資料安全 on 資安見聞錄

[觀點] 以PCI DSS檢測個資防護安全

Tue, 31 Aug 2010 02:16:00 +0000

最近，許多朋友和我聊到新版個人資料保護法(以下簡稱個資法)的議題，對於法條的內容要求都存有一些疑義，尤其是面對未來可能的罰責，以及針對個資保護實施的應有作為，皆感到茫然而不知所措。

雖然，目前僅通過個資法的母法，施行細則還在修訂之中，預計最快一年至一年半的時間才會公布，但若是等到實施之後才來因應，恐怕為時已晚，因此在新法尚未實施之前，組織的因應做法，建議可分成以下三階段來進行：

實施教育訓練：組織應邀請所有和個資有關的人員，例如人事、法務、行銷、客服、資訊等單位，進行個資保護教育訓練，實施的內容包括了個資法的法條內容逐一討論，了解個資蒐集、處理、利用應注意事項，以及個資保護的資安控制措施等，讓大家清楚明白法律的要求，才可準備相關的因應作為。
評估技術防護：組織應執行一次完整的資安體檢，尤其是個資所在的位置，例如實體環境的文件櫃、檔案室、辦公處所、機房等，還有資訊設備像是資料庫、應用系統、儲存媒體及網路設備等，針對個資的存取、傳輸、儲存、銷毀方式，逐一進行清查確認，這方面可參考以下的支付卡行業資料安全標準(PCI DSS)要求來進行。
導入管理系統：若組織已經導入資訊安全管理系統(ISMS)，並且已取得ISO 27001的認證，那麼就可以將個資保護納入現行管理制度的範圍，並針對各項需識別的個人資料，增設個資資產清冊、或是進行個資風險評鑑與處理等。若是沒有導入ISMS的組織，則可以參考之前所提到的BS 10012標準，導入個人資訊管理系統(PIMS)，藉由管理系統的文件化與PDCA的持續改善要求，來確保和個資有關的作業流程，均受到妥善的監控與保護。

PCI DSS的資料安全評估

PCI DSS是由American Express、DFS、JCB、MasterCard、Visa等五家知名的電子付款與信用卡業者所共同組成的PCI Security Standards Council所制定，要求所有提供信用卡服務的商店和相關業者，在儲存、處理與傳遞持卡人資料時，必須要有符合標準要求的安全控制措施。此一提供給全球產業共同遵守的資料安全標準，雖然是用來保護信用卡持卡人的資料，但其主要目的就是為了要保護個人敏感資訊，以確保交易的安全。因此，對於想要保護個資的企業，若是能夠參考PCI DSS中所明訂的12項要求作為個資保護的安全基礎，並且將這些要求融入和個資安全有關的評估之中，藉由自我檢視這12項要求，將可協助組織了解現有的資料保護安全現況。

要求1：安裝並維護良好的防火牆配置以保護個人資料
首先，組織必須要建立防火牆的安全配置，項目包括防火牆的規劃拓樸圖、防火牆規則的設定說明，以及DMZ區中的安全設定與網段區隔。基本上，除了必要的網路協定之外，其它不必要的網路服務與通訊埠皆不應對外開放，而且只要是儲存含有個人資料的系統，它和公用伺服器之間的任何連線，都要建立防火牆來加以區隔，同時也藉由實施IP偽裝的機制(NAT)，來避免內部主機位址暴露在網際網路上，以限制任何儲存敏感資訊的系統可以被外部公開地存取。

要求2：管理密碼和其他安全參數不使用設備出廠的預設值
若是透過外包的設備供應商來安裝各式系統和網路元件，例如防火牆、路由器、無線網路基地台等，應該修改系統管理的預設值，並針對所有的管理連線進行加密，以避免駭客直接以系統預設帳號及密碼，繞過防線直接侵入到系統之中。另外，若是自行開發各項擴充的系統元件，應採取業界建議的安全開發配置標準。

要求3：必須妥善保護所儲存的個人資料
針對組織所儲存的個人資料，業者應該秉持保留最少數據的原則，並且制定一個資料處理與儲存程序來做好個人資料的控管。例如，若需要顯示當事人主要帳戶資料時，應採用前六或後四碼的隱蔽措施，如果需要將主要帳戶資料儲存的話，也需要採取加密方式來確保資料不會任意被讀取。在實施了加密之後，用來加密持卡人的金鑰就成為重要關鍵，所以還要制定金鑰的管理流程和程序，來確保金鑰不會遭到洩露和濫用。

要求4：對透過公共網路所傳送的個人資料進行加密
若是個人資料需要透過公共網路來傳送，務必要採用強度難以破解的加密演算法和安全協定，以避免資料在傳遞的過程中遭到破解與竄改。因此，提供服務的網站必須提供SSL/TLS或IPSec等安全傳輸協定，針對所傳輸的資料進行加密。

要求5：安裝防毒軟體並定期更新主程式和病毒碼
所有和個人資料有關的系統，都應該要安裝防毒軟體，並且經常更新病毒碼，在防毒軟體的選擇上，建議最好同時具備防木馬與間諜程式的偵測功能。另外，更要確保所有的防毒措施都能夠及時更新，並且產生可供日後稽核的事件日誌。

要求6：開發與維護安全的系統和應用程式
網站的主機系統和應用程式，應該在供應商發佈修補檔的一個月內進行安裝更新，管理者可以採用訂閱方式來接收最新發現的安全弱點。若是自行開發的應用程式，應採行業界的最佳實務如Security Development Life Cycle(SDLC)，將資訊安全與整個軟體開發生命週期相結合，同時要基於安全的程式編碼原則，以確保所有應用程式不會存在已知的安全弱點，還能抵禦已知的惡意攻擊。如果系統和軟體的配置需要更新或修改的話，也要事先取得管理階層的授權，依照所制定的變更控制程序來進行。

要求7：只有具備業務需求的人才可存取個人資料
在存取控制措施方面，只能允許工作職務上有需要的人員，才能存取電腦上和個人有關資訊，也就是要依據僅知原則(need to know)，避免不相干的人員接觸到個人資料，也就是說除非已獲得管理階層授權許可，否則應該拒絕所有的存取行為。

要求8：賦予擁有資訊存取權限的使用者唯一的識別帳號
針對擁有個資存取權限的使用者，必須給予一個唯一的ID，才能允許其存取和個人有關的資料，這樣做的目的在於一旦發生資安事件，才可進行追溯和釐清相關責任。對於採用遠端存取的員工或第三方合作廠商，則採取雙因素身份認證機制，也就是除了使用帳號和密碼來驗證之外，還需要使用如Token、憑證、或生物特徵(指紋)等方式來識別連線的使用者。PCI DSS要求，只要是系統中所需使用的密碼，無論是儲存或傳輸，進行加密是必要的安全措施。

要求9：限制對個人資料的實體存取
針對個人資料的實體存取行為，必須採用監視系統和門禁管理等適當的控制措施，而針對所有包含個資的紙類或電子媒體，都應存放在安全的地點，並採行實體安全保護，無論是內部或外部，含有個人的資料都應該限制發送，而且儲存個資的媒體在離開安全區域之前，也都需要經過管理階層的核准才能放行。一旦含有個資的媒體不再需要保留時，也要按照一定的安全程序進行徹底銷毀。另外，為確保對所有訪客都能被有效管理，可採用訪客識別證或通行卡，在訪客來訪期間的日誌記錄，至少需要保存三個月以上，以確保訪客的活動能夠被稽核。

要求10：追蹤並監控存取各項網路資源和持卡人資料的過程
對於和個人資料有關的所有存取行為，必須建立一個識別程序，來記錄追蹤存取事件，所記錄的內容應包括使用者ID、事件類型、日期時間、成功或失敗、事件來源、受影響的資料、系統元件或資源的ID或名稱。對於這些事件，管理者應定期進行審查，並且妥善保護稽核軌跡以防止日誌遭到竄改，所有的稽核記錄應至少保持一年。

要求11：定期測試系統安全與程序
針對各項資安控制措施，每年應定期實施測試，以確保控制的有效性，每季也至少進行一次內部和外部的網路弱點掃瞄，尤其是在網路發生重大變更之後也要執行一次。而針對可疑的入侵事件，應建立警示和通報的機制，一旦發現網路或主機遭到入侵，或是關鍵系統或檔案受到非授權的更改，都要能夠及時通報相關的人員。

要求12：建立並維護資訊安全政策
組織應建立、發布、維護和宣導一項資訊安全政策，並確保所有員工和合作夥伴，都能明瞭相關的資訊安全責任。在人員管理方面，對於欲聘雇的員工應進行背景的查核，對新進員工則實施有關資訊安全的認知宣導，使所有員工都能了解保護個資的重要性，藉此將來自內部的資料外洩風險降至最低。如果不幸發生了資料外洩事件，組織應依照事先建立的事件回應計劃來處理，而針對所有合作的供應商，在合約中也應清楚註明各項安全要求。

以上，是PCI DSS對於資料保護的安全要求，組織可藉此來一一加以審查檢視，就可找出目前個資防護的不足之處，然後強化安全控制措施。(本文刊載於2010年7月號網管人雜誌)

[觀點] 談醫療資訊的安全防護

Thu, 27 May 2010 07:52:00 +0000

對於現今的醫療業者而言，資訊系統的應用已扮演了非常重要的角色，除了能提供有效率與高品質的醫療服務之外，也提供了更多生命安全的保障，因此，如何確保醫療資訊的安全，已成為醫療業者無法忽視的重要課題。

在2009年3月，香港聯合醫院一位醫師，遺失了存有47名病患個人資料的隨身碟，引起了相關單位的重視；2009年5月，美國加洲柏克萊醫療中心的資料庫，遭到駭客入侵，竊取了相當於身分證字號的社會安全卡號和健保資訊，估計有近16萬人受到影響；2009年11月，台大醫院發生了近年來第2次的電腦當機事件，造成掛號、病歷查詢和領藥系統的失效，影響上千名病患的就醫權益，幸好未造成延誤就醫而影響生命安全的事件發生。

今日醫療業者所面臨的挑戰，包括了就醫品質、病患照護、病患安全及法規要求等各個層面，而透過了醫療資訊科技的運用，可有效協助業者因應各項問題，像是就醫資訊提供、網路掛號、遠端醫療、電子病歷等，除了可以降低醫療疏失的發生機率，也能同時降低營運的成本，並提升民眾就醫時的滿意度。

近年來，隨著醫療資訊安全和個人隱私的保障要求，行政院衛生署在2003年6月啟用了醫事憑證IC卡，藉由其提供的資料加密和簽章機制，可確保醫療資訊的機密性、完整性和不可否認性，避免醫療資訊遭受不當的竄改和偽冒。

另外，在政府對於電子病歷的強力推動之下，在已制定的「醫療機構電子病歷製作及管理辦法」中，亦明定電子病歷僅能開放給經過認證與授權的人員使用，對於資料的內容只能以附加方式處理，而不得任意直接修改或刪除已確認之病歷資料，同時也必須結合電子簽章之技術，以達到可確認原製作之醫療單位與醫事人員的身分，供後續的追蹤查核之用。

醫療資訊安全的目標

資訊科技的應用如同水能載舟、亦能覆舟一般，如果資訊的傳遞未受到良好的防護，或是忽略了處理資訊等相關系統的可用性，就可能導致一連串的問題發生，其中，尤以醫療資訊的外洩影響層面最廣，目前，一般民眾的醫療資訊內容包括：

基本資料 - 包括姓名、性別、出生日期、身分證字號、通訊地址、電話、病歷號碼等。
就醫記錄 - 看診科別、掛號日期、診治醫生等。
醫囑事項 - 診斷記錄、用藥明細、病況摘要、治療方式等。
檢驗報告 - 檢查項目與報告、病理檢驗報告等。
護理記錄 - 住院記錄、給藥過程記錄等。

目前，大多數的醫療院所仍以紙本方式保存醫療資訊居多，而未來隨著電子病歷的推動，一旦資訊轉變成為電子化的狀態，就會具備更容易傳遞、複製、修改等電子化資料的特性，所以如何去確保資訊的安全就顯得更加重要，相信沒有一個人會願意自己的醫療資訊被任意查閱且曝光。

因此，對於醫療業者而言，保護醫療資訊安全的主要目標就是為了：

保護病患醫療資訊 - 醫療資訊為重要的個人隱私，如果遭到不當洩漏，除了會影響病患的身心、名譽和權益之外，更有可能為其家屬造成傷害，因此必須加以妥善的保護。
減少醫療過程疏失 - 醫療資訊的正確與完整性，涉及病患的生命安全，如果醫療資訊受到不當竄改，或是因人為疏失造成資訊錯誤，將會導致像是用藥失誤、診斷錯誤等重大醫療事件發生，所以唯有確保醫療資訊的安全，才能適供適當且正確的醫療服務。
確保醫療服務持續提供 - 持續為民眾提供適當的醫療服務，是穩定國家與社會發展的重要力量，如果醫療服務因為資訊系統受到資安事件的影響而停擺，可能會引發社會大眾的恐慌，進而引發更多的社會問題，因此應由政府予以監督及協助。

醫療資訊的安全原則

就個人的觀察，針對醫療業的資安威脅來源，和多數的組織並無太多的差異，主要仍是來自於天災、人為與技術失效的事故。在天災方面，由於醫療院所負有眾多生命的安全保證，因此在火災、風災、地震方面多半已有良好的應對措施，需要加強的是人員的訓練與定期的災難演練。

至於人為事故方面，因為醫療業需要保護的資訊本身，比一般企業的資訊來得敏感，因此需要所有醫護人員都具備基本的資安意識，以保障病患的醫療隱私，所以在作業程序上，可依照衛生署「醫療資訊安全與隱私保護指導綱領草案」中的指導原則來進行，簡要說明如下：

最小需求與合理範圍之最大安全原則 – 若醫療機構或醫事人員需要蒐集、使用或揭露病患的醫療資訊時，醫事人員必須盡可能地降低其範圍，也就是說，只收集必要且合理的資訊即可，並且必須盡最大努力去保護醫療資訊的安全。
直接取得和不可揭露原則 – 醫療機構或醫事人員需要蒐集醫療資訊時，必須直接向病患或法定代理人詢問，避免由他人轉述病患的隱私。若未經病患的同意，也不得洩露和個人有關的醫療資訊。
尊重及告知原則 – 醫療機構或醫事人員必須獲得病人或其法定代理人的同意，在自願的情形下才可蒐集、使用或揭露其醫療資訊。
公平正義原則 – 病患的醫療資訊不可透過非法或不公正的方式蒐集、使用或揭露。
符合法令法規原則 – 醫療機構或醫事人員對於醫療資訊的使用，必須要符合現行法令的要求，以避免觸犯法規。
病患權利和公共利益保障原則 – 病患對於存放在醫療機構的個人醫療資訊享有一定之權利，醫療機構或醫事人員使用醫療資訊時，應以保障生命權和公共利益為原則。

醫療業的資安防護策略

根據過往的經驗，醫療資訊可能面臨的資安威脅，主要包括了未經授權的非法存取、網路連線中斷、系統當機、惡意程式感染等，因此在基礎的防護作法方面，建議採取以下的控制措施：

建置安全的網路 - 部署防火牆和入侵偵測系統，內部進行網段區隔等。
保護醫療資訊傳輸 – 遠端醫療資訊的傳送，應透過VPN加密方式進行，若提供醫事人員無線網路的使用，也應啟動WPA加密機制等。
弱點管理機制 – 針對醫事人員使用之個人電腦，應透過中央控管之防毒系統，統一派送更新病毒碼，針對作業系統所發布的弱點，也應及時或定期更新，以避免讓惡意人士有入侵的可趁之機。
身分認證機制 – 可利用醫事人員憑證或自行建置之身分認證系統，進行醫療資訊的存取控制。
監督審查與事件管理 – 進行日誌(Log)集中保存，並且檢視追蹤可疑的事件。

至於整體的資安防護策略，目前已有醫療院所導入ISO 27001資訊安全管理系統，這是相當值得鼓勵的地方，顯示醫療院所的管理階層，已經體認到資訊安全對於營運的重要性。因此在管理方面，除了可藉重ISO 27001的控制要求，最重要的是醫療業者需要自行評估目前所面臨的風險為何，必須要將重點放在保護每天產生與傳遞的醫療資訊上。舉例來說，如果醫療院所還是以傳統的紙本病歷居多，那麼在病歷室的門禁管理、病歷查詢的權限控管、病歷資料的傳遞儲存與銷毀等方面，就會是資安管理的重點。

其次，則是思考如何避免因為資訊系統的故障等資安事件的發生，所導致的醫療服務與營運中斷，換句話說，對於資安事件的應變與危機處理，如果能夠及早準備並定期進行演練，將可大幅減少醫療服務中斷對於民眾和醫療院所的衝擊，對管理階層來說，其效益除了能降低營運損失，更可維護醫院聲譽。

最後，雖然國內仍缺少如美國保障醫療隱私的HIPAA(Health Insurance Portability and Accountability Act)法案，但未來必須符合資訊相關法令法規的要求(例如個人資料保護法)，將會是醫療業者應盡的責任。如果能夠及早從管理制度開始著手，透過醫療資訊標準作業流程的建立，讓醫事人員皆能體認保護醫療資訊安全的重要，相信就能為民眾帶來更完善的醫療品質，以及更讓人安心的就醫服務，也不愧對濟世救人的天職。(本文刊載於2010年3月號網管人雜誌)

[觀點] 從照片被竊事件談資料儲存安全

Mon, 26 Oct 2009 03:40:00 +0000

首先，讓我們回顧一下近來一些重大的資料外洩事件，在2007年11月，英國稅務海關總署的員工將存放2500萬筆兒童福利輔助及銀行帳戶資料的光碟片，透過郵寄方式不小心弄丟，造成數百萬民眾必須向銀行查閱帳戶資料以及更改密碼；繼這個事件之後不久，英國皇家海軍一名軍官，也因為將筆記型電腦放置在停車場的車子裡被竊賊偷走，使得裡面儲存的60萬即將入伍的士兵個人資料不翼而飛；在2008農曆年前後，某香港藝人因為將個人電腦送修，即使事前已將硬碟的資料刪除，但仍然被惡意人士利用資料還原工具將隱私照片復原，再複製出來散佈至網路上，引起了軒然大波，也突顯出敏感資訊究竟該如何儲存以及保護的問題。

對於企業來說，現今筆記型電腦的使用者日益增多，企業員工在所使用的筆記型電腦裡，經常會存放個人工作的電子郵件、客戶和交易資料，以及研究技術等敏感資訊，究竟該如何去保護這些資料儲存時的安全，已形成IT管理人員一個相當頭痛的問題。而除了筆記型電腦中的硬碟之外，還有許多隨身的儲存設備，像是外接式硬碟、USB隨身碟、含記憶卡的手機、PDA，或是像易於攜帶的MP3、數位相機等，都可讓使用者在小小的裝置裡，儲存大量的資料，若是這些資料為個人隱私或是商業機密，只要有易於攜帶的特性，就代表被竊的風險隨之升高，一旦遭到有心人士利用，後果將不堪設想。

凡走過必留下痕跡

根據資安廠商Check Point在2007年12月針對424位台灣企業受訪者，詢問有關企業建置資料安全解決方案的調查指出，有57%的企業已經意識到行動裝置可能帶來的資料外洩風險，也已制定了保護行動裝置內容的政策，但其中會使用資料加密方案的企業卻只佔51%，顯示出企業雖然具有行動資料安全風險意識，但是在落實資料保護與儲存安全方面，仍有相當大的改善空間。

因此，如果您是企業的行動工作者，請思考以下問題：

請問您是否會在Notebook/隨身碟存放重要商業資訊，例如產品報價成本、客戶機密資料、研發技術資料，以及個人隱私如帳號密碼、信用資料等？
如果您的Notebook/隨身碟遺失或被偷了，裡面所含的資料有良好的保護嗎？
當個人電腦需要送修或報廢時，您硬碟裡面的資料該如何處理？
將舊手機送給朋友或上網拍賣時，您確認個人資料已經刪除乾淨了嗎？
您是否以為曾經儲存的資料或照片，只要把它刪除就安全了？

以上這些問題，若在您心中沒有很肯定的答案，那麼您應該小心謹慎手邊所儲存的重要資訊，並且尋求企業內部IT或安全人員的協助，因為事實上，一般電腦作業系統像是Windows在刪除資料之後，即使一併把資源回收桶也清空了，資料並不會就此消失，作業系統只是在硬碟的檔案表中做了註記，讓您以為這塊空間已經清除，可以再存入新的資料了，但卻必須要等到下一次有其他資料要儲存時，覆寫了這一塊硬碟儲存空間，您的原始資料才會被覆蓋過去，而難以被還原回來。

所以，就算一些敏感資訊您已經事先就將它刪除了，但是在資料尚未被重複覆寫、也沒有被完全銷毀之前，如果有惡意人士以任何方式獲取了您的硬碟、隨身碟或是記憶卡，只要利用一些檔案還原工具，就可以輕易地把您已經刪除的資料再次復原回來，個人隱私或商業資訊仍很可能就會被竊取盜用。

將小口袋裡的大倉庫上鎖

對於企業IT管理人員而言，究竟該如何讓使用者具有資訊安全的認知，並且進一步去預防資料的外洩？到底有什麼好方法，可以保護企業或個人的敏感資料不會外洩呢？以下幾點建議可作為管理人員的參考：

資安教育訓練 - 企業內部可透過員工教育訓練來宣導，讓使用者了解應該盡量避免在會攜出的筆記型電腦，或是隨身儲存設備中存放企業機密資訊，如果必須要存放的話，務必自行採取一些防範措施，例如針對office等檔案，最簡單的方法是設定密碼才能開啟，但最好的方式則是透過加密工具將檔案加密。

加強存取控制 - 管理人員應依據「Need to know」原則，為使用者設定適當的資料存取權限，以避免非業務及非財務相關人員接觸到機密資訊，進而有機會將它攜出外洩。

部署安全方案 - 企業可導入完善的資料保護方案，透過完整的「全硬碟加密技術」，針對筆記型電腦的硬碟和隨身儲存媒體進行加密，即使電腦遺失之後，惡意人士欲將資料轉存到其他地方，仍然無法通過身份認證機制，也無法打開瀏覽您的檔案。

另外，若員工的電腦需要送修時，記得一定要先將硬碟取出，以避免憾事發生，而企業內部曾存放過機密資訊的儲存媒體，若需要進行報廢處理時，則建議最好將硬碟進行實體破壞，或採取低階格式化，將硬碟資料重覆複寫七次以上，以避免曾經存在的機密資料再度復活。

參考資安法規的要求

國際上有許多法規，對於資料儲存都有一定的保護要求，以資訊安全管理系統標準ISO 27001為例，針對設備安全，在控制措施的條款A9.2.4裡即提到，若資訊設備需要進行定期排程維護時，必須實施適當的控制措施，並且考量由現場人員或是委外廠商來處理，在必要時，設備上的敏感資訊要把它清除，並且充份清查維護人員的身份，以防假冒事件發生；在條款A9.2.5則要求，內含重要、敏感和重要營運資訊的設備，必須要有專人看管，並且採取上鎖等保護措施。

至於有關設備的安全報廢與再使用，在條款A9.2.6裡提到，針對含有儲存媒體的設備，在進行汰換或報廢時，必須將含有敏感資訊的設備加以實體銷毀，或以無法被重新復原的技術將設備予以刪除覆寫，確保資訊已徹底清除。

最後，提醒IT人員務必謹記在心，只要是曾經存放過的敏感資訊的儲存媒體，在處理時都必須要確認、再確認才行。(本文刊載於2008年4月號網管人雜誌)

[簡報] 從資料外洩談DLP解決方案

Mon, 02 Mar 2009 04:03:00 +0000

雖然大環境仍處於不景氣的狀態，但資安工作卻是疏忽不得。根據資安廠商的預測，2009年防治資料外洩的產品，仍是企業規劃導入的重點項目之一。

在資料外洩方案中，最熱門的就是DLP相關產品，它在2008年時各家廠商就已經推出，但由於架構過於龐大複雜，部署起來並不是那麼的容易，因此事前的評估與規劃就顯得更為重要。

以下簡報內容，將協助你快速了解DLP的幾項特點，以及導入時的注意事項。

Data security from jackforsec

[觀點] 從資料外洩事件談DLP解決方案

Tue, 24 Feb 2009 13:03:00 +0000

從2007年底八大購物網站的會員交易資料外洩開始，資料外洩事件一直層出不窮，所導致的電話詐騙事件，更是社會關心注目的焦點。根據IDC的分析指出，機密資料的暴露，已成為企業最大的資安威脅之一，尤其是最近的資訊安全事件，主要著重在機密文件的竊取，也讓企業管理階層感受到，資安事件的發生將影響到企業商譽與營運；而不久前在美國舊金山舉辦的RSA資訊安全會議中，也提到在2008年，身份認證管理、網路存取控制和資料外洩防護，將會是企業所關注的重點，更是未來資安發展的趨勢。

目前，由於購物所造成的資料外洩事件仍不斷發生，個人推測可能的原因有二，一是業者本身抱著不負責任的心態，在事件發生時只是一味想要掩飾問題，或是乾脆將問題推給第三方的合作廠商，並沒有進行處理，使得民眾仍持續接到利用購物資料來進行詐騙的電話；二是有些業者內部缺少資安專責人員，不知該如何處理應對，或者只是採取頭痛醫頭、腳痛醫腳的方式，找不到資料外洩的真正源頭來對症下藥。

DLP解決方案簡介

針對有心想要加強資料保護的企業而言，資料外洩防範 (Data Loss Prevention；DLP)解決方案的出現，可說是協助企業防範資料外洩的一大福音，因為透過部署DLP的協助，可以同時從政策面與技術面來防堵資訊的不當外洩。

至今，DLP仍然是一項很新的資安解決方案，根據安全機構SANS Institute的定義，「DLP是指某些產品基於中央控管的政策(Policy)，透過深層的內容分析，能夠識別、監控，並且保護在儲存、端點、網路中的資料。」因此，導入DLP解決方案的目的即是為了保護企業組織中有價值的資料，包括：機密資料(R&D)、管理資料(HR)、財務資料(Financial)和客戶資料(Customer)等。

基本上，一個完整的DLP解決方案，必須具備三項主要特徵，分別是：「能夠以政策制定方式集中管理、能夠進行深度內容檢測，以及同時防範經由儲存設備、端點裝置和網路的資料外洩事件。」所以從定義上而言，目前許多的資安方案，例如郵件過濾、上網行為控管、端點安全等，仍只能算是具有某些DLP功能的產品，並不是一個非常完整的DLP解決方案。

DLP方案的基本架構

在評估DLP解決方案時，管理人員必須要理解，事實上很難只依靠導入單一產品，即可完全達到防範資料外洩的目的，更何況防範資料外洩這件事對企業而言，已是管理制度裡的其中一環，也因為資料防護在企業中需要全面性的展開，所以在部署時可能會面臨到的難題，通常並不是技術面的，而是高階管理人員缺乏足夠的決心與協調能力。

但是，管理人員仍必須要先了解DLP的技術架構，以決定要採取何種保護資料的政策與方法，現今DLP解決方案在架構上主要包含了三個要素，分別是：

Data at Rest (儲存資料) - DLP能夠掃瞄所有的儲存設備或含有資料的伺服器，識別出到底有哪些地方儲存了敏感資料，再依據事前制訂的政策來處理，舉例來說，管理人員可以掃瞄所有的檔案伺服器，識別出包含有「機密」註記的文件，如果伺服器上存有這一類型的資料，那麼就可以針對檔案進行加密或移除，或者是通知檔案的擁有者。

Data in Motion (網路資料) - DLP能檢查經由網路傳輸的資料，監控各個傳送的管道，例如HTTP、SMTP、FTP、Print、IM等，並且搭配設定政策來執行阻擋，並且限制資料被允許傳送的管道與方式。例如管理人員可以在政策上制訂凡是含有信用卡號的文件資料，一律只能透過E-mail(SMTP)並以加密方式傳送。

Data in Use (端點資料) - DLP可針對使用者端的裝置，監控資料在各個介面的交換傳遞，包括USB隨身碟、CD/DVD裝置、行動裝置如智慧型手機和PDA等，一旦發現有違反政策的行為，像是資料被執行複製/貼上的動作，或是想使用不允許的應用程式來加密，企圖躲避資料傳遞的監視，都會予以即時的警告、阻擋。

導入DLP的注意事項

目前，針對明顯易見的威脅，許多企業已有足夠的意識去預防或控制，但是對於資料的傳輸與交換，往往很容易就會掉以輕心。尤其是管理人員面對來自不同單位、不同部門的資訊傳遞，當違反政策時到底是要先予以阻斷？記錄？還是要通報權責單位？在管理上的考量本身就已是一項難題，更不用說還要考慮部署時的技術與成本。

因此，給予有心導入的企業，在建置前需要先思考以下幾件事：

1. Who：必須要去識別誰是資料擁有者(Owner)、誰是資料的保護者(Protector)或利害關係人(Stakeholder)。企業資料的擁有者可能屬於各個營業單位，而資料保護者可能會是IT資安部門、法務單位或人力資源部等。因此，實務上的做法可能是先組成一個跨部門的資料保護小組，來明確分派資料防護的任務，才能釐清各項責任與義務。

2. What：必須要定義您想要保護的到底是什麼？企業內部包含各式各樣的資料，所以最好的方法是先進行資料分類，設定資料處理流程和優先順序，並以文件化方式加以記錄，在設定重要性時，法規所要求需保護的資料，可能就是要優先進行的。

3. How：必須要決定如何去保護資料？明白所要保護的資料之後，就要針對各個交換資料的管道，決定如何去監視保護，並且要實行哪些控制措施。如果要進行全面性的防護，那就必須把所有網路協定、儲存設備和端點裝置明列出來，一一說明要如何進行監控與處理，這些也有助於管理政策的制定。

修訂隱私法規是當務之急

一旦個人資料透過詐騙行為，轉變成一種有價值的物品，即可預期會有惡意人士，想藉由各種管道企圖取得這些資料，再利用它從事違法的犯罪行為。因此，資料外洩事件會不斷發生，其實也突顯了另一項迫切的議題，那就是政府應當修訂更有效的個人隱私保護法規，以保障所有民眾的個人資料安全。

在國外，企業必須遵循相關的資訊安全法規，例如HIPPA (針對醫療隱私)、GLBA (針對金融交易資訊)、SOX沙賓法案(針對財務報表)、PCI-DSS (針對信用卡資料安全)等。但是反觀國內，目前保障個人資料的法規為84年公布的「電腦處理個人資料保護法」，保護的對象只限於「經電腦處理之個人資料」，範圍也僅限於公務機關和徵信業、醫院、學校、電信業、金融業、證券業、保險業及大眾傳播業等「八大行業」，而且屬於「告訴乃論」，所以並無法保障所有受害民眾的權益。

因此，除了期許政府盡速修法之外，更呼籲存有個人資料的企業，務必要善盡保管之責，一旦有資料外洩的疑慮，可尋求專家或資安業者的協助，適時地將可能的漏洞填補起來，相信只要有積極的作為，勢必可化危機為轉機，進一步提升企業的聲譽並獲得消費者的信任。(本文刊載於2008年7月號網管人雜誌)

[簡報] 從資料外洩談行動裝置管理

Tue, 24 Feb 2009 12:48:00 +0000

資料外洩是近年來在資安領域中，相當熱門的話題，無論在國內或國外，資料外洩的事件層出不窮，對企業造成了營運的損失，對民眾更造成了隱私的傷害。

以下簡報內容是我曾講授的課題之一，討論有關行動裝置的資安管理，可以搭配上一篇文章一併閱讀，提供給有興趣的朋友作為參考。

Mobile security from jackforsec

[觀點] 從資料外洩事件談行動裝置管理

Fri, 20 Feb 2009 07:03:00 +0000

Apple iPhone的出現，讓我們見識到行動裝置的精巧與強大的功能，隨著行動裝置的製造技術突飛猛進，像是筆記型電腦、PDA、智慧型手機等各種可無線上網與儲存資料的裝置，已經普遍存在於週遭生活之中，雖然它們提供了豐富便利的科技生活，但相對地也帶來了潛藏的危機，那就是遺失裝置時可能造成的資料外洩問題。

安全機構Ponemon Institute的報告指出，有54% 的資安事件是因為筆記型電腦等行動裝置的資料遺失所引起，回顧過往的歷史，在2005年，美國飛機製造商波音公司一部含有38萬名現職及退休員工資料的電腦，因為員工一時疏忽放置在車上而遭竊；2006年，美國退伍軍人事務部也因為不小心遺失了筆記型電腦，造成了2,600萬筆退伍軍人資料的外洩事件。

另外，根據2007 CSI電腦犯罪與安全調查指出，從行動裝置中被竊取的資訊資產，估計金額高達234萬5千美元，值得深思的是，資料外洩除了對企業造成龐大的金錢損失之外，受創的更有無形的商譽與客戶信任。

行動裝置資料外洩的風險評估

曾經有人開玩笑說，「資安它說起來重要、做起來次要、急起來最好不要」，因為一旦做不好，可能就會讓自己成為眾人責怪的箭靶。但是，防止行動裝置所引起的資料外洩問題，的確已是管理人員責無旁貸的工作，萬一造成重要的營運資訊外洩，對於企業所造成的衝擊將難以估計。

所以，面對不斷增加的資料外洩事件，到底哪些資料該去保護？需要控管的行動裝置有哪些？遺失之後會對企業造成多大衝擊？這些都是要經過審慎評估的。

針對行動裝置可能產生的風險和有效的管理方式，建議管理人員可從以下的角度去思考：

Who─
到底是誰在使用行動裝置？是不是合法的使用者？是否給予適當的連線存取資料權限？

When─
什麼時候會需要使用行動裝置？外部連線回企業內網的時段是否該限制？行動使用者在登入網路之後，是否該定時執行政策掃瞄？

Where─
使用者會在哪裡使用行動裝置？會議室與公共空間是否開放使用？可供行動裝置使用的無線網路範圍有多大？

What─
行動裝置可以存取到什麼資訊？允許行動裝置存取的應用系統有哪些？什麼資料該有控制措施來防止被輕易複製帶走？

How─
使用者如何使用行動裝置？是否安裝了相關的安全軟體？資料傳輸過程中是否需採取加密措施？

Why─
為什麼需要使用行動裝置？該不該考慮強制禁止使用？

選擇適當的安全控制措施

在評估了行動裝置可能產生的風險之後，接下來我們可以採取一些控制措施，來降低使用行動裝置的風險，從技術面可考慮實施的方法有：

部署網路存取控制方案 - 企業可藉此掌控所有連上網路的裝置清單，區別合法與不合法的裝置，並分別賦予其適當的權限，在連線時進行惡意程式與系統掃瞄，同時也要記錄行動裝置在存取資料時的行為以供日後稽核之用。

設置密碼與資料加密 - 對於筆記型電腦等行動裝置，必須設置BIOS開機密碼和Windows登入密碼，另外還需要針對硬碟所儲存的內容進行加密，以避免設備遺失時造成資料外洩。

進行使用者權限控管 - 依據最小權限的作業原則，限制使用者可以存取的資料，避免其利用行動裝置取得機密檔案而攜出使用。
管制無線網路的使用 - 許多行動裝置都具備了無線上網功能，企業必須限制無線網路可使用的對象與範圍，必要時可設置無線網路入侵偵測系統，防堵非法架設的無線基地台(AP)，同時保護使用者不會誤連至惡意假冒的基地台。

除了技術面之外，面對使用者的行為遠高於技術可以管控的範圍，我們還必須同時從管理面來著手，讓使用者明瞭使用行動裝置的注意事項，例如：

含有重要或機密資訊的行動裝置，在攜出時務必要有主管的授權。
公務用筆記型電腦禁止安裝P2P檔案分享軟體。
攜帶行動裝置的背包或手提箱，最好選擇具有可以上鎖功能的款式，另外，也不要挑選外觀太過華麗且過於明顯的背包，以免成為竊賊覬覦的目標。
在公共場所使用筆記型電腦時，不可讓它遠離視線之外，建議可使用筆記型電腦專用的防護鎖，將它和固定的物品鎖在一起。
避免在外使用不安全的網路進行重要工作，像是公眾無線網路或未採取加密機制的AP，以避免資料在傳輸過程中被截取竊聽。

從國際法規看資料防護的要求

對負責資安的人員來說，參考國際法規的規範要求，對於資料防護工作有莫大的幫助，例如美國的Gramm Leach Bliley Act(GLBA)法案，即要求相關金融產業必須保障個人金融資訊隱私，確保資料的機密性、完整性，避免資訊遭到未經授權的存取與誤用；針對醫療產業，Healthcare Information Portability and Accountability Act(HIPPA)法案則要求相關單位必須要確保個人醫療資訊的安全，具備良好的存取控制措施，並確保資訊在傳輸過程中不會被竊取或竄改。

在個人信用資料方面，Payment Card Industry(PCI)資料安全標準要求銀行必須實行嚴謹的網路安全措施，以保護信用卡持卡人的資料安全；California Senate Bill 1386法令，則要求企業在發生資料外洩事件時，必須要通知企業員工、顧客及可能受到侵害的個人，避免掩蓋事件而造成更大的傷害。

至於2002年制定的Sarbanes-Oxley Act沙賓法案，則是要求所有在美國掛牌上市的公司，必須做好內稽內控的資訊安全工作，如果因為行動裝置所搭載的重要營運財務資訊失竊或是遭到竄改公佈，造成市場的重大衝擊，將會對違反沙賓法案的企業處以100萬美元罰款或是對負責人處以20年以上刑期。

總結

綜合以上所述，當企業從技術面與管理面來做好行動裝置管理的工作之後，仍然要持續針對可能遺失的資料進行風險評估，判斷是否會影響到企業的核心業務，以及可能造成多大的損失，然後再重新修正相關的資安政策。

此外，大多數企業對於員工的資安教育訓練，很少將它視為需要優先執行的工作，在員工缺少安全意識的情況下，自然會增加資料外洩的風險，對此，企業管理人員也不可不慎。(本文已刊載於2007年12月號網管人雜誌)