2通報安全弱點
這項控制措施是在組織已建立了適切的通報程序之後，要求和資訊系統有關的人員、供應商和使用者，務必要遵守通報的要求，只要是發現或觀察到可疑的安全弱點，就需要將這些事件盡快告知管理人員，以避免進一步的損害發生。

至於在「A.13.2資訊安全事故與改進管理」的項目中，目標是要確保組織中具有一致的事件通報與處理程序，並且能夠持續地進行評估、監控，並且改善整體的安全事件管理，以達到事故管理的有效性。在這個項目中，一共有三項控制措施，分別說明如下：

A.13.2.1 責任與程序
在資安事件發生時，到底要由誰來負責通報？該如何進行呢？這些都有賴於事前建立完整的作法，因此，這項控制措施即是要求組織需要建立適當的責任區分和作業程序，才能夠迅速有效地回應資安事件。

所以在實務上，我們需要針對事件區分不同的等級或型式，才能夠分別建立不同的因應辦法，例如針對單機的電腦中毒，就會有其需要通報的內容說明和處置，而針對來自網路的阻絕服務攻擊，在通報層級和處置方面，也會有顯著的不同。至於整體的事故管理程序，建議還要包括事件的原因分析與鑑別、如何進行事件預防與矯正措施的規劃，以及是否需要蒐集相關證據，以便向主管機關進行通報，或是作為損害求償的證明。

A.13.2.2 從資訊安全事故中學習
所謂亡羊補牢尚未晚，一旦資安事件效應擴大，演變成為對於組織營運有害的事故，我們就必須要有足夠的資訊，針對事件發生的頻率、損害情形、營業損失，來選擇額外的控制措施，以防止事件的再次發生。這項控制措施即是要求組織應有適當的機制，評估和監控資安事故的過程以及所造成的衝擊，作為因應未來事件的依據參考。

A.13.2.3 證據的蒐集
如果資安事故涉及到法律問題，組織就必須採取相關的法律行動，證明自己並無故意過失，或是對於惡意行為進行損害求償。這項控制措施要求應針對資安事故本身，蒐集、保存和提交相關的證據，以符合法庭在審判時的佐證要求。在實務方面，數位證據的蒐集是相當專業且不易進行的，因為數位證據本身很容易受到破壞和竄改，進而損及到數位證據應有的證明力和證據力法則。

所謂證明力是指證據是否可明確反映事件發生的原貌，而證據力則是在蒐集的過程中，是否依照標準的程序來進行採集，並且可持續一致地維持證據的正確性和完整性，確保其品質可被法庭所採納。對組織來說，證據的來源通常有兩種型式，一種是紙本文件，它記錄事件的發生時間、地點和過程，這些原始文件必須要確保其不會遣失或受到竄改；另一種則是存在於資訊系統上的電磁記錄，需要透過鑑識人員使用相關的鑑識工具進行蒐集、檢驗、分析和報告，在這個過程中，需要依照法庭或業界認可的標準流程來進行，原始存有電磁記錄的媒體則必須受到妥善的保護，以避免損及證據應具有的兩項法則。

營運持續管理

組織想要作好資訊安全的目的，就是不希望資安事故的發生，影響到日常的業務營運，所以A.14營運持續管理的目標就是希望組織能夠未雨綢繆，事先擬定各項的應對策略，以避免營運中斷的情況發生。

營運持續策略的擬定，主要是透過營運衝擊分析來找出組織重要的業務關鍵活動，再透過針對關鍵活動的風險評鑑，評估可能的潛藏風險，並擬定出對應的營運持續計畫，藉由計劃的實現來達成營運持續的目標。

因此，A.14.1「營運持續管理的資訊安全層面」的控制目標，就是希望透過營運持續管理的流程，配合實施各項預防和復原措施，來對抗可能的營運中斷，確保重要的核心營運系統和業務流程，不會受到災害事故的影響而能夠持續進行，在這個項目中一共有五項控制措施，分別說明如下：

A.14.1.1 將資訊安全納入營運持續管理流程
這項控制措施要求組織需要依照業務所需的資安要求，發展和維持整體的營運持續管理流程，也就是需要識別和業務有關的關鍵活動，以及支持這些關鍵活動所需的資產，包括了人員、場地、資訊、技術、供應商、利害關係人等，組織必須充分地了解這些資產所需的安全要求，以及這些資產可能引起營運中斷的風險，評估其可能造成的衝擊，然後再選擇適當的控制措施。

舉例來說，像是火災可能對於營運場地包括機房和辦公室，造成營運中斷的衝擊，所以組織就需要配置消防系統，作為對抗火災的控制措施，如果認為此災害對於營運的衝擊過大，甚至可預備另外的營運據點，或進一步購買適當的保險，來降低整體的營運風險。

A.14.1.2 營運持續與風險評鑑
組織若已將資安納入營運持續過程的考量，接下來就要展開實際行動來找出可能造成營運中斷的風險，這項控制措施就是要求組織必須識別可能導致營運中斷的事件，研判其可能發生的機率，評估可能造成損害的等級，以及對組織的衝擊和影響。

一般而言，由資安事件引發的系統錯誤、設備失效、天然災害等問題，多數能夠藉由風險評鑑加以識別，並且依照其損壞程度和復原時程，判斷如何恢復其至正常運作的水準。因此在進行規劃時，建議最好由業務活動和資源的擁有者來參與，才能夠完整的識別出正常營運所需的資源、可允許的中斷時間及復原的順序，如此，也才有辦法識別出各項風險，進而決定組織營運持續管理的整體作法，避免落入過度偏重在添購資訊設備的備援情境中。

A.14.1.3 發展與實作包括資訊安全的持續計畫
組織應依據營運衝擊分析和風險評鑑的結果，來建立所需的營運持續計畫，這項控制措施就是要求針對各項可能造成營運中斷的風險，應該建立對應的維持或恢復運作的計畫，以確保在一定時間內達到資訊可用的要求等級。對此，建議組織在規劃時，需要考量可以接受的服務中斷時間，以及可使用的人力、物力等各項資源。

舉例來說，若組織針對主機損毀造成系統失效時，所採取的處理計畫為更換同一型號的主機，但系統可接受的服務中斷時間為三小時，組織在異地也備有同型的設備，但是光取得這些設備就需要耗費二小時以上，加上通知技術人員來協助更換和資料復原也至少需要一小時，所以雖然更換設備看來是可行的作法，但實際執行時卻無法滿足組織要求，因此這樣的營運持續計畫內容可能是失效的。

A.14.1.4 營運持續計畫框架
這項控制措施是要求營運持續計畫需要確保一致性，也就是在實施上務必要依照組織的整體作法，例如在每一份計畫中，都會涵蓋特定的計畫擁有人、聯絡清單、啟動條件、緊急程序等，這些就是所謂的框架，需要依照這些項目來建立各項營運持續計畫的內容，同時明訂測試與維護的優先順序。

A.14.1.5 營運持續計畫的測試、維護及重新評鑑
關於營運持續管理，實務方面需要注意的是，計畫本身的建立並不困難，重點在於如何維持計畫的有效性，因此這項控制措施要求所有的營運持續計畫，都需要定期的測試與更新，以確保計畫的內容與作法，符合當下真實的環境。

對組織而言，或許無法同時完整測試所有計畫，但應該要規劃其測試時程和方法，視情況選擇採取紙本演練、狀況模擬、技術測試及完整演練等，請務必明白計畫的目的只有一個，就是要確保在災難發生時，能夠依照預先設想的步驟來執行，以達到營運持續的目標。(本文刊載於2011年9月號網管人雜誌)

[參考資料]

ISO/IEC 27001:2005
ISO/IEC 27002:2005

[觀點] 解析資訊安全控制措施(九) - 資訊系統取得、開發與維護

Sat, 03 Dec 2011 01:40:00 +0000

上次談到了ISO 27001中有關網路、作業系統、應用系統的存取控制要求，藉由部署適當的控制措施，可降低組織的安全風險，接下來將說明標準中有關資訊系統取得、開發與維護的安全要求。

對大多數的組織而言，資訊系統的獲得有兩個來源，一個是由內部人員自行開發撰寫應用程式，另一個則是由外部廠商來協助開發或提供套裝軟體。不過，無論是採用委外服務或是自行開發，對於資訊系統所需的安全目標都是一致的，相關的安全控制目標與措施，可以參考ISO 27001附錄A.12「資訊系統取得、開發與維護」的內容，它主要有六個控制項目，依序說明如下。

資訊系統的安全要求

在A.12.1資訊系統的安全要求中，目標是要確保在導入資訊系統的時候，安全是其中必要的考量，它的控制措施為「A.12.1.1安全要求分析與規格」，主要是希望在一開始評估規劃資訊系統時，就要將安全項目納入其中，包括資訊系統對組織整體營運的重要性為何？是否評估此一系統失效或受到入侵時可能產生的安全風險？所需要的安全防護層面有哪些？如果系統本身無法達到所需的安全強度，是否可尋求其他的配套措施來降低風險？

除了管理面之外，在技術面需要考量的項目有，系統是否具有可自動運作的控制措施，能夠偵測出系統的異常情況；或是具有輔助性的人工控管方法，可進行參數的調整來增加安全的強度。還有系統是否採用了合乎業界標準的開發工具和流程(例如CMMI)，或是產品本身已通過安全標準(例如ISO 15408)的驗證與評估，這些也可納入採用資訊系統時的安全要求。

系統的正確處理與加密控制

在A.12.2應用系統的正確處理項目中，目標是要採取適當的控制措施，讓這些與營運有關或是處理重要資訊的系統，能夠確保所處理資料的正確性，同時避免受到未經授權的修改或濫用。它一共有四項控制措施，分別說明如下：

A.12.2.1 輸入資料確認
這項措施是要求針對所輸入的資料，系統能夠主夠地加以確認其適切性，以避免不當輸入所產生的風險。例如許多網站都提供了會員資料輸入或內容搜尋的功能，因此針對所輸入的資料，在內容上面可加以限制，像是價格欄位僅允許輸入數字、身分證字號只允許輸入10個字元等，透過對於數值的範圍、資料完整性、資料量及有效字元等的偵測，可避免像是資料隱碼(SQL injection)或緩衝區溢位(buffer overflow)等常見的攻擊。

A.12.2.2 內部處理的控制措施
針對不當的輸入，資訊系統需要有能力加以因應，像是資料檢核(validation check)的功能，應該要併入系統之中，以便主動地偵測和因應處理錯誤，或是蓄意的不當行為所引發的問題。所以程式本身需要考量設計相關的核對項目，包括像是批次處理的管控，可確保資料更新前的前後一致性；檔案總數的控制，核對資料完成之關聯檔案數值是否一致；進行程式運作程序的查核，在問題發生時可暫停下一步的處理等，這些都是實務可用的作法。

A.12.2.3 訊息完整性
要求針對所處理的資料，應實施確保訊息完整的控制措施，例如透過加密機制或雜湊涵數(hash)的應用，確保所處理資料的完整。

A.12.2.4 輸出資料確認
除了輸入資料的確認之外，輸出資料的確認也同樣重要，例如目前經常運用的地理位置查詢服務，若輸出的地址有誤，可能會讓人走到汽車不應走的鄉間小路而陷入困境，因此這項控制措施要求系統所輸出的資料必須加以確認，以符合實際可用的情況。

針對資訊加密的控管方面，在A.12.3「加密控制措施」的項目中，目標是要藉由加密方式，確保資訊不會受到未經授權的存取、竄改和干擾，也就是要達到機密性、完整性及可用性的要求，其控制措施說明如下：

A.12.3.1 使用加密控制措施的政策
針對和營運或是個人隱私有關的敏感資訊，組織應依照風險評鑑的結果，制訂統一的加密政策，說明要採取何種加密技術或控制方法來保護這些資訊。目前，許多組織都使用了筆記型電腦、智慧型手機等行動裝置，或是可移除式的媒體像是行動硬碟、隨身碟等，針對這些裝置的使用、授權方式及加密的作法，都應該在相關政策或作業程序中加以說明。

A.12.3.2 金鑰管理
對使用加密措施的組織而言，最重要的就是用來加密的金鑰該如何妥善的保存，因為一旦金鑰遺失或受到破壞，也代表資料可能無法繼續使用。因此，在金鑰管理的生命周期中，從金鑰產生、分派啟用、儲存、更新、廢止、封存和銷毀等，都要有完整的作業程序作為基礎，才能達到所謂的良好管理，另外千萬別忘記了，只要是和金鑰有關的作業活動，都要保留完整的記錄，以便進行後續的安全稽核。

系統檔案與開發過程安全

針對系統檔案安全的控管方面，A.12.4「系統檔案」的控制目標是要防止系統的檔案受到未經授權的存取或修改，它具有三項控制措施，分別說明如下：

A.12.4.1 作業軟體的控制
在作業系統上進行軟體安裝，應有相關的作業程序以便加以控制。在實務方面，使用者若未經過授權，應避免在作業系統上安裝應用軟體。特別要注意的是，許多作業系統的重大修補，像是版本升級或是Service pack的安裝，都要經過適當的測試，確保穩定度與相容性未受到影響，才可以實施更新，否則新版本的作業系統很可能因為不穩定或不熟悉操作，而導致其他的問題發生。

A.12.4.2 系統測試資料的保護
在系統進行運作測試時，應避免使用真實的個人資料或敏感資訊來進行，這已是老生常談的作法之一，這項控制措施即是要求需要小心選擇並且保護用來測試的資料，以避免資料的外洩。所以，在測試時要注意所使用的資料是否已經過授權取得，資料本身是否已剔除或替代敏感性的內容，在測試完成之後，是否已經徹底將資料從系統中清除。

A.12.4.3 程式原始碼的存取控制
程式原始碼的重要性，對資訊系統來說無庸置疑，因此原始碼的存取必須受到嚴格的管控。一般而言，原始碼會集中並儲存在特定地點(source libraries)，控制措施則包括了是否已建立作業程序、是否設定存取權限、是否保存在安全的環境等，即使是程式開發人員需要取得程式原始碼並進行更新，也要先經過授權，並依照作業程序才可進行。

在A.12.5「開發與支援過程的安全」控制項目中，目標是要能有效維持應用系統本身和所處理資訊的安全，其控制措施說明如下：

A.12.5.1 變更控制程序
針對資訊系統的變更，需要制訂正式的變更程序才可進行，也就是說，重點在於整個過程都需要有適當的監控，因此最好的作法是參照文件化的變更作業程序，同時依據之前A.10.1.2變更管理的相關要求來實施。

A.12.5.2 作業系統變更後的應用程式技術審查
在A.12.4.1曾提到作業系統軟體的更新不當，可能會引發安全問題，因此這項控制措施要求在變更之後，需要進行審查測試，以避免影響到組織作業或其他關鍵系統。換句話說，只要有系統進行變更作業，就要對應到後續的技術審查，所有更新作業與運作情況，都要留下適當的記錄才行。

A.12.5.3 套裝軟體變更的限制
組織若是使用廠商所提供的套裝軟體，這項控制措施建議應盡量避免相關套件的修改，所進行的變更活動也要加以嚴格管控。因此實務上若需要進行修改軟體套件，首先是要徵詢相關廠商的意見，並且評估變更之後的後續維護要如何進行，以避免產生安全漏洞。

A.12.5.4 資料外洩
許多資訊系統為了方便維護，開發者可能留下後門或隱密通道，這些可能會是資料外洩的管道之一，在實務上要完全加以防堵是非常困難的，比較可行的作法為在系統上線前進行系統掃瞄，確認是否有不當的訊息外送或開放的傳輸埠，另外也要監測系統資源的使用與網路活動，以防範資料洩漏的事件發生。

A.12.5.5 委外的軟體開發
組織若選擇委外廠商來進行軟體開發，就必須要加以適當的監督，確認遵守組織的安全政策要求，這部份可參照A.10.2第三方服務交付管理的要求來實施，實務上也建議組織將安全要求明列在所簽訂的委外合約之中。

在資訊系統取得、開發與維護的要求方面，最後一項控制項目為「A.12.6技術脆弱性管理」，它的控制措施是「A.12.6.1技術脆弱性控制」，因為資訊系統本身並非十全十美，需要定期或及時的加以修補，這項控制措施就是要求能夠及時取得和弱點有關的資訊，並採取對應的行動來降低因已公布的安全弱點，而遭受到不必要的攻擊。建議的適當作法為建立一份完整的資訊資產清冊，詳細記載系統的相關資訊，例如版本、廠商、部署狀態、負責人員等，並與廠商保持溝通連繫，以掌握系統的安全現況。(本文刊載於2011年8月號網管人雜誌)

[參考資料]

ISO/IEC 27001:2005
ISO/IEC 27002:2005

[觀點] 解析資訊安全控制措施(五) - 通訊與作業的安全管理(中)

Wed, 09 Nov 2011 13:24:00 +0000

之前已針對ISO 27001中有關通訊與作業安全的控制措施，談到了監控資訊作業的相關活動和第三方的服務管理，本篇將繼續說明在此控制項目中的其他要求，以及在實務方面可以應用的管控作法。
註：上篇及下篇請參考之前發佈的內容。

過去，只要談到資訊安全防護，大多數人員直接聯想到的就是網路安全，認為需要在組織中部署防火牆和入侵偵測系統等產品，以防止來自網路的入侵和攻擊。雖然，這樣的認知是有點偏於狹隘的，但也突顯出網路安全其實就是組織在資安方面最為關注的地方，也願意將可運用的資源投入在網路安全上。

不過，網路安全除了導入技術面的資安產品之外，最重要的還是需要配合管理面的要求來進行，原因是技術性的作法，通常是為了要在問題發生時進行損害防阻，避免資訊資產受到損失，而管理面則是為了要防範問題於未然，事先透過作業流程的監控與設計，來降低其中潛藏的資安風險，因此，兩者在強化資安防護方面，肯定是相輔相成且缺一不可的。

在ISO 27001附錄A.10中，提到的是「通訊與作業管理」的要求，之前已說明了A.10.1「作業程序與責任」和A.10.2「第三方服務交付管理」，接下來就繼續探討其他的控制項目。

系統的規劃與管理

在組織之中，有些資安事故的發生原因，是來自於許多系統的上線啟用，沒有事先作好良好的規劃與測試，導致影響系統的正常運作。因此，在A.10.3「系統規劃與驗收」的控制項目中，一共有兩項控制措施，要求系統需要預先作好規劃與準備，確保有足夠的容量與資源，可以讓系統正常的運作，目標是要盡可能使系統運作失常或錯誤的風險，降到最低的地步。依序說明如下：

A.10.3.1 容量管理
以硬體伺服器為例，幾乎都有提供管理介面可監看系統的運作情況，包括CPU、記憶體、網路流量、硬碟空間等。因此，管理人員需要預作規劃，評估未來可能成長的資料量，來添購所需的儲存媒體和設備，以避免因為容量不足的問題，導致系統服務的中斷。

A.10.3.2 系統驗收
組織在啟用新系統之前，需要明確界定其驗收準則，包括版本、啟動程序、復原措施、操作訓練等。在實務方面，每當有新的資訊系統要加入既有的環境時，管理人員需要先問問自己，對於安全的要求是什麼？有沒有可能會因為新系統的上線，而影響到原本的運作環境。舉例來說，像是建置了視訊會議和網路電話系統，會不會導致頻寬不足；加入了數位監視系統，存放大量影像檔案，有沒有可能會導致儲存空間不足，這些都需要事前進行完整的檢測和評估才行。

目前，對於資訊系統最常見的外來威脅，就是惡意碼和行動碼，所謂的惡意碼是指一些的惡意程式包括病毒、木馬、蠕蟲、間諜程式等，其主要的感染來源，來自於網路下載和行動裝置像是USB隨身碟的使用，所以我們需要一些適當的防護措施。

在A.10.4「防範惡意碼與行動碼」的控制項目中，包括了二項控制措施，目標是要確保軟體與資訊本身的完整性，避免受到惡意程式的感染，分別說明如下：

A.10.4.1 對抗惡意碼的控制措施
組織需要針對惡意碼實施偵測、預防和修復的控制措施，實務上最容易的作法，就是在系統上安裝防毒軟體，並定期更新病毒碼，以確保防毒軟體能夠有效運作。此外，在政策方面，可制定正式政策要求使用者不可任意自網路上下載未經授權的軟體並進行安裝，並實施教育訓練讓使用者有足夠的認知，可避免來自網路和電子郵件等惡意程式的入侵。

A.10.4.2 對抗行動碼的控制措施
除了惡意碼之外，行動碼也是另一項普遍的威脅，它是指可以跨不同平台設備使用的程式，像是ActiveX、Java、Flash等，實務上最常使用的管制方式是提高瀏覽器的安全等級，以避免使用者直接執行了有害的惡意程式。

隨著儲存設備的容量愈來愈大，有許多重要的資訊也會存放其中，一旦因為儲存設備的損毀，連帶也會使得上面的資料也消失無蹤，因此，事前的備份，將可確保資料的完整性與可用性。

在A.10.5「備份」的控制項目中，目標是要維持資訊和資訊處理設施的完整性和可用性，其控制措施包括：

A.10.5.1 資訊備份
通常，我們除了要備份一般的系統檔案和資料之外，許多的應用程式和軟體，也同樣需要進行備份，並且定期進行復原測試，以確保應用程式皆可正常執行。在實務方面，我們需要針對資料本身不同的屬性，定義出不同的備份方式，例如完整備份、增量備份、差異備份等，也需要考量備份的頻率，像是每年、每月、每週、每日等，確保資料有多重的防護。當然，若有足夠的資源，採取異地備份將使資料擁有更高的保障，但這時就要確認異地是否可實施同等級的資安控制措施。

網路服務的安全監控

許多組織除了應用網路在日常作業上，也提供了許多對外的網路服務，在資訊的傳遞方面，更需要去考慮相關的安全問題。在A.10.6「網路安全管理」的控制項目中，目標是要確保對於網路的應用與相關支援的基礎設備之保護，其控制措施說明如下：

A.10.6.1 網路控制措施
這裡的網路控制措施，是要確保所使用的系統和應用程式的安全，實務上使用的資安設備，包括了防火牆、入侵偵測系統、VPN等，以保護連線服務不會受到惡意的入侵和存取。

A.10.6.2 網路服務的安全
若組織使用了相關網路服務，就需要去識別它的安全等級、使用程序及管理要求，常見的服務像是email、FTP等，都需要識別其安全等級，以採取相對應的控管方法，包括申請使用程序、連線方式、身分識別及所採取的加密措施等。

只要是在上面可以記載、儲存資訊的物品，都可稱之為資訊媒體，包括了紙本的文件，電腦的硬體如磁碟、磁帶、光碟、隨身碟等，一旦這些媒體需要使用、傳遞、交換、汰除等，都需要適當的控管，以確保資訊不會受到未經授權的存取。

在A.10.7「媒體處置」的控制項目中，目標是要確保資訊媒體不會受到未經授權的揭露、竄改、移除及破壞，導致危害到組織業務活動的進行。它一共有四項控制措施，說明如下：

A.10.7.1 可移除式媒體的管理
若組織內部允許使用可移除式媒體，就需要訂立相關的管理辦法，例如如何申請使用、允許使用的設備類型、可使用的時間等。

A.10.7.2 媒體的報廢
當儲存過資料的媒體不再使用時，需要依照一定的安全程序進行報廢。例如紙本文件可以燒毀或碎毀，硬碟可使用消磁、低階格式化和實體破壞等方式，確保資料不會被復原。實務方面要提醒的是，報廢的過程都應保留文件記錄，以便進行追蹤確認。

A.10.7.3 資訊處置程序
在組織之中，只要有和營運活動相關或敏感性的資訊需要處理，就應該建立它的處理和儲存程序，以確保資訊不會受到不當的揭露和誤用。實務方面，應依照所定義的資訊等級和類別，實施對應的處理辦法。例如這些資料在傳輸時是否需要加密？郵遞時是否需指定專人來處理？

A.10.7.4 系統文件的安全
組織內部在和系統有關的說明文件上，可能會含有一些敏感的資訊，像是系統配置和連線使用的帳號密碼等，這些都需要受到適當的防護。

在組織內部之間，經常有很多資訊需要傳遞和交換，甚至和外部的商業夥伴或供應商，也會有資訊交換的情況發生，在A.10.8「資訊交換」的控制項目中，目標是要確保組織之間的資訊交換，都是基於正式的政策來進行，並且遵循相關的法律要求，其控制措施說明如下：

A.10.8.1 資訊交換政策和程序
組織的資訊交換，都需要依照所定義的管道和方式來進行，在實務方面，管理人員需要評估組織中有哪些資料可以進行交換？交換的方式和程序為何？如果是透過系統直接進行交換的話，如何進行適當的管控？建議透過文件化的方式，讓相關人員可以清楚的了解與遵循。

A.10.8.2 交換協議
組織若需要與外部單位交換資料，事前就應明定相關的交換協議，例如在資料交換協議中，清楚說明資料的交換處理方式，以及發生資安事件時，如何進行處置，責任如何歸屬等。

A.10.8.3 運送中的實體媒體
對於含有敏感資訊的媒體，在進行運送時需要依照安全程序來進行，例如運送人員的身分確認、運送過程的記錄、所使用的運送方式等。實務上要小心的是，快遞公司使用何種容器來運送，是否有可能會在運送途中造成資料毀損，應該在事前就進行確認。

A.10.8.4 電子傳訊
目前普遍使用的電子傳訊方式，像是電子郵件、即時通訊軟體等，組織應如何進行控管？控管的方式要回歸到風險評鑑的結果，依照其風險的高低來實施。

A.10.8.5 營運資訊系統
組織在資料交換的對象方面，若是營運資訊系統，該如何進行控制？如何識別？這些包括了行政系統、會計系統、ERP等，應正式制訂資訊交換的政策和程序。

資料交換的前提就是授權

組織在資訊傳遞和交換的控管重點在於，是否都制訂了相對應的安全政策和作業程序，從最普遍的電子郵件、資料備份、USB隨身碟的使用，到營運系統如ERP的資料交換等，只要牽涉到了資料交換，都要確認是否經過授權、傳輸管道是否安全，以及是否留下相關記錄，這些都是確保資訊安全的根本，下一期將會說明A.10其餘的控制項目。(本文刊載於2011年4月號網管人雜誌)

[參考資料]
1. ISO/IEC 27001:2005
2. ISO/IEC 27002:2005

[觀點] 解析資訊安全控制措施(八) - 存取控制的資安要求(下)

Thu, 20 Oct 2011 15:07:00 +0000

上一期談到了ISO 27001中有關存取控制的營運要求，組織需要建立存取控制的政策和使用者的存取管理，包括像是註冊要求、密碼管理和確保無人看管設備的安全責任等，接下來將說明和網路、作業系統、應用系統的存取控制要求。

在A.11「存取控制」的要求中，第四個控制項目為A.11.4「網路存取控制」，其目標是要確保組織所提供或使用的網路服務，避免受到任何未經授權的存取，因此需要採取一些控管作法，來確保網路本身和使用者在利用時，不會發生安全上的問題，危害到組織的整體營運。

網路存取控制的要求

在這個控制項目中，共有七項要求的控制措施，包括了需要制訂適當的網路服務政策、對使用者和相關設備能予以適當的鑑別，以及針對作業系統、應用系統和行動運算的存取，也能實施必要的安全管控，各項控制措施的重點和實務作法，說明如下：

A.11.4.1 網路服務的使用政策
這項控制措施是要求組織制訂一項有關網路服務和使用的政策，讓使用者只能使用已取得授權才可存取的服務，因此在這項政策中需要說明有哪些網路服務是允許使用者來存取的？申請使用和授權的程序為何？可允許使用和存取的方式？以及所採取保護網路連線和服務的安全管理機制。

舉例來說，某企業提供員工使用內部電子郵件的服務，所以在電子郵件的使用政策中，即說明了使用者可以透過其員工編號進行申請(線上或表單方式)，經主管核准之後即可使用Outlook等郵件應用程式來存取。若使用者需要透過外部網路來使用郵件服務的話，需要透過虛擬私有網路(VPN)，經過身分驗證之後，才可連結內部網路並存取郵件服務。

A.11.4.2 外部連線的使用者鑑別
這項控制措施是要求當使用者需要從外部網路連回使用相關服務時，需要採用適當的鑑別方法，確認使用者的身分以便進行存取控管。在實務方面，最常見的作法是採用VPN方式，以使用者帳號、密碼進行身分驗證之後，建立安全加密的通道，才允許其使用網路服務。

組織若允許使用者透過外部連線來存取內部的服務，也等於是對外開啟了一條通道，為了降低來自外部入侵的風險，同時強化網路連線的安全性，有些組織會配合使用Token、憑證或一次性密碼(OTP)，來進行身分識別，同時採取加密方式，確保連線過程不會受到外部的干擾和竊聽。

A.11.4.3 網路設備鑑別
組織若想要限制來自特定地點或設備的網路連線，最好的方式是採取自動設備的識別方法，以鑑別連線的設備是合法且經過授權的裝置。實務上最容易採取的方式，是識別網路設備的MAC address和網路IP，尤其是目前普遍使用的無線網路，相關行動設備皆建議採取此種方式來進行識別，若再配合使用者的身分鑑別，則可以大幅提高其安全性，避免受到惡意人士採用偽冒身分的攻擊。

A.11.4.4 遠端診斷與組態埠保護
現今組織的資訊設備或系統，大都需要支援廠商定期的協助與維護，因此許多網路設備和電腦主機，也都設定組態埠並提供遠端診斷服務，如果其開放的組態埠沒有實施任何安全防護，就容易受到外來的入侵和未授權的存取，所以這項控制措施就是要求針對提供遠端診斷和組態埠，實施適當的安全防護，在實體上面，可以採取上鎖和移除的方式來進行，若是邏輯上的話，則是透過作業程序，要求需要事先申請並確認身分之後，才可開放使用，在診斷完成之後，也可適時關閉相關的組態埠和服務。

A.11.4.5 網路區隔
在組織之中，隨著規模的擴大以及資訊服務的增加，網路環境也顯得愈來愈複雜，若沒有實施良好的管理，資訊的傳遞、儲存、使用可能會危及本身的機密性、完整性和可用性。因此，這項控制措施是要求將資訊服務、使用者群組所使用的網路，進行適當的區隔，以避免敏感性資訊受到不當的存取。

在實務方面，最常見的作法是採取虛擬網段(VLAN)的方式進行，透過網路交換器、路由器、防火牆等設備，依照不同網域的安全要求來加以分割，以確保網路流量的區隔和安全邊界的劃分。要注意的是，區隔應依照資訊的價值、機密等級和群組重要性來進行，以避免某一區域網路中斷時，對營運造成不必要的衝擊。

A.11.4.6 網路連線控制
對許多組織而言，若使用者無法上網的話，可能當天的業務營運就會受到影響；但有另一種觀點認為，若開放使用者任意上網的話，也會造成工作力的大幅降低。因此若撇開資安的問題不談，組織對於網路連線這件事，本來就該給予關注和管理，在本項控制措施中，提到針對跨越組織邊界和共享的網路，需要依照所制定的存取控制政策和營運要求，適當地限制使用者上網的能力。

在實務方面，可以採取閘道端(Gateway)的網路設備，來過濾使用者的網路流量，藉此來限制其可使用的網路服務，例如即時通訊、檔案傳輸(FTP)、遠端登入(Telnet)，以及近年來流行的P2P檔案分享等，以避免不必要的資安問題發生。

A.11.4.7 網路路由控制
網際網路的優勢在於其無遠弗屆的資訊傳遞，以及快速方便的連線傳輸，對一般使用者而言，在遠端的這朵雲中，資訊的傳輸路徑是開放且難以選擇的，也會有許多安全風險隱身其中。但對企業來說，為了確保資訊傳輸的安全，需要採取一些技術來進行強化，這項控制措施即是要求針對網路連線，需要實施適當的路徑選擇控制。在實務方面，可以透過NAT機制來限制電腦的連線與資訊流，也可採用代理伺服器(Proxy)來確認連線來源與目的的位址，藉此避免違反組織既定的安全存取政策。

作業系統的存取控制

針對作業系統安全控管方面，在A.11.5「作業系統存取控制」的控制項目中，目標是要防止作業系統受到未經授權的存取，在這個項目中共有六項控制措施，分別說明如下：

A.11.5.1 安全的登入程序
針對作業系統的使用，需要避免不必要的非法存取機會，因此這項控制措施是要求在登入的過程之中，只揭露和系統有關的最少資訊。實務方面，在登入畫面中，僅提示必要的登入訊息，不提供額外的像是預設帳號或密碼的提示。若登入錯誤，也不明確指出是哪一部分的資料錯誤，同時限制系統登入錯誤的次數，若超過的話，將予以延遲或鎖定登入帳號，並保留各項登入的記錄。

A.11.5.2 使用者識別與鑑別
在A.11.2.1中要求使用者需要正式註冊，並賦予其唯一的帳號識別碼(ID)，本項控制措施即是要求使用者只能使用其個人帳號，並採取鑑別技術以識別其符合所宣稱的身分，實務方面，也可透過使用者的識別碼來記錄或追蹤其相關的使用行為。

A.11.5.3 密碼管理系統
使用者若選擇了不夠強固的密碼，就容易受到外來的破解和冒用，這項控制措施是要求需透過系統來管理密碼，以符合嚴謹度的要求。舉例來說，在系統上可要求使用者必須使用一定長度(6碼)以上、英文大小寫與數字混合的密碼；在首次登入時，要求需要更改其臨時性或預設的密碼；在密碼使用一定時間(三個月)之後，要求使用者重新設定其密碼等。

A.11.5.4 系統公用程式的使用
作業系統除了可安裝應用軟體之外，本身也提供了許多公用程式如系統管理工具等，由於這些工具往往可更改系統的組態，產生資訊安全上的風險，所以這項控制措施要求嚴格限制能夠跨越系統和既有應用等公用程式的使用。實務上最好的作法是在一般使用者的電腦上移除這些工具，系統管理人員也需要經過授權才可使用公用程式，並且保留變更記錄。

A.11.5.5 會談期逾時
為了避免資訊系統受到不必要的冒用，以及來自網路阻斷服務的攻擊，這項控制措施要求在超過閒置的時間之後，關閉不動作的會談期(session)，建議的作法為在系統閒置一段時間之後，即自動清除螢幕內容，或是自動關閉應用程式或網路連線，尤其是來自外部的連線與服務要求。

A.11.5.6 連線時間的限制
對於高風險或是敏感性的系統，這項控制措施要求需要限制其可供連線的時間，以加強其安全性，例如有些組織會限制重要系統僅在上班時間開放服務。

應用系統存取與行動控管

在A.11.6「應用系統與資訊存取控制」的控制項目中，目標是要防止存在於應用系統中的資訊受到不當存取。在這個項目中共有二項控制措施，A.11.6.1「資訊存取限制」是要求需要依照所制定的存取控制政策，只有符合擁有存取權限的人員才可存取系統。A.11.6.2「敏感性系統隔離」則是要求敏感性的系統要有專屬的作業環境，以避免其他未經授權的人員可以操作使用。

在A.11.7「行動運算與遠距工作」的控制項目中，目標是要確保在組織以外，相對保護較弱的工作環境，其資安風險能夠受到適當的控管。在這個項目中共有二項控制措施，A.11.7.1「行動運算與通訊」是要求針對行動運算的設施要採取適當的安全控管，例如筆記型電腦等行動裝置採取加密機制，並避免留置在無人看管的地點。A.11.7.2「遠距工作」則是要求針對遠距工作，需要制訂相關政策、工作計劃和程序，例如需要考量遠地工作的實體安全、所使用網路的安全要求、是否安裝防毒軟體和防火牆等。

存取控制可降低資安風險

之前提到在規劃資訊安全管理的策略時，建議可依照「PPT」的思考架構來進行，對於網路、作業系統、應用系統的存取控制要求方面，同樣也是要涵蓋人員(People)、流程(Process)、技術(Technology)。對許多資訊人員而言，網路管理、作業系統及應用系統的維護，已是日常不可或缺的工作之一，而「存取控制」更是各項系統所必要的安全控制措施，希望透過連續二篇文章的說明，可協助您制訂組織的良好存取控制政策，並了解適當可行的存取控制方法。(本文刊載於2011年7月號網管人雜誌)

[參考資料]

ISO/IEC 27001:2005
ISO/IEC 27002:2005

舊留言存檔

以下留言轉存自原 Blogger 網站，僅供存檔，無法回覆。

Blogger（2011-11-09）

hi, 拜讀您一系列ISO 27001的法規介紹, 深入淺出的文字說明著實讓小弟獲益不少, 果然理論尚須佐以實務經驗, 不知道針對附錄A.10.3-A.10.8的控制要項, 您是否有意願補完呢? thx

傑克小花（2011-11-09）

Hello~您好~ 呵~感謝您的回覆，我還以為沒有人在看，所以不會被發現少了一篇，如果這些文章對您有幫助的話，我很樂意分享給您~

Blogger（2011-11-10）

您謙虛了！對自行準備證照的我們來說，文章中的 "目標要求" 與 "實務作法" 甚為重要，前者釐清相似性條文實則不同的ISMS要求內容，後者極具參考價值。如果可能，在您時間允許下，是否考慮將附錄A.12-A.15撰文分享呢，謝謝^^

Blogger（2011-11-10）

抱歉，想請教您，既然ISO 27001中的附錄A中的管制目標與控管項目被視為條文4.2.1(g)的一部分，實務上在執行主導稽核時，何種情況需具體寫出附錄A？可用4.2.1(g)一言以蔽之嗎？又是否針對稽核表的缺失等級或建議事項有所不同呢？謝謝您的答覆。

傑克小花（2011-11-10）

Hello~關於您提到的問題，回覆如下：

後續的內容我會陸續分享，您也可以直接參閱網管人雜誌的內容，這個月剛好就把A.15給講完了。

在稽核時，本文4~8章和附錄A的133項控制措施都是必要的審查項目，不過，附錄A的某些項目是可以排除的，但必須將原因寫在適用性聲明中。舉個例子，像A.10.9.2是線上交易的控制要求，如果貴公司並沒有提供線上交易服務的話，那麼就可以在適用性聲明中以未提供線上交易服務，作為不實施這項控制措施的理由囉~

[觀點] 解析資訊安全控制措施(七) - 存取控制的資安要求(上)

Fri, 09 Sep 2011 06:55:00 +0000

上一期談到了ISO 27001中有關通訊與作業管理的各項控制措施，接下來將說明附錄A.11存取控制的資安要求，包括了使用者的存取管理與應有的安全責任、網路與作業系統的存取控制，以及應用系統的存取控制等。

在協助組織規劃有關資訊安全管理的策略時，經常會提到一個俗稱為「PPT」的思考架構，它是指人員(People)、流程(Process)、技術(Technology)，也就是說在資安管理的要求方面，基本上會涵蓋此三個層面：包括需要依照組織營運目標與資訊安全政策，透過教育訓練來讓所有員工了解並落實其應有的安全責任；依照各單位業務屬性不同，訂立各項安全的作業流程，並留下相關的作業記錄；以及透過各項資安技術的協助，來偵測防禦可能來自內部與外部的各項威脅。

因此，針對資訊的存取控制方面，它也是一個很好的參考指標，像是在人員方面的存取控制要求，我們的思考重點在於如何確保資訊只能讓已經過授權的人員才可存取，如何讓人員了解並落實存取資訊時應盡的使用者責任；在流程方面，則是要確保所有的資訊存取，是否都是基於營運所需的安全要求，是否以文件化方式建立了各項和資訊存取有關的政策；至於在技術方面，針對網路、作業系統與應用系統，是否劃分了安全邊界，是否進行良好的使用者身分識別，並且賦予適當的連線控制，以上這些都是組織資安管理的重點。

存取控制要求的安全層面

關於存取控制的資安要求，包括了使用者存取管理與應負的安全責任、網路與作業系統的存取控制，以及應用系統的存取控制等，在ISO 27001附錄A.11「存取控制」中，一共有七個控制項目來說明其涵蓋的資安控制措施。

A.11.1「存取控制的營運要求」的目標，是要確保各項資訊的存取都能受到適當的控制，以避免濫用或外洩的事件發生。在A.11.1的條款中僅有一項名為「A.11.1.1 存取控制政策」，這項控制措施的目的是要依照營運相關的存取安全要求，建立文件化的存取控制政策，並且在這項政策中明確說明每位使用者和使用群組，應該要如何去配置其應有的存取權限，而這些存取權限的考量，則可能來自於本身的職位或所接觸資訊的安全等級，以及對組織整體的營運風險考量。

在組織之中的存取控制措施，將會牽涉其存取授權的流程，包括如何提出授權的請求、如何審查並賦予權限，以及不需使用時的權限如何移除等。在實務方面，我們在建立存取控制規則時，必須掌握一個原則，那就是「除非允許，否則一律禁止」，這項原則可應用在實體的敏感區域門禁管制，或是邏輯上的防火牆存取規則，將可大幅降低不當的存取設定可能帶來的資安風險。

使用者的安全責任與要求

在A.11.2「使用者存取管理」的控制項目中，目標是要防止未經授權而存取的情況發生，也就是要確保只有經過授權的人員才可以存取資訊。在這個項目中共有四項控制措施，分別說明如下：

A.11.2.1 使用者註冊
這項控制措施是要求所有的使用者在獲得存取資訊的權限之前，必須經過正式的使用者註冊程序，換句話說，若不再需要存取資訊時，也需要經過適當的註銷程序，撤銷其所具有的存取權限。在實務方面，最常見的作法是讓使用者透過表單流程來進行申請，通過審查核可之後，就會賦予其一個唯一的識別帳號(user ID)，藉此來管控並留下其存取資訊的記錄。在審核時要注意的是，所賦予的權限是否符合其職務角色，以避免違反職務區隔的要求，另外，若使用者的職務有所變動，則原先擁有的存取權限應予以凍結或移除，以避免權限過大的情況發生。

A.11.2.2 特權管理
許多組織都依賴資訊系統來維持日常的運作，在這些系統之中會有一些人配置了和一般使用者不同的特殊權限，像是系統開發人員和系統管理人員等，以因應系統的開發與維護。但是，這些特殊權限往往可以不受原本系統的限制與控管，所以在配置時更要小心注意，本項控制措施即是要求組織要限制和控管特權的配置與使用，實務上最簡單的作法就是特權的申請需要經過管理階層授權，並且留下相關記錄，另外，特權的使用也要明訂相關的作業辦法，使用的過程也要保存其系統記錄(log)。

A.11.2.3 使用者密碼管理
在A.11.2.1中提到使用者需要經過正式的註冊程序，才可獲得其專屬可識別的帳號，而搭配帳號所使用的密碼，也會是另一項管理的重點。本項控制措施要求使用者密碼的配置，需要有正式的管理流程來進行控制，也就是說在配置的過程中會有一些安全上的要求，例如有些組織可能會在聘僱時要求員工簽署保密協議，內容包括要求員工不得任意洩露個人的密碼。而在密碼配發過程中，組織應避免採用不安全的方式提供密碼(例如電話告知)，一開始所提供給員工使用的臨時密碼，也要強制其在第一次登入系統時就要馬上進行更改。

A.11.2.4 使用者存取權限的審查
使用者在獲得存取權限的配發之後，將不會是永久不變的，而會隨著其調職、升遷、離職等情況，其權限就需要進行適當的調整。本項控制措施要求管理階層需要定期地針對使用者的存取權限進行正式的審查，因此實務上建議在存取控制政策中即納入組織將定期(例如三個月或半年一次)在使用者的職務變更之後，實施權限審查與重新配置，以維持對於資訊和系統服務存取的有效控制。

一開始提到資訊與系統的存取控管，除了需要考量「流程」、「技術」之外，「人員」也是不可或缺的要素，尤其是目前許多資安事件的發生，多數原因是來自內部人員的控管不當，所以使用者方面的配合落實，將會是強化資訊安全的重要關鍵。在A.11.3「使用者責任」的控制項目中，目標是要防止未經授權的使用者，存取其不允許使用的資訊和資訊設施，以避免其受到損害。在這個項目中共有三項控制措施，分別說明如下：

A.11.3.1 密碼的使用
使用者一旦獲得其系統使用的帳號密碼，在使用方面就需要按照組織要求的安全規定，像是避免使用不安全的懶人密碼，而選用一定長度以上，大小寫數字混合的嚴謹密碼，以及密碼定期的加以變更等。此外，最重要的是使用者必須盡到保管密碼的責任，也就是維持密碼的機密性，要避免將它寫下並放置在桌面上，或是與其他人共用。因此，本項控制措施的重點就是要求使用者需依照安全的方式來選擇並使用其密碼。

A.11.3.2 無人看管的使用者設備
使用者在組織中所使用的資訊設備(例如所配發的個人電腦)，由於自己是資產的保管人，所以大都熟知其資產的保管責任，比較缺乏的是資產所含的資訊安全責任觀念，如果有些設備是屬於無人看管，那麼在安全上面就更容易為人所忽略。本項控制措施要求對於所使用的無人看管設備，也要實施適當的保護，例如一些公共使用的工作站電腦，在一定閒置時間或結束使用時會強制終止其現有連線(session)，或是設定有密碼保護的螢幕保護程式；在其設定的可用時間以外，則使用鑰匙鎖或放置在上鎖的地點，以避免其受到未經授權的使用。

A.11.3.3 桌面淨空與螢幕淨空政策
在辦公區域的使用者桌面上，最常見的資訊就是紙本的文件，以及儲存大量資料的可移除式媒體，如USB隨身碟和行動硬碟等。針對其所包含的敏感資訊，本項控制措施要求採取桌面淨空和螢幕淨空等安全政策，以降低資訊外洩的風險，因此，需要使用者的配合實施來強化其安全管控。舉例來說，像是在相關的作業辦法上明訂，使用者在離開座位時，需要將敏感資訊或儲存媒體收藏在上鎖的抽屜或櫃子等安全地點；暫時不使用個人電腦時，應登出系統或設置螢幕保護程式；若使用印表機列印敏感資訊時，應立即自印表機上方取走等，以上這些都是實務可行的作法。

人員、流程、技術缺一不可

存取控制一向是持續受到重視與討論的資安議題，但依據個人的觀察發現，許多組織在資訊存取控制的實施方面，著重的仍然是資安設備的部署，例如為了防止資料外洩，所以會添購DLP或端點安全等資安產品，利用其對於使用者週邊資料輸出設備的控制，像是禁止使用USB裝置和光碟機等設備，或是監看電子郵件和即時通訊的內容，來達到其所謂控制的目的。

事實上，這些技術方案沒有什麼不好，尤其是在目前資安人力的短缺之下，透過集中化管理技術的協助，可大幅降低資訊管理人員的負擔。只是，為了讓成本與效益最大化，我們可以換個角度來想，如果組織沒有配合明訂相關的資訊存取政策與作業辦法，以及配合使用者的教育訓練宣導等，若只是藉由單點的技術管控，往往很難發揮其應有的效果，更無法發揮技術管控背後的真正意義，因此「PPT」真的缺一不可，提供給各位管理人員作為參考。(本文刊載於2011年6月號網管人雜誌)

ISO/IEC 27001:2005
ISO/IEC 27002:2005

[觀點] 解析資訊安全控制措施(六) - 通訊與作業的安全管理(下)

Thu, 04 Aug 2011 03:21:00 +0000

上一期我們針對ISO 27001中有關系統規劃管理與網路服務的安全監控，談到了如何降低系統可能出錯的風險，以及網路服務與資訊媒體的控管要求，本期將說明電子商務的安全和系統監控的重要性。

隨著網路應用的蓬勃發展，電子商務已經是一種普遍的業務營運型態，尤其是線上購物更是百家爭鳴的市場，根據資策會的調查顯示，台灣在電子商務的B2C市場規模，在2009年即突破新台幣2000億元，預估至2015年台灣電子商務整體的市場規模將超過1兆元。

由於市場前景如此的樂觀，也讓主管機關相當地憂心，因為隨著資安問題所導致的個人資料外洩，使得網路詐騙的事件更加風行，所以經濟部也主動進行電子商務交易安全的相關計劃，希望藉由導入網路平台的安全機制、身分驗證、資料加密、安全付款和個資保護等控制措施，來強化電子商務活動的整體安全機制。

在ISO 27001附錄A.10「通訊與作業管理」的要求中，A.10.9「電子商務服務」的目標，就是要確保電子商務服務的安全性和使用方面的安全。A.10.10「監控」則是希望針對未經授權的資訊處理活動，能夠實施有效的偵測機制，以降低可能的資訊安全風險。

電子商務服務的安全與要求

許多導入ISO 27001資安管理標準的組織，因為本身並未提供網路交易(例如醫院和政府單位)，所以會將電子商務和線上交易的控制措施排除，但要提醒的是，雖然沒有交易的行為，但組織往往會在網路上提供與使用者互動或資料查詢的功能，因此也別忘了需要加強身分驗證與傳輸資料防護的機制。至於組織若是提供了電子商務服務，就必須要確保其交易過程的安全，並且實施適當的安全機制。在A.10.9條款中包括了三項控制措施，依序說明如下：

A.10.9.1 電子商務
這項控制措施的目的是要保護所有透過公眾網路，進行電子商務活動的相關資訊，都能受到適切的保護，以避免造成資料外洩、詐欺、交易契約爭議等事件的發生，在實務方面需要考量的重點有：

身分驗證機制 – 電子商務在進行交易時要如何適當鑑別使用者的身分與網站的真實性？在使用者方面，目前最常見的作法為採取會員機制，透過認證信或手機簡訊等方式來確認有效的申請，之後再憑會員帳號密碼來登入網站進行交易，有些網站甚至還提供Token，要求使用一次性密碼，以確保密碼不會受到盜用。至於網站本身則是可採取憑證方式，讓使用者能夠辨識其為合法的網站，或是導入網站身分識別標章讓消費者得以識別。

交易資料安全 – 組織必須確保在交易過程中，所產生的所有資料的機密性和完整性，包括訂單資訊、付款資訊、寄送地址等，對於客戶資料的存取方面也要有完整的授權流程，以避免資料受到不當的存取與利用。

付款資訊查證 – 若消費者可採取線上付款，組織應有適當的機制來進行確認，以避免詐欺行為的發生。目前在金流方面可結合第三方像是銀行或信用卡公司的支援，選擇最適合的方式來進行付款結算，並避免付款資訊的遺失和重複。

A.10.9.2 線上交易
這項控制措施是要確保交易雙方的通訊管道是安全的，防止因為不當的傳輸路徑、資訊受到未經授權的竄改、資訊受到不當的揭露和複製等情況發生。所以在線上交易方面，在連線過程中可採用SSL加密機制或其他的加密通訊管道，使用安全的通訊協定，以避免交易資訊會受到來自其他公眾網路的存取。

A.10.9.3 公眾可用的資訊
許多組織都擁有對外公開並且可傳遞訊息的網站，這些公用資訊(例如公司財務報告)雖然沒有機密性的問題，但是卻有完整性需要維持，以避免受到未經授權的修改，而影響組織營運和市場機制的運作。因此，組織提供給公眾可用的公開資訊，需要有適當的授權流程，資訊本身也要有適當防護以避免受到不當的竄改，同時也要符合當地法令法規的要求，像是和個人有關的敏感資訊，就不適合在公開的網站上公布。

資訊系統的監控與記錄

在A.10.10「監控」的控制項目中，目標是要確保組織中若是有未經授權的資訊處理行為，可以被有效的識別並記錄下來，尤其是可能造成資訊系統問題的資安事故，透過監控的過程，能夠掌握其所造成的衝擊和影響，以便快速進行因應。在這個項目中共有六項控制措施，分別說明如下：

A.10.10.1 稽核存錄
在組織之中，無論是資訊系統、資安設備、資料庫或應用程式等，每天都可能會產生大量的系統日誌(log)，這項控制措施的目的就是要保留使用者的活動記錄、異常事件的告警等，以便可以用來找出事件可能的發生原因，甚至還原事件發生的過程。所以相關的日誌記錄必須要保存適當的一段時間，至於應該保留的事項，建議包括：

事件發生的日期、時間。
所使用的帳號和使用行為如登入和登出等。
系統存取成功或失敗的記錄。
系統組態的變更項目和範圍。
系統工具程式的使用情況。
所存取的檔案類型和方式。
網路IP和使用的通訊協定。
系統異常事件的告警等。

A.10.10.2 監控系統的使用
組織若想要掌控資訊系統的運作，就必須要建立有效的監控程序，所以這項控制措施的目的就是要讓組織決定各項系統所要求的監控等級、明白需要監控哪些行為、是否定期進行系統日誌的審查等。監控的過程中，應確保相關活動符合法律的要求，同時注意不會侵犯到個人的隱私，建議實施監控的項目包括了系統的存取行為、系統管理維護的特權作業，以及系統所發出的告警等。

監控的實施也應考量到可用的資源，以避免影響系統的正常存取，並且是依照組織風險評鑑的結果，才來決定所實施監控的等級。實務方面最容易發生的是監控都落在和系統效能有關的項目，卻忽略了可能面臨的威脅，例如系統管理者的不當存取或錯誤操作，反而是受到遺漏的地方。

A.10.10.3 日誌資訊的保護
組織所保存的日誌資訊，未來可作為非法行為的調查，以及還原事件的全貌之用，因此，為了要確保相關記錄的完整性，就必須要防止它不會受到未經授權的存取和竄改。實務的上作法是可以將日誌傳送到另一台受到不同權限等級控管的儲存設備，並且進行加密或產生Hash碼，可在日後進行資訊完整性的比對，或是燒錄成光碟，存放在受到安全控管之處。

由於日誌可能會因為組織資訊系統過於龐大和複雜，導致有大量的資訊需要保存，同時在調閱審查方面也會產生困難，所以也可以選擇適當的工具或設備，來協助進行log的儲存、歸檔和關聯性比對。此外，傳輸和儲存日誌的設備也需要受到良好的防護，以避免儲存媒體受到竊取或損壞，同時日誌傳輸也應採取加密的管道進行。

A.10.10.4 管理者與操作者日誌
在日誌管理方面，許多組織會很積極地去記錄使用者的日常使用行為，深怕使用者的不當行為將會損害到資訊系統的運作，卻忘了往往擁有更大權限的管理人員，其不當的操作可能造成更大的危害。本項控制措施的目的，就是要確保包括管理者與操作者的活動，都需要留下適當的記錄，尤其是涉及資訊系統的組態變更、重要資訊的刪除與修改、網路安全設備的操作設定等。

A.10.10.5 失誤存錄
在10.10.2中提到由系統主動發出的告警，必須要有適當的記錄，目的就是希望所發現的異常情況，都需要採取對應的處理措施。所以只要是和系統通報有關的錯誤，都需要進行審查，以預防可能的重大問題發生，換句話說，若資訊設備含有錯誤告警的功能，若評估其不會影響系統的運作，就需要將它啟動才行。

A.10.10.6 鐘訊同步
為了確保日誌記錄的有效性，正確的時間設定是非常重要的一環，唯有各項系統的時間維持一致，才能去作分析與追蹤。所以這項控制措施要求，在組織中所有和資訊處理活動有關的資訊系統時間，都應該要維持一致，實務上可採行的最簡單方法，就是使用NTP的通訊協定和國際標準時間或當地的標準時間伺服器進行同步對時，確保有共同的準確時間來源。

總結

A.10「通訊與作業管理」是ISO 27001標準中擁有最多控制措施的項目，也就表示在資訊安全管理工作中，這是我們絕對無法忽視的地方，其重點包括了組織是否制訂了相關的作業流程與操作程序、第三方服務的管理、如何進行系統的規劃驗收、防範可能的惡意威脅、網路設施保護與服務安全、資訊的備份與交換，以及本文所提到的電子商務、系統監控和記錄留存，這些都是需要我們一一去檢視與管控的地方，希望連續三篇文章的簡要說明，可協助您了解組織有關通訊與作業的安全管理。(本文刊載於2011年5月號網管人雜誌)

<參考資料>

ISO/IEC 27001:2005
ISO/IEC 27002:2005

[觀點] 解析資訊安全控制措施(四) - 通訊與作業的安全管理(上)

Wed, 20 Jul 2011 01:18:00 +0000

上一次針對ISO 27001中有關實體安全的控制措施，說明了敏感的安全區域和資訊設備應實施適當的安全控管，以避免因為受到惡意人士的登堂入室，而造成資訊安全的危害，本文將繼續說明有關網路通訊與資訊系統營運的安全作業管理。

對現代的企業而言，資訊系統與網路連線已不只是企業的維運基礎架構之一，更有可能是業務營運的關鍵命脈，因此其重要性已不言而喻。不過，有許多的企業在網路通訊管理方面，主要著重的仍是在所謂的效能表現與流量管理，而忽略了來自網路惡意攻擊、相關人員在作業上的疏失，可能造成的資訊安全危害。

針對網路安全威脅，M86 Security Lab在2011年的威脅預測報告中指出，來自網路的惡意軟體，將會是主要的安全威脅，其中包括利用網頁的漏洞破壞網站、將惡意連結隱藏在垃圾郵件中、鎖定智慧型手機和行動裝置的攻擊、透過社交網路的陷阱，以及殭屍網路的盛行等，都是所有企業和組織應當要重視的資訊安全議題。

所以，回歸到基本面來看，如果想要有效地防禦以上種種威脅的入侵，最好的方式還是作好網路通訊與日常資訊作業的管理，才可將資安風險降至最低。

監控資訊處理的相關活動

在ISO 27001附錄A.10中，提到的是「通訊與作業管理」，其中有10項主要的控制項目與目標，這是在ISO 27001中擁有最多控制項目的類別，因此也突顯出通訊服務與資訊作業在資安的重要性，需要我們進行適當的安全管理。

首先來看A.10.1「作業程序與責任」的控制項目，它一共有四項控制措施，目標是要確保所有的資訊處理設施和人員的作業，都有相對應的作業程序，同時也要對工作進行適當的職務劃分，以降低因為人員的疏失或任意的操作，而造成資訊系統出錯的風險，依序分別說明如下：

A.10.1.1 文件化作業程序
ISO 27001要求與資訊系統活動和作業有關的程序，都需要將它文件化，這些文件包括了通訊設施的使用、電腦開機和關機程序、備份方式、資訊設備維護、資訊儲存媒體的使用和機房作業管理等。這一個控制措施的重點是要讓作業程序文件，能夠讓相關人員在需要的時候即可馬上取得，並遵照其要求的作業程序來進行。除了以上提到的作業活動之外，許多特定的資訊工作也會有作業程序的要求，例如資訊的存取方式、系統的作業排程、遇到困難作業時的人力支援、系統稽核記錄(log)的保存與管理等。在資訊安全管理制度中，這些文件都要視為組織中正式的文件，並依照內部所制訂的文件管理程序來控管，換句話說，若需要作內容的修訂與變更，則必須要取得管理階層的授權之後才可進行。

A.10.1.2 變更管理
隨著組織中愈來愈多資訊系統的建置與彼此相互連結，若對於系統的組態進行更動，往往會牽一髮而動全身，因此本項控制措施的目的就是要確保和資訊處理設施與系統有關的變更事項，都能夠受到妥善的管理控制。在實務方面，除了所有的變更事項務必要取得主管的授權之外，特別要注意的是務必保存相關的變更記錄，包括作業核准的程序、重大變更事項的識別和記錄、變更規劃與測試計劃，以及在變更不成功時，如何中止並進行復原的程序等。以作業系統的版本更新為例，如果這項變更是針對核心的應用系統，則有可能會影響到關鍵業務的營運，進而產生更高的資安風險，所以在事前就要有更多的測試與評估，以確保更新過程的順暢，也不會因為更新之後，反而產生更多的系統漏洞或造成系統不穩定。

A.10.1.3 職務區隔
俗話說的好，「管錢的不管帳、管帳的不管錢」，有些工作職務其實不適合由同一個人來進行，像是會計和出納，需要確保不會有一個人可以一手遮天，能夠侵佔款項後同時竄改記錄，導致神不知鬼不覺。在資訊作業方面也是同樣的道理，例如程式開發人員和上線人員、應用程式管理員和資料庫管理員，都不宜讓同一個人來擔任，以避免可能的營私舞弊情況發生。所以這項控制措施的目的是，針對工作職務和責任應予以清楚區隔，降低資訊受到未經授權的修改，以及資訊資產受到誤用或濫用的情況發生。雖然在實務方面，由於許多公司的規模不大，資訊人員的數量也不多，很難作到完全的職務劃分，這時候則可以選擇其他的配套方法，像是進行作業活動上的監視記錄，或是經常實施獨立的安全稽核，實施人員的教育訓練等，盡可能的來降低資安風險。

A.10.1.4 開發、測試與運作環境的區隔
組織除了使用套裝軟體或作業系統之外，也會有許多內部自行開發的應用程式，建議一開始從規劃、測試到正式上線，都要考量到可能的資安風險，並納入一些管控機制。所以這項控制措施是要求應分隔在開發、測試和運作所使用的資訊設施，以避免因設備的誤用或資訊的不當修改，而產生不必要的風險。在實務上，針對應用程式的開發，勢必要備妥開發流程、測試和上線運作的程序文件，同時，所使用的資訊軟硬體設備，也要加以適當的區隔，不在同一個環境上進行，也不將資訊存放在相同的儲存媒體中。基本上，正在開發中的應用程式通常是較不穩定的，若在正式的上線環境中作測試，甚至使用正式的營運資料，很可能會因系統的故障或錯誤，而影響到日常營運的進行，因此務必要避免這種情況的發生。

注意第三方委外服務的管理

目前，許多組織的資訊設備或資訊服務，需要仰賴外部廠商的協助與提供，因此如何去控制可能的資安風險，也是需要去注重的議題，ISO 27001附錄A.10.2即是有關第三方服務交付的管理，它的控制目標，是要能夠落實與維持事前與廠商所簽訂的服務協議，確保各項服務在交付時，其中的資訊安全要求能夠符合，以降低可能的風險。A.10.2一共有三項控制措施，分別說明如下：

A.10.2.1 服務交付
若需要使用第三方的服務時，該如何確保廠商能夠滿足內部的資安管理要求？最好的方式是在商談服務相關契約時，要求第三方簽署服務交付協議(SLA)，並按照其中的內容來履行。所以，這項控制措施要求在服務交付協議中，必須定義服務層級和交付方式，並確保相關的安全控制措施可由第三方來執行維持。舉例來說，若組織與某廠商簽訂了防毒服務，由第三方提供防毒軟體的安裝、更新、維護，以及中毒時的問題處理排除，在協議中就必須清楚定義安裝、更新和維護的方式為何？如何進行？在中毒時如何通知廠商？廠商所提供的支援方式？預計到場處理的時間？還有無法及時到場協助時的配套作法等，建議最好都明列清楚並獲得廠商的簽署同意。

A.10.2.2 第三方服務的監視與審查
若組織已經與第三方簽訂了服務交付協議，那要如何確保廠商將會按照其中的內容來確實執行呢？所以本項控制措施要求組織需要定期的監視和審查相關的作業記錄和交付報告，確保由第三方所提供的服務內容與所簽訂的協議一致。因此，組織可要求服務提供者指派一位負責人或聯絡窗口，針對所提供的服務產出書面報告，並且參與定期召開的工作會議，以確認所執行的服務項目和進度。另外，在服務提供過程中，若發生了安全事件或運作上的問題，也應追蹤確認問題的解決過程和所留存的記錄。在此特別要提醒的是，組織千萬不要以為若選擇採用了第三方服務，則所有的安全責任也都移轉到了廠商身上，忽略了本身要有的監督與管理責任。

A.10.2.3 第三方服務的變更管理
委由第三方所提供的服務，隨著組織的變動與成長，不太可能是一成不變的，所以在一段時間之後也會有變動的情況發生，本項控制措施即是要求當服務變更的時候，應該要重新考量其對於業務營運和組織本身，是否會產生新的風險。另外當組織的安全政策和實施新的資安控制措施時，是否能夠確保第三方也能夠即時的來因應和遵循。因此在實務上，若廠商針對所提供的服務內容，要求進行變更，像是採用了新的技術、新的工具、服務據點和服務時間的變動等，組織就需要重新評估這些變動是否會產生影響，並採取相對應的作法，可能的方式包括：需不需要更新作業程序？是否需要重新議定服務內容？是否要更新組織的安全政策等，這些都是在風險管理方面必須考量的重點。

資訊傳遞需要重視與風險評估

資訊系統的作業和資訊的傳遞交換，已是組織日常營運不可或缺的一環，因此無論是在作業程序、人員職責、系統開發測試或採用第三方服務等，其可能潛藏的資訊安全風險，都需要我們加以重視和評估，下一期將會繼續說明A.10的其他控制項目。(本文刊載於2011年3月號網管人雜誌)

<參考資料>

ISO/IEC 27001:2005
ISO/IEC 27002:2005

[觀點] 解析資訊安全控制措施(三) - 實體與環境安全

Fri, 03 Jun 2011 04:44:00 +0000

之前我們談到了在ISO 27001標準中11個控制領域，關於資產管理和人力資源安全的要求，本文將說明實體與環境安全的控制措施，以協助您掌握其重點並進行適當的控管，以降低組織所面臨的資訊安全風險。

資安業界有一句老話，「安全強度決定於最脆弱的一環」，許多組織對於資訊安全，往往重視的是網路和應用系統的安全和穩定，卻很容易忽略了實體環境的安全控制，而讓惡意人士長驅直入，藉由偷竊取得重要的機密資訊，或破壞資訊設備，使得組織花下重金的網路與系統安全防護百密一疏，造成營運上的衝擊與損失。

回顧以往發生的事件，在2008年時，宜蘭市在同一棟辦公大樓裡的三家保險公司，受到竊賊的侵入，除了造成一般財物損失之外，一共被偷走了二十幾台電腦，裡面存放著估計有上萬筆的保戶個人資料，恐怕已經外洩。2010年在彰化，同樣也是保險公司，一夜之間有四家公司被偷走了9台筆記型電腦，電腦硬碟裡所儲存的保戶個人資料一併不翼而飛，警方更懷疑可能有不法集團鎖定保險公司來下手，目的就是要竊取保險公司的客戶資料。

事實上，不只保險公司，在國內外包括醫院、學校、軍方都曾發生過遺失電腦或隨身碟等設備，造成大量資訊外洩的案例真的是不勝枚舉。對組織而言，隨著個人資料保護法已正式通過，未來在個人資料保護上也務必要更加小心，若是缺少適當的實體安全控管措施而導致個人資料外洩，將會面臨高額的賠償，甚至人員會受到刑責的懲罰。

識別敏感的安全區域

ISO 27001附錄A.9談到的是「實體與環境安全」，又區分為A.9.1安全區域和A.9.2設備安全二大類，在A.9.1中，其目標是要防止針對組織的實體環境和資訊，受到未經授權的存取、傷害與干擾，尤其是關鍵或敏感的資訊處理設備，應該存放在安全區域，識別其可能的安全風險之後，藉由定義安全的邊界、適當的阻隔和進出的控管實施安全的防護，確保不會受到未經授權的存取與損害。

A.9.1安全區域共有六項控制措施，分別說明如下：

A.9.1.1 實體安全邊界 – 實體安全邊界是指藉由圍牆、進出大門需要刷卡、或是大門設置接待人員，來保護區域內資訊與資訊處理設備的安全。因此，控管的重點在於，如何讓人可清楚分辨安全的區域與公共區域？所以在區分時，應依照所評估的風險等級來決定所實施的控制措施，例如內部使用的會議室與提供給訪客的休息區，控管的程度一定會不同，不一定都要採用刷卡方式才能進入。在辦公區域的大門，一般都會設有門鎖，或經過保全人員的身分確認才可通行，而公共進出的通道會有明顯的標示說明，在無人的區域則設置防盜系統或監視器等，這些都是可以採行的作法。

A.9.1.2 實體進入控制 – 指組織的安全區域中，所有的入口都應有適當的控制措施，確保只有經過授權的人員才可允許進入。一般而言，訪客要進入辦公處所，應該在接待櫃台進行登記，記錄進入和離開的日期和時間，並要求配戴訪客識別證，若是在同一棟大樓裡活動，樓層入口也應有適當的管制，像是刷卡才可進入。若是要進入機房，則需要事先獲得授權並有人員陪同，並告知相關的安全要求和注意事項。

A.9.1.3 保護辦公室、房間和設施安全 – 由於辦公處所屬於內部人員的活動區域，因此應符合相關的安全法規與衛生標準，對於重要的資訊處理設備，應避免放在公眾可觸及的地方，像是無線網路基地台等。另外，高階主管辦公室或敏感的資訊機房，也不應該過度標示，避免會引人注意。

A.9.1.4 保護來自外部與環境的威脅 – 這項控制措施的重點在於，利用適當的實體防護，以避免外在的環境威脅，如火災、地震、水災等，所以在辦公處所，要避免堆放易燃的物品，消防系統如滅火器等，應放置在容易取得的地點，並有清楚的標示。

A.9.1.5 在安全區域工作 – 對於組織所劃分出的安全區域，應制訂在安全區域內的工作規則，並對員工提供適當的說明，依職務所需了解其可以進行的相關活動，例如除非經過授權，才可在安全區域使用照相機、錄音錄影設備等，尤其敏感區域可視需要禁止攜入可拍照的手機等。

A.9.1.6 公眾存取、遞送和裝貨區域 – 辦公處所若需要收發或裝卸物品，需設置櫃台收發室來統一收件，不讓外部人員可未經控管而直接進入。相關物品卸載後若需移到使用的地點，也需要經過適當的檢查，例如機房外面可設置廠商設備的檢查區及裝卸區。

確保資訊設備的安全

A.9.2所要求的是設備安全，對組織而言，資產除了本身的購入成本外，最重要的是裡面含的資訊，其價值可能遠超過本身的財務價值，所以設備安全的目標就是要防範資產的遺失、受損、竊盜及危害，以避免造成組織營運活動的中斷，它一共有七項控制措施，說明如下：

A.9.2.1 設備的設置與保護 – 資訊相關設備，應適當地進行安置、保護、監控，以降低環境威脅所造成的損害，或是受到未經授權的存取。像是電子產品需要受到良好的環境溫溼度監控，避免在附近飲食等。在實務方面，操作資訊系統時，應有適當的遮蔽，避免敏感資訊的外洩，像是機房就最好不要採用完全透明的玻璃作為隔間來使用。

A.9.2.2 支援的公用事物 – 資訊設備依靠的就是電力，所以支援的水電、空調等也需要防護。通常我們在機房都會購置不斷電系統，但要注意的是，若面臨長時間的電力中斷，不斷電系統的應確保足以循序地將重要主機進行關機程序，若要確保能夠持續運作，則要考量是否有另外獨立的備援電力供應站，或是使用燃油發電機來運作。除了電力之外，電信與網路系統也要有備援，以確保在中斷期間的通訊能夠正常運作。

A.9.2.3 佈線的安全 – 指傳送資料與電力的纜線應有適當的標示、固定及保護，尤其要避免經過公共區域，設於地下或其他已受到適當防護的管道。另外，電力與網路線也應作適當的阻隔，以避免相互干擾，造成資料傳輸的問題。

A.9.2.4 設備維護 – 相關的資訊處理設備應定期自行維護或尋求廠商維護，尤其像是滅火氣體和不斷電系統的電池等，相關的維護都應確保留下適當的記錄，定期的進行追蹤查核，實施維護的外部人員，應事先經過申請核准，在作業時也應有適當的人員陪同進行。

A.9.2.5 場所外設備安全 – 組織的資訊設備，若需要攜出辦公場所外使用時，應注意其在不同場所可以面臨的威脅與安全風險。例如筆記型電腦在外部使用時，應注意可能遭竊的問題，避免留置在遠離視線可及之處，在技術方面也可使用硬碟加密，以強化敏感資訊的安全。另外，目前普遍使用的智慧型手機、USB隨身碟等，也應訂有相關的使用辦法，並要求員工務必能夠理解並遵守，以避免資料不當的外洩或遺失。

A.9.2.6 設備安全的處置和再利用 – 許多的資訊處理設備，在轉移給其他單位或重新交由其他員工使用時，有版權的應用軟體需要重新整理移除，儲存的資料也要清除。若是需要汰換的設備，對於硬碟等儲存設備，若是曾經存放過敏感資料的話，建議皆採取實體破壞的方式，以避免資料再次被還原。在實務方面，許多硬體設備最容易被忽略的是韌體中，可能也存有敏感的資訊，切記也要一併的進行清除，避免落入惡意人士的手中。

A.9.2.7 資產的調動 – 在資產的使用與調度方面，所有的資訊設備、軟體，相關物品的攜出和攜入都需要事先授權，所以在實務上，組織需要界定什麼時候需要授權，如何進行授權，即使像是設備從機房的A櫃移至B櫃，或從機房暫時搬出，都需要把相關的作業規則訂立清楚，向員工說明相關的作業注意事項，並留下過程的作業記錄。

切莫忽視實體安全的重要性

對企業而言，網路安全當然是非常重要的一環，但它絕對不是資訊安全的全部，許多時候，資訊安全最容易忽略的往往是我們最放心的地方，像是辦公環境和機房等。舉例來說，員工認為辦公處所都是內部人員，所以離開座位時，不會將敏感資料收到抽屜或檔案櫃中，卻忘記了送飲料來的小弟，有可能隨手就把文件或是桌上的隨身碟帶走。

所以，一旦有惡意的人士能夠輕易進行企業環境之中，除了偷竊筆記型電腦之外，要破壞主機、網路、儲存設備等，也是輕而易舉，所造成的損失可能也遠遠超過駭客從網路入侵系統所造成的危害，因此，企業若沒有針對天災和人禍，進行適當的安全防護，在遭遇資安事故時，業務營運將受到重大影響，請管理者務必要有所認知才行。(本文刊載於2011年2月號網管人雜誌)

[觀點] 談學校因應個資法應有之作為

Tue, 31 May 2011 08:09:00 +0000

不久前，我到一些大專院校演講時，談到了個資法對於學校最大的衝擊，除了在違法時需要負起損害賠償責任，以及相關人員會有刑責之外，在實務方面，其主要的影響來自以下三個層面：

業務面 - 個資法中對於個人資料的蒐集、處理和利用，皆有其規範與要求，因此，學校相關行政和業務單位，勢必需要調整現有的作業程序(例如學藉登錄作業、成績公告作業等)，以因應個資法中相關的規定。

管理面 - 許多學校仍缺乏對於資訊安全的管理要求，並未針對資料的存取進行適當的控管，當然也就沒有建立個人資料的保護政策與相關的作業辦法，因此需要在管理面去加強對於個人資料的保護。

法規面 - 雖然在過去已實施的電腦處理個人資料保護法中，學校已是受到法律要求的單位之一，但是在相關違反法規的懲處方面，並沒有明確的行政處罰與刑責的認知，因此關於法規宣導與要求人員遵守個資法方面，也是迫切需要實施的重點。

所以，為了因應個資法之要求，學校在蒐集、處理和利用個資方面，基本上就要注意：

1. 在蒐集個資時 -

是否已依法令規定告知當事人蒐集個資之目的、利用範圍等相關資訊。
學校如果需要蒐集特種個資，例如學生的健康檢查報告，是否有引用的法源依據？
學校所蒐集之個資內容，應與其使用之目的相關，以避免過度蒐集。

2. 在處理個資時 -

學校是否已制訂個資查詢處理流程，以回應當事人對其個人資料的查詢請求。
對存放個人資料檔案之主機和相關設備，是否有適當的安全措施，確保資料的正確與完整，以避免受到不當的竄改與洩漏。
在個資外洩時，是否能採取適當的方式來通知當事人，以降低後續可能的損害。

3. 在利用個資時 -

利用個資之相關事項，是否符合當初的蒐集目的，並在合理的範圍內使用？
若利用之目的，與當初蒐集的目的不符，是否已重新取得當事人的書面同意？
個人資料若需要作跨國的傳輸，是否已採取適當的保護措施，並要求對方也要盡到個資保護責任？

此外，為了因應個資法第22條，「中央目的事業主管機關或直轄市、縣(市)政府認為有必要或有違法之虞時，得派員攜帶執行職務證明文件進入檢查，並得命相關人員為必要之說明、配合措施或提供相關證明資料。」，未來學校必須準備好配合主管機關的稽查事項，同時也需要依照個資法第27條的要求「訂定個人資料檔案安全維護計畫」。

綜合以上所述，在個資法正式實施之前，建議學校單位應盡快著手的事項有：

實施個資教育訓練 - 學校應邀請所有和個資有關的人員，進行個資保護教育訓練，實施的內容包括了個資法的法條內容逐一討論，了解個資蒐集、處理、利用應注意事項，以及個資保護的資安控制措施等，讓大家清楚明白法律的要求，才可準備相關的因應作為。
評估個資技術防護 - 學校應執行一次完整的資安體檢，尤其是個資所在的位置，例如實體環境的文件櫃、檔案室、辦公處所、機房等，還有資訊設備像是資料庫、應用系統、儲存媒體及網路設備等，針對個資的存取、傳輸、儲存、銷毀方式，逐一進行清查確認。
建立個資管理制度 - 若學校已經導入資訊安全管理系統(ISMS)，並且已取得ISO 27001或教育部版本的認證，那麼就可以將個資保護納入現行管理制度的範圍，並針對各項需識別的個人資料，增設個人資料檔案清冊，進行個資風險評鑑與處理等。若是沒有導入ISMS的組織，也可以參考BS 10012，規劃建立具有PDCA架構的個人資訊管理系統(PIMS)。

[觀點] 解析資訊安全控制措施(二) - 資產管理與人力資源安全

Tue, 12 Apr 2011 10:50:00 +0000

上一次我們談到了在ISO 27001標準中，11個控制領域中的安全政策和資訊安全組織，本文將分析說明資產管理與人力資源安全中的要求，協助您選擇並實施適當的資訊安全控制措施，以降低可能的資訊安全風險。

在ISO 27001標準本文中的4.2.1提到，組織需要識別在ISMS範圍內的各項資產以及此項資產的擁有者，這個過程指的就是進行資產的有效管理。資產的識別與管理，是風險管理的第一步，目的是要找出組織中所有和資訊處理活動有關的人、事、物，以評估其可能的資訊安全風險。

在第5章的管理階層責任中，標準要求管理階層需要建立資訊安全的各種角色與責任，並且要確保組織中的所有人員，有能力去執行和資訊安全有關的各項工作，因此人力資源安全，也是資訊安全管理系統中不可或缺的一環。

在ISO 27001標準中，對於資產管理與人力資源要求，呈現在附錄A中的A.7和A.8，一般而言，和資產與人員有關的控制措施，通常很難將它排除，也就是說，這些都是組織在落實資訊安全管理時，必要的執行和控管項目，在執行標準的第三方稽核驗證時，也會是稽核員審查的重點項目之一。

A.7 資產管理

ISO 27001附錄A.7談到的是「資產管理」，又區分為A.7.1和A.7.2二大類，在A.7.1的資產責任中，需要識別所有的資產，並且指定負責的擁有者，其目標是要達成及維持組織資產有適當的保護，A.7.1共有三項控制措施，說明如下：

A.7.1.1 資產清冊 – 「所有的資產都應該被清楚的識別出來，製作成資產的清冊，並且進行維護。」在實作上，我們會針對ISMS範圍中的所有資產進行盤點，但是有哪些資產需要識別呢？最簡單的思考方式是，找出沒有它的話，業務就無法執行，也就是跟核心業務有關的資產。由於資產的數量不少，因此在盤點時，我們會事先設定資產的類別，例如可區分為資訊類(電子檔、紙本)、人員類(內部、外部)、軟體類(套裝、自行開發)、實體類(電腦設備、辦公處所)、服務類(電力、網路)等，仔細清查每一筆資產的型式、位置、數量、擁有者、使用者、保管者和營運價值，最後彙整成一份組織的資產清冊，要謹記的是，這份清冊不是財產的清冊，而且需要定時地加以更新。

A.7.1.2 資產的擁有權 – 「組織中和資訊處理設施有關的所有資訊和資產，都應指定其擁有者。」在資產清冊中，我們需要為每筆資產指定其擁有者，這裡所謂的擁有者，並不是指對於資產本身擁有其財產權，而是指實際上能夠控制資產的處理、發展、使用和安全，也就對資產負有管理職責的個人或部門，在指定時我們要考慮一些特別的清況，例如有些工作是委派他人進行，資產的使用與照顧是受託者，但最終的管理責任仍在委託者，所以資產風險不能光從委託者的情況來評估。另外，像是某些資訊系統集合了資產、軟體、硬體和不同人員，這時我們可以將它視為是一種服務資產，從這個角度來指定服務的擁有者，以及服務的使用者。

A.7.1.3 可被接受使用的資產 - 「和資訊處理設施有關的所有資訊和資產，其可被接受使用的方式規則，都應被識別、文件化和實施。」這項措施強調的是資產的使用，都需要制訂相關的規範，例如內部網路和電子郵件的使用辦法、行動裝置的使用注意事項，以及USB隨身碟的申請與使用作業辦法等。

A.7.2是資產分類，對組織而言，各種不同資訊所具有的敏感程度和重要性都不一樣，尤其是針對一些特殊的資訊，像是產品研發資料、客戶交易資料、個人資料等，可能需要更多額外的保護或處理，所以透過資產的分類，可以指定不同資訊等級所需要保護措施、優先順序，目標就是要確保資訊都已受到適當等級的保護，它有二項控制措施，說明如下：

A.7.2.1 分類指引 – 「資訊應依照其對組織的價值、法律要求、敏感性和重要性進行分類。」資產分類可以讓我們便於管理，針對不同資產類別採用不同的管理方式，在實務方面，建議資訊的分類不宜過多，以避免太過複雜而造成各營運單位實施的困擾，其保護等級可藉由分析資訊所具有的機密性、完整性和可用性來賦予。要提醒大家注意的是，有些資訊經過一定的時間之後，其敏感性和重要性會改變，例如企業的年報，在製作過程時需確保資訊的機密性，但在公布之後，要控制的可能是資訊的完整性和可用性，因此在保護上就需要作適當的調整。

A.7.2.2 資訊標示和處理 – 「依照組織所採用的分類方法，資訊標示和處理的適當程序應被發展出來並且實施。」通常我們在資產標示分類上，會採用貼上分類標籤的方式來進行，但要注意的是，有些電子檔案無法用實體的標籤來標示，所以在標示時需採取其他方式來進行，例如使用時會出現在螢幕上(pop-up)，或標示在資料的meta-data之中。

A.8 人力資源安全

附錄A.8是「人力資源安全」，分為A.8.1聘僱之前、A.8.2聘僱期間、A.8.3聘僱的終止或變更等三大類。標準中所指的聘僱包括了幾個不同的情況，像是短期和長期的聘僱、指派或變更職務的角色、合約的指派及所有這些安全事項的變更。A.8.1是希望所有的人員，能認知其職務角色應有的資訊安全責任，因此其控制目標是要確保員工、承包商和第三方使用者了解其責任，符合被指派的角色職務要求，以減少竊盜、詐欺和誤用設施的風險。A.8.1共有三項控制措施，說明如下：

A.8.1.1 角色與責任 - 「員工、承包商和第三方使用者的安全角色與責任，應依照組織的資訊安全政策予以定義和文件化。」簡單的說就是以書面的方式，說明新進人員的資訊安全責任，例如告知需遵守組織資訊安全政策、個人資料保護法、智慧財產權等相關的規範，以及資安事件發生的通報方式等。

A.8.1.2 篩選 - 「員工、承包商和第三方使用者的所有應徵者，都應依照相關的法律、規範、倫理，並且相稱於業務要求、可被存取的資訊等級與察覺到的風險，進行背景的查核確認。」實務上的作法為先制定篩選的作業程序，說明由何人、何種方式、何時來進行查核確認的工作。在進行時，則務必徵求應徵者同意，並遵守個人資料保護法及隱私權的要求，可針對其學經歷資料，專業資格、信用記錄等進行查核。

A.8.1.3 聘僱條款與條件 – 「作為合約義務的一部份，員工、承包商和第三方使用者應同意並簽署其合約的聘僱條款與條件，應清楚的陳述其和組織的資訊安全責任。」組織可擬定其資訊安全條款與保密切結書等相關文件，向相關人員說明，並取得其同意和簽署，才可讓其使用組織的資訊和資訊處理設施。

A.8.2在聘僱期間，是希望管理階層能有效管理人員的各項活動，以符合組織的安全要求，因此目標是確保所有的員工、承包商和第三方使用者能認知資訊安全威脅與關切事項，明白其責任與義務，並且在日常工作的過程中，有能力支持組織的安全政策，減少人為錯誤的風險。A.8.2共有三項控制措施，說明如下：

A.8.2.1管理階層責任 – 「管理階層應要求員工、承包商和第三方使用者，依照組織所建立的政策和程序實施安全事項。」在要求之前，管理階層應適當說明並協助人員了解資安作業規範，並採取激勵方式，讓員工願意並落實各項的要求。有時過於強制性的作法，反而會導致負面的衝擊發生。

A.8.2.2 資訊安全認知、教育與訓練 – 「組織所有的員工和相關的承包商與第三方使用者，應依其相關的工作職務，和組織定期更新的政策和程序，接受適當的認知訓練。」組織應定期並依照員工不同的職務，實施一般或專業的資訊安全教育訓練，以協助員工能針對資安事件作出適當的反應。在訓練的有效性方面，可使用問卷和評量進行量測，針對表現優良者給予適當的獎勵。

A.8.2.3 懲處過程 – 「對違反安全的員工，應有正式的懲處過程。」這項控制措施的重點在於，是否公布懲處的程序與方式，是否以正確、公平的方式，收集客觀的證據，以證明員工造反安全規範。對於嚴重的不當行為，也可允許管理人員解除其職務，或要求其離開辦公作業處所。

A.8.3聘僱的終止或變更，是希望聘僱能夠符合組織的內部管理方式，目標是要確保員工、承包商和第三方使用者，以適當的方式離開組織或變更聘僱事項。A.8.3有三項控制措施，說明如下：

A.8.3.1 終止責任 – 「執行聘僱終止或變更聘僱的責任，應被清楚的定義和指派。」針對人員的轉調或離職，內部需指定專責的單位來處理，一般而言，是由人力資源單位來負責相關的終止程序，確認其符合聘僱條件與合約的要求。

A.8.3.2 資產歸還 – 「所有員工、承包商和第三方使用者，在聘僱、合約或協議終止時，應歸還其持有的所有組織的資產。」資產的歸還通常會以清單檢核的方式來進行，確認人員已歸還組織的門禁卡、電腦設備、軟體、作業手冊等資產，若人員使用自己的設備，也應確保所儲存的資訊已移轉回組織，並進行清除。

A.8.3.3 移除存取權限 – 「所有員工、承包商和第三方使用者，對於資訊、資訊處理設施的存取權限，應在聘僱、合約或協議終止時移除，或依變更進行調整。」這是指人員的轉調或離職，需要確保其使用資訊系統的存取權限已進行適當變更，實務上建議在人員離職日起即暫時凍結使用者帳號，待確認相關資訊與權限已移轉完成之後，再將其帳號和權限移除。(本文刊載於2011年1月號網管人雜誌)

[參考資料]

ISO/IEC 27001:2005
ISO/IEC 27002:2005

[觀點] 解析資訊安全控制措施(一)-建立安全政策與資訊安全組織

Tue, 08 Mar 2011 09:46:00 +0000

除多組織為了強化資訊安全管理，因此選擇導入資訊安全管理系統(ISMS)，但是在整體的資訊安全框架之下，除了導入文件化的管理制度之外，還需要運用包括管理面和技術面的控制措施，才能有效防護資訊的安全，接下來一系列的文章，將說明ISO 27001標準中對於資安控制措施的要求，可協助您達成資訊安全的目標。

今日的組織在整體業務營運的過程中，資訊系統的有效運作，扮演了關鍵的角色，如果資訊的機密性、完整性受到不當的侵害，或是系統的可用性不足，連帶地將會影響組織的日常運作，甚至會造成不必要的損失。

因此，在資訊安全的領域之中，如何確保資訊的機密性、完整性和可用性已是最基本的要求，而且更將資訊視為是一種有價值的資產，如同組織其他的資產一樣，無論其存在的形式是什麼，都需要透過有效的控制措施進行控管，提供適當且足夠的防護。

實務可用的控制措施

到底什麼叫做控制措施(control)？在ISO 27002中對於它所下的定義為「包括政策、程序、指導綱要、實務或組織結構等的風險管理方法，其本質可為行政、技術、管理或法律」。簡單地說，它就是我們降低資訊安全風險的各種作法，其最終的目的就是要防止資安事件的發生。

在ISO 27001中的控制措施呈現在附錄A.5至A.15，包括了11個控制領域、39個控制目標和133項控制措施(如圖1)。這些控制措施被視為資訊安全實務上的最佳建議與指導，換句話說，透過實施這些控制措施，代表了組織對於資訊安全的風險控管，已具有一定的安全程度。若組織想要通過ISO 27001的第三方驗證，並且獲得國際認證組織所頒發的證書，那麼這133項的控制措施，除了有合理的排除原因之外，基本上都是需要去一一落實的。

如果組織並不以通過驗證為目標，依據ISO 27002的說明，大多數的組織通常需要採取的控制措施，至少包括了資訊安全政策文件、資訊安全責任的配置、資訊安全認知教育和訓練、應用系統的正確處理、技術方面脆弱性的管理、營運持續管理、資訊安全事故與改進的管理、個人資訊的資料保護與隱私、組織記錄的保護、智慧財產權的確保等。

了解組織的資安要求

對組織來說，不同的業務營運型態，對於資安都會有不同的考量與要求，例如對金融業者而言，客戶的交易資料會是首要確保的目標；對醫院而言，病患的就診記錄與醫療病歷，其重要性也遠超過其他的行政資料。

面對不同的資安考量與要求，所選擇的資安控制措施也會不同，因此在選擇之前，組織必須清楚地識別所需的各項安全要求是什麼，一般而言，安全要求的建立，主要來自於三個方向：

內部要求 – 由管理階層考量組織營運的策略與目標，並且藉由實施風險評鑑的過程，找出和營運有關的各項資產，然後識別出這些資產本身所具有的安全脆弱性與所面臨的可能威脅，再估計當威脅利用脆弱性，對組織造成損害的可能性與衝擊度，來決定需要針對哪些營運資產實施安全保護的要求。
外部要求 – 由組織的客戶、交易夥伴、供應商及相關利害關係人，針對組織的營運活動，提出其安全的要求，例如產品設計業者要求生產廠商，針對生產過程中和產品有關的重要資訊，必須確保其機密性。
法規要求 – 透過組織所屬的主管機關或所在區域國家的法律要求，必須實施適當的資訊控管，例如個人資料保護法針對個人隱私的保護要求。

在了解組織對於資訊安全的各項要求之後，我們就需要針對組織進行一次徹底的健康檢查，也就是透過實施風險評鑑的過程，來找出組織所面臨的資安風險，了解現況和理想的安全要求之間的落差。然後，才能選擇適當的安全控制措施，來協助我們達成這些可能來自內部、外部或法規的資訊安全要求。

A.5安全政策
ISO 27001附錄A.5是「安全政策」，在A.5.1的資訊安全政策中，其目標是要依照營運要求和相關的法律法規，提供管理階層對於資訊安全的指導與支持。

A5.1主要有兩項控制措施要求，A.5.1.1要求資訊安全政策應經由管理階層的核准，並且公布傳達讓所有員工和相關的內外部團體知道，實作方面，在這份資訊安全政策中，主要是要傳達管理階層對於資訊安全的支持，確保資訊安全與組織營運目標的一致性，並且說明資訊安全的重要性與實施範圍，以及相關人員的職責。

所以，在資訊安全政策中，至少需要說明組織的資訊安全定義、範圍、要求與目標，其中關於目標的部份，最好以量化的方式說明，例如：為確保同仁熟知資訊安全相關規定，故每人每年需要接受3個小時以上的資安教育訓練；為確保相關資安措施符合法令與法規的要求，組織每年應實施至少2次的資訊安全內部稽核。

A.5.1.2則是要求資訊安全政策若發生重大變更時，需要進行審查，以確保內容持續地適用、充分和有效。這也就是說，資訊安全政策不單單只是一份宣示性的文件，而是必須配合組織環境、業務型態、法律合約要求和技術更新等事項，進行持續的修訂與發行。因此這一項控制措施的重點就在於，許多組織可能會對政策內容進行修改，但是卻忽略了這些內容需要取得管理階層的核准，並且留下相關的審查記錄才行。

A.6資訊安全組織
附錄A.6是「資訊安全組織」，分為A.6.1內部組織和A.6.2外部團體，A.6.1的控制目標是希望在組織中建立資訊安全的相關責任與角色，協調安全工作的落實與執行，在這個控制目標之下，共有8項控制措施，分別說明如下：

A.6.1.1管理階層對資訊安全的承諾 – 有了管理階層的支持，是資訊安全管理制度能有效運作的重要關鍵要素，此控制措施強調管理階層應該在組織中，明確的指派並確認人員的安全責任，主動地支持各項安全工作，並提供所需要的資源。
A.6.1.2 資訊安全協調工作 – 在組織之中，資訊安全不會只是單一部門的工作，除了資訊單位之外，可能也需要人力資源、總務、行政、業務、稽核、法務等部門人員的參與，才能達成組織所設定資訊安全的目標，所以資訊安全的相關活動，需要不同部門的代表協調，才能順利地執行。
A.6.1.3 資訊安全責任的配置 – 管理階層需要指定各部門主管和個人的安全責任，並且界定各項資產的保護與作業流程，唯有執掌角色的定義清楚，才能夠履行所賦予的各項任務。
A.6.1.4 資訊處理設施的授權過程 – 所有的組織都會採購資訊相關設備，並且給予員工作業使用，但如何確認這些新設施符合資訊安全的要求？因此資訊設備的使用，必須要有管理階層的核准，組織應明訂此一程序流程，才可確保其符合資安政策的要求。
A.6.1.5 機密性協議 – 針對敏感性的工作，組織會要求人員簽署保密協議，但協議的內容是否適當？是否反映資安政策的要求？組織應該識別並定期審查對各項資訊保護的要求，再將其納入機密性協議的內容之中。
A.6.1.6 與權責機關的聯繫 – 當發生資安事件時，組織往往也需要外部單位的協助，因此需要擬定適當的程序，說明何種事件需要由何人進行通報和聯繫，需連繫的權責機關包括哪些？例如發生火警時，由誰負責與消防隊、電力、水力、電信和執法等單位連繫。
A.6.1.7 與特殊利害相關團體的連繫 – 資訊安全的技術日新月異，所以組織也經常需要聽取專家的意見，或參與專業的論壇以取得更新的資訊。此一控制措施就是要求應與各種利害團體、專家協會等保持適當的連繫管道。
A.6.1.8 資訊安全的獨立審查 – 組織在實施資訊安全管理的過程中，若對於資安政策、程序、控制目標和方法進行了顯著變更，此時就需要獨立公正的單位，針對變更的內容進行審查，目的是為了確保組織資安管理的適切性和有效性，避免球員兼裁判的嫌疑，所以這些審查需要由組織內部的稽核部門或具適當經驗的第三方單位來協助執行。

至於A.6.2外部團體的控制目標，是為了確保組織在與外部團體有相關的資訊存取、處理、交換時，能夠維持資訊的安全，因此，A.6.2.1的控制措施為與外部團體相關的風險之識別，需要透過風險評鑑的過程，找出外部團體對組織資訊的處理和使用時，可能存在的資訊安全風險，像是可存取的資訊類型、人員的識別與授權是否適當等。

A.6.2.2是處理客戶事務的安全說明，也就是在賦予了客戶存取組織資訊的權限之前，已考量到各項資訊安全要求，例如對於所提供服務的內容描述，以及客戶應有的安全責任與要求等。

A.6.2.3則是第三方協議中的安全說明，也就是在與第三方所簽定的協議與合約之中，必須明訂組織的資訊安全要求、應遵守的相關法規，以及違反時應負的法律責任等。(本文刊載於2010年12月號網管人雜誌)

[觀點] 評估個人資料保護機制與現況

Tue, 25 Jan 2011 03:23:00 +0000

個資法的施行細則，預計在今年6月左右公布，最快可能在2012年初施行，也就是說，無論公務機關或非公務機關，還有一年左右的因應時間，現在正是可以用來提前準備，並評估個人資料保護機制的最佳時機。

上一篇為大家說明了個資法中，對於蒐集、處理、利用個人資料的規範與要求，這部份主要著重在個人隱私的維護，例如：

在蒐集個人資料時要對當事人盡到告知的義務，說明蒐集的特定目的為何，將會使用在哪些用途上；
處理時則是要確保眾多的個人資料，經過內部新增、編輯、傳遞、儲存時的安全，避免受到未經授權的竄改，同時還要尊重當事人對於個人資料的自主權利，提供查詢、複製本和更正的服務；
在利用時則是要符合當初蒐集時的特定目的，若要作其他目的使用，除了有適當的法源依據或符合個資法的要件外，否則都必須要重新再取得當事人的書面同意才行。

所以，接下來就要說明個資法要求的另一項重點，也就是對於透過各種管道所蒐集的個人資料，如何盡到善良管理責任，並實施適當的安全措施。

當然，對非公務機關而言，所謂的適當的安全措施，未來將由目的事業主管機關來加以認定，也就是要依照主管機關所提出的個人資料保護指引準則，擬定個人資料檔案安全維護計劃，並且在發生事故時能夠舉證才行。

在這份個人資料保護指引尚未完備之前，我們可以提早準備的，就是思考對於個人資料應實施哪些安全機制，並且評估個人資料的安全現況，以便先打好基礎，再針對不足的地方加以改進，以避免法律實施時措手不及的情況發生。

思考個資保護安全機制

組織若想要建立個人資料的保護機制，建議可以從三方面來著手。

首先是「人員」，請思考一下，目前組織中的個人資料，大多是由誰蒐集而來，經由誰進行處理，再由誰進行利用，我相信你會發現，這些都和大多數員工脫離不了關係。

根據統計，大部份的資料外洩事件，都是來自於內部人員的作業疏失或刻意的偷竊行為。因此，針對人員的安全機制，主要都會落在教育訓練之上，透過加強人員對於個資保護的認知，了解其應盡的責任與守法義務，並且熟悉內部的個人資料蒐集、處理和利用的作業規範，來避免違反個資法的事件發生。

一般而言，教育訓練區分為兩種，一種是對於個資法的認知訓練，另一種則是資訊安全的防護宣導。

在個資認知訓練方面，必須要確保和個資蒐集、處理、利用有關的人員，都要熟知個資法的要求，例如蒐集個人資料必須要有特定目的，並且要盡到告知的義務。

在資訊安全宣導方面，則是要讓人員了解常見的資料外洩管道與攻擊手法，像是如何避免掉入社交工程的陷阱，避免透過私人郵件寄送個人資料檔案，以及避免使用USB隨身碟下載個人資料並攜出工作場所等。

其次是「流程」，我們必須檢視現行的資料作業流程，其中是否會涉及到個人資料的處理，如果是的話，那麼配套的安全措施是什麼？作業流程中，安全防護的強度到底夠不夠？

舉例來說，像是員工在業務工作上，是否可以任意影印含有個人資料的文件，是否有經過主管的授權，影印時是否使用浮水印的註記，廢棄時是否有適當的資料銷毀方式？

另外，含有個人資料的文件傳遞，是否指定專人處理，文件本身是否有保護措施，傳遞過程中是否有留下記錄。如果有員工對於這些流程的安全控管要求不清楚的話，那麼最好開始建立相關可實行的標準作業程序(SOP)。

最後是「技術」，在各項與個資有關的作業流程中，我們需要去思考是否有相對應的資安防護技術，例如：

對於個人資料的存取方面，人員需申請並賦予唯一的識別帳號，並要求使用一定長度與複雜度的密碼；
依據業務性質和單位屬性的不同，進行網段區隔與存取控制；
網路安全方面，是否佈署適合的防火牆、入侵偵測系統，對於主機是否進行系統防毒與更新修補；
對於敏感的個資檔案，也要實施一定強度的加密機制。

評估個人資料安全現況

對於組織目前的個人資料保護現況，如果本身已導入的資訊安全管理系統(ISMS)，最好的方式就是依照ISO 27001標準所要求的11項領域、133項控制措施，來進行個人資料的安全評估。如果對於標準不是那麼地熟悉，也尚未建立個人資料管理制度，建議可以先從以下四大層面來著手，一一檢視重要的控制措施是否已經落實。

實體環境安全
評估辦公區域、資訊機房和資訊設備，是否已受到良好的安全防護，重點項目包括：

是否已確保辦公室與機房的環境安全？例如使用不易受到破壞的門與鎖；在重要的區域進行門禁管制或安裝監視系統，訪客要求需配載識別證，並且僅限於在特定處所活動；定期檢查消防設施和人員的逃生設備是否足夠。
是否可預防有人從外部可以窺探辦公處所的電腦設備或螢幕資訊？有些組織在機房、會議室，喜歡採用透明玻璃，因此需要評估人員在操作資訊設備或進行會議時，是否會造成不當的資訊外洩。
含有個人資料的資訊設備與文件，是否存放於安全地點？例如筆記型電腦等可攜式的設備，還有包括硬碟、磁帶、光碟、USB隨耳碟等儲存媒體，採取適當的安全防護以避免遺失；紙本文件存放在管制或上鎖的區域，使用碎紙機、大量文件水銷等方式確保廢棄的文件不會再被還原。

組織安全
評估組織針對個人資料是否制定了一體適用的安全政策，以及相關的作業程序以便人員可以遵守，重點項目包括：

組織是否指定專人負責個人資料的管理？是否已制訂個人資料保護安全政策，並提供適當的人力與經費，由高階主管來支持個人資料安全管理和保護工作的落實。
組織是否已有和個人資料安全有關的作業程序，可供員工操作並且遵守？例如密碼的使用與設定要符合安全原則；人員離開辦公處所時應讓桌面淨空，不遺留文件在未經監管的地點；電腦螢幕設定一定時間自動啟用螢幕保護程式等。
組織是否已建立跨部門溝通與協調機制？例如由各部門推派一位個資管理代表或聯絡人；成立一個跨部門的個人資料保護小組，並定期召開個資保護協調會議等。
組織是否定期實施教育訓練，並確認員工已充分了解其應盡的個資保護與安全責任？例如依據人員不同的工作職掌，實施認知、管理或技術的教育訓練，並透過內部稽核的實施，確認教育訓練的有效性與成果。
組織若發生個人資料外洩事件，是否有相關的處理程序，並進行事後的調查與檢討？例如在個人資料受到竊取、洩漏或不當侵害時，由專人來負責通知當事人；制訂個資事件的證據收集與保存程序，或是尋求外部的支援。
是否有人可從組織外部來存取資料？個人資料是否需要和外部進行傳遞或交換？實施了哪些安全措施來控制、保護與監控這些行為？例如清查有哪些資料是可供外部存取的，並針對資料的傳遞或交換，依法定程序執行或建立內部的作業規範；對於資訊委外處理的服務廠商，要求相對應的個人資料保護措施等。

資訊系統安全
評估資訊系統的建置、營運與服務，是否已有適當的安全措施，重點項目包括：

資訊系統的日常操作，是否有文件化的作業程序？例如設備的異動維護，皆已經過授權並留下記錄。
含有個人資料的主機，是否需要更高的安全防護，並執行嚴格的存取管理？例如主機實施實體隔離與監控，採用生物辨識方式，進行存取控制。
資訊系統是否有備援機制？針對儲存個人資料的設備，採用不斷電系統以持續維運；將資料備份存放在不同的地點；確保還原機制夠完善，定期執行演練與測試等。
資訊系統與應用軟體的弱點是否能被發現，並且定期更新修補？例如透過定期的弱點掃瞄或滲透測試，以及制訂適當的修補程序來進行控管。
是否已經強化網際網路與電子郵件的使用安全？例如有能力偵測或防止惡意程式下載至電腦系統；防毒機制可定期更新；郵件主機實施適當防護；資訊設備和系統的記錄檔(log)集中留存並可防止竄改等。

人員安全
評估職務角色適任與分工代理是否適當，重要項目包括：

與個資有關的人員聘用，是否進行適當的徵信或資格審查？例如針對背景和學歷資格的確認，確認前項工作的離職原因；進行適當的職務分工代理等。
是否額外註明對於個人資料保護的相關要求？例如在聘僱合約中加以說明，並要求簽署保密協定；在新進員工訓練或員工手冊中說明組織對於個資法的政策與個資處理的要求等。
是否清楚告知員工組織資訊設備的使用注意事項？例如不得將個人帳號密碼透露給第三人、避免瀏覽惡意網站、不使用公司電腦收發個人郵件、不使用個人郵件寄送業務相關資料等。

以上簡要的評估方法，可作為有心強化個資防護的組織參考，相信能夠在個資法正式實施之前，找到一個可以因應與實作的目標。(本文刊載於2010年11月號網管人雜誌)

[觀點] 個資蒐集、處理、利用之注意事項

Wed, 15 Dec 2010 08:49:00 +0000

在個人資料保護法裡，隱含了二項重要的精神與要求，其中個人隱私維護是首要項目，它是指必須要在個人資料蒐集、處理、利用的過程中確保個人隱私不會受到侵害，其次則是如何善盡個人資料保護的責任，本文將說明相關的注意事項。

個人資料保護法全文共有56條，內容說明了公務機關與非公務機關在個人資料蒐集、處理及利用的注意事項，以及違反時的賠償與罰則，單就法條內容來看，其實不太容易馬上就能掌握其要求的重點。

但經過歸納分析之後，可以發現個人資料保護法的精神與要求，主要集中在兩件事上，分別是「個人隱私維護」和「個人資料保護」，需要在個人資料蒐集、處理、利用、傳輸，也就是在個人資料的生命週期中予以落實(圖1)。

圖1：個人資料保護法的要求全貌

個人隱私維護的要求，主要來自於個人資料保護法的第一條，「為規範個人資料之蒐集、處理及利用，以避免人格權受侵害，並促進個人資料之合理利用，特制定本法。」其中隱私就是人格權的重要一環，因此個人資料的揭露與否，必須尊重當事人的權益並獲得其同意，以免因侵犯個人的隱私而造成人格的受損。

個人資料保護的要求，則來自於個人資料保護法的第十八條，「公務機關保有個人資料檔案者，應指定專人辦理安全維護事項，防止個人資料被竊取、竄改、毀損、滅失或洩漏。」；以及第二十七條，「非公務機關保有個人資料檔案者，應採行適當之安全措施，防止個人資料被竊取、竄改、毀損、滅失或洩漏。」

目前，依照法務部個人資料保護事項協調聯繫會議的決議，所有公務機關在99年底前都必須要指定一位個資聯絡窗口及個資召集人，來協調聯繫與個人資料有關的事項，而各機關也要在年底前完成制訂組織的「個人資料保護及管理規範」。

至於非公務機關，未來則是要依照所屬事業目的主管機關的要求，提出「個人資料檔案安全維護計畫」，這份維護計畫的建議內容，可參照上一篇文章的說明。

個人資料蒐集注意事項

所謂的蒐集是指以任何方式來取得個人資料，包括自動化(例如網頁上所填寫的個人資料)或非自動化(人工紙本記錄的個人資料)的方式來進行。

依照個人資料保護法第八條的規定，無論是公務機關或非公務機關，在向當事人蒐集個人資料時，都必須要明確告知當事人以下事項：

蒐集資料的公務機關或非公務機關的名稱。
蒐集的目的，也就是要在未來公布的特定目的中，至少找到一項適用的項目。
個人資料的類別，同樣也是在未來公布的個資類別中，找到適合的類別名稱。
個人資料利用的期間、地區、對象及方式，建議要向當事人說明資料使用時間和保存多久，在哪些地區使用，將會透過什麼方式來使用。
當事人可以行使的權利及方式，例如當事人可以要求更正、刪除、停止使用其個人資料，或要求提供個人資料的複製本。
應說明當事人可以自由選擇是否要提供個人資料，若當事人不願意提供的話，也要清楚告知不提供這些資料，對其個人權益會有哪些影響。

所以，請務必謹記，「只要有蒐集的行為，就會有告知的義務」，除非是法律規定可以不用告知，以及公務機關為了執行法定職務(例如警察執行公務)，或非公務機關為了履行法律規定的義務等，這部份請參照個人資料保護法第八條的五項免告知情形。

另外，依據個人資料保護法第十五條規定，公務機關對於個人資料的蒐集或處理，除了要有特定目的之外，還要符合以下三種情形之一，才可以進行：
一、執行法定職務必要範圍內。
二、經當事人書面同意。
三、對當事人權益無侵害。

建議在實務上，若不是執行法定職務，公務機關想要蒐集民眾的個人資料，最好的方式就是事先取得當事人的書面同意，以避免違反法規的要求。

個人資料處理注意事項

所謂的處理，簡單來說就是指蒐集個人資料之後，將這些資料經過編輯、修改、增刪、傳遞等動作，變成一份個人檔案的過程。依照第十條的規定，在正常情形之下，公務機關和非公務機關都要依照當事人的請求，針對這些個人檔案，提供查詢、閱覽或複製本，而且要在十五天內回覆當事人是否同意或拒絕其請求。

為了要維護這些檔案中個人資料的正確性，公務機關和非公務機關要主動或依照當事人的請求來予以更正或補充，至於回應的時間則是在三十天內要完成。若是個人資料的正確性有爭議時，也要主動或依照當事人請求，停止處理或利用這些個人資料。另外，隨著個人資料蒐集時的特定目的消失或是期限屆滿的時侯，也要依當事人請求，剛除、停止處理或利用這些個人資料。

為了避免個人資料的不當揭露，或是個人資料檔案受到不當的侵害，降低對當事人的衝擊，依據個人資料保護法第十二條的規定，無論是公務機關或非公務機關因違反了個人資料保護法的規定，而導致個人資料被竊取、洩漏、竄改，或是受到其他侵害，都要在查明之後盡快地通知當事人，也就是說，組織必須要事先建立一個通報機制，確保所使用的方式(例如電話、郵寄、email等)可以通知到當事人，並且留下記錄。

個人資料利用注意事項

將處理後的個人檔案使用在特定的目的上(例如行銷)，就是所謂的利用。在個人資料利用方面，最重要的一件事，就是要確認利用時是否和原先蒐集的特定目的是相同的，如果與原先的蒐集目的不同，依據個人資料保護法第十六條的規定，必須要符合以下情形，才能將個人資料用作其他目的：
一、有法律明文規定可引用。
二、為了維護國家安全或增進公共利益。
三、為了免除當事人的生命、身體、自由或財產上的危險。
四、為避免他人的權益受到重大危害。
五、為了公共利益進行統計或學術研究，且資料經過處理不會識別到當事人。
六、有利於當事人的權益。
七、經當事人書面同意。

基於以上的要求，未來在實務方面，建議若將個人資料作其他目的的利用時，最好事先再去取得當事人的書面同意，比較不會有違法利用的風險。

請小心留意才能避免觸法

個人資料保護法的精神與要求，在於個人資料的蒐集、處理或利用的過程中，如何去確保個人隱私和個人資料安全，這是所有擁有個人資料的組織或機關務必要去重視的地方。

在個人資料的蒐集、處理或利用的事項方面，如果是一般民營單位，受到公務機關委託執行和個人資料有關的事項，在個人資料保護法的適用範圍，依據第四條的規定是視同於委託機關的，換句話說，在個人隱私維護和個人資料保護的要求事項，就要比照公務機關來辦理才行。

此外，個人資料保護法第五條提到，「個人資料之蒐集、處理或利用，應尊重當事人權益，依誠實及信用方法為之，不得逾越特定目的之必要範圍，並應與蒐集之目的具有正當合理之關聯。」換句話說，個人資料的蒐集、處理及利用，都必須要符合當初蒐集時向當事人說明並獲得同意的目的，而且要與此目的有明顯相關。

萬一日後需要將個人資料，作為其他目的的利用時，則必須要重新獲得當事人的書面同意，而非僅止於口頭上的通知，這點要請經常需要將個人資料用於行銷或業務使用的企業，務必要小心留意以免觸法。(本文刊載於2010年10月號網管人雜誌)

[觀點] 制訂個人資料檔案安全維護計畫

Wed, 03 Nov 2010 06:49:00 +0000

之前，我們談到了個人隱私衝擊分析，其主要目的是要了解組織針對個人資料蒐集、處理、利用的現況，能夠幫助我們針對屬於高風險的個人資料，提出適當的保護計畫與安全措施，本文將說明如何制訂個人資料檔案安全維護計畫。

在個資法第27條提到，「非公務機關保有個人資料檔案者，應採行適當之安全措施，防止個人資料被竊取、竄改、毀損、滅失或洩漏。中央目的事業主管機關得指定非公務機關訂定個人資料檔案安全維護計畫或業務終止後個人資料處理方法」。

換句話說，未來保有個人資料的企業、組織或團體，都可能要針對個人資料提出一份檔案安全的維護計畫，在這份計畫之中，除了可說明個人資料的保護措施和管理方法之外，萬一未來發生個人資料外洩的事件，這份計畫以及實施的相關記錄，很可能是作為組織已善盡管理人義務，用來免除過失賠償責任的重要證據之一。

當然，這份計劃的最終內容要求，仍須以中央目的事業主管機關所公布的為主，但是凡事有備則無患，我們可以參照過去針對金融業、保險業及證券暨期貨業所公布的個人資料檔案安全維護計畫標準，來制訂適合自己組織的內容，並依據這份計畫來加強個人資料的保護與管理。

確認個人資料保護範圍

在制訂個人資料檔案安全維護計畫之前，首先要確認的就是我們所要保護的範圍，畢竟組織的資源有限，我們不太可能一開始就投入龐大資源來實施全面性的安全防護，而是要先了解現況並定出範圍，這也是管理系統導入的重要步驟。

以資訊安全管理系統來說，範圍通常會鎖定在重要的業務流程與資訊系統，像是醫院的醫療資訊系統、製造業的研發生產管理系統、資訊服務業的客戶服務系統等。至於保護的對象則是資訊資產，一般會先將它進行分類，例如分成人員、資料、軟體、硬體及服務等，再依據資訊處理的作業流程去盤點所有資訊資產，分析其可能存在的安全風險，依照其風險高低進行排序，然後再選擇適當的控制措施來進行風險處理，將風險降低至可接受的程度。

所以，若今天導入的是個人資訊管理系統的話，我們鎖定的保護對象就是個人資料，範圍也會是和個人資料有關的業務流程。只是，個人資料涵蓋的範圍甚廣，對許多組織而言，不太容易一下子就區分並識別完成，建議可採取以下兩種方式來進行。

從個人資料本身著手 - 首先定義常見的個人資料類別，例如員工資料、客戶資料、廠商資料等，或是個人資料的細項，例如連絡資料、薪資資料、付款資料等，然後調查這些資料是透過哪些方式來蒐集和處理。例如個人資料可能是以電腦輸入、網站蒐集等自動化機器產生，或是透過人工紙本記錄等非自動化方式來獲得，在完成確認之後，這些和個人資料有關的活動與流程，就會是個人資料保護的範圍。

從業務作業流程著手 - 這個方法和上述的方法順序相反，也就是先從和個人資料有關的活動流程著手，了解組織透過哪些自動化和非自動化方式蒐集和處理資料，再來確認這些資料內容是否包含了個人資料，如果有的話，就要將這些流程和系統劃為個人資料保護的範圍之內。

個資檔案安全維護計畫內容

在確認個人資料的保護範圍之後，接下來就要針對這些個人資料檔案來制訂保護計畫，無論您所屬的行業類別或營運規模大小，在這些計畫之中，建議您務必要納入以下的事項。

指定專人管理 - 針對組織所持有的個人資料檔案，說明由誰來負責辦理安全維護事項，至少應指定一位專人來防止個人資料受到不當的侵害。這位個資管理代表需要有能力可以協調各個事業單位，以擬定出適當可行的個人資料的管理辦法，也就是說，需要對於資訊安全，無論在管理面、技術面、教育面都要有一定的認知，最好選擇已接受過資安專業訓練並持有相關的資訊安全證照的人選為佳。
建立稽核制度 - 應說明組織是否已建立了個人資料檔案的稽核制度，像是稽核人員應具有哪些能力、依據何種稽核標準、多久實施一次內部稽核，針對稽核結果是否定期召開管理審查會議，如何進行缺失的矯正和預防。
確保系統安全 - 說明存取個資系統的人員，是否具備唯一的識別碼(ID)，針對不同的職務角色，是否完成權限控管；存取個人資料的相關作業，像是個人資料的新增、異動、刪除、傳輸，是否留有記錄(Log)；應用系統程式的開發是否遵照安全的開發流程，上線前是否經過適當的安全審核程序等。
強化實體安全 - 和個資有關的資訊設備，若存放於電腦機房，應說明機房的門禁管理辦法，針對主機和儲存媒體，是否有良好的安全防護措施，例如場所已作好天然災害和意外災害的防護、備份媒體以防火或上鎖設備異地存放。
災害防護演練 - 萬一發生天然災害或個資損害事件，是否有個資事件應變處理作業辦法，內容應包括如何進行損害控制、系統備援、災害復原和通知當事人等，並定期實施模擬演練。若是人為惡意的損害，是否有保存證據、要求損害賠償的措施。
員工作業安全 - 在計畫中應說明和個資有關的作業人員，是否要求簽署保密切結書，針對個資作業的內容，是否已說明個資法相關的安全規定，在資訊安全防護方面，是否定期實施教育訓練等。

與資訊安全管理系統作結合

完成個人資料檔案安全維護計畫，只是個資防護的初步工作，重點還是在於能否依照這個計畫切實地來執行。根據個人的了解，個資法中所提到針對個資應採行適當的安全措施，不可單單只解讀為已採行相關的技術防護手段，或是添購了資訊安全產品，就可在個資損害事件中證明自己沒有過失責任，而是必須要納入管理系統中所謂的PDCA(Plan-Do-Check-Act)精神，讓個資防護在完整的管理制度之下，能夠實施運作，並且持續改善。

因此，如果組織已導入了資訊安全管理系統(ISMS)，它就可以提供在個人資料防護的重要基礎，只是在個人隱私防護方面，還需要再進行重點補強，礙於篇幅有限，只說明以下重點項目供作參考，包括：將個資保護納入資安政策、建立個人資料清冊、進行個資風險評鑑、選擇適當控制措施、定期進行個資稽核、持續檢討維護改進等。若能與現有的資安管理系統作結合，相信在個資防護方面，也就不必重頭再來，將可達到事半功倍的效果。

組織應自我檢視的個資問題

雖然個資法的施行細則尚在修訂之中，正式實施的日期也還未確認，但是從個資母法來看，它很明確地要求二件事 – 「個人隱私維護」和「個人資料保護」，讓很多事項已如箭在弦上，無論是公務機關或非公務機關，未來勢必都要依法實行，所以為了因應法規所帶來的風險，建議組織應該自我檢視以下問題：

• 您(組織)知不知道個資法的要求？
• 您(組織)是否已經指定專人負責個資事項？
• 組織負責個資蒐集、處理及利用的同仁，是否已具備必要的知識與技能？
• 您(組織)是否知道如何保護所持有的個人資料？
• 您(組織)是否有適當的程序，以符合告知的要求？
• 您(組織)是否有適當的程序，對持有的個人資料提供當事人請求和維護？

如果有任何一項問題，組織無法明確地加以回應，建議應及早尋求外部專家或顧問的協助，以因應未來個資法正式實施之後可能帶來的衝擊。(本文刊載於2010年9月號網管人雜誌)

[觀點] 個人隱私衝擊分析(PIA)之介紹

Sun, 17 Oct 2010 14:22:00 +0000

在個資法第一條提到，「為規範個人資料之蒐集、處理及利用，以避免人格權受侵害，並促進個人資料之合理利用，特制定本法。」其中隱私權就是重要的人格權之一，本文將說明何謂個人隱私衝擊分析(PIA)。

無論是公務機關或非公務機關的企業、法人和團體，為了因應未來新版個人資料保護法實施之後，針對個人資料保護的種種要求，許多組織已開始著手來準備，如果仔細地去探究個資法所涵蓋的精神與要求，就會發現其關注的焦點有兩個層面：首先是如何維護個人隱私，其次則是如何落實個人資料保護。

基本上，在個人隱私方面，我們可以透過建立個人資料蒐集、處理和利用的注意事項和作業規範，以確保個人隱私不會受到不當揭露；至於在個人資料保護方面，則可以透過資安技術的應用，降低資訊系統在處理個人資料的過程中，可能會受到入侵、竊取、竄改和干擾的風險，並且達到一定的資料存取防護強度。本期我們就先來探討維護個人隱私的一項重要工作，也就是進行個人隱私衝擊分析(Privacy Impact Assessment, PIA)。

個人隱私衝擊分析目的

在個人資訊管理標準BS 10012的「4.4 風險評鑑」內容中提到，「組織應實施一項流程以評估和處理個資相關人員的風險程度，這項評估也應包括委由其他組織所進行的個資處理，組織需管理由風險評估過程所識別出的任何風險，以降低不符合政策要求的可能。」

簡單來說，為了避免違反法規和政策的要求，我們應針對個資的蒐集、處理和利用的過程，所牽涉到的人員、技術、作業流程，找出其中可能隱含的資訊安全風險，以避免和個資有關的不當事件發生，這也就是所謂的個人資料風險評鑑，而其使用的風險評鑑方法，稱之為個人隱私衝擊分析(PIA)。

因此，個人隱私衝擊分析的目的，就是要協助組織確認在個人資料的蒐集、處理和利用的過程中，相關的資訊系統、控制技術、作業流程和管理政策，是否符合確保個人隱私的基本要求，進行識別並管理其中的風險，以避免不必要的損失和聲譽受損，達成法律法規的要求。

個人隱私衝擊分析方法

有關個人隱私衝擊分析的方法論，各國政府為了因應本身的個資法規要求，所以皆有不同的作法，其中較為知名的分別是由英國的資訊委員會辦公室(Information Commissioner’s Office)所提出的「The ICO PIA handbook」，以及加拿大財政部秘書處(Treasury Board of Canada Secretariat)所提出的「Privacy Impact Assessment Guidelines」。

英國的PIA流程比較完整複雜，它是先以範圍來選擇實施的內容，主要分為全範圍PIA、小範圍PIA、隱私法和其他法規符合確認、個資法法規符合確認等四項，其中全範圍和小範圍PIA的進行再區分為五個階段，分別是：初始階段(Preliminary phase)、準備階段(Preparation phase)、諮詢和分析階段(Consultation and analysis phase)、文件化階段(Documentation phase)、審查與稽核階段(Review and audit phase)。

加拿大則是使用比較簡易清楚且近似風險管理的作法，其中包括了計畫、分析和教育訓練活動，主要分為四項流程來進行，但無論是英國還是加拿大，其共同點為皆是採用問卷方式來進行分析。

個人隱私衝擊分析流程

實施個人隱私衝擊分析，能夠有效識別出在其他管理層次下看不到的個資風險，藉由訪談相關人員的過程，可以改善與個資有關的政策、系統設計、採購決策及作業流程。以下以加拿大的PIA作法為例，說明實施個人隱私衝擊分析的流程。

步驟1：專案啟動(Project Initiation)

PIA的第一步是決定要實施的範圍和採用的工具，在初期組織若是對於個人隱私風險還不是那麼清楚，決定是否要實施PIA也還有雜音的時候，建議可以先做一次初始需求評鑑(Preliminary PIA)，藉由審查相關的政策和指導原則，以及可使用的資源與技能，並獲得外部像是隱私權、法規和技術等專家的建議之後，再正式的來實施全範圍的PIA。

步驟2：資料流分析(Data Flow Analysis)

在這個階段需要去描述和分析組織目前的業務流程架構，以便在工作計畫書中清楚的描述個人資料流的現況。基本上，任何的業務活動都會牽涉到資訊的管理，並且包括四項元素，分別為：資訊收集、交易流程、交易結果和以上三者所留下的記錄。在資料流分析過程中，至少要識別出業務流程主要的元件，例如人員、設備等，以及個人資料如何透過業務流程被蒐集、處理、利用、揭露和保存，建議以清楚易懂的圖形來呈現彼此的關聯，而以表格方式(如表1)來呈現單一資料或群組的現況。

表1：個人資料清單

個人隱私分析是要去檢查在個人資料流中，是否適用於個人隱私政策和法規要求，這部份可透過問卷與檢查表的使用，來識別主要的個資風險或是相關的弱點，其結果將作為個人隱私衝擊分析報告的基礎。至於問卷內容則可參考所在地法令或主管機關要求，以設計出可明確分辨現行流程是否符合法令要求的內容，如表2所示，問卷內容包含了一系列問題和是與否的選項，其中「細節描述」的欄位是用來解釋特定的要求符合或不符合的原因，以作為主管機關的參考，而每一階段的最後則提供「討論重點」，以記錄過程中重要的事項。

步驟3：個人隱私分析(Privacy Analysis)

表2：PIA問卷範例

步驟4：個人隱私衝擊分析報告(Privacy Impact Analysis Report)

藉由上述所採取的步驟，最終將會產生在PIA之中最重要的個人隱私衝擊分析報告，在這份文件中將呈現目前隱含個資風險的結果，也會作為後續決定降低或消除風險的控制措施的重要參考依據，同時它也會是和組織利害關係人溝通的重要工具。

個人資料安全實務建議

整體而言，組織可以藉由導入個人資訊管理制度(PIMS)，來達到個資法要求的個人隱私維護和個人資料保護兩個目標，在實務方面建議分為以下三步驟來進行：

第一步，請務必逐條了解法令之要求，並建立個人資料保護所需的基礎知識。實務作法為可邀請和個人資料蒐集、處理和利用有關的各部門相關人員，透過專家講座、教育訓練等方式，來協助員工獲得個資保護所需的認知與技能，並且清楚了解個人職務所扮演的角色和應盡的義務。

第二步，建立組織的個人資料管理制度，可參考BS 10012個人資訊管理系統標準內容，並依據個人資料保護的八大原則，檢視組織目前所蒐集、處理和利用的個資現況，並進行這些活動的風險評鑑，透過個人隱私衝擊分析(PIA)的方法，來評估與個資有關的風險。

第三步，落實個人資料保護機制，可配合管理制度的要求，在作業流程上部署個資或資訊安全防護技術，例如資料加密、身分驗證、資料庫稽核、資料外洩防護(DLP)、網路存取控制(NAC)等方案，協助控管個資處理流程中可能產生的安全風險。(本文刊載於2010年8月號網管人雜誌)

[觀點] 以PCI DSS檢測個資防護安全

Tue, 31 Aug 2010 02:16:00 +0000

最近，許多朋友和我聊到新版個人資料保護法(以下簡稱個資法)的議題，對於法條的內容要求都存有一些疑義，尤其是面對未來可能的罰責，以及針對個資保護實施的應有作為，皆感到茫然而不知所措。

雖然，目前僅通過個資法的母法，施行細則還在修訂之中，預計最快一年至一年半的時間才會公布，但若是等到實施之後才來因應，恐怕為時已晚，因此在新法尚未實施之前，組織的因應做法，建議可分成以下三階段來進行：

實施教育訓練：組織應邀請所有和個資有關的人員，例如人事、法務、行銷、客服、資訊等單位，進行個資保護教育訓練，實施的內容包括了個資法的法條內容逐一討論，了解個資蒐集、處理、利用應注意事項，以及個資保護的資安控制措施等，讓大家清楚明白法律的要求，才可準備相關的因應作為。
評估技術防護：組織應執行一次完整的資安體檢，尤其是個資所在的位置，例如實體環境的文件櫃、檔案室、辦公處所、機房等，還有資訊設備像是資料庫、應用系統、儲存媒體及網路設備等，針對個資的存取、傳輸、儲存、銷毀方式，逐一進行清查確認，這方面可參考以下的支付卡行業資料安全標準(PCI DSS)要求來進行。
導入管理系統：若組織已經導入資訊安全管理系統(ISMS)，並且已取得ISO 27001的認證，那麼就可以將個資保護納入現行管理制度的範圍，並針對各項需識別的個人資料，增設個資資產清冊、或是進行個資風險評鑑與處理等。若是沒有導入ISMS的組織，則可以參考之前所提到的BS 10012標準，導入個人資訊管理系統(PIMS)，藉由管理系統的文件化與PDCA的持續改善要求，來確保和個資有關的作業流程，均受到妥善的監控與保護。

PCI DSS的資料安全評估

PCI DSS是由American Express、DFS、JCB、MasterCard、Visa等五家知名的電子付款與信用卡業者所共同組成的PCI Security Standards Council所制定，要求所有提供信用卡服務的商店和相關業者，在儲存、處理與傳遞持卡人資料時，必須要有符合標準要求的安全控制措施。此一提供給全球產業共同遵守的資料安全標準，雖然是用來保護信用卡持卡人的資料，但其主要目的就是為了要保護個人敏感資訊，以確保交易的安全。因此，對於想要保護個資的企業，若是能夠參考PCI DSS中所明訂的12項要求作為個資保護的安全基礎，並且將這些要求融入和個資安全有關的評估之中，藉由自我檢視這12項要求，將可協助組織了解現有的資料保護安全現況。

要求1：安裝並維護良好的防火牆配置以保護個人資料
首先，組織必須要建立防火牆的安全配置，項目包括防火牆的規劃拓樸圖、防火牆規則的設定說明，以及DMZ區中的安全設定與網段區隔。基本上，除了必要的網路協定之外，其它不必要的網路服務與通訊埠皆不應對外開放，而且只要是儲存含有個人資料的系統，它和公用伺服器之間的任何連線，都要建立防火牆來加以區隔，同時也藉由實施IP偽裝的機制(NAT)，來避免內部主機位址暴露在網際網路上，以限制任何儲存敏感資訊的系統可以被外部公開地存取。

要求2：管理密碼和其他安全參數不使用設備出廠的預設值
若是透過外包的設備供應商來安裝各式系統和網路元件，例如防火牆、路由器、無線網路基地台等，應該修改系統管理的預設值，並針對所有的管理連線進行加密，以避免駭客直接以系統預設帳號及密碼，繞過防線直接侵入到系統之中。另外，若是自行開發各項擴充的系統元件，應採取業界建議的安全開發配置標準。

要求3：必須妥善保護所儲存的個人資料
針對組織所儲存的個人資料，業者應該秉持保留最少數據的原則，並且制定一個資料處理與儲存程序來做好個人資料的控管。例如，若需要顯示當事人主要帳戶資料時，應採用前六或後四碼的隱蔽措施，如果需要將主要帳戶資料儲存的話，也需要採取加密方式來確保資料不會任意被讀取。在實施了加密之後，用來加密持卡人的金鑰就成為重要關鍵，所以還要制定金鑰的管理流程和程序，來確保金鑰不會遭到洩露和濫用。

要求4：對透過公共網路所傳送的個人資料進行加密
若是個人資料需要透過公共網路來傳送，務必要採用強度難以破解的加密演算法和安全協定，以避免資料在傳遞的過程中遭到破解與竄改。因此，提供服務的網站必須提供SSL/TLS或IPSec等安全傳輸協定，針對所傳輸的資料進行加密。

要求5：安裝防毒軟體並定期更新主程式和病毒碼
所有和個人資料有關的系統，都應該要安裝防毒軟體，並且經常更新病毒碼，在防毒軟體的選擇上，建議最好同時具備防木馬與間諜程式的偵測功能。另外，更要確保所有的防毒措施都能夠及時更新，並且產生可供日後稽核的事件日誌。

要求6：開發與維護安全的系統和應用程式
網站的主機系統和應用程式，應該在供應商發佈修補檔的一個月內進行安裝更新，管理者可以採用訂閱方式來接收最新發現的安全弱點。若是自行開發的應用程式，應採行業界的最佳實務如Security Development Life Cycle(SDLC)，將資訊安全與整個軟體開發生命週期相結合，同時要基於安全的程式編碼原則，以確保所有應用程式不會存在已知的安全弱點，還能抵禦已知的惡意攻擊。如果系統和軟體的配置需要更新或修改的話，也要事先取得管理階層的授權，依照所制定的變更控制程序來進行。

要求7：只有具備業務需求的人才可存取個人資料
在存取控制措施方面，只能允許工作職務上有需要的人員，才能存取電腦上和個人有關資訊，也就是要依據僅知原則(need to know)，避免不相干的人員接觸到個人資料，也就是說除非已獲得管理階層授權許可，否則應該拒絕所有的存取行為。

要求8：賦予擁有資訊存取權限的使用者唯一的識別帳號
針對擁有個資存取權限的使用者，必須給予一個唯一的ID，才能允許其存取和個人有關的資料，這樣做的目的在於一旦發生資安事件，才可進行追溯和釐清相關責任。對於採用遠端存取的員工或第三方合作廠商，則採取雙因素身份認證機制，也就是除了使用帳號和密碼來驗證之外，還需要使用如Token、憑證、或生物特徵(指紋)等方式來識別連線的使用者。PCI DSS要求，只要是系統中所需使用的密碼，無論是儲存或傳輸，進行加密是必要的安全措施。

要求9：限制對個人資料的實體存取
針對個人資料的實體存取行為，必須採用監視系統和門禁管理等適當的控制措施，而針對所有包含個資的紙類或電子媒體，都應存放在安全的地點，並採行實體安全保護，無論是內部或外部，含有個人的資料都應該限制發送，而且儲存個資的媒體在離開安全區域之前，也都需要經過管理階層的核准才能放行。一旦含有個資的媒體不再需要保留時，也要按照一定的安全程序進行徹底銷毀。另外，為確保對所有訪客都能被有效管理，可採用訪客識別證或通行卡，在訪客來訪期間的日誌記錄，至少需要保存三個月以上，以確保訪客的活動能夠被稽核。

要求10：追蹤並監控存取各項網路資源和持卡人資料的過程
對於和個人資料有關的所有存取行為，必須建立一個識別程序，來記錄追蹤存取事件，所記錄的內容應包括使用者ID、事件類型、日期時間、成功或失敗、事件來源、受影響的資料、系統元件或資源的ID或名稱。對於這些事件，管理者應定期進行審查，並且妥善保護稽核軌跡以防止日誌遭到竄改，所有的稽核記錄應至少保持一年。

要求11：定期測試系統安全與程序
針對各項資安控制措施，每年應定期實施測試，以確保控制的有效性，每季也至少進行一次內部和外部的網路弱點掃瞄，尤其是在網路發生重大變更之後也要執行一次。而針對可疑的入侵事件，應建立警示和通報的機制，一旦發現網路或主機遭到入侵，或是關鍵系統或檔案受到非授權的更改，都要能夠及時通報相關的人員。

要求12：建立並維護資訊安全政策
組織應建立、發布、維護和宣導一項資訊安全政策，並確保所有員工和合作夥伴，都能明瞭相關的資訊安全責任。在人員管理方面，對於欲聘雇的員工應進行背景的查核，對新進員工則實施有關資訊安全的認知宣導，使所有員工都能了解保護個資的重要性，藉此將來自內部的資料外洩風險降至最低。如果不幸發生了資料外洩事件，組織應依照事先建立的事件回應計劃來處理，而針對所有合作的供應商，在合約中也應清楚註明各項安全要求。

以上，是PCI DSS對於資料保護的安全要求，組織可藉此來一一加以審查檢視，就可找出目前個資防護的不足之處，然後強化安全控制措施。(本文刊載於2010年7月號網管人雜誌)

[觀點] 面對新版個資法的因應之道

Mon, 12 Jul 2010 07:57:00 +0000

隨著新版個資法正式的三讀通過，對於存在於各行各業且為數眾多的個人資料，總算有了保護的法源依據，對於公務機關和企業組織而言，未來若沒有落實個資保護，很可能就會面臨難以負擔的刑事責任和行政處罰。

延宕多年的電腦處理個人資料保護法修正案，總算在今年4月27日順利三讀通過，除了將名稱正式更改為「個人資料保護法」，在法條內容方面也做了一些修訂。尤其在二讀時，針對新聞報導自由的部份，在過程中引起了社會關注與媒體的討論，因此對於媒體報導的內容，是否需要事先取得當事人的同意，還有在Facebook上面分享拍攝的照片，會不會有洩露個資之虞，也作了適當的澄清，以避免民眾誤觸法網。

個資法修正前後的差異

過去在1995年公佈實施的電腦處理個人資料保護法，主要是參照經濟合作發展組織(OECD)所提出的個人資料保護八大原則，也就是要求限制蒐集、資料正確完整、具明確目的、限制利用、安全保護、公開、個人參與及責任義務等原則，以避免個人人格權受到侵害，或是個資遭到不當利用。

當初，因考慮此法頒布實行之後，將會對民間業者衝擊過大，所以將適用範圍限縮在只經電腦處理的資料，適用行業除了公務機關之外，僅有特定的八大行業(徵信業、醫院、學校、電信業、金融業、證券業、保險業、大眾傳播業)受到規範，後來，雖然也陸續透過指定方式，將期貨業、百貨公司、零售業、不動產仲介經紀業、人力銀行等九個行業納入適法範圍，但還是有許多會蒐集、處理、利用個資的企業和團體不在此法律適用範圍內，仍然有不夠完善之處。

新版個資法的修正原則，參照了亞太經濟合作論壇(APEC)隱私保護綱領，將取得個資的事先告知、蒐集限制和預防損害，納入個資保護的規範之內，並且要求各事業主管機關需要負起監督之責，以防範個人資料的不當使用與外洩，其修正重點與前後的主要差異如下：

資料類型與保護範圍擴大 - 電腦處理個人資料保護法的保護客體為經過電腦處理的資料，新法則擴大為不管是電腦處理或人工紙本的資料，統統都受到法律規範。至於適用的行業，過去只有公務機關及八大行業受到法令要求，新版個資法則包括所有個人、法人團體、一般企業等(第2條)，只要擁有個人資料的單位和組織，一律都要遵守個資法的規範。
刑責加重和罰責提高 - 過去若是發生個資外洩事件，民事損害賠償的總額上限為2千萬元，新法則提高至2億元，若被害人不易或不能證明實際損害的金額時，可以請求法院依照受害的情節以5百元以上2萬元以下來計算(第28條)，同時為了方便受害者提出救濟賠償，新法還增加了團體訴訟機制，可透過眾人的力量來集體控訴(第34條)。至於刑事責任方面，若是犯罪人意圖將個資用於營利行為，則可能受到5年以下有期徒刑，併科1百萬元以下罰金，並且被提起公訴(第42條)。
個資蒐集限制與告知義務 - 新法中要求若是有關醫療、基因、性生活、健康檢查及犯罪前科等特種個資，必須在符合法律明文規定的嚴格要件下，才能進行蒐集、處理和利用(第6條)。未來無論是直接或間接地蒐集個資，都必須要盡到對當事人的告知義務(第8條)，也就是要說明蒐集的目的和利用的方式，若是個資遭到不當外洩，資料保有者也必須依法查明後盡快通知當事人，以避免災害的擴大。
個人隱私與新聞自由的兼顧 - 新法二讀之後，在媒體上引起了一陣抗議波瀾，原因是個資法對於隱私的保護太過，若報導時都要對當事人告知並取得同意，在實務方面將會引起爭議與困難。因此在三讀時，為了基於對新聞自由的尊重，特別說明對於大眾傳播業者在進行新聞報導時，若基於「公益目的」(第9條)，則可免為告知當事人，若是和公共利益有關或個資來自於一般可得之來源，也可以進行蒐集或處理。
網路使用個資行為之澄清 - 民眾在部落格或facebook張貼與他人合影的照片，若是屬於單純個人或是家庭生活的目的，則可適用第51條的排除規定。若是蒐集、分享沒有和其他資料結合而可識別出特定個人的影音資料，只要是基於便利性及合照本身的合法使用目的相當明確，也可排除在法規之外。至於人肉搜索的行為，若是屬於公共利益或取自於一般可得之來源，也屬於個資法主張的合理使用範圍內。

個資法重點條文之解讀

新版個資法全文分為六章共56條條款，第一章為總則(第1~14條)，第二章為公務機關對個人資料之蒐集、處理及利用(第15~18條)，第三章為非公務機關對個人資料之蒐集、處理及利用(第19~27條)，第四章為損害賠償及團體訴訟(第28~40條)，第五章為罰則(第41~50條)，第六章為附則(第51~56條)。

關於新法修訂的目的，在第一章第一條開宗明義即提到「為規範個人資料之蒐集、處理及利用，以避免人格權受侵害，並促進個人資料之合理利用，特制定本法。」至於個人資料涵蓋的範圍，第二條明確指出個人資料是「指自然人之姓名、出生年月日、國民身分證統一編號、護照號碼、特徵、指紋、婚姻、家庭、教育、職業、病歷、醫療、基因、性生活、健康檢查、犯罪前科、聯絡方式、財務情況、社會活動及其他得以直接或間接方式識別該個人之資料。」

其中有關個人之醫療、基因、性生活、健康檢查、犯罪前科等，必須在法律明文規定之下，或是公務機關執法或非公務機關履行法定義務，並有適當的安全保護措施下才可進行，若是公務機關或學術研究機構為了醫療、衛生或犯罪預防的目的，也必須經過一定之程序才能蒐集、處理或利用個人資料作為統計或學術研究之用。

個資法實施之後的衝擊

對公務機關而言，在新版個資法實施之後，有許多和過去不同的要求，包括必須要將個人資料保有的依據和特定目的、檔案名稱和類別、機關名稱和聯絡方式公布在網站上(第17條)，換句話說，相關單位如何進行個資的清查和制訂公布的程序，就顯得十分重要。

另外，保有個人資料檔案的公務機關，必須要指定專人來負責個資安全維護事項，以防止個資受到竊取、竄改、毀損或洩漏(第18條)，也就是說，這位專人勢必要對資安防護具有相當的專業知識，才足以擔負起個資維護的重責大任，這對於某些資安專才不足的單位，恐怕也需要一番的規劃與考量，才可推派出適當人選。

對於非公務機關來說，尤其是不屬於舊法適用的企業，由於以往從未受到要求，恐怕在個資相關的作業流程和維護方式，往往是聊備一格的，所以特別需要熟悉新法中的種種要求。例如新法中提到，非公務機關利用個資進行首次行銷時，應提供當事人表示拒絕接受行銷之方式，若當事人表示拒絕接受行銷時，就要停止利用其個人資料來進行行銷活動(第20條)。

新法第27條則要求，「非公務機關保有個人資料檔案者，應採行適當之安全措施，防止個人資料被竊取、竄改、毀損、滅失或洩漏。」也就是說企業必須要制訂「個資安全維護計畫」，並且說明業務終止後個人資料的處理方法。未來若是其事業所屬的主管機關或縣市政府，接受檢舉或認為該企業有違反個資法之虞時，可以依照法定程序派員進行檢查，要求相關人員進行必要的說明配合，並提出已盡到個資保護的相關佐證資料(第22條)。若是有違反個資法行為而遭糾舉且屆期未改正者，將會按次處以2萬元以上，20萬元以下的罰鍰(第48條)。

此外，如果發現企業有違法的情形，將會公布違反人員之姓名和負責人(第25條)，若是導致個人資料遭到不法蒐集、處理、利用或其他侵害當事人權利者，還要負起損害賠償責任(第29條)。當然，如果企業能夠自行舉證並證明無故意或過失的責任，則不在此限，但這也就表示，企業若缺少適當的管理制度和表單記錄，要舉證恐怕不是一件容易的事。

請提早因應並做好準備

雖然，目前新版個資法的施行細則尚未完成，還須等待法務部參考多方意見來制訂並進行審查，預估最快也要到明年才會公布實施，因此對於公務機關和一般企業組織，還有一些因應的準備時間，但在此還是要提醒眾多單位主管及企業負責人，個資保護已有如箭在弦上，不得不發，所以提早因應做好準備，才是最佳的應對之道。

如果還不清楚該從何著手，建議先將法條內容瀏覽一遍，明瞭所處單位所受的規範要求，這是初步且必要的工作，然後去清查目前所保有的個資內容與評估其可能的安全風險，接著還需要針對個資蒐集、處理、利用的各個階段，將相關人員應扮演的角色責任明訂清楚，日後一旦施行細則公布之後，就可以參照必要的規範來運作，相信就能大幅降低觸犯法規的風險。(本文刊載於2010年6月號網管人雜誌)

[觀點] 小心殭屍網路對企業造成的衝擊

Tue, 29 Jun 2010 09:46:00 +0000

殭屍網路(Botnet)在資安業界，已經是受到關注與研究的議題之一，對於網路服務業者來說，更是避之唯恐不及的對象，但對於一般企業而言，或許它對自己的危害並沒有十分明顯，也就使得管理人員容易忽略這個可大可小的資安威脅。

過去曾經遇見一位朋友，自認為在他的產業裡，公司只是個毫不起眼的中小企業，並沒有太多商業機密或有價值的資訊值得惡意人士來入侵，因此對於媒體不斷披露的資安事件，往往認為是過於誇大而一笑置之，更不願意花一些時間來檢視組織是否存有資安的問題。

其實以往我也同意，如果組織內並沒有太多具有價值的資訊，的確很少有機會去引來惡意人士的覬覦，因此也會建議中小企業，在做風險評估與風險處理時，不需要花五塊錢去保護只有二塊錢價值的東西。但是，價值這件事其實是很難在當下就立刻判定的，尤其是對於資訊資產，並不能用傳統資產的概念來予以估價，而是必須更深遠地去思考在資安事件的背後，可能對企業造成的衝擊，以及有形與無形的損失。

看出攻擊背後的意義

有一個觀念我們需要轉變，那就是今日許多的資安攻擊事件，主要目的已不單單只是想要取得組織內部的資訊，而是還要將組織當作是一個跳板，作為入侵他人的管道，或是當作散布惡意訊息和發動攻擊的替身。

所謂「道高一尺、魔高一丈」，全球各地的執法機關會利用資訊科技來預防和阻止犯罪，惡意人士也會費盡心思來運用資訊技術，以便隱藏自己的犯罪軌跡，所以現在許多的攻擊行為都是採取分散式，並且採取不易被發覺且成功機會較高的手法來避免遭到追查，這也是今日殭屍網路會受到惡意人士青睞的原因。

殭屍網路的運作機制並不複雜，惡意人士(botherder)可透過木馬程式(bot)來操控組織受感染的殭屍電腦(bot client)，這些電腦在平時可能不會有任何攻擊行為，而且透過變形和自我隱藏，也不太會被防毒軟體偵測到。一旦惡意人士想要發動攻擊時，只要下達一個指令給中繼站(command & control server)，再透過中繼站來呼叫殭屍電腦，就可組成為數眾多的殭屍網路，針對特定目標發動攻擊。

殭屍網路的攻擊方式，除了最常見的阻斷服務(DoS)之外，也可以利用它們來散布垃圾訊息與郵件(spam)，所以今日的企業組織，除了要擔心自己會成為被攻擊的對象之外，更要思考自己是否會成為攻擊別人的犯罪工具與代罪羔羊。

殭屍網路的發展現況

根據CSI電腦安全協會2009年電腦犯罪與安全調查報告顯示，在443位來自美國政府機關、金融、學術、企業、醫療等組織的安全專家，在過去一年所處理的資安事件中，近六成是和惡意程式有關，也有二成是直接和殭屍電腦有關的資安事件，他們預期在2010年的情況將會更加嚴重。至於賽門鐵克的網路安全威脅報告則指出，亞太地區擁有最多殭屍電腦的城市就是台北，數量約有18萬7千台。

其實bot並非天生就是壞人，運用bot概念來進行網路資料的蒐集與搜尋，已是目前相當成熟的應用，只是到了後來，慢慢有人往偏的方向走，像是透過它來進行網路訂票，搶購熱門的運動賽事或演唱會門票，之前再轉手售出來賺取價差，或是利用它來廣泛寄送行銷資訊，形成大量的垃圾郵件而造成資源浪費，則是比較不可取的作法之一。

尤其是垃圾郵件的寄送，目前已經形成了龐大的地下商機，具估計世界上有8成左右的垃圾郵件，都是藉由殭屍網路來發送，雖然各家資安廠商開發出各種不同的郵件過濾機制，主動封鎖主要的垃圾郵件發送網址名稱，但仍無法很有效地減少垃圾郵件的侵襲。

目前殭屍網路已發展出一項更新的技術，稱之為fast-flux，簡單的說，這項技術可以讓殭屍網路的操控者，持續不斷地去註冊和取消節點的網域名稱，使得透過IP網址來封鎖及識別垃圾郵件的方法，已經不再那麼地有效。

fast-flux從2006年出現至今，已成為網址名稱管理單位一個頭痛的問題，除了會影響網址名稱解析服務的運作之外，更讓殭屍網路變得難以偵測，惡意人士甚至把殭屍網路變成一種出租服務，只要願意付出一些費用，就可以利用它來達到非法目的，更讓整個犯罪行為就像船過水無痕一樣難以追查。

認識知名的殭屍家族

談到殭屍網路，許多人以為它只是單一的威脅，事實上殭屍網路是由許多不同功能的惡意程式所組成，其攻擊手法也有一些不同的差異存在，以下為幾個重大且常見的殭屍網路說明：

PushDo

PushDo是全球第二大的垃圾訊息殭屍網路，出現於2007年1月，許多人對它感到陌生的原因是，它善於利用不同的技術來隱藏自己，除了能在世界各地持續不斷地發送垃圾訊息之外，也能利用相同管理來散布惡意程式。當然，阻斷服務攻擊也是它的工作之一，最近的行為特徵則是針對網站發出SSL要求，然後不予以回應，使得原本使用率不高的網站突然流量暴增，進而造成網站無法提供正常的瀏覽服務。

ZeuS(Knebar)

ZeuS是一個老牌的駭客工具包，包括了像是木馬、通訊埠掃瞄等工具，透過不同攻擊工具的運用，讓它不容易被一網打盡而得以存活。目前由ZeuS所組合而成的Knebar殭屍網路，特色是能夠運用多重的中繼站，一旦某個中繼站被封鎖，可以快速地切換到另一個來重新啟動，惡意程式本身也能不斷變種，換句話說，這是一個具有備援機制的殭屍網路，是相當難纏的對手。

Mariposa

Mariposa是西班牙語「蝴蝶」的意思，背後控制它的犯罪集團，曾經讓世界190個國家，超過1300萬台電腦染上惡意程式，透過木馬來竊取包括使用者帳號密碼、信用卡號等有價值的資訊。另外，它也能利用IE瀏覽器的漏洞和USB隨身碟來散布，側錄使用者的登入資訊，再偷偷回傳給中繼站，最後回到犯罪集團的手中。

Waledac

Waledac的專長是發送垃圾郵件，也就是一個典型的spambot，它是由全球數十萬台已被感染的電腦，所串聯起來的殭屍網路，每天可發出高達15億封的郵件。根據微軟hotmail的統計，在短短不到二十天的時間，它就針對hotmail的使用者，發送了大約6.5億封的垃圾郵件，除了浪費使用者的時間之外，許多垃圾郵件也會趁機夾帶惡意程式，伺機進駐到企業內部之中。

Torpig

它最擅長的是收集個人資訊，曾經創下在十天內感染了18萬台電腦，獲取高達70G的使用者資訊，其中包括不同金融機構的帳號、使用者身分資料、信用卡號碼、電子郵件帳號等。Torpig運用了fast-flux技術，使得它的傳播途徑難以完全封鎖，反向追蹤也變得十分困難。

Koobface

Koobface是個不斷進化的殭屍網路，一開始是利用散布惡意聯結，來誘騙使用者下載假的YouTube影片解碼器，藉此來感染使用者的電腦。如今則是搭上facebook的熱潮，它有能力去假造一個facebook使用者帳號，並且通過Gmail的帳號認證，然後建立起個人的檔案頁面，同時加入一些個人檔案和照片，目的是偽裝成一個正常的使用者，再大量去送出交友要求，並在塗鴉牆上張貼惡意的訊息。

如何因應殭屍網路威脅

對於企業來說，要防範殭屍網路的威脅可以從二個層面來看，首先是思考如何避免被害(避免遭到阻斷服務攻擊)，其次則是如何避免去危害他人(被感染成為殭屍電腦)。

關於第一個層面，有些廠商會建議添購專門阻擋殭屍網路的高效能網路設備，但是若遇到大量來自世界各地的分散式阻斷攻擊，這時候就需要ISP業者的支援聯防，所以在事前我們應該要做的，就是去了解ISP業者能提供的協助有哪些，包括緊急聯絡方式、處理流程、所需處理時間等，建議在服務合約中就明訂清楚，這對於企業將會是個保障。

至於要如何避免成為殭屍網路的幫手，由於目前殭屍網路惡意程式通常來自於網路下載和電子郵件，所以教育訓練會是一個好的開始，管理人員需要制訂清楚的網路使用政策，並且讓員工明瞭後果的嚴重性，以避免誤入社交工程的陷阱。

當然，光是教育訓練是不夠的，找到對的技術也很重要，建議管理者可評估適合的閘道端網路內容過濾方案，藉由掃瞄網頁內容和郵件附件，在惡意程式還沒有抵達內部之前就加以阻擋，同時也可阻止殭屍網路和中繼站連絡的phone home行為。

最後在管理方面，成立一個資安事件應變小組是有必要的，唯有透過專責人員對於資安問題有更深一層的了解，預先擬定適當的應變措施，才可避免在事件發生時手忙腳亂，導致錯過了最佳的處理時間，進而造成企業更多的損失。(本文刊載於2010年5月號網管人雜誌)

[觀點] BS 10012 個人資訊管理標準簡介

Sun, 06 Jun 2010 14:39:00 +0000

隨著新修訂個人資料保護法已經三讀通過，未來無論是政府機構或是民間企業，只要處理和個人資料有關的業務，勢必就要建立一套有效運作的個人資訊保護制度(PIMS)，而標準將會是最佳的參考指引。

還記得2008年8月，刑事警察局破獲了兩岸駭客和詐騙集團共同聯手，入侵了中華郵政網路銀行，將數十名客戶的存款盜轉走數百萬元，同時也入侵了健保局、教育部和多家電信業者的資料庫，將所得的個人資訊與購物台刷卡資料，共同整合成一個可供搜尋近五千萬筆個人資料庫的事件，讓人害怕的是幾乎從上到下，由政府官員到一般民眾等皆無一倖免。

每天，我們的資料都在政府或民間企業，像是政府各級單位、水力電力公司、戶役政稅務機關、醫院、學校、警察機關、銀行、保險公司、一般企業、零售業、超市、航空公司、旅行社等之中被蒐集、儲存、傳遞和使用，如果你的個人資訊被不安全地處理而遭到惡意人士的盜用，對個人而言，輕則財物受損，重則造成法律糾紛，個人名譽也將受到不必要的侵害，若洩露個資的單位查證屬實，一旦新修正的個人資料保護法三讀通過，也將面臨鉅額的懲罰性賠償。

個資有價，切莫輕忽

從資訊的生命週期來看，個人資訊的產生、處理、傳遞、儲存、復原、銷毀等過程，都需要有適當的安全管控措施，這部份可以透過管理制度的規範，或是技術性的保護，來防止不當處理個資事件的發生。

因此，組織必須要將個人資訊視為有價值的資產，無論其呈現的形式是什麼（例如紙本、聲音、影像、電子檔案等），都必須評估其可能存在的安全弱點，以及可能面臨的威脅，並且透過風險評鑑的過程，來找出其風險的高低，然後針對無法接受的風險，進行風險處理和後續改善行動。

隨著個資外洩事件不斷發生，目前已有許多政府單位與企業，對於個人資訊保護的問題日漸重視，但是卻往往不知該如何著手，找不到一套可以依循的規範與標準。如今，BS 10012的標準內容，正好可做為組織在建立個人資訊保護機制時的最佳參考，藉由標準所提供的基礎架構（Framework），配合PDCA的管理運作方法，能夠透過建立系統化的個人資訊管理制度，來達到保護個資的目的，更可進一步符合個資法規的要求。

重要的資料保護原則

談到資料保護，英國在1998年即制訂了資料保護法案（Data Protection Act 1998），並且在2000年3月公布實施，要求資料控管者（data controller）對於個人資料的取得、使用、儲存、揭露等，必須遵守法律的規範與要求。

其中，資料保護法案所要求應遵守的8項資料保護原則，非常適合各組織作為制定個人資料保護的參考，內容說明如下：

個人資料不可以非法或不公正方式蒐集、處理。
個人資料應限於以特定目的之方式蒐集、處理。
個人資料應以充分、相關，而非逾越其原本之目的處理。
個人資料應求準確，並在必要時及時更新。
個人資料之保存，不得超過其原定目的之保存期限。
個人資料之處理，應依照當事人之權限及法令規範。
組織應採取適當的資料保護技術和措施，防止個人資料遺失或毀壞。
個人資料不得轉移到歐洲經濟區以外的國家或地區。

綜合以上原則所述，組織在蒐集、處理、使用、儲存個人資料時，必須合乎公平正義原則，並依照當初的目的，採取適當的安全保護措施，以確保個人資料的正確與完整。為了使企業能有效保護個人資料，同時符合法規的要求，BSI英國標準協會在2009年5月31日公布了個人資訊管理系統（personal information management system；PIMS）標準，提供個人資訊管理的基礎架構，以作為組織在落實個人資訊保護時的參考。

BS 10012的基礎架構

BS 10012的全名為「資料保護─個人資訊管理系統之要求（Data protection–Specification for a personal information management system）」，其中BS指的是英國標準，後面則為標準編號，至於系統指的是文件化的管理制度，它是由工業、政府、學術、教育、消費者等各界專家代表所共同發展，因此適用於任何組織和公私領域，讓組織的管理階層可以依循參考，亦能作為有效的個資法規內外部的評鑑標準。

BS 10012內容共有7章，第0~2章為標準介紹、適用範圍與名詞定義之說明，第3~6章則為個人資訊管理制度的架構要求，其主要目標說明如下。

計畫與建立PIMS
本章的目標是要規劃建立個人資訊管理制度，以提供符合資料保護法規要求的方向和實務上的良好做法。因此在一開始，組織必須定義個人資訊管理的範圍和目標，並判斷內部有哪些資料屬於個人資訊，以便制訂適合組織運作的個人資訊管理政策。

此一政策必須由資深管理小組（可能包括董事會成員、執行長、資深工作者和組織合作夥伴）來發布，並負起維護和更新之責，在政策中要清楚地讓組織成員了解個資保護的重要性，以及個資處理的原則，要求必須共同遵守，並且融入組織的文化之中，以達成個資保護的目標。

實施與運作PIMS
本章內容是實施與運作個人資訊管理制度的要求，也是標準中內容最多的一章，其目標包括要確保組織已指派適當的負責人選，以便推動並執行個人資訊管理制度，因此需要明確說明資深管理小組成員的工作角色與職責，並且清楚定義其每天的工作任務。

另外，凡是組織內和個人資訊處理有關的單位或部門，也必須推派適當的代表，因為只有實際處理個資的同仁，才明白個資中的機密性與敏感性，透過各個單位負責代表的協助，才可實際進行個人資訊的風險評鑑，以評估目前組織所擁有及處理個人資訊的風險等級。

本章的重點還包括要求組織應對員工實施教育訓練，並確保個人資訊被公平且合法的處理使用，也就是要求從個人資訊生命週期的一開始到最終的銷毀階段，整個過程中是否遵守適當的處理作業流程，是否尊重個人資料所有人的權力，以及採取適當的資訊安全控制措施。

監督與審查PIMS
本章的內容是要求個人資訊管理制度應實施適當的監控與審查，因此組織必須制定稽核計畫，選擇合適的稽核人員依照政策與管理要求，定期地實施內部稽核，以確認管理制度能夠有效地運作。

除了內部稽核之外，組織還必須定期實施管理階層的審查會議，了解個資處理的過程是否有任何的變動，同時也要審查稽核之後的結果，以及是否曾經發生和個資有關的資安事件，以掌握組織個資處理的現況，並適當修訂現行的個人資訊管理政策內容。

維持與改善PIMS
本章的內容是維持與改進個人資訊管理制度，目標是改進整個制度實施的效率及有效性，因此要求從兩個方向來改善。首先是組織應針對可能違反法規的事件，在事先實施預防的行動，並評估可能造成的問題來決定與實施必要的預防措施；其次則是針對管理階層審查的結果，針對不符合政策與標準要求的事項，進行矯正的行動，以求將個資受到不當處理的風險降至最低。

保護個資，刻不容緩

未來隨著新版個人資料保護法頒布實施之後，對於擁有和處理個人資訊的各行各業來說，最大的改變會是什麼？個人認為是組織必須建立一個新觀念，那就是「個人資料是有價的」，再也不能像過去一樣被任意的處理和交換，無論是蒐集、處理、利用都必須要合乎法律規定，如果組織沒有建立有效的個人資訊管理制度，那麼很可能就會不小心觸法而蒙受不必要的損失。

因此，萬一組織仍舊忽視個人資訊的保護，而無法安全妥善地進行處理，根據目前正在修訂中的個資法草案，未來若發生個資外洩事件，當民眾進行受害索賠之時，並不需要負舉證之責。也就是說，洩露個資的單位，必須證明自己無故意或過失責任，才能免於賠償，所以如果沒有文件化的作業流程與記錄，要提出舉證恐怕相當困難，對此管理者請務必要三思才行。(本文刊載於2010年4月號網管人雜誌)

[觀點] 談醫療資訊的安全防護

Thu, 27 May 2010 07:52:00 +0000

對於現今的醫療業者而言，資訊系統的應用已扮演了非常重要的角色，除了能提供有效率與高品質的醫療服務之外，也提供了更多生命安全的保障，因此，如何確保醫療資訊的安全，已成為醫療業者無法忽視的重要課題。

在2009年3月，香港聯合醫院一位醫師，遺失了存有47名病患個人資料的隨身碟，引起了相關單位的重視；2009年5月，美國加洲柏克萊醫療中心的資料庫，遭到駭客入侵，竊取了相當於身分證字號的社會安全卡號和健保資訊，估計有近16萬人受到影響；2009年11月，台大醫院發生了近年來第2次的電腦當機事件，造成掛號、病歷查詢和領藥系統的失效，影響上千名病患的就醫權益，幸好未造成延誤就醫而影響生命安全的事件發生。

今日醫療業者所面臨的挑戰，包括了就醫品質、病患照護、病患安全及法規要求等各個層面，而透過了醫療資訊科技的運用，可有效協助業者因應各項問題，像是就醫資訊提供、網路掛號、遠端醫療、電子病歷等，除了可以降低醫療疏失的發生機率，也能同時降低營運的成本，並提升民眾就醫時的滿意度。

近年來，隨著醫療資訊安全和個人隱私的保障要求，行政院衛生署在2003年6月啟用了醫事憑證IC卡，藉由其提供的資料加密和簽章機制，可確保醫療資訊的機密性、完整性和不可否認性，避免醫療資訊遭受不當的竄改和偽冒。

另外，在政府對於電子病歷的強力推動之下，在已制定的「醫療機構電子病歷製作及管理辦法」中，亦明定電子病歷僅能開放給經過認證與授權的人員使用，對於資料的內容只能以附加方式處理，而不得任意直接修改或刪除已確認之病歷資料，同時也必須結合電子簽章之技術，以達到可確認原製作之醫療單位與醫事人員的身分，供後續的追蹤查核之用。

醫療資訊安全的目標

資訊科技的應用如同水能載舟、亦能覆舟一般，如果資訊的傳遞未受到良好的防護，或是忽略了處理資訊等相關系統的可用性，就可能導致一連串的問題發生，其中，尤以醫療資訊的外洩影響層面最廣，目前，一般民眾的醫療資訊內容包括：

基本資料 - 包括姓名、性別、出生日期、身分證字號、通訊地址、電話、病歷號碼等。
就醫記錄 - 看診科別、掛號日期、診治醫生等。
醫囑事項 - 診斷記錄、用藥明細、病況摘要、治療方式等。
檢驗報告 - 檢查項目與報告、病理檢驗報告等。
護理記錄 - 住院記錄、給藥過程記錄等。

目前，大多數的醫療院所仍以紙本方式保存醫療資訊居多，而未來隨著電子病歷的推動，一旦資訊轉變成為電子化的狀態，就會具備更容易傳遞、複製、修改等電子化資料的特性，所以如何去確保資訊的安全就顯得更加重要，相信沒有一個人會願意自己的醫療資訊被任意查閱且曝光。

因此，對於醫療業者而言，保護醫療資訊安全的主要目標就是為了：

保護病患醫療資訊 - 醫療資訊為重要的個人隱私，如果遭到不當洩漏，除了會影響病患的身心、名譽和權益之外，更有可能為其家屬造成傷害，因此必須加以妥善的保護。
減少醫療過程疏失 - 醫療資訊的正確與完整性，涉及病患的生命安全，如果醫療資訊受到不當竄改，或是因人為疏失造成資訊錯誤，將會導致像是用藥失誤、診斷錯誤等重大醫療事件發生，所以唯有確保醫療資訊的安全，才能適供適當且正確的醫療服務。
確保醫療服務持續提供 - 持續為民眾提供適當的醫療服務，是穩定國家與社會發展的重要力量，如果醫療服務因為資訊系統受到資安事件的影響而停擺，可能會引發社會大眾的恐慌，進而引發更多的社會問題，因此應由政府予以監督及協助。

醫療資訊的安全原則

就個人的觀察，針對醫療業的資安威脅來源，和多數的組織並無太多的差異，主要仍是來自於天災、人為與技術失效的事故。在天災方面，由於醫療院所負有眾多生命的安全保證，因此在火災、風災、地震方面多半已有良好的應對措施，需要加強的是人員的訓練與定期的災難演練。

至於人為事故方面，因為醫療業需要保護的資訊本身，比一般企業的資訊來得敏感，因此需要所有醫護人員都具備基本的資安意識，以保障病患的醫療隱私，所以在作業程序上，可依照衛生署「醫療資訊安全與隱私保護指導綱領草案」中的指導原則來進行，簡要說明如下：

最小需求與合理範圍之最大安全原則 – 若醫療機構或醫事人員需要蒐集、使用或揭露病患的醫療資訊時，醫事人員必須盡可能地降低其範圍，也就是說，只收集必要且合理的資訊即可，並且必須盡最大努力去保護醫療資訊的安全。
直接取得和不可揭露原則 – 醫療機構或醫事人員需要蒐集醫療資訊時，必須直接向病患或法定代理人詢問，避免由他人轉述病患的隱私。若未經病患的同意，也不得洩露和個人有關的醫療資訊。
尊重及告知原則 – 醫療機構或醫事人員必須獲得病人或其法定代理人的同意，在自願的情形下才可蒐集、使用或揭露其醫療資訊。
公平正義原則 – 病患的醫療資訊不可透過非法或不公正的方式蒐集、使用或揭露。
符合法令法規原則 – 醫療機構或醫事人員對於醫療資訊的使用，必須要符合現行法令的要求，以避免觸犯法規。
病患權利和公共利益保障原則 – 病患對於存放在醫療機構的個人醫療資訊享有一定之權利，醫療機構或醫事人員使用醫療資訊時，應以保障生命權和公共利益為原則。

醫療業的資安防護策略

根據過往的經驗，醫療資訊可能面臨的資安威脅，主要包括了未經授權的非法存取、網路連線中斷、系統當機、惡意程式感染等，因此在基礎的防護作法方面，建議採取以下的控制措施：

建置安全的網路 - 部署防火牆和入侵偵測系統，內部進行網段區隔等。
保護醫療資訊傳輸 – 遠端醫療資訊的傳送，應透過VPN加密方式進行，若提供醫事人員無線網路的使用，也應啟動WPA加密機制等。
弱點管理機制 – 針對醫事人員使用之個人電腦，應透過中央控管之防毒系統，統一派送更新病毒碼，針對作業系統所發布的弱點，也應及時或定期更新，以避免讓惡意人士有入侵的可趁之機。
身分認證機制 – 可利用醫事人員憑證或自行建置之身分認證系統，進行醫療資訊的存取控制。
監督審查與事件管理 – 進行日誌(Log)集中保存，並且檢視追蹤可疑的事件。

至於整體的資安防護策略，目前已有醫療院所導入ISO 27001資訊安全管理系統，這是相當值得鼓勵的地方，顯示醫療院所的管理階層，已經體認到資訊安全對於營運的重要性。因此在管理方面，除了可藉重ISO 27001的控制要求，最重要的是醫療業者需要自行評估目前所面臨的風險為何，必須要將重點放在保護每天產生與傳遞的醫療資訊上。舉例來說，如果醫療院所還是以傳統的紙本病歷居多，那麼在病歷室的門禁管理、病歷查詢的權限控管、病歷資料的傳遞儲存與銷毀等方面，就會是資安管理的重點。

其次，則是思考如何避免因為資訊系統的故障等資安事件的發生，所導致的醫療服務與營運中斷，換句話說，對於資安事件的應變與危機處理，如果能夠及早準備並定期進行演練，將可大幅減少醫療服務中斷對於民眾和醫療院所的衝擊，對管理階層來說，其效益除了能降低營運損失，更可維護醫院聲譽。

最後，雖然國內仍缺少如美國保障醫療隱私的HIPAA(Health Insurance Portability and Accountability Act)法案，但未來必須符合資訊相關法令法規的要求(例如個人資料保護法)，將會是醫療業者應盡的責任。如果能夠及早從管理制度開始著手，透過醫療資訊標準作業流程的建立，讓醫事人員皆能體認保護醫療資訊安全的重要，相信就能為民眾帶來更完善的醫療品質，以及更讓人安心的就醫服務，也不愧對濟世救人的天職。(本文刊載於2010年3月號網管人雜誌)

[觀點] 網路購物業的資安防護策略

Fri, 14 May 2010 11:40:00 +0000

隨著各種網路購物的詐騙與惡意攻擊行為仍層出不窮，網路購物業者如果缺少適當的防護對策，本文可作為管理人員與資訊人員的參考。

根據資策會產業情報研究所(MIC)的調查顯示，由於2009年發生多起的網路購物資安事件，如何去確保交易資料的安全性，已成為台灣網友認為網路購物需要改進的前三大項目之一。目前，已有83%的業者提供了簡易的線上交易付款機制，也有將近九成的業者認同保護網路購物交易安全是吸引消費者的重要判斷依據，並且將有助於銷售業績的提升。

不過，截至目前為止，由網路購物所引發的資安事件依舊層出不窮，例如2009年年底有消費者在購物網站消費之後，隨即接到詐騙集團的電話，因此懷疑業者將消費購物時所填的個人資料外洩。而某網路書店業者，繼前年發生六千多筆的會員資料外洩之後，也再次發生消費者在購書之後兩週內，接到詐騙集團電話要求至ATM取消分期手續，因此而損失三萬元存款的事件，讓人質疑業者內部的資料控管仍存有很大的漏洞。

針對網路購物的安全，MIC更進一步指出，網路購物業者必須將「交易安全」視為重要的營運議題，因為日後在消費者期待交易安全將有所改善的情況之下，網路購物的交易安全也將愈來愈受到重視。

網路購物面臨的資安威脅

記得從2007年開始，在全球各地都發生了網站資料外洩事件，其中以網路購物業的災情最為嚴重，以當時台灣的前十大網路購物業者來說，有一半都傳出因為消費者的個人資料外洩，而導致一連串的網路詐騙行為發生。根據刑事警察局的統計，光是2007年1~8月所累計的詐騙金額，就超過了三億一千萬，受騙的人數也將近一萬人，其中大多數都是因為網路購物的個人帳號與交易資料外洩所引起。

目前，網路購物業者所面臨的資安威脅，最常見的有下列幾項：

阻斷服務攻擊 – 惡意人士透過已受到木馬程式控制的電腦所形成的殭屍網路(BotNet)，在很短的時間內針對購物網站發送大量連線封包，使得網站伺服器無法處理同時湧入的連線要求，造成交易服務的中斷，消費者無法連上網站進行購物。
惡意程式攻擊 – 如果網站業者缺乏資訊安全防護機制，很容易就會被惡意入士在網頁中植入惡意連結，使得瀏覽網站的消費者會自動下載執行病毒和木馬等惡意程式，造成個人隱私資訊包括登入帳號、密碼、信用卡號等被竊取外洩。
偽冒攻擊 – 惡意人士以網路釣魚的手法，假冒網路購物業者對其會員發送偽造的郵件，藉此騙取會員的帳號資料以行詐騙。另外，惡意人士也會利用竊取的信用卡資料進行購物消費，使業者無法收取款項而蒙受損失。
連線竊聽 – 如果購物網站業者未使用像是SSL的安全機制網路連線，當消費者在不安全的網路環境中進行購物，惡意人士可伺機竊聽網路交易的封包，進而獲得雙方交易的資訊。
人員破壞 – 若業者內部員工未經適當的篩選與管理，並且缺少適當的資訊存取控制措施，惡意員工可能會盜賣客戶資料，或是針對系統進行破壞，進而影響網站所提供的購物服務。
系統入侵 – 惡意人士可能利用網路或主機系統的安全漏洞，透過駭客手法入侵系統，藉由提高其帳號權限，可進一步取得敏感的資訊，或是針對系統埋藏後門，以便進行更多的破壞。

針對購物流程加強防護

對業者而言，如果發生了資安事件，單一的交易損失或許不大，但是當事件經由媒體的報導之後，若讓消費者產生了疑慮，勢必對業者的商譽造成更大的衝擊，可能更讓許多人因此而不願意在該網站上購物，後續的損失可說是難以估計。

針對網路購物的安全，國際信用卡發卡組織VISA的調查指出，有六成的消費者是透過網站是否有良好的安全系統、業者是否願意免費退貨、是否提供消費者信用卡不被盜刷的保障，作為判斷網路購物是否安全的依據。而消費者進行網路購物時最怕碰到的三件事，首先是業者不當使用消費者的個人資料，其次是將消費者的個人資料和信用卡號外洩，最後則是業者受到未經授權的駭客入侵。所以，為了確保營運與獲利，業者應重視網路購物的安全，以保障消費者的權益與信心。

那麼，業者到底該如何保護網路購物的安全呢？最簡單的方式是，我們可以從網路購物的流程，來一一探討並預防可能會發生的資安問題。現今一般的網路購物流程為，消費者在瀏覽器上輸入網址或點選連結之後進入購物網站，然後選擇想要購買的物品，接著需填寫個人資料並進行付款，若是以信用卡進行線上交易，則由業者的系統連結銀行線上交易系統完成付款，最後業者再依照購物明細寄送商品給消費者，讓購物得以順利完成。

從以上的購物過程中，我們就可以從幾個方向來著手，首先，為了確保消費者連線至網站的過程中，資料不會遭到竊聽，因此業者應採用128位元以上的SSL連線加密機制，以確保資料傳送的安全。接著，消費者在網站上所填寫的資料，除了必要的會員資訊之外，業者不應保留消費者的信用卡號等資料，若是有特殊狀況需要保留者，則應事先對消費者說明，並且將敏感資料進行加密，同時進行資料存取的權限管控。

此外，如果購物網站提供了線上刷卡機制，建議應進一步和信用卡公司合作，啟用個人密碼驗證服務，讓使用者在購物時，除了填寫信用卡號之外，還需要輸入個人密碼，以確認的確是由持卡人進行消費，或是也可以利用手機簡訊發送一次性密碼至持卡人手機，要求持卡人輸入簡訊中之密碼，以確認為本人進行消費。

在消費者完成信用卡付款之後，業者就會進入貨品遞送的服務流程，若是外包給第三方的物流業者協助進行，那麼在購物資料的保護上面就要注意，基本上，應該讓物流業者只能獲得購物者的姓名、地址、連絡電話，其他包括購買物品名稱、價格、購買日期、總金額等資料皆應保密，因為這些資料並不會影響貨品的遞送，也就不需要交給物流公司，否則反而會增加個人資料外洩，受到詐騙集團利用的風險。

定期檢視並改善安全措施

關於網路購物的資訊安全，站在業者的角度來看，個人認為主要有三大影響要素，分別是「人員」、「資訊」和「技術」。人員面是指內部人員的作業疏失或擅自揭露客戶資料；資訊面則包括網站未使用加密機制、網頁內容受到惡意竄改；技術面則為網路遭受阻斷服務攻擊、網站應用程式有安全漏洞、網站伺服器缺少安全防護等。只要其中有任何一項因素沒有加以注意，那麼業者很容易就會發生資安事件而登上媒體版面。

因此，建議業者利用以上提到的安全檢視方法，先從作業流程來著手，找出可能的安全問題，以及是否存在安全漏洞。當然，各家業者的作業方式都不會相同，也就需要由業者本身針對既定的作業流程中，可能會觸及到敏感資訊的人事物，一一地作安全的清查與確認。如果流程方面沒問題了，再針對人員的訓練、資訊的保護、技術的加強，來進一步提升資安的防護。

所以，網路購物業者的資安防護策略到底是什麼？簡單的說，就是要找出網路購物流程中，可能存在的安全弱點，以及會利用弱點而造成傷害的威脅，然後實施對應的控制方法來減少弱點並降低威脅，將資安風險降到可接受的程度。最後還要注意在這個過程之中，千萬不要忽略了內部人員的安全訓練，資料的傳遞保護，以及資安技術的防護，如果能夠確實控管資安風險的話，相信對於網路購物業者，將會創造更多商機，同時建立起消費者的信心與口碑。(本文刊載於2010年2月號網管人雜誌)

[觀點] 勇敢迎接2010資安新挑戰

Fri, 07 May 2010 09:32:00 +0000

2010年已過了一半，對於資安工作而言，計劃、執行、檢核、改善是一個循環的管理過程，在這個過程之中，企業必須先有穩健的基礎，才能因應處理不斷產生的新挑戰。

回顧2009年，世界各地和資訊安全有關的事件，在媒體上的報導是從未間斷過，無論是個人資料外洩、殭屍網路(Botnet)、垃圾郵件、惡意網站、網路釣魚、拍賣詐騙等，受害者不計其數，對於國家和社會都有著一定程度的影響。

根據各家資安業者的預測，在2010年主要的資安威脅，大致有以下幾種：

殭屍網路持續肆虐：Botnet木馬程式在網路上不斷散布，難以根治並且潛伏在使用者的電腦之中，待有心人士一聲令下，即可發動大規模的網路阻斷服務攻擊。
雲端運算的風險增加：雲端運算需要依靠網路連線來進行，隨著各種雲端應用服務的增加，惡意攻擊者可能會入侵操控雲端連線，或是破壞雲端資料儲存中心，造成雲端應用服務的中斷。
社交網路成為資料盜竊工具：隨著Facebook等社交網站的盛行，使用者在社交網路中所揭露的資料，很可能被收集起來另做他用，惡意人士可藉此來冒用身分，和同一社交圈的人士溝通交流，以騙取更多有用的資訊。
區域性與特定目標攻擊升溫：全球性的病毒感染機會將降低，但隨之而來的卻是區域性的攻擊增加，惡意人士將鎖定特定企業或對象，以目標式的攻擊來獲取其不當利益。
惡意程式的變形攻擊：惡意程式的變化速度加快，只需幾小時就可衍生出其他的變種，這也代表傳統防毒程式依賴更新病毒碼的防護能力將大幅降低，若是使用者在網路上瀏覽已遭植入惡意連結的網站，很容易就會自動下載並感染到惡意程式。
網路釣魚的機會增加：ICANN網際網路網域名稱與位域管理機構已開放國際網域名稱的註冊，也就是說網域名稱之中可使用非拉丁語系的字元，所以惡意人士可以使用看起來相似或無法分辨的網域名稱來製作陷阱，讓使用者一時無法察覺而受害。

資安沒有魔法，只有基本功

面對不斷變化的資安威脅，身為網路管理者的你，究竟該如何因應呢？在此借用一句企業管理上的名言：「No magic, only basic.」是的，資安工作真的「沒有魔法，只有基本功！」個人相信沒有一個業者敢銷售給你一套資安產品解決方案，然後告訴你從此可高枕無憂，再也不會發生任何資安事件。

所以在新的一年，想要降低企業的資安風險，最好的方式就是回歸基本，確實將基礎的資安工作做好，才能有餘力去應對更新的資安威脅。針對基礎的資安防護工作，以下幾項重點可作為在執行資安工作時的參考。

預防來自內部的人員攻擊

一般而言，小型企業發生內部人員攻擊的比例不高，原因是同事之間彼此都已相當熟悉，所以較少發生有人假冒身份進入工作區域，並趁機竊取敏感資訊的事件。但是對於員工人數與部門數量較多的中大型企業而言，仍要注意防範可能的人員弊端。

建議防治的方式為進行敏感資料的存取控管，依照不同的職務身份賦予適當的權限，避免所有權限都集中在一人之手。另外，也要盡量減少可能受到利用的安全弱點，例如實施網段區隔，讓研發單位和人事單位的網段和一般員工分開，以避免透過網路存取到敏感資訊，以及在機房實施門禁管制等。還有，應教育員工不可分享或洩露個人所使用之密碼，離開座位時將工作文件放置在上鎖之抽屜中，個人電腦要啟動已設定密碼之螢幕保護程式，並且禁止訪客進入工作區域，這些都是基本且必要的防護措施。

減少可能的網路安全弱點

在企業環境中，可能有為數眾多的網路路由器、交換器、防火牆等網路設備，許多設備在出廠時預設會開啟許多功能，甚至強調不需要更動組態即可上線使用，這種方便往往會造成安全上的漏洞。

建議網管人員應在設備上線之前去檢視其組態是否安全，例如預設的管理帳號與密碼是否已更改，未使用的功能模組是否關閉，不需要啟動的連接埠是否關閉等，以確保不會受到惡意人士的利用。在設定管理者密碼時，也要注意密碼的長度與強度，更要避免所有設備皆使用相同的管理密碼，以避免整個防線一次就潰堤。

如果是網路環境相當複雜的企業，建議定期進行網路弱點掃瞄或是滲透測試，以找出可能隱藏的安全漏洞，若網管人員熟悉一些檢測工具像是Nessus或Nmap，可以藉此來產出網路弱點的報告，如果缺少適當的人員可執行，也可以委由外部廠商和顧問，協助執行並提供可行的消除弱點安全建議。

清查行動裝置的安全性

若企業有許多行動工作者，經常需要在外使用筆記型電腦進行作業，在新的一年正好可進行健康檢查，確認作業系統的更新檔是否已安裝、防毒軟體版本是否過舊、病毒碼是否每天進行更新、個人防火牆組態是否正常、是否設定開機密碼、機密檔案是否加密等。

如果行動裝置的數量過多，建議可透過群組原則的設定，強制使用者電腦在登入企業網路時必須更新系統和病毒碼，並且也要讓使用者可任意關閉防毒軟體的功能失效，以避免在外時有意或無意將安全軟體關閉，讓惡意程式有機可趁。

另外，針對行動工作者應定期進行教育訓練，宣導應注意的安全事項，例如使用無線網路時，勿選用來路不明的基地台，最好選用具有加密或認證機制的無線網路服務提供商；若需要傳輸敏感資訊時應使用虛擬私人網路(VPN)；在外使用筆記型電腦和USB隨身碟，應小心防護避免遺失或使用檔案加密機制等，以減少可能的安全風險。

檢測網站應用程式的安全

目前，網站受到入侵並放置惡意程式連結的事件已時有所聞，因此歲末年終針對現有網站進行安全清查是必要的，基本上建議可以從兩方面來著手，首先是網站伺服器本身的強化，確認作業系統已安裝必要的修補檔、伺服器軟體已進行更新、未使用的連接埠及服務皆已關閉等。其次則是針對網站應用程式進行檢測，可利用弱點掃瞄工具或是原始碼檢測來進行，確保針對常見的網站攻擊手法像是SQL Injection等已具有免疫能力。

如果是提供電子商務服務的業者，更要確認連線加密機制與身份認證機制是否完善，以保護線上交易資料的安全，必要的話，則建議安裝網站應用層防火牆，透過更深一層的封包檢測機制，來避免非正常交易的事件發生，更可同時抵禦常見的網路應用層的攻擊。

避免網路惡意程式的入侵

過去這一年，除了許多受到入侵而挾帶惡意程式的政府、教育和企業網站，再加上即時通訊和社交網站的大受歡迎，大幅提高了使用者感染惡意程式像是木馬、病毒、間諜軟體的風險，為了避免員工使用企業網路瀏覽非工作所需的網站，建議採取管理面與技術面雙管其下的作法。

在管理方面，可制訂並頒布網路的使用政策，清楚說明員工應避免的網路使用行為和違反時的處置辦法，先勸導再懲處會是比較容易令人接受的方式。至於技術方面，則是可以採取將不適當的網站加入黑名單來阻擋連線，或是採用網頁內容過濾方案，透過彈性化的設定來因應不同工作者的需求，並且可及時更新網站黑名單以阻擋新的惡意網站。

建立應變機制，有備而無患

許多企業在資安事件發生時，往往會顯得手忙腳亂，以檔案損毀為例，企業或許平常已有資料備份，但是當災難發生時，資料備份放置於何處？哪些資料該優先復原？復原的步驟如何進行？這些問題往往詢問起來，都找不到一個適切且完整的答案，最主要的原因就是企業缺少了災難應變機制，也就是在平時並沒有準備好有效的災難復原或營運持續計畫。

在駭客技術不斷翻新的今天，我們無法預測將會遭受何種攻擊，但是我們知道哪些是企業重要的營運服務和關鍵資料，因此針對重要的營運資訊，無論是存放在資料庫中，還是在老闆的電腦硬碟裡，針對資訊處理的過程和所使用的設備，都應該思考需要預先採取何種防護，如果連這一點思考都沒有的話，你的企業很可能就是下一位資安事件的受害者。(本文刊載於2010年1月號網管人雜誌)

[觀點] 雲端運算安全與風險

Thu, 25 Mar 2010 04:34:00 +0000

談到雲端運算，它究竟是一種「技術」或「概念」，到底是「產品」還是「服務」，在搜尋引擎上只要打入關鍵字，就可以看到許多不同的見解與想法。在此我們僅從資訊安全的角度，來探討雲端運算可能帶來的資安問題或風險，提供給資訊管理人員作為參考。

雲端運算(cloud computing)從2008年開始就是一個熱門的話題，對於雲端運算的應用，無論是應用程式服務、資安服務或資料儲存等，各家都有不同的說法與見解，但從資安的觀點來看，仍有一些地方值得企業審慎注意，以免落入新資訊科技運用的迷思。

首先，讓我們回憶一下，在還沒有所謂的雲端運算之前，企業對於資訊的處理與運作的方式是什麼？一般普遍性的作法是，企業需要自行添購或開發商務運作所需要的軟體和硬體，並且建置專屬的資訊機房和網路環境，然後由內部的資訊人員來執行維運等相關工作。

對大多數的企業而言，隨著營運規模的擴展，為了要增加資訊服務的穩定與效率，在資訊科技的費用支出相對也會節節升高，尤其是面對如今愈來愈複雜的網路環境與技術，再加上好的資訊人才難尋，和營運相關的資訊問題解決能力也需要時間培養，種種問題都讓企業主傷透腦筋，而「雲端運算」的出現，彷彿就像是在烏雲之中露出了一道曙光。

雲端運算的資安服務

究竟什麼是雲端運算，Gartner定義它是一種嶄新且具延展性的運算方法，可以將計算、儲存等資訊科技的運用，透過網路以服務方式提供給外部客戶使用。而維基百科則說，「雲端運算是一種基於網際網路的運算新方式，透過網際網路上的服務為個人和企業使用者提供所需即取的運算。」

目前，雲端運算具備三大運算架構與服務模式，包括了基礎架構即服務（Infrastructure as a Service，IaaS）、平台即服務（Platform as a Service，PaaS）及軟體即服務（Software as a Service，SaaS）等，當然還有人提供許多不同的服務。

各種雲端服務雖然眾說紛紜，但有三樣東西卻是它的必要組成，分別是：網路、運算、服務。換句話說，透過網路連線，由遠端所提供的強大運算和服務，讓企業可藉此改變以往的資訊處理方式，除了可提高作業效率，進而節省成本支出之外，同時更獲得資訊科技的創新應用。

對於資安廠商而言，除了銷售傳統的資安軟硬體設備，若是還能藉由雲端運算的協助加持，提供更多的資安加值應用服務，那是再好也不過了。根據個人的觀察，目前資安廠商運用雲端運算來提供的資安服務，大致有下列幾種：

病毒防護 – 讓防毒軟體的使用者，能夠即時回傳電腦上可疑的病毒相關資訊，就能在防毒業者的雲端上比對病毒特徵，不需要再等到防毒軟體更新病毒碼，就可有效防止病毒的感染。

網址過濾 – 面對日益增加的惡意網站，可協助企業透過雲端進行網址黑名單的比對，透過即時更新的惡意網頁資料庫，可以提高攔截的效率。

郵件過濾 – 配合傳統的垃圾郵件過濾機制，比對垃圾郵件如來源IP、信件標頭等資訊，同時也可結合防毒功能，即時掃瞄郵件的附件是否安全。

身分識別 – 企業可透過雲端進行使用者身分認證，作到單一登入功能，讓使用者可在任何地點登入使用各項應用服務，解決使用者的授權問題。

至於業者宣稱雲端運算可為企業帶來的好處，則有以下幾點：

降低營運成本 – 企業不需要再花錢去購買軟體和硬體，也不需要資訊人員來開發或維運所需的應用服務，只需透過租賃或使用者付費方式，大幅節省不必要的成本支出。
提高工作效率 – 隨著網路無所不在的連結性，無論工作者身在何處都可享有相同便捷的應用服務，而且藉由雲端強大的運算能力，可有效解決工作端運算效能不足的問題。
擴充未來應用 – 雲端運算可讓企業快速部署及應用新科技，無論是應用服務的升級或擴展，在短時間之內就可完成，不必擔心資源耗費的問題。

雲端運算可能的資安風險

根據市場調查機構Gartner的研究顯示，未來以雲端運算方式所提供的安全應用服務，將會對市場造成相當大的衝擊，預估在2013年會比目前再成長三倍。而趨勢科技的調查則指出，雖然業界看好雲端運算在資安上的應用，但是也有61%的企業受訪者表示，除非可以確定應用雲端運算不會產生重大的資安風險，否則目前仍不會急於導入雲端運算的相關應用服務。

從資訊安全的觀點來看，企業在運用新的資訊技術時，對於其隱含的資安風險，當然要做審慎的評估，而個人認為在採用雲端運算服務方面，至少有三個層面需要考量。

首先是網路層面，因為一旦商業運作需要仰賴雲端來進行，那麼網路頻寬的消耗，是否真如業者所言來的那麼節省？會不會拖累了原有網路服務的正常使用？這些都需要實地測試才可得知。另外，網路連線的穩定性也會比以往要求來的更高，因此在網路管理方面，原有的網路設備是否需要擴充？如何進行網路效能的最佳化調校？網路備援的方式？這些可能都會變成隱藏的成本支出。而網路傳輸的安全性當然也要涵蓋其中，若是有敏感資料需要傳輸，那麼是否有相對安全的加密機制和身分認證機制等，都是使用雲端服務時必需的要求。

其次是資料層面，企業要放置什麼資料在雲端上，將會決定所需的安全強度，在採用雲端資料服務的初期，建議企業先以非敏感性的資料為主，藉此來測試評估服務的安全性，而非一開始即將最重要的商業資訊，透過雲端方式來進行運算或儲存，以避免當資訊外洩時可能造成的衝擊。

最後是法規層面，企業要注意雲端服務廠商本身的安全是否值得信賴，是否有可供辨識的安全保證，例如取得政府的許可或國際標準ISO 27001的認證，因為這代表了雲端服務廠商在資料保護、實體安全、應用程式安全、系統可用性、漏洞管理、法規遵循方面是否有一套完善的管理制度，對於資訊安全可提供一定的保障。另外，萬一不幸發生資安問題，在責任歸屬與賠償機制上，就有賴於事先的合約或服務等級協議(SLA)，所以在一開始的服務簽定時，企業法務部門的參與協助也是十分重要。

評估企業整體的應用安全

事實上，雲端運算服務除了造福企業之外，對於惡意的駭客而言，也算是一大福音，因為這代表了許多企業更加依賴網路連線，會將重要的資訊透過網路傳輸，並且將商業資料儲存在企業環境之外，如果輕忽了可能的資安風險，就等於增加了駭客入侵的機會。

舉例來說，像是駭客可以利用雲端運算的強大能力來破解使用者帳號、密碼，竊取雲端所儲存的資訊；或是發動分散式阻斷網路攻擊(DDOS)，癱瘓雲端網路的運作，也就間接導致重要營運服務的停擺。另外，雲端資安服務機制的有效性，是否一如業者宣稱的可有效攔阻惡意程式入侵，是否會有潛藏的安全漏洞反而受到利用等，這些也都是未來需要關注的地方。

所以，企業在評估導入雲端運算的服務時，建議一開始先從非關鍵性的應用服務開始，而除了尋找可靠的雲端服務供應商之外，也要考慮有沒有其他的替代選擇。否則一旦企業所倚賴的雲端服務受到攻擊而停擺之後，將會對企業造成重大衝擊，例如關鍵資料無法存取、客戶資料外洩、防毒系統失效、惡意程式入侵等等，這些都有賴於事前整體的考量，絕非像是購置單一硬體和軟體一樣，只要輕鬆以對即可完成。(本文刊載於2009年12月號網管人雜誌)

[觀點] 防範網路大軍的惡意入侵

Tue, 26 Jan 2010 07:48:00 +0000

資安的防禦工作和攻擊手法比較起來，事實上難度更高，也很難全面地加以兼顧。在網路攻擊氾濫的今天，網管人員只要稍有鬆懈，很容易就會受到來自四面八方的惡意入侵，一旦使用者電腦或服務主機受到操控成為跳板，隨之而來的就是更多令人頭痛的問題。

相信大多數六年級生和更年長的朋友，都曾經歷過殭屍電影的熱潮，在電影中道長只要憑藉手中的符咒，一一黏貼在殭屍的頭上，然後一搖手中的法鈴，就能操控所有殭屍行走跳躍的方向。在這個網路盛行的年代，也有所謂的殭屍網路(Botnet)出現，它是指一群受害者的電腦受到操控，成為受人擺佈的「殭屍」，可以被惡意人士利用來發動大規模的網路攻擊，或是從事散布垃圾郵件或病毒的惡意行為，而且這些攻擊往往難以追查到幕後的真正控制者。

為什麼電腦會變成「殭屍」？可能的原因有很多，但比較顯而易見的原因則有二個，一是管理人員平時未做好管理工作，讓電腦缺少適當的防禦機制，例如未安裝防毒軟體、未修補作業系統漏洞等，造成使用者的電腦具有容易入侵的弱點，進而感染了木馬或病毒等惡意程式。另外一個原因則是使用者本身缺少了資安意識，喜歡點選開啟來路不明的電子郵件或檔案，或是濫用電腦去下載非法軟體，導致電腦很快就變成殭屍大軍中的一員。

殭屍網路危害的情況

過去，殭屍網路大多被用來作為癱瘓他人網站的利器，只要透過同一時間操控大量的殭屍電腦，發動分散式的阻斷服務攻擊，往往就會造成企業的網站難以招架而停擺，網管人員也很難在短時間內就能找出攻擊的源頭並加以阻擋。殭屍網路也能被用來作為發送垃圾郵件的工具，藉由不斷轉換不同的受害電腦當做發信主機，就可使得過濾郵件黑名單的功能容易因此失效。

隨著網路廣告服務的盛行，殭屍網路更被用來和地下經濟做結合，利用操控分散在各地的電腦，針對特定線上廣告進行點擊，就可以獲得廣告的收入，此一類型的手法，被稱之為「點擊詐欺」。換句話說，殭屍們已不再像以往只具有單一功用，而是會隨著情境設定的轉移，即可成為駭客們手中操弄的不同角色，而探究其目的，多數都是為了獲得不法利益才來進行。

如今，殭屍的行為模式也變得更加有組織，除了以廣告點擊方式來獲利外，目前最新的手法是可以竄改Google的搜尋結果，以假的廣告連結來加以替代，每當不知情的使用者一點擊，也就成為幫忙駭客賺錢的工具之一。殭屍網路還能夠幫助駭客蒐集各項有價值的資訊，例如個人電腦上的使用者身份資料、帳號密碼，以及信用卡號等，根據加州大學的研究人員指出，在短短十天內，殭屍網路即有能力獲得高達70G的使用者資訊，藉此可獲得高遠數百萬美元的不法利益。

至於目前很流行的社交網路，使用者若一不小心，也很容易成為殭屍網路中的一份子。根據希臘Foundation for Research and Technology機構的研究顯示，只要透過在社交網路上的應用程式，分享圖片給使用者瀏覽，透過此應用程式中所隱藏的框架，就可以驅使使用者的電腦向特定的主機傳送網路流量，除了可用來當作實行阻斷攻擊的跳板，還能夠竊取其他使用者帳號並散播惡意程式。

從殭屍網路到鬼網間諜

除了殭屍網路之外，如今更出現了一個新名詞，叫做「鬼網」。根據加拿大的研究人員指出，在最近兩年之內，包括台灣等世界共103個國家，有1295台政府和民間企業組織的電腦，都曾經遭到間諜滲透，一旦這些電腦被植入了惡意軟體，駭客就能在遠端監控使用者的行為，還能夠開啟電腦上的網路攝影機，監視四周的環境動態，許多包括國家級的機密文件，恐怕也已經遭到竊取。

以往要滲透他人的電腦，往往會採取網路釣魚等社交工程手法，透過發送內含惡意軟體或惡意連結的郵件來引誘使用者上鉤。但是研究人員表示，鬼網的運作主要是有系統地針對特定目標，以便可獲得一開始即鎖定的機密資訊，而且它極有可能是透過國家的力量發起，儼然成為一種新型態的資訊戰爭。

這樣的手法，是否也會被運用在商業環境中，仍有待觀察。但依照以往經驗，商場如戰場，各種商業間諜的案例仍然層出不窮，相信只要是有利可圖，惡意人士應不會輕易放過這塊大餅，所以相對的，這也是給企業的一道警訊，在未來的商業競爭中，很可能也會面臨這種非法的手段，是否該及早作好準備，也考驗著企業經營階層的反應能力。

網路威脅的應對之道

一開始即提到，防禦這件事在資安工作中，可能遠比入侵他人的難度要高出許多，所以企業要如何因應，在千頭萬緒中究竟該如何做起？個人的建議是盡量以簡御繁，先從簡單能做的著手，也就是先回頭檢視企業現有的環境，擬定防禦策略，並及時修補可能的安全漏洞。

因此，企業可以從管理面開始，首先擬定網路的安全政策與規範，不過在擬定之前，需要全面檢視現有的網路架構，建議可以由外向內，一層一層地確認目前的安全設備，是否已處於正確位置並發揮作用，同時也要進行服務主機的強化，然後再到使用者端進行弱點補強。網管人員可以進行的工作，包括：

檢測防火牆的存取政策是否適當，是否開放了企業不允許的網路服務和通訊埠，當需要變更存取政策時，應依照企業擬定的變更管理程序來進行。
檢視入侵偵測防禦系統的特徵比對是否能持續更新，並確認封包本身的檢測深度是否合理有效，同時可評估是否進一步與網路安全設備連動，以進行聯合防禦。
檢視相關的網路設備所使用的作業系統和韌體是否為新版，以避免可能存在的安全漏洞，必要時可請設備廠商協助予以更新。
確認網路設備的管理帳號和密碼，是否有一定的控管程序，避免使用預設的管理帳號，並要求密碼具備一定的強度(例如大小寫數字混合，長度8碼以上)。
定期檢視網路設備的活動監控記錄，並進行網路設備的效能評估，以確保相關設備不會因特定連線或流量的增加，導致無法負荷而停擺。
確保網路防禦機制能夠持續運作，因此適時的備份與回復演練是絕對必要的，當大量的網路攻擊和新攻擊手法出現時，若能和外部資安專家或維護廠商在平時就建立良好的聯繫管道，在戰時就能適時的尋求外部支援。

總結

網路安全的攻防之間，似乎是一項永無止盡的工作，但是藉由基礎防禦機制的強化，就能獲得相對的安全保障。當然，在此也要提醒網管人員，千萬別一昧地追求技術上的控制，而忽略了適時的管理手法反而簡單有效。所以在使用者方面，除了透過技術機制協助使用者更新防毒軟體及病毒碼，修補作業系統的安全漏洞之外，更需要讓使用者具備一定的資安認知，包括了社交工程的防範、電子郵件的應用安全、上網瀏覽的安全注意事項等，因為使用者的教育訓練，往往就是有效且成本最低的防禦策略，可藉此來大幅降低日常作業所面臨的資安風險。(本文刊載於2009年6月號網管人雜誌)

[觀點] 談即時通訊的安全管理

Fri, 22 Jan 2010 09:11:00 +0000

即時通訊軟體對愛用網路的現代人而言，已是除了手機之外最常用來和親朋好友溝通的工具，隨著即時通訊的功能愈來愈強，資安問題就更加不能忽略，在用與不用之間到底該如何取捨呢？

早在十多年前，當聽到電腦發出一聲「喔喔~」的時候，就知道週遭有人正在使用ICQ在聊天，ICQ作為即時通訊的開創者，在當時掀起了一股熱潮，讓許多身處在世界各地的朋友，能夠打破時空的距離，即時地傳遞彼此的訊息。

雖然在一開始，ICQ主要作為個人聊天用途，但因為簡單易用的介面，以及可顯示目前的使用狀態(如離開、忙碌、離線)，也深獲知識工作者的好評，紛紛利用它作為商業溝通和客戶服務的工具。不過，隨著MSN、Yahoo Messenger和QQ的興起，ICQ在華人的世界裡已逐漸被遺忘，這些新一代即時通訊軟體的出現，雖然有著更為華麗的介面和表情符號、聲音影像的傳輸功能，但也帶來更多令人意想不到的問題。

即時通訊的資安事件

在2001年，從第一隻即時通訊病毒WORM_MENGER.A開始，即時通訊也成為病毒作者和駭客們另一個練功的好地方，它充分利用了人們的好奇心，以及對於即時通訊名單上都是好友們的信賴，透過傳送網址連結與分享的檔案，就讓整個的惡意感染行為如滾雪球般地不斷擴大。

到了2005年，還是有資安專家不斷呼籲提供即時通訊軟體的廠商，必須要跟上駭客的腳步，迅速地修補安全漏洞，以避免災害持續擴大。此外，在2007年則是有某位台灣女大學生，在網路上購買拍賣物品，並利用MSN messenger和位於中國上海的賣家連繫，後來該賣家以網路拍賣所使用的台灣帳戶被停用，要求女大學生協助以其名義申請新帳戶，女大學生竟將提款卡以快遞送到大陸，接著就被利用成為販賣盜版光碟的人頭帳戶。即時通訊的方便性竟也成為詐騙集團，用來作為跨國跨區域的新興犯罪工具。

即時通訊的潛在風險

即時通訊讓訊息的傳遞更加方便快速，因此對商業運作的好處包括了：可跨越地理區域的限制，減少長途電話的使用；可多人即時進行會議，以節省公司的差旅費；可直接分享傳送檔案，還可用清晰的語音和影像視訊對談等等。對員工的好處，則是能夠同時與多人對談並即時回應，可即時在線上解答顧客問題，不再需要等待電子郵件的回覆，可大幅提高工作效率。

不過，對資訊管理人員來說，即時通訊軟體會不會產生資安問題，該如何去管理可能的風險？是否應該如同管理其他服務，像是電子郵件、網站安全等等一樣來加以重視？才是另一個令人頭痛的問題。

目前，即時通訊會產生的資安問題，大致有以下幾種：

惡意程式感染 - 歹徒製作專門針對即時通訊的惡意程式，一旦使用者中毒之後，即會隨機且大量散布惡意檔案(如病毒、木馬)，造成大規模的感染，並干擾網路的運作。

散布垃圾訊息 - 即時通訊的使用者在中毒之後，多半會在不知情的情況下，被利用來散布惡意連結，導致親朋好友們一併受害。

竊取不當資訊 - 供公眾使用的即時通訊是開放的，容易遭到竊聽，另外所洐生出的網路釣魚手法，會利用各種名義來騙取使用者帳號和密碼，假冒身分而造成更多社會問題。

成為洩密管道 - 除了包括對話中談及的個人隱私和商業資訊，有可能遭到截取之外，另外傳送檔案的功能，也可能被惡意的員工，用來傳送違反企業安全政策的內部機密檔案。

從角色和範圍進行管理

如果即時通訊的威脅，已經足以影響企業日常的營運活動時，那麼為了確保不會造成業務的中斷，強制禁止即時通訊軟體的使用，可算是一項釜底抽薪的做法，但這也很可能引起原本使用者的反彈，這個時候究竟該禁或不禁，就演變成為管理階層的兩難。

從資安的角度而言，到底該全面禁止或全面開放，是有一些討論空間的，尤其是與其完全禁止，改為採取替代辦法來有限度地開放，也是管理決策上面的一個選項，在決策之前，建議管理人員可以思考的方向有：

定義使用者的角色 - 在企業組織中，到底誰需要使用即時通訊軟體？要用來做什麼？這將是決定是否開放或禁止的首要考量，一旦角色清楚了，就可以思考該如何來管理。舉例來說，某線上購物公司，不允許一般人員在公司使用即時軟體，而是僅開放給客服人員利用它來進行客戶服務，所以針對客服人員，都會進行適當的教育訓練，以了解使用時的相關規範。
定義合理使用的範圍 - 定義在哪些地方可使用？使用的方式為何？清楚的定義企業對於即時通訊控管的方式與目的，可讓使用者明白為何要禁止或限制即時通訊的使用。實務上即有企業認為在內部開放使用即時通訊風險太高，所以採取技術方式全面封鎖，僅開放在外部的出差人員可以使用。
使用責任與隱私保護 - 在使用責任方面，企業宜明訂適當的獎懲方式，以公告向員工告知違反規定時的懲處辦法。如果企業已針對即時通訊內容進行監看與記錄，也應公開向員工說明企業監看的方式，例如是否進行關鍵字過濾或內容的側錄，以尊重員工的個人隱私權。
平台與技術的採用 - 企業要直接選用已供公眾使用的即時通訊軟體，還是另外建置商業用的即時通訊方案，應在事先評估目前的運用與管理需求為何，並檢視其與現有環境的相容性，以判斷導入後是否會產生可能的安全弱點。

技術控管與教育並重

在選擇相關技術方案時，資訊管理人員首先應考量的是，到底要控管哪些即時通訊軟體？是否可自訂控管的方式？如果允許即時通訊軟體進行檔案傳輸，是否可提供惡意程式如病毒、木馬的掃瞄機制？另外，在針對傳輸內容方面，也可考慮增加關鍵字的比對和垃圾訊息的過濾，尤其是當企業選用的是供公眾使用的即時通訊平台，員工登入的是位於外部的伺服器，相關資訊也會經由外部來傳送，是否有可能會遭到外部竊聽，是必須考量的風險之一。

一個兼顧安全的即時通訊方案，至少要提供適當的記錄，例如使用者登入、登出的時間，傳送訊息的對象、傳送檔案的名稱等，以便未來相關事件的查核。在進行訊息內容過濾時，也要提供簡單易懂的控管介面，以方便設定允許傳輸檔案的類型和內容過濾條件(關鍵字包括內部使用、帳號密碼、信用卡號碼、身分證字號)等。當然，還要盡量不影響既有的網路架構，以免因為部署了即時通訊管理方案之後，反而產生其他問題。

至於在員工的安全意識方面，除了透過文件化說明使用規範之外，也可利用技術方式，在員工每次登入即時通訊軟體時，警示員工需注意的安全使用規定，以預防資安事件的發生。其他可向員工宣導的安全觀念還有：「不要輕易點選來路不明的連結」、「不要在即時通訊談論敏感資訊」、「不要使用自動登入功能」、「不使用時請務必要登出」、「不要使用第三方的網頁版即時通訊軟體」、「不要接收不明格式的檔案」、「不要使用來路不明的外掛程式」等。

管理要因時制宜

在企業內部要落實即時通訊的有效管理，是一個很大的課題，有許多層面的兼顧，都必須要因人、因時、因地來制宜，很難有一套一體適用的辦法。不過，透過重點的把握，可以協助管理人員快速建立可行的管理方式。

即時通訊的安全管理重點，在管理面包括了制定安全管理政策、文件化方式的使用辦法、兼顧隱私權的監控機制，以及違反時的懲處原則；至於在技術面則包括選擇適當的平台與監控技術，以識別合法的使用者、防堵惡意程式的入侵、防止未經授權的檔案傳輸等，最後若再配合適當的稽核機制，定期的審查記錄與持續改善，要維持管理的有效運作相信是指日可待的。(本文刊載於2009年5月號網管人雜誌)

[觀點] 綠色資安新主張節能省碳愛地球

Wed, 20 Jan 2010 05:52:00 +0000

繼「Green IT」之後，「Green Security」是一項更新的議題，許多企業已經藉由建置綠色機房來降低營運成本，並且贏得環保的好名聲。事實上，資安工作同樣也能幫助環境綠化，也能為環保盡一份心力。

在電影「不願面對的真相」中，美國前副總統高爾用他的熱忱，不斷在世界各地到處奔走，希望透過最簡單易懂的演講，提醒世人注意今日全球暖化的現象，已經是一個不亞於恐怖行動的全球性危機，如果沒有及早因應的話，將會帶來一連串的災難，更會威脅到地球所有生物的生存。他更提醒各國政府必須要有所作為，同時強調「這是道德問題，而不是政治議題」。

過去，許多人對於環境保護的議題，往往都視而不見，可能的原因是由於它並沒有立即性的危害，所以一旦大家體會不到，就不太會想要去重視它。但是現在隨著冬天不冷、夏天超熱，全球的平均氣溫正以有史以來最快的速度不斷升高，暴風雨和颶風的威力也變得愈來愈強，大自然已經用它的種種現象，不斷向人類來反映，如果再不珍惜地球這個共有的環境，人類最終將會自取滅亡。

正視全球暖化危機

根據科學家的預測，如果沒有降低溫室氣體的排放量，全球暖化的程度仍會繼續惡化，在本世紀末平均氣溫將會再上升3到9度，一旦溫度上升造成冰山融解，許多臨海的國家恐怕會遭到海水吞噬，而台灣正是處於這種處境的高危險群。

在英國和歐洲，已經有許多商品會在上面標示它在製造、生產及運送過程中，所產生的溫室氣體數量，稱之為碳足跡(Carbon footprint)。碳足跡的多寡，可以用來計算人類在日常生活之中，各項活動對於環境所造成的影響，所以具有環保意識的政府和企業會鼓勵民眾，盡量選購低碳足跡的商品，以減少二氧化碳氣體的排放量。

另外，歐盟委員會也要求各成員國需制定「限用有害物質(RoHS)」的法規，來限制在電子產品中使用鉛或其他有害物質，以維護環境的安全與人類的健康，同時更促進報廢電子產品的回收處理，也要讓它合乎環保的要求。

或許我們並不是所謂的環保人士，但身為資訊人員的我們，還是可以有些行動與作為，來協助拯救我們共有的地球。像是近來熱門的「Green IT」，就是透過省電型的伺服器、刀鋒伺服器、虛擬化主機、電源和空調管理，來打造出一個節能的「綠色機房」，盡可能的降低運作時的能源消耗。

打造企業綠色資安

而資安工作呢？有沒有可能在落實資安的同時，同時也能為綠色環保盡一些心力？事實上，在國外已有一些資安專家，提出了所謂「Green Security」的概念，提醒企業在執行資安工作時，也能同時做好環保的工作。

目前，資訊安全已是現今企業重要的工作之一，為了確保內部重要資訊像是商業機密、客戶資料、財務報告等，不會遭到未經授權的存取與洩露，企業往往建置了資訊控管的辦法，從一開始的資料分級分類、資料的存取流程，到資料的歸檔和最後的廢棄銷毀，這一連串的資訊處理過程，又可稱之為資訊生命週期(Information lifecycle)。

無論資訊存在的形式是紙本或電子檔，不同的資料類別皆有不同的處置方式，如果是事涉敏感的資料，一旦走到最後一步需要銷毀時，那麼就一定要採取安全的方法來加以處理，以免洩露了不當訊息。

如果想要為環保盡一分心力，則可以融合資安與環保的做法來執行，例如可以透過網路加密通道，進行遠端系統的維護，並且建置安全的視訊會議，以減少人員的出差，節省交通工具的油耗與廢氣排放。另外，以下還有結合資安概念的一些應用，可提供給有心執行的企業作為參考。

正確使用列印設備 - 減少紙張浪費，避免資料外洩
企業對於廢棄紙本資料的處理，一般都會使用碎紙機，碎完之後的紙屑，可採取外包處理，藉由合格的廠商與安全的作業流程，將機密資料予以銷毀。不過，為了環保，應盡可能減少列印量，例如可透過列印程序的管控，要求人員必須輸入密碼後才可列印，將可避免不小心列印出來之後，未經銷毀程序而導致資料外洩。

另外，企業若是導入了資訊安全管理制度，將會增加許多政策、作業程序與工作表單，如果還是採取傳統紙本方式控管，將會消耗大量的紙張，建議企業可以進行文件的電子化管理，以節省紙張的浪費。

下班後要求電腦關機 - 減少電力損耗，避免駭客入侵
桌上型電腦的耗電量較高，如果使用者貪圖一時方便在下班之後仍開著，將造成無謂的電力損耗，目前，透過一些工具軟體的幫助，可以偵測出在下班之後依舊開著的電腦。

事實上，除了省電之外，許多企業為了資安的理由，都會強制要求使用者的電腦進行系統更新，一般的作法是透過登入Windows網域時，以Script方式彈跳訊息來通知使用者，或是透過群組原則的設定，讓使用者登入之後，就立即進行系統更新。如果使用者的電腦一直開著，很可能因為長期沒有登入，系統未更新修補程式，而產生資安上面的漏洞，很容易就會成為駭客或惡意程式入侵的對象。

資訊設備回收再利用 - 減少環境污染，兼顧資料安全
在電腦零組件中，含有一些重金屬物質，若隨意棄置將會造成環境上的污染，因此企業應經過適當的報廢程序，將舊電腦回收再利用。但是基於資安的理由，在儲存媒體上的處理應注意小心，像是曾經存放過敏感資料的硬碟，應予以重覆抹寫或消磁處理，或者也可針對硬碟進行實體破壞之後，再予以回收。

採購符合環保節能的設備 - 降低能源消耗，易於風險管理
從資安的觀點而言，在企業中有一些服務是需要全天候運作的，像是垃圾郵件過濾系統、防火牆、防毒牆、入侵偵測系統等。如果在效能上可以符合企業需求的話，以虛擬伺服器來替代實體的伺服器，改為採取虛擬化方式來運作，將可大幅減少能源的消耗。另外，建議企業應採購符合環保標章的設備，以電腦螢幕來說，應選擇具有環保標章或符合TCO、能源之星的產品，而網路設備，也應採購符合RoHS(有害物質限用)標準的產品。

至於這些設備的採購，可以併入一般資安法規的符合性稽查之中，藉由審查硬體設備是否合乎環保法規的標準，可確保只有環保產品才會受到企業採用，而且一旦所有設備都經過了審查，並且留下了文件化的記錄，將可確保企業不會使用一些具有潛在弱點的設備，進而導致資安上的風險。

環境保護，人人有責

藉由以上方法的運用，除了可讓企業降低日常營運可能面臨的資安風險之外，更可同時達到環保的功效，透過將環保要求與企業政策及作業流程相結合，將可減少不必要的能源損失，並且減輕對地球的危害。

所以，在不影響企業營運之前提下，能夠多為環保盡一份心，事實上也是盡到了社會責任，建議企業應仔細思考應該如何做好「綠色資安」工作，為後代子孫保留更多自然資源與美好環境。(本文刊載於2009年4月號網管人雜誌)

[觀點] 從境管當機事件談資安風險管理(下)

Wed, 13 Jan 2010 02:34:00 +0000

上一次我們談到了風險管理的基本概念和過程，藉由識別資產的價值，並進行可能存在的威脅與弱點分析，以便計算出所面臨的風險值。在了解企業現有的資安風險之後，接下來將說明應對風險的處理方法。

在生活之中，每個人遇到意外的發生，都會有不同的應對方法。舉例來說，如果你的錢包掉了，除了現金沒了之外，錢包內的信用卡、身份證件也跟著一併遺失，這時候你會怎麼辦？相信大多數人的做法是，趕快打電話給銀行，先暫停信用卡的使用，然後登報將身份證件聲明作廢，重新到相關單位申請新的證件。那麼損失的現金呢？我想大概就只能摸摸鼻子，當作破財消災了。

不過，錢包就只會掉這一次嗎？如果萬一下次又掉了，或是被小偷扒走，那麼就只能再重頭來過，又心痛一次嗎？面對這種會造成財物損失的風險，難道沒有比較好的應對方法？事實上辦法是有的，而且還有很多種，端看你如何選擇。

像是有人會在錢包裡不放證件，或是不帶現金，只放一張額度最低的信用卡或提款卡；有人甚至出門不帶皮夾，而把現金放在口袋，證件放在另一邊，來避免雞蛋放在同一籠子裡的風險；還有比較極端的是，有人乾脆身上就不帶錢包了，反正和親友出去，若需花費，則請他人先代為付帳，日後再還即可。

風險處理的原則

以上提到的種種作法，其實目的只有一個，就是去「降低你不想要的事件發生的可能性，以及萬一它真的不幸發生了，如何將可能造成的損失減至最低」，而這也就是風險處理的基本原則。所以在生活之中，我們可能會直接選擇自己簡單易用，或是自認為有效的方法，不過，若是回歸到企業要處理資安的風險，還有幾項重點是必須要去考量的。

首先要考量的就是，採用這些風險處理的方法，必須要評估所耗費的成本是否合理，並且能夠讓企業老闆接受。記得某位資安的前輩曾叮嚀：「千萬不要花五塊錢，去保護只有三塊錢價值的東西，這往往只會吃力不討好。」

所以，若是為了防護某項價值並不高的資訊，而大肆添購眾多資安設備，要求做到高可用性，甚至於還做了異地備援，這樣的用心，恐怕只會被當成濫用企業資源而已，想必是一點功勞都沒有。

再來，請考量風險處理的作法是否會引起其他更大的風險。例如，企業為防止員工設定太過簡單的懶人密碼，使得駭客能夠輕易破解而竊取企業資訊，所以要求員工必須每個月更改一次密碼，長度必須英文數字大小寫混合十二碼以上，並且前十次不能相同。

上述這種作法，雖然可大幅提升密碼被破解的困難度，但相對的也會造成員工不容易去記憶密碼的困擾，而且如此一來，員工就很可能會將每次變更後的密碼寫下，甚至於可能直接就以便利貼貼在螢幕或鍵盤旁邊，這樣反而讓經過座位的所有人都可看到密碼，造成更大的風險。

所以，企業在要求做好資訊安全的同時，也務必去思考可能因為人性所產生的問題，千萬別忘了資安工作，其實大多時候都是在處理「人」的工作。

最後，應適時地評估風險處理作法的有效性。所謂有效性的評估，對管理人員來說是有難度的，因此，建議可採取適當的稽核方法，以確認相關人員是否依照企業制定的政策、流程、作業標準來執行工作，並且在稽核的過程中，以相關記錄的抽查並配合口頭的詢問，來確認工作人員是否達到「說、寫、做」一致。

以防火牆稽核而言，可以檢視其防火牆政策設置是否適當、政策的變更是否經過授權、如何進行政策變更、變更之後是否留下記錄等等；另外，也可詢問防火牆管理人員，是否定期審查設備所產生的Log檔，以及發生異常事件時，要如何進行處理與通報。至於稽核的執行，可由內部的稽核人員，或是委由外部的資安專家來進行，建議每季或每半年執行一次，並且召開管理審查會議，以檢討是否有缺失，以及如何進行維護與改進。

風險處理的方法

至於風險處理的過程，基本上可分為避免風險、降低風險、轉移風險和接受風險四個方向來進行，以下為各項方法的簡要說明。

避免風險
在資訊安全的範圍裡，想要完全避免所有風險是很困難的。以境管局提供的服務為例，它必須要透過資訊系統和網路連線來進行，因此，資訊系統本身即有其作業上的風險，像是硬體設備損壞、人員操作失誤、軟體臭蟲等等，而網路連線亦存在包括網路連線中斷、駭客入侵攻擊等風險，所以若想要完全避免風險，除非捨棄資訊系統與網路的使用，但如此一來，恐怕就只能以人工來處理，但可別忘了，人工處理除了沒有效率之外，同樣也有其作業風險。

降低風險
正因為風險很難完全加以避免，所以管理人員通常可運用的就是降低風險的作法，也就是選擇適當的資安控制措施。例如企業擔心病毒入侵，所以會在電腦中安裝防毒軟體，這是一種降低病毒爆發風險的控制措施；境管局擔心系統會因硬體損壞而失效，所以建置了備援系統，希望在系統失效時，能接替原系統來執行工作，這也是一種降低風險的控制措施。只是這些控制措施是否合宜，能否有效降低所面臨的風險，必須參考剛才已提過的風險處理原則。

轉移風險
有一些風險，像是地震、火災和水災，它發生的機會可能不多，但是一旦發生時卻會造成嚴重的傷害，雖然平常也可採取降低風險的作法，但是往往花費很高，效果也不顯著，這時候，建議最好的處理方法就是轉移風險。舉例來說，企業若將最重要的營運資訊，放置在公司內部的機房，雖然機房已針對地震、火災和水災，作了適當的規劃防護，但是依然難防大樓遭到火災的侵襲，因此，若能再加保火險，即可補償災害發生時造成的損失。另外，若資料可委外備份到專業的資料中心，藉由資料中心提供更完善的防護，來確保資訊存放的安全，這也是轉移風險的另一種應對之道。

接受風險
如果有些風險所造成的損失不大，對企業營運的影響也很低，那麼與其花費金錢購置資安設備來加以防護，不如選擇接受風險，其實也是可以採行的辦法。當然，每個企業對於風險的接受度不同，這就有賴於先前是否做好風險的分析與評估，在事先計算出各項資產的風險值，即可依據各項風險等級來判斷是否為可接受的風險。在此還要提醒大家，接受風險不代表就不必去管它了，可別忽略了風險的高低，有可能隨著外在環境或人為因素而變動，因此仍要定期的審查，尤其是針對資產價值較高，造成企業衝擊較大的項目。

總結

以上針對資安風險管理，僅以簡單淺顯的例子來予以介紹，希望透過識別資產、風險分析、風險評估與風險處理的過程，以達到管理風險的目的。事實上，風險管理在各個產業都有很多不同的應用，若是針對資訊安全與IT系統，建議你可以進一步參考由美國國家標準和技術研究院(NIST)所發布的「SP800-30 Risk Management Guide for Information Technology Systems」，或是最新發布的「ISO/IEC 27005:2008資訊安全風險管理」國際標準，對於風險管理在IT的應用都有很深的著墨，建議你不妨有空仔細研讀。

最後，個人還想藉此強調一個觀念，就是資訊安全絕不只是架構防火牆、安裝防毒軟體，或是以技術對抗駭客入侵而已，其實它更像是一個全面的管理過程，在這個過程之中，將會牽涉到企業流程、組織管理、作業程序等等，所以資訊安全不會只是一個人或一群人的工作，而是企業由上到下都必須有共同的認知來確切執行，這樣才能確保企業不會因發生資訊安全事件，而導致營運中斷或聲譽受損，才有實現企業永續經營的一天。(本文刊載於2009年3月號網管人雜誌)

[觀點] 從境管當機事件談資安風險管理(上)

Tue, 29 Dec 2009 10:58:00 +0000

意外事件的發生，往往令人措手不及，如果又缺少適當的應變方法，一團混亂的結果更會造成危機的擴大。因此，最好的做法就是在事前設想可能的風險，並採取適當的控制措施來將衝擊降至最低，本文用簡單的範例說明，來協助你了解風險管理的過程。

在2009年年初，桃園機場的境管電腦發生了當機事件，使得證照查驗工作必須採用人工方式進行，造成入出境的旅客大排長龍而抱怨連連。以往雖然也有類似情況發生，所幸資訊人員都能在很短的時間內搶修完成，讓服務可以迅速地恢復運作。但是，此次當機事件卻牽連甚廣，使得整個境管電腦系統停擺長達36個小時，更讓8名受到列管的人士得以入出境闖關成功。

此次當機事件，根據官方的聲明指出，主要發生原因是由於硬體過於老舊，導致硬碟與主機板發生故障，進而使得境管系統停擺。但是，在事件引起軒然大波之後，各家媒體和網友卻抱持著不同的看法，歸結起來大致可分為以下幾項原因：

硬體設備老舊未更新
相關人員應變力不足
備援與復原機制不足
缺少標準處理作業流程

個人認為這次事件的發生，不會只是由單一的因素所造成，因此可以從很多角度來予以探討，包括從系統開發與運作流程、備援作業程序、IT服務管理和營運持續管理等，但因缺少了相關直接證據，在此我們不去探討事件背後的真相如何，而是要來思考以上各個層面，都必須要考慮到的一個重點，那就是所謂的「風險管理」。

風險管理基本概念

風險是什麼？簡單的說，就是「你不想要發生的事件，當它發生的可能性和所造成的影響程度之組合。」舉生活中的風險為例，像是每年可能會發生兩次，當颱風來襲時會使住家所在的區域停電；或是一年左右會發生一次，因為路上的釘子刺破了輪胎，造成車子無法繼續行駛。若是以IT的例子來說，常見的風險則有每年大約發生一次，因為硬碟故障而造成檔案損毀；或是每半年可能發生一次電腦病毒造成系統當機等。

風險的存在與否，主要是視資產所處的環境及活動，要去考量它的嚴重性以及發生的機率，像以上這些事件所產生的風險，都會造成一些問題發生，假如沒有適當的因應作法，可能會讓事態擴大而產生更大的衝擊，所以若想要避免或是降低更多問題的產生，就必須要採取一些對應的風險控制措施，而這也就是風險管理過程中重要的工作之一。

風險管理的過程

風險管理的第一步，就是要先了解會產生風險的對象到底是誰？對企業而言，「風險來自於有價值的資產，所以必須要去識別企業內的重要資產有哪些，還有其所面臨的威脅與弱點是什麼，以便鑑別出各項風險組合。」

以這次當機事件為例，它的資產至少包括了系統維護人員、運行系統的電腦主機、系統應用程式、儲存設備、備援系統等；可能的威脅則包括像是設備自然損耗和人員作業疏失；弱點則可能有維護支援服務不足、人員缺乏訓練、缺少應變程序等，如果以上這些資產的威脅和弱點同時發生的話，就會影響到所提供服務的正常運作。

因此，在了解風險的組成至少包括資產、威脅和弱點等三項要素之後，關於風險管理的過程，則可分為「識別資產」、「風險分析」、「風險評估」和「風險處理」等四個步驟來進行，以下是各項步驟的簡要說明。

識別資產
在資訊安全的範圍裡，我們所要探討的資產以資訊資產為主，也就是和資訊有關且彼此影響的事物。資產的種類通常可分為：

人員 - 可分為內部和資訊作業有關的人員，例如管理階層人員、系統開發人員、系統維護人員、資訊處理人員、網管人員等；或是外部的約聘人員和承包商。
文件 - 可分為紙本文件和電子文件，例如系統文件、使用手冊、網路拓樸圖、各式表單、合約、日誌、客戶資料等。
軟體 - 資訊系統運作所需的套裝軟體，包括作業系統、資料庫、一般應用軟體、防毒軟體等，或是內部自行開發的應用軟體等。
硬體 - 指存放、處理或支援資訊系統運作的硬體設備，例如個人電腦主機、伺服器、筆記型電腦、路由器、交換器、不斷電系統等。
實體環境 - 指處理資訊所在的地點及建築物，例如機房、網管中心、備援中心、資訊作業中心等。
服務 - 指對外連結或區域互動的網路，例如ADSL網路、光纖網路、數據專線、無線網路等；或是電力、水力等公共支援服務。

風險分析
在識別和資訊有關的資產並進行分類之後，接下來就要分析這些資產所面臨的威脅與弱點。所謂威脅是指會對資產造成損害的事物，可分為自然因素與人為因素。自然因素是指來自於天災或是設備的自然損耗，人為因素則包括有意破壞和無意的作業疏忽，目前常見的威脅包括：火災、水災、颱風、地震、電力中斷、駭客入侵、內部人員不當操作、人員惡意竊取、人員惡意破壞等。

至於弱點則是指存在於資訊資產本身，容易被威脅利用而造成損害的地方，要注意的是，「弱點本身並不會直接造成資產的損失，必須要伴隨著威脅一併發生，才會產生資安風險。」目前在資訊系統中常見的弱點有：作業系統未更新、病毒碼過期、缺少身份驗證、缺少存取權限控管、使用未加密的網路、人員缺少訓練、設備缺少維護等。

風險評估
在一一識別出資產所面臨的威脅與弱點之後，接下來就要進行風險評估，也就是計算出風險值，並依照風險值的高低來加以排序。當然，風險高的項目，一定是要優先去處理的。

至於風險的計算方式有很多種，礙於篇幅無法做詳盡的說明，在此僅提出一個最簡便的方法，可做為風險評估時的參考，應用時可依所處環境與管理要求來自行定義評價方式，本方法的計算公式如下：

風險 = 資產價值 x 威脅機率 x 弱點等級

關於資產價值可參考表一的說明，可分別依照資產的機密性、完整性與可用性的要求來給予評價，再取其平均值或是最大值；至於威脅發生的可能性，可用「每年發生一次」、「半年發生一次」、「每季發生一次」、「每月發生一次以上」等類別，分別給予1~4的評價；而弱點的等級，則可以區分為「很難被利用」、「難以被利用」、「容易被利用」、「很容易被利用」，同樣給予1~4的評價。

表一：資產評價說明

評價	機密性	完整性	可用性
1	公開，可對外界公布	資訊被竄改後對資產無害	資訊需要使用時，在24小時內需提供
2	一般，公司內部使用	資訊被竄改後對資產輕微損害	資訊需要使用時，在8小時內需提供
3	敏感，相關職務需要才能得知	資訊被竄改後對資產中度損害	資訊需要使用時，在4小時內需提供
4	機密，僅少數特定人士得知	資訊被竄改後對資產嚴重損害	資訊需要使用時，在2小時內需提供

在完成了資產、威脅與弱點評價之後，就可計算出各項資產現有的風險值，並可依風險值的高低，賦予風險等級，例如風險等級A為48~64、風險等級B為32~47、風險等級C為16~31、風險等級D為1~15。最後，企業的管理階層則要決定能夠接受的風險等級，假設為D的話，那麼只要是屬於風險等級ABC的資產，都是我們必須要去做風險處理的對象。表二是一個虛擬範例，僅供參考。

表二：各項資產之風險等級

資產類別	資產名稱	威脅項目	弱點項目	資產價值	威脅機率	弱點等級	風險值	風險等級
人員	資料備份人員	作業疏失	訓練不足	4	2	4	32	B
軟體	網站伺服器	駭客攻擊	未更新修補檔	3	4	4	48	A
硬體	網域伺服器	硬體故障	監控不周	3	2	3	18	C
---	---	---	---	--	--	--	--	--

小結

風險管理是一個持續性的過程，舉凡企業內部的組織變更、作業流程改變、資訊資產的變更，或是有重大的資安事件發生之後，都必須要重新進行風險分析和風險評估，以期能夠識別新的風險，才可及早採取適當的風險控制措施，降低可能的資安事件發生，下一次將會為你說明風險處理的相關做法。(本文刊載於2009年2月號網管人雜誌)

[觀點] 回顧過去，展望未來 - 資安工作重點提醒

Mon, 28 Dec 2009 02:37:00 +0000

面對全球不景氣的年代，隨著新的一年開始，究竟資安工作該如何加以落實與推動，將是一個值得重新思考的問題，尤其是在缺錢又缺人的情況下，企業該如何維持資訊安全的水準，同時達到預先設定的目標，本文所提出的建議可作為參考。

2008年底的金融海嘯，嚴重打擊了世界各國的經濟發展，也連帶使得台灣的失業人口數，因此一舉而突破了五十萬人，到底哪些企業在這一波海嘯中受害最深呢？從媒體的報導中看來，高科技製造業與金融產業應該佔了排行榜中的前二名，而無薪假的實施，更是這些科技新貴萬萬沒有想到的景況。不過，卻有一則新聞是讓人感到欣慰的，那就是在資訊安全方面，受創很深的金融業並沒有因此而減緩腳步，根據資策會MIC的調查指出，「強化資訊安全能力」仍是2009年金融業最重要的投資項目，而另外三項重點工作，包括「法規遵循需求」，「強化災難備援能力」、「提升風險控管能力」，事實上也都和資訊安全工作息息相關。

資安威脅的趨勢發展

個人認為，今日資訊部門有一項重要的任務，就是要確保企業發展必要的關鍵業務，能夠藉由資訊系統的協助而順暢運作，換句話說，如何去確保資訊系統的可用性，即是資訊安全重要的工作之一。因此，回顧過去的資安趨勢發展，可看出資訊安全已從風險管理的角度，演變成為在資安事件發生時，如何使企業能夠持續營運，這也代表著資訊安全、風險控管與災難備援，已具有密不可分的關係。

舉例來說，以往企業透過了風險管理的過程，即可鑑別出資訊安全方面可能的威脅與弱點，然後就能導入適當的控制措施，以降低所面臨的資安風險。可是，若萬一還是不幸發生了資安事件，那麼需要思考的角度就必須轉換成為如何在災難發生前，事先擬好各項應對的劇本，以便一旦災難真的發生時，就可以照著劇本的步驟來進行緊急應變，確保能夠在最短的時間內，盡快恢復企業的正常營運，並將對業務活動可能造成的營運衝擊傷害降至最低。

根據個人的觀察，病毒、蠕蟲與木馬等惡意程式，仍是讓目前大多數企業感到最為頭痛的資安威脅，尤其當惡意程式開始肆虐的時候，不只將造成企業的生產力降低，同時也讓資訊與網管人員疲於奔命，更嚴重的甚至會導致企業業務停擺，或是造成機敏資訊的外洩，這些都會是企業難以忍受的狀況，也應該列為優先預防及因應的目標。

資料與網站安全仍受關注

在新的一年，除了惡意程式之外，資料安全與網站安全也仍是資安的兩大主要議題。所謂的資料安全包括像是內部非法存取，行動裝置失竊和儲存媒體遺失等；而網站安全則包括網站主機系統強化、應用程式漏洞修補、網頁應用層防火牆部署等相關工作。

所以，針對資料安全我們該如何來因應呢，首先企業要識別的就是有哪些資料是需要受保護的？接著是這些資料究竟存放在哪裡？還有誰是資料的擁有者和使用者？唯有了解資料的所在位置與從屬的對應關係，我們才能進一步決定，應該要選擇何種控管措施。例如針對檔案伺服器，我們可以進行存取權限的審查與控管，而針對儲存資料的媒體如磁帶等，我們可以選擇以加密的方式來進行資料的保護，當它需要運送至異地存放時，也要選擇適當的保全方法。因此，建議大家可先從管理面的角度來出發思考，再根據本身實際的需求考量，就可以幫助我們更容易判斷應該導入哪一種資安控制技術。

除了確保資料安全無虞之外，截至目前為止，每天仍有許多網站不斷受到駭客入侵，當正牌網站被植入了惡意連結之後，同時也轉變成為危害一般民眾的幫兇。較令人憂心的是，對於有些企業或組織來說，網站遭到入侵仍是漠不關心的一件小事，即使得知自家的網站已被成功入侵，管理人員也不願或沒有採取任何的修補措施。因此，一般使用者必須要尋求自保之道，例如像是更新作業系統的修補檔、安裝最新的防毒軟體和病毒碼、安裝反間諜軟體等，這些已是使用者必要的基本配備，而留意已遭入侵的網站資料，避免連上這些已經淪陷的網站，也是降低感染惡意程式的好做法。

但是對於企業而言，資安人員除了協助使用者採行以上這些措施，還有一項技術是可以考慮導入的，那就是建置具備網頁過濾功能的Gateway端設備，此一裝置除了可阻擋內部使用者連線至惡意網址之外，對於釣魚網站的預防和非正當網頁的瀏覽，以及像是即時通訊軟體的傳送檔案管制，都可以收到不錯的管理效用，也能為資料內容安全做了一層更深的把關。

資安工作的重點提醒

以上的觀察與建議，除了提供給資安相關人員作為參考之外，還有幾項重點工作的提醒，也是未來可以規劃及運作的方向，分別說明如下：

進行資安解決方案的整合 - 為了確保資料不會遭到外洩，透過資安方案的整合，可以從端點安全開始，即針對重要的使用者電腦進行檔案加密，同時進行週邊設備控管；如果使用者經常需要存取內部的應用系統，可再藉由網路存取控管機制，當電腦一連接到網路，就馬上對它進行身份認證及系統安全掃瞄，在確認使用者電腦所安裝的軟體都已經更新，並且符合所設定資安政策的要求之後，才允許它連上企業內部網路。
資安管理仍是一帖良方 - 據了解，政府相關的B級單位，最遲須在2009年底通過ISO27001驗證，因此導入有效的資訊安全管理系統(ISMS)，已是刻不容緩的工作。個人建議既然要做，就不可將拿到證書當作唯一目的，應該要抱著加強單位資安的心態來進行，因此在導入範圍的選擇上面，千萬不可避重就輕，仍要以關鍵的營運或服務系統為對象。
加強資安專才訓練 - 政府及民間企業的資安人力不足，仍是一項迫切需要改善的問題，根據資策會MIC在「台灣金融業資安投資現況與展望」調查報告中指出，以台灣的金融業為例，平均每一名資安人力，就需要負責221.4台電腦的資安工作，而1000人以上之金融業，每名資安人力更需要負責高達560.4位的員工。在這麼繁重的工作底下，非常需要專業的資安人員，並且要授權讓他們運用適當的工具，才能達到事半功倍的管理功效。
注意個資法的動態 - 未來一旦您所處的行業納入了新修正個人資料保護法中的規範，也就表示盡力保護儲存於企業中的個人資料，已是法律要求的必要做法。因此，企業若還是輕忽了個人資料的機密性，而將個人資料輕易地洩露出去，就必須接受法律所規範的罰則制裁，所以建議資安相關人員，請務必以「個人資料保護法」去Google一下，應該可獲得蠻多的資訊，可作為日後因應的參考。

隨著大環境的景氣不佳，許多企業單位皆進行組織整併或人事凍結，原來事多人少的資安工作，在此時此刻更顯得雪上加霜，不過，資安工作是一個持續性的過程，即使在景氣不佳的時候，其實也正是可以進行內部反省與檢討的時刻，因為既然花錢的事不太好說服老闆進行，但是檢討資安政策、落實資安規範、進行員工資安教育訓練，卻正是最好的運作時機，而所有資安工作的推動，仍有賴所有相關人員的共同努力，就讓我們彼此互相打氣加油！(本文刊載於2009年1月號網管人雜誌)

[觀點] 企業營運持續管理標準：BS 25999

Mon, 09 Nov 2009 04:54:00 +0000

隨著外在環境不斷變化與企業組織的擴張發展，在營運過程之中，來自於天然環境、競爭對手和市場變動所造成的影響，乃不可避免，企業到底該如何未雨綢繆，運用良好的治理與管理制度，來妥善處理這些衝擊改變，已成為企業高層與管理人員必須要學習的課題。

企業面臨危機而營運中斷的因素很多，除了天然災害如地震、颱風、火災等所引起的廣泛衝擊之外，因為設備故障如伺服器當機、硬碟資料損毀，以及蓄意行為如電腦病毒、駭客攻擊等所造成的營運風險也逐漸增加。

從IT層面來看，所謂的災難復原與備援系統的建置，若企業願意承擔起相關成本，技術上並非困難的事，難處在於管理階層究竟該如何進行規劃與組織人員訓練、評估何時該啟動災難復原程序、判斷作業程序是否合理，以及協調支援單位在一定時間內相互配合達成目標，最後形成一個企業營運持續管理(Business Continuity Management；BCM)系統，這些無一不是挑戰。

BS 25999的過去與現在

對於災害的應變與防護，國際上其實已有相關的計劃或標準，例如美國國家防火協會，即制訂了「災害/緊急管理與企業營運持續計劃」，作為發生災害時的緊急應變程序；加拿大也有「營運持續計劃指南」，確保企業的營運能在災害之後持續運作；新加坡「業務持續性與災害復原」標準SS507，更同時包含了IT災難復原和BCM兩項重要領域。

英國標準協會BSI過去也制訂「PAS56營運持續管理指導綱要」，作為企業在面臨營運中斷時，如何去維持關鍵企業營運的參考，目前則積極地推動更新的BS 25999作為營運持續管理系統的標準。

BS 25999標準分為兩個部份，BS 25999-1是作為參考手冊，已於2006年11月發佈，說明了營運持續管理的各項作業要點，包括建立程序、實作過程與指導原則，讓相關人員可以了解其實施方式，而BS 25999-2則是說明營運持續管理的要求，企業必須落實標準中的各項規範，通過稽核之後才能獲得BS 25999的認證，此標準於2007年11月底正式發佈。

BS25999提供了一個營運持續實施策略與框架，讓企業可以在重大事故之前，預先做好防範的準備措施，而在災難來臨時，也可以透過事先的妥善演練，來降低可能造成的營運損失，對於企業高層人員如執行長和董事會成員而言，具有BCM的策略規畫，可視為企業治理的重要任務之一，除了可以提升組織的應變與復原能力，更能滿足股東、上下游合作夥伴與客戶的要求。

BS 7799 VS. BS 25999

關於營運持續管理，在ISO 27001的前身BS 7799已有這個控制項目，說明企業需要識別關鍵的業務流程，進行風險評鑑以了解企業的弱點與潛在的威脅，再依照其重要性來排定復原的先後順序。BS 7799主要是從資訊安全的角度來看營運持續管理，提到企業營運持續計劃除了考量人員、資產與業務之外，其他相關設施只要牽涉到資訊的機密性、完整性與可用性，都要一併列入計劃之中，並且定期進行測試與改善。

BS 25999則是從整個企業經營角度來衡量，提到了更完整的營運持續管理生命週期(BCM Lifecycle)，包括了以下幾個階段：

了解企業的現況 - 由於企業的屬性與類型不同，所處的環境也有很大的差異，為了要評估在發生危機時可能面臨的衝擊，企業必須找出「什麼才是企業賴以維生的關鍵？」這有可能會是ERP、CRM，也可能會是Email或網路連線，因此必須透過「風險評鑑」和「營運衝擊分析」二種方式，來識別出面臨的威脅、弱點與風險值，估算可能造成的損失。另外最重要的，企業還必須要找出可接受的復原目標時間(Recovery Time Objective；RTO)，舉例來說，當一個人發生急性中風之後，若在三小時內沒有經過緊急搶救治療，就會造成難以挽回的遺憾，這是人人必須把握的黃金時間，所以如何在可容忍的營運中斷時間內進行應變，是企業要去審慎評估的。
制定BCM的策略 - 在了解企業的關鍵營運流程與可能會發生的災難之後，就可以根據企業的營運目標、資源與成本來制訂所要採取的因應策略，並且選擇能夠降低風險的措施。
發展與實施BCM回應 - 在此一階段中，企業必須要發展出一套營運持續計劃(BCP)，計劃中必須包括人員職責分配、教育訓練辦法、計劃啟動條件、緊急應變程序、備援機制、災難復原程序等。
演練、維護與審查 - 完成BCP之後，最重要的就是要進行測試與演練，確保計劃項目能夠一一順暢執行，在演練之後，還要針對有疏失的地方持續加以改進，以確保營運持續計劃能夠有效執行。
使BCM成為企業文化 - BCM是一個持續的管理、協調與監督過程，BS 25999標準中強調，必須要讓BCM深入成為企業文化中之一員，才能達到企業永續經營的目標。

BS 25999發揮的最大效益

或許有人認為自己在生活之中，不太可能會發生意外，每當身旁有人不斷提醒時，往往會認為是太過於「杞人憂天」，總覺得自己凡事皆能逢凶化吉。其實太過自信與缺少準備，往往使人們在面臨危機時手忙腳亂而造成更大傷害。

所謂「前事不忘，後事之師」，對於企業來說，以往無論是國外的911恐怖攻擊、倫敦地鐵爆炸、卡翠娜風災，國內的921大地震、東科大火、納莉風災、SARS等事件，許多的經驗都值得我們引以為戒，災害固然難以預防，但設備毀損、資料遺失，操作失誤所造成的損害，卻是企業可以事先規劃避免的。

BCM的基本精神就是要去「預料無法預料的事」，要將各種可能狀況的劇本預先準備好，確保意外或災難發生時，企業能夠依照事先擬定的因應方法，讓關鍵的商務活動不會因此中斷而造成龐大損失。但是，BCM的推動，準備條件除了人力、物力與經費之外，最重要的仍在於是否經過完整的測試與演練，能在時間內發揮預期的效用，這些都在在考驗著企業管理階層的遠見與決心。

所以，唯有透過不斷的沙盤推演，使相關人員確實熟悉各項應變作業流程，再經由模擬災難情況來實際演練，以評估計劃可行性，事後也務必進行檢討，針對不足之處予以修正，這樣才能發揮BCM的真正效益。(本文於2007年11月刊載於CNET網站)

[觀點] 別再輕忽實體安全管理

Mon, 09 Nov 2009 04:46:00 +0000

小陳是一家美容保養產品公司的MIS人員，隨著電視上有關美容保養的節目強力放送，使得美容DIY保養已蔚為風潮，公司從一開始接受傳真訂單銷售，到自行擴建了網路平台，短短幾年間就搖身一變成為以電子商務為主的網路購物公司，小陳也從單打獨鬥，晉升成為一個MIS小組長。

在公司機房主機的硬碟裡面，存放著這幾年來所有的客戶與交易資料，小陳每天都小心翼翼地注意機房的溫溼度、空調與電力系統，來維持這小型資料中心的正常運作，為了避免閒雜人等或是竊賊進入機房，小陳也建議公司設置了安全鎖，並且要求進出的相關人員必須填寫進出登記簿。

不過，總務人員說，為了一些資產設備維護的方便，也必須擁有一把鑰匙，所以小陳將另一把機房鑰匙交給總務人員保管，總務人員在鑰匙上貼了「機房」二字的標籤之後，就把它和一般的鑰匙都放置在桌上的文件盒裡，有委外維護的廠商需要進入機房時，只要向總務打聲招呼就能拿到鑰匙，總務並沒有仔細核對其身份，更沒有填寫進出登記簿，因為他認為只有公司的員工才需要去填寫。

管理問題重於技術問題

從上述的情況來看，小陳所有的努力，到了最後很可能會功虧一簣，因為經過總務座位的任何一個人，都有機會輕易地取得這把鑰匙，更何況上面還清楚地標示著「機房」二字，一旦有人成功竊取了機房鑰匙，或是以其他藉口獲得總務人員的信任，偽裝成維護人員進入機房，企業的重要設備或是儲存的資料，就會成為待宰的羔羊。

對於中小企業而言，若需要自行建置維護一個機房或是小型的資料中心，都會面臨到兩個問題，首先是預算與環境，因為要建置一個麻雀雖小、五臟俱全的機房，就必須要考慮機櫃、電力、空調、佈線、消防等硬體設施，不過這些都可以透過工程技術來加以克服。至於另一個也是最重要的問題就是機房管理，即使大多數企業都制訂了機房管理辦法或作業規定，但規定是否能真正落實，有沒有稽核機制來加以檢視，卻仍舊是個很大的問號，尤其是員工對於資安問題的警覺性與回報能力，可不是擁有一紙規定就可以統統達成的。

目前，許多企業對於所謂進出人員的管制，往往只是流於形式而已，這也是發生不當的內部資料存取與設備被竊的主要原因，惡意駭客只要透過「社交工程(Social engineering)」手法，像是冒充委外廠商的服務人員，或是尾隨在企業員工之後混入，甚至是假裝為同一公司員工，但是忘了帶門禁卡而請他人代刷，都可以輕易取得通行權進入企業內部環境，這時候，所有抵抗外來攻擊的網路安全設備已形同虛設，因為駭客早已另闢蹊徑，直接攻進了企業的核心。

資安強度決定於最弱一環

從ISO 27001標準的角度來看，對於「實體與環境安全」已有明確的管理要求，在附錄A9的控制措施中，即強調必須劃分實體安全邊界，並且實施實體進入的控制措施。另外，在本文條款的「4.3.3記錄管制」章節中，也要求對於資訊安全管理的各項記錄，必須加以妥善保存，像是人員進出機房管制區域的日期、時間，以及是否有人授權與陪同等，都需要有完整的文件記錄才行。

因此，企業該如何加強實體安全呢？除了參考ISO 27001的規範之外，讓我們回到一開始的小故事，文中提到的幾個情境，都可以轉化成為資安觀念，作為加強實體安全時的參考：

未核對委外服務廠商的身份 - 顯示出人員管制有疏失，企業對於委外服務的廠商，必須要確認其維護人員是否有事先申請，並且取得了管理階層的授權，在核對身份無誤之後才能進行相關作業，並且最好要有專人陪同。
機房鑰匙未妥善保管 - 顯示員工的資安教育訓練應加強，在企業的存取控制政策中，更應明訂鑰匙和通行碼保管人須善盡使用保管責任。
出入人員未填寫登記簿 - 顯示缺乏標準的作業程序(SOP)，就算來訪人員經過身份確認之後，也必須配戴清楚的身份識別標示，並且詳實記錄進出機房的日期與作業時間。

在電影「300壯士：斯巴達的逆襲」中，斯巴達國王提到了他的戰士為何能夠以寡擊眾，原因就在於每位戰士的防禦戰鬥都是交互掩護的，每個人都必須接受嚴格的訓練來習得防禦的能力，其中若有一個人無法發揮抵禦的作用，那就產生了一個缺口，整個防禦陣線也會因此分崩離析。反觀資訊安全的防護也是同樣的道理，資安的軟體、硬體、人員、管理、教育等層層相扣，每一個環節共同串起了資訊安全這條防禦鍊，而資安的強度就決定於其中最弱的一環，當某個環節出現裂痕，經不起外力的拉扯而斷裂時，無論其他環節多麼的強韌堅固，也發揮不了防禦作用，所以，千萬不要因為輕忽實體安全，而造成企業資安防線的潰敗了。(本文於2007年5月刊載於CNET網站)

[觀點] 網站應用服務安全防護之道

Fri, 06 Nov 2009 09:03:00 +0000

「我們的網站從來沒有發生問題，程式也運作得很好，有問題你先來攻攻看！」這是最近我從一位壽險業者口中聽到的話，除了感佩他的勇氣之外，也為這家業者和使用者捏了一把冷汗，原因是近來和網站有關的入侵攻擊手法，除了常見的使用者端網路釣魚與鍵盤側錄木馬程式之外，已經逐漸轉移到針對特定網站應用服務的攻擊。

由於以往傳統的蠕蟲、阻斷服務等針對網站伺服器的攻擊手法，在企業佈署了防火牆和IDS/IPS入侵偵測防禦等設備之後，都可以有效的阻擋，讓許多企業因此而卸下了心防。不過，若是採用像SQL Injection、Cross-site Scripting等利用正常連線方式，但卻夾帶著惡意指令與參數的攻擊，一旦網站存在著應用程式的漏洞，其重要的機密資訊像是使用者帳戶資料，就會在不知不覺中一點一滴地被竊取帶走。

防還是不防？這是一個重要問題！

讓我們先來看看，如果針對網站應用服務的惡意攻擊成功了，對於企業所造成的衝擊與影響有哪些：

使用者身份帳號與密碼遭竊取
打擊商譽及使用者信心
擾亂金融秩序
交易服務崩潰停擺
網站頁面損壞與資料遭篡改
損害賠償與回復清除之成本
非授權者存取到未公開或機密的資料

以上所提到的每一項，對於提供應用服務的企業都是難以承受的，因此在防與不防之間，企業必須根據所提供的關鍵應用服務來加以判斷。目前，提供網站應用服務的企業，主要以金融、購物等電子商務網站居多，但是也有包括製造業供應鍊上下游廠商等的應用系統，這些主管網路安全的人員，經常會犯下的錯誤有二個，一是太依賴防火牆和入侵偵測防禦系統的功能，二是完全忽略了不安全程式碼的問題。

對於一般防火牆來說，通常只有針對連接埠和通訊協定所維護的來源至目的地清單進行安全防護，而應用程式的攻擊，則是運用合法的網路通訊協定與連接埠作為掩護，防火牆會將之視為正常連線而不加以阻擋，因此，防火牆可以有效阻絕網路層的資源存取，但是對於應用層的存取防護卻無能為力。

至於入侵偵測防禦系統是著重在網路與系統的安全，主要針對網路層或是特定應用程式的弱點，以特徵比對的方式來進行過濾和警告，但是面對夾帶組合參數的網路連線行為或是以SSL加密過的封包，是無法加以察覺的。換句話說，入侵偵測防禦系統與防火牆只能提供有限的網路應用服務保護能力，必須還要針對應用程式的Web payload作深入的檢測，才能有效防範這一類的攻擊。

加強程式開發人員資安觀念

除了安全設備之外，另一項重要問題就是企業忽略了應用程式中所存在的不安全程式碼，導致面臨受到攻擊的風險。從ISO 27001標準中我們得知，所謂的風險是因為弱點遇上了威脅才會產生，拿生活中的例子來看，像颱風對生活在台灣的民眾而言，就是一個存在且難以避免的威脅，而為了避免風災所帶來的危害，我們可以從建築物的結構與防水防洪設施去加強，來減少弱點碰上威脅的機會，同時也降低了颱風所造成的傷害。

反觀網站提供應用服務的風險，則是來自於隨手可得的駭客工具與攻擊手法(威脅)，加上程式撰寫者的疏忽(弱點)所造成，所以對企業的資安人員而言，想要降低風險就必須從威脅與弱點來著手。只是，多數程式開發人員的第一要務，就是完成系統開發要求中的功能項目，而所謂的資訊安全問題，通常都會在完成系統功能驗收之後，隨著船過水無痕而消失無蹤，因此加強程式開發人員的資安教育，導入安全的程式開發流程，是資安工作中的重要一環。

未雨綢繆則有備無患

所謂「勿恃敵之不來，恃吾有以待之；勿恃敵之不攻，恃吾有所不可攻也」，具有危機意識，是資訊安全時代企業生存的必要條件，面對不斷翻新的應用服務攻擊，個人建議可從「預防」、「監控」、「稽核」等三方面來著手。

首先，在進行應用程式開發時，必須導入一個安全的開發流程(Security Development Lifecycle；SDLC)，從需求、設計、測試計畫、程式碼、測試結果到回饋機制的每一階段，都必須以安全性的要求來一一加以檢視，而利用應用程式弱點掃瞄工具，能夠在開發階段即提供安全程式撰寫上的建議，預防可能產生的程式語法漏洞。

接下來，在應用程式正式上線提供網路服務之後，仍必須定期進行弱點掃瞄，並且在閘道端佈署一道網路應用層防火牆(Web Application Firewall)，針對所有的網路連線流量一一予以檢查監控，應用層防火牆的好處是可以在網路伺服器之前，協助阻檔各項針對應用服務的攻擊，並且能持續監控連線行為，找出防範應用服務攻擊與漏洞修補的對策。

最後，在了解針對應用服務的攻擊風險之後，還必須分析記錄檔並進行資安稽核，確保漏洞都已經被修補，再藉由不斷地調整企業的資訊安全政策，來降低可能遭受攻擊的風險，以因應可能來自世界各地的網路應用服務攻擊。(本文於2007年4月刊載於CNET網站)

[觀點] 成為資安人才的學習之路

Thu, 05 Nov 2009 15:29:00 +0000

隨著金融海嘯的風暴席捲而來，企業也不斷傳出縮減人事的消息，在這個不景氣的年代，學習永遠是最好的投資，如何讓自己成為不可取代的人才，就需要去重新檢視自己的技能，而增強資安方面的知識，將是一條長久可行的道路。

隨著資安事件不斷地發生，以及政府相關單位的重視與要求，資訊安全已成為近年來很熱門的話題，但是，企業普遍都有優秀的網管人員，卻缺乏可用的專責資安人員。根據MIC在2007年針對台灣大型企業資安現況的報告指出，有七成大型企業的資安人力配置低於2人，其中5.6%根本沒有設置任何資安人力，而僅配置1人的大型企業也佔有30.4%，可看出多數大型企業的資安人力配置明顯不足。

目前，許多企業的資安工作，仍是交由資訊部門來主導負責，因此對資訊人員來說，除了確保網路連線順暢的既有任務之外，防制可能的網路攻擊也成為必要的責任，但是該如何去防治千變萬化的網路攻擊手法，若缺少適當的學習方式與管道，資安工作就會變成是個沈重的負擔，尤其是資安涵蓋的層面太廣，如果沒有適當的認知與學習方法，恐怕也會迷失在茫茫的資安大海之中。

資安人員的角色職責

根據個人的觀察，目前企業普遍欠缺的仍以資安技術人員為主，因為需要他們來協助建置維護相關的網路安全設備，例如防火牆、入侵偵測系統和防毒系統等。不過，也有企業是為了導入完整的資訊安全管理系統，因此更需要了解如ISO 27001等國際標準的資安人才，來協助導入符合資安標準要求的各項政策與作業規範。

所以，如果想要讓自己能夠在企業中有所發揮，變身成為資安人才，是讓自己不被取代的好方法。不過，我們需要先了解目前資安人員的角色與職責，依據本身已具有的專業技能，並評估企業目前的實際需求，再來決定要朝哪個角色職務來邁進。基本上，資安人員的角色可分為以下幾種：

資安技術人員 - 主要職責在於確保網路通訊安全、進行資安弱點評估、協助IT日常營運與與資安事件處理、系統與應用程式安全、負責資安產品開發、資安設備的建置與維護等，例如資安工程師、資安分析師、資安架構師等。
資安管理人員 - 主要職責在於制定資安政策、進行資安風險管理、資安事件應變管理、評估企業的營運持續與資安法規遵循，在企業中這屬於較高階層的管理職務，例如像是資訊長、資安官、資安小組召集人等。
資安稽核人員 - 主要職責為協助企業進行資安標準與法規遵循的稽核工作，例如資安稽核人員或電腦稽核人員。
資安鑑識人員 - 主要職責為進行資安事件現場鑑識調查、數位證據之蒐集檢驗與分析報告，以及擔任法院訟訴時的專家證人。在台灣主要仍以檢警調相關單位為主，像是調查局鑑識人員、刑事警察局鑑識人員和犯罪現場鑑識人員。
資安顧問人員 - 主要職責範圍為給予企業資安標準或產品導入建議、協助進行資安風險分析評估、資安治理諮詢建議，以及執行資安教育訓練等，常見的職稱有資安顧問、風險管理顧問和ISMS顧問。

資安人員必備的基礎知識

若想了解成為一位專業的資安人員，到底該具備哪些基礎知識，建議可參考2007年10月由美國國土安全部所發布的：Information Technology Security Essential Body of Knowledge (IT Security EBK)，以下是其14項知識領域項目，可作為您在決定資安學習方向的參考：

Data Security (資料安全)
Digital Forensics (數位鑑識)
Enterprise Continuity (企業營運持續)
Incident Management (事件管理)
IT Security Training and Awareness (IT安全教育訓練)
IT Systems Operations and Maintenance (IT系統營運與維護)
Network Security and Telecommunications (網路與通訊安全)
Personnel Security (人員安全)
Physical and Environment Security (實體與環境安全)
Procurement (設備採購)
Regulatory and Standards Compliance (法規與標準遵循)
Risk Management (風險管理)
Strategic Management (策略管理)
System and Application Security (系統與應用程式安全)

如果您對以上的知識領域有興趣，想要更進一步地去學習，但卻又不知該如何著手，建議可以從準備考取資安證照的方式來著手，因為證照所要求的專業知識，和IT Security EBK的領域有許多雷同的地方，若是還能藉由參與相關資安證照的訓練課程，那麼更是增強自己資安實力的最快方法。

資安證照的專業知識領域

目前國際間最知名的資安證照，非CISSP莫屬，CISSP是由國際非營利組織(ISC)2所提供的資訊安全專家資格證照，它設定的對象為負責制定資訊安全政策、推行資安管理標準的資訊安全專家，並且更獲得了美國國家標準學會有關資訊安全的ISO/IEC 17024證書標準，換句話說，此一證書可作為全球專業人員資格認證標準，確保已擁有資安各範疇之專業能力，CISSP的知識領域如表一所示。

表一：CISSP證照十大知識領域

1.存取控制	6.法規遵循與調查
2.應用程式安全	7.作業安全
3.業務持續與災害復原計劃	8.實體(環境)安全
4.密碼學	9.安全架構與設計
5.資訊安全與風險管理	10.通訊與網路安全

另一張很適合資訊人員來取得的資安證照是CEH(Certified Ethical Hacker )，它是由國際電子商務顧問局(International Council of E-Commerce Consultants；EC-Council)所推出，此一課程介紹駭客常用的工具與方法，以實際了解駭客行為，進而懂得如何保護網路與系統免受攻擊，並可學習如何去制定攻防策略，以防堵不法駭客的入侵。EC-Council的課程及證照已經獲得許多知名公司或政府單位的認同，包括Canon、HP、Sony、US Military、FBI、CIA、US Army等，其涵蓋的知識領域如表二所示。

表二：CEH證照之知識領域

1.倫理與法律	12.網站應用程式的弱點
2.足跡	13.密碼破解技術
3.網路掃瞄技術	14.資料隱碼的入侵模式
4.列舉	15.入侵無線網路系統
5.電腦系統入侵	16.病毒與病蟲
6.木馬程式與後門程式	17.實體安全
7.封包監聽	18.入侵Linux系統
8.阻斷服務	19.入侵偵測系統、防火牆與網路誘陷系統
9.社交工程	20.緩衝區溢位
10.連線劫持	21.密碼學
11.網站入侵	22.滲透測試方法

第三張個人推薦的資安證照是CompTIA Security+，它適合想要全面性的了解資安各個領域，以及剛接觸資安不久的相關人員，它是由成立於1980年，總部設於美國華盛頓的美國電腦協會(Computing Technology Industry Association；CompTIA)所推出，此協會致力於協助全球資訊產業發展、政府資訊產業政策制定與資訊技術的認證，會員遍佈102個國家，是全球性的電腦技術協會組織，也是全球最大的獨立認證機構，此一證照涵蓋的知識領域如表三所示。

表三：CompTIA Security+證照知識領域

1.安全概要	7.密碼學基本原理
2.攻擊、惡意軟體與威脅	8.密碼學的應用
3.網路基礎建設安全-基本安全概念	9.認證、授權與存取控制
4.網路基礎建設安全- IDS/IPS、事件處理	10.安全政策與管理
5.弱點與稽核	11.作業安全、營運持續與災難復原計畫
6.通訊安全與對策	12.其他安全相關課題

變身成為多重能力的人才

知名的趨勢大師大前研一說過，大多數的專業人才，都屬於擁有單一技能的「T型人」，例如像是網管人員，若持續在單一領域裡不斷鑽研，最終會成為網路管理的專家，但是可別忘了T型人只有一隻腳，除非真正進入一家仰賴單一專業技術的企業，否則在這個專業外包且成本更低的年代，只懂得單一技能的人員，就會產生被取代的潛在風險。

因此，僅有單一技能是不夠的，我們應該想辦法讓自己成為一個「兀型人」，也就是讓自己具備兩種以上的專長，有了兩隻腳之後就能夠站得更穩、看得更遠，甚至還能跑的更快，藉由不斷學習新知識領域的過程，使自己具備各項整合的專業能力，才能打敗不景氣，同時能往更高一層的職務邁進。(本文刊載於2008年12月號網管人雜誌)

舊留言存檔

以下留言轉存自原 Blogger 網站，僅供存檔，無法回覆。

匿名（2017-06-01）

近期有開政府補助課程-資訊安全管理師培訓班 http://eec.uch.edu.tw/web3/index3.asp?cid=307676

[觀點] 從記錄收集分析談IT Log管理

Wed, 04 Nov 2009 15:41:00 +0000

在現今的資訊系統和網路環境裡，Log幾乎無所不在，無論是在作業系統、應用系統和資料庫中，還是網路設備如router、switch，或是常見的資安設備像是入侵偵測系統、防火牆、防毒系統等，每天都會產生大量的Log資料，留下了系統與設備運作的各項記錄。

根據SANS機構針對全球2000大公司的調查顯示，驅使企業收集Log的前三項原因，第一是為了要偵測和分析與資安或效能有關的事件；其次則是想藉由IT控制和產生報表來預防系統的濫用，並提供法律上的鑑證；第三則是為了遵循像是沙賓法案、PCI資料安全標準、GLBA和HIPPA等法規的要求。

除了以上原因之外，像是協助評估和IT相關的事件，以減少可能的停機時間；或是需要去收集、分析、警示和歸檔與網路相關的資料，這些也是企業收集Log的原因。

Log收集保存的重要性

到底什麼是Log？其實Log就是資訊系統或設備在連線和運作時所產生的記錄。俗話說：「凡走過必留下痕跡」，藉由Log的收集和分析過程，可以讓IT人員能夠監控系統的運作狀態，並且判斷可能發生的事件，以及分析資料存取行為和使用者的作業活動。

換句話說，藉由Log的詳實記錄，可以幫助我們了解在企業的IT環境裡，究竟發生了什麼事，例如網路是否遭到惡意的嘗試入侵？系統和網路運作是否有異常情況發生？通常IT人員只要針對Log進行主動監控，就可以判斷可能的問題，或是在狀況未明時，透過Log的查詢分析，也能夠在很短的時間內找出原因。

從法規的觀點來看，Log管理更應視為IT營運策略中的一環，企業為了要遵守法規對營運和財務資訊的各項要求，Log的保存即顯得非常重要，尤其是它提供了稽核軌跡，讓稽核人員能透過對於Log的查驗，來確認企業的內部控制是否符合法規要求。如果萬一不幸發生了舞弊事件，Log也可以成為事件追蹤的管道，除了能釐清事件的發生過程，甚至可成為法庭上的證據，所以對於需遵循法規的企業，Log管理已經是必須要去落實的工作。

大量Log所產生的問題

隨著企業的規模和資訊系統與設備的增長，首先會面臨的問題就是眾多不同的設備和應用系統，產生了不同格式的Log，到底該如何去收集？而每天不斷產生的Log資料，一旦資料量超出人力可以判讀的範圍，又缺少適當的管理工具，對IT人員來說，反而會變成一種負擔。

過去，對於Log的管理方式，大多限制在單一的設備上，以防火牆為例，IT人員只能在單一介面上進行Log的查詢。不過，隨著混合式攻擊手法的普遍，只從單一的設備上，很難解讀出對於攻擊手法有效的判斷資訊，所以必須要透過不同的設備之間，利用時間或IP位址作關聯性的比對，才有辦法找出其中隱含的真相。

但是，如果要做到不同設備之間的Log分析，勢必就要針對Log進行集中式儲存與正規化處理，可是不同廠牌的資訊設備，產生的Log都分散在各地，即使能夠集中收集，隨著大量且不斷湧入的資料，到底該如何進行分類？資料要如何保存？如何查詢利用？這些都形成了管理上必須要面對的問題。

傳統Log管理的作法

基本上，針對Log的收集有二種作法，一種是讓設備自己將資料傳送到Log Server中，另一種則是讓Log Server定期自動地到各個設備去收集資料。不過，在某些應用系統上有時會很難運作，幸運的話，可能只需要安裝代理程式(Agent)，就可以協助收集到所需要的資料，但若不幸的話，一些委外開發的應用系統，甚至連產生Log的作法都沒有。

目前，Syslog是普遍被應用的Log server架構，但也有一些作業系統並沒有支援它，需要透過額外的工具來進行資料轉換才行。此外，Syslog的缺點是當網路傳輸流量大的時候，部份資料可能會因此而遺失，再加上預設的Syslog流量本身是沒有加密的，並且使用UDP通訊協定來進行溝通，在過程中很容易被假冒的訊息來攻擊。而除了Syslog，SNMP trap也是用來傳遞資料給Log Server的一種常見的方法，但SNMP一樣在傳輸過程中沒有加密，所以也容易遭到偽冒攻擊。

Log管理方面的建議

SANS機構的調查報告指出，在Log資料方面，最讓IT人員感到頭痛的地方，依序是收集資料、搜尋資料和產出報表。因此，在Log管理方面，有以下幾點建議，可做為IT人員的參考：

擬定適當的管理政策 - 在文件化的政策之中，首先應說明到底有哪些人需要存取Log資訊？通常可能會包括IT、稽核或法務人員；接著，必須決定哪些是重要的系統和設備，要如何去收集不同格式的Log資料；然後，還要定義哪些事件是需要優先監控和分析的，以Windows作業系統為例，需要留意的Log記錄可能會有：帳號登入失敗、帳號鎖定、建立了新帳號、使用者帳號狀態變更、修改安全群組、修改安全記錄、政策變更等。

選擇適合的收集方式 - 請先進行企業的網路環境分析，再決定收集資料的方法，若要採取集中化方式進行，就需要特定的Log server來處理，但是要注意當大量Log資料傳輸時，可能會造成的網路壅塞情況。另外，Log server本身也需要進行系統安全強化，以避免受到攻擊而失效。

應用適當的分析工具 - 大量的Log資料需要被分類、組織和搜尋，但是設備所內建的工具方面有時不是那麼容易使用，因此應選擇適當的整合式Log管理工具，並且測試確認是否能快速查詢分析，並產出符合法規或清晰易懂的報表，以滿足經營階層的需求。

選擇適當的儲存方式 - 許多法規都要求Log必須保存一定的年限，以PCI資料安全標準為例，它要求企業需針對Log資料進行審查，並至少保存一年以上，因此Log資料的儲存與查詢，會是能否符合稽核時的重點。在國外的訴訟方面，Log有可能也會成為法庭上的證據，因此必須要確保資料的完整性，在歸檔與查詢時應避免修改原始資料，另外也可考慮加密儲存，以避免資料遭到竄改，並將儲存Log的媒體，放置在安全的地點。

時間同步是重要關鍵 - 在Log管理之中，還有一個非常重要的地方，那就是必須確保各系統與設備時間的一致性，如果因為記錄的時間不同，在進行分析時，各個設備的Log資料即無法串連，甚至可能會誤導在問題處理時的方向，因此最好在企業內部架設一部Time server，以便所有設備可以進行時間同步。

最後，在本文所談到的Log管理和所謂的資安事件管理(SIEM)，兩者之間還是有些不同，Log管理可說是資安事件管理的基礎，主要著重在Log的收集、分析、儲存與查詢，以解決IT運作問題與法規稽核的要求。至於SIEM則著重在從Log之中，進行即時的關聯性分析，以識別出可能的資安威脅攻擊，同時還可發出警示，並進入後續的資安事件處理流程，這也是目前所謂資安營運中心(SOC)的主要運作模式。(本文刊載於2008年11月號網管人雜誌)

[觀點] 從資安威脅挑戰談端點安全防護

Fri, 30 Oct 2009 06:49:00 +0000

所謂的端點設備是泛指所有具備運算功能，並且會連接企業網路的桌上型電腦、筆記型電腦、PDA等手持裝置，以及具備無線網路、儲存媒體、可程式化控制的相關系統裝置等。在企業之中，一般使用者的電腦系統是比較容易受到惡意入侵的管道，因為駭客不需要去和企業的資安防護系統硬碰硬，就可以透過Web或是email直接滲透到使用者端，取得其所想要的資訊，而且每當有端點設備，在離開了企業的資安防護範圍之後，所面臨的資安風險更會大幅增加。

只是，面對為數眾多的端點設備，對IT人員而言，在管理方面將是一個頭痛的問題。舉例來說，雖然企業針對使用者的資訊安全防護，制定了安全存取政策(Policy)和控制措施，若是要透過人工的方式，一一部署到使用者端並且強制實施，似乎不太可能，所以必須要尋求一個自動化的方案。不過，在端點上所需的安全防護甚多，如果防毒有一項政策、防火牆有一項政策、遠端連線也有一項政策，需要分開部署或是安裝多重的使用者端代理程式(Agent)，對於使用者日常作業的穩定性和方便性，勢必會造成一些影響。因此，尋求一個可以全面整合並管控的端點安全方案，在單一Agent上支援所有的端點安全防護功能，會是比較好的實施辦法。

端點設備面臨的資安威脅

根據日前資安廠商Websense的2008年資料外洩意見調查指出，有高達99％的IT人員非常關心資料外洩的問題，其中有44％的受訪者更認為，企業最重要的資安問題就是「智慧財產權遺失」，其次則為「客戶個人資料遺失」、「財務資料遺失」和「員工個人資料遺失」。另外，也有63％的受訪者認為，由於外接式儲存裝置便於攜帶的特性，是最容易發生資料外洩的首要管道。

企業的端點設備，皆存放著大量的企業資料，一但遭到入侵成功，損失可能難以估計，特別是一些行動裝置如筆記型電腦，一旦離開了企業實體環境，就會有容易遺失或被竊的風險，如果硬碟裡所儲存的敏感資訊，沒有適當的加密防護，就等於是將企業機密雙手奉上給別人。目前，端點設備所面臨的資安威脅與管理挑戰，基本上有以下幾種：

惡意程式入侵 - 惡意程式像是病毒、蠕蟲、間諜程式的攻擊已愈來愈頻繁，尤其是駭客可跳過企業對外的資安防護，直接透過網頁瀏覽方式，讓使用者不小心下載惡意程式，直接入侵端點設備。
遠端連線竊聽與儲存媒體遺失 - 隨著行動使用者的增加，其所使用的行動設備與儲存媒體，在離開企業之後，會面臨遠端存取時的安全問題，企業必須要有可靠的身分驗證與資料安全傳輸機制，並針對行動裝置上的硬碟和USB儲存媒體，做好適當的管控與防護。
端點難以集中管理 - 企業內眾多的端點裝置，要如何進行統一的資安政策部署，並且增加資安管理的可見度，對於IT人員來說難度甚高，除了會增加管理成本支出外，更有可能影響使用者系統的穩定與效能。

端點安全的部署建議

為了因應以上的威脅與挑戰，企業可考慮部署端點安全解決方案，藉由全面性的安全防護來因應資安問題，不過在選擇評估時，建議需考慮以下幾點：

能偵測並阻擋惡意程式 - 端點必須具備防毒、防間諜軟體、防火牆等功能，並可透過中央控管方式，提高端點的可見度，也就是說管理人員有能力針對所有端點進行定期掃瞄，並且可掌握有哪些設備已經中了毒，還能夠針對端點設備的現況，提出詳細的安全報告。

可加密保護敏感性資料 - 行動裝置已經愈來愈輕薄短小，若是一不小心遺失了設備，而且資料本身並沒有保護措施，那麼重要的資訊就會立即面臨遭到揭露或存取的風險。保護端點資料安全的控制措施，應包括了磁碟加密、外接式儲存媒體加密和周邊連接埠控管等。目前針對資料的加密方式，可以對儲存媒體進行單一檔案加密、資料夾加密，或是整顆硬碟加密。另外，控管周邊連接埠的好處是，可防止資料被複製到外接式的儲存媒體中，也可同時防止像是USB病毒感染，避免惡意程式透過這些管道直接滲透至企業內部之中。

統一部署安全政策 - 在端點部署了安全政策，即可針對連線設備做好網路存取行為的管理，例如在連線之前可要求必須更新病毒碼和安裝最新的系統修補檔，並且限制其執行不被允許的應用程式，像是P2P軟體等。另外，針對遠端連線的使用者，透過安全政策的要求，可以檢查系統狀態是否安全，並且在安全的傳輸通道下，才允許他們連回企業的內部網路。

確保遠端連線安全 - 端點安全方案必須確保遠端設備能使用加密的安全通道，才可進行資料的傳輸，例如使用者在咖啡廳、機場等地使用公開的無線網路時，應透過VPN的運用，來避免連線過程可能被竊聽而導致資料外洩。

提供中央控管機制 - 具有中央控管機制，將可大幅降低IT人員在管理時的負擔，除了能協助派送必要的軟體或政策更新之外，還能夠即時監控、掌握目前的端點安全情況。對管理者而言，提供清晰的報表也是很重要的，因此良好的端點安全方案，應該要能協助管理人員簡化對於安全事件的管理。

減少對使用者的影響 - 一項新的安全控管措施在佈署時，最重要的就是要避免影響使用者現有的工作，降低對於使用者作業系統的衝擊。因此，好的端點防護方案應避免佈署多重的Agent，以防止系統資源過度消耗，造成系統的不穩定，雖然安全控制措施多少都會有一些效能的影響，但是應控制在正常運作的範圍之內。

循序漸進來解決問題

在端點安全方案出現之前，有許多企業已經部署了單一的資安防護措施，但是彼此之間卻缺少整合管理的能力，因此，目前的端點安全方案，最大的優勢就是可以進行安全防護的一致性整合，提供企業更快速簡便的管理方法。

如果企業已開始評估導入端點安全方案，對於產品的功能、建置時程、人員訓練，一定要記得詢問協助建置的廠商是否有完整規劃，尤其要考慮到可擴充的問題。因為事實上，如果有些產品功能目前並沒有迫切的需求，就不需要一次全部都導入，而是可採取適當的配套方法，先針對目前的需求來循序進行。

舉例來說，端點安全方案提供了全面性的防護功能，但是若現在最需要的是針對防毒、遠端連線安全、集中式管理所有端點設備，那麼防止惡意程式、個人防火牆、遠端連線VPN、中央政策控管就是該先行規劃的項目，至於硬碟加密、周邊控管、應用程式控管等功能，只要確認廠商有提供可擴充的方案，即可留待有需求時再行導入。(本文刊載於2008年10月號網管人雜誌)

[觀點] 從混合攻擊手法談整合威脅管理

Fri, 30 Oct 2009 06:37:00 +0000

近年來的資安事件，無論是網站入侵或是資料外洩問題，惡意人士採用的已不再只是單一的攻擊手法，而是會透過各種管道，先探測系統存在的弱點，再伺機植入惡意程式，這種混合式的攻擊手法，對企業運作已是一項重大的威脅。

舉例來說，像是七夕情人節剛過，有許多人的電子郵件信箱都會收到愛情告白信，若只是因為一時的好奇，按下了郵件中所附上的網址連結，很容易就會被植入蠕蟲，而成為散佈垃圾郵件的主機之一。此外，如果你還是個喜歡關心世界大小事的網路使用者，那麼最近自動發送給你的「CNN十大新聞影片(CNN.com Daily Top 10)」郵件，裡面附上了熱門新聞影片的網址，當你點選之後，它就會告訴你需要去更新電腦中的Flash Player程式，才能順利觀看影片，一旦你依照指示下載並更新了程式，它同時也偷偷安裝好了一隻叫做「TROJ_TIBS.CSZ」的木馬。

以上這些事件，已不再只是單純的散播病毒，而是混合了包括垃圾郵件、間諜軟體、蠕蟲和惡意連結等方式，把惡意程式裝扮成美味可口的模樣，散佈到企業的各個角落，意圖來引誘好奇心重的人們上當。如果使用者不小心受到感染，很容易就會成為殭屍網路(Botnet)中的一員，變成一個被利用的攻擊跳板。

全面資安防護大不易

當然，以上的惡意攻擊手法，對聰明的IT人員來說是不會輕易上當的，但是對企業為數眾多的一般使用者而言，即使管理人員已常常提醒大家不要開啟來路不明的郵件，他們還是很容易就會受騙，而且還會用無辜的語調說，「這封信看起來就是由CNN發的，而且連結的網頁也和CNN網站長得一模一樣，所以才會打開呀」。因此，除了加強使用者的資安意識之外，面對各式各樣的攻擊手法，我們還是得設法從技術面來加以預防。

目前，企業內部的基礎資安防護措施，通常包括了防火牆、入侵偵測防禦與防毒系統等，如果組織還包括了分支單位，或是有行動工作者需要遠端存取企業內部資源，那麼建置一個安全的連線管道如VPN，也是必要的安全措施。但是，這些防護措施說來容易，真正要管理起來卻不是那麼簡單，因為每項單一功能的設備，都會有自己的管理介面，也需要個別去設定各種安全規則與政策，每當IT人員面對眾多的資安軟硬體設備時，在管理上很容易就會發生掛一漏萬的情況，也就演變成為資安事件發生的潛在原因。

因此，對企業而言，資訊安全是一項全面性的工作，任何一個地方都不能夠有疏漏，只要有惡意人士發現了其中一個弱點，很可能就會利用它來危及整個企業的重要資訊與系統運作。不過，目前國內的中小企業，在缺少專職資安人員的情況下，資安工作通常都是交由IT人員來負責，可是IT人員平常的任務繁多，往往已經是身兼數職，一邊要確保主機正常運作，一邊又要維護網路，若再加上資訊安全這一項，就成為雪上加霜的沉重負擔。

認識整合式威脅管理

探討驅動這些混合式攻擊的背後目的，除了是為獲得有價值的商業資訊之外，竊取個人身份資料也是重要的原因之一。針對日漸增加的安全威脅，資安廠商也推出了整合防毒、防駭的整合式威脅管理(Unified Threat Management；UTM) 設備，來協助企業抵禦外敵，這些產品的出現，主要就是為了簡化過多單一功能產品的管理問題，以及考量到許多企業需要能夠集中管理的資安防護方案。

根據資策會資訊市場情報中心的調查指出，有近三成的企業沒聽過UTM這項產品，而UTM的效能不彰則是無法大量普及的最大原因。但是，隨著CPU與網路元件處理速度的加快，硬體效能已經得到大幅的提升，目前各家廠商正在努力思考的方向，其實是在「功能」、「效能」和「成本」之間，去創造一個擁有最合適平衡點的UTM產品。

對企業來說，導入資安產品的目的，最終還是要回歸到本身的需求，並且能夠解決所面臨的問題，雖然說UTM集合了各種功夫於一身，但是要寄望它同時將各種功夫都發揮到極致，基本上是不太可能的，就算有這種產品推出，成本花費也會是一般企業難以負擔的，所以在建置的過程中，廠商會努力和使用者溝通，才能找出符合使用者需求與適當的解決之道。更何況，有些企業並不想只依賴一個十八般武藝都很強的產品，他們真正需要的是一個容易部署且符合功能需求、能提供一定程度的安全防禦、在問題發生時能很快通報給管理人員的安全方案。所以，只要效能和成本比可以接受，採用UTM產品也會是一個不錯的選擇。

UTM產品的評估重點

如今，市面上的UTM產品種類繁多，到底要如何才能選擇一個適合企業應用的方案？基本上，個人認為UTM主要會適合以下情況的企業來應用：

希望簡化安全部署與管理的大型企業
人力和資源有限的分公司或中小型企業
需要針對遠端使用者，提供遠端存取與安全連線的企業。
尚未部署其他安全方案，希望在單一方案中整合防火牆、入侵防禦、防毒、VPN等技術。

因此，企業在評估採用UTM方案時，除了最令人關心的價格問題之外，還需要考量的因素有：

安全性 - 在UTM中所採用的安全技術，像是防火牆、防毒、VPN、入侵偵測等，是否在業界具有一定的知名度，企業除了要考慮個別模組的表現之外，也需要考量技術整合的整體安全性，是否有能力為企業有效阻擋各種安全威脅。

管理性 - 對於UTM設備來說，採用集中式管理是必要的功能，無論是組態設定、設備監控、產生報表，都必須要能透過統一的政策來進行。在管理方面，採用可彈性化與視覺化的物件設計，對於管理人員來說，將能大大減輕管理時的負擔與時間成本。

擴充性 - UTM所包含的安全與管理功能，必須是模組化且可更新的設計，因為對現今企業多樣化的網路環境而言，為了加強安全性，UTM設備不能只是一個固定的裝置，而要能夠隨著企業的成長需求，以彈性化方式進行調配管理。

高效能 - 適合企業採用的UTM，在系統平台上需要有特別的硬體設計，才能符合企業在效能上的要求，而透過支援高可用性，將使企業的關鍵業務不會停擺，同時降低效能上運作的瓶頸。

簡化管理是解決問題的關鍵

今日安全威脅的產生速度已愈來愈快，而且攻擊的層面也更加廣泛，企業在擬定資安防禦策略時，除了加強原有的系統防護之外，如何去簡化安全的管理機制，制定快速的事件處理流程，將是解決資安問題的重要關鍵。

現今的整合威脅管理產品，在先天上具有管理與佈署簡便的優勢，唯一要克服的，是效能與功能面的展現要求。不過，隨著硬體元件的改良，加上可擴充運作的方式，針對資安人力有限的企業，不失為一項良好的資安防護措施，在事事要求投資報酬率(ROI)的今天，如何去兼顧安全與成本，將是管理人員需要及早去學會的重要功課。(本文刊載於2008年9月號網管人雜誌)

[觀點] 從設備失竊事件談實體安全管理

Thu, 29 Oct 2009 03:41:00 +0000

2007年1月，美國國稅局存放納稅人資料的26個電腦磁帶，在堪薩斯市政府大樓裡遺失，雖然相關人員試圖找出磁帶的下落，但就如同許多失竊事件一樣，物品從此消失不見，唯一能做的就是祈禱裡面的重要資訊，不會遭到濫用而造成更大的損失。

對於IT人員來說，實體安全是一個很大的議題，牽涉的範圍也相當的廣泛，因此，往往是容易被疏忽的一環。從外圍建築物週邊的安全邊界開始，一直到企業內部機房和相關的資訊設備，都屬於實體安全中要保護的一部份，所以IT人員勢必要花費一番心力，才能瞭解實體安全的相關措施。事實上，企業要確保實體安全的目的，就是為了降低自然或人為因素來影響資訊資產的安全，以避免重要設施與敏感資訊不會遭到無意或有意的洩漏、竊取與破壞，而這即是實體安全的核心概念。

識別實體安全的風險

根據個人過去訪談的經驗發現，許多人對於實體安全仍然有一些錯誤的觀念，像是「我們的Server機器沒人要偷啦，又大又重的」、「我們公司門口有警衛，小偷搬不走任何設備的啦」、「我們Server的Console 都有登入鎖定，就算有人溜進去也不能操作」等。事實上，一旦有惡意人士進入了機房或敏感的安全區域，除了有機會能竊取資訊設備之外，其他可以進行的破壞事項還很多，像是破壞電力供應、網路線路或儲存媒體等，這些行為往往會造成更大的損失。

所以，實體安全的第一步，就是要先去識別可能的威脅來源。一般而言，實體安全所面臨的威脅可分為以下三種：

外部：指來自於外部的自然威脅，例如颱風、水災、火災、雷擊、地震等。
內部：指內部的實體基礎設施失效，像是空調、水力、電力系統等。
人員：指人為的因素所造成的損害，又可區分為有意與無意，有意的像是偷竊、惡意破壞、入侵系統等；無意的則是像不小心踢掉電源、在機房打翻飲料和堆放易燃的雜物等。

以天災來說，最簡單的方式就是評估企業所在區域，發生各項天災的機率有多高，然後再去思考是否有對應的風險控制措施。舉例來說，針對水患的部份，企業就要思考是否需備有抽水機具或阻擋水患的防水閘門；或者，是否應將重要設備如發電機組和儲存媒體，移至較高的樓層存放，這些都是可以考慮採用的應對方法。

當然，在實體安全方面還有一些事項，比較不屬於IT人員的管理範疇，像是如何裝設監視器和部署警衛人員等，所以有關這一部份，就需要尋求相關的專業人士協助。建議IT人員可以先列出有哪些安全需求，像是需要什麼樣的門禁管理，還有哪些地方希望要有監視記錄，再請保全人員來協助評估建置。

實體安全的控制措施

實體安全除了外部安全之外，就屬內部的資訊設施與員工是需要進行管理的項目，其中對於IT部門而言，機房是一個非常重要的地方。因此，當機房面對可能的威脅如高溫、停水、停電和水災、火災等情況，就需要事先擬好各種可以應對的劇本，在災難發生之前佈署預防與監測的措施，在災難後也要能迅速的處理回應。在實體安全的控制措施方面，需要注意的地方，簡單分類說明如下：

火災防治 - 建議在適當的地方裝置火災偵測裝置，而且滅火器最好放置在出口和機房，並且要有固定的擺放位置和明顯的標示，同時要記得定期檢測滅火器，並小心使用期限的問題。在人員方面，也要定期訓練並補充相關的消防知識。如果機房備有自動灑水系統的話，也必須事先了解灑水管線屬於哪一類，因為資訊設備一般都不會防水，若必須啟用自動灑水的話，建議以預動式灑水系統為佳。此外，IT人員務必牢記，當火災發生時，最重要的就是人員撤退問題，所以在火災評估與處理時，請以人身安全為第一考量。

空調系統 - 在空調系統方面，在機房內需要有恆溫、恆濕的溫濕度控制與空氣濾清裝置，對於大樓出入風口也要有妥善保護。一般而言，溫度需維持在20 – 25度，溼度則為40% - 55%。若溫度過高，電腦系統易發生當機現象，溼度過高，則設備易有短路問題，這些都是IT人員必備的安全常識。

電力 - 在機房供電方面，建議最好具備主要電力與備援電力獨立配電系統，另外像是針對突波與瞬間斷電的預防，也是要考慮的事項。一般而言，機房大多備有UPS裝置，在添購時即可將這些列為主要的功能要求。一旦斷電時，則需考慮哪些是優先供電設備，對大樓而言，照明裝置會是優先的，主要目的是為了逃生，若在機房中，則需列出重要系統的優先次序。最後，企業對於電源總開關與主配電盤防護、發電機安置地點及供油儲存，也要有良好的防護規劃，可千萬別輕忽了。

門禁管理 - 許多企業對於所謂進出人員的管制，往往只是流於形式而已，這也是發生不當的內部資料存取與設備被竊的主要原因。一般對於敏感區域的進出管控，像是資料中心、機房、高階主管辦公室等，只要有人進出的話，就必須要有適當的管理程序，記錄何人、何時、如何進出等。對於大樓的進出口必須要進行管制，例如設置警衛、檢查哨，尤其是有地下停車場的建築物，人員及車輛進出管制更是不可少的，在人員識別方面，需注意辨識準確度、速度及設置成本，一般可視安全敏感的程度，採取識別證、磁卡和生物辨識(指紋、掌紋、虹膜、聲紋)等裝置，也可搭配錄音錄影之監視系統。

總體環境安全 - 在總體環境安全的規劃方面，機房設置地點需要考量天災的發生頻率，並避免鄰近火源、水源和交通頻繁地點。機房之位置，則應盡量避免過於明顯的標示，以免成為侵入和攻擊的目標。在機房內部環境方面，建議使用耐火建材，並採行高架地板和密閉式天花板，管線規劃部份則採暗線進行，並且嚴禁在機房內堆放易燃物。

多一分思考就多一分安全

以往談到實體安全，經常會被誤以為就是一般保全或是機房安全，但事實上，在國外連區域的犯罪率，也是實體安全要考量的因素之一，所以我們必須適時採用全面性的觀點來看資訊安全問題，並且要做更多的思考。

對於實體安全，深層防禦(Layered Defense)是一個理論與實務兼具的最佳策略，個人則把它簡化為三個步驟：第一步是識別有哪些是屬於安全的區域、有哪些可能的威脅。第二步則依照不同安全等級的區域，選擇實施適當的安全控管措施。第三步，是必須追縱確認各項措施是否落實，並且定期予以測試和稽核。

只要透過以上步驟來檢視現行的安全做法，再予以適時改善修正，相信即可達到一定的安全要求。當然，實體安全不只是這麼簡單，除了上述談到的地點選擇、設備管理和人員控管之外，關於實體安全政策的制定和災難緊急應變程序，則是另外的管理重點，留待日後再和大家分享。(本文刊載於2008年8月號網管人雜誌)

[觀點] 從資料竄改事件談網路存取控制

Tue, 27 Oct 2009 06:50:00 +0000

在2007年12月，國稅局有位低階的三職等公務員，竟擁有修改納稅人資料的權限，並且利用查核系統管制上的疏失，涉嫌竄改「稅務電子管理系統」中，包括納稅人的性別、婚姻狀況、親屬等資料，製造出可退稅的資格來詐領退稅款項，不法獲利高達三百多萬元。

若從資安管理的角度來思考，從這個事件中，反映出了以下幾個問題：

納稅人已完成報稅的資料，為何還能夠進行修改？
低職等的人員為何會擁有更高等的權限？
對於重要敏感系統的連線存取，為何沒有適當的管控措施？

一般而言，若是沒有作好網路使用的管制，一旦有人順利進入企業內部，並且發現無人使用的網路插孔，這時候只要將網路線接上可連網的裝置，即可輕鬆連線存取區域網路。如果一些應用系統上面也沒有作好權限控管，或是有員工在網路芳鄰上分享資料，那麼有心人士要取得一些有用的敏感資訊，並不是一件困難的事。

此外，若缺少了適當的網路監控工具，網管人員其實也很難掌握使用者，到底是從什麼地方？利用什麼樣的裝置來連上企業網路？更無法識別使用者的身份來賦予適當的存取權限，或是進一步限制使用者可存取的應用系統。所以，聰明的人，只要利用合法的連接埠或通訊協定，就可繞過網管的限制，而隨心所欲地存取各項網路資源。

網路存取控制基本架構

過去，企業多半著重在防禦外部的攻擊，以為部署了防火牆或入侵偵測防禦等系統，就等於作好了資安防護工作，而忽略了來自於內部的非法連線或惡意存取，將會造成更大的破壞與影響。如今，隨著各家廠商的努力研發，網路存取控制(Network Access Control；NAC)方案已經有了不同的面貌，透過多層次的安全架構與彈性的佈署方式，可以有效驗證網路使用者的身份，並且透過政策(Policy)的設定，來控管使用者僅具有適當的存取權限，以預防可能的資安事件發生。

目前，NAC還不算是一個業界標準，因此屬於同樣類型的解決方案，還有其他的說法像是：UAC、NAP等，但基本上它們目的都是相同的，如果要用一句話來形容網路存取控制的目標，那就是「必須確保只有合法且安全的裝置，在給予適當的權限之後，才允許它連上內部網路。」此處的合法，指的是必須要「經過身份驗證」，而安全則是要求符合預設的政策，像是「確認連線裝置已安裝系統修補程式、防毒軟體和防火牆等」。

歸結起來，一個網路存取控制方案的架構，基本上有三個主要的元件，各自負責不同的任務，簡要說明如下：

Agent - 必須要安裝在每一台電腦上，用來收集使用者端連線裝置的資訊，確保系統安裝了安全防護軟體，並且已修補了系統漏洞。通常網管人員一聽到Agent，直接聯想到的就是佈署上面的問題，目前NAC的Agent主要是透過使用者以瀏覽器啟動Active X方式來安裝，避免需要耗費人工安裝的問題，不過若是Windows以外的系統，有些就必須以人工來安裝。如果在某些情況下無法安裝Agent，也有所謂Agentless的方式，可透過AD的管理者權限，或是以掃瞄的方式來收集使用者端的資訊，但其缺點則為耗時且功能不夠完整。

Enforcement - 通常Enforcement可由DHCP、Gateway或Switch來擔任，其他支援802.1x的網路設備也能一起協助把關，它是網路裝置連線後會遇見的第一道關卡，負責檢查使用者的電腦狀態是否合乎安全政策的要求，就如同入境時進海關一樣，會要求旅客必須出示證件來證明其身份，並且檢查有無攜帶違禁品。如果一切合格之後，它會詢問Policy Server要開放何種權限給使用者，可以通行到哪裡？如果不合格，就會把使用者請到小房間裡隔離起來，作更進一步的要求與確認，等到更新之後且合乎了政策的要求，才會允許進入。

Policy Server - 主要儲存規範使用者行為與權限的安全政策，並且協助使用者和AD或RADIUS來進行身份驗證，在Policy Server中定義了每個角色(Role)具備什麼權限？可以使用哪些應用程式？可以存取哪個網段的應用系統？

適合導入產業與部署建議

企業想要做好網路存取控制，主要的目的就是為了分辨合法或非法裝置、控管存取權限，以及確定連線裝置是安全的。當然，在不同的產業，對於網路存取控制有不同的需求，依照個人的觀察，適合導入網路存取控制的產業，通常具有以下特徵：

分點過多且有遠端存取需求
要求訪客的電腦安全
高度資料保密
具有研發部門
要求存取權限區隔

至於在部署的考量方面，企業需要事先評估的項目有：

支援度 - 需考慮不同系統平台的Agent部署方式，評估要採取事先安裝、遠端安裝，或是不安裝agent來進行。另外，要考慮是否支援目前的身份驗證方式，像是支援AD、LDAP和RADIUS，還有是否支援所使用的防毒軟體等。
相容性 - 部署前需要評估和網路架構的相容性，若是採用802.1x方式，則需要評估設備是否能支援運作。另外，也要考慮應用程式的相容性問題，確保企業內部客製化的應用程式，在NAC的架構上也能夠順暢使用。
隔離處置方式 - 需要了解使用者若是不符合政策要求，到底是如何被隔離的？是否被隔離在不同的網段，以及要如何引導使用者進行更新？必須有明確的指示可協助使用者在更新完成之後，能夠順利再次登入網路。

以逸待勞是最佳防禦方式

讓我們回到一開始提到的竄改納稅人資料事件，如果事先部署了適當的網路存取控制措施，就可以避免不具權限的人去連線存取敏感資料。不過，網路存取控制並不是萬靈丹，如果使用者透過其他方式取得了合法身份，依然可循正常的管道來從事非法竊取資料的行為。

因此，今日的資安工作，應該藉由管理面和技術面共同著手，在管理方面，先從制訂存取政策與作業流程開始，要求除非獲得授權許可，否則一律禁止存取敏感資料；至於在技術方面，可強制進行身份驗證，設定強而有力的密碼設定規則，這會是一種有效的補強性控制措施。而藉由NAC的協助，還可以同時防止非法的網路連線存取，並阻隔惡意程式從內部爆發的問題。(本文刊載於2008年6月號網管人雜誌)

[觀點] 從服務中斷事件談營運持續管理

Mon, 26 Oct 2009 03:53:00 +0000

今日企業對於IT的倚賴已愈來愈深，無論是網路連線、資料傳輸或是系統問題，一旦無法正常的運作，連帶會使企業重要的營運服務也隨之中斷，當IT問題演變成為營運問題，也就代表資訊人員的責任更加重大，更需要去思考如何確保IT的持續營運。

2007年5月，日本全日空航空公司，因為國內線電腦系統當機，使得旅客櫃台作業停擺，飛機大排長龍，共有127個航班被取消，超過250個航班誤點一個小時以上，估計約有五萬名旅客受到影響；2008年3月，華航的電腦主機系統，也因為突然大當機，無法辦理旅客報到和行李託運，使得前往東南亞和東北亞的航班，被迫延誤一、二個小時，使得三千七百多人的行程受到影響。

除此之外，中華電信在2008年2月時因為簡訊中心發生軟體故障，導致有數十萬用戶，無法正常收發簡訊，經過數小時搶修之後，才慢慢恢復運作，但是恢復過程中，仍然有流量壅塞的問題，使得簡訊發送也受到延誤；同樣的時間前後，微軟MSN即時通訊也因為伺服器定期維修時間逾時，造成亞太地區的使用者，不能正常登入使用，斷訊時間長達了6個小時，連帶使其提供的電子郵件信箱也無法正常服務。

從國際標準來看營運持續管理

面對IT系統問題所造成的服務中斷，對資訊人員而言，最好的辦法就是在意外事件發生之前，根據各種可能的狀況，擬定好如何應對的策略，一旦災難真的不幸發生，就可以根據這些事先定義的作業程序來緊急應變，以確保關鍵的業務運作不會因災害而中斷，並且在最短的時間內，盡快將所有系統和服務回復到正常運作。

因此，企業的營運持續管理主要是從經營層面來看，或許你會說，我只是個小小的資訊人員，並不像老闆擁有決策權，談經營管理對我來說有點太遙遠，但事實上，正因為我們是資訊人員，是確保組織關鍵運作的小齒輪，所以更要吸收持續管理的概念，在危機來臨的時候發揮實力，減少災難對企業所造成的傷害。

目前，有關營運持續管理(Business Continuity Management)的規範，英國的BS25999是個很好的參考，這項標準分為兩個部份：BS25999-1是作為落實營運持續的參考手冊，對於營運持續管理系統，有完整的描述與實施說明；BS25999-2則是對於營運持續的管理要求，同時也是一個可以作為驗證的標準。

在BS25999標準中，營運持續管理的實施過程主要分為四個階段，分別是「了解您的組織」、「制訂BCM策略」、「發展與實施BCM回應」和「演練測試與改進」，礙於篇幅的關係，無法在此一一解說，建議可以參考BSI的官方網站 ( http://www.bsigroup.tw/zh-tw/ )，或是Business Continuity Institute (http://www.thebci.org/ ) 網站，可取得非常豐富的參考資訊。

落實營運持續管理精神

營運持續管理的精神是要去「預料無法預料」的事，根據各項可能造成損失的事件，預先擬訂相對應的劇本，一旦不幸發生時，就可以按照劇本演出，避免因手忙腳亂而造成企業更大的損害。

換句話說，營運持續的精神也可以落實到生活之中，例如我們要維持一個家庭的運作，首先要了解的就是家庭的關鍵活動是什麼？其中有一項可能就是你的工作，因為你的工作所帶來的收入，可以負擔家庭的生活支出，提供生活的基本保障。

但是，有沒有想過你的工作面臨的風險有哪些？可能的風險包括：因公司倒閉或工作績效不佳，被公司資遣或開除而失業；或是因為不小心受傷或生病，導致無法工作。所以為了要降低失業的風險，我們可以擬訂的策略是什麼？簡單來說，可能的方法有：

避免風險 - 把工作辭掉，乾脆自己當老闆，就不會被開除。
降低風險 - 待在經營穩健的公司，並且努力工作拿出表現。
接受風險 - 公司營運良好，倒閉的機率很低，所以不必怕。
轉移風險 - 購買醫療保險，一旦生病時不必擔心醫療費用。

根據以上這些策略，我們要自己評估適合並且可行的做法，再去收集更多資訊以訂出詳盡的計畫，像是想轉移風險時，到底該買什麼保險(意外、防癌或住院險)？一年能承擔的保費是多少？要找哪一家保險公司投保？適合的保額是多少？把它訂出來之後，再依照計畫一一去實施。

所以，同樣的方法回到企業來看，由於企業的經營型態與員工環境比家庭複雜，管理階層要考量的風險就更加廣泛了，而對於網管人員來說，我們要做的就是去找出網路管理的關鍵活動是什麼？當這些關鍵活動中斷時，可能造成的損失或影響有哪些？服務可容許中斷的時間是多久？我們要如何去降低發生中斷的機率？能夠實施的應對措施有哪些？最後，還要再經由不斷的演練、測試，以確認這些計劃是可行的，再針對有缺點的地方加以改進。

如何擬訂緊急應變計劃

在BS25999標準中，它提供了整個營運持續管理實施的策略與框架，讓我們可以依照不同的產業屬性，擬訂有效的應對策略，目的就是要降低災難發生時的損失。其中最重要的就是必須成立緊急應變小組，在災難發生的第一時間內，依照所擬定的緊急應變計劃來進行，避免人員、系統、組織受到更多的傷害。

因此，擬訂一個緊急應變程序是非常重要的，例如企業在撰寫網路營運應變程序時，建議可從以下角度來思考：

偵測 – 網管人員必須設定一些工具或偵測措施，來偵測網路流量是否異常，或是發現某個網路裝置是否產生負載問題。

通報 – 一旦發現異常事件，我們可能需要通知其他的網管人員或資訊主管來共同防範，也需要選擇快速有效的通報方法，例如透過簡訊或電話。

判斷 – 網管人員必須進行初步判斷，是否要針對事件進行持續監控，或是採取更進一步的處理，因此，必須清楚定義事件的等級與對應的措施。

處理 – 網管人員可視損害情況，取得授權後進行緊急處理，例如是否要阻擋惡意IP來源封包、是否要停用網路介面或設備、是否需要更改設定組態等。

記錄 – 最後，網管人員務必牢記，所有的過程都必須要留下文件或記錄檔，以便進行後續的事件查核，並且作為日後改善的目標。

凡事預先防患於未然

在古書《左傳》裡提到：「居安思危，思則有備，有備無患。」相信這是大家在學校都有唸過的一句成語，但是要如何去縮短知道與落實之間的差距，對我們來說才是一大考驗。幸好，我們可以隨時看看別人、想想自己，從已經發生過的事件，或是參考國際的標準規範，來思考出適合的應對方法，而透過了解營運持續管理的概念，無論是在工作或生活之中，對我們一定都會有實質的幫助。(本文刊載於2008年5月號網管人雜誌)

[觀點] 從照片被竊事件談資料儲存安全

Mon, 26 Oct 2009 03:40:00 +0000

首先，讓我們回顧一下近來一些重大的資料外洩事件，在2007年11月，英國稅務海關總署的員工將存放2500萬筆兒童福利輔助及銀行帳戶資料的光碟片，透過郵寄方式不小心弄丟，造成數百萬民眾必須向銀行查閱帳戶資料以及更改密碼；繼這個事件之後不久，英國皇家海軍一名軍官，也因為將筆記型電腦放置在停車場的車子裡被竊賊偷走，使得裡面儲存的60萬即將入伍的士兵個人資料不翼而飛；在2008農曆年前後，某香港藝人因為將個人電腦送修，即使事前已將硬碟的資料刪除，但仍然被惡意人士利用資料還原工具將隱私照片復原，再複製出來散佈至網路上，引起了軒然大波，也突顯出敏感資訊究竟該如何儲存以及保護的問題。

對於企業來說，現今筆記型電腦的使用者日益增多，企業員工在所使用的筆記型電腦裡，經常會存放個人工作的電子郵件、客戶和交易資料，以及研究技術等敏感資訊，究竟該如何去保護這些資料儲存時的安全，已形成IT管理人員一個相當頭痛的問題。而除了筆記型電腦中的硬碟之外，還有許多隨身的儲存設備，像是外接式硬碟、USB隨身碟、含記憶卡的手機、PDA，或是像易於攜帶的MP3、數位相機等，都可讓使用者在小小的裝置裡，儲存大量的資料，若是這些資料為個人隱私或是商業機密，只要有易於攜帶的特性，就代表被竊的風險隨之升高，一旦遭到有心人士利用，後果將不堪設想。

凡走過必留下痕跡

根據資安廠商Check Point在2007年12月針對424位台灣企業受訪者，詢問有關企業建置資料安全解決方案的調查指出，有57%的企業已經意識到行動裝置可能帶來的資料外洩風險，也已制定了保護行動裝置內容的政策，但其中會使用資料加密方案的企業卻只佔51%，顯示出企業雖然具有行動資料安全風險意識，但是在落實資料保護與儲存安全方面，仍有相當大的改善空間。

因此，如果您是企業的行動工作者，請思考以下問題：

請問您是否會在Notebook/隨身碟存放重要商業資訊，例如產品報價成本、客戶機密資料、研發技術資料，以及個人隱私如帳號密碼、信用資料等？
如果您的Notebook/隨身碟遺失或被偷了，裡面所含的資料有良好的保護嗎？
當個人電腦需要送修或報廢時，您硬碟裡面的資料該如何處理？
將舊手機送給朋友或上網拍賣時，您確認個人資料已經刪除乾淨了嗎？
您是否以為曾經儲存的資料或照片，只要把它刪除就安全了？

以上這些問題，若在您心中沒有很肯定的答案，那麼您應該小心謹慎手邊所儲存的重要資訊，並且尋求企業內部IT或安全人員的協助，因為事實上，一般電腦作業系統像是Windows在刪除資料之後，即使一併把資源回收桶也清空了，資料並不會就此消失，作業系統只是在硬碟的檔案表中做了註記，讓您以為這塊空間已經清除，可以再存入新的資料了，但卻必須要等到下一次有其他資料要儲存時，覆寫了這一塊硬碟儲存空間，您的原始資料才會被覆蓋過去，而難以被還原回來。

所以，就算一些敏感資訊您已經事先就將它刪除了，但是在資料尚未被重複覆寫、也沒有被完全銷毀之前，如果有惡意人士以任何方式獲取了您的硬碟、隨身碟或是記憶卡，只要利用一些檔案還原工具，就可以輕易地把您已經刪除的資料再次復原回來，個人隱私或商業資訊仍很可能就會被竊取盜用。

將小口袋裡的大倉庫上鎖

對於企業IT管理人員而言，究竟該如何讓使用者具有資訊安全的認知，並且進一步去預防資料的外洩？到底有什麼好方法，可以保護企業或個人的敏感資料不會外洩呢？以下幾點建議可作為管理人員的參考：

資安教育訓練 - 企業內部可透過員工教育訓練來宣導，讓使用者了解應該盡量避免在會攜出的筆記型電腦，或是隨身儲存設備中存放企業機密資訊，如果必須要存放的話，務必自行採取一些防範措施，例如針對office等檔案，最簡單的方法是設定密碼才能開啟，但最好的方式則是透過加密工具將檔案加密。

加強存取控制 - 管理人員應依據「Need to know」原則，為使用者設定適當的資料存取權限，以避免非業務及非財務相關人員接觸到機密資訊，進而有機會將它攜出外洩。

部署安全方案 - 企業可導入完善的資料保護方案，透過完整的「全硬碟加密技術」，針對筆記型電腦的硬碟和隨身儲存媒體進行加密，即使電腦遺失之後，惡意人士欲將資料轉存到其他地方，仍然無法通過身份認證機制，也無法打開瀏覽您的檔案。

另外，若員工的電腦需要送修時，記得一定要先將硬碟取出，以避免憾事發生，而企業內部曾存放過機密資訊的儲存媒體，若需要進行報廢處理時，則建議最好將硬碟進行實體破壞，或採取低階格式化，將硬碟資料重覆複寫七次以上，以避免曾經存在的機密資料再度復活。

參考資安法規的要求

國際上有許多法規，對於資料儲存都有一定的保護要求，以資訊安全管理系統標準ISO 27001為例，針對設備安全，在控制措施的條款A9.2.4裡即提到，若資訊設備需要進行定期排程維護時，必須實施適當的控制措施，並且考量由現場人員或是委外廠商來處理，在必要時，設備上的敏感資訊要把它清除，並且充份清查維護人員的身份，以防假冒事件發生；在條款A9.2.5則要求，內含重要、敏感和重要營運資訊的設備，必須要有專人看管，並且採取上鎖等保護措施。

至於有關設備的安全報廢與再使用，在條款A9.2.6裡提到，針對含有儲存媒體的設備，在進行汰換或報廢時，必須將含有敏感資訊的設備加以實體銷毀，或以無法被重新復原的技術將設備予以刪除覆寫，確保資訊已徹底清除。

最後，提醒IT人員務必謹記在心，只要是曾經存放過的敏感資訊的儲存媒體，在處理時都必須要確認、再確認才行。(本文刊載於2008年4月號網管人雜誌)

[觀點] 從購物詐騙事件談網站安全防護

Mon, 26 Oct 2009 03:24:00 +0000

最近，知名的電視購物與網路書店業者因資料外洩，遭到詐騙集團利用這些客戶資料與購物記錄來矇騙消費者，謊稱因不小心設定為每月扣款，要求消費者必須至ATM 提款機操作更改，在過程中伺機引導消費者轉帳至詐騙帳戶，造成許多消費者的金錢損失。

而另一家購物網站，則是遭到歹徒不斷地利用測試帳號和密碼的方式，企圖冒充購物網站會員的身份登入，這種手法有別於以往常用一些駭客工具來破解帳號密碼，而是先去入侵其他網站，在取得網站會員的個人資料之後，再採用人工的方式，到其他網站來逐次逐筆的輸入，如果該會員使用相同的密碼，很容易就會被入侵成功。

狡詐多端的資料拼圖手法

根據刑事局的研判，購物業者的資料會外洩，很可能是因為網站資料庫遭到駭客入侵，或是內部人員擅自將客戶購物資料外洩所造成。一般而言資料庫會遭到入侵，通常是資料庫本身存在著安全漏洞，例如主機未安裝系統修補檔、存取權限設定不當，或是存取資料庫的應用程式，有撰寫語法上的問題，使得駭客可以輸入惡意指令來獲得資料表中的內容。

若資料是經由企業內部人員攜出外洩，也顯示業者沒有針對客戶資料進行妥善保護，對於會接觸到客戶資料的相關人員，並未管制儲存設備如隨身碟的使用，更沒有進一步監控其透過網路傳輸的內容。當然其中最重要的一點，就是企業缺少了一個資訊安全政策，無法透過它來宣導並告知相關人員，維護資訊安全的重要性，以及違反資安規定的後果。

行政院研考會的調查則指出，目前已有近五成的網路族會使用電腦上網購物，如果因為網站業者沒有做好資訊安全防護工作，使得會員的資料外洩，導致它被用來進行電話詐騙，或是作為猜測其他購物網站的登入密碼，將會造成一連串犯罪的連鎖效應。

就像此次利用購物資料的詐騙行為，讓我們見識到利用虛擬世界(網路)登錄的資料，再結合實體世界(電話)的詐騙手法，已成為一種新興的犯罪手段，這種新的入侵手法，也被稱之為「資料拼圖」，它利用別處獲得的身份證字號(帳號)來搭配密碼組合，使得破解成功率大為提高，更可避免因為猜測次數過多，而遭到系統鎖定停用帳號，所以一旦順利猜中並登入系統之後，就可獲得此一網站已註冊的會員資料，最後再利用它來進行電話詐騙。

資料安全最佳實務─PCI-DSS

對網站業者而言，資料外洩除了造成客戶財物損失之外，更會對網站的聲譽造成重大的打擊，一旦消費者對於購物網站失去信心，拒絕在購物網站消費，那麼業者未來的損失更是難以估計。到底業者該如何防護網站的安全，除了諮詢資安專家的建議之外，由American Express、Discover Financial Services、JCB、Master Card Worldwide、Visa International等五家知名的信用卡業者共同組織的PCI Security Standards Council，所制定的「支付卡行業資料安全標準(PCI Data Security Standard；PCI-DSS)」，也可以作為電子商務業者加強資料安全的實務參考。

雖然，PCI-DSS標準主要是用來保護信用卡持卡人的資料，但其目的就是為了要保護個人敏感資訊，以確保電子商務的交易安全。因此，對於提供線上交易的業者而言，主動落實PCI-DSS中所明訂的各項要求，將可有效保護網站交易的各項資料。目前在PCI-DSS標準中，主要分為6大類及12項基本要求，簡要說明如下：

(一) 建立並維護一個安全的網路
　　要求1：安裝並維護良好的防火牆配置，以保護持卡人的資料
　　要求2：不使用設備出廠的預設值，例如管理密碼和其他安全參數

(二) 保護持卡人資料
　　要求3：必須妥善保護持卡人的資料
　　要求4：透過公共網路所傳送的持卡人敏感資料，必須加密

(三) 維護一個弱點管理系統
　　要求5：安裝防毒軟體，並經常更新程式和病毒碼
　　要求6：發展及維護安全的系統和應用程式

(四) 實施強而有力的安全存取控制措施
　　要求7：依據業務需求，限制對於持卡人資料的存取
　　要求8：對於進行資訊存取的個人，只賦予一個唯一識別碼
　　要求9：限制持卡人資料的實體存取

(五) 定期監控並測試網路
　　要求10：追蹤並監控存取各項網路資源和持卡人資料的過程
　　要求11：定期測試系統安全與流程

(六) 維持一個資訊安全政策
　　要求12：實施並維護一個資訊安全政策

網站與資料安全管理建議

企業除了參考PCI-DSS標準的要求，來加強各項網站與資料安全措施之外，在資訊安全管理方面，個人建議可以先從以下三方面來著手：

系統(System) - 基本的網路系統防護，像是建置防火牆、入侵偵測系統等是一定要的，並且要定期針對系統進行測試掃瞄，以確認已知的系統弱點都已修補完成；而針對重要的應用程式，可考慮採取原始碼檢視(Code review)的方式，來檢查程式碼是否存在撰寫漏洞。另外，流量大且交易多的網站，還可以建置一道網路應用層防火牆，透過第七層的深入檢查，來確保惡意人士無法使用組合指令或參數攻擊手法，利用系統可能的漏洞來竊取資料。

資料(Data) - 電子商務網站務必使用SSL的安全傳輸協定，可以確保資料在傳輸的過程中不會被竊聽，而針對敏感的個人與交易資料，無論儲存或傳輸，也必須採取適當的加密方式，以防止資料外洩。

人員(People) - 企業必須確保只有通過合法身份驗證的人才可使用網路，一旦發現非法者就加以隔離處置，以避免其伺機存取內部網路資源。最好的做法就是根據業務的需要(Need to know)，來限制人員對於客戶敏感資料的存取，換句話說，其他不相干的人，根本就不該讓他有機會接觸到客戶的敏感資料。

定期稽核找出安全漏洞

對於網站業者來說，一旦發現資料可能外洩時，就應該在第一時間內通知消費者，並且進行緊急處置工作，例如要求使用者盡快變更網站登入密碼，並且小心提防可疑的詐騙電話，以避免事件如滾雪球般愈滾愈大，進而造成更大的損失。另外，業者平時也要記得在網站上宣導，提醒消費者避免在許多網站使用同樣的帳號密碼，同時不要使用懶人密碼，這也會是一種最簡單有效的自保方式。

當然，除了導入適當的技術來協助之外，企業務必要定期進行安全稽核工作，從管理面來著手，以確保可能的系統漏洞都已經修補，並且合乎企業的資訊安全政策要求。另外，對於資料本身還要設定完整的追蹤監控機制，以了解到底是誰(Who)曾經存取過哪些(What)資料，作為日後可追查的證據之一。

最後，管理人員還需要去審查整個資料處理的流程，是否存在著商業上的邏輯漏洞，因為這種不牽涉到技術手法的入侵方式，往往更令人難以防範。(本文刊載於2008年3月號網管人雜誌)

[觀點] 從訊號盜用事件談無線網路管理

Mon, 26 Oct 2009 03:09:00 +0000

無線網路近年來掀起了一陣風潮，無論是在機場、旅館、咖啡店或是捷運站，只要使用具備無線上網功能的行動裝置，到處都可以連結無線基地台而輕鬆上網。無線網路的特色，就是利用空中的無線電波來傳遞電子訊號，只要透過無線網路卡來接收及傳送訊號，就可以進行資訊交換的工作，但也因為它看不見摸不著，所以潛藏了一些資訊安全問題，值得我們去注意。

根據無線網路安全廠商AirDefense最近針對美國各大都會區超過3,000家商店的調查指出，有超過2,500 個行動裝置像是筆記型電腦、PDA和條碼掃瞄器被這些店家用來連結無線網路，但其中有85%都存在著資料外洩或是被竊取的風險；此外，在調查中所發現的4,748個無線基地台中，有550個所設定的SSID連線識別名稱都太過簡單，很容易就會被猜中，而且有25%的基地台根本沒有採用加密措施，因此，透過這些漏洞，有心人士就能藉由收集無線基地台所溢出的訊號，伺機來進行非法的行為。

不可不知的無線安全問題

美國零售業者TJX公司，從2005年7月開始，至少有一年半的時間，由於無線網路遭到駭客入侵，惡意人士可自由地進入TJX的資料庫，偷偷盜取客戶的資料，造成至少4,500萬筆以上的客戶信用卡資料外洩，使銀行也蒙受了巨大的損失。同樣在國內，也曾發生歹徒使用自製的無線網路訊號捕捉天線，截取週圍未經加密的無線訊號，利用無線基地台的「無線溢波」來連上網路銀行，再以「懶人密碼」的方式猜測別人的帳號與密碼，在順利登入帳戶之後，就將別人的存款轉走，或是竊取其個人資料來盜刷信用卡。

為了因應容易忽略的無線網路安全問題，網管人員必須熟悉各項威脅才能加以反制，目前常見的無線網路攻擊手法，說明如下：

封包竊聽─在無線網路的訊號範圍內，只要利用一些監聽工具，就可以從空中截取無線網路的封包，如果這個無線基地台未啟用加密機制的話，包括SSID、使用者IP位址和傳送的內容，都會曝露在惡意駭客的手中。

偽冒攻擊─只要駭客得知所在位置的SSID連線識別名稱，就可以冒用這個SSID來架設偽冒的基地台，引誘不知情的使用者連線，再竊取使用者所輸入的連線帳號與密碼。另外，駭客也可以假冒無線網路卡的MAC位址，藉由修改網卡的MAC位址，騙過系統認證而成為合法使用者。

阻斷攻擊─駭客可以對無線基地台發出大量的封包，造成系統無法回應其他使用者的連線要求，使得服務停擺；另外，駭客也可以攻擊特定的使用者，發送反認證封包，使無線網路連線中斷。

攔截攻擊─駭客會結合偽冒攻擊與阻斷攻擊手法，同時與無線基地台和使用者連線，成為無線網路的中間人，在基地台和使用者都未察覺的情況下，所有傳輸的資料都會經由中間人來轉送，也就表示所傳輸的資料都會被這個惡意的中間人完全掌握。

如何保護無線網路安全

企業要保護無線網路安全的目的，就是為了確保透過無線網路所傳輸資料的機密性、完整性與可用性，不會輕易遭到惡意人士竊取利用，而導致企業的重大損失，因此，建議企業可以同時從技術面與管理面來著手，思考該如何加強無線網路的資訊安全。

從技術面來看，網管人員必須要記得修改無線基地台出廠預設的帳號和密碼，也要記得關閉SSID的廣播功能，並且定期更改SSID名稱，以避免被人輕易得知。如果是提供企業內部使用的無線網路，務必要啟用加密功能，以確保傳輸資料的安全，由於早期WEP的加密方式很容易就會被駭客破解，因此建議採用最新的WPA2來加密，可大幅增加安全性。

另外，在認證方式方面，採取帳號密碼或是802.1x的驗證方式是絕對必要的，如果在使用人數不多的情況下，還可以鎖定只有合法無線網路卡的MAC位址才能使用無線網路，多重防護就多一層保障。如果企業需要開放給訪客使用無線網路，可採取切割VLAN的方式將公用和內部網段做區隔，以避免不必要的網路攻擊或病毒感染事件發生，至於無線基地台位置的擺放，也需要經過事先妥善的站台調查規劃，以避免無線溢波的範圍擴大。

企業如果想要有效防禦各種針對無線網路的攻擊，還可進一步部署無線網路入侵防禦系統(WIPS)，藉由無線感測器即時的訊號偵測，來阻斷非法無線設備的架設與連線，並且也能保有各項監控記錄，可有效防範惡意駭客的入侵。至於從管理面而言，企業在開放使用無線網路之前，必須制訂無線網路使用政策，也要評估可能面臨的風險有哪些，建議從以下幾個角度來思考：

人員─無線網路使用者一定要經過身份驗證，對於內部員工需採取嚴格認證管控，而外來訪客也必須要登記之後，才允許使用無線網路。

設備─應明文禁止員工架設私用的無線基地台，尤其是敏感地區更要禁止攜入具無線上網功能的裝置，管理人員也絕不使用預設或固定的管理帳號密碼。

時間─限制可使用無線網路的時間，例如下班後即將無線基地台關閉。

位置─妥善規劃可供無線上網的地點，盡量避免辦公室死角及暗處可接收到無線網路訊號。

記錄─定期針對所有無線設備進行清查，稽核是否符合安全政策，並且監控與記錄是否有惡意攻擊行為發生。

不使用無線網路也要小心

或許有人會說，既然無線網路聽起來不太安全，那乾脆不要使用就好了。其實我們大可不必這樣因噎廢食，因為不管使用有線或無線網路，都不可能有百分之百的安全，其重點在於我們是否有事先做好降低風險的工作，即可防範危害資安的事件發生。

最後，還有一個觀念要分享給大家，那就是並非只有開放使用無線網路的公司需要管理，事實上，沒有使用無線網路的公司更要小心注意，因為現在的無線基地台愈做愈小，甚至具有無線網路卡的筆記型電腦也可透過軟體模擬成為無線基地台，只要有心人士偷偷將這些裝置和企業內網連結，這些平常人不會注意的小地方，往往就是企業資料外洩的大漏洞。(本文已刊載於2008年2月號網管人雜誌)

[觀點] 從離職竊密事件談員工資安管理

Tue, 13 Oct 2009 06:00:00 +0000

對企業來說，重要的資產通常可以分為兩種，一種是我們熟知的有形資產，例如廠房、機房、辦公家具、IT設備等，另一種則是無形的資產，包括了智慧財產、客戶資料庫和研發經驗等。不過，隨著企業逐漸的e化，有一種足以影響企業生存的「資訊資產」更需要去重視，因為資訊資產橫跨了有形與無形，只要任何對企業具有價值，並且和資訊有關的事物，就必須要和可見的資產一樣，能夠確保它的安全。

因此，為了要維護資訊資產的安全，企業可以建立實施資訊安全管理系統(ISMS)來協助，而在保護資訊資產過程之中，又以「人」最為重要，因為企業的經營發展，可能都維繫在每一位員工身上，所以，無論是管理階層或作業人員，都要具備資訊安全的意識與認知，才能讓企業長治久安，達到永續經營的目標。

為何要重視員工資安管理

企業若忽略了員工資安管理，究竟會造成什麼樣的後果，我們來看看以下這些真實案例：

某影像圖庫公司的員工離職之後，因原任公司並未凍結或刪除其email帳號，使其仍可進入前公司的信箱讀取商務往來之郵件，導致前公司的業務遭受損失。
某手機週邊研發公司兩名離職的創業員工，共謀偷偷侵入該公司高階主管的電子郵件，竊取仍在研發中的相關機密檔案，並且唆使仍在職之妻子，利用職務之便協助盜取公務資料，所得的機密資料價值估計達一億兩千萬元。
某電信業者員工將客戶資料盜賣給不法集團，竟被拿來作為電話詐騙之用，造成無辜民眾受騙上當。
某教育單位員工將所承辦之業務機密資料帶回家處理，因個人電腦中含惡意程式，造成200名軍訓教官個人資料外洩。
某國防單位採購中心，因廠商招待相關負責人員喝花酒，竟私自將招標工程文件外流販售，使重要軍事設施資料外洩。
某電視購物業者疑內部員工將客戶資料外洩，導致詐騙集團利用此一資料對會員進行詐騙。

根據IDC的資安調查指出，內部員工控管已經逐漸受到企業高層的重視，因為許多企業在網路安全上花費了巨資，對外建立起一道堅固的安全防線，以防止惡意駭客入侵來竊取商業資料，但卻萬萬沒有想到，竟會有內部的不肖員工，利用職務之便來取得機密資訊，進而兜售謀利，正好也應驗了「內賊難防」這一句話。

目前經由員工洩密的管道很多，像是電子郵件、即時通訊、隨身碟、網路P2P分享軟體等，在技術面方面，可透過權限控管、稽核側錄、內容管制、文件加密、上網行為管理等方式來處理。但是，許多時候員工其實是具有合法權限的，所以其不當行為往往具有更高的風險，此時就必須從管理面來著手，透過相關資安政策的制定以及教育訓練，讓員工了解資訊安全的重要性，也避免員工誤觸法網。

員工資安管理的注意事項

在財務方面，「管錢的不管帳」是避免個人舞弊的重要原則，對於資安方面也是很好的參考，要使責任分散以避免各項權限都集中在一人身上。另外，系統或網路管理人員在設定對於資訊的存取權限時，請務必遵循最小權限原則(Least Privilege)，讓員工不會接觸到不符合其職等權限的資訊，以避免資訊外洩的可能。

至於人員招募與離職的問題，這部份或許跟IT人員比較無關，但是有許多的作業流程像是員工任用與離職都已Web化，因此也需要IT主管和HR人事單位來相互配合，關於這方面的注意事項，說明如下：

人員招募時的注意事項 - 若是職務涉及資訊安全或是敏感性的工作，應盡可能地去了解該人員的背景，例如詢問曾任職公司的HR部門或單位主管，也要確認該人員所提供的資料，像是離職證明與學歷資料是否屬實。

成為員工後的安全教育 - 員工被正式錄用後，依員工的職務等級，要進行相關的資安教育訓練，使員工明瞭公司的資安政策，並進行相關資安法令的宣導。正式員工須簽署同意遵守公司相關政策的規定，如網路、郵件、電話使用規範等，必要時還須簽署保密協定(NDA)，同意即使在離職之後，不可對外洩露職務上所獲悉的商業機密。另外，員工若從較低職等升遷至較高職等時，需要HR部門進行人員的背景審核，並且告知該職等所需遵守的資安規範。

離職人員處理的安全步驟 - 從離職生效日開始，IT管理人員須將員工的帳號與資訊資產(如筆記型電腦)暫時凍結停用，待確認所有檔案權限都順利移轉之後，即將該員工帳號和權限刪除。在員工離職當天，要收回各項實體設施的存取權限，像是職別證、門禁卡、Token、文件櫃鑰匙等，也要公告離職員工名單，尤其務必告知櫃檯接待人員該員工已經離職，如果是善意離職的員工，應由主管陪同離開原辦公處所，若是不太友善或是遭到革職的員工，則建議由警衛人員護送離開。

還有，適時的進行職務輪調或讓員工休假也是一項好辦法，一方面可以檢視相關的工作是否有職務代理人可接手進行，一方面也可以了解工作是否隱含了個人作業疏失，所以在員工休假時，可暫時將其帳號停用，觀察是否有除了職務代理人之外，其他不正常的存取情況發生。

讓資安意識成為企業文化的一環

人是企業最重要的資產，企業的基本態度應是相信每一位所招募的員工，但是從資安的角度而言，凡事預防勝於治療，為了維護資訊安全，持續的員工教育訓練與資安政策的要求，是確保員工不會誤觸法網或導致資料外洩的好辦法。

除了教育員工務必遵守公司的相關政策規定之外，在資安教育訓練過程中，要讓員工了解目前常見的作業疏失、環境威脅和惡意的資安事件有哪些，另外也要使員工明白事故回報的重要性與管道，以及懂得小心防範利用「社交工程」的偽裝詐騙手法。

所以，管理人員千萬切記，要確保資訊資產的安全，最重要的關鍵還是在於人的身上，因為無論採用多麼安全的設備與技術，只要忽視了人員的管理，員工缺少了資安意識，一切都是白費功夫，也會讓資安防護變得不堪一擊。(本文刊載於2008年1月號網管人雜誌)

[觀點] 從資料外洩事件談DLP解決方案

Tue, 24 Feb 2009 13:03:00 +0000

從2007年底八大購物網站的會員交易資料外洩開始，資料外洩事件一直層出不窮，所導致的電話詐騙事件，更是社會關心注目的焦點。根據IDC的分析指出，機密資料的暴露，已成為企業最大的資安威脅之一，尤其是最近的資訊安全事件，主要著重在機密文件的竊取，也讓企業管理階層感受到，資安事件的發生將影響到企業商譽與營運；而不久前在美國舊金山舉辦的RSA資訊安全會議中，也提到在2008年，身份認證管理、網路存取控制和資料外洩防護，將會是企業所關注的重點，更是未來資安發展的趨勢。

目前，由於購物所造成的資料外洩事件仍不斷發生，個人推測可能的原因有二，一是業者本身抱著不負責任的心態，在事件發生時只是一味想要掩飾問題，或是乾脆將問題推給第三方的合作廠商，並沒有進行處理，使得民眾仍持續接到利用購物資料來進行詐騙的電話；二是有些業者內部缺少資安專責人員，不知該如何處理應對，或者只是採取頭痛醫頭、腳痛醫腳的方式，找不到資料外洩的真正源頭來對症下藥。

DLP解決方案簡介

針對有心想要加強資料保護的企業而言，資料外洩防範 (Data Loss Prevention；DLP)解決方案的出現，可說是協助企業防範資料外洩的一大福音，因為透過部署DLP的協助，可以同時從政策面與技術面來防堵資訊的不當外洩。

至今，DLP仍然是一項很新的資安解決方案，根據安全機構SANS Institute的定義，「DLP是指某些產品基於中央控管的政策(Policy)，透過深層的內容分析，能夠識別、監控，並且保護在儲存、端點、網路中的資料。」因此，導入DLP解決方案的目的即是為了保護企業組織中有價值的資料，包括：機密資料(R&D)、管理資料(HR)、財務資料(Financial)和客戶資料(Customer)等。

基本上，一個完整的DLP解決方案，必須具備三項主要特徵，分別是：「能夠以政策制定方式集中管理、能夠進行深度內容檢測，以及同時防範經由儲存設備、端點裝置和網路的資料外洩事件。」所以從定義上而言，目前許多的資安方案，例如郵件過濾、上網行為控管、端點安全等，仍只能算是具有某些DLP功能的產品，並不是一個非常完整的DLP解決方案。

DLP方案的基本架構

在評估DLP解決方案時，管理人員必須要理解，事實上很難只依靠導入單一產品，即可完全達到防範資料外洩的目的，更何況防範資料外洩這件事對企業而言，已是管理制度裡的其中一環，也因為資料防護在企業中需要全面性的展開，所以在部署時可能會面臨到的難題，通常並不是技術面的，而是高階管理人員缺乏足夠的決心與協調能力。

但是，管理人員仍必須要先了解DLP的技術架構，以決定要採取何種保護資料的政策與方法，現今DLP解決方案在架構上主要包含了三個要素，分別是：

Data at Rest (儲存資料) - DLP能夠掃瞄所有的儲存設備或含有資料的伺服器，識別出到底有哪些地方儲存了敏感資料，再依據事前制訂的政策來處理，舉例來說，管理人員可以掃瞄所有的檔案伺服器，識別出包含有「機密」註記的文件，如果伺服器上存有這一類型的資料，那麼就可以針對檔案進行加密或移除，或者是通知檔案的擁有者。

Data in Motion (網路資料) - DLP能檢查經由網路傳輸的資料，監控各個傳送的管道，例如HTTP、SMTP、FTP、Print、IM等，並且搭配設定政策來執行阻擋，並且限制資料被允許傳送的管道與方式。例如管理人員可以在政策上制訂凡是含有信用卡號的文件資料，一律只能透過E-mail(SMTP)並以加密方式傳送。

Data in Use (端點資料) - DLP可針對使用者端的裝置，監控資料在各個介面的交換傳遞，包括USB隨身碟、CD/DVD裝置、行動裝置如智慧型手機和PDA等，一旦發現有違反政策的行為，像是資料被執行複製/貼上的動作，或是想使用不允許的應用程式來加密，企圖躲避資料傳遞的監視，都會予以即時的警告、阻擋。

導入DLP的注意事項

目前，針對明顯易見的威脅，許多企業已有足夠的意識去預防或控制，但是對於資料的傳輸與交換，往往很容易就會掉以輕心。尤其是管理人員面對來自不同單位、不同部門的資訊傳遞，當違反政策時到底是要先予以阻斷？記錄？還是要通報權責單位？在管理上的考量本身就已是一項難題，更不用說還要考慮部署時的技術與成本。

因此，給予有心導入的企業，在建置前需要先思考以下幾件事：

1. Who：必須要去識別誰是資料擁有者(Owner)、誰是資料的保護者(Protector)或利害關係人(Stakeholder)。企業資料的擁有者可能屬於各個營業單位，而資料保護者可能會是IT資安部門、法務單位或人力資源部等。因此，實務上的做法可能是先組成一個跨部門的資料保護小組，來明確分派資料防護的任務，才能釐清各項責任與義務。

2. What：必須要定義您想要保護的到底是什麼？企業內部包含各式各樣的資料，所以最好的方法是先進行資料分類，設定資料處理流程和優先順序，並以文件化方式加以記錄，在設定重要性時，法規所要求需保護的資料，可能就是要優先進行的。

3. How：必須要決定如何去保護資料？明白所要保護的資料之後，就要針對各個交換資料的管道，決定如何去監視保護，並且要實行哪些控制措施。如果要進行全面性的防護，那就必須把所有網路協定、儲存設備和端點裝置明列出來，一一說明要如何進行監控與處理，這些也有助於管理政策的制定。

修訂隱私法規是當務之急

一旦個人資料透過詐騙行為，轉變成一種有價值的物品，即可預期會有惡意人士，想藉由各種管道企圖取得這些資料，再利用它從事違法的犯罪行為。因此，資料外洩事件會不斷發生，其實也突顯了另一項迫切的議題，那就是政府應當修訂更有效的個人隱私保護法規，以保障所有民眾的個人資料安全。

在國外，企業必須遵循相關的資訊安全法規，例如HIPPA (針對醫療隱私)、GLBA (針對金融交易資訊)、SOX沙賓法案(針對財務報表)、PCI-DSS (針對信用卡資料安全)等。但是反觀國內，目前保障個人資料的法規為84年公布的「電腦處理個人資料保護法」，保護的對象只限於「經電腦處理之個人資料」，範圍也僅限於公務機關和徵信業、醫院、學校、電信業、金融業、證券業、保險業及大眾傳播業等「八大行業」，而且屬於「告訴乃論」，所以並無法保障所有受害民眾的權益。

因此，除了期許政府盡速修法之外，更呼籲存有個人資料的企業，務必要善盡保管之責，一旦有資料外洩的疑慮，可尋求專家或資安業者的協助，適時地將可能的漏洞填補起來，相信只要有積極的作為，勢必可化危機為轉機，進一步提升企業的聲譽並獲得消費者的信任。(本文刊載於2008年7月號網管人雜誌)

[觀點] 從資料外洩事件談行動裝置管理

Fri, 20 Feb 2009 07:03:00 +0000

Apple iPhone的出現，讓我們見識到行動裝置的精巧與強大的功能，隨著行動裝置的製造技術突飛猛進，像是筆記型電腦、PDA、智慧型手機等各種可無線上網與儲存資料的裝置，已經普遍存在於週遭生活之中，雖然它們提供了豐富便利的科技生活，但相對地也帶來了潛藏的危機，那就是遺失裝置時可能造成的資料外洩問題。

安全機構Ponemon Institute的報告指出，有54% 的資安事件是因為筆記型電腦等行動裝置的資料遺失所引起，回顧過往的歷史，在2005年，美國飛機製造商波音公司一部含有38萬名現職及退休員工資料的電腦，因為員工一時疏忽放置在車上而遭竊；2006年，美國退伍軍人事務部也因為不小心遺失了筆記型電腦，造成了2,600萬筆退伍軍人資料的外洩事件。

另外，根據2007 CSI電腦犯罪與安全調查指出，從行動裝置中被竊取的資訊資產，估計金額高達234萬5千美元，值得深思的是，資料外洩除了對企業造成龐大的金錢損失之外，受創的更有無形的商譽與客戶信任。

行動裝置資料外洩的風險評估

曾經有人開玩笑說，「資安它說起來重要、做起來次要、急起來最好不要」，因為一旦做不好，可能就會讓自己成為眾人責怪的箭靶。但是，防止行動裝置所引起的資料外洩問題，的確已是管理人員責無旁貸的工作，萬一造成重要的營運資訊外洩，對於企業所造成的衝擊將難以估計。

所以，面對不斷增加的資料外洩事件，到底哪些資料該去保護？需要控管的行動裝置有哪些？遺失之後會對企業造成多大衝擊？這些都是要經過審慎評估的。

針對行動裝置可能產生的風險和有效的管理方式，建議管理人員可從以下的角度去思考：

Who─
到底是誰在使用行動裝置？是不是合法的使用者？是否給予適當的連線存取資料權限？

When─
什麼時候會需要使用行動裝置？外部連線回企業內網的時段是否該限制？行動使用者在登入網路之後，是否該定時執行政策掃瞄？

Where─
使用者會在哪裡使用行動裝置？會議室與公共空間是否開放使用？可供行動裝置使用的無線網路範圍有多大？

What─
行動裝置可以存取到什麼資訊？允許行動裝置存取的應用系統有哪些？什麼資料該有控制措施來防止被輕易複製帶走？

How─
使用者如何使用行動裝置？是否安裝了相關的安全軟體？資料傳輸過程中是否需採取加密措施？

Why─
為什麼需要使用行動裝置？該不該考慮強制禁止使用？

選擇適當的安全控制措施

在評估了行動裝置可能產生的風險之後，接下來我們可以採取一些控制措施，來降低使用行動裝置的風險，從技術面可考慮實施的方法有：

部署網路存取控制方案 - 企業可藉此掌控所有連上網路的裝置清單，區別合法與不合法的裝置，並分別賦予其適當的權限，在連線時進行惡意程式與系統掃瞄，同時也要記錄行動裝置在存取資料時的行為以供日後稽核之用。

設置密碼與資料加密 - 對於筆記型電腦等行動裝置，必須設置BIOS開機密碼和Windows登入密碼，另外還需要針對硬碟所儲存的內容進行加密，以避免設備遺失時造成資料外洩。

進行使用者權限控管 - 依據最小權限的作業原則，限制使用者可以存取的資料，避免其利用行動裝置取得機密檔案而攜出使用。
管制無線網路的使用 - 許多行動裝置都具備了無線上網功能，企業必須限制無線網路可使用的對象與範圍，必要時可設置無線網路入侵偵測系統，防堵非法架設的無線基地台(AP)，同時保護使用者不會誤連至惡意假冒的基地台。

除了技術面之外，面對使用者的行為遠高於技術可以管控的範圍，我們還必須同時從管理面來著手，讓使用者明瞭使用行動裝置的注意事項，例如：

含有重要或機密資訊的行動裝置，在攜出時務必要有主管的授權。
公務用筆記型電腦禁止安裝P2P檔案分享軟體。
攜帶行動裝置的背包或手提箱，最好選擇具有可以上鎖功能的款式，另外，也不要挑選外觀太過華麗且過於明顯的背包，以免成為竊賊覬覦的目標。
在公共場所使用筆記型電腦時，不可讓它遠離視線之外，建議可使用筆記型電腦專用的防護鎖，將它和固定的物品鎖在一起。
避免在外使用不安全的網路進行重要工作，像是公眾無線網路或未採取加密機制的AP，以避免資料在傳輸過程中被截取竊聽。

從國際法規看資料防護的要求

對負責資安的人員來說，參考國際法規的規範要求，對於資料防護工作有莫大的幫助，例如美國的Gramm Leach Bliley Act(GLBA)法案，即要求相關金融產業必須保障個人金融資訊隱私，確保資料的機密性、完整性，避免資訊遭到未經授權的存取與誤用；針對醫療產業，Healthcare Information Portability and Accountability Act(HIPPA)法案則要求相關單位必須要確保個人醫療資訊的安全，具備良好的存取控制措施，並確保資訊在傳輸過程中不會被竊取或竄改。

在個人信用資料方面，Payment Card Industry(PCI)資料安全標準要求銀行必須實行嚴謹的網路安全措施，以保護信用卡持卡人的資料安全；California Senate Bill 1386法令，則要求企業在發生資料外洩事件時，必須要通知企業員工、顧客及可能受到侵害的個人，避免掩蓋事件而造成更大的傷害。

至於2002年制定的Sarbanes-Oxley Act沙賓法案，則是要求所有在美國掛牌上市的公司，必須做好內稽內控的資訊安全工作，如果因為行動裝置所搭載的重要營運財務資訊失竊或是遭到竄改公佈，造成市場的重大衝擊，將會對違反沙賓法案的企業處以100萬美元罰款或是對負責人處以20年以上刑期。

總結

綜合以上所述，當企業從技術面與管理面來做好行動裝置管理的工作之後，仍然要持續針對可能遺失的資料進行風險評估，判斷是否會影響到企業的核心業務，以及可能造成多大的損失，然後再重新修正相關的資安政策。

此外，大多數企業對於員工的資安教育訓練，很少將它視為需要優先執行的工作，在員工缺少安全意識的情況下，自然會增加資料外洩的風險，對此，企業管理人員也不可不慎。(本文已刊載於2007年12月號網管人雜誌)