普林斯顿版权所有.PPTVIP

*稽核的角色一個資訊管理系統稽核（MISaudit）會檢查公司整體的安全環境，跟控制個別資訊管理系統。安全稽核會檢討技術、程序、文件、訓練和人事各方面。一個徹底的稽核甚至會模擬一次攻擊或災難來測試技術、資訊系統人員和企業員工的反應。稽核會列舉和排序所有的控制弱點，和估計它們發生的機率。評估每個威脅的財務與組織衝擊。**7.4保護資訊資源的技術和工具企業擁有大量的工具和技術來保護他們的資訊資源。包括用來保護系統與資料、確保系統可用性和確保軟體品質的工具和技術。存取控制存取控制（accesscontrol）包含所有公司用來避免未授權的內部和外部人士不適當存取系統的政策和程序。使用者必須通過認證和授權才得以存取。*身分認證（authentication）密碼系統（passwordsystem）。權杖（token）。智慧卡（smartcard）。生物辨識技術（biometricauthentication）。*防火牆、入侵偵測系統和防毒軟體防火牆防火牆（firewalls）可以避免未授權使用者存取私人網路。防火牆是一個硬體與軟體的組合，控制傳入和傳出的網路通訊。防火牆有一些篩選技術，包括靜態封包過濾、狀態檢查、網址解析和應用代理過濾。**入侵偵測系統入侵偵測系統（intrusiondetectionsystems）的特色是，在公司網路最易受攻擊的地方或「熱點」放置全時監控工具，持續地偵測和阻止入侵者。監控軟體在事件一發生就去會檢查，藉此發現正在進行的安全攻擊。*防毒和反間諜軟體防毒軟體（antivirussoftware）是設計來檢查電腦系統和驅動程式是否有電腦病毒存在的。為了保持效用，防毒軟體需要持續的更新。統一威脅管理系統（unifiedthreatmanagement,UTM）為了幫助企業減少成本和改善管理，安全供應商將各種不同的安全工具結合成單一的應用程式，包括防火牆、虛擬私人網路、入侵偵測系統、網路內容過濾和反垃圾郵件軟體。*無線網路安全Wi-Fi使用者記得啟動。幫你網路的服務設定識別碼取一個特別的名字。將Wi-Fi與虛擬私人網路（virtualprivatenetwork,VPN）技術結合使用。無線安全存取標準2（Wi-FiProtectedAccess2,WPA2），是取代有線等效協定更加安全的標準。普林斯頓版權所有*學習目標1.為什麼資訊系統容易被破壞、出現錯誤和濫用？2.安全與控制的商業價值為何？3.在一個安全且受控制的組織架構應包含哪些要件？4.保護資訊資源最重要的工具和技術為何？*波士頓賽爾提克大比分橫掃間諜軟體*7.1系統漏洞和濫用必須優先考量安全與控制的問題。安全（security）指的是政策、程序和技術上的方法，用來避免未授權的存取、更動、偷竊或是資訊系統的物理性損壞。控制（controls）指的是方法、政策和組織性的程序，用來保證組織資產的安全；紀錄的準確性和可靠性；和管理標準執行上的遵循度。*為什麼系統容易受到攻擊*網際網路的漏洞像網際網路這類的大型公開網路，因為是開放給所有人使用，所以比內部網路更容易受到攻擊。由於網際網路相當龐大，一旦發生濫用，其影響的範圍就會非常廣泛。當網際網路成為公司網路的一部分時，組織的資訊系統對外來者的行為就更難以防範。一個固定的網路位址會為駭客提供一個固定的目標。*以網際網路技術為基礎的電話服務若不是在安全的私人網路上執行，則會比交換語音網路更容易受到攻擊。廣泛使用的電子郵件、即時通訊（instantmessaging,IM）和P2P（peer-to-peer）資料分享程式都會增加漏洞。*無線安全的挑戰Wi-Fi的無線電傳輸容易掃瞄。服務設定識別碼（servicesetidentifiers,SSIDs）可用來識別多個無線基地台，會多次在無線網路的環境中被廣播，因而能輕易被監聽程式搜尋到。很多地方的無線網路並沒有對抗駕駛攻擊（wardriving）的基本防護措施，竊聽者可以駕車經過外面的建築或公園，試著去攔截無線網路流量。**惡意軟體：病毒、蠕蟲、木馬程式和間諜軟體惡意軟體程式（malware）包含各類的威脅，像是電腦病毒、蠕蟲和木馬程式。電腦病毒（computervirus）通常是在未經使用者察覺或准許的情況下，將自己依附在其他軟體程式或檔案上，然後等著被執行。蠕蟲（worms），是獨立的電腦程式，透過網路把自己從一台電腦複製到其他電腦。蠕蟲會破壞資料和程式，也會干擾或甚至中止網路的運作。*木馬程式（Tr