CYBERSEC 2021 臺灣資安年鑑 | 被動收入的投資秘訣 - 2024年8月
![](https://www.books.com.tw/img/001/089/61/0010896151.jpg)
CYBERSEC 2021 臺灣資安年鑑
資安絕地大反攻:新一代主動式資安防禦概念來了!
掌握近期企業重大資安事故,有助於企業了解即將面對的各種挑戰以及如何因應
好評推薦
◎在這本資安年鑑當中,我們精選了幾個特別報導,希望能夠讓大家思考「資訊安全零信任」的必要性──李宗翰∕iThome電腦報週刊副總編輯
作者簡介
iThome電腦報週刊編輯部
iThome電腦報週刊長期報導企業資訊應用與技術發展,是臺灣資訊類雜誌中發行量最大者
資安成國安戰略,推動資安即國安2.0版
落實總統政見,數位發展部最快2022第一季掛牌
資安不只是核心戰略產業,更要讓所有產業重視資安
2020資安重大事件回顧
2021年資安趨勢預測
iThome 2021 資安大調查
正視資安框架的價值
Line提出全面向資安,以技術、文化、人為主軸
目標式攻擊瞄準供應鏈脆弱環節,該如何因應?
遠端桌面連線深陷資安危機
Zerologon 資安風險大解析──AD網域滲透漏洞衝擊企業安全
因應量子運算時代的加密防護需求,PQC脫穎而出
MITRE Shield重新定義主動式資安防禦
無密碼身分保護應用大爆發
金融犯罪持續演進,行為風險的應對成為臺銀行業者的當務之急
臺灣資安新創躍上世界舞臺,展現產品技術研發實力
工研院剖析臺灣資安產業新商機:遠端資安管理與協作整合
坦然面對與改善產品資安議題,臺廠苦練PSIRT成市場新競爭力
SolarWinds 攻擊震驚全球,臺灣資安研究員提出深入解析
微軟Exchange漏洞研究與通報歷程大公開
作者序
早在2018年,我們曾製作《零信任!重新定義資訊安全模式》封面故事,針對這個當時很多人仍然相當陌生,但已推動了9年的資安概念,整理出發展歷程。
這幾年以來,隨著各種資安威脅的層出不窮,像是惡意軟體、網路釣魚、進階持續性威脅(APT)、商業郵件詐騙(BEC),以至令人聞之色變的勒索軟體攻擊,甚至牽涉到B2B的供應鏈攻擊,已讓大多數使用者與企業逐漸體認到:唯有抱持著零信任的態度,才有可能因為這種步步為營、近乎偏執狂的謹慎,而倖免於難。
對比今昔,市面上,出現了更多資安廠商打著零信任的旗幟。例如,最初是次世代防火牆廠商倡議;在兩年前我們報導時,看到雲端服務廠商、特權帳號管理系統廠商、身分存取與驗證系統廠商,會提及零信任;而到了更近期,則有網路管理系統廠商、檔案內容威脅解除與重組系統(CDR)廠商,分別從網路存取控制系統(NAC),以及端點預防系統等角度切入零信任,甚或是因武漢肺炎,而暴紅的安全存取服務邊緣解決方案供應商(SASE),也都在主打這樣的議題。
iThome在今年5月舉行的臺灣資安大會,主題定為:「TRUST : Redefined 信任重構」,同樣希望各界在這段期間能夠親自來到會場,與廠商與社群的資安專家,一起來探討「信任」與「零信任」。例如,本次臺灣資安大會特別設立了「零信任論壇」,而在製造業資安與其他論壇,也都有幾場相關的演講。
而在這本資安年鑑當中,我們也精選了幾個特別報導,希望能夠讓大家思考「零信任」的必要性,並且從網路威脅的探討、資安漏洞的揭露、攻守策略的規畫,更深刻地體認到過去在相關防護與管理工作的種種盲點,以及對應的解法,而且涉及的領域,涵蓋了一般企業、資安產業、產業資安。
而在《資安教戰守則》系列的文章當中,我們繼續介紹多種資安框架的活用方式,透過專家的導引,讓大家更了解資安框架的組成與規範,更懂得在自身所處的環境當中靈活運用。
特別的是,從Line公司採用全面向資安發展策略的報導,同樣相當值得臺灣企業來借鏡思考,因為他們著重的部分,不只是為了針對自家產品服務用戶的身分登入安全,強化更大的防護力,而是以技術、文化、人為主軸──推動安全開發、主動式防禦與自動化協作等技術,快速安全、外部溝通、開放性與資安品牌推廣等文化,以及發展資安技能開發與研究等人員層面的提升。
近年來,Line的版圖不斷擴增,不僅是整合行動支付、購物的平臺,2019年還聚焦在AI與Line Bank等發展,而該公司的資安對策也同樣持續擴張,到了2020年,他們提出更全面的新戰略。 在資安防護的作法上,Line過去Line就時常公布其資安作為,例如,他們在內部重視安全軟體開發生命週期(SSDLC),近期也將機器學習用於防護情境,此外,也揭露本身的BITBOX加密貨幣交易所資安架構等,在在說明了他們是如何做好企業內部防護,以及產品與服務的資安防護。 特別的是,2020年他們特別提出了一套全新資安戰略,稱為Omnidirectional Cyber Security(暫譯為全面向資安),該公司資安團隊資深經理市原尚久指出,這是以技術、文化與人為核心主軸,可歸納他們在資安作為的10個重點項目,舉例來說,當中包括:技術面的安全開發、Security by Design、主動式防禦與自動化協作;文化面的快速安全、外部溝通、開放性與資安品牌推廣;以及人員面的資安技能開發與研究。 為何新的資安策略要這樣畫分?市原尚久解釋,為了讓用戶能放心使用他們提供的服務,贏得用戶的信任是關鍵,但由於Line漸成為社會上重要的基礎設施服務,因此,他們需要建立多個全面向資安,才能實現到此一目標。 顯然,這10大項目的推動,不只是突顯了他們專注發展的資安層面,並期望在這樣的防護策略下,可以讓他們的資安防護作為,帶給用戶更多信任。 提出全新的資安策略規畫是大方向,但Line在2020、2021的資安布局,有何新動作? 首先,強化網路服務登入安全,是他們在2020年開發者大會強調的一大重點。 以Line的登入機制而言,他們先前就著墨不少,包括遵循OAuth規範,以及Open ID驗證規範,後續也發展無密碼Passwordless登入──包括在PC上使用QRCode登入,以及在Line內建瀏覽器開啟Line服務網頁可自動登入的機制。