趨勢分析 on 資安見聞錄

[專欄] 強化組織的資訊韌性因應惡意挑戰並克服難關

Thu, 20 Jul 2017 07:05:00 +0000

在資訊時代瞬息萬變的局勢下，組織要如何才能夠永續經營？一旦面臨困難挑戰，發展組織韌性(Organizational Resilience)將會是危機中的逆轉關鍵，所謂的韌性是指組織能夠預測、準備和應對可能突發的營運危機，擁有充份的能力可以因應變化，最後得以持續生存並且繁榮興盛。

在今年農曆春節結束後開工的第一週，台灣有十家以上的證券業者遭遇了勒索式的網路阻斷服務攻擊，巨大的攻擊流量對於資訊系統的運作造成了重大的影響，同時也考驗了組織面對外來威脅的應變機制和能力。根據BSI英國標準協會過去對於資訊部門主管所做的調查結果指出，有九成以上的受訪者坦言其組織曾經遭遇過來自網路的攻擊，更有五成的受訪者表示因為駭客試圖入侵或是惡意程式的潛伏運作，而使組織蒙受經營上的損失。

無論是大企業或是小公司，當面對來自四面八方的網路攻擊，或是潛藏在組織中伺機發作的惡意軟體，具備足夠的資訊韌性將是必要的生存要素之一，有韌性的組織可以藉由更好的供應商和產品工具的協助，建立標準化且迅速的事件回應處理流程，加上擁有足夠資安意識和應變能力的專業人員，能夠協助組織克服危機帶來的考驗，也就是說，具備資訊韌性除了可以確保業務的持續運作，更可同時維護重要資訊的安全。

有關組織韌性的國際標準

BS 65000是BSI在2014年底所發布的英國國家標準，它是有關組織韌性的最佳實務指引，目前，正在發展中的ISO 22316更以它為本，將初稿內容公開以徵詢各方意見，未來即將成為正式的國際標準。BS 65000除了針對韌性的本質給予清楚的描述，也提到了發展組織韌性的方法，也就是透過整合現有的作業流程，讓複雜的組織運作能夠透過協同運作的方式，建立組織因應各項問題的能力。根據經濟學人的研究指出，組織韌性已是現代企業邁向成功的驅動力，它主要包括了以下三大領域：

營運韌性 (Operational Resilience) - 聚焦於提升組織的營運能力，強化產品、服務與流程的績效和永續性，進一步防範組織在財務與聲譽方面受到損害。

資訊韌性 (Information Resilience) - 管理組織的實體與數位資訊，強調資訊的生命週期管理，從資訊的產生到終止，讓各方的利害關係人都能安全且有效率地取得、儲存及使用資訊。

供應鏈韌性 (Supply chain resilience) – 它是量化與緩和供應鏈風險的能力，包含了採購、製造、運輸、銷售的生命週期，以適當的管理機制將供應鏈中斷的衝擊減至最小，並且保護組織免於財務和聲譽的損害。

發展資訊韌性的四大基礎

在現今的資訊時代，組織需要有足夠的能力去保護敏感資訊，也需要被客戶信賴。隨著資訊化的腳步愈來愈快，組織也面臨了伴隨而來的各種安全威脅，像是資訊詐騙、商業間諜及惡意破壞等。如今，大部份的威脅已不是來自於外部，而是來自於內部缺少適當的安全控制措施，並且也包括使用新興科技的雲端服務，還有委外的商業資訊和個人資料處理，也擴大了可能的安全議題。

對組織而言，為了獲得利害關係人像是客戶的信任，導入有效的資訊安全管理(ISMS)體系已是強化資訊韌性的必要做法，而且還要讓它進一步融入於組織的文化之中，以支持在各個層級的內部營運和商務運作。基本上，在資訊從產生到終止的生命週期中，一個有韌性的組織必須考量從實體面、數位面來管理所擁有的資訊，並且在流程面採取資安內化的角度，讓資訊能夠安全且有效率地被蒐集、存取和利用。

對於想要強化資訊韌性的組織，以下四個層面將是必要的發展基礎：

管理和保護資訊：首先組織必須了解需要妥善保護的資訊有哪些，這部分可以藉由盤點關鍵的營運流程和相關的資訊資產來進行。另外，對於資訊本身的生命週期，包括創建、處理、儲存、傳輸及銷毀的過程，也需要清楚的識別其作業方式和保留記錄。對組織而言，管制資訊的出入口是第一道防線，若能及時實施適當的存取控制，就可以大幅降低資訊外洩的風險。
防護資訊基礎設施：組織內部與資訊處理相關的基礎設施，除了包括所在場域維持運作所需的基本公共服務，例如網路、電力、水力等，也涵蓋了自行管理的資訊設備、電腦機房和資料中心。換句話說，實體安全的控制是防護基礎設施重要的一環，無論是位於場所內或場所外的資訊設備，都需要事先評估無法運作時的風險。因此，組織需要制定對應的備援機制和營運持續計畫，同時還要安排定期的演練，確認相關計畫在災難發生時的可行性。
強化信任和聲譽：組織想要長期的生存發展，並不是單靠本身的力量即可達成，尤其是許多的資訊服務與資源，可能來自於協力的廠商業者，因此，除了要主動強化彼此的信任合作關係，打造可信賴的資訊服務，還要去維持良好的供應商關係，進一步強化組織聲譽以成為重要供應鍊中的一環，以便讓業務得以長期的擴展。
確保法令法規的遵循：對於組織來說，要求遵循適用的法令法規已是必要的責任和義務，隨著組織規模的擴大和資訊服務的無遠弗屆，除了了解當地的法令法規要求，更需要進一步了解業務範圍內的各國法規，否則一旦適法性受到質疑，伴隨而來的法律議題將會危及組織的生存發展，所以組織也需要有法規專業人才的協助，確保法令法規的遵循要求。

結合管理系統以提升資訊韌性

為了強化組織韌性，結合受到全球認可與導入，並且適用於各種產業與規模的管理系統標準，已是形塑組織內部文化與建構資訊韌性的最佳方法，以下是與提升資訊韌性密切相關的管理系統標準，可以作為組織的參考。

ISO/IEC 27001 資訊安全管理系統
ISO/IEC 27001是受到業界廣泛認可的資安管理標準，它定義了資訊安全管理系統(ISMS)的基本要求，這項標準的設計是確保有充分、適當的安全控制措施，協助組織保護其重要的資訊資產。導入ISO/IEC 27001可增強包括客戶在內的利害相關人各方的信心，它適合於全球任何規模和行業的組織，尤其適合於影響關鍵業務及特別需要安全保護的組織資訊。

ISO 20000 IT服務管理系統
資訊科技已是支持組織日常營運的重要支柱，不管員工位於何處或負責何種業務，任何規模的組織都需要仰賴有效的IT 服務管理，以達成服務績效和營運要求。IT 服務除了具有成本效益之外，還必須達成可靠性、一致性及有效性，無論是管理企業內部的IT服務，或是針對提供 IT 服務的委外服務業者，ISO 20000都能協助組織達成以上目標，並且可以因應不同產業的快速變化，提升資訊技術基礎架構(ITIL)來滿足業務所需。

ISO 22301 營運持續管理系統
對於可能造成營運中斷的風險，ISO 22301提供了正式的營運持續管理架構，藉由營運衝擊分析來協助組織發展出營運持續計畫，以便在發生重大衝擊事件期間和之後還能夠持續地營運。若組織能有效遵循所制訂的營運持續計畫，將可減少中斷事故所造成的衝擊和影響，確保組織有能力快速恢復正常營運，並持續提供客戶所需的服務及產品。

ISO 31000 風險管理標準
組織若採取有效的風險管理策略，可以幫助在事前進行危機分析和風險評估。因此，參考ISO 31000標準所提供全面性的原則和準則，能夠協助組織鑑別所面臨的風險。此一標準適用於大部分的業務營運活動，不論是公務機關或私人企業，都能藉由標準指引來建立風險管理機制，針對可能的風險進行評估，並且針對不可接受的風險進行風險處理。

強化資訊韌性迎向未來挑戰

依據經濟學人智庫(The Economist Intelligence)針對全球411位企業高階主管的調查指出，有八成以上的受訪者認為韌性是組織營運發展的關鍵要素，並且是業務長期發展的必要條件，但是目前僅有三成的組織已實施相關的做法，因此相當需要實務上的指引和協助。

在資訊變動快速的年代，面對未來許多不可知的風險，組織可藉由發展資訊韌性，仔細地審視在整個資訊生命週期之中，包括產品、人員、流程存在著哪些可能的風險，再透過管理系統的導入與相互合作，落實風險管理並強化日常維運的基礎，正所謂「適者生存」，組織唯有具備了強建的韌性體魄，才有充分能力因應未來更多的挑戰。
(本文刊載於2017年4月號網管人雜誌)

[分享] 資安事件管理(SIEM)的魔術象限

Wed, 01 Jun 2011 04:14:00 +0000

談到Gartner的Magic Quadrant(魔術象限)，它是Garther在特定的時間內，對於市場和使用者的體驗，所作出的分析結果，也一向是被許多廠商用來證明自己的產品，已在市場中佔有一席之地。

基本上，它只是一項研究報告，不代表落在象限內的產品就一定是好的產品，但個人認為Gartner對於市場現況的描述和針對各家產品的優缺點分析，是相當適合用來作為在選購產品時的評估和明列相關規格時的參考。

過去，我曾經提到IT Log管理的重要性(請參考「從記錄分析談IT Log管理」一文)，而它其實也就是所謂資安事件管理(SIEM)的基礎，依據Gartner的定義，SIEM的技術可以提供：

安全資訊管理(Security Information Management；SIM) - 可用來進行log管理和法規報告。

安全事件管理(Security event management；SEM) - 可針對來自於網路、資安設備、系統和應用程式，進行和安全有關的事件即時(real-time)監控，以及事故的管理。

而在組織之中會想要部署SIEM的技術，則是為了達到以下目的：

法規遵循 - 對應到剛才提到的安全資訊管理，提供法規要求的相關報告。
威脅管理 - 即時監控使用者的行為、資料存取和應用程式的相關活動，以及事故管理。
兩者皆是 - 可提供法規報告，也同時具備威脅管理的能力。

在國內現況方面，SIEM的需求，主要來自於政府所建構的國家資通安全防護管理中心(NSOC)，需要進行資安事件的監控與資料交換；而民間企業，則有提供資安監控服務的安全管理服務供應商(MSSP)，所建置的資安監控中心(Security Operating Center；SOC)，兩者是早期採用的先行者。

當然，目前也有許多大型企業或高科技製造業，也會採購相關的設備與技術，來提升本身的資安防護能力，至於對中小型企業而言，為了因應未來個資法或導入ISO 27001標準的要求，則建議還是先從作好Log管理開始。

[參考資料] Magic Quadrant for Security Information and Event Management (12 May 2011)

[調查] 2011年全球資訊安全人員大調查

Thu, 05 May 2011 08:05:00 +0000

由(ISC)2與Frost & Sullivan市調公司合作，所進行的2011全球資訊安全人員大調查已經公布，共有10413位來自世界各個產業與組織的資安專業人員參與，這項調查的結果，將有助於組織發現在未來可能面臨的主要安全威脅，以及資安人員所需要具備的專業技能，讓組織可以降低在資訊安全方面的風險。

這項調查提到了幾項主要的發現，簡要說明如下：

應用程式的弱點是組織面臨的首要威脅 - 有超過20%的資安專業人員認為這項威脅主要和軟體開發過程有關。

行動裝置是組織第二個要因應的安全問題 - 儘管大多數的組織都已有了安全政策和工具可因應這項威脅。

明顯的專業技能差距將危及資安人員在未來可以防護組織的能力 - 許多新技術的部署(例如雲端運算和虛擬化技術)，抵銷了相關人員在獲得更多有關新技術安全訓練的要求。

資訊專業人員已度過了經濟衰退的危機 - 有3/5的人表示在2010年都有獲得加薪，尤其是亞太地區和2007年的調查相比，成長幅度最多。(註：亞太地區資安人員的薪水相對是最低的~~)

雲端運算描繪出在技術部署和所需要的安全技能之間的落差 - 有超過50%的人指出已經建置了私有雲，也有40%的人提到已採用軟體即服務(SaaS)，但有超過70%的人強調需要一些新的安全技能，才可以去適當防護基於雲端的技術。

開發中國家顯現了更多經驗成長和學習的工作機會 - 平均來說，和已開發國家的人員相比，開發中國家的人員只少了兩年的經驗，也花了更多的時間在安全管理，較少將時間用在處理內部安全問題上面。

資訊安全工作機會將持續地成長 - 2010年的調查估計，全球有228萬的資訊安全專業人員，預估在2015年將成長至420萬人左右。

[參考資料] 2011 (ISC)² Global Information Security Workforce Study

[觀點] 勇敢迎接2010資安新挑戰

Fri, 07 May 2010 09:32:00 +0000

2010年已過了一半，對於資安工作而言，計劃、執行、檢核、改善是一個循環的管理過程，在這個過程之中，企業必須先有穩健的基礎，才能因應處理不斷產生的新挑戰。

回顧2009年，世界各地和資訊安全有關的事件，在媒體上的報導是從未間斷過，無論是個人資料外洩、殭屍網路(Botnet)、垃圾郵件、惡意網站、網路釣魚、拍賣詐騙等，受害者不計其數，對於國家和社會都有著一定程度的影響。

根據各家資安業者的預測，在2010年主要的資安威脅，大致有以下幾種：

殭屍網路持續肆虐：Botnet木馬程式在網路上不斷散布，難以根治並且潛伏在使用者的電腦之中，待有心人士一聲令下，即可發動大規模的網路阻斷服務攻擊。
雲端運算的風險增加：雲端運算需要依靠網路連線來進行，隨著各種雲端應用服務的增加，惡意攻擊者可能會入侵操控雲端連線，或是破壞雲端資料儲存中心，造成雲端應用服務的中斷。
社交網路成為資料盜竊工具：隨著Facebook等社交網站的盛行，使用者在社交網路中所揭露的資料，很可能被收集起來另做他用，惡意人士可藉此來冒用身分，和同一社交圈的人士溝通交流，以騙取更多有用的資訊。
區域性與特定目標攻擊升溫：全球性的病毒感染機會將降低，但隨之而來的卻是區域性的攻擊增加，惡意人士將鎖定特定企業或對象，以目標式的攻擊來獲取其不當利益。
惡意程式的變形攻擊：惡意程式的變化速度加快，只需幾小時就可衍生出其他的變種，這也代表傳統防毒程式依賴更新病毒碼的防護能力將大幅降低，若是使用者在網路上瀏覽已遭植入惡意連結的網站，很容易就會自動下載並感染到惡意程式。
網路釣魚的機會增加：ICANN網際網路網域名稱與位域管理機構已開放國際網域名稱的註冊，也就是說網域名稱之中可使用非拉丁語系的字元，所以惡意人士可以使用看起來相似或無法分辨的網域名稱來製作陷阱，讓使用者一時無法察覺而受害。

資安沒有魔法，只有基本功

面對不斷變化的資安威脅，身為網路管理者的你，究竟該如何因應呢？在此借用一句企業管理上的名言：「No magic, only basic.」是的，資安工作真的「沒有魔法，只有基本功！」個人相信沒有一個業者敢銷售給你一套資安產品解決方案，然後告訴你從此可高枕無憂，再也不會發生任何資安事件。

所以在新的一年，想要降低企業的資安風險，最好的方式就是回歸基本，確實將基礎的資安工作做好，才能有餘力去應對更新的資安威脅。針對基礎的資安防護工作，以下幾項重點可作為在執行資安工作時的參考。

預防來自內部的人員攻擊

一般而言，小型企業發生內部人員攻擊的比例不高，原因是同事之間彼此都已相當熟悉，所以較少發生有人假冒身份進入工作區域，並趁機竊取敏感資訊的事件。但是對於員工人數與部門數量較多的中大型企業而言，仍要注意防範可能的人員弊端。

建議防治的方式為進行敏感資料的存取控管，依照不同的職務身份賦予適當的權限，避免所有權限都集中在一人之手。另外，也要盡量減少可能受到利用的安全弱點，例如實施網段區隔，讓研發單位和人事單位的網段和一般員工分開，以避免透過網路存取到敏感資訊，以及在機房實施門禁管制等。還有，應教育員工不可分享或洩露個人所使用之密碼，離開座位時將工作文件放置在上鎖之抽屜中，個人電腦要啟動已設定密碼之螢幕保護程式，並且禁止訪客進入工作區域，這些都是基本且必要的防護措施。

減少可能的網路安全弱點

在企業環境中，可能有為數眾多的網路路由器、交換器、防火牆等網路設備，許多設備在出廠時預設會開啟許多功能，甚至強調不需要更動組態即可上線使用，這種方便往往會造成安全上的漏洞。

建議網管人員應在設備上線之前去檢視其組態是否安全，例如預設的管理帳號與密碼是否已更改，未使用的功能模組是否關閉，不需要啟動的連接埠是否關閉等，以確保不會受到惡意人士的利用。在設定管理者密碼時，也要注意密碼的長度與強度，更要避免所有設備皆使用相同的管理密碼，以避免整個防線一次就潰堤。

如果是網路環境相當複雜的企業，建議定期進行網路弱點掃瞄或是滲透測試，以找出可能隱藏的安全漏洞，若網管人員熟悉一些檢測工具像是Nessus或Nmap，可以藉此來產出網路弱點的報告，如果缺少適當的人員可執行，也可以委由外部廠商和顧問，協助執行並提供可行的消除弱點安全建議。

清查行動裝置的安全性

若企業有許多行動工作者，經常需要在外使用筆記型電腦進行作業，在新的一年正好可進行健康檢查，確認作業系統的更新檔是否已安裝、防毒軟體版本是否過舊、病毒碼是否每天進行更新、個人防火牆組態是否正常、是否設定開機密碼、機密檔案是否加密等。

如果行動裝置的數量過多，建議可透過群組原則的設定，強制使用者電腦在登入企業網路時必須更新系統和病毒碼，並且也要讓使用者可任意關閉防毒軟體的功能失效，以避免在外時有意或無意將安全軟體關閉，讓惡意程式有機可趁。

另外，針對行動工作者應定期進行教育訓練，宣導應注意的安全事項，例如使用無線網路時，勿選用來路不明的基地台，最好選用具有加密或認證機制的無線網路服務提供商；若需要傳輸敏感資訊時應使用虛擬私人網路(VPN)；在外使用筆記型電腦和USB隨身碟，應小心防護避免遺失或使用檔案加密機制等，以減少可能的安全風險。

檢測網站應用程式的安全

目前，網站受到入侵並放置惡意程式連結的事件已時有所聞，因此歲末年終針對現有網站進行安全清查是必要的，基本上建議可以從兩方面來著手，首先是網站伺服器本身的強化，確認作業系統已安裝必要的修補檔、伺服器軟體已進行更新、未使用的連接埠及服務皆已關閉等。其次則是針對網站應用程式進行檢測，可利用弱點掃瞄工具或是原始碼檢測來進行，確保針對常見的網站攻擊手法像是SQL Injection等已具有免疫能力。

如果是提供電子商務服務的業者，更要確認連線加密機制與身份認證機制是否完善，以保護線上交易資料的安全，必要的話，則建議安裝網站應用層防火牆，透過更深一層的封包檢測機制，來避免非正常交易的事件發生，更可同時抵禦常見的網路應用層的攻擊。

避免網路惡意程式的入侵

過去這一年，除了許多受到入侵而挾帶惡意程式的政府、教育和企業網站，再加上即時通訊和社交網站的大受歡迎，大幅提高了使用者感染惡意程式像是木馬、病毒、間諜軟體的風險，為了避免員工使用企業網路瀏覽非工作所需的網站，建議採取管理面與技術面雙管其下的作法。

在管理方面，可制訂並頒布網路的使用政策，清楚說明員工應避免的網路使用行為和違反時的處置辦法，先勸導再懲處會是比較容易令人接受的方式。至於技術方面，則是可以採取將不適當的網站加入黑名單來阻擋連線，或是採用網頁內容過濾方案，透過彈性化的設定來因應不同工作者的需求，並且可及時更新網站黑名單以阻擋新的惡意網站。

建立應變機制，有備而無患

許多企業在資安事件發生時，往往會顯得手忙腳亂，以檔案損毀為例，企業或許平常已有資料備份，但是當災難發生時，資料備份放置於何處？哪些資料該優先復原？復原的步驟如何進行？這些問題往往詢問起來，都找不到一個適切且完整的答案，最主要的原因就是企業缺少了災難應變機制，也就是在平時並沒有準備好有效的災難復原或營運持續計畫。

在駭客技術不斷翻新的今天，我們無法預測將會遭受何種攻擊，但是我們知道哪些是企業重要的營運服務和關鍵資料，因此針對重要的營運資訊，無論是存放在資料庫中，還是在老闆的電腦硬碟裡，針對資訊處理的過程和所使用的設備，都應該思考需要預先採取何種防護，如果連這一點思考都沒有的話，你的企業很可能就是下一位資安事件的受害者。(本文刊載於2010年1月號網管人雜誌)

[觀點] 雲端運算安全與風險

Thu, 25 Mar 2010 04:34:00 +0000

談到雲端運算，它究竟是一種「技術」或「概念」，到底是「產品」還是「服務」，在搜尋引擎上只要打入關鍵字，就可以看到許多不同的見解與想法。在此我們僅從資訊安全的角度，來探討雲端運算可能帶來的資安問題或風險，提供給資訊管理人員作為參考。

雲端運算(cloud computing)從2008年開始就是一個熱門的話題，對於雲端運算的應用，無論是應用程式服務、資安服務或資料儲存等，各家都有不同的說法與見解，但從資安的觀點來看，仍有一些地方值得企業審慎注意，以免落入新資訊科技運用的迷思。

首先，讓我們回憶一下，在還沒有所謂的雲端運算之前，企業對於資訊的處理與運作的方式是什麼？一般普遍性的作法是，企業需要自行添購或開發商務運作所需要的軟體和硬體，並且建置專屬的資訊機房和網路環境，然後由內部的資訊人員來執行維運等相關工作。

對大多數的企業而言，隨著營運規模的擴展，為了要增加資訊服務的穩定與效率，在資訊科技的費用支出相對也會節節升高，尤其是面對如今愈來愈複雜的網路環境與技術，再加上好的資訊人才難尋，和營運相關的資訊問題解決能力也需要時間培養，種種問題都讓企業主傷透腦筋，而「雲端運算」的出現，彷彿就像是在烏雲之中露出了一道曙光。

雲端運算的資安服務

究竟什麼是雲端運算，Gartner定義它是一種嶄新且具延展性的運算方法，可以將計算、儲存等資訊科技的運用，透過網路以服務方式提供給外部客戶使用。而維基百科則說，「雲端運算是一種基於網際網路的運算新方式，透過網際網路上的服務為個人和企業使用者提供所需即取的運算。」

目前，雲端運算具備三大運算架構與服務模式，包括了基礎架構即服務（Infrastructure as a Service，IaaS）、平台即服務（Platform as a Service，PaaS）及軟體即服務（Software as a Service，SaaS）等，當然還有人提供許多不同的服務。

各種雲端服務雖然眾說紛紜，但有三樣東西卻是它的必要組成，分別是：網路、運算、服務。換句話說，透過網路連線，由遠端所提供的強大運算和服務，讓企業可藉此改變以往的資訊處理方式，除了可提高作業效率，進而節省成本支出之外，同時更獲得資訊科技的創新應用。

對於資安廠商而言，除了銷售傳統的資安軟硬體設備，若是還能藉由雲端運算的協助加持，提供更多的資安加值應用服務，那是再好也不過了。根據個人的觀察，目前資安廠商運用雲端運算來提供的資安服務，大致有下列幾種：

病毒防護 – 讓防毒軟體的使用者，能夠即時回傳電腦上可疑的病毒相關資訊，就能在防毒業者的雲端上比對病毒特徵，不需要再等到防毒軟體更新病毒碼，就可有效防止病毒的感染。

網址過濾 – 面對日益增加的惡意網站，可協助企業透過雲端進行網址黑名單的比對，透過即時更新的惡意網頁資料庫，可以提高攔截的效率。

郵件過濾 – 配合傳統的垃圾郵件過濾機制，比對垃圾郵件如來源IP、信件標頭等資訊，同時也可結合防毒功能，即時掃瞄郵件的附件是否安全。

身分識別 – 企業可透過雲端進行使用者身分認證，作到單一登入功能，讓使用者可在任何地點登入使用各項應用服務，解決使用者的授權問題。

至於業者宣稱雲端運算可為企業帶來的好處，則有以下幾點：

降低營運成本 – 企業不需要再花錢去購買軟體和硬體，也不需要資訊人員來開發或維運所需的應用服務，只需透過租賃或使用者付費方式，大幅節省不必要的成本支出。
提高工作效率 – 隨著網路無所不在的連結性，無論工作者身在何處都可享有相同便捷的應用服務，而且藉由雲端強大的運算能力，可有效解決工作端運算效能不足的問題。
擴充未來應用 – 雲端運算可讓企業快速部署及應用新科技，無論是應用服務的升級或擴展，在短時間之內就可完成，不必擔心資源耗費的問題。

雲端運算可能的資安風險

根據市場調查機構Gartner的研究顯示，未來以雲端運算方式所提供的安全應用服務，將會對市場造成相當大的衝擊，預估在2013年會比目前再成長三倍。而趨勢科技的調查則指出，雖然業界看好雲端運算在資安上的應用，但是也有61%的企業受訪者表示，除非可以確定應用雲端運算不會產生重大的資安風險，否則目前仍不會急於導入雲端運算的相關應用服務。

從資訊安全的觀點來看，企業在運用新的資訊技術時，對於其隱含的資安風險，當然要做審慎的評估，而個人認為在採用雲端運算服務方面，至少有三個層面需要考量。

首先是網路層面，因為一旦商業運作需要仰賴雲端來進行，那麼網路頻寬的消耗，是否真如業者所言來的那麼節省？會不會拖累了原有網路服務的正常使用？這些都需要實地測試才可得知。另外，網路連線的穩定性也會比以往要求來的更高，因此在網路管理方面，原有的網路設備是否需要擴充？如何進行網路效能的最佳化調校？網路備援的方式？這些可能都會變成隱藏的成本支出。而網路傳輸的安全性當然也要涵蓋其中，若是有敏感資料需要傳輸，那麼是否有相對安全的加密機制和身分認證機制等，都是使用雲端服務時必需的要求。

其次是資料層面，企業要放置什麼資料在雲端上，將會決定所需的安全強度，在採用雲端資料服務的初期，建議企業先以非敏感性的資料為主，藉此來測試評估服務的安全性，而非一開始即將最重要的商業資訊，透過雲端方式來進行運算或儲存，以避免當資訊外洩時可能造成的衝擊。

最後是法規層面，企業要注意雲端服務廠商本身的安全是否值得信賴，是否有可供辨識的安全保證，例如取得政府的許可或國際標準ISO 27001的認證，因為這代表了雲端服務廠商在資料保護、實體安全、應用程式安全、系統可用性、漏洞管理、法規遵循方面是否有一套完善的管理制度，對於資訊安全可提供一定的保障。另外，萬一不幸發生資安問題，在責任歸屬與賠償機制上，就有賴於事先的合約或服務等級協議(SLA)，所以在一開始的服務簽定時，企業法務部門的參與協助也是十分重要。

評估企業整體的應用安全

事實上，雲端運算服務除了造福企業之外，對於惡意的駭客而言，也算是一大福音，因為這代表了許多企業更加依賴網路連線，會將重要的資訊透過網路傳輸，並且將商業資料儲存在企業環境之外，如果輕忽了可能的資安風險，就等於增加了駭客入侵的機會。

舉例來說，像是駭客可以利用雲端運算的強大能力來破解使用者帳號、密碼，竊取雲端所儲存的資訊；或是發動分散式阻斷網路攻擊(DDOS)，癱瘓雲端網路的運作，也就間接導致重要營運服務的停擺。另外，雲端資安服務機制的有效性，是否一如業者宣稱的可有效攔阻惡意程式入侵，是否會有潛藏的安全漏洞反而受到利用等，這些也都是未來需要關注的地方。

所以，企業在評估導入雲端運算的服務時，建議一開始先從非關鍵性的應用服務開始，而除了尋找可靠的雲端服務供應商之外，也要考慮有沒有其他的替代選擇。否則一旦企業所倚賴的雲端服務受到攻擊而停擺之後，將會對企業造成重大衝擊，例如關鍵資料無法存取、客戶資料外洩、防毒系統失效、惡意程式入侵等等，這些都有賴於事前整體的考量，絕非像是購置單一硬體和軟體一樣，只要輕鬆以對即可完成。(本文刊載於2009年12月號網管人雜誌)