資 訊 保 安 指 的 是 保 護 各 方 面 資 訊 和 資 訊 系 統 ， 免 於 未 經 授 權 的 接 達 、 使 用 、 揭 露 、 中 斷 、 修 改 或 毀 壞 ， 以 求 達 到 保 密 性 、 完 整 性 和 可 用 性 。

1) 保 密 性 : 僅 允 許 經 授 權 的 人 員 知 道 或 獲 得 接 達 到 資 訊 系 統 所 儲 存 或 處 理 的 資 訊 。
2) 完 整 性 : 僅 允 許 經 授 權 的 人 員 修 改 資 訊 系 統 所 儲 存 或 處 理 的 資 訊 。
3) 可 用 性 : 用 戶 可 在 特 定 時 間 內 使 用 資 訊 系 統 。

資 訊 科 技 保 安 一 詞 並 沒 有 確 切 的 定 義 ， 但 通 常 指 的 是 攸 關 保 密 性 、 完 整 性 和 可 用 性 之 資 訊 科 技 基 本 建 設 、 資 訊 系 統 及 相 關 資 源 的 保 護 。

對 資 訊 科 技 保 安 使 用 系 統 性 的 方 法 ， 常 常 是 一 個 好 的 建 議 。

• 首 先 ， 機 構 必 須 訂 立 清 楚 明 確 的 保 安 要 求 。
• 第 二 ， 應 發 展 和 強 化 保 安 政 策 和 程 序 。
• 第 三 ， 應 執 行 定 期 保 安 風 險 評 估 和 審 計 ， 還 有 對 系 統 持 續 監 控 ， 以 確 保 適 當 地 推 行 有 效 力 及 有 效 率 的 保 安 政 策 和 程 序 。

為 決 定 適 當 的 保 安 標 準 ， 機 構 擁 有 者 應 考 慮 資 訊 系 統 和 其 他 資 訊 科 技 資 產 對 機 構 中 商 業 的 價 值 ， 也 應 考 慮 保 安 事 故 對 機 構 聲 譽 和 適 當 地 持 續 業 務 的 影 響 。 通 常 使 用 稱 為 風 險 分 析 的 工 具 來 確 定 哪 些 資 產 要 保 護 ， 它 們 對 適 當 營 運 / 機 構 交 易 的 相 對 重 要 性 ，以 及 優 先 順 序 安 排 保 安 保 護 的 排 名 / 水 平 。 其 分 析 結 果 將 會 清 楚 地 制 定 入 機 構 的 保 安 標 準 清 單 內 。

保 安 政 策 設 定 保 安 規 格 的 標 準 ， 並 說 明 了 哪 一 方 面 是 機 構 最 重 要 的 。 因 此， 可 視 保 安 政 策 為 必 要 的 基 本 原 則 ， 機 構 內 應 處 處 遵 行 之 ， 且 應 符 合 你 的 保 安 要 求 和 機 構 營 業 目 的 與 目 標 。

保 安 標 準 、 指 引 及 程 序 是 推 行 和 強 化 保 安 政 策 的 工 具， 應 詳 加 說 明 管 理 、 營 運 和 技 術 上 的 議 題 。這 些 文 件 提 供 詳 細 步 驟 和 建 議 ， 以 協 助 用 戶 和 系 統 管 理 員 遵 守 保 安 政 策 的 要 求 。 標 準 、 指 引 和 程 序 也 許 會 要 求 比 保 安 政 策 更 頻 繁 的 覆 檢 。

保 安 政 策 對 機 構 應 是 有 用 及 可 行 的 ， 應 考 慮 以 下 幾 點 ：

• 保 護 資 產 的 敏 感 性 和 價 值
• 法 律 要 求 、 規 則 和 政 府 法 律
• 機 構 目 標 和 商 業 目 的
• 推 行 、 分 佈 和 執 行 的 實 用 性

制 訂 保 安 政 策 需 要 積 極 的 支 援 ，和 來自 不 同 階 級 與 不同 功 能 之 各 部 門 的 持 續 參 與 ， 可 形 成 工 作 團 隊 或 專 門 小 組 來 制 訂 該 政 策 。 一 般 而 言 ， 該 團 隊 也 許 包 含 資 深 管 理 層 之 授 權 代 表 、 技 術 人 員 、 操 作 人 員 和 商 業 用 戶 。 資 深 管 理 層 以 機 構 目標 和 目 的 為 出 發 點 ， 能 提 供 全 面 指 引 、 評 估 和 決 策 訂 定 ， 而 技 術 人 員 能 提 供 技 術 支 援 和 不 同 保 安 技 術 機 制 的 可 行 性 。商 業 用 戶 代 表 的 是 可 能 受 政 策 直 接 影 響 的 相 關 系 統 用 戶 。 第 三 方顧 問 有 時 也 會 涉 入 ， 以 覆 檢 保 安 政 策 草 稿 。

首 先 ， 確 定 制 訂 保 安 政 策 所 需 人 員 。 其 次 ， 製 作 所 有 必 要 活 動 、所 需 資 源 及 流 程 表 的 計 畫 。 第 三 ， 決 定 保 安 要 求 和 根 據 該 要 求 ，制 訂 機 構 的 保 安 政 策 。 之 後 ， 覆 檢 起 草 的 保 安 政 策 ， 並 經 不 同 利 益 關 係 者 同 意 。 在 制 訂 保 安政 策 之 前 ， 該 程 序 會 重 複 數 次 。

因 科 技 、 商 業 環 境 和 保 安 標 準 會 隨 時 間 而 改 變 ， 應 定 期 覆 檢 保 安 政 策 ( 例 如 兩 年 一次 ) ， 以 跟 上 變 化 。

資 訊 科 技 保 安 政 策 必 須 說 明 能 被 改 變 的 程 序 和 行 為 ， 體 認 每 項 保 安 原 則 皆 有 例 外 也 是 很 重 要 的 。 盡 可 能 保 持 政 策 的 彈 性 ， 以 讓 政 策 長 期 皆 可 實 行。

資 訊 科 技 保 安 政 策 主 要 可 包 含 以 下 內 容 ：

• 什 麼 是 政 策 目 的 和 範 圍 ?
• 什 麼 資 訊 資 源 需 要 受 保 護 ?
• 誰 會 受 該 政 策 影 響 ?
• 誰 確 切 有 權 利 和 特 權 ?
• 誰 能 允 許 權 力 和 特 權 ?
• 什 麼 是 保 護 資 訊 資 源 的 最 低 限 度 措 施 ?
• 報 告 保 安 違 規 和 犯 罪 的 期 待 和 程 序
• 有 效 保 安 的 特 定 管 理 和 用 戶 責 任
• 政 策 有 效 日 期 以 及 修 訂 日 期 或 修 檢 時 間

有 了 保 安 政 策， 所 有 員 工 可 清 楚 地 了 解 保 護 機 構 內 資 訊 資 產 及 資 源 時 ， 可 被 允 許 及 不 被 允 許 的 行 為 ， 這 有 助 提 升 所 有 員 工 保 安 意 識 的 水 平 。 此 外 ， 保 安 政 策 提 供 發 展 詳 細 指 引 和 程 序 的 基 礎 ， 有 助 支 持 對 嚴 重 保 安 違 規 事 件 作 出 告 發 的 任 何 決 定 。

即 使 保 安 政 策 已 獲 得 核 准 ， 放 置 保 安 政 策 在 適 當 的 地 方 則 是 另 一 回 事 ， 其 需 要 一 系 列 的 步 驟 ：

保 安 意 識 和 訓 練
保 安 意 識 對 確 定 所 有 相 關 人 員 了 解 風 險 且 接 受 、 採 用 優 質 保 安 作 業 實 務 是 很 重 要 的 。 培 訓 和 教 育 可 提 供 用 戶 、 發 展 者 、 系 統 管 理 員 、 保 安 管 理 員 及 任 何 相 關 團 體 推 行 適 當 保 安 措 施 所 需 的 技 巧 和 知 識 。

承 諾 與 溝 通
除 非 所 有 用 戶 和 相 關 團 體 承 諾 將 會 完 全 遵 守 任 何 一 項 政 策 ， 否 則 無 法 全 面 推 行 。 要 確 保 與 用 戶 和 相 關 人 員 建 立良 好 的 溝 通 ：

• 當 他 們 新 加 入 機 構 時 ， 透 過 簡 報 或 是 新 進 人 員 培 訓 來 介 紹 政 策
• 邀 請 他 們 參 與 發 展 政 策 提 案
• 培 訓 他 們 遵 守 政 策 所 需 的 技 巧
• 令 他 們 感 覺 到 保 安 措 施 是 為 了 他 們 的 好 處 而 建 立 的
• 定 期 提 醒 他 們 並 教 導 新 的 議 題
• 確 定 他 們 已 經 簽 署 確 認 通 知 協 議 書
• 提 供 他 們 推 行 政 策 的 指 引

強 制 執 行 與 矯 正
這 指 的 是 政 策 推 行 時 的 強 制 執 行 權 力 工 作 ， 以 及 違 反 該 權 力 時 的 矯 正 行 動 。 機 構 應 該 設 定 程 序 ， 提 供 即 時 支 援 以 調 查 保 安 違 規。

所 有 團 體 的 持 續 參 與
一 項 有 效 力 的 保 安 政 策 也 須 依 賴 用 戶 和 企 業 單 位 之 間 持 續 的 資 訊 交 換 、 諮 詢、 協 調 及 合 作 ， 注 入 各 方 面 的 知 識 如 標 準 、 方 法 、 作 業 實 務 守 則 和 其 他 外 部 機 構 來 的 保 安 專 家 ， 也 有 助 保 持 最 新 及 恰 當 的 保 安 政 策 。

保 安 評 估 是 評 價 資 訊 科 技 環 境 的 保 安 狀 態 ，包 括 網 絡 和 資 訊 系 統 。 保 安 管 理 員 或 第 三 方 保 安 顧 問 通 常 會 使 用 專 門 設 計 來 搜 尋 保 安 風 險 和 內 部 主 機 及 工 作 站 漏 洞 的 軟 件 ( 稱 為 漏 洞 掃 描 器 ) 。 此 外 ， 作 業 程 序 的 適 當 性 也 在 保 安 評 估 中 核 定 。

總 而 言 之 ， 在 系 統 發 展 計 畫 的 初 期 或 何 時 會 有 重 大 資 訊 資 產 及 環 境 變 化 ， 都 應 執 行 保 安 風 險 評 估 ， 以 確 定 需 要 哪 種 保 安 措 施 。 因 為 保 安 漏 洞 隨 著 時 間 浮 現 ， 所 以 應 定 時 執 行 保 安 風 險 評 估 ， 如 每 兩 年 一 次 。

以 資 訊 科 技 保 安 政 策 或 標 準 為 基 礎 來 決 定 現 存 保 護 的 整 體 狀 態 ， 並 證 實 是 否 適 當 地 執 行 現 存 保 護 ， 此 過 程 便 稱 為 保 安 審 計 ， 其 著 重 於 決 定 是 否 依 照 資 訊 科 技 保 安 政 策 來 安 全 地 保 護 現 有 環 境 。

在 執 行 保 安 評 估 或 審 計 之 前 ， 機 構 應 定 義 保 安 審 計 的 範 圍 、 可 用 的 預 算 及 評 估 / 審 計 的 期 間。

保 安 審 計 只 提 供 特 定 時 間 顯 現 系 統 漏 洞 的 簡 要 印 象 。 因 科 技 與 商 業 環 境 日 新 月 異 ， 所 以 不 可 避 免 地 需 要 定 期 和 持 續 覆 檢 。 隨 著 企 業 的 重 要 性 不 同 ，保 安 審 計 也 許 需 要 每 年 或 每 兩 年 執 行 一 次 。

因 保 安 審 計 是 一 項 複 雜 的 難 題 ， 且 需 要 有 技 巧 和 有 經 驗 的 人 員 ， 所 以 必 須 小 心 計 畫 。 建 議 獨 立 且 可 信 賴 的 第 三 者 來 執 行 審 計 。 視 乎 內 部 員 工 的 技 巧 和 被 審 計 的 資 訊 之 重 要 性 / 敏 感 性 ， 該 第 三 者 可 以 是 企 業 內 另 一 組 別 的 員 工 或 外 部 審 計 團 隊 。

資 訊 科 技 保 安 事 故 是 指 資 訊 系 統 或 網 絡 的 不 利 事 件， 且 引 致 電 腦 或 網 絡 保 安 於 可 行 性、 完 整 性 和 保 密 性 方 面 受 到 威 脅 。 此 事 故 會 能 導 致 數 據 損 壞 或 披 露 資 料。

然 而 ， 例 如 自 然 災 害 、 硬 件 / 軟 件 故 障， 數 據 線 失 效 或 停 電 等 等 不 利 事 件 通 常 是 排 除 在 外 的。

處 理 保 安 事 故 是 指 一 系 列 的 持 續 過 程 ， 監 控 在 保 安 事 故 發 生 之前 、 發 生 當 時 和 發 生 之 後 的 活 動。

處 裡 保 安 事 故 開 始 於 計 畫 和 準 備 適 當 的 資 源 ，然 後 發 展 正 確 程 序， 以 供 遵 守 ， 例 如 升 級 (escalation) 和 保 安 事 故 應 變 程 序 。

當 發 現 保 安事 故 時， 負 責 人 員 遵 守 事 前 規 定 的 程 序 來 處 理 保 安 事 故 應 變 ， 保 安 事 故 應 變 代 表 著 處 理 保 安 事 故 的 活 動 或 行 動 ， 並 使 系 統 回 復 正 常 運 作 ， 通 常 會 發 展 特 定 事 故 應 變 團 隊 以 處 理 保 安 事 故 應 變 。

在 事 故 過 後 ， 採 取 跟 進 行 動 來 評 估 該 事 故 ， 且 加 強 保 安 保 護 ， 以 避 免 歷 史 重 演 。 計 畫 和 準 備 工 作 將 相 應 地 檢 討 及 修 改 ， 以 確 保 有 足 夠 資 源 ( 包 括 人 力 、 設 備 和 技 術 知 識 ) ， 並 妥 當 地 定 義 程 序 ， 以 便 在 未 來 處 理 類 似 事 故 。

入 侵 指 的 是 試 圖 損 害 資 訊 系 統 的 可 行 性 、 保 密 性 和 完 整 性 的一 連 串 活 動 。

入 侵 偵 測 是 發 現 入 侵 的 方 法 論 ，包 含 外 部 入 侵 者 侵 入 系 統 的 偵 測 與 內 部 用 戶 濫 用 系 統 資 源 。

防 火 牆 只 是 整 體 整 合 保 安 系 統 的 一 部 分 ， 它 們 有 其 限 制 。 防 火 牆 無 法 對 所 有入 侵 提 出 警 告 ，也 不 能 阻 止 所 有 保 安 違 規 。 除 非你 不 斷 監 控 入 侵 ， 不 然 你 無 法 知 道 你 的 防 火 牆 能 否 阻 擋 所 有 入 侵 ， 但 可 在 策 略 位 置 安 裝 及 使 用 IDS / IPS ， 每 天 每 分 每 秒 持 續 收 集 和 檢 查 可 疑 活 動 的 資 訊 。 IPS 也 提 供 積 極 的 應 變 糸 系 統 ， 以 便 阻 止 攻 擊 來 源 或 減 低 攻 擊 所 帶 來 的 影 響 。

入 侵 偵 測 系 統 不 能 幫 助 你 解 決 或 修 理 所 有 保 安 事 故 ， 也 不 能 告 訴 你 究 竟 是 誰 攻 擊 系 統 或 攻 擊 是 如 何 發 生 的 ， 以 及 攻 擊 者 的 意 圖 。它 只 能 提 供 攻 擊 來 源 的 資 料 和 產 生 攻 擊 的 IP 位 址 。 為 了 確 定 真 正 的 攻 擊 者 ， 你 必 需 分 析 所 有 相 關 紀 錄。

以 下 列 出 一 些 可 提 供 幫 助 的 網 絡 保 護 指 引 ：

• 保 持 簡 單 網 絡 (即 在 安 全 網 絡 和 不 安 全 網 絡 之 間 保 持 最 少 數 量 的 網 絡 介 面 點)
• 只 允 許 經 授 權 的 通 訊 進 入 安 全 的 網 絡
• 設 定 適 當 的 控 制 ， 以 限 制 連 結 到 外 部 / 不 安 全 的 網 絡
• 使 用 多 重 機 制 來 認 證 用 戶( 如 : 密 碼 系 統 加 上 事 前 註 冊 的 IP/IPX 網 絡 ， 還 有 事 前 註 冊 的 MAC 位 址 / 終 端 機 號 碼 )
• 使 用 網 絡 管 理 系 統 來 控 制 網 絡
• 在 透 過 網 絡 傳 輸 前 ， 使 用 經 證 明 過 的 加 密 演 算 法 來 加 密 資 料

實 體 保 安 指 的 是 保 護 硬 件 、 電 腦 設 備 和 其 他 資 訊 科 技 資 產 免 受 外 來 實 體 的 威 脅 ， 例 如 未 經 授 權 的 接 達 、 偷 竊 或 遺 失 在 運 送 到 外 面 場 地 時 的 備 份 媒 體 。

應 用 系 統 保 安 指 的 是 建 立 在 應 用 系 統 裡 面 的 保 安 措 施 ， 以 提 供 安 全 的 電 腦 環 境 。一 般 應 用 系 統 的 保 安 措 施 包 括 應 用 系 統 認 證 、 不 同 階 級 用 戶 的 接 達 矩 陣 、 輸 入 確 認 以 避 免 可 能 產 生 的 應 用 系 統 缺 點 ， 例 如 緩 衝 區 滿 溢 (buffer overflow) ， 以 及 應 用 系 統 紀 錄 特 色 (application logging features) 等 等 。 在 應 用 系 統 設 計 階 段 時 ， 應 用 系 統 擁 有 者 應 與 發 展 團 隊 根 據 應 用 系 統 的 重 要 性 ， 還 有 處 理 的 數 據 敏 感 性 ， 共 同 決 定 應 用 系 統 的 保 安 要 求 。

互 聯 網 是 網 絡 中 的 萬 維 網 絡 ， 使 用 TCP/IP 協 定 作 為 溝 通 工 具 。 互 聯 網 的 連 接 在 增 加 資 訊 的 接 達 方 面 帶 來 無 數 的 好 處 ； 然 而 互 聯 網 深 受 重 大 且 普 遍 的 保 安 問 題 所 苦 。

其 根 本 的 問 題 在 於 互 聯 網 並 沒 有 安 全 地 被 設 計 ，許 多 T C P / I P 服 務 對 於 保 安 威 脅 是 無 力 抵 抗 的 ， 例 如 竊 聽 和 仿 冒 ， 只 要 使 用 便 利 可 行 的 軟 件 ，人 們 便 可 以 監 控 和 捕 捉 電 子 郵 件 、 密 碼 和 檔 案 傳 輸 。

互 聯 網 服 務 需 要 強 大 的 認 證 機 制 和 密 碼 使 用 機 制， 而 這 些 機 制 必 須 在 不 同 機 種 之 間 可 以 互 相 通 用 。查 詢 互 聯 網 資 料 或 處 理 交 易 均 需 要 用 戶 認 證 ， 認 證 的 資 料 也 需 要 審 計 和 備 份 ， 且 應 妥 善 加 密 敏 感 和 個 人 的 數 據 。

總 之 ， 互 聯 網 保 安 涵 蓋 廣 泛 的 議 題，如 識 別 和 認 證 、 電 腦 病 毒 保 護 、 軟 件 執 照 、 遠 端 接 達 、 撥 接 接 達 、 實 體 保 安 、 防 火 牆 推 行 和 其 他 有 關 互 聯 網 使 用 方 面 的 議 題 。

當 你 在 網 上 填 寫 表 格 或 使 用 即 時 通 訊 工 具 與 不 明人 士 聊 天 時 ， 切 勿 在 網 上 分 享 你 的 個 人 資 料， 包 括 你 的 名 字 、 家 裡 住 址 、 電子 郵 件 地 址 、 身 份 証 號 碼 、 電 話 號 碼 等 等 ， 除 非 你 有 特 別 理 由 希 望 他 們 知 道 。 當 你 輸 入 你 的 個 人 資 料 時 ，應 設 置 適 當 的 保 安 措 施 如 SSL。

在 網 上 送 出 你 的 個 人 資 料 時 ， 請 特 別 三 思 ， 因 你 個 人 的 資 料 可 能 會 被 使 用 於 其 他 你 未 打 算 過 的 用 途 。 在 傳 送 和 儲 存 電 子 郵 件 之 前 使 用 數 碼 簽 署 並 加 密 訊 息 ， 以 保 護 你 的 電 子 郵 件 。 妥 善 保 管 你 的 個 人 電 腦 ， 因 其 有 可 能 遭 受 實 體 攻 擊 或 是 遭 竊 。 定 期 更 改 密 碼 並 將 其 保 密 ， 且 不 要 使 用 容 易 猜 到 的 密 碼 ， 如 字 典 上 的 字 。

用 戶 應 該 選 擇 難 以 猜 到 的 密 碼 ， 並 盡 可 能 將 其 保 密。 在 重 設 密 碼 之 後 或 收 到 新 密 碼 時 ，應 立 刻 更 改 密 碼 。 管 理 員 應 確 定 每 一 個 新 用 戶 都 拿 到 一 個 好 的 初 始 密 碼 ， 而 不 是 使 用 機 構 內 所 有 員 工 都 知 道 的 預 設 密 碼。 應 設 定 程 序 來 確 定 只 有 真 正 要 求 密 碼 的 那 個 人 可 以 得 到 密 碼 。 在 任 何 時 候 ， 密 碼 都 不 應 該 清 楚 地 在 螢 幕 上顯 示 出 來 。 在 儲 用 戶 密 碼 時 ， 也 應 使 用 安 全 演 算 法 加 以 加 密 。

任 何 時 候 都 應 妥 善 地 保 護 密 碼 。 當 儲 存 密 碼 於 數 據 庫 或 伺 服 器 時 ，應 利 用 如 接 達 控 制 和 加 密 等 保 安 控 制 來 保 護 密 碼 。 因 密 碼 是 登 入 系 統 時 重 要 的 憑 證 ， 所 以 當 傳 送 經 過 不 可 信 或 不 安 全 的 溝 通 網 絡 時 ，必 需 把 密 碼 加 密 。 假 如 密 碼 加 密 不 可 行 ， 應 推 行 其 他 控 制 如 更 頻 繁 地 更 改 密 碼。

你 應 該 考 慮 以 下 必 做 之 事 ：

• 執 行 抗 電 腦 病 毒 、 抗 間 諜 軟 件 和 最 新 惡 意 程 式 碼 定 義 檔 及 保 安 修 補 程 式 等 軟 件 的 自 動 更 新 功 能
• 安 裝 和 執 行 個 人 防 火 牆
• 確 保 密 碼 保 密 和 定 時 更 改 密 碼
• 安 全 保 護 可 攜 式 儲 存 設 備
• 加 密 敏 感 數 據
• 備 份 重 要 數 據
• 定 期 測 試 數 據 復 原 程 序

以 下 是 不 可 做 之 事 :

• 不 要 瀏 覽 可 疑 網 站
• 不 要 開 啟 從 陌 生 人 寄 來 的 電 子 郵 件 或 附 加 檔

此 外 ， 當 你 使 用 公 共 無 線 網 絡 及 / 或 公 共 電 腦 設 備 時 ， 應 要 小 心 注 意 數 據 的 安 全 。

假 如 你 依 以 下 各 點 來 保 護 你 的 電 腦 ， 你 便 可 以 成 為 一 名 聰 明 的 網 絡 用 戶 ：

• 安 裝 最 新 病 毒 識 別 碼 和 惡 意 程 式 碼 定 義 檔 的 抗 電 腦 病 毒 和 惡 意 程 式 碼 偵測 和 修 補 軟件 ，並 定 期 掃 描 全 部 的 系 統 。
• 安 裝 個 人 防 火 牆 軟 件 ， 保 護 電 腦 以 避 免 網 絡 入 侵 。
• 使 用 最 新 保 安 修 補 程 式 於 所 有 軟 件 和 應 用 系 統 中 。
• 執 行 電 腦 密 碼 保 護 且 定 期 更 改 密 碼 ， 以 避 免 電 腦 被 未 經 授 權 的 使 用 。
• 執 行 互 聯 網 下 載 的 軟 件 是 很 危 險 的 一 件 事 ， 要 特 別 注 意 ， 除 非 該 軟 件 來 源 是 已 知 和 可 信 任 的 。
• 沒 必 要 時 不 要 揭 露 你 的 個 人 資 料 。
• 當 使 用 完 網 絡 後 ， 要 儘 快 從 互 聯 網 離 線 。

資 訊 保 安 管 理 是 一 項 牽 涉 預 防 、 偵 測 、 反 應 程 序 的 綜 合 體 ， 它 是 反 覆 活 動 和 程 序 的 循 環 ， 需 要 無 間 斷 的 監 控 和 控 制 。 該 循 環 包 括 以 下 活 動：

• 評 估 保 安 風 險 : 執 行 保 安 風 險 評 估 ，以 確 定 威 脅 、 漏 洞 和 影 響 。
• 推 行 和 維 護 安 全 的 架 構 : 定 義 和 發 展 政 策 、 分 配 責 任 和 應 用 保 衛 措 施 。
• 監 控 和 紀 錄: 持 續 地 監 控 和 紀 錄 ， 如 此 ， 當 應 付 保 安 事 故 時 ， 才 能 採 取 適 當 的 安 排 。
• 覆 檢 和 改 善 : 定 期 執 行 覆 檢 和 保 安 審 計 ， 確 保 適 當 的 保 安 控 制 有 符 合保 安 要 求 。

你 應 該 依 據 以 下 各 點 自 行 檢 查 ， 以 找 出 你 機 構 內 的 資 訊 是 否 安 全 ：

• 我 的 機 構 是 否 有 自信 ， 機 構 內 的 網 絡 伺 服 器 正 妥 善 地 被 訓 練 完 善 的 人 員 保 護 和 管 理 ？
• 我 的 機 構 是 否 有 清 楚 的 政 策 列 明 誰 被 准 許 接 達 何 種 資 訊 ？
• 我 的 機 構 是 否 已 指 定 人 員 負 責 資 訊 保 安 管 理 ？
• 我 的 機 構 是 否 已 利 用 保 安 工 具 ， 例 如 防 火 牆 和 加 密 工 具 ？
• 我 的 機 構 是 否 已 有 計 劃 緊 急 應 變 和 從 災 害 中 復 原 ， 且 定 期 覆 檢 這 些 計 劃 ， 以 確 定 它 們 符 合 持 續 業 務 運 作 計 劃 ？

假 如 以 上 五 項 問 題 都 是 負 面 答 案， 你 的 機 構 將 可 能 依 然 面 臨 許 多 保 安 漏 洞 的 威 脅 。

無 線 局 部 區 域 網 絡 (WLAN) 是 一 種 使 用 高 頻 無 線 波 的 局 部 區 域 網 絡 ， 而 非 使 用 電 線 作 為 設 備 之 間 溝 通 的 橋 樑 。 WLAN 是一 種 彈 性 的 數 據 溝 通 系 統 ，用 來 作 為 有 線 LAN 的 替 代 品 或 是 延 伸 。 無 線 資 訊 的 溝 通 使 人 們 更 容 易 地 及 自 由 地 互 動 。 隨 著 科 技 的 進 步 ， 無 線 接 達 能 力 已 使 得 越 來 越 多 辦 公 室 或 公 共 場 所 部 署 該 項 科 技。

WLAN 以 IEEE 802.11 標 準 為 基 礎 ， 之 後 ， 例 如 802.11a、802.11b 和 802.11g 等 不 同 的 標 準 進 化 來 支 援 不 同 的 頻 率 範 圍 和 頻 寬 。 有 兩 個 IEEE 相 關 的 標 準 ：-802.1X 和 802.11i 。 802.1X 是 一 項 連 接 埠 接 達 控 制 規 約 ， 提 供 IEEE 網 絡 的 保 安 架 構 ， 包 含 以 太 網 和 無 線 網 絡。 而 802.11i 標 準 是 創 造 來 作 為 與IEEE 802.1X 一 起 操 作 的 無 線 規 格 保 安 功 能 。

WLAN 應 該 與 足 夠 的 認 證 和 傳 送 加 密 措 施 一 起 使 用，並 搭 配 適 當 的 保 安 管 理 過 程 和 作 業 實 務 。

• 時 常 將 城 市 無 線 服 務 視 為 不 可 信 賴 的 網 絡 ， 假 如 當 SSL 的 加 密 通 道 不 可 行 時 ，不 要 送 出 你 的 個 人 / 敏 感 資 料 。 在 沒 有 虛 擬 私 有 網 絡 (VPN) 保 護 或 其 他 類 似 加 密 機 制 確 保 通 訊 保 密 的 前 提 下 ， 從 城 市 無 線 服 務 接 達 到 公 司 的 伺 服 器 並 不 是 一 項 明 智 之 舉 。在 使 用 VPN 時 ， 應 該 停 止 使 用 分 割 通 道 技 術 （ 分 割 通 道 允 許 用 戶在 連 接 到 互 聯 網 的 同 時 ， 保 持 到 一 個 VPN 的 連 接 ）。
• 當 連 接 到 一 個公 共 熱 點 (hotspot) 時 ，用 戶 可 能 被 導 向 到 一 個 捕 獲 門 戶(Captive portal) 的 網 頁 。 攻 擊 者 可 能 會 設 置 虛 假 的 捕 獲 門 戶 網 頁， 以 獲 取 敏 感 資 料 。因 此，通 過 核 實 網 站 的 證 書 ， 鑒 別 捕 獲 門 戶 網 頁 的 真 偽 顯 得 尤 為 重 要。
• 有 些 作 業 系 統 提 供 為 用 戶創 造 一 個 首 選 無 線 網 絡 清 單 。 一 旦 這 份 清 單 確 定 後 ， 該 系 統 將 不 斷 尋 找 清 單 裡 的 首 選 網 絡 ， 並 嘗 試 自 動 連 接 到 首 選 網 絡 。 通 過 獵 取 這 種 個 人 設 備 發 送 出 來 的 資 訊 ， 攻 擊 者 可 以 設 置 一 個 假 的 無 線 接 駁 點 來 回 應 受 害 者 設 置 的 首 選 網 絡 清 單 裡 的 無 線 網 絡 連 接 請 求 。 這 樣 ， 用 戶 會 自 動 連 接 到 入 侵 者 的 無 線 網 絡 。 為 防 止 這 種 類 型 的 攻 擊 ， 首 選 網 絡 清 單 功 能 要 被 關 閉 或 移 除 。
• 應 避 免 電 腦 與 電 腦 之 間 的 對 等 無 線 聯 網 。 臨 機 操 作 模 式（Ad-hoc Mode）能 使 個 人 無 線 設 備 與 其 他 電 腦 直 接 無 線 連 接 ， 但 這 種 方 式 對 未 授 權 的 連 接 入 只 提 供 最 低 限 度 的 的 保 安 。 為 防 止 攻 擊 者 獲 取 資 訊 資 源 ， 個 人 無 線 設 備 應 該 關 閉 這 個 功 能 。 網 絡 資 源 分 享 功 能 也 應 該 關 閉。
• 在 連 接 到 城 市 無 線 網 絡 服 務 時 ， 為 了 保 護 自 己 的 電 腦 ，個 人 用 戶 應 該 運 行 著 帶 有 最 新 電 腦 病 毒 識 別 碼 的 抗 電 腦 病 毒 / 抗 間 諜 軟 件 ， 應 用 最 新 的 系 統 修 補 程 式， 以 及 開 啟 個 人 防 火 牆 。 儲 存 在 任 何 無 線 設 備 裡 的 敏 感 和 保 密 資 料 ， 應 以 嚴 格 的 加 密 演 算 法 進 行 加 密 。 在 公 共 場 所 連 接 到 互 聯 網 時 ， 常 用 的 安 全 措 施 如 開 機 密 碼 或 系 統 登入 認 證 、 和 密 碼 保 護 的 螢 幕 的 保 護 裝 置 程 式 等 也 應 該 使 用 。

• 在 即 時 通 訊 上 不 要 設 定 自 動 接 收 檔 案 傳 輸 。
• 在 開 啟 透 過 IM 接 收 的 任 何 檔 案 之 前 ，你 應 要 查 證 寄 送 者 確 實 寄 送 檔 案 給 你 ， 此 外 ， 在 開 啟 該 檔 案 前 ， 確 定 檔 案 已 被 抗 電 腦 病 毒 軟 件 掃 描 過。
• 絕 不 點 擊 在 IM 上 不 信 任 / 未 知 的 URL 連 結 。
• 絕 不 透 過 IM 寄 出 個 人 或 敏 感 資 料 ， 即 使 有 充 分 理 由 這 樣 做 ， 也 要 確 定 加 密 該 資 料。
• 使 用 最 新 修 補 程 式 隨 時 更 新 IM 軟 件 ( 和 其 他 系 統 零 件 ) ， 開 啟 個 人 防 火 牆 ， 安 裝 具 有 最 新 病 毒 識 別 碼 和 最 新 惡 意 程 式 碼 定 義 的 抗 電 腦 病 毒 軟 件 ， 以 及 安 裝 偵 測 和 修 補 引 擎。

• 電 腦 要 安 裝 抗 電 腦 病 毒 程 式 和 個 人 防 火 牆 ， 確 定 定 期 更 新 病 毒 識 別 碼 、 惡 意 程 式 碼 定 義， 以 及 偵 測 修 補 引 擎。
• 使 用 最 新 保 安 修 補 程 式 。
• 移 除 電 腦 所 有 不 必 要 的 用 戶 特 權 。
• 為 了 正 常 運 作 ， 對 等 式 (P2P) 應 用 程 式 需 要 在 防 火 牆 上 開 啟 許 多 連 接 埠 ，假 如 不 需 要 分 享 檔 案 ， 應 關 閉 不 必 要 的 連 接 埠 區 域 。
• 假 如 需 要 使 用 對 等 式 下 載 ， 建 議 你 在 完 成 下 載 後 ， 離 開 對 等 式 應 用 程 式 。
• 不 要 從 不 信 任 或 可 疑 來 源 下 載 檔 案 。
• 絕 不 下 載 兒 童 色 情 圖 片 和 其 他 非 法 物 件， 包 括 盜 版 軟 件 。

• 改 變 預 設 設 定 值 ， 例 如 管 理 密 碼 和 WPA 加 密 匙 ， 以 加 強 FON 接 達 點 的 保 護。
• 應 在 連 接 於 家 居 網 絡 的 所 有 電 腦 裝 置 安 裝 防 火 牆 ， 以 抵 禦 可能 來 自 私 人 無 線 局 部 區 域 網 絡 的 攻 擊 。
• 在 連 接 到 FON Wi-F 網 絡 之前 ， 應 裝 設 和 運 行 充 足 的 保 安 措 施 （ 如 安 裝 抗 電 腦 病 毒 軟 件、 最 新 的 保 安 修 補 程 式 及 個 人 防 火 牆 ）。
• 應 採 用 加 密 技 術 保 護 儲 存 於 流 動 裝 置 的 敏 感 或 保 密 資 料 ， 以 及 為 連 接 至 公 司 伺 服 器 的 通 訊 或 其 它 交 易 服 務 提 供 保 障 。
• 接 駁 點 必 須 時 常 安 裝 最 新 的 修 補 程 式 ， 如 你 正 使 用 La Fonera 路 由 器 ， 應 確 保 從 FON 提 供 的 自 動 固 件 更 新 功 能 操 作 正 常。

• 更 改 預 設 用 戶 名 稱 和 密 碼 ， 因 為 預 設 值 往 往 容 易 被 猜 出 來 。 有 一 些 製 造 商 也 許 不 會 讓 你 更 改 用 戶 名 稱 ， 但 你 至 少 應 要 更 改 密 碼 。
• 建 議 用 戶 應 關 閉 SSID 廣 播 或 增 加 「Beacon Interval」至 最 大 值 。
• 預 設 的 SSID 應 予 以 更 改 ， 新 的 SSID 不 應 以 自 己 的 名 字 或 其 它 個 人 資 料 命 名 ， 否 則 將 有 助 攻 擊 者 收 集 你 的 資 料 。
• 如 可 行 的 ， 應 避 免 使 用 WEP 。 假 若 裝 置 能 支 援 其 他 的 加 密 模 式 ， 應 採 用 WPA2/AES或WPA/AES 。
• 不 應 採 用 共 享 式 密 碼 匙 認 證 ， 反 而 應 考 慮 802.11i 標 準 中 訂 立 的 強 化 相 互 認 證 。
• 建 議 啟 動 MAC 位 址 過 濾 作 為 另 一 層 保 護 。
• 盡 量 關 閉 DHCP 功 能 ， 因 為 DHCP 容 易 讓 惡 意 攻 擊 者 接 達 無 線 網 絡 。

• * 關 掉 與 保 安 漏 洞 相 關 的 服 務 或 功 能
• * 採 用 或 增 加 接 達 控 制
• * 增 加 系 統 的 監 控 以 偵 測 和 預 防 實 際 的 攻 擊