FineArt News

資安新知

伺服器與終端雙層管控，嚴防機密資料外洩

近年來，外在受到紅潮併購與高科技人才挖角海外，台灣內部高科技業者間，也頻傳併購訊息，突顯產業生態出現顯著變化，讓企業核心技術也跟著流動。處在此變局，許多企業主莫不擔心兩件事，一是公司手中握有的核心技術，是否外流與被竊取？其次，人員所產出獲利與技術資料是否跟著移轉至競爭對手，造成重大損失。

文 ／ 精品科技 資訊安全顧問兼資安部經理 陳伯榆

隨著市場競爭的快速變化與衝擊，企業所維繫核心人才或團隊，以及核心團隊或個人所建立的知識( 資訊) 資產，將是這個企業成長獲利的命脈。但是伴隨而來的人才轉移與業界挖角，相關資訊也可能隨之流動，更遑論惡意競爭行為以及商業間諜行為。而存放在核心團隊電腦或是伺服器的知識資訊，可能被盜拷、可能被抹除、可能被變造，甚至間諜竊取。

文 / 精品科技研發三部 劉文彬
 

Windows 10的各種版本

針對不同客戶需求，微軟推出數種Windows 10版本，

依據微軟網站提供的功能比較表[1]，Windows 10有以下版本：

版本英文名稱
版本中文名稱
Home
家用版
Pro
專業版
Enterprise
企業版
Education
教育版
Mobile
行動裝置版
Mobile Enterprise
行動裝置企業版

其中家用版、專業版、企業版的定位與過去Windows版本類似，所以不難推測出適用的客群。而Mobile與Mobile Enterprise版本是繼承以往Windows Phone作業系統的更新版本，所以不會單獨發售。

但這就是完整的清單嗎？不，Windows 10 還有更多針對特別需求的版本：

版本英文名稱
版本中文名稱
Enterprise 2015 LTSB
企業版 2015 長期維護
IoT Core
IoT核心版

雖然在微軟網站的比較表中沒有提及Enterprise 2015 LTSB，而從名稱上看來LTSB只是一般Enterprise版本的分支，但實際上Enterprise 2015 LTSB與其他的Windows 10版本相比有幾個不同點：

  1. 沒有Microsoft Edge瀏覽器
  2. 沒有Windows市集，也沒有內建Xbox、新聞等等娛樂App
  3. 沒有Cortana
  4. 版本的更新方式更接近傳統Windows——版本維護期間不會新增功能，只會修正問題；並且有10年的維護期

而IoT Core版本是為了嵌入式裝置而設計，用於取代過去的Windows Embedded版本，所以IoT Core版本提供的功能是可以由製造裝置的廠商選擇的。

Windows 10的更新選項

Windows 10與之前版本的另一個不同點是更新機制。以往的Windows update允許使用者或管理者由可用的更新清單中個別選擇要更新的項目。在Windows 10中使用者只能選擇更新的分支[2]：

更新服務選項
英文名稱與縮寫
啟用新功能的時間
最短的服務存留期[3]
可選用此服務的Windows版本
最新分支
Current Branch(CB)
微軟首次發行新功能時
約四個月
家用版、專業版、教育版、企業版
適用於企業的最新分支
Current Branch for Business(CBB)
在CB四個月後
約八個月
專業版、教育版、企業版
長期服務分支
Long-Term Servicing Branch(LTSB)
升級為新的LTSB版本時
十年
企業版長期維護

 

也就是說：

  1. 專業版、教育版、企業版的使用者可以藉由在Windows Update進階選項勾選「延遲更新」；或是IT系統管理員可以藉由群組原則設定讓Windows切換到CBB。要注意的是勾選「延遲更新」不會影響已安裝的更新——已安裝的更新不會因此被移除，只會延遲之後的更新。
    4-1
    【Figure 1 Windows 10企業版的Windows Update進階選項】

  2. Windows 10家用版微軟強制使用CB分支不能選擇。因此若微軟已發送新功能，不更新將會影響之後的安全性更新。
    4-2
    【Figure 2 Windows 10家用版的Windows Update進階選項】

  3. Windows 10企業版長期維護版本強制使用LTSB分支不能選擇。
  4. 安全性更新不會受分支選項影響，各版本都是在微軟發布後立即可以更新。
  5. IT系統管理員仍然可以使用Windows Server Update Services (WSUS)核准Windows 10的更新。並且由於CBB的維護時間約為CB的維護時間的兩倍長（最少8個月），故IT系統管理員在新功能到達CBB時即使不立即核准，也暫時不會影響安全性更新[4]。但是若核准CB的功能性更新到設定為「延遲更新」的電腦上，更新將不會被安裝直到此更新進入CBB為止。


除了上述有正式支援的分支之外，微軟提供Windows Insider Preview Branch，在使用者加入Windows Insider計畫後可以取得，其中又以取得新功能的速度分為兩個Rings：

  1. Windows Insider Ring – Slow：可以取得測試組建。
  2. Windows Insider Ring – Fast：可以比Slow更提前取得功能性更新，但也可能更不穩定。

 

結論

從以上的版本與更新方式不難看出，微軟的Windows 即服務 (Windows as a Service，WaaS)策略的目標就是希望大部分的電腦（也就是採用LTSB版本以外的電腦）的Windows系統將會採取每年2至3次的逐漸更新的模式，加快新功能被採用的速度；並且避免出現像Windows Vista或Windows 8一般因為功能變化太大讓使用者不願更新的版本。


[1] https://www.microsoft.com/en-us/WindowsForBusiness/Compare

[2]但在某些更新造成使用者電腦當機後，微軟提供KB3073930疑難排解套件讓使用者可以暫時隱藏部份更新。 https://support.microsoft.com/zh-tw/kb/3073930

[3]服務存留期指的是微軟繼續提供安全性更新的期間；也就是說如果目前使用的版本到達期限後若不更新為新版則無法繼續取得安全性更新。

[4]參考 https://technet.microsoft.com/en-us/library/mt574263.aspx

 

文 ／ 精品科技 資訊安全顧問兼資安部經理 陳伯榆

Windows 10 是微軟最新一代的作業系統，因可將合法授權的Windows 7 至Windows 8.1 免費升級，創造出驚人的下載率及使用率。在媒體推波報導下Windows 10 被稱是新一代優質作業系統，許多在此免費誘因下，開始逐步升級更換新作業系統。

但是Windows 10 仍有許多相容性以及安全性問題，需要時間來解決。尤其是需要高度管控企業或組織單位，並不願貿然升級。舉凡創造利潤的繪圖或3D 工具軟體，並與自動控制整合的環境；或事涉資訊機敏資料及需要高度管制的公司，會更為謹慎看待這個新興的作業系統。

文 ／ 精品科技 資訊安全顧問兼資安部經理 / 陳伯榆

數位舉證這是一個十分嚴肅的課題，因為當企業管理必須採取相關的程序與手段，必有不得不的原因與理由。通常必須假設需要承受冗長法律訴訟的程序，才能有效解決企業「不得不的選擇」。所以相關的準備必須是有效且無爭議的證據，才能在法庭攻防上，獲得法官信賴與採納。筆者想從兩個方面分析，首先是IT 技術層面的主觀舉證，其次是施作程序與管轄地域非技術面的客觀舉證，來討論如何讓IT 相關記錄可以達成舉證效益的目的。

文 / 精品科技行銷部編輯

在這個資訊安全與個資保護越來越重要，甚至將影響企業生存命脈的今日，一套由經濟部所主導推動的個人資料管理制度TPIPAS（臺灣個人資料保護與管理制度）及通過TPIPAS驗證後取得的dp.mark（資料隱私保護標章），正低調透過先影響各產業內的重要企業，希望能逐步提升台灣企業整體對個人資料保護的品質，以及企業對個人資料保護法的遵循完整度與容易度。

近一年多來，肇因於行動裝置、雲端應用等趨勢的盛行，再加上兩項趨勢彼此結合程度益發緊密，進而產生莫大干擾變數，衝擊企業IT疆界治理至鉅；值此時刻，如何促使傳統電子資料防護、也就是資料外洩防護(DLP)機制加以延伸，藉此達到更好的防禦效果，實為相當重要的課題。

精品科技資安顧問兼資安部經理陳伯榆指出，綜觀現行的電子資料防護機制，發揮數項關鍵機能。一是IT介面裝置管控，例如管控外接裝置、光碟／燒錄裝置、列印裝置等等；二是軟體安控，管制範圍含括軟體(特殊)執行、軟體禁用(如禁止使用TeamViewer)、時段的軟體開放、軟體執行行為紀錄、主管審核、延伸檔名管理…等等。

文 / 精品科技 許樹龍

自從雲端隨處可用的概念推出以來，每年都有雲端相關的消息，然而最近這一年多，隨著雲端技術的快速進步，硬體、軟體不斷地推陳出新，雲端硬碟也已漸漸普及，並受到多數的電腦使用者應用在其生活、工作⋯等方面。底下就從一個使用者的角度來看現在的雲端硬碟。

 

世面上主要的雲端硬碟有哪些

雲端服務是目前最新的商業模式之一，只要網路搜尋雲端硬碟，隨便就可以找到數十個以上的供應者資訊，這裡不特別一一介紹，主要簡單列出幾個國際知名的廠商，以及其提供的免費服務供大家參考。

雲端硬碟  Google Drive  OneDrive  Dropbox  ASUS WebStorag
基本免費空間  15 GB  15 GB  2 GB 5 GB
備 註 可透過獎勵活動增加免費空間。 手機APP連接相簿，可再增加15GB免費空間。(亦有其他的 獎勵活動)

可透過介紹朋友使用、 連接facebook⋯等，擴大免費空間。

購買不同型號的ASUS產品，可獲得大小不等的免費空間。(有限制使用期間)

 

然而取得上述雲端空間之後，是否就可以隨意存放檔案呢？答案當然是”No”，舉例來說：上述雲端硬碟對於所存放的檔案，其單一檔案大小有所限制。

以Google Drive為例，存放

  • 文件格式檔案：無論頁數多寡和字型大小，上限都是1,024,000個字元。上傳的文件檔案轉換成Google文件格式後，大小不可超過50 MB。若是放置簡報檔案：在Google簡報中建立的簡報檔案大小上限是100 MB。上傳的簡報檔案轉換成Google簡報格式後，大小上限是50 MB。
  • 試算表檔案：200萬個儲存格，即將達到上限時，Google會提醒即將達到上限。
  • 其他檔案部分：上傳檔案時，如果檔案未轉換成 Google文件、試算表或簡報格式，則每個檔案的大小上限為5 TB。

不過，免費空間目前只有15 GB，要達到單一檔案大小的上限，勢必要付費增購雲端硬碟的空間。

此外，若是使用Google的Google Drive或是微軟OneDrive，可以很容易的與其相關產品結合使用，增加使用上的便利性。若是大家覺得上述空間不夠，目前就個人所知較大的免費雲端空間，大多數都是對岸提供，例如： 360雲盤，官方網頁說明其提供最低的免費空間是36 TB起跳，有需求的使用者還是要自行判斷各家雲端的申請條款。

 

企業版與個人版又有哪些差異

上表所提到的雲端業者除了個人版本之外，皆已有提供企業版供各個公司使用。而企業版與個人版在使用上確實有些不同，例如在基本的雲端空間上，上述廠商的企業版目前並未提供無限期使用的免費空間，但是不同業者針對企業版的雲端服務仍分別提供14天~ 60天不等的試用期間，供使用者試用。不過，須注意的是，"OneDrive及Google Drive 的企業版試用結束後若未購買，即無法繼續使用企業版雲端空間"。而且Google Drive在試用期間若是企業帳戶裡的成員人數超過10人，視同試用期結束，未購買產品，將無法繼續試用。

另外，企業版與個人版功能上最大的差異在於企業版設有管理者主控台，可以由指定管理者進行相關管理設定。以OneDrive為例，管理者可以在該企業帳號下，透過CV檔快速大量新增使用者，同時也提供單一登入與Windows AD同步處理的相關設定，可以指派專屬權限，也具有稽核功能，可以追蹤哪些使用者已對網站、內容類型、清單、文件庫、清單項目及網站集合的文件庫檔案執行哪些動作，並且可以於使用者共同作業時利用Yammer ( OneDrive專用 ) 即時交換意見。不過，單以微軟企業版所提供的雲端服務─使用Office 365 OneDrive for Business以及使用SharePointServer 2013 OneDrive for Business，在功能上就有些許差異，例如：稽核功能報表部分，針對使用Office 365 OneDrive for Business的報告項目並不多，主要是顯示已部署的網站，以及服務使用的儲存空間，若是需要較多樣的稽核管控與報告就必須使用SharePoint Server 2013 OneDrive for Business的服務。

同樣的，Google企業版的雲端服務也區分成兩種，一是Google Apps for Work，另一是Google Apps for Work Unlimited，除了使用空間大小有所差距外， Unlimited版本的服務對於雲端硬碟的控管不僅提供進一步的雲端硬碟管理設定，並提供雲端硬碟內容和共用狀態分析資料的檢視功能。另外，在Google企業版的雲端服務中，有一項功能很方便，就是當人員離職或是職務更動進行業務交接時，管理者只要在管理介面上輸入新舊擁有者的電子郵件，就能搬移所有郵件與雲端硬碟的資料給新使用者，快速完成資料轉移。

建議各個企業組織在評估導入雲端服務時，除應考量自身的需求外，並應深入了解不同版本的功能以及授權條款應注意事項，方能選用適合的方案若要使用企業版需要注意哪些事項公司或組織導入企業版雲端硬碟時，因為該雲端服務為多人使用，應更加小心注意相關控制，以免因疏忽或意外對公司或組織造成重大傷害。但是，如何了解應注意那些重點呢？建議可使用資訊安全管理系統基本CIA的三個面向來看 – C ( Confidentiality；機密性 )、 I ( Integrity ； 完整性)、 A ( Availability ；可用性 )。

  • 機密性： 雲端上的資訊如何讓不應看到的人無法看到，可綜合搭配各項不同的管理機制。例如：建立資訊機密等級管理制度、建立權限管理機制 (透過2人以上的控制，避免權限設定混亂或錯誤)、導入文件加密管理系統 (多數雲端服務提供安全的加密通道，但是並未提供文件本身的加密服務)、定期審核雲端服務提供的記錄 (利用記錄進行事後管理及警示)⋯等。
  • 完整性： 是否有什麼狀況影響了資料的正確性及完整性，如何避免發生異常狀況或是有效管理異常呢？例如：針對重要資訊設定異動通知、重要資料區域定期進行異動管理、定期進行備份、建立雲端文件的異動管理作業⋯等。
  • 可用性： 什麼樣的狀況會影響雲端服務的使用？建議可從內部及外部的風險來看。例如：避免外部雲端服務中斷 (選用信譽佳的廠商、建立備援網路通道)、避免內部服務問題 (網通設施的異常管理、網路設定作業控制)、營運持續的考量 (備援作業的規劃與執行)⋯等。

以上簡單列舉幾個面向作為導入雲端控制評估應注意事項的參考，盼能在公司或組織建立雲端服務的相關管理控制上有所助益，以期達到增進作業效率的效果。

 

文 / 精品科技 研發一部 陳茂清

如何開始當個Hacker(駭客)？

首先要探討到Hacker文化，Hacker指的是擁有技術並且志在解決問題及突破創造之人，只要你熱衷於鑽研技術、分享技術、喜歡修改現有程式後重新發佈且樂於解答他人問題，在電腦軟體或硬體界貢獻一己之力直到有Hacker稱呼你為Hacker時，你便是一位Hacker。雖然在國內各大媒體及大眾眼裡，所謂的駭客就是一群具備入侵他人電腦能力的人，且不區分Hacker及Cracker。其實作為一個Hacker，入侵他人電腦系統只是因為其了解電腦系統的運作原理，並且有能力進行一定程度的干涉(創造或者破壞)，故若要成為目前大眾所認知的Hacker，你必須要先懂得電腦系統、軟硬體、網際網路等等的運作原理，方能知悉如何干涉其中，並會因為你之後的所作所為在駭客界中將你區分為Hacker或者Cracker。

文 ／ 精品科技 資安顧問兼資安部經理 陳伯榆

當雲端服務與工作生活逐漸合而為一

雲端服務並不侷限雲端儲存這一項應用，有許多創新應用吸引著使用者。雲端應用可以應用在工作、教育、生活⋯等各個層面。伴隨著Web Based 技術快速發展、行動可攜(Mobility) 裝置普遍使用、以及未來必定成熟的IOT 技術，都將脫離不了雲端應用。

文 ／ 精品科技 資安顧問兼資安部經理 陳伯榆

雲端加密軟體整體評測

伴隨相關雲端硬儲存或是雲端服務的逐漸普及，不論在企業組織或是個人使用，這一條「公」與「私」的界線也越來越模糊，企業組織的機敏性資料也暴露在網際網路世界中，資訊安全所重視所謂的「Access Control」面臨很大的衝擊。在前篇「企業雲端安全使用」，已經提供企業織對於雲端防護的可能性作為，在本篇將完全聚焦在雲端加密軟體的應用與功能的優異與缺點說明。

為何要考CISSP ?

CISSP (Certified Information Systems Security Professional) 是 (ISC) 這個非營利組織所推行的資安認證。目的是提供資安從業人員在資訊安全領域上，不同範疇專業能力水平。擁有所需要的技術水準與經驗，能有效地處理及執行企業的資訊安全系統及政策。

有別於其他一般的IT 認證，CISSP 是中立的，跟產品或廠牌無關。大家所熟知的 MCSE、CCNP... 等，都是針對廠牌或產品所設計的證照；適用於ISP/ISV 服務供應商的專業從業人員，而CISSP 範疇則是較為廣泛，不侷限在特定產品上。

這個認證對實務經驗也有一定程度的要求，考試的題目中會穿插一些實驗性題目；也有部分是實務經驗題。因為在實際工作上所面臨到的問題，並非一定有標準答案可以依循。從業人員的專業知識與工作經驗，決定了解決方案內容。所以經驗不同，答案可能不同；不是標準答案，而是Best Practices。

文 ／ 精品科技 資訊部 鄭文聖

目前企業較為常見的作業系統大都為微軟Windows及 Red Hat Linux，而經常使用及管理微軟作業系統的人知道，每星期或每天幾乎都有修補檔(Patch)要安裝，防毒軟體更新等，而系統管理人員大都也會乖乖照做，問其原因，普遍回答”Windows很容易中毒”、”Windows容易被攻擊”⋯等，其實所有作業系統均需要被良好的管理，差別在於觀念及做法，下面我們從使用者角度介紹，來看看如何做好個人電腦的資訊安全防護。

文/精品科技 研發一部 鄭楷照

隨著智慧型行動裝置(手機、平板電腦等)的普及，人員攜帶行動裝置上班成為普遍情況。由於行動裝置的功能強大，如果企業、組織沒有做好防範，便有可能造成機密資料、資訊洩漏。在企業、組織的機密管制區域，通常會禁止人員攜帶智慧型行動裝置(手機、平板電腦)入內，以避免機密被洩漏。然而行動裝置有許多功能對於使用者有幫助，可增進工作效益，而不虞造成機密資料洩漏。如果能夠對於行動裝置可能造成機密外洩的功能或行為進行限制，而不影響其他功能，將可以在保護資訊安全的前提下，給使用者更多便利。

 

目前市面上的MDM軟體類型

行動裝置控管(Mobile Device Management，簡稱MDM)能夠對行動裝置(如手機、平板電腦或其他攜帶性裝置等)的功能或操作行為進行控管，以保護企業組織的機密資訊。

現行MDM軟體的常見功能，包括整合使用者帳戶/憑證，以設置資安控管政策與權限；控管行動裝置硬體功能(如相機、Wi-Fi、藍牙…)並且留下使用記錄；收集行動裝置硬體與系統資訊(包括裝置ID、各硬體功能開關狀態、電量…)；行動裝置遺失對策(位置追蹤，遠端鎖定裝置，遠端抹除裝置資料(Wipe)…)等。

MDM軟體對於行動裝置上的軟體(APP)亦可進行控管(亦稱為Mobile Application Management，MAM)，例如控管行動裝置安裝的軟體：強迫安裝、反安裝APP，限制軟體的執行，以及管理企業內部APP的下載分享。MDM軟體可控管企業組織的機密資料的存取途徑、與使用者權限，避免儲存於行動裝置的機密資料被外移備份(亦稱為Mobile Content Management，MCM)。

現有的MDM軟體架構，除了運行於行動裝置的MDM APP，通常還具有MDM的中央伺服器。中央伺服器可以是Internet上的雲端伺服器，或架設於企業組織內部網路。中央伺服器管理安裝有MDM APP的行動裝置，例如指派資安政策、收集裝置資訊、遠程遙控等；中央伺服器可兼具企業資料伺服器的功能，行動裝置只能透過中央伺服器途徑存取機密資料，使機密資料流向得以管制；中央伺服器亦可作為企業內部的APP Store，讓使用者下載安裝所需的應用軟體APP。

為了在使用者上班時自動控管裝置，而在下班後能便利解除管制，現有MDM軟體有些可設置為根據時間與位置決定是否處於管制狀態。例如判斷時間是否為設置的上班時段，如果在上班時段內才啟用管制。這需要與中央伺服器同步時間，並且偵測時間是否經手動修改；地理位置則根據GPS、AGPS取得座標，檢查是否在定義的管制區域內，如果在管制區域內才執行資安政策。

 

缺少MDM可能造成的問題

1.使用者將企業組織機密外流：

企業組織常在內部網路，以資料伺服器方式儲存、分享資料。現在的智慧型行動裝置均具有Wi-Fi連線能力，因此若資料伺服器與行動裝置雙方面沒有保護措施，當行動裝置進入內部網路區域，便能夠作為終端隨意下載內部資料，抑或是透過USB、藍牙直接與內部設備連線，從而複製外移檔案，造成機密資訊外流。此外現在行動裝置大多具有攝影機設備，若未加以限制，則很容易經由拍照或錄影方式取得機密資料。

為了保護企業組織的資料不外流，對於儲存、分享資料的途徑必須加以管制，例如使用中央伺服器統一儲存管理資料。使用者需要以本人帳號登入中央伺服器才能夠存取內部資料，並且所有存取行為會留下操作記錄以便追蹤。機密資料在傳輸過程也必須加密，並且經MDM APP下載到行動裝置後，需要將機密資料分隔存放於保護區(仍加密)，使資料不能夠複製外移，要檢視機密資料亦需要進入MDM保護區(可設密碼保護)，並且透過指定的唯讀APP或是MDM軟體解密後瀏覽，以進一步保護資料。透過MDM軟體限制行動裝置的相機等硬體，以避免機密資訊被拍照流出。

2.行動裝置遺失：

若存放有企業組織機密資料的行動裝置遺失在外或失竊，則機密資料可能被因此外流。若行動裝置預先安裝有MDM軟體，則遺失裝置時，可即刻透過網路或簡訊方式遙控，遠端將行動裝置鎖定、遠端抹除行動裝置資料，或利用位置資訊追查裝置下落等措施進行補救。並且平時MDM可強制使用者設定有足夠安全的密碼(與有效期限，到期則必須重設)，再配合將機密資料加密、分隔存放的方式，以增加遺失裝置後的安全時間。

3.不當APP

使用者可能有意無意間，執行不當的APP軟體，例如已知的惡意軟體(木馬、資安漏洞軟體)、可能造成資訊外洩的APP、破解或非法軟體、或其他列管APP。透過MDM軟體，可以設置黑白名單限制行動裝置可安裝或執行的軟體，以避免因為使用不當APP遭受損失。

 

MDM搭配端點防護軟體，相得益彰

端點防護軟體包括防毒軟體(Anti-Virus)、防間諜程式(Anti-Spyware)、防火牆軟體(Firewall)、入侵預防(IPS)等，可防範外來的病毒、惡意軟體、木馬或其他形式的入侵攻擊。MDM軟體則可管制使用者的操作行為、控管行動裝置功能與APP執行、以及機密資料的存取途徑，從內保護企業組織的機密資料。若能搭配MDM與端點防護軟體，可更全面的保護機密資料安全。

 

精品科技現有MDM產品

精品科技現有MDM產品為AndroidFORT，支援Android平台，具有硬體控管功能如Wi-Fi控管(只能連結名單上的AP)、藍牙控管、SIM卡異動鎖定、遠端鎖定、遠端抹除資料等，可收集硬體資產資訊(裝置ID、SIM卡ID、SD卡容量、電量、…)、位置追蹤；能夠依名單管制APP軟體的執行，並且收集已安裝APP軟體名單。與多種操作記錄(檔案操作、軟硬體異動、來電撥出記錄、…)。

MDM軟體能夠管制行動裝置功能與使用者操作，讓企業組織能夠信任人員攜帶行動裝置工作時，避免因此造成機密外洩的損失；對於使用者而言，在限制敏感功能後，能夠使用行動裝置其他功能可帶與其便利，而不至於徹底禁止攜帶智慧型行動裝置。唯在保護資訊安全之餘，也需要注意使用者觀感，尤其當行動裝置並非由企業組織統一配給，而是屬於使用者本人時(Bring your own device, BYOD)：例如必須尊重使用者個人資訊隱私、不該在管制地區/時段外妨礙到使用者正常使用、事先向使用者教育管制項目、與將收集的裝置資訊等。

 

文 ／ 精品科技 資訊安全顧問兼資安部經理 / 陳伯榆

新版 ISO/IEC 27001:2013升級背景說明與考量

首先要了解升級的背景，關於ISO/IEC 27001升級，依據國際標準組織（ISO）遵循標準，每隔5年必須進行升級修訂的原則來進行。而目前的版本是已經使用8年，這8年的資訊安全變化已非同日而語，必須因應需求進行調整升級。大家也認同原先ISO 27001：2005與ISO 27002：2005的版本在體系整合、控制項邏輯問題、充分性等條件都有強化改進的空間。此外雲端安全更是不能輕忽的狀態ISO/IEC 27001:2013可以與雲端安全聯盟 Cloud Security Alliance (CSA) 所提出雲控制措施矩陣Cloud Controls Matrix (CCM)讓相關控制措施充分結合與應用，就是在處理新資訊服務的另一發展趨勢。

文 ／ 精品科技 資訊安全顧問兼資安部經理 / 陳伯榆

若以雲端服務及應用落實的Google 紀元來算起，Google雲端應用服務已經過邁入15年。反觀雲端服務成為廣泛應用也是這2~3年間才快速成長。不從學理上嚴謹的Cloud Computing的定義來界定市場「真雲端」、「假雲端」服務。單就服務應用與創新層面來看，在網際網路結構下，雲端應用(SaaS)的龐大資訊應用與交換，以致延伸出巨量資料分析，就有十分驚人的價值。

文 ／ 精品科技 資訊安全顧問兼資安部經理/ 陳伯榆

「如何利用資訊安全技術來強化產品與系統」，沿用這樣的概念，技術應用當成內部及外部資訊安全其中一項重要手段。而「做好內部資訊安全」還需考慮到其他面向，包含：資訊安全管理制度( 標準遵循)、法令的配合遵守，都是組成資訊安全妥善度的重要措施。

內部資訊安全三大面向

上述這三個要素會因產業別、服務對象、法令或是行業法令差異、IT 部門規模、知識產權強度…產生不一樣處置或管理方式，有些組織或單位會特重某些面向，但都脫離不了建構資訊安全三大要素。

 

引用出處：大椽股份有限公司 http://www.digitimes.com.tw/

當前的企業資安正面臨非常嚴峻的挑戰，尤其是愈來愈多的企業機密，被更多資訊部門以外的人員掌握時，企業資安問題更形複雜。精品科技資安顧問許祐福指出，資訊部門人員其實在對抗外界威脅的表現還不錯，但對於內部營業秘密的保護，可能要更為用心，才能避免更嚴重的資安事故發生。

根據商業管理協會（Institute of Commercial Management）研究報告指出，白領工作者平均每周處理11 份機密營業文件，而且這些機密文件常常會在不必要的情況下曝光。報告指出，39% 的工作者曾經將客戶資料寄出公司，52% 的員工曾在離職時，將工作資料帶走；86% 的員工坦承習慣性將郵件轉寄其他人；26% 的員工甚至會使用免費信箱寄送工作資料。

文 ／ 精品科技 資訊安全顧問兼資安部經理 / 陳伯榆

國內個人資料保護法( 以下簡稱個資法) 施行屆滿週年，這一年來看似無風無雨，仍有些個人資料外洩案例與事件引起大家的廣泛關注與探討。如果再仔細分析，這些國內個人資料外洩事件與判例，可以做為各行業個人資料保護的借鏡。

話說許多專家學者常列舉日本個資法施行後三年的案例大爆發週期，警示國內政府與產業來格外重視個人資料保護的重要性。從某些私下訪談中，也發現不少產業以為是種威嚇的觀點，甚至態度觀望不言而喻。目前並無任何分析佐證，國情文化差異可以將日本狀態，套用到國內個人資料外洩模式。但是提高警覺並適度改善，進而讓政府企業將個人資料保護延伸到機敏性資料保護的價值，是不否認的課題，相關的案例與訴訟也不少，這是我在第二個章節會特別提出的觀點。這樣的防護模式，才可讓企業主更重視相關保護規劃，以及提高個人保護的雙贏效果。

  1. 中小型企業對個資法的因應與契機
  2. 因應個資法，我們該導入制度? 還 是該導入產品?
  3. 「檔案」為單位加密與「AP」為單位加密的差異
  4. 客戶導入資安產品最重要的三步驟
  5. 循序漸進，老闆也能掌握內部資安
  6. IT人的價值，不是只有技術好
  7. 淺談個人資料保護法與內部控制
  8. 嚴格管控履歷資料，保護應徵者
  9. 企業如何防止智慧型手機洩密
  10. 個人資料保護法 保障的究竟是個人？還是企業？
  11. 個資法實施 公司內部因應之道 Step by Step

子分類

零信任