資訊安全概論

資訊安全的重要性
隨著電腦運用的普及與網際網路的蓬勃發展，已帶給人類急速而巨大的衝擊，也改變了人類生活模式。然而隨著資訊便利而來的則是令人擔憂的資訊安全問題，因此，我們必須做好資訊安全防護措施，唯有在確保資訊安全之前提下享受資訊便利，才是面對資訊世紀來臨的正確態度，進而迎接未來更大的挑戰與衝擊。

資訊安全防護的種類

a. 實體安全：包含硬體環境控制、火災、地震、風災、水災及盜竊人為破壞管理控
　制...等。
b.軟體安全：包含程式及系統安全防護防止駭客、入侵、病毒及人為破壞管理控制
　...等。
c.資料安全防護：包含防止重要資料受損遺失或外洩，讓資料安全防護做到滴水不
　漏。

影響資訊安全的因素
a.未經授權者（駭客）侵入電腦系統，竊取或更改資料甚至更動原系統設定。
b.合法使用電腦人員有意或無心，造成資料的毀損、竊取或系統破壞。
c.資料在傳輸中途被截取、竊窺或變更。
d.電腦感染病毒與傳遞病毒。

資訊安全的應用層面
資訊安全相關工作又可概分為資料安全、電腦系統安全、網路安全與電腦病毒防治等應用層面。

資訊安全的防護措施

一、資訊資產目錄之建立及保護

（一）	應該建立一份與資訊系統有關的資訊資產目錄，訂定資訊資產的項目、擁有者及安全等級分類等。
（二）	資訊資產參考項目如下：
	1、資訊資產：資料庫及資料檔案、系統文件、使用者手冊、訓練教材、作業　性及支援程序、業務永續運作計畫、預備作業計畫等。
	2、軟體資產：應用軟體、系統軟體、發展工具及公用程式等。
	3、實體資產：電腦及通訊設備、磁性媒體資料及其他技術設備。
	4、技術服務資產：電腦及通信服務、其他技術性服務（電源及空調）。

二、資訊安全之等級分類

（一）	資訊安全分類原則
	1、應依據需要，建立資訊安全等級之分類標準，以及相對應的保護措施。
	2、資訊安全分類標準，應考量資訊分享及限制的影響、未經授權的系統存取　或是系統損害對機關業務的衝擊，尤其要考量資料的機密性、資料真確性　及可用性。
	3、資訊安全分類，可依據需要，區分機密性、敏感性及一般性等三類。
	4、界定資訊安全等級之責任，應由資料的原始產生者，或是由指定的系統所　有者負責。
	5、當須執行或參考其他機關訂定之資訊安全等級分類時，應特別注意其與工　作職務的資訊安全等級分類，在定義及標準上是否相同。
（二）	資訊安全等級標示
	1、已列入安全等級分類的資訊及系統之輸出資料，應標示適當的安全等級以　利使用者遵循。
	2、應納入安全等級分類的項目，包括書面報告、螢幕顯示、磁性媒體、電子　訊息及檔案資料等。

實體及環境安全管理

一、設備安全管理

（一）	設備安置地點之保護
	1、設備應安置在適當的地點並予保護，以減少環境不安全引發的危險及減少　未經授權存取系統的機會。
	2、設備安置應遵循的原則如下：
	(1)	設備應儘量安置在可減少人員不必要經常進出的工作地點。處理機密性及敏感性資料的工作站，應放置在員工可以注意及照顧的地點。
	(2)	需要特別保護的設備，應考量與一般的設備區隔，安置在獨立的區域。
	(3)	應檢查及評估火災、煙、水、灰塵、震動、化學效應、電力供應、電磁幅射等可能的風險。
	(4)	電腦作業區應禁上抽煙及飲用食物。
	(5)	在特定的作業環境下，可考慮使用鍵盤保護膜。
	(6)	除考量同一樓層地板可能導致的的危險外，應考量鄰近建築樓層地板可能導致的危險。
（二）	電源供應
	1、電腦設備之設置，應予保護，以防止斷電或其他電力不正常導致的傷害；　電源供應依據製造廠商提供的規格設置。
	2、應考量安置預備電源，並使用不斷電系統。
	3、機關擬訂資訊安全事件緊急處理應變計畫，應將不斷電系統失效之後的應　變措施納入；不斷電系統應依據製造廠商的建議，定期進行測試。
	4、應謹慎使用電源延長線，以免電力無法負荷導致火災等危害安全情事。
（三）	電纜線安全
	1、電力及通信用的電纜線，應予適當的保護，以防止被破壞或是資料被截　取。
	2、電力及通信纜線的保護原則如下：
	(1)	連接資訊設施的電源及通信線路，應儘可能地下化；如果不能地下化，應採取足夠的替代保護措施。
	(2)	應該考量保護網路通信線路的措施，以防止遭截取或是受到破壞。
	(3)	對於特別敏感性或是特別重要的系統，應採取額外強化的安全措施。
（四）	設備維護
	1、應妥善地維護設備，以確保設備的完整性及可以持續使用。
	2、設備維護的原則如下：
	(1)	應依據設備供應商建議的維修服務期限及說明，進行設備維護。
	(2)	設備的維護只能由授權的維護人員執行。
	(3)	應將所有的錯誤或是懷疑的錯誤，予以明確記載。
（五）	設備放置在外部空間之安全管理
	1、設置在外部以支援業務運作的資訊設備，應同樣遵守資訊安全管理授權規　定，維持與內部資訊設備一樣的安全水準。
	2、設置在機關外部的資訊設備安全措施原則如下：
	(1)	如果未採取電腦病毒防範措施，執行業務所使用的個人電腦，不應在家裡使用。
	(2)	外出差勤時，電腦設備及資料儲存媒體在公共場所應有人看管。
	(3)	外勤使用之攜帶型電腦，易於被偷取、遺失或是遭未經授權的取用，應提供適當的存取保護措施，例如設定通行碼或是將檔案資料加密。
	(4)	應隨時注意設備製造廠商提供的保護使用說明書。
	(5)	各種安全風險如損害、偷竊或竊聽等，可能會因不同的安置地點而有所不同；在決定最適當的安全措施時，應該將不同地點的安全風險納入考量。
	(6)	防範遭到資料遭到非法竊取，應記錄所有網路活動。
（六）	設備處理之安全措施
	含有儲存媒體的設備項目（例如硬碟），應在處理前詳加檢查，以確保任何機密性、敏感性的資料及有版權的軟體已經被移除。
（七）	資訊設施誤用之防止
	1、提供的資訊設施，如有業務目的以外的使用，或是超出授權目的以外的使　用需求，應經權責主管人員的核准，並課予相關人員的責任。
	2、如從監督性的資訊，或是從其他方法發現資訊設施有不當使用情形，應作　適當的紀律處理。
	3、應以書面或其他電子方式明確告知使用者的系統存取授權範圍。
	4、員工以及其他第三者，除非獲得正式的授權，任何人皆不得進行系統存　取。
（八）	防止電腦資訊洩密：
	電腦資料和一般資料有所不同，一般資料多半形之於紙張文字、檔案，可以併卷、歸檔列入交待等。但所有電腦資料皆可透過連線傳輸，且可儲存於硬式磁碟機或軟式性磁片、磁帶或可攜帶式記憶體上。歸納其外洩之可能途徑及其防制方法，摘述如后：
	一、	資料輸入時：
		有些機關的資料輸入是委外處理的，但是在委外過程中要考慮到那些資料適合委外，那些資料不適合，其次若要委外應要考慮如何做，讓資料不易外洩，例如一些資料可用代碼、代號方式儲存。而且可以把資料分成兩部分交給兩個人繕打，或可以把重要的資料挑出自行繕打，以防止資料外洩。這都是資料輸入時要考慮的，在輸入時儘量不要把每一項目資料都告知輸入人員，以提高安全性。
	二、	資料核校時：
		資料核校檢查為輸入資料時一個必要的手續，若核校時為同一人則容易發生弊端，所以核校時最好交叉換人核校、換單位核校，這樣可以從核校檢查中，發現是否有人為故意修篡或蓄意破壞，以防止個人資料錯誤引用，而影響當事人之應有權益。
	三、	資料運用時：
		電腦的資料都是供人運用的，問題就在於是不是提供給合適的人來使用，使用者是否係針對工作需要，且符合法令之授權，若提供服務給不適當的人易造成洩密。所以使用電腦資料時，權限一定要劃分清楚，那一部門，那一單位對那些資料有何種權限等，如讀的權限、寫的權限或改的權限。其次過時資料也必須有自動處理的管理方式，如繳回、刪除等。
	四、	資料輸出時：
		輸出可分螢幕上及報表上的輸出，螢幕輸出時，因機密資料顯示於螢幕上，必須將作業結束，關機後才能離開電腦。報表列印要管制，拿報表之人要簽名負責，在報表上要註明是否為機密資料，用完要作登錄繳回、銷毀等處理措施，如確有必要，使用單位及使用者、均可印於報表上。
	五、	資料傳輸時：
		傳輸包括線上傳輸、磁帶傳輸、磁片傳輸。一般而言是希望單位內使用的磁片、磁帶不要流到外面，以防資料外洩。另可設計磁片只能專用於本單位，而無法在外單位使用及加強辦公室傳輸媒體之管理方式等。有線傳輸時可以考慮加一些保密器、加碼軟體等技術及資訊側錄設備，以確求週全防護及問題追蹤。

二、周邊安全管理

（一）	周圍環境之安全
	1、實體環境的安全保護，應以事前劃定的各項周邊設施為基礎，並以設置必　要的障礙（例如:使用身分識別卡之安全門），達成安全控管的目的。
	2、每項資訊設施的實體保護程度，以及實體障礙設置的位置，應依資訊資產　及服務系統的價值及安全的風險決定。
	3、實體環境的安全保護原則如下：
	(1)	周圍設施的安全措施，應視擬保護的資訊資產或資訊服務系統的價值而定。
	(2)	應明確界定有那些周邊設施，須列為安全管制的對象。
	(3)	支援資訊作業的相關設施如影印機、傳真機等，應安置在適當的地點，以降低未經授權的人員進入管制區的風險，及減少敏感性資訊遭破解及洩漏的機會。
	(4)	對非相關的人員不應提供過多有關管制區的作業細節。
	(5)	為了安全的目的，以及防止可能的不當行動，未經授權的人員在辦公室單獨作業應予適當的管理。
	(6)	資訊作業如有委外者，自行管理的設備應安置在特定的區域，並與資訊服務提供者管理的設備分開。
	(7)	資訊支援人員或維護服務人員，只有在被要求或是被授權的情形下，才能進入管制區域，並視需要限制（例如限制存取敏感性的資料）及監督其活動。
	(8)	非經授權，管制區內不得設置照像、錄音及錄影等設備。
（二）	人員進出管制
	1、管制區內應有適當的進出管制保護措施，以確保只有被授權的人員始得進　入。
	2、進出管制考量應考量的事項如下：
	(1)	來訪人員進入管制區應予適當的管制，並記錄進出時間；來訪人員只有在特定的目的或是被授權情形下，才能進入管制區。
	(2)	在管制區內，所有的人員應配載身分識別標示，並隨時注意身分不明或可疑的人員。
	(3)	員工離職後，應立即撤銷進入管制區的權利。
（三）	資料中心及機房之安全管理
	1、支援重要業務運作的資料中心及電腦機房，應設立良好的實體安全措施；　資訊中心及電腦機房地點的選定，應考量火災、水災、地震等自然及人為　災害的可能性，並考量鄰近空間的可能安全威脅。
	2、資料中心及機房安全應考量的事項如下：
	(1)	主要的設施應遠離大眾或是公共運輸系統可直接進出的地點。
	(2)	資料中心及電腦機房的建築，應儘可能不要有過於明顯的標示；在建築物內部及外部的說明，應以提供最低必要的指引或配置說明為限。
	(3)	各樓層的配置說明及內部的電話聯絡簿，應以不讓有心人士循線找出電腦設施的所在地為原則。
	(4)	危險性及易燃性的物品，應存放在遠離資料中心或電腦機房的安全地點。非有必要，電腦相關文具設備不應存放在電腦機房內。
	(5)	備援作業用的設備及備援媒體，應存放在安全距離以外的地點，以免資料中心或電腦機房受到損害時也一併受到毀損。
	(6)	應安裝適當的安全偵測及防制設備，例如熱度及煙霧偵測設備，火災警報設備、滅火設備及火災逃生設備；各項安全設備應依廠商的使用說明書定期檢查；的員工應施予適當的安全設備使用訓練。
	(7)	資訊安全緊急處理作業程序應以書面方式記載，並定期演練及測試。
	(8)	不上班或沒有人看護時，門窗應予閉鎖，並應考量窗戶的外部保護措施。
（四）	物品及設備配送及裝載之管理
	1、電腦機房應設置適當的保護措施，防止未被授權的人員進出；為降低未被　授權的人員進入電腦機房的風險，可視需要設立一個獨立的物品及設備配　送及裝載作業區域。
	2、物品及設備作業區的安全需求應依風險評估的結果而決定。
（五）	辦公桌面之安全管理
	1、應考量採用辦公桌面的淨空政策，以減少文件及磁碟片等在辦公時間之外　遭未被授權的人員取用、遺失或是被破壞的機會。
	2、應考量事項如下：
	(1)	文件及磁碟片在不使用或是不上班時，應存放在櫃子內。
	(2)	機密性及敏感性資訊，不使用或下班時應該上鎖，最好是放在防火櫃之內。
	(3)	個人電腦及電腦終端機不再使用時，應以上鎖、通行碼或是其他控制措施保護。
	(4)	應該考量保護一般郵件進出的地點，以及無人看管的傳真機。
（六）	財產移轉之安全管理
	電腦設備、資料或軟體，在沒有管理人員書面授權的情形下，不應被帶離辦公室。