資安人主題式月刊-201305

《主題式電子月刊— 2013.5 月》｜如您無法瀏覽完整頁面請按此 !

資安服務上雲端正夯
掌握評估原則享受即時防護

當雲端運算在四、五年前開始盛行時，當時有遠見的供應商暢談雲端運算的遠景、對未來 IT 產業的改變等，佔盡媒體版面，卻也因為系統的穩定度不夠，出過幾次包，如 Google 或 T-Mobile 。此後隨著技術成熟、廠商經驗的累積後，更多型態的雲端服務被推出，使用者在選擇前也應更仔細比較，如微軟推出 Office 365 後已公開其資安作法，此外使用者愛用各種雲端儲存服務，也應先看清服務條款。若選擇國外雲端服務商，還應注意法規問題。

雲端上的安全不是廠商說了算，許多第三方組織如雲端安全聯盟 (CSA) ，或美國聯邦政府都已針對雲端服務供應商制訂安全準則。安全，是企業決定是否上雲端的重要考量。而在此風潮下，資安服務也紛紛上雲端，本專題透過雲端資安服務的效益分析、台灣市場面的觀察，以及美國聯邦政府 FedRAMP 架構的介紹，提供深入的訊息參考。

雲端資安服務起飛從郵件代管開始

由於具備經濟、簡化佈署、彈性調整、即時防護等優勢，雲端資安服務漸受歡迎，包括郵件安全服務、網站安全、 SIEM （資安事件管理）、弱點管理、程式碼檢測、身分認證與單一登入供應商等都是熱門的雲端服務，而供應商也端出更高的可用性與第三方驗證，證明系統放在雲端比在自家安全。

雲端資安服務成熟度用證照或稽核方式來評估

無可否認的，雲端服務的成功已讓整個資訊環境結構徹底改變，現在已經不需要去討論雲端服務會不會曇花一現，甚至連哪些區塊的雲端服務會熱門目前也都已成形。本文想討論資訊安全雲端服務 (Security as a service or SECaaS) 的優缺點，日後，當我們考慮要採用這些服務的時候，就可以從這些角度來分析怎麼做決策才會最合理。

美國聯邦雲端運算安全標準三大步驟安全在雲端

FedRAMP 提供對雲端產品以及服務做安全評估、授權方式、以及持續監控的標準方法。 FedRAMP 除了提供與政府做生意的雲端廠商一個安全標準評量，目標也著眼在避免重複的檢核過程、降低成本、增加效率，讓第三方的安全檢驗組織可以代替政府檢核通過與否。在這個架構之下建立起的資料，可以重複使用在持續監控的流程中，達成前述的目標。

導入雲端、推動雲端先建立可信賴的環境與標準

標準技術規範與安全資訊環境是雲端運算推廣的基礎，以新加坡為例，新加坡政府雲端策略以建構相容性規範與安全資訊環境為主軸，推動政策包括政府部門私有雲互通規範、雲端服務供應商清單…等。

步入雲端山區請攜帶資安指南針

企業轉向雲端運算架構，希望藉資源共享降低成本，然雲端運算服務對於資安影響不小，有賴企業與業者共同討論，並且要求改變，雙方才能互相學習求進步。

資料在雲端？談雲端儲存的安全性議題

本文將探討公有雲端儲存系統所會遇到的各種安全性議題，同時也會介紹目前相關的技術，最後以筆者的看法作個總結。

稽核人員的 "Cloud Aware"

在國外，每一個雲端稽核的服務提供商在他們的服務合約中，都有所謂的可稽核權力 (Right to Audit)；也就是說今天在客戶使用這個雲端服務前，客戶有權力可以先對該雲端服務廠商的安全性做稽核，當符合後再使用服務。

掌握雲端風險公雲廠商現身說法

2011 年許多的調查s一致指出企業 CIO 對於私有雲的偏好遠高於公雲，對於公雲服務（ IaaS 、 PaaS 、 SaaS ）仍有高度疑慮，尤其是安全性。但另一方面，以市場規模成長性來看，公雲服務的成長幅度將遠高於私雲的建置。

更多關於雲端服務主題文章

在家自修你也可以是數位鑑識達人

本教學光碟深入說明資安事件範例與免費工具逐一介紹，希望能培養單位內 IT ／資安人員擁有資安事件緊急應變能力，能在第一時間內按照正確處理程序，保存相關資訊與做好數位證據保全，了解哪些是單位人員該做的，哪些是可找外部專家協助的部分。請至活動網址下載訂購單，資安人科技網會員享 8 折優惠價 1099 ，數量有限，敬請把握！