使 用 軟 件 須 知

許 多 電 腦 軟 件 均 可 作 為 資 訊 保 安 的 工 具 。

要 做 的 事

• 要 使 用 抗 電 腦 病 毒 軟 件 ， 並 要 經 常 更 新 。
  
• 要 先 用 抗 電 腦 病 毒 軟 件 掃 描 磁 碟 、 光 碟 及 其 他 儲 存 媒 體 （ 尤 其 是 來 歷 不 明 者 ） ， 然 後 才 開 啟 使 用 。
  
• 要 考 慮 採 用 防 火 牆 等 保 安 措 施 ， 以 保 護 採 用 寬 頻 接 駁 互 聯 網 的 電 腦 。
  
• 要 在 電 腦 內 應 用 最 新 版 本 的 軟 件 及 修 正 檔 案 ， 以 堵 塞 已 知 的 保 安 漏 洞 。
  
• 要 定 期 備 份 系 統 及 數 據 ， 並 且 妥 為 保 存 。 利 用 備 份 檔 案 復 原 流 失 的 數 據 是 最 安 全 及 有 效 的 方 法 。
  
• 要 按 照 安 裝 指 示 來 安 裝 電 腦 軟 件 。
  
• 要 按 照 許 可 證 條 款 及 協 議 來 使 用 電 腦 軟 件 。

不 要 做 的 事

• 不 要 使 用 非 法 、 不 可 信 賴 或 令 人 生 疑 的 來 源 的 電 腦 軟 件 及 程 式 。
  
• 不 要 在 未 取 得 版 權 擁 有 人 或 特 許 持 有 人 明 確 批 准 前 下 載 電 腦 程 式 。

使 用 開 放 源 碼 產 品 的 指 引

開 放 源 碼 軟 件 通 常 指 的 是 軟 件 的 原 始 碼 是 開 放 的 ， 准 許 任 何 人 讀 取 、 使 用 和 改 寫 。 開 放 源 碼 軟 件 已 漸 漸 獲 得 接 受 ， 即 使 是 企 業 營 運 下 的 環 境 也 接 受 這 趨 勢 。

要 安 全 地 使 用 開 放 源 碼 軟 件 ， 以 下 是 一 些 給 用 家 作 指 引 的 保 安 貼 士 :

• 只 從 可 信 任 的 網 站 下 載 開 放 源 碼 產 品 ， 例 如 軟 件 開 發 者 的 官 方 網 站 ， 以 避 免 事 先 置 入 惡 意 程 式 碼 的 潛 在 風 險 。
  
• 下 載 原 始 碼 ， 而 非 編 譯 過 的 套 裝 軟 件 ， 如 此 ， 可 核 對 原 始 碼 是 否 符 合 MD5/SHA-1 校 驗 和 （ checksum） ， 並 分 析 保 安 漏 洞 ， 和 進 行 編 譯 ， 以 求 符 合 機 構 的 特 殊 需 求 。
  
• 詳 細 研 讀 產 品 文 件 ， 以 獲 得 保 安 配 置 參 數 的 詳 細 說 明 。
  
• 假 如 發 現 產 品 的 保 安 漏 洞 ， 便 應 檢 查 是 否 有 既 定 的 通 報 程 序 ， 並 確 定 妥 善 維 護 和 處 理 該 產 品 的 所 有 保 安 議 題 。
  
• 定 期 檢 查 一 般 保 安 漏 洞 資 料 庫 ， 例 如 CVE（ Common Vulnerabilities and Exposure） ， 此 類 資 料 庫 發 布 任 何 有 關 開 放 源 碼 產 品 保 安 漏 洞 的 資 訊 。

如 果 你 的 機 構 正 在 使 用 開 放 源 碼 軟 件 ， 你 應 該 考 慮 以 下 提 示 :

• 制 定 完 善 記 錄 的 保 安 政 策 ， 並 確 定 嚴 格 執 行 該 政 策 。 當 企 業 需 要 改 變 時 ， 也 須 修 訂 該 政 策 。
  
• 採 用 縱 深 防 禦 （ defence-in-depth） 策 略 ， 可 完 全 應 付 開 放 源 碼 產 品 和 網 絡 之 間 不 同 水 平 所 引 起 的 威 脅 。
  
• 對 機 構 內 員 工 提 供 適 當 訓 練 ， 以 支 援 和 維 護 開 放 源 碼 產 品 。 把 所 有 作 業 實 務 和 配 置 程 序 進 行 合 適 的 文 件 記 錄 ， 以 避 免 因 職 務 調 動 或 離 職 而 引 起 的 問 題 。