資安新聞 on 資安見聞錄

[新知] ISO/IEC 27701:2019 - 第一個隱私保護和個資管理的ISO標準誕生

Thu, 08 Aug 2019 11:58:00 +0000

有鑑於國際上愈來愈多對於隱私保護和法令法規的要求，以及幾乎所有的組織都會有處理個人資料 (PII) 的情況，保護個人資訊和隱私已然成為民眾普遍的期望。

目前，ISO/IEC 27001已是國際上公認為資訊安全管理系統的首要標準，不過，在隱私保護方面除了所需的資安控制措施之外，如何因應法令法規對於個資和隱私保護的要求，以及從PII的控制者和PII的處理者的不同角度來實現和滿足，這也讓ISO組織開始著手編寫ISO/IEC 27552 (ISO/IEC 27701的前身) 標準，希望在既有的資訊安全管理系統 (ISMS)上，也能延伸補充個資管理系統 (PIMS) 的要求和實施指引。

如今，「ISO/IEC 27701:2019 Security techniques — Extension to ISO/IEC 27001 and ISO/IEC 27002 for privacy information management — Requirements and guidelines」已在2019年8月正式發布，成為全球第一個隱私保護和個資管理的ISO標準。

ISO/IEC 27701的內容分為8個章節如下：

Scope
Normative references
Terms, definitions and abbreviations
General
PIMS-specific requirements related to ISO/IEC 27001
PIMS-specific guidance related to ISO/IEC 27002
Additional ISO/IEC 27002 guidance for PII controllers
Additional ISO/IEC 27002 guidance for PII processors

第一到第三章，主要是適用範圍、參考標準和名詞定義的說明，ISO/IEC 27701適用於任何類型的組織，包括公務機關、民營企業及非營利組織。

第四章則是整體性的說明，包括PIMS的要求如何對應到ISO/IEC 27001的4~10章管理體系，以及PIMS增項的指引如何對應到ISO/IEC 27002的5~18章的控制措施。

第五章和第六章的內容，則是進一步敘述在第四章提到的PIMS對應ISO/IEC 27001管理體系要求和ISO/IEC 27002控制措施實施指引。

至於第七章和第八章，則分別從PII控制者和PII處理者的角度，說明包括蒐集和處理個資的情況和條件、應遵循的個資保護原則、設計和預設的隱私考量，以及個資的分享、傳輸和揭露的增項要求。

最後，在標準的附錄A~F中還補充了PII控制者和PII處理者可參考的控制目標和控制措施，以及對應到 ISO/IEC 29100、GDPR、ISO/IEC 27018、ISO/IEC 29151 的條款編號，並且加上如何應用此標準的說明，對於想要整合多項標準和遵循GDPR的組織而言是很清楚的參考資訊。

[新聞] 6個確保iPhone資訊安全的小秘訣

Fri, 25 Jun 2010 05:14:00 +0000

最近在捷運上、咖啡館、高鐵站，到處都可以看到有人拿著iPhone用手指邊滑邊偷笑，iPhone的好玩與熱賣，好像已經變成國民機種了，但是它有可能帶來的資訊安全問題，您了解嗎？

如果您擔心iPhone的安全問題，CIO.com在二年前曾發表一篇有關iPhone安全的文章，如今仍然是相當實用，在此分享給同樣擁有iPhone的朋友囉~

密訣1：啟動自動鎖定功能

iPhone最基本的安全功能之一就是「自動鎖定」，可以讓您的iPhone在未使用一段時間之後，將觸控螢幕上鎖，這是預設就會啟動的功能，您可以到「設定」-「一般」-「自動鎖定」這邊自己修改上鎖的時間(1~5分鐘)，雖然這還談不上是一項安全的功能，但搭配以下的密碼鎖定功能來使用，就可以強化iPhone的安全。

密訣2：啟動密碼鎖定功能

相信使用iPhone的人，大多都會在iPhone上儲存跟個人有關的資料，包括像是email、通訊錄、親朋好友的照片，以及許多下載的Apps，如果萬一有天不小心遺失了iPhone，您會不會擔心個人隱私會就此曝光呢？

如果是商務人士，建議您可以搭配Apple MobileMe或電信業者的遠端資料刪除服務，但若是一般普羅大眾，其實也有一些簡單的保護措施，像是「密碼鎖定」，它可以讓iPhone在未使用一段時間之後，就會自動上鎖，需要輸入密碼才可使用。

要啟用這項功能，您需要點按「設定」- 「一般」- 「密碼鎖定」，再輸入四位數的密碼，然後您可以選擇需要密碼的時間(一般建議是5分鐘)。請注意，在設定密碼時請勿使用懶人密碼(例如：1234、0000)，設定密碼之後也請務必記住或保存好您的密碼。

如果擔心有人會以猜密碼方式進行破解，還可以啟動「清除資料」功能，這樣若是有人連續輸入了10次錯誤的密碼，iPhone上的所有資料將會被清除，以確保個人資料的安全。

或許您會有一個疑問，若是iPhone被小朋友拿去玩而不小心點按，或是朋友惡作劇，故意連續在iPhone上按錯10次密碼，那該怎麼辦？

別擔心，若是按錯了6次密碼之後，iPhone就會鎖定要在1分鐘之後才可再輸入，若還是按錯，則鎖定在5分鐘之後才可再次輸入，以此類推所延長的輸入時間，至少要花1小時以上才會到達錯誤10次。

如果最後慘劇還是發生了，若是您平常使用iTunes和電腦同步，並且有自動備份資料的話，那麼還是可以透過電腦同步將資料還原回來的喔。

密訣3：使用安全的Wi-Fi無線網路

iPhone使用Wi-Fi無線網路，在瀏覽網站和收發e-mail上可說是相當快速方便，但要提醒您的是，若您使用的是家用無線網路基地台，最好啟動WPA的加密功能，然後當您的iPhone要進行Wi-Fi網路連線時，就會出現輸入密碼的要求，在完成輸入之後，您的iPhone就處於加密的連線狀態，可以放心使用各項網路服務了。

另外，為了確保不會不一小心連上了不安全的無線網路，請記得啟動iPhone上「詢問是否加入網路」的設定，請到「設定」-「Wi-Fi」頁面，然後將它啟動，這樣的話，在無線網路連線之前，iPhone都會提醒您，確認之後才會進行連線，當然，若平時不使用時，建議您將Wi-Fi關閉，就會更加安全了。

密訣4：強化存取郵件的安全

如果您在iPhone上使用mail的話，記得啟動SSL加密功能，以確保傳輸時的安全，以使用Gmail為例，你可以到「設定」-「電子郵件/聯絡資訊/行事曆」，然後點選您使用的郵件帳號，接著可以點選「進階」，然後捲動到「使用SSL」將它啟動就可以了。

當然，你也可以透過iPhone上的Safari來存取郵件，請記得確認網址是否有「https」，並出現鎖頭的符號，這樣才是處於安全的SSL連線狀態喔。

密訣5：確認Safari的安全設定

如果您使用iPhone來上網，那麼一般瀏覽網站會遇到的安全問題，像是廣告視窗、詐騙網站，也同樣會發生，因此，請您確認Safari的安全設定是否都有啟動，以保障您上網的安全。

請到iPhone上的「設定」-「Safari」的頁面，確認「詐騙警告」、「阻擋彈出式視窗」等功能是否都有啟動，另外，網站上常用的cookie，是用來記錄您的瀏覽和連線認證等記錄，如果您想進一步確保個人隱私，在「接受Cookie」設定上，您可以選擇「永不接受」，以避免網站在您的手機上儲存Cookie。不過，有些網站若不啟動Cookier功能，可能會造成瀏覽上的問題，請您自行斟酌使用囉。

密訣6：啟動取用限制

如果是公司配發的iPhone(有這麼好的公司嗎？)，或是父母給小朋友使用的iPhone，為了避免使用上可能會造成的問題，像是上班都用iPhone在上網、看YouTube、用iTunes傳送音樂、用相機偷拍公司機密等，或是擔心小朋友安裝了其他應用程式，在iPhone上可以設定「啟用取用限制」，以限制一些應用。

請到「設定」-「一般」-「取用限制」，即可在此設定密碼，以允許或限制一些功能的使用。

參考資料：Six Essential Apple iPhone Security Tips

[新聞] 強化 B2B 安全架構的4個層面

Wed, 23 Jun 2010 02:52:00 +0000

在網路世界中，有愈來愈多的商業夥伴，需要透過網路彼此相互連結，並且交換商務資料，因此資訊安全的控管就顯得更加重要。

對B2B業者來說，過去的資料交換介面相當單純，因為不會有太多的設備和應用程式需要聯結溝通，但如今隨著資訊科技的發展，許多重要的應用程式、伺服器和資料庫都需要彼此連結，雖然採用DMZ的佈署方式仍然存在，但卻需要更多有關身分驗證等的安全控制措施。

最近，隨著雲端服務的熱潮，為了控管雲端安全，許多資安技術像是反惡意程式、script分析、url過濾、IPS和web應用層防火牆等，都是許多組織考慮採用的產品，但是針對Web 2.0 App動態產生內容和透過雲端分享的新方法，傳統的資安控制措施不見得是那麼地有效。

針對B2B的資安架構，在CSO Online由Forrester Research分析師Usman Sindhu所發表的一篇文章，針對組織基本的存取控制策略，提到了以下4個層面的安全防護建議：

1. 應用程式存取控制 - 當應用程式和服務存在雲端之上，身分驗證與存取的授權就顯得十分重要，因此透過識別與存取管理(IAM)，能夠去定義身分角色、責任和應用程式存取層級，以控管對關鍵資源的存取。

2. 資料存取控制 - 作者將資料存取控制定義為分享給相關團體時應有的授權過程和資料保護，認為相關技術的採用是因為組織想要對資料進行分類、提取、加密、發現，以及控制誰可存取資料，所以除了技術之外，也需要制定一項政策以針對網路不同存取點來實施權限管理。

3. 網路存取控制 - B2B的互動需要仰賴入侵偵測、入侵防禦系統，以及資安事件管理來消除可能的威脅，所以組織整體的存取控制將可用來啟動B2B環境，針對不同的網路層面和交換介面應有的安全措施。

4. 實體存取控制 - 識別證與監視器已成為許多組織基礎的安控措施，而為了達到實體的安全控管，也有組織採用GPS、RFID、感應器、智慧卡等技術，以連結到使用者進行身分識別，因此基於身分識別的控管方法，將成為實體存取控制的新領域。

以上是B2B基礎安全架構的4個層面，作者認為B2B並沒有一項容易實施的資安解決方案，而是需要多種的技術，在不同層面上進行整合的控管，所以組織需要自行去定義需使用的安全技術，以發展出適合的存取控制安全架構。

參考資料：The 4 tiers of a secure B2B framework

[新聞] 小心瀏覽器cookie所隱藏的安全問題

Thu, 05 Nov 2009 07:11:00 +0000

有位Web security的專家Mike在他最近撰寫的論文中提到，因為相同網域直接信任的問題，很多企業都忽略了在同一個網域中，若是子網域(subdomain)被惡意人士攻陷了，很可能會利用其所竊取到的cookie，進而獲得主網域(parent domains)的信任，讓更個網站淪陷。

在作者的論文中，以概念驗證方式(proof-of-concept)說明這種方式可能對一些特定網站造成影響，像是google和銀行網站等。若未受安全防護的cookie受到竊取竄改，最明顯的傷害就是讓惡意人士可以取得連線資訊如帳號、密碼等，也可以更改session甚至是購物車的內容，建議電子商務網站的管理人員務必要小心才行。

[新聞連結] Browser cookie handling could widen web attack space

[論文連結] Exploiting DNSbased Trust Relationships On The Web

[新聞] 勒索軟體的新花招

Tue, 03 Nov 2009 13:03:00 +0000

勒索軟體(Ransomware)雖然在台灣並不流行，但是在國外卻是令人頭痛的資安問題之一，以往的勒索軟體，常見的手法是透過惡意程式感染電腦之後，自動尋找系統中重要的資料夾，然後設定密碼將它鎖住，並且秀出一段訊息要受害者到特定網站，在付出贖金之後，才能得到解開的密碼。

最近，賽門鐵克公司發現有一隻名為「Trojan.Ramvicrype」的木馬，它會使用RC4的演算法將受害者最近打開過的檔案加密，轉成一個副檔名為「.vicrypt」的檔案。而且不同於以往的勒索軟體，這隻木馬它不會直接要求你付錢來取得解密的鑰匙，而是當受害者發現檔案打不開了，自己上搜尋引擎用副檔名這個關鍵字去找解答或幫手時，就會出現這樣一項幫忙解救的服務連結，當然，既然提供了救援服務，這時侯就可以名正言順跟你收錢囉。

[新聞連結] Tales from the Crypt

[新聞] 制訂社交媒體資安政策的小提醒

Tue, 27 Oct 2009 07:28:00 +0000

因為近來熱門的「偷菜」活動，使得Facebook成為當紅的網站，也成為眾多企業老闆們頭痛的問題。

Facebook在國外原以社交功能著稱，但在台灣卻因「開心農場」這個熱門的小遊戲，而讓許多上班族無心於工作，每天只擔心自己的農地收成不佳，或是會不會經常遭到小偷光顧。

除了造成員工生產力下降的問題之外，從資安的角度而言，Facebook的確也存在著一些安全上的風險，像是個人或商業資訊外洩、社交工程詐騙、電腦感染惡意程式等，這其實也是同類型社交網站，包括Twitter、Linked In等都會共同面臨的風險。

根據市場調查公司IAN最近的一項調查指出，在2008年只有10%以下的公司，對於社交媒體制訂了使用政策，到了2009年，則有34%已制訂並實施了社交媒體使用政策。

對此，IAN的CEO Jack Phillips認為，這時候正是資安人員應該要重視此項問題的契機，同時他也提供了以下建議：

不必再從頭開始 - 資訊科技變化太快，若只針對現今的技術來制訂政策，那麼改天若又出現其他的媒體，則又要從頭開始，所以應該要利用它來檢視現有的政策是否適當。
運用社交媒體使用政策來提高資安意識 - 資安人員可藉此來重新聚焦資安與風險管理，使員工了解這項問題的嚴重性。
運用社交媒體來增加企業資安的正面形象 - 大多數的組織對於新媒體的反應就是阻擋，但其實社交媒體對於業務、行銷、人事等皆具有不同的意義，企業一開始可藉由監控與觀察來取代全面性的封鎖。
為下一階段做好準備 - 社交媒體平台來來去去，若為了它就全盤翻新現有的政策，似乎有點不太實際，因此需要更仔細的考量。例如許多時候員工在網路上會搞不清楚公私之間的分際，因此教育員工不要把公司相關資訊放在Facebook上，會是較具彈性的作法。

[新聞連結] 4 Tips for Writing a Great Social Media Security Policy

[新聞] 社交網路安全的7宗罪

Mon, 26 Oct 2009 07:53:00 +0000

CSO資深編輯Bill的這篇文章，一針見血地提到了網友們在使用社交網路媒體(例如Facebook、Myspace、LinkedIn、Twitter等)最容易犯的錯誤，值得大家參考。

過度分享公司訊息 - 一旦你在社交網路上清楚地描述了公司目前的動態，很可能不自覺地就洩露了公司的商業機密，例如某種新藥即將研發成功、新的產品設計款式將上市等，這些訊息很可能會讓市場上的競爭對手，藉此來進一步盜取商業機密或破壞商機。
公私不分 - 如果你的Facebook上有商業上的合作夥伴，也有私底下的豬朋酒友，那麼在上面所分享呈現的資訊，可能就會造成一些問題。例如當合作夥伴或是老闆發現你酒後發瘋或經常惡搞朋友的照片，或許就不太會考慮將重要的案子交給你來執行。
發表憤怒的言詞 - 如果你的商業夥伴、老闆、老婆都能看到你的Facebook，那麼當你生氣時在上面發表文章，要按下「送出」前請務必小心，免得怒火有天會回過頭來燒傷了自己。
以為朋友數量最多的最贏 - 有些社交網路會鼓勵你廣邀更多人來加入你的人際網路，連結的人愈多看似最受歡迎且無傷大雅，不過一旦要是不小心引狼入室，像是詐欺師、恐怖分子、身分竊賊等都變成你的朋友，恐怕就會造成一些不必要的麻煩和困擾。
使用懶人密碼 - 很多人在不同的社交網站和工作時都使用同一組密碼，如果不小心因為網站本身的弱點或個人密碼強度不足遭到破解，那麼其他的網站或工作權限也就會跟著淪陷。
喜愛任意點選連結 - 在社交網路上常常會接到朋友的邀請，只要你點選一下就能接受或連結至不同的網頁。請務必小心有些惡意人士可輕易偽造看似來自朋友的邀請，如果你不加思索就一一點選了，很快地電腦就會感染惡意程式和病毒，成為別人操控的玩具。
損人又害己 - 以上的各項罪刑很可能都會連結至這一項，因為只要一個不小心，就會連帶地讓親朋好友跟著一起受害。例如在社交網站上揭露過多親朋好友的資訊，像是生日、職業、收入、年齡、住址等，很可能就會讓你的親友成為歹徒冒用身分或綁架的對象。

[新聞連結] Seven Deadly Sins of Social Networking Security

[新聞] 勿好奇窺探他人網路隱私

Thu, 19 Feb 2009 09:27:00 +0000

這則新聞提到，新版的Windows Live 9.0提供了社交網路功能，可以看到自己的親朋好友，以往曾經有過的「歷史痕跡」，包括何時換過暱稱、新增了誰、加入了什麼照片、幾時更新了部落格，都可以快速地輕鬆掌握。

聽起來是很棒的功能不是嗎？可以隨時了解朋友們的動態。

這個事件跟之前無名小站所推出的「誰來我家」功能一樣，但就是因為太貼心了，所以將會曝露自己不想讓人得知的隱私，反而招致網友的反彈。

談到網路隱私，有許多的議題都值得去探討，包括在網路上張貼或散布他人私密照片、破解他人網路相簿、設置木馬竊取MSN交談記錄、偷錄網路聊天影像等等，這些都有實際的案例發生。

在網路無所不在的年代，想要追查一個人的網路行蹤其實不難，因為「凡走過必留下痕跡」，但這些行為往往都有侵犯個人隱私權的疑慮。所以，除非是執法機關，備有正當的理由，才能去追查各項網路記錄。

只是，好奇心人皆有之，在合法調查之外，的確也有許多工具可供利用來追查別人，但可別忘了，這些工具往往也留下了後門，在偷窺別人的同時，可能你也正成為被偷窺的對象而不自知。

更何況，若是蓄意去入侵他人電腦或破解有密碼防護的檔案，已違反了法律的規定，所以提醒大家，除非是當事人主動分享且公開的資訊，否則可別過度挖掘，千萬別讓好奇心殺死了一隻貓喔!!

新聞連結：新增社交網絡功能連接社群暱稱全曝光

[新聞] 小心二手手機洩露敏感資料

Sun, 15 Feb 2009 12:22:00 +0000

這則新聞提到，一名英國青年以台幣785元，上網購買了一支二手黑莓機，結果赫然發現，手機中竟然存有好萊塢男星裘德洛、娜塔莉波曼等人的手機號碼。

關於和手機有關的資安事件，個人印象最深的就是名模林志玲，因為手機送修而使得私密照片外洩。另外，記得也曾看過有新聞提到國內某藝人，因為手機遺失了，很擔心其中藝人好友們的電話號碼，將遭到惡意人士利用，而呼籲民眾來協尋。

其實，除了電話號碼和照片外，手機還有一個也很敏感的地方，那就是收送過的簡訊內容。

一般而言，手機上的資訊可以儲存在三個地方，分別是手機本身記憶體、SIM卡和記憶卡。因此，在刪除資訊的時侯，也很容易會不小心遺漏。以簡訊和通話記錄來說，一般預設會儲存在手機本身，但也可以儲存在SIM上，如果只清除了其中之一，而忘了清除另一部份，一旦落入有心人士手中，仍是有外洩的可能。

那麼，該如何確保手機資料的安全呢？

基本上，建議的作法為：請先將手機重置為出廠的狀態(可參考手機使用手冊)，清除相關設定資料，然後取出SIM卡和記憶卡自行保存，重新開機後，再瀏覽手機電話簿、通話記錄和簡訊資料夾，若有殘留的資料，請再一一將它刪除乾淨，確認沒有敏感資訊之後再送修，或是借用給他人。

如果擔心資料清除的不夠乾淨，更進一步的作法是，請重新安裝或更新手機的韌體，這樣可讓資料更難以還原。當然，如果您想完全銷毀曾經儲存的資料，那麼只好建議您進行「實體破壞」，白話一點的說，就是把它給徹底敲爛吧。

新聞連結：英青年買二手黑莓機驚見裘德洛等巨星電話

[新聞] 垃圾郵件是散布病毒最佳管道

Thu, 12 Feb 2009 02:59:00 +0000

根據趨勢科技08年的資安威脅報告指出，2008年全球垃圾郵件數量，每日約有1150億封，而這些垃圾郵件有99%是利用遭到入侵的電腦所發出，預估在今年垃圾郵件除了會繼續發威之外，智慧型手機等行動儲存裝置，也將成為病毒新載體。

這則新聞中提到了兩個重點，首先是垃圾郵件氾濫的問題，的確目前仍缺少根治的方法，因此對企業而言，如何避免企業的郵件伺服器和員工電腦成為濫發郵件的跳板，是必須加以重視的。以伺服器來說，關閉mail relay功能，以及採取身份認證的方式來讓使用者寄送郵件，是基本的作法，如果再加上適當的郵件過濾機制，則可以大幅降低垃圾郵件的侵擾。

另外，病毒是否會對手機、儲存媒體進行相互感染，則可以從二個方面來探討，一是病毒若以檔案的形式存在，儲存設備成為病毒載體是可能的，例如透過USB隨身碟、記憶卡、具儲存媒體功能的行動裝置，只要當這些設備連接上電腦時，就有可能感染電腦的作業系統，例如Windows。

至於病毒是否會同時交互感染包括智慧型手機如Widows mobile和iphone、以及具儲存媒體功能的GPS導航機，個人認為其發生機率相當的低，因為病毒的感染目標是以作業系統為主，即使是共通的應用程式檔案格式(例如pdf)，同一個病毒要能夠在不同作業系統中感染散布，並且造成破壞，這點恐怕還有待觀察。

新聞連結：微軟Windows 7可免於病毒？惡意程式可不這麼想

[新聞] 補習班須盡學生個資保護之責

Wed, 11 Feb 2009 05:36:00 +0000

如果您家裡有剛自學校畢業的小朋友，是否經常接到一些補習招生或銷售的電話而不堪其擾呢？教育部已公布了「短期補習班處理個人資料管理辦法」，要求補習班必須向教育局登記取得執照，才能進行個人資料的蒐集、處理和利用，還要提出資訊安全的維護計劃，以保障學生的隱私權。

歷經去年的盜賣學生個資事件，教育部有如此動作，值得鼓勵。但個人有兩個建議，第一是補習班若缺少相關的資安人員，要指定專人來進行資料稽核與管理，恐怕會有困難，因此初期應有適當的輔導與建置協助措施。

第二則是督導與審查方法必須完備，因為擬定一個計劃不難，但是否能夠真正落實，並持續追蹤改善才是重點。若只是由縣市教育局督學訪查補習班，並且判定是否有違法行為，恐怕會看不出所以然來，這部份也需要進行資安稽核訓練才行。

最後，學生的個資受保障了，那麼一般民眾呢？期許新版的個人資料保護法也能盡快通過囉。

新聞連結：補習班蒐集個資須申請執照