2013年10月11日 星期五

BYOD蔚為風潮 企業資安挑戰更多

BYOD蔚為風潮 企業資安挑戰更多

隨著法規日趨完備、網路建設與應用漸趨成熟,以及軟硬體技術的不斷精進,企業資訊安全的重要性,但也面臨更為嚴峻的挑戰。尤其是近年來,因為智慧手持裝置的興起,愈來愈多的員工,希望能使用自己熟悉的智慧型手機或平板工作,BYOD(Bring Your Owe Device)的風潮也已經漸漸被企業所接受,但也因此衍生過去從未發生過的資安議題。

BYOD已成趨勢 Shadow IT成資安缺口

NTT Communications Corporation BYOD專案副總三隅浩之(Hiroyuki Misumi)指出,由於智慧型手機及平板電腦的規格及效能,已經接近個人電腦,攜帶又更為方面,尤其在行進間、零碎的等待時間或是小型會議或辦公室的使用,智慧手持裝置顯然更能實現隨時隨地工作的目標,也讓BYOD風潮蔚為風尚。

DIGITIMES舉辦2013年度企業資安日論壇,主題為「BYOD潮流下的企業資安管理新戰場」。活動邀請三陽工業、勤業眾信規劃專輯演講,現場並匯聚趨勢科技、精品科技、台灣二版、F5 Networks、NTT Communications、NEC、嘉航科技等七家廠商現場分享專業解決方案。

但在BYOD大行其道之際,三隅浩之也指出,「Shadow IT」的問題也開始延燒,因為許多自行攜帶智慧手裝置的員工,其實並沒有得到公司的認可。NTT發現,超過50%以上的員工會自行攜帶智慧型手機上班,但只有20%左右是真正得到企業正式同意,在企業默許狀態下使用的比例則為12%,值得注意的是,20%的使用者表示,所屬企業根本沒有任何的管制措施

NEC資深副總裁山口昌信(Masanobu Yamaguchi)指出:企業必須正視BYOD的趨勢已經成形,即早因應準備,才不會讓「Shadow IT」蔓延,成為企業IT管理的陰暗死角。他認為智慧手持裝置將成為企業IT系統的核心,這只是時間早晚的問題。「行動化優先」(Mobile First)的時代已經來臨,我們正處在此一潮流當中。

山口昌信強調:「行動化優先」可協助企業員工在工作現場與企業IT系統迅速直接地連接,這將掀起企業IT系統的革命。而NEC Cloud Smartphone是實現「行動化優先」,同時又保證可以實現生產效率最大化的解決方案。

BYOD成攻擊對象 企業應了解攻擊模式

三陽工業經理陳春明指出,企業要導入BYOD,一定要做好事前準備,以及詳盡的資訊藍圖,才能在最短的時間,完成資訊管理建設,企業也才能加快營運拓展的腳步,企業資訊策略與架構,必須與企業策略相結合。

企業資訊安全的防護措施,也應該要跟著企業發展及環境的需要與時俱進,不斷調整。尤其在企業的業務流程,已經與網際網路難以切割,資料文件也已經大量數位化的趨勢下,來自於網路的惡意攻擊威脅,所造成的危害也變得更加嚴重。

值得注意的是,駭客的攻擊對象已經開始從過去以政府單位為主,轉而開始攻擊企業。趨勢科技資深技術顧問黃源慶指出,隨著愈來愈多的企業導入BYOD,這些手持智慧裝置,也已經成為進階持續性滲透攻擊(Advanced Persistent Threat;APT),非常喜歡鎖定的對象。

F5 Networks技術經理紀文智指出,企業要讓資訊安全做得更好,一定要了解攻擊行為的模式。目前常見的資安攻擊手法,首先是從網路方面的攻擊,主要是設法取得存取權限;其次是針對應用層次的攻擊,主要目的是進行資料竊取,遇到這類攻擊,資料本身是否做好就相當重要;最後是DDoS,主要目的則是讓網站服務停擺。

紀文智指出,這些攻擊方式,其實都有跡可循,企業也可藉此判斷,應該採取的防護措施。大多數真正有威脅的攻擊,其實是針對應用層次的攻擊。紀文智表示,因為應用軟體才是接近資料的大門,一旦資料被竊取,就可進行詐騙或財務轉帳等動作,企業不可不慎。

注意內部控管 小心設備失竊

黃源慶進一步指出, BYOD因為使用範圍非常大,很容易形成資安漏洞,讓駭客有機可乘,也就成為商業駭客鎖定的對象。台灣各界不管是政府或企業,作為都不夠,防禦能力都不夠強。如夾帶附件的社交工程電子郵件,是APT最主要的攻擊方式,比例超過90%以上,而且發信單位常常會冒充政府單位或資訊部門,用戶可說是防不勝防

事實上,許多企業營業機密,可能就會在員工不經意的狀況下流出。根據商業管理協會(Institute of Commercial Management)研究報告指出,白領工作者平均每周處理11份機密營業文件,而且這些機密文件常常會在不必要的情況下曝光。報告指出,39%的工作者曾經將客戶資料寄出公司,52%的員工曾在離職時,將工作資料帶走;86%的員工坦承習慣性將郵件轉寄其他人;26%的員工甚至會使用免費信箱寄送工作資料

精品科技資安顧問許祐福指出,根據國際電腦安全協會報告(ICSA Security Report),60%的洩密事件,其實是來自企業內部,只有15%是來自外部入侵,這也代表企業對於企業內部資訊機密的保護,還不是很周全。

除了內部員工因為調動或離職,沒有做好交接或不慎遺失外,也有員工是因為對公司不滿,而竊取資料,商業間諜也是資料外洩的原因之一。此外,員工出差及外派人員也可能會不慎將機敏檔案外流,就連委外或合作廠商,也可能因為作業疏失、文件交換分享等因素,導致機敏檔案處理風險發生。

雖然BYOD可以讓員工使用自己熟悉的設備,提高工作效率,而且對企業主而言,還可以節省軟硬體設備支出,以及另外花時間和金錢安排教育訓練,但台灣二版高級產品經理盧惠光指出,在這些優勢及便利下,相對的也隱藏了一系列的企業資料外洩跟安全性的問題。

盧惠光認為,BYOD資料控管的議題中,電腦遭竊是最嚴重的資安問題,因為裝置一旦遺失,企業就無法作太多的控制,為了防患未然,防毒軟體加入防盜功能有其必要。如利用手機中信任的sim卡名單,傳送簡訊指令保護行動裝置的手機防盜功能,或是在公司電腦遺失時,可以登入網站利用筆記型電腦上的webcam即時監控正在使用筆記型電腦的人。

盧惠光更強調,愈來愈多的攻擊,不但變得更加專業,病毒的隱密性也變得更高,不但不容易被防毒軟體發現,這些病毒也會設法增加停留時間,以便有更多突破防毒軟體屏障的可能,即使是已經注意到BYOD有安全隱憂的員工,也不代表就能高枕無憂。

協同作業要注意 法律規定要熟悉

除了從技術面設法克服BYOD可能衍生的資安問題外,企業也需要注意管理面的問題。嘉航科技工程技術副總經理陳威宏指出,企業擁有的數位檔案數量愈來愈多,有如洪水一般滾滾而來,位檔案的管理就像治水一樣,一旦控管不當就會氾濫成災。

陳威宏指出,數位檔案不但無所不在,而且會透過各種系統或裝置分享,而在使用或分享的過程中,就可能發生數位檔案遭竊的可能。陳威宏認為,權限管理變得非常重要。

以產品開發為例,由於產品在開發過程中,常常需要與不同的部門交換資訊,也讓資料控管變得更加複雜,因此在不同的階段,需要不同的權限控管,考量事項包括使用者的角色及群組設定、資料庫的存放位置、物件的類別及狀態。

值得注意的是,因為營業秘密的成立要件非常嚴格,許多企業認定非常重要的營業祕密,可能在進入訴訟程序時,卻不見得能得到法院認可。勤業眾信聯合會計師事務所協理曾韵指出,企業如果要確保營業秘密能夠受到法律保障,對於營業秘密的意義,尤其是法律上的定義,一定要有相當程度的了解。

●「DAF 2013 企業資安日」影片欣賞:點擊

轉載自《DIGITIMES中文網》