• 發布單位:TWCERT/CC
• 更新日期:2022-08-31
• 點閱次數:4466

活動時間：111.06.21(二) 14:00~16:30

活動議程：

由TWNIC、TWCERT/CC主辦的資安防護及案例分享研討會，於6月21日假南投市南崗工業區服務中心南崗會堂舉辦。鑒於近年個資外洩詐騙案頻傳，尤其疫情期間企業遠距辦公的網路需求增高，導致更多資安漏洞，人為疏失更是不定時炸彈，即使有良好制度，若缺乏監控與稽核，照樣可能出現個資外洩。透過本次研討會介紹台灣電腦網路危機處理暨協調中心(TWCERT/CC)免費資安通報的服務內容，並邀請專業講師探討「個資外洩與資安防範對策」，唯有增強人員資安意識，並落實資安防禦行動，才能預防企業遭受資安攻擊。

研討會首先由TWCERT/CC曲承則工程師分享「TWCERT/CC服務範疇及案例分享」，曲工程師首先分享多種釣魚網站威脅新聞案例，釣魚網站途徑包含Email、即時通、簡訊及社群等，曲工程師特別提醒與會人員如何辨別釣魚模仿網站，來避免不小心誤點擊釣魚網站遭受資安攻擊。接著曲工程師提出殭屍網路運作方式，以及提醒與會人員面對殭屍電腦的防護建議：企業應採取更主動的態度來協助員工保護自己的家用網路與連網裝置。建議作法有三項：(1)做好漏洞管理，盡速套用修補更新。(2)套用安全的設定。(3)使用高強度不易猜測的密碼。後續曲工程師詳細說明TWCERT/CC服務說明：資安事件通報規劃的流程與方法、資安事件通報填寫內容、網路釣魚通報、產品漏洞揭露通報、惡意程式資安檢測服務、TWCERT/CC勒索軟體防護專網，以及訂閱情資電子報與加入TWCERT/CC資安聯盟。

研討會第二個議程接著邀請到三甲科技股份有限公司李坤印資深工程師，分享主題為「個資外洩與資安防範對策」。首先以一句話「只要輕輕點下一個按鈕，小至個人與家中訊息全被看光，大至整間公司營業機密都可能跟著葬送」來提醒企業與資安危機的距離，必須從提升資安意識開始。接著李資深工程師講述說明「個人資料保護法」包含：演進歷史、個資法對於個人資料定義、立法目的、保護對象、個資法的行為規範，並說明GDPR與國內個資法之比較，更提出許多案例分享：GDPR相關違規新聞、速食店外送個資外洩案例、券商爆重大資安事件等案例，讓企業能更了解個資外洩之嚴重性。再來是針對社交工程攻擊提出各種案例，例如「魚叉式攻擊」意思為漁夫想捕捉特定的魚，會使用魚叉進行捕捉，社交工程的魚叉式攻擊也是一樣道理，針對目標特製魚叉(釣魚網站、電子郵件等)。

接下來李資深工程師繼續針對手機社交工程的實例探討，最後特別提醒與會人員：資料外洩管道很多種，包含社交工程、控管失效、技術脆弱點等。建議資安防護可就管理面、技術面與認知面進行強化。並再次強調資安沒有百分百，必須謹記課程中提到各方面之防範對策。

最後議程Q&A時段，線上參與企業人士提出詢問：老師前面提到的是屬於個人自己可以多加防範的地方，以企業來說應如何開始著手資安或應該要做些什麼？李資深工程師給予答覆：企業若是從零開始導入資安，第一件事情是先做好「企業資安的盤點」，先了解企業內部能夠連網的設備有哪些，以防遭受攻擊後才發現企業內未防護之設備；接著進階建議企業做「資安檢測與弱點掃描」，透過檢測來了解企業內部機台是否正在執行不安全之軟體，最後建議企業做「資安管理面的規劃」包含了資安健檢，檢視公司內部資安網絡的建置、防火牆設定，李資深工程師建議企業從這三個層面開始進行資安環境的建立。

本次資安防護及案例分享研討會南投場，實體與線上同步舉辦共52人與會，經由兩位講師淺顯易懂的資安議題探討，使與會人員皆能對資安防護有更進一步的了解，以及認識TWCERT/CC詳細的服務內容。根據會後問卷調查統計，與會者對本場次研討會的內容、講師專業度及場地滿意度等皆給予正面回饋，以及表示希望未來能夠續辦類似研習活動。