企業組織為了提升競爭優勢和降低營運成本，資訊化的程度越來越高，卻也可能為企業
帶來其他風險，大幅增加資訊系統暴露弱點的機會。根據 CSO 雜誌公佈 2007 E-Crime 研
究顯示，安全事件(security events)與電子犯罪(electronic crimes)與去年的調查結果有
明顯之不同，而安全主管人員們可能有過於自信的傾向。2007 E-Crime Watch Survey 針對
671位安全主管人員和執法人員對於各種安全主題進行研究調查。這些主是包括為安全所做
的付出、電子犯罪的源頭、專業人員正在經歷的電子犯罪、攻擊的方法、為預防遭受攻擊所
部署的安全技術，以及組織在受到攻擊後所採取的法律行動與步驟。

研究結果顯示一項關鍵指標，有 57% 的受訪者比以往更加關注 e-crimes 的潛在影響，
而其中的 49% 曾在 2006 年經歷過 e-crimes 事件，相較於 2005 年的 38% 成長許多。然
而其餘者表示相較於過去幾年在優先考量安全問題的情況已經減少。舉例來說，69% 的受訪
者表示比起過去他們對於應對這些威脅已有更多的準備，但目前卻已削減安全相關之支出。
微軟可信賴運算事業群安全策略總監 Jeff Jones 表示，千萬不要鬆懈你的安全防護，特別
是談到網路安全。犯罪是一個活生生的事實，在數位世界正如它是在真實的世界一樣；即使
有最好的安全佈署，還是要穩定腳步，防範潛在的威脅。

防範威脅的方法之一就是了解它的來源。在過去企業組織多將資源放在抵禦外部威脅入
侵企業網路，卻往往忽略了來自內部的安全威脅，不管是企業重要資料的保存，防範商業流
程中出現安全漏洞與缺失，或是專門竊取企業重要資訊的有心人士或離職員工，內部威脅都
是必須防患於未然的重要工作。根據調查顯示，安全威脅來源內部人員即佔了 34%，與外來
威脅(37%)相去不遠，然而普遍卻未正視內部的安全威脅，舉例說明如下：
- 個人背景檢查從 2006 年的 73% 減少為 57%
- 帳號/密碼管理政策的使用從去年的 91% 減少為 84%
- 員工監控由 59% 減少到 42%
- 員工安全意識培訓也由 68% 減少到 38%

組織以積極態度來減輕內部人員造成之威脅是很重要的。深度防禦不僅只是使用昂貴的
防護設備及高深的偵防技術，同時也與組織內部的人員、政策、程序的施行有莫大的關係。
由內部所造成的資訊安全威脅不下於駭客攻擊，大多數由內部攻擊索覬覦的資訊首要為擅自
獲取或使用公司資料、系統或網路，即高達 27%，其次依序為竊取知識財產(24%)、竊取其
他資料(包括金融和客戶記錄 23%)和欺詐(信用卡等 19%)。

而組織內部人員多以下列方式進行E-crimes：
- 社交工程(45%，去年有38%)
- 使用竊取來的帳戶(39%)
- 複製資料到移動裝置，例如 USB 或 iPod (36%)
- 使用自己的帳號 (35%)

在非法寄送垃圾郵件和釣魚攻擊有顯著成長，由組織外部所造成的 E-crimes 種類仍以下列
為主：
- 病毒、蠕蟲或其他惡意程式碼
- 未經授權存取資訊、系統或網路
- 非法寄送垃圾郵件
- 間諜軟件（不含廣告軟體）
- 阻斷服務攻擊
- 網路釣魚

多數的 E-crimes，不論是 Insiders 或 outsiders 所犯下，企業組織多內部自行處理
而甚少涉及到法律的行動，一方面是因為損害程度不足以起訴(40%)，再者缺乏直接且完整的
證據(34%)，加上不能確定應負責的對象(28%)，且礙於對企業組織形象可能的衝擊與影響，
因此難以達成嚇阻作用。

資訊環境愈益複雜多變，安全威脅也日益攀升，企業組織必須正視資安問題才能進行更有
效的防範機制。去年(2007)在預防e-crime的前10大方式包括：
1. stateful防火牆 (82%)
2. 存取控制 (79%)
3. 電子存取控制 (78%)
4. 應用層防火牆 (72%)
5. host‐based防毒軟體 (70%)
6. 複雜的密碼設定 (70%)
7. 加密 (69%)
8. Spam 過濾器 (69%)
9. 網路政策規範 (68%)
10. Network‐based 防毒軟體 (65%)

然而最無效的防護技術包括手動修補管理、監視，以及RBL-based的垃圾郵件過濾等。

在企業組織的成長過程中，資訊環境異質化程度愈益提高，系統網路使用遽增，相對必須
面臨更大的安全挑戰，若僅依賴傳統的防護技術很可能讓企業組織暴露在安全威脅中，除了防
禦潛在的安全威脅與業務風險，並監控內外部行為是否異常，強化資料、系統與網路的存取控
管，同時評估設備總體安全性與遵循政策法規規範，才能確保資訊資產的安全性並有效降低電
子犯罪威脅，提昇團隊的安全性與生產力。

2