作者

潘后儀 / 資料參考: 廠商提供

觀點說

趨勢科技營運長 Kevin Simzer :「資安曝險管理應是所有企業的第一要務。」

by 潘后儀 / 資料參考: 廠商提供
作者 潘后儀 / 資料參考: 廠商提供

近期，趨勢科技全球風險研究發布一份，委由 Sapio Research 訪問 2,250 名 IT 和/或網路資安負責人，其中涵蓋多樣態的垂直產業、企業規模，以及歐洲、北美與亞太地區等 21 個國家。

報告中提到 2024 年初，國家網路安全中心 ( NCSC )預測，人工智慧「幾乎肯定會在未來兩年內增加網路攻擊的數量並加劇其影響」，以及 Gartner 目前預測，在兩年內人工智慧代理( AI agents )將會把威脅者劫持暴露帳戶的時間縮短至 50%。報告進一步觀察到，暗網上關於惡意人工智慧工具的討論次數增加為 219%，然而只有 53% 的受訪者認為人工智慧的複雜性和規模將會成長， 此數據反應出，攻擊風險與威脅認知和警覺性，兩者之間存在著令人擔憂的落差。

AI is accelerating Cyber Risk Exposure 1

我們相信大多企業都有所認知資安風險的威脅對於其企業營運、業務，甚至在供應鏈之間互動均有相當大的影響，在報告中也提到，73% 受訪企業承認經歷過未知或未經管理的資產所發生的資安事件，91% 認為攻擊面管理與業務風險，有著直接或某種程度的緊密關聯，同時許多人指出攻擊面管理對營運連續性、市場競爭力、品牌聲譽、供應商關係、財務表現甚至員工生產力都構成營運上的威脅，然而儘管企業有顯著的威脅認知，該研究仍顯示僅有 43% 的受訪企業採用專業工具來主動管理其攻擊面的風險。這也是認知與行動上落差上令人擔憂的呈現。

AI is accelerating Cyber Risk Exposure 2

報告中表示，從過往的資安事件觀察，均是威脅者主動出擊，如今為了自身企業安全，防禦者該有所做為，採取主動資安措施來防範與管理網路風險的時候。如同，趨勢科技營運長Kevin Simzer表示 :「資安曝險管理應是所有企業的第一要務。」。

詳細的報告內容歡迎下載閱讀。https://www.trendmicro.com/explore/aichangingcyberrisk

*首圖來源：趨勢科技 AI is accelerating Cyber Risk Exposure 報告封面，《説資安》再製。

0 TwitterPinterestLinkedinWhatsappTelegramLINEEmail
編輯台

威脅行為者濫用 Microsoft Teams 與遠端管理工具進行資料竊取與部署勒索攻擊

by 潘后儀 / 資料參考: 廠商提供
作者 潘后儀 / 資料參考: 廠商提供

Sophos X-Ops 研究團隊發現STAC5143與社交工程威脅行為聞名的Storm-1811 有關，另一個STAC5777威脅攻擊行為者牽涉到俄羅斯網路犯罪組織 Fin7。

Sophos X-Ops 研究團隊於今年1月下旬發表，發現兩起威脅攻擊行為的行動，分別由 STAC5143 和 STAC5777 進行不同的威脅攻擊且濫用 Microsoft Office 365 平台及 Quick Assist 等遠端管理工具。研究顯示過去三個月期間，觀察超過 15 起類似的事件，有一半頻繁發生於過去的兩週內，明顯表示這兩起威脅攻擊者的行動，處於高度活躍狀態，並以竊取企業的資料和部署勒索軟體為目的。

研究團隊發現這兩個威脅行為者採用共同的策略，其中包括電子郵件炸彈 (Email bomb)、語音釣魚 (Vishing，結合語音和網路釣魚，社交工程詐騙的手段之一) 和使用微軟遠端控制工具。威脅行為者的攻擊過程，如下:

  • 鎖定使用 Microsoft Teams 的企業中少數幾位特定員工作為攻擊目標 。
  • 在極短的時間內向這些員工發送成千上萬封垃圾郵件 : 其中一起案例中在不到一小時內發送了超過 3,000 封郵件 。(電子郵件炸彈手法)  
  • 透過 Microsoft Teams 的語音和視訊通話進一步聯繫，聲稱要協助解決垃圾郵件問題 。
  • 利用「快速助手」(Quick Assist) 或 Microsoft Teams 的螢幕共享功能控制目標員工的電腦，並部署勒索軟體。

Sophos X-Ops 研究團隊表示，發佈此項研究目的是協助企業防禦這一波活躍的攻擊行動，並提高對其影響日益增加的認識。 同時也給予些建議做為遇到類似事件時的防護因應。

  1. 企業使用 Microsoft 365 能提高警惕，並且檢查企業內的設定。
  2. 企業盡可能阻止外部帳戶訊息，並封鎖不經常使用的遠端存取工具和遠端機器管理工具。
  3. 監控潛在的惡意程式流量的來源。
  4. 強化與更新企業內員工的資安意識，其中包括電子郵件炸彈 (Email bomb)和語音釣魚 (Vishing)。

Sophos X-Ops完整報告，歡迎閱讀：https://reurl.cc/DK7Qb6

0 TwitterPinterestLinkedinWhatsappTelegramLINEEmail
HITCON CISO Summit 2024
編輯台

超過 8 個國家、逾200名全球資安要角齊聚台灣 – HITCON CISO Summit 2024

by 潘后儀 / 資料參考: 廠商提供
作者 潘后儀 / 資料參考: 廠商提供

成立於 2015 年財團法人台灣駭客協會 (HIT)，主要以推廣資訊安全，扮演政府、企業與民間的最佳溝通與合作的橋梁，同時傳遞全球關鍵的資訊安全議題給予社會大眾為宗旨，HIT 協會至今從未懈怠。HITCON 台灣駭客年會，則是台灣駭客協會所專注推廣的資安教育系列中一個主要的活動平台，重中之重。

邁入第20年的 HITCON 台灣駭客年會，每年在台灣舉辦持續累增上千名的從事資安工作的人員與相關技術研究者齊聚一堂，這幾年，來自全球各地資安高手，以及指標性的資安專家也陸續相繼出現 HITCON 活動現場與大家分享資安議題與發展的趨勢。

日前，台灣駭客協會 (HIT) 主辦一場邀請制的閉門會議 HITCON CISO Summit 2024 資安長高峰會議，今年是第三年，無論是受邀貴賓的職務、參與的國家或是會議討論的主題，每年逐步拉高層級與專業深度，同時更為聚焦專門為參與的來賓量身訂製的閉門交流會議，今年 (113) HITCON CISO Summit 則匯集近 200 名來自台灣、美國、英國、日本、韓國、新加坡、泰國、菲律賓等 8 個國家，頂尖產官學界的資安決策者，齊聚一堂。主辦單位 HIT 台灣駭客協會透過專題演講與圓桌會議交流的形式，於會議中探討國際與公私聯防，以及在 AI 時代下建構企業的資安政策與未來發展方向等議題。

HITCON CISO Summit 2024 的開幕嘉賓，主辦單位邀請國家安全會議諮詢委員李育杰、美國在台協會處長谷立言等，總統賴清德也同時送上賀電，肯定 HITCON CISO Summit 資安長高峰會對台灣產業的重要性。會議的現場安排四場專題演講，分別邀請美國網路安全暨基礎設施安全局（CISA）、日本 NTT Security，以及 Google 的亞太區資安長，對於如何促進科技生態系安全的全球計畫、電信集團的網路安全挑戰，以及資安與 「負責任」的人工智慧等最近所討論的熱門議題進行分享。

4 8 edited
國家安全會議諮詢委員 / 李育杰
3 3 edited 1
美國在台協會（AIT）處長 / 谷立言

我國數位發展部部長黃彥男分享，國家資安戰略與數位發展部的資安韌性推動策略要點和實作，內容提及結合政府跟民間的力量，透過數位治理強化民主治理，以及公私機關協作資安的項目，包含持續推動資安策略、共同防禦、資安培訓計畫和產業環境完善等。此次受邀的與會貴賓多達 200 名來自百工百業的菁英，HIT 規劃圓桌會議的安排達15桌次，每個桌次所討論的議題非常豐富與扎實，分別有人才培育、半導體安全、金融資安、風險管理、智慧製造、資安長管理、資安政策與發展方針、資安韌性、關鍵基礎設施等，讓會議進行期間與貴賓彼此互動相當熱絡。

5 2 jpg
數位發展部部長 / 黃彥男

HITCON CISO Summit 2024 總召集人鄭仲倫（Mars Cheng）表示，為CISO資安長量身打造專屬的活動與國際長期鏈結，是HIT初衷也是目標。資安長的高峰會議，我們以聚焦資安長目前面臨真正的需求與痛點為主軸，並邀請海內外產官學專家於會議中深入分享與提供解決的方向，也期許日後將會議所交流的知識內容，進一步成為亞洲資安長的知識庫，因此我們台灣駭客協會 HIT 也將更加努力精益求精的延續下去 HITCON CISO Summit 資安長高峰會。

2 6 jpg
HITCON 20 周年，再次升級 CISO Summit，匯聚近 200 位來自台灣、美國、英國、日本、韓國、新加坡、泰國、菲律賓等 8 個國家的政府單位、組織及企業，齊聚 10 月的台北

此外，HITCON（台灣駭客年會）歡慶 20 週年慶，系列第二場活動台灣駭客年會- 企業場（HITCON Enterprise 2024）將於 10 月 30 日登場。以「HITCON 20 年：從人類到 AI，駭客精神共融進化」為主題，將邀請到來自美國、日本的全球資安界重量級人物親臨現場，還有來自台灣政府、資安公司與社群組成的「台灣隊」，不藏私公開 AI 時代之下最有料企業資安實務。有興趣的朋友也歡迎您報名參加。

HITCON Enterprise 2024 台灣駭客年會企業場
日期：2024.10.30 (三) 10:00 – 17:30
地點：台北松山文創園區 – 多功能展演廳(台北市信義區光復南路 133 號 2 樓)
大會議程 (與報名)：https://hitcon.org/2024/ENT/

  • 照片來源 : HITCON 提供
0 TwitterPinterestLinkedinWhatsappTelegramLINEEmail
編輯台

IBM 2023年報出爐：斥資近70億美元研發AI、量子、半導體

by 潘后儀 / 資料參考: 廠商提供
作者 潘后儀 / 資料參考: 廠商提供

編輯推薦: 這篇是IBM 董事長暨執行長克許納（Arvind Krishna）「致 IBM 投資人」的一封信件內容摘要，於日前IBM發布2023年企業年報所公開出來的，編輯整理出三段內容，分別為「技術和行業應用」、「科技研發成果分享」、「IBM 車庫方法論」，提及IBM不但持守也實現三年前(2020)四月對客戶與夥伴所許下的承諾。

2023 年，IBM聚焦於混合雲和人工智慧（AI）為當今最具變革力的科技，透過IBM旗艦級 AI與資料平台產品watsonx，協助重新打造客戶服務，現代化海量的代碼，以自動化的企業流程提升員工生產力。2023年，IBM 的總營收為 619 億美元，按固定匯率計算成長 3%，自由現金流112 億美元，與2022年相比成長 19 億美元，且IBM投資於公司業務發展的金額十分可觀，為投資人創造價值，2023 年斥資近 70 億美元於研發領域，支出超過 50 億美元收購 9 家公司且派發股息超過 60 億美元。

技術和行業應用

AI 和混合雲科技持續驅動價值創造，使企業得以擴大規模、提高生產力、抓住新的商機。IBM 已經建立兩個強大的技術平台，即為AI而生的watsonx平台與為混合雲而生的 Red Hat OpenShift平台，並從企業對這兩項科技的強勁需求之中獲益。

AI而生的watsonx平台

watsonx 是一個完整的 AI 與資料平台，目的提供 AI 模型，協助客戶管理企業級AI應用的全生命週期，包括訓練、調校、建置與持續管理這些模型。隨著客戶從體驗生成式 AI 、轉到在全企業裡打造與建置AI，IBM 聚焦於實際且重要的應用場景，包括代碼現代化、客戶服務和數位員工。

行業應用如下:

  • 花旗銀行、巴西Bradesco銀行和英國NatWest銀行等金融機構，運用 watsonx 提升生產力、改善應用程式代碼品質、提升客戶體驗。
  • 安永會計師事務所推出的全新EY.ai 人資解決方案，則使用 watsonx Orchestrate讓HR 工作與流程自動化。
  • NTT Data Business Solutions、Wipro 和 TCS 等合作夥伴成立watsonx 卓越中心，以協助企業擴大AI創新領域。
  • watsonx 的生成式 AI功能與 IBM諮詢部門相結合，持續強化美國網球公開賽、美國名人賽、溫布頓網球公開賽、葛萊美獎和 ESPN旗下遊戲Fantasy Football的數位體驗。
  • IBM 員工也在運用 watsonx 提高自身的生產力，工作流程化繁為簡，將人工作業自動化，例如更輕鬆地處理 HR 和 IT 工作，代碼生成速度提升60%、且更快地回覆客戶詢問。

混合雲而生的 Red Hat OpenShift平台

混合雲架構已經被廣泛採用，近 80% 的 IT 決策者表示運維為混合雲環境；然而有近三分之二的企業卻表示IT環境複雜，管理不易，因此隨著他們在多雲環境中採用生成式 AI，將會是項更為嚴峻的挑戰。

Red Hat OpenShift的IBM混合雲平台，可以協助客戶從被動地接受既成的混合架構（hybrid by default），轉換到主動打造的混合架構（hybrid by design）；使企業在混合多雲環境（包括公有雲和私有雲）無縫地運行工作負載，簡化營運，統一資料和應用，加速創新。它同時也為watsonx 平台提供了關鍵性的支持，使客戶能夠靈活地管理在複雜的多雲環境裡運行的眾多 AI模型。

頁次: 1 2 3

0 TwitterPinterestLinkedinWhatsappTelegramLINEEmail
編輯台

[工商] Whoscall推出新功能:自動化保護，避免個資外洩

by 潘后儀 / 資料參考: 廠商提供
作者 潘后儀 / 資料參考: 廠商提供

編輯推薦: 文中有段達文西個資暨高科技法律事務所所長葉奇鑫律師分享對於防詐騙、防個資外洩與時俱進的思維，葉律師說「詐騙已經AI化，個人很難有能力抗衡，因此必須借助科技工具，用AI對抗AI或自動化保護功能，來避免個資外洩…」

去年(2023)立法院三讀通過「個人資料保護法」的部份條文，要求成立「個人資料保護委員會」明定此委員會既是個資法主管機關也是獨立機關身分，同年三月金管會強化上市（櫃）公司資訊安全管理機制，也修訂相關法規，要求上市(櫃)公司於發生重大資安事件時，應即時發布重大訊息，盡到資訊揭露之責等，透過這幾項重大法規的要求，我們可以警覺到無論從民眾個人或是企業的個資外洩事件持續延燒，再者每日頻繁的詐騙事件新聞，也可嗅出我國「個資外洩」的嚴重性。

面對個資外洩，民眾如何自保或應對？

根據Gogolook調查，台灣電話號碼的外洩率高達65％，在亞洲僅次於馬來西亞的73%，但高於日本的56%與泰國的45%。我國戶政司統計，20歲至65歲人口約1,600萬人視為電話號碼擁有者為推估，全台約有1,040萬人受到威脅。由於個資外洩是詐騙集團掌握民眾聯繫方式進而展開詐騙攻擊的關鍵第一步，常見大規模外洩的多為企業或政府資料庫遭駭，零星事件則出現在民眾誤入釣魚網站、陌生問卷表單，甚至是參與來路不明的心理測驗遊戲，形同將個人資訊打包拱手送出。

達文西個資暨高科技法律事務所所長葉奇鑫律師表示，詐騙已經AI化，個人很難有能力抗衡，因此必須借助科技工具，用AI對抗AI或自動化保護功能，來避免個資外洩，隨著政府將建立新的個資保護規範下，消費者的個資若因企業平台漏洞而外洩，消費者將能更有效的依循法律途徑獲得保障。而對於鮮少使用的服務，消費者也可有權主動要求企業刪除相關個人資料與紀錄，降低個資外洩的風險。

此外，眼見信用卡個資外洩而遭盜刷的案例也層出不窮，金融媒合平台「袋鼠金融」提醒，若不慎在不明網站上輸入信用卡或金融卡資訊，請務必盡快撥打銀行機構的24小時客服電話進行停卡並前往警察局報案，避免遭到盜刷，尤其是金融簽帳卡資料若外洩，盜刷、扣款是不需要OTP驗證，更易造成財務損失的風險。

Whoscall新功能「個資外洩偵測」提前阻斷詐騙風險

Gogolook（走著瞧股份有限公司）旗下個人數位防詐App Whoscall於四月初宣布推出新功能「個資外洩偵測」，提供全球用戶免費查詢個人資料外洩風險，除了大幅降低民眾掌握個資權益的門檻，更能從詐騙源頭防範威脅、超前應對。Gogolook消費者防詐事業群總監劉彥伯指出：「這次的新功能將讓Whoscall不只能夠被動預防詐騙，而是在詐騙來襲前主動預警並加強防範。接下來，我們也會持續精進偵測的性能，朝向自動定期偵測、主動通報發展，同時也會再擴大查詢項目到Email等範疇。隨詐騙手法與場景的多元化， Whoscall積極拓展防詐技術與創新功能，繼續扮演用戶行動裝置中必備的防詐App。」

［產品說明］

Whoscall推出最新功能「個資外洩偵測」，於雙平台（iOS/Android）均可使用，您只需下載Whoscall，即能在App首頁中免費啟動偵測功能，依循引導流程操作30秒內即可完成查詢步驟。用戶僅要輸入手機號碼並通過OTP簡訊驗證，Whoscall即能從以該號碼為查詢基礎，偵測過往的外洩紀錄，以及是否有相關帳號、密碼、姓名、地址與Email也於同次外洩事件遭到外流或在非法場域中受到兜售，皆能一目瞭然，最後Whoscall也會引導用戶針對外洩的個資項目進行補救建議。

Whoscall新功能「個資外洩偵測」使用說明（Android） 1
Whoscall新功能「個資外洩偵測」使用說明（Android） 2
Whoscall新功能「個資外洩偵測」使用說明（iOS）
0 TwitterPinterestLinkedinWhatsappTelegramLINEEmail
Red Hat 2024 年全球技術趨勢報告 : 數位轉型階段「IT優先投資」
觀點說

Red Hat 2024 年全球技術趨勢報告:數位轉型階段「IT優先投資」

by 潘后儀 / 資料參考: 廠商提供
作者 潘后儀 / 資料參考: 廠商提供

今年三月中旬，全球開放原始碼軟體解決方案廠商Red Hat，與往年慣例公布全球產業IT管理者調查報告，這份調查是去年(2023)8月到9月針對超過700名企業IT管理者所進行調查且受訪者均來自營收超過1,000萬美金的企業。

這次Red Hat調查是藉由資料洞察探討企業在數位轉型階段、企業的IT 與非 IT的優先投資項目、雲端狀態進程，以及所面臨的挑戰。總共有11個調查題目，我們列出三個分享給大家。

題目: 未來 12 個月，貴公司會將資金優先投資於哪些 IT 技術？

我們從受訪地區，歐美、中東、非洲與亞太地區的回覆上，整理而言「安全」仍是首要優先投資的項目，分別以威脅情報、偵測與回應， 雲端安全與網路安全名列前三名，對於亞太地區來說，資料保護、隱私權與主權則為榜首，佔44%，因此資料安全能是我們大家不能忽視的。

Red Hat調查報告後探究安全的領域發現到過往曾出現的矛盾，如今再現。對於威脅情報、偵測與回應（34%）是 IT 安全性的優先投資項目，然而「安全性意識培訓」及「聘僱安全性或法規遵循人員」在各地區域的排名卻呈現墊底，同時這幾年全球皆意識供應鏈安全上的威脅，針對第三方或供應鏈安全的投資卻依舊處於後段班，這些值得我們大家思。

【新聞圖片一】在未來 12 個月，貴公司會將資金優先投資於哪些安全性目標？ 2 scaled

頁次: 1 2 3

0 TwitterPinterestLinkedinWhatsappTelegramLINEEmail
Check Point揭全面安全平台，推首代資安助理 Infinity AI Copilot提供企業最佳後援
編輯台

Check Point揭全面安全平台，推首代資安助理 Infinity AI Copilot提供企業最佳後援

by 潘后儀 / 資料參考: 廠商提供
作者 潘后儀 / 資料參考: 廠商提供

編輯說: 總部位於以色列，超過30年遍布全球的軟體網路安全防護廠商Check Point Software，進入台灣將近20年時間，當時台灣企業對於防火牆資安的需求正值全盛期，Check Point Software在政府機關、企業單位的IT資訊、資安人員幾乎是耳熟能詳的品牌。今日全球掀起AI浪潮，AI的應用雙面刃，如何善加運用AI有著許多議題，今天我們來看看Check Point Software如何藉由AI技術帶入資安產品內所發揮的效益與分享。

人機協作 共同抵禦威脅多變的網路環境

Infinity AI Copilot 是AI 驅動與雲端交付的網路安全平台供應商Check Point Software於二月宣布專為威脅多變的網路環境所設計之Check Point Infinity 平台，推出首代 Infinity AI Copilot協助企業組織抵禦生成式 AI 產生之攻擊，盼成為企業組織最佳的安全後盾。Check Point Software 產品管理副總經理 Eyal Manor 表示透過 Infinity AI Copilot將 AI 技術無縫融入安全團隊的日常工作，提升效率和準確性，以開創以人機協作為核心的網路安全。

Check Point 研究報告中提到去年(2023)是全球網路攻擊肆虐的一年， 勒索軟體數量劇增 90%，企業全年平均遭受  60,000 次網路攻擊；此外，全球組織都面臨專業從業人員短缺的問題，全球資安人才缺口達到約 400 萬。在此情況下，保護網路和資料都可能變得困難且充滿壓力。因AI 的驅動，網路犯罪者利用生成式 AI 發動複雜網路攻擊的次數不斷攀升，黑帽駭客（Black-Hat）平台為非法目的自動生成社交媒體內容與進行帳號活動，甚至將 AI 技術整合到垃圾郵件和 KYC 驗證服務，創造假的身分證明文件，都再再顯示網路犯罪的複雜程度已達到了全新層級。

Check Point Infinity 全面安全平台

因應現今網路安全挑戰與威脅，Check Point 全面且統一的安全解決方案 Check Point Infinity 平台，其適用於任何 IT 環境，也賦予企業安全架構靈活度，涵蓋所有攻擊維度的即時 AI 威脅防禦、將安全策略統一以簡化營運，並藉由Infinity ThreatCloud AI快速取得即時威脅情報，以及整合了自動化和編排功能。

第一代Infinity AI Copilot 重點特色包括：

  • 加速安全管理
    Infinity AI Copilot 可事件分析、實施和故障排除等安全任務節省高達 90% 時間，助於安全專業人員更專注在策略創新。
  • 管理和部署安全策略
    根據每位客戶的內部規範，管理、調整和自動部署存取規則與安全控制。
  • 改善資安事件減緩威脅和回應
    善用 AI 技術進行威脅獵捕、分析及應對。
  • 監管所有解決方案和環境
    AI Copilot 可監管 Check Point Infinity 平台上的所有產品，涵蓋網路、雲端、工作區。
  • 簡化自然語言處理
    Infinity AI Copilot GenAI 能理解任何語言，並以聊天方式回應，因此與其互動，就如同與真人對話般流暢，使用者因而能更輕鬆地溝通與執行任務。此自然語言能力促進了無縫互動以及高效任務執行。
0 TwitterPinterestLinkedinWhatsappTelegramLINEEmail
Sophos 報告:亞太地區和日本 90% 會因為資安防禦的倦怠和疲勞感而受影響
編輯台

Sophos 報告: 亞太地區和日本 90% 因為資安防禦的倦怠和疲勞感而受影響

by 潘后儀 / 資料參考: 廠商提供
作者 潘后儀 / 資料參考: 廠商提供

幾年前，國外大學的資訊研究教授表示，資訊安全防禦的基本觀念是防禦，然而防禦的觀念進入資安人員內心後，自然成為一種心理警戒的狀態，當這樣的威脅狀態時刻保持警惕，慣性長期累績下來對於資安人員將可能成為不可控的壓力存在。

全球網路安全服務公司Sophos發表和研究機構 Tech Research Asia (TRA) 合作進行的《亞太地區和日本網路安全的未來》第四版的調查報告。調查報告整體顯示，受訪者幾乎在網路安全防禦操作的各面向，都感到倦怠感受，負責網路安全和資訊 IT 領域的受訪者中 90% 會因為資安防禦上的倦怠和疲勞感而受影響。

該研究顯示，有 30% 的受訪者表示，在過去一年內倦怠感明顯增加，其中 41% 表示這種倦怠感促使他們無法充分投入工作中，更有 17% 的受訪者，指出因為倦怠或疲勞感造成對網路安全漏洞的防禦上產生了影響，甚至直接造成網路安全漏洞事件，甚至有 17% 的公司，在應對網路安全事件的速度比平均反應時間顯現出更緩慢。

我們從調查報告的數字看到，企業資安人員因為長期網路安全防禦的工作所產生的倦怠或是疲勞感，對企業網路安全的守護上有顯著高度的影響，我們分別摘要調查報告，提供給大家參考:

資安人員對於網路安全防禦的倦怠和疲勞感的原因

  • 缺乏支援網路安全事件的資源
  • 例行性工作過度單調  
  • 來自董事會、高階管理層的壓力增加 
  • 網路工具和系統，不斷出現過多的警示   
  • 威脅事件增加，各種威脅手法層出不窮，使得網路環境更具挑戰且永無止歇

網路安全防禦產生的倦怠和疲勞感，對資安人員的影響

  • 41% 無法充分投入工作
  • 34% 受到網路安全漏洞或攻擊時感到更為焦慮
  • 31% 網路安全事件發生和事件責任會產生懷疑、疏離和冷漠
  • 30% 網路倦怠感與疲倦感的狀況會想辭職或轉換職業 (受訪者中有 23% 已經採取行動並辭職)
  • 10% 感到內疚無法在自己的角色在網路安全的防禦上，盡更大的努力

資安人員產生網路安全倦怠和疲勞感，對企業營運直接影響的四個關鍵

  • 關鍵一、直接導致網路安全漏洞 
    17% 受訪者指出，網路安全倦怠或疲勞會對網路安全漏洞產生影響，或直接造成網路安全漏洞。

頁次: 1 2

0 TwitterPinterestLinkedinWhatsappTelegramLINEEmail
[2024資安預測 3-1] Fortinet 公布《2024全球資安威脅預測》
編輯台

[2024資安預測 3-1] Fortinet 公布《2024全球資安威脅預測》

by 潘后儀 / 資料參考: 廠商提供
作者 潘后儀 / 資料參考: 廠商提供

網路攻擊者運用新型態的科技工具，瞄準地緣政治動盪時發動攻擊，利用相互連結的基礎設施，並將目標轉向關鍵產業，對社會造成重大的影響。攻擊者甚至也運用更多的平台或軟體漏洞、由企業組織內部進行滲透，對其內外夾擊試圖突破企業組織的安全防護，因此，2024是我們面對新型態攻擊的挑戰年。

2024年的第一周，接下來的幾天，我們來重點閱讀幾篇，來自全球資安網路服務廠商們所公布的資安威脅、全球資安趨勢的預測與建議提醒。我們將分享給大家三篇關於資安的預測，今天我們先來閱讀第一篇，來自全方位整合與自動化網路資安廠商Fortinet旗下的威脅情資中心FortiGuard Lads所公布的《2024 全球資安威脅預測》。

短期獲利，甚至獲取暴利，是近幾年來我們觀察到網路犯罪者最愛使用的模式，甚至他們也會採取先進的科技技術，例如生成式人工智慧來加速發動攻擊與更加靈活的威脅受害者。接下來我們來看，FortiGuard Labs威脅情資中心所公布的《2024全球資安威脅預測》六大趨勢。

趨勢一、「不攻則已、攻則勢大迅猛」襲向關鍵產業

過去幾年全球勒索軟體攻擊急遽增加，不論企業規模或產業型態，均成為攻擊目標，然而隨著越來越多網路犯罪者，透過勒索軟體攻擊方式獲取高報酬，對於企業規模較小或是對於網路犯罪視為容易得手的目標，均很快被耗盡。因此，未來預測攻擊者的注意力將轉向關鍵基礎設施的產業，例如醫療、金融、交通運輸和公共事業由水電等，一旦受到攻擊，不僅國家社會安全產生重大的影響外，對於攻擊者得到豐厚報酬的機率很高。

趨勢二、零日漏洞新時代到來，「零日掮客」將現身

報告中表示觀察到2023年零日漏洞(zero-day)和常見的漏洞披露（Common Vulnerabilities and Exposures，CVEs）數量創下歷史新高，而這一數字仍在不斷上升中，有鑑於此Zero-Day為攻擊者所帶來可能的價值，報告中指出在網路犯罪即服務（Cybercrime-as-a-Service，CaaS）社群中將出現「零日掮客」，也就是網路犯罪者將於暗網上向買家仲介出售零日漏洞。而N日漏洞仍將持續使企業組織暴露於重大風險中。

趨勢三、滲透威脅日增，著重從內部的資訊偵查偵蒐以達成初始滲透

當企業組織強化網路安全防禦且提升資安防禦能力後，網路攻擊者將難以從網路外部滲透至企業組織內部網路中，因此網路犯罪者則開始尋找新方法以達成滲透的目的，因此FortiGuard Lads於報告中預測攻擊者攻擊戰術將持續「向左靠攏」，包括資安攻擊鏈中事前偵查（Reconnaissance），找出目標對象可利用的弱點或是武器化（Weaponization）階段，找出可做為攻擊的武器，例如已知的漏洞惡意程式、蠕蟲或是建立後門，從目標對象企業組織的內部獲取有用的資訊，藉以找到初始滲透的關鍵。

頁次: 1 2

0 TwitterPinterestLinkedinWhatsappTelegramLINEEmail
數位之戰，掌握「三三原則」制定全方位資安策略
編輯台

數位之戰，掌握「三三原則」制定全方位資安策略

by 潘后儀 / 資料參考: 廠商提供
作者 潘后儀 / 資料參考: 廠商提供

隨著數位轉型的加速，企業上雲已成為不可逆的趨勢。雲端技術已成為數位轉型的主要引擎，推動企業將工作負載轉向雲端，多數機構選擇混合雲或多雲策略以確保業務的擴展和連續運作。

這幾年，無論是公單位或是私人企業對於資訊IT系統建置與維運的思維方式，已經逐一的從地端的思考模式轉移到雲上進行日常的營運，這除了反映出企業對於雲端技術信任度提高之外，對於企業上雲營運的意願度也相對提高。

企業營運模式的轉變，雲上的威脅也不曾減少，因此隨著企業日益依賴雲端技術的趨勢，雲上的資訊安全也同為重要，且雲端環境相較於傳統IT環境，在資安方面存在更大的挑戰，企業該如何從雲端建置的思維，制定全面的安全策略，確保其數據和業務在雲端環境中得到最佳的保護呢?

掌握「三三原則」，制定全方位資安策略

華碩集團資安長金慶柏表示，企業在進行上雲規畫時，應制定全方位的資安策略，以確保企業資訊安全。金慶柏建議以下三個制定資安策略的基本原則：

  • 建立完善的資安治理架構：
    制定明確的資安政策與程序，並建立資安管理組織與團隊。
  • 評估雲端服務的資安風險：
    了解雲端服務的安全功能與限制，並採取適當的補強措施。
  • 落實雲端安全防護措施：
    身份認證與授權管理、資料加密、入侵偵測與防禦、異常行為監控等。

金慶柏進一步指出，制定資安策略的三個必需思考的因素：

  • 企業的產業特性：
    金融業、醫療業等產業的資安風險較高，需要制定更嚴謹的資安策略。
  • 企業的業務需求：
    企業上雲的目的、上雲的範圍等，都會影響資安策略的制定。
  • 企業的資安能力：
    企業應評估自身的資安能力，並採取適當的補強措施。

金慶柏建議，企業在進行雲端安全防護時，很難單打獨鬥，更可以進一步透過資安顧問及雲端服務業者團隊的專業協助，獲得更全面的資安觀點與解決方案。接續勤業眾信、Google Cloud與行政院資訊處也相繼分享與建議。

頁次: 1 2

0 TwitterPinterestLinkedinWhatsappTelegramLINEEmail
較新的文章
較舊的文章

為提供您更好的網站服務內容，本網站使用cookie來改善您的體驗，繼續瀏覽本網站，即表示您同意上述聲明。閱讀我們隱私權政策 同意