https://newera17031.activehosted.com/index.php?action=social&chash=01e9565cecc4e989123f9620c1d09c09.2117&nosocial=1

觀點

對抗不景氣 EC業者用小錢做資安

2012 / 05 / 18
花俊傑
對抗不景氣  EC業者用小錢做資安

電子商務已經改變了我們的生活,在過去,民眾若需要購買商品,通常要親自到百貨公司、購物商場、街邊商店去交易付款,才能獲得所需的物品。但時至今日,只要人在家中坐,透過無遠弗屆的網路連結,利用手指在網頁上輕鬆點選,再輸入個人信用資料或進行線上轉帳,就可以完成購物,有些商品甚至在24小時內就一定會送達訂購人的家中,這一切在以往的年代,實在是難以想像。

不過,在虛擬的網路世界中,透過線上交易的模式,仍然比不上一手交錢一手交貨那麼容易讓人信任,許多人還是很擔心電腦和網路的安全,所以一直裹足不前,深怕自己辛苦賺取的錢財會受騙消失。

事實上,資訊安全問題的確就是電子商務在推動時的最大阻力,回顧今年6月《資安人》科技網曾經報導過,資策會產業情報研究所(MIC)針對台灣250家中小型網路商店的調查指出,有八成以上的業者曾經發生過資安事件,包括惡意程式攻擊、資料外洩、服務中斷等,其中主要原因來自於業者的資安防護不足、受到外部駭客的入侵,以及硬體設備故障等。

對許多中小型電子商務業者而言,資訊安全更是一項頭痛的問題,因為大型業者需要的防護措施,中小型業者一樣也不可少,可是在資源與人力上面,可以利用的程度就天差地遠,也因此讓他們成為惡意人士想要入侵利用的主要對象。

但是,資訊安全防護的工作就一定要花大錢才行嗎?相信這個答案並不是絕對的,除了需要購置必要的基礎防護設施,如防火牆、入侵偵測系統、防毒系統等之外,透過管理面所建立的安全制度、內部稽核和教育訓練等方式,往往也是強化資安同時又省錢的具體作法,希望透過本文一些可行的建議,能夠協助業者達成兼顧資安與營運的雙重目標。

第一步、了解本身的資安風險

強化資安的第一步,就是要先了解自己到底存在哪些資安風險。基本上,資安風險的產生來自於三個因素的結合,也就是資產、弱點和威脅,對電子商務業者而言,資產至少涵蓋了軟體、硬體、作業人員、支援服務和交易資料,以下就一一來分析探討可能的資安風險(表1):

- 軟體 – 電子商務需要使用的軟體,包括作業系統、應用程式、資料庫等,其可能的弱點則有:系統的安全漏洞未修補、應用程式在撰寫時使用不安全的語法、系統未關閉不需要的功能服務、及資料庫存取控制不夠嚴謹等。這些弱點很容易受到外來威脅利用,像是駭客植入惡意程式、突破存取權限或竊取資料庫的資料(例如SQL Injection),而產生資料外洩的風險。 

- 硬體 – 電子商務所需的硬體設備,包括了伺服器主機、網路設備(路由器、交換器等)、資安設備(防火牆等)、不斷電系統等,這些硬體所存在的弱點,主要來自於未定期實施檢測維護、組態配置不當(例如未變更預設帳號和密碼)、機房缺少門禁管制、環境條件不佳等,所以很有可能受到像是天災影響、設備自然損耗、盜竊、阻斷服務攻擊等威脅,產生硬體故障和服務中斷等風險。 

- 作業人員 –在作業流程中,可能的弱點包括未經訓練的員工(可能設定了懶人密碼或任意開啟釣魚郵件)、不遵守內部作業規範的人員(例如共用帳號密碼或寫在便利貼上),進而受到外部的金錢誘惑或人為疏忽的不當操作,產生客戶資料被盜賣或受到偽冒攻擊的風險。

- 支援服務 – 電子商務需要的支援服務,包括水力、電力、空調、網路通訊等公共服務,以及配合的供應商像是提供線上刷卡機制或代管交易平台的業者、快遞物流業者等,因此可能存在的風險有服務中斷,或是因供應商的資安問題,導致交易停擺或客戶資料外洩等。

- 交易資料 – 交易資料包括了紙本文件和電子檔案,紙本文件的弱點是容易受損和不當存放;電子檔案則有容易被複製和竄改、存取權限不清或控管不嚴等弱點,所以也容易受到天災和人為威脅的利用,而存在著資料外洩、不當利用和資料損毀的風險。

表1、電子商務業者可能的資安風險列表

資產類別 說明 常見弱點
軟體 作業系統、應用程式、資料庫…等 1. 系統的安全漏洞未修補
2. 應用程式在撰寫時使用不安全的語法
3. 系統未關閉不需要的功能服務
4. 資料庫存取控制不夠嚴謹
硬體 伺服器主機、網路設備(路由器、交換器等)、資安設備(防火牆等)、不斷電系統等 1. 未定期實施檢測維護
2. 組態配置不當,如:未變更預設帳號和密碼
3. 機房缺少門禁管制
4. 環境條件不佳
作業人員 即內部員工 1. 未經訓練的員工(可能設定懶人密碼或任意開啟釣魚郵件)
2. 不遵守內部作業規範的人員(例如共用帳號密碼或寫在便利貼上)
支援服務 水、電、空調、網路等公共服務,以及配合供應商 1. 服務中斷
2. 因供應商的資安問題,導致交易停擺或客戶資料外洩…等
交易資料 分成紙本文件和電子檔案二類 1. 紙本文件容易受損和不當存放;
2. 電子檔案容易被複製和竄改、存取權限不清或控管不嚴

資料來源:本文作者整理,《資安人》製表,2011/11

第二步、防止可能的資料外洩

根據以上的分析歸納起來,電子商務業者最迫切需要處理的資安風險,就是資料外洩和服務中斷等兩項問題,而風險處理的方式,最簡單的作法就是從消除弱點著手,降低可能的資安問題發生,建議實施的控制措施如下:

1. 修補資訊安全漏洞 – 對於廠商所發佈的安全漏洞,包括作業系統、瀏覽器、所使用的程式開發工具及資料庫等,都要盡早更新完成,同時也不要忘了有些硬體設備的韌體,也應視需要來進行更新。

2. 確認資訊存取作業 – 電子商務業者的資料流通方式,可透過經常提到的金流、物流、資訊流等三個方向來確認。在金流方面,需要確保線上交易機制和資料傳遞的安全,這方面可要求配合的業者提出安全措施與相對保證,並反映在簽訂的合約之中,說明事件發生時,相關責任歸屬和損害賠償責任。在物流方面,則必須確保僅提供給業者適當的客戶資訊,舉例來說,當商品需要進行遞送時,此時提供的客戶資訊,應只限於姓名、住址、電話等,並不需要提供完整的品名、訂購方式、交易時間及價格等。至於資訊流,則是可檢視目前的作業流程中,是否皆部署了對應的控制方法,例如資料加密、存取記錄(log)等。

3. 進行身分授權管理 –針對敏感資料的存取,應事先申請並獲得主管的授權同意才行;系統的存取權限指派應秉持最小權限原則,而且不任意開放本機管理權限給一般使用者,同時也要定期檢查系統中,是否存在不需要的帳號,例如:已離職員工或開放給外部使用的特殊權限;要求員工必須設定具複雜性的密碼,例如:長度至少8碼以上、且和英文大小寫、數字符號混合,並且規定必須使用唯一帳號,避免共用帳號的問題發生。

4. 定期實施資安稽核 – 或許有一些電子商務業者已經制訂了內部的作業規範,而這些規範是否已經確實執行則是安全管理的重點,這就有賴定期稽核,才能確保管理的有效性,因此,資安稽核肯定是不可或缺的工作項目之一。

第三步、避免營運服務的中斷

對電子商務業者而言,營運過程中充滿了許多不可知的變化和挑戰,一旦不幸發生了資安事件,若是沒有適當的處理和進行災害防阻,恐怕就會擴大成為營運上的危機或災難,造成難以挽回的損失。

因此,無論業者的規模大小,都必須要具備營運持續管理(BCM, Business Continuity Management)的概念,所謂的營運持續,簡單的說,就是在資安事件發生時,採取適當的作法來維持可營運的水準,繼續提供給消費者所需的各項交易服務。

所以,為了在最短的時間內能夠恢復正常的營運水準,業者必須要事先擬定可行的營運持續計劃,其內容至少要包括:

1. 人員職責分配:說明計畫中所列舉的各項工作,究竟要由誰來負責執行,並且指定其職務代理人,同時也要進行計畫中負責及執行人員的教育訓練,以確保計畫實施的有效性,尤其是緊急程序更要讓相關人員熟悉各項應變作為。

2. 計畫啟動條件:說明營運持續計畫的啟動條件是什麼,例如:事件影響的程度、由誰來負責啟動、啟動的程序及流程。

3. 緊急應變程序:說明在事件發生後,人員應該採取哪些應變行動,如何進行通報,並與相關主管單位和支援服務的業者保持有效聯繫。

4. 備援機制:在營運中斷之後,應採取哪些行動,才能在要求的時間內回復到一定的營運水準,並說明相關的備援步驟,像是系統還原、資料回復等。

5. 復原程序:說明需要哪些資源需求,以及採取哪些具體行動,才能完全回復到正常的營運水準,最好是將計畫中提及的各項處理行動,以文件化方式呈現,並說明其優先順序。

 

提早因應個資法要求

隨著個人資料保護法即將正式實施,未來電子商務業者除了持續維護客戶資料的安全和避免外洩之外,對於蒐集個人資料之前的告知義務並獲得當事人同意,以及在利用個人資料時,需要確保它符合當初蒐集目的等,這些都必須加入在電子商務的服務流程之中,並要求相關人員確實執行,這樣才能符合法規的要求。換句話說,法規遵循可能就是接下來要面對的重大風險,建議業者也要提早因應才行。

 

【本文作者現為企業資安從業人員。如您對本文有任何感想,歡迎來信交流:isnews@newera.messefrankfurt.com。】