許多研究都指出「資訊安全」是2003年的當務之急。IDC在2002年7月對1000位CIO（資訊長）所做的調查顯示，有40%的CIO將安全列為最優先項目；德意志銀行與CIO雜誌在2002年11月的調查，同樣顯示有55.9%的企業會在未來1年內增加安全軟體方面的投資...

以購買產品為主的消費方式，將轉變為產品與服務並重
整合與硬體裝置是大勢所趨

許多研究都指出「資訊安全」是2003年的當務之急。IDC在2002年7月對1000位CIO（資訊長）所做的調查顯示，有40%的CIO將安全列為最優先項目；德意志銀行與CIO雜誌在2002年11月的調查，同樣顯示有55.9%的企業會在未來1年內增加安全軟體方面的投資，電腦硬體和網路設備則都未超過40%；Morgan Stanley CIO Survey在2002年12月的報告也指出，資訊安全軟體是Fortune 1000大企業最需要的軟體，其次是員工入口網站及內容管理軟體。



根據資策會在2002年12月所做的調查，去年有8成的企業和政府機關曾發生過資訊安全事件，其中病毒感染是最頻繁的資安事件，佔了64.1%，電力中斷佔29.5%，駭客入侵佔15.5%，天然災害佔10%，內部人為疏失佔6.4%。回顧今年上半年，病毒更造成企業重大損害。



資策會預估，2003年資訊安全產品與服務市場的規模可達70億元，成長率26.7%，2005年則可突破新臺幣100億元，在資安預算方面，2003年資訊安全預算約佔整體資訊預算的4.18 %。另外，政府推動資訊委外、金控資訊整合與傳統產業建置需求，都將持續帶動資訊安全市場商機。



資訊安全產品包括防毒、防火牆、VPN、入侵偵測、PKI、弱點管理（安全評估）、加密軟體、內容過濾及存取控制等。越要求安全性，就必須建置越多的安全裝置，而且攻擊趨勢由網路層向上延伸到應用層，「駭客」數量也不斷增多，不僅只是常見的黑客和紅客，連企業內部的員工、約聘人員及客戶都有可能是駭客。



賽門鐵克資深顧問林育民表示，企業未來將會面臨混合性威脅，單靠某種資安產品是不夠的，從個人端到閘道端都必須建立防線，才能做到全面防護。



NetScreen台灣區總經理施振義認為，未來的趨勢是主動且多層化建置。隨著網路複雜化、駭客活動頻繁、新的攻擊種類層出不窮，防火牆已經難以保障企業的網路安全，建立多層次的立體防護體系才能實現網路安全。防火牆是第一層網路安全防護，而IDS/IDP部署在防火牆後面，作為第二層防護，對已經進入網路的流量進行第二次檢測。



以下我們歸納出6項資訊安全產品發展趨勢：



整合平臺
採購一套系統之後，企業要分配人力去管理，加上網路和系統環境越來越複雜，管理人員的學習曲線也越長，資安廠商紛紛推出整合平臺，協助企業集中控管所有安全設備，降低管理人力，例如賽門鐵克的Security Management System/SESA、ISS的Site Protector、趨勢科技的EPS、NetIQ的Security Manager及CA的eTrust Security Command Center。



林育民認為整合平臺必須具備三大功能，第一個是集中控管日誌檔，並且交叉分析比對，第二是共通管理介面，由平臺直接管理與設定，第三是能自動化追蹤與管理入侵事件，最好能夠像資安專家一樣，建議MIS遇到攻擊事件時，該如何處置，並能從中學習。



CA技術顧問林宏嘉表示，大多數的平臺無法整合資產管理、身分認證和主機控管等機制，即使偵測到被攻擊的主機IP和MAC address位址，卻可能是偽造的；當掃描到漏洞後，如果管理員要修補漏洞，也無法知道該主機安裝哪些應用程式，是否可以更新？



施振義認為僅對網路的對外連接進行防護已經不足，還需要為分公司或遠端員工與總部的對內連接進行防火牆與VPN防護，因此企業對集中式管理平臺的需求越來越大。以安全政策（policy）為基礎的中央化管理成為發展趨勢，只要經由一個主控臺，下達一個指令便能同時建置或更新上千臺設備的安全政策，不需對每臺設備逐一設定和更改，可以減少手動操作的錯誤及時間。



多合一產品
整合平臺是將所有產品集中控管，多合一產品則是具備多種功能，例如賽門鐵克的Symantec Gateway Security，提供防火牆、入侵偵測、內容過濾及病毒防護等功能；鈺松國際也針對中小企業推出GuardAngel，結合防火牆、入侵偵測、VPN、負載平衡及頻寬管理等機制。



趨勢科技產品行銷經理陳亭妏表示，對於整合性平臺，應該從客戶的需求面來看，大型企業對安全等級和處理效能要求較高，傾向使用專屬的設備或系統（軟體），而且會選擇各個領域最好的解決方案。對於偏好整合性平臺的客戶，趨勢的做法是與其他領域的廠商進行產品整合。但趨勢還是專注在防毒和內容安全的技術開發。



施振義表示，隨著多層化建置的發展，整合型產品是最佳的解決方案，優點是易於管理且降低整體擁有成本（TCO）。但是，必須是真正的整合才能發揮應有的性能，而不是將不同供應商的產品以「堆疊」方式加在一起，真正的整合性方案除了必須整合多種最佳品牌，也要能在單一的硬體平臺上執行中央管理，這樣才能發揮相乘效果，兼顧性能與效能。



大部分資訊安全產品的銷售對象都鎖定中大型企業，產品售價非中小企業能力可及，但國產的多合一產品售價約在25萬至35萬之間，除了協助中小企業解決資安人力與經費不足的問題，並能一次滿足多種安全需求，相信未來有很大的發展空間。



雖然多合一產品可以提供Total Solution，但單一產品開發商在特定領域所累積的經驗與技術也不容忽視。



硬體裝置
硬體裝置（appliance）也是未來的趨勢之一，優點有很多，例如安裝設定容易，幾乎是即插即用，而且經過原廠的調整及最佳化後，效能會比企業自行購買硬體設備還要好。從二年前，趨勢推出Gatelock，到最近ISS推出Proventia、FoundStone的FS1000，軟體廠商不僅只賣軟體，推出硬體裝置能讓客戶多一種選擇。



施振義表示，全球的網路安全市場將以硬體裝置為主。根據Frost & Sullivan的亞太區 2003年網路安全市場報告，預測在2008年，95%的網路安全設備將由硬體裝置所佔有。而且硬體裝置可支援較佳的安全容量，例如Gigabit等級的流量，並且具備較佳的網路穩定性。再從整體擁有成本與投資報酬率（ROI）的角度來看，根據Giga Information Group所做的Total Economic Impact（TEI）研究顯示，硬體裝置較傳統軟體解決方案或非整合式方案節省更多的支出。



另一方面，Nokia和Crossbeam等廠商也以第三方協力廠商的角色，推出效能更佳的硬體裝置。精誠公司產品經理陳家煌表示，效能是企業選購時的重要考量之一，以前Check Point Firewall-1搭配IBM或昇陽的通用型伺服器，現在則是以Crossbeam和Nokia等硬體裝置為主，以達到更高的效能比。Crossbeam C30能夠支援防火牆、入侵偵測及防毒等5種軟體，並可同時安裝2種應用軟體，未來Nokia也會推出模組化產品。



弱點管理與安全評估
駭客最常針對軟體的漏洞攻擊，大部分的攻擊事件都是利用已知的漏洞，例如最近的RPC漏洞，資訊安全的問題不在於如何偵測與防範，而是如何妥善修補漏洞。



FoundStone亞太區總監陳彥銘認為弱點管理（漏洞掃描、安全評估）是未來的主流產品，因為當IDS偵測到事件時，事情已經發生，來不及阻止了。但是，弱點管理可以協助管理者追蹤每個漏洞，修補並驗證每個問題。



林育民認為安全評估不能只是找系統的漏洞，還要能檢查安全政策的符合程度，他以Symantec Enterprise Security Manager為例，除了提供1500個評估項目，檢查主機的漏洞與政策遵循外，還支援特定的產業安全政策，如HIPAA與GLBA，協助企業降低風險。



自動更新/自動修補
Blaster病毒成功入侵沒有安裝修正檔案的Windows作業系統後，微軟考慮將修正檔的更新方式預設為自動更新（Auto Update）。Gartner認為這對缺乏IT概念與沒時間更新修正檔的人是一大福音，但在這之前，必須經過第三方來驗證系統的安全性，因為如果該功能被破解，那麼事情就會非常嚴重。對中小企業與家庭用戶而言，自動更新是保護電腦最有效的方式之一，但最快也是2004年所推出的Longhorn。



不過在這之前，還有一段很長的路要走，因為有些修補檔會影響其他軟體的運作，例如先前Windows NT Service Pack 6導致上千臺伺服器當機，有些伺服器甚至無法加以更新，所以企業往往需先評估過修正檔後，才執行安裝。



另一個可行的方式是與其他軟體整合，例如當弱點管理軟體偵測到漏洞後，自動執行修正檔，可減少人力的浪費及缺失。未來FoundStone和賽門鐵克的產品都會增加自動修補（Auto Patch）功能。



PKI
在1993年，廠商就推出PKI產品，但直到電子簽章法正式施行後，才開始帶動PKI的相關應用，政府與金融業是目前主要的應用領域。金融PKI系統是由臺灣網路認證中心擔任最高憑證管理機構（Taiwan Financial Root CA，TFCA），並於2002年9月5日啟用，預期將帶動國內PKI與認證機制的發展。未來將擴及醫療、交通、企業間（供應鏈的報價及出貨）、公文系統及身分認證等應用。



認證服務與PKI應用的關係密切，PKI的發展亦將帶動認證服務市場成長。明年起，企業應用才會逐漸浮現。



林育民認為企業自行建置PKI的成本過高，而且架構複雜、控管不易，他認為企業使用第三方所發的憑證，再加以應用的可能性會較高。觀念轉變是委外服務市場的成長關鍵

說到服務，大家一定聽過IBM轉型的故事，當它成功轉型之後，不論原先是賣硬體或軟體，幾乎通通轉型賣服務，我們不禁要問，他們葫蘆裡賣的是什麼藥，到底是真服務還是假服務？



根據資策會對所「企業落實資訊安全的障礙」所做的調查，55.7%的單位缺乏專職人員、54.1%缺乏相關知識及訓練、52.2%經費不足，以及技術太複雜、沒有時間、部門間缺乏溝通合作、資訊安全政策不明及單位不重視/不支持等問題，人員、技術與經費為企業落實資安的三大障礙，卻也帶動資訊安全服務的需求。除外，由管理制度面解決資訊安全問題也逐漸被企業所認同，除了購買產品與安裝設定，也需要顧問服務協助規畫與導入。



資策會將資訊安全服務廠商分為軟體業者、資安服務、系統整合、管理顧問及基礎設施等5類，每類各有其切入點，而且是各相合作、相輔相成，例如管理顧問公司是由稽核角度跨入資訊安全顧問服務，優勢是之前所累積的企業營運經驗，並可與系統整合和軟體業者合作，共同提供整合服務。



資訊安全委外服務
去年有許多廠商談資訊安全委外服務，但那時卻被認為是天方夜譚，因為企業仍不信任服務廠商，即使到了今年，資訊安全防護觀念漸受重視，主要需求仍來自於政府、金融業與部分傳統產業資訊安全規畫，一般企業仍無福享受委外服務。金融業的資訊安全委外服務以外部網路服務與防護為主，國家資策安全會報將全國政府機構分成A、B、C、D四個等級列管，分級制度是依各政府部門的任務需求，進行資訊安全管制分級，A、B級單位會比較需要委外服務。



透過專業知識提供服務的作法會漸被企業所認同，廠商認為2005年會是比較當的時機。SLA（Service Level Assurance，服務等級協定）的訂定與保險機制是企業關心的重點，但保險機制由於牽涉到資產鑑價問題，大都由業者與企業個別協商。



林育民認為，臺灣目前沒有法規、保險制度及資產鑑價等相關配套措施，所以資訊安全委外市場至少要到明後年才會有起色。另一方面，目前臺灣是由賽門鐵克澳洲的SOC（Security Operating Center，資訊安全監控中心）管轄，新加坡和香港可以接受跨國代管的模式，但在臺灣卻行不通，主要是語言的隔閡，所以賽門鐵克會在臺灣尋找合作夥伴。



本身擁有SOC的精誠則推出新的服務模式，陳家煌表示，精誠目前新推兩種服務方案，第一種是產品搭配3個月免費服務，希望讓客戶體驗委外服務的好處，另一種是針對不想買產品的客戶，若他們買服務的話，則租借防火牆和入侵偵測等產品。陳家煌也認為委外服務市場要到明年中才會蓬勃發展，目前精誠仍以產品銷售為大宗。



資訊安全認證
資訊安全認證可分為資安專業人員認證及企業資訊安全認證。



隨著資安人才不足，資訊人員安全認證也跟著水漲船高，因為這是最快的能力評定標準，MIS適合選擇資安產品認證，而IT主管適合資安管理和稽核認證。除了各家廠商的產品證照外，目前國內最熱門的資訊安全認證應該是資訊安全管理專業人員（CISSP）、電腦稽核專業人員（CISA）、SANS/GIAC及經濟部資訊安全專業人員鑑定等4種，不僅是廠商挖角的對象，也是專業能力的象徵。



前面提到政府單位分成ABCD四級，有些政府單位也要導入ISMS（資訊安全管理系統），期限是明年6月前。BSI客戶經理謝君豪表示，導入ISMS的步驟差不多，主要差異是方法論不同。在導入時常碰到的問題是對資訊安全的認知不足，高層總認為這是IT部門的責任，事實上卻是所有人的工作，只因為大部分承辦人員是IT人員，造成最後就只有IT人員在做，而且花費幾百萬或幾千萬後，資訊安全屬於隱性價值，並無法看出成效。



顧問服務
許多人一定聽過風險評估，但真正做過的企業卻不多。上星期發生的蘆洲大火，造成13死70傷，但國人投保火險的比例仍不到5成，大部分的人都很「鐵齒」，這樣的事不會發生在我身上，但相同的狀況卻一再發生，而且企業除了擔憂天災人禍，更重要的是賠上商譽之後，從此將一敗塗地。



如果你對資訊安全的認知，仍僅侷限在實體、病毒入侵或不當使用等範圍，而且防範重點是來自外部的系統入侵，那麼你對內部危機管理能力就有待加強，建議尋求顧問協助。顧問服務包括BS7799認證、風險評估、滲透測試及緊急應變等，只是目前顧問人力不足，都在做政府及大企業的案子，所以費用仍然偏高。產品採購趨勢

911恐怖攻擊後，IDC對資訊安全與企業永續經營（IT Security and Business Continuity）的調查指出，許多企業已經注意到安全與企業永續的經營問題，但大多數企業還不知道如何排定投資的優先順序。Gartner認為2003年的資訊安全解決方案，企業將會由購買「最佳品牌」轉而採購能夠提供多元安全防護的硬體平臺，顯示企業在資訊安全策略上將採取更整合的方案。



由Aladdin系統公司針對企業資訊安全計畫所做的調查，發現垃圾信件過濾、防毒及入侵偵測系統是他們最優先考慮的安全措施。



我們詢問幾家廠商的產品銷售狀況，精誠上半年賣的最好的是Websense網頁內容過濾產品，也有許多客戶詢問負載平衡及流量管控的產品；賽門鐵克表示，企業會先買防護機制，所以IDS會是下半年的主流產品。



隨著企業需求改變，傳統以購買產品為主的消費方式，將轉變為產品與服務並重，而且網路環境與資訊安全技術的專業性和複雜性越來越高，企業在資源有限的情況下，除了考量成本、人力及資訊安全需求的優先順序，更應善用資安顧問的專業知識與經驗，由顧問服務廠商協助企業找出安全問題，並制定安全政策、改變安全現況。文☉陳世煌何謂資訊安全？

資訊可透過許多管道來互通共享，有些資訊可公開，但有些則屬於機密，不能公開與篡改，必須防制非授權的存取或更改，所以資訊安全（Information Security，INFOSEC）是所有關於資訊保護的研究。



在討論何謂資訊安全之前，我們首先必須了解「資訊」指的是什麼？一般而言，資訊安全所討論的資訊，指的是企業或組織在營運時所收集、產生或運用的資料，它可以存在於任何形式，不論是有形或無形的，可以是電腦中的資料，列印或書寫在紙張上的資料，甚至是存在於通訊（電子郵件、即時傳訊）當中。



這些資訊對企業或組織而言都是有價的，更對企業營運有相當的影響，因此，需要賦予適當的保護，避免遭受內在或外來的威脅，以降低其風險。

2