智勝文化事業(yè)有限公司制作(1)

1、第十五章 資訊管理的功能角色與安全觀點(diǎn)1本章大綱第一節(jié) 資訊部門的角色定位第二節(jié) CEO在MIS上的角色定位第三節(jié) CIO的角色定位第四節(jié) 組織的資訊安全議題 第五節(jié) 防火牆與網(wǎng)路安全第六節(jié) 資訊的加密系統(tǒng)與數(shù)位簽章第七節(jié) 組織整體的資訊安全策略與活動(dòng) 第八節(jié) 國(guó)際資訊安全管理標(biāo)準(zhǔn)：BS77992資訊部門的角色定位資訊部門角色定位的錯(cuò)誤會(huì)影響整個(gè)組織的資訊化方向與績(jī)效。e化時(shí)代，MIS部門應(yīng)有的角色定位為何？與傳統(tǒng)的MIS角色有何區(qū)別？3表15-1 傳統(tǒng)e化時(shí)代MIS角色的比較4CEO在MIS上的角色定位CEO角色的重要性CEO在資訊化時(shí)應(yīng)有的角色與任務(wù)5CEO角色的重要性為何高階主管參與與支

2、持MIS很重要？可歸納下列幾點(diǎn)來說明：IT已成為一種重要的策略性資源只有CEO瞭解策略方向只有CEO清楚外在環(huán)境的變化推動(dòng)IT常有很大的阻力投資IT需要長(zhǎng)期支援文化與風(fēng)氣的形成6表15-2 CEO在e化(資訊化)應(yīng)扮演的角色與任務(wù)7CIO的角色定位CIO的角色與主要任務(wù)CIO面臨的挑戰(zhàn)8表15-3 CIO的角色與主要任務(wù)9圖15-1 CIO的角色與關(guān)係網(wǎng)路圖10CIO面臨的挑戰(zhàn)外部環(huán)境的瞭解與反應(yīng)力外部環(huán)境的瞭解IT變化的瞭解產(chǎn)業(yè)競(jìng)爭(zhēng)的瞭解內(nèi)部經(jīng)營(yíng)與策略的瞭解與參與經(jīng)營(yíng)模式的瞭解進(jìn)入策略核心IT價(jià)值的推廣11CIO面臨的挑戰(zhàn)（續(xù)）IT所扮演之角色的瞭解與提升IT影響力的瞭解IT策略角色的瞭解M

3、IS地位的提升IT資源的管理與能力提升變革代理人e化成熟度的提升IT願(yuàn)景的推銷IT架構(gòu)的規(guī)劃12組織的資訊安全議題60%企業(yè)皆曾遇過未經(jīng)授權(quán)而被使用資訊系統(tǒng)的情形。77%發(fā)現(xiàn)到電腦安全入侵事件。74%企業(yè)表示受攻擊的來源點(diǎn)是網(wǎng)際網(wǎng)路連線。近30%受訪者表示沒有能力察覺資訊安全事件的來源。2002年企業(yè)在資訊安全相關(guān)損失金額約為45億6,000萬美元，其中損失最嚴(yán)重的項(xiàng)目是智慧財(cái)產(chǎn)權(quán)資料的失竊。13組織的資訊安全議題（續(xù)）組織資訊安全的主要議題組織資訊安全的環(huán)境與背景組織資訊安全的漏洞與弱點(diǎn)網(wǎng)路安全的服務(wù)與目標(biāo)網(wǎng)路安全的威脅與攻擊的模式當(dāng)代網(wǎng)路安全的重要趨勢(shì)與主要挑戰(zhàn)網(wǎng)路安全的主要防護(hù)機(jī)制14圖

4、15-2 資訊安全的主要議題與架構(gòu)15組織資訊安全的環(huán)境與背景企業(yè)電腦化之普及所潛藏之危機(jī)Internet的開放性匿名性與距離性犯罪速度快、容易複製、波及面大電腦犯罪容易潛伏及隱藏法律的周延性不足16組織資訊安全的漏洞與弱點(diǎn)作業(yè)系統(tǒng)本身的弱點(diǎn)通訊協(xié)定本身的弱點(diǎn)網(wǎng)路軟體上的弱點(diǎn)管理制度上的弱點(diǎn)人員的弱點(diǎn)17網(wǎng)路安全的服務(wù)與目標(biāo)77%的電腦犯罪，是由網(wǎng)路上進(jìn)行攻擊的，然而在瞭解資通安全的威脅與攻擊之前，首先我們要瞭解網(wǎng)路安全的服務(wù)與目標(biāo)為何？亦即，我們希望在網(wǎng)路上提供哪些服務(wù)的品質(zhì)？在此方面，主要包括下列五點(diǎn)：安全隱密性：指的是當(dāng)資料傳遞時(shí)，除了被授權(quán)的人，不會(huì)受到外力的擷取。身分認(rèn)證性：指的是當(dāng)

5、傳送方送出資訊時(shí)，就必須能確認(rèn)傳送者的身分是否冒名。資料的完整性：指的是當(dāng)資料送達(dá)時(shí)必須保證資料沒有被篡改的疑慮。授權(quán)性：使用者只能擷取被授權(quán)部分的資訊。不可否認(rèn)性：使用者已使用或接受某項(xiàng)服務(wù)（例如下訂單）時(shí)，不能否認(rèn)其未使用過。18網(wǎng)路安全的威脅與攻擊的模式資訊安全的威脅指的是：組織可能遭受到天災(zāi)人禍的攻擊，而對(duì)正常營(yíng)運(yùn)所可能產(chǎn)生的損失與影響。如果損失愈大，表示此種威脅程度愈嚴(yán)重。網(wǎng)路上的主要攻擊模式電腦病毒的散布：電腦病毒可能會(huì)自行複製，或更改應(yīng)用軟體或系統(tǒng)的可執(zhí)行元件，或是刪除檔案、更改資料、拒絕提供服務(wù)，其常伴隨著電子郵件。阻斷式攻擊：指的是：系統(tǒng)或應(yīng)用程式的存取被中斷或是阻止，讓使用

6、者無法獲得服務(wù)，或是造成某些即時(shí)系統(tǒng)的延誤或中止。19網(wǎng)路安全的威脅與攻擊的模式（續(xù)）後門或特洛伊木馬程式：指的是：未經(jīng)授權(quán)的流程或程式，可以透過合法程式的掩護(hù)，而偽裝成經(jīng)過授權(quán)的流程，來執(zhí)行程式。竊聽：指的是：使用者之識(shí)別資料或其他機(jī)密資料，在網(wǎng)路傳輸過程中被非法的第三者得知或取得重要的機(jī)密資訊。偽裝：指的是：攻擊者假裝是某合法使用者，而獲得使用權(quán)限。資料篡改：指的是：儲(chǔ)存或傳輸中的資料，其完整性被毀壞。否認(rèn)：使用者拒絕承認(rèn)曾使用過某一電腦或網(wǎng)路資源，或曾寄出（收到）某一文件。20網(wǎng)路安全的威脅與攻擊的模式（續(xù)1）網(wǎng)路攻擊與竊盜的主要手法電子郵件挾帶病毒法：亦即利用電子郵件引發(fā)網(wǎng)友開啟來路不

7、明的郵件與檔案，然後植入惡意程式。攻擊漏洞散播病毒法：亦即針對(duì)特定系統(tǒng)（例如Windows及IE）的漏洞，製造病毒程式，然後入侵並大量散播。鎖定對(duì)象直接入侵法：直接針對(duì)特定的對(duì)象，例如金融單位，直接以駭客程式入侵個(gè)人電腦或伺服器主機(jī)。21網(wǎng)路安全的威脅與攻擊的模式（續(xù)2）網(wǎng)路釣魚法：此法主要是建立色情網(wǎng)站或者虛設(shè)、仿冒的網(wǎng)路商店，引誘網(wǎng)友線上消費(fèi)，並輸入信用卡卡號(hào)與密碼，以此來輕易獲取網(wǎng)友的機(jī)密資料。公用電腦盜取機(jī)密法：此法主要是先在公用電腦（例如網(wǎng)咖）植入駭客程式，然後等待後續(xù)的網(wǎng)友使用後，伺機(jī)盜錄並竊取個(gè)人的機(jī)密資料。22圖15-3 網(wǎng)路安全的新威脅與挑戰(zhàn)23當(dāng)代網(wǎng)路安全的重要趨勢(shì)與主要挑

8、戰(zhàn)網(wǎng)路門戶開放安全危機(jī)，繼續(xù)延燒網(wǎng)路威脅將會(huì)持續(xù)以透過防火牆必開之門，例如HTTP、SMTP、POP3及DNS等網(wǎng)路應(yīng)用協(xié)定來無所不用其極的繼續(xù)大肆攻擊。系統(tǒng)漏洞數(shù)量大，持續(xù)威脅個(gè)人及企業(yè)用戶從20022004年每年發(fā)現(xiàn)的系統(tǒng)漏洞都將近三、四千個(gè)。網(wǎng)路電腦病毒的製造與變種速度加快2004年後網(wǎng)路上的大病毒一再的變種，Sasser有22種、Netsky有87種、MyDoom有99種。24當(dāng)代網(wǎng)路安全的重要趨勢(shì)與主要挑戰(zhàn)（續(xù)）機(jī)器蟲網(wǎng)的猖獗Botnet又稱傀儡程式(Bot)或受控制的網(wǎng)路系統(tǒng)或僵屍網(wǎng)路，指的是：一群已經(jīng)被駭客入侵並控制的電腦所組成的攻擊網(wǎng)路（有些數(shù)目大到十萬臺(tái)）。蠕蟲與Bot聯(lián)手攻

9、擊及分散式阻斷服務(wù)攻擊的威脅加大蠕蟲是透過E-mail在網(wǎng)路上大量傳播的病毒。Worm與Bot最近發(fā)展出了下列兩種聯(lián)手攻擊的方式：Worm散布Bot僅僅一隻發(fā)信Worm便可以將Bot傳播到數(shù)以千計(jì)的Botnet。25當(dāng)代網(wǎng)路安全的重要趨勢(shì)與主要挑戰(zhàn)（續(xù)1）Bot散布Worm，Worm再散布Bot的持續(xù)循環(huán)利用Bot散布Worm，入侵攻陷後，再由Worm散布及植入更多的Bot。間諜軟體的猖獗間諜軟體是一個(gè)廣泛的名詞，泛指所有快速繁殖，且能夠巧妙滲入PC的合法廣告軟體，以及具有明顯惡意的工具，例如鍵盤側(cè)錄器，其又被稱之為可能不需要的程式(PUPs)。無限網(wǎng)路安全漸成威脅手機(jī)的病毒威脅手機(jī)與電腦同時(shí)

10、下毒P2P檔案交換的病毒攻擊威脅加劇26當(dāng)代網(wǎng)路安全的重要趨勢(shì)與主要挑戰(zhàn)（續(xù)2）網(wǎng)路釣魚客的猖獗網(wǎng)路釣魚，指的是：利用虛設(shè)或仿冒的網(wǎng)站以超低價(jià)或誘人的免費(fèi)贈(zèng)品來引誘消費(fèi)者上網(wǎng)登錄個(gè)人私密資料或進(jìn)行採(cǎi)購(gòu)行為，利用此手法來釣到受害者的個(gè)人機(jī)密（如信用卡卡號(hào)）或金錢的一種電腦犯罪行為。網(wǎng)路釣魚信件最常被利用的是金融服務(wù)產(chǎn)業(yè)，常利用的方式（型態(tài)）包括：Web型：以仿冒名牌的網(wǎng)站，或幾可亂真超低價(jià)的商品網(wǎng)站，來引誘消費(fèi)者上網(wǎng)採(cǎi)購(gòu)。27當(dāng)代網(wǎng)路安全的重要趨勢(shì)與主要挑戰(zhàn)（續(xù)3）DM型：以超低特價(jià)折扣的eDM，讓消費(fèi)者直接點(diǎn)選信件內(nèi)的網(wǎng)址並完成交易，詐取錢財(cái)或資料。賀卡型：提供免費(fèi)賀卡內(nèi)藏Spyware，植入

11、消費(fèi)者電腦，而擷取受害者的銀行帳號(hào)，或E-mail的內(nèi)容等。網(wǎng)安的犯罪比率快速上升，然而防制力量與法律則明顯不足28表15-4 網(wǎng)路的安全服務(wù)項(xiàng)目、威脅與防護(hù)法29防火牆與網(wǎng)路安全防火牆的基本概念防火牆的技術(shù)與架構(gòu)防火牆的基本目標(biāo)防火牆的主要問題30防火牆的基本概念防火牆，顧名思義就是防止網(wǎng)際網(wǎng)路上的危險(xiǎn)延伸到企業(yè)內(nèi)部網(wǎng)路。防火牆介於網(wǎng)際網(wǎng)路和企業(yè)內(nèi)部網(wǎng)路相連結(jié)之間。31圖15-4 防火牆示意圖32防火牆的技術(shù)與架構(gòu)基本上防火牆可分兩種型態(tài)：封包過濾和代理者方式。封包過濾型以封包過濾方式的防火牆，檢查往來的封包，依據(jù)封包的標(biāo)頭資訊，以及該企業(yè)制定的安全策略。代理者型以代理者方式的防火牆主機(jī)，可

12、以是含有兩個(gè)網(wǎng)路介面卡的主機(jī)。一個(gè)介面連接網(wǎng)際網(wǎng)路；另一個(gè)連接內(nèi)部網(wǎng)路。兩者並非直接相連，連結(jié)要求必須經(jīng)過合法檢驗(yàn)。33防火牆的基本目標(biāo)過濾封包以阻止網(wǎng)路駭客的入侵。作為所有封包進(jìn)出的門戶，方便管理者集中式的管理。過濾系統(tǒng)安全政策所禁止的網(wǎng)路服務(wù)。保護(hù)企業(yè)內(nèi)部網(wǎng)路，避免來自網(wǎng)際網(wǎng)路的入侵。當(dāng)外部使用者存取高度機(jī)密檔案時(shí)，先加以記錄並通知系統(tǒng)管理者。調(diào)節(jié)網(wǎng)路交通流量。34防火牆的主要問題較難提供全面性的安全無法提供資料隱密性無法確認(rèn)資料來源的認(rèn)證性無法保護(hù)那些不經(jīng)過防火牆的網(wǎng)路連結(jié)35資訊的加密系統(tǒng)與數(shù)位簽章資訊加密的主要機(jī)制數(shù)位簽章與資訊安全數(shù)位信封與SSL36資訊加密的主要機(jī)制加密指的是：將

13、原始文件轉(zhuǎn)換成亂碼，而唯有使用解密的金鑰才能讀出原文的程序。 Key指的是：一長(zhǎng)串的文字、符號(hào)、數(shù)字的組合，用其來轉(zhuǎn)換原始的文件使得原始文件變成亂碼。37資訊加密的主要機(jī)制 （續(xù)）對(duì)稱式加密法對(duì)稱式加密法，此為傳統(tǒng)的加密法，其特色是買賣雙方同時(shí)持有一個(gè)同樣的 Key 來加密和解密，所使用的Key稱為秘密金鑰。非對(duì)稱式加密法非對(duì)稱式加密法，又稱之為公鑰的基礎(chǔ)設(shè)施(PKI)。此法的特色主要是使用兩把對(duì)應(yīng)配對(duì)的Key，即公鑰與私鑰，互相可加密解密對(duì)方，也就是以Public Key 加密後可以使用 Private Key 將其解開，而使用 Private Key 加密後也可以使用 Public Key

14、 將其解開，兩者是一對(duì)的。38圖15-6 非對(duì)稱式加密法39數(shù)位簽章與資訊安全數(shù)位簽章(DS)，指的是：利用PKI的機(jī)制來保護(hù)資料傳遞的隱密性與不可否認(rèn)性的一種通訊安全機(jī)制。而支援?dāng)?shù)位簽章的主要機(jī)制，包括下列幾點(diǎn)：碎映函式：指的是：對(duì)於任一長(zhǎng)度的訊息，將其映射成一個(gè)固定長(zhǎng)度（例如128 Bits）的數(shù)值。數(shù)位簽章：傳送者將文件經(jīng)特別碎映函式運(yùn)算後產(chǎn)生一獨(dú)特的號(hào)碼(128 Bits)，稱之為訊息摘要，再利用傳送方的Private Key對(duì)此摘要加密，謂之?dāng)?shù)位簽章(DS)。40圖15-7 數(shù)位簽章流程圖41數(shù)位簽章與資訊安全（續(xù)）電子認(rèn)證中心所謂電子認(rèn)證中心(CA)，指的是：一個(gè)有公信力的第三者，

15、如財(cái)團(tuán)法人、銀行、信用卡公司等等。要在EC上交易的個(gè)人或企業(yè)必須在CA認(rèn)證身分後，再核發(fā)電子憑證及 Public Key 與 Private Key。CA最主要的任務(wù)是管理買賣雙方的認(rèn)證問題，包括發(fā)放、儲(chǔ)存及管理註冊(cè)者的電子證書、Public Key及個(gè)人資料，使用者要先註冊(cè)登記，取得電子憑證，只準(zhǔn)許在有效期間內(nèi)於EC上交易付款。42數(shù)位簽章與資訊安全（續(xù)1）安全電子交易協(xié)定安全電子交易協(xié)定(SET)是 Visa 與 Master Card 兩大信用卡組織並結(jié)合 IBM、Microsoft、Netscape 等公司於1996年2月協(xié)議發(fā)展出在 Internet 上以信用卡付款方式的安全交易協(xié)定

16、，是一個(gè)整合利用加密、Public Key/Private Key、數(shù)位簽章、認(rèn)證中心等機(jī)制，用以保護(hù)買賣雙方資料傳遞的隱密性、安全性與確認(rèn)性。SET的執(zhí)行步驟43圖15-9 SET的交易結(jié)構(gòu)44數(shù)位信封與SSL數(shù)位信封所謂數(shù)位信封，簡(jiǎn)單的說，指的是：利用速度較快、較不安全的對(duì)稱式加密法的秘密金鑰來對(duì)大量的文章內(nèi)容加密，之後利用較安全的PKI來對(duì)秘密金鑰加密（由於其數(shù)量很小，因此不會(huì)妨害速度），而其主要的利用方法即是所謂的SSL。SSLSSL是數(shù)位信封的應(yīng)用，其是目前最被普及利用的安全機(jī)制，主要的安全防護(hù)程序如下：Server端（例如Amazon）將自己由CA所發(fā)給的電子憑證傳送給Client

17、端（例如消費(fèi)者的PC）。45數(shù)位信封與SSL（續(xù)）Client端的Browser（例如IE），其儲(chǔ)存有世界主要CA的公鑰，可利用此來解開Server的電子憑證，取得其內(nèi)部的企業(yè)資訊與其公鑰。Client端的IE會(huì)隨機(jī)產(chǎn)生一個(gè)對(duì)稱式的秘密金鑰，SSL利用此金鑰對(duì)內(nèi)文加密，再利用Server端的公鑰對(duì)秘密金鑰加密，形成數(shù)位信封。Client端將密文（信用卡號(hào)）與數(shù)位信封（亦即利用企業(yè)公鑰加密保護(hù)的秘密金鑰），一起傳送給Server。Server端以自己的私鑰解開數(shù)位信封內(nèi)的秘密金鑰，再以秘密金鑰解開內(nèi)文（亦即信用卡資料）。46組織整體的資訊安全策略與活動(dòng)嚇阻理論與組織資訊安全活動(dòng)嚇阻活動(dòng)預(yù)防活動(dòng)偵

18、測(cè)活動(dòng)回復(fù)活動(dòng)四個(gè)資訊安全活動(dòng)之整合47嚇阻理論與組織資訊安全活動(dòng)基於嚇阻理論，學(xué)者們提出四種不同、有次序的安全活動(dòng)，可以降低資訊系統(tǒng)的風(fēng)險(xiǎn)。這四個(gè)安全活動(dòng)分別為：嚇阻、預(yù)防、偵測(cè)與回復(fù)。48圖15-10 資訊安全的四大活動(dòng)與目的49嚇阻活動(dòng)嚇阻活動(dòng)主要的目的在於提高制裁的確定性與制裁的嚴(yán)厲性以抑制可能的入侵者，其主要的機(jī)制與防制的目的如圖15-11。50圖15-11 嚇阻活動(dòng)的主要機(jī)制與目的51預(yù)防活動(dòng)預(yù)防活動(dòng)主要是一種事先主動(dòng)式的安全控管措施，包含落實(shí)資訊安全政策，並且避免非授權(quán)者入侵或故意濫用組織資訊系統(tǒng)的資產(chǎn)。預(yù)防活動(dòng)的主要機(jī)制與目的，如圖15-12。52圖15-12 預(yù)防活動(dòng)的主要機(jī)

19、制與目的53偵測(cè)活動(dòng)偵測(cè)活動(dòng)的主要目的是蒐集入侵紀(jì)錄並且辨識(shí)可能的犯罪者。偵測(cè)活動(dòng)可以包含兩種：預(yù)應(yīng)式的安全回應(yīng)：預(yù)應(yīng)式的安全回應(yīng)就是在問題發(fā)生之初及早發(fā)掘潛在問題（風(fēng)險(xiǎn)），例如入侵偵測(cè)報(bào)告表、系統(tǒng)稽核、病毒掃描報(bào)告等。反應(yīng)式安全回應(yīng)：反應(yīng)式安全回應(yīng)就是事後對(duì)安全入侵的紀(jì)錄進(jìn)行偵查。偵測(cè)活動(dòng)的主要機(jī)制與目的，如圖15-13。54圖15-13 偵測(cè)活動(dòng)的主要機(jī)制與目的55回復(fù)活動(dòng)有效的安全流程除了嚇阻、預(yù)防、偵測(cè)外，還需要利用回復(fù)活動(dòng)將入侵行動(dòng)所造成的災(zāi)害降低，使企業(yè)能在最短時(shí)間內(nèi)回復(fù)運(yùn)作，並且對(duì)犯罪者進(jìn)行懲處?；貜?fù)活動(dòng)的主要機(jī)制與目的。56圖15-14 回復(fù)活動(dòng)的主要機(jī)制與目的57圖15-15 四個(gè)資訊安全活動(dòng)的流程58國(guó)際資訊安全管理標(biāo)準(zhǔn)：BS7799BS7799的制定與基本架構(gòu)BS7799與組織的資訊安全59BS779