文章 on 資安見聞錄

[新知] ISO/IEC 27018:2025 解析：改版重點與導入注意事項

Sun, 16 Aug 2026 22:25:26 +0800

在 2025 年 8 月，針對公有雲個人可識別資訊 (Personally Identifiable Information, PII) 處理者的保護指引標準 - ISO/IEC 27018 進行了第二次的改版，正式取代了先前的版本 (ISO/IEC 27018:2019)。

ISO/IEC 27018 標準改版的主要目的，就是要與 ISO/IEC 27002:2022 的控制措施對齊，因此在整體的章節結構方面，舊版的第 5~18 章 14 個領域，已更新為第 5~8 章和 4 大控制主題（組織／人員／實體／技術），讓已經導入實施 ISO/IEC 27001:2022 的組織，可以更容易地將既有的資安控制措施延伸至雲端服務，並且內容也新增了附錄 B，提供了與舊版控制措施的對照內容 (請參考圖1說明)。

圖1 改版性質：結構重寫，控制措施要求微調

一般控制措施實施指引的改變

ISO/IEC 27018 這次的改版，針對條款結構是整個重新編排，但控制措施要求的實質內容變動不大，在第 5～8 章中沒有新增任何全新的控制措施，至於 ISO/IEC 27002:2022 新增的 11 個控制措施，新版也沒有提供針對公有雲 PII 保護的實作指引，可以直接適用 ISO/IEC 27002:2022 的指引。

不過在新版中有兩個地方，將雲端服務提供者 (Cloud Service Provider, CSP) 的角色從原本的「請求／告知」，提升為要「提供雲端服務客戶 (Cloud Service Customer, CSC) 實施能力」，共通模式是 CSP 的查核標的由「文件上的告知」轉為「技術上可用的功能」，也就是往「責任要能被驗證」的方向調整，說明如下：

5.14 資訊傳送：舊版的指引是 CSP 宜請求 CSC 採取額外措施（例如加密），在新版中除了保留同樣內容之外，還要求 CSP 宜支援施行該等措施之技術能力，也就是雙方都要實施相關的控制措施。
8.24 密碼技術之使用：條款名稱的密碼技術 (cryptography) 對應的實作重點是加密與金鑰管理，舊版的指引是 CSP 宜就其能力提供資訊，協助 CSC 施行自有的加密保護措施；而新版則是明確提到 CSP 要協助 CSC 實施和管理自有的加密保護與過程，並明列包括金鑰保管庫 (vault)、金鑰管理服務 (KMS)、硬體安全模組 (HSM) 與雲端 HSM (cloud HSM) 等業界常見的做法。另一方面，舊版要求 CSP 揭露自身於何種情況使用密碼技術保護 PII，這項透明性要求在新版中已被移除。

此外，在舊版 6.1.1 所對應的新版 5.2 「資訊安全之角色及責任」的指引中，已將「宜指定聯絡窗口 (point of contact) 供 CSC 使用」改為「配置 PII 專責人員提供諮詢」，組織在進行改版時，也要注意這點並且做出適當的調整。

原附錄 A 控制措施的改變

在舊版標準之中，除了有來自 ISO/IEC 27002 所延伸補充的實作指引之外，在附錄 A 中還有引用來自 ISO/IEC 29100 隱私原則的 25 個擴充控制措施。在新版標準裡面，這些擴充控制措施都予以保留，但要注意的是有「A.11.9 授權使用者之記錄／A.11.10 使用者 ID 管理」的條款編號互換對調 (請參考圖2說明)，所以實務方面，在組織的適用性聲明中要記得進行調整。

至於其它的 23 條，多數逐字未變或只有措辭調整，附錄 A 對於隱私保護的核心承諾（如 A.3.2 禁止以客戶 PII 作行銷用途）也是繼續維持不變，新增要求只出現在附錄 A 兩處：

A.3.1 公有雲 PII 處理者之目的：CSP 自行決定處理 PII 的方法時，除了遵循 ISO/IEC 29100 隱私原則外，也要遵循「隱私設計 (privacy by design)」原則。
A.6.2 PII 揭露之記錄：CSP 除了要紀錄第三方「揭露之來源、權限來源」之外，還要記錄「揭露該 PII 之理由」，實作指引從兩項增加為三項。

圖2 附錄 A 條款編號互換的 2 條

本次改版特別需要注意的地方

首先，新版標準中有一個地方疑似編輯疏漏（以下為個人比對後的判讀，實際仍有待確認），在標準中提到舊版的「13.2.4 機密性或保密協議」已轉換至新版的「6.6 機密性或保密協議」，而 6.6 未提供 27018 專屬指引，僅要求參照附錄 A 條款，但所列參照的「A.10.1 PII 資料侵害之告知」應為「A.11.1 機密性或保密協議」才是正確的。

其次，改版影響較大的條款是舊版「16.1.1 資安事故管理的責任與程序」的轉變，在新版附錄 B 中有提到舊版 16.1.1 要對照的新版條款是「5.24 資訊安全事故管理規劃及準備」，但 5.24 於新版中並沒有補充任何 27018 專屬指引，所以實際要去看的條款應該是「5.26 對資訊安全事故之回應」。

依據先前的上課經驗，有學員提到依據條款的指引說明，針對廣播式攻擊、埠掃描、登入失敗、阻斷服務攻擊及封包側錄這一類的事件，是不是都不用去調查？但以風險的角度來看，實務上還是需要進一步的調查評估，才能判定是否造成了資料侵害。所以這次改版，對於需要觸發進一步資料侵害審查的事件做了調整 (請參考圖3說明)，明列為例外的事件從 5 類縮減為 1 類，實質擴大了應觸發資料侵害審查的事件範圍，所以組織在對應的事件調查程序文件中，可能也要做出對應的調整。

圖3 對資訊安全事故之回應指引的改變

結語

最後，針對轉版的時程與要求，ISO/IEC 27018:2025 雖然已經發布滿一年，但多數已同時導入 ISO/IEC 27017 的組織，會選擇等兩份標準一起轉版；由於新版 ISO/IEC 27017:2026 才在 2026 年 7 月發布，實際的轉版流程仍有待驗證公司確認，所以建議已經導入舊版標準的組織，可先依照圖4的五個步驟來做好準備。

圖4 ISO/IEC 27018:2025 轉版規劃五步驟

備註：本文由作者自行創作，內容有請 AI 幫忙校對和製圖

Source：ISO/IEC 27018:2019、ISO/IEC 27018:2025

[新知] ISO/IEC 27017:2026 已正式發布：改版重點與差異解析

Sun, 09 Aug 2026 10:28:34 +0000

隨著組織皆已轉換至 ISO/IEC 27001:2022 的資訊安全管理系統之後，來上課學員經常詢問「對應 ISO/IEC 27001:2022 附錄 A 控制措施的 ISO/IEC 27017，到底什麼時候才會改版？」

總算千呼萬喚始出來，國際標準化組織 (ISO) 已在 2026 年 7 月底正式發布新版雲端服務資安控制措施標準 - ISO/IEC 27017:2026。

這次改版的主要目的就是要與 ISO/IEC 27002:2022 的控制措施對齊，因此在整體的章節結構方面，舊版的第 5~18 章 14 個領域，已更新為第 5~8 章和 4 大控制主題（組織／人員／實體／技術），讓已經導入實施 ISO/IEC 27001:2022 的組織，可以更容易地將既有的資安控制措施延伸至雲端服務。當然，新版標準同樣適用包括公有雲與私有雲的雲端服務客戶 (CSC) 和雲端服務提供者 (CSP)。

原 CLD 擴充控制措施的改變

在舊版 2015 的標準中，除了補充 37 個來自 ISO/IEC 27002:2013 控制措施的雲端服務實施指引之外，還另行新增 7 項 CLD 控制措施，補強在原本 ISO/IEC 27002 中沒有的像是雲端運算環境中的角色與責任、虛擬化環境的安全及雲端服務的監控要求等。在新版 2026 版的控制措施之中，有 5 項 CLD 控制措施被取消並回歸到 ISO/IEC 27002:2022 已有的控制措施之中，有 2 項 CLD 控制措施則是繼續沿用並且更新控制措施的條款編號 (5.38 / 8.35)。

除此之外，在新版 2026 的標準還新增兩個全新 CLD 控制措施，分別為「5.39 雲端服務夥伴角色與責任之協議」、「8.36 雲端服務未經授權使用之偵測與防範」。

依過去稽核時的經驗，曾經有受查的組織是透過雲端服務的代理商來租用雲端服務，可是在它與代理商的合約裡，卻完全沒提到資安責任，只有一份簡易的費用報價單。5.39 主要就是為了因應在目前租用雲端服務的過程中，會有所謂的雲端服務夥伴 (CSN) 的角色，當透過這些服務代理商來使用雲端服務，同樣也需要釐清彼此的安全責任，而且最好透過合約的方式來明確規範雙方的角色與責任。至於 8.36 則是針對組織內部有眾多的雲端服務使用者 (CSU)，他們會在未經由資訊或資安單位的同意之下，擅自使用外部的雲端服務，對於這些所謂影子 IT (Shadow IT) 的風險，組織需要具備監控與防範的能力，這也是在舊版的標準中未曾涵蓋的部分。

一般控制措施新增的實施指引

在 ISO/IEC 27001:2022 附錄 A 新增的 11 項控制措施，新版 ISO/IEC 27017:2026 也跟上了這個腳步，除了大多數可以直接延伸既有的控制方式至雲端服務 (可參考 ISO/IEC 27002:2022)，所以沒有補充實施指引之外，有 6 項控制措施則是補充了雲端專屬指引 (請參考圖3說明) ，分別為：5.7 威脅情資、5.30 營運持續之 ICT 備妥性、8.9 組態管理、8.10 資訊刪除、8.11 資料遮蔽、8.16 監視活動。

其他部分則是在新版標準中，更明確定義了雲端服務客戶需要落實的責任，共通模式是由被動使用轉為主動查證，並且要留下文件化資訊紀錄像是：

● 5.16 身分管理 (舊版 9.2.1)：CSC 需查證 CSP 身分管理功能是否滿足要求

● 5.18 存取權限 (舊版 9.2.2)：CSC 需查證 CSP 存取權管理功能是否滿足要求

● 8.35 虛擬環境區隔 (舊版 CLD.9.5.1)：CSC 需界定租戶隔離的要求並查證 CSP 是否可以達成

另外，由於舊版的「9.1.2 存取網路及網路服務」在 ISO/IEC 27002:2022 中已併入「5.15 存取控制」，而 5.15 在 27017:2026 並沒有補充的雲端服務指引，所以它是這次改版後唯一消失的條款。

本次改版對 CSP 端影響最大的條款

在舊版 2015 的標準中，條款「18.1.1 適用法律法規和合約要求的識別」是要求以下三件事：

1. 雲端服務提供者宜告知雲端服務客戶其雲端服務適用的法律管轄範圍。

2. 雲端服務提供者宜明確自身相關的法律要求（例如，關於加密以保護個人識別資訊 (PII) 的規定），雲端服務提供者還宜在客戶要求時提供此資訊。

3. 雲端服務提供者宜向雲端服務客戶提供其當前遵守適用法律法規和合約要求的證明。

但在新版其所對應的條款「5.31 法律、法令、法規及契約要求事項」中，則是新增加了過去沒有的權責機關調查請求 (investigation request) 的完整處理要求事項指引，例如：

● CSP 宜執行法律評估，判定該機關就其請求是否具備適用且法律上有效之依據

● CSP 宜將調查請求告知受影響之 CSC，除非法律禁止或有違法跡象

● 僅於 CSP 之法律評估顯示存在適用且有效之法律依據後，方宜授予存取或揭露 CSC 資料

● 宜將程序文件化並實作，限制存取範圍僅限於因應該請求，而非預設可存取全體 CSC 之資料

針對這項要求，CSP 的資安管理單位將會需要與內部的法律專業人員 (法遵 / 法務部門)，研討實際可行的做法，並針對過程保存適當的文件化資訊。

結語

針對新舊版標準條款的差異，大家最想了解的就是在新版標準中，是否有提供完整的新舊版條款對照表？可惜的是在 ISO/IEC 27017:2026 的 Annex A 雖然有提供新舊版對照，但是卻省略了非雲端專屬控制措施的對應關係，原因是這部分已由 ISO/IEC 27002:2022 的 Table B.1／B.2 涵蓋。所以多數的條款是需要搭配 ISO/IEC 27002:2022 進行逐條人工比對的，這是另外比較花費工夫的地方。

最後，針對轉版的時程與要求 (可能會搭配 2025 年 8 月改版的 ISO/IEC 27018:2025 一起進行)，由於新版 ISO/IEC 27017:2026 標準才剛發佈，目前還有待驗證公司確認相關的流程，所以建議已經導入舊版標準的組織，可先依照圖4的步驟來做好準備。

備註：本文由作者自行創作，內容有請 AI 幫忙校對和製圖。
Source：ISO/IEC 27018:2019、ISO/IEC 27018:2025

[分享] 從零開始讀 ISO 42001：3 層知識地圖與 5 階段學習路徑

Wed, 29 Jul 2026 15:40:11 +0000

最近發現無論是由組織指派，或是自己主動報名來參加 ISO 42001 主導稽核員課程的學員，課前完全沒有接觸過任何 ISO 標準的並不少，他們最常提出的問題就是「我是一個 ISO 標準新手，我該如何學習 ISO 42001 標準？」

ISO/IEC 42001:2023（以下簡稱 ISO 42001）是全球第一個可稽核驗證的人工智慧管理系統標準，但 AI 管理並不是一個容易掌握的專業技能，因為它橫跨了管理系統、風險管理與 AI 技術這 3 個知識領域，學習之前需要先具備一些基礎知識。因此，我準備了一份知識地圖和學習路徑，希望可以為有意學習人工智慧管理系統標準的夥伴，指出一個容易前進的方向。

圖1　學習 ISO 42001 前需要補齊的 3 層基礎知識

第一層 — 管理系統核心概念

對於沒有接觸過 ISO 管理系統標準 (Management System Standard, MSS) 的人而言，第一步要先理解的是管理系統不是指一個 IT 的應用系統，而是一套「體系」或「制度」，它規範的是組織如何「有系統地」規劃、執行、查核與改善，而不是規定技術做法。所以組織通過驗證取得證書，代表的是管理流程符合標準要求，並不代表驗證範圍中的 AI 系統本身通過測試，這是新手最常見的誤解。

ISO 42001 與其他管理系統標準 (例如 ISO/IEC 27001:2022) 目前都採用高階結構 (High Level Structure, HLS，2021 年後的正式名稱為 Harmonized Structure)，它對應了 PDCA 的管理精神：標準本文第 4 至 7 章是規劃 (Plan)、第 8 章是執行 (Do)、第 9 章是查核 (Check)、第 10 章是改善 (Act)，運作起來就如同一個輪子一般，讓組織的管理體系可以持續向前滾動。

第二層 — 風險管理基礎

管理系統標準最重要的核心要求，就是風險管理。在 ISO 42001 本文條款 6.1（因應風險與機會的行動）要求組織執行風險評鑑（包含風險識別、風險分析、風險評估 3 個步驟）與風險處理，它的方法論基礎來自 ISO 31000:2018《風險管理－指引》。ISO 31000 把風險管理拆成 7 個構成要素，其中 5 項是核心步驟，依序是範疇界定與準則建立、風險識別、風險分析、風險評估與風險處理；至於「溝通與諮詢」和「監督與審查」則貫穿整個流程。

人工智慧管理系統特別重視風險評鑑的過程，主要是因為 AI 風險有 3 項特性：一是不確定性高，模型行為會隨資料更新與再訓練而改變；二是影響對象擴及了個人、群體（如求職者、弱勢團體）及社會；三是風險型態多元，除了資訊安全與隱私保護之外，還涉及公平性、透明度與可解釋性，以及穩健性等。這使得傳統 IT 風險管理方法不足以完整涵蓋 AI 風險，也是實務上還要搭配 ISO/IEC 23894:2023《人工智慧－風險管理指引》的原因。

第三層 — AI 基本概念

如果您對於 AI 的認知，還是停留在與 ChatGPT 或 Gemini 的對話過程，這對於學習人工智慧管理來說明顯不夠。雖然學習人工智慧管理系統標準並不需要精通技術細節，但需要能理解 AI 相關名詞的定義與層次，例如人工智慧 (AI) 是最上層的概念，機器學習 (ML) 是實現 AI 的方法之一，而深度學習是機器學習的子集合，大型語言模型 (LLM) 與生成式 AI 則是深度學習技術的近期應用型態。

想要獲得 AI 的基礎知識，可以研讀 ISO/IEC 22989:2022《人工智慧－概念與術語》（以下簡稱 ISO 22989），它是少數不用花錢就可以從 ISO 官網下載的標準。另外，在 AI 生態系中，使用者不會是唯一的角色。如果您的組織有開發或提供 AI 系統，那麼能辨識 AI 系統生命週期 7 個階段（起始、設計與開發、驗證與確效、部署、運作與監控、再評估、汰除）各自的目標與風險，也是必須具備的能力，而這套 7 階段模型同樣出自 ISO 22989。

建議的 5 階段學習路徑

在具備了以上 3 層知識之後，建議您可以依下列 5 個階段持續推進，並且試著用自己的話來解釋標準的核心知識，或是產生對應的內容，路徑如下：

1. 管理系統基礎建立：自己能白話說明 PDCA 各階段所對應的標準本文章節。

2. 風險與 AI 基本概念：自己能解釋風險管理的過程與 AI 系統生命週期 7 階段。

3. 精讀標準本文：逐條研讀第 4 至 10 章，能夠指出管理系統要求建立的文件化資訊。

4. 研讀附錄 A／B：理解 9 大控制領域、38 項控制措施，能夠說明控制措施的目標與要求。

5. 案例演練與自我檢核：以實際或假設情境（例如 AI 客服系統）練習差異分析 (gap analysis)，產出一份差異分析報告。

圖2　ISO 42001 建議的 5 階段學習路徑與各階段產出

結語

回到一開始提到的，AI 管理並不是一個容易掌握的專業技能，所以先照著知識地圖與建議的學習路徑來走，會是比較容易的做法。

如果您已有 ISO 27001 或其他管理系統標準的學習經驗，代表第一層的知識已經具備，那麼就可以直接從第二層開始；如果完全沒有接觸過標準，就請務必從第一層起步。至於沒有 AI 技術背景的夥伴，您也不需要擔心，只要能理解 AI 相關名詞與 AI 系統生命週期各個階段，您也能成為組織建立人工智慧管理系統的重要推手。

Source: 本文之知識分層與學習路徑架構，整理自作者編撰之《ISO/IEC 42001 基礎知識地圖 v2.1》（2026 年 8 月）。

[證照] AAIA 考試心得：3 大知識領域與備考建議

Sun, 19 Jul 2026 16:23:26 +0000

隨著愈來愈多組織導入各項 AI 應用，除了需要建立 AI 治理的政策與管理組織之外，同時也需要透過內部和外部的稽核，協助組織進行績效與合規評估，指出可以持續改善的方向。因此，培育具有 AI 稽核專業知識技能的人才，也是組織的重要課題。

目前，由國際電腦稽核協會 (ISACA) 所推出的進階人工智慧稽核認證 (Advanced in AI Audit, AAIA)，它是全球第一個有關 AI 稽核的個人專業證照，在考試中所要求的知識領域，也是負責實施 AI 稽核活動的相關人員，需要具備的專業知識。

我趁著最近講授 ISO 42001 主導稽核員課程的空檔，也利用 ISACA 當初給予優惠價考試期限的最後一天，總算把 AAIA 考試給完成了，一點小小的心得，分享給有興趣強化 AI 稽核能力的夥伴們參考。

AAIA 是什麼？誰能報考？

ISACA 於 2025 年推出全球第一張進階 AI 稽核證照，主要是讓已經具備財務、IT 或其他稽核相關經驗的人士，藉由進修學習與 AI 有關的知識，獲得更進一步的 AI 稽核技能。

所以在取證資格方面，ISACA 要求必須具備業界認可的稽核相關證照：持有 CISA (Certified Information Systems Auditor) 者全數符合資格；若是 CIA、CPA 等其他證照的持有者，則需具備 IT 稽核或 IT 顧問的工作角色，才能在通過考試之後，以相關資格申請獲得這項認證。如果您的工作是比較偏向於 IT 稽核方面，建議可以先取得 CISA 之後，再來準備 AAIA 會是比較容易的途徑。

在費用方面，考試報名費為 ISACA 會員 US$459、非會員 US$599，通過考試後另有 US$50 的證書申請費。要特別注意的是，報名後有 6 個月的應考效期，請預先規劃好自己的準備時程。

3 大知識領域

依據 ISACA 現行版本 (2025 年 6 月) 的考試內容大綱，AAIA 一共涵蓋了三個主要的知識領域，包括：

• Domain 1 – AI 治理與風險 (AI Governance and Risk)：佔 33%，包含 AI 模型與要求、治理與計畫管理、風險管理、隱私與資料治理、AI 倫理／法規／標準等。

• Domain 2 – AI 營運 (AI Operations)：佔比 46% 最高，包含資料管理、AI 開發生命週期、變更管理、AI 產出監督、測試技術、AI 特有威脅與弱點、事故管理等。

• Domain 3 – AI 稽核工具與技術 (AI Auditing Tools and Techniques)：佔 21%，包含稽核規劃、測試與抽樣方法、證據蒐集、資料品質與分析、稽核報告等。

以個人實際應考的感覺，針對 AI 運作面的相關知識是絕對必要的，特別是針對資料管理、AI 開發生命週期，以及對應每個階段可能面臨的風險管理，這些是需要花比較多的時間來準備的。

如果您想獲得 AI 相關的基礎知識，網路上有一些完整且免費的資訊，可以作為學習的教材，例如：

1. 數位發展部的公部門人工智慧應用參考手冊 (https://moda.gov.tw/digital-affairs/digital-service/ai-resource/18248)

2. 經濟部 iPAS AI 應用規劃師 (初級) 學習指引 (https://ipd.nat.gov.tw/ipas/certification/AIAP/learning-resources)

當然，先前我參加的 ISC2 Building AI Strategy Certificate 課程和 CSA TAISE 的認證訓練，在 AI 治理和維運的領域知識方面，也提供了非常大的幫助，才能在短暫的準備時間內，順利通過考試。

考試注意事項與備考心得

對於剛踏入 AI 領域的考生，我建議先利用前面提到的免費資源打穩基礎；如果您已經相當熟悉 AI 的治理和管理，則可以參考我自己採用的方式來進行。

以我自己來說，想要取得這個證照的目的，只是為了強化有關 AI 稽核的知識與技能，我不追求考試一定要得高分，但一定要掌握自己能理解而且可用的知識，所以只有規劃了一週的時間，把官方的 ISACA AAIA Official Review Manual 仔細看了兩遍，再利用官方的 QAE 題庫 (ISACA AAIA Questions, Answers & Explanations Database)，熟悉解題的觀念和技巧。

考試共 90 題單選題，時間為兩個半小時，計分採量化計分 (Scaled Score) 200-800 分，450 分即為通過，答錯不倒扣，所以每一題都要作答。考試題目不會太長，但會以情境的方式讓考生判斷，從四個選項中選出一個最優先或最適當的答案。我選擇在實體的 PSI 考試中心（台北恆逸考場）應試，電腦考試的介面相當清楚，開始前有詳細的操作解說，有疑問的考題可以註記，再回頭檢視自己的答案。另外提醒，進考場前要交付所有的個人隨身物品，不能配戴手錶，眼鏡也得先取下讓考場人員確認，考試的小房間中冷氣相當冷，建議帶件薄外套備用。

結語

如果您是組織負責實施稽核的人員，又被長官賦予了 AI 系統查核的任務，若是正愁不知從何著手，那麼現在就是準備報考 AAIA 的好時機，也是取得進階 AI 稽核能力的好途徑。

如果您本身參與過 ISO 42001 主導稽核員課程，但又想要獲得一些實用的稽核技巧，那麼 AAIA 的知識領域，也正好補充了實務所需的專業技能，可以為您的職涯增添更多色彩，歡迎加入 AI 稽核員的行列。

Certification badge - ISACA AAIA

舊留言存檔

以下留言轉存自原 Blogger 網站，僅供存檔，無法回覆。

Jimmy Kao（2026-09-09）

謝謝詳細的分享！

[新知] AI Foundation Framework：用 7 個模組逐步建立可信賴的 AI 治理

Tue, 14 Jul 2026 15:58:08 +0000

最近在講授 ISO/IEC 42001 課程時，有學員提到組織的最高管理階層要求必須做好 AI 治理，但是大家卻不知道該從哪個方向開始著手？也有學員認為，ISO/IEC 42001 在 AI 系統開發生命週期中，要求必須做好 AI 資料管理與效能的監控，也要考量 AI 系統面臨的資安風險與隱私保護，這些都要同時兼顧實在是很大的挑戰，是否有比較容易實施的方案？

針對以上這些問題，有一個比喻是如果 AI 是一棟房子的話，那麼我們要做的，首先就是從打好地基開始，再逐一建立各個重要的支柱，逐步讓這棟房子可以穩固而不容易被動搖。

為什麼組織需要 AI 治理框架？

AI 的變化速度一日千里，從一開始可以跟人類透過自然語言的對答 (Chat)，到目前已經進化長出手腳可以完成我們指定的工作 (AI agent)。對於許多組織而言，如果能夠好好利用 AI 這把神兵利器，就可以大幅強化業務發展與運作的效率，同時也能提供更多創新的服務。但是，組織是否能夠在利害關係人期望、法規與標準之下，順利地駕馭它，並且以負責任的方式來開發、提供或使用 AI 系統，這就需要建立一個穩固的基礎，才能夠在這條路上循序前進。

基於個人的觀察，台灣的組織在 AI 治理最常見的起步困難是什麼？其實主要有兩個問題，一個是對於治理的權責不清，另一個則是不清楚風險在哪裡。在權責不清的情況下，組織內使用 AI 的業務部門，認為管理責任是資訊單位和資安單位的事，而資訊單位和資安單位，在業務部門決定使用外部提供的 AI 服務時，完全未被諮詢或參與決策的過程。一旦開始使用 AI 的服務，高層下達要求重視 AI 的治理，各部門也不清楚治理的目的，以及可能面臨的風險議題。

以上種種，都是因為缺乏一個可被信賴的基礎框架，可以幫助組織來因應 AI 所帶來的風險，以及對於組織、個人、群體和社會應該負起的責任。

AIFF 是什麼 — 7 個模組總覽

面對 AI 帶來的種種挑戰，組織需要一套彈性且模組化的框架，因應 AI 所帶來的風險和責任。BSI 的人工智慧可信賴治理框架 (AI Foundation Framework, AIFF) 就是為此而生，它參考了國際公認的標準，以模組化的架構協助組織打好基礎，以更穩健的方式推動 AI 各項應用的發展。不管您的組織規模大小與業務型態，以及在 AI 生態系所扮演的角色，都可以依照自身的需求和特定的風險議題，靈活地進行調整。

人工智慧可信賴治理框架一共包含七大模組，包括了 AI 治理、AI 管理、AI 資安管理、AI 隱私管理、AI 資料管理共 5 個管理類模組，以及 AI 韌性測試和 AI 效能評估的 2 個測試類模組。

圖1　AIFF 七大模組總覽

以成熟度評分設定目標、持續改善

在 5 個管理類模組中，組織可以循序透過四個步驟來建立能力：首先參與教育訓練課程，瞭解各個模組的標準、領域與控制要點；接著使用自我評估工具，依照自己的步調進行現況評估，並且可以重複執行；再依自身的能力和資源建立目標，最終透過第三方獨立驗證，取得驗證報告和成熟度評估結果，以及 AI 信賴標誌 (AI Mark of Trust)。

有別於 ISO 標準取證的通過或不通過兩種結果，人工智慧可信賴治理框架採用六階段成熟度模型，從「尚未建置」到「持續優化」，以 L0~L5 的方式進行成熟度評分，讓組織可以依照自己的步調來提升等級，最終達成全面穩固的成果。

對組織來說，以模組化的評估方式，可以自主地決定針對最重要的治理領域來「設定目標成熟度」，不必一次追求全面且達成最高階段，而是透過自我評估工具的重複使用，制定明確的方向與目標，達成持續改善的循環。

因此，這套人工智慧可信賴治理框架能夠幫助組織鑑別以下重要議題：

• 治理缺口：組織是否在盲目地部署 AI 而沒有監督機制？

• 風險透明度：管理層是否清楚知道 AI 的限制與風險？

• 持續改善路徑：組織目前是在「救火式」地處理 AI 問題 (L1)，還是已經建立了「自動化監控與持續優化」的體系 (L5)？

成熟度模型最大的核心價值，在於衡量一個流程是否能從「依賴個人的偶然成功」，進而轉化為「組織體系的必然穩定」。組織如果能夠理解並掌握了成熟度等級的邏輯，在執行各項工作時就具備了一套專業語言。當執行人員向高層報告的時候，不再只是說「我們的 AI 治理做得差強人意」，而是可以具體的說明「目前組織在 AI 治理模組整體處於 L2，雖然具備了專案等級的管控方法，但是缺乏了組織層級的標準化過程。我們的目標是要在一年內提升到 L3，建立可以被持續審查和改善的框架。」如果執行人員能夠提出這種基於成熟度的對話，管理階層才能滿足利害關係人的期望和要求，以負責任的方式達成 AI 治理的有效性。這也回應了一開始提到的，許多組織「不知從何開始」的痛點，找到一個可以持續前進的方向。

圖2　六階段成熟度與四步驟推進路徑

該從哪個模組開始？

面對人工智慧可信賴治理框架的 7 個模組，組織的第一步該怎麼走？BSI 的建議是可以把實施「AI 治理」模組作為起點，它可以先幫組織建立一個職責分明，獲得高層支持的 AI 治理推動小組，協助組織識別所面臨的主要 AI 風險，再以此來判斷後續需要導入哪些其他模組，作為強化 AI 治理的基礎。

也就是說，組織不必一開始就同時兼顧所有的治理面向，而是可以依照風險的優先順序來分批導入。舉例來說，如果組織在風險評估後，發現隱私是最需要處理的風險，就可以優先導入 AI 隱私管理模組來降低相關風險；如果最擔心的是 AI 系統遭受攻擊或資料汙染 (Data Poisoning)，則可以優先選擇 AI 資安管理模組。這正好回應了開頭學員的提問：與其想要一次到位，不如選擇一條比較容易實施、又能逐步累積的路徑。

如果您的組織以導入 ISO/IEC 42001 為目標，或是未來有取得 ISO/IEC 42001 證書的需求，要特別說明的是，完成人工智慧可信賴治理框架的模組驗證，並不等於通過 ISO/IEC 42001 的管理系統驗證，但是它可以大幅降低導入實施 ISO 標準的門檻，尤其是 AI 管理模組的控制措施，直接呼應了 ISO/IEC 42001 的要求事項，也能作為正式驗證稽核時的客觀佐證。

結語

回到開頭那棟房子的比喻，AI 治理的地基與支柱，不必也不可能在一天之內就蓋好。如果您的組織剛被高層要求開始做 AI 治理，卻還不知道從何著手，建議從「AI 治理」模組的教育訓練與自我評估開始；如果您的組織已經在開發或整合 AI 系統，最擔心資安與隱私的議題，可以優先導入「AI 資安管理」與「AI 隱私管理」模組；如果您的組織以取得 ISO/IEC 42001 驗證為目標，則可以把人工智慧可信賴治理框架中的「AI 管理」模組當作準備期的能力建構工具。無論從哪裡開始，先評估現況、設定目標成熟度，就是讓這棟房子穩固成形的第一步。

備註：本文內容由個人產出，文章段落有請 AI 進行文字校對和編輯。

Source:
1. BSI, AI Foundation Framework – Your guide to building trusted AI adoption, 2026.
2. BSI 台灣官網：建立可信賴 AI 實踐路徑 (AIFF)

[分享] 運用標準來滿足永續準則的要求 - 資安、隱私、AI

Sat, 09 May 2026 05:39:00 +0000

永續 (Sustainability) 已是目前全世界所關注的重要議題，主要目的是要藉由環境保護、社會共榮和經濟成長三個面向的均衡發展，透過組織自主建立對應各項議題的指標，以達成聯合國所發布的永續發展目標 (Sustainable Development Goals，SDG)。

以台灣而言，金管會要求實收資本額達20億元以上的上市櫃公司，每年都要編製和公開申報永續報告書 (ESG Report)，這已成為企業的經營管理階層需要負起的重要責任。基本上，組織在編寫永續報告書的時候，不能只是單純任意書寫的作文比賽，而是必須按照特定的議題內容來進行，目前受到國際所認可的準則規範，像是GRI、SASB、DJSI等，都是可以參考的內容，所以組織就要依照準則中的架構和主題，產出符合公司實施現況與可公開揭露的內容。目前在永續報告書中最重要的三個指標，分別是環境 (Environment)、社會責任 (Social) 和治理 (Governance)，也就是所謂的「ESG」，個人觀察大多數組織比較重視的議題，主要著重在環境相關的溫室氣體、污水處理、降低塑膠生產和使用、生態多樣性、節約能源，以及社會責任相關的勞資權益、人權和職業安全風險等。在實務方面，組織通常會利用 ISO 標準所建立的管理體系 (Management System)，例如：ISO 14001 (環境管理)、ISO 50001 (能源管理)、ISO 14064 (溫室氣體盤查)、ISO 14067 (碳足跡) 等，用來產生具備可信度的佐證資料，進而填補永續報告書中各項主題的揭露要求。但是隨著資訊科技的快速發展，資安、隱私和AI應用，也成為了組織在實現永續過程中的重大議題。最近我在講授ISO 42001 (AIMS) 的課程時，就有參與課程的學員提到，目前已被公司的永續發展委員會要求，需要提供在資安、隱私與 AI 上的實施成果，以便在永續報告書中揭露，但是他們卻不知該從何處著手，也不清楚有哪些資安、隱私和AI相關標準可以用來滿足準則的要求，所以我彙整了以下的資訊，可作為相關人員在面對永續議題時的參考。

GRI 準則 (Global Reporting Initiative)

# GRI 418：客戶隱私 (Customer Privacy)

要求內容：

揭露經證實的侵犯客戶隱私及遺失客戶資料的投訴總數（來自監管機構或外部第三方）。
若發生重大洩漏事件，需要說明其過程和處理結果。

如何運用標準滿足要求：

ISO/IEC 27701 (隱私資訊管理系統)：透過此標準建立的「隱私影響評估 (DPIA)」與「當事人權利處理流程」，能夠確保企業可以系統化記錄與追蹤所有投訴，直接提供 GRI 418 所需要的量化數據。
ISO/IEC 27018 (公有雲隱私保護)：如果涉及提供公有雲的雲端服務，此標準可證明對個人可識別資訊 (PII) 的處理符合國際規範，降低 GRI 揭露中出現「違規事件」的風險。

SASB 準則：財務重大性與產業核心風險

SASB在社會資本 (Social Capital) 面向下，關注資安與隱私對企業財務表現的直接影響，針對不同產業有不同指標。

要求內容：

資訊安全：發生資訊洩漏的次數、受影響的用戶比例，以及如何透過技術手段降低風險。
客戶隱私：收集個人資訊的商業目的、如何因應法規的個資保護要求。

如何運用標準滿足要求：

ISO/IEC 27001 (資安管理系統)：透過管理體系和附錄 A 的控制措施，可描述如何利用自動化工具監測威脅，並落實縱深防禦，揭露對供應商進行資安稽核的頻率與合格率。另外，可描述達成營運持續演練 (BCP) 和災難復原演練 (DRP) 的結果，展現在遭受攻擊時的恢復能力。
ISO/IEC 27017 (雲端服務資安)：針對 SASB 中關於基礎設施可靠性的要求，此標準能證明企業對雲端服務特定風險，例如: 虛擬機隔離、共享責任模型等已有妥善管理機制。

DJSI（道瓊永續指數）評選

在 2026 年的 DJSI（道瓊永續指數）評選中，原DJSI已正式更名為「道瓊領先指數（Dow Jones Best-in-Class Indices, DJBIC）」，其採用的企業永續評鑑 (CSA) 已將資訊安全、個資隱私與人工智慧（AI）治理，從單純的「技術合規」提升至「財務重大性」與「數位人權」的高度。

# 資訊安全 (Information Security)

要求內容：

政策覆蓋範圍：資安政策必須涵蓋全體員工、約聘人員及第三方供應商。
董事會監督：需明確揭露董事會中具備資安背景的人員，以及資安長 (CISO) 向董事會報告的頻率。
事件揭露與重大性分析：要求公開重大資安事件的數量、受影響比例，以及該事件對財務的具體影響。

如何運用標準滿足要求：

ISO/IEC 27001 (資安管理系統)：

滿足政策要求：利用 5.2 (政策) 與 Annex A 5.1 (資安政策) 確保政策的完整性。
滿足供應鏈要求：利用 Annex A 5.19 (供應者關係) 建立評核機制。

NIST CSF 2.0 (網路安全框架)：

滿足治理要求：運用其中的「Governance (GV)」功能，定義組織內部資安策略與風險溝通流程，這與 DJSI 要求董事會參與資安治理的核心目標有關。

# 隱私保護 (Privacy Protection)

2026 年的重點在於「透明度」與「資料生命週期管理」，特別是在涉及敏感性 AI 訓練數據時。

要求內容：

資料最小化與保留限制：需證明企業有明確的資料銷毀機制。
當事人權利請求 (DSR)：要求揭露企業處理用戶撤回同意、要求刪除資料的成功率。
第三方隱私稽核：必須對涉及個人資料處理的外部供應者進行獨立查核。

如何運用標準滿足要求：

ISO/IEC 27701 (隱私資訊管理系統)：

滿足資料生命週期：定義 PII（個人可識別資訊）從收集到銷毀的標準作業程序。
滿足當事人權利請求：實施標準條文中的「當事人權利處理機制」，提供可量化的處理數據。

ISO/IEC 29100 (隱私框架)：

滿足隱私設計要求：提供「隱私設計 (Privacy by Design)」和「隱私預設 (Privacy by Default)」的基本隱私要求。

# 負責任的 AI (Responsible AI) - 2026 年新亮點

這是 2026 年 DJBIC 變動最大的部分，主要加入了以下兩個問項。

Q. 公司是否有負責任的人工智慧政策，並且該政策是否公開？

Q. 公司是否有負責任的人工智慧專案？

要求內容：

AI 政策與倫理：尊重人工智慧使用和開發過程中的資料隱私，需要建立「人為干預機制 (HITL)」及「問責機制」。
AI 量化指標 (2026 新增)：要求揭露 AI 的投資額 (Investments)、所帶來的營收增長及 ROI評估。
生態足跡 (Ecological Footprint)：要求揭露 AI 模型訓練與數據中心的能耗、水耗及減碳措施。
AI 生成標記：所有 AI 產出的內容必須有清晰的標記 (防止誤導)。

如何運用標準滿足要求：

ISO/IEC 42001 (AI 管理體系)：

滿足AI治理框架：建立 AI 系統的風險評鑑流程與AI系統影響評鑑，這能直接對應負責任的AI要求。
滿足 HITL 要求：清楚定義 AI 決策中人類介入的權限和方式。

NIST AI RMF (AI 風險管理框架)：

滿足負責任的 AI：利用其「可信賴 AI」的七大指標 (公平、可解釋、安全等) 來管理AI相關的風險，並將結果作為 ESG 報告的證據。

備註：以上準則為透過AI蒐集，再由個人進行手動編輯後的資訊，僅供參考。

[分享] 運用 ISO/IEC 38507 強化組織的AI治理

Fri, 24 Apr 2026 13:21:00 +0000

隨著人工智慧 (AI) 的使用愈來愈普及到日常工作之中，同時也為組織帶來了更多的影響與挑戰，因此，建立一套明確的AI治理架構與監督管理機制，已是組織高層必須要面對的重要課題。

對組織而言，所謂的 AI 治理是指需要建立有效的指導與管理體系，這涉及了組織內部必須建立一個「治理機構 (Governing Body)」，針對組織所具有的 AI 角色來制訂明確的政策，並且清楚定義與「管理層 (Managers)」之間的職責劃分和互動關係。

可依循的AI治理國際標準

針對組織的 AI 治理需求，可以參考由國際標準組織所發布的 ISO/IEC 38507 標準 (Governance of implications of the use of artificial intelligence by organizations)，它引用了來自於 ISO/IEC 38500 的 IT 治理核心模型 – EDM (Evaluate, Direct, Monitor)，同樣可以將它運用在 AI 治理的情境之中。

在 ISO/IEC 38507 標準中提到需要建立的治理機構，它是為組織設定營運宗旨，決定策略目標，並且要為整個組織負起問責性 (Accountability) 的最高決策與監督組織。治理機構需要考量來自於組織內外的各項議題，包括了內部的營運壓力與業務需求，以及了解外部的主管機關、法規義務及關注方的期望等，這些可以進一步聚焦在 AI 特性與差異 (AI differences)、市場需求 (Market needs) 及利害關係人期望 (Stakeholder expectations) 等三個層面。

Source: Governance implications of the use of AI (ISO/IEC 38507:2022)

運用EDM模型來達成治理任務

ISO/IEC 38507 建議組織可以運用 EDM 模型，針對使用 AI 所面臨的五大關鍵政策領域，將治理機構的任務轉化成為實際可行的營運計畫，並且交付給管理層人員來落實完成。所謂的 EDM 模型，它是治理機構主要的核心任務，可用來持續評估 AI 治理的現況，藉由 EDM 所評估的結果，也可以反映出組織的 AI 治理成熟度，鼓勵組織可以定期的安排與實施。

針對 EDM 模型的概念，簡要說明如下：

評估 (Evaluate)：治理機構需要評估目前和未來 AI 可能的使用情況，包括了 AI 為組織所帶來的商業機會、技術變革與潛在風險，以及審查管理層對於 AI 的計畫與使用安排。
指導 (Direct)：依據評估的結果，治理機構要制訂 AI 相關的策略、政策和目標，確立可接受的行為準則與風險胃納 (Risk appetite) 之後，再交給管理層來執行，並且要確保這些與組織本身的願景、文化和法規要求一致。
監督 (Monitor)：治理機構要建立使用 AI 的監控與量測機制，確保 AI 系統遵循了組織的政策要求，並且可以達成既定的績效，也讓組織有能力及時發現 AI 是否發生不符合預期的情況。

AI治理的五大關鍵政策領域

對組織的治理機構來說，需要涵蓋哪些政策層面，才能夠滿足 AI 治理的要求呢？ISO/IEC 38507 提到了以下五個具體的關鍵政策領域，每一個都需要經歷完整的 EDM 過程，才能夠展現組織的 AI 使用活動被有效地治理，這也是治理機構主要的任務工作。

決策制定 (Decision making)：由於 AI 可以高度的自動化，因此治理機構必須要有能力確保人類對於 AI 保有適當的監督與控制權，並且在必要的時候可以介入，甚至可以強制中斷 AI 系統的運行與決策。
資料使用 (Data use)：訓練資料的品質高度影響了 AI 系統的表現與結果，治理機構必須要求組織在資料生命週期的各個階段，建立資料保護、隱私合規，以及防止資料偏見的機制。
文化與價值觀 (Culture and values)：由於 AI 系統本身沒有情感、倫理和道德觀，因此治理機構必須要遵循「以人為本」的精神，確保 AI 的使用與運作，還有利用 AI 系統所產出的結果，都要符合組織的文化、社會期待、人權及永續發展的價值觀。
合規性 (Compliance)：AI 的運作對於人類社會和法規帶來了全新的挑戰，治理機構需要確保現有的管理制度，可以因應目前和未來可能會有的 AI 使用活動，使 AI 系統生命週期各個階段和過程，能夠符合組織所適用的法令法規要求。
風險 (Risk)：AI 帶來了過去在使用 IT 系統過程中，許多未曾面臨的風險，像是缺乏透明度和可解釋性、AI 幻覺與偏見等，因此治理機構需要將 AI 使用納入組織整體的風險管理之中，包括決定對 AI 的風險胃納，實施 AI 風險評鑑與影響評鑑，進行風險處理以將風險控制在組織可以接受的範圍。

依據 ISO/IEC 38507 的規範，組織的治理機構可以運用 EDM 模型，定期針對以上五個關鍵政策領域逐一進行評估，即可建立一個動態且持續的治理循環。

(本圖由 Gemini 生成)

組織中的AI治理與管理職責

在本文一開始提到，組織內部必須建立一個治理機構，針對組織的 AI 角色來制訂政策，並且清楚定義與管理層之間的職責。

從職責的角度而言，治理機構主要負責設定 AI 政策和目標，給予方向和明確的指導，並且承擔最終的責任，而管理層也要負責建立和維護一個 AI 系統的管理體系，像是可以參考 ISO/IEC 42001 標準建立人工智慧管理系統 (AIMS)，透過它將治理機構的評估、指導與監督要求，落實到與 AI 有關的活動與流程之中。

換句話說，在 AI 治理的過程中，治理 (Governance) 與管理 (Management) 是兩個角色不同但必須緊密協作的實體，唯有透過明確的角色分工與職責，雙方保持緊密的互動與合作關係，才能夠達成組織 AI 治理的目標。

[證照] 強化零信任知識與專業能力

Sun, 15 Feb 2026 08:00:00 +0000

在台灣，隨著金管會在2022年12月發布「金融資安行動方案 2.0」，並且持續推動零信任架構（Zero Trust Architecture, ZTA），對於金融行業來說，針對高風險的作業活動，建立安全有效的資源存取和保護機制，已經是不可或缺的工作之一，如果您想要強化有關零信任的專業知識與能力，本篇文章提供了相關學習的資源與參考資料。

零信任（Zero Trust）這個名詞出現在2010年，由任職於知名研究調查機構 Forrester 的 John Kindervag 所提出，他認為所有的網路流量都是不可信任的，必須在每個步驟中針對資料或資源的存取需求進行驗證，而它的精神也就是最廣為人知的一句話：「永不信任，始終驗證 (Never trust, always verify)」。

隨著零信任技術發展的不斷演進，加上行動科技和雲端運算的運用也愈來愈普及，在2013年雲端安全聯盟（CSA）提出了軟體定義邊界（Software-Defined Perimeter, SDP）的概念，藉由建立一個無形邊界的安全架構，呼應了零信任精神來保護組織的關鍵資產與資源。在2020年，美國國家標準與技術研究院（NIST）亦發布了「NIST SP 800-207 Zero Trust Architecture」，正式建立了構成零信任架構的核心元件，也成為了聯邦機構或任何組織，想要強化網路安全的重要參考資訊。

依據 NIST 的定義，零信任不是指單一架構，而是一組整合工作流程、系統設計和運作的指導原則，可用來強化各種不同類型或敏感等級資料的安全現況。CSA 則強調了在實施零信任架構時，每個防護面專案需要執行的五個關鍵步驟：定義保護層面、對映資料傳輸流程、建構零信任架構、建立零信任政策，以及持續監控和維護，這些步驟提供了一種結構化的方法來增強網路安全，並確保組織能夠將現有的安全做法成功轉換到零信任模式。

如何強化零信任知識和能力

對於資訊或資安人員來說，若想要強化有關零信任的專業知識與能力，個人有以下兩個「不用花錢」的方法分享給大家，如果在閱讀了文件之後，對於零信任的規劃和實施有一些學習心得，還可以進一步選擇「花錢」參加考試來取得能力證書，這個資訊也一併提供給大家參考。

1. 免費下載兩份零信任的重要參考指南

「NIST SP 800-207 Zero Trust Architecture」- https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-207.pdf

「CSA Software-Defined Perimeter (SDP) Specification v2.0」 - https://cloudsecurityalliance.org/artifacts/software-defined-perimeter-zero-trust-specification-v2

2. 下載「CCZT Prep Kit」(需注冊CSA會員-免費)，裡面提供了通過 CCZT 考試所需研讀的教材，以及其他和零信任有關的補充知識文件。

https://cloudsecurityalliance.org/artifacts/cczt-prep-kit

關於零信任能力證書 (CCZT)

零信任能力證書 (Certificate of Competence in Zero Trust, CCZT) 是由雲端安全聯盟 (CSA) 在2023年11月所推出的個人能力證明，如果學習了以上的零信任知識，想進一步取得專業能力的證明，可以藉由參加線上考試來獲得證書，以下相關資訊彙整自 CSA 官網的說明。

考試的七大知識領域

1. Zero Trust and Zero Trust Architecture general concepts and definitions (零信任和零信任架構的一般概念和定義)

2. Zero Trust goals, objectives, and benefits (零信任的目標、目的與優勢)

3. Zero Trust Architecture logical model and key components (零信任架構的邏輯模型與關鍵元件)

4. Software Defined Perimeter (軟體定義邊界)

5. Zero Trust Strategy (零信任策略)

6. Zero Trust Planning (零信任規劃)

7. Zero Trust Implementation (零信任實施)

研讀考試的教材

在 CSA 提供的「CCZT Prep Kit」中，包括了以下相關參考資料:

• 5 Study Guides (*5 份學習指南 - 涵蓋七大知識領域，這是通過考試的必讀文件!)

• Knowledge Guide (知識指南 - 針對考試的說明介紹)

• CCZT Curriculum (課程大綱)

• Recommended Readings (推薦閱讀材料 - 有空再看)

• Authoritative Sources (官方資源)

• Mapping ZTA Components to SDP (NIST零信任架構和CSA SDP的對照說明)

• FAQ (考試常見問題)

• Infographic - How to Earn your CCZT (說明如何取得 CCZT 認證)

• 50 Sample Questions (*50 題範例題 - 考前必讀!)

• Overview Presentation (考試說明簡報)

考試方式和費用

CCZT 考試為開卷 (open book) 的線上考試 (使用自己的電腦，時間可自由選擇進行)，考試過程包含了60道選擇題 (單選)，考試時間為120分鐘，最低及格分數為80%。考試的費用為175美元，包含了兩次考試機會，有效期限為兩年。

最後，在完成考題作答並送出之後，即可馬上得知是否順利通過，考試通過之後即可獲得一份電子證書和以下的個人標章 (證明錢沒有白花~~)。

Certificate of Competence in Zero Trust (CCZT) for Jack Hua

[分享] 新版ISO 27701:2025之改變和轉版規劃

Tue, 10 Feb 2026 07:01:00 +0000

新版ISO 27701:2025標準已於2025-10-14發布，正式成為可獨立實施和驗證的隱私資訊管理系統標準，新版標準採用了調和結構 (Harmonized Structure)，包括建立管理體系的本文4~10章，內容架構採用相同標題和文字，方便組織和其他標準進行整合。

在新版標準的附錄A，則針對「PII控制者 (A.1)」和「PII處理者 (A.2)」兩個角色，說明它的控制目標和控制措施。另外，也新增了兩個角色在資安方面需考量的控制措施 (A.3)，並且在附錄B提供了控制措施實作的參考指引，以下列舉新版標準主要的調整和變動。

管理體系的調整

- 原本文5.2~5.8調整為4~10，建立完整的高階管理架構，讓組織更容易和其他標準對齊。

- 原本文6~8調整為新版的附錄B實作指引。

- 原舊版中的附錄A和B，在新版中調整為A.1和A.2，並新增A.3 資安控制措施 (A.3.3~A.3.31)。

控制措施的調整

- 原附錄A.7.2~A.7.5針對「PII控制者」的控制措施，新版調整為附錄A.1.2~A.1.5，包括四個控制領域：蒐集及處理條件、對PII當事人之義務、於設計階段保護隱私及預設保護隱私，以及PII 共享、傳輸及揭露，一共有31個控制措施。

- 原附錄B.8.2~B.8.5針對「PII處理者」的控制措施，新版調整為附錄A.2.2~A.2.5，包括四個控制領域：蒐集及處理條件、對PII當事人之義務、於設計階段保護隱私，以及預設保護隱私及PII 共享、傳輸及揭露，一共有18個控制措施。

- 取消原條款6 ISO 27002 資安控制措施指引，新增附錄A.3「PII控制者和PII處理者的安全事項」，挑選了包括A.3.3~A.3.31共29個資訊安全控制措施，同時也提供了附錄B.3 「PII控制者和PII處理者的實作指引」作為參考。

轉版規劃與準備

目前各家驗證公司還沒有正式發布轉版的細節 (個人預估最晚在2026 Q3可申請進行轉版)，已知的資訊是所有 ISO 27701:2019 舊版證書將於 2028 年 10 月 31 日到期而失效。對於已持有舊版證書，準備要進行轉版的組織而言，可以先透過以下步驟進行規劃與準備：

1. 進行差異分析：可對照舊版和新版的要求事項，評估目前的差異，包括本文新增的條款6.3變更之規劃、條款6.1.3要求建立資訊安全計畫 (information security programme)，以及附錄A.3的29個資安控制措施。

2. 制訂轉版計畫：包括資源的準備，轉版工作的職責分配，本文4~10章管理體系各項流程實施完成時間的安排。

3. 實施新版要求：修訂管理制度文件，實作隱私控制措施，包括隱私風險評鑑和隱私風險處理、更新適用性聲明 (對應新版條款) 及隱私目標規劃與量測等，並且完成內部稽核和管理審查。

4. 申請轉版驗證：跟驗證公司確認轉版稽核時間，安排受稽人員和場地設施，以便順利取得新版證書。

[證照] ISC2 人工智慧策略建構證書

Thu, 20 Nov 2025 07:34:00 +0000

長久以來，ISC2 的 CISSP 證照一直是資安相關人員學習和追求的目標，隨著人工智慧的應用愈來愈受到重視，雖然 ISC2 目前還沒有針對AI推出個人證照，但為了強化資安相關人員對於AI的專業知識，因此在今年推出了「人工智慧策略建構證書 (Building AI Strategy Certificate)」，藉由線上完成與AI有關的課程，協助資安相關人員獲得為組織建立AI的管理基礎知識，以及了解合乎道德與安全考量的人工智慧應用方式。

課程簡介

人工智慧策略建構證書一共包括了以下六門課程主題，參與學習的夥伴們，在完成每堂課程之後，只要在課程評估測驗中，答對70%的考題 (選擇題)，就可以取得單堂課程的證書。若是完成全部的六門課程和評估測驗，即可獲得「建立人工智慧策略證書」的 Credly 數位徽章。

課程主題：

人工智慧在網路安全中的應用 (AI for Cybersecurity): 了解人工智慧在網路安全中的作用，以及傳統安全方法和人工智慧專用安全方法對安全風險的影響。
人工智慧安全 (AI Security): 探索在保持關鍵的人工監督的同時，可優化 AI 驅動的安全議題，以管理過度自信的情況。
與全球人工智慧法規保持一致 (Aligning with Global AI Regulations): 了解將人工智慧安全框架與整體網路安全原則保持一致的複雜性，比較與人工智慧相關的特定安全框架和標準以及支撐安全人工智慧實踐的原則。
人工智慧的基礎 (Foundations of AI): 學習人工智慧安全基礎知識，藉由熟悉人工智慧的相關定義，以了解人工智慧應用和實施所帶來的影響。
規劃具有安全設計的人工智慧 (Planning for Secure by Design AI): 如何從策略角度將安全性融入人工智慧的營運之中，了解安全的人工智慧的實施要求，以及如何將傳統網路安全原則與人工智慧治理框架進行整合。
不斷發展的網路安全人才隊伍 (The Evolving Cybersecurity Workforce): 透過探討人工智慧對網路安全人才隊伍的影響，並分析有關領導力的考量與策略。

授課方式：

方式：線上隨選學習，可獲得 CPE 16 學分 (16 小時)
語言：英語
教材：文字、影片、案例說明
費用：640美元 (ISC2會員可打8折為512美元)

以上是和課程有關的資訊 (內容說明來自 ISC2網頁)，提供給有興趣的夥伴參考，就我個人參與的經驗，內容沒有太過技術的內容，適合初階或想了解AI管理架構的夥伴來進修學習。

[證照] 通過 Trusted AI Safety Expert (TAISE) 考試

Mon, 10 Nov 2025 16:45:00 +0000

隨著人工智慧的議題持續在全球發燒，雲端安全聯盟 (CSA) 在2025年10月底也正式推出了「可信賴人工智慧安全專家 (Trusted AI Safety Expert, TAISE)」的認證計畫，這是雲端安全聯盟與美國東北大學 (Northeastern University) 共同合作所推出的一個針對人工智慧安全的訓練與認證，可以幫助對人工智慧有興趣的人員，藉由參與完整的培訓課程，獲得跟人工智慧有關的專業知識。

課程內容

TAISE的課程，目前是採取線上自主學習的方式，內容包括了以下10個單元模組，並且提供了免費下載的「TAISE Prep Kit」，讓有意想取得這個認證的人員，可以清楚的掌握課程的架構與學習方向。

Module 1: Introduction to AI (人工智慧導論)

Module 2: Generative AI Architecture and Design (生成式人工智慧架構與設計)

Module 3: AI Use Cases: GenAI, Multimodal, and AI Agents (人工智慧應用案例：GenAI、多模態和人工智慧代理)

Module 4: Fairness, Accountability, and Explainability in AI (公平性、問責和可解釋性)

Module 5: AI Model Lifecycle and Threat Taxonomy (人工智慧模型生命週期與威脅分類)

Module 6: Model Governance, Risk Management, and Compliance (模型治理、風險管理與合規性)

Module 7: Introduction to AI Safety and Security (人工智慧安全導論)

Module 8: Cloud and AI Security (雲端和人工智慧安全)

Module 9: Data Security & Privacy in AI Systems (人工智慧系統中的資料安全與隱私)

Module 10: Continuous Learning and Adaptation (持續學習與適應)

就我個人的上課體驗，覺得課程內容相當扎實，可能是與學校合作的關係，教材的品質非常好，搭配適當的影片解說和補充的參考資料，可以對人工智慧的發展歷史、機器學習的技術、人工智慧模型生命週期、人工智慧的安保與安全，以及模型治理和法規，能夠獲得全盤的了解。

但對初學者而言，由於內容橫跨了包括人文、心理、數學、資訊及法律學科，資訊量有點大，可能需要一點時間消化和吸收，未來若CSA有提供真人線上和線下進行的課程，可能會更有助於討論和學習。

關於考試

TAISE考試同樣秉持著CSA以往為了確保過程嚴謹又容易參加的精神，採取了以下的方式進行 (參考自CSA官網) ，只是這次比較特別的是課程與考試費用綁在一起，也就是必須同時購買線上課程才能獲得考試資格，目的應該是為了讓考生可以接受完整的課程訓練。

形式：線上、開卷 (Open book)

題目： 60題選擇題 (單選)

時間： 120分鐘

及格分數： 80%

可考試次數： 2 次 (可補考1次，有效期限 2 年)

費用：795美元 (課程+考試)

就我個人的考試經驗，考題相當有難度 (不像範例試題直覺簡單)，英文試題雖然不長但也很折磨人，需要清楚了解AI相關名詞的定義，並且配合課程所學習的知識，才能做出正確的判斷，憑自己的力量考過會是很有成就感的，此課程對有意想在AI領域發展的夥伴們也會是一個好選擇。

我的證書 badge: https://www.credly.com/badges/dc8c713c-61ae-4a70-bb79-fd03f45becde

[新知] Google 發布最新的代理支付協議 (AP2)

Thu, 18 Sep 2025 11:56:00 +0000

昨天 Google 正式發布了最新的 Agent Payment Protocol (AP2) 的 AI 支付協議，擴展了原本 Google 讓不同的 Agent 之間可以協同合作的 A2A (Agent2Agent Protocol) 協定，進一步使 AI Agent 可以根據人類的需求，自動化地完成商品的搜尋、加入購物車，甚至直接支付款項完成交易。

當然，只要跟錢有關的事情，對使用者而言第一個想到的就是交易過程安不安全？會不會在未經使用者同意之下，AI Agent 就自己亂花錢，或是買了不想要的商品。而對商家來說，關注的則是跟資安有關的不可否認性 (Non-repudiation)，如何佐證這筆交易的確是經過真人的授權，而且是基於使用者的意圖來進行交易。

對此，Google 設計了授權書 (Mandates) 的機制來強化交易雙方信任，它是一種防篡改且可驗證的交易證明，可作為每一筆交易實際執行的證據，有興趣了解這項機制的夥伴，可以進一步參考以下 Google 網站的說明。

未來，隨著支持這項協議的商家愈來愈多，讓 AI 自動地幫您尋找並購買喜愛的球鞋、限量發售的公仔，或是直接以自然語言告知 AI 您預計休假的時間，想要去日本旅遊的景點，偏好的住宿飯店地點和價格，往返想乘坐的航班，以及總預算的金額，以上這些不用再一一自己去查找和下訂了，只要 AI Agent 找到符合您設定條件的組合，就可以同時完成以上商品或服務的預訂和付款。

參考資料：
Powering AI commerce with the new Agent Payments Protocol (AP2)

[新知] 關於 NIST Cybersecurity Framework v2.0 轉版與驗證

Tue, 16 Sep 2025 15:01:00 +0000

NIST Cybersecurity Framework (NIST CSF) 已在2024年2月發布最新版的v2.0 (目前NIST官網有提供中文版可供下載)，針對有意想申請轉版或新驗證的組織，可參考以下的文章。

NIST Cybersecurity Framework (NIST CSF) 最早是在2014年2月，由美國白宮所發布的總統命令，要求美國聯邦機構和地方政府需依據美國國家標準暨技術研究院 (NIST) 所提出的網路安全框架 (CSF)，藉此來強化關鍵基礎設施的安全。(老文章請見 https://jackforsec.blogspot.com/2014/11/blog-post.html )

時至今日，NIST CSF 經過在2018年更新為 v1.1，到了2024年則升級為最新的 v2.0，可以應用實施的對象，也不再只侷限於關鍵基礎設施，而是適用於各行各業，只要有心想強化網路安全 (Cybersecurity) 的組織，都可以應用這個框架，相關文件也可以直接免費從 NIST 的官網 ( https://www.nist.gov/cyberframework ) 來下載。

新版主要的改變

除了適用的對象更廣泛之外，NIST CSF v2.0 最大的改變是在框架核心 (Framework Core) 中，從原本的五個功能：識別 (Identify)、保護 (Protect)、偵測 (Detect)、回應 (Respond) 及復原 (Recover) 之外，再加入了「治理 (Govern)」，成為了具有6大核心功能和85個控制措施 (Subcategories) 的好用工具，並且也將原先導入實施的7個步驟，再簡化成為5個。

基本上，NIST CSF 不是用來取代組織已實施的任何安全標準，而是希望和既有的管理體系和控制措施相結合，讓組織自訂想要達成的層級目標 (Tier 1 to Tier 4)，逐步提升能力來管理所面臨的網路安全風險 (Cybersecurity Risks)。如果組織本身已建立ISMS並取得ISO 27001的證書，在驗證範圍內業已實施了NIST CSF，還可以向第三方的驗證機構 (BSI) 申請驗證以取得獨立的一張 NIST CSF 的證書。

轉版與驗證注意事項

目前，針對想要新驗證和既有已獲得證書的組織，有以下事項可供做參考:

1. 舊版 NIST CSF 的證書 (v1.0 or v1.1) 從今年3月起算有二年的轉換期。

2. 持有舊版 NIST CSF 證書的組織，最晚在2027年3月1日之前要完成轉版的稽核，否則證書就會失效了。

3. 還想驗證舊版 NIST CSF 的組織，最晚要在明年2月底前完成，因為在2026年3月1日之後，就只能申請驗證 NIST CSF v2.0 了。

[分享] 從ISO 27001看MCP應用的安全

Mon, 15 Sep 2025 02:44:00 +0000

隨著 2024年11月底 Model Context Protocol (MCP) 正式的發布，有愈來愈多的 AI Agent 利用這種開放式的通訊協議，能夠即時地取得各項數據，或是調動可以一起協作的服務，讓AI各項的應用更加地多元和簡便，對使用者來說是一大福音。

只是在方便使用的背後，通常也隱含著需要我們關注的資安風險，以下文章是彙整最近閱讀相關文件的心得，並應用 ISO 27001 的控制措施來強化 MCP 的安全。

MCP 的誕生解決了傳統 API 連結各項服務，都需要手動設定各自的金鑰才能存取服務的要求，使用者只要透過 MCP Client 就可連接一台或多台的 MCP Server，MCP Server 有能力去調動各項工具、取得資源及協同的服務，而且除了可以存取儲存在地端的資料之外，也可透過網際網路存取遠端的資源與應用服務。

MCP應用可能的資安風險

目前，AI agent 有了 MCP 的幫助，就可讓大型語言模型 (LLM) 快速回應用戶端的 Prompt，並且依據 AI 的判斷主動地來執行各項任務，在這個過程中，包括使用了遠端的 MCP Server 和自行建置地端的 MCP Server，都可能需要注意以下相關的資安風險。

身分憑證 (Token) 被竊取：目前網路上充斥著許多由個人開發，或是偽冒知名 MCP Server 名稱的服務，如果沒有進行適當的確認就使用，可能會造成 MCP Server 的憑證被竊取，或是因授權過大而導致濫用的情況。

惡意攻擊指令注入：惡意人士可能會利用輸入的 Prompt，刻意操縱 LLM 去觸發惡意的行為，例如: 刪除特定的資料、送出敏感性資訊 (外洩個資或金鑰)，或是透過為數眾多的 MCP Server 來實現組合式的攻擊。

MCP Server 缺少認證機制：MCP Server 常由一些獨立的開發者建立，在開發的過程中可能缺少了安全檢測，或是撰寫的程式碼未經過安全的審查，使用者若下載了內含安全漏洞或惡意程式的 MCP Server，並且安裝在本地端的電腦 (使用自動安裝工具) ，也可能就直接開了一個後門而毫不知情。

ISO 27001的安全控制措施

針對以上提到有關使用 MCP 的風險，組織可以依照 ISO 27001附錄A 的控制措施，包括但不限於以下的做法來強化資訊安全的管控：

A.5.15 存取控制 - 在組織內部的存取控制政策中，制訂明確的 MCP 管理和授權的過程，事先確認 MCP 的合理性和進行版本的管控。

A.8.3 資訊存取限制 - 限制可呼叫的遠端 MCP Server，並檢測可能有惡意行為的 Prompt 指令。

A.8.5 安全鑑別 - 利用 OAuth 等技術來強化安全認證機制，並限制用戶端只可使用經過驗證的 MCP Sever。

A.8.8 技術脆弱性管理 - 針對本地端自己建置的 MCP Sever 定期執行弱點掃瞄，並進行高風險弱點的修補。

A.8.15 存錄 - 留存 MCP 活動的日誌 (log)，並針對高風險的操作進行分析與審查。

A.8.16 監視活動 - 利用工具持續地監控和記錄 MCP Server 的活動，若發現異常的行為，則結合事件通報的機制進行評鑑和處理。

A.8.18 具特殊權限公用程式之使用 - 將 MCP Server 視為是一種含有特權的應用程式，在安裝和使用時需要經過適當的審查與核可過程，以及建立可使用自動化工具的白名單。

A.8.24 密碼技術之使用 - 使用 TLS 傳輸加密來防範網路的中間人攻擊，安全地儲存所使用的金鑰，並適當輪替更換和限制金鑰的有效期限。

[分享] ISO 27001:2022 新增的控制措施 (6)

Fri, 12 Sep 2025 16:10:00 +0000

上一篇文章說明了在 ISO 27001:2022 的附錄A中，有關技術面的「A.8.11 資料遮蔽」和「A.8.12 資料洩露預防」，接下來說明本系列最後3個控制措施，分別是「A.8.16 監視活動 (Monitoring activities)」、「A.8.23 網頁過濾 (Web filtering)」以及「A.8.28 安全程式設計 (Secure coding)」的要求和實施重點。

A.8.16 監視活動

這項控制措施的要求是「應監視網路、系統及應用之異常行為，並採取適切措施，以評估潛在資訊安全事故」。若是從要求內容來看，我們需要實施監控的項目至少包括了網路、系統和應用程式的異常行為，但要如何確認有異常行為的發生呢？其實我們需要事先定義正常的行為基準 (baseline)。

舉例來說，大多數的機房都會進行溫度異常的監視，那麼該如何得知溫度有異常呢？首先就先要定義溫度正常的範圍基準，假設基準要求溫度需要維持在攝氏25度以下，那麼只要監控時發現機房溫度超過25度的情況，我們就會定義它是一個異常的事件 (event)，在進行通報之後，就要依據「A.5.25 資訊安全事件之評鑑及決策」的控制措施，進行損害的評估。

如果確認這已經是一個造成損害的事故 (incident)，那就需要再進一步依據「A.5.26 對資訊安全事故之回應」的控制措施，進行資安事故的處理，盡快地降低事故範圍的擴大並減輕造成的損害。所以在監視活動的實施方面，通常還需要結合事件通報和事故處理的流程，才能讓整體的資安控制更完整。

A.8.23 網頁過濾

這項控制措施的要求是「應管理對外部網站之存取，以降低暴露於惡意內容」。顯而易見的，這項控制措施的目的就是要降低有愈來愈多的惡意程式，都是感染至含有惡意內容的網站之風險。

實務方面，首先要建立使用者的上網行為規則，讓使用者有能力認知並避免瀏覽高風險的網站，接著還需要搭配技術面的管控機制，例如透過閘道端 (Gateway) 的上網行為管理設備，藉由啟用內建的一些高風險網站群組，限制組織內可上網瀏覽的網站。如果缺少這類設備的支援，也可以直接在防火牆上設定阻擋惡意網站IP的黑名單，只是它經常需要手動且及時的更新，才能達成阻擋過濾的效果。

A.8.28 安全程式設計

這項控制措施的要求是「軟體開發應施行安全程式設計原則」，目的是要確保在撰寫程式的過程中，能夠降低軟體中存在資安弱點的數量。

在實施方面，除了要先依據「A.8.25 安全開發生命週期」的要求，建立安全開發軟體的各個階段和過程的安全規則之外，還可以特別針對撰寫程式的開發人員，製作並提供給開發人員一份安全開發指南 (coding guideline)，讓開發人員可以清楚知道撰寫程式的安全準則，避免使用有弱點的語法或引用了不安全的第三方和開放原始碼的元件，建立一套安全編碼的方法。

當然，在安全開發指南的文件中，請盡量以淺顯易懂的方式，像是列舉一些正確寫法或錯誤的範例，讓開發人員願意來閱讀和遵循，可以更容易避開一些常見的安全漏洞 (ex. SQL Injection)。

(本系列完)

[分享] ISO 27001:2022 新增的控制措施 (5)

Tue, 09 Sep 2025 08:27:00 +0000

上一篇文章說明了在 ISO 27001:2022的附錄A中，有關技術面的「A.8.9 組態管理」和「A.8.10 資訊刪除」，接下來說明剩下的5個控制措施中，有關「A.8.11 資料遮蔽 (Data masking)」和「A.8.12 資料洩露預防 (Data leakage prevention)」的要求和實施重點。

A.8.11 資料遮蔽

這項控制措施的要求是「應使用資料遮蔽，依組織關於存取控制之主題特定政策及其他相關的主題特定政策，以及營運要求事項，並將適用法令納入考量」。一般來說，需要進行遮蔽的資料，大多都是與個人資料 (PII) 有關，但實務上只要是敏感性資訊，都可以考量採取不同的技術來隱藏不想讓人得知的資料內容。

目前，針對資料遮蔽最常採取的做法有以下幾種方式：

擬匿名化 (pseudonymization) : 這種方式又叫做「假名化」，也就是使用別名或暱稱來取代原本可直接識別的當事人資訊。例如組織內部以員工編號取代姓名，或是在網路公開的討論區或社群媒體使用暱稱來替代真實的姓名。
匿名化 (anonymization)：一般也稱之為「去識別化」，也就是採取不可逆轉的方式，讓資訊無法再直接或間接的識別到特定的當事人。例如有一筆記錄顯示王小明中午喜歡吃排骨便當，若將姓名取代成為王OO，並且不保留原始記錄的資料，也確認無法再用併湊或比對的方式知道，原來中午喜歡吃排骨便當的人就是王小明，即可達成不可逆的去識別化的結果。

另外，將資訊中的某些數值進行「替換 (replace)」也是常見的方法，例如將信用卡簽單中的卡號部份數值取代為「*」，但在實施時必須考量所採取資料遮蔽方法的強度，是否可達成不被反解或猜中的目的。以卡號遮蔽方式來說，目前業界主要是參照 PCIDSS 標準的要求，將16位數字的卡號僅顯示前6碼和後4碼的方式，也就是遮蔽中間6碼數字。

A.8.12 資料洩露預防

這項控制措施要求「應將資料洩露預防措施，套用至處理、儲存或傳輸敏感性資訊之系統、網路及所有其他裝置」。在實務方面，對於資安防禦者 (Blue team) 來說，防止資料洩露是件說來簡單，但實施起來極為挑戰的工作。以居家安全為例，出門前您必須確保家中每一扇大大小小門窗和進入管道都要上鎖，只要有一個地方遺漏了，入侵者就可能利用這個小地方入侵成功，而且即使已上鎖了，還要考量上鎖的強度，是否足以抵擋外力的破壞。

雖然要達成資料洩露預防是件不容易的事，但標準告訴我們可以從三個層面的預防角度出發，也就針對「處理」、「儲存」及「傳輸」的資料，對應採取防範的措施。

針對處理中的資料，大部份的組織都是透過資訊處理設施和端點裝置來進行，所以針對實體資料處理的埸域，像是辦公室、機房，都可以藉由ISO 27001 A.7 各項實體控制措施 (例如門禁、CCTV等) 來達成防護。針對使用者的端點裝置，也可利用「A.8.1使用者端點裝置」的控管要求，來防範資料的洩露。

至於儲存中的資料，組織需要透過資訊資產的盤點清查 (A.5.9 資訊及其他相關聯資產之清冊)，了解有哪些資料儲存的地點和方式，包括線上儲存的資料庫、NAS、雲端儲存空間等，到離線儲存的資料 (例如磁帶、光碟等儲存媒體)，再實施對應的保護機制 (例如存取權限、加密)。

而針對傳輸中的資料，則是要評估組織目前對內或對外，有哪些傳輸的管道和方式 (包括電子和實體傳輸)，再依據「A.5.14 資訊傳送」控制措施的要求，確保資訊傳送過程中的安全。

最後，資料洩露預防單靠管理程序和人力是難以達成的，組織還可以考量使用資料洩露預防相關技術工具，進一步強化以下三個階段的防護措施 - 識別 (發生前保護)、偵測 (發生中得知) 及矯正 (發生後阻擋)，才可以有足夠的能力達成資料洩露預防的目標。

(待續…)

[分享] ISO 27001:2022 新增的控制措施 (4)

Wed, 03 Sep 2025 14:03:00 +0000

在 ISO 27001:2022的附錄A中，一共有四個控制領域，分別是「組織、人員、實體和技術」，若是和舊版標準相比，在組織面新增了3個控制措施，在人員面沒有新增，在實體方面則新增了1個。

以上三個層面新增的控制措施重點和實施做法，在前三篇文章中都已分享，接下來將陸續說明在技術面新增的7個控制措施。

A.8.9 組態管理

組態管理 (Configuration management) 不是一個新的概念，早在以前曾經流行過的「ITIL」和 ISO 20000 標準中，針對IT服務的管理要求，組態管理就扮演了重要的角色。那到底什麼叫做組態？簡單白話的說法就是設定或配置，它可以用來確保和IT有關的服務能夠正常地運作。

在ISO 27001的組態管理控制措施中，要求「應建立、書面記錄、實作、監視並審查硬體、軟體、服務及網路之組態 (包括安全組態)」。所以在實施方面，組織就必須建立一個過程，以文件化的方式來管理包括硬體、軟體、服務及網路等四個層面有關安全的設定和配置。

對組織而言，基本上就是要先建立硬體、軟體、服務及網路組態的安全基準 (baseline) 或範本 (template)，這部份可以參考公開的指引，例如由資安院提供的政府組態基準 (GCB)，或是參考由IT供應商所提供的安全設定規範。

如果組織有資源，可以進一步考慮建立一個「組態管理資料庫 (Configuration Management Database, CMDB)」，藉此來管理所有和資安有關的硬體、軟體、服務及網路的基本組態，並且記錄異動後的組態設定，再搭配相關工具來達成組態的監視 (Monitor) 和審查 (Review)。

如果組織沒有足夠的資源，則可以結合既有的資訊資產管理過程，利用資產清冊來盤點和記錄有關硬體、軟體、服務及網路組態的安全設定，在建立基本的安全組態要求之後，後續再搭配變更管理的過程來實現組態管理和留存組態異動的記錄。

A.8.10 資訊刪除

接下來在技術面新增的三個控制措施 (A.8.10, A.8.11, A.8.12)，主要都和資訊隱私保護 (Privacy) 有關。

資訊刪除 (Information deletion) 的控制要求是「當於資訊系統、裝置或所有其他儲存媒體中之資訊不再屬必要時，應刪除之」，主要目的就是讓組織能避免因保留了不必要的敏感性資訊，遭到未經授權存取而影響了資訊的機密性。

不過，在實務方面常遇到的問題是，組織到底要如何去確認「資訊已不再屬必要？」個人鼓勵可以從以下兩個角度來評估資訊是否可以進行刪除。

資訊已過保留期限：這個做法的前提是組織必須清楚定義各項資訊的保留期限，尤其是針對許多以前認為要永久保存的資訊，應該考量法令法規的要求，或是業務上實際的需要，定出一個適當的保留期限，之後才能依據是否已過期了，進行資訊的刪除。
當初蒐集、處理及利用的目的已不存在：這類資訊主要是和個人資料有關，如果這些個人資料已經沒有當初蒐集時，告知當事人在蒐集之後和目的有關的活動，也沒有法規要求需要保留的必要性，組織就應該主動的進行刪除。

最後，組織在進行資訊刪除時，需要考量針對不同類型的資訊 (電子檔案或紙本文件) 所儲存的媒體，採取有效的刪除方法，並且記錄刪除的過程作為佐證的記錄。如果有委託供應商進行大批的資料銷毀，也要進行過程中的監督和確認，並保存適當的銷毀記錄。

(待續…)

[分享] ISO 27001:2022 新增的控制措施 (3)

Sun, 31 Aug 2025 13:55:00 +0000

針對ISO 27001:2022新增的11項控制措施，先前已經說明了3項，接下來說明第4項「A.7.4 實體安全監視 (Physical security monitoring)」的要求與實務做法。

A.7.4 實體安全監視

在新版 ISO 27001:2022 標準中對於實體安全監視的要求是「應持續監視場所，以防未經授權之實體進出」，最常見的管控機制就是建置影像監控系統 (CCTV) 了。

其實在舊版 ISO 27001:2013 的實體安全防護方面，針對管制區域像是機房和辦公室的出入口，安裝 CCTV 進行監控並留存影像，本來就是常見的實務做法，只是過往並沒有特別將這項控制措施獨立出來。

基本上，CCTV 只是實體安全監視的其中一項方法，其他可能的管控方式還包括了設置警衛、紅外線或壓力感測入侵警報器等，目的是要達成偵測並及時阻止未經授權的進出。

在新版 ISO 27001:2022 的要求中，針對這項控制措施的重點在於「持續」，所以必須要確保監視的時間和記錄的留存，是否可以滿足組織本身的要求。

最後，組織若要在特定的場所設置監視器，也要特別注意裝設監視器的位置，並依據相關法令法規的規定，千萬不要以監控之名而侵犯了他人的隱私。

(待續…)

[分享] ISO 27001:2022 新增的控制措施 (2)

Sun, 24 Aug 2025 13:50:00 +0000

上一篇文章已說明了「A.5.7 威脅情資」的管控重點，接下來跟各位分享在ISO 27001:2022「A.5 組織控制措施」方面，其他兩個控制措施的重點要求。

ISO 27001:2022 分別在附錄A的四個控制領域 (組織、人員、實體、技術)，增加了11個新的控制措施，在「A.5 組織控制措施」方面，包括了「A.5.7 威脅情資 (Threat intelligence)」、「A.5.23 使用雲端服務之資訊安全 (Information security for use of cloud services)」、「A.5.30 營運持續之ICT備妥性 (Information and Communications Technology readiness for business continuity)」等三項，接下來說明其它兩項的重點要求。

A.5.23 使用雲端服務之資訊安全

目前已經有愈來愈多的組織，使用了由外部提供的公有雲服務，例如：微軟的 M365、Google的Workspace、AWS EC2 等。有些組織認為，只要利用既有的委外廠商管理作業規範，同樣也能管理這些雲端服務業者來達到資訊安全的要求，但是卻忽略了雲端服務的特性和傳統的委外服務有著很大的差異性，組織既有對於委外廠商的資安要求，恐怕無法完全適用於雲端服務業者。

因此，在 ISO 27001:2022 附錄A，增加了使用雲端服務之資訊安全的控制措施，要求「應依組織之資訊安全要求事項，建立獲取、使用、管理及退出雲端服務的過程」。在這個要求之中，對於雲端服務的資安要求涵蓋了三個層面，我們可以分別從雲端服務使用的前 (獲取)、中 (使用、管理)、後 (退出) 三個階段，考量實施以下的管控機制。

使用雲端服務之前 (獲取)：組織需要考量如何評選一家安全可靠的服務業者，可能的條件包括了業者是否有通過雲端安全相關標準的驗證 (ISO 27017, 27018, CSA STAR)、業者是否主動揭露雲端安全和隱私保護的機制，以及在服務等級協議 (SLA) 或合約之中，所承諾要達成的安全事項，是否滿足組織本身的要求。
使用雲端服務期間 (使用、管理)：為了有效管理組織內部雲端服務的使用者，必須建立雲端服務的使用政策或程序，並且針對負責管理雲端服務的單位 (通常是IT部門) 或是具有特權的服務管理者 (Administrator)，需要確認和審查使用雲端服務有關的安全控管機制 (例如：帳號與權限、日誌功能、資料加密等) 是否落實。
終止使用雲端服務 (退出): 組織應考量若有一天要終止雲端服務的使用，或是要轉換使用不同的雲端服務業者時，確認雲端服務上的資料是否能夠取回的方式 (最好事先明訂在合約或協議中)，同時也要確認業者移除所租用的服務或刪除儲存資料的機制 (了解刪除方式和所需時間)。

A.5.30 營運持續之ICT備妥性

對組織而言，營運持續管理 (Business Continuity Management, BCM) 是一個很大的議題，這個控制措施雖然是新增加的，但其實在舊版的 ISO 27001:2013 中，就已經有對於營運持續的資安要求，也就是把營運持續的考量，限縮在資安的層面。如果想要了解有關組織整體的營運持續管理，可以進一步參考它對應的國際標準 ISO 22301。

在這項控制措施的內容方面，它要求「應依營運持續目標及 ICT (Information and Communication Technology) 持續之要求事項，規劃、實作、維護及測試ICT備妥性」，也就是更明確的把對營運持續的要求，聚焦在資通訊技術相關的裝置和設施，組織必須考量由於ICT造成營運中斷的可能性，提前做好準備。

所以在實施方面，組織可以透過進行營運衝擊分析 (Business Impact Analysis, BIA) 來決定有哪些重要的業務活動，需要依靠哪些關鍵的ICT資源來支持業務活動的持續運作，並針對將服務恢復至可正常提供水準的時間要求，訂出恢復的時間目標 (Recovery Time Objective, RTO)。

如果服務還涉及了資訊處理活動，也要依據組織可承受遺失資料的損失程度，訂出資料回復的時間點目標 (Recovery Point Objective, RPO)，並採取對應的備份機制，例如：組織能承受的資料遺失只有一天，那麼就至少必須每24小時進行一次資料備份。當然，除了備份之外，也要定期進行備份資料的回復測試，確認備份檔案的有效性。

完成以上活動之後，組織還需要針對各個可能造成營運中斷的情境，建立完整的營運持續計畫 (Business Continuity Plan, BCP)，將回復ICT相關活動的作業流程、操作步驟、人員職掌等描述清楚，並且安排定期實施BCP演練，確認有能力滿足所訂定的RTO和RPO，並根據演練過程中所獲得的經驗來持續改善，達成組織營運持續的目標。

(待續…)

[分享] ISO 27001:2022 新增的控制措施 (1)

Mon, 18 Aug 2025 15:21:00 +0000

本週在成功大學擔任 ISO 27001 Lead Auditor 主導稽核員的課程講師，有學員詢問 ISO 27001:2022 的標準，最晚在什麼時候一定要完成轉版稽核？以及新版增加的11項控制措施，實施方面的重點和要求是什麼？我想透過以下一系列的文章來和大家分享。

ISO 27001:2022 的轉版要求：ISO 27001:2022 標準正式發布於2022年10月，ISO組織給予持有舊版證書的組織有三年的轉換期，也就是說，所有ISO 27001:2013的證書必須要在2025年10月31日之前完成轉版稽核，否則舊版的證書就會到期或撤銷，因此，還沒有完成轉換的組織目前已剩下不到3個月的時間了，請務必要在截止期限完成才行。

ISO 27001:2022 新增的控制措施：對於想要轉換到新版證書的組織而言，最想了解的就是新版和舊版的主要改變是什麼？基本上，新版標準在管理制度方面的要求，除了新增加一個全新的條款「6.3 變更之規劃」之外 (可參考這篇文章)，最大的改變就是控制措施從原本14個控制領域調整為4個 (組織、人員、實體、技術)，控制措施的數量也整併減少為93個，但是其中卻增加了11個新的控制措施，所以接下來的文章，就逐一來說明這11個控制措施的實施重點和要求。

A.5.7 威脅情資 (Threat intelligence)

針對這個控制措施，首先我們需要先定義什麼叫做「情資」？透過以下 CREST - What is Cyber Threat Intelligence and how is it used? 這份指南所提出的，它會經過「蒐集、處理、分析」三個階段。

Source: CREST

以產生網路威脅情資為例，一開始需要蒐集的是原始資料 (Data)，可能的來源像是網路設備或防火牆所記錄的IP位址或日誌，再將這些資料導入日誌平台或透過工具進行處理，就能得到一些可疑的活動資訊 (Information)。最後，再經由適當的關聯分析和歸納，匯聚成為管理階層可以判斷做出進一步行動的決策依據，這就是所謂的情資 (Intelligence)。

如果參考ISO 27002控制措施的實務指引，它還提到了威脅情資可以分為三個層面，提供和分享給管理階層來進行評估，分述如下：

策略面 (Strategic)：分析威脅屬於哪一種攻擊類型？組織可依據自己的現況來建立類型 (例如主機、網路、實體、人員類)，或是參考SANS定義的三種情資類型 (內部、外部、社群或特定產業)。
營運面 (Operational)：分析威脅的攻擊目標主要針對哪些資訊系統？或是可能影響到內部什麼樣的資訊 (例如研發資料、客戶資料、交易資料)？
戰術面 (Tactical)：分析威脅所涉及攻擊者的方法，包括其採用的工具、技術、社交工程手法等。

在了解以上的情資定義和分層評估以做出決策行動之後，我們回頭來看看標準中針對這個控制措施的要求 -「應蒐集並分析與資訊安全威脅相關之資訊，以產生威脅情資。」

所以在實施方面，依據這項要求，組織必須建立威脅情資蒐集的來源，以及處理和分析的過程，並且可透過分層的方式，讓管理階層能易於掌握和理解情資的重要性，以做出決策和採取適當的行動，這樣才能讓組織真正具備預防、偵測及回應威脅的能力。

(待續…)

[分享] 如何選擇適用的雲端安全標準

Sun, 20 Jul 2025 07:14:00 +0000

上一篇文章，分享了「導入雲端安全標準前應思考的三件事」，如果您已經確認組織所提供的服務，符合了雲端運算的五個基本特徵，並且歸納出是屬於哪一種部署模式和服務型式，也清楚了組織的角色是雲端服務顧客 (CSC) 或是雲端服務提供者 (CSP)，那接下您就可以參考這一篇文章，選用適合實施和進行驗證的雲端安全標準。

Source: BSI

可實施驗證的雲端安全標準

目前國際上認可和雲端安全有關，常見並且可以實施驗證的四個標準如下：

ISO/IEC 27001：它是適用於各行各業的資訊安全管理標準，可協助組織建立一個資訊安全管理系統 (ISMS)，藉由執行風險評鑑來選擇適當的控制措施，定義組織要達成的資安目標，再透過定期實施的內部稽核和管理審查，讓組織秉持PDCA的精神來持續改善資安，組織必須先通過ISO 27001驗證，這是獲得其他雲端安全標準證書的基本要求。
ISO/IEC 27017：它是基於ISO 27002，所延伸補充的雲端服務資訊安全控制措施的實作指引 (Code of practice for information security controls based on ISO/IEC 27002 for cloud services)，可適用於四種部署模式 (公有雲、私有雲、社群雲、混合雲) 和三種服務型式 (SaaS, PaaS, IaaS)，也同時適用雲端服務顧客 (CSC) 和雲端服務提供者 (CSP) 兩種角色。換句話說，它是目前適用性最廣泛的雲端安全標準。
CSA STAR：它是由雲端安全聯盟 (CSA)，所推出由產業認可的雲端安全標準，本身是基於由產業工作小組所聯合發展的雲端控制矩陣 (Cloud Control Matrix, CCM)，在實施之後，雲端服務提供者可藉由完成雲端安全自評表 (CAIQ)，或委由獨立公正的驗證單位像是BSI實施稽核，讓組織來展現已達成CSA STAR Level 1和Level 2的驗證。適用的對象，通常是以提供公有雲的三種服務型式為主的雲端服務提供者 (CSP) 。
ISO/IEC 27018：它是基於ISO 29100的隱私框架 (Privacy Framework) 和延伸補充自ISO 27002的控制措施，提供給PII處理者於公有雲環境，依據合約或協議處理個人可識別資訊 (PII) 時可遵循的實作指引 (Code of practice for protection of personally identifiable information (PII) in public clouds acting as PII processors)。這個標準是目前適用性範圍最小的，適用的對象包括提供公有雲的三種服務型式，但必須是PII處理者 (經由控制者委託處理PII) 的雲端服務提供者 (CSP)。

最簡單的評估和選擇方法

看了以上的說明，各位肯定還是眼花繚亂和一頭霧水，對吧？

別擔心，這裡介紹簡單選用的三個步驟 - 先釐清組織角色 (CSC or CSP)、確認服務類型 (SaaS, PaaS, IaaS)、選用部署模式 (公有雲、私有雲、社群雲、混合雲)，再依下列方法來選擇。

選擇一，無論您的組織是雲端服務顧客 (CSC) 或是雲端服務提供者 (CSP) ，使用或提供的是哪一種服務型式，也不管是哪一種部署模式，ISO 27017 肯定是最為適用的雲端安全標準。

選擇二，如果您的組織是雲端服務提供者 (CSP)，提供了任何一種的服務型式，通常部署的模式為公有雲 (Public Cloud) ，那麼選擇實施 CSA STAR 沒問題。

選擇三，如果您的組織是雲端服務提供者 (CSP)，在公有雲上提供了任何一種的服務型式，並且受到您的顧客委託 (有簽訂合約或協議)，使用雲服務來進行個資 (PII) 處理的活動，那麼您可以選擇實施ISO 27018來強化雲端服務的個資與隱私保護。

最後，再從組織角色方面，歸納出以下最簡單的判斷方式。

如果您是雲端服務顧客 (CSC)，只能驗證 ISO 27001 + ISO 27017。
如果您是雲端服務提供者 (CSP)，可以驗證 ISO 27001 + ISO 27017 + CSA STAR。
如果您是雲端服務提供者 (CSP)，並且也是公有雲的PII處理者，可以驗證 ISO 27001 + ISO 27017 + CSA STAR + ISO 27018。

[分享] 導入雲端標準前應思考的三件事

Sat, 19 Jul 2025 13:00:00 +0000

本週協助講授雲端服務資安管理主導稽核員的訓練課程，有學員詢問：「如果想要導入和驗證雲端服務的標準，那要如何確認自己是什麼樣的雲服務和適用哪一個國際標準？」

這是一個好問題，基本上，許多有興趣導入和實施雲標準的組織，最常見的情況就是不太清楚自己是真正的雲服務，還是只是傳統的網站服務，也不太知道自己是哪一種服務型式。

幸好，在雲端服務發展的初期，美國國家標準和技術研究院 (NIST) 就提出了雲端運算的定義 (NIST 800-145)，我個人喜歡把它稱之為「雲端運算的543」，組織可以利用它來評估自己是否有應用了雲端運算，而且是提供哪一類型的雲端服務。

Source: CSA Security Guidance

雲端標準導入第一步- 先確認自己是不是雲

關於雲端運算的543，其中5個基本特徵指的是:

廣泛的網路存取 (Broad network access)：所提供的服務支援各種用戶端設備，包括但不限於手機、筆記型電腦、平板電腦等，基本上只要此設備上面有瀏覽器，就可以透過網路來存取雲端服務。
快速且彈性的運作 (Rapid elasticity)：雲端服務的功能或資源可以快速且彈性的配置和調整，以租用IaaS的虛擬機器（VM）為例，租用雲端服務的顧客，可以依需求調整VM的數量，快速從10台擴展至50台，或是從50台減少至10台；若是SaaS的儲存服務，同樣也可以快速取得更多的儲存空間。在服務過程中，除了可自由手動配置之外，還可透過相關技術 (ex. API) 進行自動調整，如果口袋夠深，就可以實現在非常短時間內，獲得難以想像的運算能力，這是傳統IT架構比較難以達成的地方。
可量測的服務 (Measured service)：雲端服務是一種租賃的服務，雲端服務顧客（Cloud Service Customer, CSC）可以透過網路取得雲端服務提供者（Cloud Service Provider, CSP）所提供的各項運算資源 (例如：儲存、運算、頻寬、線上應用服務的帳戶等)，通常可採用按次付費或按使用資源收費的方式。所以對雲端服務提供者而言，就必須提供透明化的方式，並且有能力可以監控、控制和提供報表，讓雲端服務顧客可以清楚掌握目前資源使用的情況，以及需要付出的費用。
隨需的自助化服務 (On-demand self-service)：雲端服務可以讓顧客就像吃自助餐一樣，依照自己的喜好和需求來配置雲端運算的能力和資源，不需要透過雲端服務提供者的人工介入，包括申請、使用、配置功能和資源，都可以透過業者的雲端服務入口網站來達成。
資源池的調配 (Resource pooling)：由於雲端服務提供給為數眾多的顧客來使用，所以會形成一種共用資源的多租戶模式 (multi-tenant model)，為了要達成上面提到的快速且彈性的擴充和運作，對於雲端服務提供者來說，就必須要有能力匯整和調配包括實體和虛擬化的資源 (例如處理器、記憶體、儲存空間及網路頻寬)，快速地提供給需要的顧客，或是由不使用的顧客端進行回收。這些資源池可能位於世界各地，讓租用服務的顧客可以快速取用，業者也可順利的回收匯整。

對有意導入和驗證雲標準的組織，第一步就是要確認自己提供或使用的服務，是否運用了雲端運算，能夠符合雲端服務的5個基本特徵。

舉例來說，如果組織提供的服務是一個官方網站，它使用了一台實體的主機 (Windows Server + IIS)，放在自己的機房，設定開放對外的網路 (TCP 80, 443 port)，提供了組織簡介和產品資訊等內容，也開放給使用者可加入網站會員，申請帳號並利用它來登入網站使用電子報的訂閱和取消功能。

雖然它可滿足了一項雲端運算的特徵 (廣泛的網路存取)，但在其他4項特徵方面如果都沒有相關的功能和機制，只能說它其實還是傳統的網站服務，並不是所謂的雲端服務，也不太適用雲端服務的標準。

當然，目前NIST並沒有定義雲端服務需要完全滿足以上5個特徵，但若只是符合其中一項或二項，然後就認為自己是雲端服務的提供者，那實在是有點牽強。既然本質上不是雲端服務，又要強求去實施雲端服務相關的控制措施，恐怕很多的控制措施都很難展現和達成，也是浪費了組織的時間和人力成本。

但是，官方網站真的不能適用和驗證雲端服務的標準嗎？

有一種情況是可以實現的，就是組織同樣提供官網和會員的網站服務，但不是放在自家建置的環境，而是租用了其他業者的雲端服務，例如跟AWS, Azure, GCP租用虛擬主機，在上面運行所提供的網站服務。

這時候，藉由租用符合雲端運算5個基本特徵的雲端服務提供者的資源，就可以對外宣稱自己的網站服務是運用了雲端運算的服務，只不過組織的角色，並不會因此就直接變成雲端服務提供者，組織本身其實是雲端服務顧客的角色。

如果組織的目的是為了強化內部使用雲端服務的資訊安全，那就可以導入和驗證適用顧客的雲端標準 (ISO 27017) 了。

雲端標準導入第二步- 提供什麼類型的雲服務

關於雲端運算的543，剩下的4和3指的是：

4種部署模式：公有雲 (開放給大眾使用)、私有雲 (限單一組織使用)、社群雲 (具有共同目標的族群)、混合雲 (使用兩種以上部署模式)
3種服務型式： SaaS 軟體即服務 (ex. M365, Dropbox)、PaaS 平台即服務 (ex. 開發環境或容器運作平台)、IaaS 基礎設施即服務 (ex. VM)

若是確認了自己的服務已具備雲端運算的基本特徵，接下來請問問自己，採用的部署模式是什麼？所提供的是哪一類型的雲服務。

雲端標準導入第三步- 釐清自己的角色

如果您的組織和Microsoft、Google、Amazon一樣，提供各式各樣的雲服務給大家使用，並且滿足雲端服務的5大特徵，您就是「雲端服務提供者 (Cloud Service Provider, CSP)」。

如果您的組織單純只是使用現有的雲服務，例如：M365, GCP, AWS EC2等，那您就是「雲端服務顧客 (Cloud Service Customer, CSC)」。

如果您的組織像是儲存服務的業者Dropbox，在底層的儲存空間租用了AWS S3服務 (IaaS)，並且利用它來打造成為自己的檔案儲存應用服務 (SaaS)，此應用服務也藉由自己提供的機制符合了雲端運算的五大特徵，那麼您就是同時兼具了雲端服務顧客 (面對AWS)，同時也是雲端服務提供者 (面對Dropbox顧客)的角色。

最後，如果您已完全清楚了以上三件事，下一篇文章將告訴您如何選擇適用的雲端服務國際標準。

[分享] 製造業的資安管理重點

Thu, 17 Jul 2025 07:13:00 +0000

上週到新竹某個高科技製造業公司，擔任 ISO 27001 Lead Auditor 的課程講師，現場有參與課程的學員問到，對高科技製造業者來說，需要考量的資安管理重點是什麼？

一般來說，高科技製造業的資安管理，至少需要涵蓋以下三個層面：

1. 生產製造：建立機台相關控制系統的存取控制、網路管理及端點裝置防護的流程；

2. 內部系統：實施基礎設施的實體安全管理、強化內部系統安全 (ex. MES, ERP) 及資料保護的控制措施；

3. 外部服務：針對供應商和供應鍊的安全管理，以及使用外部提供的新興科技服務 (ex. Cloud, AI) 的管控機制。

另外，除了定期實施一般人員的資安訓練，防範社交工程和釣魚郵件的威脅，強化最高管理階層的資安認知也是必要的工作，唯有最高管理階層具備資安風險管理的觀念，才有辦法帶領組織和員工落實資訊安全的要求。

[證照] 通過CCSK v5考試

Thu, 05 Jun 2025 15:07:00 +0000

趁著最近在講授ISO 27017和ISO 27018課程的空檔，總算把先前花了錢購買了考試代幣，但是拖了很久沒動的CCSK v5考試給完成了。

跟我上一次考的CCSK v3相比，CCSK v5的考試總算是對考生比較友善了，題目內容不長且難易適中，只要閱讀和利用CSA提供可免費下載的「CCSK Offical Study Guide」，應該就能順利通過考試，當然比較保險的話，把「Security Guidance (對岸有簡體中文版可下載)」也看過一遍，對於整體的雲端安全觀念會更加完整。

對於考試有興趣的夥伴們，可直接到CSA官網下載「CCSK v5 Prep Kit」，裡面提供很豐富的資訊 (包括上面提到的 Offical Study Guide 和 Security Guidance)，以下則是利用AI彙整的考試說明，請參考。

CCSK 考試注意事項

• 考試形式：考試是線上進行的開卷考試 (Open book)。

• 考試結構：考試包含 60 題多重選擇題，每個題目都是單選題，這些問題是從題庫中隨機選取的，因此每次考試的問題不一定相同。

• 時間限制：CCSK v5 考試的時間限制為 120 分鐘，考生可以先註記困難的題目，最後再回頭作答。

• 通過分數：考試的最低通過分數是 80%。

• 考試次數與代幣費用 (Standard Exam Token)：一個標準考試代幣的費用是 $445 美元，包含最多 2 次考試機會，如果你在第一次嘗試時失敗了，沒有強制規定需要等待多久才能參加第二次考試，但建議在失敗後花時間重新學習一下不熟的知識領域。

• 考試時間與地點：考試不需預約特定的考試日期，因為是線上考試，可以隨時自行安排並使用自己的電腦，你也不需要到考試中心參加考試。

• 考試結果與檢討：考試結束之後，結果會立即知道，通過就可以取得電子版的證書。為了維護考試的完整性，考試平台不會提供你答錯的具體題目答案，但是，平台會顯示每個領域的題目數量，以及你在每個領域答對的數量，這有助於考生了解哪些知識領域需要加強學習。

[分享] ISO 27001:2022 本文新增之條款

Wed, 15 Nov 2023 12:48:00 +0000

受到國際公認的新版ISO 27001:2022資訊安全管理系統 (ISMS) 國際標準，從2022年10月底正式公告發行之後，至今也已經屆滿一週年了，依據ISO組織的要求，所有取得舊版證書的組織，都必須要在三年的轉換期內 (2025年10月底前) 完成轉版稽核，以便持續維持證書的有效性，接下來跟大家分享新版和舊版中，主要條款內容的差異，希望能夠協助大家順利的完成轉版的工作。

在ISO 27001: 2022 標準本文中主要的改變，就是加入了一個全新的條款「6.3 變更之規劃」，要求「當組織決定需要對資訊安全管理系統變更時，應以規劃之方式執行變更」。在舊版標準中，提到跟變更有關的要求，應該就是「A.12.1.2 變更管理」的控制措施了，這個控制措施要求「應控制對影響資訊安全之組織、營運過程、資訊處理設施及系統的變更」。所以大到不管是組織的策略方向和營運過程的改變可能影響到資安，小至資訊系統和防火牆的設定異動調整，都需要備妥正式的管理責任及程序，以確保所有變更之控制皆符合要求，並留下適當的記錄。

不過在新版的標準中，跟組織ISMS有關的變更要求，已經把它歸屬在「6.3 變更之規劃」中了，至於舊版原本的「A.12.1.2 變更管理」控制措施，條款編號已經調整為「8.32 變更管理」，並且也將控制措施的要求，調整為「資訊處理設施及資訊系統之變更，應遵循變更管理程序」，也就是改變成為只針對資訊處理設施和資訊系統的變更管理要求了。

實務分享

至於在什麼樣的情況下，組織需要依照「6.3 變更之規劃」的要求來實施呢？

一般而言，通常是組織有重大的異動 (例如合併了另一家公司)，或是資訊相關作業活動有了重大的改變，ISMS管理制度可能就得因應來做調整，以下舉一個例子來說明。

舉例: 某組織選擇停止自建和維運現有的實體機房，改為採用三大公有雲所提供的 IaaS 服務，將資訊系統運作在租用的虛擬機器 (VM) 之上。此時，當組織決定採用由外部提供的雲端服務時，就需要考量 ISMS 體系面 (本文4-10章節) 的管理要求，以有計畫的方式做出ISMS的對應調整，並且留下適當的記錄，包括:

鑑別與雲端服務有關的內外部議題和關注方的期望與要求 (4.1, 4.2)。
資安政策中是否包括針對雲端安全的要求事項，以及持續改善的承諾 (5.2)。
針對使用的雲端服務進行風險評鑑和風險處理 (6.1, 8.2, 8.3)，選擇適當的控制措施 (A.5.23)。
考量針對雲端服務制訂相關的資訊安全目標，並且定期進行監督與量測 (6.2, 9.1)。
實施和雲端服務有關的專業與認知教育訓練 (7.2, 7.3)。
確保使用雲端服務的過程實施適切的控制，例如: 管理外部供應商 (8.1)。
針對使用的雲端服務進行內部稽核 (9.2)，管理審查時進行與雲端服務相關的反饋與改善 (9.3, 10)

查核重點

最後，組織在進行自我查核和檢視相關稽核證據時，可考量以下事項:

詢問組織如何決定需要變更資訊安全管理系統 (ISMS)，所採取的規劃方式是什麼？
詢問如何針對ISMS管理體系 (本文4-10) 做出因應的調整？
針對所做出的ISMS管理體系之調整，檢視對應的客觀證據有哪些？

[新知] ISO 42001 - 人工智能管理系統 (AIMS) 的國際標準即將誕生

Mon, 13 Nov 2023 15:17:00 +0000

隨著AI (人工智能) 技術的快速發展，對於許多業者基於AI所提供的產品或服務，許多人也擔心新科技的應用可能會對人類的生活產生負面的影響，因此，如何讓AI科技的發展能夠趨於正途，成為了一個值得關注的議題。

目前人工智能管理系統 Artificial intelligence Management system (AIMS) 的國際標準「ISO 42001」，已經進入到最後草稿版本的審查階段，預計將在2023年12月正式公布。

# 更新: ISO 42001標準已於2023-12-18正式發布了~~

ISO 42001的AIMS和ISO 27001的ISMS一樣，同樣要求組織從「風險」的角度，評估提供AI的產品或服務，可能面臨的品質、安全、隱私、公平性、可靠性和透明度等議題所帶來的風險，進而實施對應的管控措施。

ISO 42001標準的內容，主要分為兩個部份，第一部份是本文第4章至第10章的內容，和ISO 27001資訊安全管理系統 (ISMS)一樣，遵循了ISO組織所定義的高階結構 (Annex SL)，主要是說明如何建立、實施、維持與持續改善組織的人工智能管理系統 (AIMS)，它能夠幫助組織以負責任的態度去開發或使用AI，並且達成法規的要求，同時也可滿足社會與眾多關注方的期望。

4 組織全景

4.1 了解組織及其全景

4.2 了解關注方的需要與期望

4.3 決定AI管理系統的範圍

4.4 AI管理系統

5 領導作為

5.1 領導與承諾

5.2 AI政策

5.3 角色、責任與權限

6 規劃

6.1 因應風險與機會之行動

6.1.1 一般要求

6.1.2 AI風險評鑑

6.1.3 AI風險處理

6.1.4 AI系統衝擊分析

6.2 AI目標與達成之規劃

6.3 變更之規劃

7 支援

7.1 資源

7.2 能力

7.3 認知

7.4 溝通

7.5 文件化資訊

8 運作

8.1 運作規劃與控制

8.2 AI風險評鑑

8.3 AI風險處理

8.4 AI系統衝擊分析

9 績效評估

9.1 監督、量測、分析及評估

9.2 內部稽核

9.3 管理審查

10 改善

10.1 持續改善

10.2 不符合事項與矯正措施

至於ISO 42001標準的第二部份，則包括了以下四個附錄的內容：

附錄A是參考之控制目標與控制措施，以表格說明了附錄B.2至B.10的控制措施要求。

附錄B是AI控制措施的實施指引 (內容有點像是ISO 27002，它是控制措施的參考書)

B.1 一般說明

B.2 AI相關之政策

B.3 內部組織

B.4 AI系統之資源

B.5 AI系統之衝擊分析

B.6 AI系統生命週期

B.7 AI系統之資料

B.8 關注方之資訊

B.9 AI系統之使用

B.10 第三方與顧客關係

附錄C是可能的AI相關組織目標與風險來源

C.1 一般說明

C.2 目標

C.3 風險來源

附錄D是使用AI管理系統涉及的領域或行業

D.1 一般說明

D.2 AI管理系統與其他管理系統標準之整合

[新知] ISO 27001:2022 新版資安管理系統 (ISMS) 國際標準正式發行

Tue, 25 Oct 2022 09:40:00 +0000

眾所矚目的ISO 27001:2022新版資安管理系統 (ISMS) 國際標準，終於在今日正式公布發行了，以下簡要地說明新版標準與舊版之間主要的差異:

1. ISO 27001:2022新版國際標準從原本的「資訊技術－安全技術－資訊安全管理系統－要求事項 (Information technology - Security techniques — Information security management systems — Requirements)，更名為「資訊安全、網路安全和隱私保護－資訊安全管理系統－要求事項 (Information security, cybersecurity and privacy protection — Information security management systems — Requirements)。

2. ISO 27001:2022新版國際標準的附錄A，採用了今年二月中已更新發行的ISO 27002:2022的四個控制領域 (組織、人員、實體、技術) 與93個控制措施。在舊版標準中所使用的控制目標 (Objective) 被移除了，改為以目的 (Purpose) 來取代，至於新增加的5個控制屬性 (five attribute)，則可由組織自行選用，並非強制要求。

3. ISO 27001:2022新版國際標準的內容文字，以文件 (document) 取代原先使用的國際標準 (International Standard)。

4. ISO 27001:2022新版國際標準在本文「4.4資訊安全管理系統」，要求定義建立、實作、維持及持續改善資訊安全管理系統所需的流程 (process)。

5. ISO 27001:2022新版國際標準更明確要求在組織內和資安有關的溝通角色。

6. ISO 27001:2022新版國際標準，微調了部份條款內容和編號，例如: 原先的「9.2 內部稽核」內容增加了「9.2.1 General 一般要求」和「9.2.2 Internal audit programme 內稽計畫」；「9.3管理審查」內容則增加了「9.3.1 General 一般要求」、「9.3.2 Management review inputs 管理審查輸入」及「9.3.3 Management review results 管理審查結果」。另外，原先舊版標準的「10 改善」，則是調整順序為「10.1 Continual improvement 持續改善」和「10.2 Nonconformity and corrective action 不符合項目及矯正措施」，僅將原先的編號對調但內容要求不變。

轉版時程與規劃安排

依據所得知的消息，自2022年11月1日起將會有3年的新舊版證書轉換期，所有的2013年舊版標準證書，預計將在2025年11月1日起失效。

目前已取得2013年舊版證書的組織，可以選擇在既定的後續審查 (CAV) 或三年重審 (RA) 時，同時進行轉版稽核，但要注意的是從2024年5月1日起，想要申請 ISO 27001 首次驗證 (IA) 或進行三年重審的組織，就不能選擇再採用2013年舊版標準來進行稽核了。

至於轉版的規劃，以下步驟可作為參考：

1. 取得新版的ISO 27001:2022國際標準，若有需要也可取得ISO 27002:2022國際標準，以便了解新版控制措施的實施指引。

2. 針對新版國際標準的要求，進行差異分析 (包括本文和附錄A) 和風險評鑑。

3. 針對ISMS管理體系和現有的控制措施，實施必要的改變和調整，並保留實施的文件化證據 (在轉版驗證時提供給稽核員看)。

4. 請務必更新適用性聲明書 (SOA) 以反映所實施新版國際標準的控制措施，並且說明適用和不適用的理由。

5. 主動與組織的驗證單位連繫，提早確認預計要進行轉版稽核的時間。

[新知] ISO/IEC 27701:2019 - 第一個隱私保護和個資管理的ISO標準誕生

Thu, 08 Aug 2019 11:58:00 +0000

有鑑於國際上愈來愈多對於隱私保護和法令法規的要求，以及幾乎所有的組織都會有處理個人資料 (PII) 的情況，保護個人資訊和隱私已然成為民眾普遍的期望。

目前，ISO/IEC 27001已是國際上公認為資訊安全管理系統的首要標準，不過，在隱私保護方面除了所需的資安控制措施之外，如何因應法令法規對於個資和隱私保護的要求，以及從PII的控制者和PII的處理者的不同角度來實現和滿足，這也讓ISO組織開始著手編寫ISO/IEC 27552 (ISO/IEC 27701的前身) 標準，希望在既有的資訊安全管理系統 (ISMS)上，也能延伸補充個資管理系統 (PIMS) 的要求和實施指引。

如今，「ISO/IEC 27701:2019 Security techniques — Extension to ISO/IEC 27001 and ISO/IEC 27002 for privacy information management — Requirements and guidelines」已在2019年8月正式發布，成為全球第一個隱私保護和個資管理的ISO標準。

ISO/IEC 27701的內容分為8個章節如下：

Scope
Normative references
Terms, definitions and abbreviations
General
PIMS-specific requirements related to ISO/IEC 27001
PIMS-specific guidance related to ISO/IEC 27002
Additional ISO/IEC 27002 guidance for PII controllers
Additional ISO/IEC 27002 guidance for PII processors

第一到第三章，主要是適用範圍、參考標準和名詞定義的說明，ISO/IEC 27701適用於任何類型的組織，包括公務機關、民營企業及非營利組織。

第四章則是整體性的說明，包括PIMS的要求如何對應到ISO/IEC 27001的4~10章管理體系，以及PIMS增項的指引如何對應到ISO/IEC 27002的5~18章的控制措施。

第五章和第六章的內容，則是進一步敘述在第四章提到的PIMS對應ISO/IEC 27001管理體系要求和ISO/IEC 27002控制措施實施指引。

至於第七章和第八章，則分別從PII控制者和PII處理者的角度，說明包括蒐集和處理個資的情況和條件、應遵循的個資保護原則、設計和預設的隱私考量，以及個資的分享、傳輸和揭露的增項要求。

最後，在標準的附錄A~F中還補充了PII控制者和PII處理者可參考的控制目標和控制措施，以及對應到 ISO/IEC 29100、GDPR、ISO/IEC 27018、ISO/IEC 29151 的條款編號，並且加上如何應用此標準的說明，對於想要整合多項標準和遵循GDPR的組織而言是很清楚的參考資訊。

[專欄] 定期執行資安合規檢視有效管控資訊系統風險

Mon, 29 Jan 2018 14:47:00 +0000

隨著惡意的攻擊手法愈來愈多樣化，對於防禦的一方而言，需要持續關注的議題也愈來愈多，在日常維運方面，無論是參考國際標準的要求，或是依據產業的規範或最佳實務，定期的實施自我資安檢查，將是確保組織維持強健體質的良方。

從去年犯罪集團針對包括台灣、泰國、日本等各國的ATM系統進行入侵和盜領案件，到2017年年初對於證券業者發動的分散式阻斷服務(DDoS)攻擊勒索事件，各式各樣的資安攻擊仍然層出不窮。依據英國標準協會(BSI)和營運持續協會(BCI)所共同發表的2017 Horizon Scan Report指出，2017年排名前三大的威脅仍然是「網路攻擊」、「資料外洩」和「無預警的資通訊中斷」，這些威脅將直接關係到組織本身的資訊系統，以及保護、管理與存取資訊的能力。換句話說，組織是否有能力定期檢視資訊系統，分析評估可能存在的威脅與弱點，並且盡快進行處理，就是維持資訊系統持續運作的重要關鍵。

主管機關對資安評估之要求

在2014年7月，中華民國銀行商業同業公會全國聯合會就提出了「金融機構辦理電腦系統資訊安全評估辦法」，並且報請金融監督管理委員會的同意，要求金融機構參照其所制訂的「金融機構資訊系統安全基準」和「金融機構辦理電子銀行業務安全控管作業基準」，定期實施資訊安全評估作業，希望藉由提早發現可能的資安威脅與弱點，並且實施技術面和管理面的相關控制措施，以提升並強化組織在資訊系統和網路安全的防護能力。

因此，金融機構必須依照其整體資訊系統的現況來制訂資安評估計畫，先針對資訊資產的重要性和影響性進行分類，再決定實施資訊安全評估之週期，並且在完成之後，提交一份正式的電腦系統資訊安全評估報告。如果評估之後發現有不符合的項目，還需要進行後續的追蹤和矯正。若是有單一系統不幸發生了重大的資安事件，此系統也被要求必須要在三個月內，重新再執行一次資訊安全評估作業。

表1 電腦系統之分類和評估週期

電腦系統類別	定義	評估週期
第一類	直接提供客戶自動化服務或對營運有重大影響之系統(如電子銀行、分行櫃台、ATM自動化服務等系統)	每年至少辦理一次資訊安全評估作業
第二類	經人工介入以直接或間接提供客戶服務之系統 (如作業中心、客戶服務等系統)	每三年至少辦理一次資訊安全評估作業
第三類	未接觸客戶資訊或服務且對營運無影響之系統 (如人資、財會、總務等系統)	每五年至少辦理一次資訊安全評估作業

(資料來源：金融機構辦理電腦系統資訊安全評估辦法)

資安評估作業的內容項目

在資訊安全評估作業之內容方面，它一共包括了以下六大項目：

(一) 資訊架構檢視：評估網路架構之配置、資訊設備的管理方式和單點故障的風險承擔能力，以及組織對於營運持續所採取的相關措施。

(二) 網路活動檢視：包括了網路相關設備的帳號權限管理和存取記錄、設備的監控與異常事件的處理，以及檢視網路封包是否存在網路異常連線和惡意行為。

(三) 網路設備、伺服器及終端機等設備檢測：檢測設備的存取和連線機制、是否定期實施弱點掃瞄和修補作業，以及檢測是否存在惡意程式和後門程式。

(四) 網路安全檢測：包括了網站和客戶端軟體的弱點掃瞄、程式源碼的檢測、滲透測試，以及評估網站目錄權限設定的適當性，檢視系統是否存在可能易遭連線挾持和資源消耗等影響系統可用性的情況。

(五) 安全設定檢視：包括系統存取限制和特權管理、伺服器的設定原則、軟體更新、防火牆的連線設定，以及金鑰的儲存保護和存取機制等。

(六) 合規檢視：檢視整體的電腦系統是否符合「金融機構資訊系統安全基準」中，有關提供系統可靠性及安全性侵害對策之規範要求。如果組織提供了電子銀行服務，還需要檢視相關系統是否符合「金融機構辦理電子銀行業務安全控管作業基準」之要求。

基本上，前五項的檢視要求比較偏向於技術面的評估，評估人員只要符合了辦法中相關的資格條件，可以由內部人員或委由外部廠商來執行，但是在第六項合規檢視的部份，它是從整體的資安要求與管控機制來看，因此比較適合由獨立的第三方機構來進行，藉由公正客觀的角度和業界的實務經驗，能協助組織更有效地找出可能的資安風險。

資訊系統合規檢視的重點

金融機構資訊系統安全基準是主管機關為了提升金融業務相關電腦系統的穩定性，所提出的強化措施之一，它針對了環境、設備、軟體、系統開發、運作管理等項目，分別從設備基準、營運基準、技術基準提供了相關的實務措施與控制作法，其中又以技術基準是作為提升資訊系統的可用性、完整性及機密性，提出在系統硬體及軟體等技術面的對策，主要包括「提升系統可靠性(技1-技25)」和「安全性侵害之對策(技26-技51)」兩個層面，區分為8大項和51個的小項目，可以用來協助金融業者檢視相關資訊系統的安全現況，分別說明如下。

提升硬體設備之可靠性 (技1-技6)
這6個項目主要是在預防硬體設備的故障，要求組織應依照設備本身的特性，定期實施預防性的檢查和保養，並且針對包括重要主機、週邊裝置、通訊裝置、通訊線路及端末系統，都需要評估並設置所需的備用與備援設備，以強化系統運作的可靠性。

提昇軟體系統之可靠性 (技7-技15)
這9個項目是要求提升軟體的開發和維護品質，主要著重在完整的系統開發生命週期的各個階段，所對應實施的控制措施，例如確認系統開發設計的計畫是否納入了安全的考量，並且在系統計畫階段就實施了必要的安全控管機制；是否採用標準化的設計和程式撰寫作業，以確保軟體的品質；在測試階段如何擬定測試計計畫並完成各項測試作業；程式如何進行派送，以及購置套裝軟體時的考量等。另外，它也要求在系統功能進行增修變更時，相關的作業仍應比照開發階段時的品質控管要求。

提升營運可靠性之對策 (技16-技19)
這4個項目是要求系統操作如何保持自動化和簡易化，並且在操作的過程中，是否進行系統操作的檢核，以降低人為操作的錯誤。另外，針對資訊系統的運作狀態，是否進行適當的監控，以避免其因資源不夠或超過負荷，而導致系統錯誤的發生。對於無人看管的ATM設備，是否採行了集中監控和遠端搖控功能，以確保無人化服務區的穩定運作，這些都是屬於營運可靠性的要求。

故障之早期發現、早期復原 (技20-技24)
這5個項目是希望讓故障能夠被早期發現並進行復原，因此組織需要設置資訊系統的監視機制，包括了運轉、停止、錯誤等狀態的發現和回報，一旦故障真的發生，還能夠適當地隔離故障的部位，縮小故障的範圍以便讓其他功能可以正常運作。另外，若是屬於交易類的系統，為使故障的影響降至最低，必要時可以限制交易的科目或類型。當然，組織也需要建置系統復原的功能，以便能盡快地回復到正常的服務作業。

災變對策 (技25)
有關災變的因應只有一個要求，就是為了預防資訊中心發生災難而導致所有系統功能完全喪失，組織需備有災變備援中心，以便能讓相關服務能夠及早回復。

資料保護 (技26-技34)
在資料保護方面，一共有9項要求，主要著重在防止資料外洩和被竄改破壞，需要建立相關的檢核機制。所以它的要求從最基本的密碼不顯示不印錄等措施開始，在資料傳輸過程中必須實施加密，重要資料於儲存時也要進行亂碼化處理。而為了保護資料本身，除了要求檔案存取時要具有排他機制外，對於存取資料的人員、應用程式和檔案，也要求應具有檢核與剔除的功能，對於帳務相關的主檔和交易日誌檔案等，也要具備相互勾稽的機制，以預防資料受到不當的竄改。

防止非法使用 (技35-技48)
這裡一共有15項管控要求，主要重點在於存取權限的確認、交易範圍的限制，以及防止偽冒欺詐的情況發生，所以其要求包括了偵測非法使用ID的功能、系統的日誌和歷史資料的保護、發生事故時限制交易或停止交易的機制、卡片的偽冒和電子儲值資訊的保護等。另外，網路安全的相關措施，包括偵測非法的網路入侵、確保不必要的設備存取重要網路、非法存取與異常交易的監控，以及萬一真的發現非法入侵和存取時應變機制和復原程序，也是防止非法使用的要求重點。

防止非法之程式 (技49-技51)
這3個項目主要是著重在惡意程式的防禦，包括如何在系統開發、維護、營運中防止電腦病毒的入侵，以及是否設置了偵測和檢查機制以降低被感染的風險，還有萬一真的被惡意程式感染時，如何進行適當的隔離和清除，降低對資訊系統的影響，都是組織需要進行評估的要求內容。

金融相關產業都應及早遵循

目前，除了金融機構因應銀行公會之要求，需要依照電腦系統的重要性類別，定期實施資安評估作業並產出報告之外，已經有其他相關的產業公會也比照此一要求來通知其會員公司辦理。目前已經正式行文的包括「壽險業辦理電腦系統資訊安全評估作業原則」、「產險業辦理電腦系統資訊安全評估作業原則」、「信用合作社辦理電腦系統資訊安全評估辦法」、「保險代理人公司辦理資訊安全評估作業原則」、「保險經紀人辦理電腦系統資訊安全評估作業原則」等。因此，如果組織本身隸屬於以上的產業，為了能夠更有效地管控資安風險，應及早規畫並依據作業辦法之要求，指派內部的專業人員，或是尋求外部單位的協助來定期執行資安評估，以遵循主管機關之期望要求。(本文刊載於2017年5月號網管人雜誌)

參考資料

金融機構辦理電腦系統資訊安全評估辦法
金融機構資訊系統安全基準

[新知] 雲端運算關鍵領域安全指南更新為4.0版本

Mon, 07 Aug 2017 09:43:00 +0000

雲端安全聯盟(CSA)日前宣佈，雲端運算關鍵領域安全指南(Security Guidance for Critical Areas of Focus in Cloud Computing)已正式更新為4.0版本，其中有將近8成的內容進行了改寫，以便更貼近目前雲端安全實務上的需求。

同時，這份指引也整合雲端安全控制矩陣(CCM)和自我評估的問卷(CAIQ)，並且也涵蓋了軟體開發人員和IT維運人員溝通(DevOps)、物聯網(IoT)、行動化(Mobile)和大數據(big data)等熱門議題。

另外，雲端安全知識認證(CCSK)也即將更新為CCSK v4，考試內容有80%來自於新版的雲端運算關鍵領域安全指南4.0版，其他則參考CCM和ENISA的雲端運算風險評鑑報告(Cloud Computing Risk Assessment report)的內容。

新版CCSK的考試費用為395美元，預計將在2017年12月1日開始提供新版的考試。

雲端運算關鍵領域安全指南4.0版仍提供免費下載，更多資訊可參考以下連結:
https://cloudsecurityalliance.org/guidance/#_overview

舊留言存檔

以下留言轉存自原 Blogger 網站，僅供存檔，無法回覆。

匿名（2017-11-23）

請問~CCM~有文件可以下載嗎?

傑克小花（2017-11-27）

有的，CSA網站也有提供下載喔~

Kenji.C（2019-04-17）

請問CCM和ENISA的雲端運算風險評鑑報告有中文版嗎?

傑克小花（2019-04-26）

目前CCM和ENISA的風險白皮書好像只有英文版喔～

[專欄] 強化組織的資訊韌性因應惡意挑戰並克服難關

Thu, 20 Jul 2017 07:05:00 +0000

在資訊時代瞬息萬變的局勢下，組織要如何才能夠永續經營？一旦面臨困難挑戰，發展組織韌性(Organizational Resilience)將會是危機中的逆轉關鍵，所謂的韌性是指組織能夠預測、準備和應對可能突發的營運危機，擁有充份的能力可以因應變化，最後得以持續生存並且繁榮興盛。

在今年農曆春節結束後開工的第一週，台灣有十家以上的證券業者遭遇了勒索式的網路阻斷服務攻擊，巨大的攻擊流量對於資訊系統的運作造成了重大的影響，同時也考驗了組織面對外來威脅的應變機制和能力。根據BSI英國標準協會過去對於資訊部門主管所做的調查結果指出，有九成以上的受訪者坦言其組織曾經遭遇過來自網路的攻擊，更有五成的受訪者表示因為駭客試圖入侵或是惡意程式的潛伏運作，而使組織蒙受經營上的損失。

無論是大企業或是小公司，當面對來自四面八方的網路攻擊，或是潛藏在組織中伺機發作的惡意軟體，具備足夠的資訊韌性將是必要的生存要素之一，有韌性的組織可以藉由更好的供應商和產品工具的協助，建立標準化且迅速的事件回應處理流程，加上擁有足夠資安意識和應變能力的專業人員，能夠協助組織克服危機帶來的考驗，也就是說，具備資訊韌性除了可以確保業務的持續運作，更可同時維護重要資訊的安全。

有關組織韌性的國際標準

BS 65000是BSI在2014年底所發布的英國國家標準，它是有關組織韌性的最佳實務指引，目前，正在發展中的ISO 22316更以它為本，將初稿內容公開以徵詢各方意見，未來即將成為正式的國際標準。BS 65000除了針對韌性的本質給予清楚的描述，也提到了發展組織韌性的方法，也就是透過整合現有的作業流程，讓複雜的組織運作能夠透過協同運作的方式，建立組織因應各項問題的能力。根據經濟學人的研究指出，組織韌性已是現代企業邁向成功的驅動力，它主要包括了以下三大領域：

營運韌性 (Operational Resilience) - 聚焦於提升組織的營運能力，強化產品、服務與流程的績效和永續性，進一步防範組織在財務與聲譽方面受到損害。

資訊韌性 (Information Resilience) - 管理組織的實體與數位資訊，強調資訊的生命週期管理，從資訊的產生到終止，讓各方的利害關係人都能安全且有效率地取得、儲存及使用資訊。

供應鏈韌性 (Supply chain resilience) – 它是量化與緩和供應鏈風險的能力，包含了採購、製造、運輸、銷售的生命週期，以適當的管理機制將供應鏈中斷的衝擊減至最小，並且保護組織免於財務和聲譽的損害。

發展資訊韌性的四大基礎

在現今的資訊時代，組織需要有足夠的能力去保護敏感資訊，也需要被客戶信賴。隨著資訊化的腳步愈來愈快，組織也面臨了伴隨而來的各種安全威脅，像是資訊詐騙、商業間諜及惡意破壞等。如今，大部份的威脅已不是來自於外部，而是來自於內部缺少適當的安全控制措施，並且也包括使用新興科技的雲端服務，還有委外的商業資訊和個人資料處理，也擴大了可能的安全議題。

對組織而言，為了獲得利害關係人像是客戶的信任，導入有效的資訊安全管理(ISMS)體系已是強化資訊韌性的必要做法，而且還要讓它進一步融入於組織的文化之中，以支持在各個層級的內部營運和商務運作。基本上，在資訊從產生到終止的生命週期中，一個有韌性的組織必須考量從實體面、數位面來管理所擁有的資訊，並且在流程面採取資安內化的角度，讓資訊能夠安全且有效率地被蒐集、存取和利用。

對於想要強化資訊韌性的組織，以下四個層面將是必要的發展基礎：

管理和保護資訊：首先組織必須了解需要妥善保護的資訊有哪些，這部分可以藉由盤點關鍵的營運流程和相關的資訊資產來進行。另外，對於資訊本身的生命週期，包括創建、處理、儲存、傳輸及銷毀的過程，也需要清楚的識別其作業方式和保留記錄。對組織而言，管制資訊的出入口是第一道防線，若能及時實施適當的存取控制，就可以大幅降低資訊外洩的風險。
防護資訊基礎設施：組織內部與資訊處理相關的基礎設施，除了包括所在場域維持運作所需的基本公共服務，例如網路、電力、水力等，也涵蓋了自行管理的資訊設備、電腦機房和資料中心。換句話說，實體安全的控制是防護基礎設施重要的一環，無論是位於場所內或場所外的資訊設備，都需要事先評估無法運作時的風險。因此，組織需要制定對應的備援機制和營運持續計畫，同時還要安排定期的演練，確認相關計畫在災難發生時的可行性。
強化信任和聲譽：組織想要長期的生存發展，並不是單靠本身的力量即可達成，尤其是許多的資訊服務與資源，可能來自於協力的廠商業者，因此，除了要主動強化彼此的信任合作關係，打造可信賴的資訊服務，還要去維持良好的供應商關係，進一步強化組織聲譽以成為重要供應鍊中的一環，以便讓業務得以長期的擴展。
確保法令法規的遵循：對於組織來說，要求遵循適用的法令法規已是必要的責任和義務，隨著組織規模的擴大和資訊服務的無遠弗屆，除了了解當地的法令法規要求，更需要進一步了解業務範圍內的各國法規，否則一旦適法性受到質疑，伴隨而來的法律議題將會危及組織的生存發展，所以組織也需要有法規專業人才的協助，確保法令法規的遵循要求。

結合管理系統以提升資訊韌性

為了強化組織韌性，結合受到全球認可與導入，並且適用於各種產業與規模的管理系統標準，已是形塑組織內部文化與建構資訊韌性的最佳方法，以下是與提升資訊韌性密切相關的管理系統標準，可以作為組織的參考。

ISO/IEC 27001 資訊安全管理系統
ISO/IEC 27001是受到業界廣泛認可的資安管理標準，它定義了資訊安全管理系統(ISMS)的基本要求，這項標準的設計是確保有充分、適當的安全控制措施，協助組織保護其重要的資訊資產。導入ISO/IEC 27001可增強包括客戶在內的利害相關人各方的信心，它適合於全球任何規模和行業的組織，尤其適合於影響關鍵業務及特別需要安全保護的組織資訊。

ISO 20000 IT服務管理系統
資訊科技已是支持組織日常營運的重要支柱，不管員工位於何處或負責何種業務，任何規模的組織都需要仰賴有效的IT 服務管理，以達成服務績效和營運要求。IT 服務除了具有成本效益之外，還必須達成可靠性、一致性及有效性，無論是管理企業內部的IT服務，或是針對提供 IT 服務的委外服務業者，ISO 20000都能協助組織達成以上目標，並且可以因應不同產業的快速變化，提升資訊技術基礎架構(ITIL)來滿足業務所需。

ISO 22301 營運持續管理系統
對於可能造成營運中斷的風險，ISO 22301提供了正式的營運持續管理架構，藉由營運衝擊分析來協助組織發展出營運持續計畫，以便在發生重大衝擊事件期間和之後還能夠持續地營運。若組織能有效遵循所制訂的營運持續計畫，將可減少中斷事故所造成的衝擊和影響，確保組織有能力快速恢復正常營運，並持續提供客戶所需的服務及產品。

ISO 31000 風險管理標準
組織若採取有效的風險管理策略，可以幫助在事前進行危機分析和風險評估。因此，參考ISO 31000標準所提供全面性的原則和準則，能夠協助組織鑑別所面臨的風險。此一標準適用於大部分的業務營運活動，不論是公務機關或私人企業，都能藉由標準指引來建立風險管理機制，針對可能的風險進行評估，並且針對不可接受的風險進行風險處理。

強化資訊韌性迎向未來挑戰

依據經濟學人智庫(The Economist Intelligence)針對全球411位企業高階主管的調查指出，有八成以上的受訪者認為韌性是組織營運發展的關鍵要素，並且是業務長期發展的必要條件，但是目前僅有三成的組織已實施相關的做法，因此相當需要實務上的指引和協助。

在資訊變動快速的年代，面對未來許多不可知的風險，組織可藉由發展資訊韌性，仔細地審視在整個資訊生命週期之中，包括產品、人員、流程存在著哪些可能的風險，再透過管理系統的導入與相互合作，落實風險管理並強化日常維運的基礎，正所謂「適者生存」，組織唯有具備了強建的韌性體魄，才有充分能力因應未來更多的挑戰。
(本文刊載於2017年4月號網管人雜誌)

[新知] 新版BS 10012:2017標準已正式發佈

Thu, 13 Apr 2017 16:07:00 +0000

新版BS 10012:2017標準已正式在2017年3月31日正式發佈，新版標準主要是因應歐盟在2016年4月14日所通過的資料保護法規GDPR (General Data Protection Regulation )，它預計將在2018年5月25日正式取代在1995年所通過的歐盟個人資料保護指令European Directive (95/46/EC)之要求。

新版BS 10012:2017的主要改變包括了：

重新定義個人和敏感資料
使用個人資料進行分析的限制
針對資料隱私官(data privacy officers)的管理要求
擬匿名化資料(Pseudonymous data)的涵蓋
廢止通知和註冊之要求
對處理同意提出更嚴格的要求
當事人存取權利的改變
強化刪除的權利和新的盈利權
安全事故的通知要求
隱私設計和隱私衝擊評估要求
將法律延伸涵蓋資料處理者
排除依據安全港協議將資料傳輸至美國

另外，為了讓組織能更加容易整合已實施的多個管理制度和標準，BS 10012:2017也採用了ISO的High Level Structure，使得它的內容章節能夠和其他的國際標準，像是ISO 9000/14000/22301及 ISO/IEC 27001等趨於一致。

其主要之章節如下:

Scope
Normative references
Terms and definitions
Context of the organization
Leadership
Planning
Support
Operation
Performance evaluation
Improvement

[專欄] 以ISO/IEC 27018 強化雲端上的個資安全

Mon, 10 Apr 2017 17:06:00 +0000

隨著個人資料保護法的實施和民眾對於個人隱私保護意識的增加，對於日漸普及的雲端服務，一旦包含了民眾的個人資料處理，對於資訊安全要求就顯得更加重要。對雲端服務提供商而言，如何讓雲端服務的客戶和其使用者，能夠信賴雲端服務的安全機制，並且願意使用雲端服務，透過取得國際標準的認證，將是一個最佳的展現方式。

由於科技的進步，傳統的商業模式和服務，時至今日已經逐漸轉型，透過高度資訊化和方便的網路連結，讓各項交易和服務能夠以更即時的方式來運作。目前，應用雲端運算的強大資源，資訊服務也能夠以更有效率且節約成本的方式，傳遞給不分國界的使用者。在使用雲端科技方面，關於服務本身的透明度與資料的安全性，已是受到普遍關注的議題。以公有雲的服務來說，某種程度上就是一種委外服務，就像傳統的金融服務一樣，民眾在考量是否要將貴重物品或金錢存放在某家銀行時，主要考量的要素就是銀行是不是值得讓人信賴。同理，雲端服務客戶在採用雲端服務時，也會關心自己重要且有價值的資訊，是否能夠獲得雲端服務提供商妥善且安全地處理。

目前，藉由與資訊安全標準ISO/IEC 27001的結合，ISO/IEC 27018提供了雲端服務提供商一個在處理個人可識別資訊(PII)時，可以參考的最佳實務指引。這本標準的重點在於協助公有雲服務提供商在扮演PII處理者時，有足夠能力去處理公有雲服務的資安議題，並且在能夠滿足客戶合約和法令法規的前提下，有效地因應雲端上個人資料保護的特定風險。

取得ISO/IEC 27018的必要條件

有鑑於ISO/IEC 27018對於個人資料保護之要求相當完備，並且需要由獨立的第三方實施現場查核，藉由稽核過程中所獲得的客觀證據，才可作為業者已經遵循實施此一國際標準的佐證，這已經是業界公認在雲端服務上保護個資的有效機制。

基本上，適用此一標準而可以進行驗證的組織，以雲端服務提供商為主，而且是提供了公有雲服務，其業務型態包括了個人資料的蒐集、處裡、利用或傳輸等。ISO/IEC 27018要求在服務使用者同意的情況下，針對個人資料生命週期的各個階段，都需要採取適當的保護措施。同時，雲端服務提供商也有義務，需要對雲端服務客戶說明如何確保資料的完整性和透明性等議題，並且尊重使用者對於其個人資料的主張權益。

對於雲端服務提供商來說，在導入ISO/IEC 27018之後，所產生的效益包括了：

增加使用者的信任：提供更強的安全保護機制，以確認雲端服務客戶和利害關係人的個人資料已經受到妥善的保護。
強化商業競爭力：比同業的競爭對手提供更高層次的個資保護措施。
保護品牌和商譽：降低因資安或資料外洩事件的發生，以保護組織的聲譽。
有效降低資安風險：藉由實施風險評鑑的過程來選擇適當的控制措施，可有效地管理可能的資安風險。
協助組織營運成長：對於跨國的企業或提供不同國家服務的雲端服務提供商，可以提供一個共同的規範準則，協助組織更容易地在世界各地提供公眾使用的雲端服務。

ISO/IEC 27018國際標準的架構

ISO/IEC 27018標準的內容主要由兩個部份組成，它分別參考了ISO/IEC 27001附錄A，也就是ISO/IEC 27002的16項控制措施，以及根據ISO/IEC 29100的11項隱私權框架原則所追加的25項控制措施。以下僅針對個資隱私保護原則的部份，做簡要的說明。

1. 同意及選擇：這項要求只有追加一個「A.1.1 有關個人資料當事人權利的合作義務」控制措施，主要是要求公有雲的個資處理者，應該要提供個資當事人能行使其個資權利的方式，包括有能力可存取、更正或刪除屬於他們的個人資料。

2. 目的適法性及規定：這項要求包括了「A.2.1 公有雲PII處理者的目的」和「A.2.2 公有雲PII處理者的商業使用」二個控制措施，主要是要求公有雲的個資處理者應該要基於合約的使用目的，不能以獨立於合約的其他任何目的來處理個人資料，除非以重新獲得當事人的同意。另外，在商業使用方面，在沒有獲得同意之前，不應將個人資料作為行銷和廣告的目的來使用，而且也不應該以此作為客戶接受此項服務的條件，換句話說，應給予雲端服務客戶可以自由選擇的權利。

3. 資料極小化：這項要求的控制措施是「A.4.1 暫時性檔案的安全刪除」，主要是針對在處理個資的過程中，可能會產生許多暫時性的檔案，像是個資編輯修改的記錄、存取的日誌記錄、修改的副本暫存檔等，由於內容也可能涉及個資，因此應在指定或所約定的期間內被刪除或銷毀。

4. 利用、持有及揭露限制：這項要求包括了「A.5.1 PII揭露的告知」和「A.5.2 PII揭露的紀錄」，主要是規範當公有雲的業者遇到來自執法單位的具有法律約束力的個資揭露要求時，需要按照合約所約定的程序和時間，通知受影響的雲端服務客戶，除非是受到法律或其他方式要求禁止通知。此外，對於第三方揭露個資時，需要明確地記錄對誰？在什麼時間？揭露了哪些資料？目前實務上，可以透過定期提供透明度報告來向客戶告知相關訊息。

5. 公開、透明及告知：這項要求的控制措施是「A.7.1 委外PII處理的揭露」，它規範了公有雲業者若是採用分包商來處理個資時，需要在採用之前向相關的雲端服務客戶說明採用的方式和委外的情況。

6. 可歸責性：這項要求的控制措施，包括了「A.9.1 通知涉及PII的洩漏」、「A.9.2 管理的安全政策及指引的保存期間」及「A.9.3 PII的返還、傳輸及汰除」，主要是要求公有雲業者在任何未經授權存取個資，或是發生個資遺失、洩露或竄改時，應及時地通知相關的雲端服務客戶。另外，業者還需要保存服務提供期間的安全政策和作業程序副本，並在定期地更新，而且需要說明有關個資的返還、傳輸及汰除的政策內容，讓雲端服務客戶可以了解其作業方式。

7. 資訊安全：在資訊安全的要求方面，所要求的控制措施是最多的，包括了「A.10.1 機密性或保密協議」、「A.10.2 建立實體資料的限制」、「A.10.3 資料還原的控制和記錄」、「A.10.4 保護離開場所的儲存媒體上的資料」、「A.10.5 未加密可攜式媒體和裝置的使用」、「A.10.6 PII透過公眾網路傳輸的加密」、「A.10.7 實體資料的安全汰除」、「A.10.8 獨特的使用者ID」、「A.10.9 經授權使用者的記錄」、「A.10.10 使用者ID管理」、「A.10.11 合約措施」、「A.10.12 委外PII處理」，以及「A.10.13 先前使用的資料儲存空間上的資料存取」。
首先是保密的要求，對於有能力可以存取個資的工作人員，需具有保密的義務；針對個資方面，如果創建產生可顯示個資的實體文件，則需要受到限制；當業者進行資料還原時，需要記錄還原過程的程序和記錄；含有個資的儲存媒體，如磁碟、磁帶、光碟等需離開組織場所時，要經過適當授權和保護，而未加密的儲存媒體或可攜式裝置原則上是不該被使用的，若是在不可避免的情況下，則需要留下記錄；在透過公眾網路傳輸個資時，資料在傳輸前需經過加密處理，實體資料若需要汰除，應採取安全的機制，像是交叉切割、焚燒或水銷等方式銷毀；業者內部需要存取個資的工作人員，都要使用唯一的識別帳號以適當的區隔和授權，並且記錄使用者的活動概況，如果是已停用或過期的帳號，則不應再指派給其他人員使用；在合約方面，應明確說明所採取的安全措施，以確保資料不會被目的以外的方式進行處理；需要進行分包處理時，也應明確說明相關的處理程序和個資保護責任；因為雲端服務共同資源的特性，若先前使用過的資料儲存空間，要重新分配給其他用戶時，也要確保先前儲存的資料是不可見的。

8. 隱私遵循：這項要求的控制措施，包括了「A.11.1 個人資料的地理位置」和「A.11.2 個人資料的預期目的地」，由於雲端服務跨國的特性，主要是規範業者需明確說明，個資可能會被儲存在哪些國家。另外，若是透過網路來傳輸個資，也需要採取適當控制措施來確保資料可到達其預定的目的地。

以標準做法和國際服務要求接軌

ISO/IEC 27018是全世界第一個針對雲端服務提供商如何在公有雲上保護個人資料的國際標準，已順利通過ISO/IEC 27018的雲端服務提供商，可以宣告基於此國際標準的要求，對於雲端服務上個人資料的蒐集、處裡、利用或傳輸等，已經受到適當有效的安全保護。目前，已經通過驗證的雲端服務提供商，包括了微軟的Azure和Office 365、Amazon的AWS、Google、Dropbox、Box.com、香港的Ribose、日本的HDE和TKC、韓國的NAVER Business Platform Corp.等業者，期許台灣的雲端服務提供商，也能參考此一國際標準的要求，及早取得證書來和國際業界接軌。
(本文刊載於2017年2月號網管人雜誌)

[專欄] 導入ISO/IEC 27017 擴展安全控制措施至雲端之上

Wed, 15 Feb 2017 10:41:00 +0000

雲端運算可無限擴展延伸的特性，已吸引了眾多組織的採納和運用，但是從資訊安全的角度來看，無論是大型的跨國企業像是Amazon和Google，或是單一國家或地區的中小型公司，包括雲端服務提供商和客戶雙方，都需要一套適合且有效的方式去管控基於雲端服務的資料和系統安全。

依據2016年11月由雲端安全聯盟和EY China所聯合發表針對金融服務產業的研究報告指出，百分之47.9的金融服務組織目前正在規劃和雲端有關的策略，但也有百分之54.2的組織指出，目前內部尚未針對雲端服務的資料安全定義需要遵循的法規。另外，百分之37.5的受訪者認為目前最大的雲端威脅，來自於管理階層缺少雲端安全管理的領導力，其主要原因是管理階層對於雲端安全的規範缺少了解和重視。

關於雲端服務的資安管理，除了可參考廣泛適用的ISO/IEC 27001標準之外，在國際標準方面，ISO/IEC 27017提供了ISO 27002與雲端相關的控制措施實施指引，更提供了針對雲端服務的額外安全控制措施。ISO/IEC 27017標準適用於所有類型和規模大小的組織，無論是自建的雲端服務或是透過購買所獲得的雲端服務，以及雲端服務提供商本身，皆可透過此一標準的指引，強化所提供或所使用的雲端服務的安全。

導入ISO/IEC 27017所帶來的優勢

根據研究調查指出，有五成的組織其實不太清楚他們所採用的雲端服務提供商，到底是如何去監控和保護其雲端上的相關資料。雲端服務某種程度上其實是一種委外關係，好的商業關係來自於所提供服務的透明性，讓兩造雙方有足夠的理解和信任，讓彼此能夠各取所需，而ISO/IEC 27017能夠幫助雙方清楚地定義雲端服務提供商和雲端服務客戶之間的責任，避免可能在服務過程中所產生的歧見，導致服務的窒礙難行。

一般而言，藉由導入ISO/IEC 27017標準，對於雲端服務提供商和使用服務的客戶所帶來的好處包括了：

增加客戶對服務的信任度：對客戶和利害關係人提供更多的保障，特別是針對資料的保護，雲端服務客戶可以要求雲端服務提供商提供安全功能及其說明，以確認是否符合使用者的安全需求與期望。

強化市場的競爭力：雲端服務提供商可針對雲端服務的資料安全，展現強而有力的控制措施。

保護品牌和商譽：降低可能因為使用雲端服務發生資料外洩事件，導致對於組織商譽的傷害和品牌的影響。

強化組織安全和減少風險：藉由使用雲端服務提供商所提供的安全功能，雲端服務客戶可以間接強化其系統或服務的安全性，並且確保所識別出來的風險，已經受到適當地管理，降低可能影響組織營運的衝擊。

擴展業務的商機：雲端服務並沒有疆域的限制，在全球的市場，雲端服務提供商都可藉此展現標準化的資安管控機制，以滿足不同國家的雲端服務客戶需求。

雲端服務專屬的控制措施

ISO/IEC 27017標準除了引用37個來自於ISO/IEC 27002的控制措施，並且還額外提供了7個專門針對雲端服務的安全控制措施，以下是這些專屬控制措施的簡要說明。

CLD.6.3.1 在雲端運算環境內共享的角色和責任
針對內部組織的管理，ISO/IEC 27017增加了「CLD.6.3.1 在雲端運算環境內共享的角色和責任」這項控制措施，主要是為了釐清在雲端服務中，雲端服務供應商和雲端服務客戶雙方的責任。在過去，對許多採用廠商所提供服務的客戶而言，往往會認為相關的安全責任，在支付了費用之後，應該都要由廠商來處理和負責。但事實上，由於雲端服務的共享特性，對於使用雲端服務的客戶而言，自己也具有一定的安全責任。

以這項控制措施為例，對於雲端服務提供商的要求為應透過書面化的協議方式，載明在提供服務的過程和雲端中，所參與的各方之角色與責任，包括了服務提供商、服務提供商所採用的軟硬體供應商，以及使用雲端服務之客戶等。同時，如果屬於跨國提供的雲端服務，也需要主動告知客戶有關其資料可能儲存的國家或地理位置。

站在雲端服務客戶的角度來看，雲端服務其實也是內部資訊服務的延伸，所以此一控制措施要求雲端服務客戶需要評估現有的資安政策和程序是否同樣可適用於雲端服務，同時還需要了解雲端服務提供商能提供的支援和連繫方式，並且識別和提供或使用雲端服務時有關的權責機關，像是目的事業主管機關或地方政府的主管單位等。

CLD.8.1.5 雲端服務客戶資產的移除
許多雲端服務的使用者擔心，一旦結束服務服務的合約之後，相關資料的歸屬該如何去認定？從標準的控制措施要求來看，在資產管理方面，服務提供商除了以資產清冊來載明雲端服務的客戶資料和透過雲端服務所獲取的資料外，也需要在服務協議中說明一旦合約中止時，客戶資產的返還和移除方式。相對地，雲端服務的客戶一開始也需要以文件化的方式，要求服務提供商敘述在終止服務時的作業流程，清楚了解有關資訊資產後續的處理方式。

CLD.9.5.1虛擬運算環境的區隔
在雲端服務的環境中，雲端服務提供商採用虛擬化技術，來達成快速且彈性的虛擬主機、應用程式、網路架構及儲存空間等服務，已是非常普遍的運作方式。在虛擬化的環境之中，雲端服務提供商有點類似房東的角色，所有的雲端客戶是以承租戶的方式來共享資源，因此在虛擬環境的配置和資料保護方面，這項控制措施的要求，目的是為了在多重租戶的環境中，適當區隔不同的雲端服務客戶所使用的資源，並且也要和雲端服務提供商本身的管理環境相互區隔，以達成彼此互不干擾，資料不會發生意外共享的情況，保護和區分客戶所使用的虛擬環境。

CLD.9.5.2 虛擬機器的強化
同樣和虛擬化技術的運用有關，這項控制措施是要求在設置虛擬主機時，雲端服務客戶和雲端服務提供商都應該確認所採用虛擬主機的安全性，透過實施適當的技術來強化所使用的虛擬機器的安全，其重點包括了評估需要使用的通訊埠、通訊協定及啟用的服務，以及虛擬主機本身是否具備防範惡意程式的軟體，並提供相關安全性事件和系統日誌記錄等，這些都可以強化虛擬主機運作時的安全。

CLD.12.1.5 管理者的操作安全
在雲端服務的運作程序和責任方面，為了建立雲端環境中可管理的機制，降低因運作或操作失誤所帶來的風險，這項控制措施要求雲端服務客戶需要了解在雲端環境中操作失效可能造成的影響，事先以文件化方式建立關鍵的操作程序，包括了如何安裝、變更和刪除虛擬機器，一旦不使用雲端服務時的中止程序，以及資料的備份和回存方式等。相對地對雲端服務提供商來說，就需要因應客戶的要求，適時且充分的提供有關雲端服務的操作和作業程序文件給客戶參考使用。

CLD.12.4.5 雲端服務的監視
為了強化服務的透明性，增加服務雙方的信任，這項控制措施要求雲端服務提供商需要提供日誌存錄的功能給客戶，讓客戶有能力監控其雲端服務的運作，包括了監視和偵測雲端服務是否會作為攻擊他人的平台，或是敏感資料可能從雲端服務上外洩，這項能力同時也需要考量到在共享的雲端環境中，應限制每個客戶只能存取其自身的雲端服務資訊，並提供客戶有關服務監視功能的操作程序文件。換句話說，雲端服務客戶也應該要求雲端服務提供商，提供所需的每一個雲端服務的監視功能資訊。

CLD.13.1.4 虛擬和實體網路安全管理的一致性
針對網路管理的安全要求，考量到雲端環境中大量運作虛擬化技術來架構所提供的應用服務，這項控制措施要求雲端服務提供商應以文件化方式來定義有關虛擬網路的安全政策，並且要和實體網路的安全管理維持一致性。這也就是說，服務提供商需要確認不管是採用了何種虛擬網路的技術，其網路組態和設定都需要與既定的資訊安全政策相符，才能有效管制雲端服務的網路安全。

將安全控制措施延伸至雲端

就個人訪談並稽核許多組織的經驗，有資訊人員相當熱烈擁抱雲端服務，但也有管理階層對於雲端服務還是一直裹足不前，事實上雲端服務本身並不是洪水猛獸，許多的安全風險不是來自於雲端服務本身，而是對於服務的不了解而無法採取適當的管理作為。在這種情況下，參考國際標準的管理要求就是最佳的實務做法，組織可以將現有的安全控管機制，逐步地延伸到雲端之上，讓雲端運算的技術和服務成為組織的助力，所以請試著往前走，從了解標準的內容開始，作為迎向雲端未來的第一步。
(本文刊載於2017年1月號網管人雜誌)

[專欄] 評估雲端服務安全性就從認識國際標準開始

Wed, 18 Jan 2017 16:06:00 +0000

隨著雲端服務的應用愈來愈普及，到底該如何評估雲端服務的安全性？這時服務提供商是否取得了相關的國際認證，就成為重要的參考指標。

時至今日，有許多的政府單位和企業組織已逐漸地採用各式各樣的雲端服務，例如：雲端上的郵件服務、儲存空間、應用軟體及虛擬主機等。在採用雲端服務的效益方面，對於使用雲端服務已經數年的組織而言，都相當地肯定雲端服務的確為組織強化了資訊服務可用性、降低了營運成本，以及帶來高度彈性可擴充的能力。

根據Crowd Research Partners最新發佈的2016雲端安全研究報告指出，在受訪者中有91%的組織對於雲端服務的安全性仍是相當關注的，也就是說，目前影響組織採用雲端服務主要障礙，還是來自於安全的疑慮、擔心資料遺失或外洩風險，以及需合乎相關法令法規的要求等。但對資訊人員而言，調查顯示最頭痛的問題則是如何確認雲端服務的安全政策與組織的要求一致、如何了解基礎設施的可見度，以及確保雲端服務能夠和既有的資安法規和標準要求接軌等三項議題。

事實上，雲端安全的相關議題的確突顯了現今的雲端服務，無論是站在使用者的角度要選擇安全可靠的服務提供商，或是站在服務提供商的角度來確保雲端服務的安全性，都迫切需要找到一個彼此認可且具有公正性、代表性的指標，才能作為評估的基礎，而參考雲端安全相關的國際標準，就成為一個最佳的解決方案。

選擇最適用的雲端國際標準目前和雲端安全有關的認證和國際標準主要有三個，分別是CSA STAR認證、ISO /IEC 27017和ISO/IEC 27018，以下分別簡要地說明標準的特性和其適用的驗證對象。

圖1 雲端安全三大國際標準之適用對象

CSA STAR
CSA STAR認證是在2013年底由雲端安全聯盟(CSA)和英國標準協會(BSI)，共同宣佈針對雲端服務提供商所實施的國際認證，這項認證是基於通過ISO/IEC 27001資訊安全管理系統(ISMS)的要求，並且再藉由實施雲端控制矩陣(CCM)的控制措施，以成熟度的方式來評估雲端服務提供商的安全水準，藉此來突顯組織可能需要持續改善的區域，並且確保標準的符合性，不會成為組織對於資安的最低要求。有關取得CSA STAR認證的必要條件和評估方式，可參考先前的「展現雲端服務的安全成熟度-及早取得STAR認證」一文。

ISO/IEC 27017
ISO/IEC 27017是由ISO組織在2015年12月15日正式公布的雲端安全國際標準，基本上它仍採用ISO/IEC 27001附錄A所要求的控制措施，不過針對雲端安全的部份，它也要求強化了對於雲端服務相關人員的職責區隔、虛擬環境的隔離、虛擬主機的強化、虛擬網路的管理，以及系統管理者的操作安全和雲端服務的監控機制等。

基本上，ISO/IEC 27017不是一個獨立可驗證的標準，而是必須以ISO/IEC 27001做為基礎，在雲端服務的範圍內先取得ISO/IEC 27001證書後，再經由第三方的稽核驗證來證明組織同樣也實施遵循了ISO/IEC 27017有關雲端安全的要求。

ISO/IEC 27017使用了延伸自ISO/IEC 27001的37個控制措施，並且再加上7個增項的控制措施，在標準中特別強調在雲端服務中，客戶和提供商各自需要負起的安全責任。以ISO/IEC 27001附錄A中「A.6.1.1 資訊安全之角色及責任」為例，在ISO/IEC 27017中針對雲端服務使用者的要求是「雲端服務客戶應以書面化的協議載明雙方於雲端運算環境內的資訊安全角色及責任，並且應識別和管理雲端服務提供商的客戶支援和關懷功能」。而針對雲端服務提供商方面，則是要求「雲端服務提供商應和雲端服務客戶、本身服務的提供商、和它的供應者以書面化的協議載明各自於雲端運算環境內的資訊安全角色及責任。」

另外，以「CLD 12.4.5 雲端服務的監視」增項的控制措施為例，對雲端服務使用者的要求是「雲端服務客戶應向雲端服務提供商要求每一個雲端服務的監視功能資訊」。而針對雲端服務提供商方面，則是要求「雲端服務提供商應提供日誌存錄的功能給客戶；應讓客戶能監視其雲端服務的運作，例如: 監視和偵測雲端服務是否作為攻擊他人的平台，或是敏感資料從雲端服務上外洩；適當的存取控制應保全監視功能的使用，讓每個客戶只能存取自身雲端服務的資訊；應提供雲端服務客戶服務監視功能的文件；監視應提供與A.12.4.1事件日誌一致的資訊和支持SLA條款。」

ISO/IEC 27018
ISO/IEC 27018是在2014年正式公佈，也是第一個為公有雲上的個人資料保護，所提供可驗證的國際標準，對服務提供商而言，可以作為雲端個資管理的作業規範，實施其所要求的控制措施，藉此消除使用者對雲端服務處理個資的不信任感，也可解決其所關切的個資保護相關議題。

ISO/IEC 27018採用了延伸自ISO/IEC 27001的16個控制措施，並且再加上25個延伸自ISO/IEC 29100隱私保護框架的控制措施，在標準中特別規範了在公有雲環境的個人可識別資訊的處理者，依據相關協議或合約要求處理個人資料時應遵循的作業要求。ISO/IEC 27018主要的目的就是為了要協助雲端服務使用者和提供商之間的協議契約化，要求服務提供商確實遵守法規和合約的要求，使雲端服務的相關事項更加透明，以達成公有雲上個資保護的目標。

ISO/IEC 27018本身的獨特性在於讓服務提供商在提供雲端服務前，就能夠在合約或協議中透明地呈現其所提供的雲端服務，有關個人資料保護的機制，例如：清楚說明處理個人資料的目的、個資留存的期間、委外作業處理的方式，以及所實施的隱私保護措施等。而在提供雲端服務的期間，也讓使用者有能力可控制自身的資料，同時依據合約要求不會將個資用於行銷用途，並且記錄任何對於使用者個人資料的異動，主動將這些異動資訊提供給使用者確認。萬一真的發生相關的資料外洩或需揭露資料給第三方時，提供及時通知的機制，並且記錄任何來自於主管機關或法院要求，依法定義務或責任需揭露的個人資料。

圖2 雲端安全國際標準驗證方案與準則

ISO/IEC 27001仍是雲端安全的基礎

目前，這三個雲端服務國際標準，驗證的前提是要先取得ISO/IEC 27001的認證，並且涵蓋所使用或所提供雲端服務的範圍。三個標準的主要差異在於，CSA STAR的驗證對象是雲端服務提供商，確認其有足夠的能力來管理雲端服務的資訊安全，而ISO/IEC 27017的驗證對象則不限，適用於各行各業包括雲端服務的使用者和提供商，都可以藉由導入這個標準的要求，來強化雲端服務的控制措施，達到風險管理的目標。最後，ISO/IEC 27018的驗證對象則是公有雲雲端服務的提供商，目的是要強化公有雲上的個人資料管理與隱私保護，以確保使用者利用雲端服務所處理的個人資料，都能獲得適當的安全控管。

所以，從雲端服務使用者的角度而言，除了自己可以導入ISO/IEC 27017雲端服務的安全控制措施之外，在選擇雲端服務提供商的時候，也可以將是否已取得CSA STAR、ISO/IEC 27017和ISO/IEC 27018認證的廠商，作為最佳的評選依據。而從雲端服務提供商的角度來看，主動積極地取得雲端服務國際標準的認證，對於取得使用者的信任，以及強化市場的競爭力，都會產生大大加分的效果，實務上也可以讓服務本身的資安管理機制正式和國際接軌，以滿足不同國家使用者的資安要求。
(本文刊載於2016年11月號網管人雜誌)

[新知] 智慧城市國際標準 - PAS 181簡介

Wed, 17 Aug 2016 08:55:00 +0000

PAS 181是由英國標準協會(bsi)所撰寫的標準，其中所提出的智慧城市框架(Smart City Framework；SCF)，它提供了實務可用的建議，並且廣泛地反映來自於公部門、私人企業與自願投入者所在領域的最佳實務，主要是為了讓智慧城市的發起人，以及各個部門與層級的領導者，作為建立智慧城市計畫時的參考指南，藉此以促進整個智慧城市的推動。

智慧城市的定義

PAS 181對智慧城市的定義為：「一個有效整合環境中實體、數位與人類的系統，為市民提供一個可持續發展、繁榮、包容性的環境。」

在發展智慧城市的過程中，必須有一個明確的指導方針和策略藍圖，才不會迷失方向。因此，PAS 181提供一個智慧城市框架，作為智慧城市的頂層設計指南，提供給城市管理者參考，它是一個可以被城市管理者與不同部門使用的智慧城市設計指南，主要分為四個部份：「指導方針」、「14個關鍵的城市治理與實施流程」、「效益實現策略」及「關鍵成功要素」。

智慧城市發展的重要關鍵

為了幫助發展成為一個智慧城市，PAS 181所提到的智慧城市框架，除了提供實務可用的建議之外，更能作為一個城市的未來發展基礎，它透過「營運管理」、「以市民為中心的服務管理」、「科技與數位資產管理」等三大面向，促進整個智慧城市的推動，以下幾點是推動智慧城市發展時的重要關鍵。

確保城市資料的開放性和可用性，以便讓更多人能容易參與並活用城市的開放資源。
結合城市管理者和市民的力量，可更有效地管理城市重要的數位資產。
藉由不同利害關係人的角色來引領創新，在技術層級方面發展開放資料平台，而在商業層級方面採用適當的商業模式來繁榮市場，擴大更多的城市商機發展。
提供市民和產業界更多管道的公眾服務，從使用者的需求出發，建立整合的商業和資訊基礎架構，提供不同特定族群，例如通勤者、年長者、行動不便人士和弱勢家庭可享用的城市服務。
編列整體和彈性的預算，專注在創造價值而非營收，從城市治理和管理的角度，評估未來城市可能的改變。

基本上，一個城市的興起發展，可能會依據當地自有的特色，發展成為具有特定樣貌的城市型態，只是傳統的城市運作方式，主要是以單一功能為導向，難以做到各項功能流程的整合，以滿足城市的成長與市民的需求。

以英國為例，隨著智慧城市的推動，同時也面臨了許多重大的挑戰，像是地方政府在傳統上會依照各個特色趨向(如教育、交通、醫療等)去發展一個城市，但對PAS 181的智慧城市框架而言，除了基於基礎設施與民眾需求的發展，還需要將各個面向的推動做法再整合起來，以回應未來智慧城市的更多挑戰。

所以，PAS 181的智慧城市框架並不是採取一體適用的方式，想要將所有城市發展成為單一型態，相反地，它更專注在以創新方式運用科技和資料，以流程化、組織化的方式去幫助未來可能擁有各種不同樣貌的城市，並且採取更有效率、永續經營的方式，去推動並成就一個屬於全體市民的智慧城市的未來。

[新知] ISO 27017 雲端安全國際標準已正式發布

Thu, 17 Dec 2015 16:27:00 +0000

ISO 27017 (Code of practice for information security controls based on ISO/IEC 27002 for cloud services) 已正式由ISO組織在2015年12月15日公布。

ISO 27017基本上是採用ISO 27002的控制措施，不過針對雲端安全的部份，它也要求強化了對於雲端服務相關人員的職責區隔、虛擬環境的隔離、虛擬主機的強化和虛擬網路的管理，以及系統管理者的操作安全和雲端服務的監控機制等。

基本上，ISO 27017不是一個獨立可驗證的標準，而是必須以ISO 27001做為基礎，再經由第三方驗證來證明組織同樣也遵循了ISO 27017的要求。

目前，已率先取得ISO 27017證書的是Amazon，包括其位於世界各地的資料中心和所提供的30多項雲端服務，都在驗證評估的範圍內，可說是業界的榜樣了。

[專欄] 讓雲端服務安全維護透明化 - 建立隱私等級協議強化用戶信心與資料安全

Tue, 31 Mar 2015 15:16:00 +0000

隨著雲端服務已廣泛地受到個人和企業所使用，隱私維護與個人資料保護，更是用戶和雲端服務供應商，雙方都必須要重視的課題。對服務供應商來說，透過自我的安全評估並展現保護個人資料的決心，將有助於提升用戶的信心，也能強化市場的競爭力。

目前，許多人對於雲端服務仍裹足不前的原因，有很大的一部份是來自於信任的問題，一旦個人或企業將自己擁有的資料上傳至雲端服務之後，就會擔心資料內容是否可能會被竊取或外洩，進而造成企業重大的損失。尤其是如果資料內容包含了個人資料的話，萬一遭到不當的揭露與使用，更可能會違反法令法規的要求，除了會造成企業的聲譽受損，很可能還要面對法律的懲處與求償。

為了強化雲端服務用戶的信心，並且讓業者能夠主動的自我要求與評估，由雲端安全聯盟(CSA)所發佈的PLA隱私等級協議綱要(Privacy Level Agreement Outline)，雖然其主要目的是為了滿足歐盟(EU)對於隱私保護的要求，其實也非常適合作為雲端服務供應商在保護個人資料方面的參考。

基本上，PLA綱要對於個人資料的揭露、隱私維護、資料保護政策、個人資料的處理與儲存方式等，提供了一個良好的文件化架構，一旦服務供應商完成了這項協議，對於現有的用戶和未來的客戶，就可以根據其所展現的實務做法，評估是否可以滿足個資保護的要求，並且作為在評選服務供應商的重要依據。

建立隱私等級協議的目的

企業若採用了雲端服務，與業者的服務等級協議(SLA)往往是不可或缺的，而PLA即可作為雲端服務協議的一部分，更是服務供應商用來評估現有安全措施的一項工具，除了能夠自行檢測是否遵循了個資法規的要求，所展現的結果也能夠充分展現業者對於資料處理的透明性，以及對客戶資料保護所肩負的責任。

PLA的目標有二個，首先是提供了雲端服務用戶一項工具，可以用來評估雲端服務供應商是否信守承諾去保護個人資料；其次則是針對個資外洩可能造成的經濟損失和違反法規時所造成的影響，提供文件化的合約要求與約束。

在雲端安全聯盟所提出的綱要之中，主要宣示了以下幾個重點：

雲端用戶內部與外部的盡職調查評估(due diligence)
可上傳至雲端服務的個人資料類別
雲端資料處理的方式
資料所在位置、傳輸、保存、監控及安全措施
個人資料外洩時的通報
資料可移動性、移轉和傳輸的後端協助
可歸責性(Accountability)
依法實施的存取行動
補救與賠償

PLA的架構與綱要內容

在PLA隱私等級協議綱要中，一共包括了16項要點，雲端服務供應商可在此陳述其所採取的實務做法，透過自我揭露的方式，讓用戶可以得知有關隱私維護與個資保護的現況，確保得以遵守來自內部與外部法規的要求，以下為各項要點的簡要說明。

1. 識別雲端服務供應商的角色和資安隱私相關人員的聯絡方式
在此可說明雲端服務供應商的公司寶號、代表人和營業地點，以及在資料存取與處理過程中所扮演的角色，還有當用戶有資料安全和隱私相關問題時，提供能夠直接聯絡的管道與窗口，以顯示業者相當重視客戶有關安全的疑慮。

2. 客戶禁止在雲端上傳送和處理的個人資料類別
雲端服務供應商可在此說明用戶要求不能在雲端服務中處理的資料類型，常見的像是醫療資料、犯罪前科等特種個資，可能不太適合以公有雲方式來處理。

3. 在雲端上處理資料的方式
雲端服務供應商在其所提供的雲端服務中，隨著所扮演的角色不同，處理資料的方式也會不同，如果服務供應商是屬於資料處理者(processor)，就必須說明因應資料控管者(controller)所要求的資料處理作法有哪些，其中最重要的就是資料處理者不可任意變更資料處理的目的，同時也包括資料儲存的地點、類型、監控方式等。另外，還需要說明有關資料中心對於個人資料的處理方式、存放地點和備份還原機制，如果雲端服務供應商本身採取了外包商的其他服務(例如Dropbox的儲存空間採用的是Amazon S3儲存服務)，也就需要說明外包商在資料處理過程中涉入的程度、應負的安全責任及確保資料安全的作法。如果雲端服務還需要在用戶的電腦中，安裝附加程式如瀏覽器的plug-in等，也需要一併說明其目的和可能的影響。

4. 資料的傳輸
在此可說明資料在正常營運或是在緊急的情況之下，是否會進行跨境的傳輸與備份，如果跨境傳輸是受到法規限制的，也要說明法令的內容與限制的要求。以歐盟為例，如果資料需要傳輸到歐盟以外的國家如美國，就必須說明法律許可進行的方式，以及是否符合了美國的安全港(Safe Harbor)協議。

5. 資料的安全措施
此處可說明雲端服務供應商為了對抗可能發生的資安事件，例如非法的存取使用、資料的遺失與不當揭露等危害資料安全的情況，所採取的技術面和管理面的做法，確認是否可以達成以下的安全目標。

機密性：說明採取了哪些措施來維持機密性，例如在資料傳輸和閒置時實施加密，或是透過資安政策來宣告只有經過授權的員工才能存取資料，以及要求相關人員簽署保密協議，規範不得任意洩露所得知的機密訊息等。
完整性：描述如何確保資料內容的正確與完整，例如透過加密和電子簽章等機制，確認個人資料內容不會遭到竄改等。
可用性：說明資料的備份與備援機制，一旦資安事件發生時，能夠在多少的時間內回復原有的服務與資料。
隔離性：說明如何有效地控管與監督有權可存取個人資料的行為，例如在賦予角色與權限時，是否秉持了最小權限原則，並且定期的進行權限的檢視與審查等，以避免不當授權的情況發生。而針對雲端服務虛擬主機的使用，可說明如何透過hypervisor的運作與管理，確保在同一實體主機下的所有虛擬主機用戶，不會發生不當的資料存取行為。

此外，如果服務供應商還參考並實施了來自其他國際標準的控制措施，例如ISO 27001、CSA CCM等，也可以一併在此描述所實施的內容和範圍。

6. 監控
描述是否讓用戶有權可針對所上傳的個人資料實施監控，或是能夠定期地進行實地審查，如果服務供應商不允許的話，是否可以提供獨立第三方的監控報告，以及委由公正業者來實施安全稽核。另外，針對資料的存取行為，是否可以提供相關的記錄，以確保有能力可識別出未經授權的存取事件發生。

7. 第三方稽核
說明是否有第三方的獨立稽核報告可以提供給用戶，在報告中應呈現稽核的範圍、時間、頻率及發現等，由於報告中可能包括了服務供應商某些敏感的營運資訊，因此實務上通常也會要求索取稽核報告的用戶，必須要簽署保密協議，以避免營運資訊的不當洩露。此外，如果服務供應商允許用戶可挑選適合的稽核員來實施審查，也可以在此說明相關的作業程序和所需負擔的費用成本等事項。

8. 個資侵害事件的通報
說明萬一發生資安事件，造成個人資料受到不當的遺失、揭露、損毀，以及受到非法的存取與利用時，服務供應商所採取的因應措施與通報方式，特別要指出通報的時間與方式，以避免當事人受到更大的損害。

9. 資料可移動性、移轉和傳輸的後端協助
在此指出可移動資料的格式與關聯性，以及任何與移動的資料、應用程式、服務可能會產生的成本與費用。建議具體說明如何協助用戶，將資料移轉至新的服務業者或是內部的IT環境中，所需的作業方式及必須花費的成本。

10. 資料保存、歸還和刪除
描述雲端服務供應商的資料保存政策，以及當服務終止時，如何歸還或銷毀所保存的個人資料。

11. 可歸責性
描述雲端服務供應商有哪些安全政策和程序，能夠確保所提供的雲端服務已符合法令法規的要求，實務上的作法為保存和維護在資料處理過程中所產生的文件化資料，並且提供可信賴的監控方式和登入帳號的記錄。在此也可標示出服務供應商已取得的第三方驗證證書，說明其適用的範圍和有效期間。

12. 協同合作
說明雲端服務供應商將如何與客戶充分合作，以確保符合法令法規和資料保護的要求，以便取信於用戶，並且因應所屬的主管機關進行的審查。

13. 執行法律時的存取行為
說明如何因應執法單位的要求，對所管理的個人資料來提出適當的回應或揭露，同時也會對利害關係人及時發出通知，並且維持在犯罪調查過程中，需要保護的資料機密性。

14. 補救與賠償
說明如果違反了PLA，在發生資安事件時可以提供給用戶的補救與賠償措施，在雲端服務方面，可能的賠償內容包括了損害事項的回復、進行訴訟的花費，以及合約明訂的賠償金額等。

15. 抱怨與爭議的處理
在與個人資料有關的抱怨和爭議中，提供主要可以聯絡的窗口，說明其接受處理問題的方式、回應的時間等，以及可以提供協助的其他資料保護組織等。

16. 雲端服務供應商的保險政策
說明雲端服務供應商的網路保險政策，以及任何有關安全事件的保險事宜。

遵循法規是雲端服務的基本原則

對雲端服務供應商而言，無論提供的是軟體、開發或基礎設施的雲端服務，一旦以商業化的方式來進行，除了確認能夠滿足用戶的需求之外，遵守合約中明訂的安全規範，以及所在區域的法令法規，將是維運雲端服務的基本原則。

對用戶來說，如果需要上傳屬於個人資料的內容至雲端服務，由於受到個資法的規範約束，尤其要特別小心，除了確保必須符合個資蒐集、處理和利用的要求之外，針對服務供應商的安全審查也是不可或缺的，這時候如果有PLA作為一項隱私保護評估的依據，對業者和用戶雙方都可達到事半功倍的效果。(本文刊載於2014年7月號網管人雜誌)

[參考資料] CSA Privacy Level Agreement Outline

[專欄] 確保資訊安全管理持續有效 - 為升級ISO 27001新版標準做好準備

Wed, 10 Dec 2014 13:38:00 +0000

國際知名的資訊安全管理標準ISO 27001，已經在2013年底正式更新了內容，如果您所屬的組織過去已經導入了2005年的標準，現在也應該要為符合最新的標準要求而做好準備，以確保資訊安全管理制度能夠持續有效地運作實施。

隨著時間的改變，資訊安全的問題也變得更加地多樣化，舉例來說，在五年以前，行動化裝置和雲端服務的安全可能都不會是大家注目的焦點，但時至今日，這些資安風險已成為企業組織不得不去面對的重要課題。

在資訊安全的領域，除了駭客攻防的技術之外，資安管理機制也是必要的措施，而國際標準ISO 27001一向是公認最佳的資安實務參考，隨著不同資安風險的出現，國際標準內容的更新有其必要性，同時也可以讓組織能夠持續地因應新的資安問題，以便採取適當的安全控制措施。

了解新舊版本的主要差異

新版ISO 27001標準的內容有著很大的轉變，在架構方面，它採用了管理系統標準可以通用的Annex SL格式，能夠讓導入許多標準(如ISO 9001、ISO 14000、ISO 22301等)的組織在需要整合時，變得更加地容易進行。另外，在所使用的專業術語上，也做了許多的重新定義與安排，讓組織能夠更清楚標準提到的重點與要求。

在內容方面，新版標準的本文內容從舊版的8個章節擴展成為10個章節，在附錄A的控制措施方面，也從11個增加到14個控制領域，但是控制措施經過重新的編排與合併之後，反而從133個減為114個控制措施，對組織來說，新版也可以選用附錄A以外的其他資安控制做法。

至於在實施範圍方面，舊版主要考慮的是業務性質、組織大小、所在位置與資產技術，新版則是從內外部議題和利害關係人的需求與期望出發，在了解組織的背景與運作型態之後，再由管理層來決定其適用的範圍，同時也更加強調應為資訊安全設定明確的目標，並且實施監控和採取適合的量測指標，以確保安全控制的有效性。

新版標準條文的重點提醒

第0~3章簡介、範圍、引用標準及用語釋義
新版標準在這部份，大幅刪減了舊版所提及的內容，並且捨去了過去所強調的PDCA模式，但這並非是認為PDCA已經不重要，而是將重點放在持續改進的要求，若是為了達成此一目標，PDCA仍然是可以運用的方法，但並非是唯一的做法，組織可以依需求自行來選擇。在範圍方面，新版強調第4章到第10章的任何要求都是不能被排除的，否則就無法宣稱已經符合了ISO 27001標準的要求。至於引用標準及用語定義的解釋方面，新版ISO 27001就不再贅述了，而是請讀者參考ISO 27000的標準內容，對於新版增加的專業用語，它也都有詳細的解說。

第4章組織背景
在第4章的組織背景方面，「4.1 了解組織和其背景」的條款中要求，應先了解組織的現況和來自於內外部的期望與需求，然後再去決定ISMS實施的範圍，再建立起實施ISMS的計畫。在這一章節中，新版特別增加了「4.2 了解利害關係人的需求與期望」，所謂的利害關係人包括了內部要求、外部合作夥伴、客戶的期望及法令法規的要求等。

在「4.3 決定ISMS的範圍」中，新版要求必須識別組織內相關的活動，還有委任給第三方來執行的活動，針對所有可能影響達成ISMS預期結果的內外部議題，還可以再參考ISO 31000有關組織內外部的各項活動指引，來決定組織對於資訊安全的要求與適用範圍。

至於ISMS的導入方面，新版「4.4 資訊安全管理系統」將整個管理循環的過程，從建立、實施、運作、監控、審查、維持及改進，改變成為建立、實施、維持和持續改進ISMS，更為簡要符合標準的要求。

第5章領導力
對組織管理階層而言，在新版「5.1 領導力與承諾」條款中，要求必須要有效地展現其領導力和承諾，並且提供ISMS所需要的資源。在「5.2 政策」中則要求應建立符合組織策略發展方向的資訊安全政策，同時也要負責溝通管理ISMS的重要性，確認相關的控制實施皆符合了ISMS的要求，以達成組織預期的結果，最後並可督促組織持續地改進。

在「5.3 組織的角色、責任和授權」方面，管理層需要明確地指派和資訊安全有關的人員角色、執掌與責任，確認相關的工作符合標準的要求，並且回報ISMS的實施績效給更高的管理階層。

第6章計畫
在「6.1 因應風險與機會的行動」方面，需要參考4.1和4.2的結果，思考對於組織可能存在的風險和機會，以便制定出適合組織的風險因應做法。在新版的風險評鑑中，已不再要求必須要先識別出資產及其具有的弱點與威脅，才能找出所面臨的風險，換句話說，組織可以自己選擇風險評鑑的方式，並且參考ISO 31000的風險管理原則與指南，定義出風險擁有者可接受的風險準則。

「6.2 資訊安全目標與計畫」提到，ISMS的目標應與組織的策略發展方向相結合，要求必須在組織相關的功能和層級中建立資訊安全的目標。在這裡的功能，指的是組織內部的運作功能，層級則是指管理的層級，應具體地說明由何人負責、需要哪些資源、在預計的哪個時間達成了什麼工作，最後再針對成果來進行評估。

第7章支援
在支援方面，組織需要決定並提供ISMS所需要的資源(7.1)，以便建立、實施、維持和持續改進資訊安全管理。針對與ISMS有關的人員，需要決定其應具備的能力(7.2)，建立詳細的訓練計畫，讓所有人員都可獲得所需的專業知識。針對一般的人員，則必須讓其具有足夠的認知(7.3)，包括了解組織的資訊安全政策、明白其貢獻對於組織所帶來的好處，以及不遵守資訊安全要求可能造成的後果。

至於在溝通(7.4)方面，組織應確保內外部的溝通順暢，定義何人、何時、何地，所進行溝通的流程與內容。在「7.5 文件化資訊」的要求方面，這是新版增加的一個新用詞，主要是用來取代舊版中所提到的「文件」與「記錄」。在標準條款中若提及了文件化資訊，就表示相關的運作都應建立、保存及更新所需的文件與記錄。

第8章運作
「8.1 運作計畫與控制」，主要是強調組織應針對「6.1 因應風險與機會的行動」的結果，採取必要的行動並且保留文件化資訊，以確保運作已獲得有效的控制。新版在這裡特別強調，組織應確保外包的流程與作業，都已獲得有效的決定與控管。

「8.2 資安風險評鑑」，要求組織應依照所設定的期間和方法來實施，尤其是當組織有重大的改變時，資安風險評鑑也要重新執行，以確保相關的風險被識別並獲得控制。「8.3 資安風險處理」是要求組織必須落實風險處理計劃，並且保留相關實施之後的文件化資訊，記錄風險處理後的結果。

第9章績效評估
在「9.1 監控、量測、分析和評估」的條款中，新版標準要求應評估資訊安全的績效和ISMS的有效性，評估的方式包括了決定哪些流程和事項需要被監控與量測、採取什麼分析與評估的方法、在什麼時間由誰來進行，以及最後的結果分析等。對組織來說，建議可採取循序漸進的方式來進行，著重在與資訊安全目標有關的事項，而不是要求一次到位的全面監控，要注意的是過程中仍要保留相關的文件化資訊。

「9.2 內部稽核」與「9.3 管理審查」與舊版的要求大致是相同的，組織應建立稽核計畫，並且依照計畫的內容與期間來實施。在管理審查方面，新版不再強調特定的審查輸入與輸出事項，而是關注在內外部的期許與要求是否能被實現、重視資安績效的回饋，以及持續改進的機會。

第10章改善
在新版標準中，已不再如舊版強調應採取預防措施，而是將之溶入在了解組織背景和風險管理的過程中。在「10.1 不符合事項與矯正行動」方面，新版要求需要針對不符合事項採取適當的矯正行動，並且處理其產生的結果。同時也要消除不符合事項的原因，以及判斷是否還有類似的不符合事項存在。至於「10.2 持續改進」，則簡單明瞭地要求組織應持續改進ISMS的適用性、正確性及有效性。

因應新版標準必須做出的改變

根據經濟部標準檢驗局的標準轉換說明提到，從2014年10月1日起，驗證機構就不能再核發ISO 27001的2005年版證書，而所有已取得舊版證書的組織，也必須在2015年9月30日前完成轉版，也就是說只剩下不到一年的時間來完成更新並轉換為新的標準。

對尚未導入ISO 27001的組織而言，直接採用新的標準內容，並且依照其要求來實施是最好的方式。但對於需要轉換新版的組織來說，則需要先進行新舊版的差異評估，才能找出需要修改的內容與方向。基本上，有關ISMS政策、風險評鑑與風險處理、適用性聲明書、內外部的溝通、新版增加的控制措施等，這些都是需要一一檢視的重點，建議應及早著手準備，以便讓組織的資訊安全管理更加完備。(本文刊載於2014年6月號網管人雜誌)

[專欄] 識別員工BYOD的隱私風險 - 漫談行動裝置的安全與管理

Sun, 30 Nov 2014 14:19:00 +0000

隨著愈來愈多的企業，允許員工攜帶自有的行動裝置(BYOD)上班，並且使用在日常工作之中，一旦這些行動裝置離開了企業環境，企業要如何管控行動裝置上所儲存的大量商業資料，實施有效的安全管理，同時也要避免侵害員工的隱私？

隨著Apple iOS、Android及Windows手機與平版電腦如雨後春筍般的銷售成長，其中有一項行銷的策略在於廠商讓消費者明白了，購買這些行動裝置不只可以作為生活中的娛樂之用，更可以同時使用於工作之中，創造了使用者在購買時一次滿足的強烈欲望。

企業願意讓員工BYOD並成為工作中的一項工具，主要就是希望透過這些行動裝置的協助，能夠增加更多的工作效率，並且有機會拓展更多業務，而藉由員工自備行動裝置，也可以讓企業降低硬體採購與更新的成本。

另外，使用行動裝置的好處是，員工即使離開了工作場所，還是可以在往返公司的途中來存取工作資料，或是在出差時間，利用它來收發個人電子郵件或瀏覽網頁之用，同時兼顧並保有生活與工作上的多重用途。

行動裝置的安全與隱私風險

但是，無論是公司添購的或是私人擁有的行動裝置，只要是會將它連接至公司網路時，就必須依照公司的資安政策，進行身分驗證，然後賦予適當的權限，以便降低資訊安全的風險。一般而言，行動裝置可能造成資料外洩的原因，包括遺失裝置、感染惡意程式、未經授權的不當洩露等。

目前在企業內可使用的行動裝置，大致有以下二種情況，第一種是由公司所配發的設備，所以公司有權可以主動進行適當的管控。另一種則是個人擁有的行動裝置，對使用者而言，這些行動裝置是自己購買的，在使用時不必受到公司資訊部門的管轄，也可以拒絕受到不必要的安全管控。

目前，大多數企業只站在安全管理的角度來進行控管，而忽略了可能會有侵犯個人隱私的情況，舉例來說，如果發生疑似資料外洩的事件，企業可能會要求員工必須交出其使用的行動裝置，以便檢查其中所存取的公司文件、瀏覽記錄與所儲存的資料等，撇開由私人所購買的裝置不看，即便行動裝置是由企業所提供，但是大多數的使用者，仍可能會將它使用在私人用途上，像是瀏覽網站、使用Facebook等社群媒體、下載音樂、影片、應用程式和遊戲等，這些仍是與個人隱私有關的資訊。

BYOD可能造成的隱私問題

根據美國的一項調查指出，使用BYOD的使用者有80%對於企業雇主存取其私有設備上的個人資料感到疑慮，擔心他們自己所在的位置、使用的App、網頁瀏覽記錄和下載的資訊受到不當揭露。站在企業資訊安全的角度而言，進行安全管控以降低風險當然有其必要性，但卻不能以此就作為犧性員工個人隱私的充分理由。而員工興高采烈地帶著自己的行動裝置，在加入公司的BYOD行列之前，也要想想可能會對自己造成什麼影響。

根據雲端安全聯盟(CSA)所提出的行動裝置安全指南，提到員工在使用公司所提供的BYOD方案時，應該要先了解以下幾個問題：

公司是否會讀取行動裝置上我的個人資料 • 若需要進行法律相關調查時，對我的行動裝置會造成什麼影響？ • 如果我的行動裝置遺失了，將會發生什麼事？
在遺失行動裝置時，是否可以要求進行完整的資料清除？
當我採取了BYOD方案，但是在離開公司之後，將會發生什麼事？

至於針對企業在建立BYOD的政策時，也需要考慮以下的事項：

在什麼情況下，企業需要取得行動裝置的所有權？
在什麼情況下，行動裝置的資料會被清除？這需要考量當地的法律和法規。
監控員工的資料與行為，應該合乎員工所面臨風險的比例原則，尤其特別需要考量所儲存的位置資訊。
可授權進行監控員工的管理人員，應該要被清楚的識別出來並了解其責任。
所有的監控在實施時，應盡可能的將侵犯行為控制在最小的範圍，並且只獲取最小量的員工資料。
了解在某些案例中，可能也會牽涉到非企業的員工，例如員工的家屬可能也會使用員工的行動裝置。
行動裝置的資料清除應只限於公司的資料。

保障行動裝置安全與隱私的做法

為了因應BYOD的需求，同時兼顧企業資訊安全的管理，由廠商所提出的第一代行動裝置管理方案MDM(Mobile Device Management)，很快地就受到企業的歡迎。MDM的方案，主要是針對行動裝置本身的安全管理，提供了裝置監控、遠端鎖定、網頁過濾、禁用相機等功能，但相對地也比較難以區隔在使用方面的個人隱私要求。

為了要同時兼顧工作與個人使用方面的需求，後續推出的應用程式管理MAM (Mobile Application Management)方案，讓存取企業資料的環境與個人在手機上所使用的行為能有所區隔。MAM透過建立虛擬的企業工作區域，讓使用者自帶的行動裝置可以達成公私兩用的彈性做法，對企業來說，獨立的工作區域也可降低資料外洩的風險，但是在隱私方面，雖然可以做到應用程式上的資料區隔，卻也仍然無法避免企業仍可保有追蹤使用者的位置資訊。

對企業來說，能夠保障個人隱私的作法有哪些？以下是有關實施時的參考建議。

避免不當的位置追蹤：企業導入行動設備管理方案的好處，就是可以即時追縱行動裝置的所在位置，以便可以隨時啟動遠端鎖定、遠端警示和資料刪除等功能，除了GPS之外，當使用者處於建築物內部時，也可以透過所接入的無線網路或3G網路來偵測出所在的地點，換句話說，企業的資訊部門是有能力隨時能夠掌握使用者的行蹤的，因此企業需要明訂在什麼情況之下，基於何種理由和目的，公司可以啟動追蹤功能，並且是否要預先獲得使用者的同意。
避免個人資料的遺失：一旦企業需要啟用遠端變更密碼、強制鎖定和刪除時，請先確認會由誰來負責進行授權，並且將會如何進行。如果設定了自動刪除功能，那麼是否僅僅會刪除企業相關的資料和應用程式？是否也提供了復原裝置資料的功能？
妥善管理連線資訊：除了所在的地點和位置資訊之外，一旦使用私有的行動裝置連結了企業網路，相關的網路活動也有可能受到企業的過濾與監控，在使用者離職之後，這些涉及個人活動有關的資料，請確認是否還會繼續保留？
避免不當的隱私審查：如果涉及了相關的法律事件，企業是否需要審查使用者自帶的行動裝置，內容將會包括了這台裝置上的網頁瀏覽記錄、下載資料、歌曲、影片、電子郵件內容、聯絡人、社群媒體的活動、通話記錄，甚至是所存放與家人有關的資訊，這些都有可能會被揭露，請評估可能的衝擊與結果。
釐清應用程式的安裝限制：針對行動裝置的惡意程式愈來愈多，企業為了降低安全風險，可能會限制員工在行動裝置上任意安裝App，但若是員工私有的行動裝置，員工仍然保有權力可以自己安裝軟體，因此這一部分就需要企業事先與使用者進行溝通，明訂應用程式的安裝要求。
制定使用政策並實施教育訓練：透過政策明訂的內容，向員工說明以便取得其同意來實施某些安全做法。例如啟用遠端刪除功能、資料加密等，會是比較容易獲得員工尊重與信賴的做法。

最後，建議企業在行動裝置的安全管理方面，盡量以勸導、訓練和警示，代替全面監控員工的作法，換句話說，請千萬不要假安全之名，而行侵犯隱私之實，因為在行動裝置中的個人資料，同樣也是受到個人資訊保護法的保障，若企業因此而違法的話，到最後將會得不償失。(本文刊載於2014年5月號網管人雜誌)

[專欄] 捍衛網路安全 - 美國白宮網路安全框架 (NIST Cybersecurity Framework) 導覽

Sun, 16 Nov 2014 13:18:00 +0000

對於政府單位或民間企業而言，面對日益增加且來自世界各地的網路攻擊事件，如果沒有一套有效的因應方案，重則會對國家經濟與民生問題造成嚴重打擊，輕則會對企業生產營運產生不必要的損失與影響。

在2014年2月，美國政府正式提出了一項可強化資訊安全的網路安全框架 (NIST Cybersecurity Framework)，它主要是來自於2013年美國總統歐巴馬所頒佈的總統執行命令，要求必須著手改善有關網路安全的重要基礎設施。這項框架不但透過了政府部門與民間產業的攜手合作，利用一年的時間來彼此交流各項最佳實務，更結合了國際上有關資訊安全的標準與作法，除了可以協助已導入其他標準的組織最佳化其安全實務之外，更可提供缺少安全計畫的企業，一項可以完整實施的參考藍圖。

網路安全框架是一項自願性的參與計畫，主要是希望美國聯邦機構和地方政府，同時也包括電力、運輸等重要的基礎產業，能夠強化自身的網路安全，以避免受到來自網路的重大威脅，並且結合了業界標準與最佳實務，幫助企業組織能夠有效地管理網路安全風險。此一框架並非要取代組織中現有的資訊安全與風險管理架構，而是希望能夠與現有的流程結合並互補，以便組織能夠持續地改善以達到更高的安全目標。

網路安全框架的架構與組成

網路安全框架主要有三項組成的元件，分別說明如下：

框架核心(Framework Core)：針對關鍵基礎設施共通的安全問題，它具有一系列的網路安全活動和參考實施作法，網路安全活動可區分為五個功能，分別是識別(Identify)、保護(Protect)、偵測(Detect)、回應(Respond)、及復原(Recover)，能夠協助組織管理安全風險，並提供高層良好的視野。在每個功能之中，又可以向下展開為各項活動分類，例如在保護功能中，就包括了存取控制(Access Control)、認知與訓練(Awareness and Training)、資料安全(Data Security)、資訊保護流程與程序(Information Protection Processes and Procedures)、維護(Maintenance)及保護的技術(Protective Technology)六項分類。在每項分類中，又可更細分出各項可採行的資安措施與安全活動，以便落實在關鍵的基礎設施之中，同時還提供了許多參考資訊，可以對應到國際共通的標準與指引。
組織側寫(Profiles)：透過組織側寫能夠描繪出組織的網路安全活動，使其和本身的業務營運要求、風險容忍度、所需要的資源能夠趨於一致。企業也能夠藉由此一組織側寫來了解其網路安全的現況、支援活動的優先順序，以及達到目標理想狀況所需要採取的措施。透過現況與目標理想狀況的比較，就可以進行差異分析，使組織可以決定改善安全現況所需的資源與實施順序。
實施層級(Tiers)：實施層級為組織提供了一種途徑，能夠檢視其網路風險的方法和流程，實施層級的範圍從部份實施(Tier 1)、察覺風險(Tier 2)、察覺風險且重複評估(Tier 3)，到完全適合並實施(Tier 4)共區分為四個等級。藉由檢視實施層級來嚴格地描述網路安全的風險管理，了解安全工作是否依據了業務需求，並且已經整合至組織整體的風險管理實務之中。

網路安全框架核心組成 (資料來源：Cybersecurity Framework)

實施與建立網路安全框架

對企業組織而言，想要建立並實施網路安全框架，由上而下至少需要經過最高管理層、業務流程層和實施運作層等三個階層的互相合作。一開始，最高管理層需要與業務流程層的相關人員進行溝通，以確認任務的優先順序、風險偏好及所需的預算。業務流程層再依據最高管理層的決定，進行組織框架的側寫，將現況與目標理想的差距告知實施運作層，實施運作層的相關人員則可藉此來訂定行動計畫，針對所有風險來源的資產、威脅與弱點，實施所需要的改變與控制措施，並將實行的結果回報給業務流程層，業務流程層再將實施之後的變化與可能仍未消除的風險向最高管理層報告，以便制定下一階段的風險管理要求與決定。

組織的資訊與決策流程概念 (資料來源：Cybersecurity Framework)

因此，組織在制定一項新的網路安全計畫或是針對現有的計畫進行改善時，建議可以參考以下的步驟來進行，並且還需要重複地實施以不斷地改善強化組織的資訊安全。

步驟一：決定優先順序與範圍組織應了解其業務目標和最高管理層對於風險管理的期待，藉此才能夠制定因應資訊安全的策略和決定實施的範圍。在決定範圍時，需要考量的是有哪些資產和資訊系統是和業務流程有關的，在導入網路安全框架與實施計畫時，也可因應不同業務流程的需要與風險的高低，決定所需要採取的整體做法與個別的控制措施。

步驟二：確認目標與方向一旦組織依據其業務流程決定了網路安全實施計畫的範圍之後，組織就可以識別其相關的資產和系統、法律法規的要求及整體的風險管理做法。接下來即可針對這些資產和系統，識別其可能存在的威脅與弱點，以確認實施計畫的目標與方向。

步驟三：建立組織現況的側寫組織可以參考網路安全框架核心中所明列的安全活動，以及每個活動中的功能和分類，來剖析組織目前的安全現況。

步驟四：實施風險評鑑組織可以藉由整體風險管理過程的引導，針對業務運作的環境進行分析，以了解資安事件發生的可能性和其可能帶來的衝擊，在這個過程中必須充分考量風險中的各項威脅與弱點資料，才可促進組織對於資安事件的可能性與衝擊能夠有充分的掌握。

步驟五：建立理想目標的側寫組織同樣可以參考網路安全框架核心中的安全活動，以及每個活動中的功能和分類，來建立理想的安全狀態與目標，藉由與組織現況的側寫的相互比較，就可以了解其中差距，以便採取必要的改善行動。除了參照網路安全框架之外，組織也可以考量來自外部利害關係人如客戶、商業夥伴對於資訊安全的期望，將其一併納入未來的目標之中。

步驟六：針對差距進行分析及確認優先順序組織針對現況和理想目標進行比較之後，即可得知其安全差距，為了消除安全差距，接下來就是要制定一項可行的行動計畫，在計畫之中，必須針對成本、效益以及達成的風險結果進行分析，以便決定行動的優先順序和所需要的資源，同時也可藉此一計畫讓管理階層明白相關的安全活動，以獲得有效改善與達到目標的各項支持。

步驟七：實施行動計畫一旦建立行動計畫之後，就需要依據其內容來逐步實施，在過程之中，除了可參考網路安全框架核心中所明列的安全活動和分類之外，組織也能決定還需要搭配哪些國際標準、安全準則和最佳實務做法，以便符合其實際的需要並且達到更好的效果。最後，針對行動計畫的實施過程，還必須持續地加以監控，以確認達成預期的目標。

如何因應日新月異的安全風險

透過以上的實施步驟，組織就可以依據其需要，不斷地重複進行分析與改善其資訊安全，在這個過程中，最高管理層所關注的是組織的整體風險，業務流程層則關注與其有關的關鍵基礎設施，再交由實施運作層的人員來執行改善的行動計畫。基本上，無論組織的規模大小與風險等級，只要運用此一網路安全框架就可以改善資訊安全的現況，並且能夠管理關鍵基礎設施所面臨的安全風險，更由於此一網路安全框架參考了國際認可的安全標準，因此也同樣適用於美國以外的其他地區，可成為一項國際通用的安全準則。

對組織而言，今日的資安風險是多變且多樣化存在的，並沒有一項單一的作法，可以因應所有的安全問題，因此，組織必須持續地以文件化和風險管理方式來更新改善，以確保關鍵基礎設施可能面臨的各項新的風險，都能夠即時動態地被有效管理因應，以降低對組織可能造成的損失與衝擊。如果您的組織還缺少一套足以因應網路風險的管理作法，網路安全框架是相當適合用來作為改善資訊安全的基礎藍圖。(本文刊載於2014年4月號網管人雜誌)

[專欄] 展現雲端服務的安全成熟度 - 及早取得STAR認證

Tue, 22 Jul 2014 03:26:00 +0000

對雲端服務供應商而言，如果想要展現出高度的資安管理成熟度，唯有藉由第三方獨立公正的稽核，並且進一步取得國際認可的認證，才是最佳的解決方案，除了可以強化本身的市場競爭力，也能夠滿足客戶對於資安的期盼與要求。

隨著雲端運算的蓬勃發展，許多企業紛紛採用了雲端服務，以便降低營運支出成本，或是達成過去缺少資源所能達到的目標。若是從企業高層的治理與管理角度來看，一旦企業導入了雲端服務，並且與本身的業務運作相互結合，那麼就必須評估這項服務，是否會對企業產生無法控制的風險，也就是說，企業需要考慮採用了雲端服務，如果發生了資訊安全的問題，是否將對企業造成衝擊與影響。

因此，選擇一個安全可靠且值得信賴的雲端服務供應商，就成為企業在採用雲端服務時，也能降低營運風險的必要做法。只是，面對市場上眾多的雲端服務業者，到底應該要如何挑選，才能找到品質與安全兼顧的良好夥伴，就成為企業在評估時的頭痛問題。幸好，在2013年年底，針對雲端服務供應商的安全要求，雲端安全聯盟(CSA)與英國標準協會(BSI)正式宣布推出STAR認證，這項認證結合了ISO 27001資訊安全管理系統標準的要求，並且藉由實施雲端控制矩陣(Cloud Control Matrix；CCM)，再以成熟度評估的方式來量測出雲端服務的安全水準。

取得STAR認證的必要條件

雲端安全聯盟指出，「STAR認證是以達成ISO 27001和雲端控制矩陣所列出的一系列準則作為基礎，此一矩陣共有11項控制領域，涵蓋了法規遵循、資料治理、設施及場所安全、人力資源安全、資訊安全、法令法規、營運管理、風險管理、發行管理、恢復能力及安全架構」。

對雲端服務供應商來說，如果想要取得STAR認證，需要具備以下三個條件：

已取得ISO 27001認證：ISO 27001主要是從資訊安全的角度出發，要求雲端服務供應商基於客戶的安全期許與要求，在所提供的雲端服務範圍內，導入系統化的資訊安全管理制度，業者必須要識別服務中所面臨的風險，實施適當的安全控制措施，以降低風險至可以接受的程度。因此，ISO 27001的認證範圍，也就不得小於STAR認證的範圍。
導入CCM的安全控制要求：CCM是針對雲端服務中的各項特定的重要領域，實施對應的安全控制措施，以便確保業者所提供的雲端服務已具備足夠的安全防護，降低資訊安全的風險。
達到成熟度評估的水準：業者必須申請由第三方獨立驗證機構來進行安全成熟度的評估，這項作法可以確保CCM並非只是最低的自我安全要求，而是能夠展現在各個雲端安全控制領域中，已有運行良好的管理活動，確保安全問題能夠持續地獲得關注和改善。

雲端安全成熟度評估的要素

雲端服務供應商如果想要通過STAR驗證，就必須在所有CCM要求的控制領域中，展現已經實施的安全作法與相關證據，若是組織對於自己的雲端安全管理有信心，接下來就可以申請實施獨立的第三方驗證，BSI將以管理成熟度評估方式，針對CCM的每一項控制領域來進行查驗，至於CCM的實務措施與做法，讀者可以參照先前一系列有關雲端控制矩陣之介紹文章。

基本上，在雲端控制矩陣的每一項的控制領域裡，稽核員都會分別依據以下五個管理要素來進行評分:

溝通和利害關係人的參與
政策、計劃、程序及系統化方法
技巧和專業能力
負責態度、領導能力和管理
監控與量測

換句話說，在每一個控制領域中，稽核員都會依照所實施的管理活動，在五個管理要素中給予1-15的評分，如果其中有一個管理要素獲得較低的分數，那麼這項控制領域就會以此最低的分數作為其總體獲得的評分。

以CCM v1.4來說，業者在11項的控制領域中，就會獲得11項1-15分不等的分數，而每一項分數都是取決於五個管理要素所獲得的評分結果。以「政策、計劃、程序及系統化方法」的管理要素為例，其評分所依據的準則如下。

無正式實施方法 (No Formal Approach) : 若只有很少的證據可顯示在營運和管理方面，已有相關的計畫、流程、政策及作業程序，將獲得1分；如果業者已實施了效果有限的作業流程，可獲得2分；在一些關鍵的區域中，作業流程已被實施和遵從，將可得到3分。

被動式實施方法 (Reactive Approach) : 若有一些證據顯示，某些員工對於關鍵區域的主要控制要求已經有所了解，將獲得4分；如果大多數的計畫、流程、政策及程序都已更新，可獲得5分；有證據顯示這些的計畫、流程、政策及程序已經被實施和遵從，將可得到6分。

主動式實施方法 (Proactive Approach) : 若業者已有廣泛的計畫、流程、政策及程序，並已涵蓋了大多數的控制和作業區域，將獲得7分；如果計畫、流程、政策及程序已被定期的檢視審查，可獲得8分；員工已熟知並且能找出對應的計畫、流程、政策及程序，將可得到9分。

持續改進實施方法 (Improvement-Based Approach) : 若有證據顯示相關的計畫、流程、政策及程序，已經涵蓋日常的作業和緊急應變措施，將獲得10分；如果針對營運活動可能的風險，對於相關計畫、流程、政策及程序已進行檢視審查，可獲得11分；員工能夠主動地涉入風險管理和風險消除，將可得到12分。

最佳化實施方法 (Optimising Approach) : 針對營運活動的改變，管理階層對於相關計畫、流程、政策及程序皆有強健的領導力和因應做法，將獲得13分；如果相關計畫、流程、政策及程序已與組織外的最佳實務做法進行比較，可獲得14分；相關的計畫、流程、政策及程序，皆能與營運願景維持一致，並且獲得了正面評價，將可得到15分。

最後，每一個控制領域的得分將會加以平均，若是平均得分低於3分，就無法獲得任何的獎牌；如果平均得分為3~6分，將可取得銅牌；平均得分為6~9分則為銀牌；如果達到9分以上，則可獲得金牌。一旦獲得了CSA STAR認證的獎牌，雲端服務供應商就可將它展現給客戶，以達到市場的競爭力並且建立正面形象。

合格稽核員以專業給出評分

對於STAR稽核員而言，雲端安全的成熟度評估不但考驗專業能力，更是一項實務挑戰，因此在能力要求方面，執行STAR驗證的稽核員在資訊安全領域，至少要有二年以上的工作經驗，並且要通過ISO 27001主導稽核員課程考試，或是已經被國際驗證機構認可為合格且具有經驗的ISO 27001稽核員，同時，也必須要完成由BSI和CSA共同開設的CCM訓練課程。

當業者在申請進行STAR驗證時，為了確保專業性和對組織的有效性，建議最好選擇已取得CCSK雲端安全知識認證的稽核員，這樣一來在實施評估時會更有利於專業評分的進行，因為執行STAR驗證的稽核員，除了要查核所有CCM要求的雲端安全控制領域，也要基於風險評鑑和來自內部與第三方的要求來進行評估，稽核員還需要依據管理成熟度的五個要素，對每個控制措施分別給出1~15的分數，並且查驗業者所提出對應的相關證據，這些都需要足夠的雲端安全知識才可有效進行。

此外要注意的是，在實施稽核的過程中，業者可能會質疑有些成熟度要素無法直接對應至明確的控制措施，例如資料治理領域中的「DG-06 非生產環境資料」，這個控制措施是要求生產環境中的資料不應被同步複製或使用在非生產環境之中，它與「負責態度、領導能力和管理」這一個成熟度要素，看起來似乎沒有直接的關聯。不過，事實上在進行查核的時候，稽核員會從整體的資料治理措施來進行評估，像是配合「DG-01 擁有權和管理職責」這個控制措施，先確認業者是否有足夠的證據來顯示所有資料都已被明確指派定義、記錄和溝通其管理職責，然後再給予DG-06這一個控制措施評分，這也就是表示，對雲端服務供應商來說，所有成熟度的要素都是無法忽略的，必須要力求完整呈現在每個控制措施中，才有機會取得高分。

及早取得認證以搶佔市場先機

雲端服務供應商如果想要及早取得STAR認證，必須先確認其所提供的雲端服務，已在ISO 27001認證的範圍之內，然後實施CCM的安全控制要求，以CCM v1.4而言，它涵蓋了11項控制領域，其中包括了98個安全控制措施，這些控制措施也都可以參照ISO 27001本文和附錄A的內容，彼此達到互補的功能。

目前，全球已經有三個組織順利取得了由BSI所頒發的STAR認證，分別是英國的惠普(HP)與脈動(Pulsant)，兩家皆取得了銀牌，在亞洲有一家是阿里雲，它獲得了第一面金牌。預計在2014年第二季之後，台灣也將會有業者來取得這項認證。未來，雲端服務供應商可藉由STAR認證來展現自己的安全成熟度，以贏得客戶的信心，而消費者也將多了一項管道，可以得知所選擇的雲端服務業者，是否有足夠的能量來確保所需的資訊安全，這對於雲端服務的長遠發展，可算是一項福音。(本文刊載於2014年3月號網管人雜誌)

[新知] 雲端安全聯盟正式發佈CCM和CAIQ v.3.0.1

Fri, 18 Jul 2014 04:37:00 +0000

雲端安全聯盟(CSA)已正式發佈更新版本的 Cloud Controls Matrix (CCM) 和 Consensus Assessments Initiative Questionnaire (CAIQ) v.3.0.1，有興趣的朋友可以自行至CSA的網站下載這兩項文件。

CCM v.3.0.1 - https://cloudsecurityalliance.org/download/cloud-controls-matrix-v3-0-1/

CAIQ v.3.0.1 - https://cloudsecurityalliance.org/download/consensus-assessments-initiative-questionnaire-v3-0-1/

新版的雲端控制矩陣CCM提供了雲端服務供應商基本的安全原則，可以協助業者自行評估所面臨的雲端風險，在CCM v.3.0.1中包括了16項安全領域和基本的安全控制措施，並且可以和業界與國際標準相互參照，以減少稽核時的重覆性與複雜性。

不同於v.3.0的新版主要更新重點如下：

新版CCM更新為16項安全領域，並且對應至常見的其他標準，如AICPA 2014 TSC, COBIT 5.0, ISO/IEC 27001:2013等。

新版CCM整合了重覆的控制措施，從舊版v.3.0的136個減少至133個，同時重新改寫了控制措施內容，讓目的更清楚，並且可以滿足STAR認證的要求。

新版的CAIQ則提供了更簡要清楚的問題內容，並且對應至CCM和雲端運算安全指南v3.0的內容，讓雲端服務供應商可以更容易地進行自我評估，以滿足客戶的期待與要求。

[專欄] 雲端控制矩陣安全措施簡介(八) - 強化雲端安全架構從底層打好強健基礎

Wed, 09 Jul 2014 13:50:00 +0000

上一篇我們說明了在雲端控制矩陣之中，有關發行安全管理和災難回復能力之要求，本期將說明有關雲端安全控制要求的最後一項-安全架構之內容。

在雲端控制矩陣中的第十一項是針對安全架構的要求，希望藉由強化底層的網路基礎設施與應用程式，以減少營運時可能面臨的安全風險。以下將說明安全架構中的15個控制措施，以及可對應參考的ISO 27001標準與實務建議。

SA-01 客戶存取之要求
這項控制措施是要求在賦予客戶存取資料、系統、資產之前，所有已識別出與存取有關的安全、合約、法規之要求，應該被處理和達成。

在ISO 27001標準附錄「A.6.1.2資訊安全協調工作」中提到，組織之中的資訊安全，不會只是單一部門的工作，除了資訊單位之外，可能也需要人力資源、總務、行政、業務、稽核、法務等部門人員的參與，才能達成組織所設定資訊安全的目標，所以資訊安全的相關活動，需要由不同部門的代表協調，才能順利地執行。此外，「A.6.2.2處理客戶事務的安全說明」也要求，在賦予客戶存取組織資訊的權限之前，應考量到各項資訊安全要求，例如對於提供服務的內容描述，以及客戶應有的安全責任與要求等。

SA-02 使用者身分憑證
這項控制措施要求組織所提供的雲端服務，對於應用程式、資料庫、伺服器及網路的使用者身分憑證與密碼管理，需要滿足以下的最低要求：

在密碼重設之前，進行使用者身分確認。
如果密碼是由非使用者重設(如系統管理員)，在第一次使用時必須要求使用者立即更改。 3. 對終止職務的使用者，應及時地取消其存取權限。
至少每90天移除及停用閒置的使用者帳號。
應採取唯一的使用者識別帳戶，禁止帳號密碼的共享使用。
密碼過期週期為90天。
密碼最小長度不得低於7碼。
應使用混合數字與符號的強健密碼。
重新設定密碼時，不得與最近四次使用過的相同。
密碼經重試6次錯誤之後，即鎖定帳號。
帳號鎖定最少期間為30分鐘，或是直到管理者解鎖為止。
使用者閒置15分鐘之後，應要求必須重新輸入密碼才可繼續使用。
特權使者者的存取與活動記錄必須被保存。

有關使用者身分管理之要求，還可以參考ISO 27001附錄「A.11.2.3 使用者密碼管理」，要求使用者密碼的配置，需要有正式的管理流程來進行控制，也就是說在配置的過程中必須實施所需的安全要求。

SA-03 資料安全
這項控制措施是要求組織的資料在不同系統、途徑及第三方的交換過程中，必須建立確保資料安全與完整性的政策和程序，以便遵守法律法規與合約的要求，同時避免資料受到不當的揭露、竄改與銷毀。

對此，可以參考ISO 27001附錄「A.10.8.1 資訊交換政策和程序」，要求組織的資訊交換，都需要依照所定義的管道和方式來進行。為了確保資料安全，也可依照「A.12.5.4 資料外洩」之要求，在系統上線前進行系統掃描，確認是否有不當的訊息外送或開放的傳輸埠，另外也要監測系統資源的使用與網路活動，以防範資料洩漏的事件發生。

SA-04 應用程式安全
這項控制措施是要求應用程式需依照業界認可的安全標準如OWASP來進行開發，並且合乎適用的法規與商業要求。針對應用程式安全，在ISO 27001附錄「A.12.6.1技術脆弱性控制」中提到，因為資訊系統本身並非十全十美，也就需要定期或及時地加以修補，這項控制措施要求組織應及時取得和弱點有關的資訊，並採取對應的行動來降低因已被公布的安全弱點，而遭受到不必要的攻擊。

SA-05 資料完整性
這項控制措施是針對資料的輸入與輸出，對應用程式介面和資料庫實施完整性檢查，以避免資料受到手動或系統執行錯誤所造成的問題。對此，可參照「A.12.2.1 輸入資料確認」之要求，針對所輸入的資料，在內容上面可加以限制，例如價格欄位只允許輸入數字、身分證字號只允許輸入10個字元等，透過對於數值的範圍、資料完整性、資料量及有效字元等的偵測，可避免像是資料隱碼（SQL Injection）或緩衝區溢位（Buffer Overflow）等常見的攻擊。

SA-06 生產與非生產環境
這項控制措施是要求生產與非生產的環境應被區隔，以保護資產不會受到未經授權的存取與變更。在實施方面，可參照ISO 27001附錄「A.10.1.4 開發、測試與運作環境的區隔」，要求組織針對應用程式的開發，勢必要備妥開發流程、測試和上線運作的程序文件。同時，所使用的資訊軟硬體設備，也要加以適當的區隔，不可在同一個環境上進行，也不將資訊存放在相同的儲存媒體中。

SA-07 遠端使用者之多因素認證
在雲端服務之中，使用者的身分可決定其使用的服務內容，因此在身分驗證方面，這項控制要求所有遠端存取的使用者，都必須使用多因素認證，包括像是登入管理介面、創建金鑰、存取多個使用者帳號、防火牆設置及遠端存取等。

在實施方面，可參照ISO 27001附錄「A.11.4.2 外部連線的使用者鑑別」，要求當使用者從外部網路連回使用相關服務時，需要採用適當的鑑別方法，確認使用者的身分以便進行存取控管。目前最常見的作法是採用VPN方式，以使用者帳號、密碼和Token進行身分驗證，在建立安全加密的通道之後，才允許其使用網路服務。

SA-08 網路安全
這個控制措施是要求針對信任與非信任區域的網路，應該被設計為可限制彼此的連結，並以文件化方式記錄所有服務的用途和被允許使用的網路協定與連接埠，也包括了針對不足之處所實施的補償性措施。另外，在網路架構圖上面，應清楚定義高風險的環境和資料流經之處，以降低可能違反法規之衝擊。

對此，可參考ISO 27001附錄「A.11.4.1 網路服務的使用政策」之內容，要求組織制訂有關網路服務和使用的安全政策，規範使用者只能存取已獲得授權的服務，並且在政策中說明像是有哪些網路服務是允許使用者來存取的、申請使用和授權的程序、可允許存取的方式，以及所採取保護網路連線和服務的安全管理機制等。

SA-09 環境區隔
這個控制措施要求系統和網路環境必須使用防火牆進行區隔，以確保能夠遵守以下的要求。 1. 業務與客戶之要求
2. 安全要求
3. 法律、法規與合約之要求
4. 生產與非生產環境區隔之要求
5. 敏感資料之保護與隔離要求

針對網路的安全管理，可參考ISO 27001附錄「A.10.6.1 網路控制措施」的內容，利用資安設備像是防火牆、入侵偵測系統、VPN等，以保護網路連線服務不會受到惡意的入侵和存取。對於敏感性資料，則可以依據「A.11.6.2 敏感性系統隔離」來要求敏感性系統需要有專屬的作業環境，以避免其他未經授權的人員可以操作使用。

SA-10 無線安全
這個控制措施要求對於無線網路的安全，應建立相關的政策與程序，並實施以下的安全防護作法：

部署邊界防火牆來限制未經授權的網路流量。
啟用安全的組態配置如加密與身分驗證措施，修改廠商預設的加密密碼和SNMP等設定。
只限經過授權的人才可使用無線網路。
有能力偵測偽冒的無線基地台，並且能夠及時的阻斷連線。

對於網路服務的安全，可依照「A.10.6.2 網路服務的安全」之要求，識別無線服務所屬的安全等級，以便採取對應的控管方法，包括制定申請使用程序、可連線的方式、身分識別方法及所採取的加密措施等。

SA-11 分享的網路
在組織之中，隨著規模的擴大以及資訊服務的增加，網路環境也顯得愈來愈複雜，若沒有實施良好的管理，資訊的傳遞、儲存、使用可能會危及本身的機密性、完整性和可用性。因此，這個控制措施要求使用分享的網路基礎設施時，應依據安全政策、程序和標準的要求，只限於已取得授權的人員。對於和外部單位分享的網路，應以文件化方式規劃所需的補償性控制措施，使其和組織本身的網路能有所區隔。

至於文件化的政策方面，可參考ISO 27001附錄「A.11.1.1 存取控制政策」，依照營運相關的存取安全要求來建立文件化的存取控制政策，藉此明確地說明每位使用者和使用群組如何配置所需擁有的存取權限。另外，針對網路的隔離，「A.11.4.5 網路區隔」提到的作法是可採取虛擬網段（VLAN）的方式，透過網路交換器、路由器、防火牆等設備，依照不同網域的安全要求來加以分割，以確保網路流量的區隔和安全邊界的劃分。

SA-12 時間同步
為了確保日誌記錄的有效性，正確的時間設定是非常重要的一環，唯有各項系統的時間維持一致，才能去作分析與追蹤。這個控制措施是要求組織中所有與雲端服務有關的系統，必須使用來自可信賴的資源，並且定義所在的安全區域，以便同步整合所有系統的時間。

對此，可參考ISO 27001附錄「A.10.10.6 鐘訊同步」，採行實務上最簡單的方法，也就是使用NTP的通訊協定與國際標準時間或當地標準時間伺服器來進行同步對時，確保使用了共同的時間來源。

SA-13 設備識別
這個控制措施要求對於提供雲端服務的各項設備，必須要有能力可以彼此自動地識別與連結，對於已知所在地點的設備，可透過地理位置感知技術，以強化連結時的安全驗證。

在ISO 27001附錄「A.11.4.3 網路設備鑑別」中提到，組織若想限制來自特定地點或設備的網路連線，最好是採取自動設備的識別方法，以鑑別連線的設備是合法且經過授權的裝置。實務上最容易採取的方式，是識別網路設備的MAC Address和網路IP，尤其是目前普遍使用的無線網路，相關行動設備皆建議採取此種方式來進行識別，若再配合使用者的身分鑑別，則可以大幅提高其安全性，避免受到惡意人士採用偽冒身分的攻擊。

SA-14 稽核記錄與入侵偵測
這個控制措施是要求包括特權使用者的存取行為、已授權與未授權的存取要求、系統例外和資安事件等，應依據所制定的政策要求來加以記錄。稽核記錄應當每日進行檢視，並且部署檔案完整性檢測和入侵偵測系統，以確保能夠即時地監控並分析事故發生的原因。有關稽核記錄的實體與邏輯存取，也只限於經過授權的人員才可進行。

在ISO 27001附錄「A.10.10.1 稽核存錄」中提到，無論是資訊系統、資安設備、資料庫或應用程式等，每天都可能會產生大量的系統日誌（log），這項控制措施的目的，就是要保留使用者的活動記錄、異常事件的告警等，以便可以用來找出事件可能的發生原因，甚至還原事件發生的過程。所以在實務方面，建議日誌記錄必須要保存適當的一段時間，至於應該保留的事項包括：

事件發生的日期、時間。
所使用的帳號和使用行為如登入和登出等。
系統存取成功或失敗的記錄。
系統組態的變更項目和範圍。
系統工具程式的使用情況。
所存取的檔案類型和方式。
網路IP和使用的通訊協定。
系統異常事件的告警等。

SA-15 行動碼
行動碼是指可以跨越不同平台設備使用的程式，像是ActiveX、Java、Flash等，這個控制措施是要求行動碼在安裝、使用和配置之前，應先取得管理者的授權，並且確保將根據既定的安全政策來執行，也就是必須能夠防止未經授權的行動碼的使用。對此，可參考ISO 27001附錄「A.10.4.2對抗行動碼的控制措施」之要求，實務上最常使用的管制方式是提高瀏覽器的安全等級，以避免使用者有能力直接執行有害的惡意程式。

總結

雲端服務牽涉到基礎設施的維護、系統的穩定及資料的安全等，對雲端服務供應商而言，要如何展現有效的安全管理並取得使用者的信任，往往是決定服務好壞的關鍵要素。雖然目前仍缺少一個雲端安全的國際標準，但透過雲端安全聯盟的努力與推廣，包括所提出的雲端安全關鍵指南、雲端控制矩陣和STAR認證等，也已受到業界的肯定。因此，如果能夠實施其所建議的各項要求，相比之下，更能夠具體地說明服務供應商對資訊安全的重視與決心，也能夠為廣大的使用者提供更安全的雲端服務。(本文刊載於2014年2月號網管人雜誌)

[專欄] 雲端控制矩陣安全措施簡介(七) - 留心發行管理安全要求災難復原計畫更不可少

Sun, 11 May 2014 23:35:00 +0000

上一篇說明了在雲端控制矩陣之中，有關法律議題與營運作業時應實施的安全要求，並且要從整體雲端服務的角度來評估可能的風險，本期將說明有關發行安全管理和災難回復能力之要求。

在雲端控制矩陣中的第九項是有關發行管理的要求，它是針對雲端服務的營運中，評估是否存在相關的變更管理流程與機制，一旦與雲端服務有關的事項有所變動時，服務供應商必須要有能力識別並且實施計畫性的更動，同時也要評估發生災難時可能帶來的衝擊，以及擬定必要的復原程序。以下將說明發行管理中的5個控制措施，以及所對應ISO 27001的標準內容與實務建議。

發行管理之安全要求

RM-01 新開發與取得要求
這項控制措施是要求對於新的應用程式、系統、資料庫、基礎建設、服務、操作和設施的開發或取得，必須建立管理授權的相關政策和程序，也就是在一開始評估與規劃時，即考量所需的安全要求。在ISO 27001標準中，可參照「A.12.1.1安全要求分析與規格」之要求，了解新的資訊系統對組織整體營運的重要性為何？評估系統萬一失效或受到入侵時可能產生的安全風險？所需要的資安防護層面有哪些？如果系統本身無法達到所需的安全強度，是否可尋求其他的配套措施來降低風險？

另外，在「A.6.1.4資訊處理設施的授權過程」中提到，組織大都會採購資訊相關設備，並且給予員工在作業時使用，為了確認這些新設施能夠符合資訊安全的要求，因此有關資訊設備的使用，必須先取得管理階層的核准，換句話說，組織應明訂此一授權程序和流程，才可確保符合了資安政策的要求。

RM-02 生產之變更
如果組織所提供的雲端服務，需要進行與生產環境有關的變更，變更的項目一般包括了軟體和硬體，像是應用程式、系統、資料庫、網路裝置等，可能變更的內容則涵蓋了安裝修補程式(patches and service pack)和其他的更新與修改，因此這項控制措施要求在變更進行之前要先獲得主管授權，採取文件化方式的流程並且進行測試。

有關的生產變更之要求，可以參考「A.10.1.2 變更管理」，以確保和資訊處理設施與系統有關的變更事項，都能夠受到妥善的管理控制。實務方面，除了所有的變更內容務必要取得主管的授權之外，特別要注意的是務必保存相關的變更記錄，包括作業核准的程序、重大變更事項的識別和記錄、變更規劃與測試計劃，以及在變更失敗時，如何中止並進行復原的程序等。

此外，在「A.12.5.1 變更控制程序」中也提到，針對資訊系統的變更，需要制訂正式的變更程序才可進行，也就是說重點在於整個過程都需要有適當的監控，因此最好的作法是有文件化的變更作業程序，同時依據之前A.10.1.2變更管理的相關要求來實施。

RM-03 品質測試
這項控制措施是要求組織中所有的軟體開發，都必須建立系統化的監督和評估計畫，以確保達到品質標準的要求。針對資訊系統的更新和版本變更，都要以文件化方式進行，在系統開發和被採用之前，也都要事先進行安全測試。管理階層需要有足夠的能力來監督品質測試的過程，以確認符合當初的開發目的，並且在釋出上線之前解決可能發生的問題。

對此，可以參考「A.10.1.4 開發、測試與運作環境的區隔」之要求，也就是應分隔在開發、測試和運作所使用的資訊設施，以避免因設備的誤用或資訊的不當修改，而產生不必要的風險。在實務方面，針對應用程式的開發，務必要備妥開發流程、測試和上線運作的程序文件，同時，所使用的資訊軟硬體設備，也要加以適當的區隔，不在同一個環境上進行，也不將資訊存放在相同的儲存媒體中。特別是要避免使用正式的上線環境和營運資料進行測試，以免影響日常的營運。

在系統完成更新之後，可依照「A.12.5.2 作業系統變更後的應用程式技術審查」之要求來進行審查測試，以確認不會影響到組織的作業或其他關鍵系統。換句話說，只要有系統進行了變更作業，就要對應到後續的技術審查過程，而且所有更新作業與運作情況，都需要留下適當的記錄才行。

RM-04 外包之開發
這項控制措施是要求針對所有外包軟體之開發，必須建立系統化的監控與評估計畫，以確保符合品質標準之要求，同時所有外包的軟體開發，都應受到組織的管控和安全要求，包括了開發環境需經過合格人士的獨立審查，開發人員需接受安全認證訓練，以及進行原始碼的檢測等。至於相關的安全認證則要符合ISO 17024之認證規範，或是符合當地法定認可機構所頒發的執照與認證。

針對此項安全要求，在「A.12.5.5 委外的軟體開發」中提到，服務供應商若選擇委外廠商來進行軟體開發，就必須要加以適當的監督，確認其遵守了組織的安全政策，這部份同時可參照「A.10.2第三方服務交付管理」的要求，實務上更建議組織應將安全要求明列在所簽訂的委外合約之中。

RM-05 未授權的軟體安裝
這項控制措施是要求應建立政策和程序，並且實施相關作法來限制未授權的軟體安全。對此，可參照「A.10.4.1 對抗惡意碼的控制措施」之要求，制定正式政策來規範使用者不可任意自網路上下載安裝未經授權的軟體，並實施教育訓練讓使用者有足夠的認知，以避免來自網路和電子郵件等惡意程式的入侵。同時也可依據「A.11.6.1 資訊存取限制」之要求，遵守所制定的存取控制政策，確保只有符合擁有存取權限的人員才可存取系統。

災難回復之安全要求

雲端服務的運作，除了必要的安全管控措施之外，還需要更進一步思考可能發生的潛在危機和災難，藉此來提早防範於未然。在雲端控制矩陣之中，對於雲端服務的災難復原事項，也提出了以下8個的安全控制要求。

RS-01 災難復原之管理計畫
在實務方面，有關業務持續與災難復原的政策、流程和程序，應依據組織的業務、法令法規及合約的要求來制訂完成，將預期到的可能災難風險，降低至可接受的水準，並透過預防與復原的措施，減少災難對於組織的衝擊與影響。組織的復原管理計畫，應與組織業務所有相關人員進行溝通，並且發佈給這些人員，將它存放在災難發生時易於被取得的地方。

在標準方面，可以參照ISO 27001附錄「A.14.1.1 將資訊安全納入業務持續管理流程」，要求組織依照業務所需的資安要求，發展和維持整體的業務持續管理流程，也就是需要去識別和業務有關的關鍵活動，以及支持這些關鍵活動所需的資產，例如人員、場地、資訊、技術、供應商、利害關係人等，組織必須充分地了解這些資產所需的安全要求，以及這些資產可能引起營運中斷的風險，評估其可能造成的衝擊，然後再選擇適當的控制措施。

RS-02 衝擊分析
對於可能造成組織營運中斷的風險，必須以文件化方式來定義其可能的衝擊，這項控制措施提到的相關作法包括了：

識別關鍵產品與服務
識別支持關鍵活動所需的作業流程、應用程式、業務夥伴及第三方的服務供應商。
了解對關鍵產品與服務的威脅
對於計畫或非計畫中的中斷事件，依時間變化決定其對組織的衝擊影響。
建立最大可容忍的中斷時間(MTPD)
建立復原的優先順序
建立回復關鍵產品與服務的目標時間(RTO)
評估復原活動的所需資源

針對這項控制要求，可參照「A.14.1.2 業務持續與風險評鑑」，要求組織必須識別可能導致營運中斷的事件，研判其可能發生的機率，評估可能造成損害的等級，以及對組織的衝擊和影響。一般而言，由資安事件引發的系統錯誤、設備失效、天然災害等問題，多數能夠藉由風險評鑑加以識別，並且依其損壞程度和復原時程，判斷如何恢復至正常運作的水準。

所以在進行規劃時，建議最好由業務活動和資源的擁有者來參與，才能完整的識別出正常營運所需的資源、可容忍的中斷時間及復原的順序，如此也才能識別出各項風險，進而決定組織業務持續管理的整體作法，避免落入過度偏重在添購資訊設備的備援情境中。

RS-03 業務持續計畫
這個控制措施是要求雲端服務供應商，必須建立業務持續計畫的框架，並以文件化方式確保和組織的資訊安全要求維持一致。

業務持續計畫的內容包括了：

定義目標和範圍，並與相關附屬要求保持一致
讓需要使用的人容易理解並取得
指定負責人以便進行更新、審查及核可
定義溝通的管道、人員角色與責任
詳細描述復原程序、人工作業方式與所需的資訊

對此，可參考「A.14.1.3 發展與實作包括資訊安全的持續計畫」之內容，要求針對各項可能造成營運中斷的風險，建立對應之維持或恢復運作的計畫，以確保在一定時間內達到資訊可用的要求等級。所以，建議組織在規劃時需考量可以接受的服務中斷時間，還有可供使用的人力、物力等各項資源。

另外，「A.14.1.4 業務持續計畫框架」中也提到，業務持續計畫需要確保一致性，也就是實施時務必要依照組織的整體作法，例如在每一份計畫中都會涵蓋特定的計畫擁有人、聯絡清單、啟動條件、緊急程序等，這些就是所謂的框架，依照這些項目來建立各項業務持續計畫的內容，同時明訂測試與維護的優先順序。

RS-04 業務持續之測試
這個控制措施要求業務持續計畫必須在規劃時，或是組織與環境有重大變更時需進行測試，以確保計劃的有效性。在實務方面，可以依據「A.14.1.5 業務持續計畫的測試、維護及重新評鑑」，要求所有的業務持續計畫，都需要定期測試與更新，以確保計畫內容與作法，符合當下的真實環境。因為對組織而言，或許無法同時完整測試所有計畫，但應規劃其測試時程和方法，再視情況選擇採取紙本演練、狀況模擬、技術測試或完整演練等，確保在災難發生時，能夠依照預先設想的步驟來執行，以達成業務持續的目標。

RS-05 環境的風險
這個控制措施是要求自然發生的災難或是蓄意的攻擊，都應該要進行事先的預測、規劃及實施對應的控制措施，對此，可參考「A.9.1.4 保護來自外部與環境的威脅」中提到，利用適當的實體防護，以降低外在的環境威脅，如火災、地震、水災等的侵襲影響。

RS-06 設備之所在地
這個控制措施是要求為了減少來自環境的威脅，以及未經授權存取的風險，針對設備的所在地需要實施控管，並且在合理的距離之外設置備援設備。針對設備的問題，在「A.9.2.1 設備的設置與保護」中提到，資訊相關設備應適當地進行安置、保護及監控，以降低環境威脅所造成的損害，或是受到未經授權的存取。舉例來說，像是電子產品須要受到良好的環境溫溼度監控；操作資訊系統時，應有適當的遮蔽來避免敏感資訊的外洩，例如機房就最好不要採用完全透明的玻璃作為隔間來使用。

RS-07 設備電力之失效
這個控制措施是要求對於設備運作所需的公用服務，例如電力失效和網路中斷等，需要採取安全防護和備援設施。對此，可參考「A.9.2.2 支援的公用事物」之要求，在機房部署不斷電系統。但要注意的是，若面臨長時間的電力中斷，不斷電系統應確保足以循序地將重要主機進行關機，若要確保能夠持續運作，則要考量是否有獨立的備援電力供應站，或是使用燃油發電機來運作，而除了電力之外，電信與網路系統也要有備援，以確保在中斷期間的通訊能夠正常運作。

RS-08 電力與通訊
這個控制措施是要求針對通訊線路和電力纜線應提供適當的保護，避免其受損而導致服務中斷，並且要設計替代的線路或取得其他的電力來源。對於電力與通訊的問題，在「A.9.2.3 佈線的安全」中提到，傳送資料與電力的纜線應有適當的標示、固定及保護，建議設於地下或其他已受到適當防護的管道，尤其要避免經過公共區域。另外，電力與網路線也要作適當的阻隔，以避免相互干擾而造成資料傳輸的問題，以上這些都是實務方面可以因應的參考做法。(本文刊載於2014年1月號網管人雜誌)

[專欄] 雲端控制矩陣安全措施簡介(六) - 注意法律與作業管理風險管理是重要關鍵

Sun, 04 May 2014 14:50:00 +0000

上一篇，我們說明了雲端控制矩陣中，關於資安事故回應處理、網路安全控制，以及行動裝置與原始碼存取之管控，本期將繼續說明在雲端控制矩陣中，有關法律議題與營運作業時應實施的風險管理。

在雲端控制矩陣中的第六項是有關法律的議題，主要是針對雲端服務中的人員與服務內容，希望藉由書面協議的正式簽署，確保雲端服務能夠符合組織的安全要求。以下將說明法律議題中的2個控制措施，以及對應ISO 27001的標準內容與實務建議。

因應雲端服務法律議題

LG-01 保密協議
對雲端服務供應商而言，為客戶所提供的各項雲端服務，資訊安全肯定是客戶會關注的重要問題，尤其是服務內容所涵蓋的項目，若是包括了重要資料的儲存和處理，那麼可能接觸到這些資料的人員，就需要擁有足夠的安全意識與技能，才可妥善地確保資料的安全。

這項控制措施是要求針對組織中需要受到保護的，或是與營運相關的資訊，應該被識別並採取文件化的記錄，同時也要求相關人員必須簽署保密協議，並且定期地進行審查。針對保密協議的簽署，在ISO 27001標準中，可參照「A.6.1.5機密性協議」之要求，對於敏感性的職務工作，可以由法務部門會同人事部門，制訂保密政策和程序，據此要求人員簽署保密協議。但協議內容必須能夠反映內部資安政策的要求，因此也要配合定期審查對各項資訊保護的要求，再將其更新至保密協議的內容之中。

LG-02 第三方協議
如果所提供的雲端服務，需要依靠第三方所提供的資源或技術協助，那麼與第三方所協議的相關內容，就會直接或間接地影響雲端服務供應商的營運。因此，有關資訊的處理、存取、傳輸、儲存，以及資產和服務的管理與終止等，在協議內容中就要包括資訊安全要求與資訊的完整性控制，以避免資訊受到不當的揭露、竄改及損毀。

對此，可以參考ISO 27001附錄「A.6.2.3 第三方協議中的安全說明」之要求，也就是在與第三方所簽定的協議與合約之中，必須明訂組織的資訊安全要求、應遵守的相關法規，以及在違反時應負的法律責任等。

規畫進行雲端作業管理

雲端服務的運作，有賴組織中各個階層人員的參與，包括由管理階層來制訂相關政策與程序，透過雲端服務小組的協同運作，技術人員規劃資源運用與設備的維護等，這些都需要有效的作業辦法，才能滿足客戶的需求，並且達到營運的目標。在雲端控制矩陣之中，對於雲端服務的作業管理，也提出了以下幾項的控制要求。

OP-01 作業管理之政策
實務方面，在雲端服務尚未運作之前，管理階層應會同人事部門，針對雲端服務所需的作業人員，定義其工作角色與執掌，並且確認此項工作所需的專業技能、工作經驗與人格特質，以便招募所須的作業人員。

在標準方面，可以參照ISO 27001附錄5.1所提到的兩項控制措施，如A.5.1.1要求資訊安全政策應經由管理階層的核准，並且公布傳達讓所有員工和相關的內外部團體知道，實作方面，在這份資訊安全政策中，除了傳達管理階層對於資訊安全的支持，確保資訊安全與組織營運目標的一致性之外，也需要說明資安的重要性與實施範圍，以及相關人員的職責。A.5.1.2則是要求資訊安全政策若發生重大變更時，也需要進行審查，以確保內容持續地適用充分和有效，因此這份政策，必須配合雲端服務的環境、業務型態、法律合約要求和技術更新等事項，進行持續的修訂與發行。

OP-02 作業管理之文件化要求
在作業管理中，所謂的標準作業程序(SOP)，是指有正式的文件化記錄，並且經過管理階層審查核可的內容，才能用於實際的作業環境。所以在雲端服務之中，有關系統組態、安裝與操作，還有所包括的安全功能與管理員的操作指引、系統架構圖等相關文件，都應採取文件化方式建立起來，並且交付給已被授權的作業人員，根據此一標準作業程序來進行各項工作。

針對這項要求，可參照ISO 27001附錄「A.10.1.1文件化作業程序」，只要是與資訊系統活動和作業有關的程序，包括通訊設施的使用、電腦開機與關機、備份方式、資訊設備維護、資訊儲存媒體使用和機房作業管理等，都以文件化方式來呈現，並且讓相關人員在需要的時候即可馬上取得，以便遵照其要求的標準作業程序來進行。

OP-03 容量與資源之規劃
這個控制措施是要求針對各項資源的可用性、品質及所需的容量，依照法規、合約與業務要求來實施規劃與量測，同時也要考量有足夠的能力，因應未來服務系統可能過載的風險。對此，在ISO 27001附錄「A.10.3.1 容量管理」中提到，管理人員需要預作規劃準備，評估未來可能成長的資料量，來添購所需的儲存媒體和設備，以避免因為容量不足的問題而導致系統服務的中斷。

OP-04 設備裝置維護
這個控制措施要求雲端服務供應商對於設備裝置的維護，需要建立政策與程序，以確保各項服務作業的持續與可用性。在實務方面，可以依據ISO 27001附錄「A.9.2.4 設備維護」，要求相關的資訊設備應定期自行維護或尋求廠商協助，相關的維護也需要留下適當的紀錄，以便定期地進行追蹤查核。而實施維護的外部人員，應該事先經過申請與核准，在實際作業時也要有適當的人員來陪同。

有效落實雲端風險管理

在ISO國際標準之中，計劃(Plan)、實施(Do)、監督(Check)、改善(Act)是確保持續營運與降低可能風險的最佳實務架構。因此，組織在管理有關雲端服務的工作時，若能秉持PDCA的精神，並且融入在各項作業程序之中，就能夠降低風險並且讓服務品質更加地精進。在雲端控制矩陣中對於風險管理，也提出了以下五個重要的控制要求。

RI-01 風險管理之計畫
對於雲端服務可能隱含的風險，組織應發展或維持一個風險管理的框架，讓風險可被降低至可接受的水準。對於此項要求，可參考ISO 27001本文4.2.1所提到，依據組織營運、組織、所在位置、資產和技術等特性，定義出資訊安全應受到適當控管的範圍，例如可以部門、系統、業務項目或實體環境來定義所要實施風險控管的範圍，並且建立所需的風險處理計畫。

RI-02 風險管理之評鑑
針對與組織營運有關的風險，這項控制措施要求應至少每年一次進行正式的風險評鑑，以質化或量化的方式，識別所有可能發生和造成業務衝擊的風險。組織可以透過稽核的結果、威脅與弱點分析，以及法規的要求等，建立風險管理的全貌，掌控組織可能隱含或殘餘的風險。

在實務方面，建議參照ISO 27001本文4.2的條款內容，界定組織的風險評鑑作法，並定義風險可以接受的等級。在標準之中對風險評鑑方法的要求，在於風險評鑑後所產出的結果，必須是可比較且可再產生的，換句話說，風險評鑑的方法，必須能夠重複地使用，尤其是在不同時期所進行的風險評鑑，其結果都可用來進行相互分析比較，作為未來風險處理與改善的參考。

RI-03 風險管理之消除與接受
一般來說，風險評鑑的過程是從識別可能的風險開始，再依據其發生的可能性與衝擊，計算出風險值並賦予其適合的風險等級，最後選擇可實施的風險控制措施，以降低風險至可以接受的水準。這項雲端控制即是要求所有風險都需要控制至可接受的程度，而可接受的風險水準，則是基於合理的時間處理與管理階層的核可。對此，ISO 27001本文的4.2條款提到，在完成了風險處理之後，所殘留下來的剩餘風險，都必須要取得管理階層的授權與核可，整個的風險處理過程才算完成。

RI-04 風險管理之業務與政策改變衝擊
雲端服務供應商在完成了風險評鑑之後，風險評鑑的結果應該要更新至安全政策、程序與相關的控制措施，以確保其持續的有效。在ISO 27001方面，此項控制可參照ISO 27001本文的4.2.1條款，在制定政策的時候，就需要考量營運與相關法規的要求，還有合約中所制定的資訊安全責任，像是法律要求必須要保障個人隱私、保護重大營運資訊，或是合約中要求必須保護客戶資料等，這些都是設定資安目標時的重要依據與參考。

因此，定期實施的風險評鑑，可為組織政策的修訂與更新，提供了一個有效的輸入來源，也就是說，依據風險評鑑的結果，可以進一步更新政策要求，以確保各項風險受到了良好的管理。

RI-05 風險管理之第三方存取
在雲端服務中有關第三方的存取行為，是一項明顯可識別的風險來源，在雲端控制矩陣裡，要求所有存取組織資訊系統與資料的行為，都應該被識別監控，同時評估若有不適當的存取時，可能帶來的業務風險與衝擊。換句話說，在提供這些服務供第三方存取之前，就要優先實施補償性的控制措施，以降低存取行為的安全風險。

在ISO 27001方面，可以參考附錄「A.6.2.1與外部團體相關的風險之識別」，要求透過風險評鑑的過程，找出外部團體對組織資訊的處理和使用時，可能存在的資訊安全風險，像是可存取的資訊類型、人員的識別與授權是否適當等。另外，也可參考「A.8.3.3 移除存取權限」，要求所有員工、承包商和第三方使用者，對於資訊、資訊處理設施的存取權限，應在聘僱、合約或協議終止時移除，或依變更進行調整。

最後，還可依據「「A.11.1.1 存取控制政策」，基於營運相關的存取安全要求和使用者可能接觸資訊的安全等級，以文件化的存取控制政策，說明如何去配置其存取權限，並以組織整體的營運風險作為優先考量。(本文刊載於2013年12月號網管人雜誌)

[專欄] 雲端控制矩陣安全措施簡介(五) - 小心處理資安事故管理與技術雙管齊下

Sun, 06 Apr 2014 11:12:00 +0000

上一期，我們說明了雲端控制矩陣中，關於資安教育訓練、管理者與使用者安全責任、加密與金鑰管理，以及漏洞修補和防範惡意程式等控制措施，本期將繼續說明在資安管理控制項目中，剩下的各項安全要求。

在雲端控制矩陣中的第五項「資訊安全」，它是整體雲端服務的管理重點，一共包含了34個控制措施，以下將說明第22至34個控制措施的要求，以及其所對應的ISO 27001標準內容和實務建議。

IS-22 資安事故管理
對組織而言，面臨和資訊安全有關的事故時，勢必要有適當的應變處理方法，這項控制措施即是要求與資安相關的事件，應建立政策和作業程序，並且進行分類和及時因應，以建立起完整的事故管理機制。

如果組織已導入ISO 27001標準，則可參照「A.13.1.1 資訊安全事件通報」之要求，建立正式的資安事件通報程序，以便相關人員能透過適當的管道，快速將資安事件回報給管理人員，以便及時因應與指示處理。通常一個完整的通報程序，包括要指定一個正式的聯絡人和代理人，並提供文件化的資安事件通報程序和表單，讓相關人員能夠依照事件通報指示，記錄和事件有關的重要細節，例如發生的時間、地點、系統錯誤訊息、監控指數，以及其他主觀判定異常的行為，以作為事件處理的依據參考。

IS-23 資安事故通報
一旦資安事件發生的時候，到底該由誰來負責通報？應該如何進行呢？其實這都有賴於事前建立完整的做法，在雲端服務中，這項控制措施要求針對合約承包商、員工和第三方的使用者，需要讓他們了解應即時通報安全事件的責任，並且要透過預設的溝通管道，符合法令、法規及合約的要求。

因此，組織需要建立適當的責任區分和作業程序，才能夠迅速有效地回應資安事件，對此，可參考ISO 27001附錄「A.13.2.1責任與程序」之要求，針對事件區分不同的等級型式，分別建立不同的因應辦法，例如針對單機的電腦中毒，就會有其需要通報的內容說明和處置，而針對來自網路的阻絕服務攻擊，在通報層級和處置方面，則會有顯著的不同。

IS-24 事故回應與法律準備
如果資安事故涉及到法律問題，組織就必須採取相關的法律行動，證明自己並無故意過失，或是對於惡意行為準備進行損害求償。在事故的後續處理方面，這個控制措施是要求針對可能採取的法律行動，應該要有適當的鑑識流程以保全證據，確認證據的蒐集、保存、報告皆能支持所採取的法律行動。

實務方面，可以參照ISO 27001附錄「A.13.2.3 證據的蒐集」的做法，針對資安事故過程進行蒐集、保存和提交相關的證據，以符合法庭在審判時的佐證要求。基本上，數位證據的蒐集是相當專業且不易進行的，因為數位證據本身很容易受到破壞和竄改，進而損及到證據應具有的證明力和證據力，所以可能需要委由刑事鑑識單位或合格的民間業者來進行。

IS-25 事故回應方法
這個控制措施是要求針對資安事故的類型、數量和損失，應建立可實施與監控的作法。針對這項要求，可參照ISO 27001附錄「A.13.2.2 從資訊安全事故中學習」，避免資安事故的效應擴大，在事先採取監督機制，監控資安事故的過程和所造成的衝擊，作為因應未來事故的依據參考。

IS-26 合理使用
這個控制措施是要求針對資訊資產的合理使用，應建立相關的政策和作業程序。對此，可參照ISO 27001附錄「A.7.1.3 可被接受使用的資產」之要求，對於和資訊處理設施有關的所有資產，其可被接受使用的方式規則，都應被識別、文件化和實施，並制訂相關的規範，例如網路和電子郵件的使用辦法、行動裝置的使用規定，以及USB隨身碟的申請與使用作業辦法等。

IS-27 資產歸還
這個控制措施要求組織在人員的異動和聘雇關係終止時，應事先定義適當的期間之內，要求員工、合約承包商和第三方使用者歸還因工作所持有的各項資產。在實務方面，可以依據ISO 27001附錄「A.8.3.2 資產歸還」，針對應歸還的資產，以清單檢核的方式來確認人員已歸還像是組織的門禁卡、電腦設備、軟體、作業手冊等，如果人員是使用自己的設備進行作業，也要確保其所儲存的資料已經交回，並且執行資料的清除。

IS-28 電子商務交易
如果雲端服務牽涉到電子商務的交易行為，這項控制措施要求針對經過公眾網路的交易資料，必須實施適當的加密防護，以避免資料受到未經授權的修改或揭露，防止詐騙事件的發生。

對於此項要求，可依據ISO 27001附錄「A.10.9.1 電子商務」，保護所有透過公眾網路所進行的電子商務活動，在實務方面，可以採用強健的身分驗證機制如雙因素認證，以及導入網站身分識別標章，讓消費者能夠清楚地識別。至於交易過程中所產生的資料，包括訂單、付款資訊、寄送地址等，這些客戶資料的存取方面也要有完整的授權流程，以避免資料受到不當的存取與利用。最後在網路傳輸方面，則可參考「A.10.9.2 線上交易」之要求，在連線過程中採用SSL加密機制或其他的加密通訊管道，要求使用安全的通訊協定，以避免交易資訊可能受到來自其他公眾網路的不當存取。

IS-29 稽核工具之存取
對於可使用在組織資訊系統的稽核工具，這項控制措施要求應有適當的限制和區隔，以避免系統存錄資料(log)受到不當的損害和濫用。

在實務方面，建議參照ISO 27001附錄的「A.15.3.2 資訊系統稽核工具的保護」，要求所有系統所使用的稽核工具，都必須要有適當的保護，以避免濫用或受到破解的情況發生。針對組織負責資訊系統稽核的人員，也必須要求具有獨立性，使用的工具也要和開發或運作中的系統分開，並且實施權限控管，必要時甚至可先從運作中的系統移除，以避免受到誤用。

IS-30 診斷與組態埠之存取
現今的資訊設備或系統，大都需要廠商提供定期的支援與維護，因此許多網路設備和電腦主機，都能設定組態埠並提供遠端診斷服務，如果其開放的組態埠沒有實施任何安全防護，就容易受到外來的入侵和未授權的存取。

為了防止系統診斷和組態埠受到不當利用，這個控制措施要求應限制只有經過授權的個人和應用程式，才能進行存取。實務方面可參考ISO 27001附錄「A.11.4.4 遠端診斷與組態埠保護」之要求，在設備方面採取上鎖和移除等方式進行，若是邏輯上的存取使用，則可透過文件化的作業程序，要求事先申請並確認身分之後才開放使用，而在診斷完成時，也應及時關閉相關的組態埠和服務。

IS-31 網路與基礎建設服務
針對網路和基礎建設服務方面，無論是自營或外包，這個控制措施要求包括安全控制、容量與服務等級，以及業務和客戶之需要，都要有清楚的文件化服務等級協議。

在ISO 27001方面，此項控制可參照附錄「A.6.2.3 第三方協議中的安全說明」，也就是在與第三方所簽定的協議與合約之中，必須明訂組織的資訊安全要求、應遵守的相關法規，以及違反時應負的法律責任等；也可參考「A.10.6.2 網路服務的安全」的內容，要求相關網路服務都需要識別其安全等級、使用程序及管理要求，包括了申請使用程序、連線方式、身分識別及所採取的加密措施等。

IS-32 可攜式與行動裝置
隨著可攜式與行動裝置使用的普及，也成為雲端資安的隱憂之一，這項控制措施是針對常見的設備包括筆記型電腦、行動電話、PDA等，以及高風險的資訊設備，都需要建立政策與作業程序，嚴格限制其有能力存取組織的敏感性資料。

在ISO 27001方面，可以參考附錄「A.11.7.1 行動運算與通訊」的要求，針對行動運算設施採取適當的安全控管，例如筆記型電腦等行動裝置採取硬碟加密，並避免留置在無人看管的地點。實務方面，雲端服務供應商也可明文禁止這一類的行動裝置可直接連接或存取與雲端有關的服務，以降低不必要的風險。

IS-33 原始碼存取之限制
對雲端服務供應商而言，應用程式或雲端資源原始碼的重要性無庸置疑，因此需要嚴格的限制原始碼的存取行為，這個控制措施是要求應限制只有職務上需要，並且已經過授權的人員才可進行，同時對於其申請存取的原因、方式和所存取的原始碼版本，都必須留下完整的記錄。

在ISO 27001方面，可以參照附錄「A.12.4.3 程式原始碼的存取控制」，針對原始碼所儲存的特定地點，建議做法包括了建立存取作業程序、設定存取權限、定期評估存放環境的安全等，即使是程式開發人員本身需要取得程式原始碼，也應事先經過授權，依照作業程序並保存相關記錄才可進行。

IS-34 工具程式之存取
針對系統的工具程式，這個控制措施要求可能越過系統、網路、物件及虛擬主機的控制行為，應該都要受到限制。對此，可參照ISO 27001附錄「A.11.5.4 系統公用程式的使用」，要求嚴格限制能夠跨越系統和既有應用服務等公用程式的使用。實務方面的建議是直接在使用者的電腦上移除這些工具，如果是系統管理人員，也需要經過授權才可使用工具程式，並且保留相關的變更記錄。

資安管理是雲端控制的基本功

在規劃有關資訊安全管理的策略時，經常會提到一個俗稱為「PPT」的思考架構，它是指人員（People）、流程（Process）和技術（Technology），也就是說在資安管理的要求方面，基本上皆會涵蓋此三個層面，包括需要依照組織營運目標與資訊安全政策，透過教育訓練來讓所有員工了解並落實其應有的安全責任；依照各單位業務屬性不同，訂立各項安全的作業流程，並留下相關的作業記錄；以及透過各項資安技術的協助，來偵測防禦可能來自內部與外部的各項威脅。

即使如今組織已採取了先進的雲端服務，這些基本的控制要求仍是不可或缺的，因為面對可能來自於內部與外部的各項風險，唯有審慎評估並提高警覺，才能夠防範於未然。換句話說，組織需要事先練好了基本功，擁有了良好的體質，才能夠有效因應各項資安事件的發生，這一點請組織管理階層務必牢記在心。(本文刊載於2013年11月號網管人雜誌)

[活動] Info Security 2014 第十三屆亞太資訊安全論壇

Sat, 15 Mar 2014 06:40:00 +0000

由資安人雜誌所主辦的資安年度盛會又來囉~ 以下是由資安人雜誌所提供的活動訊息，歡迎有興趣的朋友們一起來參加喔。

Info Security 2014 第十三屆亞太資訊安全論壇

有50場演講課程讓您親身體驗及簡易明瞭多元化的未來趨勢。高度能量的資安場合，讓您全面吸取最為豐富及精華的經驗與知識。同時現場教室外還有30家以上專業資安廠商為您示範產品的應用及說明。

歡迎免費報名參加，讓自己充電及吸取最先進的資安新知及新技術。

活動時間: 2014年3月19日(三) ~ 21日(五)
活動地點: 台北世貿南港展覽館 5樓
報名網址: http://www.secutechinfosecurity.com/14/tw/seminar_register.aspx?ff=5

活動洽詢：02-2659-9080 分機667 潘小姐
主辦單位: 資安人雜誌敬邀

[專欄] 雲端控制矩陣安全措施簡介(四) - 資訊安全管理與控制措施(2)

Tue, 21 Jan 2014 14:28:00 +0000

上一次，我們說明了雲端控制矩陣中針對資訊安全管理與控制的要求，並且解說了對應至ISO 27001的各項安全措施，由於此一項目所包含的控制措施內容較多，所以將分成三篇文章來說明介紹，本文將繼續解說在雲端控制矩陣中，有關資安管理控制的各項要求。

在雲端控制矩陣中的第五項「資訊安全」，它是整體雲端服務的管理重點，一共包含了34個控制措施。在這些控制措施之中，從高階管理階層的要求開始，同時也兼顧了技術面的安全要求，因此它能夠協助組織建立整體的資安管理架構，以強化所提供雲端服務的資訊安全，以下將說明第11至21個控制措施的要求和所對應ISO 27001標準的內容。

IS-11 資安教育訓練與宣導
從實務上來看，資訊安全的重點之一是要確保所有相關人員，都已具備足夠的安全知識來對抗可能的威脅，這個控制措施就是要求雲端服務應針對所有合約承包商、第三方的使用者和本身的員工，建立一項資訊安全教育訓練與宣導的計劃，尤其是針對有能力存取組織資料的人員，應要求其接受必要的安全訓練，並且定期地更新組織或職務有關的政策、程序及作業流程。

如果組織已導入ISO 27001標準，則可參照本文「5.2.2 訓練、認知及能力」之要求，確保和雲端服務有關的所有人員，都能接受適當的訓練以具備勝任其職務的必要能力，同時也要維持各項和教育訓練有關的記錄。另外，在附錄「A.8.2.2 資訊安全認知、教育與訓練」也提到，組織應定期依照員工所擔負的不同職務，實施一般性或專業的資訊安全教育訓練，協助員工能夠針對可能的資安事件作出適當反應，並且可採取問卷或考試評量方式，以確認教育訓練的有效性。

IS-12 業界知識與基準評價
雲端服務是一項新興的熱門產業，許多有關資訊安全的做法，不見得在所有的組織都已一一地實踐，因此，有效取得業界相關的安全訊息就顯得十分重要。這個控制措施即是要求組織應透過業者之間的從業關係、專業的安全論壇，或是有許多專家參與的協會，取得業界有關雲端安全的知識與評價方式，確保雲端服務能夠滿足業界的基準與使用者的期待。

在實務方面，建議組織可以加入業界的雲端產業聯盟，並且選派適合的人員參與定期舉辦的研討會活動。在ISO 27001則可參考附錄「A.6.1.7 與特殊利害相關團體的連繫」之要求，由於資訊安全的技術日新月異，所以組織需要經常聽取專家的意見，或是參與專業論壇以取得更新的資訊，盡可能與各種和資訊安全有關的利害團體、專家協會等，保持適當的連繫管道。

IS-13 資訊安全角色與責任
不同的雲端服務，將會有不同的人員牽涉其中，這個控制措施是要求包括合約承包商、員工及第三方的使用者，都要採取文件化方式，記錄和其相關的資訊資產和安全要求。在「ISO 27001本文5.1 (c)」中提到，管理階層應承諾建立資訊安全之各種角色與責任，另外，也可參考附錄「A.6.1.3資訊安全責任的配置」，管理階層需要指定各部門主管和個人的安全責任，並且界定各項資產的保護與作業流程，唯有執掌角色的定義清楚，才能夠履行所賦予的各項任務。

還有附錄「A.8.1.1 角色與責任」中也要求以書面的方式，說明新進人員的資訊安全責任，例如告知所需遵守的組織資訊安全政策、個人資料保護法、智慧財產權等相關規範，以及資安事件發生時的通報方式等。

IS-14 管理階層之監督
針對管理階層的責任，部門主管或經理對於所負責區域有關的安全政策、作業程序及標準要求，應負起宣導和要求共同遵守的責任。針對這項要求，ISO 27001本文「5.2.2 訓練、認知及能力」中提到，組織應確保被指定責任的管理人員，有能力去要求、評估工作人員足以履行其職務相關的各項工作，同時也要維持教育訓練、技能資格等之記錄。另外，附錄「A.8.2.1 管理階層責任」也提到，應要求員工、承包商和第三方使用者，依照組織所建立的政策和程序來履行安全事項。

在實務方面，也可參照「A.11.2.4 使用者存取權限的審查」，要求管理階層定期地針對使用者的存取權限進行正式的審查，因此，建議在存取控制政策中即明訂組織將定期（例如三個月或半年一次）在人員的職務變更之後，實施權限審查與重新配置，以維持對於資訊和系統服務存取的有效控制。

IS-15 資訊安全之權責區分
這個控制措施是要求在安全政策、流程及作業程序中，應納入實施和確保適當的職責區分要求，如果在某些情況中存在使用者角色的利益衝突，就必須要實施相關的技術控制，以消除組織的資訊資產，可能受到未經授權的更改與誤用濫用的風險。

在ISO 27001方面，可參照「A.10.1.3 職務區隔」之要求，避免某些工作職務皆由同一個人來進行(例如會計和出納)，以確保不會有人可以一手遮天，有能力侵佔款項後同時竄改紀錄。在實務方面，如果公司規模不大且人員數量不多，可能很難作到完全的職務劃分，這時候可以選擇其他的配套方法，像是妥善保存作業活動上的監視紀錄，以及經常實施獨立的安全稽核，並且配合實施人員的教育訓練等，盡可能的來降低資訊安全風險。

IS-16 資訊安全之使用者責任
除了管理階層的監督與要求之外，使用者也有其應盡的安全責任，在這個控制措施中提到，應該讓使用者意識並察覺其應有的安全責任，包括了遵守適用的法令法律與工作規定，維持一個安全的工作環境，以及離開工作區域時應妥善保護所持有的資訊資產。

在實務方面，可以參考ISO 27001附錄「A.11.3.1 密碼的使用」，要求使用者一旦獲得其系統使用的帳號密碼，在使用方面就必須按照組織要求的安全規定，像是避免使用不安全的懶人密碼，選用一定長度以上、大小寫數字混合的嚴謹密碼，並要求定期進行密碼的變更。

IS-17 資訊安全之工作區域
一般而言，工作區域屬於所有員工都要負起共同安全責任的地方，這項控制措施要求保護工作區域中可見並包含敏感資料的文件，以及所使用的資訊系統在閒置或未使用時應登出，並且也要明訂相關的安全政策與作業程序。對於此項要求，可依據ISO 27001附錄「A.9.1.5 在安全區域工作」，對於組織所劃分出的安全區域，制訂所需的安全工作規則，並對員工提供適當的說明，依職務了解其可以進行的相關活動。

此外，對於需要使用的無人看管設備，可依照「A.11.3.2 無人看管的使用者設備」來要求實施適當的保護，例如一些公共區域使用的電腦，在一定閒置時間或結束使用時會強制終止其現有連線，或是設定有密碼保護的螢幕保護程式，以避免受到未經授權的使用。

IS-18 資訊安全之加密
在雲端服務之中，資料本身的安全防護是無法忽視的重點，這個控制措施是要求對於儲存在資訊設備或媒體中的資料(例如檔案伺服器和行動裝置)，以及跨越不同系統或公用網路的資料傳輸時，必須依照訂定的安全政策與作業程序來實施加密。

對此，可參照ISO 27001的「A.10.8.3運送中的實體媒體」，要求對於含有敏感資訊的媒體，在進行運送時需要依照安全程序來進行，例如確認運送人員的身分、保留運送過程的紀錄、使用安全的運送方式等。另外，也可參照「A.10.9.2 線上交易」，在網路連線過程中採用SSL加密機制或其他的加密通訊管道，必須使用安全的通訊協定，以避免所傳輸的資訊會受到來自其他公眾網路的存取。

至於加密的政策方面，可參考「A.12.3.1 使用加密控制措施的政策」，針對與營運或是個人隱私有關的敏感資訊，依照組織的風險評鑑結果，制訂統一的加密政策，說明將會採取何種加密技術或控制方法來保護這些資訊。例如包括智慧型手機等行動裝置，或是可移除式的媒體像是行動硬碟、隨身碟等，針對這些設備的使用、授權方式及加密作法，都應該在相關政策或作業程序中加以說明。

IS-19 加密之金鑰管理
為了確保組織的加密機制能有效落實，這個控制措施是要求建立金鑰管理的相關政策和作業程序，實務方面可參考ISO 27001附錄「A.10.7.3資訊處置程序」，要求在組織之中，只要是和營運活動相關或敏感性的資訊需要處理，就應該建立其處理和儲存程序，以確保資訊不會受到不當的揭露和誤用。

另外，也可參照附錄「A.12.3.2 金鑰管理」，要求在金鑰管理的生命周期中，從金鑰產生、分派、儲存、更新、廢止到銷毀等，都要有完整的作業程序作為基礎，同時，只要是和金鑰有關的作業活動，都需要保留完整的記錄，以便進行後續的安全稽核。

IS-20 弱點與漏洞修補管理
針對應用系統和網路設備可能的安全弱點，這個控制措施要求應基於風險管理的作法，定期地評估並且及時地採取修補行動，以降低可能的安全風險，相關的實施作法，也應明訂在安全政策和作業程序之中。

在ISO 27001方面，可以參照「A.12.6.1技術脆弱性控制」的內容，要求組織能夠及時取得和弱點有關的資訊，並採取對應行動來降低因被公開的安全弱點而遭受到不必要的攻擊。實務的作法為建立一份完整的資訊資產清冊，詳細記載應用系統和網路設備的相關資訊，例如版本、廠商、部署狀態、負責人員等，並與廠商保持溝通連繫，以掌握可能的安全風險與現況。至於在作業程序方面，可參考「A.12.5.1 變更控制程序」，針對資訊系統的變更，必須制訂正式的變更程序才可進行，並且要求整個修補的過程，都需要有適當的監控並且留下記錄。

IS-21 防毒程式與惡意軟體
針對常見的病毒事件，這個控制措施是要求必須確保所有的防毒程式，都有能力去偵測、移除、保護未知的惡意攻擊，並且需要在每12個小時內，更新防毒程式的病毒碼。

在ISO 27001方面，則可參照「A.10.4.1 對抗惡意碼的控制措施」，在系統上安裝防毒軟體並定期地更新病毒碼，以確保防毒軟體能夠有效運作。此外，在政策方面，可要求使用者不可任意自網路下載未經授權的軟體並進行安裝，也要實施教育訓練讓使用者有足夠的安全認知，降低來自網路和電子郵件等惡意程式的入侵風險。(本文刊載於2013年10月號網管人雜誌)

[專欄] 雲端控制矩陣安全措施簡介(三) - 資訊安全管理與控制措施 (1)

Sun, 15 Dec 2013 13:46:00 +0000

上一次介紹了雲端控制矩陣針對設備場所與人力資源的要求，並一一說明了其對應ISO 27001的安全控制措施，接下來將繼續說明在雲端控制矩陣中，第五項控制區域有關資訊安全的各項要求。

在雲端控制矩陣之中，擁有最多項控制要求的控制區域，無庸置疑的就是第五項「資訊安全」，在這裡一共包含了34個控制措施。在這些控制措施之中，從高階管理階層的要求開始，一路走到了技術面的安全要求，基本上已涵蓋了組織整體的資訊安全管理架構，分別說明如下。

IS-01 資訊安全管理計畫
這個控制措施是要求針對資產的保護，必須防止未經授權的存取、揭露、修改、銷毀，以避免資料的外洩與誤用。因此，組織在經過管理階層的核可之後，需要建立一項資訊安全管理計畫(ISMP)，實施的範圍包括了管理面、技術面和實體環境面的安全措施，計畫的內容也應與組織的業務直接相關，它包括但不限於如風險管理、安全政策、組織資訊安全、資產管理、人力資源安全、實體與環境安全、通訊與作業管理、存取控制，以及資訊系統取得、開發與維護等。

如果雲端服務供應商已導入ISO 27001標準，則可參照本文「4.2 建立與管理ISMS」之要求，將雲端服務一併納入至ISMS的範圍之內，至於可參考的控制措施，則包括了「A.6.1.1–A.6.1.8」等，主要是針對內部組織來建立相關的資訊安全角色與責任。

IS-02 管理階層支持與涉入
這個控制措施是要求管理階層和直屬主管，應透過清楚且文件化的指示和承諾，明確地指派任務，並且確認任務執行後的情況，採取正式的行動來展現對於資訊安全的支持。在實務方面，有關資訊安全政策的更新，都應該要經過管理階層的簽署同意，並且分發告知所有的員工，員工則必須清楚地知悉之後來共同遵守。

另外，也可參照ISO 27001的本文「5. 管理階層責任」，以及附錄「A.6.1.1管理階層對資訊安全的承諾」中所提到，管理階層的支持是資訊安全管理制度能有效運作的重要關鍵因素，因此這項控制措施強調管理階層應該要在組織中，明確地指派並確認人員的安全責任，主動地支持各項安全工作，並提供所需要的資源。

IS-03 資訊安全政策
這個控制措施是要求管理階層應核可一份正式的資訊安全政策，並且發佈給全體員工、合約承包商和相關的外部夥伴知悉。在這份資安政策中，應建立明確的組織方向，並且和產業所適用的法令法規、業界的最佳實務相結合，同時資安政策也需要被組織的管理策略與領導計畫，以及明確定義人員角色的資安計畫所支持。

實務方面，可依據ISO 27001附錄「A.5.1.1資訊安全政策文件」，要求資訊安全政策應經由管理階層的核准，並且公布傳達給所有員工和相關的內外部團體知道。在這份資訊安全政策中，主要是傳達管理階層對於資訊安全的支持，確保資訊安全與組織營運目標的一致性，同時說明資訊安全的重要性、實施範圍、要求與目標，以及相關人員的職責。其中關於目標的部份，最好以量化的方式說明，例如為確保相關資安措施符合法令與法規的要求，組織每年應至少實施兩次的資訊安全內部稽核。

IS-04 資訊安全基準線之要求
在這個控制措施中提到，資訊安全之基本要求應被建立，並且實施在應用程式、資料庫系統、網路基礎設施的設計與部署，同時也要求資訊的處理必須遵守政策、標準和適用的法規要求。資訊安全基準線要求和法規遵循，至少每年一次需要進行重新評估，此外，在組織有重大變更時也應該要重新審查。

針對這項要求，可參照ISO 27001「A.12.1.1安全要求分析與規格」，要求在一開始評估規劃資訊系統時，就要將安全項目納入其中，除了從管理面進行風險分析之外，在技術面需要考量的項目包括系統是否具有可自動運作的控制措施，能夠偵測出系統的異常情況，或是具有輔助性的人工控管方法，可進行參數的調整來增加安全的強度。以及也可參照「A.15.2.2 技術遵循性查核」，要求定期採取技術性方式來查核各項資訊系統，例如組織可以使用自動化工具，針對網站進行弱點掃描，或採取手動方式，針對系統進行滲透測試，再提出網站的安全改善報告。特別要注意的是所有技術性的查核過程，都務必要事先取得授權，並且在適當的監督和記錄下，由專業人士來實施，以避免引起其他不必要的問題。

IS-05 資訊安全政策之復審
這個控制措施是要求管理階層應當在計畫的期間之內，或是當組織有變動時，重新審查資訊安全政策，以確保其持續的正確與有效。在實務方面，資安政策的復審期限應以不超過一年為限，並且在遇有重大事件或組織變動時，也需要額外進行重新審查。

在ISO 27001方面，可以參照「A.5.1.2 資訊安全政策之審查」之要求，若發生重大變更時，需要進行資訊安全政策的審查，以確保內容持續地適用且充分有效。這也就是說，資訊安全政策不單單只是一份宣示性的文件，而是必須配合組織環境、業務型態、法律合約要求和技術更新等事項，進行持續的修訂與發行，因此這一項控制措施的重點在於，組織可能會對政策內容進行修改，但也不要忘了更改內容之後，需要重新取得管理階層的核准，並且留下相關的審查記錄才行。

IS-06 資訊安全政策之執行
針對違反資訊安全政策和程序的員工，應建立正式的懲戒或獎懲政策，同時也必須在政策和程序中陳述說明，讓員工能夠知曉若違反規定時，可能會面臨的懲處行動。

實務方面，如果發現了不當的行為，就要引發後續的調查行動，若發現屬實則要給予相關人員適當的懲處，在嚴重時甚至可終止工作合約，並交由人力資源部門進行後續的協調傳達。若是依據ISO 27001之要求，則可參考「A.8.2.3 懲處過程」中提到對違反安全的員工，應有正式的懲處過程。這項控制措施的重點，在於組織是否公布懲處的程序與方式，是否以正確、公平的方式蒐集客觀的證據，以證明員工違反安全規範，對於嚴重的不當行為，也可允許管理人員解除其職務，或要求其離開辦公作業場所。

IS-07 使用者存取政策
針對應用程式、資料庫、網路基礎設施的正常權限與特殊權限的指派，應建立文件化、經核可後實施的存取政策和程序，並且與商業、安全、法規遵循及服務等級協議(SLA)之要求維持一致。一般而言，存取政策是廣泛安全政策中的一部份，對於資產的存取應基於僅知原則(need to know)和最小權限原則，並且實施基於角色的存取控制作法，尤其對於實體存取與邏輯上的控制，也需要保持一致。

對於此項要求，可參考ISO 27001中的「A.11.1.1 存取控制政策」要求，依照營運相關的存取安全要求，建立文件化的存取控制政策，並且在這項政策中明確說明每位使用者和使用群組，應該要如何去配置其應有的存取權限。而這些存取權限的考量，則可能來自於本身的職位高低或所接觸資訊的安全等級，以及對組織整體的營運風險考量。

基本上，在組織之中的存取控制措施，將會牽涉整個存取授權的流程，包括如何提出授權的請求、如何審查並賦予權限，以及不需使用時的權限如何移除等。因此在實務方面，我們建立存取控制規則時，必須掌握一個原則，那就是「除非允許，否則一律禁止」，這項原則可以應用在實體環境的門禁管制，或是邏輯上的防火牆存取規則，這樣將可大幅降低不當的存取設定可能帶來的風險。

IS-08 使用者存取限制與授權
這個控制措施是要求對於擁有正常或特殊權限的使用者，在存取應用程式、系統、資料庫、網路配置和敏感資料時，相關功能必須要加以限制，並且事先取得管理階層的授權。對此，可參照ISO 27001的「A.11.2.1 使用者註冊」，要求所有的使用者在獲得存取資訊的權限之前，必須經過正式的使用者註冊程序，換句話說，若不再需要存取資訊時，也必須經過適當的註銷程序，撤銷其所具有的存取權限。在實務方面，最常見的作法是讓使用者透過表單流程來進行申請，在通過審查核可之後，賦予其一個唯一的識別帳號(User ID)，藉此來管控並留下使用者存取資訊的記錄。

另外，也可參照「A.11.2.2 特權管理」，針對如系統開發人員和系統管理人員等，這些擁有和一般使用者不同的特殊權限人員，要求必須限制和控管特權的配置與使用，實務上最簡單的作法就是特權申請需要經過管理階層的授權，並且留下相關記錄。另外，特權的使用也要明訂相關的作業辦法，使用的過程也要保存其系統記錄(log)。

IS-09 使用者存取之撤銷
這個控制措施是要求需要依照員工、合約承包商、客戶、商業夥伴和第三方的情況，及時地解除、撤銷或修改使用者有能力存取組織的系統、資產和資料。所有的變更都必須包含在員工的職務、合約或協議的終止，以及員工聘雇的更動或轉職時的流程進行。

對此，可參照ISO 27001的「A.8.3.3 移除存取權限」控制措施，針對人員的轉調、離職或合約終止，需要確保其使用資訊系統的存取權限已進行適當變更，實務上建議在人員離職日起即暫時凍結使用者帳號，等待確認相關資訊與權限已移轉完成之後，再將其帳號和權限移除。

IS-10 使用者存取之審查
這個控制措施是要求所有的使用者權限，都要在所規劃的一定期限內，由管理階層進行審查。對於違反存取規定的情況，也要依照文件化的存取控制政策和程序，進行後續的矯正行動。

在ISO 27001方面，則可參照「A.11.2.4 使用者存取權限的審查」的作法，要求管理階層需要定期針對使用者的存取權限進行正式的審查，因此實務方面建議在存取控制政策中即納入組織將定期(例如三個月或半年一次)在使用者的職務變更之後，實施權限審查與重新配置，以維持對資訊和系統服務存取的有效性控制。(本文刊載於2013年9月號網管人雜誌)

[專欄] 雲端控制矩陣安全措施簡介(二) - 評估設備場所與人力資源安全

Sat, 16 Nov 2013 01:29:00 +0000

上一次我們介紹了雲端控制矩陣(CCM)針對法規遵循與資料治理的要求，並一一說明了對應的安全控制措施，接下來將繼續說明控制區域中的第三項設備場所安全，以及第四項人力資源安全的各項控制做法。

對雲端服務供應商而言，如果已經導入並取得了ISO 27001資訊安全管理系統的認證，那麼將相關的資訊安全控制要求，也涵蓋到所提供的雲端服務範圍之內，將是組織最容易強化雲端安全的做法。

目前，在雲端控制矩陣中的每一項控制措施，都可直接對應至ISO 27001的標準，因此建議組織將ISO 27001標準的實務做法，回應至雲端開放認證架構的第二層要求，在未來若想要通過第三方的獨立稽核時，就可達到事半功倍的效果。

設備場所安全之控制措施

雲端控制矩陣的第三項控制區域是有關設備與場所安全的要求，它一共包括了8個控制措施，分別說明如下。

FS-01 設備場所安全政策
這個控制措施是要求對於辦公室環境、資訊設施及安全區域，必須建立相關的安全政策與作業程序，以維護這些設備場所的安全。實務上可行的做法是對於場所的進出都要有適當的管控，例如必須使用門禁卡，要求所有訪客必須登記並配載識別證才可進出等。

如果雲端服務供應商已導入ISO 27001標準，則可參照「A.5.1.1安全政策」的要求，說明資訊安全的重要性與實施場所範圍，經由管理階層核准之後，公布傳達給所有員工和相關人員；並依據「A.9.1.3保護辦公室、房間和設施安全」的控制措施，對於重要的資訊處理設備，應避免放在公眾可觸及的地方；或參照「A.9.1.5在安全區域工作」的要求，制訂在安全區域內的工作規則，例如除非經過授權，才可在安全區域使用照相機、錄音錄影等設備，尤其敏感區域可視需要禁止攜入可拍照的手機，並對員工提供適當的說明。

FS-02 設備場所安全之使用者存取
這個控制措施是要求針對資訊資產的實體存取，應依相關人員的職務和支援上的需要，進行適當的限制。實務上建議的做法，可依據人員的職務賦予所需的最小權限，限制只有必要的人員才可進入安全區域，並且實施多因素的身分驗證機制。

另外，也可參照ISO 27001標準「A.9.1.1實體安全邊界」的要求，藉由圍牆、門禁刷卡系統、或是大門設置接待人員，來保護區域內資訊與資訊處理設備的安全；或依據「A.9.1.2實體進入控制」，當訪客要進入辦公處所時，應該在接待櫃台進行登記，並記錄進入和離開的日期和時間，同時也要求其配戴訪客識別證，即使是在同一棟大樓裡活動，樓層入口也應有適當的管制，像是刷卡才可進入。若要進入資訊機房，更必須要事先獲得授權且有人員陪同，告知並要求其遵守有關資訊安全的規定。

FS-03 設備場所安全之存取點控制
這個控制措施是要求實體環境的安全邊界，必須要有清楚的劃分，並且針對敏感資料和資訊系統實施安全的保護。

實務方面，建議雲端服務供應商可以對關鍵的資訊系統，包括從進入時的門禁管制，到存取系統時的多因素身分認證(以帳號密碼並搭配如指紋等生物辨識方式)，實施多重的存取控制。或是依據ISO 27001附錄「A.9.1.1實體安全邊界」的要求，在劃分公共區域與安全區域時，依照所評估的風險等級來決定所實施的控制措施，例如內部專用的會議室與提供給訪客的休息區，在控管的程度一定有所不同，不一定都要強制採刷卡方式才能進入；而辦公區域的大門，一般都會設有門鎖，或是經過保全人員確認身分之後才可通行；公共進出的通道則要採取明顯的標示說明，針對無人的區域則設置防盜系統或監視器等。

FS-04 設備場所安全之安全區域授權
這個控制措施是要求針對場所的入口和出口，必須限制只有經過授權的人員才可進出，並且具備安全的監控措施。建議雲端服務供應商可以配合FS-03的要求來一併進行，也可參照FS-02中所提到的ISO 27001標準「A.9.1.2實體進入控制」，在所有的進出管道，進行人員身分的確認。

FS-05 設備場所安全之未授權人員入口
這個控制措施是要求對於雲端服務區域中，所有未授權人員可能進出的管道，需要實施安全監控，如果可能的話，針對資料儲存設備與處理的設施，也要進行隔離和限制，以避免不當的資料遺失或外洩。

在實務方面，除了同樣可以依照FS-03的控制要求來進行之外，也可依據ISO 27001標準的「A.9.1.6 公眾存取、遞送和裝貨區域」，要求辦公處所若需要收發或裝卸物品，則設置收發室櫃台來統一收件，不讓外部人員可未經控管就能直接進入，若相關物品卸載之後需要移至使用的地點，也可設置廠商設備的檢查區及裝卸區，經過適當的檢查之後才放行。

FS-06 設備場所安全之外地授權
為了確保在組織之外的場所，相關的軟硬體設備和儲存的資料也能獲得安全保護，這個控制措施要求當設備和資料需要移至外地時，必須事先獲得管理階層的授權。實務方面，在FS-01的設備場所安全政策中，就要定義包括設備和資料移轉，以及資產變更管理的要求。

若依據ISO 27001標準，則可參考「A.9.2.7資產的調動」要求，在資產的使用與調度方面，所有的資訊設備、軟體，相關物品的攜出和攜入都需要事先授權；以及參照「A.10.1.2 變更管理」，除了所有變更事項都要取得主管的授權之外，特別要注意的是務必保存相關的變更紀錄，包括作業核准的程序、重大變更事項的識別和紀錄、變更規劃與測試計畫，以及萬一在變更不成功時，如何中止並進行復原的程序等。

FS-07 設備場所安全之外地設備
針對位於組織外的場所和設備，這個控制措施要求必須要有相關的政策，並且規範資產的使用、維護和安全處置的程序，以確保相關設備的安全。對於此項要求，可依據ISO 27001標準中的「A.9.2.5 場所外設備安全」，要求組織的資訊設備，在攜出辦公場所外使用時，應注意其在不同場所可以面臨的威脅與安全風險。例如筆記型電腦在外部使用時，小心可能遭竊的問題，避免留置在遠離視線可及之處，在技術方面也可使用硬碟加密，以強化敏感資訊的安全。

另外，目前普遍使用的智慧型手機、USB隨身碟等，也要訂立相關的使用辦法，並訓練員工能夠理解並遵守，以避免不當的資料遺失或外洩。對於設備的處置，則可參照「A.9.2.6 設備安全的處置和再利用」，要求資訊處理設備在轉移給其他單位或重新交由其他員工使用時，所儲存的資料和安裝的應用軟體都要清除。針對要汰換的硬碟等儲存設備，如果曾經存放過敏感資料，建議採取實體破壞的方式，以避免資料可能再次被還原。

FS-08 設備場所安全之資產管理
針對重要的資產，這個控制措施要求應建立文件化的資產清單，並且指定資產的擁有者。對此，可參照ISO 27001標準「A.7.1.1 資產清冊」的要求，清查盤點和雲端服務有關的資產，實務方面在進行盤點時，建議事先設定資產的類別，例如區分為資訊類（電子檔、紙本）、人員類（內部、外部）、軟體類（套裝、自行開發）、實體類（電腦設備、辦公處所）、服務類（電力、網路）等，仔細清查每一筆資產的型式、位置、數量、擁有者、使用者、保管者和營運價值，最後彙整成一份組織的資產清冊，並依據「A.7.1.2 資產的擁有權」的要求，指定實際上能夠控制資產的處理、發展、使用和安全的個人或部門作為擁有者，要求負起資產的保管責任。

人力資源安全之控制措施

對公有雲端服務的使用者來說，雲端服務就是一項委外服務，也就是必須將組織的資料或應用系統架構在雲端服務供應商所提供的環境之中，因此有一項風險會來自於服務供應商的人員，因為具備了存取或接觸資料的管理權限，如果沒有實施適當的安全控制，就可能危害到重要資料的安全。

在雲端控制矩陣的第四項控制區域，主要就是針對雲端服務供應商的員工和利害關係人，要求實施必要的安全管控，以確保雲端服務的安全，在此共有3個控制措施，分別說明如下。

HR-01 人力資源安全之背景審查
這個控制措施是要求依照當地的法令和合約要求，針對包括雲端服務供應商的應徵者、合作夥伴與相關的第三方人員，依據其可能接觸機密資料的比例、業務要求及可接受的風險等級，進行適當的背景查核。

建議雲端服務供應商可參照ISO 27001標準的「A.8.1.2篩選」控制措施，針對這項要求制定人員篩選的作業程序，說明將由何人、何時、何種方式來進行查核確認的工作。在進行背景審查時，則務必徵求應徵者本人的同意，並遵守個人資料保護法及隱私權的要求，再針對像是人員的學經歷資料、專業資格及信用記錄等進行查核。

HR-02人力資源安全之聘僱協議
這個控制措施是要求在賦予人員對於場所設施、系統或資料的實體或邏輯上的存取權限之前，必須簽署與聘僱關係或服務合約相關的協議和使用條款。在實務方面，雲端服務供應商可以在聘僱合約中加入保密協議的要求，並且對人員實施基礎的資訊安全意識的教育訓練，再依照其職務角色或可接觸的機密等級，個別實施必要的安全訓練。

針對保密協議，則可參照ISO 27001標準「A.6.1.5 機密性協議」的作法，定期地識別並審查對各項資訊保護的要求，評估協議的內容是否適當，再將它納入需要簽署的保密協議之中。至於聘僱合約則可依據「A.8.1.3 聘僱條款與條件」，事先擬定必要的資訊安全條款與保密切結書等文件，並向相關人員說明，取得其同意和簽署之後，才可授權讓其存取組織的資料和使用資訊處理設施。

HR-03人力資源安全之聘僱終止
這個控制措施是要求針對員工的聘僱終止或聘僱程序的異動，應指派相關人員的角色與責任，保持良好的溝通並且留下文件化的記錄。在實務方面，一旦雲端服務供應商有人員職務終止的情況，就必須依照人力資源政策中的相關流程來進行，至於在客戶方面，則由其對自己所創建的使用者帳戶負責管理。

在ISO 27001標準中，可依照「A.8.3.1 終止責任」的做法，針對人員的轉調或離職，指定專責的單位和人員來處理，一般而言，可藉由人力資源部門來進行相關人員的終止程序，以確認符合了聘僱條件與合約的要求。(本文刊載於2013年8月號網管人雜誌)

[活動] BSI年會 - 雲端安全STAR認證正式開跑

Tue, 12 Nov 2013 14:30:00 +0000

今天參加了連續第十年舉辦的英國標準協會(BSI)年會，現場依舊是人潮滿滿、座無虛席。本次年會的重點在於說明有關ISO 27001:2013的更新內容，以及BSI與雲端安全聯盟(CSA)所合作推動的STAR認證。

ISO 27001的更新，基本上和FDIS的內容差不多，所以我就不多說了，目前BSI也已經開始提供新版的訓練課程，至於轉版課程可能還要再等等。對我而言，最讓我感到有興趣的，其實是BSI對於雲端安全成熟度的評估方法，這將會決定想要取得STAR認證的雲端服務供應商，如何獲得其績效得分與獎牌。

關於STAR認證

在2013年9月25日，CSA和BSI正式宣布推出STAR認證(STAR Certification)，這項認證結合了ISO 27001管理系統標準的要求，藉由實施雲端控制矩陣(Cloud Control Matrix；CCM)，再以成熟度評估的方式來量測雲端服務的安全水準。

對雲端服務供應商來說，想要取得STAR認證，需要具備以下三個條件：
1. 已取得ISO 27001認證
2. 導入CCM的安全控制要求
3. 已達到成熟度評估的水準

因此，雲端服務供應商必須確認其所提供的雲端服務，已在ISO 27001認證的範圍之內，然後實施CCM的安全控制要求，以CCM v1.4而言，它涵蓋了法規遵循、資料治理、設施及場所安全、人力資源安全、資訊安全、法律議題、營運管理、風險管理、發行管理、回復能力和安全架構等11項控制領域，其中包括了98個安全控制措施，這些控制措施都可參照ISO 27001本文和附錄A的內容，彼此達到互補的功能。

關於雲端安全成熟度

如果組織對自己的雲端安全管理有信心，接下來就可以請BSI來實施獨立的第三方驗證，BSI將以成熟度評估方式，針對CCM的11項控制領域，分別依據以下五個管理能力來進行評分:

溝通和利害關係人的參與
政策、計劃、程序及系統化方法
技巧和專業能力
負責態度、領導能力和管理
監控與量測

針對每一個控制領域，BSI都會依據5個管理能力進行成熟度量測和評分，以「政策、計劃、程序及系統化方法」的管理能力為例，其評分的準則如下。

無正式實施方法(1-3分) : 指沒有證據顯示在營運和管理方面，針對服務的存取、身分識別、權限的指派已有相關的作業程序。

被動式實施方法(4-6分) : 指證據僅顯示在營運和作業流程方面，每當作業方式變更時，相關文件化的程序才會隨之改變。

主動式實施方法(7-9分) : 指組織已採取文件化的計畫方式，並涵蓋了所有控制領域。

持續改進實施方法(10-12分) : 指有證據顯示針對營運持續議題，以及可能的安全事件，加以識別並且實施了風險分析。

最佳化實施方法(13-15分) : 所有的政策、作業程序及計畫發展，皆與營運策略維持一致。

最後，每一個控制領域的得分會加以平均，若平均得分為3~6分，可取得銅牌；6~9分則為銀牌；9分以上則可獲得金牌。一旦獲得了STAR的獎牌，雲端服務供應商就可展現給客戶，以達到市場的區隔並建立口碑。

根據BSI表示，目前全球已有三個組織正式取得了STAR認證，英國兩家為惠普(HP)與脈動(Pulsant)，亞洲一家是阿里巴巴，三家都取得了銀牌。預計在2014年第二季，台灣預計也會有2~3家取得這項認證。所以，雲端服務供應商可藉由STAR認證來展現自己的安全成熟度，以贏得客戶的信心；而消費者也多了一項管道，可以得知所選擇的服務廠商，是否有足夠的能量來確保資訊安全，這對雙方來說的確是一項福音。

資料來源 : CSA官方網站、BSI英國標準協會

[專欄] 自我評估雲端服務安全 - 雲端控制矩陣安全措施簡介(一)

Mon, 11 Nov 2013 12:24:00 +0000

如果您想要了解雲端服務供應商的安全水準，藉由雲端安全聯盟所提出的雲端開放認證架構(OCF)，可以作為在選擇服務廠商時的參考，因此這對於廠商而言，確實了解雲端控制矩陣(CCM)的要求，並且回應已實施的安全控制措施，就顯得十分重要。

上一期我們介紹了雲端安全開放認證架構(Open Certification Framework；OCF)，它是一個可以用來評估雲端服務供應商的安全認證標準，在其所要求的三層式架構中，第一步就是要自我描述各項針對雲端服務的安全要求和因應措施，然後將它傳送到CSA的註冊管理單位(STAR Registry)進行審查，在此一層次中，除了使用自我評估問卷(Consensus Assessments Initiative Questionnaire；CAIQ)之外，直接採用雲端控制矩陣(Cloud Controls Matrix；CCM)所要求的安全控制，更可為第二層需要面對的外部稽核，預先做好準備。

雲端控制矩陣是雲端安全聯盟設計作為評估雲端安全的基礎，也是建議雲端服務供應商可以採用的最佳實務作法，它可歸納為十一項控制區域(Control Area)共98個控制措施，並且也能對應到其他的標準法規要求，包括COBIT 4.1、HIPPA/HITECH Act、ISO 27001、NIST SP800-53、FedRAMP、PCI DSS v2.0、AICPA Trust Service Criteria等，導入雲端控制矩陣的目的，就是希望能夠幫助需要遵守許多不同法規的廠商，減輕必須重複實施的相關工作。

對雲端服務供應商而言，若想要符合雲端安全開放認證架構，就必須在CAIQ問卷或雲端控制矩陣的控制區域中，一一具體回應填寫已實施的作法與現況，所以接下來一系列的文章，將會解說雲端控制矩陣中所要求的控制區域，並且搭配ISO 27001標準的實務做法，以協助您能夠有效回應雲端開放認證架構之要求。

法規遵循之控制措施

雲端控制矩陣的第一項控制區域是有關法規遵循的要求，它一共包括了6個控制措施，分別說明如下。

CO-01 稽核計劃
這個控制措施是要求專注在資料複製、存取和儲存邊界限制等相關的稽核計劃、活動和實施項目，應被設計用來降低業務流程中可能發生中斷的風險，因此這些稽核活動必須要提前規畫，並且獲得利害關係人的同意。對此，實務上可回應的做法為經由內部稽核或資安小組來擬定每年需要實施的稽核計劃，呈交給管理階層審查以獲得同意，然後定期實施並產出稽核報告，再針對不符合事項進行追蹤改善，以降低可能的資料安全風險。

如果雲端服務供應商已導入ISO 27001標準，則可參照本文的「4.2.3 監督與審查」所要求，將利害關係人的建議納入定期審查，以及依所規劃時間來實施內部稽核等作法，作為此控制要求的回應內容。

CO-02 獨立稽核
這個控制措施是要求至少每年一次或定期進行獨立審查和評鑑(例如內稽/外稽、驗證、弱點和滲透測試)，以確保符合了相關政策、程序、標準和適用的法規要求。實務建議的做法為可參照ISO 27001標準的要求，定期進行內部稽核，並由獨立的外部驗證公司進行審查，或是由外部定期進行弱點掃瞄或滲透測試，實施技術性的獨立查核。

CO-03 第三方稽核
這個控制措施是要求第三方服務供應商，在資訊安全、機密性、服務定義和交付協議及合約中，展現出已遵守相關的法規，同時第三方的報告、記錄和服務，也應當接受定期的稽核與審查，以確保符合服務交付協議所要求的法規遵循。

在實務方面，建議雲端服務供應商可以在與第三方的合約中，明確要求有權定期實施第三方的稽核，或是依據ISO 27001附錄「A.6.2.3第三方協議中的安全說明」，也就是在與第三方所簽定的協議與合約之中，明訂組織的資訊安全要求、應遵守的相關法規，以及違反時需要負起的法律責任等。

CO-04 合約與授權之維護
這個控制措施是要求應按照組織業務和客戶需求，符合相關法律、法規和合約規定，並與當地的政府機關保持聯繫；另外，針對資料、應用程式、基礎設施和硬體，必須確立其適用的法律和管轄權。建議雲端服務供應商可以指定特定人員作為法律問題和執法當局的聯絡窗口，並且與法律顧問、特定廠商、技術論壇等人員保持聯繫，以便必要時可請求其提供支援。

對此，也可參照ISO 27001標準「A.6.1.6與權責機關的聯繫做法」，擬定適當的作業程序，說明何種事件需要由何人進行通報，包括了哪些需要連繫的權責機關，以及參考「A.6.1.7與特殊利害相關團體的連繫」，平時就要與各種團體、專家協會等保持適當的連繫管道。

CO-05 資訊系統法規對照
這個控制措施是要求法律、法規和合約之要求，在所有資訊系統的元件中都應定義清楚，而組織用來符合已知的要求和新的命令的方法，也應被明確地定義、文件化及更新。這裡所提到的資訊系統的元件，可能包括了資料、物件、應用程式、基礎設施和硬體等，每個元件都可能會被分配到其適用的法律和管轄權，以便與法規進行對照。

在實務做法上，建議雲端服務供應商可以在服務描述中，說明本身所適用的法令和所屬的管轄區域，並且定期審查是否有新的法令或更新的要求。在ISO 27001標準方面，則可參照包括：「A.15.1.1識別適用的法條」，將適用的法律識別出來，並在內部的管理程序中，清楚明訂其要求；「A.15.1.3組織記錄的保護」，評估究竟有哪些記錄需要留存，需要採取什麼樣的安全措施，考量如何記錄、存在地點、存放型式、加密方式和存取權限等；「A.15.1.4個人資訊的資料保護與隱私」，依照個資法對於個資蒐集、處理和利用的要求，在作業辦法中加入符合法律的措施；「A.15.1.6加密控制措施的規定」，確認在資料保護上所使用的加密機制，已遵守當地國家法令的要求，並了解這些可實施加密的設備，是否會有進出口的限制。

CO-06 智慧財產權
為了保護智慧財產權，這個控制措施要求必須建立和實施相關的政策、流程和程序，並且透過法律管轄權和合約限制，以保障組織專有軟體的使用。在實務方面，可宣導並要求所有員工必須遵守智慧財產權法，同時確認所有的軟體均有合法的授權。

依據ISO 27001標準，則可參照「A.15.1.2智慧財產權」，要求組織必須確保所使用的資料和軟體，不會涉及違反智慧財產權的法律要求，並建立適切的管理程序。舉例來說，組織可在管理程序中明訂購置軟體的方式和原則，說明為尊重智慧財產權，內部一律使用合法授權的軟體，並嚴禁非法下載音樂、影片和未授權的軟體，同時也為合法軟體建立一份軟體清單，並且定期清查以避免違法的情事發生。

資料治理之控制措施

雲端控制矩陣的第二項控制區域，主要是針對雲端服務供應商所擁有的資料，要求建立相關的政策和作業程序，以確保雲端資料的安全，在此一共有8個控制措施，分別說明如下。

DG-01 擁有權和管理職責
這個控制措施是要求所有的資料都應被指派定義、記錄和溝通其管理職責。實務上最簡單的做法，就是建立一份資訊資產清冊，註明資料所在的位置、安全等級和擁有者，然後定期的重新檢查更新。

雲端服務供應商也可參照ISO 27001標準中包括：「A.6.1.3資訊安全責任的配置」，由管理階層指定各部門主管和個人的安全責任，並且界定各項資產的保護與作業流程；「A.7.1.2 資產的擁有權」，在資產清冊中，為每筆資訊資產指定其擁有者，這裡所謂的擁有者，並不是指對於資產本身擁有財產權，而是指實際上能夠控制資產的處理、發展、使用和安全，也就是對資產負有管理職責的個人或部門。

DG-02 分級分類
這個控制措施是要求針對資料本身和物件中所包含的資料，應基於資料類型、司法管轄權、所在地法律、合約要求、價值、對組織的敏感性和重要性，以及第三方對於資料的保存與防止未經授權的揭露責任，指定其安全等級。

在實務方面，雲端服務供應商可以自行定義其資料分級分類的做法，或是參照ISO 27001標準「A.7.2.1 分類指引」，將資料依照其對組織的價值、法律要求、敏感性和重要性進行分類，但是，建議資訊的分類不宜過多，以避免太過複雜而造成各業務單位實施的困擾。

DG-03 處理/標示/安全政策
這個控制措施是要求針對資料本身和物件中所包含的資料，應建立標示、處理和安全的政策和程序，必須對於保有資料的容器實施標示的繼承機制。建議實務作法為進行資料分級和標示，撰寫所需的安全指引手冊，或是參照ISO 27001「A.7.2.2 資訊標示和處理」，發展和定義組織的資訊處理標示和分類方法，例如在文件上面可標示其所屬的機密等級，或是標示在電子資料的meta-data之中。

DG-04 保留政策
這個控制措施是要求應建立資料保留和儲存的政策和程序，並且實施備份和備援機制，以確保符合管理、法律、合約或業務的要求，針對備份還原的測試，也必須依所規劃的時間來實施。在實務方面，除了建立備份政策和程序之外，雲端服務供應商可採取異地備援和持續同步備份等方式，以確保所儲存的資料安全，也可參照ISO 27001標準「A.10.5.1 資訊備份」，針對資料本身不同的屬性，定義出不同的備份方式如完整備份、增量備份、差異備份等，並且考量實施備份的頻率，像是每年、每月、每週、每日等，以確保資料擁有多重的防護。

DG-05 安全處置
這個控制措施是要求為達成安全處置和徹底移除儲存媒體中曾存放的資料，必須建立相關的政策、程序和做法，確保資料不會被以其他方式復原回來。在實務方面，對於不再使用的儲存媒體，可採取實體破壞方式，使其不可能被還原回來，處置的過程也要妥善地加以記錄保存。

至於需要再使用的儲存媒體，則可參照ISO 27001標準「A.9.2.6 設備安全的處置和再利用」，要求資訊處理設備在轉移給其他單位或重新交由其他人使用時，具有版權的軟體需要重新整理移除，所儲存的資料也要一併清除；針對需要進行報廢的設備，則依據「A.10.7.2 媒體的報廢」要求，需要依照一定的安全程序進行報廢，以確保資料不會被復原。

DG-06 非生產環境資料
這個控制措施是要求生產環境中的資料不應被同步複製或使用在非生產環境之中，實務方面建議應嚴格禁止非公開的客戶資料，從生產環境中移到非生產區域，除非是已獲得客戶同意或在法務部門指導下才可進行。

針對應用程式的開發，則可參照ISO 27001標準「A.10.1.4 開發、測試與運作環境的區隔」，備妥開發流程、測試和上線運作的程序文件，同時，所使用的資訊軟硬體設備，也要加以適當的區隔，不將資訊存放在相同的儲存媒體中；若要進行測試，則依據「A.12.4.2 系統測試資料的保護」要求，在測試時注意所使用的資料是否已經過授權取得，剔除或替代資料中敏感性的內容，並在測試完成之後，徹底將資料從系統中清除。

DG-07 資訊洩漏
這個控制措施是要求必須實施安全做法以避免資訊外洩，實務上可採取嚴格的身分驗證與授權(IAM)，以及導入防範資料外洩方案(DLP)來進行，針對資訊系統本身，則可參照ISO 27001標準「A.12.5.4 資料外洩」的要求，在系統上線前進行系統掃描，確認是否有不當的訊息外送或開放的傳輸埠，另外也要監測系統資源的使用與網路活動，以防範資料洩漏的事件發生。

DG-08 風險評鑑
這個控制措施是要求風險評鑑必須配合資料治理的要求來定期實施，包括針對敏感資料儲存與傳輸的教育訓練、遵守所定義的資料保留期限和處置要求，以及針對資料分級分類以防止受到未經授權的存取和遺失損毀等。實務方面，建議參照ISO 27001標準本文中「4.2.1 (c)界定組織的風險評鑑作法、(d)識別各項風險」之要求來進行，以及「4.2.3 (d)依照已規劃的期間，審查風險評鑑的結果，並且審查剩餘風險的等級與已識別的可接受風險」。(本文刊載於2013年7月號網管人雜誌)

[專欄] 評估雲端服務的安全性 - 雲端安全開放認證架構簡介

Thu, 12 Sep 2013 13:09:00 +0000

隨著雲端服務的迅速發展，無論是SaaS、PaaS、IaaS服務，各種雲端服務供應商都提供了消費者方便彈性、隨需可用的雲端服務，只是在眾多服務的背後，您是否了解廠商對於資安控管和安全責任的要求？是否可以安心地採用雲端服務呢？

面對如雨後春筍般出現的雲端服務，身為想要採用雲端服務的消費者，到底應該如何選擇一個可靠安全的雲端服務供應商？事實上並不容易。對消費者而言，公有的雲端服務，其實就是一種外包服務，消費者對於廠商的了解，可能來自於品牌印象、其他人的推薦，或是來自於媒體中刊登的廣告，對於價格或服務的內容，或許可以有所了解，但是對於廠商的資料保護能力、服務運作能力，以及資訊安全的管理要求和實施情況呢？或許心中仍然存在著許多的問號。

基本上，由於雲端服務本身有著跨越國境和許多用戶同時租用的特性，而且各項行業依照其產業所屬性質的不同，都有其所需要特別遵守的法律法規，再加上各個雲端服務供應商對於資安要求的程度不一，因此目前仍然缺乏一個統一的標準，也很難有一個容易實施的方法來進行安全性的評估。

雖然有些業者強調，已經導入了資訊安全管理標準ISO 27001的安全控管要求，但是其驗證的範圍是否包含了雲端服務？針對雲端服務實施了哪些安全的控制措施，整體的資訊安全水準如何？似乎缺少了一個更透明化的方式，可以讓廣大的消費者得知，並且可以作為選擇雲端服務供應商的參考。

雲端安全開放認證架構簡介

對於以上所提到種種與安全有關的問題，雲端安全聯盟(CSA)已認知到很難有一個單一的安全認證，就可以含括所有服務供應商的安全需求，但是業界又很確切需要有一種公開且可受公評的方式，讓服務供應商可以自我揭露其安全水準，同時也讓消費者獲得可以參考的依據。

因此，在2012年的雲端安全會議中，雲端安全聯盟基於各項受到產業認可的安全控制目標，提出了雲端安全開放認證架構(Open Certification Framework；OCF)，可用來作為評估雲端服務供應商的安全認證。OCF是基於雲端安全聯盟對於治理、風險和法規遵循(Governance, Risk and Compliance Stack)的研究專案，所發展出來的可信賴雲端服務認證安全架構，它能夠廣泛地支援多個層次且來自於不同供應商和消費者的安全需求。

雲端安全開放認證架構提供了一個可彈性應用的方案，透過三個漸進式的發展層次，從自我評估到外部評鑑的實施，最終的目標是希望能夠持續地監控，以確保各項安全控制措施的有效性，並且也能不斷地改善，以滿足使用者的安全需求。雲端安全聯盟指出，服務供應商藉由實現了雲端安全開放認證架構的安全控制，將可以達成以下目標：

讓雲端服務供應商可以因應各項產業標準和法規的要求，並且採取業界認同的雲端安全最佳實務，同時更期許經由政府機關的率先導入，為公眾使用的雲端服務，指出了一個明確可行的安全認證要求與方向。

提供了明確的安全指引和工具，像是整合了ISO 27001的雲端控制矩陣 (Cloud Controls Matrix；CCM)，讓雲端服務供應商更易於滿足多項標準的安全要求。CCM是雲端安全聯盟設計用來作為評估雲端安全的基礎，也是引導服務供應商採用業界的最佳實務作法，除了可以確保其雲端服務的安全，同時也能協助雲端服務的消費者，藉此來選擇符合其安全要求的雲端服務供應商。CCM的控制措施和CSA雲端安全關鍵指南中的13項安全領域要求是一致的，並且融合了其他業界常見的安全標準，例如 HITRUST CSF、ISO 27001/27002、ISACA COBIT、PCI、HIPAA和NIST等，也呼應了服務型組織對其內部稽核控制的安全要求，預期將可減少組織同時適用各項法規時，所需要面對的重覆稽核問題。

雲端安全開放認證架構可作為一項受到業界認可的體制，它能夠支援ISO標準、美國會計師協會(AICPA)和其他相關安全認證架構，簡化並減少需要重覆進行各項安全認證的要求。

開放認證架構的評鑑方式

雲端安全開放認證架構是一個三層式的架構，從它的底層出發愈往上走，就愈能透明化的展現雲端服務供應商的安全控管方式，並且讓消費者獲得更高的安全保證，評鑑的實施方式說明如下。

第一層STAR自我評鑑 (The STAR Self-Assessment)
在這一層次中，雲端服務供應商可以提交兩種類型的報告，一種是依據CSA STAR (Security, Trust & Assurance Registry；STAR)的自我評估問卷(Consensus Assessments Initiative Questionnaire；CAIQ)，描述各項已符合安全要求的作法與因應措施，然後將它傳送到CSA的註冊管理單位(STAR Registry)進行審查；另一種則是依據雲端控制矩陣中所要求的98項安全控制措施，逐條回答已經實施的作法與現況。

雲端服務供應商向STAR Registry所提交的自我評鑑報告，雲端安全聯盟會在其網站(https://cloudsecurityalliance.org/star/registry/)上提供已認可的註冊記錄，讓公眾可以直接查詢，這些記錄將可以協助雲端服務的消費者，了解並評估服務供應商的各項安全控制的作法，目前這項服務無論是註冊或查詢，都是可以免費進行的。

在這個評鑑階段中，由雲端安全聯盟所提供可免費下載的自我評估問卷(CAIQ)，提供了超過140項針對雲端服務供應商、消費者和雲端安全稽核人員可能想要了解的安全問題，服務供應商可以自行填答(Yes or No)並提出描述說明，透過自我揭露的各項安全作法，用來作為消費者在選擇雲端服務時，可評估安全風險的最佳參考資料。

服務供應商必須確保自我評鑑的更新週期，不得小於12個月，也就是說至少每年都需要重新自我評鑑一次，以確保各項安全控制措施的更新，能夠及時反應在評鑑的內容之中。如果沒有及時更新，雲端安全聯盟會將未更新的報告註記為不認同，如果超過一年六個月都還沒有更新的話，就會直接將這筆記錄從註冊資料庫中移除。

第二層 STAR認證-第三方獨立評鑑 (STAR Certification - Third Party Assessment)
在第二層的評鑑之中，雲端安全聯盟將會結合ISO 27001和雲端控制矩陣的安全控制措施要求，透過第三方驗證單位(目前配合的驗證單位是BSI英國標準協會)來實施獨立的安全查核，針對雲端系統的成熟度進行評分。這項安全查核將採用國際標準普遍應用的規劃、實施、檢查、改善行動(PDCA)原則，並依照雲端控制矩陣中對雲端系統的安全要求來進行，最後所獲得已量化的評分，即可作為管理階層進行評估改善的參考。

第三層基於認證的持續監控 (Continuous Monitoring based certification)
第三層是CSA STAR認證的延伸，目標是希望透過持續蒐集到的稽核證據，即時地監控雲端安全的控制，以期符合消費者的安全要求，此一階段的實施做法，目前則還在發展之中。

雲端安全開放認證的實施現況

目前，雲端安全開放認證架構仍處於先期的導入計畫階段，已經實施的是第一層的自我評鑑要求，已經獲得許多雲端服務供應商的響應參與。第二層的做法預計在2013年開始執行，至於第三層的持續監控要求，預計最晚會在2015年完成。

對雲端服務供應商而言，實施導入雲端安全開放認證架構的安全要求，不是為了追求另外一項認證，而是能夠具體的提供其雲端服務安全管理的證明，同時也確認自己有能力來因應可能發生的安全事件，能夠降低雲端服務的營運風險，建立消費者對於業者的信心。

至於對消費者來說，則是獲得了一個透明公開的管道，可以得知雲端服務供應商的安全管理要求與實際做法，評估是否與自身的安全需求能夠趨於一致，並且可以滿足組織的安全政策與要求。(本文刊載於2013年6月號網管人雜誌)

[專欄] 個資保護與隱私維護系列(五) - 保護個資的安全控制措施

Mon, 15 Jul 2013 11:56:00 +0000

上一次我們談到了許多和個人隱私有關的事項，雖然同屬於個人資料，但是在不同行業之間，隨著所適用的法規和客戶的期許不同，對個人資料的保護要求也有所差異，本文則將從評估個人資料的價值談起，探討適用於個資的安全控制措施。

依據個人的觀察，雖然個資法的正式實施，已經讓企業明白保護個資是勢在必行的工作，但是究竟該由誰來負責或主導，仍然存在著許多不同的意見。

有些人認為，公司內部和個人有關的資料，大多存放在人事和財務部門，因此應該要由這些部門來率先實施推動；人事和財務部門則認為，個人資料都存放在公司的檔案伺服器和資料庫中，負責維護管理的是資訊部門，而且個資保護又和資訊安全有關，所以理應由資訊部門來主導；資訊部門則摸著頭殼說，可是這些個人資料都不是由我們來蒐集和利用，充其量只是透過資訊系統來處理儲存而已，應該是由蒐集個資的業務和利用個資的行銷部門來運作才對，怎麼會是我？

探究大家不願意主導或負責的原因，主要還是來自於面對這項新的議題，心裡卻不太清楚究竟該從何做起，如果真的被老闆賦予任務而接手了，與其將燙手山芋攬在自己身上，倒不如一開始就放手把它交給別人來應對就好。

事實上，許多企業在資安方面都已經有所要求，有些甚至都已取得了ISO 27001的資安管理標準認證，如果藉由資訊安全的角度來出發，一樣採取企業風險管理的方式來因應，在個資保護與隱私維護方面，它就會是很好的第一步了。

參考個資保護相關標準

對於個人資料的安全保護，如果還是不了解要如何實施，最簡單的方式就是參考其他也有個資法律國家的相關經驗，或是參考受到國際認可的實務準則和標準。舉例來說，在先前的文章曾經提過的OECD八項隱私保護原則、APEC的九項隱私保護綱領，以及美國的安全港架構協定，就是可用的參考依據。

至於在國際認可的個資保護標準方面，由英國標準協會所提出的BS 10012個人資訊管理標準，也是目前在個資管理方面一項很好的參考來源，它採用了常見的PDCA (Plan, Do, Check, Act)管理流程，可將企業對於個資保護的期許和法律要求作為基礎，進而建立一項個資保護的管理計畫(P)，然後根據這項計畫在企業中實施運作(D)，接著藉由運作過程中所產出的相關文件記錄，透過管理審查和稽核方式進行監督(C)，再依照稽核的結果要求進行改善行動(A)，以確保個資管理制度實施的有效性。

除了英國的BS 10012標準之外，目前由經濟部委託資策會所研擬，針對電子商務業者的「台灣個人資料保護與管理制度(TPIPAS)」，也可作為企業在實施個人資料保護措施的參考。

TPIPAS制度的運作分為三個階段，它先從制度的規劃開始來確立個資保護的要求，然後透過教育訓練的方式來培育所需的建置和稽核人員；接下來則是透過受過訓練的內部人員來自行建置，或是藉由外部輔導顧問的協助，將個資保護與管理制度導入企業之中；最後再由合格的稽核人員進行實地審查，確認制度實施的有效性之後，再向主管單位申請發放合格的隱私標章，以此作為企業落實個資保護的一項證明。

進行個資盤點是第一步

如果企業有心要保護個人資料，就必須要了解目前到底持有多少的個人資料，由哪些部門來進行蒐集、採取什麼方式來處理、存放在什麼地點，以及如何地利用這些個人資料。一般而言，需要先釐清資料的蒐集方式(自動化或人工)，以作為進行個資盤點的基礎，然後再藉由實際的業務流程來追蹤資料的產生過程，接著再清查並掌握部門所持有的個人資料清單，資料清單上面請務必清楚記錄以下幾個重點。

資料的內容：記錄資料的名稱，並且描述是屬於何種業務流程而產生。
資料存在形式：通常資料的形式可簡單區分為紙本和電子檔案兩種。
資料儲存位置：若是紙本文件，記錄其儲存的地點位於哪一樓層與檔案櫃編號；若是電子檔案，則註明其儲存的應用系統、伺服器或資料庫，也可以視情況加入存放的儲存媒體，例如光碟、磁帶、磁卡等。
蒐集目的：說明蒐集的目的為何，這部分可參照由法務部所公布的個資蒐集目的和類別。
蒐集單位：記錄個資是由哪個部門或人員所蒐集的。
處理單位：記錄個資是由哪個部門或人員進行編輯和建檔。
利用單位：記錄個資是由哪個部門來使用，包括可能利用的其他第三方單位。
資料保護措施：說明針對此項個資的保護作法，例如加密、上鎖、權限控管等。

著手評估個資的影響價值

依據個人資料保護法的定義，只要能夠以直接或間接方式識別到特定個人的資料，就屬於應該要妥善加以保護的個人資料。換句話說，個人資料除了常見的姓名、電話、地址、身分證字號之外，可能涵蓋的內容會有百百種，因此到底有哪些資料應該要優先進行控管，就是一個必須要釐清的問題。

從風險管理的角度來看，對企業最有價值的資料，就是萬一不小心遺失、損毀或外洩時，會對企業造成最多損失且影響最大的資料，這也就是首先要保護的對象，但是損失多寡和影響程度到底要如何來判定呢？

判斷個人資料的價值，我們可以從資料本身所具有的機密性、完整性及可用性著手，以機密性而言，取決於所賦予的機密等級，不管是電子檔案或紙本文件，我們都可以將其簡單地分為高度機密、機密、內部使用和公開等級別，在實務方面，只要是包含有個人資料在內的文件或檔案，通常會是屬於機密級別，如果其中包括了敏感個資如健康檢查或醫療記錄，則會指定更高的等級為高度機密。

資料分級的目的，主要是為了確保讓所有人員在處理這些檔案和文件時，明白需要採取的相對安全措施是什麼，例如傳遞屬於機密等級的電子檔案時必須先進行加密，紙本的機密文件則必須要將內容彌封起來；針對高度機密的資料則有更嚴格的身分驗證機制，確保只有少數經過授權的人員才可以存取等，這些都是常見的安全控制措施。

除了機密性之外，我們也要從資料的完整性和可用性來加以評估，判定如果資料內容受到不當竄改或是不正確時，以及資料在特定的時間內無法順利地存取時，對於使用者、部門和企業的衝擊程度有多大，或是估算可能造成的損失金額有多少，一旦發現這些衝擊程度大和損失金額多的資料，肯定就是優先需要實施保護的對象。

制訂個資交換安全政策

在企業中完成個人資料的盤點清查，評估個資可能的衝擊與價值，選擇適當可行的控制措施，並定期的實施內部審查稽核，再針對需要改善的項目採取行動，這些作法都是企業整體風險管理中的一部分，而且是需要持續來重覆進行的。

針對企業可能與外部交換個人資料的高風險行為，建議也要制訂一項資料交換的安全政策，作為企業內部人員可遵循的參考依據，個資交換安全政策的內容重點如下：

交換目的：要求內部人員與外部進行資料交換時，必須明確說明交換的目的，也要事先獲得主管的授權，並將授權的記錄歸檔留存。

交換內容：要求明確說明資料交換的內容是什麼，以及所屬的機密等級為何，如果內容涉及敏感性的個資，需要確認是否符合法律的規定，並且已獲得當事人的同意。

交換方式：要求說明所採取交換資料的方式，例如使用電子郵件、網路FTP檔案傳輸，或是存放在USB可移動式儲存媒體、燒錄光碟，以及透過郵寄、專人送達等。

安全責任：說明個資交換應遵守的法律規定和內部的作業規範，以及內部人員應有的安全責任和外部人員必要的保密要求等。

安全措施：要求依據所交換資料被指定的機密等級，實施相對應的安全控制措施，例如檔案加密和電子簽章、使用可上鎖的容器、專人傳遞和確認當事人簽收等。

交換記錄：針對以上的項目，在資料交換的過程中，要求保存相關的文件化記錄，例如個資交換申請表、檔案傳輸記錄、簽署的保密協定、簽收單據等。

總結

個資保護與隱私維護所牽涉的層面相當廣泛，包括需要理解法律和主管機關的要求、建立管理面的保護制度，以及導入技術面的控制措施等，這些實在不是三言兩語就能交待清楚，並且可以順利完成的。但無論如何，身為資訊相關人員的您，在這場個資保護大戰之中，肯定是不可或缺的一員，與其被動的等待他人要求和執行，倒不如積極地從各個層面去了解可行的作法，持續累積和補充所需的實務知識，然後把它應用在自己的工作之中，藉此也將創造出更寬廣的職場生涯之路。(本文刊載於2013年5月號網管人雜誌)

[證照] CIPP/IT 資訊科技隱私專家證照入手

Mon, 08 Jul 2013 13:53:00 +0000

之前曾經介紹在個人資料保護與隱私維護方面，唯一受到全球業界廣泛認可的資訊科技隱私專家證照-CIPP/IT，在我通過考試的一個多月之後，由官方所頒發的證書總算寄到了。

目前看起來，這應該是台灣的第一張，但我期待未來能有更多朋友能夠取得這張證照，所以希望透過訓練課程來協助大家準備，並且順利地通過考試。

如果您想要了解這張證照的相關資訊，可以先參考之前已發佈的「資訊科技隱私專家證照–CIPP/IT」這篇文章。

註：CIPP/IT目前已更換名稱為"Certified Information Privacy Technologist (CIPT)"

以下則是額外幾個有關這張證照的Q&A分享。

Q. 若要報名CIPP考試，是否需要先加入IAPP會員？但會員的身分有好多種，需要以哪一種加入才行呢？

A: 一般而言，只要具備了任何一種身分，就能參加考試。如果您不是學生、政府、非營利組織和其認可的教育單位員工，就只能選擇加入專業會員(US$250)，會員除了可直接報名參加考試之外，還有個人可享的專屬福利，也就是網站上豐富的知識訊息和全球人脈的互動。

Q. CIPP基礎認證要考90題，CIPP/IT認證要考60題，都是單選題嗎？各要答對幾題才能過關呢？又，基礎認證考試要先通過，才能再報名CIPP/IT認證考試嗎？

A: 所有題目皆為單選題，但IAPP並沒有公布總分和計分方式，考試結果也只有告知每個知識領域的答對率，沒有顯示得分，若通過則最後一行會顯示Pass。在基礎認證方面，個人評估必須要達到各知識領域平均的70%才行，CIPP/IT則是答對70%的題目就過關了。兩項考試沒有先後順序，但必須兩個考試都通過了，才能取得證照。考生可以同時報名兩項考試，也可以安排在同一天考試，但自己要預約並且預留足夠的考試時間(90分鐘+70分鐘)。

Q. CIPP指定的考場（Kryterion）滿少見的，目前台灣有幾個地方可以考試呢？

A: 目前資策會是唯一獲得Kryterion官方授權的考場，考試地點是在台北市復興南路一段390號2樓(捷運大安站旁)。考生可透過IAPP網站以會員登入之後，自行選擇想要考試的時間，要注意的是，並非7x24的所有時段都能考試，在預約了之後若要更動，必須提早在考試三天前才能進行。

舊留言存檔

以下留言轉存自原 Blogger 網站，僅供存檔，無法回覆。

LiChiu（2013-07-12）

恭禧Jack老師！我就說老師是先驅咩！

傑克小花（2013-07-14）

呵~謝謝~希望有興趣的大家也一起來加入喔~

匿名（2016-01-29）

老師您好，最近剛得知個資證照，但資訊真是少的可以。想請問老師考取證照該從何準備？目前市面上有書還是有任何資料可以參考準備的嗎？謝謝

傑克小花（2016-02-03）

Hello 您好, 目前針對個資的相關證照其實不多，國際上以IAPP協會所推出的CIPT(前身為CIPP/IT)和CIPM最為受到推崇，如果有興趣想要準備考試的話，在官方網站上有販售考試的參考書，可以作為學習的教材。相關資訊可參考以下網址喔~ https://iapp.org/certify/prepare

[新知] 雲端安全開放認證架構 (OCF) 與雲端控制矩陣 (CCM)

Sat, 29 Jun 2013 04:59:00 +0000

面對如雨後春筍般出現的雲端服務，身為想要採用雲端服務的消費者，到底該如何選擇一個可靠安全的雲端服務供應商？

而身為雲端服務供應商的您，如何自我評估現有的雲端安全現況，並且展現積極有效的管理作為，來贏得消費者的信任？

對此，由CSA所推動的雲端安全開放認證架構（Open Certification Framework；OCF），並且使用雲端控制矩陣 (CCM)作為服務供應商評估安全成熟度的工具，為目前實務上的最佳參考，如果您想了解更多的訊息，請參考以下這篇文章。

http://www.netadmin.com.tw/article_content.aspx?sn=1306130001

[專欄] 個資保護與隱私維護系列(四) - 特定行業的個資隱私保護要求

Thu, 06 Jun 2013 14:54:00 +0000

上一次，我們談到了在個資保護與隱私維護方面，因為世界各國有著不同的法律，所以對隱私保護的要求也有所不同，不過基本上，大致仍遵循著一些共通的規範原則，本文將探討不同行業之間對個人資料應有的保護要求。

依據個人資料保護法第二條的定義，只要是得以直接或間接方式，能夠識別該個人之資料，就是屬於受到法律保護的個人資料。換句話說，除了最常見的姓名、電話、地址、身分證字號、出生日期之外，還有許許多多可連結識別到特定個人的資料，這些都是各行各業不可忽視的個人資料內容。

其中比較特別的是在個資法第六條中指出，有關醫療、基因、性生活、健康檢查及犯罪前科等個人資料，除非符合了特定的要件，否則預設是不能夠任意的蒐集、處理及利用的，這也就表示，如果您的組織是屬於經常性的會接觸到這些資料的產業，像是醫院、保險公司、健檢中心等，就更必須明白有些法律針對特定的敏感資料，它的要求與一般的個人資料是不太一樣的。

醫療業的個資保護事項

對醫療業而言，保護病患的隱私，基本上已是醫療從業人員的義務和責任，尤其是關於醫生與患者之間的保密要求，更經常出現在世界各國的醫療法規之中。醫療資訊的重要性，不同於一般個人資料的原因，就在於它明顯的反應了一個人的內在，包括身體的情況和心理的狀態，若是受到不當的揭露，對於個人的衝擊，明顯地大於許多可識別至個人的資料。

換句話說，醫療業者必須要確保醫療資訊的安全和妥善的隱私保護，才能夠獲得患者的信任，使其願意提供個人的身體和心理的真實情況，才可有助於醫生判斷病情，讓病症獲得正確的診治。所以，醫療業者對於個人資料的保護責任不在話下，面對與醫療有關的個人資料蒐集、處理和利用，自是應該遵守個人資料保護法和相關醫療法規的要求，即使有些醫療資訊是為了提供給學術研究或疾病統計之用，也要注意是否已將資料作了適當的匿名化處理，使其無法識別至特定的個人，以免誤觸了法網。

此外，醫療資訊對許多職場工作者來說也是重要的，如果雇主能夠任意地取得員工的醫療記錄，對於評估為可能屬於高風險的員工，有些雇主為了避免付出過高醫療保險費用，可能就會實施惡意性的解雇，或是針對性向不同的員工，主觀認為可能會對其他員工造成影響，而將之惡意性的汰換，導致個人的工作權益受到損害。

金融業的個資保護事項

保護個人金融與信用方面的資訊，是金融業必須重視的要項之一，保護客戶的信用與借貸資料，目的是希望客戶能夠安心地揭露個人的資產與債務情況，有助於銀行業者來評估借貸者的還款能力。另外，確保個人信用資料的安全，也能夠避免個人的身分不會受到非法的冒用，或是個人金融交易受到不當的損害。

許多法規對於金融資訊的保護都有其要求，例如美國在1999年實施的GLBA法案，建立了針對金融機構一系列的個人資料保護要求；日本的個人情報保護法，針對屬於金融方面的個人資料，也有相關的使用規範。而為了進一步確保金融資訊的安全，各國針對銀行幾乎都有對應的法律要求，除了確保從業人員需盡到業務保密的責任之外，若是沒有正當的理由或未經個人同意之下，即使是政府單位想要調閱金融資訊，都可能受到限制，目的就是要保護個人的隱私。

不過近年來，為了反制恐怖行動和反制國際洗錢的犯罪行為，金融業者對於客戶金融資料的保護也面臨了種種的壓力與挑戰，因此在特定類型的交易資料方面，相關的安全機制和通報的要求，就需要多方的審慎考量。另外，透過網路的信用卡支付方面，也有別於傳統銀行業的交易模式，針對線上的身分驗證、資料傳輸及用戶端的個人資料保護，可以參考PCI-DSS標準的內容，實施對應的安全措施。

電子商務的個資保護要求

對電子商務業者而言，主要是透過網站來蒐集和個人有關的各項資料，一般可分為兩種方式來進行，第一種是主動式的蒐集，例如在進行線上交易之前，網站通常會要求消費者必須加入會員才能進行購物，因此就會在網頁上提供會員註冊表單，讓消費者可以採用選單選擇或直接依照項目說明填入所需的資料，最後按下送出即可完成。

第二種蒐集消費者個人資料的方法，是採取被動的蒐集方式進行，也就是電子商務業者會在消費者無法發覺的情況之下，透過網站互動技術像是Cookie，在背景之中蒐集消費者的瀏覽資訊，包括了瀏覽過的網頁、所使用的瀏覽器版本、作業系統，甚至所在的位置等，藉此來追蹤統計消費者的購物和網站使用習慣，作為後續的行銷之用或廣告點選次數計算等。

無論是採取了主動或被動的資料蒐集方式，只要蒐集的資料可以識別到特定的個人，這種行為就屬於個人資料保護法中所定義的蒐集個人資料，因此必須依照法律的要求，除了要說明蒐集的目的，同時也要盡到所謂告知的義務。目前最簡單的實務作法是在網站上提供適當的聲明或是附上隱私政策的宣告，讓消費者可以知道其個人資料是如何被蒐集、處理和利用的。

除此之外，電子商務業者針對網站所蒐集到的個人資料，也必須採取適當的安全措施來加以保護，至少包括了網站本身的主機安全、應用程式與資料庫的安全，以及資料在傳輸時的安全。如果線上交易的對象跨越國界，也不要忘了注意跨國購物和資料跨國傳輸的相關法規要求。

電信業的個資保護要求

憲法第十二條中規定：「人民有秘密通訊之自由。」目就是在確保人民就通訊之有無、對象、時間、方式及內容等事項，有不受國家及他人任意侵擾之權利。依據大法官的解釋，即使國家採取各項限制手段時，除應有法律依據外，限制之要件應具體、明確，不得逾越必要之範圍，所採行之程序也應合理、正當，才能符憲法保護人民秘密通訊自由之意旨。

目前電信業者對於和個人資料保護與隱私維護的重點，大致涵蓋了三個方向，首先是通訊的內容保護，包括了語音通話和傳真數據的內容，還有簡訊或電子郵件的訊息安全；其次是可識別至特定個人的資訊，包括了發話者和受話者的身分，所使用綁定的電話號碼等；最後則是各項的通聯記錄和歷史軌跡資料，從中可以得知過去通訊的時間、使用的設備，甚至所在的地點等。

對於政府和執行單位而言，這些與個人有關的資料是非常具有價值的，尤其是在防制非法活動和犯罪行為調查方面，提供了一個有效而明確的偵辦方向，但從另一個角度來看，這些資料都是屬於個人私密的訊息，而且是憲法所賦予的通訊自由。因此，有關通聯記錄的調閱、通話內容的監聽等行為，應該受到明確的規範、限制授權和合理的實施程序，尤其是非政府單位所提出的通訊監控要求，或是存取相關的通訊記錄，更應該受到嚴格的禁止。

近年來，人們的通訊隱私更是受到一大挑戰，因為只要連接上了網際網路，地理位置等相關資訊就可能受到蒐集和利用，尤其是行動裝置的普及，更可以精確的鎖定精準的位置，所以對於電信業者來說，如何加強內部人員的管理，避免相關的個人資料受到不當的存取，勢必是未來要妥善因應的重要關鍵。

人力派遣業的個資保護要求

目前有許多的公司行號，採用了人力派遣業者所提供的人力資源，所以這些業者手上握有最多的商業資訊，就是各種不同工作者的履歷資料。這些履歷資料可能是工作者自行提供，或是來自於和人力銀行的合作，所包括的個資，除了姓名、連絡電話、學經歷、個人照片之外，可能還包括了親屬聯絡人和身高體重等健康資料。

對人力業者而言，為了符合個人資料保護法的規定，一開始在蒐集個人資料時，就要注意內容是否與該當事人所應徵的職務，有著明顯和正當的關聯，除了工作所需的必要資料之外，其他可能無關的政黨支持、宗教理念、性別傾向及身體特徵等，就不需要過度的蒐集，以免因保護或利用不當而導致不必要的損害發生。

在處理個人資料時，除了要求內容的正確性和確保資料存放的安全外，針對內容的新增、修改、刪除，以及查詢、記錄和更正，都需要有相關的回應處理方式，以符合法律所賦予當事人可對其個人資料主張的權利。

在利用個人資料時，則必須確實遵守與當事人告知的使用目的，如果與當初蒐集的目的不符時，就必須要重新獲得當事人的書面同意。如果相關的履歷資料需要提供給可能的雇主參考時，也別忘了提醒對應的企業人力資源部門，對於所交付的個人資料，也必須盡到所需的保護責任。(本文刊載於2013年4月號網管人雜誌)

[參考資料]
IAPP - Information Privacy (Official reference for CIPP)

[專欄] 個資保護與隱私維護系列(三) - 各國隱私法規與個資保護要求

Thu, 16 May 2013 07:58:00 +0000

雖然隱私的維護要求並沒有國界之分，但各國對於隱私維護所制訂的法規卻有所不同，因此在個資保護方面，也必須依照不同國家的法律規定，評估可能面臨的最大風險，再來實施相對應的控制措施。

針對隱私保護，世界各國的法律要求皆有所不同，主要原因是不同的國家，由於其社會經濟發展的腳步並不一致，因此在保護的重點和程度上，皆有其各自的考量，也衍生出了不同的觀點。

以歐盟為例，它採用了廣泛性的一般適用原則，無論是政府或民間企業，都必須遵守其所頒布的資料保護法規，並且由專責的資料保護機構來予以監督，在這個原則之下，歐盟各國仍然保有其自主彈性的空間，可依據本身的國情與民眾的期待，實施所需的個人資料保護作法，以達成歐盟對於隱私維護的精神。

作為世界另一大經濟體的美國，對於個人資料保護的做法，則是以不同的產業要求作為區分，以金融行業為例，主要保護的對象是客戶的金融訊息和記錄，若是醫療產業，則保護的主體是和個人有關的醫療及健康資訊，不同的產業都有其所屬行業要求的法規，並沒有非常明確的國家法律來要求所有組織都要遵守才行。

至於加拿大和澳洲，其個人資料保護是由各個產業發展出必須要遵守的一套標準，然後再交由隱私的專責機構(資訊隱私委員會)來作統一監督，確保隱私維護與個資保護的相關規定，能夠在所有的行業中都予以落實。

OECD的隱私保護原則

在1980年，由美國、日本和歐洲國家所組成的經濟合作與發展組織(OECD)，公布了一項名為保護隱私與跨境傳輸個人資料的隱私指導原則，成為了世界各國最廣泛認可的實務參考，同時也受到美國聯邦貿易委員會(FTC)的支持，它提出了以下八項隱私保護原則，非常適合組織作為制定隱私保護政策時的參考。

限制蒐集原則 - 強調個人資料的蒐集應受到限制，並且要在公平合法的情況下被取得，同時以適當的方式來取得當事人的同意。
資料品質原則 - 個人資料的內容應與蒐集的目的有關，或是符合其使用目的而產生的必要性，個人資料的內容必須確保正確與完整性，並且及時地更新。
目的明確原則 - 個人資料的蒐集目的，必須在開始蒐集時即明確指出，隨後在利用這些個人資料時，也必須限制在目的之內，日後若需要變更時，更要明確指出其變更後的利用目的為何。
利用限制原則 - 個人資料不應在特定目的之外被揭露或利用，除非已事先獲得當事人的同意或有相關法律作為依據。
安全措施原則 - 針對個人資料可能發生遺失、不當存取、使用、修改、損毀及揭露的風險，應採取相對適當的安全控制措施，以降低可能的風險。
公開原則 - 對於個人資料的發展、實務和政策的制定，應依據公開的原則來進行，針對個人資料持有的種類和使用目的，以及資料控管者的連絡方式，應公開並且易於讓當事人知悉。
個人參與原則 - 個人資料的當事人，應保有以下的權利：(a)有權利向資料控管者或持有之組織，確認是否保有和其有關的個人資料；(b)在合理的時間和費用範圍內，以合理的方式和可了解的形式，向組織查詢和其有關的個人資料；(c)針對所提出的查詢或主張的權利若遭到拒絕時，可以提出異議要求說明；(d)若所提出的異議成立時，可要求組織刪除、變更、修改、補充其個人資料。
責任原則 - 個資的控管者必須負起相關責任，並要求落實以上提到的各項隱私保護原則。

歐盟的個人資料保護指令

在1981年，歐洲的議會針對自動化處理的個人資料，通過了個人保護協定(COE convention)，它所要求的個人資料保護原則和OECD類似，可作為歐洲國家在制定個人資料保護法令的參考。到了1990年代，由於歐洲各國在個人資料保護方面仍缺乏一致性，加上實務面各國都有跨境傳輸個人資料的需求，可是在取得當事人的同意和接收國的保護措施方面，要求的程度都有所不同，因此促成了歐盟起草資料保護指令(EU Data Protection Directive)的契機。

歐盟的個資保護指令在1995年被採納，並且在1998年正式生效，對歐盟的會員國而言，只要是遵守個資保護指令的國家，也就等同於採納了各國所屬的個人資料保護法，可以獲得跨境傳輸資料的允許和信任。事實上，歐盟的個資保護指令的確在歐盟會員國之間產生了個資保護的關鍵性作用，而隨著資訊科技的演進，在2012年個資保護指令已進行了更新與修改，期許未來不只在歐洲地區，對歐盟以外的國家也可提供重要的隱私保護資訊與要求。

APEC的隱私保護綱領

對亞太地區而言，於1989年成立的亞太經濟合作組織，則是扮演了重要的經濟與文化交流的推手，針對隱私維護與個人資料保護的要求，在2003年所成立的隱私保護小組也致力於此項議題的發展，並於2004年11月正式通過了隱私保護綱領(APEC Privacy Framework)，包含了以下九項的隱私保護原則。

損害避免原則 - 針對當事人對於其個人資料的合理期待，針對可能損及當事人權益的風險，應採取適當的風險處理措施以避免損害。
告知原則 - 在蒐集個人資料時，應告知當事人被蒐集的目的、資料類型、蒐集者的聯絡方式與當事人可主張的權利。
限制蒐集原則 - 個人資料的蒐集應與被告知的目的相關，要求採取公正的方式進行，並且限制其所蒐集的範圍。
利用原則 - 個人資料的利用應獲得當事人的同意，並且僅限於當初所蒐集的目的範圍內，不可任意作為其他的用途。
選擇原則 - 當事人應被提供可選擇的權利，能夠針對其個人資料的蒐集、處理和揭露，主張其個人的意願和選擇。
完整原則 - 個人資料務必確保其正確與完整，並且要持續地更新以維護當事人的權益。
安全原則 - 保有個人資料的組織，應針對可能的安全風險，實施對應的安全控制措施，以避免個人資料受到不當的揭露與損毀。
存取和更正原則 - 組織應提供個人資料的當事人，可在合理的時間內，以適當的方式對其個人資料提出查詢和閱覽的請求，並且不得無故拒絕其補充或更正的申請。
責任原則 - 保有個人資料的組織，應負責遵守法規和個資保護的責任，尤其當資料需傳輸至第三方和不同國家時，務必要求以對等的保護方式來維護當事人的隱私和資料安全。

美國的安全港架構協定

目前有許多的組織，在網站的資料收集和隱私權政策中，經常會提到它們會遵守所謂的「安全港架構(Safe Harbor Framework)」，到底這是什麼樣的架構？和隱私保護有什麼關係？必須要遵循哪些事項？恐怕清楚知道的人就不多了。

根據維基百科的定義，安全港架構是一項法律的協定，可以減少或消除當事人在法律的責任，但其要件是當事人的各項行為，必須能夠履行良好的誠信原則，或者符合所定義的法規標準。

目前美國和歐盟都有通過彼此認可的安全港架構，主要是因各國對於隱私和個人資訊保護所採取的措施皆不同，為了避免資料在跨國傳輸時，被認定為保護措施不足而受到限制，歐盟在2000年時認可了只要是符合安全港架構的組織，歐盟的成員國就可允許其傳送、儲存或使用歐盟成員國民的個人資訊，也就是將符合安全港原則的組織也視為符合其「資料保護命令(The European Commission’s Directive on Data Protection)」的標準。

如果想要符合美國和歐盟的安全港計劃，組織可以加入一項自我律定的隱私計劃，每年以書面方式向相關單位證明確實遵循了安全港的隱私原則，以達到美國和歐盟的安全港架構的要求，或是也可以制訂本身所監管的隱私政策，以符合美國和歐盟的安全港架構。關於安全港的隱私原則，共有以下七項要求：

告知 - 組織必須告知當事人關於其個人資料的蒐集和使用目的，組織也必須提供個人在有任何疑問時，如何與該組織連繫或投訴、向第三方揭露資訊的方式，以及提供可用來限制使用和揭露的選擇。
選擇 - 組織應給予個人選擇同意或退出的機會，選擇是否提供可將個人資訊透露給第三方或用於不符合當初蒐集目的的授權，組織必須尊重當事人依其權利所作法的選擇。
轉送 - 若組織要將個人資訊揭露給第三方，必須符合以上提到的告知和選擇原則，同時若作為轉讓資訊的代理人，必須確保第三方同樣遵守安全港隱私保護原則，像是訂立書面協議，要求第三方至少也要提供相同水準的隱私保護方式。
存取 - 個人擁有合理存取在組織中所持有個人資訊的權利，而且能夠要求更正、修改或刪除不正確的個人資訊，除非此要求將產生和個人隱私不相稱的風險，或是會侵犯到其他人的權利，組織才可拒絕提供。
安全 - 組織必須採取合理的預防措施，保護個人資訊不會遺失、被濫用，以及受到未經授權的存取、洩露、竄改和毀壞。
資料完整性 - 個人資料必須使用於和蒐集有關的目的上，組織必須採取合理的步驟來確保資料的可靠性，以達成預期合理的使用、正確完整和及時更新。
執法 - 為了確保符合安全港的隱私保護原則，組織必須：(a)建立易於獲得的獨立申訴機制，使每個人的投訴和糾紛可進行調查和解決，提供適用於法律或隱私部門的損害賠償；(b)確認公司承諾遵守安全港原則的程序已被實施；(c)若未遵守原則時，必須負起矯正所產生問題的義務，同時制裁措施必須夠嚴格，未符合要求就無法列入安全港組織清單中。組織如果未能提出年度的自我認證書，也會被從參與者名單中除名，組織遵守安全港的利益也將無法被保證。(本文刊載於2013年3月號網管人雜誌)

[參考資料]

1. IAPP - Information Privacy (Official reference for CIPP)

2. U.S.-EU Safe Harbor Overview - http://export.gov/safeharbor/

[專欄] 個資保護與隱私維護系列(二) - 個資保護與隱私維護的基本原則

Tue, 23 Apr 2013 14:08:00 +0000

隨著個人資料保護法的實施，個資保護已成為政府與企業不得不進行的重要工作之一，但是在立法的精神之中，除了強調個資保護責任，隱私維護更是不可或缺的重要支柱，如果無法維護個人隱私，也就意謂著個資保護一定不夠周全。

在資安的領域之中，若是談到資料的保護，實施起來並不是一件十分困難的事，只要組織的管理階層願意提供支持，同時參考資安相關的標準來建立管理制度，並且採取適當的技術控制措施，在資安方面，即可達到一定程度的防護要求，也能大幅降低因發生資安事件而對營運造成衝擊的風險。

不過，只要在保護的資料之中牽涉到個人資料，並且含括了隱私維護的要求，單靠技術層面的控管，恐怕就不足以因應法律層面的要求。因此，如果要落實個人隱私維護，就需要補充更多對法令的認識，以及對於個人隱私的認知與尊重，這和單純的資安防護比較起來，有著相當不同的思維與因應作法，也是一項更加多元的挑戰。

近代隱私維護發展的歷史

所謂的隱私，指的是個人能夠自由地選擇在什麼情況之下，向哪些人揭露多少程度的個人資料和行為，主張個人有權利去保護針對個人生活與家庭可能產生的直接侵擾，並且限制與個人有關的資訊被發布。

從歷史發展的角度來看，隱私的概念最早源自古希臘和聖經，在回教可蘭經中也有相關的記載，對支持隱私權的人士來說，在1890年由Samuel Warren和Louis Brandeis在「The right to privacy」這篇論文中所提到的「the right to be let alone」，已成為支持隱私權最重要的引用基礎。

至於現代第一部個人資料保護法，是在1970年由德國公布，主要目的是因應資訊科技的高度進步和發展，可能會對個人隱私所造成的影響；同年，美國也誕生了第一部有關隱私的法律，但主要是針對保護消費者的信用資訊。而隱私保護最知名的論點，則是來自於小說「1984」裡的老大哥隨時都在看著你(big brother is watching you)，讓人們得以了解個資保護與隱私維護的重要性。

個資的類別與區分原則

依據個人資料保護法的定義，所謂的個資是指可以直接或間接識別到特定個人的資料，這部分與歐盟的個資定義相同，換句話說，只有屬於可識別到個人的資料，才會受到個資法的保護。因此，如果有些資料加以去識別化，或是採取匿名或遮蔽的方式，就不適用於個資法的要求，即可歸屬於非個人資料。

在個資法尚未實施之前，大多數企業對於資料保護的要求，主要都是針對非個人資料，包括像是營運資訊、研發產權、產品與服務資訊等，所採取的方式也比較簡單，只需保護資料本身即可，不需要兼顧所謂的個人隱私要求。只不過，在所謂「可識別至特定個人」這條線之間，仍然存在的許多模糊地帶，例如以網路IP位址為例，到底它是否屬於個資，在不同國家的法律和法庭之間，就有著不同的認定方式。

以歐盟(EU)而言，IP位址是被視為可識別至特定個人的個資，美國聯邦貿易委員會(Federal Trade Commission；FTC)也認為，若IP位址與醫療健康資訊有關，就會被認定為個資之一。但是，在愛爾蘭的法庭卻認為，IP位址並不構成所謂個人資料的要件，因此不被視為是需要保護的個資。

從隱私的角度來看，目前與個人資料有關的隱私類別，可以區分為以下四類。

資訊隱私：包括了醫療資訊、金融資訊、網路使用與社交活動記錄等，主要關注於需建立規則來妥善地管理和個人資料有關的蒐集與處理行為。

身體隱私：與身體有關的隱私包括了所進行的身體檢查、藥物測試、基因測試，也包含了和個人有關的血統、墮胎、收養等資訊，它主要專注在與個人身體有關的各項行為。

通訊隱私：要求保護與個人通訊有關的意圖和內容，包括了傳統信件、電子郵件、電話溝通及其他可用來實現通訊行為的軟硬體設備，像是現今流行的即時通訊App等。

領域隱私：它是和個人環境有關，這些區域包括了個人住宅、工作場所和公共區域等，主張可以用來侵擾他人領域的能力，都應受到適當的限制，例如架設可監控錄影的攝影機、要求出入需要檢查身分證件，以及其他類似的做法等。

企業面臨的個資與隱私風險

為了保障個人隱私和說明個資被蒐集的情況，許多組織都會在其用來蒐集個資的管道中，透過個資保護政策(policy)或隱私聲明(notice)來告知使用者，這些隱私政策和聲明的目的，除了可以宣達組織的個資保護責任之外，同時也是為了教育使用者的隱私觀念。

對組織而言，由於隱私所牽涉的範圍很廣，可能包括了個人、法律和商業運作等諸多層面，加上許多的隱私保護要求，也是來自於法律法規、產業協定和商業合約等，除了需要考慮這些外部要求之外，內部的聲音同樣也不能忽視，包括像是保護員工個人資料、提供工作場所的隱私維護、實施資訊系統的監控與記錄等，都是企業在評估個資與隱私風險時，不可遺漏的一環。

為了有效管理個資與隱私所帶來的風險，最簡單的方式是從個資生命週期來著手，以下是在各個階段需要審慎考量的重點。

蒐集階段：個資的蒐集應受到適當的限制，更要取得當事人的同意，以避免過度蒐集。舉例來說，以往一些大賣場在舉辦抽獎活動時，總是要求消費者必須在抽獎券上填寫其個人資料如姓名、電話、身分證字號等，但讓人無法理解的是，難道沒有身分證字號就無法進行抽獎嗎？其中之一的解釋理由是因為獎品有課稅問題，所以就必須要填寫身分證字號，可是事實上，如果已經有了姓名和電話，在中獎之後再通知中獎人填寫即可，若在一開始的時候就強制要求，這就是所謂的過度蒐集了。
處理階段：所謂處理是指將所蒐集的個人資料編輯成為個人檔案的過程，在這個過程之中，必須確保資料的正確性與完整性，並且實行安全措施以防止資料受到未經授權的竄改。處理過後的資料，組織通常會加以儲存，在儲存時必須注意資料所存放的地點是否安全，以及指定所需保存的期限。
利用階段：組織必須確保個人資料的利用需符合當初蒐集時所告知的使用目的，並且限制只能在此範圍內利用。如果需要做不同的用途時，依照個人資料保護法的規定，必須重新取得當事人的書面同意才行。
傳輸階段：個人資料在傳輸時，必須注意所使用的資料載體是否安全，最常見的載體包括了網路和可移動式儲存裝置(如USB硬碟、隨身碟、光碟、磁帶等)。在透過網路傳輸時，請務必採取加密的方式(如SSL或VPN)，至於使用可移動式儲存裝置時，則需要了解原先設定的權限控管方式，若無法延伸至這些設備上時，就要採取補償性的控制措施才行，像是對資料進行加密，或採用可上鎖的箱子來攜帶資料，這些都是實務上可行的辦法。
銷毀階段：一旦個人資料過了需要保存的年限，最好的方式就是把它銷毀，以降低持續保管可能帶來的風險。對硬體設備而言，實體破壞是確保資料完全消失的最好作法，其他可採取的方式還包括低階格式化和消磁等。至於紙本文件的銷毀，則可採取集中焚毀或是水銷方式進行，目前也有業者提供了可全程監控，並且附上證明的資料銷毀服務。

尊重個資當事人應有的權益

對個資的當事人來說，除了應告知其個資將如何被蒐集之外，最重要的前提是必須獲得當事人的同意才行，因此蒐集個資的組織除了提供明顯的宣告之外，並且也要明確陳述其利用目的，以便足以讓當事人明瞭並獲得其同意。

目前，個人資料來源主要有以下三個：

公開記錄：通常是由政府來蒐集並提供公開查詢，例如房產交易與地政資訊等。

公眾可得的資訊：指容易被大眾所取得的個資，包括電信公司提供的用戶電話簿、報章雜誌、媒體報導，以及今日最常見的網路搜尋引擎、社群網站等，可由此輕易獲得眾多和個人有關的資訊。

非公開的資訊：指受到法律保護或依慣例不太容易被取得的資訊，包括了醫療記錄、金融交易資訊、員工受雇資料等。組織在蒐集個資時，還必須要給予當事人選擇提供與否的權利，實務上常見的作法為提供「Opt in(選擇參與)」和「Opt out(選擇退出)」這二種方式。Opt in是指當事人主動地確認其個人資訊可被蒐集或分享給第三方，例如在填寫會員申請表時主動勾選同意分享其資料供其他合作廠商作為寄發廣告之用，或是願意收到來自第三方所寄送的產品資訊。另一種Opt out方式，則是提供給當事人退出的選項，例如在加入網路新聞論壇時，若當事人未勾選拒絕接受所傳送的電子郵件訊息時，相關的訊息將會持續發送給當事人，直到其主動表達拒絕為止。

如今，依據個人資料保護法所賦予當事人的權利，當事人可以向持有其個資的組織，要求提供查詢、閱覽其個資檔案或是提供複製本，並且也可以要求組織補充、更正或刪除其個人資料，甚至可要求停止蒐集、處理和利用其個資。

因此，組織務必要指派相關人員，並且制訂一項個資查詢回覆的作業流程，以因應當事人依法所提出的請求。對許多組織而言，從現在開始理解並尊重個資當事人的隱私權利，或許就是邁向善盡個資保護責任的第一步了。(本文刊載於2013年2月號網管人雜誌)

[參考資料]
IAPP - Information Privacy (Official reference for CIPP)

[專欄] 個資保護與隱私維護系列(一) - 資訊科技隱私專家證照–CIPP/IT

Sat, 23 Mar 2013 00:47:00 +0000

隨著個人資料保護法的正式上路，身為資訊人員的您，除非本身具有法律背景，否則面對多如牛毛的法條與施行細則，在日常的IT維運中是否真能派上用場，若心中還是存疑的話，或許就該尋求其他的因應之道了。

在IT維運的日常工作之中，除了近年來日漸受到重視的軟體版權問題之外，資訊人員和法律打交道的機會幾乎是微乎其微，尤其是對於所謂的個資保護與隱私權概念，恐怕也是一知半解。但是隨著個人資料保護法已經正式實施，在許多的企業之中，個資法所要求的個資保護相關工作，許多責任都落到了資訊人員身上，這也驅使資訊人員必須要去學習這門新的顯學。

對資訊人員來說，法律知識是有專業門檻的，學習的重點也不是要去詮釋個資法條的意義，而是要將個資保護與隱私維護的精神，落實在日常的資訊工作之中。只是目前許多由法律專家所提出的建議，不見得能夠完全應用在資訊系統，所以到底該如何找到一個因應方法，就成為資訊人員頭痛的問題之一。

為了因應個資法，有人提出應該要先建置各項資安產品，如果沒有採用相關技術來確保資訊安全的話，想要達成個資法的要求，幾乎是項不可能的任務。事實上，雖然落實資安的確是個資保護的第一步，但是，企業如果想要遵循個資法的要求，除了導入資安技術之外，更需要懂得隱私相關的領域知識與管理實務做法，才能夠有效地達成個資法中對於個資保護與隱私維護的目標。

國際認可的隱私保護專家

目前，在國際上和個資保護與隱私維護有關的組織單位中，IAPP(International Association of Privacy Professionals)國際隱私專家協會是最大且廣泛受到全球企業認可的非營利機構，它成立於西元2000年，在全球70個國家之中有超過一萬名的專家會員。

IAPP的營運宗旨是希望協助各個產業和組織，能夠有效地保護其所控管的個人資料，並且提供給所有個資保護與隱私維護有關的從業人員，一個獲得教育訓練、知識交流和經驗分享的平台，同時也讓隱私專業人員在職業生涯中能有更好的發展。

在2004年，IAPP率先提出了針對隱私相關從業人員的CIPP(Certified Information Privacy Professional)認證考試，並且發展出橫跨美國、加拿大、歐洲和資訊科技產業的多項資訊隱私專家認證，一共包含了CIPP/US(美國)、CIPP/C(加拿大)、CIPP/E(歐洲)、CIPP/G(政府)及CIPP/IT(資訊科技)等五種證照，分別說明如下。

CIPP/US - 主要是針對美國的隱私法律和各州頒布的個人資料保護和隱私維護法規要求，取得此一認證的人員，可顯示其已熟悉美國本土相關的隱私保護法規和所需職責，並且了解敏感的個人資料從美國傳輸至歐洲或其他國家的法令規定。

CIPP/C - 主要是針對加拿大的資訊隱私法，對於想要取得此一認證的人員，必須熟悉加拿大聯邦和各省的隱私保護原則、要求及相關責任。

CIPP/E - 它是針對整個歐洲國家個人資料保護法、歐盟重要的隱私保護綱領、個資保護的實務做法及跨國資料傳輸的要求，想要取得此一認證的人員，必須了解歐洲法律法規的要求及實務上的規範才行。

CIPP/G - 這項認證主要是提供給與美國政府單位相關合作的人員，能夠了解美國政府的隱私法規和特定政府部門的個資保護要求，同時相關的隱私維護知識，也適用於其他公眾事務與私人企業。

CIPP/IT - 這項認證主要是適合資訊相關從業人員，若是取得了此一認證，可以展現個人已了解各項資訊科技產品與資訊服務，在研究、開發、部署和稽核的過程中，能夠應用個資保護與隱私維護的實務作法，充分地了解並滿足相關個資與隱私法規的要求。

資訊人員必備的隱私知識

目前，許多資訊人員為了獲得與個資保護有關的專業知識，除了瀏覽個資法律條文或參加資安研討會之外，並沒有適當的管道可提供足夠的個資保護與隱私維護專業訓練，尤其是許多負有重責大任的資訊人員，也不清楚自身的專業知識技能，是否已足以應對個資法對於資訊系統的要求。

因此，透過CIPP所提供系統化的知識領域要求，無論是從頭開始學習個資保護與隱私維護領域知識，或是驗證自己的資安專業技能是否已經足夠，可將它視為是一項自我審查的好方法。如果您想要取得這項認證，首先必須要加入成為IAPP的會員，並且通過Certification Foundation基礎考試，接下來才能依照自己的專業領域或需求，選擇想要取得的證照。

CIPP基礎考試的時間為90分鐘，一共有90個單選題，考題所涵蓋的知識領域(Common Body of Knowledge)包括了個資保護與隱私維護的共通概念與國際通用的原則，無論是屬於哪個國家或產業的人員，都必須要對這些知識有一定程度的熟悉與了解，主要涵蓋的四個領域如下：

隱私維護的一般原則與方法 - 應考人員必須了解近代隱私維護發展的歷史、個資保護的架構與原則、個人資料的類別與定義、個資保護與隱私維護對企業可能的風險與衝擊，以及資訊的生命週期。
司法管轄與產業要求 - 應考人員必須了解不同地理區域與國家，對於個資保護與隱私維護的法令要求，也要了解包括健康醫療、金融、電信、線上網站、政府、行銷、人資等不同產業對於隱私維護的要求。
資訊安全與個資保護措施 - 應考人員必須熟悉有關資安的各項基礎知識，像是確保資訊安全的關鍵要素、ISO 27001資安管理標準、資安威脅與弱點的識別、資安控制措施等。
線上隱私維護 - 應考人員必須了解含有個人資料的網站，應如何落實個資保護與隱私維護，並且熟知網站安全機制和確保線上隱私的各項基本要求。

掌握資訊科技的隱私風險

在通過CIPP基礎考試之後，接下來還需要參加額外的單科考試，才能正式取得CIPP提供的任一專業證照，CIPP/IT的考試時間為70分鐘，需要完成作答60道試題，考題所涵蓋的知識領域包括：

系統活動對使用者隱私的影響 - 應考人員需要了解系統中所包含的個人資料類別與處理流程、了解系統開發過程中的隱私維護、了解資料存取儲存與傳輸的安全，以及如何將隱私要求納入系統設計之中。

使用者對隱私的行為要求與期望 - 應考人員必須了解當資訊系統作為服務提供給使用者時，使用者對於隱私維護的期許作法，例如在電子商務服務中使用確保個人隱私與權益，定義營運人員的個資保護職責，以及系統監控的作法與要求等。

個資保護與隱私維護的方法 - 應考人員需要了解資訊系統可實施的保護作法來消弭與法規要求的落差，並且熟悉可以採用的安全技術與隱私維護工具。

提供告知與選擇 - 應考人員需要明白如何在資訊系統之中，提供法律所要求的告知事項和使用者所需的隱私選項，並且獲得使用者的同意。

稽核與實施IT相關隱私標準 - 應考人員需要了解在資訊服務中，所適用的個資保護與隱私維護法規標準，例如ISO 38500、COBIT、ITIL、PCI DSS、HITRUST等，同時也要熟悉如何進行個資保護與隱私稽核，以及明白IT稽核員應有的角色與職責。

不同資訊技術所帶來的隱私衝擊 - 資訊科技不斷地發展進步，面對各項新興的資訊服務，像是雲端應用、RFID、GPS與GIS地理資訊系統、身分識別技術等，應考人員必須了解其可能帶來的隱私衝擊與風險。

學習是資訊時代最好的投資

對於資訊人員而言，透過準備並取得CIPP/IT認證的過程，可以強化自己對於個資保護與隱私維護要求的專業能力，尤其是一旦被組織指定為個資工作負責人或窗口，將有充分的自信與實務知識，能夠協調人員、分配資源、指派工作以達成個資法的各項要求。

CIPP/IT認證的好處是它不限定在國家、特定產業和工作職務，無論您是系統操作人員、程式開發人員、硬體研發人員、IT經理、網站管理人員、法務人員、資安人員等，都可以藉由閱讀考試教材或參加課程訓練，來補足自己在個資保護與隱私維護的專業認知與實務技巧。

目前，除了各國政府單位之外，包括了IBM、HP、Intel、微軟、Ernst & Young、PWC、KPMG、Deloitte等四大會計事務所都是國際上認可CIPP證照的企業之一，在這新的一年，如果您有志於朝向個資保護與隱私維護的工作目標發展，或許CIPP/IT就是您的最佳入口了。(本文刊載於2013年1月號網管人雜誌)

註：CIPP/IT目前已更換名稱為"Certified Information Privacy Technologist (CIPT)"

[參考資料] https://www.privacyassociation.org/

[新知] ISO 27001:2013 國際標準草案(DIS)版

Wed, 20 Mar 2013 13:58:00 +0000

為了因應ISO 27001在今年即將改版，BSI英國標準協會今天舉辦了ISO 27001國際標準草案版(Draft International Standard, DIS)的說明會，會中說明了幾個改版之後的方向，可做為已經導入或是即將導入ISO 27001的單位做為參考。

標準架構的改變

ISO 27001將採用標準化的ISO Annex SL架構，這個架構已經率先使用在先前已公布的ISO 22301(BCMS)身上，這種作法的好處，在於可解決以往各項標準章節內容不一的問題，未來組織若是需要整合各項管理標準的話，實施起來會更加地容易。

採用Annex SL架構的新版ISO 27001共有10章，同樣維持著PDCA的循環概念如下：
0 Introduction
1 Scope
2 Normative references
3 Terms and definitions
4 Context of the organization (Plan)
5 Leadership (Plan)
6 Planning (Plan)
7 Support (Plan)
8 Operation (Do)
9 Performance evaluation (Check)
10 Improvement (Act)

標準內容的重點

其中第3章的名詞解釋，在新版標準中已不再提供，而是以參照方式直接對應到ISO 27000的內容，由ISO 27000來解說整個ISMS標準家族和名詞定義。其他各章的重點，說明如下：

在第4章的組織方面，要求先了解組織的現況和來自於內外部的期許與需求，然後再去決定ISMS實施的範圍，建立起實施ISMS的計畫。

在第5章領導統御方面，需要獲得管理階層對於實施ISMS的承諾，確保ISMS與組織整體的管理流程是一致的，並且提供所需要的支持。在制定資訊安全政策時，必須清楚的定義各項目標，採用5W1H、可持續可量測的方式，以符合資訊安全的要求。對於和資訊安全有關的組織，必須定義清楚各項角色的權責，並能明確地指派和溝通。

在第6章的計畫方面，組織要依據第4章的組織現況和需求，並參考ISO 31000來進行資訊安全風險的評鑑與處理，建立可達成的資訊安全目標和計畫。

在第7章的支援方面，需要決定並提供所需要的資源，建立詳細的訓練計畫，確保內外部的溝通順暢，並且建立保存相關的文件化資訊(舊版的文件與記錄已統稱為文件化資訊)。

在第8章的運作方面，需依照所計畫的內容實施控制措施，並且執行資安風險評鑑和風險處理。

在第9章的績效評估方面，需要持續地進行量測、監控與分析，定期地實施內部稽核，並且召開管理審查會議。

在第10章的改善方面，針對不符合的事項需要實施改善行動，並且確保它不會再重覆發生(舊版中要求的預防措施已被移除了)，最後是和所有的管理制度一樣，都要依照PDCA不斷地來持續改進。

控制措施的差異

新舊版在附錄A控制方面的差異在於，控制項目由11項增加為14項，其中有舊版的一項被區分為二，另外也加入了兩個全新的項目。控制措施總數則由133個減少至113個，主要是合併了許多舊有的控制措施，並且加入了如行動裝置政策等多個新的控制措施。

A.5 Security Policies
A.6 Organization of information security
A.7 Human resource security
A.8 Asset management
A.9 Access control
A.10 Cryptography (新增)
A.11 Physical and environmental security
A.12 Operations security (由舊版A.10 獨立出來)
A.13 Communications security (由舊版A.10 分開獨立出來)
A.14 System acquisition, development and maintenance
A.15 Supplier relationships (新增)
A.16 Information security incident management
A.17 Information security aspects of business continuity management
A.18 Compliance

因為附錄A的控制項目與控制措施都已作了修改，所以ISO 27002勢必也會跟著一起改版，目前新版ISO 27001:2013預計將會在10月19日正式公布，且讓我們拭目以待。

[資料來源] BSI國際標準草案說明會 (2013-03-20)

[觀點] 雲端運算安全入門(完) - 虛擬化安全與雲端資安服務

Wed, 27 Feb 2013 07:49:00 +0000

上一次我們探討了雲端服務的身分驗證，提到目前許多雲端服務綁定的都是使用者的帳號，如果沒有實施強健的安全機制，一旦帳號被挾持，就會產生嚴重的安全問題，本期將說明此系列文章的最後一個單元，說明雲端運算採用虛擬化技術的安全風險和透過雲端所提供的安全服務。

在雲端運算的領域之中，最早被許多人認為是一種雲端技術的就是虛擬化技術，但事實上在雲端運算還沒有成為熱門的話題之前，虛擬化就已經被運用在儲存系統中，而且進一步擴展到主機層的虛擬化及網路層的虛擬化。

對雲端運算的三種服務型式-SaaS、PaaS、IaaS而言，虛擬化目前已被廣泛的運用在IaaS服務之中，藉由虛擬主機(VM)的幫助，服務供應商提供了一個巨大的虛擬資源池(pool)，讓雲端運算可以快速且彈性的擴充，並且支援多租戶的方式，讓使用者可以採自助的方式，自由地調配所需的運算能力(包括CPU處理器、記憶體容量、儲存空間及虛擬主機的數量等)，同時虛擬主機也可作為提供SaaS、PaaS等服務的強大基礎。

虛擬化可能的安全風險

雖然虛擬化為服務供應商在基礎設施方面，降低了許多建置的成本，但是在方便快速的背後，虛擬化也隱含了許多資安方面的風險，目前最常被關注的就是虛擬化應用了Hypervisor作為了虛擬主機的管理層，一旦它被攻陷而被惡意人士操控時，就可能會影響所有在它之下的虛擬主機安全。

其次，虛擬主機作為多租戶方式提供給不同的使用者來操作，如何有效地區隔並控制在同一實體主機上的網路安全，避免彼此之間的干擾和刻意的攻擊，也是服務供應商的一大挑戰，而且在使用者租用完虛擬主機之後，如何確保曾經儲存過的資料會被徹底銷毀，除了技術面的保證之外，使用者對於服務供應商的執行過程和信任，至今仍然是一個容易受到質疑的問題。

至於在虛擬主機之間的網路流量方面，由於是在實體主機的背板上直接傳輸，傳統的網路安全設備如防火牆、入侵偵測系統等將無法偵測並阻擋可能的惡意行為，因此就必須採用同樣已虛擬化的防火牆、入侵偵測系統等，來監控虛擬主機之間的網路流量，另外，新一代的網路安全設備可透過API層和與Hypervisor管理層的結合，也能夠將實體的網路架構和虛擬化環境結合，同時來管控所有產生的網路流量。

採用虛擬化技術的安全建議

在雲端安全聯盟(CSA)所提出的雲端運算關鍵領域安全指南中，針對虛擬化技術所提供的安全建議，包括：

使用者應該識別服務供應商所採用的是何種虛擬化技術，並注意所公布關於虛擬化技術的安全漏洞和修補方式。另外，和傳統的作法一樣，使用者必須區隔測試用的虛擬主機和實際上線的虛擬主機，以避免可能的互相干擾和資料混用的問題。
使用者必須確保在每一台虛擬主機中，都具備所需的安全機制如防火牆、防毒軟體、入侵偵測系統等，除了供應商所提供的安全機制之外，也可以考慮採用第三方的安全服務，減少對供應商的依賴，強化所使用的虛擬主機安全。
注意虛擬主機映像檔(VM Image)的安全，如果含有惡意程式的虛擬主機被直接佈署到虛擬化環境之中，也就等於越過了外在的防禦，可以直接由內部發動攻擊。因此，未使用的虛擬主機映像檔，建議採取加密的方式，以避免受到不當的利用。
如果是含有敏感資訊並有高安全要求的虛擬主機，它的映像檔無論在關機或運作時都應該加密，雖然加密的作法可能會降低虛擬主機的效能，但為了安全性考量則是可以接受的。同時也要注意若對虛擬主機實施了Snapshot備份，是否會間接造成此一控制失效的問題，因為惡意人士也可能從備份的Snapshot中，提取出想要獲得的敏感資訊。
在虛擬主機尚未啟動之前，通常是處於關閉的狀態，換句話說，它無法即時地去更新作業系統的修補程式(patch)，以避免利用已被發現的安全漏洞來進行攻擊。因此，當這些虛擬主機被啟用之後，應該先進入一個隔離的區域，並且在更新完所有新增的修補程式之後，才能夠進入到正式的作業環境之中。

透過雲端實現的安全服務

雲端運算的興起，除了改變傳統的IT服務之外，對於強化資訊安全方面，也提供了許多貢獻，過去許多企業礙於人力、成本、效能或更新速度的問題，遲遲未能採用的資安防禦方式，藉由雲端安全服務(Security as a Service；SecaaS)的採用，可以降低企業在安全管理上的負擔，並且獲得更加充裕的安全技術支援，協助企業降低所面臨的資訊安全風險。

對企業來說，採用雲端安全服務的優勢是可以馬上獲得業界的最佳實務(best practice)和許多技術專家的支援，並且透過雲端可量測的服務與透明的報表，企業也可以清楚地了解資安方案對企業整體的效益。舉例來說，針對防毒服務，企業可依據實際的電腦數量和使用者人數的增長再來選購所需的服務；另外，軟硬體等安全設備維護與每天產生的日誌(Log)管理，都可藉由委外的資安服務來提供協助，降低企業內部自行營運的管理成本。

目前，業界所提供的雲端安全服務有：

身分識別(IAM)服務 – 透過雲端來進行使用者的身分驗證，並賦予使用者所需的存取權限，可以解決企業跨區域國界的驗證效能問題，並且可透過雲端服務來保存各項登入與存取記錄，甚至匯整到資安事件管理(SIEM)服務，以因應不當存取的資安事件，提供預防和處理的機制。

防資料外洩(DLP)服務 – 在防止資料外洩方面，佈署DLP方案是一種可以預防資料從各項傳輸管道不當洩露的控制措施，透過中央政策(Policy)的制訂，並在終端設備如筆記型電腦安裝代理軟體(Agent)，可以管制資料從各種週邊介面(如USB)傳遞的內容，如果內容違反了企業安全政策(例如含有個人資料或信用卡號)，則可即時地加以阻擋。

網站(Web)安全 – 企業可以將網頁瀏覽的流量導引至雲端服務之中，藉由服務供應商所提供的分析機制，可以阻擋不當的網頁瀏覽和惡意程式的下載。即使使用者已離開了企業內部，仍然可以透過雲端服務，讓使用者的網站瀏覽行為受到保護，甚至可進一步強化使用者在使用網站應用程式時的安全。

郵件(Email)安全 –可以避免使用者掉入垃圾郵件、詐騙郵件的陷阱，即時阻擋使用者打開惡意的郵件附檔，並且透過身分驗證機制、數位簽章和加密方式，來確保郵件內容的正確性與安全。

資安事件管理 – 藉由供應商所提供的資安事件管理平台(SIEM)，可以協助企業匯整所有的事件記錄，並提供關聯式分析來協助企業評估和預防可能的資安事件，並且協助進行處理。對於事件記錄的保存，能提供完整性的防護，以作為安全事件的調查和相關報告的證據。

營運持續與災難復原 – 透過雲端強大的運算能力與可彈性調配的資源，對於無法接受IT服務中斷的企業而言，可以透過雲端來達成應用程式與資料備援的目標，一旦事故發生而需要在另一個地點重啟服務，服務供應商可快速提供在不同地點的應用程式、資料存取和IT基礎設施所需要的各項資源。

盡可能識別並管理雲端風險

藉由雲端所提供的安全服務，雖然能為企業帶來許多優勢，但同樣地它也具備了雲端服務共同存在的弱點與風險，例如企業必須確保網路的暢通與安全的連線管道，才能放心的採用雲端安全服務；雲端安全服務同樣依賴服務供應商與使用者所簽訂的服務等級協議(SLA)規範，一旦協議內容不夠完善或是服務供應商無法達成使用者的要求，使用者同樣需要預先考慮雲端服務的可移植性和資料移轉的問題，這些都是所有雲端服務不可輕易忽視的重點。

最後要提醒大家，目前雲端服務仍在不斷演進與成長之中，雖然雲端運算安全指南已為我們點出了需要關切的安全問題，但是仍然有許多未知的安全風險可能產生，我們唯有持續並盡可能地意識到可能的風險，才有辦法去管理風險，並且將風險降到可以接受的程度。希望這一系列的文章，能夠給所有服務供應商和使用者作為參考，並且讓我們一起來共同努力，才能打造出更好的雲端運算環境，提供更加安全便利的各項雲端服務。(本文刊載於2012年12月號網管人雜誌)

[參考資料]
CSA：Security Guidance for Critical Areas of Focus in Cloud Computing

[證照] CCSK v3 考試正式上線

Tue, 26 Feb 2013 14:01:00 +0000

目前CSA網站已正式提供CCSK v3版本的考試，新舊版本考試的主要差異如下：

考試題目增加為60題，應考時間也增長為90分鐘。(v2.1的題目為50題，時間為60分鐘)
如果之前您就已經付費並取得舊版CCSK的考試許可，也可以直接使用它來參加新版的考試。
如果您之前都是以安全指南v2.1的內容來準備CCSK考試，在2013年12月31日之前還可以選擇參加舊版的考試。
對於已經通過考試並取得CCSK v2.1證書的人，並不需要參加新版考試來維持證書的有效性。在2013Q3，CSA將會提供一個免費的線上自我學習升級模組，讓所有取得CCSK的人都可以更新到v3版本。
從2013年5月開始，CCSK考試費用將調整為345美元(v2.1為295美元)，一樣擁有兩次的考試機會，如果您之前就已經付完費用，或是在5月1日前先付費取得了考試許可，它都不會過期並可在任何時間參加考試。(這也就是說想取得CCSK認證的朋友，可以趁還沒漲價之前，就趕快先去完成報名吧!)
如果想要準備CCSK v3考試，可以參考新版的考試準備指南：
https://cloudsecurityalliance.org/wp-content/uploads/2013/02/CCSK-Prep-Guide-V3.pdf

依據個人參加CCSK v3 beta版的考試經驗，新版本的考試依舊是有點難又不會太難，考題的問法和v2.1差不多，選項為多選一的方式，並搭配了幾題是非題(二選一)，也同樣需要答對80%以上考題才能過關。

至於在考試內容比例方面，v3的考試92%為安全指南的內容，8%為ENISA白皮書的內容，已經不考所謂的雲端運算常識題了。如果只研讀v2.1的安全指南內容就去應試v3，估計大概只能拿到70%的分數，所以未來勢必也要熟讀v3的安全指南內容，再加上ENISA的白皮書，才能順利通過新版的考試囉。

[資料來源]
https://cloudsecurityalliance.org/csa-news/ccsk-version-3-english-examination-is-now-available/

[觀點] 雲端運算安全入門(十二) - 雲端身分驗證與存取管理

Sun, 06 Jan 2013 14:35:00 +0000

上一次我們談到了雲端資料加密與金鑰管理的佈署重點，需要考量資料所在的位置及傳輸方式，作為選擇對應加密措施的基礎。至於在金鑰的管控方面，針對生命週期中的各個階段，金鑰本身同樣也需要實施適當的保護與備援機制，本文將說明有關雲端身分驗證與存取管理的重點。

在現今網路發達的資訊時代，每個人在每一天或多或少都會使用到各式各樣的資訊系統，像是使用電子郵件、瀏覽臉書，或是進行網路購物、線上拍賣，甚至是網路銀行等。基本上，每當使用者登入資訊系統，並且能夠存取資訊時，至少都會經過三個階段，首先是要確認使用者的身分，其次是系統會決定給予使用者的權限，最後則是留下驗證與授權的各項記錄，以確認是否符合相關政策與程序的要求。

在還沒有雲端服務之前，以上所提到的三個階段，幾乎都是在企業的內部環境中進行，由資訊部門自行來管控，並且互相協調網路、系統和使用的應用程式。但是隨著企業採用了雲端服務之後，這些作業方式就可能會跨出企業的邊界之外，改為由服務供應商來協助提供，而且隨著所採用的雲端服務模式與部署架構，有關身分驗證與存取管理的方式將變得複雜，同時也無法完全由企業內部的資訊部門來完全掌控。

提供身分驗證的安全機制

針對身分驗證與存取管理，業界普遍所提供的資安解決方案稱之為IAM(Identity and Access Management)，在IAM之中至少會有三個層面是必須重視的，分別為驗證(Authentication)、授權(Authorization)及稽核(Auditing)。

在驗證方面，一旦使用者要求登入資訊系統時，必須要確認使用者或是提出要求登入的另一系統或應用程式的身分，所以將會採取一個身分驗證的流程。目前，資訊系統用來驗證身分的方式，不外乎有以下三種：

你知(What you know) – 這是一種最常見，也是所有資訊系統幾乎都會內建的一種身分驗證方式，例如以使用者所知曉的帳號與密碼、約定的暗號及預先設好的問題答案等，這些都是可作為確認使用者身分的一種方式。
你有(What you have) – 藉由使用者持有獨一無二的物件，作為識別身分的憑據，常見的像是身分證(ID card)、提款卡、電子憑證等，作為佐證來判定使用者的合法身分。
你是(What you are) – 這是目前成本比較高昂，也是較難被破解的一種身分驗證方式，所採取的作法就是確認使用者的生物特徵，例如指紋、虹膜、視網膜、臉型、聲音、掌紋、指靜脈等。以上所提到的身分驗證方式，無論是哪一種都可以作為獨立的驗證方法，但是如果能夠同時採取兩種以上的驗證方式，其安全強度將遠遠高於只採取一種的作法，這也就是俗稱的多因素驗證方式，可以有效降低冒用他人身分的情況發生。

在通過驗證之後，並不代表使用者即可完全掌控系統，必須還要依照其身分來賦予適當的安全權限，在這裡有一項資安原則是必須要遵循的，稱之為最小權限原則(principle of least privilege)，也就是說對於使用者，只需要給予其作業所需的最小權限即可，而不是直接給予管理者或其他過大的權限。

無論使用者的身分是一般使用者或是系統管理者，在操作資訊系統的過程中，都必須要保留各項的記錄，以評估應如何適當控制其在合理的使用範圍內，並且可作為確認其是否遵守各項作業程序和政策要求，同時分析可能的安全事件，以降低系統所面臨的資安風險。

身分驗證的佈署方式

對傳統的資訊應用服務而言，在身分驗證方面採取的作法並不複雜，通常是在企業內部架設專屬的目務服務(Directory service)伺服器，並且設定各項存取政策(Policy)，讓各個用戶端設備及使用者，可以連接企業內部的目錄服務，並且可提供給各項應用服務來使用，以減少重覆登入的情況，同時也可串接多重的身分認證來源。

在這種架構之下，即使某些目錄服務有可能位於外部供應商所提供的伺服器中，但通常這是為了避免進行身分驗證時的效能問題，而將目錄服務同步至此一伺服器上，並非由外向內來進行覆寫，在風險方面仍是可以掌控的。換句話說，傳統作法的身分驗證機制，通常都是位於獨立的伺服器上，但是對雲端服務而言，身分驗證的方式卻可能會來自於不同的來源，所需要的授權流程也將改為必須依照供應商所制訂的方式來進行。

企業在採取雲端服務之前，對於身分驗證和存取管理，有以下幾個要素是必須要事先考量的：

身分供應方式 – 對於採用公有雲端服務的企業來說，創建新的使用者和回收已開設的帳號，將是必要的作業流程，所以了解服務供應商是如何提供所需的使用者帳號，以及如何刪除不再使用的帳號，就是必要的功課，這也將有助於企業分析如何將現有的使用者管理方式，進一步延伸至雲端服務之中。

身分驗證方式 – 一旦企業開始採用雲端服務，如何確保所採用的身分驗證機制具有足夠的安全強度，避免受到外來的破解入侵，將是不可輕忽的重點，因此了解雲端供應商的身分驗證方式，包括是否採取了多因素驗證或憑證管理，才可判斷此項雲端服務能否符合企業對於安全的信任和期望。

身分管理聯盟 – 在雲端服務之中，有所謂的身分供應商(IdP)是可以提供企業和服務供應商之間所需的身分管理服務，這時候，了解身分供應商與服務供應商彼此的合作關係，以及對於身分生命週期的管理就顯得相當重要，企業也勢必要了解這種作法，是否可以有效保護系統的安全性，以及確保資料的機密性與完整性。

身分驗證與存取管理的建議

在CSA的雲端運算關鍵指南中，對於身分驗證和存取管理，提出了以下建議，可作為企業在採用雲端服務時的評估基準與參考：

目前的雲端服務，藉由供應商所提供的身分驗證功能，可能無法完全滿足企業所需的功能要求，在這種情況之下，建議企業仍要避免採用獨特的身分連結與管理方式，否則將會增加身分管理的複雜性，以及未來無法易於遷移的問題。
採取業界標準的身分連結方式是最好的，像是目前廣泛運用的SPML模式，如果供應商支援此一服務供應標記語言，將會降低身分管理的獨特性，必要時企業也需要修改其身分授權的資料庫，以便延伸至雲端服務之中。
在身分證認方面，企業通常有兩種選擇，一種是採用企業認證，藉由身分驗證供應商所提供的服務，以聯盟方式來建立與雲端服務供應商的信任。另一種則是讓使用者以個人的名義，透過普遍應用的公有服務，像是Google、Yahoo、Windows live及Open ID等來建立可在多個網站使用的身分憑證。
如果企業使用的是IaaS的基礎服務，為了達成伺服器的管理要求，利用VPN來建立專屬通道，會是較為簡易的驗證方式，若是直接透過應用程式進行相互連結，那麼採用SSL的加密協定是必要的作法，應該確保應用程式在一開始設計時，即具備可接受此一形式的身分驗證。
隨著雲端服務愈來愈多，各項系統的身分驗證要求將形成企業運作的負擔，因此透過身分聯盟來減少登錄系統的要求是可行的作法，但要注意的是在不同的服務供應商之間，如何確保身分驗證的有效性，並提供所需的身分週期管理，將成為評估雲端服務供應商時的重要關鍵。

在雲端的環境之中，各項服務的應用都非常仰賴使用者的帳號和身分，一旦使用者的身分受到冒用或盜用，勢必對企業的營運和資訊安全會造成龐大衝擊，因此選擇具備一定強度以上的身分驗證方式，並事先了解可能面臨的安全風險，絕對是企業必要的功課之一，尤其是雲端服務很可能讓傳統的身分驗證變得更加複雜，並且產生以前所未知的資安風險，這是所有採取雲端服務的企業，務必要有的認知與挑戰。(本文刊載於2012年11月號網管人雜誌)

[參考資料]
CSA：Security Guidance for Critical Areas of Focus in Cloud Computing

[觀點] 個人資料的資安控制措施

Tue, 27 Nov 2012 15:15:00 +0000

在個人資料保護法尚未三讀通過之前，個資保護並不是一個受人矚目的熱門議題，個人資料頂多只是附屬在資訊安全工作中，需要被記錄的一項資訊資產。

雖然資訊安全是一項重要的工作，但是在過去，對於許多企業組織而言，卻不見得是一項必須要達成的營運目標，只有那些具有遠見的管理人員，為了降低可能因為駭客入侵或不當存取而產生資料外洩的營運風險，或是受到上級主管機關要求的政府單位，才會認為資訊安全是一項需要落實的工作項目，進而要求各個部門需要強化資訊安全。

如今，隨著個人資料保護法的實施，個資保護已成為一項勢在必行的工作，許多過去未曾在意資訊安全的企業組織，突然之間被要求需針對個人資料進行保護，並提出因應的相關做法，這時候往往都會感到不知所措。

即使是過去已經導入資訊安全管理標準ISO 27001的單位或是已具有資安風險意識的組織，在面對個資保護議題時也會出現一個很大的疑問，那就是現在已進行的資安工作到底等不等於個資保護工作？這是一個值得探討的問題。

保護個資先從重視資安開始

若是從個人資料與隱私維護的角度出發，我認為可以把資訊安全視為是一項必要的基礎工作，這也就是說，如果一家企業，它的資訊安全做不好的話，想要達到個人資料保護，似乎是不太可能的事。

因此，我們除了依照個人資料保護法條款的要求，必須盡到個人資料蒐集、處理和利用等相關責任義務之外，或許應該先回歸到資訊安全的基礎，針對個人資料來思考一些技術面或管理面的辦法，實施適當可行的資安控制措施，以確保個人資料的機密性、完整性及可用性。

所以，面對個人資料保護法的種種要求，基本上我們可以依照「大處著眼，小處著手」的策略來因應，首先請把握住大方向的資訊安全原則，再選擇可以針對個人資料實施保護的做法，這樣才不會流於只是東拼西湊，最終自亂陣腳而失去方向。話雖如此，那麼到底應該要從何處開始來著眼與著手呢？

對組織來說，建議可以從個人資料生命週期來予以著眼，也就是思考如何在個人資料的蒐集、處理、利用、傳輸及銷毀的過程中，都能實施相對應的管理辦法。目前，這部份可以參考國際經濟合作發展組織(OECD)和亞太經濟合作組織(APEC)的隱私保護原則來進行。

舉例來說，在個人資料保護法中，「蒐集」是指以任何方式來取得個人資料，而OECD和APEC針對個人隱私保護的指導方針中，就提到了個人資料的限制蒐集和告知原則，要求對於個人資料的蒐集應該有所限制，並且應該採用公正、合法的方式，在當事人同意之後才可以進行蒐集，同時也要透過隱私保護政策的聲明，讓當事人能夠清楚其個人資料被蒐集的類別和使用目的。依據這些可供參考的國際原則，我們就可以一一以文件化的方式來制訂相關的個資管理辦法。

至於小處著手的部分，我們可以將確保資料的機密性、完整性、可用性，作為個人資料的基本保護要求，使位於各處的個人資料都能受到妥善防護，以避免可能發生違法或損害組織的資安事件。

維護個人資料的機密性

想要達到維護個人資料機密性的目標，建議採取的資安控制措施，至少要包括資料分級和加密機制。針對資料的分級，相信許多人都知道，不管是紙本文件或電子檔案都可以依照其機密性來分為公開、內部使用、機密等各項級別，但是千萬別忽略了資料分級的目的，不僅僅是為了分級而進行，而是要讓所有人員能夠清楚在處理這些資料時，應該要採取的相對安全作法是什麼，所以除了要定義企業組織中的資料屬於何種級別之外，也要清楚說明其對應要求的安全措施。

例如以個人資料來說，為了尊重個人隱私並符合法律的要求，我們通常會將含有個人資料的文件或檔案，指定它屬於機密等級，因此在實務作法上，為了確保資料的機密性，針對含有個人資料的資訊系統，建議要實施身分驗證和權限控管，以確保只有經過授權的人才可存取。

另外，針對儲存個人資料的主機和資料庫，也要安裝防毒軟體或入侵偵測系統，並且定期修補、檢測是否存有安全漏洞。如果個人資料若需要透過電子郵件傳送給其他人，那麼就應該採取郵件的加密技術，或是針對附加檔案使用常見的壓縮加密方法，以避免電子郵件中途受到攔截，或是因為不小心寄錯收件人，而導致嚴重的個資外洩。

在此要特別提醒大家注意，資料加密只是為了確保內容不會受到不當揭露的基本作法，加密技術的本身並無法確認傳送資料的來源就是正確的傳送者，所以更好的作法是再搭配可識別身分的數位簽章，以確認資料來源的正確性與合法性。

維護個人資料的完整性

所謂資料的完整性，是指資料內容不會受到不當的竄改，並且能夠確保資料在處理和儲存時的正確與完整。因此針對個人資料，我們需要採取有效的身分驗證和授權方式，以確保唯有合法的使用者才能依照其權限來存取編輯個人資料。

針對身分驗證，基本上有三種應用方式，分別為你知(what you know)、你有(what you have)，你是(what you are)。

「你知」是最常見的一種身分驗證方式，例如個人帳號和密碼，幾乎是所有資訊系統都會內建的一種安全機制。在這個機制之中，要注意的是密碼本身是否要求一定長度(例如8碼以上)，具備足夠的複雜度(例如英文大小寫、數字及符號混合)，並且定期(例如3個月)要求使用者更改。

「你有」則是利用實體的憑證和Token等，來佐證其為帳號的合法使用者。

「你是」則是採用生物特徵，例如指紋、聲紋、臉型、虹膜等方式來確認使用者的身分。

如果存放個人資料的系統，能夠採取兩種以上的身分驗證方式，即是所謂的雙因素驗證，其系統的安全強度將遠高於僅採取一種像是帳號密碼的驗證方式。而除了身分驗證和授權之外，保存系統相關的日誌記錄(log)也十分重要，日誌記錄必須能夠完整的記錄系統的存取過程，因此管理人員所面臨到的第一件事，就是需要確認如何蒐集、如何存放，並且保護哪些日誌記錄。

系統的日誌記錄還需要定期的審查，因為它可能指出了正在發生的安全事件，所以一項好的日誌記錄管理系統，至少要能夠廣泛的支援常見的系統、網路、應用程式等所產生的日誌檔案，並且可以實施正規化以進行相關事件的彙整分析，同時也要儲存原始的記錄，以便作為未來訴訟的事件證據。在個人資料保護法中，和個人行為(如瀏覽網頁)有關的軌跡記錄，可能也歸屬於是一種個資，因此同樣需要實施妥善的保護。

維護個人資料的可用性

所謂的可用性，是要確保個人資料能夠在需要使用的時候可以被順利地存取，換句話說，可能會影響到資料存取使用的風險都應該被考量。一般而言，為了確保系統不會受到像是病毒、阻斷服務攻擊等事件，導致系統當機或網路中斷，間接影響資料無法存取的情況發生，安裝防毒軟體、防火牆、入侵偵測系統，已經成為一項基本的安全配備。

如果為了進一步確保和個資存取相關系統的可用性，事先選擇有效的資料備份方式、資安事件處理流程與災難復原計劃就顯得相當重要。在資料備份方面，通常可採取增量備份、差異備份和完整備份等方式，在此需要考量的重點是資料復原點(RTO)的設計，這就牽涉到企業組織必須評估自己能夠忍受多久的資料無法存取的時間。

另外，一旦資安事件發生時，相關部門必須思考其因應的處理作法，過去許多資安事件的處理可能會被歸於資訊部門應該負責的事，但是隨著資料的主體為個人資料時，和個人資料有關的其他部門，都應被納入來一併思考。

舉例來說，一旦發生員工的個資外洩事件，蒐集和處理員工個資的人力資源部門就需要了解可能的發生原因，並且通知當事人目前的外洩情況；儲存個人資料的資訊部門可能需要調閱個資存取的系統日誌記錄；法務部門可能需要評估法律相關的適用條款與賠償問題等。以上這些問題說來簡單，但往往是個資法實施之後的最大挑戰，因此若能及早因應的話，就能有備而無患了。

[觀點] 雲端運算安全入門(十一) - 雲端資料加密與金鑰管理

Sat, 24 Nov 2012 02:44:00 +0000

上一次談到了雲端環境對應用程式部署的影響，我們需要考量資料控制、資源共享和法規問題所可能帶來的風險，更應確保一開始在軟體開發生命週期中，已將安全問題納入成為檢測的重點之一，本期我們將探討雲端資料加密與金鑰管理。

在雲端運算服務之中，若以公有雲為例，雲端資料的儲存基本上是以委外方式來進行，這意味著除了同一個儲存資源會由多個用戶來共享之外，系統管理人員也可能會擁有可存取資料的權限，因此，如何確保資料的機密性與完整性，這是在雲端安全中最常被提出來探討的問題。

相對於傳統的IT服務而言，企業資料皆是存放在內部並且透過內網來傳輸和交換，如果擔心資料可能外洩或受到不當的竄改，最簡單的方式就是採取加密機制。例如使用電子憑證或壓縮加密方式，針對檔案本身來進行加密；或者是針對網路傳輸的管道加密，像是採用VPN或SSL加密等，當然兩種方式也是可以同時使用的。

可是一旦轉換到雲端的環境之中，企業到底該如何來因應這樣的情況呢？一般而言，傳統的加密方式在雲端之上仍舊是可行的，只不過在應用的過程中可能會讓作業模式變得較為複雜，進而違背了當初選擇採用雲端服務可以簡化資訊服務的初衷，所以是否要採取加密的作法，往往會讓企業陷於兩難的思考。

評估資料轉移後的安全

針對重要的商業營運的機密性或是和個人有關的敏感性資料，我們實施安全管控的目的是希望能確保它的安全，因此可能會採用身分驗證、存取控制和資料加密等種種措施來加以防護。不過，當資料可能從原先受到良好控制的環境，移動到不同的儲存地點或儲存媒體時，必須注意到原有的安全機制是否仍然存在。

舉例來說，某些資料存放在內部檔案伺服器時，在存取時會受到帳號密碼和系統權限的控管，但是當這些資料備份到磁帶之後，原先的安全機制可能會無法生效，因此必須採用其他補償性的作法，包括檔案加密、可上鎖的容器、專人遞送等，都是可行的辦法之一。同理，一旦資料移轉到雲端環境之中，也千萬別忘了要採用對應的安全措施，以避免資料受到侵害事件的發生。

雲端加密的佈署重點

對許多的雲端服務供應商來說，為了提高用戶對於雲端服務的信心，同時也避免可能的資料外洩問題，在其所提供的服務中，資料加密往往會是標準的安全配備之一，只是對於雲端用戶來說，除了期待供應商能夠提供這樣的安全機制之外，為避免可能會有供應商的內部員工不當存取，以及確保未來資料可以徹底的銷毀，也會採用自我的加密方式，為資料安全提供更多一層的保障，同時也降低對於供應商的過多依賴。

目前，在雲端環境之中，企業需要考量的加密實施重點，大致有以下三個層面：

加密靜態存放的資料 – 對於採用雲端儲存的用戶，如果資料需要長期的存放，可在採取自行加密之後，再傳輸到服務供應商所提供的儲存環境，這樣的作法可以讓用戶管理加密的金鑰，在必要時再自行將資料加以解密。

加密動態傳輸的資料 – 一旦資料離開可自行控管的安全邊界，需要傳輸到服務供應商所提供的雲端環境之中，並且在供應商的網路進行傳輸時，必須要確保資料能受到妥善防護。所以在選擇服務供應商時，就要先了解其針對資料傳輸的實際作法，評估是否具備所需的安全強度，並且明訂在合約之中。

加密備份媒體的資料 – 資料的備份若是採用一般的備份媒體如磁帶、光碟等，服務供應商通常會提供相關的加密作法，但這也會需要用戶來自行驗證加密的可靠性，並且確認資料可以在解密之後完全復原。

萬一在雲端的環境之中，實施資料加密的方式是有困難的，而且可能會對用戶或服務供應商的營運流程造成干擾，其實還有一些替代性的作法。例如用戶可以依賴供應商所提供的整體安全機制，但是當發現傳輸至雲端的資料若含有敏感性內容時，可以利用自行建置的資安產品技術，在資料傳輸之前將它修改，並加入可追蹤的資料標記。另外，如果傳輸的是可識別至特定個人的資料，也可以預先將特定的欄位內容進行模糊化，例如姓名、身分證字號、信用卡號等，以避免違反了個資法規的要求。

金鑰管理的安全建議

在雲端環境之中，採用加密的好處是可以強化資料的存取安全，同時也能確保一旦資料需要徹底銷毀時，透過銷毀加密所使用的金鑰，讓資料不會殘存在服務供應商或是輕易地被還原。但是考量到雲端多租戶的特性，對於公有雲的服務，使用單一金鑰方式來加密所傳輸和儲存的資料是不被建議的，而且為了避免過度依賴供應商，建議由用戶自行來維護加密機制並進行金鑰管理，將是比較適合的安全作法。

基本上，雲端的金鑰管理方式，相較於傳統金鑰管理要求是相同的，其考量的重點包括了：

金鑰的儲存保護 – 金鑰的處理方式應如同其他敏感的資料，因此在傳輸、存放、備份時都需要受到妥善的防護，尤其是金鑰的儲存地點要避免和加密資料位於相同的儲存媒體，以避免連帶性的災難同時發生。

金鑰的存取控制 – 誰可以取得並使用金鑰，是金鑰存取控制實施的重點，為了限制只有特定的個體才可使用，因此強健的身分驗證機制和職務角色的分離，都可以預防發生不當的資料存取事件。

金鑰的備份還原 – 金鑰一旦遺失，也就意味著資料再也回不去了，所以針對經過加密的重要資料，必須建立其安全的金鑰備份機制，在管理的作法方面，可以參考一些國際的協議和標準，例如OASIS和IEEE1619.3等。

在CSA的雲端運算關鍵指南中，針對金鑰管理方面，也提出了以下可供參考的建議：

無論採取何種加密和解密的產品方案，都應採取業界認可的金鑰管理實務作法(best practice)，並確認其來源的可靠性，加密方式也要依循相關的行業要求與政府標準，避免採用老式的加密作法如DES等。
請建立一系列的權責區分運作方式，例如將雲端服務供應商和金鑰管理方式分開，並且了解供應商的人員管理是否實施了職責分離，以避免系統管理員權限過大。
如果金鑰管理的機制是由雲端服務供應商所提供的，必須要確保金鑰的產生、使用、儲存、備份、還原和銷毀等生命周期，已經有適當的定義並導入管理作法，並且也要了解供應商如何區隔與管理多租戶在金鑰方面的使用。
針對金鑰的註冊和使用流程應進行完整的測試，尤其當企業採用了DLP方案或檔案內容偵測系統時，應確認相關的加解密動作可以順利的進行。
建議可將加密機制與金鑰管理運作與企業的身分驗證機制相結合，將可獲得彈性化的運作，並且易於進行安全審查和稽核。
包括靜態、傳輸和備份的資料，都應該納入加密的考量，如果採用了IaaS服務，包括虛擬機器(VM)的加密機制，也必須事前進行評估和了解。

了解您的雲端安全責任

在雲端服務之中，藉由服務供應商所提供的操作介面，我們看似可針對所擁有的資料進行上傳、編輯、下載等，進行種種的管理，但事實上用戶對於資料的掌控是受到限制的，例如無法得知資料實際所在的位置、資料被備份存放的地點，以及資料是否已完全進行銷毀等。因此，若想要避免可能的資安問題，並非都只是將責任完全轉嫁給服務供應商，自己不需要採取任何的安全措施。

當然，安全控管的實施內容是取決於用戶如何看待其所存放的資料，從現階段來看，在雲端服務之中，資料加密和金鑰管理已是可用來保護資料的機制，至於該如何實施，這就牽涉到用戶本身的企業營運模式，也請您務必要將法規風險放在其中來加以審慎評估了。(本文刊載於2012年10月號網管人雜誌)

[參考資料]
CSA：Security Guidance for Critical Areas of Focus in Cloud Computing

[觀點] 工作職場個資與隱私保護

Wed, 21 Nov 2012 14:11:00 +0000

隨著個人資料保護法的正式實施，目前與個人隱私保護有關的議題也逐漸躍上檯面，事實上，個人隱私是屬於憲法保障的人格權之一，因此對企業雇主而言，除了含有隱私的個人資料檔案，必須要有妥善的防護措施之外，如何去尊重員工的個人隱私權，確保工作職場的隱私保護，已是責無旁貸需要重視的地方。

依據個人觀察，有些企業老闆因為擔心員工將公司的網路、電腦拿來公器私用，所以喜歡安裝一些網路監控或電腦監看的軟硬體，以達到監督員工的目的，卻不知道在未告知員工的情況下，擅自實施這樣的作法，很可能已經侵犯到員工的隱私權。

最近，由某家人力資源業者所公佈的一份調查發現，有五成的上班族在求職時，曾遭遇過雇主詢問個人隱私的問題，包括像是身體特徵、婚姻情況、政黨問題等，這項結果也引發立委提案要求修正就業服務法，增列要求雇主不得詢問與工作內容無關的個人隱私資料。

隨著社群網路的興盛，所引發的隱私問題也更受到民眾的關注，這也促使相關業者，像是微軟和Google紛紛增聘了隱私保護專家和律師團隊，處理來自於產品或應用服務本身，所引發的隱私問題。對此，Facebook甚至打算修改隱私政策，禁止公司和政府單位查看求職者的詳細社交資訊，並且由隱私長公開聲明，提醒雇主不得在面試時，要求求職者必須交出個人的Facebook帳號和密碼，因為這將會涉及侵犯隱私，並且可能需要承擔法律的責任。

工作職場個資注意事項

對大多數的企業而言，人力資源部門(HR)是蒐集個人資料的主要窗口，HR所接觸的個人資料，可概分為求職者與內部員工的資料。對求職者來說，想要應徵獲取一份工作，就必須要準備好自己的履歷，無論是自行投遞，還是透過人力銀行業者來發送，在這份履歷之中，至少會提到個人的姓名、住址、電話、學歷、工作經歷、自傳等資訊。

如果HR因為求職者沒有被錄取，不去善盡保管責任而任意棄置履歷，很可能就會損害到個人的隱私。另外，即使求職者順利應徵成功，依約定日期至公司報到之後，通常也需要按照HR的要求，填寫員工的個人基本資料，而在這份資料之中，對於隱私的揭露程度將來得更高，因為員工可能需要填上出生日期、身高體重、服役記錄、個人照片、親屬資料和緊急聯絡人等，關於這些資訊是否都要一一揭露，蒐集的目的到底是什麼，未來隨著個資法的要求，HR必須要了然於心才行。

所以，人力資源部門的朋友們，請務必注意了，一旦個資法實施之後，貴部門可能就是首當其衝的單位，為了因應法規的要求，以往人資單位的個資蒐集流程，像是新人報到需填寫的資料內容，可能就要進行適法性評估，對於這些所建立的員工個人資料檔案，也要建立足夠的安全控制措施。換句話說，在蒐集、處理和利用員工個人資料方面，基本上就要注意以下幾點：

在蒐集個資時 - 是否已依照法令規定告知當事人，所蒐集個人資料之目的和利用範圍等相關資訊。HR要注意所蒐集的個資內容，是否與該員工負責的職務有明顯的關聯需要，以避免個資的過度蒐集。基本上，應避免蒐集太過敏感的隱私資料，例如醫療、基因、性生活、健康檢查和犯罪前科，除此之外，包括宗教理念、性別傾向、政黨理念、身體特徵等，也要盡量加以避免。如果真的需要蒐集敏感個資，那麼就要清楚所引用的法源依據為何，以免受到員工的質疑。

在處理個資時 – 個資的新增、刪除、修改，是否有妥善的身分驗證與存取控制，對於資料的保管地點與保管方式，也要實施安全強度的評估，尤其是存放個資檔案的主機和相關設備，是否有足夠的安全機制，以確保資料的機密性與完整性。另外，也需要制訂個人資料的查詢處理流程，以回應當事人對主張個資權利時的查詢請求。

在利用個資時 – 考量相關的使用是否符合當初的蒐集目的，並且在合法的範圍之內，如果利用目的與當初蒐集時不符，就要重新取得當事人的書面同意。在資料交換方面，萬一個資需要進行跨國的傳輸，就要考量當地的法律限制，並採取加密的保護方式，同時要求對方也要盡到個資保護責任。最後，與個資有關的查詢、調閱等，都要留下記錄，以作為實施資安稽核時的參考。

尊重工作場所的個人隱私

在工作場所中與隱私有關的事項，最常見的就是對於場所的監控錄影，事實上這已是一種普遍的行為，雇主為了要確保資產的安全，在重要的出入口設立門禁管制、監視系統、進出登記等，這些都可以被大多數的員工接受，因為這同時也保護了員工在工作場所的安全，但建議應該在新進員工訓練時，進行相關事項的說明。

隨著資訊科技的發達，現在針對資訊系統的監控也變得非常容易，比較正面的作法像是病毒的偵測、垃圾郵件的過濾、應用系統的存取活動記錄等，這些都是比較容易能夠讓員工理解與接受的行為。但是在這些範疇之外，是否會有假藉監控之名，而行侵犯隱私之實，這就存在著許多模糊的空間。

例如，有些公司會以資產管理名義，以桌面拍照、鍵盤測錄的方式，記錄員工所輸入的所有內容，來掌握員工對內對外的資訊溝通行為。另外，也有公司會監看即時通訊軟體所傳送的資訊，並且記錄利用電腦上網所瀏覽的網站和停留時間。以上這些作法，是否會觸犯隱私相關法律，這些需要留給法律專家來予以解讀，但站在資安管理的實務面來看，建議公司若要進行資訊監控，務必要在管理政策中，公開說明是為了何種目的以及如何來實施，藉由預先告知員工公司的監控行為，取得員工的同意之後再來進行，將可大幅減少有關隱私侵犯的爭議。

以電子郵件的監控而言，有些公司會事先向員工聲明，所提供給員工的各項資訊設備，皆是屬於公司資產，僅限於與工作目的或業務方面的使用，其他與工作無關的個人資料，請勿放置在公司電腦上，也不要透過公司的電子郵件系統來進行發送。而為了能夠有效確保資訊安全，公司保有檢查郵件系統的權限，在過程之中，有可能會檢視到屬於員工帳號的郵件內容，請員工務必要小心注意。在實務方面，若能透過以上的事先聲明，再取得員工同意進行簽署，這種事先告知且尊重員工的作法，會比較容易讓員工理解並接受。

個資安全是兩方皆有的責任

對雇主而言，一旦員工進入公司任職，公司就必須依照內部的管理制度和相關法律，審慎並尊重員工的隱私，直到雇用關係終止，甚至在終止之後仍要盡到法律要求的保密責任。所以在個人資料的處理和利用方面，原則上就應該秉持公開、合理的目的，並且事先讓員工知情，同時管理階層也需要建立明確的個人資料與隱私保護政策，切實遵守以符合員工對於個人隱私保護的期待。

最後，如果不是雇主，而是有員工蓄意違反公司的隱私政策，意圖窺探、濫用或竊取他人的個人資料，針對員工違反個資保護的行為，雇主應該要如何處理呢？建議可以依照以下的步驟來實施：

記錄員工的基本資訊，包括姓名、部門、到職日期、直屬主管、訓練記錄等。
完整描述員工的不當行為，包括日期、時間、違反的行為舉動等。
準備與個資保護有關的法規，包括公司的個資保護政策、個資法條款內容等。
正式發函給員工，通知並要求其立即改善不當的行為，確認此通知函已傳達給員工，保留文件和簽署記錄等。
在通知內容中，說明如果員工行為未實施改善，其可能面臨的懲處後果，提醒這些不當的行為記錄也將呈現在其員工檔案之中。
如果事件已超出公司管理的範疇，則可依照合約或訴諸法律途徑來解決。

在現今的工作職場之中，有關個人隱私保護的相關權責仍然曖味不明，許多員工為了擔心飯碗不保或升職考量，只能選擇默默承受一些不公平的待遇。但雇主的監控行為到底是為了資安管理？還是侵害隱私？這其中的確存在著一條難以界定的界限，只能呼籲雇主務必要參照法律要求和資安專家的建議，審慎地因應以避免觸法了。

[觀點] 網站隱私與個人資料保護

Mon, 12 Nov 2012 15:10:00 +0000

Google之前宣佈，為了精簡與整合60多項所提供的服務使用條款，包括了搜尋、電子郵件、影片、地圖等服務，將在2012年3月1日起實施更新的隱私權政策。雖然Google表示此一調整將讓隱私政策更加簡單易懂，而且絕對不會販售使用者的個人資訊給第三方，仍然在國內外引起了許多的意見與關注，歐盟隱私單位甚至提出在相關的調查結束之前，希望Google能暫緩實施新的隱私政策內容。

目前，透過網站蒐集資料是最簡便快速的方式，組織要如何因應個人資料保護法的要求，確保個人隱私和資料安全，已是必須要審慎因應的重要課題。

對大多數的組織而言，關於個人資料的蒐集，主要區分為二種方式，一種是非自動化的蒐集，也就是所謂傳統的資料蒐集方法，透過人為訪談記錄或填寫紙本文件來取得個人資料；另一種則是自動化的蒐集，也就是透過網站和應用程式來獲得個人資料。

網站蒐集個資的行為

線上服務業者透過網站來蒐集和個人有關的資料，也可分為主動和被動二種模式，主動模式是指透過網頁提供的表單空格、單選或複選的選項、下拉式選單等項目，讓使用者依照網頁說明來輸入或選擇對應的資料。在蒐集時應注意只蒐集必要的資訊即可，並且清楚標示需要使用者提供的內容，讓使用者能夠明白哪些是必要的資訊、哪些則是可以自由選擇是否填寫的內容。

至於被動的蒐集模式，則是指在使用者比較無法察覺的情況下，蒐集使用者瀏覽網頁的行為或使用網站互動功能的記錄，這種蒐集方法，主要是透過一些技術性的措施來達成，例如使用Cookie、Web beacon來獲得使用者的裝置資訊、位置資訊、應用程式版本、偏好語言等資料。

大多數的網站都會使用Cookie來追縱記錄使用者的瀏覽行為或身分資訊，Cookie是一個非常小的文字檔案，在瀏覽網站的時候會儲存到電腦中，它的內容包括了識別名稱或號碼、網域名稱及有效日期等，當使用者下一次再瀏覽同一個網站時，透過Cookie就可以識別使用者，並且自動載入使用者的偏好設定。Web beacon則是一個很小的單點圖像，通常是放在電子郵件中來判斷使用者是否已經開啟郵件，也可以和Cookie搭配使用，用來記錄使用者所瀏覽的特定網頁資訊，以及作為瀏覽人數的計算或廣告點選次數統計等。

無論採取主動或被動的蒐集模式，組織透過網站蒐集個資的行為，都必須要盡到告知使用者的義務，目前最簡單的方式是透過網站蒐集資料聲明或是隱私政策宣告，讓使用者能夠得知個人的資料是如何被蒐集，以及如何被利用。當然，使用者最關心的是所有被蒐集的個人資料，是否會受到妥善的防護，避免不當的揭露或對隱私造成損害。

網站個人隱私政策

在網站的個人隱私保護政策中，建議業者必須具體說明蒐集資料的目的、蒐集的方法，以及將會如何處理和利用。一般而言，至少需要說明以下項目：

所蒐集的資訊內容 – 網站所主動蒐集的資訊，可能包括要求使用者提供姓名、住址、電話、出生日期、電子郵件等，若網站提供了電子商務服務，也會要求提供信用卡號碼和帳單寄送地址等項目。至於被動蒐集的內容，則可能包括時間、日期、使用者裝置的IP位址、作業系統類型、網頁瀏覽器版本、頁面瀏覽的記錄、搜尋的關鍵字內容、點選連結的網址、地理位置資訊等。透過以上這些資訊，將可以用來了解使用者的瀏覽偏好和顯示個人化的廣告內容等行為，建議業者應該在隱私政策中清楚說明所有可能主動或被動蒐集的資訊內容。

隱私政策適用的範圍 – 說明隱私政策是否適用於網站業者提供的所有服務，或是僅限於特定服務的內容，尤其像是網站如果提供了廣告服務，或是某些互動服務可能連結其他特定網站，也需要讓使用者明白隱私政策是否同樣適用這些服務。

資訊的利用與揭露 – 以使用目的來說，蒐集這些個人在網站上的使用資訊，主要是為了搭配網站所提供的互動功能，或是提供使用者更快速的服務，當然也可能是為了提供更精準的個人化廣告。在隱私政策中，業者需要說明所蒐集的資訊將會如何使用，例如用來聯絡通知業者所提供的產品或服務資訊，或是顯示個人化資訊內容和廣告服務。同時如果還需要與其他組織分享所蒐集的資訊，也必須清楚說明使用者的權利並告知使用者，個人資訊若未事先獲得使用者同意，將不會對第三方揭露各項資訊內容，但若是為了因應法律要求，則將會依照相關規定提供執法單位所需要的資訊。

使用Cookie和Web beacon – 大多數的網站都會使用Cookie或Web beacon來追蹤使用者的行為，在隱私政策中，應說明使用者是否可以決定接受或拒絕Cookie，或是刪除已接受的Cookie內容。目前大多數的網頁瀏覽器，都可以讓使用者決定是否自動接受Cookie或是僅接受當下所瀏覽的網站所傳送的Cookie，同時，使用者也可以自行刪除過去瀏覽時曾經接受的Cookie。但是，業者也必須說明若使用者不接受Cookie時可能會造成的影響，包括像是無法使用網站特定服務，或是不提供的網站廣告和互動功能。

如何確保個人資訊的安全 – 說明所蒐集的資訊儲存方式和存取機制，以及所遵守的法規和所採取的安全控制措施，例如說明當個人資訊透過網路傳送時，資訊內容將會採取加密方式，以避免受到不當的竄改或揭露。

使用者的權利 – 說明使用者是否可檢視及編輯網站上的個人資訊、是否可要求更正無法自行變更的資訊、是否可要求停止接收網站所提供的個人化資訊服務如廣告顯示方式和行銷電子郵件等。

隱私政策的變更流程 – 說明隱私政策可能會不定時進行更新，以符合服務的內容和相關法規及客戶的要求，在變更生效之前，業者將會採取公告方式，或是個別寄送郵件通知給使用者，以告知所變更的各項內容。

業者的聯絡方式 – 說明若使用者對於隱私政策的內容有意見或問題時，要如何與業者聯繫，通常可提供寄送問題的電子郵件信箱，或是提供電子表單讓使用者自行填寫，也可以直接提供業者的服務電話等。

落實網站個資安全

在隱私政策之中，說明並強調業者所採取的資訊安全措施，也是贏得使用者信賴的一個重要項目。除了基礎的安全技術，像是防火牆、主機安全防護和存取身分驗證之外，建議業者對於網站提供的安全機制，至少還需要包括二大層面，分別是資料傳輸的安全和應用程式的安全。

針對網站資料傳輸，目前最常採用的就是SSL加密機制，在傳輸像是密碼、帳戶等敏感資訊時，可以透過它提供所需的基本安全防護。至於應用程式的安全，則包括了業者在網站應用服務建置的初期，針對應用程式安全就要有妥善的考量，例如使用安全的開發工具、避免使用含有弱點的程式語法，以及進行應用程式弱點掃描、網站滲透測試等，這些都是業者可用來強化安全的實際作法。

除了業者所宣稱的安全措施之外，對使用者來說，也可以透過第三方所提供的信任標章，作為對個人隱私保障判斷的依據。業者想要獲得標章，就必須遵守對於隱私保護的各項要求，例如需要實施的安全技術和管理機制，並且通過定期的稽核，並提出相關報告，才能取得資格在網站上展現此一標章，讓使用者可以驗證其所提供的隱私保護。

目前，國外有三大標章是可信賴網站的象徵，分別為TRUSTe、BBBOnline和WebTrust，在國內則有經濟部針對電子商務產業，所推動的台灣個人資料保護與管理制度(TPIPAS)，其中所提供的資料隱私保護標章，也可作為使用者在進行線上交易或使用網站服務時的隱私保護參考。

[觀點] 雲端運算安全入門(十) - 雲端上的應用程式安全

Sun, 04 Nov 2012 13:11:00 +0000

上一次說明了資料中心的營運重點，包括如何更有效率地管理與因應雲端服務所衍生的彈性化需求，也提到了必須要求服務供應商在發生資安事故時進行通報，並依照事前所擬定的應變流程進行處理，同時也要保留相關的記錄作為事故檢討，本文將探討在雲端之上的應用程式安全。

資訊科技改變了世界，影響了所有人的生活，藉由資訊科技所提供的各項資訊服務，使得企業的經營運作更加地便利。對於傳統主從式架構(Client-Server)的應用服務而言，無論其資訊應用是檔案存取、電子郵件或是網頁瀏覽等，在程式的開發設計與維運方面，許多企業都累積了多年的經驗因而駕輕就熟，針對來自於軟體、作業系統、網路架構等可能產生的安全風險，隨著許多資安事件的發生，慢慢地也產生了安全意識與認知。

不過，隨著雲端運算的出現，當這些應用程式部署到雲端之中，無論採用的型式是軟體即服務(SaaS)、平台即服務(PaaS)或基礎架構即服務(IaaS)，依照其服務型式的不同，應用程式的安全管理卻變成了一大挑戰。其主要的原因是傳統的應用服務大都來自企業本身資訊部門，無論開發、部署、維運、事件處理，有任何問題都能找到對應的窗口與負責的人員，但是對公有雲的雲端服務而言，本質上就是一項委外服務，也就表示以往既有的安全管控作法，也就必須要延伸至服務供應商的領域之中。

雲端環境對應用程式的影響

隨著雲端運算的廣泛運用，一旦將應用服務移轉至雲端環境之中，部署至雲端的應用程式，就會與多種不同的系統之間彼此產生依賴關係，這對於應用程式的配置與部署將變得十分複雜，而且在管理的責任方面，甚至有可能因為應用服務的運作資源，分別屬於不同的服務供應商，當有問題發生時，也就需要花費更多心力在協調與溝通。

此外，如果使用服務供應商所提供的雲端開發工具，在應用程式開發過程中就會影響既有的軟體開發生命週期(SDLC)，包括了設計、開發、文件管理、品質管理、測試、上線、維運與除役等過程，這些與企業既有的作法可能會有明顯的不同，而且開發工具的提供是來自於服務供應商，因此工具的可用性與安全責任的歸屬，必須要在事前就進行討論並達成共識，以避免日後產生不必要的爭議。

更重要的是，傳統上像是由網站應用程式所提供的資訊應用服務，本身就面對了許多來自基礎設施、作業系統、應用程式本身、網路架構的弱點等，所衍生出的資訊安全問題，這些問題一旦未獲得適當的控制或解決，當它部署到雲端環境之中，這些安全弱點同樣是存在的，而且有可能引發來自外部眾多安全威脅的利用，所以就需要我們在安全方面實施有效的管理與更多的關注。

確保雲端應用程式的安全

無論是雲端服務供應商或是用戶，針對支持應用程式運作的系統和相關存取的資料，都必須事先了解其可能面臨的安全風險，一般而言，其主要的風險包括：

缺乏安全管理 - 管理階層沒有意識到雲端服務可能帶來的新風險，缺少安全政策可作為依據來實施管理和稽核，也沒有實施對應的安全措施。

資料難以控制 - 雲端的特徵是資源虛擬化，並同時提供給眾多的用戶來使用，雖然用戶看似可以管理雲端上的資料，但實際上卻難以得知資料的所在地，以及相關的存取與銷毀作法，這一切都需要依賴服務供應商來協助進行。

資源隔離問題 - 由於雲端的多租戶特性，可讓來自世界各地的用戶共享資源，一旦供應商無法有效隔離共用的資源，保持像是記憶體、儲存空間、網路傳輸的獨立性，就可能會導致資訊的機密性、完整性和可用性受到侵害。

法規遵循問題 - 雲端服務打破了疆界的限制，也面臨了不同區域和產業的法規要求，礙於雲端服務本身的透明度先天不足，如果缺乏後天有效的監控機制，服務供應商也無法提出相關的法規遵循保證，將使雲端服務面臨可能違反法規的問題。

為了因應雲端服務的安全風險，企業的管理階層需要及時提供雲端所需的各項資源，以確保有足夠的能量來因應可能發生的雲端安全問題，因此，若能在事前擬定一個應用程式安全確保計畫(Application Security Assurance Program)，將會是比較好的作法。

在這份計畫之中，至少需要涵蓋應用程式的設計、開發、部署、轉移與維護等過程，並且設定明確的目標與可量測的方式，以及如何實施與追蹤確認等，同時也要為應用程式設定所需的隱私與安全政策，以符合法令法規的要求。此外，應用程式在雲端上的相容性問題，也是不可忽視的重點，建議在程式開發的過程中，即確保使用業界認可或標準的工具與程式語言，以避免存在已久的安全弱點或相容性問題發生。

至於資料的存取安全問題，則應確認服務供應商提供了足夠強度的身分驗證機制，並且採用適當的隔離作法，在應用程式的組態與變更管理方面，除了建立標準的作業流程，更應保留和提供可稽核的各項日誌記錄。由於雲端服務在安全風險方面有繼承的特性，所以也要了解應用程式底下的開發平台運作、基礎設施的實體安全，尤其當這些服務是來自於服務供應商本身所倚賴的第三方供應商。

雲端應用程式的佈署建議

針對雲端應用程式的有效佈署，並且降低可能的安全風險，以下是來自雲端運算關鍵領域指南中所提供的實務建議：

傳統的應用程式開發流程強調軟體開發生命週期(SDLC)，即使到了雲端環境也仍然要繼續維持，在各項流程之中所設定的檢查點，需要納入資訊安全的要求，包括針對雲端安全威脅與弱點的評估、系統上線前的安全檢測等。
當應用程式之間的通訊必須跨越不同主機時，即使主機是位於同一個資料中心，或是以虛擬主機型式存在同一台實體主機上，也不要預先假設在彼此之間的通訊是安全的，安全通道的建立與加密機制的採用仍是必要的安全措施。
針對雲端應用程式的運作，需要了解其日誌(log)的產生與儲存方式，因為相關的系統訊息可能是敏感的，所以對於應用程式日誌和測試記錄，其儲存的地點與安全控管就顯得十分重要。
在考慮各項針對雲端的資安威脅時，除了來自外部的入侵行為之外，不要遺漏了內部管理可能的人員威脅，因此需要確保人員的「最小權限原則」與「職責區分」，避免權限過大或是集中在某一特定的人士手中。
評估合法用戶可能的非法入侵或濫用問題，建議可採取縱深防禦的方式，也就是在不同的階層實施安全管控，例如採取虛擬主機隔離、資料加密、金鑰管理等，並確認當系統發生錯誤時，預設應為禁止使用者和其應用程序來存取系統。
對於雲端應用程式的漏洞修補與安全檢測，應採用合適的工具與流程，事先評估漏洞修補的影響層面與必要性，將有助於萬一因修補而導致意外的資安事故時，可因應的處理方式與範圍。
用戶若是需要針對服務供應商所提供的應用程式、開發平台或基礎設施進行弱點評估或滲透測試時，務必事先取得供應商的同意或明訂於合約之中。由於雲端服務具有多租戶的特性，為避免無法分辨合法的測試或是實際攻擊行為，一般供應商都會限制評估測試的範圍，甚至也可能會拒絕此一要求，此時就應尋求其他的替代方案，例如由供應商定期自行測試，並且提供評估報告。
實施原始碼檢測(Code review)，定義所採取的作法和所依循的標準，評估常見的問題(如Buffer Overflows, SQL injection)，並進行動態的原始碼分析，以便在發現弱點時可以進行修補。此外，應避免在雲端主機上揭露過多的應用程式運作資訊，並對第三方所提供的程式庫(binary)進行弱點評估。

在雲端之上的應用程式，其牽涉的安全議題相當的廣泛，對企業而言，最簡單的方法還是回歸到在部署之前，即預先建立應用程式的安全確保計畫，以進行應用程式的風險評估，了解應用程式可能對企業產生的衝擊，以及是否可以有效採取對應的安全控制措施，作為判斷此應用程式是否適合部署至雲端之上的基礎。

其次，在應用程式運作的過程中，需要了解相關的組態變更管理與事件處理作法，並且要求定期實施測試、稽核或檢視其運作狀態。

最後，請用戶務必與服務供應商維持良好的溝通管道，以因應法規要求來獲得各項必要的協助與支援，這樣將可讓雲端服務成為企業營運的利器，不致於對營運反而產生不必要的風險。 (本文刊載於2012年9月號網管人雜誌)

[參考資料]
CSA：Security Guidance for Critical Areas of Focus in Cloud Computing

[觀點] 雲端運算安全入門(九) - 資料中心營運與事故回應處理

Mon, 29 Oct 2012 15:36:00 +0000

上一期說明了傳統的實體環境安全、營運持續計劃和災難復原，與雲端運算之間所具有的緊密關係，這些傳統的資安問題，仍然會深深地影響雲端服務的佈署與運作，接下來本期將要說明資料中心營運與資安事故的處理與因應事項。

在雲端服務還沒有成為熱門的議題之前，資料中心就已經存在IT的運作環境之中，因為資料中心可以提供共享的資源，包括伺服主機、儲存設備等，透過集中化的方式以達到更有效率的管理。但是傳統的資料中心，通常為了滿足擴充的需求，在設計架構上會特別提供超出水準之上的資源，一旦若是閒置而未充分地利用，相對地反而耗費了許多管理與能源消耗的成本。

隨著雲端服務的興起，資料中心的資源共享模式，正好滿足了雲端服務的主要特徵，因此資料中心的建置數量也隨之不斷地增長，以提供更多雲端服務所需要的運算資源，而且傳統閒置資源可能造成的浪費，也透過如虛擬化技術的運用，可以實施彈性且自由度高的擴充作法，以最佳化各項硬體設備與支援服務的使用。

評估資料中心的服務能量

對雲端服務的用戶而言，在一開始評估是否要採用雲端服務，並且選擇合適的服務供應商時，就應該將服務供應商是否有能力可提供所需的運算資源、可彈性地擴充調配，並具有足夠的成本價格競爭力納入考量。同時，更重要的是在提供雲端服務的過程中，是否有足夠的能力可以因應處理可能發生的資安問題，這包括了基礎設施與技術架構的設計、符合要求的服務持續性與可用性，以及在資安事故發生時的回應速度與處理的可靠性等。

事實上，在採用雲端服務之前，就要對資料中心進行有效的評估並不容易，因為這有賴於服務供應商願意配合的程度，以及用戶本身對於基礎設施與技術架構的理解能力。用戶除了可親自到場觀察資料中心的軟硬體設備之外，將各項服務水準指標呈現在服務等級協議(SLA)之中，並且獲得供應商的確認與回覆，通常也會是比較可行的作法。

另外，透過詢問相關的服務問題，也將有助於用戶進行事前評估，例如了解供應商是否依賴第三方提供服務運作所需的資源？當用戶需要擴充運算資源時，供應商如何進行動態的調整配置？一旦所租用的資源達到上限時，供應商如何即時地將更多資源不中斷地提供給用戶？請觀察服務供應商對這些問題的回應，是否可以滿足自己的規劃與需求。

選擇資料中心的評估建議

當用戶與雲端服務供應商簽訂合約時，在資料中心的運作方面，CSA的雲端運算關鍵領域指南，提出了以下建議可作為用戶的參考：

用戶必須評估服務供應商所提供的雲端運算服務，是否可滿足雲端運算的五大關鍵特徵，包括廣泛的網路存取方式、快速且彈性的架構、可量測的服務、按照需求自行調配、虛擬化的資源池等，以了解其基礎設施和技術架構，是否可達到服務等級協議的要求。
了解服務供應商如何進行資源的彈態調配以及主要來源，在服務等級協議之中清楚的設定各項服務指標，確保彼此在一個可量測的基礎之上來擬定合約內容。
了解服務供應商是否有持續改善或擴充資源的計劃，一旦服務供應商本身在政策、作業流程、應用工具的改變，都有可能對用戶所採用的服務造成影響，如果服務供應商承諾將會持續地優化其服務內容，這將會是服務供應商良好的市場競爭條件。
由於雲端服務的多租戶特性，請評估服務供應商在提供眾多客戶相同的服務時，在系統、網路、資料、人員和管理方面，是否能夠達到有效的隔離與職責區分，以避免不同用戶之間可能產生的干擾與影響。
對雲端服務供應商而言，提供技術服務的窗口或是服務台(helpdesk)，會是影響客戶觀感的重要項目，因此提供標準化的作業流程與工具，將能夠大幅提升問題處理的能力。對於用戶來說，如果服務供應商的服務支援方式與組織內部的IT服務方式相同，就能更有效地處理可能發生的事故或問題。
針對營運持續的問題，用戶應了解服務供應商的營運持續與災難復原計畫，評估其進行事故處理的方式，例如如何為系統更新修補程式，是否有既定的政策與流程？是否進行演練，以驗證各項計畫的有效性等。換個角度來看，用戶也應將採用雲端服務，在服務中斷時可能造成的影響與處理方法，納入本身的營運持續管理之中。

了解資安事故監控與通報

雲端運算服務的特色與傳統IT服務有著明顯的不同，它不再只是單一服務，提供給單一用戶來使用，因此只要有一些小小的變動，都有可能影響到眾多來自不同組織的的用戶，所以在資安事故的處理方面，更需要小心謹慎地來進行，而且為了滿足不同用戶的需求，更需要建立有效的應變機制才行。

在雲端的世界裡，資安事故的發生不可能百分之一百的避免，因此一定要有對應的處理方式，尤其是雲端服務牽涉到IT基礎的設施架構、應用程式部署的平台環境，以及應用程式本身的運作，其中只有要任一環節的疏忽，都可能對雲端服務造成重大的影響，例如造成不當的資料遺失或服務中斷等，這些都需要相關的知識與專業技術才能有效地避免。

用戶必須了解供應商如何去蒐集與雲端服務運作有關的資料，並且持續地進行分析判斷，一旦判定其為可能的事故，如何在最短的時間內，採用何種方式通報給用戶，同時進行事故的回應與處理。在雲端服務的環境之中，由於資料存放的位置難以掌握，因此在不同國家所發生的事故，所要遵循的法規和處理流程可能有所不同，是否有可能因為法律的調查要求，而間接影響到用戶所租用的雲端服務，建議在合約中要求供應商作出適當的說明，用戶再評估是否可接受此一風險。

未來，隨著個人資料保護法的實施，在資安事故的應變處理將產生更大的挑戰，如果某一資安事故中包含了個人資料的不當存取或遺失，那麼在處理過程中，如何依照法律的要求進行通報，並且有效地保護事故處理過程中有關的各項證據，是服務供應商需要妥善規劃的項目，這也是用戶在選擇採用服務供應商，評估是否使用雲端服務來處理與個人有關的資料時，不可忽略的重點之一。

資安事故應變處理的建議

在雲端服務的運作過程之中，難免都會遇到與資安相關的問題，如果沒有適當的因應作法，很可能就會演變成影響業務運作的重大事故，因此用戶在資安事故的預防溝通與服務供應商的應變處理作法，將會成為風險管理的重要關鍵，以下是雲端運算關鍵領域指南中所提供的實務建議：

無論採用的是哪一家服務供應商所提供的雲端服務，都必須事先了解其對於資安事件的監控方式與事故處理流程，用戶可要求服務供應商提供並說明其事故處理的應變計畫，以及應變計畫的測試與演練記錄。另外，在服務部署之前，更要清楚的定義哪些屬於一般的事件警示(例如系統效能不足)？哪些屬於需要進行立即處理的事故(例如資料損毀或遣失)？

在一個動態變動的雲端環境之中，對傳統的鑑識行為是一個很大的挑戰，包括設定事故調查的範圍、證據蒐集的方式、保留資料的完整性及確認符合證據力的鑑識過程等。因此在服務合約或服務等級協議中，必須清楚地明訂資安事故的因應處理事項，其中也應包括事故相關記錄的蒐集、檢驗、分析和鑑識報告。

當事故發生時，如何調閱及提供事故相關的記錄，對用戶來說是不可或缺的，因為在多租戶的使用環境中，如何分離出與事故有關的資料，並且不侵犯到其他用戶的隱私，在技術面與流程面都是供應商的一項考驗。另外，一旦事故是採取系統回復的方式來處理，那麼事故過程的日誌記錄是否能夠保留並提供調閱，也是需要事先確認的。不過，隨著虛擬化技術的應用，在某些層面上，系統的分析與監控是持續運行的，這將會縮短事故發現與回應的時間，而且相關的虛擬映像檔，也可以快速地轉移到其他地點進行保存和檢驗，這對於事故鑑識也會形成一大幫助。

雲端服務的用戶，對於供應商進行事故調查的參與可能非常有限，尤其是隨著所採用雲端服務的型式不同，針對事故鑑識調查的能力也會有著很大的差異。以IaaS服務來說，用戶可以在所租用的虛擬主機中，使用鑑識工具進行主機的事故調查，但是在基礎設施如網路、儲存設備的記錄調閱方面，就有賴於服務供應商的協助；至於PaaS和SaaS的調查，因為涵蓋了應用平台的API介面與應用程式的運作部署，相關的記錄更需要依賴服務供應商的大力支援，才有辦法判定可能的事故原因是位於哪一層面(例如有缺陷的API或應用程式的漏洞)，因此用戶與服務供應商更需要緊密的配合才行。

請事先了解有哪些服務運作記錄將會被留存和其所保存的期限，相關日誌記錄的範圍可能包括網路系統、安全設備、應用程式、系統管理員登入與存取、備份與還原、組態變更、系統效能、系統錯誤訊息等。同時，用戶也必須了解服務供應商是否有防止竄改的安全措施(例如加密)，以確保記錄的有效性。(本文刊載於2012年8月號網管人雜誌)

[參考資料]
CSA：Security Guidance for Critical Areas of Focus in Cloud Computing

[觀點] 雲端運算安全入門(八) - 傳統安全、營運持續與災難復原

Wed, 26 Sep 2012 15:11:00 +0000

上一篇我們說明了關於雲端服務的相互運作與可移植性，這是屬於雲端治理部分的最後一項安全領域，接下來將會解說雲端營運的部分，會牽涉到許多的技術性安全議題，這也是大多數組織較為重視的地方，和IT單位也會有更密切的關係。

在「傳統安全、營運持續和災難復原」的安全領域中，雲端服務的用戶和供應商必須了解傳統的資安問題，在轉移到雲端服務的架構之後，是否都有對應的控制措施，一旦組織轉而採用或是由資訊單位本身提供雲端服務之後，對於資訊安全的控管與營運持續的要求為何？如何進行災難復原？就成為不得不去面對的一大問題。

對公有雲而言，由於雲端運算是由外部第三方所提供的服務，隨著所採用的系統主機、網路設備、儲存空間、資料本身都委外來處理，因此進行安全風險評估時，就需要確認服務供應商是否皆採取了對應的控制措施，使系統和資料都能受到妥善的防護。

若是組織建置了私有雲的話，對提供服務的內部資訊單位而言，維護主機、網路和系統的安全，更是責無旁貸的責任，針對可能面臨的資安問題與預期的風險，勢必也要有因應的處理方式。

如果從雲端服務的型式來看，上層的服務若是由下層的服務來支持提供，那麼在評估安全時，就不能不去了解底下開發平台和基礎設施可能具有的安全風險。因為在雲端服務之中，SaaS會繼承PaaS、PaaS也會繼承IaaS服務可能具有的安全問題，所以位於上層的服務供應商所需要承擔的安全責任會更多，對於底層和基礎資訊設施有關的傳統安全問題，也就不可輕易地忽略。

落實人員管理與實體安全

面對傳統的資安問題，由於牽涉的層面較廣，因此採用深層防禦的策略，分層實施控制措施，將能夠有效地降低風險。以資料中心的管理為例，實體安全是資安防禦的第一線，控制措施至少包括了安全政策、門禁與人員管制、身分識別與授權、環境偵測與監控設備、機房管理辦法、緊急應變程序、人員教育訓練等。另外，還需要確認資料中心位置地點是否合適、考量自然災害發生的可能性，以及是否取得國際標準驗證如ISO 27001、ISO 20000等，這些都可作為落實有效管理的參考。

記得千萬不要忽視人的問題，對雲端服務供應商而言，即使佈署了各項技術性的安全措施，像是防火牆、入侵偵測系統、虛擬化安全、防毒軟體等，只要有人可以直接進行機房，直接操作系統或接觸到網路設備，就可以關閉電源重啟系統，也能夠破壞網路連線，所造成的影響與立即性的衝擊，可能遠高於駭客長時間不斷地試著入侵系統，所以更需要採取適當的控制措施。

針對人員安全管理，採用職責分離的方式和最小權限原則，可以避免權限過大的情況，舉例來說，一項重要的系統變更流程，最好可以設計需要兩位不同職務的人員才能完成，並且給予工作所需的權限即可，而不直接賦予過大的管理權限。同理，在應用程式管理方面，也要避免讓程式開發人員和應用系統營運人員屬於同一人，以避免可能的安全漏洞遭到掩蓋而受到惡意人士的利用。

此外，若是敏感性或權限較大的高風險工作，在人員到職前應做適當的背景查核，確認在過去並無不當的行為記錄；到職後要給予安全宣導訓練，說明各項的資訊安全規定，並要求簽署保密協定；萬一人員有異動時，也要依據離職流程確認職務的交接，進行系統權限的停用與轉移等。

營運持續與災難復原是一體二面

雲端運算若是採用服務的方式來提供，如何確保服務不會到資安事件的影響，能夠持續有效的運作，對服務供應商而言是不可缺少的工作。從資訊安全的角度來看，所有的工作幾乎都圍繞在機密性、完整性和可用性三個要素來進行，因此和服務供應商所簽定的合約或服務等級協議中，針對這三項要素就需要明確可量測的指標，才有辦法定義在何種狀況下造成所謂的服務中斷。

營運持續計劃的有效性在整體的營運持續管理中是最重要的一環，如何證明其有效性，就來自於營運持續計劃是否完整、是否符合現況，以及是否有足夠的資源可以順利實施。在之前的雲端治理與風險管理中曾經提到，服務供應商在營運持續計畫中至少要具體說明事故發生時的應對策略、處理流程、備援機制及災難復原計畫等內容。

在應對策略方面，包括了需要成立危機應變小組(Emergency Response Team；ERT)與事件處理小組(Incident Response Team)，清楚定義人員的職責與工作；在處理流程方面，至少需要涵蓋偵測、通報、判斷、處理與記錄五項流程；萬一災難已經造成損害，需要進行各項設施或資料復原時，就要依照當初風險評鑑的結果，針對系統風險等級所設定的優先順序，以及所要求的資料復原時間點(Recovery Point Objective)和復原目標時間(Recovery Time Objective)，依序來進行還原；在災難復原計畫中，也要說明在復原過程時所需要的基本安全控制，包括復原場所的安全、人員的安全職責等。

實務可行的作法與建議

在雲端安全聯盟(CSA)所提出的雲端運算關鍵領域安全指南中，針對傳統安全、營運持續與災難復原的建議，包括：

雲端服務供應商針對用戶所需的安全要求，應該建立一個安全基準，像是系統管理、實體環境安全、人員作業程序、事件處理等，在一開始提供服務時，若能制定較為嚴格的安全要求，長遠來看除了能夠確實符合客戶符求之外，也比較會符合成本效益。
雲端服務的用戶，應該盡可能的實際到場檢查雲端服務供應商的各項安全措施，檢查項目至少要涵蓋資訊基礎設施、實體安全、營運持續管理等，但礙於雲端服務多租戶的特性，傳統的一對一的系統稽核方式可能會難以進行，因此參考第三方的獨立稽核報告，或是與其他用戶一起進行查核，會是比較可行的做法。
在雲端服務之中，雲端服務供應商的內部人員是一項主要的風險因子，因此在安全管理要求方面，用戶應該確認是否有專業的資安管理人員(例如持有CISSP、CISM、CCSK等證照)，並且了解人員的職務運作和訓練情況，確認符合了職責分離與最小權限原則。
在營運持續方面，用戶應檢視合約或服務等級協議中有關營運持續的流程與要求，確認服務供應商所提供的營運持續計畫、災難復原計畫和演練記錄。如果供應商已獲得如BS 25999或ISO 22301的營運持續管理標準驗證，或是可證明其營運持續管理已遵循了以上標準，對用戶來說將會更有保障。
針對SaaS、PaaS、IaaS等不同的服務型式，需要了解並確認服務供應商和其本身與服務供應商的依存關係，以避免因為資安風險繼承的緣故，而導致用戶的權益受損。

隨著雲端服務的日漸普及，服務供應商將會面臨客戶的要求來進行稽核，或是需要提供客戶自我稽查或第三方查核的證據，因此需要保留的文件記錄，在傳統安全、營運持續與災難復原方面，至少包括了人員職務分配表、使用者權限管理和審查記錄、系統組態變更記錄、相關人員的保密協定、營運持續和災難復原計畫、稽核報告、預防或矯正行動計劃等，這些都是可作為已落實有效安全管理的證明。(本文刊載於2012年7月號網管人雜誌)

[參考資料] CSA：Security Guidance for Critical Areas of Focus in Cloud Computing

[觀點] 雲端運算安全入門(七) - 雲端資料可移植性與相互運作

Sun, 02 Sep 2012 15:06:00 +0000

上一篇文章我們提到，針對資料一旦存放至雲端之後，應該要考量的資料安全風險和所需的控制措施，本期將針對雲端治理的最後一個知識領域「可移植性與相互運作」，說明一旦需要更換雲端服務供應商時，實務上要注意的建議與做法。

隨著雲端運算服務的蓬勃發展，對組織而言，可供選擇的服務供應商也會愈來愈多，就像一般的委外服務一樣，不見得永遠都會是可合作的夥伴，在許多情況之下，我們可能會想要更換雲端服務供應商，例如：服務供應商所提供的服務，達不到企業所需的業務要求或服務水準，甚至是無端的暫停服務或服務中斷；或是合約期滿之後，服務商提高續約的服務價格，或是想要修改合約內容，造成雙方的歧見無法達成共識等。

因此，在一開始評估選擇雲端服務供應商時，資料是否可順利移轉到其他儲存設施或同類型的服務供應商，以及服務供應商是否能夠支援資料移轉的工作，就顯得十分重要，若是等到需要處理這些資料移轉工作時，才思考到相關的配套作法，往往是緩不濟急，尤其是若在當初的合約中，並未規範相關的事項，舊有的服務供應商又不願意提供所需的支援，可能就會引起更多的問題，更別提還需要維護資料本身的安全。

個人認為，這項問題屬於雲端服務中潛藏的風險之一，因為若服務的市場機制尚未成熟，並且缺乏共通性的移轉標準，其實很難找出一個適當的方法來因應，也無法去驗證服務商所提出的方法是否確實有效。所以從安全的角度來思考，除了倚賴服務商的支援之後，雲端服務使用者本身，也要思考是否能夠以自身的能力，來降低可能的風險。例如，透過自行進行資料與環境組態的備份、一開始即選擇相同服務的不同供應商作為備援，並自行測試資料的移轉機制等。

考慮更換服務商的安全風險

隨著所採用雲端服務模式不同，在考慮可移植性時，所需要關注的重點也有所不同，例如對屬於基礎建設服務(IaaS)的虛擬主機而言，需要重視的是可用性，也就是轉移到新的服務供應商之後，是否同樣具有主機組態的控制能力，讓原來的資料存取、儲存和應用都能順利運作。

對屬於應用程式開發平台的雲端服務(PaaS)，關注的焦點則在於新的服務供應商，所提供的開發環境是否有足夠的相容性，能夠大幅降低應用程式需要修改的情況，並且能夠提供同樣的安全機制，讓所開發的應用程式能夠繼續運作。至於對雲端軟體服務如雲端儲存應用(SaaS)而言，考量的並非是相容性的問題，因為很有可能會以新的應用程式來取代舊有的應用程式，所以重要的是存放在雲端的資料，是否仍舊具有足夠的安全機制如身分驗證、資料加密等，以確認這樣的轉移不會產生新的安全風險。

IaaS移轉的安全建議

在IaaS的環境中，如果考慮要將所組用的雲端主機，移植到新的服務供應商，要注意的是基礎設施的硬體和虛擬機器(VM)的轉移問題，首先要確定的是系統中所需要運用的基本需求是什麼？這就牽涉到轉移之後將要規劃採取什麼樣的系統，是否可能會藉此一併將系統升級，所以新的服務供應商所提供的包括中央處理器(CPU)的速度、記憶體大小、硬碟容量等，就可能會影響未來在上面運作的系統是否能夠順暢的運作。

接著需要了解的是網路安全的架構，因為移轉到新的服務供應商之後，他們的網路設備和API介面可能都會不同，所以需要事先確認其功能與連接方式如何運行，以確保所需的管理功能都可以使用。如果採用的是虛擬化技術，在移植到新的服務商供應商之前，應該先了解他們採取的是哪一種虛擬化技術，無論是VMware、Hyper-V或是其他技術等，以確保VM映像檔和Hypervisor管理介面皆可正常使用，在移轉之後也必須要求舊的服務供應商必須將VM映像檔安全地刪除。

PaaS移轉的安全建議

如果在一開始採用PasS服務時，所採用的就是標準化的開發工具、程式語言、API等組件，那麼在移轉時所要花費的力氣和遭遇的問題就會少掉很多，也比較不會出現相容性的問題。若是先前使用太多客製化的工具，那麼在移轉時所遇到的困難和花費，很可能會遠比繼續使用舊有的雲端服務來得高。

對PaaS服務來說，有很多的檢查事項需要事前釐清，包括：

了解舊有服務供應商所提供的控制功能有哪些，並且與新服務供應商一一來進行比較。
了解針對資料傳輸和備份還原，是否有工具來協助進行。
了解基礎服務像是監控、日誌服務、稽核等，在新的服務供應商方面如何運作。同樣的，也要了解新的服務供應商如何對產生的資料提供所需的安全保護。
進行移轉之前需要進行測試，以確保新的服務供應商所有的服務都能正常使用，因此擬訂一份測試計畫是必須的，在計畫中說明測試步驟和釐清相關責任歸屬，並且詳細記錄各個階段的測試結果，以文件化方式來留存。

SaaS移轉的安全建議

在SaaS環境中，大多數使用者採用的是瀏覽器介面，藉由服務供應商所提供的管理功能，來使用相關的應用服務，在這裡需要關注的地方毫無疑問就是資料本身，所以如何進行資料的存取和備份就是需要理解的重點。同樣的，隨著使用的時間的愈長，資料所累積的數量也會更多，如果現有的環境中可提供相關的工具，就可以利用它來進行轉移，而伴隨著服務的使用，過去所產生的日誌、存取記錄、metadata等資料，也需要與舊有的服務供應商來協調如何取得，並且要求在服務合約中止之後，確認已經安全的銷毀。

此外，無論任何的變動，都可能產生一定的營運風險，所以在過程中的文件化記錄，將可協助我們掌控各個階段的變動，因此進行測試是在雲端服務進行移轉時，絕對不可忽略的環節。

最後，決定更換雲端服務供應商，對舊有的合作夥伴而言，一定是不樂意見到的商業行為，因此不見得願意全力支援使用者的轉移計畫，所以若能在一開始與舊有服務供應商所簽訂的合約中，能明訂未來在移轉服務時，服務供應商應提供的協助與支援，將會是最好的辦法，而對於新的服務供應商來說，在移轉之前是否能夠提供測試環境和評估的相關作業程序，以確保安全性、相容性和可用性等種種問題，對使用者來說，將可減少在服務移轉時，所面臨的營運風險。(本文刊載於2012年6月號網管人雜誌)

[參考資料]
CSA：Security Guidance for Critical Areas of Focus in Cloud Computing

[觀點] 雲端運算安全入門(六) - 雲端資料安全防護與管理

Sun, 29 Jul 2012 23:50:00 +0000

對組織而言，雲端服務和傳統資訊服務的最大不同之處，在於資料的本身不再像以往可由組織內部的資訊人員來管理，而是完全交由外部的雲端服務供應商。雖然對於用戶來說，藉由服務供應商所提供的管理介面，仍然可以針對資料進行新增、刪除、修改等動作，但事實上這樣的控制程度是很低的，因為用戶完全不清楚資料實際位於何處，以及是否已經完整的進行備份。

雲端資料的安全挑戰

由於雲端的資料會受到來自許多不同用戶端設備的存取，所以在安全風險的思考方面，至少要考慮會有誰(人員、應用程式、系統)能存取這些資料？能夠透過什麼樣的方式(設備、管道)來進行存取？

舉例來說，隨著個人雲端化的時代來臨，許多組織員工為了使用的方便性，可能會將一些含有商業活動的敏感性資料，在未經授權的情況下就上傳到雲端，也沒有依照組織的安全政策，實施加密或存取控制等相關的安全保護措施。針對這種情況，建議可以透過一些資安技術的輔助，像是資料庫或檔案存取活動的監控，以及防止資料外洩防護(DLP)方案的佈署來提供一些協助。

目前，雲端安全聯盟認為和雲端資料有關的安全挑戰，大致可分為以下幾項：

資料本身的安全 – 在傳統的IT環境中，為了達到資料的安全，我們會依照資料的機密性、完整性、可用性、真實性、認證、授權和不可否認性等要素來進行風險的評估，並且採取對應的安全控制措施，這些安全要求到了雲端的時代，仍然是不可或缺的因應作法。

資料存放的位置 – 由於雲端運算的特徵之一為服務資源是透過集中化資源池的概念來提供，可以動態且彈性的調配用戶所需的資料儲存空間，因此用戶對於資料本身所在的位置是難以控制的。如果組織對於資料存放的位置有明確的要求，就需要在合約或服務等級協議中明訂清楚，讓服務供應商來保證資料和備份檔案都會存放在所要求的地理位置內。

資料的刪除與銷毀 – 一旦用戶終止與服務供應商的合約關係，如何確保曾經存放過的資料，已被徹底有效的刪除銷毀，在實務方面來說不太容易。除了要尋求一項可用的技術，能夠有效清除包括儲存空間或虛擬主機上所存放或運算過的資料之外，另外對於資料內容自行加密，或是要求服務供應商提出資料銷毀的切結保證，將會是比較可行的因應作法。

不同用戶資料的混合 – 由於雲端服務採用了虛擬化技術，在同一個實體主機或儲存設備空間，將會提供給多個不同用戶來租用，這也就表示在同一個位置裡，可能會同時存在著不同用戶的資料，對於這些敏感資訊要如何加以區隔，以避免混合之後產生不必要的風險，也被視為是一項安全挑戰。資料的備份與重建 – 用戶需要有一項清楚的認知，就是在所有的雲端服務中，不見得都會提供備份與資料重建的功能。換句話說，在採用服務之前，用戶必須確認供應商在資料備份方面的實際作法和流程，以避免資料不會受到意外的遺失、覆蓋和損毀，建議也要定期加以測試，確認資料可真正完整的復原。

法律所需的資料發現 – 一旦所採用的雲端服務牽涉到法律案件調查時，如何發現並提供法律訴訟所需的證據，就顯得十分重要。因此，想要確保供應商能夠提供或是用戶能夠發現所需的電子證據，在實務方面仍然存在著許多困難。資料的聚合和推理 – 如果將大量的資料集中在雲端之上存放，有一個風險為當資料內容可以匯整或相互關聯參照時，也可能洩露出敏感的資訊。舉例來說，像是個人資料的內容如果可以輕易進行交叉比對，那麼所反映出的資訊可能會識別出特定的個人，進而造成個人隱私的不當揭露，因此這個問題也要予以審慎評估。

資料安全生命週期

在雲端安全聯盟(CSA)所提出的雲端運算關鍵領域安全指南中，針對資料安全的維護，認為它與一般所談的資料生命週期有所不同，必須要配合資料安全的生命週期中的各個階段，實施對應的各項安全控制措施才行。所謂的資料安全生命週期，可分為以下六個階段：

產生(Create) – 資料一旦產生，首先要做的就是針對資料進行分級分類，最常見的安全分類是將資料區分為一般、內部使用、機密、極機密等，再分別對應到不同的存取控制和安全處理要求。
儲存(Store) – 在資料的儲存階段，需要針對資料實施存取控制，依照用戶所具有的身分來賦予適當的權限。另外，相關的控制措施還包括了資料加密、權限管理及資料內容的過濾等。
使用(Use) – 在資料使用階段，安全的控制措施包括了針對存取資料的活動進行監控，並且需要依照所定義的政策來使用，在這裡也同樣會實施權限的管理。如果資料將會提供給應用程式存取使用，那麼應用程式的安全防護也會是必要的措施。
分享(Share) –資料如果需要進行傳輸或資料交換，除了實施加密機制、存取控制和確保所使用的應用程式本身的安全之外，建議的控制措施還包括可針對資料所流經過的位置，例如存放的資料庫、行動裝置與儲存媒體、採用的網路通訊協定等層面來實施安全管制，以避免資料受到不當的外洩。
歸檔(Archive) – 如果資料需要進行長時間的備份歸檔時，要注意的是所使用的儲存媒體是否已經具有足夠的安全防護，包括了資料內容進行加密處理，針對儲存媒體所存放的環境和位置來實施有效的監控與防護，以落實有效的資產管理。
銷毀(Destroy) – 一旦資料確認不需要再使用，或是終止與雲端服務供應商的合約關係時，相關的資料就應該進行安全的銷毀，並且要偵測掃瞄是否可能有殘餘的資料，如果無法確保資料已經徹底刪除，那麼對資料內容進行高強度的加密，並且銷毀所使用的金鑰，也算是一種補償性的安全控制措施。

資訊傳輸與安全建議

如果組織對於資料傳輸有高度的安全性要求，雲端運算關鍵領域安全指南也給予我們的三項可行的建議作法。首先是可針對用戶端和應用程式來進行加密，如果資料存放在用戶端設備或透過應用程式傳輸之前，就能夠實施加密，資料安全將會獲得較多的保障。其次是針對網路連線的加密，可以透過硬體設備或軟體方式，建立所需的加密連線通道，常見的作法包括SSL、VPN、SSH等，確保在點對點之間已實施了安全防護。第三項作法是採用代理伺服器(Proxy-based)的加密方式，這對於一些較為老舊或缺少加密功能的應用程式來說，最大的好處是在傳輸資料之前，能夠將資料先傳輸到代理伺服器，再透過它來實施資料加密功能。

針對資料安全的防護與管理，傳統最基本的作法就是考量如何達到資料的機密性、完整性和可用性，這些在雲端時代仍然是可用的，只是如今一旦把資料放入到雲端之中，隨著佈署模式與服務型式的不同，將會衍生出其他的安全風險，並且也會遭遇到不同的挑戰，若仍然是完全依照傳統的資料保護作法來進行，很可能會水土不服而難以因應，所以這時候組織就需要採取更多角度的控制措施了。(本文刊載於2012年5月號網管人雜誌)

[參考資料]
CSA：Security Guidance for Critical Areas of Focus in Cloud Computing

[觀點] 雲端運算安全入門(五) - 雲端法規遵循與稽核建議

Wed, 20 Jun 2012 13:11:00 +0000

上次我們談到了雲端運算的法律問題與電子證據的採集提供，對大多數由第三方所提供並且跨越國界的雲端服務而言，法律議題將會是一大挑戰。

因此，為了符合法規的要求，實施稽核將是一項必要的做法，本期將探討雲端的法規遵循事項與安全稽核建議。

許多組織由於本身所處行業屬性或是國情不同，所面臨到的法規要求也有所不同，舉例來說，像是健康醫療產業和電子商務業者，雖然他們可能採用同一雲端供應商的服務，但是對於如何維持法規的符合性，其要求的重點就會有顯著的差異。一般而言，醫療業者較為著重的是個人資料的隱私維護，而電子商務業者強調的則是交易過程的資料安全，因此如何評估雲端服務供應商所能涵蓋的資安與法規要求，將會是一開始就需要協調溝通與相互理解的重點。

因此，用戶在採用雲端服務之前，就必須要先了解供應商所提供的雲端服務是否能夠實現符合法規的要求，以及是否可能產生無法接受的風險。例如在新版個人資料保護法中，醫療資訊的蒐集是受到限制的，如果透過雲端服務去蒐集民眾的醫療相關資訊，並且作為資訊交換平台再提供給第三方合作業者的查詢利用，很可能就會有違法之虞，這時候雲端服務就不該是組織應考量的實務作法。

另外，先前曾經提過在服務供應商和用戶之間，到底該如何區隔彼此在法律上的責任，可能是容易受到遺漏的地方，對服務供應商來說，這同時也牽涉到是否有能力可以提供用戶法規遵循的相關資料，包括了能夠展現法規要求的文件、作業流程和稽核證據，以及能否配合必要的定期稽核與實施方式等，這些都將會影響用戶採用雲端服務的意願。

盡早釐清法規遵循的要求

事實上，雲端服務所具有的彈性特徵，相對於組織對法規的遵循要求，兩者之間就有如是在頭尾開往不同方向的火車機車頭，如果一方面愈是保有彈性，也就表示另一頭的法規愈難予以規範實施，而彼此之間在拉扯時所產生的營運風險，就是組織必須及早加以因應的地方。

換句話說，如果組織對於法規遵循有著高度的要求，那麼尋找有共同想法的服務供應商，將可以有效避免彼此對於法規有著不同的期待與差異發生。目前，許多的國際標準都還沒有考量到雲端服務的適用性與要求，就以最普遍的資訊安全管理標準ISO 27001為例，條文中並沒有特別提到針對雲端服務的資安控制措施。不過，這並不表示雲端服務就不適用於來自ISO 27001的安全要求，而是需要服務供應商與用戶來協調彼此能夠認可的方式。

在CSA的雲端運算關鍵領域安全指南中，對於法規遵循的問題，建議應從以下三個面向來加以探討：

首先是站在「企業治理」的角度而言，法規遵循的要求可能來自於組織內部的政策與董事會決議，也涵括了外部的法律、工業標準與合約。因此需要確保組織的管理階層、利害關係人(如股東)及營運策略(包括政策指引和控制措施)，彼此之間能夠達到一致平衡，才足以為企業作出有效的決策，這也就表示雲端服務的採用，必須要符合企業營運成長與管理目標才行。
其次是站在「企業風險管理」的立場，必須基於組織的營運目標，採行一套切實可行並且能夠識別特定事件的風險評鑑方法，藉此來評估風險存在的可能性和對組織可能造成的衝擊，以便實施適當的監控與回應，保護並且創造利害關係人可獲致的最大效益。
最後則是理解「法規遵循與稽核要求」，要能夠有效識別與企業有關的法令、規範、社會責任、合約要求等，評估萬一無法符合以上的要求時，對企業可能產生的風險和造成損害的成本，以決定所需要採取的改善行動。

雲端服務稽核實施建議
除了從服務供應商和消費者角度來看法規遵循要求之外，雲端運算也為稽核人員出了一個頭痛的難題，首先會面臨的就是到底有哪些法規適用於雲端服務，其次則是受稽方或服務供應商到底要如何展現已經符合特定法規的要求。對雲端服務的安全管理而言，實施稽核是一項必要的作法，可以確認自己或服務供應商是否已符合內部與外部的各項要求。

針對雲端服務的安全稽核，雲端運算關鍵領域安全指南也提供了以下建議：

將實施稽核的權利納入合約之中，如果雲端服務供應商已取得相關的國際認證(如ISO 27001)，則認證的相關內容可作為替代實施的參考。
用戶應要求有權獲得稽核所需的相關資訊，包括了系統架構、Log、稽核報告等。
用戶可要求雲端供應商定期審查、更新、發佈和資訊安全有關的流程與文件，包括了弱點分析與風險處理的改善行動。
雲端服務供應商與用戶之間，彼此應同意採用共同的架構與標準，以確保在安全管理與控制上的要求能夠趨於一致。
用戶應選擇熟悉雲端服務的稽核人員，對許多稽核員來說，熟悉法規條款內容已是必要的專業之一，但是面對新興的雲端應用服務，稽核員對於雲端服務的特徵、佈署模式及服務型式，勢必也要有所了解才行。

討論合約內容以尋求共識
對服務供應商和用戶而言，如何在稽核過程中，準備法規所需且充足的資料，其實是相當困難的，這也就是說，事前了解雲端服務的特徵與架構，可以讓彼此雙方站在一個良好的溝通基礎上。如果雲端服務供應商，本身已經取得相關法規標準的認證，這將會是彼此合作的最佳證明；如果缺少了法規標準認證，服務供應商也能夠提出符合要求的證明，同樣可以作為替代性的因應參考。

如果組織在法規遵循方面有一定的要求，那麼在一開始和服務供應商討論合約內容時，就應該讓法規專家能夠及早介入，以確保合約內容能夠符合組織的期待與要求。例如在合約之中，納入有權針對服務供應商實施稽核的條款，說明供應商需要配合的實施範圍與工作內容，以及需要提供給稽核人員的審查資料等。

最後要提醒的是，在討論法規遵循時，千萬不要只侷限在雲端服務供應商和採用服務的組織本身，應該也要將供應商背後的供應商和使用組織服務的終端使用者也一併納入，如果服務供應商能夠將法規遵循完全落實在雲端服務合約之中，那這很可能就是解決法規問題的良方，更有可能是吸引眾多企業和政府單位，願意投入採納雲端服務的亮點之一。(本文刊載於2012年4月號網管人雜誌)

[參考資料]
CSA：Security Guidance for Critical Areas of Focus in Cloud Computing

[觀點] 雲端運算安全入門(四) - 法律問題與電子證據蒐集

Mon, 07 May 2012 14:41:00 +0000

上一次談到了雲端運算與組織的經營治理，也就是高階管理階層對於雲端安全問題應有的認知，以及因應雲端部署和第三方的管理建議，本文將探討和雲端運算有關的法律問題與證據蒐集，以及用戶和服務供應商如何因應安全事件的調查。

雲端運算的其中一項特徵是會將資源作動態的虛擬化分配，也就是說雲端資料的儲存位置將跨越國界，這對於許多雲端服務的用戶來說，可能會無法控制或是根本不清楚資料實際的存放地點。一旦企業選擇透過雲端運算，將商務或個人相關資料移轉到雲端之中，對於雲端服務可能面臨的法律議題，就必須要有所認知並了解所需的因應作法。

目前在各個國家，針對資料的存取和利用，特別是和隱私有關的個人資料，都有其法律規定與要求，例如在亞太地區，包括日本、澳洲、紐西蘭等國家，以及即將實施個人資料保護法的台灣，對於個人資料的保護與安全方面，都有需要遵守的規範，其中最值得作為參考的基礎，就是由經濟合作發展組織(OECD)，針對個人資料的限制蒐集、正確完整性、具明確目的、限制利用、安全保護、公開、個人參與及責任義務等，所提出的個人資料保護八大原則，以及亞太經濟合作論壇(APEC)所提出的隱私保護綱領。

在歐洲，則有歐洲經濟區(European Economic Area)的會員國依照歐盟在1995年公佈的資料保護指導綱要(Data Protection Directive)和2002年公佈的ePrivacy Directive，這些法規都有提到針對資料的安全要求和必須遵守的責任義務。

至於在美國，則有特定產業的相關法規，像是要求相關金融產業必須保障個人金融資訊隱私，確保資料的機密性、完整性，避免資訊遭到未經授權的存取與誤用的Gramm Leach Bliley Act(GLBA)法案；針對醫療產業，要求相關單位必須確保個人醫療資訊，實施良好的存取控制措施，保護資訊在傳輸過程中不會被竊取或竄改的HIPPA (Healthcare Information Portability and Accountability Act)法案；以及對信用卡和支付卡行業，要求必須實行嚴謹的網路安全措施，以保護信用卡持卡人資料安全的標準PCIDSS(Payment Card Industry Data Security Standard)。

以上提到的這些法規，都會對於在雲端上蒐集、處理和利用資料，以及將個人資料傳輸到雲端儲存服務中，產生需要注意的法律議題。

雲端運算的法律問題

對採用雲端服務的組織而言，一旦將資料傳輸到雲端之中，就必須要對相關的資料保護、安全管理、法律問題的責任歸屬定義清楚。尤其採用的是由第三方所提供的服務，那麼在合約之中，除了要求所需達到的服務等級水準之外，對於在資料處理、傳輸、儲存中所引發的問題，造成違反法令法律的事件時，彼此雙方的角色所應擔付的責任，最好是透過書面協議的方式，作為共同遵守的依據參考。

換句話說，在採用雲端服務之前，組織必須評估本身對於採用雲端服務，在資料安全上面的需求、限制和期望，才能藉此來選擇所需的雲端服務型式與佈署模式，特別是要事先了解本身行業相關法令的規定，像是對資料傳輸加密方式和儲存地點有所要求的話，就可以將它反映在與服務供應商所簽訂的服務合約之中。

關於合約的部份，許多服務供應商都會提供制式的合約給用戶進行審閱，但如果合約內容無法滿足用戶對於特定風險的要求，用戶就必須提出並考量是否需要實施額外的風險控制。舉例來說，如果用戶採用的是雲端客戶關係管理(CRM)服務，為了因應個資法的要求，如果在制式合約中並未明確定義相關內部人員的保密責任，或許就需要定義額外的個人責任義務聲明來要求相關人員簽署，同時也註明供應商必須負起連帶的損害賠償責任。

要提醒用戶要注意的是，採用雲端服務並非是一成不變的，為了因應業務環境的不同和新版法令法規的要求，用戶必須要負起對服務供應商的監督責任，應該找出適合自己行業的評估與監控方法，例如定期實施測試、稽核，甚至要求在特定期限屆滿之後，重新審查服務條款和合約內容，這些都是可以考量實施的作法。

因應法規的證據提供

如果您看過歐美的法律影集或電影的話，您會察覺到當發生法律訴訟時，光靠相關人等的證詞是不足的，必須配合在法庭上具有公信力的證據，對於訴訟成敗才能發揮關鍵性的影響。目前，除了在犯罪現場採集的實體證據之外，隨著資訊科技的發達，電子儲存資訊(Electronically stored information ; ESI)或數位證據(Digital evidence)用來作為呈堂證物，也成為因應資訊犯罪事件而受到矚目的焦點。

由於在雲端之上儲存了大量的電子或數位化資訊，如何因應法規要求加以採集(E-Discovery)，對雲端服務供應商和用戶來說都是一項不可忽視的問題，在雲端運算關鍵領域安全指南中，針對這個部份提出了以下的考量重點，簡要說明如下：

資料擁有者、託管者的責任釐清：當發生法律訴訟時，利害關係人有責任因應法律要求提供所需要的資訊，或是可主動提出以證明自己的清白。在雲端服務之中，雖然用戶是資料本身的擁有者，但可能是委託交由服務供應商來進行資料的管理，而且在服務運作的過程之中，針對資料的處理還會衍生出其他的相關電子資訊，例如資料存取的登入記錄、資料儲存備份記錄、系統運作的日誌等，這些資訊可能是用戶本身無法控管的。因此，若發生資料外洩事件時需要進行調查，那麼相關證據的提供絕非只是單方的責任，所以事前對資料管理責任的釐清就是必要的工作。
回應法律調查和法院傳票的過程：以發生資料外洩事件為例，調查單位除了瞭解用戶所存放的資料類型之外，也可能會調查是否和服務供應商的雲端環境與應用程式有關，因此可能會直接傳喚服務供應商提供所需的資訊，這部分有可能不需要用戶的同意下就可進行，因此用戶和服務供應商雙方對於法律調查的流程需要有事先的認知與共識。另外，用戶很可能希望供應商在接到需要配合法律調查的要求時，可以在盡快通知可能受到影響的用戶，並且提出解釋與說明，因此建議將通知流程也納入在服務等級協議之中。
數位證據的發現與搜索：如果組織使用的是完全自行管理的傳統資訊服務，一旦發生問題時，就可以很快的進行調查並且搜索保存可能的證據。但是，如果採用的是委外的雲端服務，用戶不見得有權限使用搜尋工具來取得所需的證據，若是需要服務供應商提供的話，就必須對進行的方式流程，以及可能產生的費用進行協商。
電子記錄與數位證據的保護：對雲端服務供應商而言，相關電子記錄依據雲端的服務與佈署模式可能會不同，但原則上仍會依照傳統的作法，像是保留相關日誌(log)的方式來進行。用戶需要評估對於這些電子記錄或未來可能成為證據的保護作法，是否足以符合行業法規和法律要求，尤其是電子記錄容易受到損毀、竄改與消除的特性，如何確保電子記錄可明確反映事件發生的原貌，以及在蒐集的過程中，是否依照標準程序來進行採集，並且可持續維持正確與完整，確保其可被法庭所採納等，這些針對電子記錄的保護機制與調閱作法，可能也是一開始在選擇服務供應商時就要評估的重點。
電子記錄的費用與保存：鑒於用戶可能會要求服務供應商保護相關的電子記錄，因此站在供應商的角度而言，定義所保存的資料範圍、期限及大量資料保存所產生的費用，就是需要思考的問題。如果無法達到用戶在服務協議中所要求的水準，那麼是否能夠提供其他的機制，像是讓用戶可自行下載保存電子記錄，可自行保管以作為事件調查與訴訟的參考。
電子記錄的蒐集與鑑識：雲端服務供應商可能會允許用戶自行蒐集其所需的必要記錄，這些也會明訂在服務等級協議之中，但由於提供給大量的用戶使用，因此就要考量相關記錄的存取方式與頻寬問題。例如供應商可以同意讓用戶存取過去三年的交易記錄，但是將會限制只能單次下載最近二個星期的資料。至於若是用戶為了採集證據，想要使用映像(bit by bit)數位鑑識作法，可能不見得會被供應商同意，因為它需要連結到特定的硬體設備，礙於雲端服務的多租戶特性，這種作法是否會對其他用戶造成衝擊，也都需要事先的溝通與協調。

及早因應法規的遵循要求

由於法規遵循的要求日漸受到重視，也為了因應新型態的雲端服務，許多法律與技術專家都提出了不同的因應作法，尤其針對採取由第三方提供的委外服務，在美國和歐盟的相關法規，都建議將法規遵循的要求與責任，延伸至服務供應商，並且要求在合約之中加以規範和限制。

但是，由於牽涉到儲存在雲端的資料會跨越國界的限制，以及各國對於隱私保障的法律要求有所不同，再加上雲端數位證據的搜索採證仍顯得困難重重，所以有關雲端服務和法律的問題仍會不斷地被提出討論，無論如何，這是一個無法避免的議題，建議雲端服務的供應商和用戶都要審慎面對才行。(本文刊載於2012年3月號網管人雜誌)

[參考資料]
CSA：Security Guidance for Critical Areas of Focus in Cloud Computing

[觀點] 雲端運算安全入門(三) - 雲端治理與風險管理

Wed, 11 Apr 2012 14:38:00 +0000

上一期提到了雲端運算的基礎架構，說明雲端運算的必要特徵、部署模式與服務型式，對服務提供商和使用者而言，有了一個可以共同探討的知識框架，對雲端服務應實施哪些資安控制也比較能夠達成共識，接下來將討論有關雲端治理與風險管理的重點。

雲端運算聯盟將雲端運算安全區分為三個部分，分別是雲端架構、雲端治理和雲端營運，在雲端架構的部分，主要針對雲端的五項必要的特徵、四種部署模式和三種服務型式作了說明，這些也可以作為在探討雲端安全時的共同基礎，在這之上來區分有關雲端服務提供商和使用者的安全責任，以及可能面臨的安全風險。

在雲端運算不同的服務型式之間，其安全風險彼此之間是有相互依賴性的，舉例來說，如果有一個雲端服務廠商所提供的服務內容為軟體服務(SaaS)，這項服務建置在某一個雲端開發平台之上(PaaS)，而開發平台背後也採用了另一家廠商的雲端基礎架構(IaaS)服務，此時，在安全風險方面的相關問題都會是繼承的。

也就是說，這一家雲端服務提供商，除了要維護應用程式的安全性和可用性之外，同時也要確保所使用的開發工具沒有安全漏洞，而且在運作過程中要確保運算、網路、儲存設施的安全，本身就必須要負起相對較多的安全責任。而使用軟體服務的使用者，則是要在服務水準、安全控制措施、法規遵循等，也要在合約之中明確要求，以釐清相關的管理責任。

雲端運算的安全措施

從資訊安全的角度出發，一個組織的安全程度是基於其對於風險的控制程度，以ISO 27001的資安控制項目而言，包括了資安組織、資安政策、資產管理、人員安全、實體安全、通訊與作業安全、存取控制及系統開發與維護等，這些與雲端運算也都脫離不了關係。主要原因是雲端運算採用的仍是傳統的IT技術，需要的仍是既有的網路、運算和儲存資源，換句話說，在雲端運算中的資安管理，和傳統的IT環境並沒有什麼不同，只是因為不同的部署模式和服務模式，使用者和服務提供商所需要承擔的風險程度將會不同，因此需要妥善評估和彼此有關的營運風險。

因此，為避免雲端運算服務可能產生更多的營運風險，並且達到妥善的企業治理，組織就一定要意識到可能發生的風險議題和管理責任。這些也都牽涉到企業內部是否已設計了適當的組織結構，透過風險管理的方式與作業流程，來降低所面臨的安全風險。甚至更進一步將風險管理的作法，擴展到已實施的所有業務之中，或是提供支援服務的第三方單位，並且持續地加以監控量測改進，以達到企業治理的整體效益。

雲端治理與管理建議

根據雲端運算關鍵領域安全指南，針對雲端治理和管理方面所提供的建議，以及實務上的考量重點，簡要說明與分析如下：

安全費用的投資：組織除了投資在私有的基礎運算架構和資源上面，若是採用了外包的雲端運算服務，必須考量到服務提供商的安全管理能力、應用程式運作環境的安全控制，以及稽核審查方式來加以評估，以確保各項的安全控管能夠滿足組織的需求。

資安與業務目標一致：無論採取了何種的雲端服務型式和部署模式，資訊安全的控管絕對不會只是單一方面的責任，必須透過不斷地協調溝通，配合彼此雙方的業務性質和需求，使相關的資安控制作法能夠與業務目標趨於一致，以避免採用雲端服務之後，忽略或遺漏了和業務有關的營運風險。

定義人員職責角色：基於不同的服務型式，人員介入與需要承擔的風險不同，對於服務角色的定義與人員的安全職責，在各自要求的服務範圍之內，必須要有仔細的陳述，這也就表示在問題發生時，人員可以按照既定的職責來實施對應的處理作法。例如在不同的部署模式方面，公有雲與私有雲的預期責任和要求肯定不同，最好是透過已完成的風險評估報告，來釐清使用者與供應商之間的不同要求、角色責任與期望。

治理架構與流程協調：組織若採用了雲端運算服務，可能會面臨不同的提供商，因此在服務的開發、設計與交付方式，也會有不同的需求與流程。因此，使用者與提供商在協同治理的架構和流程方面，可以依照彼此不同的需求，將它反映在服務等級協議(SLA)之中。在這份協議裡，記得要把安全部門納入，以評估各項的資安控制措施在雲端之中是可行的，並且將其考量與建議一併加入合約之中。

雲端遷移安全考量：如果組織是從舊有的IT環境之中，想要一步一步跨入到雲端之中，那麼在安全方面要如何考量呢？最好的方式是依照相關標準(例如ISO 27001)來建立量測指標，然後將它文件化並留存記錄，以因應稽核時的確認需求，提供已實施控制措施的相關證明。

資訊風險管理建議

之前曾經提到，雲端運算有一項重要特徵為「虛擬化的資源池」，它是為了支援眾多的使用者，所以將運算、儲存等相關資源集中在一起，再依照使用者的需求進行彈性化的調配。因此，也產生了另一個概念，稱之為「多租戶(Multi-Tenancy)」模式，對雲端服務提供商而言，所提供的雲端服務將面對無數來自不同地點、不同組織、不同用戶端的使用者，他們對於安全的強化、隔離、計費、管控和服務等級、資源需求各有不同，但這些資源都來自於同一家提供商，甚至可能是同一台實體主機、同一個儲存設備，如何強化其安全性，降低可能的風險，並且滿足客戶需求，就成為雲端服務的另一項挑戰。

由於雲端運算的隨需供應和多租戶特點，傳統所實施的資安稽核與風險評估方式可能就不太適用，或是需要進行一些調整。實施資安稽核時會牽涉到是否已在合約中註明相關的稽核權利，包括多久進行一次、稽核範圍、稽核方式、由誰來實施、需要提供哪些稽核日誌(log)等。

至於技術方面的評估，傳統的應用系統最常使用的方法就是進行弱點掃瞄或滲透測試，但是礙於雲端服務是同時提供給大量用戶，這些測試方法可能會影響到其他使用者的權益，因此服務提供商很可能會拒絕或限制其作法，那麼用戶就需要在合約中註明免責的條款，或是尋找替代的評估方法和符合評估需求的替代提供商。

在企業的風險管理方面，面對新型態的雲端服務，傳統的風險評鑑方法仍然是派得上用場的，在評估組織所使用或所提供的雲端服務風險時，需要識別和服務有關的各項資產，找出資產本身可能具有的弱點和來自外部的潛在威脅，然後分析風險和事件發生的可能性與衝擊，再賦予其風險的等級，最後，依據組織可用的資源和經由管理階層所核准的可接受風險等級，來實施對應的風險處理計劃。

一般而言，採用相關的資安控制措施來降低風險是顯而易見的作法，但是在風險管理的過程中，需要確保使用者和服務提供商，對於風險評鑑的作法是一致的，對於發生可能性與衝擊的定義也要相同，這樣在風險評鑑的結果和後續的風險處理上，才能夠達成共識。

第三方的管理建議

站在企業風險管理的角度，無論決定採用何種雲端服務、服務型式和部署模式，在過程之中，都應該要與組織既定的風險管理目標和業務目標一致。這也就是說，如果採用的是來自第三方所提供的服務，如果它不能滿足組織在風險管理的要求，或是採用一致的風險管理作法，組織就需要進一步評估本身是否有其他因應風險的能力。舉例來說，如果服務提供商無法同意由使用者進行對主機的滲透測試，或許使用者可接受由提供商提出的評估報告，或是自行對資料本身實施加密等補償性的控制措施，以降低可能的資訊安全風險。

因此，在第三方的管理建議方面，安全指南提到使用者應該將雲端服務和安全視為供應鍊的安全問題，這也就是說除了需要對服務提供商實施相關評估之外，對於其本身也依賴的資源供應商，也要有一定程度的了解，以避免一連串的事故連鎖反應，最後影響了自身的權益。那麼，對於服務提供商的評估內容有哪些呢？除了要求有文件化的記錄來展現提供商如何評估自己的風險，也包括其如何控制與及時處理可能的安全問題，以及如何定義與資訊安全相關的要求。

接著，使用者還需要了解服務提供商如何因應服務可能中斷的情況，這部分就包括其是否事先設想了可能導致服務失效的場景，並且提出對應的營運持續計畫(BCP)。在營運持續計畫中至少要具體說明事故發生時的應對策略、處理流程、備援機制及災難復原計畫等內容，並且了解這些計畫是否確實可行，同時符合組織對於風險管理的要求。換句話說，營運持續計畫的測試與演練結果，將會是在選擇雲端服務提供商的重要參考依據。

最後還要提醒使用者，在選擇雲端服務提供商時，除了考量服務價格及所需成本之外，提供商在市場上的知名度、財務情況、事件處理能力、以及支援其服務的背後供應商等都會是評估的重點，也千萬不要忘記去了解提供商的溝通管道與協助窗口是否順暢。因為雲端服務的特色是不需要倚賴供應商的介入，即可調配各項運算資源，可是一旦有問題或事故發生，若找不到相關的人員來及時處理，可能就會對組織造成更多的損害。(本文刊載於2012年2月號網管人雜誌)

[參考資料]
CSA：Security Guidance for Critical Areas of Focus in Cloud Computing

[觀點] 雲端運算安全入門(二) - 認識雲端運算架構與框架

Sun, 18 Mar 2012 15:19:00 +0000

安全問題普遍被認為是採用雲端服務的最大障礙，但事實上雲端並不會比現有的IT環境更加安全或不安全，所謂的安全強度是基於組織本身所能接受的風險程度，因此必須先了解雲端運算的架構，才能評估可能的風險，最後依此來決定是否採用雲端服務，或是要將何種資訊、流程或服務轉移到雲端之上。

依據個人的觀察，許多人只要一提到雲端運算相關的議題，大致上會有三種不同的看法。

首先是認為雲端將是未來的趨勢，企業必須盡早擁抱這項新技術，才能夠為產業創新，並且帶來更多獲益；其次則是認為雲端運算是舊酒裝新瓶，不過是廠商的行銷包裝手法，並沒有太多值得應用之處；最後一種看法是認為雲端服務就是要把資料和系統外包給別人處理，並且透過網際網路來存取，讓人感到很不安全，所以根本無意採用所謂的雲端服務。

目前，從不同的產業、技術和角度而言，各界對於雲端運算的解讀各不相同，姑且不論以上的觀點究竟誰對誰錯，個人認為在評斷雲端服務之前，一定要先問問自己，所認知的雲端運算到底是什麼？在雲端之上可以提供哪些服務？雲端應用了哪些技術架構？可能存在哪些安全風險？到底能夠為組織帶來什麼好處？

如果以上的問題，都已有了相當肯定的答案，同時也了解一旦雲端服務中斷而無法使用，或是資料受到未經授權的存取時，組織將受到什麼樣損害的話，相信接下來對於雲端運算所提出來的見解，都會是非常受用的。然而，若只是以偏蓋全的思考，以訛傳訛的用一個雲端卻各自表述的話，所得到的結果肯定是沒有交集，也會是沒有意義的論戰。所以，我們必須先找出一個共同的標杆，作為採用雲端運算和相關服務的評估基礎。

雲端運算的必要特徵

在雲端運算關鍵領域安全指南中，針對雲端運算的組成定義，採用的是美國國家標準技術研究院(NIST)的工作定義，它為雲端運算定義了五項必要的關鍵特徵、四種部署模式和三種服務型式，可作為在評估雲端運算安全時的一致性解釋與參考。

針對NIST定義的五項必要特徵，說明如下：

廣泛的網路存取方式 - 「如果沒有了網路，那就不會有雲端」這是廣泛受到認同的一句話，也就是說雲端服務的能力都是藉由網路來提供，因此在用戶端設備方面，必須支援廣泛的連結，包括目前流行的智慧型手機、平版電腦、筆記型電腦，甚至於可連網的家電等，都要可以享受到雲端服務的便捷。或許您會問，一旦原有的資料或系統轉移到雲端之後，那是不是就只能使用全新的服務，舊有的服務像是ERP、CRM和POS系統等該何去何從呢？新的雲端服務能夠與其他服務進行連結嗎？關於這點請不用擔心，這些都已有對應的解決方案，可以同時支援傳統服務或是其他嶄新的雲端服務。
快速且彈性的架構 – 雲端服務的特色之一，就是所有服務都可以按照自己的需要來隨時購買，例如著名的Amazon EC2(Amazon Elastic Compute Cloud)服務，它可以讓使用者依照需求來租用虛擬的主機，並且安裝執行任何想要的應用程式。這也就是說，使用者可以指定所需要的主機配備資源，包括了中央處理器、記憶體、硬碟容量等，再依照使用的時間來付費，並且可以隨時的創建或終止，這種能夠快速上線的服務，其背後可提供的資源是令人超乎想像的。
可量測的服務 – 因為服務有價，所以提供的資源必須是能夠量測的，目前最常見的方式，是可以依照中央處理器、儲存空間和網路頻寬來計費，雲端服務供應商可以提供透明化的資訊報表，讓使用者作為參考，同時也提供了各項監控的方式，讓使用者能夠合理評估，以便進行資源最佳化的使用。
按照需求自行調配 – 因為雲端運算具有了快速且彈性的架構，所以一切資源的使用都可按照使用者的需求來進行調配，同時最重要的一點是，過程中完全不需要等待雲端服務供應商的人員介入或協助，只要透過了網頁化的互動介面，所有的資源配置在彈指之間，即可自行調整完成。
虛擬化的資源池 – 雲端運算可以同時提供服務給大量的使用者，這也就表示雲端服務供應商需要有強大且充足的資源，才能應付來自世界各地眾多的使用需求。因此，雲端服務供應商會將所需的運算資源，包括了實體和虛擬，統統匯整到一個虛擬化的資源池之中，用戶需要多少資源，就撥出多少資源來供應。舉例來說，某用戶需要1TB的儲存空間，供應商可能從單一的實體硬碟，或是串接而成的陣列系統，從不同的地點透過網路來提供所需的容量，使用者並不需要知道資源實際的所在位置，即可順利的使用，並且可以再進行動態的擴充，這也是雲端運算的一項重要特徵。

雲端運算的部署模式

談到雲端運算，最為人所知的就是它的部署模式，這也是大家最常聽到的雲端名詞，包括了以下四種型態：

Public公有雲 – 所謂的公有雲，顧名思義就是所提供的是針對大眾的公開服務，像是主機運算、資料庫、資料儲存等服務，這朵雲會是由某個組織所擁有，依照資源的使用量和時間來對使用者進行計價。

Private私有雲 – 私有雲是相對於公有雲的一種佈建型態，主要是避免過度開放，以降低雲端服務提供給不同的使用者時，可能造成的安全問題。因此，它只會針對單一組織來提供服務，並且由該組織或委任的第三方來管理。私有雲是許多組織從現有的IT環境，邁向雲端的第一步，藉由去調配既有的IT設備，或是導入新的虛擬化技術，將可用的資源集中成為虛擬的資源池，再針對組織的使用者來提供服務，可充分利用雲端的彈性，同時藉由單純化的管理方式來降低風險。

Community社群雲 – 這朵雲是由許多個組織來一起共享，以支援特定的社群服務，例如目前由相關單位推動的醫療雲、教育雲等，以共同的訴求和具有相同使命的目的為號召，提供特定社群的雲端服務。這些雲端服務所需要的設備資源，可能會位於組織內部同一地點，或是委由外部單位來協助提供。

Hybrid混合雲 – 雲與雲之間雖然是獨立存在，但是彼此卻可以相互連結應用，對於一個組織同時採取了兩種以上不同的雲端服務型態，稱之為混合雲。例如企業可運用公有雲的運算資源，但是運算結果的資料儲存和分析歸檔，卻由內部的私有雲來協助完成，這種混合的型態，可以大幅增加應用服務的可移動性，同時降低企業完全採用公有雲的安全風險。

雲端運算的服務型式

至於雲端運算的服務型式，也是早期雲端運算在技術面最常討論的重點，NIST將所有雲端服務型式歸類為三種，簡稱為「SPI」型式，說明如下：

SaaS軟體即服務 – 使用者所採用的雲端服務，來自於雲端服務供應商的應用軟體，最著名的就是Google，包括了電子郵件、地圖、文件、協作平台等，使用者可以廣泛地利用各種可連網的裝置，透過瀏覽器或行動裝置上的App，即可使用其應用服務，軟體本身所運作的平台或底層的基礎設施，使用者完全不需要管理或參與，這對使用者來說，可以大幅降低系統管理、軟體授權、硬體設備等費用，雲端服務供應商則能夠有效控制軟體的使用、版本更新、安裝散布等問題。

PaaS平台即服務 – 使用者藉由雲端服務供應商所設置完成的開發平台，使用其所支援的程式語言和開發工具來進行軟體開發或測試，其優點是平台所需的硬體基礎設施，完全不需要使用者費心維護，只需要調配控制所在的主機組態即可，而且開發平台的使用可以依照實際的需求和時間來付費，同時可要求雲端服務供應商必須確保開發平台的可用性與穩定性，並且節省自行建置平台和開發工具的費用和人力、物力與時間成本。

IaaS基礎架構即服務 – 對使用者來說，若需要彈性的建置軟體開發或運算環境，基礎架構即服務會是最佳的選擇，因為雲端服務供應商只提供必要的基礎設施，像是網路、儲存空間、處理器等資源，其他的像是作業系統、套裝軟體、應用程式等，都可以完全交給使用者來自行掌控，所以它具有高度的可擴充性，但是相對的，使用者所需負擔的安全風險也會更高。

雲端運算服務的角色

在雲端運算服務之中，依照所扮演的角色不同，所關注的焦點也會不同，一般而言，雲端服務主要會有三種角色，第一種角色是使用者，其關注的重點在於如何評估一家可靠的雲端服務供應商來滿足所需的各項服務、如何去簽訂服務的使用合約以確保可能的安全問題受到妥善處理，以及如何維持一定的服務水準。第二種角色就是雲端服務供應商，依照所提供不同的服務型式，其關心的事項包括了如何建立必要的基礎設施(如硬體、軟體、虛擬化技術)、如何進行監控與管理來滿足服務水準要求、如何實施安全控制措施來降低安全風險、如何提供標準化作業平台和軟體等。最後一種角色則是雲端服務開發者，它的重點會放在如何挑選一個標準的開發環境、如何去創建雲端服務、如何遞送給使用者、如何進行分析與改善等。

所以在了解雲端運算最基本的五項關鍵特徵、四種部署模式和三種服務型式之後，接下來我們就可以從不同的角色來評估雲端服務所面臨的安全風險，進而提出可行的風險處理方法和應對之道。(本文刊載於2012年1月號網管人雜誌)

[參考資料]

CSA：Security Guidance for Critical Areas of Focus in Cloud Computing
Cloud Computing Use Case White Paper V4

[觀點] 雲端運算安全入門(一) - 您了解雲端之上的安全風險嗎？

Mon, 30 Jan 2012 14:35:00 +0000

雲端運算是目前最熱門的資訊科技應用之一，透過無遠弗屆的網路連結與運算資源，讓組織可以獲得過去需要耗費大量成本才能使用的服務。不過，新科技的應用總有其風險存在，想要降低可能的安全風險，就有賴於足夠的認知和正確的應對之道。

在幾年前談到雲端運算時，它還只是一個趨勢和概念，許多人對於雲端都有不同的解讀與說法，甚至有人認為它只是舊酒裝新瓶的商業炒作，會是另一個網際網路上的泡沫。但是，隨著今日Amazon、Salesforce所提供的商業應用已相當成熟，Google、Apple所提供的Google doc、iCloud等服務，更讓一般大眾都能享受到雲端科技所帶來的便利與創新，雲端應用已不再只是一項口號，而是真正地實現在我們的生活之中。

面對雲端運算和其衍生的各項創新服務，有些先知先覺的開創者已經品嘗到甜美的果實，後知後覺的採用者也因為前人的經驗累積，逐漸地跟上雲端的腳步，但也有人因為不了解雲端，只是道聽塗說而害怕可能的安全問題，一直裹足不前的結果，反正讓自己錯失了良機，同時也失去了產業競爭力，這是令人感到惋惜的地方。

當然，雲端的應用並非全然都是正面的好，站在使用者的角度，我們必須先了解雲端先天的限制與部署的架構，才能讓它的應用符合自身的需求，同時也要明瞭可能潛藏的安全風險，才能進一步有效地駕御它，使其成為營運發展的好幫手，所以接下來的一系列文章，將帶領大家來一窺雲端安全的全貌。

雲端風險來自於何處？

在過去的文章中曾經提到，雲端的風險主要來自於三個層面，分別是網路、資料與法規，而這些風險又會充分地反映在雲的架構、治理與營運之中，同時也千萬不要忘了，目前雲端仍架構在既有的資訊技術之上，這也就是說，傳統的資訊安全問題，在雲端之上依舊會存在，仍然需要我們審慎去處理應對，所以包括像是實體安全、網路安全、系統安全，一直到應用程式安全等，這些對應的安全控制措施都是不可缺少的。

為了對整體的雲端安全有所掌握，在2009年的RSA會議中，有數十家業者宣布共同組成了雲端安全聯盟(Cloud Security Alliance；CSA)，希望藉由業界的實務經驗與力量，來因應雲端應用可能面臨的安全問題，因此，雲端安全聯盟的主要任務，就是提供雲端應用的實務知識和訓練，以協助組織克服並有效降低在採用雲端服務時的風險，所以在2009年4月發布了第一版的雲端運算關鍵領域安全指南(Security Guidance for Critical Areas of Focus in Cloud Computing)，透過數十位橫跨美國、歐洲、亞太地區的專家學者，提供了務實詳盡的的觀點和建議，來幫助企業和組織在部署或採用雲端服務時，有足以參考的最佳實務依據。

除了雲端安全指南之外，為了培育更多業界的雲端安全人才，雲端安全聯盟在2010年6月推出了雲端安全認證計畫，並且設計了全世界第一張針對雲端安全的知識認證CCSK(Certificate of Cloud Security)，以便確保從事相關的雲端產業人員，具有足夠的認知來捍衛雲端的安全。

了解雲端應有的安全責任

隨著雲端服務的應用愈來愈多元，產業也在實務中經歷了更多安全議題的洗禮，在2011年11月，雲端安全聯盟正式發布更新的雲端運算關鍵領域安全指南v3.0，在這份指南之中，將雲端安全劃分為三大部分，並且涵蓋了14項安全領域：

第一部分：雲端架構(Cloud Architecture)
在這個部分，首先提到了第一項安全領域 -「D01雲端運算架構框架」，它是根據美國國家標準與技術研究所(NIST)所提出的雲端運算定義，說明了雲端運算所具有的五大必要特徵、3種服務型式及4種部署的模式，讓組織可以依照其所提供或採用的雲端服務，明瞭其安全責任和管理重點。

第二部分：雲端治理(Governing in the Cloud)
所謂的雲端治理，它關注在五項安全領域，包括「D02治理與企業風險管理」，要求組織必須具備評估雲端運算風險的能力，像是雲端服務供應商如何應對風險、組織保護敏感資訊的責任等；其次是「D03法律議題：合約與電子證據發現」，談到了在事故發生時，組識對於資料隱私、證據蒐集和法律相關的責任；再來是「D04法規遵循與稽核管理」，協助組織了解如何符合內部與業界法規的要求，以及實施安全稽核的重點；接下來是「D05資訊管理與資料安全」，組織必須依照機密性、完整性、可用性，以及資料的生命周期來實施對應的控制措施；最後一項為「D06相互運作與可移植性」，提到一旦雲端服務需要轉移或更換供應商時，如何確認供應商具備可執行運作的能力。

第三部分：雲端營運(Operating in the Cloud)
第三部分是雲端營運，牽涉到許多技術性的安全議題，也是大多數組織比較會重視的地方，它包括以下八項安全領域：

「D07傳統安全、營運持續和災難復原」- 組織需要了解傳統的安全問題是否已有妥善的處理，以及採用雲端服務之後，萬一發生事故，應如何確保既有的營運水準，並且具備災難復原程序。
「D08資料中心營運」- 要求事先評估雲端服務供應商和其資料中心的營運程序，以掌握可能的安全風險。
「D09事故回應」- 說明事故發生時，當下是否有緊急應變與處理的能力，並且能夠依照法規要求進行通報，以避免災情的擴大。
「D10應用程式安全」- 要求評估在雲端環境下運作的應用程式，是否含有可能的安全漏洞，以及既有的應用程式是否適合移至雲端運行。
「D11加密與金鑰管理」- 提到業界針對加密機制和金鑰管理的安全建議，還有要如何落實資料的存取保護。
「D12識別、權限與存取管理」- 談到了身分驗證與授權的重點性，如何在雲端上提供所需的身分供應與存取控制。
「D13虛擬化」- 著重在目前普遍應用在雲端的虛擬化技術，如何避免虛擬主機的安全風險，以及在虛擬化環境中的安全管理問題，提供了實務可行的建議。
「D14安全即服務」 - 安全即服務的重點在有別於如何確保在使用雲端服務時的安全，從另一個角度透過雲端服務來評估和強化系統和資料的安全。

如何因應雲端安全風險

針對雲端運算可能面臨的安全風險，雲端安全聯盟在「Top Threats to Cloud Computing」文件中識別了七項最常見的安全威脅：

濫用與非法使用–雲端運算提供了近乎無限的運算、網路與儲存資源，除了應用在正面的商業行為之外，也可能受到惡意人士的利用，作為像是破解密碼、阻斷服務攻擊、惡意程式主機、殭屍網路(Bonet)等的利器，大幅提升其非法活動的能力。
不安全的介面與APIs –雲端運算透過許多應用程式介面來提供服務，如果在身分驗證方面不夠嚴謹或是存在安全漏洞，可能就會造成使用時的安全問題。
惡意的內部員工–在雲端上可能存在大量的商業資料和重要的商務應用服務，一旦雲端服務供應商的內部員工有惡意存取或破壞的行為，就會造成組織重大的損失。
資源共享的技術問題–許多雲端服務是基於共同的軟硬體資源，提供給各來自不同組織的使用者，一旦某項資源受到損害(例如主機被滲透竊取資料)，即可能央及其他共用的使用者。
資料遺失或外洩–雲端服務供應商存放資料的地點(包括儲存設備和資料中心)，如果沒有實施良好的管控或備份機制，可能就會造成資料外洩或損毀。
帳號或服務被挾持–雲端供應商藉由使用帳號來提供各項服務，如果帳號安全機制遭到破解，或是帳號受到竊取利用，都會導致服務的失效。
未知的風險–雲端提供了創新服務，也就代表背後藏有許多未知的風險，即使在技術層面上已不斷的更新修補，管理機制也可能會有不足的地方，再加上資料隱私要求在各個國家皆不相同，資料安全與合法性仍需要持續的重視。

除了以上常見的安全威脅，在雲端服務之中，基於所扮演的角色不同，所考量的安全問題也不會相同。以服務的使用者來說，最關心的莫過於成本效益是否可達成既定的目標、使用方面是否能符合需求，以及是否具有安全的問題，而這些都會反應在其挑選雲端服務供應商的條件，以及未來所簽定的合約與服務水準協議(SLA)。

若是服務的供應商，所需要考量的安全層次就會多更多，例如從最底層的硬體建置和效能方面，是否足以應付雲端的大量存取使用；架構在硬體之上所使用的軟體虛擬化技術，是否可達成有效分配運算、網路、儲存等資源，以及虛擬映像檔的管理安全性；還有再往上到應用面的不同部署型式(私有雲、公有雲等)和服務型式(SaaS、PaaS、IaaS)的安全責任歸屬，加上管理方面的支援能力(如報表、帳務、容量管理、安全監控等)，這些都是在提供服務之前需要確認的事項。

所以，為了因應雲端的安全風險，組織務必要具備足夠的雲端運算安全認知才行，建議最可行的方式，就是先從國際認可的作法來著手，而雲端安全聯盟所提供的雲端運算關鍵領域安全指南，正是最佳的實務參考，這些擁有雲端安全知識的人員，未來還可進一步取得CCSK雲端安全知識認證，成為組織中重要的雲端運算安全人才，也才能更有效地推動各項雲端應用服務。(本文刊載於2011年12月號網管人雜誌)

[參考資料]

CSA：Security Guidance for Critical Areas of Focus in Cloud Computing

CSA：Top Threats to Cloud Computing

[觀點] 解析資訊安全控制措施(完) - 資訊安全與法規遵循

Tue, 10 Jan 2012 14:19:00 +0000

上一次我們談到ISO 27001中有關如何避免資安問題影響企業營運的要求，以及在發生資安事件之前，應如何建立相關的事件處理應變流程，本文將說明在標準附錄的最後一項，有關法規遵循的控制措施。

在過去，每當與企業管理階層談到資訊安全的議題時，通常被重視的程度，大都遠低於和業務活動相關的事項。探究其背後原因，乃是當資安事件發生時，主管人員皆認為其可能造成的衝擊並不大，採取方式也往往是由內部人員來自行處理。

不過，隨著組織在營運活動上，愈來愈倚靠資訊系統的運作，再加上資訊可被傳遞的管道愈來愈多，讓現今的資安問題變得更加複雜，一旦發生資料外洩事件，也容易受到媒體矚目，民眾所產生的不良觀感，將對組織的信譽造成傷害，加上當事人若受到實質損害時，也會訴諸法律來尋求必要的賠償。

此外，企業若發生商業機密的外洩，也必須要因應與客戶或供應商所簽訂的合約中，明訂需要負責或賠償的事項，所以對企業而言，重視資安問題並在營運過程中識別出需要遵守的法律、法規及合約的安全要求，將它落實在內部的政策與作業規範，將會是最好的做法，只要能及早未雨綢繆，就可避免因資安事件所造成的傷害與損失。

法規遵循與適法性要求

在ISO 27001附錄A.15中提到，法規遵循與安全政策必須能夠有效地實施，它包括了三個控制項目，首先「A.15.1遵循適法性要求」的目標，就是要讓組織避免違反任何法律、法規、合約、應盡義務及任何與安全有關的要求，也就是要降低組織不小心違反法律的風險。

組織想要確保不會發生違反法規的事件，最好的方法就是預先找出在法律和行業規範中必須要遵守的事項，然後融入相關的管理要求中加以實施。這裡一共有六項控制措施，分別說明如下：

A.15.1.1 識別適用的法條
這項控制措施是要求組織對於本身所適用，或是對資訊系統提出要求的相關法律、法規和合約，都必須要明確的識別並界定出來，採取文件化方式加以記錄，並且維持在最新的狀態。在實務方面，企業需要遵守和資安有關的法律，包括了刑法、著作權法和個人資料保護法等，除了要將適用的法律識別出來，最重要的是在內部的管理程序中，也要將這些要求作清楚的明訂與說明。

A.15.1.2 智慧財產權
這項控制措施是要求組織必須確保所使用的資料和軟體，不會涉及違反智慧財產權的法律要求，所以要建立適切的管理程序。以著作權和智慧財產權為例，組織可以在管理程序中明訂購置軟體的方式和原則，說明為了尊重智慧財產權，內部一律使用合法授權的軟體，並嚴禁非法下載音樂、影片和未授權的軟體，同時也要為合法軟體建立一份軟體清單，並且定期清查以避免違法情事發生。

A.15.1.3 組織記錄的保護
為了確保組織運作符合法律、法規及合約的要求，組織在必要時需要提出證明，這項控制措施就是要求組織應保護和法律及營運有關的記錄，避免其受到竄改、毀損和偽造，而失去足以作為證據的能力。在實務方面，組織需要評估究竟有哪些記錄需要留存，採取什麼樣的安全措施，考量到這些記錄如何產生、如何記錄、存在地點、存放型式、加密方式和存取權限等。一般而言，電磁記錄和紙本文件的保護方式是不同的，電磁記錄要注意加密方式和所選擇的儲存媒體，以便能妥善保存；若是文件的話，儲存地點的環境安控會是重點，同時也要賦予保存期限，期滿之後若不再需要這些記錄時，就可以選擇安全的作法來進行銷毀。

A.15.1.4 個人資訊的資料保護與隱私
隨著個人意識的高漲，以及個人資料保護法所賦予對於個人資料的自主控制權利，對於可識別出特定個人的資料，務必要妥善保護，因此這項控制措施要求組織必須依照法律規定，以確保個人隱私和個人資料保護。建議組織可從人員、流程、技術三個方向來進行，包括指定專人來負責個資管理、對員工實施教育訓練以了解個資保護的責任；流程方面則依照個資法對個資蒐集、處理和利用的要求，在作業辦法中加入符合法律的措施；至於技術面則依據個資存取、傳輸和儲存方式，實施技術控管和留下適當記錄，以便定期進行稽核，這部分還可配合「A.10.10.1稽核存錄」和「A.10.10.3日誌保護」的要求來進行。

A.15.1.5 防止資訊處理設施的誤用
組織必須防止使用者可能濫用各項資訊處理設施，實務上的作法為要求使用者需要進行申請流程和取得管理階層授權，才可使用資訊處理設施。針對含有敏感資料的設施，則可配合監視系統的使用，並且在一開始提示警告的訊息，讓使用者了解這些資訊處理設施皆屬於組織所有，使用過程也會實施監控記錄，除非已經獲得授權，否則不得有任何的資訊存取行為。

A.15.1.6 加密控制措施的規定
組織若在資料保護上使用加密控制措施，必須遵守當地國家法令的要求，同時了解這些可實施加密的設備，是否會有進出口的相關限制。如果加密技術有輸出至其他國家的需求時，也要事先徵詢法律專業人員的見解，以避免違反國家安全的事件發生。

安全政策與技術遵循

在「A.15.2安全政策與標準的遵循性和技術遵循性」項目中，目標是要確保資訊系統皆能符合組織安全政策的要求，因此需要進行定期審查和稽核，確認資訊系統符合安全實作標準和文件化的規範。在這個項目中一共有兩項控制措施，說明如下：

A.15.2.1 安全政策與標準的遵循性
對於已導入資訊安全管理系統的組織而言，需要依據資安政策與標準的要求，建立各項安全的作業程序，這項控制措施就是要求所有管理人員，必須要確保在其職責範圍之內，相關已頒布的安全作業程序都已正確的被執行，同時留有記錄可確認達成資安政策的目標。因此，管理人員需要定期審查這些程序實施的結果，若發現有任何不符合的情況發生，就需要判斷其原因，評估是否要採取相對應的矯正措施，以防止這些事件再次發生，同時也要向管理階層來回報。

A.15.2.2 技術遵循性查核
管理制度除了可進行定期審查和稽核之外，針對資訊系統也要查核是否符合安全標準的要求，這項控制措施即是要求定期採技術性方式來查核各項資訊系統，因此在實務上，建議由有經驗或持有專業認證的人員來進行。例如許多組織會使用自動化工具，針對網站進行弱點掃瞄，或是採取手動方式，針對系統進行滲透測試，再提出網站的安全改善報告。請記得所有技術性的查核過程，務必都要事先取得授權，並且在適當的監督和記錄下，由專業人士來實施，以避免引起其他不必要的問題。

資訊系統的稽核考量

ISO 27001附錄的最後一個控制項目是A.15.3「資訊系統稽核考量」，它的目標是要確保資訊系統在稽核的過程中，可以對組織產生最大效益，同時避免不必要的干擾與風險。在這個項目中包括二項控制措施，說明如下：

A.15.3.1 資訊系統稽核控制
針對資訊系統，組織將依據安全政策的要求，定期實施相關的稽核，但是這些稽核活動，可能也會引起其他的安全風險。這項控制措施要求資訊系統的稽核活動，必須要有嚴謹的規劃，以避免造成營運的中斷，因此在實施之前，我們必須考量所實施的範圍、所需要的資源及所採取的稽核手法。舉例來說，若是針對資料庫系統進行查核，則所使用的工具或指令，務必確保僅能針對資料本身進行唯讀存取，不會新增、刪除或修改資料的欄位屬性和內容；另外在實施之前，也務必取得管理階層的授權，在明定的時間和條件下進行，過程中也要留下記錄，以便在意外發生時採取應變作法。

A.15.3.2 資訊系統稽核工具的保護
組織在實施資訊系統稽核時所使用的工具，往往具有特殊的權限或敏感性，因此這項控制措施要求所有系統稽核工具，都必須要有適當的保護，以避免濫用或受到破解的情況發生。所以，負責資訊系統稽核的人員必須具有獨立性，使用的工具也要和開發或運作中的系統分開，並且實施權限控管，在必要時甚至可先從運作中的系統移除，以避免受到誤用。

資訊安全是一個管理流程

對許多未正視資安的組織而言，資訊安全仍停留在購置產品設備，防範網路入侵等技術性的問題上，卻忽略了組織最大的資安風險，往往是來自於人員的不當行為或疏失，才會導致資料外洩的事件發生，更忘了這些人為的問題，往往是所有最先進設備都難以阻擋的最大威脅來源。

所以，資訊安全絕對不是建置產品的過程，而是一項管理的流程，它透過標準的文件化要求，進行資訊安全的風險管理，配合實施適當的安全控制措施，就可以讓組織內在的體質變好，而不需要老是倚賴華麗的外套，來抵禦可能的病菌入侵。

個人希望透過這一系列的文章說明，讓您的組織可以透過持續不斷的計劃(P)、執行(D)、檢核(C)和改善行動(A)，將風險降至可接受的程度，確保各項營運活動無後顧之憂，為各位創造出最好的機會和最佳的工作效益。(本文刊載於2011年10月號網管人雜誌)

[觀點] 解析資訊安全控制措施(十) - 資安事故管理與營運持續

Sun, 08 Jan 2012 11:31:00 +0000

上一次我們談到了ISO 27001中有關資訊系統的安全規格要求，以及在系統開發時，如何導入適當的安全控制來降低系統的安全風險，本期將說明接下來的資安事故管理與營運持續的控制措施。

在資訊安全的世界裡，無法達到所謂百分之百的安全，能夠做到的只有相對的安全，這是組織務必要體認的實際情況，因此，難免會有一些資安事件，像是電腦中毒、駭客入侵、資料損毀等狀況發生。既然無法保證絕對不會發生資安事件，那麼在事件發生時，為了要降低可能的損害，就需要事先建立處理應變的方式，才能將衝擊降到最低，甚至還要進一步擬定營運持續計劃，以便在災害擴大時，仍能保持業務營運的正常水準。

資訊安全事故管理

在ISO 27001附錄A.13中提到的是資訊安全事故管理的資安要求，它有兩個控制項目，「A.13.1是通報資訊安全事件與弱點」，目標是要確保和資訊系統有關的資安事件與弱點，都擁有相對應的處理程序，並且能夠正確及時地被傳達通報。這也就是說，只要是和資訊系統有關的人員，包括系統管理者、供應商及使用者，都必須要了解這些不同種類事件和弱點的通報程序、聯絡方式和正確的聯絡窗口，這個項目具有兩項控制措施，說明如下：

A.13.1.1通報資訊安全事件
這項控制措施是要求組織建立正式的資安事件通報程序，以便相關人員能夠採用適切的管道，快速將資安事件回報給管理人員，以便及時來因應和處理。通常一個完整的通報程序，包括要指定一個正式的聯絡人和代理人，並提供文件化的資安事件通報程序和表單，讓通報人員能夠依照事件通報指示，記錄和事件有關的重要細節，像是發生的時間、地點、系統錯誤訊息、監控指數，以及其他主觀判定異常的行為，以作為事件處理的依據參考。

為了要讓人員熟悉資安事件通報的作業流程，建議組織應定期舉辦教育訓練，讓新進人員都能具備必要的認知，或是定期的實施事件模擬演練，以便在事件真正發生時不會因手忙腳亂而忽略了訊息通報。

A.13.1.2通報安全弱點
這項控制措施是在組織已建立了適切的通報程序之後，要求和資訊系統有關的人員、供應商和使用者，務必要遵守通報的要求，只要是發現或觀察到可疑的安全弱點，就需要將這些事件盡快告知管理人員，以避免進一步的損害發生。

至於在「A.13.2資訊安全事故與改進管理」的項目中，目標是要確保組織中具有一致的事件通報與處理程序，並且能夠持續地進行評估、監控，並且改善整體的安全事件管理，以達到事故管理的有效性。在這個項目中，一共有三項控制措施，分別說明如下：

A.13.2.1 責任與程序
在資安事件發生時，到底要由誰來負責通報？該如何進行呢？這些都有賴於事前建立完整的作法，因此，這項控制措施即是要求組織需要建立適當的責任區分和作業程序，才能夠迅速有效地回應資安事件。

所以在實務上，我們需要針對事件區分不同的等級或型式，才能夠分別建立不同的因應辦法，例如針對單機的電腦中毒，就會有其需要通報的內容說明和處置，而針對來自網路的阻絕服務攻擊，在通報層級和處置方面，也會有顯著的不同。至於整體的事故管理程序，建議還要包括事件的原因分析與鑑別、如何進行事件預防與矯正措施的規劃，以及是否需要蒐集相關證據，以便向主管機關進行通報，或是作為損害求償的證明。

A.13.2.2 從資訊安全事故中學習
所謂亡羊補牢尚未晚，一旦資安事件效應擴大，演變成為對於組織營運有害的事故，我們就必須要有足夠的資訊，針對事件發生的頻率、損害情形、營業損失，來選擇額外的控制措施，以防止事件的再次發生。這項控制措施即是要求組織應有適當的機制，評估和監控資安事故的過程以及所造成的衝擊，作為因應未來事件的依據參考。

A.13.2.3 證據的蒐集
如果資安事故涉及到法律問題，組織就必須採取相關的法律行動，證明自己並無故意過失，或是對於惡意行為進行損害求償。這項控制措施要求應針對資安事故本身，蒐集、保存和提交相關的證據，以符合法庭在審判時的佐證要求。在實務方面，數位證據的蒐集是相當專業且不易進行的，因為數位證據本身很容易受到破壞和竄改，進而損及到數位證據應有的證明力和證據力法則。

所謂證明力是指證據是否可明確反映事件發生的原貌，而證據力則是在蒐集的過程中，是否依照標準的程序來進行採集，並且可持續一致地維持證據的正確性和完整性，確保其品質可被法庭所採納。對組織來說，證據的來源通常有兩種型式，一種是紙本文件，它記錄事件的發生時間、地點和過程，這些原始文件必須要確保其不會遣失或受到竄改；另一種則是存在於資訊系統上的電磁記錄，需要透過鑑識人員使用相關的鑑識工具進行蒐集、檢驗、分析和報告，在這個過程中，需要依照法庭或業界認可的標準流程來進行，原始存有電磁記錄的媒體則必須受到妥善的保護，以避免損及證據應具有的兩項法則。

營運持續管理

組織想要作好資訊安全的目的，就是不希望資安事故的發生，影響到日常的業務營運，所以A.14營運持續管理的目標就是希望組織能夠未雨綢繆，事先擬定各項的應對策略，以避免營運中斷的情況發生。

營運持續策略的擬定，主要是透過營運衝擊分析來找出組織重要的業務關鍵活動，再透過針對關鍵活動的風險評鑑，評估可能的潛藏風險，並擬定出對應的營運持續計畫，藉由計劃的實現來達成營運持續的目標。

因此，A.14.1「營運持續管理的資訊安全層面」的控制目標，就是希望透過營運持續管理的流程，配合實施各項預防和復原措施，來對抗可能的營運中斷，確保重要的核心營運系統和業務流程，不會受到災害事故的影響而能夠持續進行，在這個項目中一共有五項控制措施，分別說明如下：

A.14.1.1 將資訊安全納入營運持續管理流程
這項控制措施要求組織需要依照業務所需的資安要求，發展和維持整體的營運持續管理流程，也就是需要識別和業務有關的關鍵活動，以及支持這些關鍵活動所需的資產，包括了人員、場地、資訊、技術、供應商、利害關係人等，組織必須充分地了解這些資產所需的安全要求，以及這些資產可能引起營運中斷的風險，評估其可能造成的衝擊，然後再選擇適當的控制措施。

舉例來說，像是火災可能對於營運場地包括機房和辦公室，造成營運中斷的衝擊，所以組織就需要配置消防系統，作為對抗火災的控制措施，如果認為此災害對於營運的衝擊過大，甚至可預備另外的營運據點，或進一步購買適當的保險，來降低整體的營運風險。

A.14.1.2 營運持續與風險評鑑
組織若已將資安納入營運持續過程的考量，接下來就要展開實際行動來找出可能造成營運中斷的風險，這項控制措施就是要求組織必須識別可能導致營運中斷的事件，研判其可能發生的機率，評估可能造成損害的等級，以及對組織的衝擊和影響。

一般而言，由資安事件引發的系統錯誤、設備失效、天然災害等問題，多數能夠藉由風險評鑑加以識別，並且依照其損壞程度和復原時程，判斷如何恢復其至正常運作的水準。因此在進行規劃時，建議最好由業務活動和資源的擁有者來參與，才能夠完整的識別出正常營運所需的資源、可允許的中斷時間及復原的順序，如此，也才有辦法識別出各項風險，進而決定組織營運持續管理的整體作法，避免落入過度偏重在添購資訊設備的備援情境中。

A.14.1.3 發展與實作包括資訊安全的持續計畫
組織應依據營運衝擊分析和風險評鑑的結果，來建立所需的營運持續計畫，這項控制措施就是要求針對各項可能造成營運中斷的風險，應該建立對應的維持或恢復運作的計畫，以確保在一定時間內達到資訊可用的要求等級。對此，建議組織在規劃時，需要考量可以接受的服務中斷時間，以及可使用的人力、物力等各項資源。

舉例來說，若組織針對主機損毀造成系統失效時，所採取的處理計畫為更換同一型號的主機，但系統可接受的服務中斷時間為三小時，組織在異地也備有同型的設備，但是光取得這些設備就需要耗費二小時以上，加上通知技術人員來協助更換和資料復原也至少需要一小時，所以雖然更換設備看來是可行的作法，但實際執行時卻無法滿足組織要求，因此這樣的營運持續計畫內容可能是失效的。

A.14.1.4 營運持續計畫框架
這項控制措施是要求營運持續計畫需要確保一致性，也就是在實施上務必要依照組織的整體作法，例如在每一份計畫中，都會涵蓋特定的計畫擁有人、聯絡清單、啟動條件、緊急程序等，這些就是所謂的框架，需要依照這些項目來建立各項營運持續計畫的內容，同時明訂測試與維護的優先順序。

A.14.1.5 營運持續計畫的測試、維護及重新評鑑
關於營運持續管理，實務方面需要注意的是，計畫本身的建立並不困難，重點在於如何維持計畫的有效性，因此這項控制措施要求所有的營運持續計畫，都需要定期的測試與更新，以確保計畫的內容與作法，符合當下真實的環境。

對組織而言，或許無法同時完整測試所有計畫，但應該要規劃其測試時程和方法，視情況選擇採取紙本演練、狀況模擬、技術測試及完整演練等，請務必明白計畫的目的只有一個，就是要確保在災難發生時，能夠依照預先設想的步驟來執行，以達到營運持續的目標。(本文刊載於2011年9月號網管人雜誌)

[參考資料]

ISO/IEC 27001:2005
ISO/IEC 27002:2005

[觀點] 解析資訊安全控制措施(九) - 資訊系統取得、開發與維護

Sat, 03 Dec 2011 01:40:00 +0000

上次談到了ISO 27001中有關網路、作業系統、應用系統的存取控制要求，藉由部署適當的控制措施，可降低組織的安全風險，接下來將說明標準中有關資訊系統取得、開發與維護的安全要求。

對大多數的組織而言，資訊系統的獲得有兩個來源，一個是由內部人員自行開發撰寫應用程式，另一個則是由外部廠商來協助開發或提供套裝軟體。不過，無論是採用委外服務或是自行開發，對於資訊系統所需的安全目標都是一致的，相關的安全控制目標與措施，可以參考ISO 27001附錄A.12「資訊系統取得、開發與維護」的內容，它主要有六個控制項目，依序說明如下。

資訊系統的安全要求

在A.12.1資訊系統的安全要求中，目標是要確保在導入資訊系統的時候，安全是其中必要的考量，它的控制措施為「A.12.1.1安全要求分析與規格」，主要是希望在一開始評估規劃資訊系統時，就要將安全項目納入其中，包括資訊系統對組織整體營運的重要性為何？是否評估此一系統失效或受到入侵時可能產生的安全風險？所需要的安全防護層面有哪些？如果系統本身無法達到所需的安全強度，是否可尋求其他的配套措施來降低風險？

除了管理面之外，在技術面需要考量的項目有，系統是否具有可自動運作的控制措施，能夠偵測出系統的異常情況；或是具有輔助性的人工控管方法，可進行參數的調整來增加安全的強度。還有系統是否採用了合乎業界標準的開發工具和流程(例如CMMI)，或是產品本身已通過安全標準(例如ISO 15408)的驗證與評估，這些也可納入採用資訊系統時的安全要求。

系統的正確處理與加密控制

在A.12.2應用系統的正確處理項目中，目標是要採取適當的控制措施，讓這些與營運有關或是處理重要資訊的系統，能夠確保所處理資料的正確性，同時避免受到未經授權的修改或濫用。它一共有四項控制措施，分別說明如下：

A.12.2.1 輸入資料確認
這項措施是要求針對所輸入的資料，系統能夠主夠地加以確認其適切性，以避免不當輸入所產生的風險。例如許多網站都提供了會員資料輸入或內容搜尋的功能，因此針對所輸入的資料，在內容上面可加以限制，像是價格欄位僅允許輸入數字、身分證字號只允許輸入10個字元等，透過對於數值的範圍、資料完整性、資料量及有效字元等的偵測，可避免像是資料隱碼(SQL injection)或緩衝區溢位(buffer overflow)等常見的攻擊。

A.12.2.2 內部處理的控制措施
針對不當的輸入，資訊系統需要有能力加以因應，像是資料檢核(validation check)的功能，應該要併入系統之中，以便主動地偵測和因應處理錯誤，或是蓄意的不當行為所引發的問題。所以程式本身需要考量設計相關的核對項目，包括像是批次處理的管控，可確保資料更新前的前後一致性；檔案總數的控制，核對資料完成之關聯檔案數值是否一致；進行程式運作程序的查核，在問題發生時可暫停下一步的處理等，這些都是實務可用的作法。

A.12.2.3 訊息完整性
要求針對所處理的資料，應實施確保訊息完整的控制措施，例如透過加密機制或雜湊涵數(hash)的應用，確保所處理資料的完整。

A.12.2.4 輸出資料確認
除了輸入資料的確認之外，輸出資料的確認也同樣重要，例如目前經常運用的地理位置查詢服務，若輸出的地址有誤，可能會讓人走到汽車不應走的鄉間小路而陷入困境，因此這項控制措施要求系統所輸出的資料必須加以確認，以符合實際可用的情況。

針對資訊加密的控管方面，在A.12.3「加密控制措施」的項目中，目標是要藉由加密方式，確保資訊不會受到未經授權的存取、竄改和干擾，也就是要達到機密性、完整性及可用性的要求，其控制措施說明如下：

A.12.3.1 使用加密控制措施的政策
針對和營運或是個人隱私有關的敏感資訊，組織應依照風險評鑑的結果，制訂統一的加密政策，說明要採取何種加密技術或控制方法來保護這些資訊。目前，許多組織都使用了筆記型電腦、智慧型手機等行動裝置，或是可移除式的媒體像是行動硬碟、隨身碟等，針對這些裝置的使用、授權方式及加密的作法，都應該在相關政策或作業程序中加以說明。

A.12.3.2 金鑰管理
對使用加密措施的組織而言，最重要的就是用來加密的金鑰該如何妥善的保存，因為一旦金鑰遺失或受到破壞，也代表資料可能無法繼續使用。因此，在金鑰管理的生命周期中，從金鑰產生、分派啟用、儲存、更新、廢止、封存和銷毀等，都要有完整的作業程序作為基礎，才能達到所謂的良好管理，另外千萬別忘記了，只要是和金鑰有關的作業活動，都要保留完整的記錄，以便進行後續的安全稽核。

系統檔案與開發過程安全

針對系統檔案安全的控管方面，A.12.4「系統檔案」的控制目標是要防止系統的檔案受到未經授權的存取或修改，它具有三項控制措施，分別說明如下：

A.12.4.1 作業軟體的控制
在作業系統上進行軟體安裝，應有相關的作業程序以便加以控制。在實務方面，使用者若未經過授權，應避免在作業系統上安裝應用軟體。特別要注意的是，許多作業系統的重大修補，像是版本升級或是Service pack的安裝，都要經過適當的測試，確保穩定度與相容性未受到影響，才可以實施更新，否則新版本的作業系統很可能因為不穩定或不熟悉操作，而導致其他的問題發生。

A.12.4.2 系統測試資料的保護
在系統進行運作測試時，應避免使用真實的個人資料或敏感資訊來進行，這已是老生常談的作法之一，這項控制措施即是要求需要小心選擇並且保護用來測試的資料，以避免資料的外洩。所以，在測試時要注意所使用的資料是否已經過授權取得，資料本身是否已剔除或替代敏感性的內容，在測試完成之後，是否已經徹底將資料從系統中清除。

A.12.4.3 程式原始碼的存取控制
程式原始碼的重要性，對資訊系統來說無庸置疑，因此原始碼的存取必須受到嚴格的管控。一般而言，原始碼會集中並儲存在特定地點(source libraries)，控制措施則包括了是否已建立作業程序、是否設定存取權限、是否保存在安全的環境等，即使是程式開發人員需要取得程式原始碼並進行更新，也要先經過授權，並依照作業程序才可進行。

在A.12.5「開發與支援過程的安全」控制項目中，目標是要能有效維持應用系統本身和所處理資訊的安全，其控制措施說明如下：

A.12.5.1 變更控制程序
針對資訊系統的變更，需要制訂正式的變更程序才可進行，也就是說，重點在於整個過程都需要有適當的監控，因此最好的作法是參照文件化的變更作業程序，同時依據之前A.10.1.2變更管理的相關要求來實施。

A.12.5.2 作業系統變更後的應用程式技術審查
在A.12.4.1曾提到作業系統軟體的更新不當，可能會引發安全問題，因此這項控制措施要求在變更之後，需要進行審查測試，以避免影響到組織作業或其他關鍵系統。換句話說，只要有系統進行變更作業，就要對應到後續的技術審查，所有更新作業與運作情況，都要留下適當的記錄才行。

A.12.5.3 套裝軟體變更的限制
組織若是使用廠商所提供的套裝軟體，這項控制措施建議應盡量避免相關套件的修改，所進行的變更活動也要加以嚴格管控。因此實務上若需要進行修改軟體套件，首先是要徵詢相關廠商的意見，並且評估變更之後的後續維護要如何進行，以避免產生安全漏洞。

A.12.5.4 資料外洩
許多資訊系統為了方便維護，開發者可能留下後門或隱密通道，這些可能會是資料外洩的管道之一，在實務上要完全加以防堵是非常困難的，比較可行的作法為在系統上線前進行系統掃瞄，確認是否有不當的訊息外送或開放的傳輸埠，另外也要監測系統資源的使用與網路活動，以防範資料洩漏的事件發生。

A.12.5.5 委外的軟體開發
組織若選擇委外廠商來進行軟體開發，就必須要加以適當的監督，確認遵守組織的安全政策要求，這部份可參照A.10.2第三方服務交付管理的要求來實施，實務上也建議組織將安全要求明列在所簽訂的委外合約之中。

在資訊系統取得、開發與維護的要求方面，最後一項控制項目為「A.12.6技術脆弱性管理」，它的控制措施是「A.12.6.1技術脆弱性控制」，因為資訊系統本身並非十全十美，需要定期或及時的加以修補，這項控制措施就是要求能夠及時取得和弱點有關的資訊，並採取對應的行動來降低因已公布的安全弱點，而遭受到不必要的攻擊。建議的適當作法為建立一份完整的資訊資產清冊，詳細記載系統的相關資訊，例如版本、廠商、部署狀態、負責人員等，並與廠商保持溝通連繫，以掌握系統的安全現況。(本文刊載於2011年8月號網管人雜誌)

[參考資料]

ISO/IEC 27001:2005
ISO/IEC 27002:2005

[新聞] 「Security Guidance for Critical Areas of Focus in Cloud Computing v3.0」已正式發布

Fri, 18 Nov 2011 00:31:00 +0000

CSA已正式發布了「Security Guidance for Critical Areas of Focus in Cloud Computing v3.0」，除了有部份內容經過改寫，特別強調「security、stability、privacy」這三點之外，新版大致上的架構仍是維持不變的，主要有更新的地方，包括新增加一個 Domain 14: Security as a Service，在Domain 3 和 Domain 5 的名稱也作了調整如下：

Domain 3: Legal Issues: Contracts and Electronic Discovery
Domain 5: Information Management and Data Security

目前，CCSK的考試仍維持在v2.1版的內容，所以如果您已準備好的話，進行考試還是沒問題的。至於未來考試會不會也配合更新，我想這是可預期的，若有任何更新的資訊，我會再提供給大家囉~

相關資訊請參閱CSA網站：
https://cloudsecurityalliance.org/research/initiatives/security-guidance/

[觀點] 解析資訊安全控制措施(五) - 通訊與作業的安全管理(中)

Wed, 09 Nov 2011 13:24:00 +0000

之前已針對ISO 27001中有關通訊與作業安全的控制措施，談到了監控資訊作業的相關活動和第三方的服務管理，本篇將繼續說明在此控制項目中的其他要求，以及在實務方面可以應用的管控作法。
註：上篇及下篇請參考之前發佈的內容。

過去，只要談到資訊安全防護，大多數人員直接聯想到的就是網路安全，認為需要在組織中部署防火牆和入侵偵測系統等產品，以防止來自網路的入侵和攻擊。雖然，這樣的認知是有點偏於狹隘的，但也突顯出網路安全其實就是組織在資安方面最為關注的地方，也願意將可運用的資源投入在網路安全上。

不過，網路安全除了導入技術面的資安產品之外，最重要的還是需要配合管理面的要求來進行，原因是技術性的作法，通常是為了要在問題發生時進行損害防阻，避免資訊資產受到損失，而管理面則是為了要防範問題於未然，事先透過作業流程的監控與設計，來降低其中潛藏的資安風險，因此，兩者在強化資安防護方面，肯定是相輔相成且缺一不可的。

在ISO 27001附錄A.10中，提到的是「通訊與作業管理」的要求，之前已說明了A.10.1「作業程序與責任」和A.10.2「第三方服務交付管理」，接下來就繼續探討其他的控制項目。

系統的規劃與管理

在組織之中，有些資安事故的發生原因，是來自於許多系統的上線啟用，沒有事先作好良好的規劃與測試，導致影響系統的正常運作。因此，在A.10.3「系統規劃與驗收」的控制項目中，一共有兩項控制措施，要求系統需要預先作好規劃與準備，確保有足夠的容量與資源，可以讓系統正常的運作，目標是要盡可能使系統運作失常或錯誤的風險，降到最低的地步。依序說明如下：

A.10.3.1 容量管理
以硬體伺服器為例，幾乎都有提供管理介面可監看系統的運作情況，包括CPU、記憶體、網路流量、硬碟空間等。因此，管理人員需要預作規劃，評估未來可能成長的資料量，來添購所需的儲存媒體和設備，以避免因為容量不足的問題，導致系統服務的中斷。

A.10.3.2 系統驗收
組織在啟用新系統之前，需要明確界定其驗收準則，包括版本、啟動程序、復原措施、操作訓練等。在實務方面，每當有新的資訊系統要加入既有的環境時，管理人員需要先問問自己，對於安全的要求是什麼？有沒有可能會因為新系統的上線，而影響到原本的運作環境。舉例來說，像是建置了視訊會議和網路電話系統，會不會導致頻寬不足；加入了數位監視系統，存放大量影像檔案，有沒有可能會導致儲存空間不足，這些都需要事前進行完整的檢測和評估才行。

目前，對於資訊系統最常見的外來威脅，就是惡意碼和行動碼，所謂的惡意碼是指一些的惡意程式包括病毒、木馬、蠕蟲、間諜程式等，其主要的感染來源，來自於網路下載和行動裝置像是USB隨身碟的使用，所以我們需要一些適當的防護措施。

在A.10.4「防範惡意碼與行動碼」的控制項目中，包括了二項控制措施，目標是要確保軟體與資訊本身的完整性，避免受到惡意程式的感染，分別說明如下：

A.10.4.1 對抗惡意碼的控制措施
組織需要針對惡意碼實施偵測、預防和修復的控制措施，實務上最容易的作法，就是在系統上安裝防毒軟體，並定期更新病毒碼，以確保防毒軟體能夠有效運作。此外，在政策方面，可制定正式政策要求使用者不可任意自網路上下載未經授權的軟體並進行安裝，並實施教育訓練讓使用者有足夠的認知，可避免來自網路和電子郵件等惡意程式的入侵。

A.10.4.2 對抗行動碼的控制措施
除了惡意碼之外，行動碼也是另一項普遍的威脅，它是指可以跨不同平台設備使用的程式，像是ActiveX、Java、Flash等，實務上最常使用的管制方式是提高瀏覽器的安全等級，以避免使用者直接執行了有害的惡意程式。

隨著儲存設備的容量愈來愈大，有許多重要的資訊也會存放其中，一旦因為儲存設備的損毀，連帶也會使得上面的資料也消失無蹤，因此，事前的備份，將可確保資料的完整性與可用性。

在A.10.5「備份」的控制項目中，目標是要維持資訊和資訊處理設施的完整性和可用性，其控制措施包括：

A.10.5.1 資訊備份
通常，我們除了要備份一般的系統檔案和資料之外，許多的應用程式和軟體，也同樣需要進行備份，並且定期進行復原測試，以確保應用程式皆可正常執行。在實務方面，我們需要針對資料本身不同的屬性，定義出不同的備份方式，例如完整備份、增量備份、差異備份等，也需要考量備份的頻率，像是每年、每月、每週、每日等，確保資料有多重的防護。當然，若有足夠的資源，採取異地備份將使資料擁有更高的保障，但這時就要確認異地是否可實施同等級的資安控制措施。

網路服務的安全監控

許多組織除了應用網路在日常作業上，也提供了許多對外的網路服務，在資訊的傳遞方面，更需要去考慮相關的安全問題。在A.10.6「網路安全管理」的控制項目中，目標是要確保對於網路的應用與相關支援的基礎設備之保護，其控制措施說明如下：

A.10.6.1 網路控制措施
這裡的網路控制措施，是要確保所使用的系統和應用程式的安全，實務上使用的資安設備，包括了防火牆、入侵偵測系統、VPN等，以保護連線服務不會受到惡意的入侵和存取。

A.10.6.2 網路服務的安全
若組織使用了相關網路服務，就需要去識別它的安全等級、使用程序及管理要求，常見的服務像是email、FTP等，都需要識別其安全等級，以採取相對應的控管方法，包括申請使用程序、連線方式、身分識別及所採取的加密措施等。

只要是在上面可以記載、儲存資訊的物品，都可稱之為資訊媒體，包括了紙本的文件，電腦的硬體如磁碟、磁帶、光碟、隨身碟等，一旦這些媒體需要使用、傳遞、交換、汰除等，都需要適當的控管，以確保資訊不會受到未經授權的存取。

在A.10.7「媒體處置」的控制項目中，目標是要確保資訊媒體不會受到未經授權的揭露、竄改、移除及破壞，導致危害到組織業務活動的進行。它一共有四項控制措施，說明如下：

A.10.7.1 可移除式媒體的管理
若組織內部允許使用可移除式媒體，就需要訂立相關的管理辦法，例如如何申請使用、允許使用的設備類型、可使用的時間等。

A.10.7.2 媒體的報廢
當儲存過資料的媒體不再使用時，需要依照一定的安全程序進行報廢。例如紙本文件可以燒毀或碎毀，硬碟可使用消磁、低階格式化和實體破壞等方式，確保資料不會被復原。實務方面要提醒的是，報廢的過程都應保留文件記錄，以便進行追蹤確認。

A.10.7.3 資訊處置程序
在組織之中，只要有和營運活動相關或敏感性的資訊需要處理，就應該建立它的處理和儲存程序，以確保資訊不會受到不當的揭露和誤用。實務方面，應依照所定義的資訊等級和類別，實施對應的處理辦法。例如這些資料在傳輸時是否需要加密？郵遞時是否需指定專人來處理？

A.10.7.4 系統文件的安全
組織內部在和系統有關的說明文件上，可能會含有一些敏感的資訊，像是系統配置和連線使用的帳號密碼等，這些都需要受到適當的防護。

在組織內部之間，經常有很多資訊需要傳遞和交換，甚至和外部的商業夥伴或供應商，也會有資訊交換的情況發生，在A.10.8「資訊交換」的控制項目中，目標是要確保組織之間的資訊交換，都是基於正式的政策來進行，並且遵循相關的法律要求，其控制措施說明如下：

A.10.8.1 資訊交換政策和程序
組織的資訊交換，都需要依照所定義的管道和方式來進行，在實務方面，管理人員需要評估組織中有哪些資料可以進行交換？交換的方式和程序為何？如果是透過系統直接進行交換的話，如何進行適當的管控？建議透過文件化的方式，讓相關人員可以清楚的了解與遵循。

A.10.8.2 交換協議
組織若需要與外部單位交換資料，事前就應明定相關的交換協議，例如在資料交換協議中，清楚說明資料的交換處理方式，以及發生資安事件時，如何進行處置，責任如何歸屬等。

A.10.8.3 運送中的實體媒體
對於含有敏感資訊的媒體，在進行運送時需要依照安全程序來進行，例如運送人員的身分確認、運送過程的記錄、所使用的運送方式等。實務上要小心的是，快遞公司使用何種容器來運送，是否有可能會在運送途中造成資料毀損，應該在事前就進行確認。

A.10.8.4 電子傳訊
目前普遍使用的電子傳訊方式，像是電子郵件、即時通訊軟體等，組織應如何進行控管？控管的方式要回歸到風險評鑑的結果，依照其風險的高低來實施。

A.10.8.5 營運資訊系統
組織在資料交換的對象方面，若是營運資訊系統，該如何進行控制？如何識別？這些包括了行政系統、會計系統、ERP等，應正式制訂資訊交換的政策和程序。

資料交換的前提就是授權

組織在資訊傳遞和交換的控管重點在於，是否都制訂了相對應的安全政策和作業程序，從最普遍的電子郵件、資料備份、USB隨身碟的使用，到營運系統如ERP的資料交換等，只要牽涉到了資料交換，都要確認是否經過授權、傳輸管道是否安全，以及是否留下相關記錄，這些都是確保資訊安全的根本，下一期將會說明A.10其餘的控制項目。(本文刊載於2011年4月號網管人雜誌)

[參考資料]
1. ISO/IEC 27001:2005
2. ISO/IEC 27002:2005

[觀點] 解析資訊安全控制措施(八) - 存取控制的資安要求(下)

Thu, 20 Oct 2011 15:07:00 +0000

上一期談到了ISO 27001中有關存取控制的營運要求，組織需要建立存取控制的政策和使用者的存取管理，包括像是註冊要求、密碼管理和確保無人看管設備的安全責任等，接下來將說明和網路、作業系統、應用系統的存取控制要求。

在A.11「存取控制」的要求中，第四個控制項目為A.11.4「網路存取控制」，其目標是要確保組織所提供或使用的網路服務，避免受到任何未經授權的存取，因此需要採取一些控管作法，來確保網路本身和使用者在利用時，不會發生安全上的問題，危害到組織的整體營運。

網路存取控制的要求

在這個控制項目中，共有七項要求的控制措施，包括了需要制訂適當的網路服務政策、對使用者和相關設備能予以適當的鑑別，以及針對作業系統、應用系統和行動運算的存取，也能實施必要的安全管控，各項控制措施的重點和實務作法，說明如下：

A.11.4.1 網路服務的使用政策
這項控制措施是要求組織制訂一項有關網路服務和使用的政策，讓使用者只能使用已取得授權才可存取的服務，因此在這項政策中需要說明有哪些網路服務是允許使用者來存取的？申請使用和授權的程序為何？可允許使用和存取的方式？以及所採取保護網路連線和服務的安全管理機制。

舉例來說，某企業提供員工使用內部電子郵件的服務，所以在電子郵件的使用政策中，即說明了使用者可以透過其員工編號進行申請(線上或表單方式)，經主管核准之後即可使用Outlook等郵件應用程式來存取。若使用者需要透過外部網路來使用郵件服務的話，需要透過虛擬私有網路(VPN)，經過身分驗證之後，才可連結內部網路並存取郵件服務。

A.11.4.2 外部連線的使用者鑑別
這項控制措施是要求當使用者需要從外部網路連回使用相關服務時，需要採用適當的鑑別方法，確認使用者的身分以便進行存取控管。在實務方面，最常見的作法是採用VPN方式，以使用者帳號、密碼進行身分驗證之後，建立安全加密的通道，才允許其使用網路服務。

組織若允許使用者透過外部連線來存取內部的服務，也等於是對外開啟了一條通道，為了降低來自外部入侵的風險，同時強化網路連線的安全性，有些組織會配合使用Token、憑證或一次性密碼(OTP)，來進行身分識別，同時採取加密方式，確保連線過程不會受到外部的干擾和竊聽。

A.11.4.3 網路設備鑑別
組織若想要限制來自特定地點或設備的網路連線，最好的方式是採取自動設備的識別方法，以鑑別連線的設備是合法且經過授權的裝置。實務上最容易採取的方式，是識別網路設備的MAC address和網路IP，尤其是目前普遍使用的無線網路，相關行動設備皆建議採取此種方式來進行識別，若再配合使用者的身分鑑別，則可以大幅提高其安全性，避免受到惡意人士採用偽冒身分的攻擊。

A.11.4.4 遠端診斷與組態埠保護
現今組織的資訊設備或系統，大都需要支援廠商定期的協助與維護，因此許多網路設備和電腦主機，也都設定組態埠並提供遠端診斷服務，如果其開放的組態埠沒有實施任何安全防護，就容易受到外來的入侵和未授權的存取，所以這項控制措施就是要求針對提供遠端診斷和組態埠，實施適當的安全防護，在實體上面，可以採取上鎖和移除的方式來進行，若是邏輯上的話，則是透過作業程序，要求需要事先申請並確認身分之後，才可開放使用，在診斷完成之後，也可適時關閉相關的組態埠和服務。

A.11.4.5 網路區隔
在組織之中，隨著規模的擴大以及資訊服務的增加，網路環境也顯得愈來愈複雜，若沒有實施良好的管理，資訊的傳遞、儲存、使用可能會危及本身的機密性、完整性和可用性。因此，這項控制措施是要求將資訊服務、使用者群組所使用的網路，進行適當的區隔，以避免敏感性資訊受到不當的存取。

在實務方面，最常見的作法是採取虛擬網段(VLAN)的方式進行，透過網路交換器、路由器、防火牆等設備，依照不同網域的安全要求來加以分割，以確保網路流量的區隔和安全邊界的劃分。要注意的是，區隔應依照資訊的價值、機密等級和群組重要性來進行，以避免某一區域網路中斷時，對營運造成不必要的衝擊。

A.11.4.6 網路連線控制
對許多組織而言，若使用者無法上網的話，可能當天的業務營運就會受到影響；但有另一種觀點認為，若開放使用者任意上網的話，也會造成工作力的大幅降低。因此若撇開資安的問題不談，組織對於網路連線這件事，本來就該給予關注和管理，在本項控制措施中，提到針對跨越組織邊界和共享的網路，需要依照所制定的存取控制政策和營運要求，適當地限制使用者上網的能力。

在實務方面，可以採取閘道端(Gateway)的網路設備，來過濾使用者的網路流量，藉此來限制其可使用的網路服務，例如即時通訊、檔案傳輸(FTP)、遠端登入(Telnet)，以及近年來流行的P2P檔案分享等，以避免不必要的資安問題發生。

A.11.4.7 網路路由控制
網際網路的優勢在於其無遠弗屆的資訊傳遞，以及快速方便的連線傳輸，對一般使用者而言，在遠端的這朵雲中，資訊的傳輸路徑是開放且難以選擇的，也會有許多安全風險隱身其中。但對企業來說，為了確保資訊傳輸的安全，需要採取一些技術來進行強化，這項控制措施即是要求針對網路連線，需要實施適當的路徑選擇控制。在實務方面，可以透過NAT機制來限制電腦的連線與資訊流，也可採用代理伺服器(Proxy)來確認連線來源與目的的位址，藉此避免違反組織既定的安全存取政策。

作業系統的存取控制

針對作業系統安全控管方面，在A.11.5「作業系統存取控制」的控制項目中，目標是要防止作業系統受到未經授權的存取，在這個項目中共有六項控制措施，分別說明如下：

A.11.5.1 安全的登入程序
針對作業系統的使用，需要避免不必要的非法存取機會，因此這項控制措施是要求在登入的過程之中，只揭露和系統有關的最少資訊。實務方面，在登入畫面中，僅提示必要的登入訊息，不提供額外的像是預設帳號或密碼的提示。若登入錯誤，也不明確指出是哪一部分的資料錯誤，同時限制系統登入錯誤的次數，若超過的話，將予以延遲或鎖定登入帳號，並保留各項登入的記錄。

A.11.5.2 使用者識別與鑑別
在A.11.2.1中要求使用者需要正式註冊，並賦予其唯一的帳號識別碼(ID)，本項控制措施即是要求使用者只能使用其個人帳號，並採取鑑別技術以識別其符合所宣稱的身分，實務方面，也可透過使用者的識別碼來記錄或追蹤其相關的使用行為。

A.11.5.3 密碼管理系統
使用者若選擇了不夠強固的密碼，就容易受到外來的破解和冒用，這項控制措施是要求需透過系統來管理密碼，以符合嚴謹度的要求。舉例來說，在系統上可要求使用者必須使用一定長度(6碼)以上、英文大小寫與數字混合的密碼；在首次登入時，要求需要更改其臨時性或預設的密碼；在密碼使用一定時間(三個月)之後，要求使用者重新設定其密碼等。

A.11.5.4 系統公用程式的使用
作業系統除了可安裝應用軟體之外，本身也提供了許多公用程式如系統管理工具等，由於這些工具往往可更改系統的組態，產生資訊安全上的風險，所以這項控制措施要求嚴格限制能夠跨越系統和既有應用等公用程式的使用。實務上最好的作法是在一般使用者的電腦上移除這些工具，系統管理人員也需要經過授權才可使用公用程式，並且保留變更記錄。

A.11.5.5 會談期逾時
為了避免資訊系統受到不必要的冒用，以及來自網路阻斷服務的攻擊，這項控制措施要求在超過閒置的時間之後，關閉不動作的會談期(session)，建議的作法為在系統閒置一段時間之後，即自動清除螢幕內容，或是自動關閉應用程式或網路連線，尤其是來自外部的連線與服務要求。

A.11.5.6 連線時間的限制
對於高風險或是敏感性的系統，這項控制措施要求需要限制其可供連線的時間，以加強其安全性，例如有些組織會限制重要系統僅在上班時間開放服務。

應用系統存取與行動控管

在A.11.6「應用系統與資訊存取控制」的控制項目中，目標是要防止存在於應用系統中的資訊受到不當存取。在這個項目中共有二項控制措施，A.11.6.1「資訊存取限制」是要求需要依照所制定的存取控制政策，只有符合擁有存取權限的人員才可存取系統。A.11.6.2「敏感性系統隔離」則是要求敏感性的系統要有專屬的作業環境，以避免其他未經授權的人員可以操作使用。

在A.11.7「行動運算與遠距工作」的控制項目中，目標是要確保在組織以外，相對保護較弱的工作環境，其資安風險能夠受到適當的控管。在這個項目中共有二項控制措施，A.11.7.1「行動運算與通訊」是要求針對行動運算的設施要採取適當的安全控管，例如筆記型電腦等行動裝置採取加密機制，並避免留置在無人看管的地點。A.11.7.2「遠距工作」則是要求針對遠距工作，需要制訂相關政策、工作計劃和程序，例如需要考量遠地工作的實體安全、所使用網路的安全要求、是否安裝防毒軟體和防火牆等。

存取控制可降低資安風險

之前提到在規劃資訊安全管理的策略時，建議可依照「PPT」的思考架構來進行，對於網路、作業系統、應用系統的存取控制要求方面，同樣也是要涵蓋人員(People)、流程(Process)、技術(Technology)。對許多資訊人員而言，網路管理、作業系統及應用系統的維護，已是日常不可或缺的工作之一，而「存取控制」更是各項系統所必要的安全控制措施，希望透過連續二篇文章的說明，可協助您制訂組織的良好存取控制政策，並了解適當可行的存取控制方法。(本文刊載於2011年7月號網管人雜誌)

[參考資料]

ISO/IEC 27001:2005
ISO/IEC 27002:2005

舊留言存檔

以下留言轉存自原 Blogger 網站，僅供存檔，無法回覆。

Blogger（2011-11-09）

hi, 拜讀您一系列ISO 27001的法規介紹, 深入淺出的文字說明著實讓小弟獲益不少, 果然理論尚須佐以實務經驗, 不知道針對附錄A.10.3-A.10.8的控制要項, 您是否有意願補完呢? thx

傑克小花（2011-11-09）

Hello~您好~ 呵~感謝您的回覆，我還以為沒有人在看，所以不會被發現少了一篇，如果這些文章對您有幫助的話，我很樂意分享給您~

Blogger（2011-11-10）

您謙虛了！對自行準備證照的我們來說，文章中的 "目標要求" 與 "實務作法" 甚為重要，前者釐清相似性條文實則不同的ISMS要求內容，後者極具參考價值。如果可能，在您時間允許下，是否考慮將附錄A.12-A.15撰文分享呢，謝謝^^

Blogger（2011-11-10）

抱歉，想請教您，既然ISO 27001中的附錄A中的管制目標與控管項目被視為條文4.2.1(g)的一部分，實務上在執行主導稽核時，何種情況需具體寫出附錄A？可用4.2.1(g)一言以蔽之嗎？又是否針對稽核表的缺失等級或建議事項有所不同呢？謝謝您的答覆。

傑克小花（2011-11-10）

Hello~關於您提到的問題，回覆如下：

後續的內容我會陸續分享，您也可以直接參閱網管人雜誌的內容，這個月剛好就把A.15給講完了。

在稽核時，本文4~8章和附錄A的133項控制措施都是必要的審查項目，不過，附錄A的某些項目是可以排除的，但必須將原因寫在適用性聲明中。舉個例子，像A.10.9.2是線上交易的控制要求，如果貴公司並沒有提供線上交易服務的話，那麼就可以在適用性聲明中以未提供線上交易服務，作為不實施這項控制措施的理由囉~

[觀點] 解析資訊安全控制措施(七) - 存取控制的資安要求(上)

Fri, 09 Sep 2011 06:55:00 +0000

上一期談到了ISO 27001中有關通訊與作業管理的各項控制措施，接下來將說明附錄A.11存取控制的資安要求，包括了使用者的存取管理與應有的安全責任、網路與作業系統的存取控制，以及應用系統的存取控制等。

在協助組織規劃有關資訊安全管理的策略時，經常會提到一個俗稱為「PPT」的思考架構，它是指人員(People)、流程(Process)、技術(Technology)，也就是說在資安管理的要求方面，基本上會涵蓋此三個層面：包括需要依照組織營運目標與資訊安全政策，透過教育訓練來讓所有員工了解並落實其應有的安全責任；依照各單位業務屬性不同，訂立各項安全的作業流程，並留下相關的作業記錄；以及透過各項資安技術的協助，來偵測防禦可能來自內部與外部的各項威脅。

因此，針對資訊的存取控制方面，它也是一個很好的參考指標，像是在人員方面的存取控制要求，我們的思考重點在於如何確保資訊只能讓已經過授權的人員才可存取，如何讓人員了解並落實存取資訊時應盡的使用者責任；在流程方面，則是要確保所有的資訊存取，是否都是基於營運所需的安全要求，是否以文件化方式建立了各項和資訊存取有關的政策；至於在技術方面，針對網路、作業系統與應用系統，是否劃分了安全邊界，是否進行良好的使用者身分識別，並且賦予適當的連線控制，以上這些都是組織資安管理的重點。

存取控制要求的安全層面

關於存取控制的資安要求，包括了使用者存取管理與應負的安全責任、網路與作業系統的存取控制，以及應用系統的存取控制等，在ISO 27001附錄A.11「存取控制」中，一共有七個控制項目來說明其涵蓋的資安控制措施。

A.11.1「存取控制的營運要求」的目標，是要確保各項資訊的存取都能受到適當的控制，以避免濫用或外洩的事件發生。在A.11.1的條款中僅有一項名為「A.11.1.1 存取控制政策」，這項控制措施的目的是要依照營運相關的存取安全要求，建立文件化的存取控制政策，並且在這項政策中明確說明每位使用者和使用群組，應該要如何去配置其應有的存取權限，而這些存取權限的考量，則可能來自於本身的職位或所接觸資訊的安全等級，以及對組織整體的營運風險考量。

在組織之中的存取控制措施，將會牽涉其存取授權的流程，包括如何提出授權的請求、如何審查並賦予權限，以及不需使用時的權限如何移除等。在實務方面，我們在建立存取控制規則時，必須掌握一個原則，那就是「除非允許，否則一律禁止」，這項原則可應用在實體的敏感區域門禁管制，或是邏輯上的防火牆存取規則，將可大幅降低不當的存取設定可能帶來的資安風險。

使用者的安全責任與要求

在A.11.2「使用者存取管理」的控制項目中，目標是要防止未經授權而存取的情況發生，也就是要確保只有經過授權的人員才可以存取資訊。在這個項目中共有四項控制措施，分別說明如下：

A.11.2.1 使用者註冊
這項控制措施是要求所有的使用者在獲得存取資訊的權限之前，必須經過正式的使用者註冊程序，換句話說，若不再需要存取資訊時，也需要經過適當的註銷程序，撤銷其所具有的存取權限。在實務方面，最常見的作法是讓使用者透過表單流程來進行申請，通過審查核可之後，就會賦予其一個唯一的識別帳號(user ID)，藉此來管控並留下其存取資訊的記錄。在審核時要注意的是，所賦予的權限是否符合其職務角色，以避免違反職務區隔的要求，另外，若使用者的職務有所變動，則原先擁有的存取權限應予以凍結或移除，以避免權限過大的情況發生。

A.11.2.2 特權管理
許多組織都依賴資訊系統來維持日常的運作，在這些系統之中會有一些人配置了和一般使用者不同的特殊權限，像是系統開發人員和系統管理人員等，以因應系統的開發與維護。但是，這些特殊權限往往可以不受原本系統的限制與控管，所以在配置時更要小心注意，本項控制措施即是要求組織要限制和控管特權的配置與使用，實務上最簡單的作法就是特權的申請需要經過管理階層授權，並且留下相關記錄，另外，特權的使用也要明訂相關的作業辦法，使用的過程也要保存其系統記錄(log)。

A.11.2.3 使用者密碼管理
在A.11.2.1中提到使用者需要經過正式的註冊程序，才可獲得其專屬可識別的帳號，而搭配帳號所使用的密碼，也會是另一項管理的重點。本項控制措施要求使用者密碼的配置，需要有正式的管理流程來進行控制，也就是說在配置的過程中會有一些安全上的要求，例如有些組織可能會在聘僱時要求員工簽署保密協議，內容包括要求員工不得任意洩露個人的密碼。而在密碼配發過程中，組織應避免採用不安全的方式提供密碼(例如電話告知)，一開始所提供給員工使用的臨時密碼，也要強制其在第一次登入系統時就要馬上進行更改。

A.11.2.4 使用者存取權限的審查
使用者在獲得存取權限的配發之後，將不會是永久不變的，而會隨著其調職、升遷、離職等情況，其權限就需要進行適當的調整。本項控制措施要求管理階層需要定期地針對使用者的存取權限進行正式的審查，因此實務上建議在存取控制政策中即納入組織將定期(例如三個月或半年一次)在使用者的職務變更之後，實施權限審查與重新配置，以維持對於資訊和系統服務存取的有效控制。

一開始提到資訊與系統的存取控管，除了需要考量「流程」、「技術」之外，「人員」也是不可或缺的要素，尤其是目前許多資安事件的發生，多數原因是來自內部人員的控管不當，所以使用者方面的配合落實，將會是強化資訊安全的重要關鍵。在A.11.3「使用者責任」的控制項目中，目標是要防止未經授權的使用者，存取其不允許使用的資訊和資訊設施，以避免其受到損害。在這個項目中共有三項控制措施，分別說明如下：

A.11.3.1 密碼的使用
使用者一旦獲得其系統使用的帳號密碼，在使用方面就需要按照組織要求的安全規定，像是避免使用不安全的懶人密碼，而選用一定長度以上，大小寫數字混合的嚴謹密碼，以及密碼定期的加以變更等。此外，最重要的是使用者必須盡到保管密碼的責任，也就是維持密碼的機密性，要避免將它寫下並放置在桌面上，或是與其他人共用。因此，本項控制措施的重點就是要求使用者需依照安全的方式來選擇並使用其密碼。

A.11.3.2 無人看管的使用者設備
使用者在組織中所使用的資訊設備(例如所配發的個人電腦)，由於自己是資產的保管人，所以大都熟知其資產的保管責任，比較缺乏的是資產所含的資訊安全責任觀念，如果有些設備是屬於無人看管，那麼在安全上面就更容易為人所忽略。本項控制措施要求對於所使用的無人看管設備，也要實施適當的保護，例如一些公共使用的工作站電腦，在一定閒置時間或結束使用時會強制終止其現有連線(session)，或是設定有密碼保護的螢幕保護程式；在其設定的可用時間以外，則使用鑰匙鎖或放置在上鎖的地點，以避免其受到未經授權的使用。

A.11.3.3 桌面淨空與螢幕淨空政策
在辦公區域的使用者桌面上，最常見的資訊就是紙本的文件，以及儲存大量資料的可移除式媒體，如USB隨身碟和行動硬碟等。針對其所包含的敏感資訊，本項控制措施要求採取桌面淨空和螢幕淨空等安全政策，以降低資訊外洩的風險，因此，需要使用者的配合實施來強化其安全管控。舉例來說，像是在相關的作業辦法上明訂，使用者在離開座位時，需要將敏感資訊或儲存媒體收藏在上鎖的抽屜或櫃子等安全地點；暫時不使用個人電腦時，應登出系統或設置螢幕保護程式；若使用印表機列印敏感資訊時，應立即自印表機上方取走等，以上這些都是實務可行的作法。

人員、流程、技術缺一不可

存取控制一向是持續受到重視與討論的資安議題，但依據個人的觀察發現，許多組織在資訊存取控制的實施方面，著重的仍然是資安設備的部署，例如為了防止資料外洩，所以會添購DLP或端點安全等資安產品，利用其對於使用者週邊資料輸出設備的控制，像是禁止使用USB裝置和光碟機等設備，或是監看電子郵件和即時通訊的內容，來達到其所謂控制的目的。

事實上，這些技術方案沒有什麼不好，尤其是在目前資安人力的短缺之下，透過集中化管理技術的協助，可大幅降低資訊管理人員的負擔。只是，為了讓成本與效益最大化，我們可以換個角度來想，如果組織沒有配合明訂相關的資訊存取政策與作業辦法，以及配合使用者的教育訓練宣導等，若只是藉由單點的技術管控，往往很難發揮其應有的效果，更無法發揮技術管控背後的真正意義，因此「PPT」真的缺一不可，提供給各位管理人員作為參考。(本文刊載於2011年6月號網管人雜誌)

ISO/IEC 27001:2005
ISO/IEC 27002:2005

[提醒] 又接到詐騙電話，請注意個資外洩的問題

Tue, 23 Aug 2011 10:50:00 +0000

最近在一家新成立不久的網路書店買過書，就在今天下午5點半左右，我接到一通聲稱是該公司服務人員的電話(+022752-4815)，其實在電話號碼前出現+號，除非您有很多老外朋友，否則往往就是讓人覺得可疑的地方，不過死豬不怕燙的我，還是接了起來，在吵雜的背景音下，一開始對方感謝我在網站上購書，說最近又到了很多新書，要我有空可以多上去逛逛。

但接下來話鋒一轉，她正確地說出我曾在何時購書、金額是多少，以及是在哪家超商取貨，然後就是典型的詐騙說詞，聲稱雖然我是在超商付款，但是因為人員作業疏失，導致分期重複扣款等等(真不知都已付現了，是要怎樣分期…)。

由此初步可以判斷，這家公司在購物流程上可能存在安全漏洞，導致消費者購物資料有外洩的可能，雖然該公司在網站上已有SSL安全機制，但這並不代表整個流程(物流、資訊流)是安全無虞的。

所以站在消費者的立場，我還是寫了一封信到客服信箱，建議該公司應注意加強資安的控管(尤其那些能取得資料的合作廠商)，並且在網站首頁上多加宣導，提醒消費者要小心注意，以免受騙上當，而影響該公司聲譽和日後購物的意願。

可惜的是，這封信居然被退了回來，看了一下退信的訊息(Over quota)，難道是和我一樣的好心人太多，把人家的服務信箱給灌爆了嗎？

有趣的是，在我寫這篇文章的同時，另一通電話也打來了(+22371-0350，他們忘了區碼要加一個0)，一樣冒稱是這家網路書店，一開始同樣是謝謝我在網站買書，然後又提到我之前幾月幾號買書，一共是多少錢(數字都完全正確喔)，當我追問她我買了什麼書時，她卻說她是快遞部(辛苦了，還要充當客服)，所以不知道購買的內容。

不過，這次她換了一套說詞，雖然同樣是人員作業疏失，但沒有分期了，而是把我當成批發商，以後買書都可用批發價，問我要不要加入，還要請她們主任跟我談，但我實在是不想再聽廢話了，所以就掛斷不接了。

只能說，詐騙集團的花招甚多，連假冒本地的電話，也都弄成是別人家的傳真號碼，若是真要打回去，恐怕也找不到人吧，只能提醒大家多多小心囉~

[更新 @8/23]
嗯~看來我只是其中一位受害者，該業者的臉書已經po出提醒，要大家小心了。

[更新 @8/24]
在網站首頁也有對於詐騙的公告說明了~

[觀點] 解析資訊安全控制措施(六) - 通訊與作業的安全管理(下)

Thu, 04 Aug 2011 03:21:00 +0000

上一期我們針對ISO 27001中有關系統規劃管理與網路服務的安全監控，談到了如何降低系統可能出錯的風險，以及網路服務與資訊媒體的控管要求，本期將說明電子商務的安全和系統監控的重要性。

隨著網路應用的蓬勃發展，電子商務已經是一種普遍的業務營運型態，尤其是線上購物更是百家爭鳴的市場，根據資策會的調查顯示，台灣在電子商務的B2C市場規模，在2009年即突破新台幣2000億元，預估至2015年台灣電子商務整體的市場規模將超過1兆元。

由於市場前景如此的樂觀，也讓主管機關相當地憂心，因為隨著資安問題所導致的個人資料外洩，使得網路詐騙的事件更加風行，所以經濟部也主動進行電子商務交易安全的相關計劃，希望藉由導入網路平台的安全機制、身分驗證、資料加密、安全付款和個資保護等控制措施，來強化電子商務活動的整體安全機制。

在ISO 27001附錄A.10「通訊與作業管理」的要求中，A.10.9「電子商務服務」的目標，就是要確保電子商務服務的安全性和使用方面的安全。A.10.10「監控」則是希望針對未經授權的資訊處理活動，能夠實施有效的偵測機制，以降低可能的資訊安全風險。

電子商務服務的安全與要求

許多導入ISO 27001資安管理標準的組織，因為本身並未提供網路交易(例如醫院和政府單位)，所以會將電子商務和線上交易的控制措施排除，但要提醒的是，雖然沒有交易的行為，但組織往往會在網路上提供與使用者互動或資料查詢的功能，因此也別忘了需要加強身分驗證與傳輸資料防護的機制。至於組織若是提供了電子商務服務，就必須要確保其交易過程的安全，並且實施適當的安全機制。在A.10.9條款中包括了三項控制措施，依序說明如下：

A.10.9.1 電子商務
這項控制措施的目的是要保護所有透過公眾網路，進行電子商務活動的相關資訊，都能受到適切的保護，以避免造成資料外洩、詐欺、交易契約爭議等事件的發生，在實務方面需要考量的重點有：

身分驗證機制 – 電子商務在進行交易時要如何適當鑑別使用者的身分與網站的真實性？在使用者方面，目前最常見的作法為採取會員機制，透過認證信或手機簡訊等方式來確認有效的申請，之後再憑會員帳號密碼來登入網站進行交易，有些網站甚至還提供Token，要求使用一次性密碼，以確保密碼不會受到盜用。至於網站本身則是可採取憑證方式，讓使用者能夠辨識其為合法的網站，或是導入網站身分識別標章讓消費者得以識別。

交易資料安全 – 組織必須確保在交易過程中，所產生的所有資料的機密性和完整性，包括訂單資訊、付款資訊、寄送地址等，對於客戶資料的存取方面也要有完整的授權流程，以避免資料受到不當的存取與利用。

付款資訊查證 – 若消費者可採取線上付款，組織應有適當的機制來進行確認，以避免詐欺行為的發生。目前在金流方面可結合第三方像是銀行或信用卡公司的支援，選擇最適合的方式來進行付款結算，並避免付款資訊的遺失和重複。

A.10.9.2 線上交易
這項控制措施是要確保交易雙方的通訊管道是安全的，防止因為不當的傳輸路徑、資訊受到未經授權的竄改、資訊受到不當的揭露和複製等情況發生。所以在線上交易方面，在連線過程中可採用SSL加密機制或其他的加密通訊管道，使用安全的通訊協定，以避免交易資訊會受到來自其他公眾網路的存取。

A.10.9.3 公眾可用的資訊
許多組織都擁有對外公開並且可傳遞訊息的網站，這些公用資訊(例如公司財務報告)雖然沒有機密性的問題，但是卻有完整性需要維持，以避免受到未經授權的修改，而影響組織營運和市場機制的運作。因此，組織提供給公眾可用的公開資訊，需要有適當的授權流程，資訊本身也要有適當防護以避免受到不當的竄改，同時也要符合當地法令法規的要求，像是和個人有關的敏感資訊，就不適合在公開的網站上公布。

資訊系統的監控與記錄

在A.10.10「監控」的控制項目中，目標是要確保組織中若是有未經授權的資訊處理行為，可以被有效的識別並記錄下來，尤其是可能造成資訊系統問題的資安事故，透過監控的過程，能夠掌握其所造成的衝擊和影響，以便快速進行因應。在這個項目中共有六項控制措施，分別說明如下：

A.10.10.1 稽核存錄
在組織之中，無論是資訊系統、資安設備、資料庫或應用程式等，每天都可能會產生大量的系統日誌(log)，這項控制措施的目的就是要保留使用者的活動記錄、異常事件的告警等，以便可以用來找出事件可能的發生原因，甚至還原事件發生的過程。所以相關的日誌記錄必須要保存適當的一段時間，至於應該保留的事項，建議包括：

事件發生的日期、時間。
所使用的帳號和使用行為如登入和登出等。
系統存取成功或失敗的記錄。
系統組態的變更項目和範圍。
系統工具程式的使用情況。
所存取的檔案類型和方式。
網路IP和使用的通訊協定。
系統異常事件的告警等。

A.10.10.2 監控系統的使用
組織若想要掌控資訊系統的運作，就必須要建立有效的監控程序，所以這項控制措施的目的就是要讓組織決定各項系統所要求的監控等級、明白需要監控哪些行為、是否定期進行系統日誌的審查等。監控的過程中，應確保相關活動符合法律的要求，同時注意不會侵犯到個人的隱私，建議實施監控的項目包括了系統的存取行為、系統管理維護的特權作業，以及系統所發出的告警等。

監控的實施也應考量到可用的資源，以避免影響系統的正常存取，並且是依照組織風險評鑑的結果，才來決定所實施監控的等級。實務方面最容易發生的是監控都落在和系統效能有關的項目，卻忽略了可能面臨的威脅，例如系統管理者的不當存取或錯誤操作，反而是受到遺漏的地方。

A.10.10.3 日誌資訊的保護
組織所保存的日誌資訊，未來可作為非法行為的調查，以及還原事件的全貌之用，因此，為了要確保相關記錄的完整性，就必須要防止它不會受到未經授權的存取和竄改。實務的上作法是可以將日誌傳送到另一台受到不同權限等級控管的儲存設備，並且進行加密或產生Hash碼，可在日後進行資訊完整性的比對，或是燒錄成光碟，存放在受到安全控管之處。

由於日誌可能會因為組織資訊系統過於龐大和複雜，導致有大量的資訊需要保存，同時在調閱審查方面也會產生困難，所以也可以選擇適當的工具或設備，來協助進行log的儲存、歸檔和關聯性比對。此外，傳輸和儲存日誌的設備也需要受到良好的防護，以避免儲存媒體受到竊取或損壞，同時日誌傳輸也應採取加密的管道進行。

A.10.10.4 管理者與操作者日誌
在日誌管理方面，許多組織會很積極地去記錄使用者的日常使用行為，深怕使用者的不當行為將會損害到資訊系統的運作，卻忘了往往擁有更大權限的管理人員，其不當的操作可能造成更大的危害。本項控制措施的目的，就是要確保包括管理者與操作者的活動，都需要留下適當的記錄，尤其是涉及資訊系統的組態變更、重要資訊的刪除與修改、網路安全設備的操作設定等。

A.10.10.5 失誤存錄
在10.10.2中提到由系統主動發出的告警，必須要有適當的記錄，目的就是希望所發現的異常情況，都需要採取對應的處理措施。所以只要是和系統通報有關的錯誤，都需要進行審查，以預防可能的重大問題發生，換句話說，若資訊設備含有錯誤告警的功能，若評估其不會影響系統的運作，就需要將它啟動才行。

A.10.10.6 鐘訊同步
為了確保日誌記錄的有效性，正確的時間設定是非常重要的一環，唯有各項系統的時間維持一致，才能去作分析與追蹤。所以這項控制措施要求，在組織中所有和資訊處理活動有關的資訊系統時間，都應該要維持一致，實務上可採行的最簡單方法，就是使用NTP的通訊協定和國際標準時間或當地的標準時間伺服器進行同步對時，確保有共同的準確時間來源。

總結

A.10「通訊與作業管理」是ISO 27001標準中擁有最多控制措施的項目，也就表示在資訊安全管理工作中，這是我們絕對無法忽視的地方，其重點包括了組織是否制訂了相關的作業流程與操作程序、第三方服務的管理、如何進行系統的規劃驗收、防範可能的惡意威脅、網路設施保護與服務安全、資訊的備份與交換，以及本文所提到的電子商務、系統監控和記錄留存，這些都是需要我們一一去檢視與管控的地方，希望連續三篇文章的簡要說明，可協助您了解組織有關通訊與作業的安全管理。(本文刊載於2011年5月號網管人雜誌)

<參考資料>

ISO/IEC 27001:2005
ISO/IEC 27002:2005

[分享] 強化帳戶安全 - Google提供中文化兩步驟身分驗證

Sat, 30 Jul 2011 05:19:00 +0000

如果您是一位資訊工作者，由Google所提供的Gmail、Google doc、Google+等多項應用服務，想必已是每天都不可或缺的工具之一。即使是一般的普羅大眾，在生活中透過電子郵件的往來，信件內容也會包括許多和個人有關的資訊，像是電子帳單、保險資料、網路購物記錄，甚至是電子情書等。

因此，除非您是一個完全沒有秘密或不在乎隱私外洩的人，一旦個人所使用的Google帳號被竊了，勢必會對生活造成非常大的困擾。鑑於這項風險，Google針對使用者的身分驗證方式，推出了兩步驟驗證服務(2-Step Verification)。

所謂的「Google兩步驟驗證」，和資訊安全中經常提到的雙因素(two-factor)驗證類似，為的就是強化身分驗證的安全，它將原本只需要使用者帳號和密碼即可登入的方式，更進一步擴充為多加一道驗證碼的方式來進行，而這個第二道驗證碼，可以透過個人手機簡訊，或是利用手機上的應用程式來協助產生。

想要快速了解什麼是兩步驟驗證服務，您可以先看看Google的影片說明：

如果您想更進一步瞭解如何確保個人Google帳號的安全，請參考Google的官方網頁說明。

兩步驟身分驗證設定說明

以下是Google兩步驟身分驗證簡要的設定步驟，提供給您作為參考：

首先請登入自己的Google帳號，然後點選「帳戶設定」，接著在使用兩步驟驗證這邊，點選「編輯」。

接下來的頁面說明了設定只要3個動作就可完成，請點選「設定兩步驟驗證」開始來進行吧。

第一動是「設定您的手機」，在這裡您可以選擇希望收到驗證碼的方式，包括簡訊(SMS)、語音來電，或透過智慧型手機的應用程式。對於不是智慧型手機的使用者而言，透過簡訊傳送是最簡單的方式，但如果您有iPhone或Android手機，那麼透過手機的應用程式將會更加地方便，不過，您得先去App store或Android market下載「Google Authenticator」這個應用程式才行。在此，我以iPhone作為範例，請點選「iPhone」，然後按「下一步」。

接下來，請啟動iPhone上的Google Authenticator，輕觸「+」，再點按「掃瞄條碼」來掃瞄頁面中所出現的QR條碼。掃瞄完成之後，手機會開始出現6位數字的密碼，而且每一分鐘就會重新產生一組新密碼，舊的也隨即失效來確保其安全性。接著，請按「下一步」來進行測試。

在這裡，我們可以輸入Google Authenticator所產生的驗證碼，接著按下「驗證」來測試一下。成功之後，請按「下一步」來繼續。

目前，我們已成功設定可以用手機來產生驗證碼，但是，要是萬一手機掉了、臨時沒電，或忘了帶出門，可是想使用時該怎麼辦？Google也為您想到了這些，所以提供了備用選項，一共有10組的備用驗證碼來提供您使用，建議您可以放在皮夾裡以便隨身攜帶，(什麼？也忘了帶皮夾？好吧，我救不了您~) ，接下來請點選「下一步」。

完成第一動之後，第二動是「新增備用選項」，在這裡請把備用的驗證碼列印或是抄下來，以便不時之需，記下後，請勾選「是，我有一個備用驗證碼」，然後點選「下一步」。

除了備用驗證碼之外，Google還讓您加入第二個電話號碼作為備用，如果手機遺失，就可以透過簡訊或語音留言來傳送驗證碼到備用電話上。填寫完成之後，請點選「下一步」。

最後的第三動是「確認」，在這個頁面中，Google偵測到您必須要建立應用程式專用密碼，原因是如果您使用了其他應用程式來登入Google帳戶，例如透過電腦上的Outlook或手機的電子郵件軟體來收取Gmail郵件，這些軟體並沒有提供輸入第二道驗證碼的功能，所以必須要產生一個特別的應用程式專用密碼，來讓這些軟體使用。以我自己為例，我會使用iPhone和iPad來看Gmail，所以就需要分別為它們設定一個專用密碼，幸好，這只需要設定一次就行了。請點選「下一步」來繼續。

這是最後一個頁面，您只要點選「啟用兩步驟驗證」就完成了，但要注意的是，一旦啟動之後，原先在行動裝置上收信的功能就會失效，需要為它們設定專用密碼才行，所以完成之後，我們就要開始使用兩步驟驗證方式來登入Gmail，並且來為個別的應用程式設定專用密碼了。

應用程式專用密碼設定說明

請使用原先的密碼來登入Gmail，登入完成之後，接著會出現要求您輸入驗證碼的頁面，請輸入由手機的Google Authenticator所產生的6位驗證碼，點選「驗證」即可順利登入。如果您覺得每次都要輸入驗證碼有點麻煩，則可以勾選「接下來的30天保持這台電腦的驗證狀態」，當然，為了安全起見，這台電腦最好是您自己專用的才行。

登入Gmail之後，請點選「帳戶設定」，接著在授權應用程式和網站的項目，點選「編輯」，為了確保隱私，在這邊會要求再輸入一次密碼。

在這個頁面，我們就要來產生新的應用程式專用密碼，請給您的行動裝置或應用程式取一個名字，然後點選「產生密碼」。

接下來，頁面上會出現一組16位的密碼，請把原本在您的iPhone中所使用的密碼，改成這個專用密碼即可。若要繼續為其他行動裝置或應用程式設定專用密碼，請點選「隱藏密碼」，請注意，一旦隱藏之後密碼就看不到了，若是忘記的話，需要「撤銷」之後，再重新產生。

將所有行動裝置或應用程式的專用密碼一一生成，並且取代原先使用的密碼之後，就大功告成了。

以上的說明，看起來有點複雜，但實際操作一遍之後，使用起來並不會太困難，如果您對於Google的帳戶安全有高度的要求，建議您可以啟動這項機制。至於一般使用者的話，或許只要將原本的密碼，設定的夠複雜就行了(英文大小寫加數字混合至少8碼)，以免造成使用上不必要的麻煩。

舊留言存檔

以下留言轉存自原 Blogger 網站，僅供存檔，無法回覆。

Rainie（2011-10-15）

求救… 不好意思，我啟用了，google帳戶兩步驟驗證後，我iphone內的gmail就無法使用了，他一直說我的帳密錯誤，不論我使用原來密碼，又或者是用產生新的應用程式專用密碼，都無法登入!!!! 而後我關掉google這個功能，可是還是無法登入gmail,請問哪裏錯誤了??不知版主知不知道這個問題…

傑克小花（2011-10-16）

Hello~您好, 如果您啟用了兩步驟驗證，在iPhone裡的mail就必須設定為應用程式的專用密碼，因為它一共有16位，請確認在輸入時沒有錯誤喔~ 如果之後您關閉了這項功能，就應該要換回原來的密碼，您可以先試著在網頁上登入，若成功的話，再將它設定在iPhone上。

傑克小花（2011-12-07）

Hi 您好, 如果您是使用家中電腦，透過瀏覽器進入Gmail收信的話，第一步還是要輸入原先的密碼，接著第二步才是輸入手機傳送來的驗證碼。如果不行的話，請使用「備用驗證碼」來進入信箱，然後重新設定，或者乾脆取消兩步驗身分驗證功能，以避免驗證失敗的問題發生。

[活動] 終結個資外洩之亂研討會

Fri, 29 Jul 2011 02:57:00 +0000

個人認為，參加研討會活動是獲得資訊和認識朋友最快的方法，雖然許多研討會為了能夠順利舉辦，往往需要廠商的協力贊助，所以在內容上面，免不了也會加入相關產品的介紹。不過，為了吸引參加者，研討會也會邀請一些業界的先進，來分享其個人專業或經驗上的知識與心得。

由網路資訊將於8月4日(四)所舉辦的「終結個資外洩之亂」研討會，上午邀請了BSI英國標準協會的Peter老師作為開場，談到和個資保護有關的法規，相信業界沒有人會比Peter老師更加地了解，每次聽他的課，也一定會有相當多的收穫。

至於下午的議題，則請到了律師和技服中心的長官，針對法律層面和技術防範手法，提出了一些分析和因應之道，建議有空的朋友們，不妨抽空前往聆聽。

另外，受到網路資訊主編的邀請，個人在活動網站上也分享了有關存取控制和漏洞修補的兩篇文章，一併提供給大家作為參考。

資安文章分享：
http://prj.networkmagazine.com.tw/110801/author/hwajuinjay/
研討會報名：
http://event.networkmagazine.com.tw/event/2011/08/04/

[觀點] 解析資訊安全控制措施(四) - 通訊與作業的安全管理(上)

Wed, 20 Jul 2011 01:18:00 +0000

上一次針對ISO 27001中有關實體安全的控制措施，說明了敏感的安全區域和資訊設備應實施適當的安全控管，以避免因為受到惡意人士的登堂入室，而造成資訊安全的危害，本文將繼續說明有關網路通訊與資訊系統營運的安全作業管理。

對現代的企業而言，資訊系統與網路連線已不只是企業的維運基礎架構之一，更有可能是業務營運的關鍵命脈，因此其重要性已不言而喻。不過，有許多的企業在網路通訊管理方面，主要著重的仍是在所謂的效能表現與流量管理，而忽略了來自網路惡意攻擊、相關人員在作業上的疏失，可能造成的資訊安全危害。

針對網路安全威脅，M86 Security Lab在2011年的威脅預測報告中指出，來自網路的惡意軟體，將會是主要的安全威脅，其中包括利用網頁的漏洞破壞網站、將惡意連結隱藏在垃圾郵件中、鎖定智慧型手機和行動裝置的攻擊、透過社交網路的陷阱，以及殭屍網路的盛行等，都是所有企業和組織應當要重視的資訊安全議題。

所以，回歸到基本面來看，如果想要有效地防禦以上種種威脅的入侵，最好的方式還是作好網路通訊與日常資訊作業的管理，才可將資安風險降至最低。

監控資訊處理的相關活動

在ISO 27001附錄A.10中，提到的是「通訊與作業管理」，其中有10項主要的控制項目與目標，這是在ISO 27001中擁有最多控制項目的類別，因此也突顯出通訊服務與資訊作業在資安的重要性，需要我們進行適當的安全管理。

首先來看A.10.1「作業程序與責任」的控制項目，它一共有四項控制措施，目標是要確保所有的資訊處理設施和人員的作業，都有相對應的作業程序，同時也要對工作進行適當的職務劃分，以降低因為人員的疏失或任意的操作，而造成資訊系統出錯的風險，依序分別說明如下：

A.10.1.1 文件化作業程序
ISO 27001要求與資訊系統活動和作業有關的程序，都需要將它文件化，這些文件包括了通訊設施的使用、電腦開機和關機程序、備份方式、資訊設備維護、資訊儲存媒體的使用和機房作業管理等。這一個控制措施的重點是要讓作業程序文件，能夠讓相關人員在需要的時候即可馬上取得，並遵照其要求的作業程序來進行。除了以上提到的作業活動之外，許多特定的資訊工作也會有作業程序的要求，例如資訊的存取方式、系統的作業排程、遇到困難作業時的人力支援、系統稽核記錄(log)的保存與管理等。在資訊安全管理制度中，這些文件都要視為組織中正式的文件，並依照內部所制訂的文件管理程序來控管，換句話說，若需要作內容的修訂與變更，則必須要取得管理階層的授權之後才可進行。

A.10.1.2 變更管理
隨著組織中愈來愈多資訊系統的建置與彼此相互連結，若對於系統的組態進行更動，往往會牽一髮而動全身，因此本項控制措施的目的就是要確保和資訊處理設施與系統有關的變更事項，都能夠受到妥善的管理控制。在實務方面，除了所有的變更事項務必要取得主管的授權之外，特別要注意的是務必保存相關的變更記錄，包括作業核准的程序、重大變更事項的識別和記錄、變更規劃與測試計劃，以及在變更不成功時，如何中止並進行復原的程序等。以作業系統的版本更新為例，如果這項變更是針對核心的應用系統，則有可能會影響到關鍵業務的營運，進而產生更高的資安風險，所以在事前就要有更多的測試與評估，以確保更新過程的順暢，也不會因為更新之後，反而產生更多的系統漏洞或造成系統不穩定。

A.10.1.3 職務區隔
俗話說的好，「管錢的不管帳、管帳的不管錢」，有些工作職務其實不適合由同一個人來進行，像是會計和出納，需要確保不會有一個人可以一手遮天，能夠侵佔款項後同時竄改記錄，導致神不知鬼不覺。在資訊作業方面也是同樣的道理，例如程式開發人員和上線人員、應用程式管理員和資料庫管理員，都不宜讓同一個人來擔任，以避免可能的營私舞弊情況發生。所以這項控制措施的目的是，針對工作職務和責任應予以清楚區隔，降低資訊受到未經授權的修改，以及資訊資產受到誤用或濫用的情況發生。雖然在實務方面，由於許多公司的規模不大，資訊人員的數量也不多，很難作到完全的職務劃分，這時候則可以選擇其他的配套方法，像是進行作業活動上的監視記錄，或是經常實施獨立的安全稽核，實施人員的教育訓練等，盡可能的來降低資安風險。

A.10.1.4 開發、測試與運作環境的區隔
組織除了使用套裝軟體或作業系統之外，也會有許多內部自行開發的應用程式，建議一開始從規劃、測試到正式上線，都要考量到可能的資安風險，並納入一些管控機制。所以這項控制措施是要求應分隔在開發、測試和運作所使用的資訊設施，以避免因設備的誤用或資訊的不當修改，而產生不必要的風險。在實務上，針對應用程式的開發，勢必要備妥開發流程、測試和上線運作的程序文件，同時，所使用的資訊軟硬體設備，也要加以適當的區隔，不在同一個環境上進行，也不將資訊存放在相同的儲存媒體中。基本上，正在開發中的應用程式通常是較不穩定的，若在正式的上線環境中作測試，甚至使用正式的營運資料，很可能會因系統的故障或錯誤，而影響到日常營運的進行，因此務必要避免這種情況的發生。

注意第三方委外服務的管理

目前，許多組織的資訊設備或資訊服務，需要仰賴外部廠商的協助與提供，因此如何去控制可能的資安風險，也是需要去注重的議題，ISO 27001附錄A.10.2即是有關第三方服務交付的管理，它的控制目標，是要能夠落實與維持事前與廠商所簽訂的服務協議，確保各項服務在交付時，其中的資訊安全要求能夠符合，以降低可能的風險。A.10.2一共有三項控制措施，分別說明如下：

A.10.2.1 服務交付
若需要使用第三方的服務時，該如何確保廠商能夠滿足內部的資安管理要求？最好的方式是在商談服務相關契約時，要求第三方簽署服務交付協議(SLA)，並按照其中的內容來履行。所以，這項控制措施要求在服務交付協議中，必須定義服務層級和交付方式，並確保相關的安全控制措施可由第三方來執行維持。舉例來說，若組織與某廠商簽訂了防毒服務，由第三方提供防毒軟體的安裝、更新、維護，以及中毒時的問題處理排除，在協議中就必須清楚定義安裝、更新和維護的方式為何？如何進行？在中毒時如何通知廠商？廠商所提供的支援方式？預計到場處理的時間？還有無法及時到場協助時的配套作法等，建議最好都明列清楚並獲得廠商的簽署同意。

A.10.2.2 第三方服務的監視與審查
若組織已經與第三方簽訂了服務交付協議，那要如何確保廠商將會按照其中的內容來確實執行呢？所以本項控制措施要求組織需要定期的監視和審查相關的作業記錄和交付報告，確保由第三方所提供的服務內容與所簽訂的協議一致。因此，組織可要求服務提供者指派一位負責人或聯絡窗口，針對所提供的服務產出書面報告，並且參與定期召開的工作會議，以確認所執行的服務項目和進度。另外，在服務提供過程中，若發生了安全事件或運作上的問題，也應追蹤確認問題的解決過程和所留存的記錄。在此特別要提醒的是，組織千萬不要以為若選擇採用了第三方服務，則所有的安全責任也都移轉到了廠商身上，忽略了本身要有的監督與管理責任。

A.10.2.3 第三方服務的變更管理
委由第三方所提供的服務，隨著組織的變動與成長，不太可能是一成不變的，所以在一段時間之後也會有變動的情況發生，本項控制措施即是要求當服務變更的時候，應該要重新考量其對於業務營運和組織本身，是否會產生新的風險。另外當組織的安全政策和實施新的資安控制措施時，是否能夠確保第三方也能夠即時的來因應和遵循。因此在實務上，若廠商針對所提供的服務內容，要求進行變更，像是採用了新的技術、新的工具、服務據點和服務時間的變動等，組織就需要重新評估這些變動是否會產生影響，並採取相對應的作法，可能的方式包括：需不需要更新作業程序？是否需要重新議定服務內容？是否要更新組織的安全政策等，這些都是在風險管理方面必須考量的重點。

資訊傳遞需要重視與風險評估

資訊系統的作業和資訊的傳遞交換，已是組織日常營運不可或缺的一環，因此無論是在作業程序、人員職責、系統開發測試或採用第三方服務等，其可能潛藏的資訊安全風險，都需要我們加以重視和評估，下一期將會繼續說明A.10的其他控制項目。(本文刊載於2011年3月號網管人雜誌)

<參考資料>

ISO/IEC 27001:2005
ISO/IEC 27002:2005

[分析] 雲端運算的迷思 - IaaS的安全誰該負責？

Fri, 15 Jul 2011 06:02:00 +0000

許多客戶租用了雲端運算服務，就以為資安的問題，應該都由服務供應商來解決，並且負起相關的責任，但事實上，恐怕不是這麼一回事。

根據Amazon所發布的文件指出，對於其所提供服務的安全，Amazon皆有採取符合相關法規的安全措施(例如SAS 70、ISO 27001、PCI DSS等)，但是客戶也具有相對性的責任，必須自己注意控管安全上的問題。

或許您會問，有沒有搞錯？客戶花了錢租用服務，還要自己管好安全的問題？

事實上，如果雲端服務供應商所提供的服務模式是屬於IaaS(基礎架構即服務)，這其實是有一些道理的。讓我們先回頭來看到底什麼是IaaS？

根據NIST的定義，所謂的IaaS具有以下特徵：

用戶可使用的是雲端服務供應商所提供的處理、儲存、網路及其他基礎的運算資源
用戶可隨意部署和執行軟體，包括作業系統和應用程式
用戶不必管理或控制底層的雲端基礎設施，但是擁有對作業系統、儲存和部署應用程式的控制，以及管控有限制的網路組件(ex.主機防火牆等)

從以上特徵來看，若客戶能夠自行管控作業系統和應用程式部署，那麼和它有關的安全問題，實際上Amazon是管不到的，也就是說像是因為主機沒有上patch，或是所採用的應用程式本身有漏洞，而造成相關的資安事件，恐怕使用者端的責任會大一些。

Amazon在文件中指出，只要是將IT基礎架構搬移到Amazon所提供的環境，那麼客戶與Amazon之間就具有所謂的「責任分享模式(Shared Responsibilty model)」，也就是說，客戶也必須分擔從主機作業系統、應用程式、虛擬層的相關責任，尤其像是在虛擬環境中的guest OS的安全更新、其他相關的應用軟體，以及Amazon所提供的防火牆設定，客戶需要小心思考所採用的服務，其相對所具有的安全責任和法規問題。

若以生活中的狀況來舉例，我們可以把Amazon想成是一棟出租大樓的管理者，它將大樓中許許多多的辦公室出租給使用者，管理者主要是負責大樓結構是否堅固耐用，並提供基本的水電等基礎設施服務。管理者可以在租約中告知，使用者必須要負責自身辦公室的門禁安全，還有辦公室中的一切行為，必須要合乎法規的要求，不可從事違法的事項。

因此，如果有人常常離開辦公室忘了關門，或是有閒雜人等進出也不在意，結果發生了竊盜的事件，那麼責任應該要由誰來負責呢？

或許您還會問，那管理者都沒有任何責任嗎？其實還是有的，我們可以要求管理者在大樓走道間安裝監視器，並協助調閱出事當天的影像，不過，如果使用者還是輕忽安全的問題，那麼管理者的作為還是鞭長莫及的，所以，對於租用雲端服務可能面臨的安全問題和責任，請使用者務必要三思了。

<參考資料>

[分享] 請關心學童的上網行為

Wed, 13 Jul 2011 02:25:00 +0000

暑假到了，小朋友在家的時間更長，您有沒有發現他們黏在電腦前的時間也更增加了呢？根據台灣微軟所發佈的「兒少網路安全調查報告」，提到有將近四成的學童每天都會上網，有近二成的學童每天上網超過六小時，所以很可能延伸出和許多大人一樣的症狀叫作「網路成癮症」。

有位小六學童說，「不上網不打卡，我就覺得自己好像不存在。」這或許是一個比較極端的例子，不過，請問您真的了解小朋友們的網路活動，或是稱之為網路社交生活嗎？

調查也顯示，有兩成五的學童上網看過色情和暴力資訊，有五成學童會玩限制級等超齡遊戲，更有四成的家長完全不知道孩子的MSN、e-mail、Facebook等帳號，因此會和小朋友有一段所謂的親子網路距離。

其實，個人更擔心的是，許多家長可能連線上遊戲、MSN、Facebook都沒聽過或是不了解，這種數位落差，可能會是未來親子教養的另一項危機。

所以，今日的家長們真的更辛苦了，除了要具備網路基本知識，恐怕也要懂一點資安概念才行，否則，你的小孩可能很容易就會接觸不當資訊，或是因為玩遊戲洩露個資而受到詐騙。

以下幾項小建議，提供給各位家長作為把關學童上網的參考：

家用電腦應擺放在看得到的地方(例如客廳)，而非隱密的房間，以避免小朋友可任意的使用上網。
提醒小朋友注意可能的網路詐騙問題，若是有人提到需要個人資料，或是和金錢有關的事項時，都要盡快和父母或師長回報。
如果家中小朋友真的經常上網，大人又很難在一旁監督，那麼初階的家長，可申請電信業者的色情守門員服務，協助您防堵一些有害資訊和不良網站。若是有進階需求的家長，則可以購置電腦的側錄軟體，來協助您監控小朋友的上網行為。

站在管理的角度而言，一昧的限制小朋友使用電腦或是監看側錄並不是良方，唯有適時的溝通、詢問、了解，才是在資訊時代讓小朋友能夠善用資訊工具，並且懂得學習成長的解決之道。

<參考資料>

[分享] 保護個人使用Facebook的隱私

Tue, 12 Jul 2011 13:32:00 +0000

關於社群網路，最近有幾則令人矚目的新聞，首先是facebook的使用者在全球已突破七億人；其次則是Google也推出了具有社群網路功能的服務Google+；第三則是有惡意人士盜用媒體的名義，於美國獨立紀念日當天，在Twitter上發佈美國總統歐巴馬遇刺的假消息。

什麼是社群網路？簡單的說就是一些有著共同愛好、興趣，或是為了某項共同目的所結合起來的個人與團體，透過網路無遠弗屆與傳播快速的特色，讓大家可以在線上進行互動、討論，以及分享各種資訊。

社群網路的前身，來自於風行於校園的BBS，它採用了文字介面來分享訊息，而隨著多媒體與動態網頁技術的更新，一些具有互動功能像是留言板、討論區、聊天室的網站也開始盛行，提供人們另一個可以溝通互動的園地。

近來，社群網站更成為一種商業行銷與人脈經營的工具，包括臉書(facebook)、噗浪(Plurk)，推特(Twitter)和大陸流行的微博等，已成為眾多使用者每天必要的網路活動之一。

只是，在虛擬的網路世界中，同樣有著現實生活需要面對的人際關係問題，例如個人隱私、冒名交友，甚至是詐騙金錢等事件發生。

因此，適時的保護個人隱私是必要的，尤其在網路的世界中，往往看不到背後真正的那個人，在使用社群網路的同時，除了要保護自己，更要保護自己的親朋好友，免得因為洩露過多的個人資訊，導致有人受害。

以下是使用Facebook的玩家，建議您應該要啟用的隱私設定。

在登入之後，請至帳號 -> 隱私設定 ->自訂設定，將所有的內容都設定為「僅限朋友」。

請至帳號 -> 帳號設定 -> 帳號安全，請將「安全加密瀏覽模式(https)」和「登入通知」的項目勾選起來。

在隱私設定方面，將所有分享內容設定為僅限朋友，可以避免那些您根本無法掌握，可能也不知其名的「朋友的朋友」們，能夠瀏覽您的資訊。

在帳號設定方面，啟用安全加密可以保障您在公用網路，像是網咖、麥當勞，或是最近台北市提供的免費無線網路等環境時，瀏覽facebook的內容安全。而登入通知則是可以在有人使用其他的電腦裝置登入您的facebook時，您可以馬上得知，以避免帳號受到盜用。

[Q&A] Log日誌管理的安全議題

Fri, 01 Jul 2011 07:52:00 +0000

最近，網管人雜誌的媒體朋友，和我聊了幾個有關日誌管理的問題，以下將我的回覆，分享給大家作為參考囉~

Q. 系統日誌普遍存在於各個IT基礎設備中，伺服器、防火牆與入侵偵測系統、路由器、閘道器、資料庫，在在都有些事件日誌的設計以便讓企業能夠即時除錯，為何這些過去早已存在的日誌無法企業遵循個人資料保護法的需求？過去的系統日誌欠缺那些元素？

A. 就個人的觀察，一般IT人員對於log的處理態度有以下幾種：

不清楚系統和設備到底有沒有log，所以沒有特別去保存，而且就算有log功能也不想啟動，擔心會影響效能。

知道系統和設備有log，但是散布在各個系統和設備上，只採用其預設的機制，當有問題發生時，再進個別的系統或設備去查詢。

知道系統和設備有log，也建立了簡單的Log server(如syslog)進行蒐集，但因採用明碼傳輸，缺少安全的控管機制，也沒有適當的工具可快速進行彙整調閱和分析。

已添購了log產品設備，利用它來蒐集與儲存log，但是在管理方面仍缺乏相關政策和作業辦法，例如該蒐集哪些重要的log、如何進行分析、儲存的週期是多久、是否有安全控管機制等。

因此，過去的系統日誌管理主要所欠缺的元素有：

認知問題 - IT人員缺少對於日誌管理的概念，因此不知道有哪些重要的log，也不知該如何著手。
缺乏工具 - 雖然有進行集中保存，但因缺乏適當的管理工具，讓日誌無法進一步作為IT營運、資安防護的參考。
管理政策 - 雖然已添購設備進行日誌管理，但並沒有制定管理政策和作業辦法，相關的日誌可能保存的不夠完整，也無法作為法規因應的證明。

Q. 企業針對日誌管理應該以核心應用服務為主還是該全面化？

A. 對一般企業而言，建議其日誌管理可先從業務相關或核心應用服務著手，例如電子商務業的線上交易日誌、醫療業的醫療資訊系統日誌、服務業的客服系統日誌等。另外，為了未來因應個資法，只要是和個資蒐集、處理和利用等相關系統，也會是日誌管理的重點，因此，可先從重要的部份開始，未來再逐步跨大到整個IT營運資訊的匯整。

Q. 從企業的角度來看，做好日誌管理應該從那些面向著手？

A. 企業想要作好日誌管理，建議可從三個面向來著手：

人員訓練 - 相關人員是否已具備日誌管理的認知與安全概念，明白哪些日誌是重要的，以及是否有能力可進行日誌的蒐集、分析等。
作業流程 - 內部是否已制訂了日誌管理辦法，明確界定日誌需要蒐集的範圍、儲存方式、存取權限、安全機制等。
適當工具 - 隨著組織架構和系統設備的多寡，企業是否提供IT人員適當的工具，可協助進行日誌保存、分析調閱、產生報表等相關工作。

Q. 一項好的日誌管理方案又該具備那些要項？

A. 一項好的日誌方案需要具備以下要點：

蒐集能力 - 是否支援廣泛的系統、網路、資安等相關設備的日誌格式；是否可採取客製化方式，蒐集企業自行開發的應用系統或其他少見設備的日誌；是否可完整的蒐集日誌資訊，並且減少對系統效能的影響等。
儲存能力 - 是否可有效保存原始的日誌資訊；是否可正規化(Normalise)日誌資訊以便進行彙整分析；是否有足夠的儲存能力，甚至可更進一步支援資安事件管理(SIEM)或SOC(資安營運中心)的需要。
調閱能力 - 是否可迅速進行日誌蒐尋、報表分析，以符合法規和稽核(Audit Trail)的要求。
安全機制 - 是否採用安全的傳輸方式進行蒐集；是否有良好的存取控制或儲存加密技術，可避免日誌受到不當的竄改。

舊留言存檔

以下留言轉存自原 Blogger 網站，僅供存檔，無法回覆。

Tony（2011-07-13）

Dear 傑克, 您好，請教您關於日誌報表是否有明確的法規(個資法或ISO27001)規定要有哪些報表才符合呢?煩請抽空賜教，感謝!

傑克小花（2011-07-14）

Hi Tony, 感謝您的提問，關於日誌報表的格式，並沒有法規要求一定要有哪些內容才行，但是以導入ISO 27001的組織為例，管理人員通常會想要了解所實施的資安控制措施，是否能夠符合標準中133項控制措施的要求。因此，許多的資安設備在報表功能方面，會強調可以產出符合ISO 27001的報表，主要就是在內容方面能針對標準的控管要求項目，與目前的實施現況加以對應呈現，以方便管理者可以迅速掌握。

[觀點] 解析資訊安全控制措施(三) - 實體與環境安全

Fri, 03 Jun 2011 04:44:00 +0000

之前我們談到了在ISO 27001標準中11個控制領域，關於資產管理和人力資源安全的要求，本文將說明實體與環境安全的控制措施，以協助您掌握其重點並進行適當的控管，以降低組織所面臨的資訊安全風險。

資安業界有一句老話，「安全強度決定於最脆弱的一環」，許多組織對於資訊安全，往往重視的是網路和應用系統的安全和穩定，卻很容易忽略了實體環境的安全控制，而讓惡意人士長驅直入，藉由偷竊取得重要的機密資訊，或破壞資訊設備，使得組織花下重金的網路與系統安全防護百密一疏，造成營運上的衝擊與損失。

回顧以往發生的事件，在2008年時，宜蘭市在同一棟辦公大樓裡的三家保險公司，受到竊賊的侵入，除了造成一般財物損失之外，一共被偷走了二十幾台電腦，裡面存放著估計有上萬筆的保戶個人資料，恐怕已經外洩。2010年在彰化，同樣也是保險公司，一夜之間有四家公司被偷走了9台筆記型電腦，電腦硬碟裡所儲存的保戶個人資料一併不翼而飛，警方更懷疑可能有不法集團鎖定保險公司來下手，目的就是要竊取保險公司的客戶資料。

事實上，不只保險公司，在國內外包括醫院、學校、軍方都曾發生過遺失電腦或隨身碟等設備，造成大量資訊外洩的案例真的是不勝枚舉。對組織而言，隨著個人資料保護法已正式通過，未來在個人資料保護上也務必要更加小心，若是缺少適當的實體安全控管措施而導致個人資料外洩，將會面臨高額的賠償，甚至人員會受到刑責的懲罰。

識別敏感的安全區域

ISO 27001附錄A.9談到的是「實體與環境安全」，又區分為A.9.1安全區域和A.9.2設備安全二大類，在A.9.1中，其目標是要防止針對組織的實體環境和資訊，受到未經授權的存取、傷害與干擾，尤其是關鍵或敏感的資訊處理設備，應該存放在安全區域，識別其可能的安全風險之後，藉由定義安全的邊界、適當的阻隔和進出的控管實施安全的防護，確保不會受到未經授權的存取與損害。

A.9.1安全區域共有六項控制措施，分別說明如下：

A.9.1.1 實體安全邊界 – 實體安全邊界是指藉由圍牆、進出大門需要刷卡、或是大門設置接待人員，來保護區域內資訊與資訊處理設備的安全。因此，控管的重點在於，如何讓人可清楚分辨安全的區域與公共區域？所以在區分時，應依照所評估的風險等級來決定所實施的控制措施，例如內部使用的會議室與提供給訪客的休息區，控管的程度一定會不同，不一定都要採用刷卡方式才能進入。在辦公區域的大門，一般都會設有門鎖，或經過保全人員的身分確認才可通行，而公共進出的通道會有明顯的標示說明，在無人的區域則設置防盜系統或監視器等，這些都是可以採行的作法。

A.9.1.2 實體進入控制 – 指組織的安全區域中，所有的入口都應有適當的控制措施，確保只有經過授權的人員才可允許進入。一般而言，訪客要進入辦公處所，應該在接待櫃台進行登記，記錄進入和離開的日期和時間，並要求配戴訪客識別證，若是在同一棟大樓裡活動，樓層入口也應有適當的管制，像是刷卡才可進入。若是要進入機房，則需要事先獲得授權並有人員陪同，並告知相關的安全要求和注意事項。

A.9.1.3 保護辦公室、房間和設施安全 – 由於辦公處所屬於內部人員的活動區域，因此應符合相關的安全法規與衛生標準，對於重要的資訊處理設備，應避免放在公眾可觸及的地方，像是無線網路基地台等。另外，高階主管辦公室或敏感的資訊機房，也不應該過度標示，避免會引人注意。

A.9.1.4 保護來自外部與環境的威脅 – 這項控制措施的重點在於，利用適當的實體防護，以避免外在的環境威脅，如火災、地震、水災等，所以在辦公處所，要避免堆放易燃的物品，消防系統如滅火器等，應放置在容易取得的地點，並有清楚的標示。

A.9.1.5 在安全區域工作 – 對於組織所劃分出的安全區域，應制訂在安全區域內的工作規則，並對員工提供適當的說明，依職務所需了解其可以進行的相關活動，例如除非經過授權，才可在安全區域使用照相機、錄音錄影設備等，尤其敏感區域可視需要禁止攜入可拍照的手機等。

A.9.1.6 公眾存取、遞送和裝貨區域 – 辦公處所若需要收發或裝卸物品，需設置櫃台收發室來統一收件，不讓外部人員可未經控管而直接進入。相關物品卸載後若需移到使用的地點，也需要經過適當的檢查，例如機房外面可設置廠商設備的檢查區及裝卸區。

確保資訊設備的安全

A.9.2所要求的是設備安全，對組織而言，資產除了本身的購入成本外，最重要的是裡面含的資訊，其價值可能遠超過本身的財務價值，所以設備安全的目標就是要防範資產的遺失、受損、竊盜及危害，以避免造成組織營運活動的中斷，它一共有七項控制措施，說明如下：

A.9.2.1 設備的設置與保護 – 資訊相關設備，應適當地進行安置、保護、監控，以降低環境威脅所造成的損害，或是受到未經授權的存取。像是電子產品需要受到良好的環境溫溼度監控，避免在附近飲食等。在實務方面，操作資訊系統時，應有適當的遮蔽，避免敏感資訊的外洩，像是機房就最好不要採用完全透明的玻璃作為隔間來使用。

A.9.2.2 支援的公用事物 – 資訊設備依靠的就是電力，所以支援的水電、空調等也需要防護。通常我們在機房都會購置不斷電系統，但要注意的是，若面臨長時間的電力中斷，不斷電系統的應確保足以循序地將重要主機進行關機程序，若要確保能夠持續運作，則要考量是否有另外獨立的備援電力供應站，或是使用燃油發電機來運作。除了電力之外，電信與網路系統也要有備援，以確保在中斷期間的通訊能夠正常運作。

A.9.2.3 佈線的安全 – 指傳送資料與電力的纜線應有適當的標示、固定及保護，尤其要避免經過公共區域，設於地下或其他已受到適當防護的管道。另外，電力與網路線也應作適當的阻隔，以避免相互干擾，造成資料傳輸的問題。

A.9.2.4 設備維護 – 相關的資訊處理設備應定期自行維護或尋求廠商維護，尤其像是滅火氣體和不斷電系統的電池等，相關的維護都應確保留下適當的記錄，定期的進行追蹤查核，實施維護的外部人員，應事先經過申請核准，在作業時也應有適當的人員陪同進行。

A.9.2.5 場所外設備安全 – 組織的資訊設備，若需要攜出辦公場所外使用時，應注意其在不同場所可以面臨的威脅與安全風險。例如筆記型電腦在外部使用時，應注意可能遭竊的問題，避免留置在遠離視線可及之處，在技術方面也可使用硬碟加密，以強化敏感資訊的安全。另外，目前普遍使用的智慧型手機、USB隨身碟等，也應訂有相關的使用辦法，並要求員工務必能夠理解並遵守，以避免資料不當的外洩或遺失。

A.9.2.6 設備安全的處置和再利用 – 許多的資訊處理設備，在轉移給其他單位或重新交由其他員工使用時，有版權的應用軟體需要重新整理移除，儲存的資料也要清除。若是需要汰換的設備，對於硬碟等儲存設備，若是曾經存放過敏感資料的話，建議皆採取實體破壞的方式，以避免資料再次被還原。在實務方面，許多硬體設備最容易被忽略的是韌體中，可能也存有敏感的資訊，切記也要一併的進行清除，避免落入惡意人士的手中。

A.9.2.7 資產的調動 – 在資產的使用與調度方面，所有的資訊設備、軟體，相關物品的攜出和攜入都需要事先授權，所以在實務上，組織需要界定什麼時候需要授權，如何進行授權，即使像是設備從機房的A櫃移至B櫃，或從機房暫時搬出，都需要把相關的作業規則訂立清楚，向員工說明相關的作業注意事項，並留下過程的作業記錄。

切莫忽視實體安全的重要性

對企業而言，網路安全當然是非常重要的一環，但它絕對不是資訊安全的全部，許多時候，資訊安全最容易忽略的往往是我們最放心的地方，像是辦公環境和機房等。舉例來說，員工認為辦公處所都是內部人員，所以離開座位時，不會將敏感資料收到抽屜或檔案櫃中，卻忘記了送飲料來的小弟，有可能隨手就把文件或是桌上的隨身碟帶走。

所以，一旦有惡意的人士能夠輕易進行企業環境之中，除了偷竊筆記型電腦之外，要破壞主機、網路、儲存設備等，也是輕而易舉，所造成的損失可能也遠遠超過駭客從網路入侵系統所造成的危害，因此，企業若沒有針對天災和人禍，進行適當的安全防護，在遭遇資安事故時，業務營運將受到重大影響，請管理者務必要有所認知才行。(本文刊載於2011年2月號網管人雜誌)

[提醒] 小心針對Mac的惡意程式-MacDefender

Thu, 02 Jun 2011 04:13:00 +0000

正所謂樹大招風，隨著蘋果系列電腦在全球的熱賣，一向不太容易中毒的Mac OS X作業系統，也出現了特別針對它的惡意程式，目的是想要騙取使用者的個資和金融資料。

最近出現的「MacDefender」是個偽造的防毒軟體，當使用者瀏覽到某些網站時，它會突然跳出一項訊息，告訴使用者電腦已感染了病毒，需要安裝此一防毒軟體來協助解毒。

但是事實上，這個假防毒軟體才是真病毒，它的目的是獲得使用者的信用卡資料，然後再利用它去進行其他的詐騙行為。

目前，除了MacDefender之外，它還有其他的化名，像是MacProtector和MacSecurity等也都是惡意程式，主要的攻擊對象包括OS X 10.4 ~ OS X 10.6，至於預防的方法是遇到有這樣的訊息通知時，就請大家趕快先關閉瀏覽器，如果瀏覽器已經自動下載這個惡意軟體，並且進行安裝時，請記得馬上取消安裝，也不要輸入電腦的使用者或管理者密碼，然後就趕快把這個安裝檔案拖到垃圾筒丟掉囉。

萬一您已經不小心裝了這個惡意軟體，那麼最好不要提供任何的信用卡或金融資訊，然後盡快將它移除，移除的步驟，可參考以下apple網頁的說明。

至於先前提到瀏覽器自動下載的問題，因為apple的Safari瀏覽器，預設在下載完成後，就會自動開啟它認為安全的檔案，像是JPG、PDF等，所以為了避免可能執行到惡意的程式，建議大家把這個功能關閉，方法很簡單，請打開Safari的「偏好設定」，然後選擇「一般」的頁面，再把「將下載完成後自動開啟"安全的"檔案」的選項，取消勾選即可。

[參考資料] 如何避開或移除 Mac Defender 惡意軟體

[分享] 資安事件管理(SIEM)的魔術象限

Wed, 01 Jun 2011 04:14:00 +0000

談到Gartner的Magic Quadrant(魔術象限)，它是Garther在特定的時間內，對於市場和使用者的體驗，所作出的分析結果，也一向是被許多廠商用來證明自己的產品，已在市場中佔有一席之地。

基本上，它只是一項研究報告，不代表落在象限內的產品就一定是好的產品，但個人認為Gartner對於市場現況的描述和針對各家產品的優缺點分析，是相當適合用來作為在選購產品時的評估和明列相關規格時的參考。

過去，我曾經提到IT Log管理的重要性(請參考「從記錄分析談IT Log管理」一文)，而它其實也就是所謂資安事件管理(SIEM)的基礎，依據Gartner的定義，SIEM的技術可以提供：

安全資訊管理(Security Information Management；SIM) - 可用來進行log管理和法規報告。

安全事件管理(Security event management；SEM) - 可針對來自於網路、資安設備、系統和應用程式，進行和安全有關的事件即時(real-time)監控，以及事故的管理。

而在組織之中會想要部署SIEM的技術，則是為了達到以下目的：

法規遵循 - 對應到剛才提到的安全資訊管理，提供法規要求的相關報告。
威脅管理 - 即時監控使用者的行為、資料存取和應用程式的相關活動，以及事故管理。
兩者皆是 - 可提供法規報告，也同時具備威脅管理的能力。

在國內現況方面，SIEM的需求，主要來自於政府所建構的國家資通安全防護管理中心(NSOC)，需要進行資安事件的監控與資料交換；而民間企業，則有提供資安監控服務的安全管理服務供應商(MSSP)，所建置的資安監控中心(Security Operating Center；SOC)，兩者是早期採用的先行者。

當然，目前也有許多大型企業或高科技製造業，也會採購相關的設備與技術，來提升本身的資安防護能力，至於對中小型企業而言，為了因應未來個資法或導入ISO 27001標準的要求，則建議還是先從作好Log管理開始。

[參考資料] Magic Quadrant for Security Information and Event Management (12 May 2011)

[觀點] 談學校因應個資法應有之作為

Tue, 31 May 2011 08:09:00 +0000

不久前，我到一些大專院校演講時，談到了個資法對於學校最大的衝擊，除了在違法時需要負起損害賠償責任，以及相關人員會有刑責之外，在實務方面，其主要的影響來自以下三個層面：

業務面 - 個資法中對於個人資料的蒐集、處理和利用，皆有其規範與要求，因此，學校相關行政和業務單位，勢必需要調整現有的作業程序(例如學藉登錄作業、成績公告作業等)，以因應個資法中相關的規定。

管理面 - 許多學校仍缺乏對於資訊安全的管理要求，並未針對資料的存取進行適當的控管，當然也就沒有建立個人資料的保護政策與相關的作業辦法，因此需要在管理面去加強對於個人資料的保護。

法規面 - 雖然在過去已實施的電腦處理個人資料保護法中，學校已是受到法律要求的單位之一，但是在相關違反法規的懲處方面，並沒有明確的行政處罰與刑責的認知，因此關於法規宣導與要求人員遵守個資法方面，也是迫切需要實施的重點。

所以，為了因應個資法之要求，學校在蒐集、處理和利用個資方面，基本上就要注意：

1. 在蒐集個資時 -

是否已依法令規定告知當事人蒐集個資之目的、利用範圍等相關資訊。
學校如果需要蒐集特種個資，例如學生的健康檢查報告，是否有引用的法源依據？
學校所蒐集之個資內容，應與其使用之目的相關，以避免過度蒐集。

2. 在處理個資時 -

學校是否已制訂個資查詢處理流程，以回應當事人對其個人資料的查詢請求。
對存放個人資料檔案之主機和相關設備，是否有適當的安全措施，確保資料的正確與完整，以避免受到不當的竄改與洩漏。
在個資外洩時，是否能採取適當的方式來通知當事人，以降低後續可能的損害。

3. 在利用個資時 -

利用個資之相關事項，是否符合當初的蒐集目的，並在合理的範圍內使用？
若利用之目的，與當初蒐集的目的不符，是否已重新取得當事人的書面同意？
個人資料若需要作跨國的傳輸，是否已採取適當的保護措施，並要求對方也要盡到個資保護責任？

此外，為了因應個資法第22條，「中央目的事業主管機關或直轄市、縣(市)政府認為有必要或有違法之虞時，得派員攜帶執行職務證明文件進入檢查，並得命相關人員為必要之說明、配合措施或提供相關證明資料。」，未來學校必須準備好配合主管機關的稽查事項，同時也需要依照個資法第27條的要求「訂定個人資料檔案安全維護計畫」。

綜合以上所述，在個資法正式實施之前，建議學校單位應盡快著手的事項有：

實施個資教育訓練 - 學校應邀請所有和個資有關的人員，進行個資保護教育訓練，實施的內容包括了個資法的法條內容逐一討論，了解個資蒐集、處理、利用應注意事項，以及個資保護的資安控制措施等，讓大家清楚明白法律的要求，才可準備相關的因應作為。
評估個資技術防護 - 學校應執行一次完整的資安體檢，尤其是個資所在的位置，例如實體環境的文件櫃、檔案室、辦公處所、機房等，還有資訊設備像是資料庫、應用系統、儲存媒體及網路設備等，針對個資的存取、傳輸、儲存、銷毀方式，逐一進行清查確認。
建立個資管理制度 - 若學校已經導入資訊安全管理系統(ISMS)，並且已取得ISO 27001或教育部版本的認證，那麼就可以將個資保護納入現行管理制度的範圍，並針對各項需識別的個人資料，增設個人資料檔案清冊，進行個資風險評鑑與處理等。若是沒有導入ISMS的組織，也可以參考BS 10012，規劃建立具有PDCA架構的個人資訊管理系統(PIMS)。

[分享] 關於應用程式安全稽核的現況

Mon, 30 May 2011 04:17:00 +0000

上星期有朋友問到有關軟體/應用程式安全稽核的一些現況，以及什麼樣的工具才會是客戶願意使用的檢測工具，就個人的了解，將相關的資訊整理分享如下：

目前在應用程式安全稽核方面，大致可分為資安管理面和技術面的稽核，在管理面方面，可依據ISO 27001中A.12資訊系統取得、開發及維護的控制項目來進行，包括在軟體專案一開始的時候，是否識別了安全風險，並且加入所需要的安全控制；應用系統是否設計了輸入資料確認、處理程序查核機制、訊息完整性、輸出資料的確認等。

另外，若軟體使用了加密機制，就要注意是否制定了加密控制與使用政策；是否有適當的金鑰管理；還有如何確保系統檔案和源碼的安全，包括像是程式的組態與安裝控管、測試資料的保護、源碼的存取控制；最後是整個軟體開發與支援過程的安全如何確保，包括了控管專案與所需的支援、應用系統的變更程序、變更之後的技術審查、以及後續系統弱點修補的程序等，這些都是實施資安稽核時的重點。

至於技術性稽核，通常是使用一些檢測工具，進行白箱或黑箱的測試，之後會產出一份檢測報告，再依據報告內容進行改善。但是，若是沒有配合完整的稽核程序，這部份較像是單一軟體檢測和在專案驗收時才會進行的事項，比較不像是所謂的資安稽核。

在工具方面，黑箱部份知名的有HP Webinspect和IBM Appscan等，白箱則有Fortify等，當然也有一些免費開放的工具，這些工具已內建了許多模組，可以選擇依照法規要求(ex. ISO 27001, PCI DSS)或是Owasp Top10常見的弱點，進行掃瞄並產出對應的報告。

在報告之中，它會列出有問題的程式碼或參數是落在哪一行，也會提出建議的改善方法，當然這些只能供作程式開發人員的參考，讓他們明白需要改善的方向，而且通常在改善完成之後，也需要再作一次檢測，看看是否還有遺漏的部份。

如果回到需求面來看，組織會想要作應用程式的檢測，大致有以下幾個原因：

自我要求：通常是非常重視資安的企業，內部有自己的程式開發人員，為確保所撰寫程式在上線前沒有安全漏洞，所以需要進行檢測。

法規要求：為因應ISO法規或政府對相關單位的資安要求，所以需要定期實施安全檢測。

客戶要求：這部份是一些受到企業委外的軟體開發商，為確保程式需合RFP相關安全要求，故在驗收之前需要作軟體的安全檢測。

因此，使用檢測工具是最容易滿足以上要求的作法，不過像黑箱工具最容易受到質疑的地方，就在於是否能夠完全檢測出其所有的弱點，以及所提供的改善建議是否切實可用。所以客戶在評估使用檢測工具時，通常會有以下的考量：

購置成本：以國外的工具而言，通常價格都不菲，雖然有些工具可以在程式開發階段時，就可以輔助開發人員來避免可能的漏洞，但是許多客戶都傾向於不購買工具，而是在程式開發完成後，甚至是已經上線了，再請提供服務的廠商來實施檢測。
使用介面：國外工具大都使用英文介面，相關的選項設定，甚至對於弱點的修補建議都是英文，這對於一些IT人員而言，使用上可能不太容易上手。
支援能力：可支援常見的程式語言，包括html、java、.net、vbscript、xml、ActiveX、Flash、AJAX等之外，也包括常見的通常協定如http、https、proxy等，以及相關的編碼方式如ISO-8859、UTF等。也會要求在檢測過程中，不得新增或修改其後端資料表的任何內容(針對黑箱工具)。
法規模組：這部份和產出的報表內容有關，是否可支援常見的安全標準例如OWASP Top10、ISO 27001、PCI DSS、HIPPA等，可完整的檢測其提出的安全漏洞和安全要求事項。
報表品質：是否包括執行摘要、漏洞描述、程式修補建議等。過去曾遇到的情況是，在掃瞄完成之後，出了厚厚一本詳盡的弱點報告給客戶，但客戶認為太繁瑣，甚至要求必須依照其需求，例如不同人員屬性像是開發人員、測試人員、法規人員，再客製化一份報表，以及提供中文化的修正建議。事實上報表的內容品質，也會是客戶是否願意採用這些工具的重點。

所以，針對以上提到的問題，若廠商都能有相對應的解決方案，相信就會是客戶想要使用的好工具，當然其中在實務面上有許多需要克服的困難，這也需要讓廠商來傷腦筋了~

[提醒] 假AppStore，真Spam

Sun, 22 May 2011 14:45:00 +0000

隨著iPhone和iPad在全球的熱賣，相信許多人都已經加入成為蘋果一族，而且願意花費數美元不等的金錢來購買有趣或實用的App小軟體。當然，一些惡意人士更不會錯過這個大好機會，也搭上了這班順風列車，藉此來散布垃圾郵件或廣告連結。

最近我就收到一封看似來自Apple AppStore的信，信件主旨是「ID:9406-02708 Apple AppStore Order Notify」，內容則是通知我的訂單被取消了，若要欲知詳情的話，可以點選它附上的「order status」連結來進行查詢。

只是最近我根本沒有購買app，所以直覺懷疑這是一封詐騙郵件，不過我相信，有許多無辜的民眾可能會上當，因為它偽造的內容，看起來蠻像一回事的，發信人看起來是來自Apple AppStore，收件人也是自己的信箱無誤，至於內容方面只是單純的通知，主要的破綻是它附上的連結網址根本就是和apple八竿子打不著的網站。

此外，簡單分析了一下郵件的標頭，發現這封信的退信地址被亂填為IBM，發信來源則是一家英國公司，更可確定這不會是apple的官方郵件。

幸好，Gmail已主動的將它標示為垃圾郵件，所以提醒大家也就不要好奇地再去點選它，以免電腦感染不必要的惡意程式囉~

[Q&A] 什麼是安全港架構(Safe Harbor Framework)？

Mon, 09 May 2011 15:06:00 +0000

許多組織，在網站的資料收集和隱私權政策中(像是google的隱私權政策)，常會提到其遵守所謂的「安全港架構(Safe Harbor Framework)」，到底它是什麼架構？要遵循哪些事項？恐怕清楚知道的人就不多了。

根據維基百科的定義，安全港架構是一項法律的規定，可減少或消除當事人在法律的責任，但其要件是當事人的各項作為，必須能夠履行良好的誠信原則，或符合所定義的法規標準。此一安全港架構即是立法者制訂用來保護在合法或情有可原的違反情況下，或是鼓勵採取適當隱私保護作為的措施。

目前美國和歐盟及瑞士都有通過彼此認可的安全港架構，主要是因各國對於隱私和個人資訊保護所採取的措施皆不同，例如歐盟即禁止個人資訊傳輸至非歐盟的國家。

但是若透過安全港架構，歐盟的成員國就可允許美國傳送、儲存或使用歐盟成員國民的個人資訊，也就是將符合安全港原則的美國企業也視為符合其「資料保護命令(The European Commission’s Directive on Data Protection)」的標準。

同理，美國和瑞士的作法也是類似，以此作為一個彼此互信採認的橋樑，讓美國的企業或組織同樣可遵守瑞士的資料保護法(Swiss data protection law)。

想要符合美國和歐盟的安全港計劃，組織可以加入一項自我律定的隱私計劃，遵守美國和歐盟的安全港架構的要求，或是也可以制訂本身所監管的隱私政策，以符合美國和歐盟的安全港架構。

關於安全港的隱私原則，主要有以下幾項要求：

告知(Notice)
組織必須告知個人關於其資訊的蒐集和使用目的，組織也必須提供個人在有任何疑問時，如何與該組織連繫或投訴、向第三方揭露資訊的方式，以及組織所提供可用來限制使用和揭露的選擇。

選擇(Choice)
組織必須給予個人選擇(退出)，是否可將他們的個人資訊透露給第三方或用於不符合當初蒐集目的或隨後的授權。對於敏感資訊，也必須提供明確的選擇(加入)，是否將資訊透露給第三方，或使用在不符合當初的蒐集目的，或是個人隨後授權的目的之上。

Onward Transfer (Transfers to Third Parties) 轉出(轉讓給第三方)
要將資訊揭露給第三方，必須符合告知和選擇原則。同時組織若作為轉讓的代理人，必須確保第三方同樣遵守安全港隱私保護原則，例如訂立書面協議，要求第三方至少也要提供相同水準的隱私保護。

存取(Access)
個人擁有存取在組織中所持有個人資訊的權利，而且能夠要求更正、修改或刪除不正確的個人資訊，除非其將產生和個人隱私不相稱的風險或侵犯到其他人的權利。

安全(Security)
組織必須採取合理的預防措施，保護個人資訊不會遺失、濫用，和受到未經授權的存取、洩露、竄改和破壞。

資料完整性(Data integrity)
個人資訊必須使用於和蒐集相關的目的上，組織必須採取合理的步驟來確保資料的可靠性，以達成預期的使用、正確、完整及現行趨勢。

執法(Enforcement)
為了確保符合安全港原則，必須是(a)易於獲得的獨立申訴機制，使每個人的投訴和糾紛可進行調查和解決，提供適用於法律或隱私部門的損害賠償；(b)確認公司承諾遵守安全港原則的程序已被實施；(c)未遵守原則時，矯正所產生問題的義務，處罰措施必須夠嚴格，以確保組織遵守法規，組織若未能提出年度的自我認證書，將會被從參與者名單除名，組織遵守安全港的利益也無法被保證。

[參考資料]

[證照] CCSK 雲端安全證照入手

Fri, 06 May 2011 08:59:00 +0000

之前介紹了全球第一張雲端安全知識認證CCSK，雖然它目前還不是一個相當知名的證照，但它的考試領域在雲端安全專業知識方面，可說是非常的實用。

雖然準備的時間不多，考試的費用也不便宜，但我還是努力地閱讀了考試建議的兩份參考資料，以及目前所有查得到關於雲端安全的資訊，順利地通過了考試。

關於考試的報考方式，可以到CCSK的網站上報名，在填完個人資料並以信用卡繳交考試費用(US$295)之後，就可以自行選擇何時要進行線上考試。

目前，考題皆為英文的選擇題，一共有50題，考試時間為1小時，隨時都可以在線上進行，但是一旦登入考試之後，時間就不能暫停，所以要選擇一段不會受到干擾的時間，直到考試完成為止。

在答完所有考題並送出答案之後，若答對80%以上的話，就恭禧您通過了考試，網站會直接提供電子版的CCSK 證書，也可以使用考試登記的email和證書編號，在網站上查詢證書的有效性。

如果您也想取得這張證照的話，上課會是最快熟悉考試領域知識的方式，但目前CCSK的認證課程，全球只有CSA在美國當地舉辦，課程主要是針對考試領域進行內容的重點回顧(review)，所以建議參加者最好具備了相關資安知識，包括資安基礎概念、防火牆、安全開發、加密和身分識別等，當然一般對雲端安全有興趣的人員，也是可以來參與。

未來，我希望能夠幫忙開課，也會撰寫應考的心得來協助有興趣的朋友們一起成為CCSK。

舊留言存檔

以下留言轉存自原 Blogger 網站，僅供存檔，無法回覆。

順（2011-07-10）

您好！是否可以請教您ccsk應考需要什麼教育背景或是先備知識？先謝謝您了!

傑克小花（2011-07-11）

Hello~感謝您的提問。關於CCSK考試，考生並不需要任何背景或工作經驗，所需的知識則主要來自於CSA所撰寫的雲端安全指引，以及ENISA的雲端運算白皮書，您只要熟悉以上的內容，再加上一些雲端應用的常識(例如google、amazon所提供的雲端服務)，就可以從容地應考了，祝您順利取得CCSK證照喔~加油!!

Alex Lai（2011-09-02）

請問一下是否有規定依定要上課才能考呢

傑克小花（2011-09-03）

Hi Alex, 並沒有規定一定要上課，才能參加考試喔~

Alex Lai（2011-09-06）

感謝您的回覆

Alex Lai（2011-09-13）

不好意思~再請教一下~您的意思是說這個考試是在線上考的,不需要去教育訓練機構考試嗎?在家裡也可以考??

傑克小花（2011-09-13）

Hi Alex, 是的，它是採線上考試，並不需要到特定的考試中心才能進行。

ihost（2011-12-02）

您好,請問現在外面要求的雲端工程師,除了這張CCSK證照以外,還要再考哪些證照呢?還有這張CCSK證照是只要了解那兩個電子檔和一些雲端應用的知識就可以應考了嗎?

傑克小花（2011-12-02）

Hi 您好, 如果您想擔任雲端工程師，要看您主要負責那個部分，例如系統、網路或程式開發，基本上它都有對應的一些證照可取得，像是微軟、Cisco、Java等，但證照並不代表一切，它只能說明個人已具備該領域的基礎知識，還需要不斷學習累積實力和經驗才行。至於CCSK考試所需的相關知識先前已提過，請您參考，並祝您順利通過考試喔~

ihost（2011-12-03）

謝謝!!

JJ（2012-05-07）

請教考題的形式內容可否舉例一下 , 那二份文件的文字敘述要 "背" 的很熟是嗎 ???

傑克小花（2012-05-07）

Hi JJ, CCSK主要考的是觀念，所以必須要熟讀考試所依據的兩份文件內容，並理解它所提到的安全風險與建議，若光靠用背的，可能很難通過考試喔~

阿樹（2012-06-20）

所以國內目前也沒有針對這部份有中文的考試導引是吧?

傑克小花（2012-06-20）

Hi 阿樹, CSA所提供的雲端運算關鍵領域安全指南v2.1是有簡體中文版的，但因為考試是英文試題，所以建議您還是要熟悉雲端運算相關的英文名詞，這樣在答題時會比較順暢一些喔~

froggiesong（2012-10-02）

老師您好：我是資安菜鳥，想請教，關於這個CCSK的考試，說是可以在任何有網路連線的電腦上考，這讓我極為驚訝。我知道資安很強調根據使用者的身分來進行Access Control,那考試的時候，CSA怎麼知道是我在考，還是我考一半的時候找人幫我考？還是根本就是請專家一直考？考一半這題不會，我查了資料，這樣OK嗎？如果自己在家裡考具有公信力，那PearsonVUE的考場是不是都可以省下來了？以上外行問題，懇請指教，感謝!!

傑克小花（2012-10-02）

Hello~您好~ 感謝您留下的意見，關於您提到的考試問題，回覆如下:

對老外來說，設計考試的目的是為了驗證您的學習成果，基本上也尊重每個人的誠信，所以他們相信您會遵守考試的規範。

個人猜測為了要推廣雲端證照，所以CSA選擇這種讓全球考生最容易應考的方式來進行。

考試的舞弊方式防不勝防，如果只是為了取得證照，而請人代考，自己根本沒學到考試所要求的知識領域，這樣拿到這張證照也沒有意義了。以上，希望有回答到您的回題囉~

匿名（2013-05-26）

老師您好：我今天也終於考過CCSK了真的謝謝老師當初上課的資料個人覺得滿有用的謝謝老師的幫助

傑克小花（2013-05-26）

Hi Jason, 很開心聽到這個好消息，你的成功來自於你的努力，也謝謝你和大家分享了考試心得喔〜

[調查] 2011年全球資訊安全人員大調查

Thu, 05 May 2011 08:05:00 +0000

由(ISC)2與Frost & Sullivan市調公司合作，所進行的2011全球資訊安全人員大調查已經公布，共有10413位來自世界各個產業與組織的資安專業人員參與，這項調查的結果，將有助於組織發現在未來可能面臨的主要安全威脅，以及資安人員所需要具備的專業技能，讓組織可以降低在資訊安全方面的風險。

這項調查提到了幾項主要的發現，簡要說明如下：

應用程式的弱點是組織面臨的首要威脅 - 有超過20%的資安專業人員認為這項威脅主要和軟體開發過程有關。

行動裝置是組織第二個要因應的安全問題 - 儘管大多數的組織都已有了安全政策和工具可因應這項威脅。

明顯的專業技能差距將危及資安人員在未來可以防護組織的能力 - 許多新技術的部署(例如雲端運算和虛擬化技術)，抵銷了相關人員在獲得更多有關新技術安全訓練的要求。

資訊專業人員已度過了經濟衰退的危機 - 有3/5的人表示在2010年都有獲得加薪，尤其是亞太地區和2007年的調查相比，成長幅度最多。(註：亞太地區資安人員的薪水相對是最低的~~)

雲端運算描繪出在技術部署和所需要的安全技能之間的落差 - 有超過50%的人指出已經建置了私有雲，也有40%的人提到已採用軟體即服務(SaaS)，但有超過70%的人強調需要一些新的安全技能，才可以去適當防護基於雲端的技術。

開發中國家顯現了更多經驗成長和學習的工作機會 - 平均來說，和已開發國家的人員相比，開發中國家的人員只少了兩年的經驗，也花了更多的時間在安全管理，較少將時間用在處理內部安全問題上面。

資訊安全工作機會將持續地成長 - 2010年的調查估計，全球有228萬的資訊安全專業人員，預估在2015年將成長至420萬人左右。

[參考資料] 2011 (ISC)² Global Information Security Workforce Study

[證照] CCSK - 全球首張雲端安全知識認證簡介

Wed, 04 May 2011 09:04:00 +0000

隨著雲端運算技術和服務已成為全球各個產業的熱門應用，如何確保雲端運算的資訊安全，更是在提供或採用雲端服務時，最常被提出來討論的主要議題。

對此，從2008年開始醞釀，直到2009年的RSA會議中，由數十家業者共同組成了雲端安全聯盟(Cloud Security Alliance；CSA)，它是一個非營利性的組織，主要任務是在推廣雲端運算的安全應用實務，提供雲端運算一個安全的架構，同時也肩負了教育訓練工作，來協助組織強化各項雲端運算服務的安全。

在2010年6月，雲端安全聯盟正式宣布將提供產業有關使用者的雲端安全認證計畫，設計了全球第一個雲端安全認證「CCSK (Certificate of Cloud Security Knowledge)」，以確保來自各個領域的雲端運算相關工作者，擁有足以對抗雲端運算安全威脅的認知，以及所需的最佳實務來捍衛雲端安全。
註：以下內容已更新為CCSK v3

雲端安全聯盟開發了符合實務要求的「Security Guidance for Critical Areas of Focus in Cloud Computing」安全指引，以及參考歐洲網路與資訊安全局(ENISA)的「Cloud Computing: Benefits, Risks and Recommendations for Information Security」白皮書，讓這兩項文件成為CCSK認證的核心知識領域，應考人員必須熟悉並理解這些內容，才能夠順利通過考試。

雲端安全聯盟認為，個人擁有CCSK可展現充分的證明，已經具備關鍵的雲端安全知識，並成為獲得國際認可的專業雲端運算工作者。同時，CCSK認證也已獲得以下組織的支持，包括 Amazon, Accenture, Box, Citrix, Deloitte, eBay, Ernst & Young, Fujitsu, Google, Hitachi, HP, CA, Cisco, HCL Technologies, LogLogic, Intel, McAfee, Microsoft, Ping Identity, PWC, Novell, Qualys, Redhat, RSA(EMC), Sophos, Symantec, Trend Micro, VeriSign, Vmware, WhiteHat Security 等。

CCSK v3 目前採取線上考試，內容為60題選擇題，需答對80%以上才算合格，考試時間為90分鐘，考試費用$295美元(從2013年5月開始，CCSK考試費用將調整為345美元)，相關應考事項及所需知識可參考「CCSK Prepare Guide」之說明。

CCSK v3 考試的主要知識領域包括：

1. Security Guidance for Critical Areas of Focus in Cloud Computing, v3 (佔92%)

Domain 01 - 雲端計算架構框架
Domain 02 - 治理與企業風險管理
Domain 03 - 法律與電子證據發現
Domain 04 - 法規遵循與稽核
Domain 05 - 資訊生命周期管理
Domain 06 - 可移植性與相互運作
Domain 07 - 傳統安全、營運持續與災難復原
Domain 08 - 資料中心營運
Domain 09 - 事故回應
Domain 10 - 應用程式安全
Domain 11 - 加密與金鑰管理
Domain 12 - 身分識別與存取管理
Domain 13 - 虛擬化
Domain 14 - 安全即服務

2. ENISA Cloud Computing: Benefits, Risks and Recommendations for Information Security (佔8%)

Risks R.1 – R.35 and underlying vulnerabilities
Isolation failure
Economic Denial of Service
Licensing Risks
VM hopping
Data controller vs data processor definitions 等

[參考資料]

CERTIFICATE OF CLOUD SECURITY KNOWLEDGE：https://cloudsecurityalliance.org/education/ccsk/
CCSK v3 考試正式上線：http://jackforsec.blogspot.tw/2013/02/ccsk-v3.html

舊留言存檔

以下留言轉存自原 Blogger 網站，僅供存檔，無法回覆。

順（2011-12-20）

報告傑克小花老師，小弟也是您第一班ccsk的學生，不才的我，終於在上完課後的兩個月內通過考試，在此要特別感謝老師在上課的提點，但也想要分享一點點心得給未來想要通過ccsk的夥伴們。雖然，考試是採取在家線上考試，但真的要一次通過是非常不容易的。尤其是全英文的考試，光是要了解每一個問句的內容，就有困難。六十分鐘五十道題目，如果想靠即時翻譯，答案是不可行，而且你會來不及作答。如果想靠搜尋，答案還是不行，唯獨乖乖熟讀兩本教科書，並且摸熟資安與雲端相關專有名詞，才是正道，但是這樣可能還是會七十幾分飲恨，為獨熟讀再熟讀，幾乎是整本書都要背起來了。以上小小心得，敬請卓參。

傑克小花（2011-12-21）

Hello~順哥你好~ 首先恭禧你順利成為CCSK，看起來第一組真的很強，已經有兩位率先通過考試。其次是感謝您分享的心得，我想對於國人來說，英文往往是最大的障礙(老外故意整我們嘛~叫他們來考中文試試看~@_@)，加上線上考試還會有時間壓力，所以想要靠翻譯和搜尋，往往是緩不濟急。所以最好的方式還是要複習教材，確認已經了解雲端的相關名詞，再配合課堂上的重點提醒，這樣考試就會有勝算了(至於背書就不用啦，因為我自己都背不住~>_<~)。當然，講師也是需要改進的，所以下一班我會使用英文的講義，或許更可有效幫助大家來跨越英文考試的障礙。最後，希望之前的課程互動對你來說是有幫助的，再次恭禧你，並祝你聖誕快樂喔~

Charles（2012-07-30）

小花老師好，我是昨天結業的第二組學生，想請教您若要加入google CCSK group 系統會問我是第幾屆的學生，我不知道耶@@ 請問那個group是老師您創建的所以我送出您會知道囉

傑克小花（2012-07-30）

Hi Charles, 沒問題的，您直接申請加入就可以了，我會盡快幫您審核通過，非常歡迎您的參與喔~

[觀點] 解析資訊安全控制措施(二) - 資產管理與人力資源安全

Tue, 12 Apr 2011 10:50:00 +0000

上一次我們談到了在ISO 27001標準中，11個控制領域中的安全政策和資訊安全組織，本文將分析說明資產管理與人力資源安全中的要求，協助您選擇並實施適當的資訊安全控制措施，以降低可能的資訊安全風險。

在ISO 27001標準本文中的4.2.1提到，組織需要識別在ISMS範圍內的各項資產以及此項資產的擁有者，這個過程指的就是進行資產的有效管理。資產的識別與管理，是風險管理的第一步，目的是要找出組織中所有和資訊處理活動有關的人、事、物，以評估其可能的資訊安全風險。

在第5章的管理階層責任中，標準要求管理階層需要建立資訊安全的各種角色與責任，並且要確保組織中的所有人員，有能力去執行和資訊安全有關的各項工作，因此人力資源安全，也是資訊安全管理系統中不可或缺的一環。

在ISO 27001標準中，對於資產管理與人力資源要求，呈現在附錄A中的A.7和A.8，一般而言，和資產與人員有關的控制措施，通常很難將它排除，也就是說，這些都是組織在落實資訊安全管理時，必要的執行和控管項目，在執行標準的第三方稽核驗證時，也會是稽核員審查的重點項目之一。

A.7 資產管理

ISO 27001附錄A.7談到的是「資產管理」，又區分為A.7.1和A.7.2二大類，在A.7.1的資產責任中，需要識別所有的資產，並且指定負責的擁有者，其目標是要達成及維持組織資產有適當的保護，A.7.1共有三項控制措施，說明如下：

A.7.1.1 資產清冊 – 「所有的資產都應該被清楚的識別出來，製作成資產的清冊，並且進行維護。」在實作上，我們會針對ISMS範圍中的所有資產進行盤點，但是有哪些資產需要識別呢？最簡單的思考方式是，找出沒有它的話，業務就無法執行，也就是跟核心業務有關的資產。由於資產的數量不少，因此在盤點時，我們會事先設定資產的類別，例如可區分為資訊類(電子檔、紙本)、人員類(內部、外部)、軟體類(套裝、自行開發)、實體類(電腦設備、辦公處所)、服務類(電力、網路)等，仔細清查每一筆資產的型式、位置、數量、擁有者、使用者、保管者和營運價值，最後彙整成一份組織的資產清冊，要謹記的是，這份清冊不是財產的清冊，而且需要定時地加以更新。

A.7.1.2 資產的擁有權 – 「組織中和資訊處理設施有關的所有資訊和資產，都應指定其擁有者。」在資產清冊中，我們需要為每筆資產指定其擁有者，這裡所謂的擁有者，並不是指對於資產本身擁有其財產權，而是指實際上能夠控制資產的處理、發展、使用和安全，也就對資產負有管理職責的個人或部門，在指定時我們要考慮一些特別的清況，例如有些工作是委派他人進行，資產的使用與照顧是受託者，但最終的管理責任仍在委託者，所以資產風險不能光從委託者的情況來評估。另外，像是某些資訊系統集合了資產、軟體、硬體和不同人員，這時我們可以將它視為是一種服務資產，從這個角度來指定服務的擁有者，以及服務的使用者。

A.7.1.3 可被接受使用的資產 - 「和資訊處理設施有關的所有資訊和資產，其可被接受使用的方式規則，都應被識別、文件化和實施。」這項措施強調的是資產的使用，都需要制訂相關的規範，例如內部網路和電子郵件的使用辦法、行動裝置的使用注意事項，以及USB隨身碟的申請與使用作業辦法等。

A.7.2是資產分類，對組織而言，各種不同資訊所具有的敏感程度和重要性都不一樣，尤其是針對一些特殊的資訊，像是產品研發資料、客戶交易資料、個人資料等，可能需要更多額外的保護或處理，所以透過資產的分類，可以指定不同資訊等級所需要保護措施、優先順序，目標就是要確保資訊都已受到適當等級的保護，它有二項控制措施，說明如下：

A.7.2.1 分類指引 – 「資訊應依照其對組織的價值、法律要求、敏感性和重要性進行分類。」資產分類可以讓我們便於管理，針對不同資產類別採用不同的管理方式，在實務方面，建議資訊的分類不宜過多，以避免太過複雜而造成各營運單位實施的困擾，其保護等級可藉由分析資訊所具有的機密性、完整性和可用性來賦予。要提醒大家注意的是，有些資訊經過一定的時間之後，其敏感性和重要性會改變，例如企業的年報，在製作過程時需確保資訊的機密性，但在公布之後，要控制的可能是資訊的完整性和可用性，因此在保護上就需要作適當的調整。

A.7.2.2 資訊標示和處理 – 「依照組織所採用的分類方法，資訊標示和處理的適當程序應被發展出來並且實施。」通常我們在資產標示分類上，會採用貼上分類標籤的方式來進行，但要注意的是，有些電子檔案無法用實體的標籤來標示，所以在標示時需採取其他方式來進行，例如使用時會出現在螢幕上(pop-up)，或標示在資料的meta-data之中。

A.8 人力資源安全

附錄A.8是「人力資源安全」，分為A.8.1聘僱之前、A.8.2聘僱期間、A.8.3聘僱的終止或變更等三大類。標準中所指的聘僱包括了幾個不同的情況，像是短期和長期的聘僱、指派或變更職務的角色、合約的指派及所有這些安全事項的變更。A.8.1是希望所有的人員，能認知其職務角色應有的資訊安全責任，因此其控制目標是要確保員工、承包商和第三方使用者了解其責任，符合被指派的角色職務要求，以減少竊盜、詐欺和誤用設施的風險。A.8.1共有三項控制措施，說明如下：

A.8.1.1 角色與責任 - 「員工、承包商和第三方使用者的安全角色與責任，應依照組織的資訊安全政策予以定義和文件化。」簡單的說就是以書面的方式，說明新進人員的資訊安全責任，例如告知需遵守組織資訊安全政策、個人資料保護法、智慧財產權等相關的規範，以及資安事件發生的通報方式等。

A.8.1.2 篩選 - 「員工、承包商和第三方使用者的所有應徵者，都應依照相關的法律、規範、倫理，並且相稱於業務要求、可被存取的資訊等級與察覺到的風險，進行背景的查核確認。」實務上的作法為先制定篩選的作業程序，說明由何人、何種方式、何時來進行查核確認的工作。在進行時，則務必徵求應徵者同意，並遵守個人資料保護法及隱私權的要求，可針對其學經歷資料，專業資格、信用記錄等進行查核。

A.8.1.3 聘僱條款與條件 – 「作為合約義務的一部份，員工、承包商和第三方使用者應同意並簽署其合約的聘僱條款與條件，應清楚的陳述其和組織的資訊安全責任。」組織可擬定其資訊安全條款與保密切結書等相關文件，向相關人員說明，並取得其同意和簽署，才可讓其使用組織的資訊和資訊處理設施。

A.8.2在聘僱期間，是希望管理階層能有效管理人員的各項活動，以符合組織的安全要求，因此目標是確保所有的員工、承包商和第三方使用者能認知資訊安全威脅與關切事項，明白其責任與義務，並且在日常工作的過程中，有能力支持組織的安全政策，減少人為錯誤的風險。A.8.2共有三項控制措施，說明如下：

A.8.2.1管理階層責任 – 「管理階層應要求員工、承包商和第三方使用者，依照組織所建立的政策和程序實施安全事項。」在要求之前，管理階層應適當說明並協助人員了解資安作業規範，並採取激勵方式，讓員工願意並落實各項的要求。有時過於強制性的作法，反而會導致負面的衝擊發生。

A.8.2.2 資訊安全認知、教育與訓練 – 「組織所有的員工和相關的承包商與第三方使用者，應依其相關的工作職務，和組織定期更新的政策和程序，接受適當的認知訓練。」組織應定期並依照員工不同的職務，實施一般或專業的資訊安全教育訓練，以協助員工能針對資安事件作出適當的反應。在訓練的有效性方面，可使用問卷和評量進行量測，針對表現優良者給予適當的獎勵。

A.8.2.3 懲處過程 – 「對違反安全的員工，應有正式的懲處過程。」這項控制措施的重點在於，是否公布懲處的程序與方式，是否以正確、公平的方式，收集客觀的證據，以證明員工造反安全規範。對於嚴重的不當行為，也可允許管理人員解除其職務，或要求其離開辦公作業處所。

A.8.3聘僱的終止或變更，是希望聘僱能夠符合組織的內部管理方式，目標是要確保員工、承包商和第三方使用者，以適當的方式離開組織或變更聘僱事項。A.8.3有三項控制措施，說明如下：

A.8.3.1 終止責任 – 「執行聘僱終止或變更聘僱的責任，應被清楚的定義和指派。」針對人員的轉調或離職，內部需指定專責的單位來處理，一般而言，是由人力資源單位來負責相關的終止程序，確認其符合聘僱條件與合約的要求。

A.8.3.2 資產歸還 – 「所有員工、承包商和第三方使用者，在聘僱、合約或協議終止時，應歸還其持有的所有組織的資產。」資產的歸還通常會以清單檢核的方式來進行，確認人員已歸還組織的門禁卡、電腦設備、軟體、作業手冊等資產，若人員使用自己的設備，也應確保所儲存的資訊已移轉回組織，並進行清除。

A.8.3.3 移除存取權限 – 「所有員工、承包商和第三方使用者，對於資訊、資訊處理設施的存取權限，應在聘僱、合約或協議終止時移除，或依變更進行調整。」這是指人員的轉調或離職，需要確保其使用資訊系統的存取權限已進行適當變更，實務上建議在人員離職日起即暫時凍結使用者帳號，待確認相關資訊與權限已移轉完成之後，再將其帳號和權限移除。(本文刊載於2011年1月號網管人雜誌)

[參考資料]

ISO/IEC 27001:2005
ISO/IEC 27002:2005

[觀點] 解析資訊安全控制措施(一)-建立安全政策與資訊安全組織

Tue, 08 Mar 2011 09:46:00 +0000

除多組織為了強化資訊安全管理，因此選擇導入資訊安全管理系統(ISMS)，但是在整體的資訊安全框架之下，除了導入文件化的管理制度之外，還需要運用包括管理面和技術面的控制措施，才能有效防護資訊的安全，接下來一系列的文章，將說明ISO 27001標準中對於資安控制措施的要求，可協助您達成資訊安全的目標。

今日的組織在整體業務營運的過程中，資訊系統的有效運作，扮演了關鍵的角色，如果資訊的機密性、完整性受到不當的侵害，或是系統的可用性不足，連帶地將會影響組織的日常運作，甚至會造成不必要的損失。

因此，在資訊安全的領域之中，如何確保資訊的機密性、完整性和可用性已是最基本的要求，而且更將資訊視為是一種有價值的資產，如同組織其他的資產一樣，無論其存在的形式是什麼，都需要透過有效的控制措施進行控管，提供適當且足夠的防護。

實務可用的控制措施

到底什麼叫做控制措施(control)？在ISO 27002中對於它所下的定義為「包括政策、程序、指導綱要、實務或組織結構等的風險管理方法，其本質可為行政、技術、管理或法律」。簡單地說，它就是我們降低資訊安全風險的各種作法，其最終的目的就是要防止資安事件的發生。

在ISO 27001中的控制措施呈現在附錄A.5至A.15，包括了11個控制領域、39個控制目標和133項控制措施(如圖1)。這些控制措施被視為資訊安全實務上的最佳建議與指導，換句話說，透過實施這些控制措施，代表了組織對於資訊安全的風險控管，已具有一定的安全程度。若組織想要通過ISO 27001的第三方驗證，並且獲得國際認證組織所頒發的證書，那麼這133項的控制措施，除了有合理的排除原因之外，基本上都是需要去一一落實的。

如果組織並不以通過驗證為目標，依據ISO 27002的說明，大多數的組織通常需要採取的控制措施，至少包括了資訊安全政策文件、資訊安全責任的配置、資訊安全認知教育和訓練、應用系統的正確處理、技術方面脆弱性的管理、營運持續管理、資訊安全事故與改進的管理、個人資訊的資料保護與隱私、組織記錄的保護、智慧財產權的確保等。

了解組織的資安要求

對組織來說，不同的業務營運型態，對於資安都會有不同的考量與要求，例如對金融業者而言，客戶的交易資料會是首要確保的目標；對醫院而言，病患的就診記錄與醫療病歷，其重要性也遠超過其他的行政資料。

面對不同的資安考量與要求，所選擇的資安控制措施也會不同，因此在選擇之前，組織必須清楚地識別所需的各項安全要求是什麼，一般而言，安全要求的建立，主要來自於三個方向：

內部要求 – 由管理階層考量組織營運的策略與目標，並且藉由實施風險評鑑的過程，找出和營運有關的各項資產，然後識別出這些資產本身所具有的安全脆弱性與所面臨的可能威脅，再估計當威脅利用脆弱性，對組織造成損害的可能性與衝擊度，來決定需要針對哪些營運資產實施安全保護的要求。
外部要求 – 由組織的客戶、交易夥伴、供應商及相關利害關係人，針對組織的營運活動，提出其安全的要求，例如產品設計業者要求生產廠商，針對生產過程中和產品有關的重要資訊，必須確保其機密性。
法規要求 – 透過組織所屬的主管機關或所在區域國家的法律要求，必須實施適當的資訊控管，例如個人資料保護法針對個人隱私的保護要求。

在了解組織對於資訊安全的各項要求之後，我們就需要針對組織進行一次徹底的健康檢查，也就是透過實施風險評鑑的過程，來找出組織所面臨的資安風險，了解現況和理想的安全要求之間的落差。然後，才能選擇適當的安全控制措施，來協助我們達成這些可能來自內部、外部或法規的資訊安全要求。

A.5安全政策
ISO 27001附錄A.5是「安全政策」，在A.5.1的資訊安全政策中，其目標是要依照營運要求和相關的法律法規，提供管理階層對於資訊安全的指導與支持。

A5.1主要有兩項控制措施要求，A.5.1.1要求資訊安全政策應經由管理階層的核准，並且公布傳達讓所有員工和相關的內外部團體知道，實作方面，在這份資訊安全政策中，主要是要傳達管理階層對於資訊安全的支持，確保資訊安全與組織營運目標的一致性，並且說明資訊安全的重要性與實施範圍，以及相關人員的職責。

所以，在資訊安全政策中，至少需要說明組織的資訊安全定義、範圍、要求與目標，其中關於目標的部份，最好以量化的方式說明，例如：為確保同仁熟知資訊安全相關規定，故每人每年需要接受3個小時以上的資安教育訓練；為確保相關資安措施符合法令與法規的要求，組織每年應實施至少2次的資訊安全內部稽核。

A.5.1.2則是要求資訊安全政策若發生重大變更時，需要進行審查，以確保內容持續地適用、充分和有效。這也就是說，資訊安全政策不單單只是一份宣示性的文件，而是必須配合組織環境、業務型態、法律合約要求和技術更新等事項，進行持續的修訂與發行。因此這一項控制措施的重點就在於，許多組織可能會對政策內容進行修改，但是卻忽略了這些內容需要取得管理階層的核准，並且留下相關的審查記錄才行。

A.6資訊安全組織
附錄A.6是「資訊安全組織」，分為A.6.1內部組織和A.6.2外部團體，A.6.1的控制目標是希望在組織中建立資訊安全的相關責任與角色，協調安全工作的落實與執行，在這個控制目標之下，共有8項控制措施，分別說明如下：

A.6.1.1管理階層對資訊安全的承諾 – 有了管理階層的支持，是資訊安全管理制度能有效運作的重要關鍵要素，此控制措施強調管理階層應該在組織中，明確的指派並確認人員的安全責任，主動地支持各項安全工作，並提供所需要的資源。
A.6.1.2 資訊安全協調工作 – 在組織之中，資訊安全不會只是單一部門的工作，除了資訊單位之外，可能也需要人力資源、總務、行政、業務、稽核、法務等部門人員的參與，才能達成組織所設定資訊安全的目標，所以資訊安全的相關活動，需要不同部門的代表協調，才能順利地執行。
A.6.1.3 資訊安全責任的配置 – 管理階層需要指定各部門主管和個人的安全責任，並且界定各項資產的保護與作業流程，唯有執掌角色的定義清楚，才能夠履行所賦予的各項任務。
A.6.1.4 資訊處理設施的授權過程 – 所有的組織都會採購資訊相關設備，並且給予員工作業使用，但如何確認這些新設施符合資訊安全的要求？因此資訊設備的使用，必須要有管理階層的核准，組織應明訂此一程序流程，才可確保其符合資安政策的要求。
A.6.1.5 機密性協議 – 針對敏感性的工作，組織會要求人員簽署保密協議，但協議的內容是否適當？是否反映資安政策的要求？組織應該識別並定期審查對各項資訊保護的要求，再將其納入機密性協議的內容之中。
A.6.1.6 與權責機關的聯繫 – 當發生資安事件時，組織往往也需要外部單位的協助，因此需要擬定適當的程序，說明何種事件需要由何人進行通報和聯繫，需連繫的權責機關包括哪些？例如發生火警時，由誰負責與消防隊、電力、水力、電信和執法等單位連繫。
A.6.1.7 與特殊利害相關團體的連繫 – 資訊安全的技術日新月異，所以組織也經常需要聽取專家的意見，或參與專業的論壇以取得更新的資訊。此一控制措施就是要求應與各種利害團體、專家協會等保持適當的連繫管道。
A.6.1.8 資訊安全的獨立審查 – 組織在實施資訊安全管理的過程中，若對於資安政策、程序、控制目標和方法進行了顯著變更，此時就需要獨立公正的單位，針對變更的內容進行審查，目的是為了確保組織資安管理的適切性和有效性，避免球員兼裁判的嫌疑，所以這些審查需要由組織內部的稽核部門或具適當經驗的第三方單位來協助執行。

至於A.6.2外部團體的控制目標，是為了確保組織在與外部團體有相關的資訊存取、處理、交換時，能夠維持資訊的安全，因此，A.6.2.1的控制措施為與外部團體相關的風險之識別，需要透過風險評鑑的過程，找出外部團體對組織資訊的處理和使用時，可能存在的資訊安全風險，像是可存取的資訊類型、人員的識別與授權是否適當等。

A.6.2.2是處理客戶事務的安全說明，也就是在賦予了客戶存取組織資訊的權限之前，已考量到各項資訊安全要求，例如對於所提供服務的內容描述，以及客戶應有的安全責任與要求等。

A.6.2.3則是第三方協議中的安全說明，也就是在與第三方所簽定的協議與合約之中，必須明訂組織的資訊安全要求、應遵守的相關法規，以及違反時應負的法律責任等。(本文刊載於2010年12月號網管人雜誌)

[觀點] 評估個人資料保護機制與現況

Tue, 25 Jan 2011 03:23:00 +0000

個資法的施行細則，預計在今年6月左右公布，最快可能在2012年初施行，也就是說，無論公務機關或非公務機關，還有一年左右的因應時間，現在正是可以用來提前準備，並評估個人資料保護機制的最佳時機。

上一篇為大家說明了個資法中，對於蒐集、處理、利用個人資料的規範與要求，這部份主要著重在個人隱私的維護，例如：

在蒐集個人資料時要對當事人盡到告知的義務，說明蒐集的特定目的為何，將會使用在哪些用途上；
處理時則是要確保眾多的個人資料，經過內部新增、編輯、傳遞、儲存時的安全，避免受到未經授權的竄改，同時還要尊重當事人對於個人資料的自主權利，提供查詢、複製本和更正的服務；
在利用時則是要符合當初蒐集時的特定目的，若要作其他目的使用，除了有適當的法源依據或符合個資法的要件外，否則都必須要重新再取得當事人的書面同意才行。

所以，接下來就要說明個資法要求的另一項重點，也就是對於透過各種管道所蒐集的個人資料，如何盡到善良管理責任，並實施適當的安全措施。

當然，對非公務機關而言，所謂的適當的安全措施，未來將由目的事業主管機關來加以認定，也就是要依照主管機關所提出的個人資料保護指引準則，擬定個人資料檔案安全維護計劃，並且在發生事故時能夠舉證才行。

在這份個人資料保護指引尚未完備之前，我們可以提早準備的，就是思考對於個人資料應實施哪些安全機制，並且評估個人資料的安全現況，以便先打好基礎，再針對不足的地方加以改進，以避免法律實施時措手不及的情況發生。

思考個資保護安全機制

組織若想要建立個人資料的保護機制，建議可以從三方面來著手。

首先是「人員」，請思考一下，目前組織中的個人資料，大多是由誰蒐集而來，經由誰進行處理，再由誰進行利用，我相信你會發現，這些都和大多數員工脫離不了關係。

根據統計，大部份的資料外洩事件，都是來自於內部人員的作業疏失或刻意的偷竊行為。因此，針對人員的安全機制，主要都會落在教育訓練之上，透過加強人員對於個資保護的認知，了解其應盡的責任與守法義務，並且熟悉內部的個人資料蒐集、處理和利用的作業規範，來避免違反個資法的事件發生。

一般而言，教育訓練區分為兩種，一種是對於個資法的認知訓練，另一種則是資訊安全的防護宣導。

在個資認知訓練方面，必須要確保和個資蒐集、處理、利用有關的人員，都要熟知個資法的要求，例如蒐集個人資料必須要有特定目的，並且要盡到告知的義務。

在資訊安全宣導方面，則是要讓人員了解常見的資料外洩管道與攻擊手法，像是如何避免掉入社交工程的陷阱，避免透過私人郵件寄送個人資料檔案，以及避免使用USB隨身碟下載個人資料並攜出工作場所等。

其次是「流程」，我們必須檢視現行的資料作業流程，其中是否會涉及到個人資料的處理，如果是的話，那麼配套的安全措施是什麼？作業流程中，安全防護的強度到底夠不夠？

舉例來說，像是員工在業務工作上，是否可以任意影印含有個人資料的文件，是否有經過主管的授權，影印時是否使用浮水印的註記，廢棄時是否有適當的資料銷毀方式？

另外，含有個人資料的文件傳遞，是否指定專人處理，文件本身是否有保護措施，傳遞過程中是否有留下記錄。如果有員工對於這些流程的安全控管要求不清楚的話，那麼最好開始建立相關可實行的標準作業程序(SOP)。

最後是「技術」，在各項與個資有關的作業流程中，我們需要去思考是否有相對應的資安防護技術，例如：

對於個人資料的存取方面，人員需申請並賦予唯一的識別帳號，並要求使用一定長度與複雜度的密碼；
依據業務性質和單位屬性的不同，進行網段區隔與存取控制；
網路安全方面，是否佈署適合的防火牆、入侵偵測系統，對於主機是否進行系統防毒與更新修補；
對於敏感的個資檔案，也要實施一定強度的加密機制。

評估個人資料安全現況

對於組織目前的個人資料保護現況，如果本身已導入的資訊安全管理系統(ISMS)，最好的方式就是依照ISO 27001標準所要求的11項領域、133項控制措施，來進行個人資料的安全評估。如果對於標準不是那麼地熟悉，也尚未建立個人資料管理制度，建議可以先從以下四大層面來著手，一一檢視重要的控制措施是否已經落實。

實體環境安全
評估辦公區域、資訊機房和資訊設備，是否已受到良好的安全防護，重點項目包括：

是否已確保辦公室與機房的環境安全？例如使用不易受到破壞的門與鎖；在重要的區域進行門禁管制或安裝監視系統，訪客要求需配載識別證，並且僅限於在特定處所活動；定期檢查消防設施和人員的逃生設備是否足夠。
是否可預防有人從外部可以窺探辦公處所的電腦設備或螢幕資訊？有些組織在機房、會議室，喜歡採用透明玻璃，因此需要評估人員在操作資訊設備或進行會議時，是否會造成不當的資訊外洩。
含有個人資料的資訊設備與文件，是否存放於安全地點？例如筆記型電腦等可攜式的設備，還有包括硬碟、磁帶、光碟、USB隨耳碟等儲存媒體，採取適當的安全防護以避免遺失；紙本文件存放在管制或上鎖的區域，使用碎紙機、大量文件水銷等方式確保廢棄的文件不會再被還原。

組織安全
評估組織針對個人資料是否制定了一體適用的安全政策，以及相關的作業程序以便人員可以遵守，重點項目包括：

組織是否指定專人負責個人資料的管理？是否已制訂個人資料保護安全政策，並提供適當的人力與經費，由高階主管來支持個人資料安全管理和保護工作的落實。
組織是否已有和個人資料安全有關的作業程序，可供員工操作並且遵守？例如密碼的使用與設定要符合安全原則；人員離開辦公處所時應讓桌面淨空，不遺留文件在未經監管的地點；電腦螢幕設定一定時間自動啟用螢幕保護程式等。
組織是否已建立跨部門溝通與協調機制？例如由各部門推派一位個資管理代表或聯絡人；成立一個跨部門的個人資料保護小組，並定期召開個資保護協調會議等。
組織是否定期實施教育訓練，並確認員工已充分了解其應盡的個資保護與安全責任？例如依據人員不同的工作職掌，實施認知、管理或技術的教育訓練，並透過內部稽核的實施，確認教育訓練的有效性與成果。
組織若發生個人資料外洩事件，是否有相關的處理程序，並進行事後的調查與檢討？例如在個人資料受到竊取、洩漏或不當侵害時，由專人來負責通知當事人；制訂個資事件的證據收集與保存程序，或是尋求外部的支援。
是否有人可從組織外部來存取資料？個人資料是否需要和外部進行傳遞或交換？實施了哪些安全措施來控制、保護與監控這些行為？例如清查有哪些資料是可供外部存取的，並針對資料的傳遞或交換，依法定程序執行或建立內部的作業規範；對於資訊委外處理的服務廠商，要求相對應的個人資料保護措施等。

資訊系統安全
評估資訊系統的建置、營運與服務，是否已有適當的安全措施，重點項目包括：

資訊系統的日常操作，是否有文件化的作業程序？例如設備的異動維護，皆已經過授權並留下記錄。
含有個人資料的主機，是否需要更高的安全防護，並執行嚴格的存取管理？例如主機實施實體隔離與監控，採用生物辨識方式，進行存取控制。
資訊系統是否有備援機制？針對儲存個人資料的設備，採用不斷電系統以持續維運；將資料備份存放在不同的地點；確保還原機制夠完善，定期執行演練與測試等。
資訊系統與應用軟體的弱點是否能被發現，並且定期更新修補？例如透過定期的弱點掃瞄或滲透測試，以及制訂適當的修補程序來進行控管。
是否已經強化網際網路與電子郵件的使用安全？例如有能力偵測或防止惡意程式下載至電腦系統；防毒機制可定期更新；郵件主機實施適當防護；資訊設備和系統的記錄檔(log)集中留存並可防止竄改等。

人員安全
評估職務角色適任與分工代理是否適當，重要項目包括：

與個資有關的人員聘用，是否進行適當的徵信或資格審查？例如針對背景和學歷資格的確認，確認前項工作的離職原因；進行適當的職務分工代理等。
是否額外註明對於個人資料保護的相關要求？例如在聘僱合約中加以說明，並要求簽署保密協定；在新進員工訓練或員工手冊中說明組織對於個資法的政策與個資處理的要求等。
是否清楚告知員工組織資訊設備的使用注意事項？例如不得將個人帳號密碼透露給第三人、避免瀏覽惡意網站、不使用公司電腦收發個人郵件、不使用個人郵件寄送業務相關資料等。

以上簡要的評估方法，可作為有心強化個資防護的組織參考，相信能夠在個資法正式實施之前，找到一個可以因應與實作的目標。(本文刊載於2010年11月號網管人雜誌)

[觀點] 個資蒐集、處理、利用之注意事項

Wed, 15 Dec 2010 08:49:00 +0000

在個人資料保護法裡，隱含了二項重要的精神與要求，其中個人隱私維護是首要項目，它是指必須要在個人資料蒐集、處理、利用的過程中確保個人隱私不會受到侵害，其次則是如何善盡個人資料保護的責任，本文將說明相關的注意事項。

個人資料保護法全文共有56條，內容說明了公務機關與非公務機關在個人資料蒐集、處理及利用的注意事項，以及違反時的賠償與罰則，單就法條內容來看，其實不太容易馬上就能掌握其要求的重點。

但經過歸納分析之後，可以發現個人資料保護法的精神與要求，主要集中在兩件事上，分別是「個人隱私維護」和「個人資料保護」，需要在個人資料蒐集、處理、利用、傳輸，也就是在個人資料的生命週期中予以落實(圖1)。

圖1：個人資料保護法的要求全貌

個人隱私維護的要求，主要來自於個人資料保護法的第一條，「為規範個人資料之蒐集、處理及利用，以避免人格權受侵害，並促進個人資料之合理利用，特制定本法。」其中隱私就是人格權的重要一環，因此個人資料的揭露與否，必須尊重當事人的權益並獲得其同意，以免因侵犯個人的隱私而造成人格的受損。

個人資料保護的要求，則來自於個人資料保護法的第十八條，「公務機關保有個人資料檔案者，應指定專人辦理安全維護事項，防止個人資料被竊取、竄改、毀損、滅失或洩漏。」；以及第二十七條，「非公務機關保有個人資料檔案者，應採行適當之安全措施，防止個人資料被竊取、竄改、毀損、滅失或洩漏。」

目前，依照法務部個人資料保護事項協調聯繫會議的決議，所有公務機關在99年底前都必須要指定一位個資聯絡窗口及個資召集人，來協調聯繫與個人資料有關的事項，而各機關也要在年底前完成制訂組織的「個人資料保護及管理規範」。

至於非公務機關，未來則是要依照所屬事業目的主管機關的要求，提出「個人資料檔案安全維護計畫」，這份維護計畫的建議內容，可參照上一篇文章的說明。

個人資料蒐集注意事項

所謂的蒐集是指以任何方式來取得個人資料，包括自動化(例如網頁上所填寫的個人資料)或非自動化(人工紙本記錄的個人資料)的方式來進行。

依照個人資料保護法第八條的規定，無論是公務機關或非公務機關，在向當事人蒐集個人資料時，都必須要明確告知當事人以下事項：

蒐集資料的公務機關或非公務機關的名稱。
蒐集的目的，也就是要在未來公布的特定目的中，至少找到一項適用的項目。
個人資料的類別，同樣也是在未來公布的個資類別中，找到適合的類別名稱。
個人資料利用的期間、地區、對象及方式，建議要向當事人說明資料使用時間和保存多久，在哪些地區使用，將會透過什麼方式來使用。
當事人可以行使的權利及方式，例如當事人可以要求更正、刪除、停止使用其個人資料，或要求提供個人資料的複製本。
應說明當事人可以自由選擇是否要提供個人資料，若當事人不願意提供的話，也要清楚告知不提供這些資料，對其個人權益會有哪些影響。

所以，請務必謹記，「只要有蒐集的行為，就會有告知的義務」，除非是法律規定可以不用告知，以及公務機關為了執行法定職務(例如警察執行公務)，或非公務機關為了履行法律規定的義務等，這部份請參照個人資料保護法第八條的五項免告知情形。

另外，依據個人資料保護法第十五條規定，公務機關對於個人資料的蒐集或處理，除了要有特定目的之外，還要符合以下三種情形之一，才可以進行：
一、執行法定職務必要範圍內。
二、經當事人書面同意。
三、對當事人權益無侵害。

建議在實務上，若不是執行法定職務，公務機關想要蒐集民眾的個人資料，最好的方式就是事先取得當事人的書面同意，以避免違反法規的要求。

個人資料處理注意事項

所謂的處理，簡單來說就是指蒐集個人資料之後，將這些資料經過編輯、修改、增刪、傳遞等動作，變成一份個人檔案的過程。依照第十條的規定，在正常情形之下，公務機關和非公務機關都要依照當事人的請求，針對這些個人檔案，提供查詢、閱覽或複製本，而且要在十五天內回覆當事人是否同意或拒絕其請求。

為了要維護這些檔案中個人資料的正確性，公務機關和非公務機關要主動或依照當事人的請求來予以更正或補充，至於回應的時間則是在三十天內要完成。若是個人資料的正確性有爭議時，也要主動或依照當事人請求，停止處理或利用這些個人資料。另外，隨著個人資料蒐集時的特定目的消失或是期限屆滿的時侯，也要依當事人請求，剛除、停止處理或利用這些個人資料。

為了避免個人資料的不當揭露，或是個人資料檔案受到不當的侵害，降低對當事人的衝擊，依據個人資料保護法第十二條的規定，無論是公務機關或非公務機關因違反了個人資料保護法的規定，而導致個人資料被竊取、洩漏、竄改，或是受到其他侵害，都要在查明之後盡快地通知當事人，也就是說，組織必須要事先建立一個通報機制，確保所使用的方式(例如電話、郵寄、email等)可以通知到當事人，並且留下記錄。

個人資料利用注意事項

將處理後的個人檔案使用在特定的目的上(例如行銷)，就是所謂的利用。在個人資料利用方面，最重要的一件事，就是要確認利用時是否和原先蒐集的特定目的是相同的，如果與原先的蒐集目的不同，依據個人資料保護法第十六條的規定，必須要符合以下情形，才能將個人資料用作其他目的：
一、有法律明文規定可引用。
二、為了維護國家安全或增進公共利益。
三、為了免除當事人的生命、身體、自由或財產上的危險。
四、為避免他人的權益受到重大危害。
五、為了公共利益進行統計或學術研究，且資料經過處理不會識別到當事人。
六、有利於當事人的權益。
七、經當事人書面同意。

基於以上的要求，未來在實務方面，建議若將個人資料作其他目的的利用時，最好事先再去取得當事人的書面同意，比較不會有違法利用的風險。

請小心留意才能避免觸法

個人資料保護法的精神與要求，在於個人資料的蒐集、處理或利用的過程中，如何去確保個人隱私和個人資料安全，這是所有擁有個人資料的組織或機關務必要去重視的地方。

在個人資料的蒐集、處理或利用的事項方面，如果是一般民營單位，受到公務機關委託執行和個人資料有關的事項，在個人資料保護法的適用範圍，依據第四條的規定是視同於委託機關的，換句話說，在個人隱私維護和個人資料保護的要求事項，就要比照公務機關來辦理才行。

此外，個人資料保護法第五條提到，「個人資料之蒐集、處理或利用，應尊重當事人權益，依誠實及信用方法為之，不得逾越特定目的之必要範圍，並應與蒐集之目的具有正當合理之關聯。」換句話說，個人資料的蒐集、處理及利用，都必須要符合當初蒐集時向當事人說明並獲得同意的目的，而且要與此目的有明顯相關。

萬一日後需要將個人資料，作為其他目的的利用時，則必須要重新獲得當事人的書面同意，而非僅止於口頭上的通知，這點要請經常需要將個人資料用於行銷或業務使用的企業，務必要小心留意以免觸法。(本文刊載於2010年10月號網管人雜誌)

[觀點] 制訂個人資料檔案安全維護計畫

Wed, 03 Nov 2010 06:49:00 +0000

之前，我們談到了個人隱私衝擊分析，其主要目的是要了解組織針對個人資料蒐集、處理、利用的現況，能夠幫助我們針對屬於高風險的個人資料，提出適當的保護計畫與安全措施，本文將說明如何制訂個人資料檔案安全維護計畫。

在個資法第27條提到，「非公務機關保有個人資料檔案者，應採行適當之安全措施，防止個人資料被竊取、竄改、毀損、滅失或洩漏。中央目的事業主管機關得指定非公務機關訂定個人資料檔案安全維護計畫或業務終止後個人資料處理方法」。

換句話說，未來保有個人資料的企業、組織或團體，都可能要針對個人資料提出一份檔案安全的維護計畫，在這份計畫之中，除了可說明個人資料的保護措施和管理方法之外，萬一未來發生個人資料外洩的事件，這份計畫以及實施的相關記錄，很可能是作為組織已善盡管理人義務，用來免除過失賠償責任的重要證據之一。

當然，這份計劃的最終內容要求，仍須以中央目的事業主管機關所公布的為主，但是凡事有備則無患，我們可以參照過去針對金融業、保險業及證券暨期貨業所公布的個人資料檔案安全維護計畫標準，來制訂適合自己組織的內容，並依據這份計畫來加強個人資料的保護與管理。

確認個人資料保護範圍

在制訂個人資料檔案安全維護計畫之前，首先要確認的就是我們所要保護的範圍，畢竟組織的資源有限，我們不太可能一開始就投入龐大資源來實施全面性的安全防護，而是要先了解現況並定出範圍，這也是管理系統導入的重要步驟。

以資訊安全管理系統來說，範圍通常會鎖定在重要的業務流程與資訊系統，像是醫院的醫療資訊系統、製造業的研發生產管理系統、資訊服務業的客戶服務系統等。至於保護的對象則是資訊資產，一般會先將它進行分類，例如分成人員、資料、軟體、硬體及服務等，再依據資訊處理的作業流程去盤點所有資訊資產，分析其可能存在的安全風險，依照其風險高低進行排序，然後再選擇適當的控制措施來進行風險處理，將風險降低至可接受的程度。

所以，若今天導入的是個人資訊管理系統的話，我們鎖定的保護對象就是個人資料，範圍也會是和個人資料有關的業務流程。只是，個人資料涵蓋的範圍甚廣，對許多組織而言，不太容易一下子就區分並識別完成，建議可採取以下兩種方式來進行。

從個人資料本身著手 - 首先定義常見的個人資料類別，例如員工資料、客戶資料、廠商資料等，或是個人資料的細項，例如連絡資料、薪資資料、付款資料等，然後調查這些資料是透過哪些方式來蒐集和處理。例如個人資料可能是以電腦輸入、網站蒐集等自動化機器產生，或是透過人工紙本記錄等非自動化方式來獲得，在完成確認之後，這些和個人資料有關的活動與流程，就會是個人資料保護的範圍。

從業務作業流程著手 - 這個方法和上述的方法順序相反，也就是先從和個人資料有關的活動流程著手，了解組織透過哪些自動化和非自動化方式蒐集和處理資料，再來確認這些資料內容是否包含了個人資料，如果有的話，就要將這些流程和系統劃為個人資料保護的範圍之內。

個資檔案安全維護計畫內容

在確認個人資料的保護範圍之後，接下來就要針對這些個人資料檔案來制訂保護計畫，無論您所屬的行業類別或營運規模大小，在這些計畫之中，建議您務必要納入以下的事項。

指定專人管理 - 針對組織所持有的個人資料檔案，說明由誰來負責辦理安全維護事項，至少應指定一位專人來防止個人資料受到不當的侵害。這位個資管理代表需要有能力可以協調各個事業單位，以擬定出適當可行的個人資料的管理辦法，也就是說，需要對於資訊安全，無論在管理面、技術面、教育面都要有一定的認知，最好選擇已接受過資安專業訓練並持有相關的資訊安全證照的人選為佳。
建立稽核制度 - 應說明組織是否已建立了個人資料檔案的稽核制度，像是稽核人員應具有哪些能力、依據何種稽核標準、多久實施一次內部稽核，針對稽核結果是否定期召開管理審查會議，如何進行缺失的矯正和預防。
確保系統安全 - 說明存取個資系統的人員，是否具備唯一的識別碼(ID)，針對不同的職務角色，是否完成權限控管；存取個人資料的相關作業，像是個人資料的新增、異動、刪除、傳輸，是否留有記錄(Log)；應用系統程式的開發是否遵照安全的開發流程，上線前是否經過適當的安全審核程序等。
強化實體安全 - 和個資有關的資訊設備，若存放於電腦機房，應說明機房的門禁管理辦法，針對主機和儲存媒體，是否有良好的安全防護措施，例如場所已作好天然災害和意外災害的防護、備份媒體以防火或上鎖設備異地存放。
災害防護演練 - 萬一發生天然災害或個資損害事件，是否有個資事件應變處理作業辦法，內容應包括如何進行損害控制、系統備援、災害復原和通知當事人等，並定期實施模擬演練。若是人為惡意的損害，是否有保存證據、要求損害賠償的措施。
員工作業安全 - 在計畫中應說明和個資有關的作業人員，是否要求簽署保密切結書，針對個資作業的內容，是否已說明個資法相關的安全規定，在資訊安全防護方面，是否定期實施教育訓練等。

與資訊安全管理系統作結合

完成個人資料檔案安全維護計畫，只是個資防護的初步工作，重點還是在於能否依照這個計畫切實地來執行。根據個人的了解，個資法中所提到針對個資應採行適當的安全措施，不可單單只解讀為已採行相關的技術防護手段，或是添購了資訊安全產品，就可在個資損害事件中證明自己沒有過失責任，而是必須要納入管理系統中所謂的PDCA(Plan-Do-Check-Act)精神，讓個資防護在完整的管理制度之下，能夠實施運作，並且持續改善。

因此，如果組織已導入了資訊安全管理系統(ISMS)，它就可以提供在個人資料防護的重要基礎，只是在個人隱私防護方面，還需要再進行重點補強，礙於篇幅有限，只說明以下重點項目供作參考，包括：將個資保護納入資安政策、建立個人資料清冊、進行個資風險評鑑、選擇適當控制措施、定期進行個資稽核、持續檢討維護改進等。若能與現有的資安管理系統作結合，相信在個資防護方面，也就不必重頭再來，將可達到事半功倍的效果。

組織應自我檢視的個資問題

雖然個資法的施行細則尚在修訂之中，正式實施的日期也還未確認，但是從個資母法來看，它很明確地要求二件事 – 「個人隱私維護」和「個人資料保護」，讓很多事項已如箭在弦上，無論是公務機關或非公務機關，未來勢必都要依法實行，所以為了因應法規所帶來的風險，建議組織應該自我檢視以下問題：

• 您(組織)知不知道個資法的要求？
• 您(組織)是否已經指定專人負責個資事項？
• 組織負責個資蒐集、處理及利用的同仁，是否已具備必要的知識與技能？
• 您(組織)是否知道如何保護所持有的個人資料？
• 您(組織)是否有適當的程序，以符合告知的要求？
• 您(組織)是否有適當的程序，對持有的個人資料提供當事人請求和維護？

如果有任何一項問題，組織無法明確地加以回應，建議應及早尋求外部專家或顧問的協助，以因應未來個資法正式實施之後可能帶來的衝擊。(本文刊載於2010年9月號網管人雜誌)

[觀點] 個人隱私衝擊分析(PIA)之介紹

Sun, 17 Oct 2010 14:22:00 +0000

在個資法第一條提到，「為規範個人資料之蒐集、處理及利用，以避免人格權受侵害，並促進個人資料之合理利用，特制定本法。」其中隱私權就是重要的人格權之一，本文將說明何謂個人隱私衝擊分析(PIA)。

無論是公務機關或非公務機關的企業、法人和團體，為了因應未來新版個人資料保護法實施之後，針對個人資料保護的種種要求，許多組織已開始著手來準備，如果仔細地去探究個資法所涵蓋的精神與要求，就會發現其關注的焦點有兩個層面：首先是如何維護個人隱私，其次則是如何落實個人資料保護。

基本上，在個人隱私方面，我們可以透過建立個人資料蒐集、處理和利用的注意事項和作業規範，以確保個人隱私不會受到不當揭露；至於在個人資料保護方面，則可以透過資安技術的應用，降低資訊系統在處理個人資料的過程中，可能會受到入侵、竊取、竄改和干擾的風險，並且達到一定的資料存取防護強度。本期我們就先來探討維護個人隱私的一項重要工作，也就是進行個人隱私衝擊分析(Privacy Impact Assessment, PIA)。

個人隱私衝擊分析目的

在個人資訊管理標準BS 10012的「4.4 風險評鑑」內容中提到，「組織應實施一項流程以評估和處理個資相關人員的風險程度，這項評估也應包括委由其他組織所進行的個資處理，組織需管理由風險評估過程所識別出的任何風險，以降低不符合政策要求的可能。」

簡單來說，為了避免違反法規和政策的要求，我們應針對個資的蒐集、處理和利用的過程，所牽涉到的人員、技術、作業流程，找出其中可能隱含的資訊安全風險，以避免和個資有關的不當事件發生，這也就是所謂的個人資料風險評鑑，而其使用的風險評鑑方法，稱之為個人隱私衝擊分析(PIA)。

因此，個人隱私衝擊分析的目的，就是要協助組織確認在個人資料的蒐集、處理和利用的過程中，相關的資訊系統、控制技術、作業流程和管理政策，是否符合確保個人隱私的基本要求，進行識別並管理其中的風險，以避免不必要的損失和聲譽受損，達成法律法規的要求。

個人隱私衝擊分析方法

有關個人隱私衝擊分析的方法論，各國政府為了因應本身的個資法規要求，所以皆有不同的作法，其中較為知名的分別是由英國的資訊委員會辦公室(Information Commissioner’s Office)所提出的「The ICO PIA handbook」，以及加拿大財政部秘書處(Treasury Board of Canada Secretariat)所提出的「Privacy Impact Assessment Guidelines」。

英國的PIA流程比較完整複雜，它是先以範圍來選擇實施的內容，主要分為全範圍PIA、小範圍PIA、隱私法和其他法規符合確認、個資法法規符合確認等四項，其中全範圍和小範圍PIA的進行再區分為五個階段，分別是：初始階段(Preliminary phase)、準備階段(Preparation phase)、諮詢和分析階段(Consultation and analysis phase)、文件化階段(Documentation phase)、審查與稽核階段(Review and audit phase)。

加拿大則是使用比較簡易清楚且近似風險管理的作法，其中包括了計畫、分析和教育訓練活動，主要分為四項流程來進行，但無論是英國還是加拿大，其共同點為皆是採用問卷方式來進行分析。

個人隱私衝擊分析流程

實施個人隱私衝擊分析，能夠有效識別出在其他管理層次下看不到的個資風險，藉由訪談相關人員的過程，可以改善與個資有關的政策、系統設計、採購決策及作業流程。以下以加拿大的PIA作法為例，說明實施個人隱私衝擊分析的流程。

步驟1：專案啟動(Project Initiation)

PIA的第一步是決定要實施的範圍和採用的工具，在初期組織若是對於個人隱私風險還不是那麼清楚，決定是否要實施PIA也還有雜音的時候，建議可以先做一次初始需求評鑑(Preliminary PIA)，藉由審查相關的政策和指導原則，以及可使用的資源與技能，並獲得外部像是隱私權、法規和技術等專家的建議之後，再正式的來實施全範圍的PIA。

步驟2：資料流分析(Data Flow Analysis)

在這個階段需要去描述和分析組織目前的業務流程架構，以便在工作計畫書中清楚的描述個人資料流的現況。基本上，任何的業務活動都會牽涉到資訊的管理，並且包括四項元素，分別為：資訊收集、交易流程、交易結果和以上三者所留下的記錄。在資料流分析過程中，至少要識別出業務流程主要的元件，例如人員、設備等，以及個人資料如何透過業務流程被蒐集、處理、利用、揭露和保存，建議以清楚易懂的圖形來呈現彼此的關聯，而以表格方式(如表1)來呈現單一資料或群組的現況。

表1：個人資料清單

個人隱私分析是要去檢查在個人資料流中，是否適用於個人隱私政策和法規要求，這部份可透過問卷與檢查表的使用，來識別主要的個資風險或是相關的弱點，其結果將作為個人隱私衝擊分析報告的基礎。至於問卷內容則可參考所在地法令或主管機關要求，以設計出可明確分辨現行流程是否符合法令要求的內容，如表2所示，問卷內容包含了一系列問題和是與否的選項，其中「細節描述」的欄位是用來解釋特定的要求符合或不符合的原因，以作為主管機關的參考，而每一階段的最後則提供「討論重點」，以記錄過程中重要的事項。

步驟3：個人隱私分析(Privacy Analysis)

表2：PIA問卷範例

步驟4：個人隱私衝擊分析報告(Privacy Impact Analysis Report)

藉由上述所採取的步驟，最終將會產生在PIA之中最重要的個人隱私衝擊分析報告，在這份文件中將呈現目前隱含個資風險的結果，也會作為後續決定降低或消除風險的控制措施的重要參考依據，同時它也會是和組織利害關係人溝通的重要工具。

個人資料安全實務建議

整體而言，組織可以藉由導入個人資訊管理制度(PIMS)，來達到個資法要求的個人隱私維護和個人資料保護兩個目標，在實務方面建議分為以下三步驟來進行：

第一步，請務必逐條了解法令之要求，並建立個人資料保護所需的基礎知識。實務作法為可邀請和個人資料蒐集、處理和利用有關的各部門相關人員，透過專家講座、教育訓練等方式，來協助員工獲得個資保護所需的認知與技能，並且清楚了解個人職務所扮演的角色和應盡的義務。

第二步，建立組織的個人資料管理制度，可參考BS 10012個人資訊管理系統標準內容，並依據個人資料保護的八大原則，檢視組織目前所蒐集、處理和利用的個資現況，並進行這些活動的風險評鑑，透過個人隱私衝擊分析(PIA)的方法，來評估與個資有關的風險。

第三步，落實個人資料保護機制，可配合管理制度的要求，在作業流程上部署個資或資訊安全防護技術，例如資料加密、身分驗證、資料庫稽核、資料外洩防護(DLP)、網路存取控制(NAC)等方案，協助控管個資處理流程中可能產生的安全風險。(本文刊載於2010年8月號網管人雜誌)

[觀點] 以PCI DSS檢測個資防護安全

Tue, 31 Aug 2010 02:16:00 +0000

最近，許多朋友和我聊到新版個人資料保護法(以下簡稱個資法)的議題，對於法條的內容要求都存有一些疑義，尤其是面對未來可能的罰責，以及針對個資保護實施的應有作為，皆感到茫然而不知所措。

雖然，目前僅通過個資法的母法，施行細則還在修訂之中，預計最快一年至一年半的時間才會公布，但若是等到實施之後才來因應，恐怕為時已晚，因此在新法尚未實施之前，組織的因應做法，建議可分成以下三階段來進行：

實施教育訓練：組織應邀請所有和個資有關的人員，例如人事、法務、行銷、客服、資訊等單位，進行個資保護教育訓練，實施的內容包括了個資法的法條內容逐一討論，了解個資蒐集、處理、利用應注意事項，以及個資保護的資安控制措施等，讓大家清楚明白法律的要求，才可準備相關的因應作為。
評估技術防護：組織應執行一次完整的資安體檢，尤其是個資所在的位置，例如實體環境的文件櫃、檔案室、辦公處所、機房等，還有資訊設備像是資料庫、應用系統、儲存媒體及網路設備等，針對個資的存取、傳輸、儲存、銷毀方式，逐一進行清查確認，這方面可參考以下的支付卡行業資料安全標準(PCI DSS)要求來進行。
導入管理系統：若組織已經導入資訊安全管理系統(ISMS)，並且已取得ISO 27001的認證，那麼就可以將個資保護納入現行管理制度的範圍，並針對各項需識別的個人資料，增設個資資產清冊、或是進行個資風險評鑑與處理等。若是沒有導入ISMS的組織，則可以參考之前所提到的BS 10012標準，導入個人資訊管理系統(PIMS)，藉由管理系統的文件化與PDCA的持續改善要求，來確保和個資有關的作業流程，均受到妥善的監控與保護。

PCI DSS的資料安全評估

PCI DSS是由American Express、DFS、JCB、MasterCard、Visa等五家知名的電子付款與信用卡業者所共同組成的PCI Security Standards Council所制定，要求所有提供信用卡服務的商店和相關業者，在儲存、處理與傳遞持卡人資料時，必須要有符合標準要求的安全控制措施。此一提供給全球產業共同遵守的資料安全標準，雖然是用來保護信用卡持卡人的資料，但其主要目的就是為了要保護個人敏感資訊，以確保交易的安全。因此，對於想要保護個資的企業，若是能夠參考PCI DSS中所明訂的12項要求作為個資保護的安全基礎，並且將這些要求融入和個資安全有關的評估之中，藉由自我檢視這12項要求，將可協助組織了解現有的資料保護安全現況。

要求1：安裝並維護良好的防火牆配置以保護個人資料
首先，組織必須要建立防火牆的安全配置，項目包括防火牆的規劃拓樸圖、防火牆規則的設定說明，以及DMZ區中的安全設定與網段區隔。基本上，除了必要的網路協定之外，其它不必要的網路服務與通訊埠皆不應對外開放，而且只要是儲存含有個人資料的系統，它和公用伺服器之間的任何連線，都要建立防火牆來加以區隔，同時也藉由實施IP偽裝的機制(NAT)，來避免內部主機位址暴露在網際網路上，以限制任何儲存敏感資訊的系統可以被外部公開地存取。

要求2：管理密碼和其他安全參數不使用設備出廠的預設值
若是透過外包的設備供應商來安裝各式系統和網路元件，例如防火牆、路由器、無線網路基地台等，應該修改系統管理的預設值，並針對所有的管理連線進行加密，以避免駭客直接以系統預設帳號及密碼，繞過防線直接侵入到系統之中。另外，若是自行開發各項擴充的系統元件，應採取業界建議的安全開發配置標準。

要求3：必須妥善保護所儲存的個人資料
針對組織所儲存的個人資料，業者應該秉持保留最少數據的原則，並且制定一個資料處理與儲存程序來做好個人資料的控管。例如，若需要顯示當事人主要帳戶資料時，應採用前六或後四碼的隱蔽措施，如果需要將主要帳戶資料儲存的話，也需要採取加密方式來確保資料不會任意被讀取。在實施了加密之後，用來加密持卡人的金鑰就成為重要關鍵，所以還要制定金鑰的管理流程和程序，來確保金鑰不會遭到洩露和濫用。

要求4：對透過公共網路所傳送的個人資料進行加密
若是個人資料需要透過公共網路來傳送，務必要採用強度難以破解的加密演算法和安全協定，以避免資料在傳遞的過程中遭到破解與竄改。因此，提供服務的網站必須提供SSL/TLS或IPSec等安全傳輸協定，針對所傳輸的資料進行加密。

要求5：安裝防毒軟體並定期更新主程式和病毒碼
所有和個人資料有關的系統，都應該要安裝防毒軟體，並且經常更新病毒碼，在防毒軟體的選擇上，建議最好同時具備防木馬與間諜程式的偵測功能。另外，更要確保所有的防毒措施都能夠及時更新，並且產生可供日後稽核的事件日誌。

要求6：開發與維護安全的系統和應用程式
網站的主機系統和應用程式，應該在供應商發佈修補檔的一個月內進行安裝更新，管理者可以採用訂閱方式來接收最新發現的安全弱點。若是自行開發的應用程式，應採行業界的最佳實務如Security Development Life Cycle(SDLC)，將資訊安全與整個軟體開發生命週期相結合，同時要基於安全的程式編碼原則，以確保所有應用程式不會存在已知的安全弱點，還能抵禦已知的惡意攻擊。如果系統和軟體的配置需要更新或修改的話，也要事先取得管理階層的授權，依照所制定的變更控制程序來進行。

要求7：只有具備業務需求的人才可存取個人資料
在存取控制措施方面，只能允許工作職務上有需要的人員，才能存取電腦上和個人有關資訊，也就是要依據僅知原則(need to know)，避免不相干的人員接觸到個人資料，也就是說除非已獲得管理階層授權許可，否則應該拒絕所有的存取行為。

要求8：賦予擁有資訊存取權限的使用者唯一的識別帳號
針對擁有個資存取權限的使用者，必須給予一個唯一的ID，才能允許其存取和個人有關的資料，這樣做的目的在於一旦發生資安事件，才可進行追溯和釐清相關責任。對於採用遠端存取的員工或第三方合作廠商，則採取雙因素身份認證機制，也就是除了使用帳號和密碼來驗證之外，還需要使用如Token、憑證、或生物特徵(指紋)等方式來識別連線的使用者。PCI DSS要求，只要是系統中所需使用的密碼，無論是儲存或傳輸，進行加密是必要的安全措施。

要求9：限制對個人資料的實體存取
針對個人資料的實體存取行為，必須採用監視系統和門禁管理等適當的控制措施，而針對所有包含個資的紙類或電子媒體，都應存放在安全的地點，並採行實體安全保護，無論是內部或外部，含有個人的資料都應該限制發送，而且儲存個資的媒體在離開安全區域之前，也都需要經過管理階層的核准才能放行。一旦含有個資的媒體不再需要保留時，也要按照一定的安全程序進行徹底銷毀。另外，為確保對所有訪客都能被有效管理，可採用訪客識別證或通行卡，在訪客來訪期間的日誌記錄，至少需要保存三個月以上，以確保訪客的活動能夠被稽核。

要求10：追蹤並監控存取各項網路資源和持卡人資料的過程
對於和個人資料有關的所有存取行為，必須建立一個識別程序，來記錄追蹤存取事件，所記錄的內容應包括使用者ID、事件類型、日期時間、成功或失敗、事件來源、受影響的資料、系統元件或資源的ID或名稱。對於這些事件，管理者應定期進行審查，並且妥善保護稽核軌跡以防止日誌遭到竄改，所有的稽核記錄應至少保持一年。

要求11：定期測試系統安全與程序
針對各項資安控制措施，每年應定期實施測試，以確保控制的有效性，每季也至少進行一次內部和外部的網路弱點掃瞄，尤其是在網路發生重大變更之後也要執行一次。而針對可疑的入侵事件，應建立警示和通報的機制，一旦發現網路或主機遭到入侵，或是關鍵系統或檔案受到非授權的更改，都要能夠及時通報相關的人員。

要求12：建立並維護資訊安全政策
組織應建立、發布、維護和宣導一項資訊安全政策，並確保所有員工和合作夥伴，都能明瞭相關的資訊安全責任。在人員管理方面，對於欲聘雇的員工應進行背景的查核，對新進員工則實施有關資訊安全的認知宣導，使所有員工都能了解保護個資的重要性，藉此將來自內部的資料外洩風險降至最低。如果不幸發生了資料外洩事件，組織應依照事先建立的事件回應計劃來處理，而針對所有合作的供應商，在合約中也應清楚註明各項安全要求。

以上，是PCI DSS對於資料保護的安全要求，組織可藉此來一一加以審查檢視，就可找出目前個資防護的不足之處，然後強化安全控制措施。(本文刊載於2010年7月號網管人雜誌)

[觀點] 面對新版個資法的因應之道

Mon, 12 Jul 2010 07:57:00 +0000

隨著新版個資法正式的三讀通過，對於存在於各行各業且為數眾多的個人資料，總算有了保護的法源依據，對於公務機關和企業組織而言，未來若沒有落實個資保護，很可能就會面臨難以負擔的刑事責任和行政處罰。

延宕多年的電腦處理個人資料保護法修正案，總算在今年4月27日順利三讀通過，除了將名稱正式更改為「個人資料保護法」，在法條內容方面也做了一些修訂。尤其在二讀時，針對新聞報導自由的部份，在過程中引起了社會關注與媒體的討論，因此對於媒體報導的內容，是否需要事先取得當事人的同意，還有在Facebook上面分享拍攝的照片，會不會有洩露個資之虞，也作了適當的澄清，以避免民眾誤觸法網。

個資法修正前後的差異

過去在1995年公佈實施的電腦處理個人資料保護法，主要是參照經濟合作發展組織(OECD)所提出的個人資料保護八大原則，也就是要求限制蒐集、資料正確完整、具明確目的、限制利用、安全保護、公開、個人參與及責任義務等原則，以避免個人人格權受到侵害，或是個資遭到不當利用。

當初，因考慮此法頒布實行之後，將會對民間業者衝擊過大，所以將適用範圍限縮在只經電腦處理的資料，適用行業除了公務機關之外，僅有特定的八大行業(徵信業、醫院、學校、電信業、金融業、證券業、保險業、大眾傳播業)受到規範，後來，雖然也陸續透過指定方式，將期貨業、百貨公司、零售業、不動產仲介經紀業、人力銀行等九個行業納入適法範圍，但還是有許多會蒐集、處理、利用個資的企業和團體不在此法律適用範圍內，仍然有不夠完善之處。

新版個資法的修正原則，參照了亞太經濟合作論壇(APEC)隱私保護綱領，將取得個資的事先告知、蒐集限制和預防損害，納入個資保護的規範之內，並且要求各事業主管機關需要負起監督之責，以防範個人資料的不當使用與外洩，其修正重點與前後的主要差異如下：

資料類型與保護範圍擴大 - 電腦處理個人資料保護法的保護客體為經過電腦處理的資料，新法則擴大為不管是電腦處理或人工紙本的資料，統統都受到法律規範。至於適用的行業，過去只有公務機關及八大行業受到法令要求，新版個資法則包括所有個人、法人團體、一般企業等(第2條)，只要擁有個人資料的單位和組織，一律都要遵守個資法的規範。
刑責加重和罰責提高 - 過去若是發生個資外洩事件，民事損害賠償的總額上限為2千萬元，新法則提高至2億元，若被害人不易或不能證明實際損害的金額時，可以請求法院依照受害的情節以5百元以上2萬元以下來計算(第28條)，同時為了方便受害者提出救濟賠償，新法還增加了團體訴訟機制，可透過眾人的力量來集體控訴(第34條)。至於刑事責任方面，若是犯罪人意圖將個資用於營利行為，則可能受到5年以下有期徒刑，併科1百萬元以下罰金，並且被提起公訴(第42條)。
個資蒐集限制與告知義務 - 新法中要求若是有關醫療、基因、性生活、健康檢查及犯罪前科等特種個資，必須在符合法律明文規定的嚴格要件下，才能進行蒐集、處理和利用(第6條)。未來無論是直接或間接地蒐集個資，都必須要盡到對當事人的告知義務(第8條)，也就是要說明蒐集的目的和利用的方式，若是個資遭到不當外洩，資料保有者也必須依法查明後盡快通知當事人，以避免災害的擴大。
個人隱私與新聞自由的兼顧 - 新法二讀之後，在媒體上引起了一陣抗議波瀾，原因是個資法對於隱私的保護太過，若報導時都要對當事人告知並取得同意，在實務方面將會引起爭議與困難。因此在三讀時，為了基於對新聞自由的尊重，特別說明對於大眾傳播業者在進行新聞報導時，若基於「公益目的」(第9條)，則可免為告知當事人，若是和公共利益有關或個資來自於一般可得之來源，也可以進行蒐集或處理。
網路使用個資行為之澄清 - 民眾在部落格或facebook張貼與他人合影的照片，若是屬於單純個人或是家庭生活的目的，則可適用第51條的排除規定。若是蒐集、分享沒有和其他資料結合而可識別出特定個人的影音資料，只要是基於便利性及合照本身的合法使用目的相當明確，也可排除在法規之外。至於人肉搜索的行為，若是屬於公共利益或取自於一般可得之來源，也屬於個資法主張的合理使用範圍內。

個資法重點條文之解讀

新版個資法全文分為六章共56條條款，第一章為總則(第1~14條)，第二章為公務機關對個人資料之蒐集、處理及利用(第15~18條)，第三章為非公務機關對個人資料之蒐集、處理及利用(第19~27條)，第四章為損害賠償及團體訴訟(第28~40條)，第五章為罰則(第41~50條)，第六章為附則(第51~56條)。

關於新法修訂的目的，在第一章第一條開宗明義即提到「為規範個人資料之蒐集、處理及利用，以避免人格權受侵害，並促進個人資料之合理利用，特制定本法。」至於個人資料涵蓋的範圍，第二條明確指出個人資料是「指自然人之姓名、出生年月日、國民身分證統一編號、護照號碼、特徵、指紋、婚姻、家庭、教育、職業、病歷、醫療、基因、性生活、健康檢查、犯罪前科、聯絡方式、財務情況、社會活動及其他得以直接或間接方式識別該個人之資料。」

其中有關個人之醫療、基因、性生活、健康檢查、犯罪前科等，必須在法律明文規定之下，或是公務機關執法或非公務機關履行法定義務，並有適當的安全保護措施下才可進行，若是公務機關或學術研究機構為了醫療、衛生或犯罪預防的目的，也必須經過一定之程序才能蒐集、處理或利用個人資料作為統計或學術研究之用。

個資法實施之後的衝擊

對公務機關而言，在新版個資法實施之後，有許多和過去不同的要求，包括必須要將個人資料保有的依據和特定目的、檔案名稱和類別、機關名稱和聯絡方式公布在網站上(第17條)，換句話說，相關單位如何進行個資的清查和制訂公布的程序，就顯得十分重要。

另外，保有個人資料檔案的公務機關，必須要指定專人來負責個資安全維護事項，以防止個資受到竊取、竄改、毀損或洩漏(第18條)，也就是說，這位專人勢必要對資安防護具有相當的專業知識，才足以擔負起個資維護的重責大任，這對於某些資安專才不足的單位，恐怕也需要一番的規劃與考量，才可推派出適當人選。

對於非公務機關來說，尤其是不屬於舊法適用的企業，由於以往從未受到要求，恐怕在個資相關的作業流程和維護方式，往往是聊備一格的，所以特別需要熟悉新法中的種種要求。例如新法中提到，非公務機關利用個資進行首次行銷時，應提供當事人表示拒絕接受行銷之方式，若當事人表示拒絕接受行銷時，就要停止利用其個人資料來進行行銷活動(第20條)。

新法第27條則要求，「非公務機關保有個人資料檔案者，應採行適當之安全措施，防止個人資料被竊取、竄改、毀損、滅失或洩漏。」也就是說企業必須要制訂「個資安全維護計畫」，並且說明業務終止後個人資料的處理方法。未來若是其事業所屬的主管機關或縣市政府，接受檢舉或認為該企業有違反個資法之虞時，可以依照法定程序派員進行檢查，要求相關人員進行必要的說明配合，並提出已盡到個資保護的相關佐證資料(第22條)。若是有違反個資法行為而遭糾舉且屆期未改正者，將會按次處以2萬元以上，20萬元以下的罰鍰(第48條)。

此外，如果發現企業有違法的情形，將會公布違反人員之姓名和負責人(第25條)，若是導致個人資料遭到不法蒐集、處理、利用或其他侵害當事人權利者，還要負起損害賠償責任(第29條)。當然，如果企業能夠自行舉證並證明無故意或過失的責任，則不在此限，但這也就表示，企業若缺少適當的管理制度和表單記錄，要舉證恐怕不是一件容易的事。

請提早因應並做好準備

雖然，目前新版個資法的施行細則尚未完成，還須等待法務部參考多方意見來制訂並進行審查，預估最快也要到明年才會公布實施，因此對於公務機關和一般企業組織，還有一些因應的準備時間，但在此還是要提醒眾多單位主管及企業負責人，個資保護已有如箭在弦上，不得不發，所以提早因應做好準備，才是最佳的應對之道。

如果還不清楚該從何著手，建議先將法條內容瀏覽一遍，明瞭所處單位所受的規範要求，這是初步且必要的工作，然後去清查目前所保有的個資內容與評估其可能的安全風險，接著還需要針對個資蒐集、處理、利用的各個階段，將相關人員應扮演的角色責任明訂清楚，日後一旦施行細則公布之後，就可以參照必要的規範來運作，相信就能大幅降低觸犯法規的風險。(本文刊載於2010年6月號網管人雜誌)

[觀點] 小心殭屍網路對企業造成的衝擊

Tue, 29 Jun 2010 09:46:00 +0000

殭屍網路(Botnet)在資安業界，已經是受到關注與研究的議題之一，對於網路服務業者來說，更是避之唯恐不及的對象，但對於一般企業而言，或許它對自己的危害並沒有十分明顯，也就使得管理人員容易忽略這個可大可小的資安威脅。

過去曾經遇見一位朋友，自認為在他的產業裡，公司只是個毫不起眼的中小企業，並沒有太多商業機密或有價值的資訊值得惡意人士來入侵，因此對於媒體不斷披露的資安事件，往往認為是過於誇大而一笑置之，更不願意花一些時間來檢視組織是否存有資安的問題。

其實以往我也同意，如果組織內並沒有太多具有價值的資訊，的確很少有機會去引來惡意人士的覬覦，因此也會建議中小企業，在做風險評估與風險處理時，不需要花五塊錢去保護只有二塊錢價值的東西。但是，價值這件事其實是很難在當下就立刻判定的，尤其是對於資訊資產，並不能用傳統資產的概念來予以估價，而是必須更深遠地去思考在資安事件的背後，可能對企業造成的衝擊，以及有形與無形的損失。

看出攻擊背後的意義

有一個觀念我們需要轉變，那就是今日許多的資安攻擊事件，主要目的已不單單只是想要取得組織內部的資訊，而是還要將組織當作是一個跳板，作為入侵他人的管道，或是當作散布惡意訊息和發動攻擊的替身。

所謂「道高一尺、魔高一丈」，全球各地的執法機關會利用資訊科技來預防和阻止犯罪，惡意人士也會費盡心思來運用資訊技術，以便隱藏自己的犯罪軌跡，所以現在許多的攻擊行為都是採取分散式，並且採取不易被發覺且成功機會較高的手法來避免遭到追查，這也是今日殭屍網路會受到惡意人士青睞的原因。

殭屍網路的運作機制並不複雜，惡意人士(botherder)可透過木馬程式(bot)來操控組織受感染的殭屍電腦(bot client)，這些電腦在平時可能不會有任何攻擊行為，而且透過變形和自我隱藏，也不太會被防毒軟體偵測到。一旦惡意人士想要發動攻擊時，只要下達一個指令給中繼站(command & control server)，再透過中繼站來呼叫殭屍電腦，就可組成為數眾多的殭屍網路，針對特定目標發動攻擊。

殭屍網路的攻擊方式，除了最常見的阻斷服務(DoS)之外，也可以利用它們來散布垃圾訊息與郵件(spam)，所以今日的企業組織，除了要擔心自己會成為被攻擊的對象之外，更要思考自己是否會成為攻擊別人的犯罪工具與代罪羔羊。

殭屍網路的發展現況

根據CSI電腦安全協會2009年電腦犯罪與安全調查報告顯示，在443位來自美國政府機關、金融、學術、企業、醫療等組織的安全專家，在過去一年所處理的資安事件中，近六成是和惡意程式有關，也有二成是直接和殭屍電腦有關的資安事件，他們預期在2010年的情況將會更加嚴重。至於賽門鐵克的網路安全威脅報告則指出，亞太地區擁有最多殭屍電腦的城市就是台北，數量約有18萬7千台。

其實bot並非天生就是壞人，運用bot概念來進行網路資料的蒐集與搜尋，已是目前相當成熟的應用，只是到了後來，慢慢有人往偏的方向走，像是透過它來進行網路訂票，搶購熱門的運動賽事或演唱會門票，之前再轉手售出來賺取價差，或是利用它來廣泛寄送行銷資訊，形成大量的垃圾郵件而造成資源浪費，則是比較不可取的作法之一。

尤其是垃圾郵件的寄送，目前已經形成了龐大的地下商機，具估計世界上有8成左右的垃圾郵件，都是藉由殭屍網路來發送，雖然各家資安廠商開發出各種不同的郵件過濾機制，主動封鎖主要的垃圾郵件發送網址名稱，但仍無法很有效地減少垃圾郵件的侵襲。

目前殭屍網路已發展出一項更新的技術，稱之為fast-flux，簡單的說，這項技術可以讓殭屍網路的操控者，持續不斷地去註冊和取消節點的網域名稱，使得透過IP網址來封鎖及識別垃圾郵件的方法，已經不再那麼地有效。

fast-flux從2006年出現至今，已成為網址名稱管理單位一個頭痛的問題，除了會影響網址名稱解析服務的運作之外，更讓殭屍網路變得難以偵測，惡意人士甚至把殭屍網路變成一種出租服務，只要願意付出一些費用，就可以利用它來達到非法目的，更讓整個犯罪行為就像船過水無痕一樣難以追查。

認識知名的殭屍家族

談到殭屍網路，許多人以為它只是單一的威脅，事實上殭屍網路是由許多不同功能的惡意程式所組成，其攻擊手法也有一些不同的差異存在，以下為幾個重大且常見的殭屍網路說明：

PushDo

PushDo是全球第二大的垃圾訊息殭屍網路，出現於2007年1月，許多人對它感到陌生的原因是，它善於利用不同的技術來隱藏自己，除了能在世界各地持續不斷地發送垃圾訊息之外，也能利用相同管理來散布惡意程式。當然，阻斷服務攻擊也是它的工作之一，最近的行為特徵則是針對網站發出SSL要求，然後不予以回應，使得原本使用率不高的網站突然流量暴增，進而造成網站無法提供正常的瀏覽服務。

ZeuS(Knebar)

ZeuS是一個老牌的駭客工具包，包括了像是木馬、通訊埠掃瞄等工具，透過不同攻擊工具的運用，讓它不容易被一網打盡而得以存活。目前由ZeuS所組合而成的Knebar殭屍網路，特色是能夠運用多重的中繼站，一旦某個中繼站被封鎖，可以快速地切換到另一個來重新啟動，惡意程式本身也能不斷變種，換句話說，這是一個具有備援機制的殭屍網路，是相當難纏的對手。

Mariposa

Mariposa是西班牙語「蝴蝶」的意思，背後控制它的犯罪集團，曾經讓世界190個國家，超過1300萬台電腦染上惡意程式，透過木馬來竊取包括使用者帳號密碼、信用卡號等有價值的資訊。另外，它也能利用IE瀏覽器的漏洞和USB隨身碟來散布，側錄使用者的登入資訊，再偷偷回傳給中繼站，最後回到犯罪集團的手中。

Waledac

Waledac的專長是發送垃圾郵件，也就是一個典型的spambot，它是由全球數十萬台已被感染的電腦，所串聯起來的殭屍網路，每天可發出高達15億封的郵件。根據微軟hotmail的統計，在短短不到二十天的時間，它就針對hotmail的使用者，發送了大約6.5億封的垃圾郵件，除了浪費使用者的時間之外，許多垃圾郵件也會趁機夾帶惡意程式，伺機進駐到企業內部之中。

Torpig

它最擅長的是收集個人資訊，曾經創下在十天內感染了18萬台電腦，獲取高達70G的使用者資訊，其中包括不同金融機構的帳號、使用者身分資料、信用卡號碼、電子郵件帳號等。Torpig運用了fast-flux技術，使得它的傳播途徑難以完全封鎖，反向追蹤也變得十分困難。

Koobface

Koobface是個不斷進化的殭屍網路，一開始是利用散布惡意聯結，來誘騙使用者下載假的YouTube影片解碼器，藉此來感染使用者的電腦。如今則是搭上facebook的熱潮，它有能力去假造一個facebook使用者帳號，並且通過Gmail的帳號認證，然後建立起個人的檔案頁面，同時加入一些個人檔案和照片，目的是偽裝成一個正常的使用者，再大量去送出交友要求，並在塗鴉牆上張貼惡意的訊息。

如何因應殭屍網路威脅

對於企業來說，要防範殭屍網路的威脅可以從二個層面來看，首先是思考如何避免被害(避免遭到阻斷服務攻擊)，其次則是如何避免去危害他人(被感染成為殭屍電腦)。

關於第一個層面，有些廠商會建議添購專門阻擋殭屍網路的高效能網路設備，但是若遇到大量來自世界各地的分散式阻斷攻擊，這時候就需要ISP業者的支援聯防，所以在事前我們應該要做的，就是去了解ISP業者能提供的協助有哪些，包括緊急聯絡方式、處理流程、所需處理時間等，建議在服務合約中就明訂清楚，這對於企業將會是個保障。

至於要如何避免成為殭屍網路的幫手，由於目前殭屍網路惡意程式通常來自於網路下載和電子郵件，所以教育訓練會是一個好的開始，管理人員需要制訂清楚的網路使用政策，並且讓員工明瞭後果的嚴重性，以避免誤入社交工程的陷阱。

當然，光是教育訓練是不夠的，找到對的技術也很重要，建議管理者可評估適合的閘道端網路內容過濾方案，藉由掃瞄網頁內容和郵件附件，在惡意程式還沒有抵達內部之前就加以阻擋，同時也可阻止殭屍網路和中繼站連絡的phone home行為。

最後在管理方面，成立一個資安事件應變小組是有必要的，唯有透過專責人員對於資安問題有更深一層的了解，預先擬定適當的應變措施，才可避免在事件發生時手忙腳亂，導致錯過了最佳的處理時間，進而造成企業更多的損失。(本文刊載於2010年5月號網管人雜誌)

[新聞] 6個確保iPhone資訊安全的小秘訣

Fri, 25 Jun 2010 05:14:00 +0000

最近在捷運上、咖啡館、高鐵站，到處都可以看到有人拿著iPhone用手指邊滑邊偷笑，iPhone的好玩與熱賣，好像已經變成國民機種了，但是它有可能帶來的資訊安全問題，您了解嗎？

如果您擔心iPhone的安全問題，CIO.com在二年前曾發表一篇有關iPhone安全的文章，如今仍然是相當實用，在此分享給同樣擁有iPhone的朋友囉~

密訣1：啟動自動鎖定功能

iPhone最基本的安全功能之一就是「自動鎖定」，可以讓您的iPhone在未使用一段時間之後，將觸控螢幕上鎖，這是預設就會啟動的功能，您可以到「設定」-「一般」-「自動鎖定」這邊自己修改上鎖的時間(1~5分鐘)，雖然這還談不上是一項安全的功能，但搭配以下的密碼鎖定功能來使用，就可以強化iPhone的安全。

密訣2：啟動密碼鎖定功能

相信使用iPhone的人，大多都會在iPhone上儲存跟個人有關的資料，包括像是email、通訊錄、親朋好友的照片，以及許多下載的Apps，如果萬一有天不小心遺失了iPhone，您會不會擔心個人隱私會就此曝光呢？

如果是商務人士，建議您可以搭配Apple MobileMe或電信業者的遠端資料刪除服務，但若是一般普羅大眾，其實也有一些簡單的保護措施，像是「密碼鎖定」，它可以讓iPhone在未使用一段時間之後，就會自動上鎖，需要輸入密碼才可使用。

要啟用這項功能，您需要點按「設定」- 「一般」- 「密碼鎖定」，再輸入四位數的密碼，然後您可以選擇需要密碼的時間(一般建議是5分鐘)。請注意，在設定密碼時請勿使用懶人密碼(例如：1234、0000)，設定密碼之後也請務必記住或保存好您的密碼。

如果擔心有人會以猜密碼方式進行破解，還可以啟動「清除資料」功能，這樣若是有人連續輸入了10次錯誤的密碼，iPhone上的所有資料將會被清除，以確保個人資料的安全。

或許您會有一個疑問，若是iPhone被小朋友拿去玩而不小心點按，或是朋友惡作劇，故意連續在iPhone上按錯10次密碼，那該怎麼辦？

別擔心，若是按錯了6次密碼之後，iPhone就會鎖定要在1分鐘之後才可再輸入，若還是按錯，則鎖定在5分鐘之後才可再次輸入，以此類推所延長的輸入時間，至少要花1小時以上才會到達錯誤10次。

如果最後慘劇還是發生了，若是您平常使用iTunes和電腦同步，並且有自動備份資料的話，那麼還是可以透過電腦同步將資料還原回來的喔。

密訣3：使用安全的Wi-Fi無線網路

iPhone使用Wi-Fi無線網路，在瀏覽網站和收發e-mail上可說是相當快速方便，但要提醒您的是，若您使用的是家用無線網路基地台，最好啟動WPA的加密功能，然後當您的iPhone要進行Wi-Fi網路連線時，就會出現輸入密碼的要求，在完成輸入之後，您的iPhone就處於加密的連線狀態，可以放心使用各項網路服務了。

另外，為了確保不會不一小心連上了不安全的無線網路，請記得啟動iPhone上「詢問是否加入網路」的設定，請到「設定」-「Wi-Fi」頁面，然後將它啟動，這樣的話，在無線網路連線之前，iPhone都會提醒您，確認之後才會進行連線，當然，若平時不使用時，建議您將Wi-Fi關閉，就會更加安全了。

密訣4：強化存取郵件的安全

如果您在iPhone上使用mail的話，記得啟動SSL加密功能，以確保傳輸時的安全，以使用Gmail為例，你可以到「設定」-「電子郵件/聯絡資訊/行事曆」，然後點選您使用的郵件帳號，接著可以點選「進階」，然後捲動到「使用SSL」將它啟動就可以了。

當然，你也可以透過iPhone上的Safari來存取郵件，請記得確認網址是否有「https」，並出現鎖頭的符號，這樣才是處於安全的SSL連線狀態喔。

密訣5：確認Safari的安全設定

如果您使用iPhone來上網，那麼一般瀏覽網站會遇到的安全問題，像是廣告視窗、詐騙網站，也同樣會發生，因此，請您確認Safari的安全設定是否都有啟動，以保障您上網的安全。

請到iPhone上的「設定」-「Safari」的頁面，確認「詐騙警告」、「阻擋彈出式視窗」等功能是否都有啟動，另外，網站上常用的cookie，是用來記錄您的瀏覽和連線認證等記錄，如果您想進一步確保個人隱私，在「接受Cookie」設定上，您可以選擇「永不接受」，以避免網站在您的手機上儲存Cookie。不過，有些網站若不啟動Cookier功能，可能會造成瀏覽上的問題，請您自行斟酌使用囉。

密訣6：啟動取用限制

如果是公司配發的iPhone(有這麼好的公司嗎？)，或是父母給小朋友使用的iPhone，為了避免使用上可能會造成的問題，像是上班都用iPhone在上網、看YouTube、用iTunes傳送音樂、用相機偷拍公司機密等，或是擔心小朋友安裝了其他應用程式，在iPhone上可以設定「啟用取用限制」，以限制一些應用。

請到「設定」-「一般」-「取用限制」，即可在此設定密碼，以允許或限制一些功能的使用。

參考資料：Six Essential Apple iPhone Security Tips

[Q&A] 什麼是 SAS 70？

Thu, 24 Jun 2010 05:20:00 +0000

SAS 70全名為The Statement on Auditing Standards No.70，它是由美國認證會計師協會(AICPA)所發展，並被國際所認可的稽核標準，主要實施對象為金融服務機構和提供資訊服務的組織。透過第三方以SAS70為準則的公正稽核過程，可以驗證受稽核的服務組織已具備並實施有效的內部控制。

SAS70的稽核類型分為兩種：Type I和Type II，兩者皆會產出一份稽核報告。在Type I中，服務組織必須提供內部控制的詳細描述，以供稽核員進行檢查，項目包括：

組織內部控制環境各層面的描述，這些將影響到組織內部人員，同時也是其他控制措施的基礎。
風險評鑑的流程，包括如何識別和分析和控制措施有關的風險，說明風險如何被適當地管理。
說明政策和程序等控制相關活動，可確保管理被真正實施。
資通訊的交換流程與形式，以及人員在各時間點應盡的責任。
內部控制目標和相關的控制措施，以及其他組織可能要求的補償性控制措施。

在完成稽核之後，稽核員將針對服務組織提供的內部控制描述，發布一份公正的評估聲明，說明各項控制措施是否已被適當的設計，以達成組織描述的控制目標。

至於Type II的稽核，則不只是採取以上的步驟，在實施Type II的稽核過程中，組織的控制措施將經過六個月(也有可能更長)的測試，以確認其是否真正有效地運作。

因此，Type II的稽核報告中除了包括Type I的評鑑之外，更增加了測試過程的完整描述，以及其最後產生的結果。

參考資料：SAS 70 OVERVIEW

舊留言存檔

以下留言轉存自原 Blogger 網站，僅供存檔，無法回覆。

亨利王（2019-08-25）

https://www.otava.com/reference/sas-70-ssae-16-and-soc-comparison/

[新聞] 強化 B2B 安全架構的4個層面

Wed, 23 Jun 2010 02:52:00 +0000

在網路世界中，有愈來愈多的商業夥伴，需要透過網路彼此相互連結，並且交換商務資料，因此資訊安全的控管就顯得更加重要。

對B2B業者來說，過去的資料交換介面相當單純，因為不會有太多的設備和應用程式需要聯結溝通，但如今隨著資訊科技的發展，許多重要的應用程式、伺服器和資料庫都需要彼此連結，雖然採用DMZ的佈署方式仍然存在，但卻需要更多有關身分驗證等的安全控制措施。

最近，隨著雲端服務的熱潮，為了控管雲端安全，許多資安技術像是反惡意程式、script分析、url過濾、IPS和web應用層防火牆等，都是許多組織考慮採用的產品，但是針對Web 2.0 App動態產生內容和透過雲端分享的新方法，傳統的資安控制措施不見得是那麼地有效。

針對B2B的資安架構，在CSO Online由Forrester Research分析師Usman Sindhu所發表的一篇文章，針對組織基本的存取控制策略，提到了以下4個層面的安全防護建議：

1. 應用程式存取控制 - 當應用程式和服務存在雲端之上，身分驗證與存取的授權就顯得十分重要，因此透過識別與存取管理(IAM)，能夠去定義身分角色、責任和應用程式存取層級，以控管對關鍵資源的存取。

2. 資料存取控制 - 作者將資料存取控制定義為分享給相關團體時應有的授權過程和資料保護，認為相關技術的採用是因為組織想要對資料進行分類、提取、加密、發現，以及控制誰可存取資料，所以除了技術之外，也需要制定一項政策以針對網路不同存取點來實施權限管理。

3. 網路存取控制 - B2B的互動需要仰賴入侵偵測、入侵防禦系統，以及資安事件管理來消除可能的威脅，所以組織整體的存取控制將可用來啟動B2B環境，針對不同的網路層面和交換介面應有的安全措施。

4. 實體存取控制 - 識別證與監視器已成為許多組織基礎的安控措施，而為了達到實體的安全控管，也有組織採用GPS、RFID、感應器、智慧卡等技術，以連結到使用者進行身分識別，因此基於身分識別的控管方法，將成為實體存取控制的新領域。

以上是B2B基礎安全架構的4個層面，作者認為B2B並沒有一項容易實施的資安解決方案，而是需要多種的技術，在不同層面上進行整合的控管，所以組織需要自行去定義需使用的安全技術，以發展出適合的存取控制安全架構。

參考資料：The 4 tiers of a secure B2B framework

[觀點] BS 10012 個人資訊管理標準簡介

Sun, 06 Jun 2010 14:39:00 +0000

隨著新修訂個人資料保護法已經三讀通過，未來無論是政府機構或是民間企業，只要處理和個人資料有關的業務，勢必就要建立一套有效運作的個人資訊保護制度(PIMS)，而標準將會是最佳的參考指引。

還記得2008年8月，刑事警察局破獲了兩岸駭客和詐騙集團共同聯手，入侵了中華郵政網路銀行，將數十名客戶的存款盜轉走數百萬元，同時也入侵了健保局、教育部和多家電信業者的資料庫，將所得的個人資訊與購物台刷卡資料，共同整合成一個可供搜尋近五千萬筆個人資料庫的事件，讓人害怕的是幾乎從上到下，由政府官員到一般民眾等皆無一倖免。

每天，我們的資料都在政府或民間企業，像是政府各級單位、水力電力公司、戶役政稅務機關、醫院、學校、警察機關、銀行、保險公司、一般企業、零售業、超市、航空公司、旅行社等之中被蒐集、儲存、傳遞和使用，如果你的個人資訊被不安全地處理而遭到惡意人士的盜用，對個人而言，輕則財物受損，重則造成法律糾紛，個人名譽也將受到不必要的侵害，若洩露個資的單位查證屬實，一旦新修正的個人資料保護法三讀通過，也將面臨鉅額的懲罰性賠償。

個資有價，切莫輕忽

從資訊的生命週期來看，個人資訊的產生、處理、傳遞、儲存、復原、銷毀等過程，都需要有適當的安全管控措施，這部份可以透過管理制度的規範，或是技術性的保護，來防止不當處理個資事件的發生。

因此，組織必須要將個人資訊視為有價值的資產，無論其呈現的形式是什麼（例如紙本、聲音、影像、電子檔案等），都必須評估其可能存在的安全弱點，以及可能面臨的威脅，並且透過風險評鑑的過程，來找出其風險的高低，然後針對無法接受的風險，進行風險處理和後續改善行動。

隨著個資外洩事件不斷發生，目前已有許多政府單位與企業，對於個人資訊保護的問題日漸重視，但是卻往往不知該如何著手，找不到一套可以依循的規範與標準。如今，BS 10012的標準內容，正好可做為組織在建立個人資訊保護機制時的最佳參考，藉由標準所提供的基礎架構（Framework），配合PDCA的管理運作方法，能夠透過建立系統化的個人資訊管理制度，來達到保護個資的目的，更可進一步符合個資法規的要求。

重要的資料保護原則

談到資料保護，英國在1998年即制訂了資料保護法案（Data Protection Act 1998），並且在2000年3月公布實施，要求資料控管者（data controller）對於個人資料的取得、使用、儲存、揭露等，必須遵守法律的規範與要求。

其中，資料保護法案所要求應遵守的8項資料保護原則，非常適合各組織作為制定個人資料保護的參考，內容說明如下：

個人資料不可以非法或不公正方式蒐集、處理。
個人資料應限於以特定目的之方式蒐集、處理。
個人資料應以充分、相關，而非逾越其原本之目的處理。
個人資料應求準確，並在必要時及時更新。
個人資料之保存，不得超過其原定目的之保存期限。
個人資料之處理，應依照當事人之權限及法令規範。
組織應採取適當的資料保護技術和措施，防止個人資料遺失或毀壞。
個人資料不得轉移到歐洲經濟區以外的國家或地區。

綜合以上原則所述，組織在蒐集、處理、使用、儲存個人資料時，必須合乎公平正義原則，並依照當初的目的，採取適當的安全保護措施，以確保個人資料的正確與完整。為了使企業能有效保護個人資料，同時符合法規的要求，BSI英國標準協會在2009年5月31日公布了個人資訊管理系統（personal information management system；PIMS）標準，提供個人資訊管理的基礎架構，以作為組織在落實個人資訊保護時的參考。

BS 10012的基礎架構

BS 10012的全名為「資料保護─個人資訊管理系統之要求（Data protection–Specification for a personal information management system）」，其中BS指的是英國標準，後面則為標準編號，至於系統指的是文件化的管理制度，它是由工業、政府、學術、教育、消費者等各界專家代表所共同發展，因此適用於任何組織和公私領域，讓組織的管理階層可以依循參考，亦能作為有效的個資法規內外部的評鑑標準。

BS 10012內容共有7章，第0~2章為標準介紹、適用範圍與名詞定義之說明，第3~6章則為個人資訊管理制度的架構要求，其主要目標說明如下。

計畫與建立PIMS
本章的目標是要規劃建立個人資訊管理制度，以提供符合資料保護法規要求的方向和實務上的良好做法。因此在一開始，組織必須定義個人資訊管理的範圍和目標，並判斷內部有哪些資料屬於個人資訊，以便制訂適合組織運作的個人資訊管理政策。

此一政策必須由資深管理小組（可能包括董事會成員、執行長、資深工作者和組織合作夥伴）來發布，並負起維護和更新之責，在政策中要清楚地讓組織成員了解個資保護的重要性，以及個資處理的原則，要求必須共同遵守，並且融入組織的文化之中，以達成個資保護的目標。

實施與運作PIMS
本章內容是實施與運作個人資訊管理制度的要求，也是標準中內容最多的一章，其目標包括要確保組織已指派適當的負責人選，以便推動並執行個人資訊管理制度，因此需要明確說明資深管理小組成員的工作角色與職責，並且清楚定義其每天的工作任務。

另外，凡是組織內和個人資訊處理有關的單位或部門，也必須推派適當的代表，因為只有實際處理個資的同仁，才明白個資中的機密性與敏感性，透過各個單位負責代表的協助，才可實際進行個人資訊的風險評鑑，以評估目前組織所擁有及處理個人資訊的風險等級。

本章的重點還包括要求組織應對員工實施教育訓練，並確保個人資訊被公平且合法的處理使用，也就是要求從個人資訊生命週期的一開始到最終的銷毀階段，整個過程中是否遵守適當的處理作業流程，是否尊重個人資料所有人的權力，以及採取適當的資訊安全控制措施。

監督與審查PIMS
本章的內容是要求個人資訊管理制度應實施適當的監控與審查，因此組織必須制定稽核計畫，選擇合適的稽核人員依照政策與管理要求，定期地實施內部稽核，以確認管理制度能夠有效地運作。

除了內部稽核之外，組織還必須定期實施管理階層的審查會議，了解個資處理的過程是否有任何的變動，同時也要審查稽核之後的結果，以及是否曾經發生和個資有關的資安事件，以掌握組織個資處理的現況，並適當修訂現行的個人資訊管理政策內容。

維持與改善PIMS
本章的內容是維持與改進個人資訊管理制度，目標是改進整個制度實施的效率及有效性，因此要求從兩個方向來改善。首先是組織應針對可能違反法規的事件，在事先實施預防的行動，並評估可能造成的問題來決定與實施必要的預防措施；其次則是針對管理階層審查的結果，針對不符合政策與標準要求的事項，進行矯正的行動，以求將個資受到不當處理的風險降至最低。

保護個資，刻不容緩

未來隨著新版個人資料保護法頒布實施之後，對於擁有和處理個人資訊的各行各業來說，最大的改變會是什麼？個人認為是組織必須建立一個新觀念，那就是「個人資料是有價的」，再也不能像過去一樣被任意的處理和交換，無論是蒐集、處理、利用都必須要合乎法律規定，如果組織沒有建立有效的個人資訊管理制度，那麼很可能就會不小心觸法而蒙受不必要的損失。

因此，萬一組織仍舊忽視個人資訊的保護，而無法安全妥善地進行處理，根據目前正在修訂中的個資法草案，未來若發生個資外洩事件，當民眾進行受害索賠之時，並不需要負舉證之責。也就是說，洩露個資的單位，必須證明自己無故意或過失責任，才能免於賠償，所以如果沒有文件化的作業流程與記錄，要提出舉證恐怕相當困難，對此管理者請務必要三思才行。(本文刊載於2010年4月號網管人雜誌)

[觀點] 談醫療資訊的安全防護

Thu, 27 May 2010 07:52:00 +0000

對於現今的醫療業者而言，資訊系統的應用已扮演了非常重要的角色，除了能提供有效率與高品質的醫療服務之外，也提供了更多生命安全的保障，因此，如何確保醫療資訊的安全，已成為醫療業者無法忽視的重要課題。

在2009年3月，香港聯合醫院一位醫師，遺失了存有47名病患個人資料的隨身碟，引起了相關單位的重視；2009年5月，美國加洲柏克萊醫療中心的資料庫，遭到駭客入侵，竊取了相當於身分證字號的社會安全卡號和健保資訊，估計有近16萬人受到影響；2009年11月，台大醫院發生了近年來第2次的電腦當機事件，造成掛號、病歷查詢和領藥系統的失效，影響上千名病患的就醫權益，幸好未造成延誤就醫而影響生命安全的事件發生。

今日醫療業者所面臨的挑戰，包括了就醫品質、病患照護、病患安全及法規要求等各個層面，而透過了醫療資訊科技的運用，可有效協助業者因應各項問題，像是就醫資訊提供、網路掛號、遠端醫療、電子病歷等，除了可以降低醫療疏失的發生機率，也能同時降低營運的成本，並提升民眾就醫時的滿意度。

近年來，隨著醫療資訊安全和個人隱私的保障要求，行政院衛生署在2003年6月啟用了醫事憑證IC卡，藉由其提供的資料加密和簽章機制，可確保醫療資訊的機密性、完整性和不可否認性，避免醫療資訊遭受不當的竄改和偽冒。

另外，在政府對於電子病歷的強力推動之下，在已制定的「醫療機構電子病歷製作及管理辦法」中，亦明定電子病歷僅能開放給經過認證與授權的人員使用，對於資料的內容只能以附加方式處理，而不得任意直接修改或刪除已確認之病歷資料，同時也必須結合電子簽章之技術，以達到可確認原製作之醫療單位與醫事人員的身分，供後續的追蹤查核之用。

醫療資訊安全的目標

資訊科技的應用如同水能載舟、亦能覆舟一般，如果資訊的傳遞未受到良好的防護，或是忽略了處理資訊等相關系統的可用性，就可能導致一連串的問題發生，其中，尤以醫療資訊的外洩影響層面最廣，目前，一般民眾的醫療資訊內容包括：

基本資料 - 包括姓名、性別、出生日期、身分證字號、通訊地址、電話、病歷號碼等。
就醫記錄 - 看診科別、掛號日期、診治醫生等。
醫囑事項 - 診斷記錄、用藥明細、病況摘要、治療方式等。
檢驗報告 - 檢查項目與報告、病理檢驗報告等。
護理記錄 - 住院記錄、給藥過程記錄等。

目前，大多數的醫療院所仍以紙本方式保存醫療資訊居多，而未來隨著電子病歷的推動，一旦資訊轉變成為電子化的狀態，就會具備更容易傳遞、複製、修改等電子化資料的特性，所以如何去確保資訊的安全就顯得更加重要，相信沒有一個人會願意自己的醫療資訊被任意查閱且曝光。

因此，對於醫療業者而言，保護醫療資訊安全的主要目標就是為了：

保護病患醫療資訊 - 醫療資訊為重要的個人隱私，如果遭到不當洩漏，除了會影響病患的身心、名譽和權益之外，更有可能為其家屬造成傷害，因此必須加以妥善的保護。
減少醫療過程疏失 - 醫療資訊的正確與完整性，涉及病患的生命安全，如果醫療資訊受到不當竄改，或是因人為疏失造成資訊錯誤，將會導致像是用藥失誤、診斷錯誤等重大醫療事件發生，所以唯有確保醫療資訊的安全，才能適供適當且正確的醫療服務。
確保醫療服務持續提供 - 持續為民眾提供適當的醫療服務，是穩定國家與社會發展的重要力量，如果醫療服務因為資訊系統受到資安事件的影響而停擺，可能會引發社會大眾的恐慌，進而引發更多的社會問題，因此應由政府予以監督及協助。

醫療資訊的安全原則

就個人的觀察，針對醫療業的資安威脅來源，和多數的組織並無太多的差異，主要仍是來自於天災、人為與技術失效的事故。在天災方面，由於醫療院所負有眾多生命的安全保證，因此在火災、風災、地震方面多半已有良好的應對措施，需要加強的是人員的訓練與定期的災難演練。

至於人為事故方面，因為醫療業需要保護的資訊本身，比一般企業的資訊來得敏感，因此需要所有醫護人員都具備基本的資安意識，以保障病患的醫療隱私，所以在作業程序上，可依照衛生署「醫療資訊安全與隱私保護指導綱領草案」中的指導原則來進行，簡要說明如下：

最小需求與合理範圍之最大安全原則 – 若醫療機構或醫事人員需要蒐集、使用或揭露病患的醫療資訊時，醫事人員必須盡可能地降低其範圍，也就是說，只收集必要且合理的資訊即可，並且必須盡最大努力去保護醫療資訊的安全。
直接取得和不可揭露原則 – 醫療機構或醫事人員需要蒐集醫療資訊時，必須直接向病患或法定代理人詢問，避免由他人轉述病患的隱私。若未經病患的同意，也不得洩露和個人有關的醫療資訊。
尊重及告知原則 – 醫療機構或醫事人員必須獲得病人或其法定代理人的同意，在自願的情形下才可蒐集、使用或揭露其醫療資訊。
公平正義原則 – 病患的醫療資訊不可透過非法或不公正的方式蒐集、使用或揭露。
符合法令法規原則 – 醫療機構或醫事人員對於醫療資訊的使用，必須要符合現行法令的要求，以避免觸犯法規。
病患權利和公共利益保障原則 – 病患對於存放在醫療機構的個人醫療資訊享有一定之權利，醫療機構或醫事人員使用醫療資訊時，應以保障生命權和公共利益為原則。

醫療業的資安防護策略

根據過往的經驗，醫療資訊可能面臨的資安威脅，主要包括了未經授權的非法存取、網路連線中斷、系統當機、惡意程式感染等，因此在基礎的防護作法方面，建議採取以下的控制措施：

建置安全的網路 - 部署防火牆和入侵偵測系統，內部進行網段區隔等。
保護醫療資訊傳輸 – 遠端醫療資訊的傳送，應透過VPN加密方式進行，若提供醫事人員無線網路的使用，也應啟動WPA加密機制等。
弱點管理機制 – 針對醫事人員使用之個人電腦，應透過中央控管之防毒系統，統一派送更新病毒碼，針對作業系統所發布的弱點，也應及時或定期更新，以避免讓惡意人士有入侵的可趁之機。
身分認證機制 – 可利用醫事人員憑證或自行建置之身分認證系統，進行醫療資訊的存取控制。
監督審查與事件管理 – 進行日誌(Log)集中保存，並且檢視追蹤可疑的事件。

至於整體的資安防護策略，目前已有醫療院所導入ISO 27001資訊安全管理系統，這是相當值得鼓勵的地方，顯示醫療院所的管理階層，已經體認到資訊安全對於營運的重要性。因此在管理方面，除了可藉重ISO 27001的控制要求，最重要的是醫療業者需要自行評估目前所面臨的風險為何，必須要將重點放在保護每天產生與傳遞的醫療資訊上。舉例來說，如果醫療院所還是以傳統的紙本病歷居多，那麼在病歷室的門禁管理、病歷查詢的權限控管、病歷資料的傳遞儲存與銷毀等方面，就會是資安管理的重點。

其次，則是思考如何避免因為資訊系統的故障等資安事件的發生，所導致的醫療服務與營運中斷，換句話說，對於資安事件的應變與危機處理，如果能夠及早準備並定期進行演練，將可大幅減少醫療服務中斷對於民眾和醫療院所的衝擊，對管理階層來說，其效益除了能降低營運損失，更可維護醫院聲譽。

最後，雖然國內仍缺少如美國保障醫療隱私的HIPAA(Health Insurance Portability and Accountability Act)法案，但未來必須符合資訊相關法令法規的要求(例如個人資料保護法)，將會是醫療業者應盡的責任。如果能夠及早從管理制度開始著手，透過醫療資訊標準作業流程的建立，讓醫事人員皆能體認保護醫療資訊安全的重要，相信就能為民眾帶來更完善的醫療品質，以及更讓人安心的就醫服務，也不愧對濟世救人的天職。(本文刊載於2010年3月號網管人雜誌)

[觀點] 網路購物業的資安防護策略

Fri, 14 May 2010 11:40:00 +0000

隨著各種網路購物的詐騙與惡意攻擊行為仍層出不窮，網路購物業者如果缺少適當的防護對策，本文可作為管理人員與資訊人員的參考。

根據資策會產業情報研究所(MIC)的調查顯示，由於2009年發生多起的網路購物資安事件，如何去確保交易資料的安全性，已成為台灣網友認為網路購物需要改進的前三大項目之一。目前，已有83%的業者提供了簡易的線上交易付款機制，也有將近九成的業者認同保護網路購物交易安全是吸引消費者的重要判斷依據，並且將有助於銷售業績的提升。

不過，截至目前為止，由網路購物所引發的資安事件依舊層出不窮，例如2009年年底有消費者在購物網站消費之後，隨即接到詐騙集團的電話，因此懷疑業者將消費購物時所填的個人資料外洩。而某網路書店業者，繼前年發生六千多筆的會員資料外洩之後，也再次發生消費者在購書之後兩週內，接到詐騙集團電話要求至ATM取消分期手續，因此而損失三萬元存款的事件，讓人質疑業者內部的資料控管仍存有很大的漏洞。

針對網路購物的安全，MIC更進一步指出，網路購物業者必須將「交易安全」視為重要的營運議題，因為日後在消費者期待交易安全將有所改善的情況之下，網路購物的交易安全也將愈來愈受到重視。

網路購物面臨的資安威脅

記得從2007年開始，在全球各地都發生了網站資料外洩事件，其中以網路購物業的災情最為嚴重，以當時台灣的前十大網路購物業者來說，有一半都傳出因為消費者的個人資料外洩，而導致一連串的網路詐騙行為發生。根據刑事警察局的統計，光是2007年1~8月所累計的詐騙金額，就超過了三億一千萬，受騙的人數也將近一萬人，其中大多數都是因為網路購物的個人帳號與交易資料外洩所引起。

目前，網路購物業者所面臨的資安威脅，最常見的有下列幾項：

阻斷服務攻擊 – 惡意人士透過已受到木馬程式控制的電腦所形成的殭屍網路(BotNet)，在很短的時間內針對購物網站發送大量連線封包，使得網站伺服器無法處理同時湧入的連線要求，造成交易服務的中斷，消費者無法連上網站進行購物。
惡意程式攻擊 – 如果網站業者缺乏資訊安全防護機制，很容易就會被惡意入士在網頁中植入惡意連結，使得瀏覽網站的消費者會自動下載執行病毒和木馬等惡意程式，造成個人隱私資訊包括登入帳號、密碼、信用卡號等被竊取外洩。
偽冒攻擊 – 惡意人士以網路釣魚的手法，假冒網路購物業者對其會員發送偽造的郵件，藉此騙取會員的帳號資料以行詐騙。另外，惡意人士也會利用竊取的信用卡資料進行購物消費，使業者無法收取款項而蒙受損失。
連線竊聽 – 如果購物網站業者未使用像是SSL的安全機制網路連線，當消費者在不安全的網路環境中進行購物，惡意人士可伺機竊聽網路交易的封包，進而獲得雙方交易的資訊。
人員破壞 – 若業者內部員工未經適當的篩選與管理，並且缺少適當的資訊存取控制措施，惡意員工可能會盜賣客戶資料，或是針對系統進行破壞，進而影響網站所提供的購物服務。
系統入侵 – 惡意人士可能利用網路或主機系統的安全漏洞，透過駭客手法入侵系統，藉由提高其帳號權限，可進一步取得敏感的資訊，或是針對系統埋藏後門，以便進行更多的破壞。

針對購物流程加強防護

對業者而言，如果發生了資安事件，單一的交易損失或許不大，但是當事件經由媒體的報導之後，若讓消費者產生了疑慮，勢必對業者的商譽造成更大的衝擊，可能更讓許多人因此而不願意在該網站上購物，後續的損失可說是難以估計。

針對網路購物的安全，國際信用卡發卡組織VISA的調查指出，有六成的消費者是透過網站是否有良好的安全系統、業者是否願意免費退貨、是否提供消費者信用卡不被盜刷的保障，作為判斷網路購物是否安全的依據。而消費者進行網路購物時最怕碰到的三件事，首先是業者不當使用消費者的個人資料，其次是將消費者的個人資料和信用卡號外洩，最後則是業者受到未經授權的駭客入侵。所以，為了確保營運與獲利，業者應重視網路購物的安全，以保障消費者的權益與信心。

那麼，業者到底該如何保護網路購物的安全呢？最簡單的方式是，我們可以從網路購物的流程，來一一探討並預防可能會發生的資安問題。現今一般的網路購物流程為，消費者在瀏覽器上輸入網址或點選連結之後進入購物網站，然後選擇想要購買的物品，接著需填寫個人資料並進行付款，若是以信用卡進行線上交易，則由業者的系統連結銀行線上交易系統完成付款，最後業者再依照購物明細寄送商品給消費者，讓購物得以順利完成。

從以上的購物過程中，我們就可以從幾個方向來著手，首先，為了確保消費者連線至網站的過程中，資料不會遭到竊聽，因此業者應採用128位元以上的SSL連線加密機制，以確保資料傳送的安全。接著，消費者在網站上所填寫的資料，除了必要的會員資訊之外，業者不應保留消費者的信用卡號等資料，若是有特殊狀況需要保留者，則應事先對消費者說明，並且將敏感資料進行加密，同時進行資料存取的權限管控。

此外，如果購物網站提供了線上刷卡機制，建議應進一步和信用卡公司合作，啟用個人密碼驗證服務，讓使用者在購物時，除了填寫信用卡號之外，還需要輸入個人密碼，以確認的確是由持卡人進行消費，或是也可以利用手機簡訊發送一次性密碼至持卡人手機，要求持卡人輸入簡訊中之密碼，以確認為本人進行消費。

在消費者完成信用卡付款之後，業者就會進入貨品遞送的服務流程，若是外包給第三方的物流業者協助進行，那麼在購物資料的保護上面就要注意，基本上，應該讓物流業者只能獲得購物者的姓名、地址、連絡電話，其他包括購買物品名稱、價格、購買日期、總金額等資料皆應保密，因為這些資料並不會影響貨品的遞送，也就不需要交給物流公司，否則反而會增加個人資料外洩，受到詐騙集團利用的風險。

定期檢視並改善安全措施

關於網路購物的資訊安全，站在業者的角度來看，個人認為主要有三大影響要素，分別是「人員」、「資訊」和「技術」。人員面是指內部人員的作業疏失或擅自揭露客戶資料；資訊面則包括網站未使用加密機制、網頁內容受到惡意竄改；技術面則為網路遭受阻斷服務攻擊、網站應用程式有安全漏洞、網站伺服器缺少安全防護等。只要其中有任何一項因素沒有加以注意，那麼業者很容易就會發生資安事件而登上媒體版面。

因此，建議業者利用以上提到的安全檢視方法，先從作業流程來著手，找出可能的安全問題，以及是否存在安全漏洞。當然，各家業者的作業方式都不會相同，也就需要由業者本身針對既定的作業流程中，可能會觸及到敏感資訊的人事物，一一地作安全的清查與確認。如果流程方面沒問題了，再針對人員的訓練、資訊的保護、技術的加強，來進一步提升資安的防護。

所以，網路購物業者的資安防護策略到底是什麼？簡單的說，就是要找出網路購物流程中，可能存在的安全弱點，以及會利用弱點而造成傷害的威脅，然後實施對應的控制方法來減少弱點並降低威脅，將資安風險降到可接受的程度。最後還要注意在這個過程之中，千萬不要忽略了內部人員的安全訓練，資料的傳遞保護，以及資安技術的防護，如果能夠確實控管資安風險的話，相信對於網路購物業者，將會創造更多商機，同時建立起消費者的信心與口碑。(本文刊載於2010年2月號網管人雜誌)

[觀點] 勇敢迎接2010資安新挑戰

Fri, 07 May 2010 09:32:00 +0000

2010年已過了一半，對於資安工作而言，計劃、執行、檢核、改善是一個循環的管理過程，在這個過程之中，企業必須先有穩健的基礎，才能因應處理不斷產生的新挑戰。

回顧2009年，世界各地和資訊安全有關的事件，在媒體上的報導是從未間斷過，無論是個人資料外洩、殭屍網路(Botnet)、垃圾郵件、惡意網站、網路釣魚、拍賣詐騙等，受害者不計其數，對於國家和社會都有著一定程度的影響。

根據各家資安業者的預測，在2010年主要的資安威脅，大致有以下幾種：

殭屍網路持續肆虐：Botnet木馬程式在網路上不斷散布，難以根治並且潛伏在使用者的電腦之中，待有心人士一聲令下，即可發動大規模的網路阻斷服務攻擊。
雲端運算的風險增加：雲端運算需要依靠網路連線來進行，隨著各種雲端應用服務的增加，惡意攻擊者可能會入侵操控雲端連線，或是破壞雲端資料儲存中心，造成雲端應用服務的中斷。
社交網路成為資料盜竊工具：隨著Facebook等社交網站的盛行，使用者在社交網路中所揭露的資料，很可能被收集起來另做他用，惡意人士可藉此來冒用身分，和同一社交圈的人士溝通交流，以騙取更多有用的資訊。
區域性與特定目標攻擊升溫：全球性的病毒感染機會將降低，但隨之而來的卻是區域性的攻擊增加，惡意人士將鎖定特定企業或對象，以目標式的攻擊來獲取其不當利益。
惡意程式的變形攻擊：惡意程式的變化速度加快，只需幾小時就可衍生出其他的變種，這也代表傳統防毒程式依賴更新病毒碼的防護能力將大幅降低，若是使用者在網路上瀏覽已遭植入惡意連結的網站，很容易就會自動下載並感染到惡意程式。
網路釣魚的機會增加：ICANN網際網路網域名稱與位域管理機構已開放國際網域名稱的註冊，也就是說網域名稱之中可使用非拉丁語系的字元，所以惡意人士可以使用看起來相似或無法分辨的網域名稱來製作陷阱，讓使用者一時無法察覺而受害。

資安沒有魔法，只有基本功

面對不斷變化的資安威脅，身為網路管理者的你，究竟該如何因應呢？在此借用一句企業管理上的名言：「No magic, only basic.」是的，資安工作真的「沒有魔法，只有基本功！」個人相信沒有一個業者敢銷售給你一套資安產品解決方案，然後告訴你從此可高枕無憂，再也不會發生任何資安事件。

所以在新的一年，想要降低企業的資安風險，最好的方式就是回歸基本，確實將基礎的資安工作做好，才能有餘力去應對更新的資安威脅。針對基礎的資安防護工作，以下幾項重點可作為在執行資安工作時的參考。

預防來自內部的人員攻擊

一般而言，小型企業發生內部人員攻擊的比例不高，原因是同事之間彼此都已相當熟悉，所以較少發生有人假冒身份進入工作區域，並趁機竊取敏感資訊的事件。但是對於員工人數與部門數量較多的中大型企業而言，仍要注意防範可能的人員弊端。

建議防治的方式為進行敏感資料的存取控管，依照不同的職務身份賦予適當的權限，避免所有權限都集中在一人之手。另外，也要盡量減少可能受到利用的安全弱點，例如實施網段區隔，讓研發單位和人事單位的網段和一般員工分開，以避免透過網路存取到敏感資訊，以及在機房實施門禁管制等。還有，應教育員工不可分享或洩露個人所使用之密碼，離開座位時將工作文件放置在上鎖之抽屜中，個人電腦要啟動已設定密碼之螢幕保護程式，並且禁止訪客進入工作區域，這些都是基本且必要的防護措施。

減少可能的網路安全弱點

在企業環境中，可能有為數眾多的網路路由器、交換器、防火牆等網路設備，許多設備在出廠時預設會開啟許多功能，甚至強調不需要更動組態即可上線使用，這種方便往往會造成安全上的漏洞。

建議網管人員應在設備上線之前去檢視其組態是否安全，例如預設的管理帳號與密碼是否已更改，未使用的功能模組是否關閉，不需要啟動的連接埠是否關閉等，以確保不會受到惡意人士的利用。在設定管理者密碼時，也要注意密碼的長度與強度，更要避免所有設備皆使用相同的管理密碼，以避免整個防線一次就潰堤。

如果是網路環境相當複雜的企業，建議定期進行網路弱點掃瞄或是滲透測試，以找出可能隱藏的安全漏洞，若網管人員熟悉一些檢測工具像是Nessus或Nmap，可以藉此來產出網路弱點的報告，如果缺少適當的人員可執行，也可以委由外部廠商和顧問，協助執行並提供可行的消除弱點安全建議。

清查行動裝置的安全性

若企業有許多行動工作者，經常需要在外使用筆記型電腦進行作業，在新的一年正好可進行健康檢查，確認作業系統的更新檔是否已安裝、防毒軟體版本是否過舊、病毒碼是否每天進行更新、個人防火牆組態是否正常、是否設定開機密碼、機密檔案是否加密等。

如果行動裝置的數量過多，建議可透過群組原則的設定，強制使用者電腦在登入企業網路時必須更新系統和病毒碼，並且也要讓使用者可任意關閉防毒軟體的功能失效，以避免在外時有意或無意將安全軟體關閉，讓惡意程式有機可趁。

另外，針對行動工作者應定期進行教育訓練，宣導應注意的安全事項，例如使用無線網路時，勿選用來路不明的基地台，最好選用具有加密或認證機制的無線網路服務提供商；若需要傳輸敏感資訊時應使用虛擬私人網路(VPN)；在外使用筆記型電腦和USB隨身碟，應小心防護避免遺失或使用檔案加密機制等，以減少可能的安全風險。

檢測網站應用程式的安全

目前，網站受到入侵並放置惡意程式連結的事件已時有所聞，因此歲末年終針對現有網站進行安全清查是必要的，基本上建議可以從兩方面來著手，首先是網站伺服器本身的強化，確認作業系統已安裝必要的修補檔、伺服器軟體已進行更新、未使用的連接埠及服務皆已關閉等。其次則是針對網站應用程式進行檢測，可利用弱點掃瞄工具或是原始碼檢測來進行，確保針對常見的網站攻擊手法像是SQL Injection等已具有免疫能力。

如果是提供電子商務服務的業者，更要確認連線加密機制與身份認證機制是否完善，以保護線上交易資料的安全，必要的話，則建議安裝網站應用層防火牆，透過更深一層的封包檢測機制，來避免非正常交易的事件發生，更可同時抵禦常見的網路應用層的攻擊。

避免網路惡意程式的入侵

過去這一年，除了許多受到入侵而挾帶惡意程式的政府、教育和企業網站，再加上即時通訊和社交網站的大受歡迎，大幅提高了使用者感染惡意程式像是木馬、病毒、間諜軟體的風險，為了避免員工使用企業網路瀏覽非工作所需的網站，建議採取管理面與技術面雙管其下的作法。

在管理方面，可制訂並頒布網路的使用政策，清楚說明員工應避免的網路使用行為和違反時的處置辦法，先勸導再懲處會是比較容易令人接受的方式。至於技術方面，則是可以採取將不適當的網站加入黑名單來阻擋連線，或是採用網頁內容過濾方案，透過彈性化的設定來因應不同工作者的需求，並且可及時更新網站黑名單以阻擋新的惡意網站。

建立應變機制，有備而無患

許多企業在資安事件發生時，往往會顯得手忙腳亂，以檔案損毀為例，企業或許平常已有資料備份，但是當災難發生時，資料備份放置於何處？哪些資料該優先復原？復原的步驟如何進行？這些問題往往詢問起來，都找不到一個適切且完整的答案，最主要的原因就是企業缺少了災難應變機制，也就是在平時並沒有準備好有效的災難復原或營運持續計畫。

在駭客技術不斷翻新的今天，我們無法預測將會遭受何種攻擊，但是我們知道哪些是企業重要的營運服務和關鍵資料，因此針對重要的營運資訊，無論是存放在資料庫中，還是在老闆的電腦硬碟裡，針對資訊處理的過程和所使用的設備，都應該思考需要預先採取何種防護，如果連這一點思考都沒有的話，你的企業很可能就是下一位資安事件的受害者。(本文刊載於2010年1月號網管人雜誌)

[觀點] 雲端運算安全與風險

Thu, 25 Mar 2010 04:34:00 +0000

談到雲端運算，它究竟是一種「技術」或「概念」，到底是「產品」還是「服務」，在搜尋引擎上只要打入關鍵字，就可以看到許多不同的見解與想法。在此我們僅從資訊安全的角度，來探討雲端運算可能帶來的資安問題或風險，提供給資訊管理人員作為參考。

雲端運算(cloud computing)從2008年開始就是一個熱門的話題，對於雲端運算的應用，無論是應用程式服務、資安服務或資料儲存等，各家都有不同的說法與見解，但從資安的觀點來看，仍有一些地方值得企業審慎注意，以免落入新資訊科技運用的迷思。

首先，讓我們回憶一下，在還沒有所謂的雲端運算之前，企業對於資訊的處理與運作的方式是什麼？一般普遍性的作法是，企業需要自行添購或開發商務運作所需要的軟體和硬體，並且建置專屬的資訊機房和網路環境，然後由內部的資訊人員來執行維運等相關工作。

對大多數的企業而言，隨著營運規模的擴展，為了要增加資訊服務的穩定與效率，在資訊科技的費用支出相對也會節節升高，尤其是面對如今愈來愈複雜的網路環境與技術，再加上好的資訊人才難尋，和營運相關的資訊問題解決能力也需要時間培養，種種問題都讓企業主傷透腦筋，而「雲端運算」的出現，彷彿就像是在烏雲之中露出了一道曙光。

雲端運算的資安服務

究竟什麼是雲端運算，Gartner定義它是一種嶄新且具延展性的運算方法，可以將計算、儲存等資訊科技的運用，透過網路以服務方式提供給外部客戶使用。而維基百科則說，「雲端運算是一種基於網際網路的運算新方式，透過網際網路上的服務為個人和企業使用者提供所需即取的運算。」

目前，雲端運算具備三大運算架構與服務模式，包括了基礎架構即服務（Infrastructure as a Service，IaaS）、平台即服務（Platform as a Service，PaaS）及軟體即服務（Software as a Service，SaaS）等，當然還有人提供許多不同的服務。

各種雲端服務雖然眾說紛紜，但有三樣東西卻是它的必要組成，分別是：網路、運算、服務。換句話說，透過網路連線，由遠端所提供的強大運算和服務，讓企業可藉此改變以往的資訊處理方式，除了可提高作業效率，進而節省成本支出之外，同時更獲得資訊科技的創新應用。

對於資安廠商而言，除了銷售傳統的資安軟硬體設備，若是還能藉由雲端運算的協助加持，提供更多的資安加值應用服務，那是再好也不過了。根據個人的觀察，目前資安廠商運用雲端運算來提供的資安服務，大致有下列幾種：

病毒防護 – 讓防毒軟體的使用者，能夠即時回傳電腦上可疑的病毒相關資訊，就能在防毒業者的雲端上比對病毒特徵，不需要再等到防毒軟體更新病毒碼，就可有效防止病毒的感染。

網址過濾 – 面對日益增加的惡意網站，可協助企業透過雲端進行網址黑名單的比對，透過即時更新的惡意網頁資料庫，可以提高攔截的效率。

郵件過濾 – 配合傳統的垃圾郵件過濾機制，比對垃圾郵件如來源IP、信件標頭等資訊，同時也可結合防毒功能，即時掃瞄郵件的附件是否安全。

身分識別 – 企業可透過雲端進行使用者身分認證，作到單一登入功能，讓使用者可在任何地點登入使用各項應用服務，解決使用者的授權問題。

至於業者宣稱雲端運算可為企業帶來的好處，則有以下幾點：

降低營運成本 – 企業不需要再花錢去購買軟體和硬體，也不需要資訊人員來開發或維運所需的應用服務，只需透過租賃或使用者付費方式，大幅節省不必要的成本支出。
提高工作效率 – 隨著網路無所不在的連結性，無論工作者身在何處都可享有相同便捷的應用服務，而且藉由雲端強大的運算能力，可有效解決工作端運算效能不足的問題。
擴充未來應用 – 雲端運算可讓企業快速部署及應用新科技，無論是應用服務的升級或擴展，在短時間之內就可完成，不必擔心資源耗費的問題。

雲端運算可能的資安風險

根據市場調查機構Gartner的研究顯示，未來以雲端運算方式所提供的安全應用服務，將會對市場造成相當大的衝擊，預估在2013年會比目前再成長三倍。而趨勢科技的調查則指出，雖然業界看好雲端運算在資安上的應用，但是也有61%的企業受訪者表示，除非可以確定應用雲端運算不會產生重大的資安風險，否則目前仍不會急於導入雲端運算的相關應用服務。

從資訊安全的觀點來看，企業在運用新的資訊技術時，對於其隱含的資安風險，當然要做審慎的評估，而個人認為在採用雲端運算服務方面，至少有三個層面需要考量。

首先是網路層面，因為一旦商業運作需要仰賴雲端來進行，那麼網路頻寬的消耗，是否真如業者所言來的那麼節省？會不會拖累了原有網路服務的正常使用？這些都需要實地測試才可得知。另外，網路連線的穩定性也會比以往要求來的更高，因此在網路管理方面，原有的網路設備是否需要擴充？如何進行網路效能的最佳化調校？網路備援的方式？這些可能都會變成隱藏的成本支出。而網路傳輸的安全性當然也要涵蓋其中，若是有敏感資料需要傳輸，那麼是否有相對安全的加密機制和身分認證機制等，都是使用雲端服務時必需的要求。

其次是資料層面，企業要放置什麼資料在雲端上，將會決定所需的安全強度，在採用雲端資料服務的初期，建議企業先以非敏感性的資料為主，藉此來測試評估服務的安全性，而非一開始即將最重要的商業資訊，透過雲端方式來進行運算或儲存，以避免當資訊外洩時可能造成的衝擊。

最後是法規層面，企業要注意雲端服務廠商本身的安全是否值得信賴，是否有可供辨識的安全保證，例如取得政府的許可或國際標準ISO 27001的認證，因為這代表了雲端服務廠商在資料保護、實體安全、應用程式安全、系統可用性、漏洞管理、法規遵循方面是否有一套完善的管理制度，對於資訊安全可提供一定的保障。另外，萬一不幸發生資安問題，在責任歸屬與賠償機制上，就有賴於事先的合約或服務等級協議(SLA)，所以在一開始的服務簽定時，企業法務部門的參與協助也是十分重要。

評估企業整體的應用安全

事實上，雲端運算服務除了造福企業之外，對於惡意的駭客而言，也算是一大福音，因為這代表了許多企業更加依賴網路連線，會將重要的資訊透過網路傳輸，並且將商業資料儲存在企業環境之外，如果輕忽了可能的資安風險，就等於增加了駭客入侵的機會。

舉例來說，像是駭客可以利用雲端運算的強大能力來破解使用者帳號、密碼，竊取雲端所儲存的資訊；或是發動分散式阻斷網路攻擊(DDOS)，癱瘓雲端網路的運作，也就間接導致重要營運服務的停擺。另外，雲端資安服務機制的有效性，是否一如業者宣稱的可有效攔阻惡意程式入侵，是否會有潛藏的安全漏洞反而受到利用等，這些也都是未來需要關注的地方。

所以，企業在評估導入雲端運算的服務時，建議一開始先從非關鍵性的應用服務開始，而除了尋找可靠的雲端服務供應商之外，也要考慮有沒有其他的替代選擇。否則一旦企業所倚賴的雲端服務受到攻擊而停擺之後，將會對企業造成重大衝擊，例如關鍵資料無法存取、客戶資料外洩、防毒系統失效、惡意程式入侵等等，這些都有賴於事前整體的考量，絕非像是購置單一硬體和軟體一樣，只要輕鬆以對即可完成。(本文刊載於2009年12月號網管人雜誌)

[專題] 資訊安全管理導入實務(五) - 管理階層之承諾與責任

Wed, 17 Mar 2010 03:46:00 +0000

有一些企業與組織，原本興致勃勃想要推動資訊安全管理制度，期望能夠在日常的運作中，避免產生高度的資訊安全風險，進而造成企業資產的損失。但是到了最後，卻往往功虧一簣，主要原因就是管理階層的參與度不足，無法在關鍵時刻發揮起領導決策的效用。

在「解碼郭台銘語錄」一書中，鴻海集團董事長郭台銘有這麼一句名言：「沒有管理，只有責任；管理可以訓練，領導沒法訓練。」他認為管理階層一定要在「油鍋裡炸過」，要能夠自己做出決策，以親身經驗才能去領導別人，否則即使有多麼完善的制度或法令去規範也沒用，因為下面的人並不會依照方向和時間來往前走。郭董事長的觀點，一語道破了在資訊安全管理制度之中成敗興廢的關鍵因素，也就是管理階層的親身參與和支持。

企業與組織若想建立一個有效且持續運作的資安管理制度，從一開始的規劃討論與專案啟動，到建立制度並且實施之後的管理審查階段，這些都仰賴管理階層的領導與決策能力，如果管理階層只是像沾沾醫油一樣，那麼這個管理制度註定是會失敗的。

也正因為如此，在ISO 27001標準中的第五章，規範的就是管理階層責任與應有的作為，而第七章則是要求管理階層必須依照所規劃的時程，定期審查組織的ISMS是否如預期般的有效運作，並且要確保可持續地適用於組織現況，同時每一次的審查結果都必須要留下文件化的記錄，以做為日後進行改善之用。

管理階層的承諾

為了要確保管理制度的有效性，ISO 27001標準中要求管理階層必須提供對於ISMS的建立、實施與運作、監督與審查、維持與改進的各項承諾證據，因此，管理階層應有的作為至少包括了：

為組織建立一份資訊安全政策，內容應說明為了達到資訊安全所採取之各項行動，必須依據何種準則或規範來進行。在政策中也需要說明如何去評估組織的資安風險，有哪些必須要遵守的法令法規和合約要求，以及管理階層的責任為何。

制定組織的資訊安全目標，確認達到各項目標的計畫和實施方式，並建立和資訊安全有關的各種角色與責任。例如確保內部員工、外部承包商和第三方的使用者，皆能明瞭其安全責任並符合要求，以降低可能的資訊安全風險。

對內對外傳達所建立的資訊安全政策、目標及法律所規範的組織責任，宣示維護資訊安全的決心，並要求不斷地持續改善可能的資安風險。

提供建立與維持資訊安全管理制度持續運作所需的資源，包括人力、物力和財力等。

在風險評鑑完成之後，決定組織所面臨的資安風險接受準則，要求對於具高風險之資產進行妥善處理，並決定最後可接受的剩餘風險等級。

確保組織依照既定的規劃時程進行內部稽核，依據內部稽核的結果要求進行矯正預防措施，並且實施管理階層審查。

提供運作所需資源

企業或組織欲導入資訊安全管理制度，目前普遍的作法是尋求外部顧問的協助導入，在評估各項文件與實施運作均符合ISO 27001標準的要求之後，再進一步請第三方驗證公司進行稽核，以便取得國際認可的ISO 27001認證。因此，在導入之前，所需成本的預算編列將是第一要務，組織應考慮營運規模的大小、導入的範圍和預計完成的時間來予以評估，而這些也都需要管理階層的參與和核准。

此外，在ISMS的建立、實施與運作、監督與審查、維持與改進的過程中，管理階層的責任是要確保各項資訊安全的作業程序，能夠符合組織營運的要求。換句話說，如果因為資訊安全的考量，所實行的控制措施已妨礙到日常業務的進行，那麼管理階層就必須適時的作出反應，或進行作業程序上的調整。

當然，在導入的過程中，很可能會識別出組織以往未曾發覺的資安風險，這時候進行風險的控管是必要的，而所使用的方式可能是從管理制度面來著手，擬定相關的作業程序，或是透過技術面的管控，藉由購置資安設備來到抵禦資安威脅。這些控制措施的實施是否正確且適當，也需要管理階層定期加以關切，以督導相關人員進行維護與改進。

確保資安認知能力

根據個人的觀察，目前企業或組織中最缺乏的就是熟悉資訊安全的人才，一旦管理階層決定要導入資訊安全管理制度，即刻面臨到的問題就是該由誰來負責執行？雖然我們可以仰賴外部顧問的協助，但若內部人員缺少維護與運作的能力，當合約期滿之後，很可能就會讓整個制度趨於荒廢。

因此，在組成跨部門的資安小組之前，管理階層要決定的就是執行相關工作的人員，到底需要具備什麼樣的能力？最簡單的方法，就是將人員送去參加ISO 27001的各項訓練課程，或是直接聘僱已參與ISO 27001相關課程並通過考試的人員，協助ISMS工作的推動。

為了確保ISMS相關人員的技能，管理階層需要決定教育訓練的實施計畫，並針對不同的角色人員，提供不同的訓練課程。例如主管人員安排參與定期的主管人員資安訓練；一般人員需參與一般人員的資訊安全認知課程；技術人員則參加相關設備的操作訓練或是和駭客攻防有關的技術課程。

當然，這些措施是否有效，也需要管理階層的長期關注，藉由定期審查人員維持教育訓練的記錄，或是已取得之技術證照，可確保所有人員皆認知其負責資安工作的重要性，以及具備所需要之專業技能。

進行管理階層審查

ISO 27001標準中要求，管理階層必須定期審查組織運作中的ISMS，以確保其持續的適用性與有效性。在實務上的做法是至少一年一次定期性的召開管理階層審查會議，根據ISMS運作時所產出的文件記錄，由參與的主管來評鑑ISMS的改善機會和方向。在管理審查程序上，標準要求必須要有9項審查輸入和5項審查輸出，分別說明如下：

審查輸入包括─
(1) 來自於內部和外部稽核的結果記錄
(2) 利害相關團體像是股東、客戶、供應商的意見或所提出之問題
(3) 是否有可以改善資訊安全的產品、技術或作業程序
(4) 已實施的資訊安全控制措施的現況
(5) 各項資訊安全控制措施有效性量測的結果
(6) 先前風險評鑑中尚未處理或忽略的資安風險
(7) 是否有任何影響ISMS運作的因素，例如技術或業務項目變更
(8) 上一次管理階層審查決議需跟進改善的措施
(9) 來自各個階層的管理建議

審查輸出包括─
(1) 如何進行ISMS的有效性改進
(2) 如何更新風險評鑑與進行風險處理
(3) 如何針對影響ISMS運作的因素，進行必要的修正
(4) 適當回應所需的資源需求
(5) 如何改進控制措施的有效性及量測

持續改進管理制度

以上談的都是有關管理階層應有的作為與責任，也反映了管理制度並不只是由高層頒布一些準則規範，就強制要求下面來遵守執行，而是需要由上至下，不斷地溝通討論，實施之後再加以檢討改進。透過這一系列的文章，雖然無法完整敘述整個資訊安全管理制度的全貌，但至少點出了其中的核心價值，希望透過標準這麼好的一項工具，可以讓我們依循並掌握住資安管理的重點。

相信大家都聽過「預防勝於治療」這句話，對於現今事事講究效益與成本的企業而言，能夠預防可能發生的資安風險，絕對比資安問題發生之後，處理與矯正的措施更具成本效益。所以在標準本文的第八章，要求的是ISMS的持續改進與矯正預防措施，提醒我們不要以為進行了風險評鑑，就已經掌握各項可能的風險，而是要不斷地依據組織的運作狀況，注意是否有新的威脅出現，或是因業務變更而產生新的風險，然後及早地加以預防。

萬一真的不幸還是發生資安事件了，也請務必謹記「亡羊補牢」這句話，要積極找出事件發生的根本原因，然後盡快把洞填補起來，以避免問題的再度發生。最後，回應上一期文章提到該由誰來負責進行追蹤確認的改善行動呢？答案當然就是懂得資訊安全，日後必定會晉升管理階層的您。(本文刊載於2009年11月號網管人雜誌)

[專題] 資訊安全管理導入實務(四) - ISMS內部稽核規劃與實施

Tue, 16 Mar 2010 10:25:00 +0000

在了解ISMS的文件化要求之後，接下來要談的就是在管理制度中不可或缺的重要工作，也就是在ISO 27001本文第六章所要求的ISMS內部稽核，在整個稽核過程中，從擬定稽核計畫開始直到稽核結束，事實上，也同樣可以運用PDCA原則來進行。

在您的企業或組織中，好不容易獲得了高階主管的支持，組成了跨部門的資安小組，並依據ISO 27001標準的要求，擬定出資安政策與各項作業規範，建立了文件化的資訊安全管理制度，並要求同仁們配合遵照實施，耗費了這麼多人力物力，突然有一天老闆詢問我們的資安到底做得好不好時，您要如何去展現或證明資訊安全管理制度已被有效地運作與維持呢？

正所謂「口說無憑」，因此您勢必得要拿出些「證據」才行。在資訊安全管理制度中，如果想要判定組織內的資安控制目標、資安控制措施以及實施的過程，是否符合ISO 27001標準的要求，並且如預期般地持續運作與有效維持，那麼定期的執行ISMS內部稽核，並留下相關的稽核報告和記錄，將會是最好的證明方法。

擬定稽核計畫

如果您想要順利完成ISMS內部稽核，以展現出這些日子來資安管理的成效，其實可以秉持之前所提到的PDCA模式來進行。還記得先前提到PDCA是指「計畫—執行—檢核—行動」的過程，因此我們在一開始的稽核計劃階段，首先要確認的是稽核準則和稽核範圍，也就是先去了解我們的稽核依據是什麼，還有稽核範圍到底適不適合。

舉例來說，若是我們實施的是ISO 27001標準的資安稽核，那稽核的依據就是ISO 27001本文和附錄A5~A15控制措施，如果接受驗證的範圍是資訊部門和其負責的機房維運流程，那麼其他和此一維運流程無關的單位，既使發現了不符合標準要求的事項，也不應將它列為此次稽核發現的缺失。

在稽核計畫階段，負責的主導稽核員還需要準備稽核行程表和檢查清單，也要召開稽核前的工作會議，向稽核團隊說明查核的標準、當天的行程及稽核方法。稽核行程表說明了當天的實施流程，因此必須事先傳送給受稽單位並請其確認，而檢查清單則是供稽核小組確認稽核計劃是否有遺漏的地方，通常在檢查清單中的項目至少會包括：
 受稽單位連絡人的姓名、電話
 稽核當天所需的引導人員數量
 稽核當天可作為稽核小組使用的會議室
 受稽單位是否對於稽核人員有健康或特別要求
 稽核時是否需要穿著或配掛特殊裝備
 稽核時需要遵守的現場安全規定
 稽核人員需要簽署的保密切結書

至於內部稽核的實施頻率，一般而言一年執行兩次是適當的，組織也可依照本身業務形態的重要性，來決定是否需要增加稽核的次數，但要注意的是實施頻率若過於頻繁，可能會造成相關業務人員作業的負擔與困擾，因此這點也要審慎加以評估。

建立稽核團隊

實施稽核同樣需要耗費一些人力、物力資源，其中挑選出適當的稽核團隊是成功的必要條件。在挑選人員時我們應事先了解其具有的專業技能，例如應選擇具有網路規劃和防火牆專長的人員去稽查網路的存取安全控制，或是派出熟悉環境安控的人員去稽核實體安全的防護。換句話說，如果稽核人員本身不了解受稽單位的作業事項，很可能會無法察覺潛在的一些不符合標準要求的項目。

此外，有一種狀況是務必要避免的，那就是稽核人員不應當稽核和其本身有關的工作，像是負責網路防火牆管理的人員去負責稽查網路存取安全，那麼這種「球員兼裁判」的行為，將無法達到所設定的稽核目標，同時也使稽核工作失去意義。

所以，一旦建立了稽核團隊之後，在稽核計畫階段就需要收集受稽單位的相關資訊以了解其作業型態，因此和受稽單位保持密切的溝通，提早確認執行稽核的時間，並告知需要準備的事項，這也是稽核團隊應盡的責任，這樣才可以確保稽核過程能夠順暢進行。

執行實地稽核

至於稽核的方法，通常包括了「文件審查」與「實地訪談」，在文件審查階段，主要是了解組織的ISMS相關文件，是否符合ISO 27001標準的文件化要求，並確認管理制度的運作過程中有留下各項記錄，以證明ISMS被有效的實施與進行。

而實地訪談的目的，則是確認相關作業人員，已清楚了解組織的資訊安全政策與目標，並按照所要求的作業規範來執行。對稽核人員來說，稽核的過程就是要能夠去取得「客觀性證據」，也就是依據稽核準則，透過實地訪談觀察到相關的人、事、時、地、物，透過多方面的證據收集，以支持其稽核的發現。

因此，對稽核人員而言，稽核技巧的鍛鍊非常重要，除了本身需要具備客觀性，避免僅從單一事項主觀地去判定問題之外，稽核人員詢問問題的方式也會決定其所收集到證據的完整。以下是稽核人員可運用的實務技巧：

詢問開放性問題：所謂的開放性問題是指讓受稽人員可明確回答和人、事、時、地、物有關的資訊，例如詢問資訊人員對於使用者的通行碼的安全控制措施有哪些？使用者的存取權限要如何進行申請？多久會進行一次審查？也就是說，稽核人員在訪談時應避免詢問「Yes or No」的問題，像是詢問「是否針對使用者的通行碼進行控管？」「有沒有針對使用者存取權限進行審查？」若是皆採用以上封閉性的問法，所得到的答案往往無法進一步提供更多資訊，也會使稽核人員落入難以判定的情況。
自行決定抽查樣本：稽核人員在審查相關文件記錄時，要堅持獨立性原則，例如在審查機房人員進出記錄時，應自行決定要抽查的日期，而不是僅參考受稽人員所主動提供的記錄，更不應受到言語左右而忽略應審查的項目，務必要按照事前所擬定的稽核計畫確實的來執行。
多方收集客觀證據：稽核人員應避免排斥或否定受稽人員的答案，應該多方抽樣或觀察以收集更多的證據。一般而言，受稽單位所提供的相關記錄應至少要有3個月，稽核人員可從不同的時間點或是透過不同的受訪者，來獲得可供判斷的有效資訊。
發展出稽核軌跡：稽核人員在執行稽核的過程中，所獲得的各項證據都必須要留下記錄，也就是在稽核工作底稿中，需要記載所審查的文件名稱、版本，同時包括訪談對象的職稱、回答的內容等，以作為前後比對與確認證據的關聯性之用，此一記錄更可作為稽查不同項目時，發現潛在因果關係的參考。
良好的時間管理：稽核的時間是事先排定的，也就是在執行稽核的當天必須按照表定行程來進行，如果時間沒有妥善掌握好的話，將會影響到接下來的稽核項目，很可能就會遺漏應稽查的事項而損及稽核報告的有效性。萬一發生時間延誤的情況，應盡快向稽核團隊尋求支援，以避免引發負面的連鎖效應。

追蹤確認改善

一開始我們即提到，內部稽核可秉持之前所提到的PDCA模式來進行，顯而易見的我們知道在稽核計畫階段是P、實地執行稽核是D，那麼C和A呢？兩者當然也不能遺漏掉，在這裡的C是指在稽核結束之後，當天會連同受稽單位舉行稽核結束會議，在會議中主導稽核員必須報告當天的稽核發現，並說明是否有未達標準要求的不符合事項，同時請受稽單位進行確認，如果對於不符合事項有任何意見，受稽單位也可當場提出討論，會後的決議結果將會作成正式的稽核報告。

所以，稽核工作到此就順利完成了嗎？當然不是，如果在稽核過程中發現了不符合事項，依據ISO 27001標準的要求，還必須進行follow-up活動，也就是受稽單位必須採行改善措施，以使造成不符合事項的原因消失。內部稽核的A即是指最後還要進行追蹤確認的改善行動，這樣才可使組織的資訊安全管理制度更臻至完善。那麼到底該由誰來負起整個改善行動之責呢？且聽下回分解。(本文刊載於2009年10月號網管人雜誌)

[專題] 資訊安全管理導入實務(三) - ISO 27001的文件化要求

Wed, 24 Feb 2010 05:49:00 +0000

在上一篇，已說明了ISO 27001標準中有關「實施與運作ISMS」、「監督與審查ISMS」，以及「維持與改進ISMS」的作法，並且提到People(人員)、Process(流程)和Product(產品)是資訊安全管理的基礎，如果要將此三者在組織中予以串聯落實，那麼撰寫明確並可供參考的文件就顯得十分重要。

在ISO 27001標準中，開宗明義即提到它的適用範圍涵蓋了各種形式的組織，包括商業團體、政府單位和非營利機構等，標準中規定應在組織整體的營運活動和其所面臨的各種風險中，建立、實施與運作、監督與審查、維持與改進「已文件化」的資訊安全管理系統要求。有關ISO 27001標準的文件化要求，主要是在4.3條文中說明，其所謂的文件化，除了政策的宣示、制訂作業程序規範及表單之外，還包括了管理階層針對資訊安全相關活動，進行各項決策所產生的記錄。

標準要求留下記錄的目的，是為了確保組織所實施的各項資安控制措施，都可以進行追溯，以便了解管理階層是在什麼時間點做出什麼樣的決定。因此，管理階層的各項決策記錄，應該是會不斷重覆產生的，透過這些決策記錄，就可以顯現出管理階層的作為，是不是依據風險評鑑的結果作出適當的風險處理，而不是僅憑個人臆測所作出的指示行動，也更能了解其資安作為是否符合組織的資訊安全政策，並且和組織的整體風險具有明確的關聯性。

ISO 27001要求的文件

組織在導入ISO 27001標準的過程中，需要產出的文件至少包括：

資訊安全政策：在標準本文的4.2.1(b)中提到，組織應依其營運型態、所在位置、資產及技術等各項特性，來制定其ISMS政策，在政策中需要陳述確保資訊安全的目的為何，以及有關資訊安全的行動準則與目標。一般而言，資訊安全的目標不會脫離確保資訊的機密性、完整性和可用性，但是為達到以上的資訊安全目標，在資安政策中應定義出可量化的指標，例如可歸責於資訊單位的駭客入侵和資料外洩事件，經外部通知後尚未處理的事件目標值為0；或是重要應用系統的可用率應高於99%等。另外，組織應考量本身適用的法令法規要求，以及合約規範的內容，在資安政策中說明應有的資訊安全義務，還有管理階層本身應盡的責任，使其在執行管理工作時能有明確的依據。

支援ISMS的各項程序書：為了符合ISO 27001的要求，組織需要加強資訊安全的控管，也就必須建立起各種不同的標準作業程序。常見的作業程序有資訊資產管理程序、網路安全管理程序、資訊存取控制程序、實體安全管理程序、資訊安全事件管理程序和資訊作業委外管理程序等。

風險評鑑方法論：關於風險評鑑的方法，通常會寫在風險評鑑與管理程序之中，說明組織是如何去識別威脅與弱點所產生的風險，以及風險值的評價與計算方式，並定義出可接受的風險等級。風險評鑑方法最重要的就是必須能夠產生可比較和可重複的結果，也就是說，同樣的風險評鑑方法應該能反覆實施，而其所產生的結果可以用來相互比較，以了解組織前後所面臨的風險現況。

風險評鑑報告：在風險評鑑報告中，必須記載此次風險評鑑的範圍和執行風險評鑑的時間，並且說明風險評鑑作業的執行方式與流程，若是首次執行風險評鑑作業，一開始需進行的是資訊資產的識別與盤點，若是重新進行風險評鑑的話，則是要確認組織是否有新增或是異動的資產，並給予適當的資產價值。至於風險的分析，則是要確認是否有新的威脅與弱點產生，並且判斷每一項資訊資產中，威脅利用弱點而產生風險的可能性。最後則是要說明本次風險評鑑的結果，有哪些資訊資產的風險值在可接受的風險之上，以列表方式把它呈現出來。

風險處理計劃：根據風險評鑑報告的結果，組織必須針對風險過高的資訊資產，決定所要採取的風險處理方式。一般而言，最常採取的作法就是降低風險，因此需要提出改善的作為或是控制方法。在風險處理計畫中，除了說明以上的處理方式外，最重要的是要指定一位負責人或負責單位，並註明預定完成處理的日期，以及預期將獲得的改善效益，也就是說明將如何去降低資訊資產的風險值。

控制措施的有效性量測：組織所採取用來降低風險的控制措施是否有效，不是自己說了就算數，而是必須有一套客觀的量測方法，以證明所面臨的風險已經被有效的控制住。針對有效性量測，在ISO 27001標準中著墨的並不多，它提到組織需要確保有效規劃、運作和控制其安全過程，並描述如何去量測控制措施的有效性。在4.2.3條文中則指出，量測控制措施的有效性，目的就是要能證明組織已符合ISMS的各項要求，因此，組織所選擇採用的控制措施，每一項都要說明其量測的方法和量測的指標，並且記錄其量測的結果，以便稽核人員在審查時能夠一目瞭然，判斷選擇用來降低風險的控制措施是否適當。

適用性聲明書：適用性聲明是用來陳述在資訊安全管理的過程中，組織依據風險評鑑的結果，決定選擇適用或不適用的ISO 27001附錄A控制措施。ISO 27001標準中所提到的133項資訊安全控制措施，並非每一項都要求強制實行，而是可依照組織實際的運作狀況和評鑑後的風險來自行決定。只不過，如果控制措施適用的話，必須指出其參考的文件為何，不適用的話，則要說明其理由。舉例來說，例如A.9.1.2實體進入控制措施，其採用的理由是為了確保只有經過授權的人，才能進入如機房等敏感實體區域，所以制訂了人員出入管制規範，而這項控制措施所參考的文件，則是實體安全管理程序和機房管理作業要點，讓相關人員可依照文件中的要求規範來遵照執行。

文件管制防護與作法

在ISO 27001標準中的各項作業程序文件，可說是整個資訊安全管理制度運作的骨架，因此在4.3.2文件管制的條文中，提到這些所需的文件應受到適當的保護與管制，其要求的作法如下：

在文件發行之前，必須要有管理階層的核准，以確保文件內容的正確與適用性。
如果因組織變動或作業流程的更改，在必要的時候，ISMS文件可以進行修訂與內容更新，但是必須經過管理階層的重新審查與核准後，才可頒布使用。
文件如果經過變更或修訂，應該採取適當的標示，例如註明文件名稱、文件編號與版次，並且在變更記錄中記載修訂的內容摘要、頁數、發布日期、修訂日期及修訂人員。
文件必須確保其內容易於識別和閱讀，並且要讓需要使用的人員能夠隨時取得，使用到最新版本的文件。
文件的分發必須進行管制，依照不同文件的敏感等級，提供給授權的人員使用，並且依照其所要求的資料交換作法，進行傳送和儲存。
文件若需要作廢時，應依據作廢流程確實執行，以避免作廢的文件遭到誤用，在特定的情況下，如果需要保留作廢的文件，也應該要有清楚的標示。

記錄管理要求與維持

除了各項文件需要受到適當控管之外，在ISO 27001標準4.3.3記錄管制的條文中，要求各項記錄應加以保護與管制，尤其是在法律或合約中有明訂要求保存的，更應該要有良好的控管。因此，在ISMS運作的過程中，所產生的各項活動記錄，也應該要被適當的保存，以作為管理制度有效運作的證據。所謂的記錄，包括像是機房人員的進出記錄、敏感資訊的存取記錄和資訊安全稽核報告等，都應保持容易閱讀、識別和檢索，並有適當的儲存方法與保存期限，而無論是文件或是記錄，都可採取紙本或電子形式，儲存於受到良好防護的實體，例如檔案室或硬碟、磁帶之中。

至於本文一開始所提到的「已文件化」程序，乃是指組織有一建立、文件化、實作和維持的程序，因此針對各項ISMS需要的文件與運作記錄，每個組織可能會有不同的文件化程度，但是在文件與記錄的管制要求上，兩者並無差別。所以，組織若想要維持一個有效且持續運作的資訊安全管理制度，那麼在文件與記錄的管理方面，勢必得要建立起符合標準要求的作業規範。(本文刊載於2009年9月號網管人雜誌)

[專題] 資訊安全管理導入實務(二) - 實施與維護資訊安全管理系統

Mon, 08 Feb 2010 14:03:00 +0000

在上一篇，介紹了目前廣泛被認可的資訊安全管理標準ISO 27001，可以作為企業建立資訊安全管理制度(ISMS)的參考規範，並且說明了支持管理制度運作的PDCA架構和「建立ISMS」條文的內涵，本篇將繼續說明標準中有關「實施與運作ISMS」、「監督與審查ISMS」，以及「維持與改進ISMS」的作法。

資訊安全是一個管理過程，在建立資安管理制度的過程中，主要會牽涉到三個P，分別是People (人員)、Process (流程)和Product (產品)，而在此三者之中，又以人員可說是管理制度成敗的首要關鍵。因此，在企業建立資安管理制度的初期，要如何找到對的人來執行，也就是如何成立一個資安管理推動小組，驅動企業成員的參與，將是首要的任務，接下來才是去思考如何建立起安全的作業流程，然後在作業流程的各個階段，導入適當的資安技術產品，以作為資訊安全的控制措施。

就目前個人所觀察到的現況，大多數企業對於資訊安全的管理，主要仍是落在導入產品的這一部份，所採取的作法也偏重在頭痛醫頭、腳痛醫腳，缺少一個有效完善的資安對應策略。相關人員對於資訊安全的概念，也是來自於銷售資安產品的廠商，往往會受限於只從技術的觀點出發，而忽略了管理的要求，以為添購了市面上最流行的產品之後，就可以解決所面臨的資安問題，但是事實上，資料外洩或是不當的入侵事件，在企業內仍舊是層出不窮。

實施與運作資安管理制度

在上回所談到建立ISMS的過程中，我們必須界定能夠識別企業風險的風險評鑑方法，並且運用此一方法去識別企業各項具有價值的資產，評估資產本身所具有的弱點，以及所面臨的威脅是否會利用這些弱點，可能對企業造成機密性、完整性和可用性的衝擊，然後再針對分析和評估各項風險的結果，依據所計算出的風險值大小和風險等級，決定要如何進行風險處理，也就是要選擇實施哪些資安控管措施。至於這些控管措施的作法，可能是透過建立標準作業流程來因應，或是添購產品以技術方法加以解決。

在ISO 27001標準4.2.2「實施與運作ISMS」條文中提到，我們要去建立一個風險處理計畫，評估企業現有的環境、資源和責任，然後制定出風險處理的優先次序。在風險處理計畫中，人員的調派和責任的配置相當重要，針對各項想要處理的風險，我們必須指定一位負責人，並說明要採取何種方式去降低此項風險及處理時間，如果是導入產品，就要擬定導入產品的時程，以及預估其可達到的控制成效。

其中特別要注意的是，在產品還無法負起資安防護的工作之前，必須選擇短期的對應措施。舉例來說，若企業所分析出的風險是敏感作業區域缺少門禁管制，採取的風險處理方法為添購門禁刷卡系統，但是預估要三個月才能建置完成，那麼在這三個月之內，缺少門禁管制的風險依舊是存在的，我們必須要實施短期的控制措施，先行控制這項風險，具體作法像是可調派警衛執行定點監控，檢查出入人員識別證等，以避免可能的資安事件發生。

到了運作ISMS的階段，企業必須要能確保所選擇的控制措施是有效的，換句話說，可以透過量測的方式，來評估控制方法的有效性。俗話說：「預防勝於治療」，所以在量測指標的設定上，我們應以設定偵測性指標為主，而避免把發生資安事故的次數作為量測的指標。例如在資料安全性的量測方面，我們可以用人員違反作業規範的次數來進行評量，而不是以發生資料外洩事件的件數作為量測的指標。

監督與審查資安管理制度

為了確保資安管理制度能夠有效運作，企業必須要有適當的監督方法，像是剛才提到可以設定量測性指標作為控制措施是否有效的衡量依據，因此，若想要去進行量測，就要事先擬定出可行的監督審查程序。在ISO 27001標準4.2.3的條文中提到，我們要能立即識別出可能危害資訊安全的事故發生，也要能夠判定所選擇的控制措施，都能如預期般地順暢運作執行。所以針對每項控制措施，就要在監督程序書中說明我們多久會進行一次有效性量測？如何去判定此項控制措施是否有效？多久會進行一次管理階層的審查？並且還要將安全稽核、發生的資安事故、有效性量測的結果，以及利害關係人所提出的建議，一併納入考量。

對企業而言，想要了解制度是否有效的執行，最常採取的作法就是定期實施內部稽核。所謂的內部稽核是指由企業內獨立的公正單位，像是稽核室人員，依照企業本身所遵守的標準、制度和法規，事先擬定查核項目，然後進行實地訪查和抽樣，以了解管理制度是否如文件中制定的要求來進行。在稽核的過程中，若有各項符合或不符合事項的發現，都要留下包括人、時、地、事、物的完整記錄，以作為未來管理階層審查時的輸入參考，藉此才能提出未來的改善目標和計畫。

維持與改進資安管理制度

企業透過定期實施的資安稽核，就可以了解目前資安管理制度的執行現況，從中發現人員、作業流程和產品技術是否有不足或是需要加強改進的地方。因此，在標準4.2.4「維持與改進ISMS」條文中提到，企業需要定期實施各項ISMS之改進，並依據所發現的不符合事項，進行適當的矯正和預防措施，像是作業文件的修訂、實施人員的教育訓練、加強技術性的弱點防護等，目的就是要達到預期的改善目標，並且確認各項資安控管措施是有效的，才能將可能的資安風險降至最低。

在ISO 27001標準的4.2條文之中，關於建立ISMS的篇幅較大，敘述也較為詳盡，這部份是企業一開始最用心且投入較多的地方，反觀維持與改進ISMS的內容，它說明應執行的事項並不多，也是整個管理制度中，很容易忽視或執行不夠徹底的地方。記得在西遊記裡有句諺語說：「起頭容易結梢難」，意思是指事情的開頭容易，但是要有令人滿意的結果卻很難。所以在此要提醒各位，可別忘了要確保資安管理制度可以有效地運作，就必須要持續PDCA的管理模式，例如維持與改進ISMS是屬於A的階段，若是沒有確實的執行，要再次銜接到下一循環的P就會有困難，可能會導致整個管理制度難以持續有效地運作下去。

熟悉標準將可事半功倍

所謂的管理制度，往往是說來容易做來難，以ISO 27001為例，在這薄薄數十頁的標準內容中，其實有著相當博大精深的內涵，要能夠完全理解它並不容易，但參照標準的好處是，可以快速地掌握各項資安管理制度的重點，然後再依據組織的現況和資源來予以彈性的運用。

至於本文一開始提到的三個P，則是執行資安管理的基礎，同時三者也是不可偏廢的，換句話說，想要只依靠單一要素來達到有效的資安管理，可說是難上加難，唯有融合專家智慧所凝聚出的標準規範，再讓上述三者能夠相輔相成，這樣才可達到事半功倍的效果，對於有心想落實資訊安全的企業，標準才會變身成為一項切實可用的神兵利器，而不只是所謂的紙上談兵，下一篇，將會說明ISO 27001針對管理制度的各項文件化要求。(本文刊載於2009年8月號網管人雜誌)

[專題] 資訊安全管理導入實務(一) - ISO 27001資訊安全管理系統簡介

Mon, 01 Feb 2010 03:01:00 +0000

推動資訊安全工作，主要涵蓋的層面包括人員、作業流程和資訊技術，要如何將此三者串連起來，最好的方式就是建置一套適合組織的資訊安全管理制度。目前，實務上最好的參考指引就是國際資訊安全管理標準ISO 27000系列的規範，接下來的文章，將會說明如何協助組織導入符合標準要求的資訊安全管理制度。

一談到資訊安全，大多數人的直覺反應就是在抵擋駭客入侵，但事實上，這只是其中的一小部分而已。過去，許多企業組織對於資訊安全的投入，主要都是著重在技術面的資安基礎建設，例如建置網路防火牆、防毒軟體和入侵偵測系統等，希望藉由安裝資安軟、硬體設備來加強網路安全，以抵擋來自企業外部的各種資訊安全威脅。

可是，僅僅做好網路安全防護，並無法有效地解決各種資訊安全問題的發生，因為還有兩項大原則必須要同時兼顧到，那就是人員與作業流程。因此，確保組織資訊安全的最佳方式是從管理層面來著手，藉由建立一套完整的資訊安全管理系統(Information Security Management Systems, ISMS)，才能有效防範資訊安全事件的發生，但是資訊人員們可千萬別誤會，這裡的「系統」指的並不是架設一台伺服器或是開發某個應用系統，它背後代表的意義，其實是要建立可以持續運作的資訊安全管理制度。

資訊安全管理標準簡介

目前，ISO 27000系列是國際上受到認可的資訊安全管理標準，其中在2005年通過的ISO 27001標準，它是規範建立、實施資訊安全管理系統的方式，以及落實文件化的要求，可以確保資訊安全管理制度，在組織內部能夠有效的運作，同時它也可以作為資訊安全管理系統的驗證標準。截至2009年6月為止，在全球已經有超過5600個組織通過驗證，台灣也有321個組織(包括公民營單位)取得ISO 27001證書，僅次於日本、印度、英國，位居全球第4位。

至於ISO 27002則是資訊安全管理作業要點，內容涵蓋了11個章節以及133個安全控制措施，提供很多實務上能夠運用的做法，可作為建立一個標準的資訊安全管理系統的參考。如果管理人員想要協助組織建立資訊安全管理制度，卻不知應該要如何著手時，就可以參照這個標準的內容來進行。

在ISO 27001標準中的要求，都是屬於一般性且可廣泛應用的，也就是說，它適用於任何型式的組織，而不受限於規模大小和營業性質。因此，只要是有心想要加強資訊安全的企業或政府單位，都可以藉由參考ISO 27001中的規範，自行選擇符合組織需求的資訊安全控制措施，來達成一定水準的資安防護能力。

管理制度的運作架構

在資訊安全管理系統的運作上，ISO 27001要求組織應該要在整體業務活動與其所面臨的風險之下，建立、實施、運作、監控、審查，並且維持和改進一個已經有文件化的管理制度，如果要確保它可長可久，就必須要運用PDCA(Plan-Do-Check-Act)過程導向模式，作為整體管理制度運作的基礎。

所謂的PDCA是指「計劃-執行-檢核-行動」的過程，在一開始的計劃階段，組織必須要建立符合營運目標的ISMS政策，它定義了組織實施ISMS的範圍，並說明資訊安全的目標、需要透過哪些指標去衡量成效，以及管理階層應該擔負的責任。因此，資訊安全政策也可視為管理階層對於資訊安全的宣誓與支持，唯有如此，到了執行的階段，我們才可依照此一政策來逐步推動各項資安的控制措施，並且建立相關的作業程序。

在依照計劃並且執行之後，要如何得知實施的成效呢？這時候就要進入檢核的階段，針對ISMS政策、控制目標及實行的過程，依照政策中所設定的指標去分析、評量實施的成果與績效，然後再將此一結果回報給管理階層作為審查之用。最後，再依據審查的結果，若是發現執行過程中有一些不符合的事項，就要透過實際行動來進行改善，也就是採取相對應的矯正和預防措施，來持續改進ISMS的整體運作。

ISO 27001標準條文內容

ISO 27001標準條文一共分為8個章節以及附錄，其中第1到3章，說明了ISMS的適用範圍、所引用的其他標準，以及相關名詞的解釋。ISO 27001條文的重點主要是落在第4到8章和附錄A，分別是「資訊安全管理系統」、「管理階層責任」、「ISMS內部稽核」、「ISMS之管理階層審查」、「ISMS之改進」，以及附錄A的控制目標與控制措施。其中特別要注意的，就是在這5個章節之中，涵蓋了資訊安全管理制度的建立運作與文件記錄管制、風險評鑑、管理責任、內部稽核和持續改善等要求，如果組織有任何一項不符合，就表示此一管理制度是無效的，也就無法通過ISO 27001標準的驗證，所以務必要了解條款背後所代表的執行意義。

為了滿足以上所提到的PDCA架構，在ISO 27001標準條文中，也是基於此一運作模式來設計，以第4章為例，4.2.1是「建立ISMS」、4.2.2為「實施與運作ISMS」、4.2.3是「監督與審查ISMS」、4.2.4則是「維持與改進ISMS」，剛好就對應了從計畫建立(P)、實施運作(D)、監督審查(C)及維持改善(A)的四個循環過程，換句話說，只要組織能夠持續PDCA的管理模式，就可以確保資訊安全管理制度可以有效地運作。

以下就先簡要說明4.2.1「建立ISMS」條文的內涵：

定義ISMS範圍 - 在此條文中，要求組織首先要依據營運、組織、所在位置、資產和技術等特性，定義出資訊安全應受到適當控管的範圍。我們可以依照組織本身的特性，以部門、系統、業務項目或實體環境來定義所要實施控管的範圍，舉銀行業為例，我們可以選擇銀行資訊部門作為導入ISMS的範圍，也可以將信用卡這項業務服務相關的部門、人員、流程或是信用卡服務中心所在地點作為實施範圍。在實務上，當組織在定義範圍的時候，請僅記一項原則，就是務必要把核心的業務納進來，因為別忘了我們一開始即提到，資訊安全的目標要與營運目標一致，如果不針對主要業務來進行資安控管，實施起來就不具有意義了。
界定ISMS政策 - 在制定政策的時候，我們需要考量組織營運與相關法規的要求，還有合約中所制定的資訊安全責任，例如法律要求必須要保障個人隱私、保護重大營運資訊，或是合約中要求必須保護客戶資料等，這些都是我們設定資安目標時的重要依據與參考。另外，在ISMS政策中，我們也要建立可以用來評估風險的準則，並且要能符合組織的整體風險管理策略。
界定風險評鑑作法 - 風險評鑑有各種不同的方法論，讀者可參閱網管人二月和三月號中有關資安風險管理的說明，自行發展出可以識別組織風險的方法，並定出風險可以接受的等級。標準之中對於風險評鑑方法的要求，在於風險評鑑後所產出的結果，必須是可比較且可再產生的，換句話說，風險評鑑的方法，必須能夠重複使用，而且在不同時期進行的風險評鑑，其結果皆可用來相互比較分析，以作為風險處理與改善的方向。
管理階層審查 - 標準中提到在風險處理之後，所殘留下來的剩餘風險，必須要取得管理階層的授權與核可，整個風險處理過程才算完成。
擬定適用性聲明書 - 所謂的適用性聲明是指針對資安風險所選擇的控制目標與措施，組織必須要說明其選擇的理由，另外，在標準中所排除的控制項目，也必須要提出合理的解釋。適用性聲明的主要目的，是為了要確保不會有存在於組織中的資安風險，受到忽略而缺少適當的控管。

資訊安全是一個管理過程

資訊安全是一個管理過程，而不是一項技術導入過程，在ISO 27002標準中提到，「資訊安全是為了有效保護資訊不會受到各種威脅，實施各項適當的控制措施，以使企業能夠持續營運，將可能受到的損失降至最低，並獲得最大商機。」所以，維護資訊安全並不單只是資訊人員的責任，而是必須提高層級由企業組織的管理階層做出承諾，要求成為所有人員必須遵守的規範，也唯有人員都具備了資訊安全的警覺與防護意識，才能降低資安事件發生的可能。(本文刊載於2009年7月號網管人雜誌)

舊留言存檔

以下留言轉存自原 Blogger 網站，僅供存檔，無法回覆。

Dr security（2010-02-07）

您好，很喜歡您整理的資料，我個人是在安全監控業服務的(包括ip cam)，剛成立一個BLOG，有興趣的話，可以前來指導一下，謝謝。 http://securitypro-anny.blogspot.com

傑克小花（2010-02-07）

您好，謝謝您的回應，安全監控也是資安的重要一環，您能在Blog上分享寶貴的經驗那真是太好了呢，也希望日後能與您多交流喔~

阿樹（2012-06-21）

最近看資策會好像有開ISO27005 RA 的認証課。不知道這個認証。是否有考的必要性呢?

傑克小花（2012-06-21）

Hi 阿樹, 如果您的工作是和資安與風險管理有關，那麼 ISO 27005是一個蠻好的參考標準，它可以協助您進行資安的風險評鑑和風險處理，對於風險管理的全貌也會有更完整的認知喔~

[觀點] 防範網路大軍的惡意入侵

Tue, 26 Jan 2010 07:48:00 +0000

資安的防禦工作和攻擊手法比較起來，事實上難度更高，也很難全面地加以兼顧。在網路攻擊氾濫的今天，網管人員只要稍有鬆懈，很容易就會受到來自四面八方的惡意入侵，一旦使用者電腦或服務主機受到操控成為跳板，隨之而來的就是更多令人頭痛的問題。

相信大多數六年級生和更年長的朋友，都曾經歷過殭屍電影的熱潮，在電影中道長只要憑藉手中的符咒，一一黏貼在殭屍的頭上，然後一搖手中的法鈴，就能操控所有殭屍行走跳躍的方向。在這個網路盛行的年代，也有所謂的殭屍網路(Botnet)出現，它是指一群受害者的電腦受到操控，成為受人擺佈的「殭屍」，可以被惡意人士利用來發動大規模的網路攻擊，或是從事散布垃圾郵件或病毒的惡意行為，而且這些攻擊往往難以追查到幕後的真正控制者。

為什麼電腦會變成「殭屍」？可能的原因有很多，但比較顯而易見的原因則有二個，一是管理人員平時未做好管理工作，讓電腦缺少適當的防禦機制，例如未安裝防毒軟體、未修補作業系統漏洞等，造成使用者的電腦具有容易入侵的弱點，進而感染了木馬或病毒等惡意程式。另外一個原因則是使用者本身缺少了資安意識，喜歡點選開啟來路不明的電子郵件或檔案，或是濫用電腦去下載非法軟體，導致電腦很快就變成殭屍大軍中的一員。

殭屍網路危害的情況

過去，殭屍網路大多被用來作為癱瘓他人網站的利器，只要透過同一時間操控大量的殭屍電腦，發動分散式的阻斷服務攻擊，往往就會造成企業的網站難以招架而停擺，網管人員也很難在短時間內就能找出攻擊的源頭並加以阻擋。殭屍網路也能被用來作為發送垃圾郵件的工具，藉由不斷轉換不同的受害電腦當做發信主機，就可使得過濾郵件黑名單的功能容易因此失效。

隨著網路廣告服務的盛行，殭屍網路更被用來和地下經濟做結合，利用操控分散在各地的電腦，針對特定線上廣告進行點擊，就可以獲得廣告的收入，此一類型的手法，被稱之為「點擊詐欺」。換句話說，殭屍們已不再像以往只具有單一功用，而是會隨著情境設定的轉移，即可成為駭客們手中操弄的不同角色，而探究其目的，多數都是為了獲得不法利益才來進行。

如今，殭屍的行為模式也變得更加有組織，除了以廣告點擊方式來獲利外，目前最新的手法是可以竄改Google的搜尋結果，以假的廣告連結來加以替代，每當不知情的使用者一點擊，也就成為幫忙駭客賺錢的工具之一。殭屍網路還能夠幫助駭客蒐集各項有價值的資訊，例如個人電腦上的使用者身份資料、帳號密碼，以及信用卡號等，根據加州大學的研究人員指出，在短短十天內，殭屍網路即有能力獲得高達70G的使用者資訊，藉此可獲得高遠數百萬美元的不法利益。

至於目前很流行的社交網路，使用者若一不小心，也很容易成為殭屍網路中的一份子。根據希臘Foundation for Research and Technology機構的研究顯示，只要透過在社交網路上的應用程式，分享圖片給使用者瀏覽，透過此應用程式中所隱藏的框架，就可以驅使使用者的電腦向特定的主機傳送網路流量，除了可用來當作實行阻斷攻擊的跳板，還能夠竊取其他使用者帳號並散播惡意程式。

從殭屍網路到鬼網間諜

除了殭屍網路之外，如今更出現了一個新名詞，叫做「鬼網」。根據加拿大的研究人員指出，在最近兩年之內，包括台灣等世界共103個國家，有1295台政府和民間企業組織的電腦，都曾經遭到間諜滲透，一旦這些電腦被植入了惡意軟體，駭客就能在遠端監控使用者的行為，還能夠開啟電腦上的網路攝影機，監視四周的環境動態，許多包括國家級的機密文件，恐怕也已經遭到竊取。

以往要滲透他人的電腦，往往會採取網路釣魚等社交工程手法，透過發送內含惡意軟體或惡意連結的郵件來引誘使用者上鉤。但是研究人員表示，鬼網的運作主要是有系統地針對特定目標，以便可獲得一開始即鎖定的機密資訊，而且它極有可能是透過國家的力量發起，儼然成為一種新型態的資訊戰爭。

這樣的手法，是否也會被運用在商業環境中，仍有待觀察。但依照以往經驗，商場如戰場，各種商業間諜的案例仍然層出不窮，相信只要是有利可圖，惡意人士應不會輕易放過這塊大餅，所以相對的，這也是給企業的一道警訊，在未來的商業競爭中，很可能也會面臨這種非法的手段，是否該及早作好準備，也考驗著企業經營階層的反應能力。

網路威脅的應對之道

一開始即提到，防禦這件事在資安工作中，可能遠比入侵他人的難度要高出許多，所以企業要如何因應，在千頭萬緒中究竟該如何做起？個人的建議是盡量以簡御繁，先從簡單能做的著手，也就是先回頭檢視企業現有的環境，擬定防禦策略，並及時修補可能的安全漏洞。

因此，企業可以從管理面開始，首先擬定網路的安全政策與規範，不過在擬定之前，需要全面檢視現有的網路架構，建議可以由外向內，一層一層地確認目前的安全設備，是否已處於正確位置並發揮作用，同時也要進行服務主機的強化，然後再到使用者端進行弱點補強。網管人員可以進行的工作，包括：

檢測防火牆的存取政策是否適當，是否開放了企業不允許的網路服務和通訊埠，當需要變更存取政策時，應依照企業擬定的變更管理程序來進行。
檢視入侵偵測防禦系統的特徵比對是否能持續更新，並確認封包本身的檢測深度是否合理有效，同時可評估是否進一步與網路安全設備連動，以進行聯合防禦。
檢視相關的網路設備所使用的作業系統和韌體是否為新版，以避免可能存在的安全漏洞，必要時可請設備廠商協助予以更新。
確認網路設備的管理帳號和密碼，是否有一定的控管程序，避免使用預設的管理帳號，並要求密碼具備一定的強度(例如大小寫數字混合，長度8碼以上)。
定期檢視網路設備的活動監控記錄，並進行網路設備的效能評估，以確保相關設備不會因特定連線或流量的增加，導致無法負荷而停擺。
確保網路防禦機制能夠持續運作，因此適時的備份與回復演練是絕對必要的，當大量的網路攻擊和新攻擊手法出現時，若能和外部資安專家或維護廠商在平時就建立良好的聯繫管道，在戰時就能適時的尋求外部支援。

總結

網路安全的攻防之間，似乎是一項永無止盡的工作，但是藉由基礎防禦機制的強化，就能獲得相對的安全保障。當然，在此也要提醒網管人員，千萬別一昧地追求技術上的控制，而忽略了適時的管理手法反而簡單有效。所以在使用者方面，除了透過技術機制協助使用者更新防毒軟體及病毒碼，修補作業系統的安全漏洞之外，更需要讓使用者具備一定的資安認知，包括了社交工程的防範、電子郵件的應用安全、上網瀏覽的安全注意事項等，因為使用者的教育訓練，往往就是有效且成本最低的防禦策略，可藉此來大幅降低日常作業所面臨的資安風險。(本文刊載於2009年6月號網管人雜誌)

[觀點] 談即時通訊的安全管理

Fri, 22 Jan 2010 09:11:00 +0000

即時通訊軟體對愛用網路的現代人而言，已是除了手機之外最常用來和親朋好友溝通的工具，隨著即時通訊的功能愈來愈強，資安問題就更加不能忽略，在用與不用之間到底該如何取捨呢？

早在十多年前，當聽到電腦發出一聲「喔喔~」的時候，就知道週遭有人正在使用ICQ在聊天，ICQ作為即時通訊的開創者，在當時掀起了一股熱潮，讓許多身處在世界各地的朋友，能夠打破時空的距離，即時地傳遞彼此的訊息。

雖然在一開始，ICQ主要作為個人聊天用途，但因為簡單易用的介面，以及可顯示目前的使用狀態(如離開、忙碌、離線)，也深獲知識工作者的好評，紛紛利用它作為商業溝通和客戶服務的工具。不過，隨著MSN、Yahoo Messenger和QQ的興起，ICQ在華人的世界裡已逐漸被遺忘，這些新一代即時通訊軟體的出現，雖然有著更為華麗的介面和表情符號、聲音影像的傳輸功能，但也帶來更多令人意想不到的問題。

即時通訊的資安事件

在2001年，從第一隻即時通訊病毒WORM_MENGER.A開始，即時通訊也成為病毒作者和駭客們另一個練功的好地方，它充分利用了人們的好奇心，以及對於即時通訊名單上都是好友們的信賴，透過傳送網址連結與分享的檔案，就讓整個的惡意感染行為如滾雪球般地不斷擴大。

到了2005年，還是有資安專家不斷呼籲提供即時通訊軟體的廠商，必須要跟上駭客的腳步，迅速地修補安全漏洞，以避免災害持續擴大。此外，在2007年則是有某位台灣女大學生，在網路上購買拍賣物品，並利用MSN messenger和位於中國上海的賣家連繫，後來該賣家以網路拍賣所使用的台灣帳戶被停用，要求女大學生協助以其名義申請新帳戶，女大學生竟將提款卡以快遞送到大陸，接著就被利用成為販賣盜版光碟的人頭帳戶。即時通訊的方便性竟也成為詐騙集團，用來作為跨國跨區域的新興犯罪工具。

即時通訊的潛在風險

即時通訊讓訊息的傳遞更加方便快速，因此對商業運作的好處包括了：可跨越地理區域的限制，減少長途電話的使用；可多人即時進行會議，以節省公司的差旅費；可直接分享傳送檔案，還可用清晰的語音和影像視訊對談等等。對員工的好處，則是能夠同時與多人對談並即時回應，可即時在線上解答顧客問題，不再需要等待電子郵件的回覆，可大幅提高工作效率。

不過，對資訊管理人員來說，即時通訊軟體會不會產生資安問題，該如何去管理可能的風險？是否應該如同管理其他服務，像是電子郵件、網站安全等等一樣來加以重視？才是另一個令人頭痛的問題。

目前，即時通訊會產生的資安問題，大致有以下幾種：

惡意程式感染 - 歹徒製作專門針對即時通訊的惡意程式，一旦使用者中毒之後，即會隨機且大量散布惡意檔案(如病毒、木馬)，造成大規模的感染，並干擾網路的運作。

散布垃圾訊息 - 即時通訊的使用者在中毒之後，多半會在不知情的情況下，被利用來散布惡意連結，導致親朋好友們一併受害。

竊取不當資訊 - 供公眾使用的即時通訊是開放的，容易遭到竊聽，另外所洐生出的網路釣魚手法，會利用各種名義來騙取使用者帳號和密碼，假冒身分而造成更多社會問題。

成為洩密管道 - 除了包括對話中談及的個人隱私和商業資訊，有可能遭到截取之外，另外傳送檔案的功能，也可能被惡意的員工，用來傳送違反企業安全政策的內部機密檔案。

從角色和範圍進行管理

如果即時通訊的威脅，已經足以影響企業日常的營運活動時，那麼為了確保不會造成業務的中斷，強制禁止即時通訊軟體的使用，可算是一項釜底抽薪的做法，但這也很可能引起原本使用者的反彈，這個時候究竟該禁或不禁，就演變成為管理階層的兩難。

從資安的角度而言，到底該全面禁止或全面開放，是有一些討論空間的，尤其是與其完全禁止，改為採取替代辦法來有限度地開放，也是管理決策上面的一個選項，在決策之前，建議管理人員可以思考的方向有：

定義使用者的角色 - 在企業組織中，到底誰需要使用即時通訊軟體？要用來做什麼？這將是決定是否開放或禁止的首要考量，一旦角色清楚了，就可以思考該如何來管理。舉例來說，某線上購物公司，不允許一般人員在公司使用即時軟體，而是僅開放給客服人員利用它來進行客戶服務，所以針對客服人員，都會進行適當的教育訓練，以了解使用時的相關規範。
定義合理使用的範圍 - 定義在哪些地方可使用？使用的方式為何？清楚的定義企業對於即時通訊控管的方式與目的，可讓使用者明白為何要禁止或限制即時通訊的使用。實務上即有企業認為在內部開放使用即時通訊風險太高，所以採取技術方式全面封鎖，僅開放在外部的出差人員可以使用。
使用責任與隱私保護 - 在使用責任方面，企業宜明訂適當的獎懲方式，以公告向員工告知違反規定時的懲處辦法。如果企業已針對即時通訊內容進行監看與記錄，也應公開向員工說明企業監看的方式，例如是否進行關鍵字過濾或內容的側錄，以尊重員工的個人隱私權。
平台與技術的採用 - 企業要直接選用已供公眾使用的即時通訊軟體，還是另外建置商業用的即時通訊方案，應在事先評估目前的運用與管理需求為何，並檢視其與現有環境的相容性，以判斷導入後是否會產生可能的安全弱點。

技術控管與教育並重

在選擇相關技術方案時，資訊管理人員首先應考量的是，到底要控管哪些即時通訊軟體？是否可自訂控管的方式？如果允許即時通訊軟體進行檔案傳輸，是否可提供惡意程式如病毒、木馬的掃瞄機制？另外，在針對傳輸內容方面，也可考慮增加關鍵字的比對和垃圾訊息的過濾，尤其是當企業選用的是供公眾使用的即時通訊平台，員工登入的是位於外部的伺服器，相關資訊也會經由外部來傳送，是否有可能會遭到外部竊聽，是必須考量的風險之一。

一個兼顧安全的即時通訊方案，至少要提供適當的記錄，例如使用者登入、登出的時間，傳送訊息的對象、傳送檔案的名稱等，以便未來相關事件的查核。在進行訊息內容過濾時，也要提供簡單易懂的控管介面，以方便設定允許傳輸檔案的類型和內容過濾條件(關鍵字包括內部使用、帳號密碼、信用卡號碼、身分證字號)等。當然，還要盡量不影響既有的網路架構，以免因為部署了即時通訊管理方案之後，反而產生其他問題。

至於在員工的安全意識方面，除了透過文件化說明使用規範之外，也可利用技術方式，在員工每次登入即時通訊軟體時，警示員工需注意的安全使用規定，以預防資安事件的發生。其他可向員工宣導的安全觀念還有：「不要輕易點選來路不明的連結」、「不要在即時通訊談論敏感資訊」、「不要使用自動登入功能」、「不使用時請務必要登出」、「不要使用第三方的網頁版即時通訊軟體」、「不要接收不明格式的檔案」、「不要使用來路不明的外掛程式」等。

管理要因時制宜

在企業內部要落實即時通訊的有效管理，是一個很大的課題，有許多層面的兼顧，都必須要因人、因時、因地來制宜，很難有一套一體適用的辦法。不過，透過重點的把握，可以協助管理人員快速建立可行的管理方式。

即時通訊的安全管理重點，在管理面包括了制定安全管理政策、文件化方式的使用辦法、兼顧隱私權的監控機制，以及違反時的懲處原則；至於在技術面則包括選擇適當的平台與監控技術，以識別合法的使用者、防堵惡意程式的入侵、防止未經授權的檔案傳輸等，最後若再配合適當的稽核機制，定期的審查記錄與持續改善，要維持管理的有效運作相信是指日可待的。(本文刊載於2009年5月號網管人雜誌)

[觀點] 綠色資安新主張節能省碳愛地球

Wed, 20 Jan 2010 05:52:00 +0000

繼「Green IT」之後，「Green Security」是一項更新的議題，許多企業已經藉由建置綠色機房來降低營運成本，並且贏得環保的好名聲。事實上，資安工作同樣也能幫助環境綠化，也能為環保盡一份心力。

在電影「不願面對的真相」中，美國前副總統高爾用他的熱忱，不斷在世界各地到處奔走，希望透過最簡單易懂的演講，提醒世人注意今日全球暖化的現象，已經是一個不亞於恐怖行動的全球性危機，如果沒有及早因應的話，將會帶來一連串的災難，更會威脅到地球所有生物的生存。他更提醒各國政府必須要有所作為，同時強調「這是道德問題，而不是政治議題」。

過去，許多人對於環境保護的議題，往往都視而不見，可能的原因是由於它並沒有立即性的危害，所以一旦大家體會不到，就不太會想要去重視它。但是現在隨著冬天不冷、夏天超熱，全球的平均氣溫正以有史以來最快的速度不斷升高，暴風雨和颶風的威力也變得愈來愈強，大自然已經用它的種種現象，不斷向人類來反映，如果再不珍惜地球這個共有的環境，人類最終將會自取滅亡。

正視全球暖化危機

根據科學家的預測，如果沒有降低溫室氣體的排放量，全球暖化的程度仍會繼續惡化，在本世紀末平均氣溫將會再上升3到9度，一旦溫度上升造成冰山融解，許多臨海的國家恐怕會遭到海水吞噬，而台灣正是處於這種處境的高危險群。

在英國和歐洲，已經有許多商品會在上面標示它在製造、生產及運送過程中，所產生的溫室氣體數量，稱之為碳足跡(Carbon footprint)。碳足跡的多寡，可以用來計算人類在日常生活之中，各項活動對於環境所造成的影響，所以具有環保意識的政府和企業會鼓勵民眾，盡量選購低碳足跡的商品，以減少二氧化碳氣體的排放量。

另外，歐盟委員會也要求各成員國需制定「限用有害物質(RoHS)」的法規，來限制在電子產品中使用鉛或其他有害物質，以維護環境的安全與人類的健康，同時更促進報廢電子產品的回收處理，也要讓它合乎環保的要求。

或許我們並不是所謂的環保人士，但身為資訊人員的我們，還是可以有些行動與作為，來協助拯救我們共有的地球。像是近來熱門的「Green IT」，就是透過省電型的伺服器、刀鋒伺服器、虛擬化主機、電源和空調管理，來打造出一個節能的「綠色機房」，盡可能的降低運作時的能源消耗。

打造企業綠色資安

而資安工作呢？有沒有可能在落實資安的同時，同時也能為綠色環保盡一些心力？事實上，在國外已有一些資安專家，提出了所謂「Green Security」的概念，提醒企業在執行資安工作時，也能同時做好環保的工作。

目前，資訊安全已是現今企業重要的工作之一，為了確保內部重要資訊像是商業機密、客戶資料、財務報告等，不會遭到未經授權的存取與洩露，企業往往建置了資訊控管的辦法，從一開始的資料分級分類、資料的存取流程，到資料的歸檔和最後的廢棄銷毀，這一連串的資訊處理過程，又可稱之為資訊生命週期(Information lifecycle)。

無論資訊存在的形式是紙本或電子檔，不同的資料類別皆有不同的處置方式，如果是事涉敏感的資料，一旦走到最後一步需要銷毀時，那麼就一定要採取安全的方法來加以處理，以免洩露了不當訊息。

如果想要為環保盡一分心力，則可以融合資安與環保的做法來執行，例如可以透過網路加密通道，進行遠端系統的維護，並且建置安全的視訊會議，以減少人員的出差，節省交通工具的油耗與廢氣排放。另外，以下還有結合資安概念的一些應用，可提供給有心執行的企業作為參考。

正確使用列印設備 - 減少紙張浪費，避免資料外洩
企業對於廢棄紙本資料的處理，一般都會使用碎紙機，碎完之後的紙屑，可採取外包處理，藉由合格的廠商與安全的作業流程，將機密資料予以銷毀。不過，為了環保，應盡可能減少列印量，例如可透過列印程序的管控，要求人員必須輸入密碼後才可列印，將可避免不小心列印出來之後，未經銷毀程序而導致資料外洩。

另外，企業若是導入了資訊安全管理制度，將會增加許多政策、作業程序與工作表單，如果還是採取傳統紙本方式控管，將會消耗大量的紙張，建議企業可以進行文件的電子化管理，以節省紙張的浪費。

下班後要求電腦關機 - 減少電力損耗，避免駭客入侵
桌上型電腦的耗電量較高，如果使用者貪圖一時方便在下班之後仍開著，將造成無謂的電力損耗，目前，透過一些工具軟體的幫助，可以偵測出在下班之後依舊開著的電腦。

事實上，除了省電之外，許多企業為了資安的理由，都會強制要求使用者的電腦進行系統更新，一般的作法是透過登入Windows網域時，以Script方式彈跳訊息來通知使用者，或是透過群組原則的設定，讓使用者登入之後，就立即進行系統更新。如果使用者的電腦一直開著，很可能因為長期沒有登入，系統未更新修補程式，而產生資安上面的漏洞，很容易就會成為駭客或惡意程式入侵的對象。

資訊設備回收再利用 - 減少環境污染，兼顧資料安全
在電腦零組件中，含有一些重金屬物質，若隨意棄置將會造成環境上的污染，因此企業應經過適當的報廢程序，將舊電腦回收再利用。但是基於資安的理由，在儲存媒體上的處理應注意小心，像是曾經存放過敏感資料的硬碟，應予以重覆抹寫或消磁處理，或者也可針對硬碟進行實體破壞之後，再予以回收。

採購符合環保節能的設備 - 降低能源消耗，易於風險管理
從資安的觀點而言，在企業中有一些服務是需要全天候運作的，像是垃圾郵件過濾系統、防火牆、防毒牆、入侵偵測系統等。如果在效能上可以符合企業需求的話，以虛擬伺服器來替代實體的伺服器，改為採取虛擬化方式來運作，將可大幅減少能源的消耗。另外，建議企業應採購符合環保標章的設備，以電腦螢幕來說，應選擇具有環保標章或符合TCO、能源之星的產品，而網路設備，也應採購符合RoHS(有害物質限用)標準的產品。

至於這些設備的採購，可以併入一般資安法規的符合性稽查之中，藉由審查硬體設備是否合乎環保法規的標準，可確保只有環保產品才會受到企業採用，而且一旦所有設備都經過了審查，並且留下了文件化的記錄，將可確保企業不會使用一些具有潛在弱點的設備，進而導致資安上的風險。

環境保護，人人有責

藉由以上方法的運用，除了可讓企業降低日常營運可能面臨的資安風險之外，更可同時達到環保的功效，透過將環保要求與企業政策及作業流程相結合，將可減少不必要的能源損失，並且減輕對地球的危害。

所以，在不影響企業營運之前提下，能夠多為環保盡一份心，事實上也是盡到了社會責任，建議企業應仔細思考應該如何做好「綠色資安」工作，為後代子孫保留更多自然資源與美好環境。(本文刊載於2009年4月號網管人雜誌)

[觀點] 從境管當機事件談資安風險管理(下)

Wed, 13 Jan 2010 02:34:00 +0000

上一次我們談到了風險管理的基本概念和過程，藉由識別資產的價值，並進行可能存在的威脅與弱點分析，以便計算出所面臨的風險值。在了解企業現有的資安風險之後，接下來將說明應對風險的處理方法。

在生活之中，每個人遇到意外的發生，都會有不同的應對方法。舉例來說，如果你的錢包掉了，除了現金沒了之外，錢包內的信用卡、身份證件也跟著一併遺失，這時候你會怎麼辦？相信大多數人的做法是，趕快打電話給銀行，先暫停信用卡的使用，然後登報將身份證件聲明作廢，重新到相關單位申請新的證件。那麼損失的現金呢？我想大概就只能摸摸鼻子，當作破財消災了。

不過，錢包就只會掉這一次嗎？如果萬一下次又掉了，或是被小偷扒走，那麼就只能再重頭來過，又心痛一次嗎？面對這種會造成財物損失的風險，難道沒有比較好的應對方法？事實上辦法是有的，而且還有很多種，端看你如何選擇。

像是有人會在錢包裡不放證件，或是不帶現金，只放一張額度最低的信用卡或提款卡；有人甚至出門不帶皮夾，而把現金放在口袋，證件放在另一邊，來避免雞蛋放在同一籠子裡的風險；還有比較極端的是，有人乾脆身上就不帶錢包了，反正和親友出去，若需花費，則請他人先代為付帳，日後再還即可。

風險處理的原則

以上提到的種種作法，其實目的只有一個，就是去「降低你不想要的事件發生的可能性，以及萬一它真的不幸發生了，如何將可能造成的損失減至最低」，而這也就是風險處理的基本原則。所以在生活之中，我們可能會直接選擇自己簡單易用，或是自認為有效的方法，不過，若是回歸到企業要處理資安的風險，還有幾項重點是必須要去考量的。

首先要考量的就是，採用這些風險處理的方法，必須要評估所耗費的成本是否合理，並且能夠讓企業老闆接受。記得某位資安的前輩曾叮嚀：「千萬不要花五塊錢，去保護只有三塊錢價值的東西，這往往只會吃力不討好。」

所以，若是為了防護某項價值並不高的資訊，而大肆添購眾多資安設備，要求做到高可用性，甚至於還做了異地備援，這樣的用心，恐怕只會被當成濫用企業資源而已，想必是一點功勞都沒有。

再來，請考量風險處理的作法是否會引起其他更大的風險。例如，企業為防止員工設定太過簡單的懶人密碼，使得駭客能夠輕易破解而竊取企業資訊，所以要求員工必須每個月更改一次密碼，長度必須英文數字大小寫混合十二碼以上，並且前十次不能相同。

上述這種作法，雖然可大幅提升密碼被破解的困難度，但相對的也會造成員工不容易去記憶密碼的困擾，而且如此一來，員工就很可能會將每次變更後的密碼寫下，甚至於可能直接就以便利貼貼在螢幕或鍵盤旁邊，這樣反而讓經過座位的所有人都可看到密碼，造成更大的風險。

所以，企業在要求做好資訊安全的同時，也務必去思考可能因為人性所產生的問題，千萬別忘了資安工作，其實大多時候都是在處理「人」的工作。

最後，應適時地評估風險處理作法的有效性。所謂有效性的評估，對管理人員來說是有難度的，因此，建議可採取適當的稽核方法，以確認相關人員是否依照企業制定的政策、流程、作業標準來執行工作，並且在稽核的過程中，以相關記錄的抽查並配合口頭的詢問，來確認工作人員是否達到「說、寫、做」一致。

以防火牆稽核而言，可以檢視其防火牆政策設置是否適當、政策的變更是否經過授權、如何進行政策變更、變更之後是否留下記錄等等；另外，也可詢問防火牆管理人員，是否定期審查設備所產生的Log檔，以及發生異常事件時，要如何進行處理與通報。至於稽核的執行，可由內部的稽核人員，或是委由外部的資安專家來進行，建議每季或每半年執行一次，並且召開管理審查會議，以檢討是否有缺失，以及如何進行維護與改進。

風險處理的方法

至於風險處理的過程，基本上可分為避免風險、降低風險、轉移風險和接受風險四個方向來進行，以下為各項方法的簡要說明。

避免風險
在資訊安全的範圍裡，想要完全避免所有風險是很困難的。以境管局提供的服務為例，它必須要透過資訊系統和網路連線來進行，因此，資訊系統本身即有其作業上的風險，像是硬體設備損壞、人員操作失誤、軟體臭蟲等等，而網路連線亦存在包括網路連線中斷、駭客入侵攻擊等風險，所以若想要完全避免風險，除非捨棄資訊系統與網路的使用，但如此一來，恐怕就只能以人工來處理，但可別忘了，人工處理除了沒有效率之外，同樣也有其作業風險。

降低風險
正因為風險很難完全加以避免，所以管理人員通常可運用的就是降低風險的作法，也就是選擇適當的資安控制措施。例如企業擔心病毒入侵，所以會在電腦中安裝防毒軟體，這是一種降低病毒爆發風險的控制措施；境管局擔心系統會因硬體損壞而失效，所以建置了備援系統，希望在系統失效時，能接替原系統來執行工作，這也是一種降低風險的控制措施。只是這些控制措施是否合宜，能否有效降低所面臨的風險，必須參考剛才已提過的風險處理原則。

轉移風險
有一些風險，像是地震、火災和水災，它發生的機會可能不多，但是一旦發生時卻會造成嚴重的傷害，雖然平常也可採取降低風險的作法，但是往往花費很高，效果也不顯著，這時候，建議最好的處理方法就是轉移風險。舉例來說，企業若將最重要的營運資訊，放置在公司內部的機房，雖然機房已針對地震、火災和水災，作了適當的規劃防護，但是依然難防大樓遭到火災的侵襲，因此，若能再加保火險，即可補償災害發生時造成的損失。另外，若資料可委外備份到專業的資料中心，藉由資料中心提供更完善的防護，來確保資訊存放的安全，這也是轉移風險的另一種應對之道。

接受風險
如果有些風險所造成的損失不大，對企業營運的影響也很低，那麼與其花費金錢購置資安設備來加以防護，不如選擇接受風險，其實也是可以採行的辦法。當然，每個企業對於風險的接受度不同，這就有賴於先前是否做好風險的分析與評估，在事先計算出各項資產的風險值，即可依據各項風險等級來判斷是否為可接受的風險。在此還要提醒大家，接受風險不代表就不必去管它了，可別忽略了風險的高低，有可能隨著外在環境或人為因素而變動，因此仍要定期的審查，尤其是針對資產價值較高，造成企業衝擊較大的項目。

總結

以上針對資安風險管理，僅以簡單淺顯的例子來予以介紹，希望透過識別資產、風險分析、風險評估與風險處理的過程，以達到管理風險的目的。事實上，風險管理在各個產業都有很多不同的應用，若是針對資訊安全與IT系統，建議你可以進一步參考由美國國家標準和技術研究院(NIST)所發布的「SP800-30 Risk Management Guide for Information Technology Systems」，或是最新發布的「ISO/IEC 27005:2008資訊安全風險管理」國際標準，對於風險管理在IT的應用都有很深的著墨，建議你不妨有空仔細研讀。

最後，個人還想藉此強調一個觀念，就是資訊安全絕不只是架構防火牆、安裝防毒軟體，或是以技術對抗駭客入侵而已，其實它更像是一個全面的管理過程，在這個過程之中，將會牽涉到企業流程、組織管理、作業程序等等，所以資訊安全不會只是一個人或一群人的工作，而是企業由上到下都必須有共同的認知來確切執行，這樣才能確保企業不會因發生資訊安全事件，而導致營運中斷或聲譽受損，才有實現企業永續經營的一天。(本文刊載於2009年3月號網管人雜誌)

[觀點] 從境管當機事件談資安風險管理(上)

Tue, 29 Dec 2009 10:58:00 +0000

意外事件的發生，往往令人措手不及，如果又缺少適當的應變方法，一團混亂的結果更會造成危機的擴大。因此，最好的做法就是在事前設想可能的風險，並採取適當的控制措施來將衝擊降至最低，本文用簡單的範例說明，來協助你了解風險管理的過程。

在2009年年初，桃園機場的境管電腦發生了當機事件，使得證照查驗工作必須採用人工方式進行，造成入出境的旅客大排長龍而抱怨連連。以往雖然也有類似情況發生，所幸資訊人員都能在很短的時間內搶修完成，讓服務可以迅速地恢復運作。但是，此次當機事件卻牽連甚廣，使得整個境管電腦系統停擺長達36個小時，更讓8名受到列管的人士得以入出境闖關成功。

此次當機事件，根據官方的聲明指出，主要發生原因是由於硬體過於老舊，導致硬碟與主機板發生故障，進而使得境管系統停擺。但是，在事件引起軒然大波之後，各家媒體和網友卻抱持著不同的看法，歸結起來大致可分為以下幾項原因：

硬體設備老舊未更新
相關人員應變力不足
備援與復原機制不足
缺少標準處理作業流程

個人認為這次事件的發生，不會只是由單一的因素所造成，因此可以從很多角度來予以探討，包括從系統開發與運作流程、備援作業程序、IT服務管理和營運持續管理等，但因缺少了相關直接證據，在此我們不去探討事件背後的真相如何，而是要來思考以上各個層面，都必須要考慮到的一個重點，那就是所謂的「風險管理」。

風險管理基本概念

風險是什麼？簡單的說，就是「你不想要發生的事件，當它發生的可能性和所造成的影響程度之組合。」舉生活中的風險為例，像是每年可能會發生兩次，當颱風來襲時會使住家所在的區域停電；或是一年左右會發生一次，因為路上的釘子刺破了輪胎，造成車子無法繼續行駛。若是以IT的例子來說，常見的風險則有每年大約發生一次，因為硬碟故障而造成檔案損毀；或是每半年可能發生一次電腦病毒造成系統當機等。

風險的存在與否，主要是視資產所處的環境及活動，要去考量它的嚴重性以及發生的機率，像以上這些事件所產生的風險，都會造成一些問題發生，假如沒有適當的因應作法，可能會讓事態擴大而產生更大的衝擊，所以若想要避免或是降低更多問題的產生，就必須要採取一些對應的風險控制措施，而這也就是風險管理過程中重要的工作之一。

風險管理的過程

風險管理的第一步，就是要先了解會產生風險的對象到底是誰？對企業而言，「風險來自於有價值的資產，所以必須要去識別企業內的重要資產有哪些，還有其所面臨的威脅與弱點是什麼，以便鑑別出各項風險組合。」

以這次當機事件為例，它的資產至少包括了系統維護人員、運行系統的電腦主機、系統應用程式、儲存設備、備援系統等；可能的威脅則包括像是設備自然損耗和人員作業疏失；弱點則可能有維護支援服務不足、人員缺乏訓練、缺少應變程序等，如果以上這些資產的威脅和弱點同時發生的話，就會影響到所提供服務的正常運作。

因此，在了解風險的組成至少包括資產、威脅和弱點等三項要素之後，關於風險管理的過程，則可分為「識別資產」、「風險分析」、「風險評估」和「風險處理」等四個步驟來進行，以下是各項步驟的簡要說明。

識別資產
在資訊安全的範圍裡，我們所要探討的資產以資訊資產為主，也就是和資訊有關且彼此影響的事物。資產的種類通常可分為：

人員 - 可分為內部和資訊作業有關的人員，例如管理階層人員、系統開發人員、系統維護人員、資訊處理人員、網管人員等；或是外部的約聘人員和承包商。
文件 - 可分為紙本文件和電子文件，例如系統文件、使用手冊、網路拓樸圖、各式表單、合約、日誌、客戶資料等。
軟體 - 資訊系統運作所需的套裝軟體，包括作業系統、資料庫、一般應用軟體、防毒軟體等，或是內部自行開發的應用軟體等。
硬體 - 指存放、處理或支援資訊系統運作的硬體設備，例如個人電腦主機、伺服器、筆記型電腦、路由器、交換器、不斷電系統等。
實體環境 - 指處理資訊所在的地點及建築物，例如機房、網管中心、備援中心、資訊作業中心等。
服務 - 指對外連結或區域互動的網路，例如ADSL網路、光纖網路、數據專線、無線網路等；或是電力、水力等公共支援服務。

風險分析
在識別和資訊有關的資產並進行分類之後，接下來就要分析這些資產所面臨的威脅與弱點。所謂威脅是指會對資產造成損害的事物，可分為自然因素與人為因素。自然因素是指來自於天災或是設備的自然損耗，人為因素則包括有意破壞和無意的作業疏忽，目前常見的威脅包括：火災、水災、颱風、地震、電力中斷、駭客入侵、內部人員不當操作、人員惡意竊取、人員惡意破壞等。

至於弱點則是指存在於資訊資產本身，容易被威脅利用而造成損害的地方，要注意的是，「弱點本身並不會直接造成資產的損失，必須要伴隨著威脅一併發生，才會產生資安風險。」目前在資訊系統中常見的弱點有：作業系統未更新、病毒碼過期、缺少身份驗證、缺少存取權限控管、使用未加密的網路、人員缺少訓練、設備缺少維護等。

風險評估
在一一識別出資產所面臨的威脅與弱點之後，接下來就要進行風險評估，也就是計算出風險值，並依照風險值的高低來加以排序。當然，風險高的項目，一定是要優先去處理的。

至於風險的計算方式有很多種，礙於篇幅無法做詳盡的說明，在此僅提出一個最簡便的方法，可做為風險評估時的參考，應用時可依所處環境與管理要求來自行定義評價方式，本方法的計算公式如下：

風險 = 資產價值 x 威脅機率 x 弱點等級

關於資產價值可參考表一的說明，可分別依照資產的機密性、完整性與可用性的要求來給予評價，再取其平均值或是最大值；至於威脅發生的可能性，可用「每年發生一次」、「半年發生一次」、「每季發生一次」、「每月發生一次以上」等類別，分別給予1~4的評價；而弱點的等級，則可以區分為「很難被利用」、「難以被利用」、「容易被利用」、「很容易被利用」，同樣給予1~4的評價。

表一：資產評價說明

評價	機密性	完整性	可用性
1	公開，可對外界公布	資訊被竄改後對資產無害	資訊需要使用時，在24小時內需提供
2	一般，公司內部使用	資訊被竄改後對資產輕微損害	資訊需要使用時，在8小時內需提供
3	敏感，相關職務需要才能得知	資訊被竄改後對資產中度損害	資訊需要使用時，在4小時內需提供
4	機密，僅少數特定人士得知	資訊被竄改後對資產嚴重損害	資訊需要使用時，在2小時內需提供

在完成了資產、威脅與弱點評價之後，就可計算出各項資產現有的風險值，並可依風險值的高低，賦予風險等級，例如風險等級A為48~64、風險等級B為32~47、風險等級C為16~31、風險等級D為1~15。最後，企業的管理階層則要決定能夠接受的風險等級，假設為D的話，那麼只要是屬於風險等級ABC的資產，都是我們必須要去做風險處理的對象。表二是一個虛擬範例，僅供參考。

表二：各項資產之風險等級

資產類別	資產名稱	威脅項目	弱點項目	資產價值	威脅機率	弱點等級	風險值	風險等級
人員	資料備份人員	作業疏失	訓練不足	4	2	4	32	B
軟體	網站伺服器	駭客攻擊	未更新修補檔	3	4	4	48	A
硬體	網域伺服器	硬體故障	監控不周	3	2	3	18	C
---	---	---	---	--	--	--	--	--

小結

風險管理是一個持續性的過程，舉凡企業內部的組織變更、作業流程改變、資訊資產的變更，或是有重大的資安事件發生之後，都必須要重新進行風險分析和風險評估，以期能夠識別新的風險，才可及早採取適當的風險控制措施，降低可能的資安事件發生，下一次將會為你說明風險處理的相關做法。(本文刊載於2009年2月號網管人雜誌)

[觀點] 回顧過去，展望未來 - 資安工作重點提醒

Mon, 28 Dec 2009 02:37:00 +0000

面對全球不景氣的年代，隨著新的一年開始，究竟資安工作該如何加以落實與推動，將是一個值得重新思考的問題，尤其是在缺錢又缺人的情況下，企業該如何維持資訊安全的水準，同時達到預先設定的目標，本文所提出的建議可作為參考。

2008年底的金融海嘯，嚴重打擊了世界各國的經濟發展，也連帶使得台灣的失業人口數，因此一舉而突破了五十萬人，到底哪些企業在這一波海嘯中受害最深呢？從媒體的報導中看來，高科技製造業與金融產業應該佔了排行榜中的前二名，而無薪假的實施，更是這些科技新貴萬萬沒有想到的景況。不過，卻有一則新聞是讓人感到欣慰的，那就是在資訊安全方面，受創很深的金融業並沒有因此而減緩腳步，根據資策會MIC的調查指出，「強化資訊安全能力」仍是2009年金融業最重要的投資項目，而另外三項重點工作，包括「法規遵循需求」，「強化災難備援能力」、「提升風險控管能力」，事實上也都和資訊安全工作息息相關。

資安威脅的趨勢發展

個人認為，今日資訊部門有一項重要的任務，就是要確保企業發展必要的關鍵業務，能夠藉由資訊系統的協助而順暢運作，換句話說，如何去確保資訊系統的可用性，即是資訊安全重要的工作之一。因此，回顧過去的資安趨勢發展，可看出資訊安全已從風險管理的角度，演變成為在資安事件發生時，如何使企業能夠持續營運，這也代表著資訊安全、風險控管與災難備援，已具有密不可分的關係。

舉例來說，以往企業透過了風險管理的過程，即可鑑別出資訊安全方面可能的威脅與弱點，然後就能導入適當的控制措施，以降低所面臨的資安風險。可是，若萬一還是不幸發生了資安事件，那麼需要思考的角度就必須轉換成為如何在災難發生前，事先擬好各項應對的劇本，以便一旦災難真的發生時，就可以照著劇本的步驟來進行緊急應變，確保能夠在最短的時間內，盡快恢復企業的正常營運，並將對業務活動可能造成的營運衝擊傷害降至最低。

根據個人的觀察，病毒、蠕蟲與木馬等惡意程式，仍是讓目前大多數企業感到最為頭痛的資安威脅，尤其當惡意程式開始肆虐的時候，不只將造成企業的生產力降低，同時也讓資訊與網管人員疲於奔命，更嚴重的甚至會導致企業業務停擺，或是造成機敏資訊的外洩，這些都會是企業難以忍受的狀況，也應該列為優先預防及因應的目標。

資料與網站安全仍受關注

在新的一年，除了惡意程式之外，資料安全與網站安全也仍是資安的兩大主要議題。所謂的資料安全包括像是內部非法存取，行動裝置失竊和儲存媒體遺失等；而網站安全則包括網站主機系統強化、應用程式漏洞修補、網頁應用層防火牆部署等相關工作。

所以，針對資料安全我們該如何來因應呢，首先企業要識別的就是有哪些資料是需要受保護的？接著是這些資料究竟存放在哪裡？還有誰是資料的擁有者和使用者？唯有了解資料的所在位置與從屬的對應關係，我們才能進一步決定，應該要選擇何種控管措施。例如針對檔案伺服器，我們可以進行存取權限的審查與控管，而針對儲存資料的媒體如磁帶等，我們可以選擇以加密的方式來進行資料的保護，當它需要運送至異地存放時，也要選擇適當的保全方法。因此，建議大家可先從管理面的角度來出發思考，再根據本身實際的需求考量，就可以幫助我們更容易判斷應該導入哪一種資安控制技術。

除了確保資料安全無虞之外，截至目前為止，每天仍有許多網站不斷受到駭客入侵，當正牌網站被植入了惡意連結之後，同時也轉變成為危害一般民眾的幫兇。較令人憂心的是，對於有些企業或組織來說，網站遭到入侵仍是漠不關心的一件小事，即使得知自家的網站已被成功入侵，管理人員也不願或沒有採取任何的修補措施。因此，一般使用者必須要尋求自保之道，例如像是更新作業系統的修補檔、安裝最新的防毒軟體和病毒碼、安裝反間諜軟體等，這些已是使用者必要的基本配備，而留意已遭入侵的網站資料，避免連上這些已經淪陷的網站，也是降低感染惡意程式的好做法。

但是對於企業而言，資安人員除了協助使用者採行以上這些措施，還有一項技術是可以考慮導入的，那就是建置具備網頁過濾功能的Gateway端設備，此一裝置除了可阻擋內部使用者連線至惡意網址之外，對於釣魚網站的預防和非正當網頁的瀏覽，以及像是即時通訊軟體的傳送檔案管制，都可以收到不錯的管理效用，也能為資料內容安全做了一層更深的把關。

資安工作的重點提醒

以上的觀察與建議，除了提供給資安相關人員作為參考之外，還有幾項重點工作的提醒，也是未來可以規劃及運作的方向，分別說明如下：

進行資安解決方案的整合 - 為了確保資料不會遭到外洩，透過資安方案的整合，可以從端點安全開始，即針對重要的使用者電腦進行檔案加密，同時進行週邊設備控管；如果使用者經常需要存取內部的應用系統，可再藉由網路存取控管機制，當電腦一連接到網路，就馬上對它進行身份認證及系統安全掃瞄，在確認使用者電腦所安裝的軟體都已經更新，並且符合所設定資安政策的要求之後，才允許它連上企業內部網路。
資安管理仍是一帖良方 - 據了解，政府相關的B級單位，最遲須在2009年底通過ISO27001驗證，因此導入有效的資訊安全管理系統(ISMS)，已是刻不容緩的工作。個人建議既然要做，就不可將拿到證書當作唯一目的，應該要抱著加強單位資安的心態來進行，因此在導入範圍的選擇上面，千萬不可避重就輕，仍要以關鍵的營運或服務系統為對象。
加強資安專才訓練 - 政府及民間企業的資安人力不足，仍是一項迫切需要改善的問題，根據資策會MIC在「台灣金融業資安投資現況與展望」調查報告中指出，以台灣的金融業為例，平均每一名資安人力，就需要負責221.4台電腦的資安工作，而1000人以上之金融業，每名資安人力更需要負責高達560.4位的員工。在這麼繁重的工作底下，非常需要專業的資安人員，並且要授權讓他們運用適當的工具，才能達到事半功倍的管理功效。
注意個資法的動態 - 未來一旦您所處的行業納入了新修正個人資料保護法中的規範，也就表示盡力保護儲存於企業中的個人資料，已是法律要求的必要做法。因此，企業若還是輕忽了個人資料的機密性，而將個人資料輕易地洩露出去，就必須接受法律所規範的罰則制裁，所以建議資安相關人員，請務必以「個人資料保護法」去Google一下，應該可獲得蠻多的資訊，可作為日後因應的參考。

隨著大環境的景氣不佳，許多企業單位皆進行組織整併或人事凍結，原來事多人少的資安工作，在此時此刻更顯得雪上加霜，不過，資安工作是一個持續性的過程，即使在景氣不佳的時候，其實也正是可以進行內部反省與檢討的時刻，因為既然花錢的事不太好說服老闆進行，但是檢討資安政策、落實資安規範、進行員工資安教育訓練，卻正是最好的運作時機，而所有資安工作的推動，仍有賴所有相關人員的共同努力，就讓我們彼此互相打氣加油！(本文刊載於2009年1月號網管人雜誌)

[專題] 電子商務資訊安全與法規遵循

Mon, 21 Dec 2009 03:25:00 +0000

網際網路的盛行，大幅擴展了資訊交換的領域，也改變了傳統的商業交易模式，對於現代企業而言，透過網路即可整合成一個上下游的供應鍊，能夠隨時採購所需要的各式原料與貨品；而對消費者來說，若是想要購買各種商品，已經不再需要攜帶現金跨出家門，也不需要在大賣場裡盲目地尋找想要購買的物品，更不需要一家一家去進行比價，花費太多力氣和時間來找出最值得購入的超值商品。

事實上，今天的消費者只要打開家裡的電腦，輕輕移動滑鼠連上網路，就可以連結販賣各種商品的網路商店，而且還可藉由商品比價的服務，輕鬆地找到想要購買的物品，然後把它們統統放到虛擬的購物車之中。一旦完成選購之後，接著只要按下「結帳」按鈕，再輸入商品送貨的地址和收件人資訊，透過信用卡來直接進行線上交易，短短幾十秒的時間內就可完成購物，有些物品甚至保證在24小時內就可送達顧客手中，若超過遞送時間的話，還會送上補償的現金折價卷，真是方便到令人難以想像。

不過，伴隨著「方便」而來的另一面，往往就會產生所謂的「安全」問題，因為消費者只要憑著信用卡號就能購買商品，那麼，商家要如何確保信用卡號不會在交易過程中被盜用，而造成個人的財務損失？如何去確保這些牽涉到金融交易的資訊，不會輕易落入惡意的第三者手中(例如駭客和公司內非經授權的員工)，而被用來從事非法的行為，這些都是提供電子商務和線上交易的業者，必須要認真去面對的問題。

電子商務面臨的安全威脅

根據媒體的報導，從2007年下半年起，因為網路購物資料外洩導致的詐欺案件，已經成為詐騙手法的主流，每月發生件數佔各類詐騙案件的三分之一，警方指出，這些詐騙集團看準了時下年輕人大量使用網路購物，所以經常假借拍賣網站或網購平台業者名義，假冒網購服務人員來行騙。

回顧過去，有關信用交易和線上交易所發生的個人資料外洩事件，在國內外都時有所聞，例如：

2005年6月，美國CardSystems電子付款資料處理公司，因為遭到駭客入侵被植入了惡意程式，導致4000萬筆交易帳戶資料外洩，成為當時規模最大的個人資料外洩事件。

2005年7月開始，美國零售業者TJX公司，至少有一年半的時間，由於無線網路遭到駭客入侵，惡意人士可自由地進入TJX的資料庫，偷偷地盜取客戶的交易資料，造成了4,500萬筆以上的客戶信用卡資料外洩，損失所及包括後續遭到盜刷的各家發卡銀行。

2007年1月，雅虎日本(Yahoo Japan)拍賣網站，出現了大量使用台灣信用卡卡號的異常消費，這些卡號都是事先被人側錄下來，然後集體在雅虎日本拍賣網站上盜刷，發卡單位包括了台灣數家知名銀行業者，約有數千名卡友被波及。

2007年6月，歐洲更發生了大規模的網站遭受駭客入侵、竄改網頁程式碼的事件，受到影響的網站超過了一萬個，其中絕大多數是屬於旅遊、飯店、汽車製造與影音娛樂類等網站；同時間，全台灣也有984個網站被植入了惡意程式碼，包括了汽車、體育、商業和學術機構等網站，民眾只要瀏覽了這些被入侵的網站，就有可能不知不覺被安裝了木馬程式或病毒等惡意程式，竊取個人隱私資料。

2007年12月，國內有八家購物和網路線上遊戲業者，疑似被竊取會員交易資料之後，再轉向購物網站會員進行詐騙，歹徒會以電話清楚告知被害人過去購物的內容明細，再謊稱因為作業疏忽誤將付款方式勾選為分期付款，進而要求消費者至ATM操作以便更正，誘使消費者不小心轉帳上當，預估被害人達五千多人；同時間，某知名線上購物平台業者，受到來自大陸的惡意入侵攻擊，在很短的時間內，被人大量地進行會員資料比對，不斷嚐試破解會員帳號密碼，藉此來取得進入會員登錄資料，有5400筆帳號和密碼因此被比對成功而外洩。

2008年4月，某知名化妝品網站，也傳出會員帳號、密碼疑似遭到歹徒入侵破解，共有70多位會員資料外洩而被詐騙集團利用，要求會員需至ATM提款機前操作，以便更改已付款的訂單，暗中再趁機轉出存款。

以上的資訊安全事件，都是經由媒體所披露出來的，事實上，這些很可能只是冰山的一角而已，還有許多的電子商務業者，對於網站的安全，仍然沒有很好的防護措施，即使被惡意人士入侵竊取了資料，也還是一無所悉，受害的都是那些信用卡號和個人資料遭盜用的消費者而已。當然，也有許多業者，積極地想要加強電子商務的資訊安全，以維護網站的聲譽和消費者的權益，但是卻不知該從何作起，對於這些有心的業者，個人的建議是，不妨參考國際通用的資訊安全法規，從中去挑選適合自己營業項目型態的條款，從這些基本的安全要求開始做起。

認識資訊安全相關法規

對於電子商務業者而言，參考國際法規的規範要求，對於資訊安全防護工作將有莫大的幫助，事實上，有許多法規也已成為各個產業必須確實遵守的法律要求，如果沒有符合法規的規範，企業的負責人很可能會面臨法律刑責與罰款的處罰。

針對目前國際上與資安有關的法規，簡要說明如下：

美國Sarbanes-Oxley Act沙賓法案 - 要求美國公開上市公司必須做好內稽內控的資安工作，確保財報之正確及有效性，適用對象只限於在美國掛牌上市的企業，以及美國企業赴海外設立的分支機構及子公司，若是重要營運資訊遭到竊改或公佈，造成市場重大影響，將處以100萬美元或是對負責人處以20年以上刑期。
美國Gramm Leach Bliley Act (GLBA)金融服務法案 - 要求相關金融產業必須保障個人金融資訊隱私，確保資料的機密性、完整性，避免資訊遭到未經授權的存取與誤用，違反者將處1萬美元罰款，其目的在於提供審慎服務架構，考量銀行、證券商、保險公司及其他金融服務業的健全經營，全面提升金融服務業之競爭力。
美國Healthcare Information Portability and Accountability Act (HIPPA)法案 - 明文要求所有處理或持有健康醫療相關資訊的組織，都必須遵守「保護病患個人資料」的安全性規定。要求相關單位之醫療照護必須要確保個人醫療資訊的安全，具備良好的存取控制措施，並確保資訊在傳輸、處理、儲存過程中不會被竊取或竄改，未遵守者將處五萬美元罰款和一年徒刑。
California Senate Bill 1386法令 - 要求企業在發生資料外洩事件時，必須要通知企業員工、顧客及可能受到侵害的個人，避免掩蓋事件而造成更大的傷害。
Payment Card Industry(PCI)資料安全標準 - 由各家支付卡業者所發起，主要是針對個人的信用卡相關資料，要求銀行必須實行嚴謹的安全控管措施，以保護信用卡持卡人的資料安全。

除了法規之外，目前國際上通用的資訊安全管理標準ISO 27000系列，則是國際認可的資訊安全管理標準，標準內容主要分為兩個部份，ISO 27001是規範建立實施資訊安全系統的方式和文件化的要求，以確保資訊安全系統能夠有效的運作，並且可作為資訊安全管理系統的驗證標準，在全球已有超過4000個組織通過驗證，台灣目前有181個組織取得證書，位居全球第4位。

至於ISO 27002(前身為ISO 17799)則是資訊安全管理作業要點，內容涵蓋了11個章節以及133個安全控制措施，可作為建立一個標準的資訊安全管理系統的參考，管理人員在建立資訊安全管理系統時，建議可參照這個標準來進行。

在ISO 27001標準中提到，「確保資訊安全是一個管理過程，而不是一項技術導入過程，它是為了確保資訊安全所實行的各項措施，能夠有效保護資訊不會受到各種威脅，以使企業能夠持續營運，並且將可能受到的損失降至最低。」所以，維護資訊安全並不單只是資訊人員的責任，而是必須提高層級由企業組織的管理階層做出承諾，要求成為所有人員必須遵守的規範，也唯有人員都具備了資訊安全的警覺與防護知識，才能降低發生資訊安全事件的可能。

PCI DSS資料安全標準介紹

以上所介紹的資訊安全法規中，個人認為PCI DSS是電子商務業者可以參考的最佳指引，PCI DSS是由American Express、Discover Financial Services、JCB、MasterCard Worldwide、Visa International等五家知名的電子付款與信用卡業者所共同組成的PCI Security Standards Council組織所制定，要求所有提供信用卡服務的商店，和支付款有關的業者，在儲存、處理與傳遞持卡人資料時，必須要有符合標準要求的安全控制措施。

此一提供給全球產業共同遵守的資料安全標準，雖然主要是用來保護信用卡持卡人的資料，但其目的就是為了要保護個人敏感資訊，以確保電子商務的交易安全。因此，對於提供線上交易的業者而言，主動落實PCI DSS中所明訂的各項要求，將可有效保護網站交易的各項資料。

本文所參考的的版本是在2006年9月發佈的PCI DSS 1.1(2009/3/31已更新為1.2)，一共分為6大目標和12項基本要求，內容涵蓋了技術、政策和程序，這些要求可用來審視業者的安全機制，用以保障持卡人的帳戶及交易資料安全。條文的要求內容說明如下：

(一) 建立並維護一個安全的網路
要求1：安裝並維護良好的防火牆配置，以保護持卡人的資料。
要求2：不使用設備出廠的預設值，例如管理密碼和其他安全參數。

(二) 保護持卡人資料
要求3：必須妥善保護儲存的持卡人資料。
要求4：透過公共網路所傳送的持卡人敏感資料，必須加密。

(三) 維護一個弱點管理系統
要求5：安裝防毒軟體，並經常更新程式和病毒碼。
要求6：發展及維護安全的系統和應用程式。

(四) 實施強有力的安全存取控制措施
要求7：依據業務需求，限制對於持卡人資料的存取。
要求8：對於進行資訊存取的個人，只賦予一個唯一識別碼。
要求9：限制持卡人資料的實體存取。

(五) 定期監控並測試網路
要求10：追蹤並監控存取各項網路資源和持卡人資料的過程。
要求11：定期測試系統安全與流程。

(六) 維持一個資訊安全政策
要求12：實施並維護一個資訊安全政策。

PCI DSS對電子商務安全的要求

PCI DSS標準所要求的對象是支付卡相關產業，目的是為了要保護電子商務交易的資料安全，企業若想要達到PCI DSS標準的要求，必須依照營運規模或每年的交易筆數，透過自我評核問卷 (Self-Assessment Questionnaire)、弱點掃描(Vulnerability scan)和實地稽核(Onsite review)等三種方式來進行認證，以下說明各項要求中應該注意的重點事項：

要求1：在要求1中，業者必須要建立起防火牆的配置標準，像是防火牆的建置拓樸圖、防火牆規則的建置說明以及DMZ區中的安全設定與網段區隔。基本上，除了必須的網路協定之外，其它不必要的網路服務與通訊埠皆不應開放，而且只要是含有儲存持卡人資料的系統，它和公用伺服器之間的任何連線，都必須建立起防火牆來加以區隔，並且藉由實施IP偽裝的機制(NAT)來避免內部主機位址暴露在網際網路上，以限制任何儲存敏感資訊的系統可以被外部公開地存取。

要求2：業者若是透過供應商來安裝各式系統和網路元件，例如防火牆、路由器、無線網路基地台等，應該修改系統管理的預設值，並且針對所有的管理連線進行加密，以避免駭客直接以系統預設帳號及密碼，繞過防線直接危害到管理系統。另外，若是自行開發各項延伸的系統元件，應採取業界建議的安全開發配置標準。

要求3：針對網站儲存的持卡人資料，業者應該秉持保留最少數據的原則，並且制定一個資料處理與儲存程序，來做好持卡人資料的控管。例如，若需要顯示持卡人主要帳號資料時，應採用前六或後四碼的隱蔽措施，如果需要將主要帳號資料儲存的話，也需要採取加密方式來確保資料不會任意被讀取。在實施了加密之後，用來加密持卡人的金鑰就成為重要關鍵，所以還要制定金鑰的管理流程和程序，來確保金鑰不會被洩露和濫用。

要求4：若敏感資料需要透過公共網路來傳送，務必要採用強度難以破解的加密演算法和安全協定，以避免資料在傳遞的過程中遭到破解與竄改。因此，網站必須提供像SSL/TLS或IPSec等安全傳輸協定，並且針對所傳輸的資料進行加密。

要求5：所有和持卡人資料有關的系統，都應該安裝防毒軟體，並且經常更新病毒碼，在防毒軟體的選擇上，建議最好同時具備防木馬與間諜程式的偵測功能。另外，更要確保所有的防毒措施都能及時更新，並且產生可供日後稽核的事件日誌。

要求6：網站的主機系統和應用程式，應該在由供應商發佈修補檔的一個月內進行安裝更新，管理者可以用訂閱方式來接收最新發現的安全弱點。若是自行開發的應用程式，應該採行業界的最佳實務如Security Development Life Cycle(SDLC)，將資訊安全與整個軟體發展生命週期相結合，而且要基於安全的程式編碼原則，以確保所有應用程式不會有已知的安全弱點，並且能抵禦已知的惡意攻擊。如果系統和軟體的配置需要更新或修改的話，也要事先取得管理階層的授權，依照所制定的變更控制流程來進行。

要求7：在存取控制措施方面，只能允許工作上有需要的個人來存取電腦資源和持卡人資訊，也就是依據「僅知原則(need to know)」，除非有獲得授權許可，否則應該拒絕所有的存取行為。

要求8：針對存取資料的使用者，必須賦予一個唯一的帳號，才能允許其存取和持卡人有關的資料，這樣做的目的在於一旦發生的非法事件，才能追溯相關責任。而針對採用遠端網路存取的員工或第三方合作廠商，也必須採用雙因素身份認證機制，也就是除了採用帳號和密碼之外，還需要使用如Token、憑證、或生物特徵(指紋)等方式來識別連線的使用者。PCI DSS要求，只要是在系統中需要使用的密碼，無論是儲存或傳輸，進行加密是必要的安全措施。

要求9：針對持卡人資料的實體存取行為，必須採用監視系統和門禁管理等適當的控制措施，而針對所有含有持卡人資料的紙類或電子媒體，都應存放在安全的地點，並採行實體安全保護，無論是內部或外部，含有持卡人的資料都應該限制發送，而且儲存持卡人資料的媒體在離開安全區域之前，也都需要經過管理階層的核准才能放行，一旦含有持卡人資料的媒體不再需要保留時，也要按照一定的安全程序進行徹底銷毀。而針對員工與訪客，也必須有一套流程，像是採用訪客識別證或通行卡，確保對所有訪客都能被有效管理，在訪客來訪期間的日誌記錄，至少需保存三個月以上，以確保訪客的活動能夠被稽核。

要求10：對於和持卡人資料有關的所有存取行為，必須建立一個識別程序，來記錄追蹤存取事件，所記錄的內容應包括使用者ID、事件類型、日期時間、成功或失敗、事件來源、受影響的資料、系統元件或資源的ID或名稱。對於這些事件，管理者應每天進行審查，並且妥善保護稽核軌跡，以防止日誌遭到竄改，所有的稽核記錄應至少保持一年。

要求11：針對各項的安全控管措施，每年應定期實施測試，以確保控制的有效性，每季也至少進行一次內部和外部的網路弱點掃瞄，尤其是在網路發生重大變更之後也要執行一次。針對可疑的入侵事件，應建立警示和通報的機制，一旦發現網路或主機遭到入侵，或是關鍵系統或檔案被非授權的更改，都要能夠及時通報相關的人員。

要求12：業者應建立、發佈、維護和宣傳一個資訊安全政策，並確保所有員工和合作夥伴，都能明瞭相關資訊安全的責任。在人員管理方面，對於待聘員工應進行背景資料的查核，對新進員工則應實施有關資訊安全意識的宣導，使所有員工都能了解保護資料的重要性，藉此將來自內部的資料外洩風險降至最低。如果不幸發生了資料外洩事件，業者應依照事先建立的事件回應計劃來處理，針對所有合作的供應商夥伴，在合約中也應該註明各項安全要求。

預先做好電子商務安全防護

電子商務業者除了參考PCI DSS標準的要求，來加強各項安全控制措施之外，在網站與資料安全管理方面也是相當重要的，尤其是一旦發現資料有可能遭到竊取而外洩時，就應該在第一時間內通知消費者，並盡快進行後續的補救措施，以避免事件一發不可收拾，而造成更大的損失。

另外，隨著新的弱點與攻擊手法不斷出現，業者必須要求系統接受定期的安全測試，以確保安全性不會隨著時間或是因軟體變更的關係而受到影響。換句話說，業者務必要定期進行安全稽核工作，以確保系統可能的漏洞都已修補，並且合乎本身所制定的資訊安全政策，至於資料本身，則要設定追蹤監控機制，以了解到底是誰在什麼時間、地點，存取了哪些資料。

最後，電子商務業者務必要建立一個有效的資訊安全政策，所謂的有效性是指唯有透過管理高層的正式發佈與重視，才能讓所有員工了解資訊安全的重要性，並且明白必須承擔的相關責任，這樣才有可能真正地落實資訊安全的各項工作。(本文刊載於2008工商時報電子資訊工業年鑑)

<參考資料>

[專題] 資訊安全委外服務之分析探討

Tue, 08 Dec 2009 06:29:00 +0000

資訊安全的重要性，在今日的企業中佔有舉足輕重的地位，無論是市場情報收集、產品研發資訊、業務交易與財務資訊，對於企業的營運都是重要的關鍵因素之一。根據資策會MIC的調查指出，層出不窮的資料外洩事件，使得企業必須強化對於法規的遵循意識，也使得對於敏感資訊的管理，受到更嚴格的要求，因為一旦企業重要的資訊遭到不當洩露，不僅會直接影響企業的聲譽，很可能對於企業的經營與市場造成重大的影響。

目前不只是大型企業，包括中小型企業對於資訊安全與營運的重視度也不斷提升，如何去確保資訊的安全，已成為管理階層必須要去重視的課題。只是，資訊安全牽涉的層面很廣，不管是從管理面來建立資訊安全管理制度，到技術面的防禦機制與控制措施部署，都需要專業且專責的人才來協助，由於企業目前仍普遍缺乏資安專業人才來規劃執行各項資安工作，所以若把資安工作委由專業的資安服務廠商來協助，將是企業兼顧成本與效益的良好選擇。

資安委外服務的發展趨勢

根據資策會MIC的研究顯示，全球的資安市場以每年平均15%的速度穩定成長，其中資訊安全服務的市佔率已逐年增加，預計在2009年將會突破五成。以日本為例，目前由資安委外服務業者所提供的服務已非常地多樣化，包括了防火牆代管的應用管理服務、代管入侵偵測系統的不當存取監視服務，以及防毒軟體的病毒監視服務等。

現今企業所面臨的安全威脅日益複雜，加上政府對於資訊安全的要求，以及與民間業者共同合作的努力推廣，使得整個資安市場的熱度持續加溫，尤其是大型企業隨著經營規模與事業版圖的擴大，更要受到國外標準法規的要求規範。因此，針對資訊安全的實施運作更有迫切性需求，要如何進行適當的資源分配與管理，就需要專業的資訊安全業者來予以協助。

近年來，「資安即服務(Security-as-a-Service)」的風潮也開始興起，Gartner於2007年11月的研究指出，預估一直到2012年為止，全球Security-as-a-Service的市場規模，平均每年將有30%的高成長率。而Security-as-a-Service本身的優勢即在於能夠節省成本，並且加速建置的時程，因此對於需要對抗混合式資安威脅的企業，剛好能夠提供即時的協助，並且簡化整個資安產品購買、安裝、建置與管理的流程。

資安委外服務的範疇

一般而言，資訊系統相關的工作範圍很廣，並非所有工作都可採取委外方式來進行。基本上，大多數和資訊有關的委外工作都會傾向於非核心和非關鍵的系統為主，因此，在資訊安全委外方面，可能的項目包括：

產品建置維護服務 - 針對企業所購置的資安設備，像是防火牆、防毒牆、入侵偵測與入侵防禦系統等，由產品供應商依照購買時的合約規範，提供各項售後服務，即使在保固期滿之後，仍可繼續與服務廠商簽署定期維護合約，以維持資安產品的各項功能都可正常運作。

資安顧問服務 - 主要針對資訊安全管理方面，提供專業的顧問諮詢服務，例如資安法規遵循問題、ISO 27001資訊安全管理系統標準導入，以及員工的資安教育訓練等。

資安事件監控 - 藉由服務業者所建置的資訊安全監控中心，可即時收集企業端的各項資安設備所產生的記錄檔，並且監控系統與網路上的各種活動，來提供異常事件診斷服務和資安事故應變處理，並定期產生各項安全統計報告，以協助企業內的管理人員來維持網路的正常運作，確保資訊的安全。

所以，從技術面的資安基礎建設的建置維護、產品的組態設定與參數調整、系統安全性監控、資安事件的處理與清除復原等，到管理面的資安政策諮詢、資安管理系統(ISMS)導入和資安教育訓練等，這些都包括在資安委外的服務範圍之內。

資安委外服務應注意事項

根據政府的資訊作業委外安全參考指引中指出，「針對各項委外作業，應建立事前規劃、事中招標和事後執行維運機制，將相關的規劃服務納入合約中，以確保各項服務之延續。而且為了提高資訊安全服務品質，應該將資訊安全計劃列為委外的必要工作項目，並且要求廠商必須依照主管機關所訂定的標準或規範來執行，提出可行的建議方案，才可確保委外作業的安全。」

此外，在進行資訊安全委外服務時，必須要求承包廠商遵守相關的法令規定，像是針對個人資料的部份，若涉及資料外洩等違法事件時，需依個人資料保護法中的相關法令來處理。換句話說，當企業與委外服務業者簽訂合約時，就應該在合約中註明，承包商在處理各項企業敏感資訊時，必須負有保護資料安全的責任與義務，若違反合約中所註明的各項要求，相關人員要負責相關的損害賠償及法律責任。

當企業在評選資安服務業者時，也要針對業者的各項專業資格進行審查，例如要求參與資安委外服務專案的相關人員，必須具備國際認可的資安專業證照如資訊系統安全專家認證(CISSP)，或是要求業者本身需通過ISO 27001資訊安全管理系統的驗證。另外，在資安委外時亦可要求承包廠商不得再將專案外包，以避免來自其他無法控管的專案風險。

簽署資安服務水準協定

基本上，針對委外服務業者的服務品質，企業想要提出各項要求與規範，就需要有文件化的明確說明與指標，才能確保委外服務業者能夠提供一定的服務水準，而這部份就牽涉到要如何去建立一個雙方共同認可，並且可接受的服務水準協定(Service-Level Agreement；SLA)。因此，針對資安的委外服務規範，可以參考以下要點來作為執行時的依據，例如：

服務時間
事件回應速度
系統可用率
異常事件處理程序
稽核作業

所謂的服務水準協定，即是指企業與委外服務業者彼此所認可的規範，其目的在於清楚描述委外服務業者所能提供的各項服務和企業所能接受的服務期望，所以它牽涉的範圍其實相當的廣泛，包括委外服務業者的工作責任、必要的保密安全機制、到場支援服務的時間，以及若業者造反服務水準之後所該採取的罰則等，另外可能還會有雙方個別的特殊約定，這些都需要包括在彼此所簽署的服務水準協定之中。

以網站弱點掃瞄服務為例，在服務水準協定中，即可明確要求每季必須執行一次稽核掃瞄，由服務業者至企業內部或外部針對網站伺服器進行弱點偵測，在掃瞄完成之後，再由擁有資安認證的專業人員進行報告解讀，說明目前網站應用系統所存在的弱點等級，並提出建議及改善的方法。另外，若企業或委外服務業者任何一方想要提出終止服務時，應依照合約的規範，將後續工作移交給企業本身，或是交接給後續承包廠商，這些也都務必要求在一定的期限內，以順利完成移轉或中止動作。

如何評估資安服務廠商

隨著駭客攻擊的手法日新月異，企業該如何去維護本身的資訊安全，確保企業的永續經營，都不斷地考驗著管理者的決心，為了降低企業的營運成本並提高效率，選擇將資訊安全交由專業的委外廠商協助，藉助外部專家的專業能力與資源，不失為一種提升應變能力的管理辦法。不過，要如何去選擇資安委外服務廠商，建議必須考量到以下幾個重點：

市場口碑 - 資安委外服務是一項長期互相配合的工作，因此選擇資安委外服務廠商時，務必選擇在市場上具一定的口碑名聲，擁有專業的人才與技術團隊，才可確保所提供的服務品質。
專業認證 - 選擇資安委外服務業者，應選擇通過政府認可或國際標準如ISO 27001驗證通過的公司，才能有效確保在資外服務作業時的資訊保密相關工作。
技術完整 - 資安工作層面廣泛，更牽涉到一定的專業技術，以及所採用的工具產品，企業可要求相關的資安產品均為知名品牌，並且要求服務業者需出示產品的原廠許可，或要求技術人員具備原廠所頒發的專業證照。

資安服務業者的機會與挑戰

依據個人的觀察，台灣的資安委外服務市場雖然一直存在，但卻沒有呈現大幅度的成長，推測其可能原因在於市場的實際需求並沒有很迫切，尤其是缺少國內相關資安法規的要求。尤其對業者而言，除了建置資訊安全監控中心(SOC)，提供資安事件管理服務外，其他的資安服務並沒有一個很完整的方案。

不過，資安服務仍然存在著可運作的機會，首先，許多國內的中小型企業，在資安人力方面嚴重不足，加上資訊安全涵蓋的層面非常廣，從管理制度的建置到技術面的佈署支援，單一企業組織很難完全靠一己之力來完成，勢必要尋求資安服務業者的協助。其次，目前許多企業對於資訊安全應變能力仍然不夠，尤其是在事件處理方面，會是資安服務業者能夠施力的地方，像是目前的SOC資安監控服務，在找出可疑事件的人、時、地、事之後，後續事件處理該交由「誰來做」、「怎麼做」，是否有完善的事件處理流程或是標準作業程序(SOP)，將是未來資安服務業者可以思考的方向。

至於資安服務業者所面臨的挑戰，主要有以下三個：

第一，企業對於服務業者的信任度不足，一旦資安服務牽涉到企業的業務關鍵活動，在委外方面就會有很多層層的考量與要求，這方面需要花很多時間來協調溝通，讓企業能夠認同並對業者產生信任，才能夠接受所提供的服務。

第二，所謂的服務品質本身不易量測，雖然彼此可以簽署服務水準協定，依照協定的內容來執行，但是委外服務的品質，也牽涉到業者願意且能夠付出的人力物力成本，因此如何去量測有效的服務品質，提出適當的證明，將會是業者的一大挑戰。

第三，服務有價的觀念不足，也是推展資安委外服務的一大障礙。根據個人的觀察與經驗，目前在台灣市場，多半企業比較能夠接受的模式還是以購買資安產品附加資安服務的方式，比較不會考慮純粹購買所謂的「專業資安服務」；但是在國外，對於付費接受專業服務的觀念卻是相當普遍，這是國內外存在的一個很大差異性，更是資安服務的業者會碰到的實際問題，這方面可能還有待時間來蘊釀，才能進一步讓企業能夠認同服務價值並接受服務。

制定法規以推動資安委外服務

資安是需要長期推動的一項工作，個人認為法令的制定與相關產業規範要求，以及資安種子人才的培育，對於資安服務產業的發展將會有更好的影響。舉例來說，國外有許多像是沙賓法案、GLBA法案、HIPPA法案等法令，除了要求金融、政府、醫療和一般企業要更加重視資訊的安全之外，也間接促進了資安服務業者在法規遵循的技術能力改進和服務專業度，所以也才會有整個資安市場被重視的變化，進而帶動資安產業的蓬勃發展，只要政府推動適合國內的資安法規，業者便可依照法令規範來建立服務的SOP，推展各項協助企業的資安服務。

此外，對一個產業或企業而言，人才、技術與資金是推動資訊安全不可或缺的要素。目前，資安人才的獲得是一個很大的問題，像是國內各大專院校幾乎沒有和資訊安全相關的科系，即使有相關的資安學程，這些人員在畢業之後，還是需要2~3年實際的市場經驗才會逐漸成熟，如果一般的資訊人員甚至是資訊主管都沒有資安觀念的話，台灣的資安市場要發展也很困難，所以提升整體的資安意識也是目前迫不及待的重要工作。

最後，呼籲政府單位應該結合民間資安業者的力量，以有計畫的組織、具體扶植資安業者的作為，以及共同舉辦一些大型的資安宣導活動等，來引起社會大眾的重視與注意，企業才能選擇國內真正專業和成熟的資安業者，一起來為資訊安全工作努力推動和發聲，如此也可間接提升台灣在國際社會的資安貢獻度與國家競爭力。(本文刊載於2008工商時報電子資訊工業年鑑)

<參考資料>

資策會資訊市場情報中心─資訊安全市場發展趨勢前瞻
政府資訊作業委外安全參考指引

[專題] 網站面臨資安威脅的因應與挑戰

Thu, 03 Dec 2009 04:36:00 +0000

隨著Web 2.0的時代的來臨，許多網站都提供了更豐富多樣的互動式功能，像是部落格、討論區、留言板、影音播放，還有應用最新AJAX技術和Flash的即時動態網頁等，在這些功能的背後，最大的功臣來自於網站伺服主機與應用程式之間的相互運作，這也是提供使用者各項應用服務的重要關鍵。

一旦應用服務如果運作得宜，網站可以吸引大量人潮、激發商機，更達到傳播資訊的主要目的，但是萬一在網站主機與應用程式上出現了漏洞，又被惡意人士發現並加以利用，相對就會造成非常嚴重的問題，因為此時損害的將不只是網站經營管理者，廣大的一般網路使用者也都會深受其害。

近年來，網站惡意入侵事件不斷增加，日前歐洲即爆發大規模的網站遭到駭客入侵事件，根據資安業者的統計，當時受到影響的網站將近有一萬個左右；而根據Google的調查指出，全球平均每10個網站，就有一個網站曾經被入侵，台灣已知至少也有984個網站已遭到惡意的駭客入侵，還被評為全球惡意活動密度第二高的地區。

這些被入侵的網站，在網頁上多半被植入了惡意程式碼，使得上去瀏覽網頁的民眾，在無法察覺的情況下就被植入了木馬程式，更進一步造成個人的帳號與密碼等隱私資料外洩。

網站攻擊手法的演變

早期網站所面臨的攻擊威脅，大都是以針對網站伺服器的蠕蟲病毒和阻斷服務手法為主，像是聞名一時的Code Red紅色警戒病毒，它會自動去搜尋具有相同弱點的微軟IIS Server，找到之後就馬上進行感染動作並且植入木馬，受感染者也會繼續去攻擊別人，這種一傳十、十傳百的傳播特性，在很短的時間之內就造成了網路世界嚴重的災情。

然而，在大多數企業已佈署網路防火牆與入侵偵測系統，加上作業系統業者不斷推出安全修補檔之後，抵擋此一類型的攻擊行為的能力已經大幅提升。不過，隨著攻擊手法不斷的演進，單單依靠網路防火牆與入侵偵測系統等設備，已抵擋不了今日針對網路應用程式的攻擊，因為這一類型的攻擊，是採用合法的網路通訊協定與連接埠，經由防火牆所認可的正常連線管道進入網站，一般防火牆並無法辨識出所經過的網路流量內容，更別談可以看出其中是否夾帶著惡意的攻擊指令。

以往駭客入侵網站之後，最常使用的手法是採取置換網頁的方式，來顯示出其高超的入侵技巧，並未帶著強烈的破壞意圖，可是現在的惡意駭客，已經不再以此作為滿足，而是為了獲得更多的金錢利益，透過植入惡意程式的方法，讓瀏覽網站的使用者在不知情的狀況下安裝了木馬程式，進而去竊取個人隱私資料或是控制使用者電腦，以作為其他攻擊的跳板之用。

另外，針對提供網路應用服務的網站，像是網路銀行或具會員功能的網站等，多半則是遭受到所謂的「網路應用層攻擊」，也就是惡意駭客透過正常瀏覽網頁的連線方式，但是卻附加了惡意指令或參數，利用作業系統或是程式撰寫上的漏洞，來達成其入侵攻擊的目的。例如SQL Injection和Cross Site Scripting (XSS)等，一直都維持在最常見的十大網站攻擊手法的排名之內，這一類型的攻擊能夠成功，最主要的原因是來自於當初程式設計者，並沒有做好安全程式碼的檢測動作。

埋藏惡意威脅的正牌網站

過去，許多惡意人士常會利用大量散發的假冒銀行電子郵件，要求使用者點選信中的連結，連上冒牌的網站來更改帳號與密碼，藉此來騙取使用者的帳戶資料，使用者會不小心掉入這種網路釣魚的陷阱，通常是因為歹徒利用和正牌網站相近的網址，以及偽造一模一樣的網頁外觀，來讓使用者深信不疑，再加上信中所強調更改帳號與密碼的重要性，更讓使用者一時不察而點選連結，連至惡意駭客所建立的冒牌網站，落入詐騙的陷阱之內。

不過，目前新的駭客手法，已不再只是被動地等待使用者點選連結，而是直接入侵正牌的網站，在網頁中植入惡意的程式碼，當使用者一連上網站，惡意程式碼就會自動執行，然後下載木馬程式安裝至使用者的電腦中，這整個過程可說是神不知鬼不覺，這些木馬程式一旦啟動之後，就會偷偷記錄使用者的各項資料，像是信用卡號、線上遊戲帳號和密碼等，然後再回傳給散佈木馬程式的惡意駭客。

當正牌網站被植入了惡意程式，間接造成使用者受害，到底誰該負責任呢？對於網站經營者而言，由於表面上看不出有任何的損害，所以有許多經營者就加以漠視，也不願採取任何修正行動，進而造成更多人受害。但是對網路使用者來說，連結網站只是為了上去瀏覽網頁資訊，若因為經營者的疏忽而讓電腦被偷偷安裝了木馬、病毒等惡意程式，並且造成了個人的權益受損，這種情況一旦發生，相信是誰都無法接受的。

雖然目前國內仍沒有法令明訂因網頁被植入惡意程式，若造成了使用者的損失，網站經營者必須對使用者負起相關的賠償責任，但可以肯定的是，網站經營者務必要善盡管理維護之責，因為一旦被公佈成為惡意網站，就會損及企業或是組織的聲譽，更何況一昧的忽視只會讓更多的人受害，這也絕對違反企業組織的營運目標與政策。

管理不當是容易受駭的原因

網站容易遭受惡意駭客攻擊利用的原因，除了因為網頁伺服器本身所存在的軟體漏洞之外，絕大多數都是來自於管理不當，歸結出的主要原因如下：

主機系統設定不當 - 系統管理人員直接使用預設的目錄路徑，或是採用太簡單或是預設的管理密碼，另外就是檔案的存取權限設定錯誤，使得歹徒有機可趁。

系統漏洞未更新修補 - 由於系統管理人員疏忽，在作業系統業者發佈修正檔案之後，並沒有經常地更新系統修補檔，使得網站主機一直存在著既有的漏洞，讓惡意人士不費吹灰之力，即可透過破損的門窗而擅自登堂入室。

應用程式碼撰寫不當 - 許多網站的應用程式，在開發時並未經過安全性的原始碼檢測，即正式啟用上線，因此一些常見的程式漏洞，像是未限制可輸入的字串，或是未檢查輸入的內容，都讓惡意駭客得以利用這項弱點，而順利執行惡意程式指令，取得網站資料庫的各項資料。

除了管理面的問題之外，目前網站也可能因為遭受零時差攻擊(Zero-Day Attack)而受害，所謂零時差攻擊是指一些已遭揭露的系統漏洞，在業者卻尚未推出修補程式的這段空窗期，惡意駭客即利用此項弱點來進行網站入侵，像是之前微軟的Windows動態游標(.ani)漏洞，即造成許多知名的電視台、大學、政府機構等，紛紛遭受攻擊而被植入病毒等惡意程式。

如何進行網站安全強化

想要降低網站遭受攻擊與植入惡意程式的風險，我們可以採取一些適當的安全控制措施，以避免可能遭受的惡意攻擊，例如：

導入應用程式安全開發流程(Security Development Life Cycle) - 建議程式開發人員，在應用程式開發初期即導入安全開發流程，從一開始的規劃、需求分析、系統設計、程式軟體到完成測試，務必做到安全性的要求，而不僅僅是應用程式的功能要求而已。過去，由於程式撰寫人員多數缺少安全的概念，所以導致程式出現安全上的漏洞，若藉由導入安全的開發流程，在各個階段都以安全作為驗證的要求，並且在應用程式正式上線前，再透過第三方的工具，來進行黑箱(Black box)與白箱(White box)的安全性測試，即可有效確保應用程式的安全。這裡所指的黑箱測試是使用Web應用程式掃瞄工具，模擬各種駭客可能的攻擊手法，來找出存在的安全性弱點，而白箱測試則是採取分析原始碼(Code review)的方式，來檢驗程式是否有撰寫上的問題。
建置網頁竄改即時還原機制 - 惡意駭客在入侵網站之後，會擅自修改網頁以插入一段惡意的程式碼，若企業或組織擁有網頁即時復原機制，可在網頁遭修改的第一時間內，將原始網頁還原回去，並且透過email或簡訊等方式，通知管理者網頁已經遭到更改，管理者便可以盡快地來予以處理。不過，網頁即時還原機制是治標不治本的工具，只能協助管理者針對事件即時反應，並無法根絕網站漏洞問題，管理者仍必須仔細檢驗並加強各項安全機制。
建置網路應用層防火牆：如果電子商務是企業的營運重心，那麼建置網路應用層防火層會是最好的選擇，因為它與一般的網路防火牆不同，可以針對網頁存取的流量進行深度檢測，也能夠即時阻擋隱含的惡意指令。另外，網路應用層防火牆還可以隱藏網站的敏感資訊，並且保護使用者輸入的個人隱私資訊，像是信用卡號和身份證字號等，對於每日有大量網頁存取連線，以及提供金融交易服務的企業組織，網路應用層防火牆除了可以發揮安全功能之外，對於高流量的網頁存取連線，也有加速以及負載平衡的功用。
建立資訊安全稽核機制：在應用程式上線提供網路服務之後，仍需要定期進行弱點掃瞄，並且針對已知的弱點進行修補動作，若企業或組織已在閘道端佈署了網路應用層防火牆，應針對所有的網路連線流量加以檢查監控，並且保存可疑的攻擊記錄，確保惡意攻擊能夠被阻檔，也可做為調整防禦對策與存取控製清單(Web ACL)的參考。在了解針對應用服務的攻擊風險之後，企業或組織也需要適時地調整資訊安全政策，定期分析各項記錄檔並進行資安稽核，以確保漏洞皆已被修補，降低可能遭受攻擊的風險。

總結

過去，大家都以為只有上一些非法網站像是賭博色情，或是下載安裝非法軟體，才有可能被植入木馬、病毒等惡意程式；如今，很可能只要上網查詢目前正在上映的電影，看看熱門的體育影片，或是瀏覽週末假日想要去旅遊的網頁資料，就有可能成為下一位受害者。

因此值得注意的是，這些埋藏著危險威脅因子的網站，已不再是以往被視為危險性較高的賭博或色情網站，而是一般使用者都會經常上去瀏覽，像是電影、音樂、汽車、旅遊和飯店網站，還有許多商業、媒體和學術機構網頁等。

換句話說，今日網站所面臨的各項威脅，已是所有網站經營者都需要去重視的課題，因為當網站本身未做好安全防護，受害的將不只是經營者的商譽與民眾的信心，如果網站本身還牽涉到金融與電子商務的交易，一旦出了差錯，企業還必須要承擔巨額的賠償與復原成本，更會成為一項重大的營運損失。

所以，與其在網站被入侵之後再來忙著亡羊補牢，倒不如事先未雨綢繆，確實做好各項網站安全防護工作，以降低資安問題發生的風險。(本文刊載於2007工商時報電子資訊工業年鑑)

[專題] 談網路鑑識與行為分析系統

Mon, 30 Nov 2009 11:23:00 +0000

人生在世，總難免要經歷各種疾病與意外的打擊，這是每個人都會面臨的生活風險，而在資訊網路化的時代，隨著企業的電腦一一連上了開放式的網際網路，也就代表企業已成為惡意人士潛在的攻擊對象，必須面對網路入侵與犯罪事件，所帶來的資安風險。

根據CSI/FBI 2006電腦犯罪與安全調查顯示，企業遭遇惡意攻擊的型態，除了電腦病毒感染以65%排名第一之外，內部不當網路存取與未授權資訊存取也各佔42%和32%。另外，調查中也指出，未來兩年最受重視的前十大資安議題，以資料保護與應用軟體弱點達到73%的比例最高。

由此可知，電腦病毒的感染與不當的資料存取，皆是透過網路這個管道而來，而資料透過網路洩漏的問題，更是企業相當重視的問題。為了降低各種惡意威脅與網路弱點所形成的資安風險，許多企業紛紛投資建置了防火牆、入侵偵測系統等安全設備，不過當企業發生了網路入侵事件，身為管理者的您，如何能在最短的時間內找出問題發生的原因？當企業發生資料洩密事件，老闆詢問您到底是誰、用了什麼方法、外洩了那些機密檔案時，如何能夠馬上找出答案？

入侵偵測系統的盲點

所謂「前事不忘，後事之師」，為了降低可能的風險與損失，企業必須懂得從過往的歷史教訓中，學習正確的防範方法，因此對於企業而言，從網路流量記錄來分析駭客的入侵攻擊手法，或是在網路攻擊或洩密事件發生之後，找出入侵和洩密的管道，並且保全數位證據來進行訴訟，是企業管理階層應該思考的方向。

目前企業所建置的入侵偵測系統，雖然可以依照特徵比對的方式，來警示網路攻擊事件的發生，但是一旦出現了新的病毒或是攻擊手法，在特徵資料庫尚未更新之前，網路仍存在著相當高的安全風險，而且也無法評估究竟有哪些系統已遭受到攻擊，更無法得知可能造成的損害範圍。

舉例而言，當年發生的Nimda病毒攻擊事件，在入侵偵側系統能夠辨識之前，就已經感染了為數眾多的企業網路，並且造成了企業營運中斷，估計損失高達上百萬美元。雖然當時的入侵偵測系統已發出可能危害安全的警報，但是在資訊不足的情況下，卻無法提供管理人員進行調查或即時處理的方法，也無法提供管理人員可用的分析工具，來確認遭受病毒攻擊的網路區段。

換句話說，即使入侵偵測系統在企業中扮演了重要的守門人角色，卻仍然無法提供更進一步的事件調查與事件還原工具，來找出資安事件發生的真正原因，尤其是面對愈來愈多駭客使用了混合式的攻擊手法，此時，唯有運用網路鑑識與行為分析系統(Network Intrusion Forensic System，NIFS)，才可以藉由完整的網路使用過程記錄，運用科學化的分析方式將迷團一一地解開。

網路上的監視攝影機

談到安全問題，在傳統安控的設備方面，監視器一直是具有良好嚇阻性與記錄犯罪過程的利器，它能夠事先提醒歹徒不要輕舉妄動，更可以記錄所有監視範圍內的人事物。而網路鑑識與行為分析系統，就像是網路上的一台監視器，能夠針對所有的網路應用程式進行效能與流量進行分析，並且透過資料採擷的技術，快速精準地搜尋並重組關鍵的重要資訊。

不過，網路鑑識與行為分析的目的並不是為了要監視員工在網路上的一舉一動，或是想要侵犯員工的隱私權，而是希望藉由保留各項網路使用記錄，提醒員工以預防不當行為的發生。

由於網路鑑識與行為分析系統可以提供非入侵式(non-intrusive)、持續性流量記錄和即時的流量分析功能，藉由複製所有流經網路的資料來加以分析，並且加入精確的時間戳記(timestamp)，因此可以偵測出各種入侵或異常行為，並且完整保存相關記錄以作為法律訴訟的證據。

所以，企業可以事先依據可能面臨的資安問題，像是針對異常流量等事件，或是針對電子郵件內容設定關鍵字過濾，利用主動警告的機制使管理人員可以即時處理，協助企業在資安事件發生之前，即產生嚇阻作用並先行掌握各項徵兆，同時也能在事件發生過程中，即時監控惡意攻擊與不正常的流量，最後再透過網路鑑識方式，來找出駭客入侵與商業機密外洩的管道，作為法律或內部處置的依據。

保存證據重建現場

我國刑事訴訟法第154條規定：「犯罪事實應依證據認定之，無證據不得推定其犯罪事實。」當犯罪事件發生的時候，企業勢必要面臨相關的民(刑)事訟訴問題，也需要協助相關的司法調查。因此，要如何在過程之中舉證，能夠提出強而有力的犯罪證據，是企業管理階層與法務部門應該要留意的事項，而所謂的資料收集與鑑識分析，並非只是司法單位的工作，若事件發生時的相關人員，能夠協助保持事件紀錄與資料的完整性，將有助於後續的司法調查工作。

一般而言，當企業發生網路攻擊或犯罪事件，應該要記錄的重點有：

發生的日期、時間與地點
事件發生的來源與牽涉的資訊系統
事件發生過程
犯罪所使用的工具、設備
事件所造成的損害

當然，企業內的各項安全設備，也都會存有系統的記錄檔(log)，但是現今高手級的駭客都很了解「偷吃要懂得擦嘴」這個掩飾罪行的道理，因此在入侵成功之後，都會試著修改各項log記錄檔，以躲避安全人員的查核。不過，駭客並不能修改網路鑑識系統針對入侵過程的資料記錄，所以仍舊難逃鑑識人員的法眼。

藉由網路鑑識與行為分析系統的協助，在資安事件發生時，可以針對來自內部和外部的入侵來進行調查，透過了特徵比對、異常行為與分析工具，若經過確認這是一種網路犯罪行為，就可以藉由系統所收集保存各項事件記錄，做為事後追捕與檢討工作之用。

而除了偵測攻擊行為與異常流量來發出警示之外，系統還提供了安全事件重現的功能，可藉由長時間完整地儲存原始的封包與連線記錄，回溯至事件發生當時的狀況，一旦企業遭受到網路攻擊，或是懷疑機密資料經由網路傳送出去時，就可以檢視當時所留存的完整記錄，透過現場重建方式來進行完整的鑑識調查，更讓執法機關能夠藉此來進行犯罪事實的認定，並進行下一步的法律行動。

網路鑑識系統的部署建議

今日的企業面對來自內外眾多的威脅，為了防止未經授權的存取、非法入侵與網路攻擊，更應該考慮以多重防禦的方式，來加強網路安全，以便盡快能夠從資安事件中快速復原，因此建議企業採取以下的三層式架構，來保護網路與資訊安全：

事前避免(Avoidance)：建置安全防禦裝置，例如防火牆、VPN、加密裝置和身份認證系統，以預防未經授權的存取或入侵攻擊行為的發生。
事中偵測(Detection)：透過事件記錄檔(log)的稽核與入侵偵測系統，來偵側入侵事件的發生。
事後調查(Investigation)：當資安事件發生之後，利用鑑識分析工具在可能受害的範圍內進行調查，並且收集和記錄與事件相關的各項資訊，以預防事件的再度發生，並提供司法機關必要的協助。

企業想要確保網路安全的第一步，就是必須建置適當的安全設備來避免資安事件的發生，因為只要系統連結上了網際網路，就可能成為惡意攻擊的對象。一般而言，在部署了入侵偵測系統之後，即可透過特徵比對(signature-based)或異常流量(anomaly detection)的偵測方式，來發現警示網路入侵事件，而網路鑑識與行為分析系統除了具備了入侵偵測的功能之外，還能更進一步藉由記錄與分析網路流量，具備了「事件重建還原」的功能，就像一台錄影機一樣，隨時可以回溯時間來呈現事件發生時的原貌。

另外，網路鑑識與行為分析系統更可作為新的安控措施的檢驗工具，藉由重播曾經發生過的入侵手法，來確認新的防禦設備能夠發揮應有的作用，而在事件發生之後，透過鑑識工具的運用，可以找出問題的真正發生原因，並且將網路回復到可信任的安全狀態，能夠大幅縮短弱點修補的時間，也讓系統管理人員能瞭解駭客所運用的入侵手法，以提供網路補強或程式撰寫上的安全建議。(本文刊載於2007年資安人雜誌)

[閒聊] 做資安，讓我們一起Nike Nike!!

Sat, 28 Nov 2009 05:10:00 +0000

在今年年初的時候，和雜誌社的編輯朋友談起，受到全球金融風暴的影響，大多數企業都會節省支出，藉此渡過不景氣的寒冬。

「那麼原本預算就不多的資安工作，這時候究竟該怎麼辦呢？」他問。因此，也就醞釀了這一篇「談企業如何省錢做資安」的文章。

其實我相信所談的內容，大多數的管理人員都知道，只是平時缺少了動力去執行而已，這也點出了資安管理工作常犯的一項疏失，那就是「知而不行」。

例如：IT人員知道系統存有一些安全漏洞，但就是遲遲不去作更新；員工知道公司的上網安全規範，但就是不願意去遵守。

等到發生了資安事件之後，大家再來互推責任，然後隨著時間一久，一切又恢復照舊。這樣下去，想要做好資安，往往只是白費功夫。

到了年底，如果你負責的資安工作，還在原地踏步的話，那麼也該加緊腳步了。套用一句以前老師常用來勉勵學生的話，那就是做事學習都要記得「Nike Nike」，做資安，當然也要讓我們一起「Just do it~!!」。

[專題] 談企業面臨的十大網路存取問題

Wed, 25 Nov 2009 14:58:00 +0000

在國際共同遵循的資訊安全管理系統標準ISO 27001中提到，「資訊是企業的重要資產，因此無論資訊以何種型式存在，都必須要加以適當的保護。」當網路成為企業營運重要核心的今天，維護網路運作與資訊存取的安全，已是企業IT部門的重要任務，也是無法卸下的職責。

根據資策會MIC的調查指出，在2007年企業所發生的資安事件類型，以「電腦病毒感染」的比例最高，佔了五成左右，也因為病毒感染容易持續發生，加上電子郵件與即時通訊普遍使用的推波助瀾，使得病毒的擴散速度與感染規模更快更廣，讓企業不得不去重視資訊內容的安全。

過去，企業多半著重在防禦外部的攻擊，而忽略了來自於內部的攻擊，將造成更大的破壞與影響，無論是內部登入的使用者，或是遠端採用VPN連結內部網路的裝置，若系統本身帶有惡意程式像是病毒、蠕蟲、木馬等，很容易就會對整個網路系統造成危害。

另外，目前無線網路幾乎已成為筆記型電腦的標準配備，加上無線網路基地台(AP)的產品愈來愈輕薄小巧，架設容易且隨插即用，使無線網路的不當使用比率也持續攀升，所以該如何防堵非法的網路存取，防止商業機密的外洩，已成為了資訊管理人員另一個頭痛問題。

從資料外洩看網路存取問題

回顧近年來國內外發生的重大資料外洩事件，可以讓我們了解資訊存取控管的重要性，最著名的例子是從2005年7月開始，美國零售業者TJX公司，因為內部的無線網路遭到入侵，至少有長達一年半的時間，歹徒可自由地進出TJX的資料庫，任意竊取客戶的個人資料，造成至少4500萬筆以上的客戶信用卡資料外洩，連帶使得銀行信用卡部門也蒙受巨大的損失。

在日本，根據JNSA的調查資料顯示，2006年日本共有2223萬筆個人資料外洩，其中外洩件數以金融保險業最多，洩漏人數最多的則為製造業、資訊通信業和服務業，其資料外洩的原因除了人為遺失之外，其次是遭竊以及透過P2P檔案交換軟體而洩漏。同年，國內某半導體廠商，也曾因資料存取控管疏失，遭到合作夥伴竊取IC設計資料。

賽門鐵克的「全球網路安全威脅研究報告」則指出，資料外洩導致個人資料遭竊取的原因，其中「不安全的政策」佔了34%，從這些過去發生的事件，我們可以發現，資料外洩多半與非法裝置入侵和不安全的政策有關，尤其是隨著企業組織的成長，面對成千上百個可能連結內部網路的裝置，究竟我們該如何去監控與管理？

依據個人的觀察分析，目前企業組織普遍面臨的網路存取問題，有以下十點：

使用者身份不明 - 難以識別到底是誰(Who)、使用什麼樣的裝置(What)、從何處連上內部網路(Where)。
連線設備的安全性 - 難以確保連上內部網路的裝置，不帶有惡意攻擊程式，如病毒、蠕蟲、木馬等。
缺少嚴謹的授權程序 - 難以規範使用者依照其身份執行應用程式，並且僅能存取符合其權限的資料。
合法使用者的攻擊 - 難以防範已通過身份驗證的使用者，不會成為駭客的跳板，伺機攻擊企業內部網路。
病毒爆發 - 一旦病毒疫情爆發時，缺少有效的控制措施，預先加以防範並隔離。
資料外洩 - 無法完全封鎖可能的資料外洩管道，尤其是針對無線網路設備和USB裝置的使用，缺少有效的管理。
網路環境複雜 - 隨著時間愈久，在疊床架屋的情況下，導致網路架構太過複雜，而且相關網路設備過於老舊，無法支援新的管理模式。
資安政策不明 - 企業普遍有IT人力不足的現象，缺少專業資安人才的協助，不知如何去制定一個適用的資訊安全政策。
預算有限 - 在每年有限的IT預算之下，難以規劃並導入適當的網路存取控制方案。
控管困難 - 隨著分點、使用者人數與裝置作業系統種類繁多，難以有效進行部署控管。

網路存取控制的管理原則

以上所談到的十大問題，其實業界提供了可用的解決方法，可以藉由導入適合的網路存取控制方案(Network Access Control；NAC)，來解決以往面臨的種種難題。

根據國外NWC Analytics的調查指出，驅使企業想要部署網路存取控制方案的前三大原因為：

為了符合網路安全法規的要求。
需針對特定網路資源強制執行存取控制措施。
針對合作夥伴、合約商等難以管理的使用者，加以適當的存取控制。

基本上，網路存取控制的原則就是要確保「只有合法且安全的裝置才能連上內部網路」，因此在制定管理政策方面，有以下幾個重點必須要把握：

連線前，先要證明你是誰 - 使用者和其所使用的裝置，在能夠存取企業網路和相關資源之前，必須要通過身份的驗證，並且確保使用者作業系統的安全性，例如是否安裝了防火牆及防毒軟體、是否更新了系統修補程式(Patch)。

連線中，賦予適當的權限 - 在通過身份驗證之後，依據預先設定的角色(Role)或群組，給予適當的存取權限，限制使用者只能存取符合其角色所需要的資源。

連線後，監控、記錄與稽核 - 管理人員能夠持續監控使用者是否有不當的攻擊行為，在發現攻擊行為時能即時加以阻斷，並且定期稽核歷史記錄，並提供事件回應報告。

網路存取控制的導入建議

一個良好的網路存取控制方案，必須具備三個特質，分別是「簡單、完整、彈性」，它必須能夠將所有不符合安全管理政策的裝置加以隔離，並且拒絕或限制其連結內部網路，直到使用者的裝置更新之後，重新檢測其符合了安全政策的要求，才會允許它連結並使用內部網路。

此外，網路存取控制還必須能夠整合現有的網路環境，減少必須的網路架構變更，以避免不必要的風險與成本，並且能夠在事件發生時，盡快地通報管理人員。換句話說，它對於管理人員最大的幫助，就是能夠簡單掌握用戶端裝置使用網路的現況。

因此，企業在選擇導入網路存取控制方案時，首先需要思考的重點有：

網路存取控制的Agent要如何佈署？是否支援不同作業平台？所支援的防毒軟體與防火牆有哪些？

與企業原有網路架構的相容性？是否支援802.1x？是否支援Windows AD和Radius身份認證？是否需要重新分割VLAN？與IDS/IPS的整合度？能否控管使用者的應用程式(Layer 7)？

隔離之後的處置方式為何？如何引導使用者更新系統？如何重新進行驗證？

現今的網路存取控制方案，可以應用在針對使用者端點安全的要求、訪客裝置的安全管理、VPN使用者連線管理，以及無線網路使用管理等範疇，而且有能力和企業既有的管理政策相結合，以符合未來的成長與法規的要求。所以導入之後所產生的效益，在於能夠保護資訊資產、降低可能的風險、符合法規與稽核要求、改善與維護網路的可用性，以及降低人為的操作疏失。

法規對網路存取控制的要求

近年來，資訊安全已成為世界先進國家重視的焦點，國內政府也大力推動重要的部會單位，需要依據ISO 27001的實施步驟，建立符合標準要求的資訊安全管理系統(ISMS)。

事實上，網路存取控制方案，可協助企業達成ISO 27001中，「A.10通訊與作業管理」和「A.11存取控制」二大控制目標，只要妥善部署了解決方案與安全作業規範，即可達到ISMS驗証與稽核的要求。

另外，如何去評估因網路存取控制不當，造成機密資訊外洩之後，對於企業可能產生的風險與衝擊，也是不可忽視的重要工作，企業應該針對重要關鍵的營運流程，進行營運衝擊分析(Business Impact Assessment)，來評估是否可承受資安事件發生後所造成的營運損失。這一部份可參考最新的營運持續管理標準BS 25999，將資安事件拉高到經營層面來看，對於IT人員在尋求高層人員的支持，以及爭取相關預算，會有實質上的幫助。

總結 - 化被動為主動

在孫子兵法中提到，「困敵之勢，不以戰，損剛益柔。」意思是指堅守住自己的陣地，來讓敵人陷入困境之中，使得原本被動的防守變為主動，網路存取控制的精神，倒是相當符合兵法所隱藏的含意。

面對今日來自四面八方的混合式攻擊與威脅，IT管理人員也必須不斷提升自己，從政策面著手規劃，再搭配適當的技術來加以控管，將非法的或是發動惡意攻擊行為的裝置，即時加以隔離，堅守好內部網路的防護堡壘，以避免可能的資安事件發生。(本文刊載於2008年iThome資安專刊)

[Q&A] 網頁上的威脅不斷增加，在使用者的瀏覽器上我們可以找到哪些免費外掛工具，協助他們判斷連上的網站是否安全？

Wed, 25 Nov 2009 10:55:00 +0000

隨著電子商務服務愈來愈多，網路拍賣交易的風潮亦盛行不已，各項網路詐騙犯罪事件也層出不窮，其中尤以釣魚網站與含有惡意程式的不安全網站，危害一般的使用者的情況最為嚴重，根據資安業者的統計，目前台灣已成為亞洲區最多網路釣魚網站的城市之一。

日前，刑事警察局科技犯罪防治中心的清查也發現，網路釣魚的詐騙行為已經發展成為集團式的犯罪型態，這些惡意駭客都是有計畫且不斷密集地架設假網站，包括了假冒網路銀行、航空公司、旅行社、人力銀行與理財網站等，目的即是為了竊取使用者的帳號、密碼與個人隱私資料。

面對每天不斷產生的惡意網站，或許你會說我已經有安裝防毒軟體了，為什麼還會感染病毒和惡意程式呢？其實，目前的防毒軟體仍須依賴不斷更新的病毒碼與行為特徵，才能有效攔截惡意程式，但是當你連上那些因為缺少安全管理，而被入侵並植入惡意連結的正牌網站時，在不知不覺之間就會被偷偷安裝了木馬程式，這種不斷翻新的手法往往令人防不勝防，因此，為了避免不小心落入網路上的釣魚陷阱，使用者還是應該有所警覺，並且積極尋找自保之道。

免費網頁安全外掛工具

為了防止使用者掉入網路釣魚的陷阱，微軟已經在Vista的Internet Explorer 7.0瀏覽器裡內建了防網路釣魚的功能，不過，若你是Windows XP或Windows 2000的使用者，在沒有升級最新的瀏覽器版本之前，則可以利用廠商免費提供的瀏覽器外掛工具，來獲得惡意威脅的提示與預警功能。

目前由業者所提供的免費外掛工具，像是McAfee SiteAdvisor和TrendMicro TrendProtect，都已支援了IE和Firefox兩大知名瀏覽器，並且整合了Google、MSN、Yahoo等搜尋引擎的搜尋結果，會以燈號顏色來顯示連結網站的安全性。使用者只要透過此一外掛工具，就可得知該網站的安全評等訊息提示，而且也能在尚未點選連結之前，即可獲知該網頁是否含有惡意程式和間諜軟體，以及在註冊登記之後，會不會濫發各式垃圾郵件給你。所以，藉由外掛工具的幫助，就可以有效降低誤入惡意網站的可能風險，以避免個人資料遭到竊取或非法利用的機會。

McAfee SiteAdvisor介紹

McAfee SiteAdvisor是一個免費的瀏覽器附加工具，可以幫助我們透過Google、Yahoo、MSN等搜尋引擎的搜尋結果，來分辨這些網站是不是含有間諜軟體、垃圾郵件與網路釣魚的惡意威脅，它的分析技術主要是根據網站名譽、使用者網站註冊後被濫發信件的頻率，以及個別使用者回報等指標來評等網站，然後會用最簡單的燈號來告訴我們：綠色代表安全，可以放心瀏覽網站；紅色代表危險，顯示網站已有不良記錄；黃色則是提醒大家，它有潛在的一些問題，瀏覽時一定要小心注意。

SiteAdvisor的安裝方式其實一點也不困難，使用者只要直接連接到McAfee SiteAdvisor首頁，點選「立即下載SiteAdvisor」按鈕，在下載完成之後直接執行安裝檔案，接下來只要依照提示依序點選「下一步」即可。安裝完成之後，瀏覽器就會自動連線到McAfee網站，並且出現「感謝您安裝」的畫面，然後會提醒你在右上角的工具列中已多了一個小按鈕，如果瀏覽的網站是安全的，它會顯示綠色，若是不安全的網站，它就會用紅色來警告你。

當你安裝了SiteAdvisor之後，只要使用瀏覽器連到搜尋引擎像是Google，再輸入關鍵字去搜尋網站，所顯示出的搜尋結果旁邊都會出現代表安全與否的燈號，如果把滑鼠移到燈號上面，並且按下「更多資訊」連結，它還會出現更進一步的詳細說明，讓你在瀏覽之前，即可了解此網站是否有任何安全上的問題。

McAfee SiteAdvisor的安全性評等是依靠網站的自動安全測試，包括像是網站快顯視窗數量、安全網站連結、下載檔案評估、網站表單註冊後被濫發郵件的機率，再經由使用者所提供的意見及McAfee自己的人工分析來判斷，SiteAdvisor同時希望藉由偵測傳統安全性產品常常遺漏的威脅，像是間諜軟體攻擊、網路詐騙及垃圾郵件網站，來加強使用者瀏覽網頁時的安全。

TrendMicro TrendProtect介紹

TrendMicro在併購了HijackThis這家公司之後，緊接著推出了TrendProtect網頁評等外掛工具，可分別支援Internet Explorer和Firefox兩款瀏覽器，幫助使用者在瀏覽網頁時，避免瀏覽到不安全的網站。TrendProtect主要是依據四項資料來進行網頁評等，分別是內容分類、網釣詐騙偵測、網站名譽與網頁名譽，同時也會分析每一個獨立的網頁，察看其中是否含有惡意的連結，對於那些被惡意駭客入侵，並且植入惡意程式連結的網頁，可以即時地發出警告。

TrendProtect的安裝方式也非常地簡單，只要連結到TrendProtect下載網頁，依照使用者所使用的瀏覽器來下載，接著依照安裝說明指示，就可一步一步順利完成。在TrendProtect安裝完成之後，會在瀏覽器的工具列上新增一個「TrendProtect」按鈕，這個按鈕會藉由改變它的顏色，來顯示出目前所瀏覽的網頁的狀態是安全、不安全、可信任或未評等，以及是否含有不當的內容。

TrendProtect使用綠(安全)、紅(危險)、黃(不確定)、灰(未知)的燈號顏色來標示網站的安全等級，若是使用Google、MSN和Yahoo搜尋引擎，也會針對搜尋的結果，提供燈號顏色的安全評等功能，只要將滑鼠移動到燈號標示上，就會顯示出關於網頁評等的更多資訊，也可以點選連結到TrendProtect的HouseCall首頁，執行免費電腦掃描服務。

另外，只要點選工具列上的「TrendProtect」按鈕，並且選擇「Option」項目，使用者還可自訂顯示、信任網頁和內容分類的樣式，若是點選了「Check your Computer’s Security」，也會馬上啟動免費的線上掃毒服務HouseCall，來掃瞄你的電腦。

外掛工具優缺點與安全建議

SiteAdvisor與TrendProtect兩者同樣都是免費好用的瀏覽器工具，在功能方面當然也有一些不同，例如：

SiteAdvisor是針對整個網站的內容做評比，而TrendProtect則是分析個別的網頁為主。
當滑鼠移到燈號上面時，SiteAdvisor顯示的資訊比TrendProtect來得詳盡。
SiteAdvisor提供使用者網站安全評比功能，TrendProtect則提供一個「Content Categories內容過濾」的功能，裡面可以自行勾選想要過濾的網頁內容。
SiteAdvisor的操作介面都是中文，而TrendProtect雖然只有英文介面，但卻結合了免費的HouseCall線上的掃毒服務。

基本上，這兩個瀏覽器外掛工具，都是可以幫助你在瀏覽網頁與搜尋過程中，避免進入惡意的網站，但若是想要完全避免網路釣魚的陷阱，最好還是要養成不要點選任何來路不明、看不懂或是覺得可疑的網路連結，尤其是來自垃圾郵件或是由不明人士轉寄來的電子郵件。

如果你還是不小心進入了可疑且內容不明的網站，請立即關閉瀏覽器離開網頁，千萬不要按照該網站上的指示，作出任何的回應動作，以免感染惡意程式，而且也要記得經常更新防毒軟體的病毒碼，並且啟動作業系統的防火牆功能。(本文刊載於2007年iThome資安專刊)

[Q&A] 目前各國政府的資安法規中，網站安全通常與哪些議題相關？

Wed, 25 Nov 2009 09:50:00 +0000

談到網頁安全，讓我們先來回顧一下過去所發生的重大資安事件，在2005年，美國的CardSystems Soultions電子付款資料處理公司，因為遭到駭客入侵植入了惡意程式，導致4000萬筆帳戶資料外洩，引起了一陣軒然大波，成為史上規模最大的個人資料外洩事件；在2007年6月，歐洲更發生了大規模的網站遭受駭客入侵、竄改網頁程式碼的事件，受到影響的網站超過了一萬個，其中絕大多數是屬於旅遊、飯店、汽車製造與影音娛樂類等網站；而根據刑事局科技犯罪防治中心的統計指出，目前惡意網頁也已成為台灣排名第一的網路犯罪手法，主要受害的不再只是提供服務的網站業者，而是可能上網瀏覽網頁的一般民眾。

以上這些採用各種惡意攻擊手法，入侵具有系統漏洞或是根本沒做好安全防護的網站，並在網頁中植入惡意程式，伺機竊取個人資料的手法，已經成為新一代的網路犯罪型態，例如以旅遊產業而言，在網站上大都提供了線上訂購旅遊行程等付款服務，如果業者沒有妥善的安全防護機制，在網頁中被植入了惡意程式連結，當使用者利用瀏覽器進入了網站，查看旅遊行程並且利用線上刷卡付款時，很可能就會被偷偷地安裝了木馬程式，而導致個人資訊像是帳號、密碼和信用卡號等資料外洩。

PCI-DSS資料安全標準簡介

有效維護網頁安全，對於提供線上交易服務的業者而言，絕對是責無旁貸的必要工作，因為一旦發生資料被竊事件，除了嚴重打擊業者商譽之外，如果消費者因此而對網路交易機制失去信心，受害的將是所有提供電子商務服務的業者。

目前，由American Express、Discover Financial Services、JCB、MasterCard Worldwide、Visa International等五家知名的電子付款與信用卡業者所共同組成的PCI Security Standards Council，即制定了「支付卡行業資料安全標準(PCI Data Security Standard；PCI-DSS)」，此一提供給全球產業共同遵守的資料安全標準，要求所有提供信用卡服務的商店，在儲存、處理與傳遞持卡人資料時，必須要有符合要求的安全控制措施。

在PCI-DSS V1.1版中，一共分為6大類12項基本要求，這些要求可用來審視網站的安全機制，用以保障持卡人的帳戶及交易資料安全，條文內容說明如下：

一、建立並維護安全的網路

要求1：安裝並且維護防火牆配置以保護持卡人資料
要求2：不可使用供應商提供的原廠設定值作為系統密碼及其他的安全參數

二、保護持卡人資料

要求3：保護儲存的持卡人資料
要求4：將透過公共網路傳送的持卡人資料及敏感資料加密

三、維護一個弱點管理程式

要求5：使用防毒軟體並應經常更新程式及病毒碼
要求6：發展及維護安全系統和應用程式

四、實施強而有力的安全存取控制措施

要求7：根據業務需要限制對於持卡人資料的存取
要求8：對於進行電腦存取的每一個人只賦予唯一的ID
要求9：限制對持卡人資料進行實體存取

五、定期監控並測試網路

要求10：追蹤並監控對網路資源及持卡人資料所進行的所有存取
要求11：定期測試安全系統及流程

六、維護一個資訊安全政策

要求12：實施並維護一個資訊安全政策

PCI-DSS標準對網頁安全的要求

雖然，PCI-DSS標準所要求的對象是支付卡相關產業，目的是為了要保護電子商務交易的資料安全，但是個人認為目前全球適用的資安標準法規中，以PCI-DSS標準和網頁安全最為相關，因為PCI-DSS除了具備廣泛的資訊安全要求之外，更可作為網站服務業者加強網頁安全的實施參考，其中尤以標準中的第4項與第6項要求，可用來檢驗並加強網頁安全。

在第4項要求中，PCI-DSS要求必須針對透過公共網路傳送的持卡人資料及敏感資料加密，以防止資料在傳輸的過程中被截取竊聽，因此，網站必須提供SSL/TLS或IPSec等安全傳輸協定，並且針對所傳輸的資料進行加密，在這裡所指的公共網路，範圍包括了網際網路Internet、WiFi無線網路、行動電話GSM系統與GPRS無線傳輸服務。

另外，在第6項「發展及維護安全系統和應用程式」要求中，PCI-DSS標準條文對於網頁安全還有以下的細項要求：

必須確保所有系統與軟體都已安裝了最新的安全更新程式，在軟體供應商發布了安全修補檔(Patch)之後，最遲必須在一個月內完成安裝各項更新。
業者必須建立一套流程來確認及發現安全弱點，例如接收軟體供應商最新的安全預警訊息，根據其所發布的弱點進行系統相關的更新，而此一流程需要有完整的文件記錄。
要求業者必須根據安全業界最佳實務，來發展應用系統安全開發流程，例如在開發流程中導入Security Development Life Cycle(SDLC)，以確保在應用程式開發過程之中，每個階段都能結合安全性的要求。
一旦系統或軟體的配置需要更改，所有變更必須要遵循變更管理流程，像是已獲得高層的授權、經過回復測試，並且有完整的過程記錄。
依據OWASP發展安全的網頁應用程式(Web Application)指引，必須確保應用程式碼沒有常見的安全弱點問題，像是無效輸入問題、跨網站腳本攻擊(XSS)、緩衝區溢位、SQL Injection資料隱碼攻擊、不當的錯誤訊息處理、DOS阻絕攻擊和不安全的系統配置等。
必須確保網頁應用服務足以防護已知的入侵或攻擊手法，例如通過滲透測試(黑箱測試)與原始碼審查(白箱測試)的驗證，以及在網路伺服器前安裝應用層防火牆(Application firewall)等。

企業必須建立資訊安全政策

除了以上針對網頁應用安全的要求之外，隨著新的弱點與攻擊手法不斷出現，PCI-DSS標準中也要求系統必須接受定期的安全測試，以確保安全性不會因為時間或是軟體變更的關係而受到影響，換句話說，針對網頁安全，至少每年都必須要執行一次滲透測試，以確保系統的安全無虞，而且也要部署常駐的關鍵檔案監控軟體，一旦發現網頁檔案遭到竄改更動，就能立即主動發出警訊通知，使相關管理人員可以在第一時間內進行處置，以避免重大資安事件的發生。

最後，無論是在PCI-DSS標準或是資訊安全管理系統的最佳實務ISO 27001標準中，都強調企業組織必須要建立一個資訊安全政策，只有透過管理高層的發布重視，讓所有員工了解資訊安全的重要性，以及必須承擔的保護責任，才能真正地落實資訊安全；也唯有妥善運作的安全團隊和明確的資訊安全責任定義，才能將企業組織可能面臨的營運風險降至最低，並且保障所有使用者的權益。(本文刊載於2007年iThome資安專刊)

[Q&A] 若想定期了解網站安全，甚至是整個網站安全的趨勢，有哪些網站發布的統計資料或白皮書是值得參考的？

Wed, 25 Nov 2009 09:05:00 +0000

隨著各種網站攻擊事件不斷的發生，網頁安全的攻擊與防禦已經到了白熱化的地步，對於企業內的IT人員而言，面對傳統的網路攻擊與病毒防範，想必已經不會陌生，可是對於近幾年來新興的網站攻擊與入侵手法，卻經常感到難以招架。追究其原因，多半是來自於相關資訊安全知識的不足，尤其是對於網頁應用攻擊的手法更感到陌生，所以也就不太了解究竟該如何去防範入侵，並且加強維護網頁安全。

幸好，目前網路上已有許多開放的團體與非營利的機構，針對網頁應用安全議題，提供了很多豐富專業的資訊，可供我們來學習與效法，以下則為各位介紹，個人經常去補充資安知識，值得推薦的網頁應用安全資訊網站。

推薦一：WhiteHat Security

WhiteHat Security是由前Yahoo的資安長Jeremiah Grossman所創辦的公司，主要提供了各種有關網站安全的解決方案與服務。在WhiteHat Security網站的新聞專區中，收集匯整了來自世界各個媒體有關網頁應用安全的文章，讓你不必再花費力氣去一一瀏覽各個媒體所刊登的訊息。

WhiteHat的部落格是由Jeremiah親自執筆，主要分享他個人的網站安全防護經驗，其中一系列的「How to」文章，像是「如何加強網站防護避免被駭」、「如何檢查你的WebMail帳號是否被入侵」、「如何評估你的網站價值」、「如何找到你的網站弱點」等，是非常實用的經驗分享。

個人最喜歡WhiteHat Security網站的一點，是在於它的安全資源中心，提供了為數眾多的Whitepaper還有簡報檔，讓使用者可以免費下載閱讀。雖然WhiteHat Security的Whitepaper有些頁數並不多，但是字字珠璣且淺顯易讀，以下幾篇推薦給有心想了解網站安全的朋友們，可以到網站下載瀏覽的文章：

Ten Things You Should Know about Website Security
WhiteHat Security Web Application Security Risk Report
The Top Five Myths of Website Security
Website Security 101

推薦二：Web Application Security Consortium

Web Application Security Consortium (WASC)是由許多專家、業者和開放資源的代表所共同組成的國際性社群，WASC透過這些會員們的意見交換，不斷地產生各項網頁安全技術資訊、文章和安全指引等，可提供給來自世界各地的商業組織、學術團體、政府機構與資安專家們，協助他們面對不斷變化的網頁應用安全的挑戰。

雖然WASC的創辦者之一是WhiteHat Security的Jeremiah，但是WASC秉持著中立自主，並不偏向任何營利組織，它主要的目標是創造一個開放性的論壇，讓所有對於網頁應用安全有興趣的人，都能共同參與討論，促使各界更加關注各項有關網頁應用安全的事件與議題。

WASC網站提供了Mailing List討論服務，使用者可以用e-mail方式來訂閱，參與各項網頁應用安全的主題討論，另外，也可以透過RSS Feed來訂閱，相當地方便而且不會漏失任何的訊息。WASC也設立了許多有關網頁應用安全的計劃，如果你願意參與並且貢獻自己的專業，可以主動與各個Project Leader聯絡。

WASC網站同樣也有很多豐富的參考資料，在你點選Library連結之後，就可以看到有關網頁安全的書籍介紹，以及它收集自各個知名網頁安全業者，所免費提供的Whitepaper，雖然資料有一段時間未更新了，但仍然具有參考價值。

推薦三：Cgisecurity

Cgisecurity是目前最早建立，內容有關網頁應用安全的網站，它的創建者同時也是WASC的核心創辦者之一，如果你是想要從事網頁應用安全研究的學生，那麼Cgisecurity是你不可錯過的網站，因為它提供了相關的期刊paper，可作為研究的參考之用。

Cgisecurity網站最大的特色，就是將網頁應用安全的相關主題，分門別類地排列，使用者可以很快地一網打盡同一類型的參考資料，像是以研究Phishing主題為例，當你點選連結進入內頁之後，即可得知有關Phishing的網站、相關的工具與軟體、技術文章、新聞連結、犯罪案例，以及如何自我防護等相關資料；如果你想了解什麼是SQL Injection，也只要輕鬆按下一個連結，就可以在這個網站內獲得問題解答、相關的參考文章與網路連結指引。總之，這個網站資訊相當豐富，肯定會花掉你不少時間。

推薦四：World Wide Web Consortium

World Wide Web Consortium(W3C)是由全球資訊網(WWW)的發明人Tim Berners-Lee所創立的組織，其成立的宗旨是為了推動全球資訊網的相關技術，並鼓勵各項合作與討論。同時，W3C也致力於各種網際網路標準的研發、制定與推廣，使業者的對於全球資訊網的應用發展，能有一個可供遵循的標準。

W3C針對網際網路的各種應用，建立了一些工作小組，像是Web Security Context Working Group就專注在研究使用者部署安全技術時，可能會面臨的問題，尤其是在企業部署了安全機制之後，惡意駭客可能會採取規避的方法來欺騙過關，在這部份W3C工作小組能提供一些因應之道。

在網頁安全方面，如果你是網頁應用程式的開發人員，可以參照網站上所提供有關資安的文件，像是XML Security的規格說明、XML簽章與加密，以及金鑰的管理等。至於目前最熱的AJAX網頁技術，W3C也有一個工作小組，產出許多可供開發人員參考的文件，同時也提供Email List給有興趣的人員訂閱討論。

推薦五：Open Web Application Security Project

OWASP(Open Web Application Security Project)開放Web軟體安全計畫，是一個全球開放的社群，也是一個非營利的組識，長期致力於改善有關網頁應用服務的安全性，以提供給政府和業界參考。OWASP的主要目標在於協助建立網頁應用安全的標準、工具與技術文件，以減少應用程式在開發過程中可能會產生的弱點，防止惡意駭客利用這些弱點來進行破壞。

在台灣分會會長Wayne的努力之下，OWASP台灣分會已於2007年正式成立，並且開放給各界人士參與，目前，每年由OWASP所公布的十大Web資安漏洞資料，已成為業界人士用來加強網站安全與修補漏洞的參考指標，也被政府機關列為網頁應用安全必要的檢測項目之一。

在OWASP網站上，除了十大Web資安漏洞說明資料外，你還可以找到目前正在進行的相關計劃說明，歷年研討會的簡報資料與影音檔案，而對於下一代網頁Web2.0有興趣的研究者，也可在此找到可供參考的paper文件。另外，OWASP的部落格也持續不斷地在更新，對於網頁應用安全有興趣的人，相信在此可以獲得很多有用資訊。

總結

以上是幾個相當不錯的國外網站，在此分享給各位作為參考，由於網頁攻擊的手法日新月異，對IT人員而言，唯有不斷地補充相關知識，才能有效做好資訊安全防護工作。但比較可惜的是，國內目前還相當缺乏有關網頁安全的開放組織與中文參考資訊，大多只能依賴國外網站所提供的內容，這點大家要一起加油了。(本文刊載於2007年iThome資安專刊)

[專題] 從ISO 27001談實體安全管理

Wed, 18 Nov 2009 03:43:00 +0000

許多企業在規劃如何去加強資訊安全時，首先想到的都是如何去防護網路安全，以為添購了防火牆、設置入侵偵測系統或是安裝防毒軟體等，就做好了資訊安全防護工作，不會受到駭客入侵而造成企業損失。但是，這樣真的就安全了嗎？我們不妨看看以下媒體所報導過的真實事件：

美國飛機製造商波音公司一部含有38萬名現職及退休員工的資料，因為員工一時疏忽放置在車上而遭竊；美國退伍軍人事務部，也因不小心遺失筆記型電腦，而造成2600萬退伍軍人資料的外洩。
美國大型家電連鎖商Circuit City，因信用卡公司不慎將含有持卡人資料的電腦磁帶當成垃圾丟棄，遺失了260萬名信用卡持卡人資料。
日本三井住友銀行倫敦分行，因數名竊賊假扮成清潔人員，而偷偷在處理國際轉帳事務的電腦內，安裝了鍵盤側錄程式，差點順利竊走4億美元的存款。
巴西中央銀行因竊賊花了三個月時間挖掘地道，而被搬走約21億台幣的現鈔，但是金庫內的攝影機與偵測器，卻完全沒有發揮任何作用。
今年3月美國國稅局存放納稅人資料的26個電腦磁帶，竟在市政府大樓內遺失。

從以上事件可以看出，因為設備的不當使用與人員的未經管制，加上實體環境缺乏防護管理，所造成的資安問題更加嚴重，值得所有組織與企業來予以警惕注意。

識別對實體與環境的威脅來源

如何去加強實體及環境的安全管理，已成為資訊安全工作中不可或缺的重要一環，除了防範經由網路滲透入侵的資安事件之外，天災與人禍更是我們需要去關切及預防的，此處所謂的天災，是指企業面對週遭環境的天然威脅，而人禍則是泛指因為人為管制的疏忽所造成的資訊安全危害。

因此，企業進行實體與環境安全的管理的目的，即是為了消除這兩項重大的威脅，並將可能發生危害的風險降至最低。從以上的角度來看，威脅又可概分為：

自然因素：指颱風、水災、火災、雷擊、地震等。
非自然因素：指電力、空調系統等。
人為因素：指偷竊、惡意破壞及門禁管制疏失等。

針對自然因素的預防，我們可以先從自然災害的威脅評估著手，像是調查所在區域的颱風、地震頻率，以及救援單位能夠及時到場協助的時間。另外，對於建築物本身的設計整建，是否使用防火建材、強化玻璃等，可以進一步要求對大樓結構進行強化，以抵擋自然災害的侵襲。

至於非自然因素的預防，主要是為了維持設備的正常運作，企業必須具備主要電力與備援電力獨立配電系統，另外像是針對突波與瞬間斷電的預防、總開關防護、發電機安置地點及供油儲存，也要有良好的規劃。在空調系統方面，在機房內需要有恆溫、恆濕的溫濕度控制與空氣濾清裝置，對於大樓出入風口也要有妥善保護。

最後在人員作業方面，具敏感性的職務在人員錄用前需進行的背景調查；重要處所進出必須做到人員識別與門禁管制；機房人員也須做好消防演練、疏散及消防設備的使用測試。

企業的實體與環境安全若沒有做好，所造成的損失有兩種，一種是資產設備的失竊或損毀，會造成直接的財務損失；另一種則是資訊資產的遺失，例如重要的設計資料、公司人事資料或是重要商業機密等，輕則使商譽受損，重則甚至造成整個企業營運的中斷。

ISO 27001的實體安全控制措施

在ISO 27001：2005的附錄A控制措施中，「A9實體與環境安全」項目清楚規範了實體與環境安全此一控制項目，可做為企業在進行實體與環境安全管理時的最佳參考。

在「A9.1安全區域」控制項目中，其目標即是為了防止企業或組織所在的場所，遭到未經授權的實體存取與侵害，而要求必須劃分安全的邊界，將關鍵或敏感的資訊置放於安全的區域，並且給予妥善的保護。

而「A9.2設備安全」，目標是防止因資產的遺失、損害或竊盜，而造成組織營運的中斷。本文則以ISO 27001的規範為基礎歸納出以下幾點，提供企業在執行實體及環境安全管理時的參考。

一、設定實體安全邊界 - 針對實體邊界的保護，必須依照週邊設施，根據其資產價值來決定保護措施的設置程度，以達到安全控管的目標，要注意的事項有：

建築物週圍可設立圍牆等人工屏障或實體隔離設施，並且加強燈光照明系統，另外還可設置重點監視設備或保全人員巡邏。
對於邊界進出口須設置警衛、檢查哨，並且進行人員及車輛進出管制，識別方式可採取識別證、磁卡、生物辨識(指紋、掌紋、虹膜、聲紋)等。在人員識別方面，需注意辨識準確度、速度及設置成本，必要時可採取人員陪同或搭配可錄音錄影之監視系統。
對於無人門窗應予以上鎖，無人區域與重要設施，宜定時派人巡邏，或安裝防盜與監視系統。

二、進出人員管制措施 - 在ISO 27001的「4.3.3紀錄管制」條款中要求，對於資訊安全管理的運作，所建立並維持的各項記錄，必須加以保護與管制，所以像是人員進出登記表，都必須妥善加以保存，建議可採取的人員管制措施如下：

來訪人員應要求出示身份識別，配載身分識別標示，並且記錄進出的日期與時間。
人員進出區域與動線需妥善規劃，來訪人員不應直接進入作業區域，若需進入作業管制區，須經由授權或專人陪同才能進入。
技術支援或維護服務人員，需事先取得授權才能進行作業，並視管理需要由專人陪同監督。
未經適當申請程序之人員，應禁止留在辦公室單獨作業。
調職與離職人員，禁止其進入原工作之區域。

三、設備安全管理 - 對於企業內所使用的相關資產設備，應放置在予以適當保護的地點，以避免因不安全的環境而造成設備本身的損壞，或是未經授權的存取使用。另外，攜出場外使用的設備，也應該實施管制與保護措施，需要注意的事項有：

存放或處理敏感性資料的設備，應放置在可以監控的地點，並且提供足夠的電源供應，如不斷電系統與防火、水災的保護，尤其是需要特別保護的設備，務必採取獨立區域與其他設備分開。另外，對於設備所使用的通訊線路，必須採取如隱藏或地下化的保護措施，以避免遭到資料截取與破壞。
設備的維護必須由授權的維護人員來進行，若是委由廠商維護，針對維修人員必須通過身份識別或是陪同進行。在維護的過程中，必須將所排除的錯誤或是變更進行完整記錄，若需送回廠商處維修時，也必須按照設備攜出之規定進行，設備攜回或送修，應清除內含所有的敏感性資料。
在敏感區域，所有未經授權之資訊設備，像是筆記型電腦、儲存設備、數位相機、照相手機等，皆不可攜入或攜出，需要攜入或攜出辦公室之設備則必須加以記錄檢查。
外勤人員所使用的筆記型電腦，必須安裝防毒或個人防火牆，並且提供適當的資料保護措施，像是設定開機密碼或硬碟及檔案加密，並且要求不可將設備置於可能發生偷竊之地點，像是汽車等。
企業內之無人設備(例如印表機、影印機、傳真機等)需有使用保護機制(如設置密碼)，所列印之資訊應要求立即從印表機上取走，敏感資訊則應採用受管制監控之設備來列印。
人員離開座位或是下班時間，應實施桌面淨空政策，將文件與儲存媒體置於上鎖之櫃子，電腦螢幕應啟用螢幕保護程式。
需要報廢與再使用之資訊設備，必須針對其內含之儲存媒體，進行如低階格式化的資料刪除與覆寫，以確保資料能完全清除，所列印出的敏感資訊，若不需保存或是印壞丟棄時，應按照規定之銷毀程序處理。

四、機房之安全管理 - 屬於企業核心運作之電腦機房，在設置時應考慮地點及建築防護是否足夠，以減少天災或人為因素所造成的安全威脅，其安全管理注意事項如下：

機房設置地點需考量天災發生頻率之問題，並且應避免鄰近火源、水源和交通頻繁之地點。
機房之安全設計需考慮採用如高架地板、隱藏佈線、地板承重度及排水、防火功能等。
機房應擁有獨立與備援之電力支援，對於重點設備應考慮優先供電設施及UPS不斷電系統。
機房內應裝置適當的煙霧偵測器、溫度感知器等火警設備，並且設置滅火器材(考量使用乾粉及在無人區域使用二氧化碳減火器)以防止火災的發生。
危險及易燃性之物品，絕對不可存放在機房中。
機房之位置，應該盡量避免過於明顯的標示，以避免成為侵入和攻擊的目標。
機房使用之備援設備，應存放一定之安全距離，以避免災害發生時一併遭到損毀。
機房人員應熟悉緊急應變程序，並且實施定期演練及測試；非機房人員需取得授權，並由相關人員陪同監控始可進入。
機房應具備門禁管制設備或上鎖，並視情況設置監視設備，人員出入需取得授權並登記日期時間。

小心實體安全的資安漏洞

其實，大多數企業皆重視的網路安全工作只是資訊安全的其中一環，而企業最容易輕忽的，卻是最基礎的資安防護工作，像是實體與環境的安全管理等。請試著想想，當惡意人士能夠輕易進入企業環境之中，將整台主機、儲存設備，甚至是員工的筆記型電腦偷走，此時企業所設置的網路安全設備將是無法發揮任何作用的，而且資料損毀或竊盜所造成的傷害與損失，很可能會遠大於經由網路入侵系統所造成的危害。所以，如果企業對於實體與環境沒有採行適當的防護管理，當遭遇所謂的天災或人為的惡意破壞，很可能會讓重要的營運資訊毀於一旦。

在ISO 27001中，已針對實體及環境的安全管理，提供了明確的指引與實作建議，可以避免關鍵設備或機密資訊受到不當的存取、損害與干擾，企業能夠藉由落實各項控制措施來降低可能發生的風險。另外，在難以避免的天災部份，建議還可透過保險或委外管理等風險轉移措施，為企業提供更深一層的保障。(本文刊載於2007年iThome資安專刊)

[專題] 無線網路入侵手法與防禦對策分析

Tue, 10 Nov 2009 15:32:00 +0000

隨著無線網路設備成本的降低以及相關無線應用服務的普及，許多企業都紛紛建置無線網路系統，藉由無線網路相互連結的方便性與行動優勢，來提升企業員工的工作效率。不過，也因為使用上的方便所造成的疏忽，加上先天上存在的一些弱點，使得無線網路容易被惡意駭客所利用，而產生了危害資訊安全的問題。

根據CSI/FBI 2005 Computer Crime and Security Survey的統計，在病毒、非法存取資訊、詐騙、偷竊等所有電腦犯罪行為中，無線網路的威脅傷害，是唯一每年都在持續增加的。而Gartner的研究也指出，在2006年仍有8成企業的無線網路系統，存在易受駭客入侵的弱點，這種未受安全防護的無線網路，等於是為駭客大開了一個方便之門，使企業花費大量金錢所投資建置的防火牆、入侵偵測系統和VPN等安全設備，完全處於無用武之地。

所以，若是啟用了一個沒有安全防護的無線網路，將會嚴重危害到整個企業的網路傳輸、資訊安全與營運持續狀態。

企業無線網路面臨的資安風險

過去，當無線網路一開始發展時，企業通常只會在特定的區域，像是在會議室、小型辦公室等地設置無線網路基地台，透過人工方式來管理設定一到數個無線網路設備，這其實是相當容易的，而且只要藉由IT人員設定好網路連線認證機制，僅允許已通過申請驗證的使用者才能使用無線網路，即可解決大部份無線網路的管理問題。如今，隨著無線網路擴充至整個企業，甚至是開放的公共空間來使用，面對這些數十到數百的無線網路基地台及連線設備，在安全管理上就會形成一個重大的問題，一不小心，很容易就會造成危害資訊安全的事件。

對企業而言，面對駭客日新月異的入侵攻擊手法，資訊安全所面臨的挑戰，已經不只侷限在如何管理合法的連線上，而是必須針對包括無線溢波問題、無線設備管制、惡意連線、意外連線、阻斷攻擊等問題，都需要一套有效的管理機制，才能確保無線網路的使用安全。

從技術與管理的角度來看，今日無線網路面臨的安全弱點，大致可分為以下幾點：

無線溢波問題 - 無線網路不像傳統有線網路需要透過實體線材傳輸資料，並且利用各項網路設備來層層把關監控，而是以無線電波訊號在空中傳輸，讓人看不到也摸不著，很難如同有線網路一般進行管理控制。尤其是隨著大功率天線的應用，所形成的溢波範圍都有可能成為惡意駭客的入侵點，駭客也藉此輕易地延長了可以攻擊的距離，往往令人防不勝防，使得無線網路也可能被用來作為入侵內部有線網路，作為駭客進行攻擊的跳板。
不當的無線網路設定 - 若管理者因為疏忽，而將無線網路設備一律使用出廠的預設值，或是未開啟無線加密設定，也就等於是打開大門歡迎駭客的光臨。舉例來說，像是每一個無線網路基地台，都需要提供一個網路服務職別名稱(SSID)，使用者必須設定相同的SSID才能連線。但是許多的無線基地台，在出廠時即預設了default或any等名稱，若未經過更改，很容易會遭到入侵盜用。另外，一般無線基地台都會讓管理者透過Web介面來進行相關網路設定，若管理者在第一次登入設定畫面之後，沒有更改預設的密碼，也很容易會被以猜測密碼的方式來盜用。
駭客工具隨處可得 - 目前在網路上，只要在搜尋引擎中輸入「駭客工具」關鍵字，各種針對無線掃瞄、竊聽、WEP破解、Soft AP軟體工具幾乎唾手可得，許多非駭客級的惡意玩家，根本不必細心研究無線加密演算法或認證流程，只要應用這些工具，即可輕易入侵他人的無線網路。
意外連線問題 - 藉由安裝網路上下載的免費Soft AP軟體，任何一台筆記型電腦都可變成一台移動的無線基地台，並且支援Infrastructure和Ad-hoc連線模式，使用者稍一不慎，即有可能被引導連線至駭客偽裝的非法基地台，遭到騙取個人帳號和密碼，或是被偷窺側錄私人的通訊內容等。另外，在Windows XP中已內建了Ad-hoc無線點對點連線功能，可以讓筆記型電腦的使用者透過無線網路以點對點的連線方式，來分享或傳送檔案資訊。因此，利用這項弱點，惡意駭客還能夠透過病毒或木馬程式來修改相關設定，讓使用者在無意間啟動了Ad-hoc連線，不小心也就造成了個人資料外洩。

常見的無線網路入侵手法

對於有線網路的安全，企業通常都能採取有效的實體防護措施，以及使用各種網路設備來進行監控管理，但是一旦企業內部建置了無線網路系統，隨著無線網路基地台的啟動，若是缺少適當的入侵防禦措施，也就形同是將實體大樓的牆壁拆除，讓惡意駭客得以輕鬆而入。

因此，針對以上提到的無線網路所面臨的安全弱點，經常被惡意駭客用來入侵無線網路的攻擊手法有以下幾種：

封包竊聽(Sniffing) - 只要是在無線網路涵蓋的訊號或是溢波範圍之內，駭客就可以利用一些偵察工具，啟用雜亂模式(Promiscuous mode)來監聽無線網路的封包，接收所有傳送的資料。若管理者未啟用無線網路加密機制，那麼從這些沒有加密的封包中，駭客即可輕鬆獲得像是SSID、來源及目的IP Address，甚至是帳號密碼，或是MSN等即時通訊的傳輸內容。
偽冒基地台攻擊(Rogue AP & Evil twin) - 一般公開的無線網路連線程序是，當電腦開機之後，會透過無線網路卡發送Probe的連線請求，當週遭存在可用的無線基地台時，即會回應BEACONS給使用者的電腦，而系統就會根據最佳的訊號強度、品質、干擾程度等條件來連接至最佳的無線基地台。因此，惡意駭客可以架設高功率的無線基地台，冒用相同的SSID名稱，來誘導使用者連線至偽冒的基地台，偷取使用者的登入帳號及密碼。另外，駭客還可以透過軟體將筆記型電腦模擬成軟體的無線基地台(Soft AP)，發送回應給發出連線請求的使用者，讓使用者的電腦被引導連線至惡意駭客的偽冒無線基地台，竊取使用者的個人資訊。
MAC偽冒攻擊(MAC Address Spoofing) - 目前無線網路的安全機制上，可以藉由管制使用者網路卡的MAC Address來過濾合法及非法的使用者，但是，惡意駭客可以透過駭客工具，以監聽無線網路封包的方式，來取得合法使用者的MAC Address，然後再修改其網路卡的MAC address，冒充成合法使用者來騙過AP，達到成功連線的目的。因此，透過鎖住特定MAC address來限制連線，已經不是很安全的管理方式。
無線網路阻斷服務攻擊(WLAN DOS) - 既然有線網路會遭遇阻斷式攻擊，無線網路也是難以避免，無線網路的阻斷攻擊，通常可分為以下三類：(1) 攻擊無線基地台：對基地台發動封包攻擊或發送反認證封包，阻止其他無線使用者與無線基地台進行連線。(2) 攻擊使用者電腦：阻斷特定使用者的電腦，使其無法與其他無線網路設備連線。(3) 攻擊無線網路頻道：針對所使用的無線通訊頻道，進行癱瘓攻擊(RF Jamming)，造成所有使用此一頻道的無線網路設備皆無法順利連線。
中間人攔截攻擊(Man in the Middle Attack) - 所謂中間人攔截攻擊其實是結合偽冒基地台以及阻斷服務攻擊的方式，指攻擊者冒充無線基地台，對於目前使用者發送中斷連線和反認證封包，藉此來中斷使用者和無線基地台之間的連線。然後，攻擊者重新再和使用者建立連線，並且另一邊也同時和合法無線基地台連線，扮演著使用者和無線基地台的中間人，趁機從中攔截並竊取傳輸的資訊。

無線網路防禦的對策分析

面對在任何時間及地點都可能發生的駭客入侵事件，企業想要安心地使用無線網路並確保無線網路的使用安全，建議可以從「作好無線網路的風險管理」、「列管所有無線網路設備」、「部署無線網路入侵偵測防禦系統」等三項對策來著手。

首先，針對無線網路的風險管理，我們可以把握住以下原則，來檢視評估企業面臨了哪些可能的無線網路風險，藉此來導入相關的風險控制措施，即可防止大部份的竊聽及偽冒攻擊：

Who - 無線網路誰可以連結使用，是否經過身份認證？有哪些裝置連結了無線網路？
What - 使用者連線允許連線至哪個無線設備？具有什麼連結權限？可供無線網路連結使用的系統或服務是什麼？
When - 何時能使用無線網路？連線的時間多久？
Where - 從哪個地點來連結無線網路？
Why - 企業為何需要使用無線網路？
How - 使用者如何連結無線網路？使用無線網路上傳及下載了多少資料？

第二項對策是，企業必須要列管所有的無線網路設備，針對這些設備制訂出對應的管理政策(Policy)，以確保使用無線網路的裝置，在進入企業時都已受到良好的防護，應該列入控管的設備包括了：

硬體無線基地台(Hardware AP)
軟體無線基地台(Soft AP)
特殊無線裝置：例如無線條碼掃瞄器
裝置無線網路卡的PC及筆記型電腦
內建無線網路的手機、PDA、Pocket PC

這一部份除了採取人工列管之外，也可以利用無線網路入侵偵測防禦系統來自動識別各項裝置，透過安全政策(Policy)的設定，可阻止不當裝置的連線使用。

至於第三項對策，則是部署「無線網路入侵偵測防禦系統」，從使用者端的無線安全防護，到無線網路設備連線的集中式安全監控，能夠阻絕像是封包竊聽、偽冒MAC位址、偽冒基地台、阻斷服務攻擊和中間人攔截攻擊等各式駭客攻擊手法，同時還可針對非法外部裝置的企圖連線，以及避免使用者因為意外連線至鄰近公司等問題，皆能加以有效防範。

目前針對無線網路的偵測監控，主要可以分為「行動式監控」與「固定式監控」兩種，所謂行動監控是指透過在筆記型電腦或Pocket PC上安裝無線網路偵測軟體，由管理者攜帶至企業各個角落遊走，來找出在偵測範圍內是否有非法訊號的出現。使用行動監控的優勢是可以藉由手持裝置四處巡邏，找出妨礙無線訊號的死角，以及躲在安全角落的非法無線設備，但缺點則為無線網路卡本身的功率太小，涵蓋範圍不足，很有可能發生掛一漏萬的狀況。

固定式監控則是透過安裝訊號感應器(Sensor)，採取24小時持續不斷地監控所有無線網路設備與無線訊號，並將各個感應器偵測所得的資料回傳給主控端伺服器，由伺服器來進行裝置識別、連線封包分析，並且根據使用者或預設的安全政策來鎖定非法裝置或進行無線訊號阻斷，讓非法裝置無所遁形，最後還會自動產生資安事件報告以供管理者參考。即使企業有多個分散據點，同樣只要在使用無線網路的分點來佈署感應器，就可以透過主控端來統一監控，並且針對整個企業的無線網路，隨時作出診斷分析，判斷哪些地點容易遭受攻擊、可能攻擊手法類型及建議的反制措施。

此外，在使用者的電腦上，還可以個別安裝無線個人防護系統，透過常駐軟體程式，集中監控Windows PC/Notebook的無線網路設定與連線活動，並且偵測與反制違規使用行為及安全威脅。

所以，從管理者的角度而言，佈署集中控管的無線網路入侵防禦系統，能夠大幅減輕管理者的工作負擔，並且能夠時時清楚掌控目前企業無線網路的使用狀態，因此建議企業在選擇一個有效的無線網路入侵偵測防禦系統時，必須考慮能夠保護以下三個面向：

能夠識別並確保無線裝置的安全，像是無線基地台、筆記型電腦、無線條碼掃瞄器、PDA等。
能夠監控通訊連線的安全，包括安全的加密與身份驗證，並且阻斷非法連線。
能提供24x7即時監控，提供管理者安全政策的佈署及營運上的支援報告。

採取適當防護即可降低風險

或許有人會認為，既然無線網路存在著入侵風險，那企業乾脆不要使用就好，但是其實無論有線、無線，使用網路本身就存在著一定風險，實在不必因噎廢食。尤其無線網路的應用，已是世界各國在為提升科技服務而努力的目標，而企業朝向行動工作化的目的，也是為了提升更高的工作效率與品質，因此對於無線網路安全的議題，只要做好適當的資安防護工作，就能將可能的資安風險降至最低。

在傳統有線網路的管理上，網路管理者可以透過路由器、交換器等流量管制設備，或是IDS入侵偵測系統來偵測監控網路上異常的流量，雖然目前也有針對無線網路的集中式交換器，可以控管所有的無線網路基地台，並且進行使用者身份驗證和監控流量，但是對無線網路而言，當訊號在離開基地台之後，是經由空中傳遞到連結的使用者，這時像是無線溢波等可能發生的入侵問題，光憑有線的網路設備是絕對無法偵測預防的。

因此，面對可能的無線網路入侵攻擊，企業必須思考除了管理合法的連線之外，仍必須搭配佈署24小時持續不中斷，能夠針對來自空中的訊號予以監控的無線網路入侵偵測防禦解決方案。但是，如果一個所謂的入侵偵測防禦系統，只能週期性或短暫性地偵測監控，無法即時反應來阻絕非法連線，那也絕對稱不上是一套安全的入侵偵測防禦系統，所以，企業所部署的無線網路入侵偵測防禦系統，還必須能夠即時判別連線或關連的產生、鎖定非法無線裝置的位置，以及評估資料交換與可能損害大小，如此才能有效防範各種危害無線網路安全的行為發生。(本文刊載於2007年iThome資安專刊)

[閒聊] 網路世界，你想要有多安全？

Mon, 09 Nov 2009 05:07:00 +0000

曾經和一位對病毒很有研究的專家朋友聊天，提到現在許多變種的木馬和加殼病毒真是厲害，往往令人防不勝防，因此對於防毒公司來說，並不會花太多工夫在加強病毒的偵測技術上，大多只能專注在處理當下廣泛散佈的病毒，並且盡快地更新特徵在病毒碼中，提供給使用者下載更新。

如果你是個經常中樂透的幸運兒，又剛好碰上了只有幾個人才有緣相見的木馬，若想要尋求防毒公司提供解藥，個人猜想他們應該是不太會搭理你的問題。

從事資安這一行，經常被問到的一件事就是：哪一套防毒軟體最有效？到底是紅牌、黃牌，還是綠牌好？回答這一類問題，對於非常認真的朋友，我會提供一些國外的測試報告給他，請他參考數據分析的結果；如果只是隨口問問的人，我的答案通常會是，只要挑市面上有聽過的大廠牌就可以囉。

至於那些對防毒軟體效果本就心存疑慮的人，我會試著提醒他們說，基本上防毒軟體並不能完全解決未知的病毒，預多只能協助你清除掉目前普遍傳染的病毒。換句話說，安裝防毒軟體有點像是雨天撐傘一樣，你不撐鐵定會淋得一身溼，若撐了傘的話，至少重點部位還是有保障的。

專家朋友說：「萬一電腦中了毒真的找不到解藥，那乾脆就不要解了，當作得個小感冒，可以強身；不過，偶爾感冒一下沒關係，千萬要懂得去避免大病纏身，才不會一病不起。」我倒蠻喜歡這個說法，當然，這並不是說中了毒之後就別管它了(小心傳染給親朋好友時會被追殺)，而是提醒大家真的不必太過執著，萬一解不了病毒，還可以選擇其他的方法，例如把硬碟格式化後重灌系統，這樣可能會有損失但也可順利重生。

每次講資訊安全的第一堂課時，我總是會提醒來參加的朋友說：「網路世界裡沒有百分之百的安全。」也就是說，資安風險是不太可能完全消除的，所以在我們的生活中，只能盡力尋找各種風險應對之道，回到資安的行話就是，對於風險要事先尋求適當的控制措施，萬一事件還是不幸發生了，那就選擇能夠接受的處理方法，並作為下一次努力改善的目標。

關於危機的應對，我記得有個不錯的例子，那是雲門舞集創辦人林懷民在排練場火災事故發生之後，接受媒體的訪問時談到：「大火時我為何能夠從容面對，因為在那個當下你什麼都做不了，半夜二點大火，我三點多就趕到了，看到現場真的覺得無能為力，所以乾脆就坐下來抽煙，但是我心裡想，在大火的隔天，我們一定要照常開工。」

所以，面對網路上的風險，與其害怕得因噎廢食，倒不如做好該有的防備，然後選擇從容應對。

[觀點] 企業營運持續管理標準：BS 25999

Mon, 09 Nov 2009 04:54:00 +0000

隨著外在環境不斷變化與企業組織的擴張發展，在營運過程之中，來自於天然環境、競爭對手和市場變動所造成的影響，乃不可避免，企業到底該如何未雨綢繆，運用良好的治理與管理制度，來妥善處理這些衝擊改變，已成為企業高層與管理人員必須要學習的課題。

企業面臨危機而營運中斷的因素很多，除了天然災害如地震、颱風、火災等所引起的廣泛衝擊之外，因為設備故障如伺服器當機、硬碟資料損毀，以及蓄意行為如電腦病毒、駭客攻擊等所造成的營運風險也逐漸增加。

從IT層面來看，所謂的災難復原與備援系統的建置，若企業願意承擔起相關成本，技術上並非困難的事，難處在於管理階層究竟該如何進行規劃與組織人員訓練、評估何時該啟動災難復原程序、判斷作業程序是否合理，以及協調支援單位在一定時間內相互配合達成目標，最後形成一個企業營運持續管理(Business Continuity Management；BCM)系統，這些無一不是挑戰。

BS 25999的過去與現在

對於災害的應變與防護，國際上其實已有相關的計劃或標準，例如美國國家防火協會，即制訂了「災害/緊急管理與企業營運持續計劃」，作為發生災害時的緊急應變程序；加拿大也有「營運持續計劃指南」，確保企業的營運能在災害之後持續運作；新加坡「業務持續性與災害復原」標準SS507，更同時包含了IT災難復原和BCM兩項重要領域。

英國標準協會BSI過去也制訂「PAS56營運持續管理指導綱要」，作為企業在面臨營運中斷時，如何去維持關鍵企業營運的參考，目前則積極地推動更新的BS 25999作為營運持續管理系統的標準。

BS 25999標準分為兩個部份，BS 25999-1是作為參考手冊，已於2006年11月發佈，說明了營運持續管理的各項作業要點，包括建立程序、實作過程與指導原則，讓相關人員可以了解其實施方式，而BS 25999-2則是說明營運持續管理的要求，企業必須落實標準中的各項規範，通過稽核之後才能獲得BS 25999的認證，此標準於2007年11月底正式發佈。

BS25999提供了一個營運持續實施策略與框架，讓企業可以在重大事故之前，預先做好防範的準備措施，而在災難來臨時，也可以透過事先的妥善演練，來降低可能造成的營運損失，對於企業高層人員如執行長和董事會成員而言，具有BCM的策略規畫，可視為企業治理的重要任務之一，除了可以提升組織的應變與復原能力，更能滿足股東、上下游合作夥伴與客戶的要求。

BS 7799 VS. BS 25999

關於營運持續管理，在ISO 27001的前身BS 7799已有這個控制項目，說明企業需要識別關鍵的業務流程，進行風險評鑑以了解企業的弱點與潛在的威脅，再依照其重要性來排定復原的先後順序。BS 7799主要是從資訊安全的角度來看營運持續管理，提到企業營運持續計劃除了考量人員、資產與業務之外，其他相關設施只要牽涉到資訊的機密性、完整性與可用性，都要一併列入計劃之中，並且定期進行測試與改善。

BS 25999則是從整個企業經營角度來衡量，提到了更完整的營運持續管理生命週期(BCM Lifecycle)，包括了以下幾個階段：

了解企業的現況 - 由於企業的屬性與類型不同，所處的環境也有很大的差異，為了要評估在發生危機時可能面臨的衝擊，企業必須找出「什麼才是企業賴以維生的關鍵？」這有可能會是ERP、CRM，也可能會是Email或網路連線，因此必須透過「風險評鑑」和「營運衝擊分析」二種方式，來識別出面臨的威脅、弱點與風險值，估算可能造成的損失。另外最重要的，企業還必須要找出可接受的復原目標時間(Recovery Time Objective；RTO)，舉例來說，當一個人發生急性中風之後，若在三小時內沒有經過緊急搶救治療，就會造成難以挽回的遺憾，這是人人必須把握的黃金時間，所以如何在可容忍的營運中斷時間內進行應變，是企業要去審慎評估的。
制定BCM的策略 - 在了解企業的關鍵營運流程與可能會發生的災難之後，就可以根據企業的營運目標、資源與成本來制訂所要採取的因應策略，並且選擇能夠降低風險的措施。
發展與實施BCM回應 - 在此一階段中，企業必須要發展出一套營運持續計劃(BCP)，計劃中必須包括人員職責分配、教育訓練辦法、計劃啟動條件、緊急應變程序、備援機制、災難復原程序等。
演練、維護與審查 - 完成BCP之後，最重要的就是要進行測試與演練，確保計劃項目能夠一一順暢執行，在演練之後，還要針對有疏失的地方持續加以改進，以確保營運持續計劃能夠有效執行。
使BCM成為企業文化 - BCM是一個持續的管理、協調與監督過程，BS 25999標準中強調，必須要讓BCM深入成為企業文化中之一員，才能達到企業永續經營的目標。

BS 25999發揮的最大效益

或許有人認為自己在生活之中，不太可能會發生意外，每當身旁有人不斷提醒時，往往會認為是太過於「杞人憂天」，總覺得自己凡事皆能逢凶化吉。其實太過自信與缺少準備，往往使人們在面臨危機時手忙腳亂而造成更大傷害。

所謂「前事不忘，後事之師」，對於企業來說，以往無論是國外的911恐怖攻擊、倫敦地鐵爆炸、卡翠娜風災，國內的921大地震、東科大火、納莉風災、SARS等事件，許多的經驗都值得我們引以為戒，災害固然難以預防，但設備毀損、資料遺失，操作失誤所造成的損害，卻是企業可以事先規劃避免的。

BCM的基本精神就是要去「預料無法預料的事」，要將各種可能狀況的劇本預先準備好，確保意外或災難發生時，企業能夠依照事先擬定的因應方法，讓關鍵的商務活動不會因此中斷而造成龐大損失。但是，BCM的推動，準備條件除了人力、物力與經費之外，最重要的仍在於是否經過完整的測試與演練，能在時間內發揮預期的效用，這些都在在考驗著企業管理階層的遠見與決心。

所以，唯有透過不斷的沙盤推演，使相關人員確實熟悉各項應變作業流程，再經由模擬災難情況來實際演練，以評估計劃可行性，事後也務必進行檢討，針對不足之處予以修正，這樣才能發揮BCM的真正效益。(本文於2007年11月刊載於CNET網站)

[觀點] 別再輕忽實體安全管理

Mon, 09 Nov 2009 04:46:00 +0000

小陳是一家美容保養產品公司的MIS人員，隨著電視上有關美容保養的節目強力放送，使得美容DIY保養已蔚為風潮，公司從一開始接受傳真訂單銷售，到自行擴建了網路平台，短短幾年間就搖身一變成為以電子商務為主的網路購物公司，小陳也從單打獨鬥，晉升成為一個MIS小組長。

在公司機房主機的硬碟裡面，存放著這幾年來所有的客戶與交易資料，小陳每天都小心翼翼地注意機房的溫溼度、空調與電力系統，來維持這小型資料中心的正常運作，為了避免閒雜人等或是竊賊進入機房，小陳也建議公司設置了安全鎖，並且要求進出的相關人員必須填寫進出登記簿。

不過，總務人員說，為了一些資產設備維護的方便，也必須擁有一把鑰匙，所以小陳將另一把機房鑰匙交給總務人員保管，總務人員在鑰匙上貼了「機房」二字的標籤之後，就把它和一般的鑰匙都放置在桌上的文件盒裡，有委外維護的廠商需要進入機房時，只要向總務打聲招呼就能拿到鑰匙，總務並沒有仔細核對其身份，更沒有填寫進出登記簿，因為他認為只有公司的員工才需要去填寫。

管理問題重於技術問題

從上述的情況來看，小陳所有的努力，到了最後很可能會功虧一簣，因為經過總務座位的任何一個人，都有機會輕易地取得這把鑰匙，更何況上面還清楚地標示著「機房」二字，一旦有人成功竊取了機房鑰匙，或是以其他藉口獲得總務人員的信任，偽裝成維護人員進入機房，企業的重要設備或是儲存的資料，就會成為待宰的羔羊。

對於中小企業而言，若需要自行建置維護一個機房或是小型的資料中心，都會面臨到兩個問題，首先是預算與環境，因為要建置一個麻雀雖小、五臟俱全的機房，就必須要考慮機櫃、電力、空調、佈線、消防等硬體設施，不過這些都可以透過工程技術來加以克服。至於另一個也是最重要的問題就是機房管理，即使大多數企業都制訂了機房管理辦法或作業規定，但規定是否能真正落實，有沒有稽核機制來加以檢視，卻仍舊是個很大的問號，尤其是員工對於資安問題的警覺性與回報能力，可不是擁有一紙規定就可以統統達成的。

目前，許多企業對於所謂進出人員的管制，往往只是流於形式而已，這也是發生不當的內部資料存取與設備被竊的主要原因，惡意駭客只要透過「社交工程(Social engineering)」手法，像是冒充委外廠商的服務人員，或是尾隨在企業員工之後混入，甚至是假裝為同一公司員工，但是忘了帶門禁卡而請他人代刷，都可以輕易取得通行權進入企業內部環境，這時候，所有抵抗外來攻擊的網路安全設備已形同虛設，因為駭客早已另闢蹊徑，直接攻進了企業的核心。

資安強度決定於最弱一環

從ISO 27001標準的角度來看，對於「實體與環境安全」已有明確的管理要求，在附錄A9的控制措施中，即強調必須劃分實體安全邊界，並且實施實體進入的控制措施。另外，在本文條款的「4.3.3記錄管制」章節中，也要求對於資訊安全管理的各項記錄，必須加以妥善保存，像是人員進出機房管制區域的日期、時間，以及是否有人授權與陪同等，都需要有完整的文件記錄才行。

因此，企業該如何加強實體安全呢？除了參考ISO 27001的規範之外，讓我們回到一開始的小故事，文中提到的幾個情境，都可以轉化成為資安觀念，作為加強實體安全時的參考：

未核對委外服務廠商的身份 - 顯示出人員管制有疏失，企業對於委外服務的廠商，必須要確認其維護人員是否有事先申請，並且取得了管理階層的授權，在核對身份無誤之後才能進行相關作業，並且最好要有專人陪同。
機房鑰匙未妥善保管 - 顯示員工的資安教育訓練應加強，在企業的存取控制政策中，更應明訂鑰匙和通行碼保管人須善盡使用保管責任。
出入人員未填寫登記簿 - 顯示缺乏標準的作業程序(SOP)，就算來訪人員經過身份確認之後，也必須配戴清楚的身份識別標示，並且詳實記錄進出機房的日期與作業時間。

在電影「300壯士：斯巴達的逆襲」中，斯巴達國王提到了他的戰士為何能夠以寡擊眾，原因就在於每位戰士的防禦戰鬥都是交互掩護的，每個人都必須接受嚴格的訓練來習得防禦的能力，其中若有一個人無法發揮抵禦的作用，那就產生了一個缺口，整個防禦陣線也會因此分崩離析。反觀資訊安全的防護也是同樣的道理，資安的軟體、硬體、人員、管理、教育等層層相扣，每一個環節共同串起了資訊安全這條防禦鍊，而資安的強度就決定於其中最弱的一環，當某個環節出現裂痕，經不起外力的拉扯而斷裂時，無論其他環節多麼的強韌堅固，也發揮不了防禦作用，所以，千萬不要因為輕忽實體安全，而造成企業資安防線的潰敗了。(本文於2007年5月刊載於CNET網站)

[觀點] 網站應用服務安全防護之道

Fri, 06 Nov 2009 09:03:00 +0000

「我們的網站從來沒有發生問題，程式也運作得很好，有問題你先來攻攻看！」這是最近我從一位壽險業者口中聽到的話，除了感佩他的勇氣之外，也為這家業者和使用者捏了一把冷汗，原因是近來和網站有關的入侵攻擊手法，除了常見的使用者端網路釣魚與鍵盤側錄木馬程式之外，已經逐漸轉移到針對特定網站應用服務的攻擊。

由於以往傳統的蠕蟲、阻斷服務等針對網站伺服器的攻擊手法，在企業佈署了防火牆和IDS/IPS入侵偵測防禦等設備之後，都可以有效的阻擋，讓許多企業因此而卸下了心防。不過，若是採用像SQL Injection、Cross-site Scripting等利用正常連線方式，但卻夾帶著惡意指令與參數的攻擊，一旦網站存在著應用程式的漏洞，其重要的機密資訊像是使用者帳戶資料，就會在不知不覺中一點一滴地被竊取帶走。

防還是不防？這是一個重要問題！

讓我們先來看看，如果針對網站應用服務的惡意攻擊成功了，對於企業所造成的衝擊與影響有哪些：

使用者身份帳號與密碼遭竊取
打擊商譽及使用者信心
擾亂金融秩序
交易服務崩潰停擺
網站頁面損壞與資料遭篡改
損害賠償與回復清除之成本
非授權者存取到未公開或機密的資料

以上所提到的每一項，對於提供應用服務的企業都是難以承受的，因此在防與不防之間，企業必須根據所提供的關鍵應用服務來加以判斷。目前，提供網站應用服務的企業，主要以金融、購物等電子商務網站居多，但是也有包括製造業供應鍊上下游廠商等的應用系統，這些主管網路安全的人員，經常會犯下的錯誤有二個，一是太依賴防火牆和入侵偵測防禦系統的功能，二是完全忽略了不安全程式碼的問題。

對於一般防火牆來說，通常只有針對連接埠和通訊協定所維護的來源至目的地清單進行安全防護，而應用程式的攻擊，則是運用合法的網路通訊協定與連接埠作為掩護，防火牆會將之視為正常連線而不加以阻擋，因此，防火牆可以有效阻絕網路層的資源存取，但是對於應用層的存取防護卻無能為力。

至於入侵偵測防禦系統是著重在網路與系統的安全，主要針對網路層或是特定應用程式的弱點，以特徵比對的方式來進行過濾和警告，但是面對夾帶組合參數的網路連線行為或是以SSL加密過的封包，是無法加以察覺的。換句話說，入侵偵測防禦系統與防火牆只能提供有限的網路應用服務保護能力，必須還要針對應用程式的Web payload作深入的檢測，才能有效防範這一類的攻擊。

加強程式開發人員資安觀念

除了安全設備之外，另一項重要問題就是企業忽略了應用程式中所存在的不安全程式碼，導致面臨受到攻擊的風險。從ISO 27001標準中我們得知，所謂的風險是因為弱點遇上了威脅才會產生，拿生活中的例子來看，像颱風對生活在台灣的民眾而言，就是一個存在且難以避免的威脅，而為了避免風災所帶來的危害，我們可以從建築物的結構與防水防洪設施去加強，來減少弱點碰上威脅的機會，同時也降低了颱風所造成的傷害。

反觀網站提供應用服務的風險，則是來自於隨手可得的駭客工具與攻擊手法(威脅)，加上程式撰寫者的疏忽(弱點)所造成，所以對企業的資安人員而言，想要降低風險就必須從威脅與弱點來著手。只是，多數程式開發人員的第一要務，就是完成系統開發要求中的功能項目，而所謂的資訊安全問題，通常都會在完成系統功能驗收之後，隨著船過水無痕而消失無蹤，因此加強程式開發人員的資安教育，導入安全的程式開發流程，是資安工作中的重要一環。

未雨綢繆則有備無患

所謂「勿恃敵之不來，恃吾有以待之；勿恃敵之不攻，恃吾有所不可攻也」，具有危機意識，是資訊安全時代企業生存的必要條件，面對不斷翻新的應用服務攻擊，個人建議可從「預防」、「監控」、「稽核」等三方面來著手。

首先，在進行應用程式開發時，必須導入一個安全的開發流程(Security Development Lifecycle；SDLC)，從需求、設計、測試計畫、程式碼、測試結果到回饋機制的每一階段，都必須以安全性的要求來一一加以檢視，而利用應用程式弱點掃瞄工具，能夠在開發階段即提供安全程式撰寫上的建議，預防可能產生的程式語法漏洞。

接下來，在應用程式正式上線提供網路服務之後，仍必須定期進行弱點掃瞄，並且在閘道端佈署一道網路應用層防火牆(Web Application Firewall)，針對所有的網路連線流量一一予以檢查監控，應用層防火牆的好處是可以在網路伺服器之前，協助阻檔各項針對應用服務的攻擊，並且能持續監控連線行為，找出防範應用服務攻擊與漏洞修補的對策。

最後，在了解針對應用服務的攻擊風險之後，還必須分析記錄檔並進行資安稽核，確保漏洞都已經被修補，再藉由不斷地調整企業的資訊安全政策，來降低可能遭受攻擊的風險，以因應可能來自世界各地的網路應用服務攻擊。(本文於2007年4月刊載於CNET網站)

[觀點] 成為資安人才的學習之路

Thu, 05 Nov 2009 15:29:00 +0000

隨著金融海嘯的風暴席捲而來，企業也不斷傳出縮減人事的消息，在這個不景氣的年代，學習永遠是最好的投資，如何讓自己成為不可取代的人才，就需要去重新檢視自己的技能，而增強資安方面的知識，將是一條長久可行的道路。

隨著資安事件不斷地發生，以及政府相關單位的重視與要求，資訊安全已成為近年來很熱門的話題，但是，企業普遍都有優秀的網管人員，卻缺乏可用的專責資安人員。根據MIC在2007年針對台灣大型企業資安現況的報告指出，有七成大型企業的資安人力配置低於2人，其中5.6%根本沒有設置任何資安人力，而僅配置1人的大型企業也佔有30.4%，可看出多數大型企業的資安人力配置明顯不足。

目前，許多企業的資安工作，仍是交由資訊部門來主導負責，因此對資訊人員來說，除了確保網路連線順暢的既有任務之外，防制可能的網路攻擊也成為必要的責任，但是該如何去防治千變萬化的網路攻擊手法，若缺少適當的學習方式與管道，資安工作就會變成是個沈重的負擔，尤其是資安涵蓋的層面太廣，如果沒有適當的認知與學習方法，恐怕也會迷失在茫茫的資安大海之中。

資安人員的角色職責

根據個人的觀察，目前企業普遍欠缺的仍以資安技術人員為主，因為需要他們來協助建置維護相關的網路安全設備，例如防火牆、入侵偵測系統和防毒系統等。不過，也有企業是為了導入完整的資訊安全管理系統，因此更需要了解如ISO 27001等國際標準的資安人才，來協助導入符合資安標準要求的各項政策與作業規範。

所以，如果想要讓自己能夠在企業中有所發揮，變身成為資安人才，是讓自己不被取代的好方法。不過，我們需要先了解目前資安人員的角色與職責，依據本身已具有的專業技能，並評估企業目前的實際需求，再來決定要朝哪個角色職務來邁進。基本上，資安人員的角色可分為以下幾種：

資安技術人員 - 主要職責在於確保網路通訊安全、進行資安弱點評估、協助IT日常營運與與資安事件處理、系統與應用程式安全、負責資安產品開發、資安設備的建置與維護等，例如資安工程師、資安分析師、資安架構師等。
資安管理人員 - 主要職責在於制定資安政策、進行資安風險管理、資安事件應變管理、評估企業的營運持續與資安法規遵循，在企業中這屬於較高階層的管理職務，例如像是資訊長、資安官、資安小組召集人等。
資安稽核人員 - 主要職責為協助企業進行資安標準與法規遵循的稽核工作，例如資安稽核人員或電腦稽核人員。
資安鑑識人員 - 主要職責為進行資安事件現場鑑識調查、數位證據之蒐集檢驗與分析報告，以及擔任法院訟訴時的專家證人。在台灣主要仍以檢警調相關單位為主，像是調查局鑑識人員、刑事警察局鑑識人員和犯罪現場鑑識人員。
資安顧問人員 - 主要職責範圍為給予企業資安標準或產品導入建議、協助進行資安風險分析評估、資安治理諮詢建議，以及執行資安教育訓練等，常見的職稱有資安顧問、風險管理顧問和ISMS顧問。

資安人員必備的基礎知識

若想了解成為一位專業的資安人員，到底該具備哪些基礎知識，建議可參考2007年10月由美國國土安全部所發布的：Information Technology Security Essential Body of Knowledge (IT Security EBK)，以下是其14項知識領域項目，可作為您在決定資安學習方向的參考：

Data Security (資料安全)
Digital Forensics (數位鑑識)
Enterprise Continuity (企業營運持續)
Incident Management (事件管理)
IT Security Training and Awareness (IT安全教育訓練)
IT Systems Operations and Maintenance (IT系統營運與維護)
Network Security and Telecommunications (網路與通訊安全)
Personnel Security (人員安全)
Physical and Environment Security (實體與環境安全)
Procurement (設備採購)
Regulatory and Standards Compliance (法規與標準遵循)
Risk Management (風險管理)
Strategic Management (策略管理)
System and Application Security (系統與應用程式安全)

如果您對以上的知識領域有興趣，想要更進一步地去學習，但卻又不知該如何著手，建議可以從準備考取資安證照的方式來著手，因為證照所要求的專業知識，和IT Security EBK的領域有許多雷同的地方，若是還能藉由參與相關資安證照的訓練課程，那麼更是增強自己資安實力的最快方法。

資安證照的專業知識領域

目前國際間最知名的資安證照，非CISSP莫屬，CISSP是由國際非營利組織(ISC)2所提供的資訊安全專家資格證照，它設定的對象為負責制定資訊安全政策、推行資安管理標準的資訊安全專家，並且更獲得了美國國家標準學會有關資訊安全的ISO/IEC 17024證書標準，換句話說，此一證書可作為全球專業人員資格認證標準，確保已擁有資安各範疇之專業能力，CISSP的知識領域如表一所示。

表一：CISSP證照十大知識領域

1.存取控制	6.法規遵循與調查
2.應用程式安全	7.作業安全
3.業務持續與災害復原計劃	8.實體(環境)安全
4.密碼學	9.安全架構與設計
5.資訊安全與風險管理	10.通訊與網路安全

另一張很適合資訊人員來取得的資安證照是CEH(Certified Ethical Hacker )，它是由國際電子商務顧問局(International Council of E-Commerce Consultants；EC-Council)所推出，此一課程介紹駭客常用的工具與方法，以實際了解駭客行為，進而懂得如何保護網路與系統免受攻擊，並可學習如何去制定攻防策略，以防堵不法駭客的入侵。EC-Council的課程及證照已經獲得許多知名公司或政府單位的認同，包括Canon、HP、Sony、US Military、FBI、CIA、US Army等，其涵蓋的知識領域如表二所示。

表二：CEH證照之知識領域

1.倫理與法律	12.網站應用程式的弱點
2.足跡	13.密碼破解技術
3.網路掃瞄技術	14.資料隱碼的入侵模式
4.列舉	15.入侵無線網路系統
5.電腦系統入侵	16.病毒與病蟲
6.木馬程式與後門程式	17.實體安全
7.封包監聽	18.入侵Linux系統
8.阻斷服務	19.入侵偵測系統、防火牆與網路誘陷系統
9.社交工程	20.緩衝區溢位
10.連線劫持	21.密碼學
11.網站入侵	22.滲透測試方法

第三張個人推薦的資安證照是CompTIA Security+，它適合想要全面性的了解資安各個領域，以及剛接觸資安不久的相關人員，它是由成立於1980年，總部設於美國華盛頓的美國電腦協會(Computing Technology Industry Association；CompTIA)所推出，此協會致力於協助全球資訊產業發展、政府資訊產業政策制定與資訊技術的認證，會員遍佈102個國家，是全球性的電腦技術協會組織，也是全球最大的獨立認證機構，此一證照涵蓋的知識領域如表三所示。

表三：CompTIA Security+證照知識領域

1.安全概要	7.密碼學基本原理
2.攻擊、惡意軟體與威脅	8.密碼學的應用
3.網路基礎建設安全-基本安全概念	9.認證、授權與存取控制
4.網路基礎建設安全- IDS/IPS、事件處理	10.安全政策與管理
5.弱點與稽核	11.作業安全、營運持續與災難復原計畫
6.通訊安全與對策	12.其他安全相關課題

變身成為多重能力的人才

知名的趨勢大師大前研一說過，大多數的專業人才，都屬於擁有單一技能的「T型人」，例如像是網管人員，若持續在單一領域裡不斷鑽研，最終會成為網路管理的專家，但是可別忘了T型人只有一隻腳，除非真正進入一家仰賴單一專業技術的企業，否則在這個專業外包且成本更低的年代，只懂得單一技能的人員，就會產生被取代的潛在風險。

因此，僅有單一技能是不夠的，我們應該想辦法讓自己成為一個「兀型人」，也就是讓自己具備兩種以上的專長，有了兩隻腳之後就能夠站得更穩、看得更遠，甚至還能跑的更快，藉由不斷學習新知識領域的過程，使自己具備各項整合的專業能力，才能打敗不景氣，同時能往更高一層的職務邁進。(本文刊載於2008年12月號網管人雜誌)

舊留言存檔

以下留言轉存自原 Blogger 網站，僅供存檔，無法回覆。

匿名（2017-06-01）

近期有開政府補助課程-資訊安全管理師培訓班 http://eec.uch.edu.tw/web3/index3.asp?cid=307676

[新聞] 小心瀏覽器cookie所隱藏的安全問題

Thu, 05 Nov 2009 07:11:00 +0000

有位Web security的專家Mike在他最近撰寫的論文中提到，因為相同網域直接信任的問題，很多企業都忽略了在同一個網域中，若是子網域(subdomain)被惡意人士攻陷了，很可能會利用其所竊取到的cookie，進而獲得主網域(parent domains)的信任，讓更個網站淪陷。

在作者的論文中，以概念驗證方式(proof-of-concept)說明這種方式可能對一些特定網站造成影響，像是google和銀行網站等。若未受安全防護的cookie受到竊取竄改，最明顯的傷害就是讓惡意人士可以取得連線資訊如帳號、密碼等，也可以更改session甚至是購物車的內容，建議電子商務網站的管理人員務必要小心才行。

[新聞連結] Browser cookie handling could widen web attack space

[論文連結] Exploiting DNSbased Trust Relationships On The Web

[觀點] 從記錄收集分析談IT Log管理

Wed, 04 Nov 2009 15:41:00 +0000

在現今的資訊系統和網路環境裡，Log幾乎無所不在，無論是在作業系統、應用系統和資料庫中，還是網路設備如router、switch，或是常見的資安設備像是入侵偵測系統、防火牆、防毒系統等，每天都會產生大量的Log資料，留下了系統與設備運作的各項記錄。

根據SANS機構針對全球2000大公司的調查顯示，驅使企業收集Log的前三項原因，第一是為了要偵測和分析與資安或效能有關的事件；其次則是想藉由IT控制和產生報表來預防系統的濫用，並提供法律上的鑑證；第三則是為了遵循像是沙賓法案、PCI資料安全標準、GLBA和HIPPA等法規的要求。

除了以上原因之外，像是協助評估和IT相關的事件，以減少可能的停機時間；或是需要去收集、分析、警示和歸檔與網路相關的資料，這些也是企業收集Log的原因。

Log收集保存的重要性

到底什麼是Log？其實Log就是資訊系統或設備在連線和運作時所產生的記錄。俗話說：「凡走過必留下痕跡」，藉由Log的收集和分析過程，可以讓IT人員能夠監控系統的運作狀態，並且判斷可能發生的事件，以及分析資料存取行為和使用者的作業活動。

換句話說，藉由Log的詳實記錄，可以幫助我們了解在企業的IT環境裡，究竟發生了什麼事，例如網路是否遭到惡意的嘗試入侵？系統和網路運作是否有異常情況發生？通常IT人員只要針對Log進行主動監控，就可以判斷可能的問題，或是在狀況未明時，透過Log的查詢分析，也能夠在很短的時間內找出原因。

從法規的觀點來看，Log管理更應視為IT營運策略中的一環，企業為了要遵守法規對營運和財務資訊的各項要求，Log的保存即顯得非常重要，尤其是它提供了稽核軌跡，讓稽核人員能透過對於Log的查驗，來確認企業的內部控制是否符合法規要求。如果萬一不幸發生了舞弊事件，Log也可以成為事件追蹤的管道，除了能釐清事件的發生過程，甚至可成為法庭上的證據，所以對於需遵循法規的企業，Log管理已經是必須要去落實的工作。

大量Log所產生的問題

隨著企業的規模和資訊系統與設備的增長，首先會面臨的問題就是眾多不同的設備和應用系統，產生了不同格式的Log，到底該如何去收集？而每天不斷產生的Log資料，一旦資料量超出人力可以判讀的範圍，又缺少適當的管理工具，對IT人員來說，反而會變成一種負擔。

過去，對於Log的管理方式，大多限制在單一的設備上，以防火牆為例，IT人員只能在單一介面上進行Log的查詢。不過，隨著混合式攻擊手法的普遍，只從單一的設備上，很難解讀出對於攻擊手法有效的判斷資訊，所以必須要透過不同的設備之間，利用時間或IP位址作關聯性的比對，才有辦法找出其中隱含的真相。

但是，如果要做到不同設備之間的Log分析，勢必就要針對Log進行集中式儲存與正規化處理，可是不同廠牌的資訊設備，產生的Log都分散在各地，即使能夠集中收集，隨著大量且不斷湧入的資料，到底該如何進行分類？資料要如何保存？如何查詢利用？這些都形成了管理上必須要面對的問題。

傳統Log管理的作法

基本上，針對Log的收集有二種作法，一種是讓設備自己將資料傳送到Log Server中，另一種則是讓Log Server定期自動地到各個設備去收集資料。不過，在某些應用系統上有時會很難運作，幸運的話，可能只需要安裝代理程式(Agent)，就可以協助收集到所需要的資料，但若不幸的話，一些委外開發的應用系統，甚至連產生Log的作法都沒有。

目前，Syslog是普遍被應用的Log server架構，但也有一些作業系統並沒有支援它，需要透過額外的工具來進行資料轉換才行。此外，Syslog的缺點是當網路傳輸流量大的時候，部份資料可能會因此而遺失，再加上預設的Syslog流量本身是沒有加密的，並且使用UDP通訊協定來進行溝通，在過程中很容易被假冒的訊息來攻擊。而除了Syslog，SNMP trap也是用來傳遞資料給Log Server的一種常見的方法，但SNMP一樣在傳輸過程中沒有加密，所以也容易遭到偽冒攻擊。

Log管理方面的建議

SANS機構的調查報告指出，在Log資料方面，最讓IT人員感到頭痛的地方，依序是收集資料、搜尋資料和產出報表。因此，在Log管理方面，有以下幾點建議，可做為IT人員的參考：

擬定適當的管理政策 - 在文件化的政策之中，首先應說明到底有哪些人需要存取Log資訊？通常可能會包括IT、稽核或法務人員；接著，必須決定哪些是重要的系統和設備，要如何去收集不同格式的Log資料；然後，還要定義哪些事件是需要優先監控和分析的，以Windows作業系統為例，需要留意的Log記錄可能會有：帳號登入失敗、帳號鎖定、建立了新帳號、使用者帳號狀態變更、修改安全群組、修改安全記錄、政策變更等。

選擇適合的收集方式 - 請先進行企業的網路環境分析，再決定收集資料的方法，若要採取集中化方式進行，就需要特定的Log server來處理，但是要注意當大量Log資料傳輸時，可能會造成的網路壅塞情況。另外，Log server本身也需要進行系統安全強化，以避免受到攻擊而失效。

應用適當的分析工具 - 大量的Log資料需要被分類、組織和搜尋，但是設備所內建的工具方面有時不是那麼容易使用，因此應選擇適當的整合式Log管理工具，並且測試確認是否能快速查詢分析，並產出符合法規或清晰易懂的報表，以滿足經營階層的需求。

選擇適當的儲存方式 - 許多法規都要求Log必須保存一定的年限，以PCI資料安全標準為例，它要求企業需針對Log資料進行審查，並至少保存一年以上，因此Log資料的儲存與查詢，會是能否符合稽核時的重點。在國外的訴訟方面，Log有可能也會成為法庭上的證據，因此必須要確保資料的完整性，在歸檔與查詢時應避免修改原始資料，另外也可考慮加密儲存，以避免資料遭到竄改，並將儲存Log的媒體，放置在安全的地點。

時間同步是重要關鍵 - 在Log管理之中，還有一個非常重要的地方，那就是必須確保各系統與設備時間的一致性，如果因為記錄的時間不同，在進行分析時，各個設備的Log資料即無法串連，甚至可能會誤導在問題處理時的方向，因此最好在企業內部架設一部Time server，以便所有設備可以進行時間同步。

最後，在本文所談到的Log管理和所謂的資安事件管理(SIEM)，兩者之間還是有些不同，Log管理可說是資安事件管理的基礎，主要著重在Log的收集、分析、儲存與查詢，以解決IT運作問題與法規稽核的要求。至於SIEM則著重在從Log之中，進行即時的關聯性分析，以識別出可能的資安威脅攻擊，同時還可發出警示，並進入後續的資安事件處理流程，這也是目前所謂資安營運中心(SOC)的主要運作模式。(本文刊載於2008年11月號網管人雜誌)

[新聞] 勒索軟體的新花招

Tue, 03 Nov 2009 13:03:00 +0000

勒索軟體(Ransomware)雖然在台灣並不流行，但是在國外卻是令人頭痛的資安問題之一，以往的勒索軟體，常見的手法是透過惡意程式感染電腦之後，自動尋找系統中重要的資料夾，然後設定密碼將它鎖住，並且秀出一段訊息要受害者到特定網站，在付出贖金之後，才能得到解開的密碼。

最近，賽門鐵克公司發現有一隻名為「Trojan.Ramvicrype」的木馬，它會使用RC4的演算法將受害者最近打開過的檔案加密，轉成一個副檔名為「.vicrypt」的檔案。而且不同於以往的勒索軟體，這隻木馬它不會直接要求你付錢來取得解密的鑰匙，而是當受害者發現檔案打不開了，自己上搜尋引擎用副檔名這個關鍵字去找解答或幫手時，就會出現這樣一項幫忙解救的服務連結，當然，既然提供了救援服務，這時侯就可以名正言順跟你收錢囉。

[新聞連結] Tales from the Crypt

[觀點] 從資安威脅挑戰談端點安全防護

Fri, 30 Oct 2009 06:49:00 +0000

所謂的端點設備是泛指所有具備運算功能，並且會連接企業網路的桌上型電腦、筆記型電腦、PDA等手持裝置，以及具備無線網路、儲存媒體、可程式化控制的相關系統裝置等。在企業之中，一般使用者的電腦系統是比較容易受到惡意入侵的管道，因為駭客不需要去和企業的資安防護系統硬碰硬，就可以透過Web或是email直接滲透到使用者端，取得其所想要的資訊，而且每當有端點設備，在離開了企業的資安防護範圍之後，所面臨的資安風險更會大幅增加。

只是，面對為數眾多的端點設備，對IT人員而言，在管理方面將是一個頭痛的問題。舉例來說，雖然企業針對使用者的資訊安全防護，制定了安全存取政策(Policy)和控制措施，若是要透過人工的方式，一一部署到使用者端並且強制實施，似乎不太可能，所以必須要尋求一個自動化的方案。不過，在端點上所需的安全防護甚多，如果防毒有一項政策、防火牆有一項政策、遠端連線也有一項政策，需要分開部署或是安裝多重的使用者端代理程式(Agent)，對於使用者日常作業的穩定性和方便性，勢必會造成一些影響。因此，尋求一個可以全面整合並管控的端點安全方案，在單一Agent上支援所有的端點安全防護功能，會是比較好的實施辦法。

端點設備面臨的資安威脅

根據日前資安廠商Websense的2008年資料外洩意見調查指出，有高達99％的IT人員非常關心資料外洩的問題，其中有44％的受訪者更認為，企業最重要的資安問題就是「智慧財產權遺失」，其次則為「客戶個人資料遺失」、「財務資料遺失」和「員工個人資料遺失」。另外，也有63％的受訪者認為，由於外接式儲存裝置便於攜帶的特性，是最容易發生資料外洩的首要管道。

企業的端點設備，皆存放著大量的企業資料，一但遭到入侵成功，損失可能難以估計，特別是一些行動裝置如筆記型電腦，一旦離開了企業實體環境，就會有容易遺失或被竊的風險，如果硬碟裡所儲存的敏感資訊，沒有適當的加密防護，就等於是將企業機密雙手奉上給別人。目前，端點設備所面臨的資安威脅與管理挑戰，基本上有以下幾種：

惡意程式入侵 - 惡意程式像是病毒、蠕蟲、間諜程式的攻擊已愈來愈頻繁，尤其是駭客可跳過企業對外的資安防護，直接透過網頁瀏覽方式，讓使用者不小心下載惡意程式，直接入侵端點設備。
遠端連線竊聽與儲存媒體遺失 - 隨著行動使用者的增加，其所使用的行動設備與儲存媒體，在離開企業之後，會面臨遠端存取時的安全問題，企業必須要有可靠的身分驗證與資料安全傳輸機制，並針對行動裝置上的硬碟和USB儲存媒體，做好適當的管控與防護。
端點難以集中管理 - 企業內眾多的端點裝置，要如何進行統一的資安政策部署，並且增加資安管理的可見度，對於IT人員來說難度甚高，除了會增加管理成本支出外，更有可能影響使用者系統的穩定與效能。

端點安全的部署建議

為了因應以上的威脅與挑戰，企業可考慮部署端點安全解決方案，藉由全面性的安全防護來因應資安問題，不過在選擇評估時，建議需考慮以下幾點：

能偵測並阻擋惡意程式 - 端點必須具備防毒、防間諜軟體、防火牆等功能，並可透過中央控管方式，提高端點的可見度，也就是說管理人員有能力針對所有端點進行定期掃瞄，並且可掌握有哪些設備已經中了毒，還能夠針對端點設備的現況，提出詳細的安全報告。

可加密保護敏感性資料 - 行動裝置已經愈來愈輕薄短小，若是一不小心遺失了設備，而且資料本身並沒有保護措施，那麼重要的資訊就會立即面臨遭到揭露或存取的風險。保護端點資料安全的控制措施，應包括了磁碟加密、外接式儲存媒體加密和周邊連接埠控管等。目前針對資料的加密方式，可以對儲存媒體進行單一檔案加密、資料夾加密，或是整顆硬碟加密。另外，控管周邊連接埠的好處是，可防止資料被複製到外接式的儲存媒體中，也可同時防止像是USB病毒感染，避免惡意程式透過這些管道直接滲透至企業內部之中。

統一部署安全政策 - 在端點部署了安全政策，即可針對連線設備做好網路存取行為的管理，例如在連線之前可要求必須更新病毒碼和安裝最新的系統修補檔，並且限制其執行不被允許的應用程式，像是P2P軟體等。另外，針對遠端連線的使用者，透過安全政策的要求，可以檢查系統狀態是否安全，並且在安全的傳輸通道下，才允許他們連回企業的內部網路。

確保遠端連線安全 - 端點安全方案必須確保遠端設備能使用加密的安全通道，才可進行資料的傳輸，例如使用者在咖啡廳、機場等地使用公開的無線網路時，應透過VPN的運用，來避免連線過程可能被竊聽而導致資料外洩。

提供中央控管機制 - 具有中央控管機制，將可大幅降低IT人員在管理時的負擔，除了能協助派送必要的軟體或政策更新之外，還能夠即時監控、掌握目前的端點安全情況。對管理者而言，提供清晰的報表也是很重要的，因此良好的端點安全方案，應該要能協助管理人員簡化對於安全事件的管理。

減少對使用者的影響 - 一項新的安全控管措施在佈署時，最重要的就是要避免影響使用者現有的工作，降低對於使用者作業系統的衝擊。因此，好的端點防護方案應避免佈署多重的Agent，以防止系統資源過度消耗，造成系統的不穩定，雖然安全控制措施多少都會有一些效能的影響，但是應控制在正常運作的範圍之內。

循序漸進來解決問題

在端點安全方案出現之前，有許多企業已經部署了單一的資安防護措施，但是彼此之間卻缺少整合管理的能力，因此，目前的端點安全方案，最大的優勢就是可以進行安全防護的一致性整合，提供企業更快速簡便的管理方法。

如果企業已開始評估導入端點安全方案，對於產品的功能、建置時程、人員訓練，一定要記得詢問協助建置的廠商是否有完整規劃，尤其要考慮到可擴充的問題。因為事實上，如果有些產品功能目前並沒有迫切的需求，就不需要一次全部都導入，而是可採取適當的配套方法，先針對目前的需求來循序進行。

舉例來說，端點安全方案提供了全面性的防護功能，但是若現在最需要的是針對防毒、遠端連線安全、集中式管理所有端點設備，那麼防止惡意程式、個人防火牆、遠端連線VPN、中央政策控管就是該先行規劃的項目，至於硬碟加密、周邊控管、應用程式控管等功能，只要確認廠商有提供可擴充的方案，即可留待有需求時再行導入。(本文刊載於2008年10月號網管人雜誌)

[觀點] 從混合攻擊手法談整合威脅管理

Fri, 30 Oct 2009 06:37:00 +0000

近年來的資安事件，無論是網站入侵或是資料外洩問題，惡意人士採用的已不再只是單一的攻擊手法，而是會透過各種管道，先探測系統存在的弱點，再伺機植入惡意程式，這種混合式的攻擊手法，對企業運作已是一項重大的威脅。

舉例來說，像是七夕情人節剛過，有許多人的電子郵件信箱都會收到愛情告白信，若只是因為一時的好奇，按下了郵件中所附上的網址連結，很容易就會被植入蠕蟲，而成為散佈垃圾郵件的主機之一。此外，如果你還是個喜歡關心世界大小事的網路使用者，那麼最近自動發送給你的「CNN十大新聞影片(CNN.com Daily Top 10)」郵件，裡面附上了熱門新聞影片的網址，當你點選之後，它就會告訴你需要去更新電腦中的Flash Player程式，才能順利觀看影片，一旦你依照指示下載並更新了程式，它同時也偷偷安裝好了一隻叫做「TROJ_TIBS.CSZ」的木馬。

以上這些事件，已不再只是單純的散播病毒，而是混合了包括垃圾郵件、間諜軟體、蠕蟲和惡意連結等方式，把惡意程式裝扮成美味可口的模樣，散佈到企業的各個角落，意圖來引誘好奇心重的人們上當。如果使用者不小心受到感染，很容易就會成為殭屍網路(Botnet)中的一員，變成一個被利用的攻擊跳板。

全面資安防護大不易

當然，以上的惡意攻擊手法，對聰明的IT人員來說是不會輕易上當的，但是對企業為數眾多的一般使用者而言，即使管理人員已常常提醒大家不要開啟來路不明的郵件，他們還是很容易就會受騙，而且還會用無辜的語調說，「這封信看起來就是由CNN發的，而且連結的網頁也和CNN網站長得一模一樣，所以才會打開呀」。因此，除了加強使用者的資安意識之外，面對各式各樣的攻擊手法，我們還是得設法從技術面來加以預防。

目前，企業內部的基礎資安防護措施，通常包括了防火牆、入侵偵測防禦與防毒系統等，如果組織還包括了分支單位，或是有行動工作者需要遠端存取企業內部資源，那麼建置一個安全的連線管道如VPN，也是必要的安全措施。但是，這些防護措施說來容易，真正要管理起來卻不是那麼簡單，因為每項單一功能的設備，都會有自己的管理介面，也需要個別去設定各種安全規則與政策，每當IT人員面對眾多的資安軟硬體設備時，在管理上很容易就會發生掛一漏萬的情況，也就演變成為資安事件發生的潛在原因。

因此，對企業而言，資訊安全是一項全面性的工作，任何一個地方都不能夠有疏漏，只要有惡意人士發現了其中一個弱點，很可能就會利用它來危及整個企業的重要資訊與系統運作。不過，目前國內的中小企業，在缺少專職資安人員的情況下，資安工作通常都是交由IT人員來負責，可是IT人員平常的任務繁多，往往已經是身兼數職，一邊要確保主機正常運作，一邊又要維護網路，若再加上資訊安全這一項，就成為雪上加霜的沉重負擔。

認識整合式威脅管理

探討驅動這些混合式攻擊的背後目的，除了是為獲得有價值的商業資訊之外，竊取個人身份資料也是重要的原因之一。針對日漸增加的安全威脅，資安廠商也推出了整合防毒、防駭的整合式威脅管理(Unified Threat Management；UTM) 設備，來協助企業抵禦外敵，這些產品的出現，主要就是為了簡化過多單一功能產品的管理問題，以及考量到許多企業需要能夠集中管理的資安防護方案。

根據資策會資訊市場情報中心的調查指出，有近三成的企業沒聽過UTM這項產品，而UTM的效能不彰則是無法大量普及的最大原因。但是，隨著CPU與網路元件處理速度的加快，硬體效能已經得到大幅的提升，目前各家廠商正在努力思考的方向，其實是在「功能」、「效能」和「成本」之間，去創造一個擁有最合適平衡點的UTM產品。

對企業來說，導入資安產品的目的，最終還是要回歸到本身的需求，並且能夠解決所面臨的問題，雖然說UTM集合了各種功夫於一身，但是要寄望它同時將各種功夫都發揮到極致，基本上是不太可能的，就算有這種產品推出，成本花費也會是一般企業難以負擔的，所以在建置的過程中，廠商會努力和使用者溝通，才能找出符合使用者需求與適當的解決之道。更何況，有些企業並不想只依賴一個十八般武藝都很強的產品，他們真正需要的是一個容易部署且符合功能需求、能提供一定程度的安全防禦、在問題發生時能很快通報給管理人員的安全方案。所以，只要效能和成本比可以接受，採用UTM產品也會是一個不錯的選擇。

UTM產品的評估重點

如今，市面上的UTM產品種類繁多，到底要如何才能選擇一個適合企業應用的方案？基本上，個人認為UTM主要會適合以下情況的企業來應用：

希望簡化安全部署與管理的大型企業
人力和資源有限的分公司或中小型企業
需要針對遠端使用者，提供遠端存取與安全連線的企業。
尚未部署其他安全方案，希望在單一方案中整合防火牆、入侵防禦、防毒、VPN等技術。

因此，企業在評估採用UTM方案時，除了最令人關心的價格問題之外，還需要考量的因素有：

安全性 - 在UTM中所採用的安全技術，像是防火牆、防毒、VPN、入侵偵測等，是否在業界具有一定的知名度，企業除了要考慮個別模組的表現之外，也需要考量技術整合的整體安全性，是否有能力為企業有效阻擋各種安全威脅。

管理性 - 對於UTM設備來說，採用集中式管理是必要的功能，無論是組態設定、設備監控、產生報表，都必須要能透過統一的政策來進行。在管理方面，採用可彈性化與視覺化的物件設計，對於管理人員來說，將能大大減輕管理時的負擔與時間成本。

擴充性 - UTM所包含的安全與管理功能，必須是模組化且可更新的設計，因為對現今企業多樣化的網路環境而言，為了加強安全性，UTM設備不能只是一個固定的裝置，而要能夠隨著企業的成長需求，以彈性化方式進行調配管理。

高效能 - 適合企業採用的UTM，在系統平台上需要有特別的硬體設計，才能符合企業在效能上的要求，而透過支援高可用性，將使企業的關鍵業務不會停擺，同時降低效能上運作的瓶頸。

簡化管理是解決問題的關鍵

今日安全威脅的產生速度已愈來愈快，而且攻擊的層面也更加廣泛，企業在擬定資安防禦策略時，除了加強原有的系統防護之外，如何去簡化安全的管理機制，制定快速的事件處理流程，將是解決資安問題的重要關鍵。

現今的整合威脅管理產品，在先天上具有管理與佈署簡便的優勢，唯一要克服的，是效能與功能面的展現要求。不過，隨著硬體元件的改良，加上可擴充運作的方式，針對資安人力有限的企業，不失為一項良好的資安防護措施，在事事要求投資報酬率(ROI)的今天，如何去兼顧安全與成本，將是管理人員需要及早去學會的重要功課。(本文刊載於2008年9月號網管人雜誌)

[觀點] 從設備失竊事件談實體安全管理

Thu, 29 Oct 2009 03:41:00 +0000

2007年1月，美國國稅局存放納稅人資料的26個電腦磁帶，在堪薩斯市政府大樓裡遺失，雖然相關人員試圖找出磁帶的下落，但就如同許多失竊事件一樣，物品從此消失不見，唯一能做的就是祈禱裡面的重要資訊，不會遭到濫用而造成更大的損失。

對於IT人員來說，實體安全是一個很大的議題，牽涉的範圍也相當的廣泛，因此，往往是容易被疏忽的一環。從外圍建築物週邊的安全邊界開始，一直到企業內部機房和相關的資訊設備，都屬於實體安全中要保護的一部份，所以IT人員勢必要花費一番心力，才能瞭解實體安全的相關措施。事實上，企業要確保實體安全的目的，就是為了降低自然或人為因素來影響資訊資產的安全，以避免重要設施與敏感資訊不會遭到無意或有意的洩漏、竊取與破壞，而這即是實體安全的核心概念。

識別實體安全的風險

根據個人過去訪談的經驗發現，許多人對於實體安全仍然有一些錯誤的觀念，像是「我們的Server機器沒人要偷啦，又大又重的」、「我們公司門口有警衛，小偷搬不走任何設備的啦」、「我們Server的Console 都有登入鎖定，就算有人溜進去也不能操作」等。事實上，一旦有惡意人士進入了機房或敏感的安全區域，除了有機會能竊取資訊設備之外，其他可以進行的破壞事項還很多，像是破壞電力供應、網路線路或儲存媒體等，這些行為往往會造成更大的損失。

所以，實體安全的第一步，就是要先去識別可能的威脅來源。一般而言，實體安全所面臨的威脅可分為以下三種：

外部：指來自於外部的自然威脅，例如颱風、水災、火災、雷擊、地震等。
內部：指內部的實體基礎設施失效，像是空調、水力、電力系統等。
人員：指人為的因素所造成的損害，又可區分為有意與無意，有意的像是偷竊、惡意破壞、入侵系統等；無意的則是像不小心踢掉電源、在機房打翻飲料和堆放易燃的雜物等。

以天災來說，最簡單的方式就是評估企業所在區域，發生各項天災的機率有多高，然後再去思考是否有對應的風險控制措施。舉例來說，針對水患的部份，企業就要思考是否需備有抽水機具或阻擋水患的防水閘門；或者，是否應將重要設備如發電機組和儲存媒體，移至較高的樓層存放，這些都是可以考慮採用的應對方法。

當然，在實體安全方面還有一些事項，比較不屬於IT人員的管理範疇，像是如何裝設監視器和部署警衛人員等，所以有關這一部份，就需要尋求相關的專業人士協助。建議IT人員可以先列出有哪些安全需求，像是需要什麼樣的門禁管理，還有哪些地方希望要有監視記錄，再請保全人員來協助評估建置。

實體安全的控制措施

實體安全除了外部安全之外，就屬內部的資訊設施與員工是需要進行管理的項目，其中對於IT部門而言，機房是一個非常重要的地方。因此，當機房面對可能的威脅如高溫、停水、停電和水災、火災等情況，就需要事先擬好各種可以應對的劇本，在災難發生之前佈署預防與監測的措施，在災難後也要能迅速的處理回應。在實體安全的控制措施方面，需要注意的地方，簡單分類說明如下：

火災防治 - 建議在適當的地方裝置火災偵測裝置，而且滅火器最好放置在出口和機房，並且要有固定的擺放位置和明顯的標示，同時要記得定期檢測滅火器，並小心使用期限的問題。在人員方面，也要定期訓練並補充相關的消防知識。如果機房備有自動灑水系統的話，也必須事先了解灑水管線屬於哪一類，因為資訊設備一般都不會防水，若必須啟用自動灑水的話，建議以預動式灑水系統為佳。此外，IT人員務必牢記，當火災發生時，最重要的就是人員撤退問題，所以在火災評估與處理時，請以人身安全為第一考量。

空調系統 - 在空調系統方面，在機房內需要有恆溫、恆濕的溫濕度控制與空氣濾清裝置，對於大樓出入風口也要有妥善保護。一般而言，溫度需維持在20 – 25度，溼度則為40% - 55%。若溫度過高，電腦系統易發生當機現象，溼度過高，則設備易有短路問題，這些都是IT人員必備的安全常識。

電力 - 在機房供電方面，建議最好具備主要電力與備援電力獨立配電系統，另外像是針對突波與瞬間斷電的預防，也是要考慮的事項。一般而言，機房大多備有UPS裝置，在添購時即可將這些列為主要的功能要求。一旦斷電時，則需考慮哪些是優先供電設備，對大樓而言，照明裝置會是優先的，主要目的是為了逃生，若在機房中，則需列出重要系統的優先次序。最後，企業對於電源總開關與主配電盤防護、發電機安置地點及供油儲存，也要有良好的防護規劃，可千萬別輕忽了。

門禁管理 - 許多企業對於所謂進出人員的管制，往往只是流於形式而已，這也是發生不當的內部資料存取與設備被竊的主要原因。一般對於敏感區域的進出管控，像是資料中心、機房、高階主管辦公室等，只要有人進出的話，就必須要有適當的管理程序，記錄何人、何時、如何進出等。對於大樓的進出口必須要進行管制，例如設置警衛、檢查哨，尤其是有地下停車場的建築物，人員及車輛進出管制更是不可少的，在人員識別方面，需注意辨識準確度、速度及設置成本，一般可視安全敏感的程度，採取識別證、磁卡和生物辨識(指紋、掌紋、虹膜、聲紋)等裝置，也可搭配錄音錄影之監視系統。

總體環境安全 - 在總體環境安全的規劃方面，機房設置地點需要考量天災的發生頻率，並避免鄰近火源、水源和交通頻繁地點。機房之位置，則應盡量避免過於明顯的標示，以免成為侵入和攻擊的目標。在機房內部環境方面，建議使用耐火建材，並採行高架地板和密閉式天花板，管線規劃部份則採暗線進行，並且嚴禁在機房內堆放易燃物。

多一分思考就多一分安全

以往談到實體安全，經常會被誤以為就是一般保全或是機房安全，但事實上，在國外連區域的犯罪率，也是實體安全要考量的因素之一，所以我們必須適時採用全面性的觀點來看資訊安全問題，並且要做更多的思考。

對於實體安全，深層防禦(Layered Defense)是一個理論與實務兼具的最佳策略，個人則把它簡化為三個步驟：第一步是識別有哪些是屬於安全的區域、有哪些可能的威脅。第二步則依照不同安全等級的區域，選擇實施適當的安全控管措施。第三步，是必須追縱確認各項措施是否落實，並且定期予以測試和稽核。

只要透過以上步驟來檢視現行的安全做法，再予以適時改善修正，相信即可達到一定的安全要求。當然，實體安全不只是這麼簡單，除了上述談到的地點選擇、設備管理和人員控管之外，關於實體安全政策的制定和災難緊急應變程序，則是另外的管理重點，留待日後再和大家分享。(本文刊載於2008年8月號網管人雜誌)

[新聞] 制訂社交媒體資安政策的小提醒

Tue, 27 Oct 2009 07:28:00 +0000

因為近來熱門的「偷菜」活動，使得Facebook成為當紅的網站，也成為眾多企業老闆們頭痛的問題。

Facebook在國外原以社交功能著稱，但在台灣卻因「開心農場」這個熱門的小遊戲，而讓許多上班族無心於工作，每天只擔心自己的農地收成不佳，或是會不會經常遭到小偷光顧。

除了造成員工生產力下降的問題之外，從資安的角度而言，Facebook的確也存在著一些安全上的風險，像是個人或商業資訊外洩、社交工程詐騙、電腦感染惡意程式等，這其實也是同類型社交網站，包括Twitter、Linked In等都會共同面臨的風險。

根據市場調查公司IAN最近的一項調查指出，在2008年只有10%以下的公司，對於社交媒體制訂了使用政策，到了2009年，則有34%已制訂並實施了社交媒體使用政策。

對此，IAN的CEO Jack Phillips認為，這時候正是資安人員應該要重視此項問題的契機，同時他也提供了以下建議：

不必再從頭開始 - 資訊科技變化太快，若只針對現今的技術來制訂政策，那麼改天若又出現其他的媒體，則又要從頭開始，所以應該要利用它來檢視現有的政策是否適當。
運用社交媒體使用政策來提高資安意識 - 資安人員可藉此來重新聚焦資安與風險管理，使員工了解這項問題的嚴重性。
運用社交媒體來增加企業資安的正面形象 - 大多數的組織對於新媒體的反應就是阻擋，但其實社交媒體對於業務、行銷、人事等皆具有不同的意義，企業一開始可藉由監控與觀察來取代全面性的封鎖。
為下一階段做好準備 - 社交媒體平台來來去去，若為了它就全盤翻新現有的政策，似乎有點不太實際，因此需要更仔細的考量。例如許多時候員工在網路上會搞不清楚公私之間的分際，因此教育員工不要把公司相關資訊放在Facebook上，會是較具彈性的作法。

[新聞連結] 4 Tips for Writing a Great Social Media Security Policy

[觀點] 從資料竄改事件談網路存取控制

Tue, 27 Oct 2009 06:50:00 +0000

在2007年12月，國稅局有位低階的三職等公務員，竟擁有修改納稅人資料的權限，並且利用查核系統管制上的疏失，涉嫌竄改「稅務電子管理系統」中，包括納稅人的性別、婚姻狀況、親屬等資料，製造出可退稅的資格來詐領退稅款項，不法獲利高達三百多萬元。

若從資安管理的角度來思考，從這個事件中，反映出了以下幾個問題：

納稅人已完成報稅的資料，為何還能夠進行修改？
低職等的人員為何會擁有更高等的權限？
對於重要敏感系統的連線存取，為何沒有適當的管控措施？

一般而言，若是沒有作好網路使用的管制，一旦有人順利進入企業內部，並且發現無人使用的網路插孔，這時候只要將網路線接上可連網的裝置，即可輕鬆連線存取區域網路。如果一些應用系統上面也沒有作好權限控管，或是有員工在網路芳鄰上分享資料，那麼有心人士要取得一些有用的敏感資訊，並不是一件困難的事。

此外，若缺少了適當的網路監控工具，網管人員其實也很難掌握使用者，到底是從什麼地方？利用什麼樣的裝置來連上企業網路？更無法識別使用者的身份來賦予適當的存取權限，或是進一步限制使用者可存取的應用系統。所以，聰明的人，只要利用合法的連接埠或通訊協定，就可繞過網管的限制，而隨心所欲地存取各項網路資源。

網路存取控制基本架構

過去，企業多半著重在防禦外部的攻擊，以為部署了防火牆或入侵偵測防禦等系統，就等於作好了資安防護工作，而忽略了來自於內部的非法連線或惡意存取，將會造成更大的破壞與影響。如今，隨著各家廠商的努力研發，網路存取控制(Network Access Control；NAC)方案已經有了不同的面貌，透過多層次的安全架構與彈性的佈署方式，可以有效驗證網路使用者的身份，並且透過政策(Policy)的設定，來控管使用者僅具有適當的存取權限，以預防可能的資安事件發生。

目前，NAC還不算是一個業界標準，因此屬於同樣類型的解決方案，還有其他的說法像是：UAC、NAP等，但基本上它們目的都是相同的，如果要用一句話來形容網路存取控制的目標，那就是「必須確保只有合法且安全的裝置，在給予適當的權限之後，才允許它連上內部網路。」此處的合法，指的是必須要「經過身份驗證」，而安全則是要求符合預設的政策，像是「確認連線裝置已安裝系統修補程式、防毒軟體和防火牆等」。

歸結起來，一個網路存取控制方案的架構，基本上有三個主要的元件，各自負責不同的任務，簡要說明如下：

Agent - 必須要安裝在每一台電腦上，用來收集使用者端連線裝置的資訊，確保系統安裝了安全防護軟體，並且已修補了系統漏洞。通常網管人員一聽到Agent，直接聯想到的就是佈署上面的問題，目前NAC的Agent主要是透過使用者以瀏覽器啟動Active X方式來安裝，避免需要耗費人工安裝的問題，不過若是Windows以外的系統，有些就必須以人工來安裝。如果在某些情況下無法安裝Agent，也有所謂Agentless的方式，可透過AD的管理者權限，或是以掃瞄的方式來收集使用者端的資訊，但其缺點則為耗時且功能不夠完整。

Enforcement - 通常Enforcement可由DHCP、Gateway或Switch來擔任，其他支援802.1x的網路設備也能一起協助把關，它是網路裝置連線後會遇見的第一道關卡，負責檢查使用者的電腦狀態是否合乎安全政策的要求，就如同入境時進海關一樣，會要求旅客必須出示證件來證明其身份，並且檢查有無攜帶違禁品。如果一切合格之後，它會詢問Policy Server要開放何種權限給使用者，可以通行到哪裡？如果不合格，就會把使用者請到小房間裡隔離起來，作更進一步的要求與確認，等到更新之後且合乎了政策的要求，才會允許進入。

Policy Server - 主要儲存規範使用者行為與權限的安全政策，並且協助使用者和AD或RADIUS來進行身份驗證，在Policy Server中定義了每個角色(Role)具備什麼權限？可以使用哪些應用程式？可以存取哪個網段的應用系統？

適合導入產業與部署建議

企業想要做好網路存取控制，主要的目的就是為了分辨合法或非法裝置、控管存取權限，以及確定連線裝置是安全的。當然，在不同的產業，對於網路存取控制有不同的需求，依照個人的觀察，適合導入網路存取控制的產業，通常具有以下特徵：

分點過多且有遠端存取需求
要求訪客的電腦安全
高度資料保密
具有研發部門
要求存取權限區隔

至於在部署的考量方面，企業需要事先評估的項目有：

支援度 - 需考慮不同系統平台的Agent部署方式，評估要採取事先安裝、遠端安裝，或是不安裝agent來進行。另外，要考慮是否支援目前的身份驗證方式，像是支援AD、LDAP和RADIUS，還有是否支援所使用的防毒軟體等。
相容性 - 部署前需要評估和網路架構的相容性，若是採用802.1x方式，則需要評估設備是否能支援運作。另外，也要考慮應用程式的相容性問題，確保企業內部客製化的應用程式，在NAC的架構上也能夠順暢使用。
隔離處置方式 - 需要了解使用者若是不符合政策要求，到底是如何被隔離的？是否被隔離在不同的網段，以及要如何引導使用者進行更新？必須有明確的指示可協助使用者在更新完成之後，能夠順利再次登入網路。

以逸待勞是最佳防禦方式

讓我們回到一開始提到的竄改納稅人資料事件，如果事先部署了適當的網路存取控制措施，就可以避免不具權限的人去連線存取敏感資料。不過，網路存取控制並不是萬靈丹，如果使用者透過其他方式取得了合法身份，依然可循正常的管道來從事非法竊取資料的行為。

因此，今日的資安工作，應該藉由管理面和技術面共同著手，在管理方面，先從制訂存取政策與作業流程開始，要求除非獲得授權許可，否則一律禁止存取敏感資料；至於在技術方面，可強制進行身份驗證，設定強而有力的密碼設定規則，這會是一種有效的補強性控制措施。而藉由NAC的協助，還可以同時防止非法的網路連線存取，並阻隔惡意程式從內部爆發的問題。(本文刊載於2008年6月號網管人雜誌)

[新聞] 社交網路安全的7宗罪

Mon, 26 Oct 2009 07:53:00 +0000

CSO資深編輯Bill的這篇文章，一針見血地提到了網友們在使用社交網路媒體(例如Facebook、Myspace、LinkedIn、Twitter等)最容易犯的錯誤，值得大家參考。

過度分享公司訊息 - 一旦你在社交網路上清楚地描述了公司目前的動態，很可能不自覺地就洩露了公司的商業機密，例如某種新藥即將研發成功、新的產品設計款式將上市等，這些訊息很可能會讓市場上的競爭對手，藉此來進一步盜取商業機密或破壞商機。
公私不分 - 如果你的Facebook上有商業上的合作夥伴，也有私底下的豬朋酒友，那麼在上面所分享呈現的資訊，可能就會造成一些問題。例如當合作夥伴或是老闆發現你酒後發瘋或經常惡搞朋友的照片，或許就不太會考慮將重要的案子交給你來執行。
發表憤怒的言詞 - 如果你的商業夥伴、老闆、老婆都能看到你的Facebook，那麼當你生氣時在上面發表文章，要按下「送出」前請務必小心，免得怒火有天會回過頭來燒傷了自己。
以為朋友數量最多的最贏 - 有些社交網路會鼓勵你廣邀更多人來加入你的人際網路，連結的人愈多看似最受歡迎且無傷大雅，不過一旦要是不小心引狼入室，像是詐欺師、恐怖分子、身分竊賊等都變成你的朋友，恐怕就會造成一些不必要的麻煩和困擾。
使用懶人密碼 - 很多人在不同的社交網站和工作時都使用同一組密碼，如果不小心因為網站本身的弱點或個人密碼強度不足遭到破解，那麼其他的網站或工作權限也就會跟著淪陷。
喜愛任意點選連結 - 在社交網路上常常會接到朋友的邀請，只要你點選一下就能接受或連結至不同的網頁。請務必小心有些惡意人士可輕易偽造看似來自朋友的邀請，如果你不加思索就一一點選了，很快地電腦就會感染惡意程式和病毒，成為別人操控的玩具。
損人又害己 - 以上的各項罪刑很可能都會連結至這一項，因為只要一個不小心，就會連帶地讓親朋好友跟著一起受害。例如在社交網站上揭露過多親朋好友的資訊，像是生日、職業、收入、年齡、住址等，很可能就會讓你的親友成為歹徒冒用身分或綁架的對象。

[新聞連結] Seven Deadly Sins of Social Networking Security

[觀點] 從服務中斷事件談營運持續管理

Mon, 26 Oct 2009 03:53:00 +0000

今日企業對於IT的倚賴已愈來愈深，無論是網路連線、資料傳輸或是系統問題，一旦無法正常的運作，連帶會使企業重要的營運服務也隨之中斷，當IT問題演變成為營運問題，也就代表資訊人員的責任更加重大，更需要去思考如何確保IT的持續營運。

2007年5月，日本全日空航空公司，因為國內線電腦系統當機，使得旅客櫃台作業停擺，飛機大排長龍，共有127個航班被取消，超過250個航班誤點一個小時以上，估計約有五萬名旅客受到影響；2008年3月，華航的電腦主機系統，也因為突然大當機，無法辦理旅客報到和行李託運，使得前往東南亞和東北亞的航班，被迫延誤一、二個小時，使得三千七百多人的行程受到影響。

除此之外，中華電信在2008年2月時因為簡訊中心發生軟體故障，導致有數十萬用戶，無法正常收發簡訊，經過數小時搶修之後，才慢慢恢復運作，但是恢復過程中，仍然有流量壅塞的問題，使得簡訊發送也受到延誤；同樣的時間前後，微軟MSN即時通訊也因為伺服器定期維修時間逾時，造成亞太地區的使用者，不能正常登入使用，斷訊時間長達了6個小時，連帶使其提供的電子郵件信箱也無法正常服務。

從國際標準來看營運持續管理

面對IT系統問題所造成的服務中斷，對資訊人員而言，最好的辦法就是在意外事件發生之前，根據各種可能的狀況，擬定好如何應對的策略，一旦災難真的不幸發生，就可以根據這些事先定義的作業程序來緊急應變，以確保關鍵的業務運作不會因災害而中斷，並且在最短的時間內，盡快將所有系統和服務回復到正常運作。

因此，企業的營運持續管理主要是從經營層面來看，或許你會說，我只是個小小的資訊人員，並不像老闆擁有決策權，談經營管理對我來說有點太遙遠，但事實上，正因為我們是資訊人員，是確保組織關鍵運作的小齒輪，所以更要吸收持續管理的概念，在危機來臨的時候發揮實力，減少災難對企業所造成的傷害。

目前，有關營運持續管理(Business Continuity Management)的規範，英國的BS25999是個很好的參考，這項標準分為兩個部份：BS25999-1是作為落實營運持續的參考手冊，對於營運持續管理系統，有完整的描述與實施說明；BS25999-2則是對於營運持續的管理要求，同時也是一個可以作為驗證的標準。

在BS25999標準中，營運持續管理的實施過程主要分為四個階段，分別是「了解您的組織」、「制訂BCM策略」、「發展與實施BCM回應」和「演練測試與改進」，礙於篇幅的關係，無法在此一一解說，建議可以參考BSI的官方網站 ( http://www.bsigroup.tw/zh-tw/ )，或是Business Continuity Institute (http://www.thebci.org/ ) 網站，可取得非常豐富的參考資訊。

落實營運持續管理精神

營運持續管理的精神是要去「預料無法預料」的事，根據各項可能造成損失的事件，預先擬訂相對應的劇本，一旦不幸發生時，就可以按照劇本演出，避免因手忙腳亂而造成企業更大的損害。

換句話說，營運持續的精神也可以落實到生活之中，例如我們要維持一個家庭的運作，首先要了解的就是家庭的關鍵活動是什麼？其中有一項可能就是你的工作，因為你的工作所帶來的收入，可以負擔家庭的生活支出，提供生活的基本保障。

但是，有沒有想過你的工作面臨的風險有哪些？可能的風險包括：因公司倒閉或工作績效不佳，被公司資遣或開除而失業；或是因為不小心受傷或生病，導致無法工作。所以為了要降低失業的風險，我們可以擬訂的策略是什麼？簡單來說，可能的方法有：

避免風險 - 把工作辭掉，乾脆自己當老闆，就不會被開除。
降低風險 - 待在經營穩健的公司，並且努力工作拿出表現。
接受風險 - 公司營運良好，倒閉的機率很低，所以不必怕。
轉移風險 - 購買醫療保險，一旦生病時不必擔心醫療費用。

根據以上這些策略，我們要自己評估適合並且可行的做法，再去收集更多資訊以訂出詳盡的計畫，像是想轉移風險時，到底該買什麼保險(意外、防癌或住院險)？一年能承擔的保費是多少？要找哪一家保險公司投保？適合的保額是多少？把它訂出來之後，再依照計畫一一去實施。

所以，同樣的方法回到企業來看，由於企業的經營型態與員工環境比家庭複雜，管理階層要考量的風險就更加廣泛了，而對於網管人員來說，我們要做的就是去找出網路管理的關鍵活動是什麼？當這些關鍵活動中斷時，可能造成的損失或影響有哪些？服務可容許中斷的時間是多久？我們要如何去降低發生中斷的機率？能夠實施的應對措施有哪些？最後，還要再經由不斷的演練、測試，以確認這些計劃是可行的，再針對有缺點的地方加以改進。

如何擬訂緊急應變計劃

在BS25999標準中，它提供了整個營運持續管理實施的策略與框架，讓我們可以依照不同的產業屬性，擬訂有效的應對策略，目的就是要降低災難發生時的損失。其中最重要的就是必須成立緊急應變小組，在災難發生的第一時間內，依照所擬定的緊急應變計劃來進行，避免人員、系統、組織受到更多的傷害。

因此，擬訂一個緊急應變程序是非常重要的，例如企業在撰寫網路營運應變程序時，建議可從以下角度來思考：

偵測 – 網管人員必須設定一些工具或偵測措施，來偵測網路流量是否異常，或是發現某個網路裝置是否產生負載問題。

通報 – 一旦發現異常事件，我們可能需要通知其他的網管人員或資訊主管來共同防範，也需要選擇快速有效的通報方法，例如透過簡訊或電話。

判斷 – 網管人員必須進行初步判斷，是否要針對事件進行持續監控，或是採取更進一步的處理，因此，必須清楚定義事件的等級與對應的措施。

處理 – 網管人員可視損害情況，取得授權後進行緊急處理，例如是否要阻擋惡意IP來源封包、是否要停用網路介面或設備、是否需要更改設定組態等。

記錄 – 最後，網管人員務必牢記，所有的過程都必須要留下文件或記錄檔，以便進行後續的事件查核，並且作為日後改善的目標。

凡事預先防患於未然

在古書《左傳》裡提到：「居安思危，思則有備，有備無患。」相信這是大家在學校都有唸過的一句成語，但是要如何去縮短知道與落實之間的差距，對我們來說才是一大考驗。幸好，我們可以隨時看看別人、想想自己，從已經發生過的事件，或是參考國際的標準規範，來思考出適合的應對方法，而透過了解營運持續管理的概念，無論是在工作或生活之中，對我們一定都會有實質的幫助。(本文刊載於2008年5月號網管人雜誌)

[觀點] 從照片被竊事件談資料儲存安全

Mon, 26 Oct 2009 03:40:00 +0000

首先，讓我們回顧一下近來一些重大的資料外洩事件，在2007年11月，英國稅務海關總署的員工將存放2500萬筆兒童福利輔助及銀行帳戶資料的光碟片，透過郵寄方式不小心弄丟，造成數百萬民眾必須向銀行查閱帳戶資料以及更改密碼；繼這個事件之後不久，英國皇家海軍一名軍官，也因為將筆記型電腦放置在停車場的車子裡被竊賊偷走，使得裡面儲存的60萬即將入伍的士兵個人資料不翼而飛；在2008農曆年前後，某香港藝人因為將個人電腦送修，即使事前已將硬碟的資料刪除，但仍然被惡意人士利用資料還原工具將隱私照片復原，再複製出來散佈至網路上，引起了軒然大波，也突顯出敏感資訊究竟該如何儲存以及保護的問題。

對於企業來說，現今筆記型電腦的使用者日益增多，企業員工在所使用的筆記型電腦裡，經常會存放個人工作的電子郵件、客戶和交易資料，以及研究技術等敏感資訊，究竟該如何去保護這些資料儲存時的安全，已形成IT管理人員一個相當頭痛的問題。而除了筆記型電腦中的硬碟之外，還有許多隨身的儲存設備，像是外接式硬碟、USB隨身碟、含記憶卡的手機、PDA，或是像易於攜帶的MP3、數位相機等，都可讓使用者在小小的裝置裡，儲存大量的資料，若是這些資料為個人隱私或是商業機密，只要有易於攜帶的特性，就代表被竊的風險隨之升高，一旦遭到有心人士利用，後果將不堪設想。

凡走過必留下痕跡

根據資安廠商Check Point在2007年12月針對424位台灣企業受訪者，詢問有關企業建置資料安全解決方案的調查指出，有57%的企業已經意識到行動裝置可能帶來的資料外洩風險，也已制定了保護行動裝置內容的政策，但其中會使用資料加密方案的企業卻只佔51%，顯示出企業雖然具有行動資料安全風險意識，但是在落實資料保護與儲存安全方面，仍有相當大的改善空間。

因此，如果您是企業的行動工作者，請思考以下問題：

請問您是否會在Notebook/隨身碟存放重要商業資訊，例如產品報價成本、客戶機密資料、研發技術資料，以及個人隱私如帳號密碼、信用資料等？
如果您的Notebook/隨身碟遺失或被偷了，裡面所含的資料有良好的保護嗎？
當個人電腦需要送修或報廢時，您硬碟裡面的資料該如何處理？
將舊手機送給朋友或上網拍賣時，您確認個人資料已經刪除乾淨了嗎？
您是否以為曾經儲存的資料或照片，只要把它刪除就安全了？

以上這些問題，若在您心中沒有很肯定的答案，那麼您應該小心謹慎手邊所儲存的重要資訊，並且尋求企業內部IT或安全人員的協助，因為事實上，一般電腦作業系統像是Windows在刪除資料之後，即使一併把資源回收桶也清空了，資料並不會就此消失，作業系統只是在硬碟的檔案表中做了註記，讓您以為這塊空間已經清除，可以再存入新的資料了，但卻必須要等到下一次有其他資料要儲存時，覆寫了這一塊硬碟儲存空間，您的原始資料才會被覆蓋過去，而難以被還原回來。

所以，就算一些敏感資訊您已經事先就將它刪除了，但是在資料尚未被重複覆寫、也沒有被完全銷毀之前，如果有惡意人士以任何方式獲取了您的硬碟、隨身碟或是記憶卡，只要利用一些檔案還原工具，就可以輕易地把您已經刪除的資料再次復原回來，個人隱私或商業資訊仍很可能就會被竊取盜用。

將小口袋裡的大倉庫上鎖

對於企業IT管理人員而言，究竟該如何讓使用者具有資訊安全的認知，並且進一步去預防資料的外洩？到底有什麼好方法，可以保護企業或個人的敏感資料不會外洩呢？以下幾點建議可作為管理人員的參考：

資安教育訓練 - 企業內部可透過員工教育訓練來宣導，讓使用者了解應該盡量避免在會攜出的筆記型電腦，或是隨身儲存設備中存放企業機密資訊，如果必須要存放的話，務必自行採取一些防範措施，例如針對office等檔案，最簡單的方法是設定密碼才能開啟，但最好的方式則是透過加密工具將檔案加密。

加強存取控制 - 管理人員應依據「Need to know」原則，為使用者設定適當的資料存取權限，以避免非業務及非財務相關人員接觸到機密資訊，進而有機會將它攜出外洩。

部署安全方案 - 企業可導入完善的資料保護方案，透過完整的「全硬碟加密技術」，針對筆記型電腦的硬碟和隨身儲存媒體進行加密，即使電腦遺失之後，惡意人士欲將資料轉存到其他地方，仍然無法通過身份認證機制，也無法打開瀏覽您的檔案。

另外，若員工的電腦需要送修時，記得一定要先將硬碟取出，以避免憾事發生，而企業內部曾存放過機密資訊的儲存媒體，若需要進行報廢處理時，則建議最好將硬碟進行實體破壞，或採取低階格式化，將硬碟資料重覆複寫七次以上，以避免曾經存在的機密資料再度復活。

參考資安法規的要求

國際上有許多法規，對於資料儲存都有一定的保護要求，以資訊安全管理系統標準ISO 27001為例，針對設備安全，在控制措施的條款A9.2.4裡即提到，若資訊設備需要進行定期排程維護時，必須實施適當的控制措施，並且考量由現場人員或是委外廠商來處理，在必要時，設備上的敏感資訊要把它清除，並且充份清查維護人員的身份，以防假冒事件發生；在條款A9.2.5則要求，內含重要、敏感和重要營運資訊的設備，必須要有專人看管，並且採取上鎖等保護措施。

至於有關設備的安全報廢與再使用，在條款A9.2.6裡提到，針對含有儲存媒體的設備，在進行汰換或報廢時，必須將含有敏感資訊的設備加以實體銷毀，或以無法被重新復原的技術將設備予以刪除覆寫，確保資訊已徹底清除。

最後，提醒IT人員務必謹記在心，只要是曾經存放過的敏感資訊的儲存媒體，在處理時都必須要確認、再確認才行。(本文刊載於2008年4月號網管人雜誌)

[觀點] 從購物詐騙事件談網站安全防護

Mon, 26 Oct 2009 03:24:00 +0000

最近，知名的電視購物與網路書店業者因資料外洩，遭到詐騙集團利用這些客戶資料與購物記錄來矇騙消費者，謊稱因不小心設定為每月扣款，要求消費者必須至ATM 提款機操作更改，在過程中伺機引導消費者轉帳至詐騙帳戶，造成許多消費者的金錢損失。

而另一家購物網站，則是遭到歹徒不斷地利用測試帳號和密碼的方式，企圖冒充購物網站會員的身份登入，這種手法有別於以往常用一些駭客工具來破解帳號密碼，而是先去入侵其他網站，在取得網站會員的個人資料之後，再採用人工的方式，到其他網站來逐次逐筆的輸入，如果該會員使用相同的密碼，很容易就會被入侵成功。

狡詐多端的資料拼圖手法

根據刑事局的研判，購物業者的資料會外洩，很可能是因為網站資料庫遭到駭客入侵，或是內部人員擅自將客戶購物資料外洩所造成。一般而言資料庫會遭到入侵，通常是資料庫本身存在著安全漏洞，例如主機未安裝系統修補檔、存取權限設定不當，或是存取資料庫的應用程式，有撰寫語法上的問題，使得駭客可以輸入惡意指令來獲得資料表中的內容。

若資料是經由企業內部人員攜出外洩，也顯示業者沒有針對客戶資料進行妥善保護，對於會接觸到客戶資料的相關人員，並未管制儲存設備如隨身碟的使用，更沒有進一步監控其透過網路傳輸的內容。當然其中最重要的一點，就是企業缺少了一個資訊安全政策，無法透過它來宣導並告知相關人員，維護資訊安全的重要性，以及違反資安規定的後果。

行政院研考會的調查則指出，目前已有近五成的網路族會使用電腦上網購物，如果因為網站業者沒有做好資訊安全防護工作，使得會員的資料外洩，導致它被用來進行電話詐騙，或是作為猜測其他購物網站的登入密碼，將會造成一連串犯罪的連鎖效應。

就像此次利用購物資料的詐騙行為，讓我們見識到利用虛擬世界(網路)登錄的資料，再結合實體世界(電話)的詐騙手法，已成為一種新興的犯罪手段，這種新的入侵手法，也被稱之為「資料拼圖」，它利用別處獲得的身份證字號(帳號)來搭配密碼組合，使得破解成功率大為提高，更可避免因為猜測次數過多，而遭到系統鎖定停用帳號，所以一旦順利猜中並登入系統之後，就可獲得此一網站已註冊的會員資料，最後再利用它來進行電話詐騙。

資料安全最佳實務─PCI-DSS

對網站業者而言，資料外洩除了造成客戶財物損失之外，更會對網站的聲譽造成重大的打擊，一旦消費者對於購物網站失去信心，拒絕在購物網站消費，那麼業者未來的損失更是難以估計。到底業者該如何防護網站的安全，除了諮詢資安專家的建議之外，由American Express、Discover Financial Services、JCB、Master Card Worldwide、Visa International等五家知名的信用卡業者共同組織的PCI Security Standards Council，所制定的「支付卡行業資料安全標準(PCI Data Security Standard；PCI-DSS)」，也可以作為電子商務業者加強資料安全的實務參考。

雖然，PCI-DSS標準主要是用來保護信用卡持卡人的資料，但其目的就是為了要保護個人敏感資訊，以確保電子商務的交易安全。因此，對於提供線上交易的業者而言，主動落實PCI-DSS中所明訂的各項要求，將可有效保護網站交易的各項資料。目前在PCI-DSS標準中，主要分為6大類及12項基本要求，簡要說明如下：

(一) 建立並維護一個安全的網路
　　要求1：安裝並維護良好的防火牆配置，以保護持卡人的資料
　　要求2：不使用設備出廠的預設值，例如管理密碼和其他安全參數

(二) 保護持卡人資料
　　要求3：必須妥善保護持卡人的資料
　　要求4：透過公共網路所傳送的持卡人敏感資料，必須加密

(三) 維護一個弱點管理系統
　　要求5：安裝防毒軟體，並經常更新程式和病毒碼
　　要求6：發展及維護安全的系統和應用程式

(四) 實施強而有力的安全存取控制措施
　　要求7：依據業務需求，限制對於持卡人資料的存取
　　要求8：對於進行資訊存取的個人，只賦予一個唯一識別碼
　　要求9：限制持卡人資料的實體存取

(五) 定期監控並測試網路
　　要求10：追蹤並監控存取各項網路資源和持卡人資料的過程
　　要求11：定期測試系統安全與流程

(六) 維持一個資訊安全政策
　　要求12：實施並維護一個資訊安全政策

網站與資料安全管理建議

企業除了參考PCI-DSS標準的要求，來加強各項網站與資料安全措施之外，在資訊安全管理方面，個人建議可以先從以下三方面來著手：

系統(System) - 基本的網路系統防護，像是建置防火牆、入侵偵測系統等是一定要的，並且要定期針對系統進行測試掃瞄，以確認已知的系統弱點都已修補完成；而針對重要的應用程式，可考慮採取原始碼檢視(Code review)的方式，來檢查程式碼是否存在撰寫漏洞。另外，流量大且交易多的網站，還可以建置一道網路應用層防火牆，透過第七層的深入檢查，來確保惡意人士無法使用組合指令或參數攻擊手法，利用系統可能的漏洞來竊取資料。

資料(Data) - 電子商務網站務必使用SSL的安全傳輸協定，可以確保資料在傳輸的過程中不會被竊聽，而針對敏感的個人與交易資料，無論儲存或傳輸，也必須採取適當的加密方式，以防止資料外洩。

人員(People) - 企業必須確保只有通過合法身份驗證的人才可使用網路，一旦發現非法者就加以隔離處置，以避免其伺機存取內部網路資源。最好的做法就是根據業務的需要(Need to know)，來限制人員對於客戶敏感資料的存取，換句話說，其他不相干的人，根本就不該讓他有機會接觸到客戶的敏感資料。

定期稽核找出安全漏洞

對於網站業者來說，一旦發現資料可能外洩時，就應該在第一時間內通知消費者，並且進行緊急處置工作，例如要求使用者盡快變更網站登入密碼，並且小心提防可疑的詐騙電話，以避免事件如滾雪球般愈滾愈大，進而造成更大的損失。另外，業者平時也要記得在網站上宣導，提醒消費者避免在許多網站使用同樣的帳號密碼，同時不要使用懶人密碼，這也會是一種最簡單有效的自保方式。

當然，除了導入適當的技術來協助之外，企業務必要定期進行安全稽核工作，從管理面來著手，以確保可能的系統漏洞都已經修補，並且合乎企業的資訊安全政策要求。另外，對於資料本身還要設定完整的追蹤監控機制，以了解到底是誰(Who)曾經存取過哪些(What)資料，作為日後可追查的證據之一。

最後，管理人員還需要去審查整個資料處理的流程，是否存在著商業上的邏輯漏洞，因為這種不牽涉到技術手法的入侵方式，往往更令人難以防範。(本文刊載於2008年3月號網管人雜誌)

[觀點] 從訊號盜用事件談無線網路管理

Mon, 26 Oct 2009 03:09:00 +0000

無線網路近年來掀起了一陣風潮，無論是在機場、旅館、咖啡店或是捷運站，只要使用具備無線上網功能的行動裝置，到處都可以連結無線基地台而輕鬆上網。無線網路的特色，就是利用空中的無線電波來傳遞電子訊號，只要透過無線網路卡來接收及傳送訊號，就可以進行資訊交換的工作，但也因為它看不見摸不著，所以潛藏了一些資訊安全問題，值得我們去注意。

根據無線網路安全廠商AirDefense最近針對美國各大都會區超過3,000家商店的調查指出，有超過2,500 個行動裝置像是筆記型電腦、PDA和條碼掃瞄器被這些店家用來連結無線網路，但其中有85%都存在著資料外洩或是被竊取的風險；此外，在調查中所發現的4,748個無線基地台中，有550個所設定的SSID連線識別名稱都太過簡單，很容易就會被猜中，而且有25%的基地台根本沒有採用加密措施，因此，透過這些漏洞，有心人士就能藉由收集無線基地台所溢出的訊號，伺機來進行非法的行為。

不可不知的無線安全問題

美國零售業者TJX公司，從2005年7月開始，至少有一年半的時間，由於無線網路遭到駭客入侵，惡意人士可自由地進入TJX的資料庫，偷偷盜取客戶的資料，造成至少4,500萬筆以上的客戶信用卡資料外洩，使銀行也蒙受了巨大的損失。同樣在國內，也曾發生歹徒使用自製的無線網路訊號捕捉天線，截取週圍未經加密的無線訊號，利用無線基地台的「無線溢波」來連上網路銀行，再以「懶人密碼」的方式猜測別人的帳號與密碼，在順利登入帳戶之後，就將別人的存款轉走，或是竊取其個人資料來盜刷信用卡。

為了因應容易忽略的無線網路安全問題，網管人員必須熟悉各項威脅才能加以反制，目前常見的無線網路攻擊手法，說明如下：

封包竊聽─在無線網路的訊號範圍內，只要利用一些監聽工具，就可以從空中截取無線網路的封包，如果這個無線基地台未啟用加密機制的話，包括SSID、使用者IP位址和傳送的內容，都會曝露在惡意駭客的手中。

偽冒攻擊─只要駭客得知所在位置的SSID連線識別名稱，就可以冒用這個SSID來架設偽冒的基地台，引誘不知情的使用者連線，再竊取使用者所輸入的連線帳號與密碼。另外，駭客也可以假冒無線網路卡的MAC位址，藉由修改網卡的MAC位址，騙過系統認證而成為合法使用者。

阻斷攻擊─駭客可以對無線基地台發出大量的封包，造成系統無法回應其他使用者的連線要求，使得服務停擺；另外，駭客也可以攻擊特定的使用者，發送反認證封包，使無線網路連線中斷。

攔截攻擊─駭客會結合偽冒攻擊與阻斷攻擊手法，同時與無線基地台和使用者連線，成為無線網路的中間人，在基地台和使用者都未察覺的情況下，所有傳輸的資料都會經由中間人來轉送，也就表示所傳輸的資料都會被這個惡意的中間人完全掌握。

如何保護無線網路安全

企業要保護無線網路安全的目的，就是為了確保透過無線網路所傳輸資料的機密性、完整性與可用性，不會輕易遭到惡意人士竊取利用，而導致企業的重大損失，因此，建議企業可以同時從技術面與管理面來著手，思考該如何加強無線網路的資訊安全。

從技術面來看，網管人員必須要記得修改無線基地台出廠預設的帳號和密碼，也要記得關閉SSID的廣播功能，並且定期更改SSID名稱，以避免被人輕易得知。如果是提供企業內部使用的無線網路，務必要啟用加密功能，以確保傳輸資料的安全，由於早期WEP的加密方式很容易就會被駭客破解，因此建議採用最新的WPA2來加密，可大幅增加安全性。

另外，在認證方式方面，採取帳號密碼或是802.1x的驗證方式是絕對必要的，如果在使用人數不多的情況下，還可以鎖定只有合法無線網路卡的MAC位址才能使用無線網路，多重防護就多一層保障。如果企業需要開放給訪客使用無線網路，可採取切割VLAN的方式將公用和內部網段做區隔，以避免不必要的網路攻擊或病毒感染事件發生，至於無線基地台位置的擺放，也需要經過事先妥善的站台調查規劃，以避免無線溢波的範圍擴大。

企業如果想要有效防禦各種針對無線網路的攻擊，還可進一步部署無線網路入侵防禦系統(WIPS)，藉由無線感測器即時的訊號偵測，來阻斷非法無線設備的架設與連線，並且也能保有各項監控記錄，可有效防範惡意駭客的入侵。至於從管理面而言，企業在開放使用無線網路之前，必須制訂無線網路使用政策，也要評估可能面臨的風險有哪些，建議從以下幾個角度來思考：

人員─無線網路使用者一定要經過身份驗證，對於內部員工需採取嚴格認證管控，而外來訪客也必須要登記之後，才允許使用無線網路。

設備─應明文禁止員工架設私用的無線基地台，尤其是敏感地區更要禁止攜入具無線上網功能的裝置，管理人員也絕不使用預設或固定的管理帳號密碼。

時間─限制可使用無線網路的時間，例如下班後即將無線基地台關閉。

位置─妥善規劃可供無線上網的地點，盡量避免辦公室死角及暗處可接收到無線網路訊號。

記錄─定期針對所有無線設備進行清查，稽核是否符合安全政策，並且監控與記錄是否有惡意攻擊行為發生。

不使用無線網路也要小心

或許有人會說，既然無線網路聽起來不太安全，那乾脆不要使用就好了。其實我們大可不必這樣因噎廢食，因為不管使用有線或無線網路，都不可能有百分之百的安全，其重點在於我們是否有事先做好降低風險的工作，即可防範危害資安的事件發生。

最後，還有一個觀念要分享給大家，那就是並非只有開放使用無線網路的公司需要管理，事實上，沒有使用無線網路的公司更要小心注意，因為現在的無線基地台愈做愈小，甚至具有無線網路卡的筆記型電腦也可透過軟體模擬成為無線基地台，只要有心人士偷偷將這些裝置和企業內網連結，這些平常人不會注意的小地方，往往就是企業資料外洩的大漏洞。(本文已刊載於2008年2月號網管人雜誌)

[觀點] 從離職竊密事件談員工資安管理

Tue, 13 Oct 2009 06:00:00 +0000

對企業來說，重要的資產通常可以分為兩種，一種是我們熟知的有形資產，例如廠房、機房、辦公家具、IT設備等，另一種則是無形的資產，包括了智慧財產、客戶資料庫和研發經驗等。不過，隨著企業逐漸的e化，有一種足以影響企業生存的「資訊資產」更需要去重視，因為資訊資產橫跨了有形與無形，只要任何對企業具有價值，並且和資訊有關的事物，就必須要和可見的資產一樣，能夠確保它的安全。

因此，為了要維護資訊資產的安全，企業可以建立實施資訊安全管理系統(ISMS)來協助，而在保護資訊資產過程之中，又以「人」最為重要，因為企業的經營發展，可能都維繫在每一位員工身上，所以，無論是管理階層或作業人員，都要具備資訊安全的意識與認知，才能讓企業長治久安，達到永續經營的目標。

為何要重視員工資安管理

企業若忽略了員工資安管理，究竟會造成什麼樣的後果，我們來看看以下這些真實案例：

某影像圖庫公司的員工離職之後，因原任公司並未凍結或刪除其email帳號，使其仍可進入前公司的信箱讀取商務往來之郵件，導致前公司的業務遭受損失。
某手機週邊研發公司兩名離職的創業員工，共謀偷偷侵入該公司高階主管的電子郵件，竊取仍在研發中的相關機密檔案，並且唆使仍在職之妻子，利用職務之便協助盜取公務資料，所得的機密資料價值估計達一億兩千萬元。
某電信業者員工將客戶資料盜賣給不法集團，竟被拿來作為電話詐騙之用，造成無辜民眾受騙上當。
某教育單位員工將所承辦之業務機密資料帶回家處理，因個人電腦中含惡意程式，造成200名軍訓教官個人資料外洩。
某國防單位採購中心，因廠商招待相關負責人員喝花酒，竟私自將招標工程文件外流販售，使重要軍事設施資料外洩。
某電視購物業者疑內部員工將客戶資料外洩，導致詐騙集團利用此一資料對會員進行詐騙。

根據IDC的資安調查指出，內部員工控管已經逐漸受到企業高層的重視，因為許多企業在網路安全上花費了巨資，對外建立起一道堅固的安全防線，以防止惡意駭客入侵來竊取商業資料，但卻萬萬沒有想到，竟會有內部的不肖員工，利用職務之便來取得機密資訊，進而兜售謀利，正好也應驗了「內賊難防」這一句話。

目前經由員工洩密的管道很多，像是電子郵件、即時通訊、隨身碟、網路P2P分享軟體等，在技術面方面，可透過權限控管、稽核側錄、內容管制、文件加密、上網行為管理等方式來處理。但是，許多時候員工其實是具有合法權限的，所以其不當行為往往具有更高的風險，此時就必須從管理面來著手，透過相關資安政策的制定以及教育訓練，讓員工了解資訊安全的重要性，也避免員工誤觸法網。

員工資安管理的注意事項

在財務方面，「管錢的不管帳」是避免個人舞弊的重要原則，對於資安方面也是很好的參考，要使責任分散以避免各項權限都集中在一人身上。另外，系統或網路管理人員在設定對於資訊的存取權限時，請務必遵循最小權限原則(Least Privilege)，讓員工不會接觸到不符合其職等權限的資訊，以避免資訊外洩的可能。

至於人員招募與離職的問題，這部份或許跟IT人員比較無關，但是有許多的作業流程像是員工任用與離職都已Web化，因此也需要IT主管和HR人事單位來相互配合，關於這方面的注意事項，說明如下：

人員招募時的注意事項 - 若是職務涉及資訊安全或是敏感性的工作，應盡可能地去了解該人員的背景，例如詢問曾任職公司的HR部門或單位主管，也要確認該人員所提供的資料，像是離職證明與學歷資料是否屬實。

成為員工後的安全教育 - 員工被正式錄用後，依員工的職務等級，要進行相關的資安教育訓練，使員工明瞭公司的資安政策，並進行相關資安法令的宣導。正式員工須簽署同意遵守公司相關政策的規定，如網路、郵件、電話使用規範等，必要時還須簽署保密協定(NDA)，同意即使在離職之後，不可對外洩露職務上所獲悉的商業機密。另外，員工若從較低職等升遷至較高職等時，需要HR部門進行人員的背景審核，並且告知該職等所需遵守的資安規範。

離職人員處理的安全步驟 - 從離職生效日開始，IT管理人員須將員工的帳號與資訊資產(如筆記型電腦)暫時凍結停用，待確認所有檔案權限都順利移轉之後，即將該員工帳號和權限刪除。在員工離職當天，要收回各項實體設施的存取權限，像是職別證、門禁卡、Token、文件櫃鑰匙等，也要公告離職員工名單，尤其務必告知櫃檯接待人員該員工已經離職，如果是善意離職的員工，應由主管陪同離開原辦公處所，若是不太友善或是遭到革職的員工，則建議由警衛人員護送離開。

還有，適時的進行職務輪調或讓員工休假也是一項好辦法，一方面可以檢視相關的工作是否有職務代理人可接手進行，一方面也可以了解工作是否隱含了個人作業疏失，所以在員工休假時，可暫時將其帳號停用，觀察是否有除了職務代理人之外，其他不正常的存取情況發生。

讓資安意識成為企業文化的一環

人是企業最重要的資產，企業的基本態度應是相信每一位所招募的員工，但是從資安的角度而言，凡事預防勝於治療，為了維護資訊安全，持續的員工教育訓練與資安政策的要求，是確保員工不會誤觸法網或導致資料外洩的好辦法。

除了教育員工務必遵守公司的相關政策規定之外，在資安教育訓練過程中，要讓員工了解目前常見的作業疏失、環境威脅和惡意的資安事件有哪些，另外也要使員工明白事故回報的重要性與管道，以及懂得小心防範利用「社交工程」的偽裝詐騙手法。

所以，管理人員千萬切記，要確保資訊資產的安全，最重要的關鍵還是在於人的身上，因為無論採用多麼安全的設備與技術，只要忽視了人員的管理，員工缺少了資安意識，一切都是白費功夫，也會讓資安防護變得不堪一擊。(本文刊載於2008年1月號網管人雜誌)

[簡報] 從資料外洩談DLP解決方案

Mon, 02 Mar 2009 04:03:00 +0000

雖然大環境仍處於不景氣的狀態，但資安工作卻是疏忽不得。根據資安廠商的預測，2009年防治資料外洩的產品，仍是企業規劃導入的重點項目之一。

在資料外洩方案中，最熱門的就是DLP相關產品，它在2008年時各家廠商就已經推出，但由於架構過於龐大複雜，部署起來並不是那麼的容易，因此事前的評估與規劃就顯得更為重要。

以下簡報內容，將協助你快速了解DLP的幾項特點，以及導入時的注意事項。

Data security from jackforsec

[觀點] 從資料外洩事件談DLP解決方案

Tue, 24 Feb 2009 13:03:00 +0000

從2007年底八大購物網站的會員交易資料外洩開始，資料外洩事件一直層出不窮，所導致的電話詐騙事件，更是社會關心注目的焦點。根據IDC的分析指出，機密資料的暴露，已成為企業最大的資安威脅之一，尤其是最近的資訊安全事件，主要著重在機密文件的竊取，也讓企業管理階層感受到，資安事件的發生將影響到企業商譽與營運；而不久前在美國舊金山舉辦的RSA資訊安全會議中，也提到在2008年，身份認證管理、網路存取控制和資料外洩防護，將會是企業所關注的重點，更是未來資安發展的趨勢。

目前，由於購物所造成的資料外洩事件仍不斷發生，個人推測可能的原因有二，一是業者本身抱著不負責任的心態，在事件發生時只是一味想要掩飾問題，或是乾脆將問題推給第三方的合作廠商，並沒有進行處理，使得民眾仍持續接到利用購物資料來進行詐騙的電話；二是有些業者內部缺少資安專責人員，不知該如何處理應對，或者只是採取頭痛醫頭、腳痛醫腳的方式，找不到資料外洩的真正源頭來對症下藥。

DLP解決方案簡介

針對有心想要加強資料保護的企業而言，資料外洩防範 (Data Loss Prevention；DLP)解決方案的出現，可說是協助企業防範資料外洩的一大福音，因為透過部署DLP的協助，可以同時從政策面與技術面來防堵資訊的不當外洩。

至今，DLP仍然是一項很新的資安解決方案，根據安全機構SANS Institute的定義，「DLP是指某些產品基於中央控管的政策(Policy)，透過深層的內容分析，能夠識別、監控，並且保護在儲存、端點、網路中的資料。」因此，導入DLP解決方案的目的即是為了保護企業組織中有價值的資料，包括：機密資料(R&D)、管理資料(HR)、財務資料(Financial)和客戶資料(Customer)等。

基本上，一個完整的DLP解決方案，必須具備三項主要特徵，分別是：「能夠以政策制定方式集中管理、能夠進行深度內容檢測，以及同時防範經由儲存設備、端點裝置和網路的資料外洩事件。」所以從定義上而言，目前許多的資安方案，例如郵件過濾、上網行為控管、端點安全等，仍只能算是具有某些DLP功能的產品，並不是一個非常完整的DLP解決方案。

DLP方案的基本架構

在評估DLP解決方案時，管理人員必須要理解，事實上很難只依靠導入單一產品，即可完全達到防範資料外洩的目的，更何況防範資料外洩這件事對企業而言，已是管理制度裡的其中一環，也因為資料防護在企業中需要全面性的展開，所以在部署時可能會面臨到的難題，通常並不是技術面的，而是高階管理人員缺乏足夠的決心與協調能力。

但是，管理人員仍必須要先了解DLP的技術架構，以決定要採取何種保護資料的政策與方法，現今DLP解決方案在架構上主要包含了三個要素，分別是：

Data at Rest (儲存資料) - DLP能夠掃瞄所有的儲存設備或含有資料的伺服器，識別出到底有哪些地方儲存了敏感資料，再依據事前制訂的政策來處理，舉例來說，管理人員可以掃瞄所有的檔案伺服器，識別出包含有「機密」註記的文件，如果伺服器上存有這一類型的資料，那麼就可以針對檔案進行加密或移除，或者是通知檔案的擁有者。

Data in Motion (網路資料) - DLP能檢查經由網路傳輸的資料，監控各個傳送的管道，例如HTTP、SMTP、FTP、Print、IM等，並且搭配設定政策來執行阻擋，並且限制資料被允許傳送的管道與方式。例如管理人員可以在政策上制訂凡是含有信用卡號的文件資料，一律只能透過E-mail(SMTP)並以加密方式傳送。

Data in Use (端點資料) - DLP可針對使用者端的裝置，監控資料在各個介面的交換傳遞，包括USB隨身碟、CD/DVD裝置、行動裝置如智慧型手機和PDA等，一旦發現有違反政策的行為，像是資料被執行複製/貼上的動作，或是想使用不允許的應用程式來加密，企圖躲避資料傳遞的監視，都會予以即時的警告、阻擋。

導入DLP的注意事項

目前，針對明顯易見的威脅，許多企業已有足夠的意識去預防或控制，但是對於資料的傳輸與交換，往往很容易就會掉以輕心。尤其是管理人員面對來自不同單位、不同部門的資訊傳遞，當違反政策時到底是要先予以阻斷？記錄？還是要通報權責單位？在管理上的考量本身就已是一項難題，更不用說還要考慮部署時的技術與成本。

因此，給予有心導入的企業，在建置前需要先思考以下幾件事：

1. Who：必須要去識別誰是資料擁有者(Owner)、誰是資料的保護者(Protector)或利害關係人(Stakeholder)。企業資料的擁有者可能屬於各個營業單位，而資料保護者可能會是IT資安部門、法務單位或人力資源部等。因此，實務上的做法可能是先組成一個跨部門的資料保護小組，來明確分派資料防護的任務，才能釐清各項責任與義務。

2. What：必須要定義您想要保護的到底是什麼？企業內部包含各式各樣的資料，所以最好的方法是先進行資料分類，設定資料處理流程和優先順序，並以文件化方式加以記錄，在設定重要性時，法規所要求需保護的資料，可能就是要優先進行的。

3. How：必須要決定如何去保護資料？明白所要保護的資料之後，就要針對各個交換資料的管道，決定如何去監視保護，並且要實行哪些控制措施。如果要進行全面性的防護，那就必須把所有網路協定、儲存設備和端點裝置明列出來，一一說明要如何進行監控與處理，這些也有助於管理政策的制定。

修訂隱私法規是當務之急

一旦個人資料透過詐騙行為，轉變成一種有價值的物品，即可預期會有惡意人士，想藉由各種管道企圖取得這些資料，再利用它從事違法的犯罪行為。因此，資料外洩事件會不斷發生，其實也突顯了另一項迫切的議題，那就是政府應當修訂更有效的個人隱私保護法規，以保障所有民眾的個人資料安全。

在國外，企業必須遵循相關的資訊安全法規，例如HIPPA (針對醫療隱私)、GLBA (針對金融交易資訊)、SOX沙賓法案(針對財務報表)、PCI-DSS (針對信用卡資料安全)等。但是反觀國內，目前保障個人資料的法規為84年公布的「電腦處理個人資料保護法」，保護的對象只限於「經電腦處理之個人資料」，範圍也僅限於公務機關和徵信業、醫院、學校、電信業、金融業、證券業、保險業及大眾傳播業等「八大行業」，而且屬於「告訴乃論」，所以並無法保障所有受害民眾的權益。

因此，除了期許政府盡速修法之外，更呼籲存有個人資料的企業，務必要善盡保管之責，一旦有資料外洩的疑慮，可尋求專家或資安業者的協助，適時地將可能的漏洞填補起來，相信只要有積極的作為，勢必可化危機為轉機，進一步提升企業的聲譽並獲得消費者的信任。(本文刊載於2008年7月號網管人雜誌)

[簡報] 從資料外洩談行動裝置管理

Tue, 24 Feb 2009 12:48:00 +0000

資料外洩是近年來在資安領域中，相當熱門的話題，無論在國內或國外，資料外洩的事件層出不窮，對企業造成了營運的損失，對民眾更造成了隱私的傷害。

以下簡報內容是我曾講授的課題之一，討論有關行動裝置的資安管理，可以搭配上一篇文章一併閱讀，提供給有興趣的朋友作為參考。

Mobile security from jackforsec

[觀點] 從資料外洩事件談行動裝置管理

Fri, 20 Feb 2009 07:03:00 +0000

Apple iPhone的出現，讓我們見識到行動裝置的精巧與強大的功能，隨著行動裝置的製造技術突飛猛進，像是筆記型電腦、PDA、智慧型手機等各種可無線上網與儲存資料的裝置，已經普遍存在於週遭生活之中，雖然它們提供了豐富便利的科技生活，但相對地也帶來了潛藏的危機，那就是遺失裝置時可能造成的資料外洩問題。

安全機構Ponemon Institute的報告指出，有54% 的資安事件是因為筆記型電腦等行動裝置的資料遺失所引起，回顧過往的歷史，在2005年，美國飛機製造商波音公司一部含有38萬名現職及退休員工資料的電腦，因為員工一時疏忽放置在車上而遭竊；2006年，美國退伍軍人事務部也因為不小心遺失了筆記型電腦，造成了2,600萬筆退伍軍人資料的外洩事件。

另外，根據2007 CSI電腦犯罪與安全調查指出，從行動裝置中被竊取的資訊資產，估計金額高達234萬5千美元，值得深思的是，資料外洩除了對企業造成龐大的金錢損失之外，受創的更有無形的商譽與客戶信任。

行動裝置資料外洩的風險評估

曾經有人開玩笑說，「資安它說起來重要、做起來次要、急起來最好不要」，因為一旦做不好，可能就會讓自己成為眾人責怪的箭靶。但是，防止行動裝置所引起的資料外洩問題，的確已是管理人員責無旁貸的工作，萬一造成重要的營運資訊外洩，對於企業所造成的衝擊將難以估計。

所以，面對不斷增加的資料外洩事件，到底哪些資料該去保護？需要控管的行動裝置有哪些？遺失之後會對企業造成多大衝擊？這些都是要經過審慎評估的。

針對行動裝置可能產生的風險和有效的管理方式，建議管理人員可從以下的角度去思考：

Who─
到底是誰在使用行動裝置？是不是合法的使用者？是否給予適當的連線存取資料權限？

When─
什麼時候會需要使用行動裝置？外部連線回企業內網的時段是否該限制？行動使用者在登入網路之後，是否該定時執行政策掃瞄？

Where─
使用者會在哪裡使用行動裝置？會議室與公共空間是否開放使用？可供行動裝置使用的無線網路範圍有多大？

What─
行動裝置可以存取到什麼資訊？允許行動裝置存取的應用系統有哪些？什麼資料該有控制措施來防止被輕易複製帶走？

How─
使用者如何使用行動裝置？是否安裝了相關的安全軟體？資料傳輸過程中是否需採取加密措施？

Why─
為什麼需要使用行動裝置？該不該考慮強制禁止使用？

選擇適當的安全控制措施

在評估了行動裝置可能產生的風險之後，接下來我們可以採取一些控制措施，來降低使用行動裝置的風險，從技術面可考慮實施的方法有：

部署網路存取控制方案 - 企業可藉此掌控所有連上網路的裝置清單，區別合法與不合法的裝置，並分別賦予其適當的權限，在連線時進行惡意程式與系統掃瞄，同時也要記錄行動裝置在存取資料時的行為以供日後稽核之用。

設置密碼與資料加密 - 對於筆記型電腦等行動裝置，必須設置BIOS開機密碼和Windows登入密碼，另外還需要針對硬碟所儲存的內容進行加密，以避免設備遺失時造成資料外洩。

進行使用者權限控管 - 依據最小權限的作業原則，限制使用者可以存取的資料，避免其利用行動裝置取得機密檔案而攜出使用。
管制無線網路的使用 - 許多行動裝置都具備了無線上網功能，企業必須限制無線網路可使用的對象與範圍，必要時可設置無線網路入侵偵測系統，防堵非法架設的無線基地台(AP)，同時保護使用者不會誤連至惡意假冒的基地台。

除了技術面之外，面對使用者的行為遠高於技術可以管控的範圍，我們還必須同時從管理面來著手，讓使用者明瞭使用行動裝置的注意事項，例如：

含有重要或機密資訊的行動裝置，在攜出時務必要有主管的授權。
公務用筆記型電腦禁止安裝P2P檔案分享軟體。
攜帶行動裝置的背包或手提箱，最好選擇具有可以上鎖功能的款式，另外，也不要挑選外觀太過華麗且過於明顯的背包，以免成為竊賊覬覦的目標。
在公共場所使用筆記型電腦時，不可讓它遠離視線之外，建議可使用筆記型電腦專用的防護鎖，將它和固定的物品鎖在一起。
避免在外使用不安全的網路進行重要工作，像是公眾無線網路或未採取加密機制的AP，以避免資料在傳輸過程中被截取竊聽。

從國際法規看資料防護的要求

對負責資安的人員來說，參考國際法規的規範要求，對於資料防護工作有莫大的幫助，例如美國的Gramm Leach Bliley Act(GLBA)法案，即要求相關金融產業必須保障個人金融資訊隱私，確保資料的機密性、完整性，避免資訊遭到未經授權的存取與誤用；針對醫療產業，Healthcare Information Portability and Accountability Act(HIPPA)法案則要求相關單位必須要確保個人醫療資訊的安全，具備良好的存取控制措施，並確保資訊在傳輸過程中不會被竊取或竄改。

在個人信用資料方面，Payment Card Industry(PCI)資料安全標準要求銀行必須實行嚴謹的網路安全措施，以保護信用卡持卡人的資料安全；California Senate Bill 1386法令，則要求企業在發生資料外洩事件時，必須要通知企業員工、顧客及可能受到侵害的個人，避免掩蓋事件而造成更大的傷害。

至於2002年制定的Sarbanes-Oxley Act沙賓法案，則是要求所有在美國掛牌上市的公司，必須做好內稽內控的資訊安全工作，如果因為行動裝置所搭載的重要營運財務資訊失竊或是遭到竄改公佈，造成市場的重大衝擊，將會對違反沙賓法案的企業處以100萬美元罰款或是對負責人處以20年以上刑期。

總結

綜合以上所述，當企業從技術面與管理面來做好行動裝置管理的工作之後，仍然要持續針對可能遺失的資料進行風險評估，判斷是否會影響到企業的核心業務，以及可能造成多大的損失，然後再重新修正相關的資安政策。

此外，大多數企業對於員工的資安教育訓練，很少將它視為需要優先執行的工作，在員工缺少安全意識的情況下，自然會增加資料外洩的風險，對此，企業管理人員也不可不慎。(本文已刊載於2007年12月號網管人雜誌)

[新聞] 勿好奇窺探他人網路隱私

Thu, 19 Feb 2009 09:27:00 +0000

這則新聞提到，新版的Windows Live 9.0提供了社交網路功能，可以看到自己的親朋好友，以往曾經有過的「歷史痕跡」，包括何時換過暱稱、新增了誰、加入了什麼照片、幾時更新了部落格，都可以快速地輕鬆掌握。

聽起來是很棒的功能不是嗎？可以隨時了解朋友們的動態。

這個事件跟之前無名小站所推出的「誰來我家」功能一樣，但就是因為太貼心了，所以將會曝露自己不想讓人得知的隱私，反而招致網友的反彈。

談到網路隱私，有許多的議題都值得去探討，包括在網路上張貼或散布他人私密照片、破解他人網路相簿、設置木馬竊取MSN交談記錄、偷錄網路聊天影像等等，這些都有實際的案例發生。

在網路無所不在的年代，想要追查一個人的網路行蹤其實不難，因為「凡走過必留下痕跡」，但這些行為往往都有侵犯個人隱私權的疑慮。所以，除非是執法機關，備有正當的理由，才能去追查各項網路記錄。

只是，好奇心人皆有之，在合法調查之外，的確也有許多工具可供利用來追查別人，但可別忘了，這些工具往往也留下了後門，在偷窺別人的同時，可能你也正成為被偷窺的對象而不自知。

更何況，若是蓄意去入侵他人電腦或破解有密碼防護的檔案，已違反了法律的規定，所以提醒大家，除非是當事人主動分享且公開的資訊，否則可別過度挖掘，千萬別讓好奇心殺死了一隻貓喔!!

新聞連結：新增社交網絡功能連接社群暱稱全曝光

[新聞] 小心二手手機洩露敏感資料

Sun, 15 Feb 2009 12:22:00 +0000

這則新聞提到，一名英國青年以台幣785元，上網購買了一支二手黑莓機，結果赫然發現，手機中竟然存有好萊塢男星裘德洛、娜塔莉波曼等人的手機號碼。

關於和手機有關的資安事件，個人印象最深的就是名模林志玲，因為手機送修而使得私密照片外洩。另外，記得也曾看過有新聞提到國內某藝人，因為手機遺失了，很擔心其中藝人好友們的電話號碼，將遭到惡意人士利用，而呼籲民眾來協尋。

其實，除了電話號碼和照片外，手機還有一個也很敏感的地方，那就是收送過的簡訊內容。

一般而言，手機上的資訊可以儲存在三個地方，分別是手機本身記憶體、SIM卡和記憶卡。因此，在刪除資訊的時侯，也很容易會不小心遺漏。以簡訊和通話記錄來說，一般預設會儲存在手機本身，但也可以儲存在SIM上，如果只清除了其中之一，而忘了清除另一部份，一旦落入有心人士手中，仍是有外洩的可能。

那麼，該如何確保手機資料的安全呢？

基本上，建議的作法為：請先將手機重置為出廠的狀態(可參考手機使用手冊)，清除相關設定資料，然後取出SIM卡和記憶卡自行保存，重新開機後，再瀏覽手機電話簿、通話記錄和簡訊資料夾，若有殘留的資料，請再一一將它刪除乾淨，確認沒有敏感資訊之後再送修，或是借用給他人。

如果擔心資料清除的不夠乾淨，更進一步的作法是，請重新安裝或更新手機的韌體，這樣可讓資料更難以還原。當然，如果您想完全銷毀曾經儲存的資料，那麼只好建議您進行「實體破壞」，白話一點的說，就是把它給徹底敲爛吧。

新聞連結：英青年買二手黑莓機驚見裘德洛等巨星電話

[學習] 成為資安人的學習之路

Thu, 12 Feb 2009 08:32:00 +0000

經濟不景氣，許多人選擇充實自己，以便能在工作崗位上有所發揮，或是準備尋求更好的職務。如果您從事的是資訊相關工作，那麼在此時，多多補充些資訊安全專業知識，對您來說一定會有所幫助。

針對資安學習，我曾經講授過一堂課，對於資安人員的角色與職責、應具備之專業能力，以及資安相關證照，作了簡單說明。如果您對於資安工作有興趣，或是想考取資安相關證照，歡迎您參考以下簡報內容。

Security training from jackforsec

[新聞] 垃圾郵件是散布病毒最佳管道

Thu, 12 Feb 2009 02:59:00 +0000

根據趨勢科技08年的資安威脅報告指出，2008年全球垃圾郵件數量，每日約有1150億封，而這些垃圾郵件有99%是利用遭到入侵的電腦所發出，預估在今年垃圾郵件除了會繼續發威之外，智慧型手機等行動儲存裝置，也將成為病毒新載體。

這則新聞中提到了兩個重點，首先是垃圾郵件氾濫的問題，的確目前仍缺少根治的方法，因此對企業而言，如何避免企業的郵件伺服器和員工電腦成為濫發郵件的跳板，是必須加以重視的。以伺服器來說，關閉mail relay功能，以及採取身份認證的方式來讓使用者寄送郵件，是基本的作法，如果再加上適當的郵件過濾機制，則可以大幅降低垃圾郵件的侵擾。

另外，病毒是否會對手機、儲存媒體進行相互感染，則可以從二個方面來探討，一是病毒若以檔案的形式存在，儲存設備成為病毒載體是可能的，例如透過USB隨身碟、記憶卡、具儲存媒體功能的行動裝置，只要當這些設備連接上電腦時，就有可能感染電腦的作業系統，例如Windows。

至於病毒是否會同時交互感染包括智慧型手機如Widows mobile和iphone、以及具儲存媒體功能的GPS導航機，個人認為其發生機率相當的低，因為病毒的感染目標是以作業系統為主，即使是共通的應用程式檔案格式(例如pdf)，同一個病毒要能夠在不同作業系統中感染散布，並且造成破壞，這點恐怕還有待觀察。

新聞連結：微軟Windows 7可免於病毒？惡意程式可不這麼想

[新聞] 補習班須盡學生個資保護之責

Wed, 11 Feb 2009 05:36:00 +0000

如果您家裡有剛自學校畢業的小朋友，是否經常接到一些補習招生或銷售的電話而不堪其擾呢？教育部已公布了「短期補習班處理個人資料管理辦法」，要求補習班必須向教育局登記取得執照，才能進行個人資料的蒐集、處理和利用，還要提出資訊安全的維護計劃，以保障學生的隱私權。

歷經去年的盜賣學生個資事件，教育部有如此動作，值得鼓勵。但個人有兩個建議，第一是補習班若缺少相關的資安人員，要指定專人來進行資料稽核與管理，恐怕會有困難，因此初期應有適當的輔導與建置協助措施。

第二則是督導與審查方法必須完備，因為擬定一個計劃不難，但是否能夠真正落實，並持續追蹤改善才是重點。若只是由縣市教育局督學訪查補習班，並且判定是否有違法行為，恐怕會看不出所以然來，這部份也需要進行資安稽核訓練才行。

最後，學生的個資受保障了，那麼一般民眾呢？期許新版的個人資料保護法也能盡快通過囉。

新聞連結：補習班蒐集個資須申請執照

[說明] 學習與分享

Mon, 09 Feb 2009 03:23:00 +0000

學習資訊安全是條漫漫長路，在這裡，將個人的學習心得和所見所聞，與有志一同的朋友們分享，也竭誠歡迎您的參與和回應。