MIS 個資外洩防制

一直以來，網站個資外洩的新聞屢見不鮮，其中有很高的比例不是因為駭客入侵，而是網站管理不夠嚴謹所造成。舉例來說：網頁公開內容含有個資、將內含個資的檔案放上網站供人下載、透過搜尋引擎強大的檢索功能以取得個資外洩的網址連結或是頁庫存檔等等。要改變企業管理態度很難，絕非一朝一夕所能達成。因此，MIS 所能做的就是落實以下三個基礎步驟，有效掌握網站的個資分佈狀況，才能降低個資外洩的風險。

密碼管理服務遭駭客入侵

專門管理用戶各式密碼的 LastPass 在上周五發現遭到駭客入侵，除了立即封鎖可疑活動的存取之外，LastPass 調查發現駭客取得用戶的電子郵件帳號、密碼提醒字串、驗證雜湊，以及雜湊中的「鹽巴」(salts，在密碼中所插入的特定字串)，但用戶帳號或是加密的密碼資料庫並未被存取。

SafeNet 身分驗證、加密服務與金鑰管理機制，緩解 DDoS 攻擊

當前愈來愈泛濫、猖獗的 DDoS 攻擊，往往會造成企業關鍵基礎設施與服務的中斷，面對有著排山倒海之勢的各類型 DDoS 攻擊，企業頂多只能透過各種 DDoS 緩解方案，來盡可能地降低關鍵服務可用性所承受的壓力及傷害。但光靠 DDoS 緩解方案並不足夠，畢竟有許多駭客會藉著來勢洶洶的龐大攻擊波，而行入侵與竊密之實，SafeNet 亞太區資訊安全顧問經理伍尚池強調指出，唯有加密、身分驗證與金鑰管理機制的相互搭配，才能建立完善因應各類型 DDoS 攻擊的縱深防禦平台。

雲端啟動多因素身份驗證管理服務合作 - SafeNet with Tata Communications

 

Tata Communications 與 SafeNet 公司達成協議，在雲端啟動多因素身份驗證管理服務   

印度國內首創 ─ 基於雲端身份和訪問管理服務

  通訊新領域的領先供應商 ─ 塔塔通訊公司 (Tata Communications)，已經和數據保護的全球領導者 ─ SafeNet 公司建立夥伴關係，且提供基於雲端運算的多因素驗證，作為全球託管服務。

資料庫代管業者被入侵

美國資料庫代管服務業者MongoHQ日前遭駭客入侵，導致客戶的相關資訊，包括資料庫名單、email信箱，以及經過bcrypt加密後的使用者憑證遭到存取。

MongoHQ於10/28對外表示，駭客透過感染某個個人帳號並取得密碼後，進入其內部員工支援系統，存取了客戶的相關資訊。駭客除了透過網路使用介面瀏覽客戶資料庫的管理資訊外，另外，也透過模擬帳號直接造訪MongoHQ的帳號資料庫，這些造訪紀錄約從10/27開始。

MongoHQ偵測到不法登入後，除了暫時關閉員工支援應用程式，也隨即鎖住每個員工的帳號，包括電子郵件、網路裝置，以及內部應用程式。
 

維護個資的正確性 都是資安部門的責任？

不知在稽核的訓練課程中是否有這樣一個章節，要在受查單位最忙亂的時候進行查核，每次稽核來進行查核的時間，都是手邊工作量最大的時候。今年還碰到內部稽核和會計師事務所選在相同的時間來查核。個資法當然是今年的重點，雖然相關的工作不是我們在執行，但後面的解決方案幾乎都算是資安的工作，稽核們有時就抓著一個人從頭問到底，往往覺得回應稽核的問題比執行專案還要麻煩。

資料安全與法規遵循 企業進行雲端資料管理最大挑戰

隨著警政雲、食品雲、醫療雲等，政府越來越多雲服務逐漸上線，而這些雲上有大量的影像畫面、個資等，要做到更進一步的加值利用，勢必要進行巨量資料分析。不只政府，民間企業也是，越來越多企業逐漸重視社群媒體行銷，開始希望對消費者透過社群媒體所留下的訊息進行資料蒐集與分析，然而該如何合法、安全的使用這些來自社交媒體的使用者/消費者聲音，成為現今企業的首要挑戰，尤其是對電信、金融、醫療等產業而言。

根據資策會與研究機構IDC共同進行的調查顯示，企業現今在資料管理上所面臨的挑戰，落實資料保護與安全措施就佔30%，不違反法規（如個資法）的前提下管理與使用資料亦佔27.6%。

刑事局：23％詐欺事件起於個資外洩

根據165防詐騙統計，2013年上半年，光是個資外洩所產生的假冒機構詐財事件，占所有詐欺事件5分之1 

根據刑事局165防詐騙統計，在2013年上半年所有詐欺數據，光是B2C和C2C個資外洩所產生假冒機構的詐財事件，就占了全體詐欺案件中的23％。刑事警察局科技犯罪防制中心組長莊明雄表示，從這些統計數據來看，臺灣許多具有客戶規模的中小型電子商務業者，其所掌握的客戶個人資料，已經成為駭客覬覦的對象。 

零售業個資保護注意事項草案 僅針對資本額1千萬以上

個人資料保護法及施行細則自去(2012)年10月1日上路後，目前僅有4個主管機關已公佈個資檔案安全維護計畫。

 

包括管轄範圍大的經濟部或管轄重要產業的金管會都尚未公佈最後正式版本，主要原因是主管機關為免對產業造成過大衝擊，因此持續進行協調中。然而據指出，目前針對零售業，主管機關經濟部商業司已制訂「零售業個資保護注意事項草案」，此份「注意事項」將適用於登記資本額新台幣1000萬元以上者。

 

經濟部商業司持續推廣個資保護管理制度TPIPAS，日前在說明會中，資策會科法所說明最新零售業個資保護注意事項草案的內容。科法所法律研究員蕭崴仁指出，目前此份注意事項僅適用無店面零售業及採會員制的其他綜合零售業，不含行動或電視購物業者，且針對資本額新台幣1000萬元以上才需符合。

DNS攻擊 紐約時報和Twitter也中槍

敘利亞電子軍(Syrian Electronic Army，SEA)在八月份相當活躍，繼8/15攻擊美國有線電視新聞網(CNN)、時代雜誌(Time)及華盛頓郵報(Washington Post)旗下網站後，又於8/27再度發動DNS攻擊，入侵紐約時報(New York Times)和Twitter。


紐約時報網站在8/27下午發生斷斷續續的網路故障問題並持續了數個小時，雖然紐約時報一開始表示是因為技術性的問題，不過不久後就對外證實是遭受SEA駭客組織的DNS攻擊所致，紐約時報並同時呼籲其員工在這段時間內避免發送敏感郵件。此外，Twitter也在當天證實遭到駭客入侵，且DNS記錄被竄改。

員工外洩資料重點在於有沒有足夠的安控措施

對電子製造業來說，研發資料是公司生存命脈，也是在市場上取得競爭利基的關鍵，因此，同業挖角、離職員工將資料帶去新公司的事件層出不窮地發生。

日前，手機大廠hTC便傳出高層主管外洩研發資料的事情，發現內部3名員工疑似下載拷貝資料庫檔案，因此控告其違反營業祕密法。

 

過往此類案件不是裁罰很輕，就是原告（即資料被外洩的公司）勝訴比例低，導致類似情況重複在不同企業上演。根據政大智財所研究，截至2012年11月，國內一審法院就營業祕密所做出的判決總共只有155件，而原告的勝訴率只有26%，因此，立法院在2013年1月修正營業祕密法並公佈實施，增加刑事責任、域外加重處罰、刑事罰併同處罰…等規定，希望能藉此嚇阻員工不法行為，或是競爭同業藉由挖角來竊取商業機密的歪風。

保健 App 個資恐外洩

當你用智慧手機的應用程式（App），查詢偏頭痛症狀或起士漢堡熱量時，這些資訊可能已外洩給保險和製藥業者。  
 
金融時報引用網路分析和隱私保護業者Evidon的數據報導，包括MapMyFitness、WebMD Health和iPeriod等最熱門的20個健康和保健App，把用戶資訊外洩給多達70個第三方業者。 
 
這些第三方業者以廣告和分析公司為大宗，透過收集用戶查詢疾病、飲食、自行車騎乘里程數，甚至是女性生理期等資訊，打造個人資料或製作個人化顯示廣告。 
 

逆向工程最佳防護機制方案(二)：專業型保護鎖

【 HASP HL Pro專業型保護鎖 】  實現強大拷貝保護、知識產權保護、基於特徵或按使用付費授權的完美解決方案

【 防止軟體盜版的強大保護 】 
1.強大的盜版保護確保軟體發展商從每一次的軟體拷貝中獲得收入：HASP RM 採用 128 位元AES加密演算法，在軟體應用程式和硬體保護鎖之間建立起強大的連接。

SafeNet簡化了軟體授權與授權管理整合流程，加速了雲端服務的上市時間

【SafeNet Sentinel®雲端服務現在由Dell Boomi AtomSphere平臺提供支援，用於與CRM、ERP、帳單和行銷自動化等後端辦公應用相連接】

 資訊安全領域的全球領導者SafeNet, Inc.宣佈，Sentinel Cloud現在由Dell Boomi AtomSphere雲端整合平臺提供支援，讓雲端服務提供商能夠輕鬆地將SafeNet的授權與授權管理服務與他們現有的就地部署或雲端型後端辦公系統銜接起來。這項能力加速了SaaS、PaaS和其他雲端服務提供商的上市時間，大幅縮短了將軟體授權與授權管理整合到他們的業務流程中所需的時間。

雲端身分認證機制 - SAS驗證(動態密碼 / 雙因素認證)，最有效防止非法登入的雲端解決方案

SAS驗證合法登入，最有效防止非法登入的雲端解決方案

【為什麼公司需要這個呢 】
∙帳號非法登入比你想像中還容易發生
以下任何一種常見的行為都可能讓你的帳號密碼失竊
1.使用的電腦中毒或有木馬軟體
2.多個網站用相同的密碼
3.按下E-mail中的危險連結
※透過雙因素驗證，可以有效解決不肖人士的不當登入

虛擬保護雲端環境安全 - 加密為雲端資料多一層安全保障

【雲端環境全新架構資安防禦也要革命】
隨著企業逐步邁向雲端時代，叢培侃認為，未來資安攻擊成本將會越來越低，且會朝向以下幾個方向去發展：

第一、攻擊程式低調潛伏於內部組織中，伺機發動攻擊；

第二、阻斷式服務攻擊成本低廉效果立見；

第三、階段式攻擊：由內而外尋找可利用點；

第四、利用組織內部正常派送或管理系統弱點。

當然，雲端運算不只降低駭客攻擊成本，對企業來說，使用雲端服務也是一個降低管理成本且兼具彈性的作法，只是雲端服務的安全性，往往是造成企業裏足不前的原因。

身分資訊竊取 - 美國起訴5名竊取1.6億張信用卡資訊的駭客

5名駭客被控共謀入侵電腦網路，並竊取個人身份及金融資訊，估計已藉此蒐集了逾1.6億個信用卡或簽帳卡號碼，然後透過黑市銷售。

美國聯邦檢察官本周起訴5名駭客，這些駭客竊取了超過1.6億張的信用卡與簽帳卡資訊，並透過黑市銷售，這也是美國史上遭到起訴的最大宗資料外洩詐騙案。

身份認證器 - SafeNet eToken 5200

SafeNet eToken 5200 是一個零足跡的 USB 身份驗證解決方案，為用戶提供基於 web 應用程式的安全訪問，SSL VPNs 網路，雲端應用和基於 web 的用戶，可來自任何一台電腦而不需要用戶端驅動軟體。

SafeNet eToken 5200 結合強大的、 基於證書的身份驗證，完整移動性，和隨插即用簡潔的裝置，提供一系列強大的業務、協助工具和安全性方面的好處。SafeNet eToken 5200 還支援由 SafeNet 和身份驗證管理器，通過精簡的所有身份驗證操作，包括部署、 配置、 註冊和日常維護，以及遺失令牌後的支援作業。
 

HITCON：關閉X64防毒軟體 知名品牌無一倖免

在許多網路攻擊行動中，關閉防毒軟體是惡意程式入侵系統後第一件要務。在上周舉行的駭客年會，Chroot成員Kenny示範如何關閉x64版的防毒軟體。先繞過微軟的UAC（使用者存取控制）機制，接著繞過數位簽章檢查，最後防毒軟體完全失守。以市面上幾家知名防毒軟體做試驗對象，結果幾乎無一倖免。

日本LINE伺服器遭非法存取，169萬NAVER會員個資外洩

日本LINE週五（7/19）證實伺服器遭不明人士非法存取，旗下NAVER入口網站各項服務會員帳號個資總計約169萬2496筆可能外流，但不含日本國內外LINE用戶帳密與個資。