漫步在云端资安新战场.ppt

* 雲端運算的風險 組織與政策 技術 法律 歐洲網絡與資訊安全部 The European Network and Information Security Agency (ENISA) * 資安風險 不做風險評估的資安，就是威脅及恐嚇 資安風險：潛在威脅利用弱點對資產造成影響的可能性 風險 (Risk) = 潛在威脅 (Threats) x 弱點 (Vulnerabilities) x 影響 (Impact) * 風險評估矩陣 * 組織與政策 喪失管理權限 使用雲端基礎設施，客戶端必須將某些關鍵資料的控制權移轉到雲端供應商，從而影響安全性。同時，供應商可能無法提供滿足客戶需求的服務水平協議(SLA)承諾，也將形成安全性落差。 * 組織與政策 鎖定(lock-in) 目前仍缺乏工具、程序、標準資料格式或服務介面，以確保資料、應用系統及服務的可攜性。使用者將無法轉換雲端服務供應商，甚至無法回到原來企業內部使用的系統環境，這將導致過於依賴特定廠商的服務，你願意承擔這種風險嗎? * 組織與政策 適用性風險(法規或標準) 轉移到雲端後，認證公司可能面臨以下風險 1.如果雲端服務供應商不能提供證據證明自己遵守有關規定? 2.如果雲端服務供應商不允許客戶對其稽核? 這意味著使用公有雲的服務，將可能無法達到某些法規或標準的要求 * 組織與政策 惡意的內部人員 雖然平時不太可能，但由惡意的內部人員造成的損害可能往往更大。雲端架構某些必要角色將有極高風險。如系統管理員和託管安全服務提供商。 * 技術 資源獨立性問題(ISOLATION FAILURE) 多租戶和共享資源是雲端的特點，但也相對隱含一些風險，包括無效的獨立儲存、記憶體、路由機制，甚至共用資源的租戶聲譽（例如，跳板攻擊）。當然，攻擊資源隔離機制仍比攻擊傳統系統少很多，但一旦發生問題，影響將更大。 * 技術 不安全或不完整的資料刪除 雲端的儲存架構，將使資料更難以刪除，也許副本資料仍存在其他磁碟，多用戶共享磁碟的結果，如未完整刪除資料，沒人知道是否有被復原的風險?(陳姓藝人送修筆電引發的風暴!!) * 法律 資料保護 雲端運算同時對使用者及供應商帶來資料保護的風險，在某些情況下，使用者可能難以確認供應商對資料處理方式是否合法。特別是在不同雲端之間傳送資料，供應商是否提供相關資訊及證明，將是選擇供應商的重要參考。 * 責任是無法外包的 考慮採用雲端服務時，應先與使用用傳統服務的風險互相比較，並非所有風險都可轉移到雲端服務商，假如因為風險而導致服務中斷，損害商譽，恐怕沒人可以為你承擔損害，切記，工作可以外包，責任(可歸責性，accountability)是無法外包的。 * 雲端運算資安架構 * 雲端運算服務資訊安全評估 * 雲端運算服務資訊安全評估 選定採用雲端服務的種類 確認相關資料與應用程式的重要性 進行整體風險分析 尋找合適業者 定期追蹤考核 * 結語 從分散獨立的資訊服務系統轉移到雲端的架構確實可以獲得許多好處，例如降低成本、更有彈性、有效率的使用IT資源等等，但是，雲端的隱私及安全也不容忽視，不確定性會讓使用者對風險及隱私有所質疑，藉由市場競爭可以建立一個更加安全雲端。 雖然一些不確定性威脅總是存在於網絡世界，但透過明確的法規和大家的合作，未來還是可以享用雲端的優點。 * 結語 就像人們因為信任而將收入存款存放在金融銀行單位的道理一樣，即使雲端運算的觀念逐漸被企業所接受，採用的關鍵仍在於「信任」，尤其伺服器與儲存設備雲端化的效益在於硬體資源的彈性運用，其較為「可見」，然而做為連結服務的關鍵──網路，以及攸關資訊與系統風險的安全需求，所帶出的雲端服務存取速度與可靠性議題，則是企業應用當中更為重要且更需建立的觀念。 * * 結語—鑒古知今，由電力產業推論資訊產業? 19世紀的電力產業： 工廠自備電力 大電廠出現，並提供電力網後，工廠也擔心輸電線的可靠性，是否有必要冒風險，放棄自己發電? 現在的資訊產業： 企業自備電腦資源(運算能力、儲存空間) 雲端服務公司出現，企業擔心顧客資料、機密資料放在雲端有風險，是否有必要冒風險，放棄IT部門? What do you think ? * * 本個人資料保護生命週期（草案），係參考行政院研考會「電子資料安全參考指引」內容中之「電子資料保護生命週期」，加以修訂！ 係提出一個可供各方討論之框架，以明確表達組織作業需求，廠商亦可根據此一框架，提供符合特定流程需求之解決方案，以利雙方溝通。 以上純係個人之淺見，提供業界先進討論，最終亦應以行政院研考會修訂之版本為準。 個資法第七條第十五條第二款及第十九條第五款所稱書面同意，指當事人經蒐集者告知本法所定應告知事項後， 所為允許之書面意思表示。 惟此舉將會增加作業成本，不利於電子