一般的常見問題

無論對個人或企業來說，資訊形同一種資產。資訊保安泛指對這些資產加以保護，以求達到機密性、完整性和可用性（C-I-A）的目的。

資訊科技保安一詞並沒有確切的定義，但通常指的是攸關保密性、完整性和可用性之資訊科技基本建設、資訊系統及相關資源的保護。

對資訊科技保安使用系統性的方法，常常是一個好的建議。

實體保安指的是保護硬件、電腦設備和其他資訊科技資產免受外來實體的威脅，例如未經授權的接達、偷竊或遺失在運送到外面場地時的備份媒體。

應用系統保安指的是建立在應用系統裡面的保安措施，以提供安全的電腦環境。一般應用系統的保安措施包括應用系統認證、不同階級用戶的接達矩陣、輸入確認以避免可能產生的應用系統缺點，例如緩衝區滿溢 (buffer overflow) ，以及應用系統紀錄特色 (application logging features) 等等。在應用系統設計階段時，應用系統擁有者應與發展團隊根據應用系統的重要性，還有處理的數據敏感性，共同決定應用系統的保安要求。

以下列出一些可提供幫助的網絡保護指引：

資訊保安管理是一項牽涉預防、偵測、反應程序的綜合體，它是反覆活動和程序的循環，需要無間斷的監控和控制。該循環包括以下活動：

為決定適當的保安標準，機構擁有者應考慮資訊系統和其他資訊科技資產對機構中商業的價值，也應考慮保安事故對機構聲譽和適當地持續業務的影響。通常使用稱為風險分析的工具來確定哪些資產要保護，它們對適當營運 / 機構交易的相對重要性，以及優先順序安排保安保護的排名 / 水平。其分析結果將會清楚地制定入機構的保安標準清單內。

保安政策設定保安規格的標準，並說明了哪一方面是機構最重要的。因此，可視保安政策為必要的基本原則，機構內應處處遵行之，且應符合你的保安要求和機構營業目的與目標。

保安標準、指引及程序是推行和強化保安政策的工具，應詳加說明管理、營運和技術上的議題。這些文件提供詳細步驟和建議，以協助用戶和系統管理員遵守保安政策的要求。標準、指引和程序也許會要求比保安政策更頻繁的覆檢。

保安政策對機構應是有用及可行的，應考慮以下幾點：

制訂保安政策需要積極的支援，和來自不同階級與不同功能之各部門的持續參與，可形成工作團隊或專門小組來制訂該政策。一般而言，該團隊也許包含資深管理層之授權代表、技術人員、操作人員和商業用戶。資深管理層以機構目標和目的為出發點，能提供全面指引、評估和決策訂定，而技術人員能提供技術支援和不同保安技術機制的可行性。商業用戶代表的是可能受政策直接影響的相關系統用戶。第三方顧問有時也會涉入，以覆檢保安政策草稿。

首先，確定制訂保安政策所需人員。其次，製作所有必要活動、所需資源及流程表的計畫。第三，決定保安要求和根據該要求，制訂機構的保安政策。之後，覆檢起草的保安政策，並經不同利益關係者同意。在制訂保安政策之前，該程序會重複數次。

因科技、商業環境和保安標準會隨時間而改變，應定期覆檢保安政策 ( 例如兩年一次 ) ，以跟上變化。

資訊科技保安政策必須說明能被改變的程序和行為，體認每項保安原則皆有例外也是很重要的。盡可能保持政策的彈性，以讓政策長期皆可實行。

資訊科技保安政策主要可包含以下內容：

有了保安政策，所有員工可清楚地了解保護機構內資訊資產及資源時，可被允許及不被允許的行為，這有助提升所有員工保安意識的水平。此外，保安政策提供發展詳細指引和程序的基礎，有助支持對嚴重保安違規事件作出告發的任何決定。

即使保安政策已獲得核准，放置保安政策在適當的地方則是另一回事，其需要一系列的步驟：

保安意識和訓練

保安意識對確定所有相關人員了解風險且接受、採用優質保安作業實務是很重要的。培訓和教育可提供用戶、發展者、系統管理員、保安管理員及任何相關團體推行適當保安措施所需的技巧和知識。

承諾與溝通

除非所有用戶和相關團體承諾將會完全遵守任何一項政策，否則無法全面推行。要確保與用戶和相關人員建立良好的溝通：

強制執行與矯正

這指的是政策推行時的強制執行權力工作，以及違反該權力時的矯正行動。機構應該設定程序，提供即時支援以調查保安違規。

所有團體的持續參與

一項有效力的保安政策也須依賴用戶和企業單位之間持續的資訊交換、諮詢、協調及合作，注入各方面的知識如標準、方法、作業實務守則和其他外部機構來的保安專家，也有助保持最新及恰當的保安政策。

保安評估是評價資訊科技環境的保安狀態，包括網絡和資訊系統。保安管理員或第三方保安顧問通常會使用專門設計來搜尋保安風險和內部主機及工作站漏洞的軟件 ( 稱為漏洞掃描器 ) 。此外，作業程序的適當性也在保安評估中核定。

總而言之，在系統發展計畫的初期或何時會有重大資訊資產及環境變化，都應執行保安風險評估，以確定需要哪種保安措施。因為保安漏洞隨著時間浮現，所以應定時執行保安風險評估，如每兩年一次。

以資訊科技保安政策或標準為基礎來決定現存保護的整體狀態，並證實是否適當地執行現存保護，此過程便稱為保安審計，其著重於決定是否依照資訊科技保安政策來安全地保護現有環境。

在執行保安評估或審計之前，機構應定義保安審計的範圍、可用的預算及評估 / 審計的期間。

保安審計只提供特定時間顯現系統漏洞的簡要印象。因科技與商業環境日新月異，所以不可避免地需要定期和持續覆檢。隨著企業的重要性不同，保安審計也許需要每年或每兩年執行一次。

因保安審計是一項複雜的難題，且需要有技巧和有經驗的人員，所以必須小心計畫。建議獨立且可信賴的第三者來執行審計。視乎內部員工的技巧和被審計的資訊之重要性 / 敏感性，該第三者可以是企業內另一組別的員工或外部審計團隊。

資訊科技保安事故是指資訊系統或網絡的不利事件，且引致電腦或網絡保安於可行性、完整性和保密性方面受到威脅。此事故會能導致數據損壞或披露資料。

然而，例如自然災害、硬件 / 軟件故障，數據線失效或停電等等不利事件通常是排除在外的。

處理保安事故是指一系列的持續過程，監控在保安事故發生之前、發生當時和發生之後的活動。

處裡保安事故開始於計畫和準備適當的資源，然後發展正確程序，以供遵守，例如升級 (escalation) 和保安事故應變程序。

當發現保安事故時，負責人員遵守事前規定的程序來處理保安事故應變，保安事故應變代表著處理保安事故的活動或行動，並使系統回復正常運作，通常會發展特定事故應變團隊以處理保安事故應變。

在事故過後，採取跟進行動來評估該事故，且加強保安保護，以避免歷史重演。計畫和準備工作將相應地檢討及修改，以確保有足夠資源 ( 包括人力、設備和技術知識 ) ，並妥當地定義程序，以便在未來處理類似事故。

當你在網上填寫表格或使用即時通訊工具與不明人士聊天時，切勿在網上分享你的個人資料，包括你的名字、家裡住址、電子郵件地址、身份証號碼、電話號碼等等，除非你有特別理由希望他們知道。當你輸入你的個人資料時，應設置適當的保安措施如 SSL。

在網上送出你的個人資料時，請特別三思，因你個人的資料可能會被使用於其他你未打算過的用途。在傳送和儲存電子郵件之前使用數碼簽署並加密訊息，以保護你的電子郵件。妥善保管你的個人電腦，因其有可能遭受實體攻擊或是遭竊。定期更改密碼並將其保密，且不要使用容易猜到的密碼，如字典上的字。

用戶應該選擇難以猜到的密碼，並盡可能將其保密。在重設密碼之後或收到新密碼時，應立刻更改密碼。管理員應確定每一個新用戶都拿到一個好的初始密碼，而不是使用機構內所有員工都知道的預設密碼。應設定程序來確定只有真正要求密碼的那個人可以得到密碼。在任何時候，密碼都不應該清楚地在螢幕上顯示出來。在儲用戶密碼時，也應使用安全演算法加以加密。

任何時候都應妥善地保護密碼。當儲存密碼於數據庫或伺服器時，應利用如接達控制和加密等保安控制來保護密碼。因密碼是登入系統時重要的憑證，所以當傳送經過不可信或不安全的溝通網絡時，必需把密碼加密。假如密碼加密不可行，應推行其他控制如更頻繁地更改密碼。

你應該考慮以下必做之事：

以下是不可做之事 :

假如你依以下各點來保護你的電腦，你便可以成為一名聰明的網絡用戶：

入侵指的是試圖損害資訊系統的可行性、保密性和完整性的一連串活動。

入侵偵測是發現入侵的方法論，包含外部入侵者侵入系統的偵測與內部用戶濫用系統資源。

防火牆只是整體整合保安系統的一部分，它們有其限制。防火牆無法對所有入侵提出警告，也不能阻止所有保安違規。除非你不斷監控入侵，不然你無法知道你的防火牆能否阻擋所有入侵，但可在策略位置安裝及使用 IDS / IPS ，每天每分每秒持續收集和檢查可疑活動的資訊。 IPS 也提供積極的應變糸系統，以便阻止攻擊來源或減低攻擊所帶來的影響。

入侵偵測系統不能幫助你解決或修理所有保安事故，也不能告訴你究竟是誰攻擊系統或攻擊是如何發生的，以及攻擊者的意圖。它只能提供攻擊來源的資料和產生攻擊的 IP 位址。為了確定真正的攻擊者，你必需分析所有相關紀錄。

防火牆是在兩個網絡之間，強制執行接達控制政策的系統。一般而言，防火牆可以阻擋從網絡外面到裡面的通訊，並准許從裡面的資訊交換到外面的世界，以進行溝通。防火牆也可以提供紀錄和審計功能，以紀錄所有通過的通訊；換言之，防火牆可通過定義接達控制政策來允許或拒絕通訊，以保護內部網絡避免外來的攻擊。然而，防火牆無法保護那些不通過它的攻擊，且不能避免那些包含在網絡通訊裡面的攻擊，如病毒或數據導引式攻擊，因防火牆准許這類通訊 ( 例如網上通訊 ) 。適當的防火牆配置對確保有效的保安保護扮演著非常重要的角色。

互聯網是網絡中的萬維網絡，使用 TCP/IP 協定作為溝通工具。互聯網的連接在增加資訊的接達方面帶來無數的好處；然而互聯網深受重大且普遍的保安問題所苦。

其根本的問題在於互聯網並沒有安全地被設計，許多 T C P / I P 服務對於保安威脅是無力抵抗的，例如竊聽和仿冒，只要使用便利可行的軟件，人們便可以監控和捕捉電子郵件、密碼和檔案傳輸。

互聯網服務需要強大的認證機制和密碼使用機制，而這些機制必須在不同機種之間可以互相通用。查詢互聯網資料或處理交易均需要用戶認證，認證的資料也需要審計和備份，且應妥善加密敏感和個人的數據。

總之，互聯網保安涵蓋廣泛的議題，如識別和認證、電腦病毒保護、軟件執照、遠端接達、撥接接達、實體保安、防火牆推行和其他有關互聯網使用方面的議題。

你應該依據以下各點自行檢查，以找出你機構內的資訊是否安全：

假如以上五項問題都是負面答案，你的機構將可能依然面臨許多保安漏洞的威脅。

當評估是否實施一個安全的修補程式時，應該評估安裝修補程式所帶來的風險。小心地比較保安漏洞所造成的影響和安裝修補程式的風險。此時應要準備其他的補救控制措施，可能包括：

當考慮建立一個健全的修補程式管理解決方案時，除了考慮特定用戶和商業需求 ( 包含產品功能和預算限制 ) 之外，機構也應該將以下各點列入考慮因素：

較少漏洞

有些修補程式管理產品的保安漏洞比其他的產品多，機構應選擇看起來較不可能成為保安漏洞的解決方案，從而減少修補其軟件的次數。首先應先進行一些獨立性的產品確認研究，複雜的產品意味著較多的程式和服務，反而可能會帶來更多的保安漏洞。選擇一個簡單但發展成熟的產品可能比較明智。

系統相容性

有一些修補程式管理解決方案是基於代理程式 (agent-based) 的，而有一些則是無代理程式 (agent-less) ，如果代理程式被安裝到許多電腦上時，機構應該評估對整個系統的影響（例如表現、穩定性和相容性）。

供應商對新保安漏洞的反應

機構也關注解決方案供應商對新保安漏洞之修補及更新的回應速度。

簡易的部署與維持

修補程式管理的解決方案越容易部署和維持，則機構所付出的成本就越低。

審計追蹤

一個良好的修補程式管理解決方案應提供廣泛的事件記錄功能，協助系統管理員更容易追蹤軟件修補和修補程式在個別系統的狀態。