1 / 20

資通安全新思維

資通安全新思維. 吳宗成 博士 中華民國資訊安全學會 理事長 國立台灣科技大學資訊管理系 教授 資通安全研究與教學中心 主任 TWISC ＠ NTUST. 資通安全之發展歷程. Data security 1970s Encryption/decryption System security 1980s  Automatic 化 Virus Network security 1990s  Electronic 化 Intrusion detection/protection system Web & wireless network security

jacqueline-talley
Download Presentation

資通安全新思維

An Image/Link below is provided (as is) to download presentation Download Policy: Content on the Website is provided to you AS IS for your information and personal use and may not be sold / licensed / shared on other websites without getting consent from its author. Content is provided to you AS IS for your information and personal use only. Download presentation by click this link. While downloading, if for some reason you are not able to download a presentation, the publisher may have deleted the file from their server. During download, if you can't get a presentation, the file might be deleted by the publisher.

E N D

Presentation Transcript

  1. 資通安全新思維 吳宗成 博士 中華民國資訊安全學會 理事長 國立台灣科技大學資訊管理系 教授 資通安全研究與教學中心 主任 TWISC＠NTUST

  2. 資通安全之發展歷程 • Data security • 1970s • Encryption/decryption • System security • 1980s  Automatic化 • Virus • Network security • 1990s  Electronic化 • Intrusion detection/protection system • Web & wireless network security • 2000s  Mobile化 • Secure applications • Ubiquitous computing security • 2005? 2010?  Ubiquitous化 • Low-power or low-resource computing/mobile devices

  3. 資通安全需求 – requirements • CIA ＋ NR • 機密性(Confidentiality) – 資料 • 完整性(Integrity) – 資料與系統 • 可取用性(Availability) – 系統服務 • 鑑別性(Authenticity) – 通信個體 • 不可否認性(Non-Repudiation) – 應用

  4. 資通安全威脅 -- threats • 中斷(interruption) – 可用性(availability) • 使系統資源遺失、不可取用、不堪使用 • 惡意破壞硬體設備、刪除程式或資料檔、使系統阻絕服務(Denial of Services, DoS) B A

  5. 資通安全威脅 -- threats • 截取(interception) – 機密性(confidentiality) • 未授權者能非法存取資料 • 網路測錄 B A C

  6. 資通安全威脅 -- threats • 更改(modification) – 完整性(integrity) • 未授權者能更改系統程式或資料 • 更改儲存或傳輸資料之數值、或更改程式，以執行額外運算 B A C

  7. 資通安全威脅 -- threats • 仿造(fabrication) – 鑑別性(authenticity)、不可否認性(non-repudiation) • 未授權者仿造資料，資料使用者無法分辨真偽 • 插入額外的交易訊息、偽造資料記錄 B A C (Act as A)

  8. 資通系統組件之主要安全需求 • 軟體(software) • 完整性、可取用性 • 硬體(hardware) • 鑑別性、可取用性 • 資料(data) • 機密性、完整性、可取用性、鑑別性、不可否認性 • 人員(people) • 鑑別性、不可否認性 • 程序(procedure) • 完整性、可取用性、不可否認性

  9. 資通安全構面 • 資料安全 • 加解密、 數位簽章（含PKI）、密碼學安全協定 • 軟硬體安全 • IC卡應用、嵌入式系統應用、應用系統安全（資料庫安全）、軟硬體檢測 • 網路/系統安全 • 有線/無線安全（含VPN ）、防火牆、入侵偵測、防病毒、防間諜程式(spyware)、防垃圾郵件、系統存活率 • 安全管理 • 存取控制、資安管理系統（ISMS）、安全稽核、法制與規範、隱私保護

  10. 資通安全最高策略原則 安全  信任SECURITY  TRUST

  11. 資通安全新思維 – SCP model S minimal security requirement minimal cost requirement P C S: security C: cost P: performance minimal performance requirement

  12. 資通安全新思維 – 3W model • Know-What  for end user • 清楚界定資安「定位」與「範圍」 • 定位：資料？軟體？硬體？程序？人員？ • 範圍：開放系統versus封閉系統 • Know-hoW  for engineer/designer • 資安設計邏輯應是「White-box」，而非「Black-box」 • Know-Why  for administrator/decision maker • 清楚瞭解安全風險與衝擊分析(impaction analysis) • 預防？抵抗？善後？

  13. 常見之資安脆弱性之一 • 脆弱性 • 採用大量且集中的同質資料庫設計（mass & centralized homogeneous database） • 當蛇找到一顆蛋，就表示它已找到了一窩蛋！ • 因應對策 • 應充分瞭解資通科技不受時間與空間限制的特性，採用基於分散式系統平台的異質資料庫設計（distributed heterogeneous database）

  14. 常見之資安脆弱性之二 • 脆弱性 • 過度強調「系統保護」（練外功），忽視「資訊保護」（練內功）的重要性 • 因應對策 • 落實資產分級與風險評估，進行「系統保護」與「資訊保護」的能力評鑑

  15. 常見之資安脆弱性之三 • 脆弱性 • 所採用之資安技術能量來源的單一性太強，無法有效分散資安技術風險 • 應用系統複製性高  降低系統發展失敗風險 • 因應對策 • 尋求或接受國內外具多元性且符合國際水準的技術能量來源 • 鼓勵機構資安技術及應用系統發展之自主性，以分散資安技術風險

  16. 常見之資安脆弱性之四 • 脆弱性 • 過度偏重安全管理稽核，而忽略安全技術稽核 • 懂得防火牆、病毒、入侵偵測等安全管理人才很多，但懂得數位簽章技術、加解密技術、安全協定等安全技術人才卻太少 • 因應對策 • 應兼顧安全管理稽核與安全技術稽核 • 釐定各級資安人才培育計畫（在職培訓與在學培訓）

  17. 常見之資安脆弱性之五 • 脆弱性 • 配套法令與規範仍未臻完整 • 只有一部「電子簽章法」 • 因應對策 • 參考美國、德國、澳洲、日本等國家之作法，各應用領域（例如金融、醫療、內政、商業等）之主管機關應檢討相關法令之適用性

  18. 未來發展趨勢（I） • 密碼學理論 • 計算理論之有條件安全：近代密碼學(e.g., RSA, ELG, ECC) • 計算理論之無條件安全：後量子密碼學(post-quantum cryptography) • 技術創新 • 軟體 硬體 韌體 Security on Chip (SoC) • 樣本比對(pattern match)  機器學習(machine learning) • 亂數密碼(random code) 語意密碼(semantic code) • 資料/通信安全  內容/應用安全

  19. 未來發展趨勢（II） • SCP model之新解 • Security: Risk management • Cost: Effectiveness • Performance: Speed • 實務安全所面臨之新挑戰 • 安全 ＝安全技術 ＋ 安全管理 ＋ 安全法律 • 資訊鑑識 (cyber forensics) • 長期安全 (long-term security)

  20. 結語 • A  A+  A++ • Awareness: A • 認知 • Public awareness & management awareness • Accountability: A+ • 責任 • Commitment of end-users, administrators, system owners, developers/engineers • Alliance: A++ • 聯盟（產官學研、國際化） • Defensive alliances (academies & industries)

More Related