對抗不景氣 EC業者用小錢做資安

電子商務已經改變了我們的生活，在過去，民眾若需要購買商品，通常要親自到百貨公司、購物商場、街邊商店去交易付款，才能獲得所需的物品。但時至今日，只要人在家中坐，透過無遠弗屆的網路連結，利用手指在網頁上輕鬆點選，再輸入個人信用資料或進行線上轉帳，就可以完成購物，有些商品甚至在24小時內就一定會送達訂購人的家中，這一切在以往的年代，實在是難以想像。

不過，在虛擬的網路世界中，透過線上交易的模式，仍然比不上一手交錢一手交貨那麼容易讓人信任，許多人還是很擔心電腦和網路的安全，所以一直裹足不前，深怕自己辛苦賺取的錢財會受騙消失。

事實上，資訊安全問題的確就是電子商務在推動時的最大阻力，回顧今年6月《資安人》科技網曾經報導過，資策會產業情報研究所(MIC)針對台灣250家中小型網路商店的調查指出，有八成以上的業者曾經發生過資安事件，包括惡意程式攻擊、資料外洩、服務中斷等，其中主要原因來自於業者的資安防護不足、受到外部駭客的入侵，以及硬體設備故障等。

對許多中小型電子商務業者而言，資訊安全更是一項頭痛的問題，因為大型業者需要的防護措施，中小型業者一樣也不可少，可是在資源與人力上面，可以利用的程度就天差地遠，也因此讓他們成為惡意人士想要入侵利用的主要對象。

但是，資訊安全防護的工作就一定要花大錢才行嗎？相信這個答案並不是絕對的，除了需要購置必要的基礎防護設施，如防火牆、入侵偵測系統、防毒系統等之外，透過管理面所建立的安全制度、內部稽核和教育訓練等方式，往往也是強化資安同時又省錢的具體作法，希望透過本文一些可行的建議，能夠協助業者達成兼顧資安與營運的雙重目標。

第一步、了解本身的資安風險

強化資安的第一步，就是要先了解自己到底存在哪些資安風險。基本上，資安風險的產生來自於三個因素的結合，也就是資產、弱點和威脅，對電子商務業者而言，資產至少涵蓋了軟體、硬體、作業人員、支援服務和交易資料，以下就一一來分析探討可能的資安風險（表1）：

- 軟體 – 電子商務需要使用的軟體，包括作業系統、應用程式、資料庫等，其可能的弱點則有：系統的安全漏洞未修補、應用程式在撰寫時使用不安全的語法、系統未關閉不需要的功能服務、及資料庫存取控制不夠嚴謹等。這些弱點很容易受到外來威脅利用，像是駭客植入惡意程式、突破存取權限或竊取資料庫的資料（例如SQL Injection），而產生資料外洩的風險。 

- 硬體 – 電子商務所需的硬體設備，包括了伺服器主機、網路設備（路由器、交換器等）、資安設備（防火牆等）、不斷電系統等，這些硬體所存在的弱點，主要來自於未定期實施檢測維護、組態配置不當（例如未變更預設帳號和密碼）、機房缺少門禁管制、環境條件不佳等，所以很有可能受到像是天災影響、設備自然損耗、盜竊、阻斷服務攻擊等威脅，產生硬體故障和服務中斷等風險。 

- 作業人員 –在作業流程中，可能的弱點包括未經訓練的員工（可能設定了懶人密碼或任意開啟釣魚郵件）、不遵守內部作業規範的人員（例如共用帳號密碼或寫在便利貼上），進而受到外部的金錢誘惑或人為疏忽的不當操作，產生客戶資料被盜賣或受到偽冒攻擊的風險。

- 支援服務 – 電子商務需要的支援服務，包括水力、電力、空調、網路通訊等公共服務，以及配合的供應商像是提供線上刷卡機制或代管交易平台的業者、快遞物流業者等，因此可能存在的風險有服務中斷，或是因供應商的資安問題，導致交易停擺或客戶資料外洩等。

- 交易資料 – 交易資料包括了紙本文件和電子檔案，紙本文件的弱點是容易受損和不當存放；電子檔案則有容易被複製和竄改、存取權限不清或控管不嚴等弱點，所以也容易受到天災和人為威脅的利用，而存在著資料外洩、不當利用和資料損毀的風險。

表1、電子商務業者可能的資安風險列表

資料來源：本文作者整理，《資安人》製表，2011/11

第二步、防止可能的資料外洩

根據以上的分析歸納起來，電子商務業者最迫切需要處理的資安風險，就是資料外洩和服務中斷等兩項問題，而風險處理的方式，最簡單的作法就是從消除弱點著手，降低可能的資安問題發生，建議實施的控制措施如下：

1. 修補資訊安全漏洞 – 對於廠商所發佈的安全漏洞，包括作業系統、瀏覽器、所使用的程式開發工具及資料庫等，都要盡早更新完成，同時也不要忘了有些硬體設備的韌體，也應視需要來進行更新。

2. 確認資訊存取作業 – 電子商務業者的資料流通方式，可透過經常提到的金流、物流、資訊流等三個方向來確認。在金流方面，需要確保線上交易機制和資料傳遞的安全，這方面可要求配合的業者提出安全措施與相對保證，並反映在簽訂的合約之中，說明事件發生時，相關責任歸屬和損害賠償責任。在物流方面，則必須確保僅提供給業者適當的客戶資訊，舉例來說，當商品需要進行遞送時，此時提供的客戶資訊，應只限於姓名、住址、電話等，並不需要提供完整的品名、訂購方式、交易時間及價格等。至於資訊流，則是可檢視目前的作業流程中，是否皆部署了對應的控制方法，例如資料加密、存取記錄(log)等。

3. 進行身分授權管理 –針對敏感資料的存取，應事先申請並獲得主管的授權同意才行；系統的存取權限指派應秉持最小權限原則，而且不任意開放本機管理權限給一般使用者，同時也要定期檢查系統中，是否存在不需要的帳號，例如：已離職員工或開放給外部使用的特殊權限；要求員工必須設定具複雜性的密碼，例如：長度至少8碼以上、且和英文大小寫、數字符號混合，並且規定必須使用唯一帳號，避免共用帳號的問題發生。

4. 定期實施資安稽核 – 或許有一些電子商務業者已經制訂了內部的作業規範，而這些規範是否已經確實執行則是安全管理的重點，這就有賴定期稽核，才能確保管理的有效性，因此，資安稽核肯定是不可或缺的工作項目之一。

第三步、避免營運服務的中斷

對電子商務業者而言，營運過程中充滿了許多不可知的變化和挑戰，一旦不幸發生了資安事件，若是沒有適當的處理和進行災害防阻，恐怕就會擴大成為營運上的危機或災難，造成難以挽回的損失。

因此，無論業者的規模大小，都必須要具備營運持續管理(BCM, Business Continuity Management)的概念，所謂的營運持續，簡單的說，就是在資安事件發生時，採取適當的作法來維持可營運的水準，繼續提供給消費者所需的各項交易服務。

所以，為了在最短的時間內能夠恢復正常的營運水準，業者必須要事先擬定可行的營運持續計劃，其內容至少要包括：

1. 人員職責分配：說明計畫中所列舉的各項工作，究竟要由誰來負責執行，並且指定其職務代理人，同時也要進行計畫中負責及執行人員的教育訓練，以確保計畫實施的有效性，尤其是緊急程序更要讓相關人員熟悉各項應變作為。

2. 計畫啟動條件：說明營運持續計畫的啟動條件是什麼，例如：事件影響的程度、由誰來負責啟動、啟動的程序及流程。

3. 緊急應變程序：說明在事件發生後，人員應該採取哪些應變行動，如何進行通報，並與相關主管單位和支援服務的業者保持有效聯繫。

4. 備援機制：在營運中斷之後，應採取哪些行動，才能在要求的時間內回復到一定的營運水準，並說明相關的備援步驟，像是系統還原、資料回復等。

5. 復原程序：說明需要哪些資源需求，以及採取哪些具體行動，才能完全回復到正常的營運水準，最好是將計畫中提及的各項處理行動，以文件化方式呈現，並說明其優先順序。

提早因應個資法要求

隨著個人資料保護法即將正式實施，未來電子商務業者除了持續維護客戶資料的安全和避免外洩之外，對於蒐集個人資料之前的告知義務並獲得當事人同意，以及在利用個人資料時，需要確保它符合當初蒐集目的等，這些都必須加入在電子商務的服務流程之中，並要求相關人員確實執行，這樣才能符合法規的要求。換句話說，法規遵循可能就是接下來要面對的重大風險，建議業者也要提早因應才行。

【本文作者現為企業資安從業人員。如您對本文有任何感想，歡迎來信交流：isnews@newera.messefrankfurt.com。】