Please enable JavaScript.

Coggle requires JavaScript to display documents.

CH14 資訊管理的安全與倫理 (3-資訊倫理議題(PAPA Model) (2-資料正確性 (1-威脅原因 (1-輸入錯誤 2-軟體開發錯誤 …

- - - - 1-輸入錯誤
        2-軟體開發錯誤
        3-硬體設備故障
    - - 1-重視專業倫理守則
        
        系統精確性仰賴資訊團隊各環節，需建立保護雇主和客戶，認真負責不隱瞞錯誤和潛在風險的倫理觀念。
        
        2-系統開發品質規範
        
        開發時制定和遵守品質認證標準
        
        明定資料品質和系統錯誤容忍度
        
        如CMMI認證制度
        
        3-硬體安全和防範計畫
        
        建立安全、防災、備份、回復的機制
        
        如ISO27001
    - - 1-在成本和系統正確性存在兩難，專案時程、預算有限，往往無法滿足所有安全性。
  - - - 1-數位比實體更容易被複製
        2-網路傳播速度快範圍廣
        
        盜用商業機密
        
        盜用著作權
        
        盜用專利
    - - 1-科技上保護(DRM):
        
        數位內容權利管理，指智財權的擁有者用來控制和管制合法存取有智財權的一切技術。
        
        如PMP阻止沒有授權的撥放器存取有DRM的商品。
        
        如浮水印將擁有者資訊內嵌在數位產品，可被截取出來顯示產品歸屬者。
        
        缺點1: 一但破解立刻廣泛流傳
        
        缺點2: 過了智財保護年限，依然限制使用
        
        2-教育宣導
        
        透過教育形成文化和共識，提升民眾自我約束力，降低侵權。
        
        3-立法保護
        
        美國判決禁止P2P MP3傳播
  - - - 1-法律保護
        
        歐盟通用資料保護法
        
        台灣資通安全管理法
        
        2-廠商自律
        
        廠商公布隱私權政策，由使用者決定同意與否
        
        3-技術保護
        
        加密機制、間諜偵測、阻斷Cookie等
        
        4-員工自律
        
        廠商需強化員工對客戶隱私權的保護
    - - 1-資料文件電子化
        2-依賴電腦
        3-Internel普及且公開
        4-個人上網匿名性
        5-廠商蒐集和儲存客戶相關資料
        
        註冊個人資料
        
        Cookie儲存瀏覽採購歷史
        
        行動GPS、GIS、RFID透漏個人行為
        
        6-廠商整合和分析客戶相關資料
        
        資料倉儲集中儲存使用者資料，利用資料探勘精確分析使用者偏好和行為
        
        輪廓描繪，蒐集個人在網路上的片段資訊，形成整合性更高且能深入了解使用者的技術
        
        例: Choicepoint,整合警方、犯罪、汽車監理站、信用卡、工作歷史等記錄，儲存了完整深入的隱私個資來販賣。
        例: DoubleClick蒐集消費者消費行為和信用卡公司合作，讓匿名消費變成暴露的實名消費
  - - - 1-概念: 保護個人擁有對其本身資訊存取的權利，且規範有分配資訊能力者應負的義務。
        2-威脅: 只相信電腦不會錯，但個人沒辦法存取檢視和更正私人資料，可能造成傷害。
    - - 1-告知/察覺原則(Notice)
        
        任何網站在蒐集消費者資料前，必須明確說明資訊使用政策
        
        蒐集資訊的使用者
        
        如何使用資訊
        
        傳遞給誰
        
        主動還是被動搜尋
        
        自願還是強迫填寫
        
        不提供資訊的結果是甚麼
        
        2-選擇/同意原則(Choice)
        
        資料蒐集者須提供選項讓消費者能自由決定其輸入資料，除了做交易用途外，願不願意做其他用途，或傳遞給第三人使用
        
        3-存取/參與原則(Access)
        
        蒐集者必須提供方便快捷的管道讓消費者能隨時檢視審閱其本身資料的正確性和完整性。
        
        4-安全原則(Safe)
        
        蒐集者必須為蒐集的資料有負責機制，保證消費者資料正確性和安全性，不被第三者取得。
        
        5-強化原則(Enhancement)
        
        FIP必須強化和落實，透過業者本身自律，政府立法管制，也要立法讓消費者因傷害而受到補償的機制。
- - - - 1-網路安全的威脅和攻擊模式
        
        威脅
        
        1-網路安全的服務與目標
  - - - 1-資安防禦機制
        
        保護
  - - - 1-資訊環境和背景
        
        2-Internet開放性:
        Internet的開放性和公開技術，讓有心人能夠無孔不入，近年行動網路和IOT提供更多可以入侵的節點
        
        5-犯罪工具容易潛伏隱藏:
        如程式碼中的邏輯炸彈，可以長期潛伏，等到適當時機爆炸，根本無從追查和蒐證。
        
        1-企業電腦網路化:
        企業資訊系統電腦化，不需要入侵實體的組織內部作業，透過電腦就可以輕鬆輕易取得資產和資訊
        
        6-法律周延性不足:
        法律無規範且辦案者沒有資訊知識，無法可辦無能偵辦的狀況
        
        3-匿名性與距離性:
        因網路犯罪不容易留下辨識身分的證據，而且證據容易消滅和偽裝證據，助長犯罪行徑和手法
        
        4-網路犯罪速度快、容易複製、波及面大
        如病毒容易大量複製和擴散，而且幾秒鐘內就可以進行電腦破壞、盜取金錢、竊取資訊，破壞性大於傳統犯罪
      - 2-系統漏洞和弱點
        
        3-網路軟體:
        Mail Server/File Server等設計初期也沒考慮嚴密安全機制，產生漏洞，Google Play的APP也潛藏許多病毒
        
        4-管理制度
        組織沒有制定周詳的資安教育、政策、管理、入侵偵測、存取控制，所以產生漏洞
        
        2-通訊協定:
        早期訂定初期沒有考慮到安全機制，運行多年存在許多弱點
        
        5-人員
        因為不同動機容易有內神通外鬼的問題，最常也最難防的漏洞
        
        1-作業系統
        Windows/Linux/iOS/Android/IIS/SQL等，本身都有安全性漏洞，眾多電商平台都使用這些系統和服務易癱瘓和洩漏資訊
    - - 1-較無特定對象
        
        4-社交工程
        駭客利用人性，如同情心、好奇心、求知心、貪心、恐懼引誘使用者點進惡意網站，進而感染病毒、木馬、間諜、勒索等軟體。
        
        5-挖礦木馬
        在網站內嵌挖礦程式，進入後自動執行挖礦的JS，大量消耗使用者CPU來挖掘虛擬貨幣，一堆殭屍幫忙挖礦
        
        3-網站釣魚
        虛設或仿冒的網站，用超低價或免費贈品吸引人登陸個資或採購商品，釣出受害者的信用卡資訊、金錢交易、個人資料等，入口點經常是社交工程。
        
        6-間諜軟體
        快速繁殖，且能且能巧妙混進PC的合法廣告軟體，帶來的傷害不如其他大但會側錄鍵盤、側錄網頁瀏覽資訊並代發大量垃圾信等，
        
        2-木馬
        又稱後門，不合法的程式透過偽裝依附在合法的程式，造成系統程式或應用程式被更換，主動從內部回傳個資或企業機密給犯罪者
        
        7-Web2.0和社交網站攻擊
        社交網站集中許多使用者互動，一但被發現漏洞，攻擊者可以快速利用和影響大量使用者，第三方小遊戲小程式開發者也容易竊取隱私。滾雪球
        
        1-病毒
        一種可執行元件能自行複製，而且有潛伏期，經由電子郵件或其他網路媒介傳播，可以刪除檔案、更改資料和鎖定系統服務。
        
        8-行動病毒
        包含行動勒索、行動木馬、行動挖礦、行動釣魚等，
        如行動勒索LeakerLocker，藏在桌布、系統優化、電話錄音等AP，使用者一下載就被勒索。
        如Google Play簡訊軟體藏有SonicSpy病毒，已感染1000多個APP，會偷錄通話、音訊，竊取個資，自動傳簡訊給指定目標。
      - 2-特定對象
        
        3-勒索軟體
        威脅或謊稱電腦已經中毒，或是將硬碟資料轉成亂碼，必須線上支付贖金或購買解毒軟體否則硬碟資料會被全數刪除，或解碼。
        攻擊大企業、醫院、政府等付得起贖金又無法承受出錯的組織。
        
        4-進階持續滲透攻擊
        針對特定組織，進行持續性、複雜且多元的攻擊，可能持續數天甚至更長時間，用社交工程、木馬、弱點掃描、針對性入侵，竊取重要情資或是財產
        
        2-變臉攻擊
        商務電子郵件入侵，針對具有撥款能力的企業財務主管，透過入侵高階主管或供應商的郵件，通知財務主管轉入駭客帳戶，是目前投資報酬率最高，程序最簡單，獲利最高的攻擊，但前提是駭客要夠熟悉。
        
        5-水坑攻擊
        針對特定對象經常瀏覽的網站，植入惡意程式，等目標造訪後趁機感染並竊取資料，如波蘭金融監管單位KNF遭植入惡意JS檔，導致多家銀行被開後門
        
        1-DoS(阻斷服務)
        用極大流量封包塞爆網站伺服器，癱瘓網站或系統，造成系統停止服務或是產生延誤的攻擊方式，如郵件炸彈塞爆郵件伺服器，大量http請求癱瘓Web Server
        
        6-魚叉式釣魚
        特定對象的網路釣魚，例如某些大型公司或銀行的高階或財務主管
        
        7-IOT病毒
        物聯網裝置被入侵，如攝影機。
        如美國一家賭場的水族箱水質水溫感測器被駭，駭客藉以聯入賭場網路系統，取得賭場交易資料。
        另外，如果是心律調節器等有關人身安全的裝置，影響非常可怕。
        
        8-雲端運算攻擊
        網路犯罪即服務，鑽研雲端服務API漏洞弱點，有效的部屬遠程攻擊，適當時機可以產生大範圍而且深度的攻擊如竊取和控制。
    - - 2-數位簽章
        
        1-加密機制
        
        1-加密: 將原始文件轉成亂碼，並需要Key才能解密，包含倒置、穿插、前後對調等轉換運算，需要特定的key和程式才能解密。
        2-Key: 一長串文字數字符號組成，文件搭配不同的key有不同的轉換方式形成不同亂碼。
        3-對稱式加密: 傳統加密法，買賣雙方持有同樣的Key加解密，稱為密鑰，主要問題是企業要管理不同客戶的不同Key，成本很高。
        4-非對稱式加密: 又稱PKI 公鑰的基礎設施，使用公鑰加密後，可以用私鑰解開，用私鑰加密，也可以用公鑰解開，公私鑰是一對的。
        資料用公鑰加密，直到資料傳給擁有私鑰的對象手上，才能被解密
        
        2-數位簽章(DS)
        
        1-利用PKI機制來保護資料傳遞的隱密性和不可否認性的安全機制
        
        碎映函式(Hash Function): 將任意長度的訊息映射程固定長度的數值(128bits)，而且是多對一映射，無法從輸出還原輸入的訊息
        
        數位簽章:
        用傳送方的私鑰加密這個128bits的摘要，形成數位簽章。
        接收方收到數位簽章後，利用傳送方的公鑰來解密。
        如果解密後的原始文件算出的簽章和收到的簽章不同，則表示收到的文件損毀或遭竄改。
        由此可確認身分的不可否認性和資料的完整性。
        
        電子認證中心(CA)
        有公信力的第三方，如財團法人、銀行、信用卡公司，審核申請電子憑證的公司或消費者，提供公私鑰，主要提供發放、儲存和管理註冊者的電子證書。
        
        X.509的憑證包含: 有版本的編號、序號、CA、CA的數位簽章、憑證的owner、憑證公鑰等，才能在EC上交易
      - 3-數位信封和傳輸層安全性協定(TLS)
        
        1-數位信封: 速度較快但安全性較低的對稱式加密的密鑰對大量資料加密，再用PKI來加密這個密鑰，即TLS。
        
        2-TLS(Transport Layer Security)，前身是SSL，廣泛運用在瀏覽器、郵件、即時通訊等，以及HTTPS(Google, FB)，流程:
        
        Client向Server請求建立Session
        
        Server將電子憑證傳送給Client
        
        Client Browser產生一組隨機密鑰，TLS利用這組密鑰加密交易資料(如訂單，信用卡號)，再用Server公鑰加密這個密鑰成為信封
        
        Client將密文和信封傳給Server
        
        Server先把用私鑰解密信封，再用解密信封得到的密鑰用來解密交易資料，完成交易
      - 1-防火牆
        
        2-技術架構
        
        封包過濾型: 根據封包Header，以及企業制定的策略，決定封包合法性，如屏障式路由器。
        
        代理者型: 含有兩張網卡，一張連外網，一張連內網，資訊傳輸時經過代理伺服器的應用程式檢驗合法性，也被稱為應用閘道。
        
        3-基本目標
        
        過濾封包阻止入侵
        
        集中式管理門戶
        
        過濾系統安全政策所禁止的服務
        
        保護企業內網避免受外網入侵
        
        外部使用者存取高機密檔案，可記錄並通知管理者
        
        調節網路流量
        
        1-是甚麼?
        防止外部網路的威脅延伸到組織內部網路，防火牆介於兩者中間檢查傳輸合法性，保證安全
        
        4-主要問題
        
        無法提供全面性保護，無法檢查每個封包，否則網路效率會極差形成瓶頸。
        
        無法提供資料隱密性，防火牆未加密，所以內網傳遞的資料無法做到點對點資料隱密性(點對點透明)
        
        無法認證資料來源，不知道Header資訊是否和來源一致且合法
        
        無法預防內部威脅，防火牆只對外，無法防禦內部入侵
        
        無法保護不經防火牆的網路連接，PC可以透過不同Port或不同方式連網避開防火牆。
    - - 3-資料完整性
        
        1-威脅: 資料竄改、刪除、破壞
        2-防護: 加密系統、數位簽章
      - 4-授權存取控制性
        
        1-威脅: 不合格的使用者
        2-防護: 合格的系統軟體，通行密碼，防火牆，侵入偵測系統
      - 2-身分認證性
        
        1-威脅: 冒名交易及傳送
        2-防護: 身分辨識碼、數位簽章
      - 5-不可否認性
        
        1-威脅: 否認發送資料
        2-防護: 數位簽章
      - 1-安全隱密性
        
        1-威脅: 竊聽、竊取、洩密
        2-防護: 加密系統、數位信封
    - - 2-預防威脅
        
        1-手法: 提升本身的安全控管措施
        2-目的: 避開犯罪入侵、削弱和阻止入侵
        
        4-系統的開發與維護
        
        開發和維護階段就要將資安機制內建在系統中
        
        利用資安機制耗損入侵者資源達到削弱和阻止入侵
        
        5-安全軟體的利用
        
        基本層級: OS嵌入安全軟體，限制特定帳號對特定資料庫和檔案的存取方式，如使用者密碼確認、檔案讀寫執行功能的指定等。
        
        中等層級: DBMS嵌入安全軟體，限制特定資料庫欄位的新增修改和存取，提供資料庫的存取統計紀錄，強調未經授權的存取。
        
        高等層級: 限制交易功能的存取控制，提供完整的稽核紀錄，深入對安全危害的報表。
        
        3-軟體與資料的存取控制
        
        控制對資訊的存取: 業務需求和安全需求要有適當的安全控制
        
        防止未經授權的存取方式
        
        防止未經授權的使用者存取
        
        6-密碼的利用
        
        2-網路安全
        
        防火牆: 利用網路協定，通訊埠，網路位址阻擋由外到內的威脅
        
        入侵偵測: 針對網路層已知特徵進行偵測，如果有未經授權、不符合安全政策等活動，就將事件記錄下來。
        
        防毒軟體: 依照病毒碼資料庫偵測並阻擋威脅。
        
        1-實體與環境安全
        
        實體的存取控制: 經由識別卡、生物辨識、按鍵組合、多重認證
        
        入侵偵測: 利用運動感測、接觸感側、門窗感應來偵測入侵
        
        24X7監視: 透過人員或遠端監控來達到全天無休的監視
      - 3-偵測威脅
        
        1-手法: 有效的紀錄和辨識入侵者
        2-目的: 發掘潛在的入侵風險和稽核偵查入侵記錄
        
        2-病毒掃描
        防毒軟體針對已知病毒特徵來比對進入HTTP，SMTP，FTP的網路封包，在被感染前阻擋病毒，需要不斷更新病毒碼。
        
        3-稽核日誌
        系統稽核日誌提供電腦活動的使用特徵，管理者定期檢查日至，偵測未授權的活動，需要管理者本身具備入侵活動確認的能力
        
        1-入侵偵測
        針對可疑的存取和使用特徵發出警報通知安全人員，偵測系統可以追蹤內部網路通話和搜尋攻擊特徵。也可以連結監視系統，一但發現入侵就通知管理者。
      - 1-嚇阻威脅
        
        1-手法: 提高制裁的確定性和嚴厲性
        2-目的: 警告你不要入侵
        
        3-資產風險等級
        將公司資訊資產(資訊記錄、系統、人員、流程)的重要性做分級，不同等級給予適當保護；
        第一級是組織關鍵的任務流程(如銀行存放款作業)
        第二級是機密性的資訊資產(如公司商業機密)
        第三級是注重資料完整性的資產(如訂單資料)
        以及其他較低優先權的資產
        
        4-明訂員工安全角色
        明訂員工個人資安應扮演的角色，讓員工瞭解其責任和行為
        
        2-懲處條款
        明確且嚴厲的刑罰可有效嚇阻大眾的非法行為。
        
        5-資安教育
        提升資安意識，告知入侵和破壞造成的負面效益
        
        降低人員因錯誤、偷竊、詐騙所造成的風險。
        
        確保員工瞭解資安威脅和顧慮，使其具備支援組織資安的能力。
        
        可經由適當管道回報安全問題、弱點。
        
        1-資安政策
        目的: 明確和廣泛陳述組織資安願景和方向，形成組織共識，定義合法和非法的行為，嚇阻內部員工入侵意圖
        
        6-資安組織架構
        資安推動需要有對應的組織架構來推動，負責資安的單位需要能涵蓋組織各單位，全面建立、監督和管控。
        工作包含：建立政策、資安教育訓練、資安專案管理、資安系統發展維護、監督系統使用、檢討不當使用的結果。
      - 4-回復損壞
        
        1-目的: 降低傷害、快速回復運作
        
        1-企業永續運作管理
        當組織遭遇天然或人為災害，須建立正確步驟流程以及充分備分資源確保企業在第一時間恢復營運，將損失降到最低。
        如中了勒索病毒，企業可以快速從備份資料回復運作並排除威脅
        
        3-懲處流程
        一但發現入侵者，組織的懲處活動有三種: 不懲罰，內部懲罰(申誡、停職、罰款、開除)，外部懲罰(報案、訴訟、起訴、定罪)。
        
        2-資安事件處理
        當組織遇到天然或人為的安全事件，為了降低損害所採取的流程，包括專案團隊成立，組織結構設計及備援，回復報告流程，人員的工作職掌，處理的標準流程以及演習等。
      - 5-整合流程(圖14-15)
        
        預期入侵
        
        嚇阻
        
        企圖入侵
        
        預防
        
        成功=未成功入侵
        
        成功入侵
        
        1 more item...
        
        成功=未企圖入侵