總務處參加國內研習活動心得報告

• 研習人員：陳鳳如                 所屬組隊中心：文書組
• 研習名稱：102年度資訊安全推廣研習營
• 研習地點：國立中山大學圖資大樓B1視訊研討室
• 研習日期：102年12月20日  　　　
• 主辦單位：國立中山大學資通安全學程、國立中山大學資訊工程學系
• 協辦單位：教育部資通安全聯盟中心、中華民國資訊安全學會
• 課程內容概述：
  (一)資訊安全淺談
  (二)資訊安全應用與機會
• 課程內容概述：

 (一)安全問題出在那?

(1)安全問題出現在

l 程式

l 演算法

l 流程與機制

(2)思考點

l 程式的安全性誰幫忙看?

l 演算法有安全驗證嗎?

l 流程與機制有作過模擬攻擊過嗎?

 (二)資訊技術未來的發展

l 符合法規需求的資訊防護系統

–個資法, PCI-DSS, HIPPA…

l 資訊安全技術與通訊安全技術相結合

– 作業系統/網路的安全議題, 也會出現在手機上

l 跨領域專家的整合

– 汽車, 晶片, 工業控制, 家電, 電話, 網路….

l 雲端與後雲端時代的技術匯合

– 雲端平台架構、隔離能力、被癱瘓可能性、系統資源管理、使用者管理、安全監控與鑑識、雲端終端裝置、資料儲存與系統操作等

 (三)資安攻擊趨勢

(1)企業內部網路

l 惡意間諜程式急速增加

l 傀儡程式（bots）的使用持續增加─利用自動化工具來

l 執行任務

l 企業內部用戶端交互攻擊增加

l 敏感資料外洩問題倍增

(2)企業服務網路

l 駭客攻擊造成的損失案件層出不窮

l 網站掛馬日益猖獗

l 如何有效管控主機系統安全

l 法規遵循-日誌收集管理

(四)全面資安防護

      (1)外到內的防護觀點(如何讓駭客不進來)

l 網路連線控制(防火牆/防毒牆/網路安全連線檢查(NAC))

l 網路監察與阻擋(入侵防禦閘道, 流量控管)

l 應用程式統合監控與防治(應用程式防火牆/主機型入侵防禦系統)

      (2)內到外的防護觀點(如何讓內部員工上網不出事)

l 個人電腦上網集中控管(代理伺服器, 網站內容過濾)

l 個人電腦加裝防毒防駭防釣魚系統

l 對外傳遞資料檢查(限制敏感資訊外流,郵件側錄系統)

      (3)內到內的防護觀點

l 端點防護機制(IP/MAC位址管理、用戶端連線行為管理(NAC))

l 對內分享資料稽核(管制存取敏感資訊,主機連線閘道)

l 落實公司安全政策(用戶端管理)

• 研習心得與分享：

課程講師為數聯資安張裕敏副總，資訊安全是目前熱烈被討論的議題，其中使用自然人憑證的安全性更是本校許多同仁關注的重點，故特與本課程講師確認，自然人憑證的確具有不可否認性，且有法律效力，無法被複製及竄改，但建議同仁使用新版的自然人憑證更為安全。

本校目前已實施電子公文線上簽核制度，雖然電子公文帶來了許多便利性，如：省紙化、縮減公文傳遞速度…等，但隨之而來也會面臨許多影響，如電子公文備份、備援與資料安全亦是十分重要的課題。

近年來雲端更是熱烈被討論的議題，但是雲端化後，安全更為重要。

有鑑於102年5月時國家檔案管理局電子公文交換系統被駭事件及疑似資料外流，本校電子公文伺服器已請計通中心協助設定防火牆，並限制僅管理人員IP方能存取，惟因同仁有於校外使用之需，故未限制僅校內網域可使用；並定期透過「教育部網站應用程式弱點監測平台」進行檢測。