一般大眾稱為「資訊安全」，業界通常簡稱為「資安」，資訊安全是用來保護網路、電腦、系統和資料等各類資訊，以避免有機密性的資訊未經授權的進入、使用、披露、破壞、修改、檢視、記錄及銷毀，部分資訊或訊息可以揭露(如: 系統維護時間、公司簡介)。企業若想在數位化時代具備競爭力，就必須了解何謂資安、資安現今重要性、資安防範方式，愈早將安全機制融入基礎架構和產品生命週期中愈好，如此便能確保擁有主動且反應迅速的安全機制。

隨著時代變化，現今台灣人上網率高達85-90% ，包含社群軟體、線上購物、瀏覽各式各樣網站、進行金流相關操作……等，過程中一個個人疏失、個人資安意識不足，就有機會使個人資料外洩、帳號密碼外洩、公司營業祕密外洩…等，進而導致財產損失，且這僅是影響資訊安全一部分，所以做好資訊安全就是做好作戰準備，這是身處現今科技時代的企業，應有的認知與覺悟。影響資安的因素做下列三種分類：

(一)軟硬體異常
系統運作主要是靠硬體、軟體、網路設備來達成，硬體故障、軟體異常、設備異常或網路斷線等問題，都有一定程度造成系統的損害。例如ibon訂票系統當機無法正常運作時，將使消費者無法訂票或取票。

(二)自然災害
台灣主要災害類型，有氣象災害、海象災害、地質災害、地震災害等，嚴重災害高機率造成電腦系統全面性破壞，且無定期做好資訊安全的防護工作，發生時將會嚴重威脅公司營運。例如，放置設備的機房發生火災時，且無定期做系統、檔案備份存放在其他地方，未來會面臨系統難以回復及資料永遠遺失的風險，同時公司名譽也將面臨巨大挑戰。

(三)人為故意、失誤

1. 資安最難預防的威脅來源是內部人員蓄意所為，主要目的有員工基於惡作劇、對公司不滿積怨已久、方便行事、獲取不法利益或其他不法之目的等，進而侵入、破壞、竊取電腦之軟硬體系統。例如公司前員工利用職權之便，竊取老東家客戶資料，並另創公司，獲取不法之利益高達4100萬。
2. 人為失誤也是威脅資訊安全的一項嚴重因素，像是人為作業疏失，公告未遮蔽個人資料檔案、作業員輸入錯誤、以真實個人資料為文件範本，提供外部人員下載、一般權限可存取管理員資料或存取他人個資、，這些疏失可能造成部份資料遺失、機敏資料外洩、惡意攻擊或資料內容的錯誤等問題。

制定資訊安全管理措施並加以執行是保護企業資安的重要關鍵，如下圖所示，有四個面向是企業可以導入的資安措施，分別為:權限及存取管理、員工管理機制、災害應變管理、軟硬體安全管理，每個面向又可分為以下細項。

權限及存取管理
避免系統管理員安全設定不足，防護措施如下：

• 同仁帳號權限管理措施
• 資料傳輸管制措施
• 內/外網路存取管控措施
• 門禁管控措施
• 電腦系統之存取控制

員工管理機制
避免不良使用習慣、資安意識不足之員工，防護措施如下：

• 電腦媒體之安全管理
• 資訊安全教育訓練
• 使用者身分辨識
• 簽署保密切結書
• 強化同仁密碼，建議8碼以上

軟硬體安全管理
避免開發人員資安意識不足而導致系統及軟體具有資安漏洞，防護措施如下：

• 軟硬體資產盤點
• 系統、主機及網站定期漏洞修補、更新、弱點掃描、滲透測試
• 於電腦安裝防毒軟體
• 限制安裝軟體權限
• 架設防火牆

災害應變管理
避免當自然災害發生且無相對應措施，導致財物及商譽損失的情形，防護措施如下：

• 系統、網路狀態監控
• 資料備份、異地備援
• 定期災害復原演練
• 網路設備有備援機制

駭客攻擊手法日新月異，再加上使用者習慣與主管的資安認知不足，若發生資安事件要追朔是一個非常困難的問題，且花費的成本金額龐大，企業應建立資安要求規範、定期評估資安措施，並訂定資訊安全監控與事件通報的責任與義務，以防範可能衍生的資安事件。

現代人重度依賴網路，人手一機，無時無刻都在使用網路，已經與網路密不可分。然而各種資訊在網路上傳遞，若其中包含敏感資訊並透過網路上傳輸，又沒有藉由合適的網路架構及防護措施來保護，就很容易被竊取。

近期常常可以看到某某知名企業的重要資訊外流的案例，這很有可能就是網路架構不夠安全而導致。為了協助企業能夠更了解網路架構及防護措施的佈建方法，接下來就讓我們從資安的角度來探討合適的網路架構吧!

首先，資安防護最重要的金三角，便是CIA了! CIA分別所代表的是:

1. C（Confidentiality）機密性，確保傳輸資訊時，資訊只被正確的人、時間及地點取得，保障資料的機密性。
2. I（Integrity）完整性，指在傳輸、儲存資訊或資料的過程中，資訊及資料不被未授權的篡改。
3. A（Availability）可用性，指的就是一個系統或服務，不會因為任何因素導致服務中斷及停止。

守護資安黃金鐵三角呢方式很多，如果是從網路架構著手，可以參考以下建議。針對整體網路架構分成外部網路(WAN)、非軍事區(DMZ)、網路管理區、網路紀錄區、實體隔離區、內部網路(LAN)，每個配置都有應注意的內容、適合放置的設備，並依照實際情況劃分成以下部分：

一、 外部網路 (WAN)

二、 非軍事區 (DMZ , Demilitarized Zone)
(1) 主要放置對外服務的伺服器：官方網站、報名系統等相關對外服務。
(2) 因為該區為最容易遭受攻擊的區域，只依實際需求開放特定服務。
(3) 進行此區身分驗證的控管。
(4) DMZ至內部網路使用防火牆進行存取控制。
(5) DMZ遭受入侵時可能藉此進入內部網路。

三、 網路管理區
(1) 主要放置網路管理設備：網路管理系統、認證系統、監控系統。
(2) 網路設備維運應該與路由及服務的網段有所區隔。

四、 網路紀錄區
(1) 主要放置如備份主機與日誌主機。
(2) 網段規劃建議將不相關的設備獨立。
(3) 僅允許日誌存取與管理員連線管理。

五、 實體隔離區
(1) 將特定功能之網路設備使用獨立網段區隔開來。

六、 內部網路（LAN）
(1) 使用內部私有IP，無法從外部直接連線存取。
(2) 使用VLAN區分，不要將所有使用者與伺服器置於同一VLAN。
(3) 使用防火牆控管出入流量。

公司內部繪製網路架構圖，可以有效且快速的釐清與了解相關網路架構、網路狀態與備援狀態。同時應標註對應IP網段、樓層VLAN分隔、各設備位置。並考量網路備援的機制。

除了縝密規畫的網路架構，佈建防護設備也是非常重要的，以下是幾種常見的網路防護設備，介紹如下:

1.防火牆
防火牆的用途主要是管制流量，可以在專用網/公用網、內網/外網之間建立保護屏障，針對符合防護規則的連線行為予以放行，不符合的連線行為則會加以阻擋

2.入侵偵測
入侵偵測（IDS , Intrusion-detection system） 則是會尋找不應存在的流量，專門尋找來自駭客的流量，這類裝置採被動方式運作，它們會監視網路進出的流量然後將可疑流量記錄下來，IDS也分成網路式IDS（NIDS）與主機式IDS（HIDS）

• • • NIDS通常是連接到一個 TAP 裝置或交換器的 SPAN 埠。這表示流量可以正常傳送至目的地而不受任何干擾，流量會自動複製到 NIDS 的 SPAN 埠來執行分析。
    • HIDS，則通常會安裝在電腦、平板、伺服器等裝置上。大多數的 HIDS 都不能即時分析流量，而是在事後進行記錄檔案的分析。

3.入侵防護
入侵防護（IPS , Intrusion Prevention System）是IPS屬於主動防護，當IPS發現不合法的流量時，便會主動發起攔截終止惡意的連線。但是相反的，IPS的調校就會顯得特別重要，錯誤不當的設定可能會導致正常的連線也遭到攔截，IPS 必須知道什麼是不要的流量，這需透過特徵檔或自我學習來達成。因此，目前多數的企業大多只導入IDS，將事件寫入紀錄，加上資安事件管理 (SIEM) 系統與事件應變計畫與應變團隊來處理。

4.SIEM平台
SIEM（Security Information and Event Management），是一種可以將各個不同設備所收集之日誌檔案彙總加以交叉關聯分析的平台，從這個平台可以得到有效資訊，例如尋找可能的入侵指標 (IoC , Indicators of Compromise)，並配合應變團隊來快速地進行判斷分析及處置。

在眾多的資安服務中，最適合檢查企業網路架構安全性的服務，就屬資安健診了! 資安健診中包含網路架構檢視、防火牆連線設定檢視等兩項與本文主題相關的項目，只要進行資安健診，就能透過資安專家了解自身網路架構安全性、防護設備連線設定適當性。

總結上述，經過合理的網路架構規劃，搭配前端外部佈置的防火牆、IDS及IPS，搭配內部合理適當的實體隔離與網段區隔，同時將各網路設備的日誌檔統整至SIEM平台加以監控，就能極大的避免與減緩網路攻擊，減少不必要的金錢損失以及商譽。

有鑑於政府機關及企業近幾年遭受駭客攻擊，駭客攻擊手法層出不窮，立法院於107年三讀通過資通安全管理法後，於108年1月1日正式實施，當中有規範機關單位須定期辦理資安健診作業(如表一)。而金融監督管理委員會(簡稱金管會)的電腦系統資訊安全評估管理辦法也有依照電腦系統分級定義(如表二)，以及說明須定期辦理資訊安全評估作業，來強化內部系統資安防護能力。

我們可以發現，兩張表格的重點，都是要求相關單位定期檢視組織資安情況，在眾多資安服務中，最適合進行組織資安整體檢視的，就非資安健診莫屬，究竟資安健診是在做什麼呢?讓我們繼續看下去!

透過健康檢查的概念，替企業診斷系統的風險弱點，可以在資安事件發生之前發現，進而阻止問題發生以避免造成企業不必要損失。

資安健診服務包含：資訊安全風險現況評估、網路架構檢視、網路惡意活動檢視(有線)、使用者端電腦/伺服器主機惡意活動檢視、目錄伺服器設定檢視、防火牆連線設定檢視、政府組態基準(GCB)設定、資料庫安全檢視。

具體進行流程如下圖，專案啟動期會先與客戶確認檢測標的數量，說明作業內容、專案相關資料與需求、範圍並達成共識後，藉由專業的資安團隊，依照自身技術與經驗，透過檢測工具將資料回收後並進行分析，最終產出弱點建議報告。針對報告結果，對弱點提出相關弱點修補及其他管控措施，並定期追蹤檢討。本文將針對常見的「使用者端電腦/伺服器主機惡意活動檢視」進行說明，後續會再進行其他項目的介紹。

一、 更新檢視
檢視使用者電腦或伺服器主機之Microsoft作業系統及應用程式之更新狀況，是否還有使用停止支援的作業系統或軟體，如果主機或伺服器上存有終止服務的作業系統或軟體，即建議用戶停用及立即移除該軟體。這是因為停止支援的作業系統或軟體經常存有許多資安漏洞，如繼續使用容易成為駭客攻擊的途徑。

具體檢視的作業程式即軟體如下:

1. 檢視受測主機之Microsoft作業系統更新情形，若有已終止支援服務，例如作業系統Windows 7 應建議汰換
2. 檢視應用系統之安全性更新

• Office應用程式
• Adobe Acrobat
• Java
• Adobe Flash
• Anti-Virus

二﹑惡意程式或檔案檢視
透過第三方工具檢視使用者電腦及伺服器主機檢測是否有潛在惡意程式或檔案，檢視項目包含活動中的潛藏惡意程式、駭客工具程式及異常帳號或群組，根據行為特徵依照風險等級進行分類，將具有可疑程式再做進一步確認。

資安事件頻傳，除了提升企業資安基本防護能力外，若儘早將企業內部已知弱點修補以及做好事前預防措施，並加強資安意識宣導，則可避免造成公司之重大損失。

如何防範資安事件發生，建議企業可參考以下作法：

• 定期更新作業系統、應用程式版本。
• 安裝防毒軟體並且定期更新病毒碼。
• 避免使用網路芳鄰進行檔案分享。
• 不要點擊來路不明的連結、網頁及郵件，避免不小心安裝到惡意程式及個人資料外洩。
• 關閉主機上非必要開啟的 Port。
• 加強權限帳號存取管控。
• 導入端點威脅偵測(EDR)防護，可即時偵測端點主機上異常活動，能在攻擊發生前進行阻擋並持續監控。
• 對於軟體版本過舊，請將版本進行更新，如軟體或軟體版本已終止支援服務(EOS)或生命週期結束(EOL)，建議尋找替代軟體，並停止使用。

國際標準組織ISO就在今年2022年10月26日公告最新版ISO/IEC27001:2022，距前一次ISO/IEC 27001改版已相隔9年(前一版為ISO/IEC 27001:2013)。

在ISO/IEC 27001已施行多年，為目前國際上最廣泛採用之資訊安全管理制度標準規範，我國從的金管會金融資安行動方案，要求各金融業遵循資安規範；2017年資通安全管理法公告施行，要求A、B級公務/非公務機關要通過ISO/IEC 27001驗證作業；以及因應這幾年駭客攻擊手法的改變，上市櫃公司不斷發生資安事件，金管會於2021年開始規範上市櫃公司，在「公開發行公司年報應行記載事項準則」，要求公司年報揭露資通安全管理作為與資安事件因應，以及環境、社會及治理(ESG)方面的行動。

由此可知資安即國安的重要性，從初期的金融業、政府機關，到所有的上市櫃公司，產業資安已經發展成為公司營運所必備的，相關的法規精神都是從ISO/IEC 27001概念延伸，因此ISO/IEC 27001的轉版對各產業勢必有相當多的衝擊及影響。

保華資安股份有限公司總經理游峯鵬表示：

ISO/IEC 27001管理制度已經普遍多年，資安事件仍層出不窮，我們都知道資安沒有100%，但企業導入ISO27001的施行範圍與落實度不足，確實是一個很關鍵的問題，過往企業大都僅以資訊單位為導入與驗證範圍，應重新審視將業務與使用單位也納入施行範圍。在落實度方面，舊版著重在管理面居多，技術面控制措施則由企業自行制定內部資安政策與規範，較沒有一致性的標準強制性要求，新版針對當前網路攻擊手法與型態，新增了11項控制措施進行補強，讓企業更容易依照新版標準強化自身在技術面資安控管，例如資料外洩防護、網站過濾與監視異常活動等，以避免標準流於形式。

駭客手法一直在轉變，破口只要存在就可能被入侵感染，駭客甚至會拉長潛伏期，讓感染範圍更大，要求更多贖金，例如近期的駭客入侵巴基斯坦國家電力監管局(NERPA)網站、藍新金流遭DDoS攻擊、智利政府機關遭綁架勒索軟體攻擊等。建議企業可從導入落實ISO27001資安管理度開始建立資安第一道防線，提升客戶對企業的信任度。

ISO/IEC 27001:2022改版重點彙整及保華資安小叮嚀

1. 標準名稱從ISO/IEC 27001:2013之Information technology – Security techniques – Information security management systems – Requirements調整為Information security, cybersecurity and privacy protection – Information security management systems – Requirements，除原先既有的資訊安全要求外，在2022版更強調了網路安全及隱私保護。
2. ISO/IEC 27001:2013 附錄A原先的144個控制措施也大洗盤，新版改為4大控制主題(組織、人員、實體、技術控制)、93項控制措施，其中新增11個控制措施、更新58個控制措施，並整併24個控制措施。
3. 另外新版也新增了屬性標籤(#Attributes)，每一個控制措施皆會對應到5種不同的屬性值：#1 控制類別Control Types、#2資安特性Information Security Properties、#3 網路安全概念Cybersecurity Concepts、#4執行能力Operation Capabilities、#5 安全領域Security Domains
4. 新增11項控制措施，主要是為了應對當前網路攻擊手法與型態。確保各企業能防範及強化自身資安控管。

• 7威脅情資Threat Intelligence
• 23雲服務的資訊安全Information Security For use of Cloud Services
• 30資通訊技術營運持續整備ICT Readiness For Business Continuity
• 4實體安全監控Physical Security Monitoring
• 9組態管理Configuration Management
• 10資訊刪除Information Deletion
• 11資料遮罩Date Masking
• 12資料外洩防護Date Leakage Prevention
• 16監視活動Monitoring Activities
• 22網站過濾Web Filtering
• 22安全程式碼撰寫Secure Coding

從本次轉版新增項目，ISO/IEC 27001從原先著重在管理面居多，新版重心移至技術面，如安全程式碼撰寫、組態設定等，雖然轉版有3年緩衝期，但建議企業可提早佈局準備，強化技術類型的控制措施。唯有資安走在前，駭客才不會找上門。

跨站腳本攻擊 (Cross-Site Scripting, XSS)，是一種注入型的攻擊型態。當存在這類型弱點，將可以使得任意 JavaScript 程式碼插入到網站頁面中執行以達到攻擊目的，通常攻擊者利用該網頁一些可以與使用者互動的功能如搜尋欄、登入介面等等在 HTML 頁面裡插入惡意程式碼，當使用者瀏覽該頁面時潛藏在 HTML 中的惡意程式碼即被執行從而達到攻擊者的特殊目的如 Cookie 竊取、鍵盤側錄等。

形成 XSS弱點的主要原因是服務伺服器端程式對輸入和輸出之控制不夠嚴謹，以至於腳本輸入後再輸出到前端時被瀏覽器解析成程式碼的一部分執行並可能產生危害。

在資訊爆炸的現在，電腦病毒或是駭客，都從傳統不特定對象的惡意行為，升級針對為企業、學校、政府…等各單位的駭侵攻擊。而這些攻擊行為，也不再是單純地讓企業的電腦癱瘓或是網路中斷等惡意行為，而是轉變為針對企業機密資料的竊取及勒索。這些攻擊常導致企業商譽受損、鉅額財務負擔，甚至是導致營運中斷。為避免前述窘境，企業應擴大資安防護範圍，在網路閘道及端點裝置上佈建軟硬體設備，才能有效降低損害發生的機率。

• 傳統防護需求
  傳統的防護需求較為單純，企業只需透過防火牆規則設定就能達到流量控管、惡意網頁訪問限制，進而達到網路安全控管。

• 現代防護需求
  除了充滿威脅的外部網路，企業大內網串連了辦公電腦、員工筆電、行動裝置…等，一但駭客從某端點入侵成功，就能輕易在內部網路橫行並發動攻擊。再加上供應鏈資安漏洞、員工不慎誤連惡意網頁、下載有毒檔案、員工不當使用USB導致中毒及機敏資料外洩，種種資安威脅都指向「全面性的資安防護」是企業需深思熟慮的重要課題。