企業資安應該安內還是攘外？淺談資安的劍宗與氣宗。

若要說起在黑色產業鏈內目前最主流的賺錢手法，莫過於使用Ransomware勒索軟體的攻擊了。我們知道勒索軟體的攻擊手法是透過惡意程式植入到電腦內部，感染系統的加密元件，將內部所有文件資料進行加密後，抽離金鑰，達到勒索的目的。坊間針對此種攻擊手法已經有對應的處理措施了，有的企業透過加密的行為來判斷該加密是人為還是惡意程式的感染進而阻擋，有的企業則透過端點偵測回應（EDR, Endpoint Detection and Response）的手法，透過入侵指標（IoC）分析比對每個端點的行為，更有廠商透過時下最流行的機器學習手法（Machine Learning）學習每個端點行為的規律性，如果有違反過往過濾的行為（Baseline）時，則立刻就地正法，如同金庸小說筆下的各大門派一樣，各有千秋，應接不暇。

然而在現實中，若要論資安，可立劍宗、氣宗兩派，劍宗強調以透過資安技術與工具進行威脅的防禦，每一種技術都有其獨到之處，可圈可點，而當遇到事件威脅時，使用資安工具的防禦更是不可或缺，頓時各企業資訊人員紛紛投效劍宗做法，畢竟，能夠解決威脅是務實之道。但是威脅總是不斷突破，是否有強大的防禦設備與技術就可以抵禦威脅？近幾年我們看到一銀遭駭事件或是遠銀遭駭事件，許多金融、政府單位紛紛淪陷，讓人不禁納悶，究竟是資安技術永遠邪不勝正？還是預算永遠趕不上威脅的缺口，需要盲目的投入呢？

講完了劍宗，我們來聊聊氣宗，氣宗強調以管理面實施資安的防禦，以人為本，落實合規稽核，從新版個資法，資安專法、PCISDSS、ISO27001、GDPR...等，都是強調管理面的重要性，也是站在資安長（CISO, Chief Information Security Officer）的角度去經營企業的資安戰場，畢竟大部分的資安事件發生，都是來自於「人」以及「管理面」的問題，以長遠的資安策略來看，氣宗的做法，才是長久之道。

資安的策略規範，需要企業長時間的遵守與執行，如果一間企業內的員工對於公司內部的資安策略只是虛應故事，資安規範無法從上到下落實，那氣宗所建立的內功，就形同虛設，不攻自破。

完善的資安策略需劍氣合一，並全員身體力行

去年RSA Conference Singapore，筆者有幸前往拜會各家廠商取經，RSA主席Rohit Ghai提出一個資安界的新名詞「Precise Security」，Rohit Thai指出，在過往資安分析人員與資訊長（CIO, Chief Information Officer）及資安長一直缺乏完善的溝通，如同劍氣兩宗，一邊看到的是技術威脅面，一邊看到的是風險管理面，雙方無法互相配合溝通。因此，若要完善的建立好企業的資安機制，應整合劍氣兩方的優勢，兼收並蓄，不限一端，從底層分析人員上遇到的資安威脅進行風險量化，並將量化的結果與整體資安環境的影響做關聯分析，讓CISO能夠面向整個企業的資安威脅，做出妥善的決策，如此才是最正確的資安管理模式。

精誠資訊資安團隊部門今年已成立20年，其中精誠資安中心更幫助了許多企業在面向駭客攻擊威脅時提出最完善的資安顧問建議，服務的單位包含了金融、政府、教育、企業等大型客戶，透過數據解析其客戶組織內部的價值與風險，並以職人精神，將所有的服務與規劃做到最好，是您數位轉型、商業智能化（AI）的最佳首選夥伴。

了解更多 企業資安解決方案 http://tw.systex.com/cybersecurity/

精誠資訊 資安中心

李文謙 Jason Lee

電話：02-7720-1888 分機1095

Email：jason_lee@systex.com