第十章、資訊安全

1. 第十章、資訊安全 組員:N10114105黃柏翔N10114112黃子峰 N10114127許宏瑋N10114128劉修驛 N10114135蘇耿毅N10114147余比穹

2. 何為資訊安全是什麼 簡稱資安，意為保護訊息及訊息系統免受未經授權的進入、使用、披露、破壞、修改、檢視、記錄及銷毀。 政府、軍隊、公司、金融機構、醫院、私人企業積累了大量的有關他們的僱員、顧客、產品、研究、金融資料的機密訊息。絕大多數此類的訊息現在被收集、產生、儲存在電子電腦內，並透過網路傳送到別的電腦。 萬一諸如一家企業的顧客、財政狀況、新產品線的機密訊息落入了其競爭對手的掌握，這種保安性的喪失可能會導致經濟上的損失、法律訴訟甚至該企業的破產。保護機密的訊息是商業上的需求，並且在許多情況中也是道德和法律上的需求。 對於個人來說，資訊安全對於其個人隱私具有重大的影響，但這在不同的文化中的看法差異相當大。 參考資料維基百科

3. 資訊安全的重要性 • 現今的科技社會，大多數以電子化的傳遞方式作為溝通的管道，因此在我們的生活週遭沖斥著各種不同的資訊來源，而這些資訊只要是對個人或是對企業組織具有重要價值，且需要持續被適當的保護，那麼這些資訊即為企業的重要資產，為了保護這些重要資產，所以必須有完備且安全的妥善措施來加以保護。 • 網路環境日趨複雜，因此大家會認為架設防火牆以防止外部駭客入侵進而破壞或竊取資訊，安裝防毒程式、防毒牆以防止因病毒感染而癱瘓網路或毀損資料檔案，或是定期做好重要資料的備份等措施，這麼一來就已經做好了資訊安全的防護工作，基本上這樣的觀念對於資訊安全來說只是狹隘且消極的做法。 參考資料鼎新電腦專案經理 許X萍

4. 風險來自於哪裡？ • 安全威脅來自何處？ • –攻擊類型、攻擊方式、攻擊位置 • –內部隱憂外部威脅 • –蓄意、故意、無意 • –人為、自動 • –天然災害、人為疏失 • 沒有一天是安全的

5. 資訊安全的防護 • 資訊安全的基本功能及目的不外在提供資料和資源的

6. Confidentiality (機密性) • 確保資料傳遞與儲存的私密性。 • 避免未經授權的使用者有意或無意的揭露資料內涵。 • 機密性資料傳遞和儲存時務必加密處理。

7. Integrity (完整性) • 避免非經授權的使用者或處理程序篡改資料。 • 所使用的文件經傳送或儲存過程中必需證明其內容並未遭到竄改或偽造才能稱為完整性。

8. Availability (可用性) • 讓資料隨時保持可用狀況。 • 企業資料必需即時並可靠的提供給企業內部各個層級的使用需求。 • 系統的高度可用性通常指的是必需確保不能中斷服務。

9. 不可否認性 防止存心不良的使用者否認其所做過的事，包括送出信件，接收文件，存取資料等。 即交易的收發雙方參與安全管制並無法否認執行過的交易例如數位簽署就具備不可否認性。 身分鑑別 辨別資訊使用者的身份即可以記錄資訊是被誰使用過 例如帳號、身份字號、員工編號。 存取權限控制 依照身份給予適當的權限。 例如：銀行的櫃臺是不被允許進入保險櫃，僅有組長以上的權限才能進入。

10. 資訊安全防護體系

11. 影片欣賞 • http://www.youtube.com/watch?v=kA1xA1LShlM

12. 安全四階 整個資訊安全防護體系其實是要達到四個目的： • 嚇阻(Deter) 讓入侵者在面對目標時，會因為風險或代價太大而心生 畏懼，因而打消入侵行為。 • 偵測(Detect) 當入侵發生時，能夠及時發現。 • 阻延(Delay) 使入侵行為困難，必須使用工具，耗費更多的時間和精力，以增加其被發現的機會。 • 禁制(Deny) 就是阻止入侵行為。

13. 電腦犯罪的類型 • 資料竄改：利用一些非法的手段來改變電腦系統中重要的資料。 • 特洛伊木馬：是指在電腦程式中擅加一些指令，而使得此程式不但能正常工作，而且還能執行一些未經授權的作業。 • 邏輯炸彈：是指一個程式或片段程式，它們可以被設計成隨時或在某個特定的時刻來執行某些為授權的行為。 • 電腦病毒：通常是經由網路下載程式的方式或磁碟，所傳輸的一段破壞性的程式。 • 電腦駭客：是指人們因興趣而利用電腦或終端機強行突破某些電腦系統的安全管制措施的行為。 • 電腦蟑螂：專門在網路上登記知名企業的名稱作為網址，然後再以高價向企業兜售的人。 • 軟體盜版：凡是未經過授權的複製或使用電腦程式都算構成犯罪。 • 盜拷電話：是指將欺瞞手機的擁有人和電話公司，不花分毫的使用電話。。 參考資料 教育部

14. 結論 • 資訊安全對於生活非常重要，不論公司、個人、國家，也說明了攻擊的發生無所不在與無法預測，沒有一個時間點零時差攻擊，竊取資料獲得利益。 • 資訊安全是必須靠單位內的每一份子來共同維護。 -觀念灌輸 -教育訓練 -獎勵措施