思考資訊安全

一、資訊安全的幾個誤導的觀念:

1. 推動資訊安全會增加工作負擔，並影響組織的正常作業。資訊安全事故不會這麼巧就發生在我身上吧!
2. 資訊安全就是要花錢，一次把錢花夠了，就能建立一套完美無缺的防禦體系。
3. 資訊安全靠產品，只要有功能強大的「防火牆(firewall)」和「防毒軟體(anti-virus)」就夠了。

二、資訊安全的取捨：

1. 資訊完全涵蓋的領域很廣，攻防手法又不停地演進，因此天下沒有絕對完美的防禦。資訊安全是一種取捨(Tradeoff) 。
2. 人力與財力資源有限，因此需要在造成不安全的眾多因素中做取捨，應選擇將資源投資在最容易受到攻擊或是對組織衝擊最大的弱點上。
3. 「安全」和「便利」之間需要做合理的取捨。過度防禦會造成使用者的不便，反而違背資訊科技給人帶來便利的初衷。

三、資安處理程序：

1. 將資安事故的數量和嚴重性最小化。
2. 組建資訊安全事故處理團隊。
3. 定義事故處理計畫。

四、定期資訊安全檢測:

1. 資訊安全檢測，除前次修補與矯正措施成效檢視之外，依據公司紀錄檔進行分析，並搭配相關檢測，確保黑箱與白箱測試之效果驗證。
2. 記錄檔分析
3. 個人電腦抽檢
4. 門禁管制檢測
5. 社交工程檢測
6. 前次修補與矯正措施檢視

五、結論：

簡而言之，要發展資訊安全，企業要先訂下目標，短期到長期，有順序的列出目標清單，建立防禦措施來降低資安風險。