使 用 软 件 须 知

许 多 电 脑 软 件 均 可 作 为 资 讯 保 安 的 工 具 。

要 做 的 事

• 要 使 用 抗 电 脑 病 毒 软 件 ， 并 要 经 常 更 新 。
  
• 要 先 用 抗 电 脑 病 毒 软 件 扫 描 磁 碟 、 光 碟 及 其 他 储 存 媒 体 （ 尤 其 是 来 历 不 明 者 ） ， 然 后 才 开 启 使 用 。
  
• 要 考 虑 采 用 防 火 墙 等 保 安 措 施 ， 以 保 护 采 用 宽 频 接 驳 互 联 网 的 电 脑 。
  
• 要 在 电 脑 内 应 用 最 新 版 本 的 软 件 及 修 正 档 案 ， 以 堵 塞 已 知 的 保 安 漏 洞 。
  
• 要 定 期 备 份 系 统 及 数 据 ， 并 且 妥 为 保 存 。 利 用 备 份 档 案 复 原 流 失 的 数 据 是 最 安 全 及 有 效 的 方 法 。
  
• 要 按 照 安 装 指 示 来 安 装 电 脑 软 件 。
  
• 要 按 照 许 可 证 条 款 及 协 议 来 使 用 电 脑 软 件 。

不 要 做 的 事

• 不 要 使 用 非 法 、 不 可 信 赖 或 令 人 生 疑 的 来 源 的 电 脑 软 件 及 程 式 。
  
• 不 要 在 未 取 得 版 权 拥 有 人 或 特 许 持 有 人 明 确 批 准 前 下 载 电 脑 程 式 。

使 用 开 放 源 码 产 品 的 指 引

开 放 源 码 软 件 通 常 指 的 是 软 件 的 原 始 码 是 开 放 的 ， 准 许 任 何 人 读 取 、 使 用 和 改 写 。 开 放 源 码 软 件 已 渐 渐 获 得 接 受 ， 即 使 是 企 业 营 运 下 的 环 境 也 接 受 这 趋 势 。

要 安 全 地 使 用 开 放 源 码 软 件 ， 以 下 是 一 些 给 用 家 作 指 引 的 保 安 贴 士 :

• 只 从 可 信 任 的 网 站 下 载 开 放 源 码 产 品 ， 例 如 软 件 开 发 者 的 官 方 网 站 ， 以 避 免 事 先 置 入 恶 意 程 式 码 的 潜 在 风 险 。
  
• 下 载 原 始 码 ， 而 非 编 译 过 的 套 装 软 件 ， 如 此 ， 可 核 对 原 始 码 是 否 符 合 MD5/SHA-1 校 验 和 （ checksum） ， 并 分 析 保 安 漏 洞 ， 和 进 行 编 译 ， 以 求 符 合 机 构 的 特 殊 需 求 。
  
• 详 细 研 读 产 品 文 件 ， 以 获 得 保 安 配 置 参 数 的 详 细 说 明 。
  
• 假 如 发 现 产 品 的 保 安 漏 洞 ， 便 应 检 查 是 否 有 既 定 的 通 报 程 序 ， 并 确 定 妥 善 维 护 和 处 理 该 产 品 的 所 有 保 安 议 题 。
  
• 定 期 检 查 一 般 保 安 漏 洞 资 料 库 ， 例 如 CVE（ Common Vulnerabilities and Exposure） ， 此 类 资 料 库 发 布 任 何 有 关 开 放 源 码 产 品 保 安 漏 洞 的 资 讯 。

如 果 你 的 机 构 正 在 使 用 开 放 源 码 软 件 ， 你 应 该 考 虑 以 下 提 示 :

• 制 定 完 善 记 录 的 保 安 政 策 ， 并 确 定 严 格 执 行 该 政 策 。 当 企 业 需 要 改 变 时 ， 也 须 修 订 该 政 策 。
  
• 采 用 纵 深 防 御 （ defence-in-depth） 策 略 ， 可 完 全 应 付 开 放 源 码 产 品 和 网 络 之 间 不 同 水 平 所 引 起 的 威 胁 。
  
• 对 机 构 内 员 工 提 供 适 当 训 练 ， 以 支 援 和 维 护 开 放 源 码 产 品 。 把 所 有 作 业 实 务 和 配 置 程 序 进 行 合 适 的 文 件 记 录 ， 以 避 免 因 职 务 调 动 或 离 职 而 引 起 的 问 题 。