美國政府資安人員必備的認證，5月首度引進臺灣

臺灣IT教育訓練中心晨宇資訊總經理黃惠菁表示，為了滿足企業跨廠牌混合式IT環境的資安需求，以及提供一本可以做為實務工作上工具書的教材，晨宇資訊將於5月引進美國政府資安人員都必須取得的資安認證SCNS（網路資訊安全認證）和SCNP（網路資訊安全認證專家），更進階的SCNA（網路資訊安全架構師）將於今年底才引進。

根據美國國防部在2008年再版的DoD 8570準則（DoD Directive 8570）規定，所有軍方、聯邦政府、外事單位、約聘僱、全職和兼職的公務人員，都必須依照工作內容通過SCP（資安認證計畫，Security Certified Program）的3類資安認證考試SCNS、SCNP及SCNA，預計相關人員在2010年必須全數通過該認證。

黃惠菁表示，大多數的IT人員或資安顧問在資安領域上，都只擅長單一領域或產品，甚至有不少資安顧問對於企業面臨的資安問題，往往只會說、但不會做，「對資安人員而言，理論和實做能力，一直很難兩全。」她說。

晨宇資訊此次引進的SCNA和SCNP課程，都是從使用者的角度設計、規畫的。「相較於其他現有的資安認證，SCNA和SCNP是目前臺灣唯一針對跨廠牌、跨平臺、強調上機實作（Hands-on Lab），提供在職IT和資安人員進修的認證課程，」晨宇資訊SCNS、SCNP認證講師張木盛指出，課程內容已囊括目前幾張IT認證的內容，包括微軟的MCSE和MCSE on Security、Linux作業系統安全和防火牆技術、思科CCNA認證、無線網路安全認證，以及入侵偵測系統的設計與設定等。

黃惠菁表示，SCNS是IT專業人員跨入資安領域所必須持有的首張證照，SCNP則提供網路管理者各種實作技能，以便能加強防禦其內部網路安全。這2張證照都非常重視實作，例如SCNS認證課程中的「建置安全的無線網路」，就包含無線網路基礎課程、無線網路安全解決方案、無線網路稽核以及無線網路的信任網路等4大課程，每一個課程中，都有1～7個不等的實作課程。她說，光是無線網路基礎課程中，就有Linksys、Netgear等常見無線網路設備的原理、安裝與設定，也有Ad-Hoc網路原理和設定等實作課程。

每個產品都有不同適用之處和極限，張木盛以多數企業最核心的ERP系統為例，因為ERP是關鍵系統，必須做實體保護，應該放置在有門禁嚴格管控的機房內，接下來就應該從使用者層級判定誰有權限存取哪些資料，做權限控管。接下來，主機系統本身有一些弱點或漏洞，是否能即時和定期更新、修補漏洞，進而做到跨網路的服務層級安全，例如不使用的通訊埠全部關閉。ERP系統若要連網使用，防火牆或代理伺服器（Proxy Server）主要是過濾封包，其設計原理和設定除了必須做到網路安全，也必須重視資料傳輸安全，是否加密、選擇那種加密演算法，這些都是學問。

黃惠菁表示，SCNS和SCNP的教材就是一本平日工作上隨手可查的工具書，相關的設定畫面都清楚呈現，遇到疑難雜症，甚至可以照本宣科、如法炮製一番。晨宇資訊在5月11～15日首度推出SCNS資安認證課程，5月18～22日則推出SCNP資安認證課程，若要取得認證，必須先通過SCNS認證後才能考SCNP；若只是上課，則建議是IT和資安從業人員較為合適。文⊙黃彥棻