一般的常见问题

无论对个人或企业来说，资讯形同一种资产。资讯保安乃指对这些资产加以保护，以求达到机密性、完整性和可用性（C-I-A）的目的。

资讯科技保安一词并没有确切的定义，但通常指的是攸关保密性丶完整性和可用性之资讯科技基本建设丶资讯系统及相关资源的保护。

对资讯科技保安使用系统性的方法，常常是一个好的建议。

实体保安指的是保护硬件丶电脑设备和其他资讯科技资产免受外来实体的威胁，例如未经授权的接达丶偷窃或遗失在运送到外面场地时的备份媒体。

应用系统保安指的是建立在应用系统里面的保安措施，以提供安全的电脑环境。一般应用系统的保安措施包括应用系统认证丶不同阶级用户的接达矩阵丶输入确认以避免可能产生的应用系统缺点，例如缓冲区满溢 (buffer overflow) ，以及应用系统纪录特色 (application logging features) 等等。在应用系统设计阶段时，应用系统拥有者应与发展团队根据应用系统的重要性，还有处理的数据敏感性，共同决定应用系统的保安要求。

以下列出一些可提供帮助的网络保护指引：

资讯保安管理是一项牵涉预防丶侦测丶反应程序的综合体，它是反覆活动和程序的循环，需要无间断的监控和控制。该循环包括以下活动：

为决定适当的保安标准，机构拥有者应考虑资讯系统和其他资讯科技资产对机构中商业的价值，也应考虑保安事故对机构声誉和适当地持续业务的影响。通常使用称为风险分析的工具来确定哪些资产要保护，它们对适当营运 / 机构交易的相对重要性，以及优先顺序安排保安保护的排名 / 水平。其分析结果将会清楚地制定入机构的保安标准清单内。

保安政策设定保安规格的标准，并说明了哪一方面是机构最重要的。因此，可视保安政策为必要的基本原则，机构内应处处遵行之，且应符合你的保安要求和机构营业目的与目标。

保安标准丶指引及程序是推行和强化保安政策的工具，应详加说明管理丶营运和技术上的议题。这些文件提供详细步骤和建议，以协助用户和系统管理员遵守保安政策的要求。标准丶指引和程序也许会要求比保安政策更频繁的覆检。

保安政策对机构应是有用及可行的，应考虑以下几点：

制订保安政策需要积极的支援，和来自不同阶级与不同功能之各部门的持续参与，可形成工作团队或专门小组来制订该政策。一般而言，该团队也许包含资深管理层之授权代表丶技术人员丶操作人员和商业用户。资深管理层以机构目标和目的为出发点，能提供全面指引丶评估和决策订定，而技术人员能提供技术支援和不同保安技术机制的可行性。商业用户代表的是可能受政策直接影响的相关系统用户。第三方顾问有时也会涉入，以覆检保安政策草稿。

首先，确定制订保安政策所需人员。其次，制作所有必要活动丶所需资源及流程表的计画。第三，决定保安要求和根据该要求，制订机构的保安政策。之后，覆检起草的保安政策，并经不同利益关系者同意。在制订保安政策之前，该程序会重复数次。

因科技丶商业环境和保安标准会随时间而改变，应定期覆检保安政策 ( 例如两年一次 ) ，以跟上变化。

资讯科技保安政策必须说明能被改变的程序和行为，体认每项保安原则皆有例外也是很重要的。尽可能保持政策的弹性，以让政策长期皆可实行。

资讯科技保安政策主要可包含以下内容：

有了保安政策，所有员工可清楚地了解保护机构内资讯资产及资源时，可被允许及不被允许的行为，这有助提升所有员工保安意识的水平。此外，保安政策提供发展详细指引和程序的基础，有助支持对严重保安违规事件作出告发的任何决定。

即使保安政策已获得核准，放置保安政策在适当的地方则是另一回事，其需要一系列的步骤：

保安意识和训练

保安意识对确定所有相关人员了解风险且接受丶采用优质保安作业实务是很重要的。培训和教育可提供用户丶发展者丶系统管理员丶保安管理员及任何相关团体推行适当保安措施所需的技巧和知识。

承诺与沟通

除非所有用户和相关团体承诺将会完全遵守任何一项政策，否则无法全面推行。要确保与用户和相关人员建立良好的沟通：

强制执行与矫正

这指的是政策推行时的强制执行权力工作，以及违反该权力时的矫正行动。机构应该设定程序，提供即时支援以调查保安违规。

所有团体的持续参与

一项有效力的保安政策也须依赖用户和企业单位之间持续的资讯交换丶谘询丶协调及合作，注入各方面的知识如标准丶方法丶作业实务守则和其他外部机构来的保安专家，也有助保持最新及恰当的保安政策。

保安评估是评价资讯科技环境的保安状态，包括网络和资讯系统。保安管理员或第三方保安顾问通常会使用专门设计来搜寻保安风险和内部主机及工作站漏洞的软件 ( 称为漏洞扫描器 ) 。此外，作业程序的适当性也在保安评估中核定。

总而言之，在系统发展计画的初期或何时会有重大资讯资产及环境变化，都应执行保安风险评估，以确定需要哪种保安措施。因为保安漏洞随着时间浮现，所以应定时执行保安风险评估，如每两年一次。

以资讯科技保安政策或标准为基础来决定现存保护的整体状态，并证实是否适当地执行现存保护，此过程便称为保安审计，其着重于决定是否依照资讯科技保安政策来安全地保护现有环境。

在执行保安评估或审计之前，机构应定义保安审计的范围丶可用的预算及评估 / 审计的期间。

保安审计只提供特定时间显现系统漏洞的简要印象。因科技与商业环境日新月异，所以不可避免地需要定期和持续覆检。随着企业的重要性不同，保安审计也许需要每年或每两年执行一次。

因保安审计是一项复杂的难题，且需要有技巧和有经验的人员，所以必须小心计画。建议独立且可信赖的第三者来执行审计。视乎内部员工的技巧和被审计的资讯之重要性 / 敏感性，该第三者可以是企业内另一组别的员工或外部审计团队。

资讯科技保安事故是指资讯系统或网络的不利事件，且引致电脑或网络保安于可行性丶完整性和保密性方面受到威胁。此事故会能导致数据损坏或披露资料。

然而，例如自然灾害丶硬件 / 软件故障，数据线失效或停电等等不利事件通常是排除在外的。

处理保安事故是指一系列的持续过程，监控在保安事故发生之前丶发生当时和发生之后的活动。

处里保安事故开始于计画和准备适当的资源，然后发展正确程序，以供遵守，例如升级 (escalation) 和保安事故应变程序。

当发现保安事故时，负责人员遵守事前规定的程序来处理保安事故应变，保安事故应变代表着处理保安事故的活动或行动，并使系统回复正常运作，通常会发展特定事故应变团队以处理保安事故应变。

在事故过后，采取跟进行动来评估该事故，且加强保安保护，以避免历史重演。计画和准备工作将相应地检讨及修改，以确保有足够资源 ( 包括人力丶设备和技术知识 ) ，并妥当地定义程序，以便在未来处理类似事故。

当你在网上填写表格或使用即时通讯工具与不明人士聊天时，切勿在网上分享你的个人资料，包括你的名字丶家里住址丶电子邮件地址丶身份证号码丶电话号码等等，除非你有特别理由希望他们知道。当你输入你的个人资料时，应设置适当的保安措施如 SSL。

在网上送出你的个人资料时，请特别三思，因你个人的资料可能会被使用于其他你未打算过的用途。在传送和储存电子邮件之前使用数码签署并加密讯息，以保护你的电子邮件。妥善保管你的个人电脑，因其有可能遭受实体攻击或是遭窃。定期更改密码并将其保密，且不要使用容易猜到的密码，如字典上的字。

用户应该选择难以猜到的密码，并尽可能将其保密。在重设密码之后或收到新密码时，应立刻更改密码。管理员应确定每一个新用户都拿到一个好的初始密码，而不是使用机构内所有员工都知道的预设密码。应设定程序来确定只有真正要求密码的那个人可以得到密码。在任何时候，密码都不应该清楚地在萤幕上显示出来。在储用户密码时，也应使用安全演算法加以加密。

任何时候都应妥善地保护密码。当储存密码于数据库或伺服器时，应利用如接达控制和加密等保安控制来保护密码。因密码是登入系统时重要的凭证，所以当传送经过不可信或不安全的沟通网络时，必需把密码加密。假如密码加密不可行，应推行其他控制如更频繁地更改密码。

你应该考虑以下必做之事：

以下是不可做之事 :

假如你依以下各点来保护你的电脑，你便可以成为一名聪明的网络用户：

入侵指的是试图损害资讯系统的可行性丶保密性和完整性的一连串活动。

入侵侦测是发现入侵的方法论，包含外部入侵者侵入系统的侦测与内部用户滥用系统资源。

防火墙只是整体整合保安系统的一部分，它们有其限制。防火墙无法对所有入侵提出警告，也不能阻止所有保安违规。除非你不断监控入侵，不然你无法知道你的防火墙能否阻挡所有入侵，但可在策略位置安装及使用 IDS / IPS ，每天每分每秒持续收集和检查可疑活动的资讯。 IPS 也提供积极的应变纟系统，以便阻止攻击来源或减低攻击所带来的影响。

入侵侦测系统不能帮助你解决或修理所有保安事故，也不能告诉你究竟是谁攻击系统或攻击是如何发生的，以及攻击者的意图。它只能提供攻击来源的资料和产生攻击的 IP 位址。为了确定真正的攻击者，你必需分析所有相关纪录。

防火墙是在两个网络之间，强制执行接达控制政策的系统。一般而言，防火墙可以阻挡从网络外面到里面的通讯，并准许从里面的资讯交换到外面的世界，以进行沟通。防火墙也可以提供纪录和审计功能，以纪录所有通过的通讯；换言之，防火墙可通过定义接达控制政策来允许或拒绝通讯，以保护内部网络避免外来的攻击。然而，防火墙无法保护那些不通过它的攻击，且不能避免那些包含在网络通讯里面的攻击，如病毒或数据导引式攻击，因防火墙准许这类通讯 ( 例如网上通讯 ) 。适当的防火墙配置对确保有效的保安保护扮演着非常重要的角色。

互联网是网络中的万维网络，使用 TCP/IP 协定作为沟通工具。互联网的连接在增加资讯的接达方面带来无数的好处；然而互联网深受重大且普遍的保安问题所苦。

其根本的问题在于互联网并没有安全地被设计，许多 T C P / I P 服务对于保安威胁是无力抵抗的，例如窃听和仿冒，只要使用便利可行的软件，人们便可以监控和捕捉电子邮件丶密码和档案传输。

互联网服务需要强大的认证机制和密码使用机制，而这些机制必须在不同机种之间可以互相通用。查询互联网资料或处理交易均需要用户认证，认证的资料也需要审计和备份，且应妥善加密敏感和个人的数据。

总之，互联网保安涵盖广泛的议题，如识别和认证丶电脑病毒保护丶软件执照丶远端接达丶拨接接达丶实体保安丶防火墙推行和其他有关互联网使用方面的议题。

你应该依据以下各点自行检查，以找出你机构内的资讯是否安全：

假如以上五项问题都是负面答案，你的机构将可能依然面临许多保安漏洞的威胁。

当评估是否实施一个安全的修补程式时，应该评估安装修补程式所带来的风险。小心地比较保安漏洞所造成的影响和安装修补程式的风险。此时应要准备其他的补救控制措施，可能包括：

当考虑建立一个健全的修补程式管理解决方案时，除了考虑特定用户和商业需求 ( 包含产品功能和预算限制 ) 之外，机构也应该将以下各点列入考虑因素：

较少漏洞

有些修补程式管理产品的保安漏洞比其他的产品多，机构应选择看起来较不可能成为保安漏洞的解决方案，从而减少修补其软件的次数。首先应先进行一些独立性的产品确认研究，复杂的产品意味着较多的程式和服务，反而可能会带来更多的保安漏洞。选择一个简单但发展成熟的产品可能比较明智。

系统相容性

有一些修补程式管理解决方案是基于代理程式 (agent-based) 的，而有一些则是无代理程式 (agent-less) ，如果代理程式被安装到许多电脑上时，机构应该评估对整个系统的影响（例如表现丶稳定性和相容性）。

供应商对新保安漏洞的反应

机构也关注解决方案供应商对新保安漏洞之修补及更新的回应速度。

简易的部署与维持

修补程式管理的解决方案越容易部署和维持，则机构所付出的成本就越低。

审计追踪

一个良好的修补程式管理解决方案应提供广泛的事件记录功能，协助系统管理员更容易追踪软件修补和修补程式在个别系统的状态。