9 資訊安全 Information Security: A Managerial Perspective 國立中央大學.資訊管理系 范錚強

Slides:



Advertisements
Similar presentations
97 下學期刑法分則 教學綱要 研究生:范嘉紋製作. 刑法分則 犯罪 財產法益犯罪 人格法益犯罪 社會法益犯罪 國家法益犯罪.
Advertisements

第十章 資訊安全管理 本投影片(下稱教用資源)僅授權給採用教用資源相關之旗標書籍為教科書之授課老師(下稱老師)專用,老師為教學使用之目的,得摘錄、編輯、重製教用資源(但使用量不得超過各該教用資源內容之80%)以製作為輔助教學之教學投影片,並於授課時搭配旗標書籍公開播放,但不得為網際網路公開傳輸之遠距教學、網路教學等之使用;除此之外,老師不得再授權予任何第三人使用,並不得將依此授權所製作之教學投影片之相關著作物移作他用。
Public key infrastructure
預拌混凝土品質管理缺失案例探討 主講人:黃泰聰.
◈ 中小企业需要的所有功能 各种功能,可以永久使用的系统 Ecount ERP 每月$55 库存/销售/采购 生产/成本/利润 会计/资金
第四章 内容提要: 电子商务的安全技术 本章从电子商务的安全要求入手,介绍电子商务的几种安全技术,从而说明电子商务安全问题有哪些,其根源何在、带来哪些风险、如何应用安全技术等。
第5章 电子商务安全 学习目标: 1)了解电子商务对安全的基本需求。 2)理解防火墙的功能与技术。 3)掌握数据加密原理与技术。
電子商務安全防護 線上交易安全機制.
第八讲信息安全技术基础 教学目的与要求: 1.了解计算机病毒的概念及特征 2.掌握计算机病毒的防治 教学重点: 1. 计算机病毒的概念及特征
第10章 信息安全管理.
電子商務:數位時代商機‧梁定澎總編輯‧前程文化 出版
資訊安全.
电子商务基础(第二版).
第一章 会计信息系统 第一节 计算机会计概述.
第二讲 电子商务技术 Internet和www技术(重点掌握) 信息处理技术(重点掌握) EDI技术(熟悉) 电子支付系统(熟悉)
品質查核機制及缺失懲處追蹤 1.公共工程施工品質管理作業要點 2.工程施工查核小組組織準則 3.工程施工查核小組作業辦法 4.查核程序.
第九章 電子金融 2017/3/6.
香港浸會大學 - 全人教育 卓越創新 陳新滋教授 香港浸會大學校長 2011年2月24日.
大綱 基本觀念 安全的重要性 取捨 一些安全防護技術和制度的基本原理 你只需要知道原理 你自己要有因應的措施 企業安全規範 1.
第十章 电子支付.
电子金融 第四章 银行卡 第四章 银行卡 第四章 银行卡.
電子商務 Chapter 電子商務的意義 13-2 電子商務的模式 13-3 行動商務 13-4 電子付款系統
计算机网络 第 7 章 计算机网络的安全.
2013年越秀区十大精品商务楼宇参评资料 中海物业东山广场项目
第七章 医疗质量管理 海尔的质量意识 奔驰的质量意识 反例:秦池酒 《泰坦尼克号》的沉没.
主講:圖資處 薛甘霖 (ISO LA 、BS LA、CEH)
信息安全标准、法律法规及等级保护 温州市继续教育院 -信息安全继续教育培训 陆军波 /
信息安全保障基本知识 培训机构名称 讲师名字.
第五章 电子商务支付技术 本章主要内容: 技术篇 电子支付与电子货币 电子现金、电子钱包、信用卡、电子支票等 支付技术 网上银行与支付网关
06資訊安全-加解密.
建设数字化的卫生监督体系 深 圳 市 卫 生 监 督 所 2006年4月.
第五章电子商务安全管理.
我的狗為何不汪只咩 日本一隻小貴賓狗要七、八萬台幣。很多有錢的女人都想跟電影明星一樣,牽一隻貴賓狗出門炫耀。 有個聰明的男人於是想出在網上賣小綿羊騙錢的把戲。一隻從英國或是澳洲進口的小綿羊只賣三萬多台幣。一下子有兩千多個女人買了小綿羊回家當貴賓犬養。 後來有個電影明星川上麻衣子上電視談話節目抱怨,他養的小貴賓犬不會汪汪的叫也不吃狗食。眼尖的來賓看出蹊蹺,告訴川上他養的是羊不是狗。
第十一章 網路安全 (Network Security)
電子商務 11-1 電子商務概論 11-2 電子商務交易安全與 加密機制 11-3 電子商務交易付費機制
现代标准化与质量管理 主讲:何绍华.
谈一谈: 你的金钱观. 谈一谈: 你的金钱观 中国银行 长城卡 中国工商银行 牡丹卡 中国建设银行 龙卡 中国农业银行 金穗卡.
医学寄生虫总论 (二).
資訊安全-資料加解密 主講:陳建民.
ISO 9000 簡介 駱玫君.
電子商務 E-Commerce 梁榮亮 B
教育部資通訊人才培育先導型計畫 寬頻有線教學推動聯盟中心 第十章 資安事件管理.
資電學院 計算機概論 F7810 第十七章 資訊安全 陳邦治編著 旗標出版社.
電子商務付費系統 講師:王忍忠.
圖學I 第一章 緒論 1-1 工程圖學之意義 1-2 工程圖之種類 1-3 圖紙規格及其折摺法 1-4 工程圖之比例大小
The Issue of Information Security Management 資安管理專題
第四章 電子商務付費系統 電子商務與網路行銷 (第2版).
主講人:黃鎮榮 東方設計學院觀光與休閒事業管理系
資訊安全概論與實務 第二篇:安全架構.
Mailto: 資訊安全的管理面思考 國立中央大學.資訊管理系 范錚強 Tel: (03) mailto:
中油公司推行ISO 14001實例 紀佳雄/中油公司工安環保處 2019年4月8日 黃士滔製作.
為何電子商務的安全性令人擔憂? 電子商務資訊安全 實體商務也擔心安全-但數位化的偽造數量會更多更快
9 資訊安全 Information Security: A Managerial Perspective 國立中央大學.資訊管理系 范錚強
我對資訊管理的認識 資管二德 林雅莉.
恩可埃技術服務有限公司 資安政策 提供優質服務、維護資訊安全 公司通過ISO27001驗證
東海大學106學年度第一學期 實驗或工作場所學生安全衛生教育訓練
電子商務 Electronic Commerce
資訊安全概論 Introduction to Information Security
第4章 电子商务交易安全 电子商务安全概述 电子商务的安全问题 1.卖方面临的问题 (1)中央系统安全性被破坏
Chapter 5 公開金鑰基礎建設 Public Key Infrastructure (PKI) (Part 1)
密碼學 Chapter 4 基於電腦的非對稱性金鑰密碼學演算法
學生學習檔案製作經驗分享 國際貿易實務課程研習 -- 多元升學與技能證照 2010 /04 /30 台中家商
採購契約 報告人:張錦川 日期:97年8月.
醫療資訊安全 郭士民 作者:劉 立.
網路安全與ISMS 期末報告 A 蔣嘉祐 指導老師:梁明章老師.
大學校院校務資料庫 系統操作說明.
依據 奉教育部民國87年11月23日台(八七)社(三)字第八七一三一四八五號函指示:行政院新聞局函請指定國家圖書館為「國際標準錄音/錄影資料代碼(ISRC)」核發與管理之主管機構。
深圳信息职业技术学院《电子商务基础》课程组版权所有
Presentation transcript:

9 資訊安全 Information Security: A Managerial Perspective 國立中央大學.資訊管理系 范錚強 mailto: ckfarn@mgt.ncu.edu.tw http://www.mgt.ncu.edu.tw/~ckfarn 2013.01 updated

大綱 基本觀念 安全的重要性 取捨 一些安全防護技術和制度的基本原理 你只需要知道原理 你自己要有因應的措施 企業安全規範 1

安全威脅有多大? 2010/11年電腦犯罪及安全調查 2007年美國企業因資訊安全問題而衍生的損失,平均高達35萬 (2006: 17萬) 來源:Computer Security Institute (CSI), 15th annual Computer Crime and Security Survey 2010/11 2007年美國企業因資訊安全問題而衍生的損失,平均高達35萬 (2006: 17萬) 近年的財務損失由於安全概念抬頭,有減緩趨勢 (8.9% 用戶) 67.1%用戶受到Malware 攻擊 46.5% 用戶遭受到資訊安全 targeted 攻擊 2

受到的法規規範

企業是否有資訊安全事件 4

有標的的安全攻擊 5

攻擊的種類

資安環境 環境惡劣,你如何自保? 公司資產如何保障? 7

安全的迷思 防止駭客入侵 防止病毒入侵 隔離外來者 … 8

資訊安全的威脅 惡意 非人為、無意 硬體破壞 資料破壞 資料外洩 網路入侵 竊盜、搗毀 自然災害、儲存媒體損毀 資料竄改、資料增刪、系統性更動資料 程式師無能、不小心、遺漏 資料外洩 資料複製、網路截取、詐騙 不小心 網路入侵 竊取資料、破壞、將受侵電腦作為犯罪工具 ── 9

非人為、非惡意的破壞 水災 地震 … 莫非定理:只要可能發生,就會發生 會在最不該發生的時間發生 最壞的情況會發生!! 10

資訊安全的威脅 惡意 非人為、無意 硬體破壞 資料破壞 資料外洩 網路入侵 資料安全不只是MIS的事! 竊盜、搗毀 自然災害、儲存媒體損毀 資料竄改、資料增刪、系統性更動資料 程式師無能、不小心、遺漏 資料外洩 資料複製、網路截取、詐騙 不小心 網路入侵 竊取資料、破壞、將受侵電腦作為犯罪工具 ── 資料安全不只是MIS的事! 11

安全的基本基本觀念 安全不是絕對的 安全是有價的 資訊安全有技術面和人性面 破壞安全者,都是「人」 安全和易用性的兩難 你願意付出什麼樣的代價? 你的安全風險 exposure 有多高? 資訊安全有技術面和人性面 破壞安全者,都是「人」 主要是內部的人 人性!! 12

安全和易用性 想一想,你回家和出門時… 進門需要開十個鎖 出門需要鎖十道門… 你十天之後會做什麼? 風險和安全措施的對稱 13

資訊安全的確保 評估風險和損失 針對可能的威脅加以防護 以技術加上制度(或習慣)來防範 鏈條的強度,是最弱一環的強度 瞭解技術的特性 以技術來加強、以制度來確保 鏈條的強度,是最弱一環的強度 14

你花100萬買了一輛新車 風險和安全措施對稱 請問:以下什麼行動是合理的? 什麼叫合理? 你花了50萬裝了一個防盜設備 你雇用專人24小時輪班看守 你花了3萬買失竊險 什麼叫合理? 風險和安全措施對稱 15

你家附近最近小偷猖獗 是否有效的改善現況? 你太太提議加裝一套新的鎖頭 你檢驗後,發現新鎖頭雖然是你能負擔的鎖頭中最好的,但還是無法保障100%安全 請問,買不買? 是否有效的改善現況? 16

最常聽到的安全管制 密碼 加解密 Triple DES, RSA, … SSL, SET PKI, CA 防火牆 VPN …… 17

想想看…2003年發生的事 花旗銀行的網路信用卡資料洩密案 金資中心的大批密碼外洩案 ATM大批盜領案 進入網頁使用循序碼 程式撰寫不當 委外管理(系統上線的管制)疏忽 金資中心的大批密碼外洩案 人員管理不當 ATM大批盜領案 側錄密碼 18

另外一些實例 你休假、出差,主管和你要你的密碼… 你管理電腦機房,總經理要帶朋友進入 你的部屬將密碼寫在黃紙條,貼在電腦上 你該給嗎?你能不給嗎?你憑什麼能不給? 你管理電腦機房,總經理要帶朋友進入 你該讓嗎?是否要辦什麼手續? 你能不讓嗎?你憑什麼能不讓? 你的部屬將密碼寫在黃紙條,貼在電腦上 你該管嗎?你憑什麼管? 19

安全的「洋蔥」 通訊管制 企業環境 法律環境 保險 安全方案 國際標準 企業體 流程 管制 人事管制 文件 使用者 復原計畫 安全政策 應用軟體 輸入輸出管制 程式 管制 稽核 軌跡 進出管控 隔離 操作管制 硬體 資料 20

一些安全技術的簡單原理 防毒 防止木馬程式 木馬:希臘神話中,特洛依Troy的木馬屠城 加解密 PKI/CA 身份確認 備份 21

防止病毒 電子檔案 病毒碼 電腦程式 防毒軟體 分析檔案 比對病毒碼 修補或隔離 通過檢驗 22

你需要知道的防毒行動 關鍵 來源 你的病毒碼是什麼時候更新的? 檔案、程式、資料的來源是否可靠? 不明來源的儲存媒體(光碟、磁碟等) 新的病毒無法防止 檔案、程式、資料的來源是否可靠? 來源 不明來源的儲存媒體(光碟、磁碟等) 電子郵遞 執行檔、自動執行檔、文件中的巨集(macro) 23

加密解密──一般觀念 例子:我的電話 0916059841 簡單的加密, 乘積 更簡單的方法,猜猜看如何解密? 乘上13—011908777933 我送給你,你除以13就有答案了 更簡單的方法,猜猜看如何解密? 9807797118664201455098988941401426975 9807797118664201455098988941401426975 9807797118664201455098988941401426975 關鍵:我們對加解密的方法需要保密──這世界有絕對機密嗎? 24

對稱式金鑰 S 加密 信息 明文 信息 密文 解密 R 信息 密文 信息 明文 25

一些對稱式金鑰相關的名詞 DES, 2DES, 3DES 軟體加密 硬體加密 56bit, 112bit, 168bit密鑰長度 成本低 消耗電腦資源 硬體加密 速度快 26

電子交易的安全需求 防止機密或敏感性資料外洩 鑑別對方的身分 防止資料被竄改或偽造 防止事後否認 請出示 網際網路 身分證明 我要付款 $$$ 27

兩把鑰匙的觀念 你到銀行開個保險箱 開戶 使用 你安全嗎?為何? 身份確認 取得鑰匙──私鑰 身份確認、使用登錄 行員持公鑰,和你的私鑰一同開啟 你安全嗎?為何? 28

非對稱金鑰 又稱RSA加密 由R/S/A三位學者發明,由數學方式產生一對不相同的金鑰 兩者之間無法經由任何數學運算獲得,必須同時產生 其中之一由私人保存,另一個則公開 經由私鑰加密者,只能由公鑰解密,反過來也一樣 29

非對稱式金鑰,防止外洩 S R公鑰加密 信息 明文 信息 密文 R私鑰解密 R 信息 密文 信息 明文 30

非對稱式金鑰,防止否認 S R公鑰加密 信息 明文 信息 密文 S私鑰加密 R私鑰解密 R 信息 密文 信息 明文 S公鑰解密 31

PKI/CA PKI – Public Key Infrastructure CA – Certificate Authority 公開金鑰架構 利用非對稱金鑰來進行的加解密機制 CA – Certificate Authority 憑證中心:公鑰憑證發行單位 需要有公信力 有層級性的發行單位 32

非對稱金鑰的發行 公鑰憑證 電子文件 事前向有公信 XXXX契約 力的憑證機構 註冊,由其簽 CA簽章 發公鑰憑證。 110111001 發證者名稱 有效日期 持有人姓名 持有人公鑰 事前向有公信 力的憑證機構 註冊,由其簽 發公鑰憑證。 XXXX契約 CA簽章 數位簽章 110111001 X509 (類似印鑑登記) 范錚強 一對一配對 關係 公開供鑑別 簽署者身分 簽章私鑰 簽章公鑰 33

電子認證 憑證 中心 網際服務網 提供服務的企業 接受各界查詢並確認 電子印鑑使用者的身分 核 申 發 請 向認證中心查證 電 線上處理 5 電子文件 接受各界查詢並確認 電子印鑑使用者的身分 0101010101 范錚強 核 發 1 申 請 電 子 印 鑑 2 向認證中心查證 電子印鑑之真偽 4 范錚強 網際服務網 電子 證書 ─提供線上申辦服務 3 線上申請 電子文件 附上電子簽章 范錚強 0101010101 其他企業 15 顧客 34 15 16

一些常用的安全機制 SSL Secure Socket Layer SET Secure Electronic Transaction 35

SSL 利用使用者不需知覺的情況之下,在網路傳輸兩點之間,進行非對稱加密的傳輸安全機制的協定 向銀行請款 密文 SSL 他可靠嗎? 加解密 36

SET 消費者的資料經由電子商店傳遞給發卡銀行,由銀行解密,授權商店接受。電子商店無法讀取顧客的信用卡資料 加解密 向銀行請 求授權 密文 37

SET vs SSL 易用性決定! SET 較為安全 兩大國際信用卡組織(VISA, MasterCard)皆支持SET 38

問題:你不用網路,信用卡資料就安全了嗎? 你是否使用傳真授權表買機票?付旅行團費? 你是否在餐廳把信用卡交給店小二? 他幫你到櫃臺結帳 你是否在加油站將信用卡交給工讀生? 他幫你拿到另一個加油島去刷卡 你是否使用信用卡? 你消費的商店裡保存了你的資料 39

個人身份確認 密碼 實體鑰匙加上密碼 生物辨識 身份確認的意義 4碼?8碼?規定定期更改? 指紋、聲音、眼珠、面貌等 資訊存取 稽核軌跡──法律證據 40

個人身份確認2 安全漏洞! 破壞稽核軌跡、無法重現犯罪現場 很多人將密碼寫在容易取得的地方 有很多人將密碼交給主管 以防忘記 甚至不設定密碼 萬一有法律訴訟,請問法院認定誰做了那些行為? 誰負責? 安全漏洞! 破壞稽核軌跡、無法重現犯罪現場 41

SOP怎麼規定的? SOP: Standard Operating Procedure SOP 對洩漏密碼是否有規範? 標準作業程序 SOP 對洩漏密碼是否有規範? 公司是否允許持有大門鑰匙的人,將鑰匙放在公司大門口旁的樹下? SOP 是否允許提供密碼給主管、部屬或代理人? 人工作業如何做的? 42

技術掛帥的環境 重視實體安全、通訊安全 忽略管理面、人性面 幸好… 資訊安全防護在1999/2000年,出現國際標準:BS7799/ISO17799 後來改為ISO27001 43

Information Security Management System (資訊安全管理系統) 英國的資訊安全標準 被國際標準組織接受 內容:資訊安全的管控 從政策、程序、存取、復原等 完整的資訊安全考量 44

ISMS演進歷史 1993:英國貿工部(Department of Trade and Industry, DTI)發展「資訊安全管理實務準則」(PD0005 Code of Practice) 1995:BS7799 標準頒行 1998:BS7799 part 2 標準頒行(BS7799BS7799 part 1) 1999:BS7799 Part 1 & Part 2增修改版 2000:BS7799 Part 1  ISO/IEC 17799 2002:BS7799 part 2 標準改版頒行 2005/06 : ISO/IEC 17799:2005 標準頒行 2005/10 : BS7799 part 2  ISO/IEC 27001:2005 標準頒行 2007/07 : ISO/IEC 17799  ISO/IEC 27002:2005 標準頒行 CNS 27002   BS 7799為英國標準協會(British Standards Institution, BSI)所製訂的資訊安全管理標準,被國際標準組織 (International Organization for Standardization, ISO) 收納成為國際之資訊安全管理標準。而原BS 7799標準分為兩個部份,一為BS 7799 Part1,一為BS 7799 Part2。BS7799 Part1被編納為國際標準「 ISO 17799:Information technology - Security techniques - Code of practice for information security management」,BS 7799 Part2被編納為國際標準「 ISO 27001: Information technology - Security techniques - Information security management systems - Requirements」。而ISO 17799於2007年7月,正式更名為ISO 27002。   經濟部標準檢驗局參考ISO 27002 制定「CNS 27002:資訊技術-安全技術-資訊安全管理之作業規範標準」;參考ISO 27001 制定「CNS 27001:資訊技術-安全技術-資訊安全管理系統-要求事項標準」。CNS 27002是資訊安全管理之參考規範,內容包含11大管控項目(包括:安全政策、安全組織、資產分類與控制、人力資源安全、實體與環境安全、通訊與作業管理、存取控制、資訊系統之獲得發展與維護、資安事故管理、營運持續管理、遵循與稽核)、39個管控目標、133個管控措施。   國家標準CNS 27002「資訊技術-安全技術--資訊安全管理之作業規範」於96年10月24日依據國際標準ISO 17799:2005內容完成修訂,並由經濟部公告。 45

ISO 27001與ISO 27002 ISO 27001:2005為資訊安全管理驗證規範 提供ISMS的建立實施與書面化之具體要求,依據個別組織的需求,規定要實施之安全控制措施。 不是技術標準,而是管理標準。 ISO 27002:2005為資訊安全管理作業要點 主要是作為參考文件,提供廣泛性的安全控制措施,作為現行資訊安全之最佳作業方法。 不作為評鑑與驗證標準。 46

ISO/IEC 27001:2005 附錄A 11個領域、39個控制目標、133個控制項目 A.5 – 安全政策 A.6 – 資訊安全的組織 47

ISO 27001全球現況(until 2009.12) 全球:6,037家通過驗證 台灣:344家通過驗證 48 資料來源 http://www.iso27001certificates.com/

安全管理重點 Process life cycle control SOP Check and balance Recovery 全程的管理和安全確保,而非侷限於技術面 SOP 做你說你要做的事,但你要做什麼?為何? Check and balance 權責分離、制衡 Recovery 萬一出事,如何處理? 49

So What? 對您個人的意義呢? 你負責哪一些資訊資產? 你的有哪些實體安全顧慮? 你有哪些通訊安全措施? 有什麼存取管制習慣? 家用電腦?手提電腦?掌上電腦? 你有哪些通訊安全措施? 有什麼存取管制習慣? 你是否有復原計畫? 備份?備份的安全? 50

結論 安全非常重要,但並非絕對 安全不一定「最」重要 技術面只是「必要條件」 配套的「制度」或「個人習慣」 必須瞭解風險和替代方案 必須瞭解安全計畫的目的 技術面只是「必要條件」 所有技術方案都可能有管理面的破解方法 配套的「制度」或「個人習慣」 51