 |
安全 １／３ |
| |
根据国内对强暴案件的研究数据指出，约会强暴与熟识者强暴约占所有强暴案件的６５％。过去一直误导女性大众谨防「陌生人」，其实「熟识者」才是性侵害犯案的大宗。
当大部分的公司与机关将安全重点放在防范外来攻击者，部署防火墙、入侵防御等安全解决方案时，根据美国统计，只有约３０％的攻击与破坏是来自於外来攻击者，却有７０％的入侵及破坏是来自於内部网路。当企业完成『资安整体解决方案』建置时，真正避免的安全隐忧可能不到三分之ㄧ。
|
|
资讯安全 VS 工业安全 |
| |
在工业社会对於工业安全是相当重视的，毕竟任何的操作失误或疏忽导致工安意外时，轻则造成伤亡，重则厂房全毁。今年９月初发生外包清洁工在清洗水泥搅拌车时，因为没有依规定将搅拌车熄火，而随後到的工人没有注意到有同伴进入搅拌桶内，误触开关导致在内部清洗的工人当场被绞成肉酱。资安事件或许不像工安意外会造成身体或生命的损伤，但却相对的造成经济及信誉的严重损失。在工业时代，遵守工业安全规范是绝对必要的；资讯的安全可能还需要更多的教育以及规范的遵守才能成熟。
|
|
资讯安全 VS 国家安全 |
| |
资讯战是一场『宁静战争』，随时随地都在发生。当一个国家迈向资讯化的同时，风险也随之而来，不论是国防、经济都因为机密资讯窃取变得容易而使风险也变大了。所以美国设有国土安全部(DHS)搜集情资，并监控及管理国家的资讯网路，而美国境内的资安厂商也提供国土安全部资讯顾问及警报系统的支援。甚至连被认为『不够安全』的微软，在 2003 年也与国土安全部签订一项为期五年的授权，成为国土安全部主要的技术供应商。
|
|
骇客技术 VS 骇客竞赛 |
| |
骇客技术似乎成为许多技术人员炫耀与引以为傲的『专业能力』。骇客竞赛则是骇客组织间的狩猎游戏，设有游戏计分、排行榜等，基本上没有商业目的，纯粹只是技术的炫耀（含蓄的说法∶安全技术交流）。只是电玩大赛还设有奖金及媒体的采访与转播，相形之下的骇客竞赛就得靠资安公司炒作一番才上得了媒体版面。骇客组织获得炫耀的目的、资安公司赢得销售的佳绩。双赢？
|
|
实战技术 VS 技术研究 |
| |
Ｆ１车神舒马克未必有多好的数学能力去计算各种转弯的角度，也没有研究数据去支持他的开车方式够快，但从一次次的实战成绩证实，舒马克的开车技术是毋庸置疑的。
防盗器厂商设置实验室研究各种防盗技术，开发各种新式防盗产品来防范窃贼，不过防盗器厂商永远不怕没生意。不论什麽防盗器，窃贼总是能够偷到东西。
|
|
非关技术 |
| |
诈骗集团利用刮刮乐、中奖、退税等手法，每年骗得不少钱 (如果股票可以公开发行的话，EPS 应该非常高) 。令人惊讶的是，诈骗集团成员的学历虽然不高，沟通合作与协调能力却很好。虽然没有什麽高科技或高技术的人才，照样能够让各阶层的人把钱一笔笔的送过去。不论是国家机密、业务机密、资讯机密等等，可能只需要利用高明的社交工程 (Social Engineering) 就可以让全部的安全防范措施破功。
|
|
学校没教的事 |
| |
许多的「安全管理人员」虽然受过技术训练，却从未受过管理道德的教育。心术不正的管理者可以轻而易举的读取及变更使用者的档案(包括电子邮件)，甚至将上司或同事的电子邮件复制一份以偷窥私密，窃取信用卡资料。公司机密成为管理人员对朋友及同学炫耀的资讯，造成资讯外 。不道德的内部管理人员比木马、病毒更可怕。
|
|
安全问题 |
| |
『技术、架构、解决方案』虽然能够治标，解决基本的安全问题，但若能够经常的『沟通、教育、遵守规范』，才能治本。既省钱又安全。
资讯技术人员容易在『沟通』上出问题，因为习惯透过电脑来进行沟通，没有充分的互动，导致许多不必要的问题发生。以『问路』这件事来说，技术人员会上网找电子地图，相信电子资讯；业务人员除了在车上放地图以外，还会向路边的商家问路，避免因地图绘制疏失产生的错误而跑错方向。
当平时需要使用电脑的员工被教育正确的安全意识及观念，能够辨识可能的安全问题时，便可以避免因为「不知道」而发生的安全灾害，网路防御的强度当然会增强。
对於使用电脑及网路的工作者来说，当『资讯安全』不再是知识，而是常识。『安全规范』不是用来遵守的，而是一种习惯时，就如同司机不止要会开车，还会听路况，遵守号一般的平常时，才最基本的『安全』。
本文作者: 蔡铭桔
本文刊登於 资安人杂 13 期 (2004 Oct)
|
资讯安全的安全问题