根據網路資安公司 Fortinet 的統計,2023 上半年亞太地區共偵測到四千億次以上的惡意威脅,其中,台灣占比就高達 55%,居亞太之冠。這些攻擊都造成了企業及整體經濟莫大的損失。例如,中華汽車遭勒索軟體攻擊,導致部分生產線停工;台灣微笑單車遭網路攻擊,導致約 2.1 萬會員交易資料外洩。而就在本月,鴻海旗下半導體設備廠京鼎、精密機械廠恩德也先後遭到駭客網路攻擊。
資安威脅持續出沒,勒索軟體、供應鏈攻擊、零日漏洞等事件頻傳,對企業的營運造成持續性重大影響。台灣是全球科技供應鏈的重要據點,這也讓台灣成為駭客集中攻擊的目標區域。
由零信任開始走向「資安治理」
去年,在「善用智慧前瞻科技、主動抵禦潛在威脅」的政策推動下,數位發展部監督的行政法人國家資通安全研究院(簡稱:資安院)也預計陸續完成 20 個資安 A 級機關導入零信任機制,包括經濟部、勞保局、公路局等,今年底更計畫將掌有全國人民個資的 47 個資安 A 級機關全數導入零信任架構。另外,除了 A 級政府機關,國內各大企業在政府補助計畫及資服廠商的推動下,也有許多電商、製造業單位陸續開始著手零信任架構的建置。
零信任架構的概念強調「永不信任,持續驗證」,提醒企業資安措施,是需要不斷因應外在威脅或內部環境的變化進行調整,因此近年來,企業也逐漸意識到資安治理的觀念,不再以築起壁壘般的防火牆為唯一防護手段,「資安治理」是指企業在資安方面制定的政策、流程和程序,幫助企業建立全面的資安框架,有效防範和應對資安威脅,例如資安策略可為企業奠定好資安治理的目標與方向,資安組織人員(資安長、資安專職人員等)權責制定對於資安工作助於有效性進行監督,同時可具體施作資安流程,例如資安事件應變措施,資安風險管理程序等。
提升數位韌性,三個基礎功
透過落實資安治理,企業無論是外在環境因素,如天災、疫情,或是面臨資安攻擊所造成的威脅時,都能照訂定的流程及步驟快速恢復正常運行。而這樣的應變能力,不僅是企業自身數位韌性的展現,也是具備競爭力的象徵。
提升數位韌性,建議企業可以從三個方面入手:
- 完善的資安治理:透過完善的資安治理,幫助企業建立有效的資安防護措施,降低資安事件發生的機率。
- 建立資安事件應變處理:企業建立資安事件應變處理措施,幫助企業於事件發生後快速恢復正常運作。
- 事前規劃充足的備援方案:萬一企業面臨資安事件無法營運,事前規劃充足的備援方案,或許是企業最佳的救援幫手。
2024 年資安威脅無疑將會持續加劇,我們除了透過國家政策將整體資安的環境整備更好外,也應採取更積極的措施來防範資安威脅。透過資安治理的框架,落實數位韌性的實作與備援,當企業無論是遇到外在環境因素,或是面臨資安攻擊所造成的威脅時將會有著將危機化為轉機的能力。
首圖來源: Gerd Altmann from Pixabay