1

漫步在雲端 資安新戰場

吳皇儒

2

大綱 雲端的代價--近期資訊安全重大案例

SONYAppleGoogle Amazon 雲端運算的迷思

簡介與應用 擁抱雲端的迷思

新的資訊安全挑戰 駭客比你更喜愛雲端 便利與安全的兩難

雲端運算之7大安全威脅 雲端運算的風險

組織與政策 技術 法律

雲端運算服務資訊安全評估 雲端運算的安全性分析 雲端運算服務資訊安全評估步驟

結論 以安全為前提享受新便利 信任仍是雲端運算落實關鍵

3

雲端的代價--近期資訊安全重大案例 SONY用戶資料頻失竊 雲端運算如何確保安全 因SONY公司7700萬網路用戶個人資訊遭竊剛被提拔為SONY副社長的平井一夫於5月1日在東京向全球消費者鞠躬道歉承諾將加強用戶資訊保護但一天過去SONY伺服器再遭駭客攻擊根據Sony公告入侵的駭客「可能」已取得用戶的姓名地址電子郵件地址出生日期登入名稱PSN Online ID甚至包含用戶帳戶資料購買紀錄帳單郵寄地址及密碼提示答案也可能遭竊受影響者達7700萬人

2

大綱 雲端的代價--近期資訊安全重大案例

SONYAppleGoogle Amazon 雲端運算的迷思

簡介與應用 擁抱雲端的迷思

新的資訊安全挑戰 駭客比你更喜愛雲端 便利與安全的兩難

雲端運算之7大安全威脅 雲端運算的風險

組織與政策 技術 法律

雲端運算服務資訊安全評估 雲端運算的安全性分析 雲端運算服務資訊安全評估步驟

結論 以安全為前提享受新便利 信任仍是雲端運算落實關鍵

3

雲端的代價--近期資訊安全重大案例 SONY用戶資料頻失竊 雲端運算如何確保安全 因SONY公司7700萬網路用戶個人資訊遭竊剛被提拔為SONY副社長的平井一夫於5月1日在東京向全球消費者鞠躬道歉承諾將加強用戶資訊保護但一天過去SONY伺服器再遭駭客攻擊根據Sony公告入侵的駭客「可能」已取得用戶的姓名地址電子郵件地址出生日期登入名稱PSN Online ID甚至包含用戶帳戶資料購買紀錄帳單郵寄地址及密碼提示答案也可能遭竊受影響者達7700萬人

3

雲端的代價--近期資訊安全重大案例 SONY用戶資料頻失竊 雲端運算如何確保安全 因SONY公司7700萬網路用戶個人資訊遭竊剛被提拔為SONY副社長的平井一夫於5月1日在東京向全球消費者鞠躬道歉承諾將加強用戶資訊保護但一天過去SONY伺服器再遭駭客攻擊根據Sony公告入侵的駭客「可能」已取得用戶的姓名地址電子郵件地址出生日期登入名稱PSN Online ID甚至包含用戶帳戶資料購買紀錄帳單郵寄地址及密碼提示答案也可能遭竊受影響者達7700萬人

4

近期資訊安全重大案例(續)

Google旗下移動廣告子公司涉嫌非法收集用戶資訊

Apple公司搜集用戶定位資訊 Amazon的AWS(Amazon Web Service)服務因為停電造成一部分的雲端服務主機停擺(承諾3個9的可靠性999)

5

近期資訊安全重大案例(續)

屢次出現的網路資訊安全問題不禁讓人對雲端運算加重懷疑一旦用戶把重要的資料寄存在他人的伺服器上安全問題能得到保障嗎

「匿名者」駭客喬治霍茨

6

新裸奔年代mdash商周128期封面故事

ldquo它rdquo是現在最熱門的商品mdash美國彭博商業週刊

ldquo它rdquo使Facebook市值超過新台幣4兆8千億使519日剛上市的LinkedIn本益比超過600倍使法國總統薩克奇召開G8會議前召集包含GoogleAmazon等企業領導人召開2天的會議就是討論 ldquo它rdquo

ldquo它rdquo就是你我的rdquo隱私rdquo

7

免費的個資隱私

rdquo個資已成為網路新黃金rdquo mdash華爾街日報 免錢的最貴天下沒有白吃的午餐你以為享受免費的服務其實背後也有人免費拿走你的個資隱私

8

你可能已經被拍賣了

檢視以下問題 你玩臉書並曾經按過讚 你曾使用iPhone下載免費的遊戲軟體 你愛玩SONY的PS3 你習慣用Google發信管理行事曆 你從不做上述事情但你身邊有人喜歡

只要符合其中一項你可能已經被拍賣了

9

4c812db2922729⋯⋯

貝蒂的故事 在貝蒂（Ashley Hayes-Beaty）的電腦裡有一個小小的文件這個檔案蒐集她很多個人資訊裡頭只有一個簡單的代碼 4c812db2922729⋯⋯」這是《華爾街日報》針對網路隱私調查報導的起始

10

貝蒂的故事

這個代碼可能是貝蒂玩過臉書上的開心農場或因朋友留言而按下一個讚的時候而被悄悄植入的在這個代碼中連你的滑鼠曾經指向哪裡都記錄下來根據《華爾街日報》調查臉書上前十大的熱門遊戲中有近五成都在你的電腦裡「建檔」

11

一被建檔貝蒂就成為被「掘金」的對象

當貝蒂在 bull照片分享網站讓人看到他的家庭照片 bull在折扣網站下載折扣卷 bull在臉書與社交網站Myspace上跟朋友討論剛去過的餐廳時 瑞普立夫〈資訊整合公司〉透過不斷的交叉比對找出貝帝的真實輪廓與真實姓名並把這些資料轉賣出去

12

個資的拍賣價

當他登錄eBay的網頁不到幾秒所有的行為細節資料也同時上傳到西雅圖新創公司BlueKai的拍賣台最便宜的價碼每份僅值0031台幣

13

iPhoneAndroid手機

同時間手機業者也盯著貝蒂不放《華爾街日報》調查iPhone或是Android手機上一百零一個最紅的應用程式其中有四十七個程式會記錄下你曾經去過哪裡及你現在的位置你帶著的手機就像是帶著隨身的監控器「手機可以知道一切就像是用上帝之眼來觀察人類的行為」麻省理工學院媒體實驗室教授潘蘭（Pentland）說

14

貝蒂的故事

而這還不是結束美國波士頓東北大學分析了一千六百萬筆通話紀錄和位置資訊得出的結論是如果分析足夠多的資訊預測一個人在未來某時刻的地點位置準確率可以達到 九三六

企業不僅要賺貝蒂現在的錢還透過行為預測要賺她未來的錢

15

貝蒂的故事

「我還以為自己能有點小秘密但顯然這是個妄想」當《華爾街日報》循線找到真實世界中的貝蒂並把資訊公司對她的觀察告知貝蒂驚訝的說

你跟我都可能是貝蒂因為在虛擬的國度裡沒有地域的限制世界任何一個在網路上的小動作都可能被蒐集成為賺錢的利器

16

網路隱私權販賣流程 當你登入網路 收信或上臉書 按下讚helliphellip

個資開始被販賣 一筆0031元

Blue Kai個資拍賣平台裡 你個資單筆最低報價 僅新台幣0031元

個資被大量追蹤 300家

根據統計一筆公開 的個資平均有300家

廠商盯著你看

廣告效益提高 24倍

依消費者喜好投注廣告 點擊數是過去24 倍 交易成功率大增

你的樣貌被拼出

10億份電郵 資料整合商透過不同 資料跟10億份電郵交 叉比對後連你姓名

都能找出

廣告量大幅成長

1000億元 今年美國廠商投在精準 行銷廣告費用達新台幣 1000億元每年正以

50速度成長

你被歸納和分類 10萬種

資料賣給資料挖掘 廠商後你的個性

被拆解歸納在10萬 種分類中

資料來源eMarketer《華爾街日報》GartnerEnders Analysis

17

網路隱私「被賣」爭議越演越烈

07525 Google發表街景應用程式為全球各地提供街景視圖歐盟正調查是否違法

093 臉書擅自更改使用條款用戶即使刪除資料公司仍有使用權5月頒行

10818 臉書推出可標記所在位置的最新功能「地標」（Place）引發隱私權論戰

11211 美國會議員史皮爾提《謝絕網路追蹤法案》網路使用者有拒絕個人被追蹤權利

11417 索尼的線上遊戲與音樂服務遭駭客入侵至今上億名用戶的個資外洩

11420 資安專家爆料iPhone等產品會記錄地理位置和行蹤執行長賈伯斯上火線澄清

資料來源各新聞網站

18

雲端運算的迷思--簡介與應用

5

近期資訊安全重大案例(續)

屢次出現的網路資訊安全問題不禁讓人對雲端運算加重懷疑一旦用戶把重要的資料寄存在他人的伺服器上安全問題能得到保障嗎

「匿名者」駭客喬治霍茨

6

新裸奔年代mdash商周128期封面故事

ldquo它rdquo是現在最熱門的商品mdash美國彭博商業週刊

ldquo它rdquo使Facebook市值超過新台幣4兆8千億使519日剛上市的LinkedIn本益比超過600倍使法國總統薩克奇召開G8會議前召集包含GoogleAmazon等企業領導人召開2天的會議就是討論 ldquo它rdquo

ldquo它rdquo就是你我的rdquo隱私rdquo

7

免費的個資隱私

rdquo個資已成為網路新黃金rdquo mdash華爾街日報 免錢的最貴天下沒有白吃的午餐你以為享受免費的服務其實背後也有人免費拿走你的個資隱私

8

你可能已經被拍賣了

檢視以下問題 你玩臉書並曾經按過讚 你曾使用iPhone下載免費的遊戲軟體 你愛玩SONY的PS3 你習慣用Google發信管理行事曆 你從不做上述事情但你身邊有人喜歡

只要符合其中一項你可能已經被拍賣了

9

4c812db2922729⋯⋯

貝蒂的故事 在貝蒂（Ashley Hayes-Beaty）的電腦裡有一個小小的文件這個檔案蒐集她很多個人資訊裡頭只有一個簡單的代碼 4c812db2922729⋯⋯」這是《華爾街日報》針對網路隱私調查報導的起始

10

貝蒂的故事

這個代碼可能是貝蒂玩過臉書上的開心農場或因朋友留言而按下一個讚的時候而被悄悄植入的在這個代碼中連你的滑鼠曾經指向哪裡都記錄下來根據《華爾街日報》調查臉書上前十大的熱門遊戲中有近五成都在你的電腦裡「建檔」

11

一被建檔貝蒂就成為被「掘金」的對象

當貝蒂在 bull照片分享網站讓人看到他的家庭照片 bull在折扣網站下載折扣卷 bull在臉書與社交網站Myspace上跟朋友討論剛去過的餐廳時 瑞普立夫〈資訊整合公司〉透過不斷的交叉比對找出貝帝的真實輪廓與真實姓名並把這些資料轉賣出去

12

個資的拍賣價

當他登錄eBay的網頁不到幾秒所有的行為細節資料也同時上傳到西雅圖新創公司BlueKai的拍賣台最便宜的價碼每份僅值0031台幣

13

iPhoneAndroid手機

同時間手機業者也盯著貝蒂不放《華爾街日報》調查iPhone或是Android手機上一百零一個最紅的應用程式其中有四十七個程式會記錄下你曾經去過哪裡及你現在的位置你帶著的手機就像是帶著隨身的監控器「手機可以知道一切就像是用上帝之眼來觀察人類的行為」麻省理工學院媒體實驗室教授潘蘭（Pentland）說

14

貝蒂的故事

而這還不是結束美國波士頓東北大學分析了一千六百萬筆通話紀錄和位置資訊得出的結論是如果分析足夠多的資訊預測一個人在未來某時刻的地點位置準確率可以達到 九三六

企業不僅要賺貝蒂現在的錢還透過行為預測要賺她未來的錢

15

貝蒂的故事

「我還以為自己能有點小秘密但顯然這是個妄想」當《華爾街日報》循線找到真實世界中的貝蒂並把資訊公司對她的觀察告知貝蒂驚訝的說

你跟我都可能是貝蒂因為在虛擬的國度裡沒有地域的限制世界任何一個在網路上的小動作都可能被蒐集成為賺錢的利器

16

網路隱私權販賣流程 當你登入網路 收信或上臉書 按下讚helliphellip

個資開始被販賣 一筆0031元

Blue Kai個資拍賣平台裡 你個資單筆最低報價 僅新台幣0031元

個資被大量追蹤 300家

根據統計一筆公開 的個資平均有300家

廠商盯著你看

廣告效益提高 24倍

依消費者喜好投注廣告 點擊數是過去24 倍 交易成功率大增

你的樣貌被拼出

10億份電郵 資料整合商透過不同 資料跟10億份電郵交 叉比對後連你姓名

都能找出

廣告量大幅成長

1000億元 今年美國廠商投在精準 行銷廣告費用達新台幣 1000億元每年正以

50速度成長

你被歸納和分類 10萬種

資料賣給資料挖掘 廠商後你的個性

被拆解歸納在10萬 種分類中

資料來源eMarketer《華爾街日報》GartnerEnders Analysis

17

網路隱私「被賣」爭議越演越烈

07525 Google發表街景應用程式為全球各地提供街景視圖歐盟正調查是否違法

093 臉書擅自更改使用條款用戶即使刪除資料公司仍有使用權5月頒行

10818 臉書推出可標記所在位置的最新功能「地標」（Place）引發隱私權論戰

11211 美國會議員史皮爾提《謝絕網路追蹤法案》網路使用者有拒絕個人被追蹤權利

11417 索尼的線上遊戲與音樂服務遭駭客入侵至今上億名用戶的個資外洩

11420 資安專家爆料iPhone等產品會記錄地理位置和行蹤執行長賈伯斯上火線澄清

資料來源各新聞網站

18

雲端運算的迷思--簡介與應用

6

新裸奔年代mdash商周128期封面故事

ldquo它rdquo是現在最熱門的商品mdash美國彭博商業週刊

ldquo它rdquo使Facebook市值超過新台幣4兆8千億使519日剛上市的LinkedIn本益比超過600倍使法國總統薩克奇召開G8會議前召集包含GoogleAmazon等企業領導人召開2天的會議就是討論 ldquo它rdquo

ldquo它rdquo就是你我的rdquo隱私rdquo

7

免費的個資隱私

rdquo個資已成為網路新黃金rdquo mdash華爾街日報 免錢的最貴天下沒有白吃的午餐你以為享受免費的服務其實背後也有人免費拿走你的個資隱私

8

你可能已經被拍賣了

檢視以下問題 你玩臉書並曾經按過讚 你曾使用iPhone下載免費的遊戲軟體 你愛玩SONY的PS3 你習慣用Google發信管理行事曆 你從不做上述事情但你身邊有人喜歡

只要符合其中一項你可能已經被拍賣了

9

4c812db2922729⋯⋯

貝蒂的故事 在貝蒂（Ashley Hayes-Beaty）的電腦裡有一個小小的文件這個檔案蒐集她很多個人資訊裡頭只有一個簡單的代碼 4c812db2922729⋯⋯」這是《華爾街日報》針對網路隱私調查報導的起始

10

貝蒂的故事

這個代碼可能是貝蒂玩過臉書上的開心農場或因朋友留言而按下一個讚的時候而被悄悄植入的在這個代碼中連你的滑鼠曾經指向哪裡都記錄下來根據《華爾街日報》調查臉書上前十大的熱門遊戲中有近五成都在你的電腦裡「建檔」

11

一被建檔貝蒂就成為被「掘金」的對象

當貝蒂在 bull照片分享網站讓人看到他的家庭照片 bull在折扣網站下載折扣卷 bull在臉書與社交網站Myspace上跟朋友討論剛去過的餐廳時 瑞普立夫〈資訊整合公司〉透過不斷的交叉比對找出貝帝的真實輪廓與真實姓名並把這些資料轉賣出去

12

個資的拍賣價

當他登錄eBay的網頁不到幾秒所有的行為細節資料也同時上傳到西雅圖新創公司BlueKai的拍賣台最便宜的價碼每份僅值0031台幣

13

iPhoneAndroid手機

同時間手機業者也盯著貝蒂不放《華爾街日報》調查iPhone或是Android手機上一百零一個最紅的應用程式其中有四十七個程式會記錄下你曾經去過哪裡及你現在的位置你帶著的手機就像是帶著隨身的監控器「手機可以知道一切就像是用上帝之眼來觀察人類的行為」麻省理工學院媒體實驗室教授潘蘭（Pentland）說

14

貝蒂的故事

而這還不是結束美國波士頓東北大學分析了一千六百萬筆通話紀錄和位置資訊得出的結論是如果分析足夠多的資訊預測一個人在未來某時刻的地點位置準確率可以達到 九三六

企業不僅要賺貝蒂現在的錢還透過行為預測要賺她未來的錢

15

貝蒂的故事

「我還以為自己能有點小秘密但顯然這是個妄想」當《華爾街日報》循線找到真實世界中的貝蒂並把資訊公司對她的觀察告知貝蒂驚訝的說

你跟我都可能是貝蒂因為在虛擬的國度裡沒有地域的限制世界任何一個在網路上的小動作都可能被蒐集成為賺錢的利器

16

網路隱私權販賣流程 當你登入網路 收信或上臉書 按下讚helliphellip

個資開始被販賣 一筆0031元

Blue Kai個資拍賣平台裡 你個資單筆最低報價 僅新台幣0031元

個資被大量追蹤 300家

根據統計一筆公開 的個資平均有300家

廠商盯著你看

廣告效益提高 24倍

依消費者喜好投注廣告 點擊數是過去24 倍 交易成功率大增

你的樣貌被拼出

10億份電郵 資料整合商透過不同 資料跟10億份電郵交 叉比對後連你姓名

都能找出

廣告量大幅成長

1000億元 今年美國廠商投在精準 行銷廣告費用達新台幣 1000億元每年正以

50速度成長

你被歸納和分類 10萬種

資料賣給資料挖掘 廠商後你的個性

被拆解歸納在10萬 種分類中

資料來源eMarketer《華爾街日報》GartnerEnders Analysis

17

網路隱私「被賣」爭議越演越烈

07525 Google發表街景應用程式為全球各地提供街景視圖歐盟正調查是否違法

093 臉書擅自更改使用條款用戶即使刪除資料公司仍有使用權5月頒行

10818 臉書推出可標記所在位置的最新功能「地標」（Place）引發隱私權論戰

11211 美國會議員史皮爾提《謝絕網路追蹤法案》網路使用者有拒絕個人被追蹤權利

11417 索尼的線上遊戲與音樂服務遭駭客入侵至今上億名用戶的個資外洩

11420 資安專家爆料iPhone等產品會記錄地理位置和行蹤執行長賈伯斯上火線澄清

資料來源各新聞網站

18

雲端運算的迷思--簡介與應用

7

免費的個資隱私

rdquo個資已成為網路新黃金rdquo mdash華爾街日報 免錢的最貴天下沒有白吃的午餐你以為享受免費的服務其實背後也有人免費拿走你的個資隱私

8

你可能已經被拍賣了

檢視以下問題 你玩臉書並曾經按過讚 你曾使用iPhone下載免費的遊戲軟體 你愛玩SONY的PS3 你習慣用Google發信管理行事曆 你從不做上述事情但你身邊有人喜歡

只要符合其中一項你可能已經被拍賣了

9

4c812db2922729⋯⋯

貝蒂的故事 在貝蒂（Ashley Hayes-Beaty）的電腦裡有一個小小的文件這個檔案蒐集她很多個人資訊裡頭只有一個簡單的代碼 4c812db2922729⋯⋯」這是《華爾街日報》針對網路隱私調查報導的起始

10

貝蒂的故事

這個代碼可能是貝蒂玩過臉書上的開心農場或因朋友留言而按下一個讚的時候而被悄悄植入的在這個代碼中連你的滑鼠曾經指向哪裡都記錄下來根據《華爾街日報》調查臉書上前十大的熱門遊戲中有近五成都在你的電腦裡「建檔」

11

一被建檔貝蒂就成為被「掘金」的對象

當貝蒂在 bull照片分享網站讓人看到他的家庭照片 bull在折扣網站下載折扣卷 bull在臉書與社交網站Myspace上跟朋友討論剛去過的餐廳時 瑞普立夫〈資訊整合公司〉透過不斷的交叉比對找出貝帝的真實輪廓與真實姓名並把這些資料轉賣出去

12

個資的拍賣價

當他登錄eBay的網頁不到幾秒所有的行為細節資料也同時上傳到西雅圖新創公司BlueKai的拍賣台最便宜的價碼每份僅值0031台幣

13

iPhoneAndroid手機

同時間手機業者也盯著貝蒂不放《華爾街日報》調查iPhone或是Android手機上一百零一個最紅的應用程式其中有四十七個程式會記錄下你曾經去過哪裡及你現在的位置你帶著的手機就像是帶著隨身的監控器「手機可以知道一切就像是用上帝之眼來觀察人類的行為」麻省理工學院媒體實驗室教授潘蘭（Pentland）說

14

貝蒂的故事

而這還不是結束美國波士頓東北大學分析了一千六百萬筆通話紀錄和位置資訊得出的結論是如果分析足夠多的資訊預測一個人在未來某時刻的地點位置準確率可以達到 九三六

企業不僅要賺貝蒂現在的錢還透過行為預測要賺她未來的錢

15

貝蒂的故事

「我還以為自己能有點小秘密但顯然這是個妄想」當《華爾街日報》循線找到真實世界中的貝蒂並把資訊公司對她的觀察告知貝蒂驚訝的說

你跟我都可能是貝蒂因為在虛擬的國度裡沒有地域的限制世界任何一個在網路上的小動作都可能被蒐集成為賺錢的利器

16

網路隱私權販賣流程 當你登入網路 收信或上臉書 按下讚helliphellip

個資開始被販賣 一筆0031元

Blue Kai個資拍賣平台裡 你個資單筆最低報價 僅新台幣0031元

個資被大量追蹤 300家

根據統計一筆公開 的個資平均有300家

廠商盯著你看

廣告效益提高 24倍

依消費者喜好投注廣告 點擊數是過去24 倍 交易成功率大增

你的樣貌被拼出

10億份電郵 資料整合商透過不同 資料跟10億份電郵交 叉比對後連你姓名

都能找出

廣告量大幅成長

1000億元 今年美國廠商投在精準 行銷廣告費用達新台幣 1000億元每年正以

50速度成長

你被歸納和分類 10萬種

資料賣給資料挖掘 廠商後你的個性

被拆解歸納在10萬 種分類中

資料來源eMarketer《華爾街日報》GartnerEnders Analysis

17

網路隱私「被賣」爭議越演越烈

07525 Google發表街景應用程式為全球各地提供街景視圖歐盟正調查是否違法

093 臉書擅自更改使用條款用戶即使刪除資料公司仍有使用權5月頒行

10818 臉書推出可標記所在位置的最新功能「地標」（Place）引發隱私權論戰

11211 美國會議員史皮爾提《謝絕網路追蹤法案》網路使用者有拒絕個人被追蹤權利

11417 索尼的線上遊戲與音樂服務遭駭客入侵至今上億名用戶的個資外洩

11420 資安專家爆料iPhone等產品會記錄地理位置和行蹤執行長賈伯斯上火線澄清

資料來源各新聞網站

18

雲端運算的迷思--簡介與應用

8

你可能已經被拍賣了

檢視以下問題 你玩臉書並曾經按過讚 你曾使用iPhone下載免費的遊戲軟體 你愛玩SONY的PS3 你習慣用Google發信管理行事曆 你從不做上述事情但你身邊有人喜歡

只要符合其中一項你可能已經被拍賣了

9

4c812db2922729⋯⋯

貝蒂的故事 在貝蒂（Ashley Hayes-Beaty）的電腦裡有一個小小的文件這個檔案蒐集她很多個人資訊裡頭只有一個簡單的代碼 4c812db2922729⋯⋯」這是《華爾街日報》針對網路隱私調查報導的起始

10

貝蒂的故事

這個代碼可能是貝蒂玩過臉書上的開心農場或因朋友留言而按下一個讚的時候而被悄悄植入的在這個代碼中連你的滑鼠曾經指向哪裡都記錄下來根據《華爾街日報》調查臉書上前十大的熱門遊戲中有近五成都在你的電腦裡「建檔」

11

一被建檔貝蒂就成為被「掘金」的對象

當貝蒂在 bull照片分享網站讓人看到他的家庭照片 bull在折扣網站下載折扣卷 bull在臉書與社交網站Myspace上跟朋友討論剛去過的餐廳時 瑞普立夫〈資訊整合公司〉透過不斷的交叉比對找出貝帝的真實輪廓與真實姓名並把這些資料轉賣出去

12

個資的拍賣價

當他登錄eBay的網頁不到幾秒所有的行為細節資料也同時上傳到西雅圖新創公司BlueKai的拍賣台最便宜的價碼每份僅值0031台幣

13

iPhoneAndroid手機

同時間手機業者也盯著貝蒂不放《華爾街日報》調查iPhone或是Android手機上一百零一個最紅的應用程式其中有四十七個程式會記錄下你曾經去過哪裡及你現在的位置你帶著的手機就像是帶著隨身的監控器「手機可以知道一切就像是用上帝之眼來觀察人類的行為」麻省理工學院媒體實驗室教授潘蘭（Pentland）說

14

貝蒂的故事

而這還不是結束美國波士頓東北大學分析了一千六百萬筆通話紀錄和位置資訊得出的結論是如果分析足夠多的資訊預測一個人在未來某時刻的地點位置準確率可以達到 九三六

企業不僅要賺貝蒂現在的錢還透過行為預測要賺她未來的錢

15

貝蒂的故事

「我還以為自己能有點小秘密但顯然這是個妄想」當《華爾街日報》循線找到真實世界中的貝蒂並把資訊公司對她的觀察告知貝蒂驚訝的說

你跟我都可能是貝蒂因為在虛擬的國度裡沒有地域的限制世界任何一個在網路上的小動作都可能被蒐集成為賺錢的利器

16

網路隱私權販賣流程 當你登入網路 收信或上臉書 按下讚helliphellip

個資開始被販賣 一筆0031元

Blue Kai個資拍賣平台裡 你個資單筆最低報價 僅新台幣0031元

個資被大量追蹤 300家

根據統計一筆公開 的個資平均有300家

廠商盯著你看

廣告效益提高 24倍

依消費者喜好投注廣告 點擊數是過去24 倍 交易成功率大增

你的樣貌被拼出

10億份電郵 資料整合商透過不同 資料跟10億份電郵交 叉比對後連你姓名

都能找出

廣告量大幅成長

1000億元 今年美國廠商投在精準 行銷廣告費用達新台幣 1000億元每年正以

50速度成長

你被歸納和分類 10萬種

資料賣給資料挖掘 廠商後你的個性

被拆解歸納在10萬 種分類中

資料來源eMarketer《華爾街日報》GartnerEnders Analysis

17

網路隱私「被賣」爭議越演越烈

07525 Google發表街景應用程式為全球各地提供街景視圖歐盟正調查是否違法

093 臉書擅自更改使用條款用戶即使刪除資料公司仍有使用權5月頒行

10818 臉書推出可標記所在位置的最新功能「地標」（Place）引發隱私權論戰

11211 美國會議員史皮爾提《謝絕網路追蹤法案》網路使用者有拒絕個人被追蹤權利

11417 索尼的線上遊戲與音樂服務遭駭客入侵至今上億名用戶的個資外洩

11420 資安專家爆料iPhone等產品會記錄地理位置和行蹤執行長賈伯斯上火線澄清

資料來源各新聞網站

18

雲端運算的迷思--簡介與應用

9

4c812db2922729⋯⋯

貝蒂的故事 在貝蒂（Ashley Hayes-Beaty）的電腦裡有一個小小的文件這個檔案蒐集她很多個人資訊裡頭只有一個簡單的代碼 4c812db2922729⋯⋯」這是《華爾街日報》針對網路隱私調查報導的起始

10

貝蒂的故事

這個代碼可能是貝蒂玩過臉書上的開心農場或因朋友留言而按下一個讚的時候而被悄悄植入的在這個代碼中連你的滑鼠曾經指向哪裡都記錄下來根據《華爾街日報》調查臉書上前十大的熱門遊戲中有近五成都在你的電腦裡「建檔」

11

一被建檔貝蒂就成為被「掘金」的對象

當貝蒂在 bull照片分享網站讓人看到他的家庭照片 bull在折扣網站下載折扣卷 bull在臉書與社交網站Myspace上跟朋友討論剛去過的餐廳時 瑞普立夫〈資訊整合公司〉透過不斷的交叉比對找出貝帝的真實輪廓與真實姓名並把這些資料轉賣出去

12

個資的拍賣價

當他登錄eBay的網頁不到幾秒所有的行為細節資料也同時上傳到西雅圖新創公司BlueKai的拍賣台最便宜的價碼每份僅值0031台幣

13

iPhoneAndroid手機

同時間手機業者也盯著貝蒂不放《華爾街日報》調查iPhone或是Android手機上一百零一個最紅的應用程式其中有四十七個程式會記錄下你曾經去過哪裡及你現在的位置你帶著的手機就像是帶著隨身的監控器「手機可以知道一切就像是用上帝之眼來觀察人類的行為」麻省理工學院媒體實驗室教授潘蘭（Pentland）說

14

貝蒂的故事

而這還不是結束美國波士頓東北大學分析了一千六百萬筆通話紀錄和位置資訊得出的結論是如果分析足夠多的資訊預測一個人在未來某時刻的地點位置準確率可以達到 九三六

企業不僅要賺貝蒂現在的錢還透過行為預測要賺她未來的錢

15

貝蒂的故事

「我還以為自己能有點小秘密但顯然這是個妄想」當《華爾街日報》循線找到真實世界中的貝蒂並把資訊公司對她的觀察告知貝蒂驚訝的說

你跟我都可能是貝蒂因為在虛擬的國度裡沒有地域的限制世界任何一個在網路上的小動作都可能被蒐集成為賺錢的利器

16

網路隱私權販賣流程 當你登入網路 收信或上臉書 按下讚helliphellip

個資開始被販賣 一筆0031元

Blue Kai個資拍賣平台裡 你個資單筆最低報價 僅新台幣0031元

個資被大量追蹤 300家

根據統計一筆公開 的個資平均有300家

廠商盯著你看

廣告效益提高 24倍

依消費者喜好投注廣告 點擊數是過去24 倍 交易成功率大增

你的樣貌被拼出

10億份電郵 資料整合商透過不同 資料跟10億份電郵交 叉比對後連你姓名

都能找出

廣告量大幅成長

1000億元 今年美國廠商投在精準 行銷廣告費用達新台幣 1000億元每年正以

50速度成長

你被歸納和分類 10萬種

資料賣給資料挖掘 廠商後你的個性

被拆解歸納在10萬 種分類中

資料來源eMarketer《華爾街日報》GartnerEnders Analysis

17

網路隱私「被賣」爭議越演越烈

07525 Google發表街景應用程式為全球各地提供街景視圖歐盟正調查是否違法

093 臉書擅自更改使用條款用戶即使刪除資料公司仍有使用權5月頒行

10818 臉書推出可標記所在位置的最新功能「地標」（Place）引發隱私權論戰

11211 美國會議員史皮爾提《謝絕網路追蹤法案》網路使用者有拒絕個人被追蹤權利

11417 索尼的線上遊戲與音樂服務遭駭客入侵至今上億名用戶的個資外洩

11420 資安專家爆料iPhone等產品會記錄地理位置和行蹤執行長賈伯斯上火線澄清

資料來源各新聞網站

18

雲端運算的迷思--簡介與應用

10

貝蒂的故事

這個代碼可能是貝蒂玩過臉書上的開心農場或因朋友留言而按下一個讚的時候而被悄悄植入的在這個代碼中連你的滑鼠曾經指向哪裡都記錄下來根據《華爾街日報》調查臉書上前十大的熱門遊戲中有近五成都在你的電腦裡「建檔」

11

一被建檔貝蒂就成為被「掘金」的對象

當貝蒂在 bull照片分享網站讓人看到他的家庭照片 bull在折扣網站下載折扣卷 bull在臉書與社交網站Myspace上跟朋友討論剛去過的餐廳時 瑞普立夫〈資訊整合公司〉透過不斷的交叉比對找出貝帝的真實輪廓與真實姓名並把這些資料轉賣出去

12

個資的拍賣價

當他登錄eBay的網頁不到幾秒所有的行為細節資料也同時上傳到西雅圖新創公司BlueKai的拍賣台最便宜的價碼每份僅值0031台幣

13

iPhoneAndroid手機

同時間手機業者也盯著貝蒂不放《華爾街日報》調查iPhone或是Android手機上一百零一個最紅的應用程式其中有四十七個程式會記錄下你曾經去過哪裡及你現在的位置你帶著的手機就像是帶著隨身的監控器「手機可以知道一切就像是用上帝之眼來觀察人類的行為」麻省理工學院媒體實驗室教授潘蘭（Pentland）說

14

貝蒂的故事

而這還不是結束美國波士頓東北大學分析了一千六百萬筆通話紀錄和位置資訊得出的結論是如果分析足夠多的資訊預測一個人在未來某時刻的地點位置準確率可以達到 九三六

企業不僅要賺貝蒂現在的錢還透過行為預測要賺她未來的錢

15

貝蒂的故事

「我還以為自己能有點小秘密但顯然這是個妄想」當《華爾街日報》循線找到真實世界中的貝蒂並把資訊公司對她的觀察告知貝蒂驚訝的說

你跟我都可能是貝蒂因為在虛擬的國度裡沒有地域的限制世界任何一個在網路上的小動作都可能被蒐集成為賺錢的利器

16

網路隱私權販賣流程 當你登入網路 收信或上臉書 按下讚helliphellip

個資開始被販賣 一筆0031元

Blue Kai個資拍賣平台裡 你個資單筆最低報價 僅新台幣0031元

個資被大量追蹤 300家

根據統計一筆公開 的個資平均有300家

廠商盯著你看

廣告效益提高 24倍

依消費者喜好投注廣告 點擊數是過去24 倍 交易成功率大增

你的樣貌被拼出

10億份電郵 資料整合商透過不同 資料跟10億份電郵交 叉比對後連你姓名

都能找出

廣告量大幅成長

1000億元 今年美國廠商投在精準 行銷廣告費用達新台幣 1000億元每年正以

50速度成長

你被歸納和分類 10萬種

資料賣給資料挖掘 廠商後你的個性

被拆解歸納在10萬 種分類中

資料來源eMarketer《華爾街日報》GartnerEnders Analysis

17

網路隱私「被賣」爭議越演越烈

07525 Google發表街景應用程式為全球各地提供街景視圖歐盟正調查是否違法

093 臉書擅自更改使用條款用戶即使刪除資料公司仍有使用權5月頒行

10818 臉書推出可標記所在位置的最新功能「地標」（Place）引發隱私權論戰

11211 美國會議員史皮爾提《謝絕網路追蹤法案》網路使用者有拒絕個人被追蹤權利

11417 索尼的線上遊戲與音樂服務遭駭客入侵至今上億名用戶的個資外洩

11420 資安專家爆料iPhone等產品會記錄地理位置和行蹤執行長賈伯斯上火線澄清

資料來源各新聞網站

18

雲端運算的迷思--簡介與應用

11

一被建檔貝蒂就成為被「掘金」的對象

當貝蒂在 bull照片分享網站讓人看到他的家庭照片 bull在折扣網站下載折扣卷 bull在臉書與社交網站Myspace上跟朋友討論剛去過的餐廳時 瑞普立夫〈資訊整合公司〉透過不斷的交叉比對找出貝帝的真實輪廓與真實姓名並把這些資料轉賣出去

12

個資的拍賣價

當他登錄eBay的網頁不到幾秒所有的行為細節資料也同時上傳到西雅圖新創公司BlueKai的拍賣台最便宜的價碼每份僅值0031台幣

13

iPhoneAndroid手機

同時間手機業者也盯著貝蒂不放《華爾街日報》調查iPhone或是Android手機上一百零一個最紅的應用程式其中有四十七個程式會記錄下你曾經去過哪裡及你現在的位置你帶著的手機就像是帶著隨身的監控器「手機可以知道一切就像是用上帝之眼來觀察人類的行為」麻省理工學院媒體實驗室教授潘蘭（Pentland）說

14

貝蒂的故事

而這還不是結束美國波士頓東北大學分析了一千六百萬筆通話紀錄和位置資訊得出的結論是如果分析足夠多的資訊預測一個人在未來某時刻的地點位置準確率可以達到 九三六

企業不僅要賺貝蒂現在的錢還透過行為預測要賺她未來的錢

15

貝蒂的故事

「我還以為自己能有點小秘密但顯然這是個妄想」當《華爾街日報》循線找到真實世界中的貝蒂並把資訊公司對她的觀察告知貝蒂驚訝的說

你跟我都可能是貝蒂因為在虛擬的國度裡沒有地域的限制世界任何一個在網路上的小動作都可能被蒐集成為賺錢的利器

16

網路隱私權販賣流程 當你登入網路 收信或上臉書 按下讚helliphellip

個資開始被販賣 一筆0031元

Blue Kai個資拍賣平台裡 你個資單筆最低報價 僅新台幣0031元

個資被大量追蹤 300家

根據統計一筆公開 的個資平均有300家

廠商盯著你看

廣告效益提高 24倍

依消費者喜好投注廣告 點擊數是過去24 倍 交易成功率大增

你的樣貌被拼出

10億份電郵 資料整合商透過不同 資料跟10億份電郵交 叉比對後連你姓名

都能找出

廣告量大幅成長

1000億元 今年美國廠商投在精準 行銷廣告費用達新台幣 1000億元每年正以

50速度成長

你被歸納和分類 10萬種

資料賣給資料挖掘 廠商後你的個性

被拆解歸納在10萬 種分類中

資料來源eMarketer《華爾街日報》GartnerEnders Analysis

17

網路隱私「被賣」爭議越演越烈

07525 Google發表街景應用程式為全球各地提供街景視圖歐盟正調查是否違法

093 臉書擅自更改使用條款用戶即使刪除資料公司仍有使用權5月頒行

10818 臉書推出可標記所在位置的最新功能「地標」（Place）引發隱私權論戰

11211 美國會議員史皮爾提《謝絕網路追蹤法案》網路使用者有拒絕個人被追蹤權利

11417 索尼的線上遊戲與音樂服務遭駭客入侵至今上億名用戶的個資外洩

11420 資安專家爆料iPhone等產品會記錄地理位置和行蹤執行長賈伯斯上火線澄清

資料來源各新聞網站

18

雲端運算的迷思--簡介與應用

12

個資的拍賣價

當他登錄eBay的網頁不到幾秒所有的行為細節資料也同時上傳到西雅圖新創公司BlueKai的拍賣台最便宜的價碼每份僅值0031台幣

13

iPhoneAndroid手機

同時間手機業者也盯著貝蒂不放《華爾街日報》調查iPhone或是Android手機上一百零一個最紅的應用程式其中有四十七個程式會記錄下你曾經去過哪裡及你現在的位置你帶著的手機就像是帶著隨身的監控器「手機可以知道一切就像是用上帝之眼來觀察人類的行為」麻省理工學院媒體實驗室教授潘蘭（Pentland）說

14

貝蒂的故事

而這還不是結束美國波士頓東北大學分析了一千六百萬筆通話紀錄和位置資訊得出的結論是如果分析足夠多的資訊預測一個人在未來某時刻的地點位置準確率可以達到 九三六

企業不僅要賺貝蒂現在的錢還透過行為預測要賺她未來的錢

15

貝蒂的故事

「我還以為自己能有點小秘密但顯然這是個妄想」當《華爾街日報》循線找到真實世界中的貝蒂並把資訊公司對她的觀察告知貝蒂驚訝的說

你跟我都可能是貝蒂因為在虛擬的國度裡沒有地域的限制世界任何一個在網路上的小動作都可能被蒐集成為賺錢的利器

16

網路隱私權販賣流程 當你登入網路 收信或上臉書 按下讚helliphellip

個資開始被販賣 一筆0031元

Blue Kai個資拍賣平台裡 你個資單筆最低報價 僅新台幣0031元

個資被大量追蹤 300家

根據統計一筆公開 的個資平均有300家

廠商盯著你看

廣告效益提高 24倍

依消費者喜好投注廣告 點擊數是過去24 倍 交易成功率大增

你的樣貌被拼出

10億份電郵 資料整合商透過不同 資料跟10億份電郵交 叉比對後連你姓名

都能找出

廣告量大幅成長

1000億元 今年美國廠商投在精準 行銷廣告費用達新台幣 1000億元每年正以

50速度成長

你被歸納和分類 10萬種

資料賣給資料挖掘 廠商後你的個性

被拆解歸納在10萬 種分類中

資料來源eMarketer《華爾街日報》GartnerEnders Analysis

17

網路隱私「被賣」爭議越演越烈

07525 Google發表街景應用程式為全球各地提供街景視圖歐盟正調查是否違法

093 臉書擅自更改使用條款用戶即使刪除資料公司仍有使用權5月頒行

10818 臉書推出可標記所在位置的最新功能「地標」（Place）引發隱私權論戰

11211 美國會議員史皮爾提《謝絕網路追蹤法案》網路使用者有拒絕個人被追蹤權利

11417 索尼的線上遊戲與音樂服務遭駭客入侵至今上億名用戶的個資外洩

11420 資安專家爆料iPhone等產品會記錄地理位置和行蹤執行長賈伯斯上火線澄清

資料來源各新聞網站

18

雲端運算的迷思--簡介與應用

13

iPhoneAndroid手機

同時間手機業者也盯著貝蒂不放《華爾街日報》調查iPhone或是Android手機上一百零一個最紅的應用程式其中有四十七個程式會記錄下你曾經去過哪裡及你現在的位置你帶著的手機就像是帶著隨身的監控器「手機可以知道一切就像是用上帝之眼來觀察人類的行為」麻省理工學院媒體實驗室教授潘蘭（Pentland）說

14

貝蒂的故事

而這還不是結束美國波士頓東北大學分析了一千六百萬筆通話紀錄和位置資訊得出的結論是如果分析足夠多的資訊預測一個人在未來某時刻的地點位置準確率可以達到 九三六

企業不僅要賺貝蒂現在的錢還透過行為預測要賺她未來的錢

15

貝蒂的故事

「我還以為自己能有點小秘密但顯然這是個妄想」當《華爾街日報》循線找到真實世界中的貝蒂並把資訊公司對她的觀察告知貝蒂驚訝的說

你跟我都可能是貝蒂因為在虛擬的國度裡沒有地域的限制世界任何一個在網路上的小動作都可能被蒐集成為賺錢的利器

16

網路隱私權販賣流程 當你登入網路 收信或上臉書 按下讚helliphellip

個資開始被販賣 一筆0031元

Blue Kai個資拍賣平台裡 你個資單筆最低報價 僅新台幣0031元

個資被大量追蹤 300家

根據統計一筆公開 的個資平均有300家

廠商盯著你看

廣告效益提高 24倍

依消費者喜好投注廣告 點擊數是過去24 倍 交易成功率大增

你的樣貌被拼出

10億份電郵 資料整合商透過不同 資料跟10億份電郵交 叉比對後連你姓名

都能找出

廣告量大幅成長

1000億元 今年美國廠商投在精準 行銷廣告費用達新台幣 1000億元每年正以

50速度成長

你被歸納和分類 10萬種

資料賣給資料挖掘 廠商後你的個性

被拆解歸納在10萬 種分類中

資料來源eMarketer《華爾街日報》GartnerEnders Analysis

17

網路隱私「被賣」爭議越演越烈

07525 Google發表街景應用程式為全球各地提供街景視圖歐盟正調查是否違法

093 臉書擅自更改使用條款用戶即使刪除資料公司仍有使用權5月頒行

10818 臉書推出可標記所在位置的最新功能「地標」（Place）引發隱私權論戰

11211 美國會議員史皮爾提《謝絕網路追蹤法案》網路使用者有拒絕個人被追蹤權利

11417 索尼的線上遊戲與音樂服務遭駭客入侵至今上億名用戶的個資外洩

11420 資安專家爆料iPhone等產品會記錄地理位置和行蹤執行長賈伯斯上火線澄清

資料來源各新聞網站

18

雲端運算的迷思--簡介與應用

14

貝蒂的故事

而這還不是結束美國波士頓東北大學分析了一千六百萬筆通話紀錄和位置資訊得出的結論是如果分析足夠多的資訊預測一個人在未來某時刻的地點位置準確率可以達到 九三六

企業不僅要賺貝蒂現在的錢還透過行為預測要賺她未來的錢

15

貝蒂的故事

「我還以為自己能有點小秘密但顯然這是個妄想」當《華爾街日報》循線找到真實世界中的貝蒂並把資訊公司對她的觀察告知貝蒂驚訝的說

你跟我都可能是貝蒂因為在虛擬的國度裡沒有地域的限制世界任何一個在網路上的小動作都可能被蒐集成為賺錢的利器

16

網路隱私權販賣流程 當你登入網路 收信或上臉書 按下讚helliphellip

個資開始被販賣 一筆0031元

Blue Kai個資拍賣平台裡 你個資單筆最低報價 僅新台幣0031元

個資被大量追蹤 300家

根據統計一筆公開 的個資平均有300家

廠商盯著你看

廣告效益提高 24倍

依消費者喜好投注廣告 點擊數是過去24 倍 交易成功率大增

你的樣貌被拼出

10億份電郵 資料整合商透過不同 資料跟10億份電郵交 叉比對後連你姓名

都能找出

廣告量大幅成長

1000億元 今年美國廠商投在精準 行銷廣告費用達新台幣 1000億元每年正以

50速度成長

你被歸納和分類 10萬種

資料賣給資料挖掘 廠商後你的個性

被拆解歸納在10萬 種分類中

資料來源eMarketer《華爾街日報》GartnerEnders Analysis

17

網路隱私「被賣」爭議越演越烈

07525 Google發表街景應用程式為全球各地提供街景視圖歐盟正調查是否違法

093 臉書擅自更改使用條款用戶即使刪除資料公司仍有使用權5月頒行

10818 臉書推出可標記所在位置的最新功能「地標」（Place）引發隱私權論戰

11211 美國會議員史皮爾提《謝絕網路追蹤法案》網路使用者有拒絕個人被追蹤權利

11417 索尼的線上遊戲與音樂服務遭駭客入侵至今上億名用戶的個資外洩

11420 資安專家爆料iPhone等產品會記錄地理位置和行蹤執行長賈伯斯上火線澄清

資料來源各新聞網站

18

雲端運算的迷思--簡介與應用

15

貝蒂的故事

「我還以為自己能有點小秘密但顯然這是個妄想」當《華爾街日報》循線找到真實世界中的貝蒂並把資訊公司對她的觀察告知貝蒂驚訝的說

你跟我都可能是貝蒂因為在虛擬的國度裡沒有地域的限制世界任何一個在網路上的小動作都可能被蒐集成為賺錢的利器

16

網路隱私權販賣流程 當你登入網路 收信或上臉書 按下讚helliphellip

個資開始被販賣 一筆0031元

Blue Kai個資拍賣平台裡 你個資單筆最低報價 僅新台幣0031元

個資被大量追蹤 300家

根據統計一筆公開 的個資平均有300家

廠商盯著你看

廣告效益提高 24倍

依消費者喜好投注廣告 點擊數是過去24 倍 交易成功率大增

你的樣貌被拼出

10億份電郵 資料整合商透過不同 資料跟10億份電郵交 叉比對後連你姓名

都能找出

廣告量大幅成長

1000億元 今年美國廠商投在精準 行銷廣告費用達新台幣 1000億元每年正以

50速度成長

你被歸納和分類 10萬種

資料賣給資料挖掘 廠商後你的個性

被拆解歸納在10萬 種分類中

資料來源eMarketer《華爾街日報》GartnerEnders Analysis

17

網路隱私「被賣」爭議越演越烈

07525 Google發表街景應用程式為全球各地提供街景視圖歐盟正調查是否違法

093 臉書擅自更改使用條款用戶即使刪除資料公司仍有使用權5月頒行

10818 臉書推出可標記所在位置的最新功能「地標」（Place）引發隱私權論戰

11211 美國會議員史皮爾提《謝絕網路追蹤法案》網路使用者有拒絕個人被追蹤權利

11417 索尼的線上遊戲與音樂服務遭駭客入侵至今上億名用戶的個資外洩

11420 資安專家爆料iPhone等產品會記錄地理位置和行蹤執行長賈伯斯上火線澄清

資料來源各新聞網站

18

雲端運算的迷思--簡介與應用

16

網路隱私權販賣流程 當你登入網路 收信或上臉書 按下讚helliphellip

個資開始被販賣 一筆0031元

Blue Kai個資拍賣平台裡 你個資單筆最低報價 僅新台幣0031元

個資被大量追蹤 300家

根據統計一筆公開 的個資平均有300家

廠商盯著你看

廣告效益提高 24倍

依消費者喜好投注廣告 點擊數是過去24 倍 交易成功率大增

你的樣貌被拼出

10億份電郵 資料整合商透過不同 資料跟10億份電郵交 叉比對後連你姓名

都能找出

廣告量大幅成長

1000億元 今年美國廠商投在精準 行銷廣告費用達新台幣 1000億元每年正以

50速度成長

你被歸納和分類 10萬種

資料賣給資料挖掘 廠商後你的個性

被拆解歸納在10萬 種分類中

資料來源eMarketer《華爾街日報》GartnerEnders Analysis

17

網路隱私「被賣」爭議越演越烈

07525 Google發表街景應用程式為全球各地提供街景視圖歐盟正調查是否違法

093 臉書擅自更改使用條款用戶即使刪除資料公司仍有使用權5月頒行

10818 臉書推出可標記所在位置的最新功能「地標」（Place）引發隱私權論戰

11211 美國會議員史皮爾提《謝絕網路追蹤法案》網路使用者有拒絕個人被追蹤權利

11417 索尼的線上遊戲與音樂服務遭駭客入侵至今上億名用戶的個資外洩

11420 資安專家爆料iPhone等產品會記錄地理位置和行蹤執行長賈伯斯上火線澄清

資料來源各新聞網站

18

雲端運算的迷思--簡介與應用

17

網路隱私「被賣」爭議越演越烈

07525 Google發表街景應用程式為全球各地提供街景視圖歐盟正調查是否違法

093 臉書擅自更改使用條款用戶即使刪除資料公司仍有使用權5月頒行

10818 臉書推出可標記所在位置的最新功能「地標」（Place）引發隱私權論戰

11211 美國會議員史皮爾提《謝絕網路追蹤法案》網路使用者有拒絕個人被追蹤權利

11417 索尼的線上遊戲與音樂服務遭駭客入侵至今上億名用戶的個資外洩

11420 資安專家爆料iPhone等產品會記錄地理位置和行蹤執行長賈伯斯上火線澄清

資料來源各新聞網站

18

雲端運算的迷思--簡介與應用

18

雲端運算的迷思--簡介與應用

19

雲端運算定義 組織 定義

NIST 雲端運算是一個模式能便利地隨需透過網路存取設定好的共享運算資源池（如網路伺服器儲存裝置應用程式與各類服務）可以最少的管理工作或服務供應商互動進行快速配置和發佈

Gartner 雲端運算是一種具備大量且可擴充之IT相關能力的運算透過網際網路技術並服務的方式(as a service)提供給外部的使用者

Forrester 雲端運算是一種具有高度彈性抽象的運算中心可以提供使用者所需要的應用程式並可依據資源使用多寡來收費

IDC 雲端運算是一種即時的IT能力運算網路平台可被請求被供應被傳遞以及被消費

Google 應用程式和資料在雲端可以透過任何裝置存取使用瀏覽器在網雲間相互連通

Mircosoft 一種由微軟資料中心供應的網路雲端服務平台可提供一套作業系統和一組程式開發者服務可供個人或群體操作

IBM 雲端運算是種分享的網路資訊服務的模式使用者看到的只有服務本身不用關心相關基礎的建置

Wikipedia 雲端運算是種能夠將動態伸縮的虛擬化資源透過網路以服務的方式提供給使用者的運算模式使用者不需要知道如何管理那些支援雲端運算的基礎設施

20

雲端運算影片介紹

什麼是雲端運算(Cloud computing)

過度炒作

21

NIST對雲端運算的定義

Public Private Hybrid Community Deployment

Models

Service Models

Software as a Service (SaaS)

Platform as a Service (PaaS)

Infrastucture as a Service (IaaS)

Essential Characteristics

On-Demand Self Service

Broad Network Access Resource Pooling

Rapid Elasticity Measured Service

Visual Model of NISTrsquos Working Definition of Cloud Computing

httpwwwcsrcnistgovgroupsSNScloud-computingindexhtml

20

雲端運算影片介紹

什麼是雲端運算(Cloud computing)

過度炒作

21

NIST對雲端運算的定義

Public Private Hybrid Community Deployment

Models

Service Models

Software as a Service (SaaS)

Platform as a Service (PaaS)

Infrastucture as a Service (IaaS)

Essential Characteristics

On-Demand Self Service

Broad Network Access Resource Pooling

Rapid Elasticity Measured Service

Visual Model of NISTrsquos Working Definition of Cloud Computing

httpwwwcsrcnistgovgroupsSNScloud-computingindexhtml

21

NIST對雲端運算的定義

Public Private Hybrid Community Deployment

Models

Service Models

Software as a Service (SaaS)

Platform as a Service (PaaS)

Infrastucture as a Service (IaaS)

Essential Characteristics

On-Demand Self Service

Broad Network Access Resource Pooling

Rapid Elasticity Measured Service

Visual Model of NISTrsquos Working Definition of Cloud Computing

httpwwwcsrcnistgovgroupsSNScloud-computingindexhtml

22

雲端運算的特性

多重租賃共享資源 (multi tenancy) Multiple users use the same resource in

network levelhost level and application level

(資料來源Cloud security and privacy Tim Mather et al)

23

雲端運算的特性

極佳的擴充性(Massive scalability) Provides the ability to massively scale

systembandwith and space

(資料來源Cloud security and privacy Tim Mather et al)

24

雲端運算的特性

彈性(elasticity) Users can rapidly increase and decrease

their computing resources as they needed as well as release resources to other users when they are no longer required

(資料來源Cloud security and privacy Tim Mather et al)

25

雲端運算的特性

用多少付多少(pay as you go) Users pay for only the resource they

actually use

(資料來源Cloud security and privacy Tim Mather et al)

26

雲端運算的特性

自我調配(self-provisioning) Users self-provisioning resources such as

systems( processing capability software storage) and network resources

(資料來源Cloud security and privacy Tim Mather et al)

27

雲端服務的SPI架構

28 copy 2009 Cisco Systems Inc All rights reserved Cisco Public

雲端運算的本質之一 Infrastructure as a Services

彈性的運用實體資料中心的資源 系統及網路管理人員可以隨使用單位的需求 機動的提供 ICT 架構 每個部門都可以擁有自己的虛擬資料中心 可自行或委託管理 資源可重覆使用 機動調派 提昇整體利用率 達成綠色節能的目地 案例如 Rackspace 及 Amazon

AWS EC2

29 copy 2009 Cisco Systems Inc All rights reserved Cisco Public

範例 虛擬桌面架構應用

View Connection

Broker

Virtualized Desktops 遠端學校

WAN View Client

RDP with SSL

Media Server

區網高速電腦中心

Media VServer

View Client

中小學電腦教室 區網高速電腦 資料中心

30 copy 2009 Cisco Systems Inc All rights reserved Cisco Public

雲端運算的本質之二 Platform as a Services

以應用程式設計為導向的平台服務 程式設計人員可以依據所提供的

API 自行開發所需要的程式系統 而不需要知道這個平台在那裡 資源可重覆使用 負載均衡 網路安全 資料備援等皆可自動達成 案例如 Google Application

Engine Amazon AWS Simple Storage 及 Cisco WebEx Connect 等

31 copy 2009 Cisco Systems Inc All rights reserved Cisco Public

雲端運算的本質之三 Software as a Services

以應用為導向的服務 一般使用者可依據需求直接使用各項服務系統 而不需要知道該系統存放在那裡 使用者可以直接利用瀏覽器來使用應用程式服務 以 dotcom 的形式存在 案例如 Gmail Cisco WebExcom

Salesforcecom and qqcom 等

32 copy 2009 Cisco Systems Inc All rights reserved Cisco Public

雲端運算的需求 機動的增減資源的使用與自動化

資料庫叢集的增生 SaaS 應用平台的增生

主機託管業務的減少

SaaS 應用平台的縮減

虛擬化主機業務的增加

根據需求 彈性 自動及虛擬的有效提供現有資源

整體資源的數量不變

33

雲端運算 優勢 bull低成本 bull免軟體儲存空間伺服器成本 bull節能環保 bull節省設備維護人力 bull伺服器軟硬體升級容易 bull主機備份容易 bull使得安全稽核測試更簡單 bull可運用雲端自動安全管理 bull簡化災難復原程序 bull將公開資料轉移到外部雲減少暴露內部敏感資料的機會

33

34

劣勢 資料安全性 特殊使用者角色權限 法律規範若有違法屬於誰 資料所屬位置（國家） 資料隔離安全性 資料完整性（回復能力） 供應商永久性供應商的安全模型 供應商隱私保護 喪失實體控制能力 Net Admin 會沒工作

34

雲端運算

35

全世界都在談 國際大廠（如微軟IBM和Google等）和各國政府（如歐盟日本和韓國等）紛紛重視雲端運算的發展台灣政府亦在今年積極推動雲端運算產業發展方案預計五年內投入240億元帶動企業研發投資127億在政府及雲端供應商積極規劃和佈局的同時需求端市場是否已準備好採用雲端服務抑或處於觀望階段--資策會FIND消費研究與市場預測組

36

微軟 MCloud 台灣微軟 MCloud 首部曲 (2009 年 12 月 1 日台北) 雲端運算不再只是口號繼微軟執行長史蒂夫鮑默爾 (Steve Ballmer) 11 月初訪台時揭示微軟雲端運算願景 「3 螢 1 雲」(Three Screens and a Cloud)並分別與經濟部共同推動「軟體暨服務卓越中心」與中華電信簽訂雲端運算策略聯盟合作備忘錄之後今天更進一步把雲端願景落實到企業應用中推出微軟 MCloud 解決方案其中包含軟體即服務 (SaaS Software as a Service)平台即服務 (PaaS Platform as a Service) 和基礎架構即服務 (IaaS Infrastructure as a Service) 三大領域

23

雲端運算的特性

極佳的擴充性(Massive scalability) Provides the ability to massively scale

systembandwith and space

(資料來源Cloud security and privacy Tim Mather et al)

24

雲端運算的特性

彈性(elasticity) Users can rapidly increase and decrease

their computing resources as they needed as well as release resources to other users when they are no longer required

(資料來源Cloud security and privacy Tim Mather et al)

25

雲端運算的特性

用多少付多少(pay as you go) Users pay for only the resource they

actually use

(資料來源Cloud security and privacy Tim Mather et al)

26

雲端運算的特性

自我調配(self-provisioning) Users self-provisioning resources such as

systems( processing capability software storage) and network resources

(資料來源Cloud security and privacy Tim Mather et al)

27

雲端服務的SPI架構

28 copy 2009 Cisco Systems Inc All rights reserved Cisco Public

雲端運算的本質之一 Infrastructure as a Services

彈性的運用實體資料中心的資源 系統及網路管理人員可以隨使用單位的需求 機動的提供 ICT 架構 每個部門都可以擁有自己的虛擬資料中心 可自行或委託管理 資源可重覆使用 機動調派 提昇整體利用率 達成綠色節能的目地 案例如 Rackspace 及 Amazon

AWS EC2

29 copy 2009 Cisco Systems Inc All rights reserved Cisco Public

範例 虛擬桌面架構應用

View Connection

Broker

Virtualized Desktops 遠端學校

WAN View Client

RDP with SSL

Media Server

區網高速電腦中心

Media VServer

View Client

中小學電腦教室 區網高速電腦 資料中心

30 copy 2009 Cisco Systems Inc All rights reserved Cisco Public

雲端運算的本質之二 Platform as a Services

以應用程式設計為導向的平台服務 程式設計人員可以依據所提供的

API 自行開發所需要的程式系統 而不需要知道這個平台在那裡 資源可重覆使用 負載均衡 網路安全 資料備援等皆可自動達成 案例如 Google Application

Engine Amazon AWS Simple Storage 及 Cisco WebEx Connect 等

31 copy 2009 Cisco Systems Inc All rights reserved Cisco Public

雲端運算的本質之三 Software as a Services

以應用為導向的服務 一般使用者可依據需求直接使用各項服務系統 而不需要知道該系統存放在那裡 使用者可以直接利用瀏覽器來使用應用程式服務 以 dotcom 的形式存在 案例如 Gmail Cisco WebExcom

Salesforcecom and qqcom 等

32 copy 2009 Cisco Systems Inc All rights reserved Cisco Public

雲端運算的需求 機動的增減資源的使用與自動化

資料庫叢集的增生 SaaS 應用平台的增生

主機託管業務的減少

SaaS 應用平台的縮減

虛擬化主機業務的增加

根據需求 彈性 自動及虛擬的有效提供現有資源

整體資源的數量不變

33

雲端運算 優勢 bull低成本 bull免軟體儲存空間伺服器成本 bull節能環保 bull節省設備維護人力 bull伺服器軟硬體升級容易 bull主機備份容易 bull使得安全稽核測試更簡單 bull可運用雲端自動安全管理 bull簡化災難復原程序 bull將公開資料轉移到外部雲減少暴露內部敏感資料的機會

33

34

劣勢 資料安全性 特殊使用者角色權限 法律規範若有違法屬於誰 資料所屬位置（國家） 資料隔離安全性 資料完整性（回復能力） 供應商永久性供應商的安全模型 供應商隱私保護 喪失實體控制能力 Net Admin 會沒工作

34

雲端運算

35

全世界都在談 國際大廠（如微軟IBM和Google等）和各國政府（如歐盟日本和韓國等）紛紛重視雲端運算的發展台灣政府亦在今年積極推動雲端運算產業發展方案預計五年內投入240億元帶動企業研發投資127億在政府及雲端供應商積極規劃和佈局的同時需求端市場是否已準備好採用雲端服務抑或處於觀望階段--資策會FIND消費研究與市場預測組

36

微軟 MCloud 台灣微軟 MCloud 首部曲 (2009 年 12 月 1 日台北) 雲端運算不再只是口號繼微軟執行長史蒂夫鮑默爾 (Steve Ballmer) 11 月初訪台時揭示微軟雲端運算願景 「3 螢 1 雲」(Three Screens and a Cloud)並分別與經濟部共同推動「軟體暨服務卓越中心」與中華電信簽訂雲端運算策略聯盟合作備忘錄之後今天更進一步把雲端願景落實到企業應用中推出微軟 MCloud 解決方案其中包含軟體即服務 (SaaS Software as a Service)平台即服務 (PaaS Platform as a Service) 和基礎架構即服務 (IaaS Infrastructure as a Service) 三大領域

24

雲端運算的特性

彈性(elasticity) Users can rapidly increase and decrease

their computing resources as they needed as well as release resources to other users when they are no longer required

(資料來源Cloud security and privacy Tim Mather et al)

25

雲端運算的特性

用多少付多少(pay as you go) Users pay for only the resource they

actually use

(資料來源Cloud security and privacy Tim Mather et al)

26

雲端運算的特性

自我調配(self-provisioning) Users self-provisioning resources such as

systems( processing capability software storage) and network resources

(資料來源Cloud security and privacy Tim Mather et al)

27

雲端服務的SPI架構

28 copy 2009 Cisco Systems Inc All rights reserved Cisco Public

雲端運算的本質之一 Infrastructure as a Services

彈性的運用實體資料中心的資源 系統及網路管理人員可以隨使用單位的需求 機動的提供 ICT 架構 每個部門都可以擁有自己的虛擬資料中心 可自行或委託管理 資源可重覆使用 機動調派 提昇整體利用率 達成綠色節能的目地 案例如 Rackspace 及 Amazon

AWS EC2

29 copy 2009 Cisco Systems Inc All rights reserved Cisco Public

範例 虛擬桌面架構應用

View Connection

Broker

Virtualized Desktops 遠端學校

WAN View Client

RDP with SSL

Media Server

區網高速電腦中心

Media VServer

View Client

中小學電腦教室 區網高速電腦 資料中心

30 copy 2009 Cisco Systems Inc All rights reserved Cisco Public

雲端運算的本質之二 Platform as a Services

以應用程式設計為導向的平台服務 程式設計人員可以依據所提供的

API 自行開發所需要的程式系統 而不需要知道這個平台在那裡 資源可重覆使用 負載均衡 網路安全 資料備援等皆可自動達成 案例如 Google Application

Engine Amazon AWS Simple Storage 及 Cisco WebEx Connect 等

31 copy 2009 Cisco Systems Inc All rights reserved Cisco Public

雲端運算的本質之三 Software as a Services

以應用為導向的服務 一般使用者可依據需求直接使用各項服務系統 而不需要知道該系統存放在那裡 使用者可以直接利用瀏覽器來使用應用程式服務 以 dotcom 的形式存在 案例如 Gmail Cisco WebExcom

Salesforcecom and qqcom 等

32 copy 2009 Cisco Systems Inc All rights reserved Cisco Public

雲端運算的需求 機動的增減資源的使用與自動化

資料庫叢集的增生 SaaS 應用平台的增生

主機託管業務的減少

SaaS 應用平台的縮減

虛擬化主機業務的增加

根據需求 彈性 自動及虛擬的有效提供現有資源

整體資源的數量不變

33

雲端運算 優勢 bull低成本 bull免軟體儲存空間伺服器成本 bull節能環保 bull節省設備維護人力 bull伺服器軟硬體升級容易 bull主機備份容易 bull使得安全稽核測試更簡單 bull可運用雲端自動安全管理 bull簡化災難復原程序 bull將公開資料轉移到外部雲減少暴露內部敏感資料的機會

33

34

劣勢 資料安全性 特殊使用者角色權限 法律規範若有違法屬於誰 資料所屬位置（國家） 資料隔離安全性 資料完整性（回復能力） 供應商永久性供應商的安全模型 供應商隱私保護 喪失實體控制能力 Net Admin 會沒工作

34

雲端運算

35

全世界都在談 國際大廠（如微軟IBM和Google等）和各國政府（如歐盟日本和韓國等）紛紛重視雲端運算的發展台灣政府亦在今年積極推動雲端運算產業發展方案預計五年內投入240億元帶動企業研發投資127億在政府及雲端供應商積極規劃和佈局的同時需求端市場是否已準備好採用雲端服務抑或處於觀望階段--資策會FIND消費研究與市場預測組

36

微軟 MCloud 台灣微軟 MCloud 首部曲 (2009 年 12 月 1 日台北) 雲端運算不再只是口號繼微軟執行長史蒂夫鮑默爾 (Steve Ballmer) 11 月初訪台時揭示微軟雲端運算願景 「3 螢 1 雲」(Three Screens and a Cloud)並分別與經濟部共同推動「軟體暨服務卓越中心」與中華電信簽訂雲端運算策略聯盟合作備忘錄之後今天更進一步把雲端願景落實到企業應用中推出微軟 MCloud 解決方案其中包含軟體即服務 (SaaS Software as a Service)平台即服務 (PaaS Platform as a Service) 和基礎架構即服務 (IaaS Infrastructure as a Service) 三大領域

25

雲端運算的特性

用多少付多少(pay as you go) Users pay for only the resource they

actually use

(資料來源Cloud security and privacy Tim Mather et al)

26

雲端運算的特性

自我調配(self-provisioning) Users self-provisioning resources such as

systems( processing capability software storage) and network resources

(資料來源Cloud security and privacy Tim Mather et al)

27

雲端服務的SPI架構

28 copy 2009 Cisco Systems Inc All rights reserved Cisco Public

雲端運算的本質之一 Infrastructure as a Services

彈性的運用實體資料中心的資源 系統及網路管理人員可以隨使用單位的需求 機動的提供 ICT 架構 每個部門都可以擁有自己的虛擬資料中心 可自行或委託管理 資源可重覆使用 機動調派 提昇整體利用率 達成綠色節能的目地 案例如 Rackspace 及 Amazon

AWS EC2

29 copy 2009 Cisco Systems Inc All rights reserved Cisco Public

範例 虛擬桌面架構應用

View Connection

Broker

Virtualized Desktops 遠端學校

WAN View Client

RDP with SSL

Media Server

區網高速電腦中心

Media VServer

View Client

中小學電腦教室 區網高速電腦 資料中心

30 copy 2009 Cisco Systems Inc All rights reserved Cisco Public

雲端運算的本質之二 Platform as a Services

以應用程式設計為導向的平台服務 程式設計人員可以依據所提供的

API 自行開發所需要的程式系統 而不需要知道這個平台在那裡 資源可重覆使用 負載均衡 網路安全 資料備援等皆可自動達成 案例如 Google Application

Engine Amazon AWS Simple Storage 及 Cisco WebEx Connect 等

31 copy 2009 Cisco Systems Inc All rights reserved Cisco Public

雲端運算的本質之三 Software as a Services

以應用為導向的服務 一般使用者可依據需求直接使用各項服務系統 而不需要知道該系統存放在那裡 使用者可以直接利用瀏覽器來使用應用程式服務 以 dotcom 的形式存在 案例如 Gmail Cisco WebExcom

Salesforcecom and qqcom 等

32 copy 2009 Cisco Systems Inc All rights reserved Cisco Public

雲端運算的需求 機動的增減資源的使用與自動化

資料庫叢集的增生 SaaS 應用平台的增生

主機託管業務的減少

SaaS 應用平台的縮減

虛擬化主機業務的增加

根據需求 彈性 自動及虛擬的有效提供現有資源

整體資源的數量不變

33

雲端運算 優勢 bull低成本 bull免軟體儲存空間伺服器成本 bull節能環保 bull節省設備維護人力 bull伺服器軟硬體升級容易 bull主機備份容易 bull使得安全稽核測試更簡單 bull可運用雲端自動安全管理 bull簡化災難復原程序 bull將公開資料轉移到外部雲減少暴露內部敏感資料的機會

33

34

劣勢 資料安全性 特殊使用者角色權限 法律規範若有違法屬於誰 資料所屬位置（國家） 資料隔離安全性 資料完整性（回復能力） 供應商永久性供應商的安全模型 供應商隱私保護 喪失實體控制能力 Net Admin 會沒工作

34

雲端運算

35

全世界都在談 國際大廠（如微軟IBM和Google等）和各國政府（如歐盟日本和韓國等）紛紛重視雲端運算的發展台灣政府亦在今年積極推動雲端運算產業發展方案預計五年內投入240億元帶動企業研發投資127億在政府及雲端供應商積極規劃和佈局的同時需求端市場是否已準備好採用雲端服務抑或處於觀望階段--資策會FIND消費研究與市場預測組

36

微軟 MCloud 台灣微軟 MCloud 首部曲 (2009 年 12 月 1 日台北) 雲端運算不再只是口號繼微軟執行長史蒂夫鮑默爾 (Steve Ballmer) 11 月初訪台時揭示微軟雲端運算願景 「3 螢 1 雲」(Three Screens and a Cloud)並分別與經濟部共同推動「軟體暨服務卓越中心」與中華電信簽訂雲端運算策略聯盟合作備忘錄之後今天更進一步把雲端願景落實到企業應用中推出微軟 MCloud 解決方案其中包含軟體即服務 (SaaS Software as a Service)平台即服務 (PaaS Platform as a Service) 和基礎架構即服務 (IaaS Infrastructure as a Service) 三大領域

26

雲端運算的特性

自我調配(self-provisioning) Users self-provisioning resources such as

systems( processing capability software storage) and network resources

(資料來源Cloud security and privacy Tim Mather et al)

27

雲端服務的SPI架構

28 copy 2009 Cisco Systems Inc All rights reserved Cisco Public

雲端運算的本質之一 Infrastructure as a Services

彈性的運用實體資料中心的資源 系統及網路管理人員可以隨使用單位的需求 機動的提供 ICT 架構 每個部門都可以擁有自己的虛擬資料中心 可自行或委託管理 資源可重覆使用 機動調派 提昇整體利用率 達成綠色節能的目地 案例如 Rackspace 及 Amazon

AWS EC2

29 copy 2009 Cisco Systems Inc All rights reserved Cisco Public

範例 虛擬桌面架構應用

View Connection

Broker

Virtualized Desktops 遠端學校

WAN View Client

RDP with SSL

Media Server

區網高速電腦中心

Media VServer

View Client

中小學電腦教室 區網高速電腦 資料中心

30 copy 2009 Cisco Systems Inc All rights reserved Cisco Public

雲端運算的本質之二 Platform as a Services

以應用程式設計為導向的平台服務 程式設計人員可以依據所提供的

API 自行開發所需要的程式系統 而不需要知道這個平台在那裡 資源可重覆使用 負載均衡 網路安全 資料備援等皆可自動達成 案例如 Google Application

Engine Amazon AWS Simple Storage 及 Cisco WebEx Connect 等

31 copy 2009 Cisco Systems Inc All rights reserved Cisco Public

雲端運算的本質之三 Software as a Services

以應用為導向的服務 一般使用者可依據需求直接使用各項服務系統 而不需要知道該系統存放在那裡 使用者可以直接利用瀏覽器來使用應用程式服務 以 dotcom 的形式存在 案例如 Gmail Cisco WebExcom

Salesforcecom and qqcom 等

32 copy 2009 Cisco Systems Inc All rights reserved Cisco Public

雲端運算的需求 機動的增減資源的使用與自動化

資料庫叢集的增生 SaaS 應用平台的增生

主機託管業務的減少

SaaS 應用平台的縮減

虛擬化主機業務的增加

根據需求 彈性 自動及虛擬的有效提供現有資源

整體資源的數量不變

33

雲端運算 優勢 bull低成本 bull免軟體儲存空間伺服器成本 bull節能環保 bull節省設備維護人力 bull伺服器軟硬體升級容易 bull主機備份容易 bull使得安全稽核測試更簡單 bull可運用雲端自動安全管理 bull簡化災難復原程序 bull將公開資料轉移到外部雲減少暴露內部敏感資料的機會

33

34

劣勢 資料安全性 特殊使用者角色權限 法律規範若有違法屬於誰 資料所屬位置（國家） 資料隔離安全性 資料完整性（回復能力） 供應商永久性供應商的安全模型 供應商隱私保護 喪失實體控制能力 Net Admin 會沒工作

34

雲端運算

35

全世界都在談 國際大廠（如微軟IBM和Google等）和各國政府（如歐盟日本和韓國等）紛紛重視雲端運算的發展台灣政府亦在今年積極推動雲端運算產業發展方案預計五年內投入240億元帶動企業研發投資127億在政府及雲端供應商積極規劃和佈局的同時需求端市場是否已準備好採用雲端服務抑或處於觀望階段--資策會FIND消費研究與市場預測組

36

微軟 MCloud 台灣微軟 MCloud 首部曲 (2009 年 12 月 1 日台北) 雲端運算不再只是口號繼微軟執行長史蒂夫鮑默爾 (Steve Ballmer) 11 月初訪台時揭示微軟雲端運算願景 「3 螢 1 雲」(Three Screens and a Cloud)並分別與經濟部共同推動「軟體暨服務卓越中心」與中華電信簽訂雲端運算策略聯盟合作備忘錄之後今天更進一步把雲端願景落實到企業應用中推出微軟 MCloud 解決方案其中包含軟體即服務 (SaaS Software as a Service)平台即服務 (PaaS Platform as a Service) 和基礎架構即服務 (IaaS Infrastructure as a Service) 三大領域

27

雲端服務的SPI架構

28 copy 2009 Cisco Systems Inc All rights reserved Cisco Public

雲端運算的本質之一 Infrastructure as a Services

彈性的運用實體資料中心的資源 系統及網路管理人員可以隨使用單位的需求 機動的提供 ICT 架構 每個部門都可以擁有自己的虛擬資料中心 可自行或委託管理 資源可重覆使用 機動調派 提昇整體利用率 達成綠色節能的目地 案例如 Rackspace 及 Amazon

AWS EC2

29 copy 2009 Cisco Systems Inc All rights reserved Cisco Public

範例 虛擬桌面架構應用

View Connection

Broker

Virtualized Desktops 遠端學校

WAN View Client

RDP with SSL

Media Server

區網高速電腦中心

Media VServer

View Client

中小學電腦教室 區網高速電腦 資料中心

30 copy 2009 Cisco Systems Inc All rights reserved Cisco Public

雲端運算的本質之二 Platform as a Services

以應用程式設計為導向的平台服務 程式設計人員可以依據所提供的

API 自行開發所需要的程式系統 而不需要知道這個平台在那裡 資源可重覆使用 負載均衡 網路安全 資料備援等皆可自動達成 案例如 Google Application

Engine Amazon AWS Simple Storage 及 Cisco WebEx Connect 等

31 copy 2009 Cisco Systems Inc All rights reserved Cisco Public

雲端運算的本質之三 Software as a Services

以應用為導向的服務 一般使用者可依據需求直接使用各項服務系統 而不需要知道該系統存放在那裡 使用者可以直接利用瀏覽器來使用應用程式服務 以 dotcom 的形式存在 案例如 Gmail Cisco WebExcom

Salesforcecom and qqcom 等

32 copy 2009 Cisco Systems Inc All rights reserved Cisco Public

雲端運算的需求 機動的增減資源的使用與自動化

資料庫叢集的增生 SaaS 應用平台的增生

主機託管業務的減少

SaaS 應用平台的縮減

虛擬化主機業務的增加

根據需求 彈性 自動及虛擬的有效提供現有資源

整體資源的數量不變

33

雲端運算 優勢 bull低成本 bull免軟體儲存空間伺服器成本 bull節能環保 bull節省設備維護人力 bull伺服器軟硬體升級容易 bull主機備份容易 bull使得安全稽核測試更簡單 bull可運用雲端自動安全管理 bull簡化災難復原程序 bull將公開資料轉移到外部雲減少暴露內部敏感資料的機會

33

34

劣勢 資料安全性 特殊使用者角色權限 法律規範若有違法屬於誰 資料所屬位置（國家） 資料隔離安全性 資料完整性（回復能力） 供應商永久性供應商的安全模型 供應商隱私保護 喪失實體控制能力 Net Admin 會沒工作

34

雲端運算

35

全世界都在談 國際大廠（如微軟IBM和Google等）和各國政府（如歐盟日本和韓國等）紛紛重視雲端運算的發展台灣政府亦在今年積極推動雲端運算產業發展方案預計五年內投入240億元帶動企業研發投資127億在政府及雲端供應商積極規劃和佈局的同時需求端市場是否已準備好採用雲端服務抑或處於觀望階段--資策會FIND消費研究與市場預測組

36

微軟 MCloud 台灣微軟 MCloud 首部曲 (2009 年 12 月 1 日台北) 雲端運算不再只是口號繼微軟執行長史蒂夫鮑默爾 (Steve Ballmer) 11 月初訪台時揭示微軟雲端運算願景 「3 螢 1 雲」(Three Screens and a Cloud)並分別與經濟部共同推動「軟體暨服務卓越中心」與中華電信簽訂雲端運算策略聯盟合作備忘錄之後今天更進一步把雲端願景落實到企業應用中推出微軟 MCloud 解決方案其中包含軟體即服務 (SaaS Software as a Service)平台即服務 (PaaS Platform as a Service) 和基礎架構即服務 (IaaS Infrastructure as a Service) 三大領域

28 copy 2009 Cisco Systems Inc All rights reserved Cisco Public

雲端運算的本質之一 Infrastructure as a Services

彈性的運用實體資料中心的資源 系統及網路管理人員可以隨使用單位的需求 機動的提供 ICT 架構 每個部門都可以擁有自己的虛擬資料中心 可自行或委託管理 資源可重覆使用 機動調派 提昇整體利用率 達成綠色節能的目地 案例如 Rackspace 及 Amazon

AWS EC2

29 copy 2009 Cisco Systems Inc All rights reserved Cisco Public

範例 虛擬桌面架構應用

View Connection

Broker

Virtualized Desktops 遠端學校

WAN View Client

RDP with SSL

Media Server

區網高速電腦中心

Media VServer

View Client

中小學電腦教室 區網高速電腦 資料中心

30 copy 2009 Cisco Systems Inc All rights reserved Cisco Public

雲端運算的本質之二 Platform as a Services

以應用程式設計為導向的平台服務 程式設計人員可以依據所提供的

API 自行開發所需要的程式系統 而不需要知道這個平台在那裡 資源可重覆使用 負載均衡 網路安全 資料備援等皆可自動達成 案例如 Google Application

Engine Amazon AWS Simple Storage 及 Cisco WebEx Connect 等

31 copy 2009 Cisco Systems Inc All rights reserved Cisco Public

雲端運算的本質之三 Software as a Services

以應用為導向的服務 一般使用者可依據需求直接使用各項服務系統 而不需要知道該系統存放在那裡 使用者可以直接利用瀏覽器來使用應用程式服務 以 dotcom 的形式存在 案例如 Gmail Cisco WebExcom

Salesforcecom and qqcom 等

32 copy 2009 Cisco Systems Inc All rights reserved Cisco Public

雲端運算的需求 機動的增減資源的使用與自動化

資料庫叢集的增生 SaaS 應用平台的增生

主機託管業務的減少

SaaS 應用平台的縮減

虛擬化主機業務的增加

根據需求 彈性 自動及虛擬的有效提供現有資源

整體資源的數量不變

33

雲端運算 優勢 bull低成本 bull免軟體儲存空間伺服器成本 bull節能環保 bull節省設備維護人力 bull伺服器軟硬體升級容易 bull主機備份容易 bull使得安全稽核測試更簡單 bull可運用雲端自動安全管理 bull簡化災難復原程序 bull將公開資料轉移到外部雲減少暴露內部敏感資料的機會

33

34

劣勢 資料安全性 特殊使用者角色權限 法律規範若有違法屬於誰 資料所屬位置（國家） 資料隔離安全性 資料完整性（回復能力） 供應商永久性供應商的安全模型 供應商隱私保護 喪失實體控制能力 Net Admin 會沒工作

34

雲端運算

35

全世界都在談 國際大廠（如微軟IBM和Google等）和各國政府（如歐盟日本和韓國等）紛紛重視雲端運算的發展台灣政府亦在今年積極推動雲端運算產業發展方案預計五年內投入240億元帶動企業研發投資127億在政府及雲端供應商積極規劃和佈局的同時需求端市場是否已準備好採用雲端服務抑或處於觀望階段--資策會FIND消費研究與市場預測組

36

微軟 MCloud 台灣微軟 MCloud 首部曲 (2009 年 12 月 1 日台北) 雲端運算不再只是口號繼微軟執行長史蒂夫鮑默爾 (Steve Ballmer) 11 月初訪台時揭示微軟雲端運算願景 「3 螢 1 雲」(Three Screens and a Cloud)並分別與經濟部共同推動「軟體暨服務卓越中心」與中華電信簽訂雲端運算策略聯盟合作備忘錄之後今天更進一步把雲端願景落實到企業應用中推出微軟 MCloud 解決方案其中包含軟體即服務 (SaaS Software as a Service)平台即服務 (PaaS Platform as a Service) 和基礎架構即服務 (IaaS Infrastructure as a Service) 三大領域

29 copy 2009 Cisco Systems Inc All rights reserved Cisco Public

範例 虛擬桌面架構應用

View Connection

Broker

Virtualized Desktops 遠端學校

WAN View Client

RDP with SSL

Media Server

區網高速電腦中心

Media VServer

View Client

中小學電腦教室 區網高速電腦 資料中心

30 copy 2009 Cisco Systems Inc All rights reserved Cisco Public

雲端運算的本質之二 Platform as a Services

以應用程式設計為導向的平台服務 程式設計人員可以依據所提供的

API 自行開發所需要的程式系統 而不需要知道這個平台在那裡 資源可重覆使用 負載均衡 網路安全 資料備援等皆可自動達成 案例如 Google Application

Engine Amazon AWS Simple Storage 及 Cisco WebEx Connect 等

31 copy 2009 Cisco Systems Inc All rights reserved Cisco Public

雲端運算的本質之三 Software as a Services

以應用為導向的服務 一般使用者可依據需求直接使用各項服務系統 而不需要知道該系統存放在那裡 使用者可以直接利用瀏覽器來使用應用程式服務 以 dotcom 的形式存在 案例如 Gmail Cisco WebExcom

Salesforcecom and qqcom 等

32 copy 2009 Cisco Systems Inc All rights reserved Cisco Public

雲端運算的需求 機動的增減資源的使用與自動化

資料庫叢集的增生 SaaS 應用平台的增生

主機託管業務的減少

SaaS 應用平台的縮減

虛擬化主機業務的增加

根據需求 彈性 自動及虛擬的有效提供現有資源

整體資源的數量不變

33

雲端運算 優勢 bull低成本 bull免軟體儲存空間伺服器成本 bull節能環保 bull節省設備維護人力 bull伺服器軟硬體升級容易 bull主機備份容易 bull使得安全稽核測試更簡單 bull可運用雲端自動安全管理 bull簡化災難復原程序 bull將公開資料轉移到外部雲減少暴露內部敏感資料的機會

33

34

劣勢 資料安全性 特殊使用者角色權限 法律規範若有違法屬於誰 資料所屬位置（國家） 資料隔離安全性 資料完整性（回復能力） 供應商永久性供應商的安全模型 供應商隱私保護 喪失實體控制能力 Net Admin 會沒工作

34

雲端運算

35

全世界都在談 國際大廠（如微軟IBM和Google等）和各國政府（如歐盟日本和韓國等）紛紛重視雲端運算的發展台灣政府亦在今年積極推動雲端運算產業發展方案預計五年內投入240億元帶動企業研發投資127億在政府及雲端供應商積極規劃和佈局的同時需求端市場是否已準備好採用雲端服務抑或處於觀望階段--資策會FIND消費研究與市場預測組

36

微軟 MCloud 台灣微軟 MCloud 首部曲 (2009 年 12 月 1 日台北) 雲端運算不再只是口號繼微軟執行長史蒂夫鮑默爾 (Steve Ballmer) 11 月初訪台時揭示微軟雲端運算願景 「3 螢 1 雲」(Three Screens and a Cloud)並分別與經濟部共同推動「軟體暨服務卓越中心」與中華電信簽訂雲端運算策略聯盟合作備忘錄之後今天更進一步把雲端願景落實到企業應用中推出微軟 MCloud 解決方案其中包含軟體即服務 (SaaS Software as a Service)平台即服務 (PaaS Platform as a Service) 和基礎架構即服務 (IaaS Infrastructure as a Service) 三大領域

30 copy 2009 Cisco Systems Inc All rights reserved Cisco Public

雲端運算的本質之二 Platform as a Services

以應用程式設計為導向的平台服務 程式設計人員可以依據所提供的

API 自行開發所需要的程式系統 而不需要知道這個平台在那裡 資源可重覆使用 負載均衡 網路安全 資料備援等皆可自動達成 案例如 Google Application

Engine Amazon AWS Simple Storage 及 Cisco WebEx Connect 等

31 copy 2009 Cisco Systems Inc All rights reserved Cisco Public

雲端運算的本質之三 Software as a Services

以應用為導向的服務 一般使用者可依據需求直接使用各項服務系統 而不需要知道該系統存放在那裡 使用者可以直接利用瀏覽器來使用應用程式服務 以 dotcom 的形式存在 案例如 Gmail Cisco WebExcom

Salesforcecom and qqcom 等

32 copy 2009 Cisco Systems Inc All rights reserved Cisco Public

雲端運算的需求 機動的增減資源的使用與自動化

資料庫叢集的增生 SaaS 應用平台的增生

主機託管業務的減少

SaaS 應用平台的縮減

虛擬化主機業務的增加

根據需求 彈性 自動及虛擬的有效提供現有資源

整體資源的數量不變

33

雲端運算 優勢 bull低成本 bull免軟體儲存空間伺服器成本 bull節能環保 bull節省設備維護人力 bull伺服器軟硬體升級容易 bull主機備份容易 bull使得安全稽核測試更簡單 bull可運用雲端自動安全管理 bull簡化災難復原程序 bull將公開資料轉移到外部雲減少暴露內部敏感資料的機會

33

34

劣勢 資料安全性 特殊使用者角色權限 法律規範若有違法屬於誰 資料所屬位置（國家） 資料隔離安全性 資料完整性（回復能力） 供應商永久性供應商的安全模型 供應商隱私保護 喪失實體控制能力 Net Admin 會沒工作

34

雲端運算

35

全世界都在談 國際大廠（如微軟IBM和Google等）和各國政府（如歐盟日本和韓國等）紛紛重視雲端運算的發展台灣政府亦在今年積極推動雲端運算產業發展方案預計五年內投入240億元帶動企業研發投資127億在政府及雲端供應商積極規劃和佈局的同時需求端市場是否已準備好採用雲端服務抑或處於觀望階段--資策會FIND消費研究與市場預測組

36

微軟 MCloud 台灣微軟 MCloud 首部曲 (2009 年 12 月 1 日台北) 雲端運算不再只是口號繼微軟執行長史蒂夫鮑默爾 (Steve Ballmer) 11 月初訪台時揭示微軟雲端運算願景 「3 螢 1 雲」(Three Screens and a Cloud)並分別與經濟部共同推動「軟體暨服務卓越中心」與中華電信簽訂雲端運算策略聯盟合作備忘錄之後今天更進一步把雲端願景落實到企業應用中推出微軟 MCloud 解決方案其中包含軟體即服務 (SaaS Software as a Service)平台即服務 (PaaS Platform as a Service) 和基礎架構即服務 (IaaS Infrastructure as a Service) 三大領域

31 copy 2009 Cisco Systems Inc All rights reserved Cisco Public

雲端運算的本質之三 Software as a Services

以應用為導向的服務 一般使用者可依據需求直接使用各項服務系統 而不需要知道該系統存放在那裡 使用者可以直接利用瀏覽器來使用應用程式服務 以 dotcom 的形式存在 案例如 Gmail Cisco WebExcom

Salesforcecom and qqcom 等

32 copy 2009 Cisco Systems Inc All rights reserved Cisco Public

雲端運算的需求 機動的增減資源的使用與自動化

資料庫叢集的增生 SaaS 應用平台的增生

主機託管業務的減少

SaaS 應用平台的縮減

虛擬化主機業務的增加

根據需求 彈性 自動及虛擬的有效提供現有資源

整體資源的數量不變

33

雲端運算 優勢 bull低成本 bull免軟體儲存空間伺服器成本 bull節能環保 bull節省設備維護人力 bull伺服器軟硬體升級容易 bull主機備份容易 bull使得安全稽核測試更簡單 bull可運用雲端自動安全管理 bull簡化災難復原程序 bull將公開資料轉移到外部雲減少暴露內部敏感資料的機會

33

34

劣勢 資料安全性 特殊使用者角色權限 法律規範若有違法屬於誰 資料所屬位置（國家） 資料隔離安全性 資料完整性（回復能力） 供應商永久性供應商的安全模型 供應商隱私保護 喪失實體控制能力 Net Admin 會沒工作

34

雲端運算

35

全世界都在談 國際大廠（如微軟IBM和Google等）和各國政府（如歐盟日本和韓國等）紛紛重視雲端運算的發展台灣政府亦在今年積極推動雲端運算產業發展方案預計五年內投入240億元帶動企業研發投資127億在政府及雲端供應商積極規劃和佈局的同時需求端市場是否已準備好採用雲端服務抑或處於觀望階段--資策會FIND消費研究與市場預測組

36

微軟 MCloud 台灣微軟 MCloud 首部曲 (2009 年 12 月 1 日台北) 雲端運算不再只是口號繼微軟執行長史蒂夫鮑默爾 (Steve Ballmer) 11 月初訪台時揭示微軟雲端運算願景 「3 螢 1 雲」(Three Screens and a Cloud)並分別與經濟部共同推動「軟體暨服務卓越中心」與中華電信簽訂雲端運算策略聯盟合作備忘錄之後今天更進一步把雲端願景落實到企業應用中推出微軟 MCloud 解決方案其中包含軟體即服務 (SaaS Software as a Service)平台即服務 (PaaS Platform as a Service) 和基礎架構即服務 (IaaS Infrastructure as a Service) 三大領域

32 copy 2009 Cisco Systems Inc All rights reserved Cisco Public

雲端運算的需求 機動的增減資源的使用與自動化

資料庫叢集的增生 SaaS 應用平台的增生

主機託管業務的減少

SaaS 應用平台的縮減

虛擬化主機業務的增加

根據需求 彈性 自動及虛擬的有效提供現有資源

整體資源的數量不變

33

雲端運算 優勢 bull低成本 bull免軟體儲存空間伺服器成本 bull節能環保 bull節省設備維護人力 bull伺服器軟硬體升級容易 bull主機備份容易 bull使得安全稽核測試更簡單 bull可運用雲端自動安全管理 bull簡化災難復原程序 bull將公開資料轉移到外部雲減少暴露內部敏感資料的機會

33

34

劣勢 資料安全性 特殊使用者角色權限 法律規範若有違法屬於誰 資料所屬位置（國家） 資料隔離安全性 資料完整性（回復能力） 供應商永久性供應商的安全模型 供應商隱私保護 喪失實體控制能力 Net Admin 會沒工作

34

雲端運算

35

全世界都在談 國際大廠（如微軟IBM和Google等）和各國政府（如歐盟日本和韓國等）紛紛重視雲端運算的發展台灣政府亦在今年積極推動雲端運算產業發展方案預計五年內投入240億元帶動企業研發投資127億在政府及雲端供應商積極規劃和佈局的同時需求端市場是否已準備好採用雲端服務抑或處於觀望階段--資策會FIND消費研究與市場預測組

36

微軟 MCloud 台灣微軟 MCloud 首部曲 (2009 年 12 月 1 日台北) 雲端運算不再只是口號繼微軟執行長史蒂夫鮑默爾 (Steve Ballmer) 11 月初訪台時揭示微軟雲端運算願景 「3 螢 1 雲」(Three Screens and a Cloud)並分別與經濟部共同推動「軟體暨服務卓越中心」與中華電信簽訂雲端運算策略聯盟合作備忘錄之後今天更進一步把雲端願景落實到企業應用中推出微軟 MCloud 解決方案其中包含軟體即服務 (SaaS Software as a Service)平台即服務 (PaaS Platform as a Service) 和基礎架構即服務 (IaaS Infrastructure as a Service) 三大領域

33

雲端運算 優勢 bull低成本 bull免軟體儲存空間伺服器成本 bull節能環保 bull節省設備維護人力 bull伺服器軟硬體升級容易 bull主機備份容易 bull使得安全稽核測試更簡單 bull可運用雲端自動安全管理 bull簡化災難復原程序 bull將公開資料轉移到外部雲減少暴露內部敏感資料的機會

33

34

劣勢 資料安全性 特殊使用者角色權限 法律規範若有違法屬於誰 資料所屬位置（國家） 資料隔離安全性 資料完整性（回復能力） 供應商永久性供應商的安全模型 供應商隱私保護 喪失實體控制能力 Net Admin 會沒工作

34

雲端運算

35

全世界都在談 國際大廠（如微軟IBM和Google等）和各國政府（如歐盟日本和韓國等）紛紛重視雲端運算的發展台灣政府亦在今年積極推動雲端運算產業發展方案預計五年內投入240億元帶動企業研發投資127億在政府及雲端供應商積極規劃和佈局的同時需求端市場是否已準備好採用雲端服務抑或處於觀望階段--資策會FIND消費研究與市場預測組

36

微軟 MCloud 台灣微軟 MCloud 首部曲 (2009 年 12 月 1 日台北) 雲端運算不再只是口號繼微軟執行長史蒂夫鮑默爾 (Steve Ballmer) 11 月初訪台時揭示微軟雲端運算願景 「3 螢 1 雲」(Three Screens and a Cloud)並分別與經濟部共同推動「軟體暨服務卓越中心」與中華電信簽訂雲端運算策略聯盟合作備忘錄之後今天更進一步把雲端願景落實到企業應用中推出微軟 MCloud 解決方案其中包含軟體即服務 (SaaS Software as a Service)平台即服務 (PaaS Platform as a Service) 和基礎架構即服務 (IaaS Infrastructure as a Service) 三大領域

34

劣勢 資料安全性 特殊使用者角色權限 法律規範若有違法屬於誰 資料所屬位置（國家） 資料隔離安全性 資料完整性（回復能力） 供應商永久性供應商的安全模型 供應商隱私保護 喪失實體控制能力 Net Admin 會沒工作

34

雲端運算

35

全世界都在談 國際大廠（如微軟IBM和Google等）和各國政府（如歐盟日本和韓國等）紛紛重視雲端運算的發展台灣政府亦在今年積極推動雲端運算產業發展方案預計五年內投入240億元帶動企業研發投資127億在政府及雲端供應商積極規劃和佈局的同時需求端市場是否已準備好採用雲端服務抑或處於觀望階段--資策會FIND消費研究與市場預測組

36

微軟 MCloud 台灣微軟 MCloud 首部曲 (2009 年 12 月 1 日台北) 雲端運算不再只是口號繼微軟執行長史蒂夫鮑默爾 (Steve Ballmer) 11 月初訪台時揭示微軟雲端運算願景 「3 螢 1 雲」(Three Screens and a Cloud)並分別與經濟部共同推動「軟體暨服務卓越中心」與中華電信簽訂雲端運算策略聯盟合作備忘錄之後今天更進一步把雲端願景落實到企業應用中推出微軟 MCloud 解決方案其中包含軟體即服務 (SaaS Software as a Service)平台即服務 (PaaS Platform as a Service) 和基礎架構即服務 (IaaS Infrastructure as a Service) 三大領域

35

全世界都在談 國際大廠（如微軟IBM和Google等）和各國政府（如歐盟日本和韓國等）紛紛重視雲端運算的發展台灣政府亦在今年積極推動雲端運算產業發展方案預計五年內投入240億元帶動企業研發投資127億在政府及雲端供應商積極規劃和佈局的同時需求端市場是否已準備好採用雲端服務抑或處於觀望階段--資策會FIND消費研究與市場預測組

36

微軟 MCloud 台灣微軟 MCloud 首部曲 (2009 年 12 月 1 日台北) 雲端運算不再只是口號繼微軟執行長史蒂夫鮑默爾 (Steve Ballmer) 11 月初訪台時揭示微軟雲端運算願景 「3 螢 1 雲」(Three Screens and a Cloud)並分別與經濟部共同推動「軟體暨服務卓越中心」與中華電信簽訂雲端運算策略聯盟合作備忘錄之後今天更進一步把雲端願景落實到企業應用中推出微軟 MCloud 解決方案其中包含軟體即服務 (SaaS Software as a Service)平台即服務 (PaaS Platform as a Service) 和基礎架構即服務 (IaaS Infrastructure as a Service) 三大領域

36

微軟 MCloud 台灣微軟 MCloud 首部曲 (2009 年 12 月 1 日台北) 雲端運算不再只是口號繼微軟執行長史蒂夫鮑默爾 (Steve Ballmer) 11 月初訪台時揭示微軟雲端運算願景 「3 螢 1 雲」(Three Screens and a Cloud)並分別與經濟部共同推動「軟體暨服務卓越中心」與中華電信簽訂雲端運算策略聯盟合作備忘錄之後今天更進一步把雲端願景落實到企業應用中推出微軟 MCloud 解決方案其中包含軟體即服務 (SaaS Software as a Service)平台即服務 (PaaS Platform as a Service) 和基礎架構即服務 (IaaS Infrastructure as a Service) 三大領域

37

蘋果 Apple iCloud

Apple 發表 iCloud 免費雲端服務今日登場 【 2011 年 6 月 6 日舊金山訊】Applereg 今天發表 iCloudreg 提供重大創新免費全新雲端服務組合可與 iPhoneregiPadregiPod touchreg 與 Macreg 或 PC 應用程式緊密無縫配合整合將資料無線地儲存到 iCloud自動推送到所有裝置一旦某個裝置上內容改變立即無線更新所有裝置 「以現今狀況想在所有裝置保持個人資訊與內容一致是非常令人困擾與失望」Apple 執行長 Steve Jobs 表示「iCloud 將重要資料與內容在所有裝置上保持所有個人資訊與內容一致全都自動與無線地進行這項服務在完美整合我們的應用程式裡根本不需再費心因為全都做到了」

38

賈伯斯為何願花14年上雲端

「iCloud」是一種雲端運算服務更精確的說這是一種幫你同步資料的服務你在iPhone上修改的行事曆不用你動手你的PC和iPad上就會同步顯示同樣的資料系統還會按照你的設定自動幫你把資訊分送到不同地方

聽起來「iCloud」不過是智慧型的資料同步服務不過這個產品的深度遠不只如此

資料來源商業週刊1230期

39

兩億用戶的工作吃喝玩樂 蘋果都要賺 用一套資料同步服務 把所有軟硬體綁在一起 策略一免費轉換 用戶升級直接使用雲端 策略二提供平台 開發雲端App成本接近零 策略三建立通路 記錄使用喜好賺資訊財

資料來源商業週刊1230期

39

兩億用戶的工作吃喝玩樂 蘋果都要賺 用一套資料同步服務 把所有軟硬體綁在一起 策略一免費轉換 用戶升級直接使用雲端 策略二提供平台 開發雲端App成本接近零 策略三建立通路 記錄使用喜好賺資訊財

資料來源商業週刊1230期

40

iCloud推出後的受益受害者 亞馬遜Google如臨大敵mdashmdash 受益者 1App開發商

原因蘋果提供免費資源開發雲端平台 2內容供應商 原因增加新銷售管道和商業模式

受害者 1雲端服務供應商如亞馬遜Google

原因蘋果提供免費服務雲端服務競爭日益激烈 2電信公司 原因新雲端服務可能威脅簡訊等收入來源 3個人電腦廠商 原因個人電腦重要性下降更容易被平板電腦等產品取代

資料來源商業週刊1230期

41

雲端運算的各式應用

42

政府雲端服務基礎建設計畫 資料來源研考會2010年8月

43

雲端 VS資安

從資安看雲端 OR 從雲端看資安

44

45

從資安看雲端 CISSP認證資訊系統安全專家的觀點

1資訊安全與風險管理(Information Security and Risk Management ) 2存取控制（Access Control) 3安全架構與設計(Security Architecture and Design) 4作業安全(Operations Security) 5通訊與網路安全 （Telecommunications amp Network Security ） 6密碼學（Cryptography ） 7業務持續運作與災害復原計畫(Business Continuity Planning amp

Disaster Recovery Planning ） 8實體(環境)安全（Physical (Environmental) Security ) 9應用程式安全(Application Security) 10法律規章遵循性與調查(Legal Regulations Compliance and

Investigations)

46

47

Intel最在意的資安議題

英特爾資安風險長Jackee Ireland表示英特爾認為資訊安全的定義就是讓英特爾保持在合法的狀態下要注重像是資訊的保密性（Confidentiality）完整性（Integrity）和可用性（Availability）

48

雲端運算的迷思 任何事都有一體兩面既然雲端服務能夠提供給我們這麼大的便利性

相對它的安全性也就成為一個相對複雜的議題例如顧客資料公司財務細節甚至是研發資料hellip等這些極為機敏的資訊是否要放在對任何人開放申請的雲端服務上或是能夠採用私有雲的概念來達成資料互通的便利性我想這一點也是很多企業在選擇雲端服務時的一大考量

畢竟多一層服務也就代表資料洩露的風險會提高一些畢竟再便利的服務還是得要有人管理維護縱使可以透過加密的手段來增加安全性但是在實務上這樣子的做法所要付出的代價可能遠高於採用它所能節省下來的資源況且安全性的疑慮同時也包括了服務停擺時的風險網路斷線時的資料完整性當主導權不再是掌握在自己手中時也沒有太多立場能夠要求對方提供額外的服務當然非得要求對方提供額外服務也不是不行只是值不值得我們投入如此鉅額的費用而已

49

資料的安全性與隱私性

資料放在遠端雲端資料中心是否安全是否容易外洩如果資料儲存與其他企業共享同一個伺服器是否妥當

50

雲端運算安全的迷思-1

迷思1) 基礎架構服務 (Infrastructure-as-a-Service簡稱 IaaS) 供應商所提供的虛擬私人雲端就像企業內部資料中心一樣安全

您仍舊與其他企業共用硬體資源與交換網路彼此間僅藉由虛擬區域網路 (VLAN) 隔離然而組態設定錯誤的情況時有所聞根據最近一份研究顯示澳洲有 31 的資料外洩事件是「第三方廠商如雲端運算或 SaaS 供應商的錯誤所造成」

41

雲端運算的各式應用

42

政府雲端服務基礎建設計畫 資料來源研考會2010年8月

43

雲端 VS資安

從資安看雲端 OR 從雲端看資安

44

45

從資安看雲端 CISSP認證資訊系統安全專家的觀點

1資訊安全與風險管理(Information Security and Risk Management ) 2存取控制（Access Control) 3安全架構與設計(Security Architecture and Design) 4作業安全(Operations Security) 5通訊與網路安全 （Telecommunications amp Network Security ） 6密碼學（Cryptography ） 7業務持續運作與災害復原計畫(Business Continuity Planning amp

Disaster Recovery Planning ） 8實體(環境)安全（Physical (Environmental) Security ) 9應用程式安全(Application Security) 10法律規章遵循性與調查(Legal Regulations Compliance and

Investigations)

46

47

Intel最在意的資安議題

英特爾資安風險長Jackee Ireland表示英特爾認為資訊安全的定義就是讓英特爾保持在合法的狀態下要注重像是資訊的保密性（Confidentiality）完整性（Integrity）和可用性（Availability）

48

雲端運算的迷思 任何事都有一體兩面既然雲端服務能夠提供給我們這麼大的便利性

相對它的安全性也就成為一個相對複雜的議題例如顧客資料公司財務細節甚至是研發資料hellip等這些極為機敏的資訊是否要放在對任何人開放申請的雲端服務上或是能夠採用私有雲的概念來達成資料互通的便利性我想這一點也是很多企業在選擇雲端服務時的一大考量

畢竟多一層服務也就代表資料洩露的風險會提高一些畢竟再便利的服務還是得要有人管理維護縱使可以透過加密的手段來增加安全性但是在實務上這樣子的做法所要付出的代價可能遠高於採用它所能節省下來的資源況且安全性的疑慮同時也包括了服務停擺時的風險網路斷線時的資料完整性當主導權不再是掌握在自己手中時也沒有太多立場能夠要求對方提供額外的服務當然非得要求對方提供額外服務也不是不行只是值不值得我們投入如此鉅額的費用而已

49

資料的安全性與隱私性

資料放在遠端雲端資料中心是否安全是否容易外洩如果資料儲存與其他企業共享同一個伺服器是否妥當

50

雲端運算安全的迷思-1

迷思1) 基礎架構服務 (Infrastructure-as-a-Service簡稱 IaaS) 供應商所提供的虛擬私人雲端就像企業內部資料中心一樣安全

您仍舊與其他企業共用硬體資源與交換網路彼此間僅藉由虛擬區域網路 (VLAN) 隔離然而組態設定錯誤的情況時有所聞根據最近一份研究顯示澳洲有 31 的資料外洩事件是「第三方廠商如雲端運算或 SaaS 供應商的錯誤所造成」

42

政府雲端服務基礎建設計畫 資料來源研考會2010年8月

43

雲端 VS資安

從資安看雲端 OR 從雲端看資安

44

45

從資安看雲端 CISSP認證資訊系統安全專家的觀點

1資訊安全與風險管理(Information Security and Risk Management ) 2存取控制（Access Control) 3安全架構與設計(Security Architecture and Design) 4作業安全(Operations Security) 5通訊與網路安全 （Telecommunications amp Network Security ） 6密碼學（Cryptography ） 7業務持續運作與災害復原計畫(Business Continuity Planning amp

Disaster Recovery Planning ） 8實體(環境)安全（Physical (Environmental) Security ) 9應用程式安全(Application Security) 10法律規章遵循性與調查(Legal Regulations Compliance and

Investigations)

46

47

Intel最在意的資安議題

英特爾資安風險長Jackee Ireland表示英特爾認為資訊安全的定義就是讓英特爾保持在合法的狀態下要注重像是資訊的保密性（Confidentiality）完整性（Integrity）和可用性（Availability）

48

雲端運算的迷思 任何事都有一體兩面既然雲端服務能夠提供給我們這麼大的便利性

相對它的安全性也就成為一個相對複雜的議題例如顧客資料公司財務細節甚至是研發資料hellip等這些極為機敏的資訊是否要放在對任何人開放申請的雲端服務上或是能夠採用私有雲的概念來達成資料互通的便利性我想這一點也是很多企業在選擇雲端服務時的一大考量

畢竟多一層服務也就代表資料洩露的風險會提高一些畢竟再便利的服務還是得要有人管理維護縱使可以透過加密的手段來增加安全性但是在實務上這樣子的做法所要付出的代價可能遠高於採用它所能節省下來的資源況且安全性的疑慮同時也包括了服務停擺時的風險網路斷線時的資料完整性當主導權不再是掌握在自己手中時也沒有太多立場能夠要求對方提供額外的服務當然非得要求對方提供額外服務也不是不行只是值不值得我們投入如此鉅額的費用而已

49

資料的安全性與隱私性

資料放在遠端雲端資料中心是否安全是否容易外洩如果資料儲存與其他企業共享同一個伺服器是否妥當

50

雲端運算安全的迷思-1

迷思1) 基礎架構服務 (Infrastructure-as-a-Service簡稱 IaaS) 供應商所提供的虛擬私人雲端就像企業內部資料中心一樣安全

您仍舊與其他企業共用硬體資源與交換網路彼此間僅藉由虛擬區域網路 (VLAN) 隔離然而組態設定錯誤的情況時有所聞根據最近一份研究顯示澳洲有 31 的資料外洩事件是「第三方廠商如雲端運算或 SaaS 供應商的錯誤所造成」

43

雲端 VS資安

從資安看雲端 OR 從雲端看資安

44

45

從資安看雲端 CISSP認證資訊系統安全專家的觀點

1資訊安全與風險管理(Information Security and Risk Management ) 2存取控制（Access Control) 3安全架構與設計(Security Architecture and Design) 4作業安全(Operations Security) 5通訊與網路安全 （Telecommunications amp Network Security ） 6密碼學（Cryptography ） 7業務持續運作與災害復原計畫(Business Continuity Planning amp

Disaster Recovery Planning ） 8實體(環境)安全（Physical (Environmental) Security ) 9應用程式安全(Application Security) 10法律規章遵循性與調查(Legal Regulations Compliance and

Investigations)

46

47

Intel最在意的資安議題

英特爾資安風險長Jackee Ireland表示英特爾認為資訊安全的定義就是讓英特爾保持在合法的狀態下要注重像是資訊的保密性（Confidentiality）完整性（Integrity）和可用性（Availability）

48

雲端運算的迷思 任何事都有一體兩面既然雲端服務能夠提供給我們這麼大的便利性

相對它的安全性也就成為一個相對複雜的議題例如顧客資料公司財務細節甚至是研發資料hellip等這些極為機敏的資訊是否要放在對任何人開放申請的雲端服務上或是能夠採用私有雲的概念來達成資料互通的便利性我想這一點也是很多企業在選擇雲端服務時的一大考量

畢竟多一層服務也就代表資料洩露的風險會提高一些畢竟再便利的服務還是得要有人管理維護縱使可以透過加密的手段來增加安全性但是在實務上這樣子的做法所要付出的代價可能遠高於採用它所能節省下來的資源況且安全性的疑慮同時也包括了服務停擺時的風險網路斷線時的資料完整性當主導權不再是掌握在自己手中時也沒有太多立場能夠要求對方提供額外的服務當然非得要求對方提供額外服務也不是不行只是值不值得我們投入如此鉅額的費用而已

49

資料的安全性與隱私性

資料放在遠端雲端資料中心是否安全是否容易外洩如果資料儲存與其他企業共享同一個伺服器是否妥當

50

雲端運算安全的迷思-1

迷思1) 基礎架構服務 (Infrastructure-as-a-Service簡稱 IaaS) 供應商所提供的虛擬私人雲端就像企業內部資料中心一樣安全

您仍舊與其他企業共用硬體資源與交換網路彼此間僅藉由虛擬區域網路 (VLAN) 隔離然而組態設定錯誤的情況時有所聞根據最近一份研究顯示澳洲有 31 的資料外洩事件是「第三方廠商如雲端運算或 SaaS 供應商的錯誤所造成」

44

45

從資安看雲端 CISSP認證資訊系統安全專家的觀點

1資訊安全與風險管理(Information Security and Risk Management ) 2存取控制（Access Control) 3安全架構與設計(Security Architecture and Design) 4作業安全(Operations Security) 5通訊與網路安全 （Telecommunications amp Network Security ） 6密碼學（Cryptography ） 7業務持續運作與災害復原計畫(Business Continuity Planning amp

Disaster Recovery Planning ） 8實體(環境)安全（Physical (Environmental) Security ) 9應用程式安全(Application Security) 10法律規章遵循性與調查(Legal Regulations Compliance and

Investigations)

46

47

Intel最在意的資安議題

英特爾資安風險長Jackee Ireland表示英特爾認為資訊安全的定義就是讓英特爾保持在合法的狀態下要注重像是資訊的保密性（Confidentiality）完整性（Integrity）和可用性（Availability）

48

雲端運算的迷思 任何事都有一體兩面既然雲端服務能夠提供給我們這麼大的便利性

相對它的安全性也就成為一個相對複雜的議題例如顧客資料公司財務細節甚至是研發資料hellip等這些極為機敏的資訊是否要放在對任何人開放申請的雲端服務上或是能夠採用私有雲的概念來達成資料互通的便利性我想這一點也是很多企業在選擇雲端服務時的一大考量

畢竟多一層服務也就代表資料洩露的風險會提高一些畢竟再便利的服務還是得要有人管理維護縱使可以透過加密的手段來增加安全性但是在實務上這樣子的做法所要付出的代價可能遠高於採用它所能節省下來的資源況且安全性的疑慮同時也包括了服務停擺時的風險網路斷線時的資料完整性當主導權不再是掌握在自己手中時也沒有太多立場能夠要求對方提供額外的服務當然非得要求對方提供額外服務也不是不行只是值不值得我們投入如此鉅額的費用而已

49

資料的安全性與隱私性

資料放在遠端雲端資料中心是否安全是否容易外洩如果資料儲存與其他企業共享同一個伺服器是否妥當

50

雲端運算安全的迷思-1

迷思1) 基礎架構服務 (Infrastructure-as-a-Service簡稱 IaaS) 供應商所提供的虛擬私人雲端就像企業內部資料中心一樣安全

您仍舊與其他企業共用硬體資源與交換網路彼此間僅藉由虛擬區域網路 (VLAN) 隔離然而組態設定錯誤的情況時有所聞根據最近一份研究顯示澳洲有 31 的資料外洩事件是「第三方廠商如雲端運算或 SaaS 供應商的錯誤所造成」

45

從資安看雲端 CISSP認證資訊系統安全專家的觀點

1資訊安全與風險管理(Information Security and Risk Management ) 2存取控制（Access Control) 3安全架構與設計(Security Architecture and Design) 4作業安全(Operations Security) 5通訊與網路安全 （Telecommunications amp Network Security ） 6密碼學（Cryptography ） 7業務持續運作與災害復原計畫(Business Continuity Planning amp

Disaster Recovery Planning ） 8實體(環境)安全（Physical (Environmental) Security ) 9應用程式安全(Application Security) 10法律規章遵循性與調查(Legal Regulations Compliance and

Investigations)

46

47

Intel最在意的資安議題

英特爾資安風險長Jackee Ireland表示英特爾認為資訊安全的定義就是讓英特爾保持在合法的狀態下要注重像是資訊的保密性（Confidentiality）完整性（Integrity）和可用性（Availability）

48

雲端運算的迷思 任何事都有一體兩面既然雲端服務能夠提供給我們這麼大的便利性

相對它的安全性也就成為一個相對複雜的議題例如顧客資料公司財務細節甚至是研發資料hellip等這些極為機敏的資訊是否要放在對任何人開放申請的雲端服務上或是能夠採用私有雲的概念來達成資料互通的便利性我想這一點也是很多企業在選擇雲端服務時的一大考量

畢竟多一層服務也就代表資料洩露的風險會提高一些畢竟再便利的服務還是得要有人管理維護縱使可以透過加密的手段來增加安全性但是在實務上這樣子的做法所要付出的代價可能遠高於採用它所能節省下來的資源況且安全性的疑慮同時也包括了服務停擺時的風險網路斷線時的資料完整性當主導權不再是掌握在自己手中時也沒有太多立場能夠要求對方提供額外的服務當然非得要求對方提供額外服務也不是不行只是值不值得我們投入如此鉅額的費用而已

49

資料的安全性與隱私性

資料放在遠端雲端資料中心是否安全是否容易外洩如果資料儲存與其他企業共享同一個伺服器是否妥當

50

雲端運算安全的迷思-1

迷思1) 基礎架構服務 (Infrastructure-as-a-Service簡稱 IaaS) 供應商所提供的虛擬私人雲端就像企業內部資料中心一樣安全

您仍舊與其他企業共用硬體資源與交換網路彼此間僅藉由虛擬區域網路 (VLAN) 隔離然而組態設定錯誤的情況時有所聞根據最近一份研究顯示澳洲有 31 的資料外洩事件是「第三方廠商如雲端運算或 SaaS 供應商的錯誤所造成」

46

47

Intel最在意的資安議題

英特爾資安風險長Jackee Ireland表示英特爾認為資訊安全的定義就是讓英特爾保持在合法的狀態下要注重像是資訊的保密性（Confidentiality）完整性（Integrity）和可用性（Availability）

48

雲端運算的迷思 任何事都有一體兩面既然雲端服務能夠提供給我們這麼大的便利性

相對它的安全性也就成為一個相對複雜的議題例如顧客資料公司財務細節甚至是研發資料hellip等這些極為機敏的資訊是否要放在對任何人開放申請的雲端服務上或是能夠採用私有雲的概念來達成資料互通的便利性我想這一點也是很多企業在選擇雲端服務時的一大考量

畢竟多一層服務也就代表資料洩露的風險會提高一些畢竟再便利的服務還是得要有人管理維護縱使可以透過加密的手段來增加安全性但是在實務上這樣子的做法所要付出的代價可能遠高於採用它所能節省下來的資源況且安全性的疑慮同時也包括了服務停擺時的風險網路斷線時的資料完整性當主導權不再是掌握在自己手中時也沒有太多立場能夠要求對方提供額外的服務當然非得要求對方提供額外服務也不是不行只是值不值得我們投入如此鉅額的費用而已

49

資料的安全性與隱私性

資料放在遠端雲端資料中心是否安全是否容易外洩如果資料儲存與其他企業共享同一個伺服器是否妥當

50

雲端運算安全的迷思-1

迷思1) 基礎架構服務 (Infrastructure-as-a-Service簡稱 IaaS) 供應商所提供的虛擬私人雲端就像企業內部資料中心一樣安全

您仍舊與其他企業共用硬體資源與交換網路彼此間僅藉由虛擬區域網路 (VLAN) 隔離然而組態設定錯誤的情況時有所聞根據最近一份研究顯示澳洲有 31 的資料外洩事件是「第三方廠商如雲端運算或 SaaS 供應商的錯誤所造成」

47

Intel最在意的資安議題

英特爾資安風險長Jackee Ireland表示英特爾認為資訊安全的定義就是讓英特爾保持在合法的狀態下要注重像是資訊的保密性（Confidentiality）完整性（Integrity）和可用性（Availability）

48

雲端運算的迷思 任何事都有一體兩面既然雲端服務能夠提供給我們這麼大的便利性

相對它的安全性也就成為一個相對複雜的議題例如顧客資料公司財務細節甚至是研發資料hellip等這些極為機敏的資訊是否要放在對任何人開放申請的雲端服務上或是能夠採用私有雲的概念來達成資料互通的便利性我想這一點也是很多企業在選擇雲端服務時的一大考量

畢竟多一層服務也就代表資料洩露的風險會提高一些畢竟再便利的服務還是得要有人管理維護縱使可以透過加密的手段來增加安全性但是在實務上這樣子的做法所要付出的代價可能遠高於採用它所能節省下來的資源況且安全性的疑慮同時也包括了服務停擺時的風險網路斷線時的資料完整性當主導權不再是掌握在自己手中時也沒有太多立場能夠要求對方提供額外的服務當然非得要求對方提供額外服務也不是不行只是值不值得我們投入如此鉅額的費用而已

49

資料的安全性與隱私性

資料放在遠端雲端資料中心是否安全是否容易外洩如果資料儲存與其他企業共享同一個伺服器是否妥當

50

雲端運算安全的迷思-1

迷思1) 基礎架構服務 (Infrastructure-as-a-Service簡稱 IaaS) 供應商所提供的虛擬私人雲端就像企業內部資料中心一樣安全

您仍舊與其他企業共用硬體資源與交換網路彼此間僅藉由虛擬區域網路 (VLAN) 隔離然而組態設定錯誤的情況時有所聞根據最近一份研究顯示澳洲有 31 的資料外洩事件是「第三方廠商如雲端運算或 SaaS 供應商的錯誤所造成」

48

雲端運算的迷思 任何事都有一體兩面既然雲端服務能夠提供給我們這麼大的便利性

相對它的安全性也就成為一個相對複雜的議題例如顧客資料公司財務細節甚至是研發資料hellip等這些極為機敏的資訊是否要放在對任何人開放申請的雲端服務上或是能夠採用私有雲的概念來達成資料互通的便利性我想這一點也是很多企業在選擇雲端服務時的一大考量

畢竟多一層服務也就代表資料洩露的風險會提高一些畢竟再便利的服務還是得要有人管理維護縱使可以透過加密的手段來增加安全性但是在實務上這樣子的做法所要付出的代價可能遠高於採用它所能節省下來的資源況且安全性的疑慮同時也包括了服務停擺時的風險網路斷線時的資料完整性當主導權不再是掌握在自己手中時也沒有太多立場能夠要求對方提供額外的服務當然非得要求對方提供額外服務也不是不行只是值不值得我們投入如此鉅額的費用而已

49

資料的安全性與隱私性

資料放在遠端雲端資料中心是否安全是否容易外洩如果資料儲存與其他企業共享同一個伺服器是否妥當

50

雲端運算安全的迷思-1

迷思1) 基礎架構服務 (Infrastructure-as-a-Service簡稱 IaaS) 供應商所提供的虛擬私人雲端就像企業內部資料中心一樣安全

您仍舊與其他企業共用硬體資源與交換網路彼此間僅藉由虛擬區域網路 (VLAN) 隔離然而組態設定錯誤的情況時有所聞根據最近一份研究顯示澳洲有 31 的資料外洩事件是「第三方廠商如雲端運算或 SaaS 供應商的錯誤所造成」

49

資料的安全性與隱私性

資料放在遠端雲端資料中心是否安全是否容易外洩如果資料儲存與其他企業共享同一個伺服器是否妥當

50

雲端運算安全的迷思-1

迷思1) 基礎架構服務 (Infrastructure-as-a-Service簡稱 IaaS) 供應商所提供的虛擬私人雲端就像企業內部資料中心一樣安全

您仍舊與其他企業共用硬體資源與交換網路彼此間僅藉由虛擬區域網路 (VLAN) 隔離然而組態設定錯誤的情況時有所聞根據最近一份研究顯示澳洲有 31 的資料外洩事件是「第三方廠商如雲端運算或 SaaS 供應商的錯誤所造成」

50

雲端運算安全的迷思-1

迷思1) 基礎架構服務 (Infrastructure-as-a-Service簡稱 IaaS) 供應商所提供的虛擬私人雲端就像企業內部資料中心一樣安全

您仍舊與其他企業共用硬體資源與交換網路彼此間僅藉由虛擬區域網路 (VLAN) 隔離然而組態設定錯誤的情況時有所聞根據最近一份研究顯示澳洲有 31 的資料外洩事件是「第三方廠商如雲端運算或 SaaS 供應商的錯誤所造成」

51

雲端運算安全的迷思-2

迷思2) 您不需要一家以上的 IaaS 供應商 將所有雞蛋都放在同一個籃子萬一籃子打翻了就很危險雲端運算也一樣採用單一 IaaS 供應商較容易管理但卻也形成單一故障點建立備援據點是達成災難復原的主要方法之一雲端運算的時代也一樣企業或許不需要一個熱待命的失敗接管據點但卻應該規劃並測試如何在需要的時候迅速將營運切換至第二家供應商

52

雲端運算安全的迷思-3

迷思3) 私人雲端同樣也適用實體資料中心的安全方案 虛擬化與雲端運算加大了歹徒的攻擊面共用式儲存就是

一個例子另外如系統管理員不小心用 vMotion 將某個伺服器從安全區域移到 DMZVLAN 組態設定錯誤也可能導致資料未妥善隔離還有同一個 vShield 區域內的 VM 之間不受監控的資料流量呢在一個混合式雲端環境中當一個應用程式移到雲端其虛擬機器周圍卻沒有安全防護將會如何仰賴 IaaS 廠商所提供的基本防火牆規則甚至連 IDSIPS 也沒有可能會讓某些企業感到不安

53

雲端運算安全的迷思-4

迷思4) 雲端服務供應商會負起安全的責任 IaaS 環境的安全性終究是企業與 IaaS 廠商應該共同負擔的責任而且最終的責任通常還是落在企業本身雖然供應商會負起安全的責任但萬一發生資料外洩事件企業本身仍舊須承擔最終的責任畢竟那是您的資料

54

雲端運算安全的迷思-5

迷思5) 我的雲端服務廠商有 SAS 70 Type II 稽核程序因此我的資料安全無虞

稽核無法檢查稽核範圍以外的項目在稽核檢查表上的項目您或許嚴格控管但漏洞卻可能在檢查範圍之外

52

雲端運算安全的迷思-3

迷思3) 私人雲端同樣也適用實體資料中心的安全方案 虛擬化與雲端運算加大了歹徒的攻擊面共用式儲存就是

一個例子另外如系統管理員不小心用 vMotion 將某個伺服器從安全區域移到 DMZVLAN 組態設定錯誤也可能導致資料未妥善隔離還有同一個 vShield 區域內的 VM 之間不受監控的資料流量呢在一個混合式雲端環境中當一個應用程式移到雲端其虛擬機器周圍卻沒有安全防護將會如何仰賴 IaaS 廠商所提供的基本防火牆規則甚至連 IDSIPS 也沒有可能會讓某些企業感到不安

53

雲端運算安全的迷思-4

迷思4) 雲端服務供應商會負起安全的責任 IaaS 環境的安全性終究是企業與 IaaS 廠商應該共同負擔的責任而且最終的責任通常還是落在企業本身雖然供應商會負起安全的責任但萬一發生資料外洩事件企業本身仍舊須承擔最終的責任畢竟那是您的資料

54

雲端運算安全的迷思-5

迷思5) 我的雲端服務廠商有 SAS 70 Type II 稽核程序因此我的資料安全無虞

稽核無法檢查稽核範圍以外的項目在稽核檢查表上的項目您或許嚴格控管但漏洞卻可能在檢查範圍之外

53

雲端運算安全的迷思-4

迷思4) 雲端服務供應商會負起安全的責任 IaaS 環境的安全性終究是企業與 IaaS 廠商應該共同負擔的責任而且最終的責任通常還是落在企業本身雖然供應商會負起安全的責任但萬一發生資料外洩事件企業本身仍舊須承擔最終的責任畢竟那是您的資料

54

雲端運算安全的迷思-5

迷思5) 我的雲端服務廠商有 SAS 70 Type II 稽核程序因此我的資料安全無虞

稽核無法檢查稽核範圍以外的項目在稽核檢查表上的項目您或許嚴格控管但漏洞卻可能在檢查範圍之外

54

雲端運算安全的迷思-5

迷思5) 我的雲端服務廠商有 SAS 70 Type II 稽核程序因此我的資料安全無虞

稽核無法檢查稽核範圍以外的項目在稽核檢查表上的項目您或許嚴格控管但漏洞卻可能在檢查範圍之外

55

雲端資安-從個資法探討

個資法已於99年5月公告預於11月(6)公佈施行細則

個資法施行細則公佈後隱私權何價 每人每筆10000元20000筆資料隨身碟 2億元的代價 一支隨身碟價值可能超過帝寶豪宅

56

個人資料 個人資料是一種可以讓大家更加了解我的資訊

WHEN

WHAT

HOW

WHO 王小花女生

今年7歲

1 家中有爸爸媽媽和我 2 就讀oo國小一年級 3 身高120公分體重40公斤

電話2577-4249 地址台北市八德路3段2號3F

57

個人資料生命週期管理

58

個人資料保護生命週期（草案）

PKI

個人資料 檔案

個人資料

儲存

蒐集

處理

利用

國際 傳輸

記錄 輸入 編輯 更正 檢索 輸出 連結 複製

DB doc

傳送 （流通）

刪除 銷燬

Tape

PLAN

DO

CHECK

ACTION

資料來源瑞百通首席顧問鍾榮翰

56

個人資料 個人資料是一種可以讓大家更加了解我的資訊

WHEN

WHAT

HOW

WHO 王小花女生

今年7歲

1 家中有爸爸媽媽和我 2 就讀oo國小一年級 3 身高120公分體重40公斤

電話2577-4249 地址台北市八德路3段2號3F

57

個人資料生命週期管理

58

個人資料保護生命週期（草案）

PKI

個人資料 檔案

個人資料

儲存

蒐集

處理

利用

國際 傳輸

記錄 輸入 編輯 更正 檢索 輸出 連結 複製

DB doc

傳送 （流通）

刪除 銷燬

Tape

PLAN

DO

CHECK

ACTION

資料來源瑞百通首席顧問鍾榮翰

57

個人資料生命週期管理

58

個人資料保護生命週期（草案）

PKI

個人資料 檔案

個人資料

儲存

蒐集

處理

利用

國際 傳輸

記錄 輸入 編輯 更正 檢索 輸出 連結 複製

DB doc

傳送 （流通）

刪除 銷燬

Tape

PLAN

DO

CHECK

ACTION

資料來源瑞百通首席顧問鍾榮翰

58

個人資料保護生命週期（草案）

PKI

個人資料 檔案

個人資料

儲存

蒐集

處理

利用

國際 傳輸

記錄 輸入 編輯 更正 檢索 輸出 連結 複製

DB doc

傳送 （流通）

刪除 銷燬

Tape

PLAN

DO

CHECK

ACTION

資料來源瑞百通首席顧問鍾榮翰

59

法規面及個資生命週期保護需求 技術面 防竊取 防竄改 防內文刪除 防洩漏 防檔案刪除 檔案銷毀機制 稽核

60

61

62

個資法之新舊比較

840811 舊法

990526 新法

姓名 王小明 生日 06月06日

姓名 王小明 生日 06月06日

姓名 王小花 就診 990615 科別 小兒科

施行日期待行政院公佈 (估計約1年)

httpwwwhudongcomversionviewuAwgHUUNYUlFfWVsEDwJWRg檢索日期20100615

姓名 王小花 就診 990615 科別 小兒科

電腦處理個人資料保護法 rarr 個人資料保護法 （以下簡稱舊法） （以下簡稱新法） 個資法保護對象包括數位化資料+人工資料

60

61

62

個資法之新舊比較

840811 舊法

990526 新法

姓名 王小明 生日 06月06日

姓名 王小明 生日 06月06日

姓名 王小花 就診 990615 科別 小兒科

施行日期待行政院公佈 (估計約1年)

httpwwwhudongcomversionviewuAwgHUUNYUlFfWVsEDwJWRg檢索日期20100615

姓名 王小花 就診 990615 科別 小兒科

電腦處理個人資料保護法 rarr 個人資料保護法 （以下簡稱舊法） （以下簡稱新法） 個資法保護對象包括數位化資料+人工資料

61

62

個資法之新舊比較

840811 舊法

990526 新法

姓名 王小明 生日 06月06日

姓名 王小明 生日 06月06日

姓名 王小花 就診 990615 科別 小兒科

施行日期待行政院公佈 (估計約1年)

httpwwwhudongcomversionviewuAwgHUUNYUlFfWVsEDwJWRg檢索日期20100615

姓名 王小花 就診 990615 科別 小兒科

電腦處理個人資料保護法 rarr 個人資料保護法 （以下簡稱舊法） （以下簡稱新法） 個資法保護對象包括數位化資料+人工資料

62

個資法之新舊比較

840811 舊法

990526 新法

姓名 王小明 生日 06月06日

姓名 王小明 生日 06月06日

姓名 王小花 就診 990615 科別 小兒科

施行日期待行政院公佈 (估計約1年)

httpwwwhudongcomversionviewuAwgHUUNYUlFfWVsEDwJWRg檢索日期20100615

姓名 王小花 就診 990615 科別 小兒科

電腦處理個人資料保護法 rarr 個人資料保護法 （以下簡稱舊法） （以下簡稱新法） 個資法保護對象包括數位化資料+人工資料

63

新法擴大適用對象 新法擴大保護對象 新法擴大規範行為 新法加重罰責

如違反要受到哪些處罰

哪些是個人資料 哪些個資項目要被保護

行為主體

保護客體

規範行為

處罰

哪些行為是個資法所禁止

哪些人被規範在內

【20100427日三讀通過】 【20100526總統公佈】

醫院醫師藥師護理人員醫院行政人員志工委外單位

64

擴大行為主體範圍mdash不再侷限於特定行業別

行為主體

公務機關 (新法第2條第1項第7款)

(本法第4條)

非公務機關 (本法第2條第1項第8款)

依法行使公權力之中央 或地方機關或行政法人 受委託行使公權力

非公務機關 (新法第2條第1項第8款)

前款以外之自然人 法人或其他團體

醫院 學校 電信業 金融業 證券業 保險業及大眾傳播業 (舊法第3條第1項第7款)

65

自然人姓名出生年月日

國民身分證 護照號碼

特徵指紋婚姻 家庭教育職業

病歷醫療基因 性生活健康檢查

其他

犯罪前科聯絡方式 財務情況社會活動

企業 團體 個人 機關

過去電子病歷已為個資法的保護客體 即目前保護客體為數位資料＋人工資料

擴大保護客體範圍mdash不再侷限於數位資料 一般性資料 敏感性資料 (病歷醫療基因性生活健康檢查) 原則不得搜集與利用 例外法律規定或醫療衛生犯罪預防目的

64

擴大行為主體範圍mdash不再侷限於特定行業別

行為主體

公務機關 (新法第2條第1項第7款)

(本法第4條)

非公務機關 (本法第2條第1項第8款)

依法行使公權力之中央 或地方機關或行政法人 受委託行使公權力

非公務機關 (新法第2條第1項第8款)

前款以外之自然人 法人或其他團體

醫院 學校 電信業 金融業 證券業 保險業及大眾傳播業 (舊法第3條第1項第7款)

65

自然人姓名出生年月日

國民身分證 護照號碼

特徵指紋婚姻 家庭教育職業

病歷醫療基因 性生活健康檢查

其他

犯罪前科聯絡方式 財務情況社會活動

企業 團體 個人 機關

過去電子病歷已為個資法的保護客體 即目前保護客體為數位資料＋人工資料

擴大保護客體範圍mdash不再侷限於數位資料 一般性資料 敏感性資料 (病歷醫療基因性生活健康檢查) 原則不得搜集與利用 例外法律規定或醫療衛生犯罪預防目的

65

自然人姓名出生年月日

國民身分證 護照號碼

特徵指紋婚姻 家庭教育職業

病歷醫療基因 性生活健康檢查

其他

犯罪前科聯絡方式 財務情況社會活動

企業 團體 個人 機關

過去電子病歷已為個資法的保護客體 即目前保護客體為數位資料＋人工資料

擴大保護客體範圍mdash不再侷限於數位資料 一般性資料 敏感性資料 (病歷醫療基因性生活健康檢查) 原則不得搜集與利用 例外法律規定或醫療衛生犯罪預防目的

66

1 2 3 4

法律明文規定 公務機關執行法定職務或非公務機關履行法定義務所必要且有適當 安全維護措施

當事人自行公開或其他已合法公開之個人資料

公務機關或學術研究機構基於醫療衛生或犯罪預防目的為統計或學術研究而有必要且經一定程序所為蒐集處理或利用個 資 料

擴大保護客體範圍mdash不再侷限於數位資料(cont) 敏感資料（醫療基因性生活健康檢查及犯罪前科） 目的易會造成社會不安或對當事人造成難以彌補傷害 原則不得蒐集 處理或利用 例外

67

擴大規範行為mdash新增國際傳輸

規範行為

蒐集 利用 處理

任何方法取得個人資料 1直接自當事人蒐集者 2間接從當事人取得者 (新法第2條)

為建立或利用個人資料所為之紀錄輸出儲存 編輯 更正 複製檢索刪除輸出連結或內部傳送將個人 資料作為跨國境之處理 機關內部之資料傳送 (新法第2條)

將蒐集之個人資料為處理以外使用 將個人資料作為跨國境之利用 將資料提供給當事人以外之第三人 (新法第2條)

建立個人資料檔案而取得個人資料 (舊法第3條第1項第4款) 電腦處理

(舊法第3條第1項第3款)

公務機關或非公務機關將個人資料檔案為內部使用或提供第三人 (舊法第3條第1項第5款)

68

1 我方查明後應以適當方式通知當事人(新法第12條)

2 建議為降低個資外洩所造成之損害仍應於事故發生當下先行通知當事人

個資外洩 我方因應 訴訟程序

罰則mdash加重任民事刑事行政責任 企業團體或個人若違反個資法最重受刑法處罰為5年以下有期徒刑民事賠償最高達新台幣2億元

1 公務機關無過失損害賠償責任(第28條) 2 非公務機關舉證責任倒置之過失責任(第29條) 同一原因事實應對於當事人負損害賠償責任者 原則上依實際能證明損賠額賠償 如無法證明時每人每一事件500-20000元 最高賠償額新台弊２億元為限 行為人是否有故意過失之判斷應由公正第三人判斷之

刑事處罰最重刑責5年(第4142條) 1犯罪行為 無營利行為 處2年以下有期徒刑 拘役或併科NT20萬元以下罰金 意圖營利行為處5年以下有期徒刑 拘役或併科NT100萬元以下罰金

2告訴乃論之罪 3處罰對象 中華民國境內或外之中華民國人民 公務人員假借職務上之權力機會或方法犯本章之罪者加重其刑至12

69

為何雲端安全重要

2億 刑責 2億+刑責+公司信譽 有符合個資法的工具嗎(ISMSISO

27001PIMS)

70

71

72

新的資訊安全挑戰

73

新的資訊安全挑戰

會引起安全問題的顧慮是因為客戶的資料和應用系統都在供應商處

在開放的架構下安全性永遠都是最主要的考量

客戶

客戶資料

客戶 應用系統

供應商

74

安全性是企業最主要關注的議題

75

新的資訊安全挑戰

駭客比你更喜愛雲端 雲端運算迫使民眾 把自己資料的控制權交給第三者

76

77

誰是駭客內部

內部 惡意的雲端使用者

想了解系統認證機制 想控制(虛擬)機器

惡意的雲端服務商員工 紀錄客戶使用資料

雲端服務商 讀取未加密資料 偷窺複製虛擬機器 可以監視網絡及應用程式使用模式

78

誰是駭客外部

外部 入侵者 網路攻擊者

可能行為 側聽網絡通信內容 插入惡意內容 窺探雲端架構 進行DoS(阻斷服務攻擊)

79

誰是駭客目的

入侵 網路分析 中間人 雲端架構拓墣

80

危險和漏洞

危險 破壞服務 竊取資訊 喪失隱私 資料毀損

漏洞 惡意程式 駭客攻擊

81

新的資訊安全挑戰

便利與安全的兩難 我們的隱私原則通常是搖擺的人們會出現隱私兩難的局面(紐約時報)

網路的匿名特性是最大的缺點但也是最大的優點 如果匿名的特性不在即使有助於遏止一些惡意活動勢必仍將遭到隱私權提倡者的極力反對 除非有人可以解決隱私權與安全性的兩難問題否則原本的網際網路仍將繼續存在

82

新的資訊安全挑戰

他說「只有惡棍才會擔心網路隱私權」 還說「若對隱私權設限將限制網路成長」 ----施密特(former Google CEO Eric Schmidt )

83

雲端運算之7大安全威脅

雲端安全聯盟(CSA)發表雲端運算之7大威脅(TOP threats to cloud computing)

84

雲端運算之7大安全威脅

濫用或利用雲端運算進行非法的行為(Abuse and Nefarious Use of Cloud Computing)

不安全的使用者介面與APIs (Insecure Interface and APIs) 惡意的內部人員(Malicious Insiders) 共享環境所造成的議題(Shared Technology Issues) 資料遺失或外洩(Data Loss or Leakage) 帳號或服務被竊取(Account or Service Hijacking) 未知的風險模型(Unknown Risk Profile)

85

濫用或利用雲端運算進行非法行為

此一威脅主要是針對雲端運算服務的供應者而言雲端運算服務供應商(尤其是IaaS 與PaaS 供應商) 為了降低使用的門檻通常並不會要求使用者必須經過嚴格的資料審查過程就可以直接使用其所其提供的資源有些服務供應商甚至提供免費使用的功能或試用期這些做法雖然可以有效推廣雲端運算的業務卻也容易成為有心分子利用的管道事實上已經有包含殭屍網路木馬程式下載在內的惡意程式運行於雲端運算的系統內

86

不安全的使用者介面與APIs

使用者透過使用者介面或是APIs與雲端運算服務進行互動因此這些介面與APIs是否安全直接影響到雲端運算服務本身的安全性像是使用者介面的驗證與授權功能是否安全APIs 的相依性與安全性都是必須特別注意的地方此外如果有使用第三方的加值服務這些服務的介面與APIs 的安全性也必須一併加以考量

87

惡意的內部人員

內部人員所造成的問題這幾年來已經成為許多組織關注的重點採用雲端運算將會讓內部人員所產生的問題更形嚴重一個最主要的因素在於使用者無法得知雲端運算服務供應商如何規範與管理內部員工甚至連招聘的條件與流程也屬於非公開的資訊以安全的角度來說rdquo未知rdquo絕對不是一種幸福而是一種芒刺在背的威脅更何況以雲端運算的業務性質而言絕對是有心分子眼中的肥魚所以內部惡意員工的比例應當會比一般組織來的更高

88

共享環境所造成的議題

雖然使用雲端運算的服務(尤其是IaaS) 時使用者好像擁有獨立的環境但是這些環境都是從共享的實體環境中透過虛擬化的技術所產生出來的這些虛擬化的平台能否將不同的使用者進行有效地隔離以避免彼此之間相互干擾其服務的正常運算甚至是避免彼此之間可以存取對方的資源對雲端運算的安全來說是一個嚴格的挑戰

89

資料遺失或外洩

資料遺失與外洩對於一個組織的影響不只在於實際上的金錢損失更在於如企業形象之類的無形損失雲端運算因為其特定的緣故使得資料遺失或外洩的議題面臨更加嚴峻的考驗包含是否擁有足夠的AAA (驗證授權稽核)是否採用適當且足夠的加密技術資料持續性的需求如何安全地刪除資料災難復原甚至是司法管轄的問題都是必須認真加以考量的問題

90

帳號或服務被竊取

儘管帳號或服務被竊取的問題由來已久但是這類問題對於雲端運算來說更具威脅性首先因為雲端運算不像傳統的IT 架構般擁有實體的東西因此一旦帳號或服務被竊取後除非有其他的方式加以證明否則惡意分子可以完全取代原先使用者的身分在傳統的IT 環境中因為使用者至少還擁有硬體的控制權所以即使發生帳號或服務的竊取行為使用者還是可以進行一些事後的補救措施但是這些補救措施在雲端運算的架構下可能無法執行此外對於那些公開的雲端運算服務而言直接暴露於網際網路上也讓這些竊取行為更加容易發生

91

未知的風險模型

以安全的角度來說rdquo未知rdquo是一種芒刺在背的威脅以雲端運算來說不管是IaaSPaaSSaaS 都是將服務包裝成一個使用者不需了解也無法了解的系統讓使用者專注於如何rdquo使用rdquo該系統但是這樣的方便性也讓使用者無法了解這些服務所使用的網路架構安全架構軟體版本等等各式各樣的重要資訊這些資訊對於評估安全狀態是很有幫助的欠缺這些資訊將使得這樣的評估行為無法被有效地進行使用者須依所處的環境決定這些威脅的影響並採取適當的控制措施

92

雲端運算的風險 組織與政策 技術 法律

歐洲網絡與資訊安全部 The European Network and Information Security Agency (ENISA)

93

資安風險

不做風險評估的資安就是威脅及恐嚇 資安風險潛在威脅利用弱點對資產造成影響的可能性

風險 (Risk) = 潛在威脅 (Threats) x 弱點 (Vulnerabilities) x 影響 (Impact)

94

風險評估矩陣

95

組織與政策

喪失管理權限 使用雲端基礎設施客戶端必須將某些關鍵資料的控制權移轉到雲端供應商從而影響安全性同時供應商可能無法提供滿足客戶需求的服務水平協議(SLA)承諾也將形成安全性落差

96

組織與政策

鎖定(lock-in) 目前仍缺乏工具程序標準資料格式或服務介面以確保資料應用系統及服務的可攜性使用者將無法轉換雲端服務供應商甚至無法回到原來企業內部使用的系統環境這將導致過於依賴特定廠商的服務你願意承擔這種風險嗎

97

組織與政策

適用性風險(法規或標準) 轉移到雲端後認證公司可能面臨以下風險 1如果雲端服務供應商不能提供證據證明自己遵守有關規定

2如果雲端服務供應商不允許客戶對其稽核 這意味著使用公有雲的服務將可能無法達到某些法規或標準的要求

98

組織與政策

惡意的內部人員 雖然平時不太可能但由惡意的內部人員造成的損害可能往往更大雲端架構某些必要角色將有極高風險如系統管理員和託管安全服務提供商

99

技術

資源獨立性問題(ISOLATION FAILURE)

多租戶和共享資源是雲端的特點但也相對隱含一些風險包括無效的獨立儲存記憶體路由機制甚至共用資源的租戶聲譽（例如跳板攻擊）當然攻擊資源隔離機制仍比攻擊傳統系統少很多但一旦發生問題影響將更大

100

技術

不安全或不完整的資料刪除 雲端的儲存架構將使資料更難以刪除也許副本資料仍存在其他磁碟多用戶共享磁碟的結果如未完整刪除資料沒人知道是否有被復原的風險(陳姓藝人送修筆電引發的風暴)

101

法律

資料保護 雲端運算同時對使用者及供應商帶來資料保護的風險在某些情況下使用者可能難以確認供應商對資料處理方式是否合法特別是在不同雲端之間傳送資料供應商是否提供相關資訊及證明將是選擇供應商的重要參考

102

責任是無法外包的

考慮採用雲端服務時應先與使用用傳統服務的風險互相比較並非所有風險都可轉移到雲端服務商假如因為風險而導致服務中斷損害商譽恐怕沒人可以為你承擔損害切記工作可以外包責任(可歸責性accountability)是無法外包的

103

雲端運算資安架構

104

雲端運算服務資訊安全評估

105

雲端運算服務資訊安全評估 選定採用雲端服務的種類 確認相關資料與應用程式的重要性 進行整體風險分析 尋找合適業者 定期追蹤考核

106

結語

從分散獨立的資訊服務系統轉移到雲端的架構確實可以獲得許多好處例如降低成本更有彈性有效率的使用IT資源等等但是雲端的隱私及安全也不容忽視不確定性會讓使用者對風險及隱私有所質疑藉由市場競爭可以建立一個更加安全雲端

雖然一些不確定性威脅總是存在於網絡世界但透過明確的法規和大家的合作未來還是可以享用雲端的優點

107

結語

就像人們因為信任而將收入存款存放在金融銀行單位的道理一樣即使雲端運算的觀念逐漸被企業所接受採用的關鍵仍在於「信任」尤其伺服器與儲存設備雲端化的效益在於硬體資源的彈性運用其較為「可見」然而做為連結服務的關鍵網路以及攸關資訊與系統風險的安全需求所帶出的雲端服務存取速度與可靠性議題則是企業應用當中更為重要且更需建立的觀念

108

109

結語mdash鑒古知今由電力產業推論資訊產業

19世紀的電力產業 工廠自備電力 大電廠出現並提供電力網後工廠也擔心輸電線的可靠性是否有必要冒風險放棄自己發電

現在的資訊產業 企業自備電腦資源(運算能力儲存空間) 雲端服務公司出現企業擔心顧客資料機密資料放在雲端有風險是否有必要冒風險放棄IT部門

What do you think

• 漫步在雲端 資安新戰場
• 大綱
• 雲端的代價--近期資訊安全重大案例
• 近期資訊安全重大案例(續)
• 近期資訊安全重大案例(續)
• 新裸奔年代mdash商周128期封面故事
• 免費的個資隱私
• 你可能已經被拍賣了
• 4c812db2922729⋯⋯
• 貝蒂的故事
• Slide Number 11
• 個資的拍賣價
• iPhoneAndroid手機
• 貝蒂的故事
• 貝蒂的故事
• 網路隱私權販賣流程
• 網路隱私「被賣」爭議越演越烈
• 雲端運算的迷思--簡介與應用
• 雲端運算定義
• Slide Number 20
• Slide Number 21
• 雲端運算的特性
• 雲端運算的特性
• 雲端運算的特性
• 雲端運算的特性
• 雲端運算的特性
• 雲端服務的SPI架構
• 雲端運算的本質之一 Infrastructure as a Services
• 範例 虛擬桌面架構應用
• 雲端運算的本質之二 Platform as a Services
• 雲端運算的本質之三 Software as a Services
• 雲端運算的需求 機動的增減資源的使用與自動化
• Slide Number 33
• Slide Number 34
• 全世界都在談
• 微軟
• 蘋果
• 賈伯斯為何願花14年上雲端
• 兩億用戶的工作吃喝玩樂蘋果都要賺
• iCloud推出後的受益受害者
• 雲端運算的各式應用
• Slide Number 42
• 雲端 VS資安
• Slide Number 44
• 從資安看雲端CISSP認證資訊系統安全專家的觀點
• Slide Number 46
• Intel最在意的資安議題
• 雲端運算的迷思
• 資料的安全性與隱私性
• 雲端運算安全的迷思-1
• 雲端運算安全的迷思-2
• 雲端運算安全的迷思-3
• 雲端運算安全的迷思-4
• 雲端運算安全的迷思-5
• 雲端資安-從個資法探討
• 個人資料
• 個人資料生命週期管理
• 個人資料保護生命週期（草案）
• 法規面及個資生命週期保護需求
• Slide Number 60
• Slide Number 61
• 個資法之新舊比較
• Slide Number 63
• Slide Number 64
• Slide Number 65
• Slide Number 66
• Slide Number 67
• Slide Number 68
• 為何雲端安全重要
• Slide Number 70
• Slide Number 71
• 新的資訊安全挑戰
• 新的資訊安全挑戰
• 安全性是企業最主要關注的議題
• 新的資訊安全挑戰
• Slide Number 76
• 誰是駭客內部
• 誰是駭客外部
• 誰是駭客目的
• 危險和漏洞
• 新的資訊安全挑戰
• 新的資訊安全挑戰
• 雲端運算之7大安全威脅
• 雲端運算之7大安全威脅
• 濫用或利用雲端運算進行非法行為
• 不安全的使用者介面與APIs
• 惡意的內部人員
• 共享環境所造成的議題
• 資料遺失或外洩
• 帳號或服務被竊取
• 未知的風險模型
• Slide Number 92
• 資安風險
• 風險評估矩陣
• 組織與政策
• 組織與政策
• 組織與政策
• 組織與政策
• 技術
• 技術
• 法律
• 責任是無法外包的
• 雲端運算資安架構
• Slide Number 104
• 雲端運算服務資訊安全評估
• 結語
• 結語
• Slide Number 108
• 結語mdash鑒古知今由電力產業推論資訊產業

67

擴大規範行為mdash新增國際傳輸

規範行為

蒐集 利用 處理

任何方法取得個人資料 1直接自當事人蒐集者 2間接從當事人取得者 (新法第2條)

為建立或利用個人資料所為之紀錄輸出儲存 編輯 更正 複製檢索刪除輸出連結或內部傳送將個人 資料作為跨國境之處理 機關內部之資料傳送 (新法第2條)

將蒐集之個人資料為處理以外使用 將個人資料作為跨國境之利用 將資料提供給當事人以外之第三人 (新法第2條)

建立個人資料檔案而取得個人資料 (舊法第3條第1項第4款) 電腦處理

(舊法第3條第1項第3款)

公務機關或非公務機關將個人資料檔案為內部使用或提供第三人 (舊法第3條第1項第5款)

68

1 我方查明後應以適當方式通知當事人(新法第12條)

2 建議為降低個資外洩所造成之損害仍應於事故發生當下先行通知當事人

個資外洩 我方因應 訴訟程序

罰則mdash加重任民事刑事行政責任 企業團體或個人若違反個資法最重受刑法處罰為5年以下有期徒刑民事賠償最高達新台幣2億元

1 公務機關無過失損害賠償責任(第28條) 2 非公務機關舉證責任倒置之過失責任(第29條) 同一原因事實應對於當事人負損害賠償責任者 原則上依實際能證明損賠額賠償 如無法證明時每人每一事件500-20000元 最高賠償額新台弊２億元為限 行為人是否有故意過失之判斷應由公正第三人判斷之

刑事處罰最重刑責5年(第4142條) 1犯罪行為 無營利行為 處2年以下有期徒刑 拘役或併科NT20萬元以下罰金 意圖營利行為處5年以下有期徒刑 拘役或併科NT100萬元以下罰金

2告訴乃論之罪 3處罰對象 中華民國境內或外之中華民國人民 公務人員假借職務上之權力機會或方法犯本章之罪者加重其刑至12

69

為何雲端安全重要

2億 刑責 2億+刑責+公司信譽 有符合個資法的工具嗎(ISMSISO

27001PIMS)

70

71

72

新的資訊安全挑戰

73

新的資訊安全挑戰

會引起安全問題的顧慮是因為客戶的資料和應用系統都在供應商處

在開放的架構下安全性永遠都是最主要的考量

客戶

客戶資料

客戶 應用系統

供應商

74

安全性是企業最主要關注的議題

75

新的資訊安全挑戰

駭客比你更喜愛雲端 雲端運算迫使民眾 把自己資料的控制權交給第三者

76

77

誰是駭客內部

內部 惡意的雲端使用者

想了解系統認證機制 想控制(虛擬)機器

惡意的雲端服務商員工 紀錄客戶使用資料

雲端服務商 讀取未加密資料 偷窺複製虛擬機器 可以監視網絡及應用程式使用模式

78

誰是駭客外部

外部 入侵者 網路攻擊者

可能行為 側聽網絡通信內容 插入惡意內容 窺探雲端架構 進行DoS(阻斷服務攻擊)

79

誰是駭客目的

入侵 網路分析 中間人 雲端架構拓墣

80

危險和漏洞

危險 破壞服務 竊取資訊 喪失隱私 資料毀損

漏洞 惡意程式 駭客攻擊

81

新的資訊安全挑戰

便利與安全的兩難 我們的隱私原則通常是搖擺的人們會出現隱私兩難的局面(紐約時報)

網路的匿名特性是最大的缺點但也是最大的優點 如果匿名的特性不在即使有助於遏止一些惡意活動勢必仍將遭到隱私權提倡者的極力反對 除非有人可以解決隱私權與安全性的兩難問題否則原本的網際網路仍將繼續存在

82

新的資訊安全挑戰

他說「只有惡棍才會擔心網路隱私權」 還說「若對隱私權設限將限制網路成長」 ----施密特(former Google CEO Eric Schmidt )

83

雲端運算之7大安全威脅

雲端安全聯盟(CSA)發表雲端運算之7大威脅(TOP threats to cloud computing)

84

雲端運算之7大安全威脅

濫用或利用雲端運算進行非法的行為(Abuse and Nefarious Use of Cloud Computing)

不安全的使用者介面與APIs (Insecure Interface and APIs) 惡意的內部人員(Malicious Insiders) 共享環境所造成的議題(Shared Technology Issues) 資料遺失或外洩(Data Loss or Leakage) 帳號或服務被竊取(Account or Service Hijacking) 未知的風險模型(Unknown Risk Profile)

85

濫用或利用雲端運算進行非法行為

此一威脅主要是針對雲端運算服務的供應者而言雲端運算服務供應商(尤其是IaaS 與PaaS 供應商) 為了降低使用的門檻通常並不會要求使用者必須經過嚴格的資料審查過程就可以直接使用其所其提供的資源有些服務供應商甚至提供免費使用的功能或試用期這些做法雖然可以有效推廣雲端運算的業務卻也容易成為有心分子利用的管道事實上已經有包含殭屍網路木馬程式下載在內的惡意程式運行於雲端運算的系統內

86

不安全的使用者介面與APIs

使用者透過使用者介面或是APIs與雲端運算服務進行互動因此這些介面與APIs是否安全直接影響到雲端運算服務本身的安全性像是使用者介面的驗證與授權功能是否安全APIs 的相依性與安全性都是必須特別注意的地方此外如果有使用第三方的加值服務這些服務的介面與APIs 的安全性也必須一併加以考量

87

惡意的內部人員

內部人員所造成的問題這幾年來已經成為許多組織關注的重點採用雲端運算將會讓內部人員所產生的問題更形嚴重一個最主要的因素在於使用者無法得知雲端運算服務供應商如何規範與管理內部員工甚至連招聘的條件與流程也屬於非公開的資訊以安全的角度來說rdquo未知rdquo絕對不是一種幸福而是一種芒刺在背的威脅更何況以雲端運算的業務性質而言絕對是有心分子眼中的肥魚所以內部惡意員工的比例應當會比一般組織來的更高

88

共享環境所造成的議題

雖然使用雲端運算的服務(尤其是IaaS) 時使用者好像擁有獨立的環境但是這些環境都是從共享的實體環境中透過虛擬化的技術所產生出來的這些虛擬化的平台能否將不同的使用者進行有效地隔離以避免彼此之間相互干擾其服務的正常運算甚至是避免彼此之間可以存取對方的資源對雲端運算的安全來說是一個嚴格的挑戰

89

資料遺失或外洩

資料遺失與外洩對於一個組織的影響不只在於實際上的金錢損失更在於如企業形象之類的無形損失雲端運算因為其特定的緣故使得資料遺失或外洩的議題面臨更加嚴峻的考驗包含是否擁有足夠的AAA (驗證授權稽核)是否採用適當且足夠的加密技術資料持續性的需求如何安全地刪除資料災難復原甚至是司法管轄的問題都是必須認真加以考量的問題

90

帳號或服務被竊取

儘管帳號或服務被竊取的問題由來已久但是這類問題對於雲端運算來說更具威脅性首先因為雲端運算不像傳統的IT 架構般擁有實體的東西因此一旦帳號或服務被竊取後除非有其他的方式加以證明否則惡意分子可以完全取代原先使用者的身分在傳統的IT 環境中因為使用者至少還擁有硬體的控制權所以即使發生帳號或服務的竊取行為使用者還是可以進行一些事後的補救措施但是這些補救措施在雲端運算的架構下可能無法執行此外對於那些公開的雲端運算服務而言直接暴露於網際網路上也讓這些竊取行為更加容易發生

91

未知的風險模型

以安全的角度來說rdquo未知rdquo是一種芒刺在背的威脅以雲端運算來說不管是IaaSPaaSSaaS 都是將服務包裝成一個使用者不需了解也無法了解的系統讓使用者專注於如何rdquo使用rdquo該系統但是這樣的方便性也讓使用者無法了解這些服務所使用的網路架構安全架構軟體版本等等各式各樣的重要資訊這些資訊對於評估安全狀態是很有幫助的欠缺這些資訊將使得這樣的評估行為無法被有效地進行使用者須依所處的環境決定這些威脅的影響並採取適當的控制措施

92

雲端運算的風險 組織與政策 技術 法律

歐洲網絡與資訊安全部 The European Network and Information Security Agency (ENISA)

93

資安風險

不做風險評估的資安就是威脅及恐嚇 資安風險潛在威脅利用弱點對資產造成影響的可能性

風險 (Risk) = 潛在威脅 (Threats) x 弱點 (Vulnerabilities) x 影響 (Impact)

94

風險評估矩陣

95

組織與政策

喪失管理權限 使用雲端基礎設施客戶端必須將某些關鍵資料的控制權移轉到雲端供應商從而影響安全性同時供應商可能無法提供滿足客戶需求的服務水平協議(SLA)承諾也將形成安全性落差

96

組織與政策

鎖定(lock-in) 目前仍缺乏工具程序標準資料格式或服務介面以確保資料應用系統及服務的可攜性使用者將無法轉換雲端服務供應商甚至無法回到原來企業內部使用的系統環境這將導致過於依賴特定廠商的服務你願意承擔這種風險嗎

97

組織與政策

適用性風險(法規或標準) 轉移到雲端後認證公司可能面臨以下風險 1如果雲端服務供應商不能提供證據證明自己遵守有關規定

2如果雲端服務供應商不允許客戶對其稽核 這意味著使用公有雲的服務將可能無法達到某些法規或標準的要求

98

組織與政策

惡意的內部人員 雖然平時不太可能但由惡意的內部人員造成的損害可能往往更大雲端架構某些必要角色將有極高風險如系統管理員和託管安全服務提供商

99

技術

資源獨立性問題(ISOLATION FAILURE)

多租戶和共享資源是雲端的特點但也相對隱含一些風險包括無效的獨立儲存記憶體路由機制甚至共用資源的租戶聲譽（例如跳板攻擊）當然攻擊資源隔離機制仍比攻擊傳統系統少很多但一旦發生問題影響將更大

100

技術

不安全或不完整的資料刪除 雲端的儲存架構將使資料更難以刪除也許副本資料仍存在其他磁碟多用戶共享磁碟的結果如未完整刪除資料沒人知道是否有被復原的風險(陳姓藝人送修筆電引發的風暴)

101

法律

資料保護 雲端運算同時對使用者及供應商帶來資料保護的風險在某些情況下使用者可能難以確認供應商對資料處理方式是否合法特別是在不同雲端之間傳送資料供應商是否提供相關資訊及證明將是選擇供應商的重要參考

102

責任是無法外包的

考慮採用雲端服務時應先與使用用傳統服務的風險互相比較並非所有風險都可轉移到雲端服務商假如因為風險而導致服務中斷損害商譽恐怕沒人可以為你承擔損害切記工作可以外包責任(可歸責性accountability)是無法外包的

103

雲端運算資安架構

104

雲端運算服務資訊安全評估

105

雲端運算服務資訊安全評估 選定採用雲端服務的種類 確認相關資料與應用程式的重要性 進行整體風險分析 尋找合適業者 定期追蹤考核

106

結語

從分散獨立的資訊服務系統轉移到雲端的架構確實可以獲得許多好處例如降低成本更有彈性有效率的使用IT資源等等但是雲端的隱私及安全也不容忽視不確定性會讓使用者對風險及隱私有所質疑藉由市場競爭可以建立一個更加安全雲端

雖然一些不確定性威脅總是存在於網絡世界但透過明確的法規和大家的合作未來還是可以享用雲端的優點

107

結語

就像人們因為信任而將收入存款存放在金融銀行單位的道理一樣即使雲端運算的觀念逐漸被企業所接受採用的關鍵仍在於「信任」尤其伺服器與儲存設備雲端化的效益在於硬體資源的彈性運用其較為「可見」然而做為連結服務的關鍵網路以及攸關資訊與系統風險的安全需求所帶出的雲端服務存取速度與可靠性議題則是企業應用當中更為重要且更需建立的觀念

108

109

結語mdash鑒古知今由電力產業推論資訊產業

19世紀的電力產業 工廠自備電力 大電廠出現並提供電力網後工廠也擔心輸電線的可靠性是否有必要冒風險放棄自己發電

現在的資訊產業 企業自備電腦資源(運算能力儲存空間) 雲端服務公司出現企業擔心顧客資料機密資料放在雲端有風險是否有必要冒風險放棄IT部門

What do you think

• 漫步在雲端 資安新戰場
• 大綱
• 雲端的代價--近期資訊安全重大案例
• 近期資訊安全重大案例(續)
• 近期資訊安全重大案例(續)
• 新裸奔年代mdash商周128期封面故事
• 免費的個資隱私
• 你可能已經被拍賣了
• 4c812db2922729⋯⋯
• 貝蒂的故事
• Slide Number 11
• 個資的拍賣價
• iPhoneAndroid手機
• 貝蒂的故事
• 貝蒂的故事
• 網路隱私權販賣流程
• 網路隱私「被賣」爭議越演越烈
• 雲端運算的迷思--簡介與應用
• 雲端運算定義
• Slide Number 20
• Slide Number 21
• 雲端運算的特性
• 雲端運算的特性
• 雲端運算的特性
• 雲端運算的特性
• 雲端運算的特性
• 雲端服務的SPI架構
• 雲端運算的本質之一 Infrastructure as a Services
• 範例 虛擬桌面架構應用
• 雲端運算的本質之二 Platform as a Services
• 雲端運算的本質之三 Software as a Services
• 雲端運算的需求 機動的增減資源的使用與自動化
• Slide Number 33
• Slide Number 34
• 全世界都在談
• 微軟
• 蘋果
• 賈伯斯為何願花14年上雲端
• 兩億用戶的工作吃喝玩樂蘋果都要賺
• iCloud推出後的受益受害者
• 雲端運算的各式應用
• Slide Number 42
• 雲端 VS資安
• Slide Number 44
• 從資安看雲端CISSP認證資訊系統安全專家的觀點
• Slide Number 46
• Intel最在意的資安議題
• 雲端運算的迷思
• 資料的安全性與隱私性
• 雲端運算安全的迷思-1
• 雲端運算安全的迷思-2
• 雲端運算安全的迷思-3
• 雲端運算安全的迷思-4
• 雲端運算安全的迷思-5
• 雲端資安-從個資法探討
• 個人資料
• 個人資料生命週期管理
• 個人資料保護生命週期（草案）
• 法規面及個資生命週期保護需求
• Slide Number 60
• Slide Number 61
• 個資法之新舊比較
• Slide Number 63
• Slide Number 64
• Slide Number 65
• Slide Number 66
• Slide Number 67
• Slide Number 68
• 為何雲端安全重要
• Slide Number 70
• Slide Number 71
• 新的資訊安全挑戰
• 新的資訊安全挑戰
• 安全性是企業最主要關注的議題
• 新的資訊安全挑戰
• Slide Number 76
• 誰是駭客內部
• 誰是駭客外部
• 誰是駭客目的
• 危險和漏洞
• 新的資訊安全挑戰
• 新的資訊安全挑戰
• 雲端運算之7大安全威脅
• 雲端運算之7大安全威脅
• 濫用或利用雲端運算進行非法行為
• 不安全的使用者介面與APIs
• 惡意的內部人員
• 共享環境所造成的議題
• 資料遺失或外洩
• 帳號或服務被竊取
• 未知的風險模型
• Slide Number 92
• 資安風險
• 風險評估矩陣
• 組織與政策
• 組織與政策
• 組織與政策
• 組織與政策
• 技術
• 技術
• 法律
• 責任是無法外包的
• 雲端運算資安架構
• Slide Number 104
• 雲端運算服務資訊安全評估
• 結語
• 結語
• Slide Number 108
• 結語mdash鑒古知今由電力產業推論資訊產業

68

1 我方查明後應以適當方式通知當事人(新法第12條)

2 建議為降低個資外洩所造成之損害仍應於事故發生當下先行通知當事人

個資外洩 我方因應 訴訟程序

罰則mdash加重任民事刑事行政責任 企業團體或個人若違反個資法最重受刑法處罰為5年以下有期徒刑民事賠償最高達新台幣2億元

1 公務機關無過失損害賠償責任(第28條) 2 非公務機關舉證責任倒置之過失責任(第29條) 同一原因事實應對於當事人負損害賠償責任者 原則上依實際能證明損賠額賠償 如無法證明時每人每一事件500-20000元 最高賠償額新台弊２億元為限 行為人是否有故意過失之判斷應由公正第三人判斷之

刑事處罰最重刑責5年(第4142條) 1犯罪行為 無營利行為 處2年以下有期徒刑 拘役或併科NT20萬元以下罰金 意圖營利行為處5年以下有期徒刑 拘役或併科NT100萬元以下罰金

2告訴乃論之罪 3處罰對象 中華民國境內或外之中華民國人民 公務人員假借職務上之權力機會或方法犯本章之罪者加重其刑至12

69

為何雲端安全重要

2億 刑責 2億+刑責+公司信譽 有符合個資法的工具嗎(ISMSISO

27001PIMS)

70

71

72

新的資訊安全挑戰

73

新的資訊安全挑戰

會引起安全問題的顧慮是因為客戶的資料和應用系統都在供應商處

在開放的架構下安全性永遠都是最主要的考量

客戶

客戶資料

客戶 應用系統

供應商

74

安全性是企業最主要關注的議題

75

新的資訊安全挑戰

駭客比你更喜愛雲端 雲端運算迫使民眾 把自己資料的控制權交給第三者

76

77

誰是駭客內部

內部 惡意的雲端使用者

想了解系統認證機制 想控制(虛擬)機器

惡意的雲端服務商員工 紀錄客戶使用資料

雲端服務商 讀取未加密資料 偷窺複製虛擬機器 可以監視網絡及應用程式使用模式

78

誰是駭客外部

外部 入侵者 網路攻擊者

可能行為 側聽網絡通信內容 插入惡意內容 窺探雲端架構 進行DoS(阻斷服務攻擊)

79

誰是駭客目的

入侵 網路分析 中間人 雲端架構拓墣

80

危險和漏洞

危險 破壞服務 竊取資訊 喪失隱私 資料毀損

漏洞 惡意程式 駭客攻擊

81

新的資訊安全挑戰

便利與安全的兩難 我們的隱私原則通常是搖擺的人們會出現隱私兩難的局面(紐約時報)

網路的匿名特性是最大的缺點但也是最大的優點 如果匿名的特性不在即使有助於遏止一些惡意活動勢必仍將遭到隱私權提倡者的極力反對 除非有人可以解決隱私權與安全性的兩難問題否則原本的網際網路仍將繼續存在

82

新的資訊安全挑戰

他說「只有惡棍才會擔心網路隱私權」 還說「若對隱私權設限將限制網路成長」 ----施密特(former Google CEO Eric Schmidt )

83

雲端運算之7大安全威脅

雲端安全聯盟(CSA)發表雲端運算之7大威脅(TOP threats to cloud computing)

84

雲端運算之7大安全威脅

濫用或利用雲端運算進行非法的行為(Abuse and Nefarious Use of Cloud Computing)

不安全的使用者介面與APIs (Insecure Interface and APIs) 惡意的內部人員(Malicious Insiders) 共享環境所造成的議題(Shared Technology Issues) 資料遺失或外洩(Data Loss or Leakage) 帳號或服務被竊取(Account or Service Hijacking) 未知的風險模型(Unknown Risk Profile)

85

濫用或利用雲端運算進行非法行為

此一威脅主要是針對雲端運算服務的供應者而言雲端運算服務供應商(尤其是IaaS 與PaaS 供應商) 為了降低使用的門檻通常並不會要求使用者必須經過嚴格的資料審查過程就可以直接使用其所其提供的資源有些服務供應商甚至提供免費使用的功能或試用期這些做法雖然可以有效推廣雲端運算的業務卻也容易成為有心分子利用的管道事實上已經有包含殭屍網路木馬程式下載在內的惡意程式運行於雲端運算的系統內

86

不安全的使用者介面與APIs

使用者透過使用者介面或是APIs與雲端運算服務進行互動因此這些介面與APIs是否安全直接影響到雲端運算服務本身的安全性像是使用者介面的驗證與授權功能是否安全APIs 的相依性與安全性都是必須特別注意的地方此外如果有使用第三方的加值服務這些服務的介面與APIs 的安全性也必須一併加以考量

87

惡意的內部人員

內部人員所造成的問題這幾年來已經成為許多組織關注的重點採用雲端運算將會讓內部人員所產生的問題更形嚴重一個最主要的因素在於使用者無法得知雲端運算服務供應商如何規範與管理內部員工甚至連招聘的條件與流程也屬於非公開的資訊以安全的角度來說rdquo未知rdquo絕對不是一種幸福而是一種芒刺在背的威脅更何況以雲端運算的業務性質而言絕對是有心分子眼中的肥魚所以內部惡意員工的比例應當會比一般組織來的更高

88

共享環境所造成的議題

雖然使用雲端運算的服務(尤其是IaaS) 時使用者好像擁有獨立的環境但是這些環境都是從共享的實體環境中透過虛擬化的技術所產生出來的這些虛擬化的平台能否將不同的使用者進行有效地隔離以避免彼此之間相互干擾其服務的正常運算甚至是避免彼此之間可以存取對方的資源對雲端運算的安全來說是一個嚴格的挑戰

89

資料遺失或外洩

資料遺失與外洩對於一個組織的影響不只在於實際上的金錢損失更在於如企業形象之類的無形損失雲端運算因為其特定的緣故使得資料遺失或外洩的議題面臨更加嚴峻的考驗包含是否擁有足夠的AAA (驗證授權稽核)是否採用適當且足夠的加密技術資料持續性的需求如何安全地刪除資料災難復原甚至是司法管轄的問題都是必須認真加以考量的問題

90

帳號或服務被竊取

儘管帳號或服務被竊取的問題由來已久但是這類問題對於雲端運算來說更具威脅性首先因為雲端運算不像傳統的IT 架構般擁有實體的東西因此一旦帳號或服務被竊取後除非有其他的方式加以證明否則惡意分子可以完全取代原先使用者的身分在傳統的IT 環境中因為使用者至少還擁有硬體的控制權所以即使發生帳號或服務的竊取行為使用者還是可以進行一些事後的補救措施但是這些補救措施在雲端運算的架構下可能無法執行此外對於那些公開的雲端運算服務而言直接暴露於網際網路上也讓這些竊取行為更加容易發生

91

未知的風險模型

以安全的角度來說rdquo未知rdquo是一種芒刺在背的威脅以雲端運算來說不管是IaaSPaaSSaaS 都是將服務包裝成一個使用者不需了解也無法了解的系統讓使用者專注於如何rdquo使用rdquo該系統但是這樣的方便性也讓使用者無法了解這些服務所使用的網路架構安全架構軟體版本等等各式各樣的重要資訊這些資訊對於評估安全狀態是很有幫助的欠缺這些資訊將使得這樣的評估行為無法被有效地進行使用者須依所處的環境決定這些威脅的影響並採取適當的控制措施

92

雲端運算的風險 組織與政策 技術 法律

歐洲網絡與資訊安全部 The European Network and Information Security Agency (ENISA)

93

資安風險

不做風險評估的資安就是威脅及恐嚇 資安風險潛在威脅利用弱點對資產造成影響的可能性

風險 (Risk) = 潛在威脅 (Threats) x 弱點 (Vulnerabilities) x 影響 (Impact)

94

風險評估矩陣

95

組織與政策

喪失管理權限 使用雲端基礎設施客戶端必須將某些關鍵資料的控制權移轉到雲端供應商從而影響安全性同時供應商可能無法提供滿足客戶需求的服務水平協議(SLA)承諾也將形成安全性落差

96

組織與政策

鎖定(lock-in) 目前仍缺乏工具程序標準資料格式或服務介面以確保資料應用系統及服務的可攜性使用者將無法轉換雲端服務供應商甚至無法回到原來企業內部使用的系統環境這將導致過於依賴特定廠商的服務你願意承擔這種風險嗎

97

組織與政策

適用性風險(法規或標準) 轉移到雲端後認證公司可能面臨以下風險 1如果雲端服務供應商不能提供證據證明自己遵守有關規定

2如果雲端服務供應商不允許客戶對其稽核 這意味著使用公有雲的服務將可能無法達到某些法規或標準的要求

98

組織與政策

惡意的內部人員 雖然平時不太可能但由惡意的內部人員造成的損害可能往往更大雲端架構某些必要角色將有極高風險如系統管理員和託管安全服務提供商

99

技術

資源獨立性問題(ISOLATION FAILURE)

多租戶和共享資源是雲端的特點但也相對隱含一些風險包括無效的獨立儲存記憶體路由機制甚至共用資源的租戶聲譽（例如跳板攻擊）當然攻擊資源隔離機制仍比攻擊傳統系統少很多但一旦發生問題影響將更大

100

技術

不安全或不完整的資料刪除 雲端的儲存架構將使資料更難以刪除也許副本資料仍存在其他磁碟多用戶共享磁碟的結果如未完整刪除資料沒人知道是否有被復原的風險(陳姓藝人送修筆電引發的風暴)

101

法律

資料保護 雲端運算同時對使用者及供應商帶來資料保護的風險在某些情況下使用者可能難以確認供應商對資料處理方式是否合法特別是在不同雲端之間傳送資料供應商是否提供相關資訊及證明將是選擇供應商的重要參考

102

責任是無法外包的

考慮採用雲端服務時應先與使用用傳統服務的風險互相比較並非所有風險都可轉移到雲端服務商假如因為風險而導致服務中斷損害商譽恐怕沒人可以為你承擔損害切記工作可以外包責任(可歸責性accountability)是無法外包的

103

雲端運算資安架構

104

雲端運算服務資訊安全評估

105

雲端運算服務資訊安全評估 選定採用雲端服務的種類 確認相關資料與應用程式的重要性 進行整體風險分析 尋找合適業者 定期追蹤考核

106

結語

從分散獨立的資訊服務系統轉移到雲端的架構確實可以獲得許多好處例如降低成本更有彈性有效率的使用IT資源等等但是雲端的隱私及安全也不容忽視不確定性會讓使用者對風險及隱私有所質疑藉由市場競爭可以建立一個更加安全雲端

雖然一些不確定性威脅總是存在於網絡世界但透過明確的法規和大家的合作未來還是可以享用雲端的優點

107

結語

就像人們因為信任而將收入存款存放在金融銀行單位的道理一樣即使雲端運算的觀念逐漸被企業所接受採用的關鍵仍在於「信任」尤其伺服器與儲存設備雲端化的效益在於硬體資源的彈性運用其較為「可見」然而做為連結服務的關鍵網路以及攸關資訊與系統風險的安全需求所帶出的雲端服務存取速度與可靠性議題則是企業應用當中更為重要且更需建立的觀念

108

109

結語mdash鑒古知今由電力產業推論資訊產業

19世紀的電力產業 工廠自備電力 大電廠出現並提供電力網後工廠也擔心輸電線的可靠性是否有必要冒風險放棄自己發電

現在的資訊產業 企業自備電腦資源(運算能力儲存空間) 雲端服務公司出現企業擔心顧客資料機密資料放在雲端有風險是否有必要冒風險放棄IT部門

What do you think

• 漫步在雲端 資安新戰場
• 大綱
• 雲端的代價--近期資訊安全重大案例
• 近期資訊安全重大案例(續)
• 近期資訊安全重大案例(續)
• 新裸奔年代mdash商周128期封面故事
• 免費的個資隱私
• 你可能已經被拍賣了
• 4c812db2922729⋯⋯
• 貝蒂的故事
• Slide Number 11
• 個資的拍賣價
• iPhoneAndroid手機
• 貝蒂的故事
• 貝蒂的故事
• 網路隱私權販賣流程
• 網路隱私「被賣」爭議越演越烈
• 雲端運算的迷思--簡介與應用
• 雲端運算定義
• Slide Number 20
• Slide Number 21
• 雲端運算的特性
• 雲端運算的特性
• 雲端運算的特性
• 雲端運算的特性
• 雲端運算的特性
• 雲端服務的SPI架構
• 雲端運算的本質之一 Infrastructure as a Services
• 範例 虛擬桌面架構應用
• 雲端運算的本質之二 Platform as a Services
• 雲端運算的本質之三 Software as a Services
• 雲端運算的需求 機動的增減資源的使用與自動化
• Slide Number 33
• Slide Number 34
• 全世界都在談
• 微軟
• 蘋果
• 賈伯斯為何願花14年上雲端
• 兩億用戶的工作吃喝玩樂蘋果都要賺
• iCloud推出後的受益受害者
• 雲端運算的各式應用
• Slide Number 42
• 雲端 VS資安
• Slide Number 44
• 從資安看雲端CISSP認證資訊系統安全專家的觀點
• Slide Number 46
• Intel最在意的資安議題
• 雲端運算的迷思
• 資料的安全性與隱私性
• 雲端運算安全的迷思-1
• 雲端運算安全的迷思-2
• 雲端運算安全的迷思-3
• 雲端運算安全的迷思-4
• 雲端運算安全的迷思-5
• 雲端資安-從個資法探討
• 個人資料
• 個人資料生命週期管理
• 個人資料保護生命週期（草案）
• 法規面及個資生命週期保護需求
• Slide Number 60
• Slide Number 61
• 個資法之新舊比較
• Slide Number 63
• Slide Number 64
• Slide Number 65
• Slide Number 66
• Slide Number 67
• Slide Number 68
• 為何雲端安全重要
• Slide Number 70
• Slide Number 71
• 新的資訊安全挑戰
• 新的資訊安全挑戰
• 安全性是企業最主要關注的議題
• 新的資訊安全挑戰
• Slide Number 76
• 誰是駭客內部
• 誰是駭客外部
• 誰是駭客目的
• 危險和漏洞
• 新的資訊安全挑戰
• 新的資訊安全挑戰
• 雲端運算之7大安全威脅
• 雲端運算之7大安全威脅
• 濫用或利用雲端運算進行非法行為
• 不安全的使用者介面與APIs
• 惡意的內部人員
• 共享環境所造成的議題
• 資料遺失或外洩
• 帳號或服務被竊取
• 未知的風險模型
• Slide Number 92
• 資安風險
• 風險評估矩陣
• 組織與政策
• 組織與政策
• 組織與政策
• 組織與政策
• 技術
• 技術
• 法律
• 責任是無法外包的
• 雲端運算資安架構
• Slide Number 104
• 雲端運算服務資訊安全評估
• 結語
• 結語
• Slide Number 108
• 結語mdash鑒古知今由電力產業推論資訊產業

69

為何雲端安全重要

2億 刑責 2億+刑責+公司信譽 有符合個資法的工具嗎(ISMSISO

27001PIMS)

70

71

72

新的資訊安全挑戰

73

新的資訊安全挑戰

會引起安全問題的顧慮是因為客戶的資料和應用系統都在供應商處

在開放的架構下安全性永遠都是最主要的考量

客戶

客戶資料

客戶 應用系統

供應商

74

安全性是企業最主要關注的議題

75

新的資訊安全挑戰

駭客比你更喜愛雲端 雲端運算迫使民眾 把自己資料的控制權交給第三者

76

77

誰是駭客內部

內部 惡意的雲端使用者

想了解系統認證機制 想控制(虛擬)機器

惡意的雲端服務商員工 紀錄客戶使用資料

雲端服務商 讀取未加密資料 偷窺複製虛擬機器 可以監視網絡及應用程式使用模式

78

誰是駭客外部

外部 入侵者 網路攻擊者

可能行為 側聽網絡通信內容 插入惡意內容 窺探雲端架構 進行DoS(阻斷服務攻擊)

79

誰是駭客目的

入侵 網路分析 中間人 雲端架構拓墣

80

危險和漏洞

危險 破壞服務 竊取資訊 喪失隱私 資料毀損

漏洞 惡意程式 駭客攻擊

81

新的資訊安全挑戰

便利與安全的兩難 我們的隱私原則通常是搖擺的人們會出現隱私兩難的局面(紐約時報)

網路的匿名特性是最大的缺點但也是最大的優點 如果匿名的特性不在即使有助於遏止一些惡意活動勢必仍將遭到隱私權提倡者的極力反對 除非有人可以解決隱私權與安全性的兩難問題否則原本的網際網路仍將繼續存在

82

新的資訊安全挑戰

他說「只有惡棍才會擔心網路隱私權」 還說「若對隱私權設限將限制網路成長」 ----施密特(former Google CEO Eric Schmidt )

83

雲端運算之7大安全威脅

雲端安全聯盟(CSA)發表雲端運算之7大威脅(TOP threats to cloud computing)

84

雲端運算之7大安全威脅

濫用或利用雲端運算進行非法的行為(Abuse and Nefarious Use of Cloud Computing)

不安全的使用者介面與APIs (Insecure Interface and APIs) 惡意的內部人員(Malicious Insiders) 共享環境所造成的議題(Shared Technology Issues) 資料遺失或外洩(Data Loss or Leakage) 帳號或服務被竊取(Account or Service Hijacking) 未知的風險模型(Unknown Risk Profile)

85

濫用或利用雲端運算進行非法行為

此一威脅主要是針對雲端運算服務的供應者而言雲端運算服務供應商(尤其是IaaS 與PaaS 供應商) 為了降低使用的門檻通常並不會要求使用者必須經過嚴格的資料審查過程就可以直接使用其所其提供的資源有些服務供應商甚至提供免費使用的功能或試用期這些做法雖然可以有效推廣雲端運算的業務卻也容易成為有心分子利用的管道事實上已經有包含殭屍網路木馬程式下載在內的惡意程式運行於雲端運算的系統內

86

不安全的使用者介面與APIs

使用者透過使用者介面或是APIs與雲端運算服務進行互動因此這些介面與APIs是否安全直接影響到雲端運算服務本身的安全性像是使用者介面的驗證與授權功能是否安全APIs 的相依性與安全性都是必須特別注意的地方此外如果有使用第三方的加值服務這些服務的介面與APIs 的安全性也必須一併加以考量

87

惡意的內部人員

內部人員所造成的問題這幾年來已經成為許多組織關注的重點採用雲端運算將會讓內部人員所產生的問題更形嚴重一個最主要的因素在於使用者無法得知雲端運算服務供應商如何規範與管理內部員工甚至連招聘的條件與流程也屬於非公開的資訊以安全的角度來說rdquo未知rdquo絕對不是一種幸福而是一種芒刺在背的威脅更何況以雲端運算的業務性質而言絕對是有心分子眼中的肥魚所以內部惡意員工的比例應當會比一般組織來的更高

88

共享環境所造成的議題

雖然使用雲端運算的服務(尤其是IaaS) 時使用者好像擁有獨立的環境但是這些環境都是從共享的實體環境中透過虛擬化的技術所產生出來的這些虛擬化的平台能否將不同的使用者進行有效地隔離以避免彼此之間相互干擾其服務的正常運算甚至是避免彼此之間可以存取對方的資源對雲端運算的安全來說是一個嚴格的挑戰

89

資料遺失或外洩

資料遺失與外洩對於一個組織的影響不只在於實際上的金錢損失更在於如企業形象之類的無形損失雲端運算因為其特定的緣故使得資料遺失或外洩的議題面臨更加嚴峻的考驗包含是否擁有足夠的AAA (驗證授權稽核)是否採用適當且足夠的加密技術資料持續性的需求如何安全地刪除資料災難復原甚至是司法管轄的問題都是必須認真加以考量的問題

90

帳號或服務被竊取

儘管帳號或服務被竊取的問題由來已久但是這類問題對於雲端運算來說更具威脅性首先因為雲端運算不像傳統的IT 架構般擁有實體的東西因此一旦帳號或服務被竊取後除非有其他的方式加以證明否則惡意分子可以完全取代原先使用者的身分在傳統的IT 環境中因為使用者至少還擁有硬體的控制權所以即使發生帳號或服務的竊取行為使用者還是可以進行一些事後的補救措施但是這些補救措施在雲端運算的架構下可能無法執行此外對於那些公開的雲端運算服務而言直接暴露於網際網路上也讓這些竊取行為更加容易發生

91

未知的風險模型

以安全的角度來說rdquo未知rdquo是一種芒刺在背的威脅以雲端運算來說不管是IaaSPaaSSaaS 都是將服務包裝成一個使用者不需了解也無法了解的系統讓使用者專注於如何rdquo使用rdquo該系統但是這樣的方便性也讓使用者無法了解這些服務所使用的網路架構安全架構軟體版本等等各式各樣的重要資訊這些資訊對於評估安全狀態是很有幫助的欠缺這些資訊將使得這樣的評估行為無法被有效地進行使用者須依所處的環境決定這些威脅的影響並採取適當的控制措施

92

雲端運算的風險 組織與政策 技術 法律

歐洲網絡與資訊安全部 The European Network and Information Security Agency (ENISA)

93

資安風險

不做風險評估的資安就是威脅及恐嚇 資安風險潛在威脅利用弱點對資產造成影響的可能性

風險 (Risk) = 潛在威脅 (Threats) x 弱點 (Vulnerabilities) x 影響 (Impact)

94

風險評估矩陣

95

組織與政策

喪失管理權限 使用雲端基礎設施客戶端必須將某些關鍵資料的控制權移轉到雲端供應商從而影響安全性同時供應商可能無法提供滿足客戶需求的服務水平協議(SLA)承諾也將形成安全性落差

96

組織與政策

鎖定(lock-in) 目前仍缺乏工具程序標準資料格式或服務介面以確保資料應用系統及服務的可攜性使用者將無法轉換雲端服務供應商甚至無法回到原來企業內部使用的系統環境這將導致過於依賴特定廠商的服務你願意承擔這種風險嗎

97

組織與政策

適用性風險(法規或標準) 轉移到雲端後認證公司可能面臨以下風險 1如果雲端服務供應商不能提供證據證明自己遵守有關規定

2如果雲端服務供應商不允許客戶對其稽核 這意味著使用公有雲的服務將可能無法達到某些法規或標準的要求

98

組織與政策

惡意的內部人員 雖然平時不太可能但由惡意的內部人員造成的損害可能往往更大雲端架構某些必要角色將有極高風險如系統管理員和託管安全服務提供商

99

技術

資源獨立性問題(ISOLATION FAILURE)

多租戶和共享資源是雲端的特點但也相對隱含一些風險包括無效的獨立儲存記憶體路由機制甚至共用資源的租戶聲譽（例如跳板攻擊）當然攻擊資源隔離機制仍比攻擊傳統系統少很多但一旦發生問題影響將更大

100

技術

不安全或不完整的資料刪除 雲端的儲存架構將使資料更難以刪除也許副本資料仍存在其他磁碟多用戶共享磁碟的結果如未完整刪除資料沒人知道是否有被復原的風險(陳姓藝人送修筆電引發的風暴)

101

法律

資料保護 雲端運算同時對使用者及供應商帶來資料保護的風險在某些情況下使用者可能難以確認供應商對資料處理方式是否合法特別是在不同雲端之間傳送資料供應商是否提供相關資訊及證明將是選擇供應商的重要參考

102

責任是無法外包的

考慮採用雲端服務時應先與使用用傳統服務的風險互相比較並非所有風險都可轉移到雲端服務商假如因為風險而導致服務中斷損害商譽恐怕沒人可以為你承擔損害切記工作可以外包責任(可歸責性accountability)是無法外包的

103

雲端運算資安架構

104

雲端運算服務資訊安全評估

105

雲端運算服務資訊安全評估 選定採用雲端服務的種類 確認相關資料與應用程式的重要性 進行整體風險分析 尋找合適業者 定期追蹤考核

106

結語

從分散獨立的資訊服務系統轉移到雲端的架構確實可以獲得許多好處例如降低成本更有彈性有效率的使用IT資源等等但是雲端的隱私及安全也不容忽視不確定性會讓使用者對風險及隱私有所質疑藉由市場競爭可以建立一個更加安全雲端

雖然一些不確定性威脅總是存在於網絡世界但透過明確的法規和大家的合作未來還是可以享用雲端的優點

107

結語

就像人們因為信任而將收入存款存放在金融銀行單位的道理一樣即使雲端運算的觀念逐漸被企業所接受採用的關鍵仍在於「信任」尤其伺服器與儲存設備雲端化的效益在於硬體資源的彈性運用其較為「可見」然而做為連結服務的關鍵網路以及攸關資訊與系統風險的安全需求所帶出的雲端服務存取速度與可靠性議題則是企業應用當中更為重要且更需建立的觀念

108

109

結語mdash鑒古知今由電力產業推論資訊產業

19世紀的電力產業 工廠自備電力 大電廠出現並提供電力網後工廠也擔心輸電線的可靠性是否有必要冒風險放棄自己發電

現在的資訊產業 企業自備電腦資源(運算能力儲存空間) 雲端服務公司出現企業擔心顧客資料機密資料放在雲端有風險是否有必要冒風險放棄IT部門

What do you think

• 漫步在雲端 資安新戰場
• 大綱
• 雲端的代價--近期資訊安全重大案例
• 近期資訊安全重大案例(續)
• 近期資訊安全重大案例(續)
• 新裸奔年代mdash商周128期封面故事
• 免費的個資隱私
• 你可能已經被拍賣了
• 4c812db2922729⋯⋯
• 貝蒂的故事
• Slide Number 11
• 個資的拍賣價
• iPhoneAndroid手機
• 貝蒂的故事
• 貝蒂的故事
• 網路隱私權販賣流程
• 網路隱私「被賣」爭議越演越烈
• 雲端運算的迷思--簡介與應用
• 雲端運算定義
• Slide Number 20
• Slide Number 21
• 雲端運算的特性
• 雲端運算的特性
• 雲端運算的特性
• 雲端運算的特性
• 雲端運算的特性
• 雲端服務的SPI架構
• 雲端運算的本質之一 Infrastructure as a Services
• 範例 虛擬桌面架構應用
• 雲端運算的本質之二 Platform as a Services
• 雲端運算的本質之三 Software as a Services
• 雲端運算的需求 機動的增減資源的使用與自動化
• Slide Number 33
• Slide Number 34
• 全世界都在談
• 微軟
• 蘋果
• 賈伯斯為何願花14年上雲端
• 兩億用戶的工作吃喝玩樂蘋果都要賺
• iCloud推出後的受益受害者
• 雲端運算的各式應用
• Slide Number 42
• 雲端 VS資安
• Slide Number 44
• 從資安看雲端CISSP認證資訊系統安全專家的觀點
• Slide Number 46
• Intel最在意的資安議題
• 雲端運算的迷思
• 資料的安全性與隱私性
• 雲端運算安全的迷思-1
• 雲端運算安全的迷思-2
• 雲端運算安全的迷思-3
• 雲端運算安全的迷思-4
• 雲端運算安全的迷思-5
• 雲端資安-從個資法探討
• 個人資料
• 個人資料生命週期管理
• 個人資料保護生命週期（草案）
• 法規面及個資生命週期保護需求
• Slide Number 60
• Slide Number 61
• 個資法之新舊比較
• Slide Number 63
• Slide Number 64
• Slide Number 65
• Slide Number 66
• Slide Number 67
• Slide Number 68
• 為何雲端安全重要
• Slide Number 70
• Slide Number 71
• 新的資訊安全挑戰
• 新的資訊安全挑戰
• 安全性是企業最主要關注的議題
• 新的資訊安全挑戰
• Slide Number 76
• 誰是駭客內部
• 誰是駭客外部
• 誰是駭客目的
• 危險和漏洞
• 新的資訊安全挑戰
• 新的資訊安全挑戰
• 雲端運算之7大安全威脅
• 雲端運算之7大安全威脅
• 濫用或利用雲端運算進行非法行為
• 不安全的使用者介面與APIs
• 惡意的內部人員
• 共享環境所造成的議題
• 資料遺失或外洩
• 帳號或服務被竊取
• 未知的風險模型
• Slide Number 92
• 資安風險
• 風險評估矩陣
• 組織與政策
• 組織與政策
• 組織與政策
• 組織與政策
• 技術
• 技術
• 法律
• 責任是無法外包的
• 雲端運算資安架構
• Slide Number 104
• 雲端運算服務資訊安全評估
• 結語
• 結語
• Slide Number 108
• 結語mdash鑒古知今由電力產業推論資訊產業

70

71

72

新的資訊安全挑戰

73

新的資訊安全挑戰

會引起安全問題的顧慮是因為客戶的資料和應用系統都在供應商處

在開放的架構下安全性永遠都是最主要的考量

客戶

客戶資料

客戶 應用系統

供應商

74

安全性是企業最主要關注的議題

75

新的資訊安全挑戰

駭客比你更喜愛雲端 雲端運算迫使民眾 把自己資料的控制權交給第三者

76

77

誰是駭客內部

內部 惡意的雲端使用者

想了解系統認證機制 想控制(虛擬)機器

惡意的雲端服務商員工 紀錄客戶使用資料

雲端服務商 讀取未加密資料 偷窺複製虛擬機器 可以監視網絡及應用程式使用模式

78

誰是駭客外部

外部 入侵者 網路攻擊者

可能行為 側聽網絡通信內容 插入惡意內容 窺探雲端架構 進行DoS(阻斷服務攻擊)

79

誰是駭客目的

入侵 網路分析 中間人 雲端架構拓墣

80

危險和漏洞

危險 破壞服務 竊取資訊 喪失隱私 資料毀損

漏洞 惡意程式 駭客攻擊

81

新的資訊安全挑戰

便利與安全的兩難 我們的隱私原則通常是搖擺的人們會出現隱私兩難的局面(紐約時報)

網路的匿名特性是最大的缺點但也是最大的優點 如果匿名的特性不在即使有助於遏止一些惡意活動勢必仍將遭到隱私權提倡者的極力反對 除非有人可以解決隱私權與安全性的兩難問題否則原本的網際網路仍將繼續存在

82

新的資訊安全挑戰

他說「只有惡棍才會擔心網路隱私權」 還說「若對隱私權設限將限制網路成長」 ----施密特(former Google CEO Eric Schmidt )

83

雲端運算之7大安全威脅

雲端安全聯盟(CSA)發表雲端運算之7大威脅(TOP threats to cloud computing)

84

雲端運算之7大安全威脅

濫用或利用雲端運算進行非法的行為(Abuse and Nefarious Use of Cloud Computing)

不安全的使用者介面與APIs (Insecure Interface and APIs) 惡意的內部人員(Malicious Insiders) 共享環境所造成的議題(Shared Technology Issues) 資料遺失或外洩(Data Loss or Leakage) 帳號或服務被竊取(Account or Service Hijacking) 未知的風險模型(Unknown Risk Profile)

85

濫用或利用雲端運算進行非法行為

此一威脅主要是針對雲端運算服務的供應者而言雲端運算服務供應商(尤其是IaaS 與PaaS 供應商) 為了降低使用的門檻通常並不會要求使用者必須經過嚴格的資料審查過程就可以直接使用其所其提供的資源有些服務供應商甚至提供免費使用的功能或試用期這些做法雖然可以有效推廣雲端運算的業務卻也容易成為有心分子利用的管道事實上已經有包含殭屍網路木馬程式下載在內的惡意程式運行於雲端運算的系統內

86

不安全的使用者介面與APIs

使用者透過使用者介面或是APIs與雲端運算服務進行互動因此這些介面與APIs是否安全直接影響到雲端運算服務本身的安全性像是使用者介面的驗證與授權功能是否安全APIs 的相依性與安全性都是必須特別注意的地方此外如果有使用第三方的加值服務這些服務的介面與APIs 的安全性也必須一併加以考量

87

惡意的內部人員

內部人員所造成的問題這幾年來已經成為許多組織關注的重點採用雲端運算將會讓內部人員所產生的問題更形嚴重一個最主要的因素在於使用者無法得知雲端運算服務供應商如何規範與管理內部員工甚至連招聘的條件與流程也屬於非公開的資訊以安全的角度來說rdquo未知rdquo絕對不是一種幸福而是一種芒刺在背的威脅更何況以雲端運算的業務性質而言絕對是有心分子眼中的肥魚所以內部惡意員工的比例應當會比一般組織來的更高

88

共享環境所造成的議題

雖然使用雲端運算的服務(尤其是IaaS) 時使用者好像擁有獨立的環境但是這些環境都是從共享的實體環境中透過虛擬化的技術所產生出來的這些虛擬化的平台能否將不同的使用者進行有效地隔離以避免彼此之間相互干擾其服務的正常運算甚至是避免彼此之間可以存取對方的資源對雲端運算的安全來說是一個嚴格的挑戰

89

資料遺失或外洩

資料遺失與外洩對於一個組織的影響不只在於實際上的金錢損失更在於如企業形象之類的無形損失雲端運算因為其特定的緣故使得資料遺失或外洩的議題面臨更加嚴峻的考驗包含是否擁有足夠的AAA (驗證授權稽核)是否採用適當且足夠的加密技術資料持續性的需求如何安全地刪除資料災難復原甚至是司法管轄的問題都是必須認真加以考量的問題

90

帳號或服務被竊取

儘管帳號或服務被竊取的問題由來已久但是這類問題對於雲端運算來說更具威脅性首先因為雲端運算不像傳統的IT 架構般擁有實體的東西因此一旦帳號或服務被竊取後除非有其他的方式加以證明否則惡意分子可以完全取代原先使用者的身分在傳統的IT 環境中因為使用者至少還擁有硬體的控制權所以即使發生帳號或服務的竊取行為使用者還是可以進行一些事後的補救措施但是這些補救措施在雲端運算的架構下可能無法執行此外對於那些公開的雲端運算服務而言直接暴露於網際網路上也讓這些竊取行為更加容易發生

91

未知的風險模型

以安全的角度來說rdquo未知rdquo是一種芒刺在背的威脅以雲端運算來說不管是IaaSPaaSSaaS 都是將服務包裝成一個使用者不需了解也無法了解的系統讓使用者專注於如何rdquo使用rdquo該系統但是這樣的方便性也讓使用者無法了解這些服務所使用的網路架構安全架構軟體版本等等各式各樣的重要資訊這些資訊對於評估安全狀態是很有幫助的欠缺這些資訊將使得這樣的評估行為無法被有效地進行使用者須依所處的環境決定這些威脅的影響並採取適當的控制措施

92

雲端運算的風險 組織與政策 技術 法律

歐洲網絡與資訊安全部 The European Network and Information Security Agency (ENISA)

93

資安風險

不做風險評估的資安就是威脅及恐嚇 資安風險潛在威脅利用弱點對資產造成影響的可能性

風險 (Risk) = 潛在威脅 (Threats) x 弱點 (Vulnerabilities) x 影響 (Impact)

94

風險評估矩陣

95

組織與政策

喪失管理權限 使用雲端基礎設施客戶端必須將某些關鍵資料的控制權移轉到雲端供應商從而影響安全性同時供應商可能無法提供滿足客戶需求的服務水平協議(SLA)承諾也將形成安全性落差

96

組織與政策

鎖定(lock-in) 目前仍缺乏工具程序標準資料格式或服務介面以確保資料應用系統及服務的可攜性使用者將無法轉換雲端服務供應商甚至無法回到原來企業內部使用的系統環境這將導致過於依賴特定廠商的服務你願意承擔這種風險嗎

97

組織與政策

適用性風險(法規或標準) 轉移到雲端後認證公司可能面臨以下風險 1如果雲端服務供應商不能提供證據證明自己遵守有關規定

2如果雲端服務供應商不允許客戶對其稽核 這意味著使用公有雲的服務將可能無法達到某些法規或標準的要求

98

組織與政策

惡意的內部人員 雖然平時不太可能但由惡意的內部人員造成的損害可能往往更大雲端架構某些必要角色將有極高風險如系統管理員和託管安全服務提供商

99

技術

資源獨立性問題(ISOLATION FAILURE)

多租戶和共享資源是雲端的特點但也相對隱含一些風險包括無效的獨立儲存記憶體路由機制甚至共用資源的租戶聲譽（例如跳板攻擊）當然攻擊資源隔離機制仍比攻擊傳統系統少很多但一旦發生問題影響將更大

100

技術

不安全或不完整的資料刪除 雲端的儲存架構將使資料更難以刪除也許副本資料仍存在其他磁碟多用戶共享磁碟的結果如未完整刪除資料沒人知道是否有被復原的風險(陳姓藝人送修筆電引發的風暴)

101

法律

資料保護 雲端運算同時對使用者及供應商帶來資料保護的風險在某些情況下使用者可能難以確認供應商對資料處理方式是否合法特別是在不同雲端之間傳送資料供應商是否提供相關資訊及證明將是選擇供應商的重要參考

102

責任是無法外包的

考慮採用雲端服務時應先與使用用傳統服務的風險互相比較並非所有風險都可轉移到雲端服務商假如因為風險而導致服務中斷損害商譽恐怕沒人可以為你承擔損害切記工作可以外包責任(可歸責性accountability)是無法外包的

103

雲端運算資安架構

104

雲端運算服務資訊安全評估

105

雲端運算服務資訊安全評估 選定採用雲端服務的種類 確認相關資料與應用程式的重要性 進行整體風險分析 尋找合適業者 定期追蹤考核

106

結語

從分散獨立的資訊服務系統轉移到雲端的架構確實可以獲得許多好處例如降低成本更有彈性有效率的使用IT資源等等但是雲端的隱私及安全也不容忽視不確定性會讓使用者對風險及隱私有所質疑藉由市場競爭可以建立一個更加安全雲端

雖然一些不確定性威脅總是存在於網絡世界但透過明確的法規和大家的合作未來還是可以享用雲端的優點

107

結語

就像人們因為信任而將收入存款存放在金融銀行單位的道理一樣即使雲端運算的觀念逐漸被企業所接受採用的關鍵仍在於「信任」尤其伺服器與儲存設備雲端化的效益在於硬體資源的彈性運用其較為「可見」然而做為連結服務的關鍵網路以及攸關資訊與系統風險的安全需求所帶出的雲端服務存取速度與可靠性議題則是企業應用當中更為重要且更需建立的觀念

108

109

結語mdash鑒古知今由電力產業推論資訊產業

19世紀的電力產業 工廠自備電力 大電廠出現並提供電力網後工廠也擔心輸電線的可靠性是否有必要冒風險放棄自己發電

現在的資訊產業 企業自備電腦資源(運算能力儲存空間) 雲端服務公司出現企業擔心顧客資料機密資料放在雲端有風險是否有必要冒風險放棄IT部門

What do you think

• 漫步在雲端 資安新戰場
• 大綱
• 雲端的代價--近期資訊安全重大案例
• 近期資訊安全重大案例(續)
• 近期資訊安全重大案例(續)
• 新裸奔年代mdash商周128期封面故事
• 免費的個資隱私
• 你可能已經被拍賣了
• 4c812db2922729⋯⋯
• 貝蒂的故事
• Slide Number 11
• 個資的拍賣價
• iPhoneAndroid手機
• 貝蒂的故事
• 貝蒂的故事
• 網路隱私權販賣流程
• 網路隱私「被賣」爭議越演越烈
• 雲端運算的迷思--簡介與應用
• 雲端運算定義
• Slide Number 20
• Slide Number 21
• 雲端運算的特性
• 雲端運算的特性
• 雲端運算的特性
• 雲端運算的特性
• 雲端運算的特性
• 雲端服務的SPI架構
• 雲端運算的本質之一 Infrastructure as a Services
• 範例 虛擬桌面架構應用
• 雲端運算的本質之二 Platform as a Services
• 雲端運算的本質之三 Software as a Services
• 雲端運算的需求 機動的增減資源的使用與自動化
• Slide Number 33
• Slide Number 34
• 全世界都在談
• 微軟
• 蘋果
• 賈伯斯為何願花14年上雲端
• 兩億用戶的工作吃喝玩樂蘋果都要賺
• iCloud推出後的受益受害者
• 雲端運算的各式應用
• Slide Number 42
• 雲端 VS資安
• Slide Number 44
• 從資安看雲端CISSP認證資訊系統安全專家的觀點
• Slide Number 46
• Intel最在意的資安議題
• 雲端運算的迷思
• 資料的安全性與隱私性
• 雲端運算安全的迷思-1
• 雲端運算安全的迷思-2
• 雲端運算安全的迷思-3
• 雲端運算安全的迷思-4
• 雲端運算安全的迷思-5
• 雲端資安-從個資法探討
• 個人資料
• 個人資料生命週期管理
• 個人資料保護生命週期（草案）
• 法規面及個資生命週期保護需求
• Slide Number 60
• Slide Number 61
• 個資法之新舊比較
• Slide Number 63
• Slide Number 64
• Slide Number 65
• Slide Number 66
• Slide Number 67
• Slide Number 68
• 為何雲端安全重要
• Slide Number 70
• Slide Number 71
• 新的資訊安全挑戰
• 新的資訊安全挑戰
• 安全性是企業最主要關注的議題
• 新的資訊安全挑戰
• Slide Number 76
• 誰是駭客內部
• 誰是駭客外部
• 誰是駭客目的
• 危險和漏洞
• 新的資訊安全挑戰
• 新的資訊安全挑戰
• 雲端運算之7大安全威脅
• 雲端運算之7大安全威脅
• 濫用或利用雲端運算進行非法行為
• 不安全的使用者介面與APIs
• 惡意的內部人員
• 共享環境所造成的議題
• 資料遺失或外洩
• 帳號或服務被竊取
• 未知的風險模型
• Slide Number 92
• 資安風險
• 風險評估矩陣
• 組織與政策
• 組織與政策
• 組織與政策
• 組織與政策
• 技術
• 技術
• 法律
• 責任是無法外包的
• 雲端運算資安架構
• Slide Number 104
• 雲端運算服務資訊安全評估
• 結語
• 結語
• Slide Number 108
• 結語mdash鑒古知今由電力產業推論資訊產業

71

72

新的資訊安全挑戰

73

新的資訊安全挑戰

會引起安全問題的顧慮是因為客戶的資料和應用系統都在供應商處

在開放的架構下安全性永遠都是最主要的考量

客戶

客戶資料

客戶 應用系統

供應商

74

安全性是企業最主要關注的議題

75

新的資訊安全挑戰

駭客比你更喜愛雲端 雲端運算迫使民眾 把自己資料的控制權交給第三者

76

77

誰是駭客內部

內部 惡意的雲端使用者

想了解系統認證機制 想控制(虛擬)機器

惡意的雲端服務商員工 紀錄客戶使用資料

雲端服務商 讀取未加密資料 偷窺複製虛擬機器 可以監視網絡及應用程式使用模式

78

誰是駭客外部

外部 入侵者 網路攻擊者

可能行為 側聽網絡通信內容 插入惡意內容 窺探雲端架構 進行DoS(阻斷服務攻擊)

79

誰是駭客目的

入侵 網路分析 中間人 雲端架構拓墣

80

危險和漏洞

危險 破壞服務 竊取資訊 喪失隱私 資料毀損

漏洞 惡意程式 駭客攻擊

81

新的資訊安全挑戰

便利與安全的兩難 我們的隱私原則通常是搖擺的人們會出現隱私兩難的局面(紐約時報)

網路的匿名特性是最大的缺點但也是最大的優點 如果匿名的特性不在即使有助於遏止一些惡意活動勢必仍將遭到隱私權提倡者的極力反對 除非有人可以解決隱私權與安全性的兩難問題否則原本的網際網路仍將繼續存在

82

新的資訊安全挑戰

他說「只有惡棍才會擔心網路隱私權」 還說「若對隱私權設限將限制網路成長」 ----施密特(former Google CEO Eric Schmidt )

83

雲端運算之7大安全威脅

雲端安全聯盟(CSA)發表雲端運算之7大威脅(TOP threats to cloud computing)

84

雲端運算之7大安全威脅

濫用或利用雲端運算進行非法的行為(Abuse and Nefarious Use of Cloud Computing)

不安全的使用者介面與APIs (Insecure Interface and APIs) 惡意的內部人員(Malicious Insiders) 共享環境所造成的議題(Shared Technology Issues) 資料遺失或外洩(Data Loss or Leakage) 帳號或服務被竊取(Account or Service Hijacking) 未知的風險模型(Unknown Risk Profile)

85

濫用或利用雲端運算進行非法行為

此一威脅主要是針對雲端運算服務的供應者而言雲端運算服務供應商(尤其是IaaS 與PaaS 供應商) 為了降低使用的門檻通常並不會要求使用者必須經過嚴格的資料審查過程就可以直接使用其所其提供的資源有些服務供應商甚至提供免費使用的功能或試用期這些做法雖然可以有效推廣雲端運算的業務卻也容易成為有心分子利用的管道事實上已經有包含殭屍網路木馬程式下載在內的惡意程式運行於雲端運算的系統內

86

不安全的使用者介面與APIs

使用者透過使用者介面或是APIs與雲端運算服務進行互動因此這些介面與APIs是否安全直接影響到雲端運算服務本身的安全性像是使用者介面的驗證與授權功能是否安全APIs 的相依性與安全性都是必須特別注意的地方此外如果有使用第三方的加值服務這些服務的介面與APIs 的安全性也必須一併加以考量

87

惡意的內部人員

內部人員所造成的問題這幾年來已經成為許多組織關注的重點採用雲端運算將會讓內部人員所產生的問題更形嚴重一個最主要的因素在於使用者無法得知雲端運算服務供應商如何規範與管理內部員工甚至連招聘的條件與流程也屬於非公開的資訊以安全的角度來說rdquo未知rdquo絕對不是一種幸福而是一種芒刺在背的威脅更何況以雲端運算的業務性質而言絕對是有心分子眼中的肥魚所以內部惡意員工的比例應當會比一般組織來的更高

88

共享環境所造成的議題

雖然使用雲端運算的服務(尤其是IaaS) 時使用者好像擁有獨立的環境但是這些環境都是從共享的實體環境中透過虛擬化的技術所產生出來的這些虛擬化的平台能否將不同的使用者進行有效地隔離以避免彼此之間相互干擾其服務的正常運算甚至是避免彼此之間可以存取對方的資源對雲端運算的安全來說是一個嚴格的挑戰

89

資料遺失或外洩

資料遺失與外洩對於一個組織的影響不只在於實際上的金錢損失更在於如企業形象之類的無形損失雲端運算因為其特定的緣故使得資料遺失或外洩的議題面臨更加嚴峻的考驗包含是否擁有足夠的AAA (驗證授權稽核)是否採用適當且足夠的加密技術資料持續性的需求如何安全地刪除資料災難復原甚至是司法管轄的問題都是必須認真加以考量的問題

90

帳號或服務被竊取

儘管帳號或服務被竊取的問題由來已久但是這類問題對於雲端運算來說更具威脅性首先因為雲端運算不像傳統的IT 架構般擁有實體的東西因此一旦帳號或服務被竊取後除非有其他的方式加以證明否則惡意分子可以完全取代原先使用者的身分在傳統的IT 環境中因為使用者至少還擁有硬體的控制權所以即使發生帳號或服務的竊取行為使用者還是可以進行一些事後的補救措施但是這些補救措施在雲端運算的架構下可能無法執行此外對於那些公開的雲端運算服務而言直接暴露於網際網路上也讓這些竊取行為更加容易發生

91

未知的風險模型

以安全的角度來說rdquo未知rdquo是一種芒刺在背的威脅以雲端運算來說不管是IaaSPaaSSaaS 都是將服務包裝成一個使用者不需了解也無法了解的系統讓使用者專注於如何rdquo使用rdquo該系統但是這樣的方便性也讓使用者無法了解這些服務所使用的網路架構安全架構軟體版本等等各式各樣的重要資訊這些資訊對於評估安全狀態是很有幫助的欠缺這些資訊將使得這樣的評估行為無法被有效地進行使用者須依所處的環境決定這些威脅的影響並採取適當的控制措施

92

雲端運算的風險 組織與政策 技術 法律

歐洲網絡與資訊安全部 The European Network and Information Security Agency (ENISA)

93

資安風險

不做風險評估的資安就是威脅及恐嚇 資安風險潛在威脅利用弱點對資產造成影響的可能性

風險 (Risk) = 潛在威脅 (Threats) x 弱點 (Vulnerabilities) x 影響 (Impact)

94

風險評估矩陣

95

組織與政策

喪失管理權限 使用雲端基礎設施客戶端必須將某些關鍵資料的控制權移轉到雲端供應商從而影響安全性同時供應商可能無法提供滿足客戶需求的服務水平協議(SLA)承諾也將形成安全性落差

96

組織與政策

鎖定(lock-in) 目前仍缺乏工具程序標準資料格式或服務介面以確保資料應用系統及服務的可攜性使用者將無法轉換雲端服務供應商甚至無法回到原來企業內部使用的系統環境這將導致過於依賴特定廠商的服務你願意承擔這種風險嗎

97

組織與政策

適用性風險(法規或標準) 轉移到雲端後認證公司可能面臨以下風險 1如果雲端服務供應商不能提供證據證明自己遵守有關規定

2如果雲端服務供應商不允許客戶對其稽核 這意味著使用公有雲的服務將可能無法達到某些法規或標準的要求

98

組織與政策

惡意的內部人員 雖然平時不太可能但由惡意的內部人員造成的損害可能往往更大雲端架構某些必要角色將有極高風險如系統管理員和託管安全服務提供商

99

技術

資源獨立性問題(ISOLATION FAILURE)

多租戶和共享資源是雲端的特點但也相對隱含一些風險包括無效的獨立儲存記憶體路由機制甚至共用資源的租戶聲譽（例如跳板攻擊）當然攻擊資源隔離機制仍比攻擊傳統系統少很多但一旦發生問題影響將更大

100

技術

不安全或不完整的資料刪除 雲端的儲存架構將使資料更難以刪除也許副本資料仍存在其他磁碟多用戶共享磁碟的結果如未完整刪除資料沒人知道是否有被復原的風險(陳姓藝人送修筆電引發的風暴)

101

法律

資料保護 雲端運算同時對使用者及供應商帶來資料保護的風險在某些情況下使用者可能難以確認供應商對資料處理方式是否合法特別是在不同雲端之間傳送資料供應商是否提供相關資訊及證明將是選擇供應商的重要參考

102

責任是無法外包的

考慮採用雲端服務時應先與使用用傳統服務的風險互相比較並非所有風險都可轉移到雲端服務商假如因為風險而導致服務中斷損害商譽恐怕沒人可以為你承擔損害切記工作可以外包責任(可歸責性accountability)是無法外包的

103

雲端運算資安架構

104

雲端運算服務資訊安全評估

105

雲端運算服務資訊安全評估 選定採用雲端服務的種類 確認相關資料與應用程式的重要性 進行整體風險分析 尋找合適業者 定期追蹤考核

106

結語

從分散獨立的資訊服務系統轉移到雲端的架構確實可以獲得許多好處例如降低成本更有彈性有效率的使用IT資源等等但是雲端的隱私及安全也不容忽視不確定性會讓使用者對風險及隱私有所質疑藉由市場競爭可以建立一個更加安全雲端

雖然一些不確定性威脅總是存在於網絡世界但透過明確的法規和大家的合作未來還是可以享用雲端的優點

107

結語

就像人們因為信任而將收入存款存放在金融銀行單位的道理一樣即使雲端運算的觀念逐漸被企業所接受採用的關鍵仍在於「信任」尤其伺服器與儲存設備雲端化的效益在於硬體資源的彈性運用其較為「可見」然而做為連結服務的關鍵網路以及攸關資訊與系統風險的安全需求所帶出的雲端服務存取速度與可靠性議題則是企業應用當中更為重要且更需建立的觀念

108

109

結語mdash鑒古知今由電力產業推論資訊產業

19世紀的電力產業 工廠自備電力 大電廠出現並提供電力網後工廠也擔心輸電線的可靠性是否有必要冒風險放棄自己發電

現在的資訊產業 企業自備電腦資源(運算能力儲存空間) 雲端服務公司出現企業擔心顧客資料機密資料放在雲端有風險是否有必要冒風險放棄IT部門

What do you think

• 漫步在雲端 資安新戰場
• 大綱
• 雲端的代價--近期資訊安全重大案例
• 近期資訊安全重大案例(續)
• 近期資訊安全重大案例(續)
• 新裸奔年代mdash商周128期封面故事
• 免費的個資隱私
• 你可能已經被拍賣了
• 4c812db2922729⋯⋯
• 貝蒂的故事
• Slide Number 11
• 個資的拍賣價
• iPhoneAndroid手機
• 貝蒂的故事
• 貝蒂的故事
• 網路隱私權販賣流程
• 網路隱私「被賣」爭議越演越烈
• 雲端運算的迷思--簡介與應用
• 雲端運算定義
• Slide Number 20
• Slide Number 21
• 雲端運算的特性
• 雲端運算的特性
• 雲端運算的特性
• 雲端運算的特性
• 雲端運算的特性
• 雲端服務的SPI架構
• 雲端運算的本質之一 Infrastructure as a Services
• 範例 虛擬桌面架構應用
• 雲端運算的本質之二 Platform as a Services
• 雲端運算的本質之三 Software as a Services
• 雲端運算的需求 機動的增減資源的使用與自動化
• Slide Number 33
• Slide Number 34
• 全世界都在談
• 微軟
• 蘋果
• 賈伯斯為何願花14年上雲端
• 兩億用戶的工作吃喝玩樂蘋果都要賺
• iCloud推出後的受益受害者
• 雲端運算的各式應用
• Slide Number 42
• 雲端 VS資安
• Slide Number 44
• 從資安看雲端CISSP認證資訊系統安全專家的觀點
• Slide Number 46
• Intel最在意的資安議題
• 雲端運算的迷思
• 資料的安全性與隱私性
• 雲端運算安全的迷思-1
• 雲端運算安全的迷思-2
• 雲端運算安全的迷思-3
• 雲端運算安全的迷思-4
• 雲端運算安全的迷思-5
• 雲端資安-從個資法探討
• 個人資料
• 個人資料生命週期管理
• 個人資料保護生命週期（草案）
• 法規面及個資生命週期保護需求
• Slide Number 60
• Slide Number 61
• 個資法之新舊比較
• Slide Number 63
• Slide Number 64
• Slide Number 65
• Slide Number 66
• Slide Number 67
• Slide Number 68
• 為何雲端安全重要
• Slide Number 70
• Slide Number 71
• 新的資訊安全挑戰
• 新的資訊安全挑戰
• 安全性是企業最主要關注的議題
• 新的資訊安全挑戰
• Slide Number 76
• 誰是駭客內部
• 誰是駭客外部
• 誰是駭客目的
• 危險和漏洞
• 新的資訊安全挑戰
• 新的資訊安全挑戰
• 雲端運算之7大安全威脅
• 雲端運算之7大安全威脅
• 濫用或利用雲端運算進行非法行為
• 不安全的使用者介面與APIs
• 惡意的內部人員
• 共享環境所造成的議題
• 資料遺失或外洩
• 帳號或服務被竊取
• 未知的風險模型
• Slide Number 92
• 資安風險
• 風險評估矩陣
• 組織與政策
• 組織與政策
• 組織與政策
• 組織與政策
• 技術
• 技術
• 法律
• 責任是無法外包的
• 雲端運算資安架構
• Slide Number 104
• 雲端運算服務資訊安全評估
• 結語
• 結語
• Slide Number 108
• 結語mdash鑒古知今由電力產業推論資訊產業

72

新的資訊安全挑戰

73

新的資訊安全挑戰

會引起安全問題的顧慮是因為客戶的資料和應用系統都在供應商處

在開放的架構下安全性永遠都是最主要的考量

客戶

客戶資料

客戶 應用系統

供應商

74

安全性是企業最主要關注的議題

75

新的資訊安全挑戰

駭客比你更喜愛雲端 雲端運算迫使民眾 把自己資料的控制權交給第三者

76

77

誰是駭客內部

內部 惡意的雲端使用者

想了解系統認證機制 想控制(虛擬)機器

惡意的雲端服務商員工 紀錄客戶使用資料

雲端服務商 讀取未加密資料 偷窺複製虛擬機器 可以監視網絡及應用程式使用模式

78

誰是駭客外部

外部 入侵者 網路攻擊者

可能行為 側聽網絡通信內容 插入惡意內容 窺探雲端架構 進行DoS(阻斷服務攻擊)

79

誰是駭客目的

入侵 網路分析 中間人 雲端架構拓墣

80

危險和漏洞

危險 破壞服務 竊取資訊 喪失隱私 資料毀損

漏洞 惡意程式 駭客攻擊

81

新的資訊安全挑戰

便利與安全的兩難 我們的隱私原則通常是搖擺的人們會出現隱私兩難的局面(紐約時報)

網路的匿名特性是最大的缺點但也是最大的優點 如果匿名的特性不在即使有助於遏止一些惡意活動勢必仍將遭到隱私權提倡者的極力反對 除非有人可以解決隱私權與安全性的兩難問題否則原本的網際網路仍將繼續存在

82

新的資訊安全挑戰

他說「只有惡棍才會擔心網路隱私權」 還說「若對隱私權設限將限制網路成長」 ----施密特(former Google CEO Eric Schmidt )

83

雲端運算之7大安全威脅

雲端安全聯盟(CSA)發表雲端運算之7大威脅(TOP threats to cloud computing)

84

雲端運算之7大安全威脅

濫用或利用雲端運算進行非法的行為(Abuse and Nefarious Use of Cloud Computing)

不安全的使用者介面與APIs (Insecure Interface and APIs) 惡意的內部人員(Malicious Insiders) 共享環境所造成的議題(Shared Technology Issues) 資料遺失或外洩(Data Loss or Leakage) 帳號或服務被竊取(Account or Service Hijacking) 未知的風險模型(Unknown Risk Profile)

85

濫用或利用雲端運算進行非法行為

此一威脅主要是針對雲端運算服務的供應者而言雲端運算服務供應商(尤其是IaaS 與PaaS 供應商) 為了降低使用的門檻通常並不會要求使用者必須經過嚴格的資料審查過程就可以直接使用其所其提供的資源有些服務供應商甚至提供免費使用的功能或試用期這些做法雖然可以有效推廣雲端運算的業務卻也容易成為有心分子利用的管道事實上已經有包含殭屍網路木馬程式下載在內的惡意程式運行於雲端運算的系統內

86

不安全的使用者介面與APIs

使用者透過使用者介面或是APIs與雲端運算服務進行互動因此這些介面與APIs是否安全直接影響到雲端運算服務本身的安全性像是使用者介面的驗證與授權功能是否安全APIs 的相依性與安全性都是必須特別注意的地方此外如果有使用第三方的加值服務這些服務的介面與APIs 的安全性也必須一併加以考量

87

惡意的內部人員

內部人員所造成的問題這幾年來已經成為許多組織關注的重點採用雲端運算將會讓內部人員所產生的問題更形嚴重一個最主要的因素在於使用者無法得知雲端運算服務供應商如何規範與管理內部員工甚至連招聘的條件與流程也屬於非公開的資訊以安全的角度來說rdquo未知rdquo絕對不是一種幸福而是一種芒刺在背的威脅更何況以雲端運算的業務性質而言絕對是有心分子眼中的肥魚所以內部惡意員工的比例應當會比一般組織來的更高

88

共享環境所造成的議題

雖然使用雲端運算的服務(尤其是IaaS) 時使用者好像擁有獨立的環境但是這些環境都是從共享的實體環境中透過虛擬化的技術所產生出來的這些虛擬化的平台能否將不同的使用者進行有效地隔離以避免彼此之間相互干擾其服務的正常運算甚至是避免彼此之間可以存取對方的資源對雲端運算的安全來說是一個嚴格的挑戰

89

資料遺失或外洩

資料遺失與外洩對於一個組織的影響不只在於實際上的金錢損失更在於如企業形象之類的無形損失雲端運算因為其特定的緣故使得資料遺失或外洩的議題面臨更加嚴峻的考驗包含是否擁有足夠的AAA (驗證授權稽核)是否採用適當且足夠的加密技術資料持續性的需求如何安全地刪除資料災難復原甚至是司法管轄的問題都是必須認真加以考量的問題

90

帳號或服務被竊取

儘管帳號或服務被竊取的問題由來已久但是這類問題對於雲端運算來說更具威脅性首先因為雲端運算不像傳統的IT 架構般擁有實體的東西因此一旦帳號或服務被竊取後除非有其他的方式加以證明否則惡意分子可以完全取代原先使用者的身分在傳統的IT 環境中因為使用者至少還擁有硬體的控制權所以即使發生帳號或服務的竊取行為使用者還是可以進行一些事後的補救措施但是這些補救措施在雲端運算的架構下可能無法執行此外對於那些公開的雲端運算服務而言直接暴露於網際網路上也讓這些竊取行為更加容易發生

91

未知的風險模型

以安全的角度來說rdquo未知rdquo是一種芒刺在背的威脅以雲端運算來說不管是IaaSPaaSSaaS 都是將服務包裝成一個使用者不需了解也無法了解的系統讓使用者專注於如何rdquo使用rdquo該系統但是這樣的方便性也讓使用者無法了解這些服務所使用的網路架構安全架構軟體版本等等各式各樣的重要資訊這些資訊對於評估安全狀態是很有幫助的欠缺這些資訊將使得這樣的評估行為無法被有效地進行使用者須依所處的環境決定這些威脅的影響並採取適當的控制措施

92

雲端運算的風險 組織與政策 技術 法律

歐洲網絡與資訊安全部 The European Network and Information Security Agency (ENISA)

93

資安風險

不做風險評估的資安就是威脅及恐嚇 資安風險潛在威脅利用弱點對資產造成影響的可能性

風險 (Risk) = 潛在威脅 (Threats) x 弱點 (Vulnerabilities) x 影響 (Impact)

94

風險評估矩陣

95

組織與政策

喪失管理權限 使用雲端基礎設施客戶端必須將某些關鍵資料的控制權移轉到雲端供應商從而影響安全性同時供應商可能無法提供滿足客戶需求的服務水平協議(SLA)承諾也將形成安全性落差

96

組織與政策

鎖定(lock-in) 目前仍缺乏工具程序標準資料格式或服務介面以確保資料應用系統及服務的可攜性使用者將無法轉換雲端服務供應商甚至無法回到原來企業內部使用的系統環境這將導致過於依賴特定廠商的服務你願意承擔這種風險嗎

97

組織與政策

適用性風險(法規或標準) 轉移到雲端後認證公司可能面臨以下風險 1如果雲端服務供應商不能提供證據證明自己遵守有關規定

2如果雲端服務供應商不允許客戶對其稽核 這意味著使用公有雲的服務將可能無法達到某些法規或標準的要求

98

組織與政策

惡意的內部人員 雖然平時不太可能但由惡意的內部人員造成的損害可能往往更大雲端架構某些必要角色將有極高風險如系統管理員和託管安全服務提供商

99

技術

資源獨立性問題(ISOLATION FAILURE)

多租戶和共享資源是雲端的特點但也相對隱含一些風險包括無效的獨立儲存記憶體路由機制甚至共用資源的租戶聲譽（例如跳板攻擊）當然攻擊資源隔離機制仍比攻擊傳統系統少很多但一旦發生問題影響將更大

100

技術

不安全或不完整的資料刪除 雲端的儲存架構將使資料更難以刪除也許副本資料仍存在其他磁碟多用戶共享磁碟的結果如未完整刪除資料沒人知道是否有被復原的風險(陳姓藝人送修筆電引發的風暴)

101

法律

資料保護 雲端運算同時對使用者及供應商帶來資料保護的風險在某些情況下使用者可能難以確認供應商對資料處理方式是否合法特別是在不同雲端之間傳送資料供應商是否提供相關資訊及證明將是選擇供應商的重要參考

102

責任是無法外包的

考慮採用雲端服務時應先與使用用傳統服務的風險互相比較並非所有風險都可轉移到雲端服務商假如因為風險而導致服務中斷損害商譽恐怕沒人可以為你承擔損害切記工作可以外包責任(可歸責性accountability)是無法外包的

103

雲端運算資安架構

104

雲端運算服務資訊安全評估

105

雲端運算服務資訊安全評估 選定採用雲端服務的種類 確認相關資料與應用程式的重要性 進行整體風險分析 尋找合適業者 定期追蹤考核

106

結語

從分散獨立的資訊服務系統轉移到雲端的架構確實可以獲得許多好處例如降低成本更有彈性有效率的使用IT資源等等但是雲端的隱私及安全也不容忽視不確定性會讓使用者對風險及隱私有所質疑藉由市場競爭可以建立一個更加安全雲端

雖然一些不確定性威脅總是存在於網絡世界但透過明確的法規和大家的合作未來還是可以享用雲端的優點

107

結語

就像人們因為信任而將收入存款存放在金融銀行單位的道理一樣即使雲端運算的觀念逐漸被企業所接受採用的關鍵仍在於「信任」尤其伺服器與儲存設備雲端化的效益在於硬體資源的彈性運用其較為「可見」然而做為連結服務的關鍵網路以及攸關資訊與系統風險的安全需求所帶出的雲端服務存取速度與可靠性議題則是企業應用當中更為重要且更需建立的觀念

108

109

結語mdash鑒古知今由電力產業推論資訊產業

19世紀的電力產業 工廠自備電力 大電廠出現並提供電力網後工廠也擔心輸電線的可靠性是否有必要冒風險放棄自己發電

現在的資訊產業 企業自備電腦資源(運算能力儲存空間) 雲端服務公司出現企業擔心顧客資料機密資料放在雲端有風險是否有必要冒風險放棄IT部門

What do you think

• 漫步在雲端 資安新戰場
• 大綱
• 雲端的代價--近期資訊安全重大案例
• 近期資訊安全重大案例(續)
• 近期資訊安全重大案例(續)
• 新裸奔年代mdash商周128期封面故事
• 免費的個資隱私
• 你可能已經被拍賣了
• 4c812db2922729⋯⋯
• 貝蒂的故事
• Slide Number 11
• 個資的拍賣價
• iPhoneAndroid手機
• 貝蒂的故事
• 貝蒂的故事
• 網路隱私權販賣流程
• 網路隱私「被賣」爭議越演越烈
• 雲端運算的迷思--簡介與應用
• 雲端運算定義
• Slide Number 20
• Slide Number 21
• 雲端運算的特性
• 雲端運算的特性
• 雲端運算的特性
• 雲端運算的特性
• 雲端運算的特性
• 雲端服務的SPI架構
• 雲端運算的本質之一 Infrastructure as a Services
• 範例 虛擬桌面架構應用
• 雲端運算的本質之二 Platform as a Services
• 雲端運算的本質之三 Software as a Services
• 雲端運算的需求 機動的增減資源的使用與自動化
• Slide Number 33
• Slide Number 34
• 全世界都在談
• 微軟
• 蘋果
• 賈伯斯為何願花14年上雲端
• 兩億用戶的工作吃喝玩樂蘋果都要賺
• iCloud推出後的受益受害者
• 雲端運算的各式應用
• Slide Number 42
• 雲端 VS資安
• Slide Number 44
• 從資安看雲端CISSP認證資訊系統安全專家的觀點
• Slide Number 46
• Intel最在意的資安議題
• 雲端運算的迷思
• 資料的安全性與隱私性
• 雲端運算安全的迷思-1
• 雲端運算安全的迷思-2
• 雲端運算安全的迷思-3
• 雲端運算安全的迷思-4
• 雲端運算安全的迷思-5
• 雲端資安-從個資法探討
• 個人資料
• 個人資料生命週期管理
• 個人資料保護生命週期（草案）
• 法規面及個資生命週期保護需求
• Slide Number 60
• Slide Number 61
• 個資法之新舊比較
• Slide Number 63
• Slide Number 64
• Slide Number 65
• Slide Number 66
• Slide Number 67
• Slide Number 68
• 為何雲端安全重要
• Slide Number 70
• Slide Number 71
• 新的資訊安全挑戰
• 新的資訊安全挑戰
• 安全性是企業最主要關注的議題
• 新的資訊安全挑戰
• Slide Number 76
• 誰是駭客內部
• 誰是駭客外部
• 誰是駭客目的
• 危險和漏洞
• 新的資訊安全挑戰
• 新的資訊安全挑戰
• 雲端運算之7大安全威脅
• 雲端運算之7大安全威脅
• 濫用或利用雲端運算進行非法行為
• 不安全的使用者介面與APIs
• 惡意的內部人員
• 共享環境所造成的議題
• 資料遺失或外洩
• 帳號或服務被竊取
• 未知的風險模型
• Slide Number 92
• 資安風險
• 風險評估矩陣
• 組織與政策
• 組織與政策
• 組織與政策
• 組織與政策
• 技術
• 技術
• 法律
• 責任是無法外包的
• 雲端運算資安架構
• Slide Number 104
• 雲端運算服務資訊安全評估
• 結語
• 結語
• Slide Number 108
• 結語mdash鑒古知今由電力產業推論資訊產業

73

新的資訊安全挑戰

會引起安全問題的顧慮是因為客戶的資料和應用系統都在供應商處

在開放的架構下安全性永遠都是最主要的考量

客戶

客戶資料

客戶 應用系統

供應商

74

安全性是企業最主要關注的議題

75

新的資訊安全挑戰

駭客比你更喜愛雲端 雲端運算迫使民眾 把自己資料的控制權交給第三者

76

77

誰是駭客內部

內部 惡意的雲端使用者

想了解系統認證機制 想控制(虛擬)機器

惡意的雲端服務商員工 紀錄客戶使用資料

雲端服務商 讀取未加密資料 偷窺複製虛擬機器 可以監視網絡及應用程式使用模式

78

誰是駭客外部

外部 入侵者 網路攻擊者

可能行為 側聽網絡通信內容 插入惡意內容 窺探雲端架構 進行DoS(阻斷服務攻擊)

79

誰是駭客目的

入侵 網路分析 中間人 雲端架構拓墣

80

危險和漏洞

危險 破壞服務 竊取資訊 喪失隱私 資料毀損

漏洞 惡意程式 駭客攻擊

81

新的資訊安全挑戰

便利與安全的兩難 我們的隱私原則通常是搖擺的人們會出現隱私兩難的局面(紐約時報)

網路的匿名特性是最大的缺點但也是最大的優點 如果匿名的特性不在即使有助於遏止一些惡意活動勢必仍將遭到隱私權提倡者的極力反對 除非有人可以解決隱私權與安全性的兩難問題否則原本的網際網路仍將繼續存在

82

新的資訊安全挑戰

他說「只有惡棍才會擔心網路隱私權」 還說「若對隱私權設限將限制網路成長」 ----施密特(former Google CEO Eric Schmidt )

83

雲端運算之7大安全威脅

雲端安全聯盟(CSA)發表雲端運算之7大威脅(TOP threats to cloud computing)

84

雲端運算之7大安全威脅

濫用或利用雲端運算進行非法的行為(Abuse and Nefarious Use of Cloud Computing)

不安全的使用者介面與APIs (Insecure Interface and APIs) 惡意的內部人員(Malicious Insiders) 共享環境所造成的議題(Shared Technology Issues) 資料遺失或外洩(Data Loss or Leakage) 帳號或服務被竊取(Account or Service Hijacking) 未知的風險模型(Unknown Risk Profile)

85

濫用或利用雲端運算進行非法行為

此一威脅主要是針對雲端運算服務的供應者而言雲端運算服務供應商(尤其是IaaS 與PaaS 供應商) 為了降低使用的門檻通常並不會要求使用者必須經過嚴格的資料審查過程就可以直接使用其所其提供的資源有些服務供應商甚至提供免費使用的功能或試用期這些做法雖然可以有效推廣雲端運算的業務卻也容易成為有心分子利用的管道事實上已經有包含殭屍網路木馬程式下載在內的惡意程式運行於雲端運算的系統內

86

不安全的使用者介面與APIs

使用者透過使用者介面或是APIs與雲端運算服務進行互動因此這些介面與APIs是否安全直接影響到雲端運算服務本身的安全性像是使用者介面的驗證與授權功能是否安全APIs 的相依性與安全性都是必須特別注意的地方此外如果有使用第三方的加值服務這些服務的介面與APIs 的安全性也必須一併加以考量

87

惡意的內部人員

內部人員所造成的問題這幾年來已經成為許多組織關注的重點採用雲端運算將會讓內部人員所產生的問題更形嚴重一個最主要的因素在於使用者無法得知雲端運算服務供應商如何規範與管理內部員工甚至連招聘的條件與流程也屬於非公開的資訊以安全的角度來說rdquo未知rdquo絕對不是一種幸福而是一種芒刺在背的威脅更何況以雲端運算的業務性質而言絕對是有心分子眼中的肥魚所以內部惡意員工的比例應當會比一般組織來的更高

88

共享環境所造成的議題

雖然使用雲端運算的服務(尤其是IaaS) 時使用者好像擁有獨立的環境但是這些環境都是從共享的實體環境中透過虛擬化的技術所產生出來的這些虛擬化的平台能否將不同的使用者進行有效地隔離以避免彼此之間相互干擾其服務的正常運算甚至是避免彼此之間可以存取對方的資源對雲端運算的安全來說是一個嚴格的挑戰

89

資料遺失或外洩

資料遺失與外洩對於一個組織的影響不只在於實際上的金錢損失更在於如企業形象之類的無形損失雲端運算因為其特定的緣故使得資料遺失或外洩的議題面臨更加嚴峻的考驗包含是否擁有足夠的AAA (驗證授權稽核)是否採用適當且足夠的加密技術資料持續性的需求如何安全地刪除資料災難復原甚至是司法管轄的問題都是必須認真加以考量的問題

90

帳號或服務被竊取

儘管帳號或服務被竊取的問題由來已久但是這類問題對於雲端運算來說更具威脅性首先因為雲端運算不像傳統的IT 架構般擁有實體的東西因此一旦帳號或服務被竊取後除非有其他的方式加以證明否則惡意分子可以完全取代原先使用者的身分在傳統的IT 環境中因為使用者至少還擁有硬體的控制權所以即使發生帳號或服務的竊取行為使用者還是可以進行一些事後的補救措施但是這些補救措施在雲端運算的架構下可能無法執行此外對於那些公開的雲端運算服務而言直接暴露於網際網路上也讓這些竊取行為更加容易發生

91

未知的風險模型

以安全的角度來說rdquo未知rdquo是一種芒刺在背的威脅以雲端運算來說不管是IaaSPaaSSaaS 都是將服務包裝成一個使用者不需了解也無法了解的系統讓使用者專注於如何rdquo使用rdquo該系統但是這樣的方便性也讓使用者無法了解這些服務所使用的網路架構安全架構軟體版本等等各式各樣的重要資訊這些資訊對於評估安全狀態是很有幫助的欠缺這些資訊將使得這樣的評估行為無法被有效地進行使用者須依所處的環境決定這些威脅的影響並採取適當的控制措施

92

雲端運算的風險 組織與政策 技術 法律

歐洲網絡與資訊安全部 The European Network and Information Security Agency (ENISA)

93

資安風險

不做風險評估的資安就是威脅及恐嚇 資安風險潛在威脅利用弱點對資產造成影響的可能性

風險 (Risk) = 潛在威脅 (Threats) x 弱點 (Vulnerabilities) x 影響 (Impact)

94

風險評估矩陣

95

組織與政策

喪失管理權限 使用雲端基礎設施客戶端必須將某些關鍵資料的控制權移轉到雲端供應商從而影響安全性同時供應商可能無法提供滿足客戶需求的服務水平協議(SLA)承諾也將形成安全性落差

96

組織與政策

鎖定(lock-in) 目前仍缺乏工具程序標準資料格式或服務介面以確保資料應用系統及服務的可攜性使用者將無法轉換雲端服務供應商甚至無法回到原來企業內部使用的系統環境這將導致過於依賴特定廠商的服務你願意承擔這種風險嗎

97

組織與政策

適用性風險(法規或標準) 轉移到雲端後認證公司可能面臨以下風險 1如果雲端服務供應商不能提供證據證明自己遵守有關規定

2如果雲端服務供應商不允許客戶對其稽核 這意味著使用公有雲的服務將可能無法達到某些法規或標準的要求

98

組織與政策

惡意的內部人員 雖然平時不太可能但由惡意的內部人員造成的損害可能往往更大雲端架構某些必要角色將有極高風險如系統管理員和託管安全服務提供商

99

技術

資源獨立性問題(ISOLATION FAILURE)

多租戶和共享資源是雲端的特點但也相對隱含一些風險包括無效的獨立儲存記憶體路由機制甚至共用資源的租戶聲譽（例如跳板攻擊）當然攻擊資源隔離機制仍比攻擊傳統系統少很多但一旦發生問題影響將更大

100

技術

不安全或不完整的資料刪除 雲端的儲存架構將使資料更難以刪除也許副本資料仍存在其他磁碟多用戶共享磁碟的結果如未完整刪除資料沒人知道是否有被復原的風險(陳姓藝人送修筆電引發的風暴)

101

法律

資料保護 雲端運算同時對使用者及供應商帶來資料保護的風險在某些情況下使用者可能難以確認供應商對資料處理方式是否合法特別是在不同雲端之間傳送資料供應商是否提供相關資訊及證明將是選擇供應商的重要參考

102

責任是無法外包的

考慮採用雲端服務時應先與使用用傳統服務的風險互相比較並非所有風險都可轉移到雲端服務商假如因為風險而導致服務中斷損害商譽恐怕沒人可以為你承擔損害切記工作可以外包責任(可歸責性accountability)是無法外包的

103

雲端運算資安架構

104

雲端運算服務資訊安全評估

105

雲端運算服務資訊安全評估 選定採用雲端服務的種類 確認相關資料與應用程式的重要性 進行整體風險分析 尋找合適業者 定期追蹤考核

106

結語

從分散獨立的資訊服務系統轉移到雲端的架構確實可以獲得許多好處例如降低成本更有彈性有效率的使用IT資源等等但是雲端的隱私及安全也不容忽視不確定性會讓使用者對風險及隱私有所質疑藉由市場競爭可以建立一個更加安全雲端

雖然一些不確定性威脅總是存在於網絡世界但透過明確的法規和大家的合作未來還是可以享用雲端的優點

107

結語

就像人們因為信任而將收入存款存放在金融銀行單位的道理一樣即使雲端運算的觀念逐漸被企業所接受採用的關鍵仍在於「信任」尤其伺服器與儲存設備雲端化的效益在於硬體資源的彈性運用其較為「可見」然而做為連結服務的關鍵網路以及攸關資訊與系統風險的安全需求所帶出的雲端服務存取速度與可靠性議題則是企業應用當中更為重要且更需建立的觀念

108

109

結語mdash鑒古知今由電力產業推論資訊產業

19世紀的電力產業 工廠自備電力 大電廠出現並提供電力網後工廠也擔心輸電線的可靠性是否有必要冒風險放棄自己發電

現在的資訊產業 企業自備電腦資源(運算能力儲存空間) 雲端服務公司出現企業擔心顧客資料機密資料放在雲端有風險是否有必要冒風險放棄IT部門

What do you think

• 漫步在雲端 資安新戰場
• 大綱
• 雲端的代價--近期資訊安全重大案例
• 近期資訊安全重大案例(續)
• 近期資訊安全重大案例(續)
• 新裸奔年代mdash商周128期封面故事
• 免費的個資隱私
• 你可能已經被拍賣了
• 4c812db2922729⋯⋯
• 貝蒂的故事
• Slide Number 11
• 個資的拍賣價
• iPhoneAndroid手機
• 貝蒂的故事
• 貝蒂的故事
• 網路隱私權販賣流程
• 網路隱私「被賣」爭議越演越烈
• 雲端運算的迷思--簡介與應用
• 雲端運算定義
• Slide Number 20
• Slide Number 21
• 雲端運算的特性
• 雲端運算的特性
• 雲端運算的特性
• 雲端運算的特性
• 雲端運算的特性
• 雲端服務的SPI架構
• 雲端運算的本質之一 Infrastructure as a Services
• 範例 虛擬桌面架構應用
• 雲端運算的本質之二 Platform as a Services
• 雲端運算的本質之三 Software as a Services
• 雲端運算的需求 機動的增減資源的使用與自動化
• Slide Number 33
• Slide Number 34
• 全世界都在談
• 微軟
• 蘋果
• 賈伯斯為何願花14年上雲端
• 兩億用戶的工作吃喝玩樂蘋果都要賺
• iCloud推出後的受益受害者
• 雲端運算的各式應用
• Slide Number 42
• 雲端 VS資安
• Slide Number 44
• 從資安看雲端CISSP認證資訊系統安全專家的觀點
• Slide Number 46
• Intel最在意的資安議題
• 雲端運算的迷思
• 資料的安全性與隱私性
• 雲端運算安全的迷思-1
• 雲端運算安全的迷思-2
• 雲端運算安全的迷思-3
• 雲端運算安全的迷思-4
• 雲端運算安全的迷思-5
• 雲端資安-從個資法探討
• 個人資料
• 個人資料生命週期管理
• 個人資料保護生命週期（草案）
• 法規面及個資生命週期保護需求
• Slide Number 60
• Slide Number 61
• 個資法之新舊比較
• Slide Number 63
• Slide Number 64
• Slide Number 65
• Slide Number 66
• Slide Number 67
• Slide Number 68
• 為何雲端安全重要
• Slide Number 70
• Slide Number 71
• 新的資訊安全挑戰
• 新的資訊安全挑戰
• 安全性是企業最主要關注的議題
• 新的資訊安全挑戰
• Slide Number 76
• 誰是駭客內部
• 誰是駭客外部
• 誰是駭客目的
• 危險和漏洞
• 新的資訊安全挑戰
• 新的資訊安全挑戰
• 雲端運算之7大安全威脅
• 雲端運算之7大安全威脅
• 濫用或利用雲端運算進行非法行為
• 不安全的使用者介面與APIs
• 惡意的內部人員
• 共享環境所造成的議題
• 資料遺失或外洩
• 帳號或服務被竊取
• 未知的風險模型
• Slide Number 92
• 資安風險
• 風險評估矩陣
• 組織與政策
• 組織與政策
• 組織與政策
• 組織與政策
• 技術
• 技術
• 法律
• 責任是無法外包的
• 雲端運算資安架構
• Slide Number 104
• 雲端運算服務資訊安全評估
• 結語
• 結語
• Slide Number 108
• 結語mdash鑒古知今由電力產業推論資訊產業

74

安全性是企業最主要關注的議題

75

新的資訊安全挑戰

駭客比你更喜愛雲端 雲端運算迫使民眾 把自己資料的控制權交給第三者

76

77

誰是駭客內部

內部 惡意的雲端使用者

想了解系統認證機制 想控制(虛擬)機器

惡意的雲端服務商員工 紀錄客戶使用資料

雲端服務商 讀取未加密資料 偷窺複製虛擬機器 可以監視網絡及應用程式使用模式

78

誰是駭客外部

外部 入侵者 網路攻擊者

可能行為 側聽網絡通信內容 插入惡意內容 窺探雲端架構 進行DoS(阻斷服務攻擊)

79

誰是駭客目的

入侵 網路分析 中間人 雲端架構拓墣

80

危險和漏洞

危險 破壞服務 竊取資訊 喪失隱私 資料毀損

漏洞 惡意程式 駭客攻擊

81

新的資訊安全挑戰

便利與安全的兩難 我們的隱私原則通常是搖擺的人們會出現隱私兩難的局面(紐約時報)

網路的匿名特性是最大的缺點但也是最大的優點 如果匿名的特性不在即使有助於遏止一些惡意活動勢必仍將遭到隱私權提倡者的極力反對 除非有人可以解決隱私權與安全性的兩難問題否則原本的網際網路仍將繼續存在

82

新的資訊安全挑戰

他說「只有惡棍才會擔心網路隱私權」 還說「若對隱私權設限將限制網路成長」 ----施密特(former Google CEO Eric Schmidt )

83

雲端運算之7大安全威脅

雲端安全聯盟(CSA)發表雲端運算之7大威脅(TOP threats to cloud computing)

84

雲端運算之7大安全威脅

濫用或利用雲端運算進行非法的行為(Abuse and Nefarious Use of Cloud Computing)

不安全的使用者介面與APIs (Insecure Interface and APIs) 惡意的內部人員(Malicious Insiders) 共享環境所造成的議題(Shared Technology Issues) 資料遺失或外洩(Data Loss or Leakage) 帳號或服務被竊取(Account or Service Hijacking) 未知的風險模型(Unknown Risk Profile)

85

濫用或利用雲端運算進行非法行為

此一威脅主要是針對雲端運算服務的供應者而言雲端運算服務供應商(尤其是IaaS 與PaaS 供應商) 為了降低使用的門檻通常並不會要求使用者必須經過嚴格的資料審查過程就可以直接使用其所其提供的資源有些服務供應商甚至提供免費使用的功能或試用期這些做法雖然可以有效推廣雲端運算的業務卻也容易成為有心分子利用的管道事實上已經有包含殭屍網路木馬程式下載在內的惡意程式運行於雲端運算的系統內

86

不安全的使用者介面與APIs

使用者透過使用者介面或是APIs與雲端運算服務進行互動因此這些介面與APIs是否安全直接影響到雲端運算服務本身的安全性像是使用者介面的驗證與授權功能是否安全APIs 的相依性與安全性都是必須特別注意的地方此外如果有使用第三方的加值服務這些服務的介面與APIs 的安全性也必須一併加以考量

87

惡意的內部人員

內部人員所造成的問題這幾年來已經成為許多組織關注的重點採用雲端運算將會讓內部人員所產生的問題更形嚴重一個最主要的因素在於使用者無法得知雲端運算服務供應商如何規範與管理內部員工甚至連招聘的條件與流程也屬於非公開的資訊以安全的角度來說rdquo未知rdquo絕對不是一種幸福而是一種芒刺在背的威脅更何況以雲端運算的業務性質而言絕對是有心分子眼中的肥魚所以內部惡意員工的比例應當會比一般組織來的更高

88

共享環境所造成的議題

雖然使用雲端運算的服務(尤其是IaaS) 時使用者好像擁有獨立的環境但是這些環境都是從共享的實體環境中透過虛擬化的技術所產生出來的這些虛擬化的平台能否將不同的使用者進行有效地隔離以避免彼此之間相互干擾其服務的正常運算甚至是避免彼此之間可以存取對方的資源對雲端運算的安全來說是一個嚴格的挑戰

89

資料遺失或外洩

資料遺失與外洩對於一個組織的影響不只在於實際上的金錢損失更在於如企業形象之類的無形損失雲端運算因為其特定的緣故使得資料遺失或外洩的議題面臨更加嚴峻的考驗包含是否擁有足夠的AAA (驗證授權稽核)是否採用適當且足夠的加密技術資料持續性的需求如何安全地刪除資料災難復原甚至是司法管轄的問題都是必須認真加以考量的問題

90

帳號或服務被竊取

儘管帳號或服務被竊取的問題由來已久但是這類問題對於雲端運算來說更具威脅性首先因為雲端運算不像傳統的IT 架構般擁有實體的東西因此一旦帳號或服務被竊取後除非有其他的方式加以證明否則惡意分子可以完全取代原先使用者的身分在傳統的IT 環境中因為使用者至少還擁有硬體的控制權所以即使發生帳號或服務的竊取行為使用者還是可以進行一些事後的補救措施但是這些補救措施在雲端運算的架構下可能無法執行此外對於那些公開的雲端運算服務而言直接暴露於網際網路上也讓這些竊取行為更加容易發生

91

未知的風險模型

以安全的角度來說rdquo未知rdquo是一種芒刺在背的威脅以雲端運算來說不管是IaaSPaaSSaaS 都是將服務包裝成一個使用者不需了解也無法了解的系統讓使用者專注於如何rdquo使用rdquo該系統但是這樣的方便性也讓使用者無法了解這些服務所使用的網路架構安全架構軟體版本等等各式各樣的重要資訊這些資訊對於評估安全狀態是很有幫助的欠缺這些資訊將使得這樣的評估行為無法被有效地進行使用者須依所處的環境決定這些威脅的影響並採取適當的控制措施

92

雲端運算的風險 組織與政策 技術 法律

歐洲網絡與資訊安全部 The European Network and Information Security Agency (ENISA)

93

資安風險

不做風險評估的資安就是威脅及恐嚇 資安風險潛在威脅利用弱點對資產造成影響的可能性

風險 (Risk) = 潛在威脅 (Threats) x 弱點 (Vulnerabilities) x 影響 (Impact)

94

風險評估矩陣

95

組織與政策

喪失管理權限 使用雲端基礎設施客戶端必須將某些關鍵資料的控制權移轉到雲端供應商從而影響安全性同時供應商可能無法提供滿足客戶需求的服務水平協議(SLA)承諾也將形成安全性落差

96

組織與政策

鎖定(lock-in) 目前仍缺乏工具程序標準資料格式或服務介面以確保資料應用系統及服務的可攜性使用者將無法轉換雲端服務供應商甚至無法回到原來企業內部使用的系統環境這將導致過於依賴特定廠商的服務你願意承擔這種風險嗎

97

組織與政策

適用性風險(法規或標準) 轉移到雲端後認證公司可能面臨以下風險 1如果雲端服務供應商不能提供證據證明自己遵守有關規定

2如果雲端服務供應商不允許客戶對其稽核 這意味著使用公有雲的服務將可能無法達到某些法規或標準的要求

98

組織與政策

惡意的內部人員 雖然平時不太可能但由惡意的內部人員造成的損害可能往往更大雲端架構某些必要角色將有極高風險如系統管理員和託管安全服務提供商

99

技術

資源獨立性問題(ISOLATION FAILURE)

多租戶和共享資源是雲端的特點但也相對隱含一些風險包括無效的獨立儲存記憶體路由機制甚至共用資源的租戶聲譽（例如跳板攻擊）當然攻擊資源隔離機制仍比攻擊傳統系統少很多但一旦發生問題影響將更大

100

技術

不安全或不完整的資料刪除 雲端的儲存架構將使資料更難以刪除也許副本資料仍存在其他磁碟多用戶共享磁碟的結果如未完整刪除資料沒人知道是否有被復原的風險(陳姓藝人送修筆電引發的風暴)

101

法律

資料保護 雲端運算同時對使用者及供應商帶來資料保護的風險在某些情況下使用者可能難以確認供應商對資料處理方式是否合法特別是在不同雲端之間傳送資料供應商是否提供相關資訊及證明將是選擇供應商的重要參考

102

責任是無法外包的

考慮採用雲端服務時應先與使用用傳統服務的風險互相比較並非所有風險都可轉移到雲端服務商假如因為風險而導致服務中斷損害商譽恐怕沒人可以為你承擔損害切記工作可以外包責任(可歸責性accountability)是無法外包的

103

雲端運算資安架構

104

雲端運算服務資訊安全評估

105

雲端運算服務資訊安全評估 選定採用雲端服務的種類 確認相關資料與應用程式的重要性 進行整體風險分析 尋找合適業者 定期追蹤考核

106

結語

從分散獨立的資訊服務系統轉移到雲端的架構確實可以獲得許多好處例如降低成本更有彈性有效率的使用IT資源等等但是雲端的隱私及安全也不容忽視不確定性會讓使用者對風險及隱私有所質疑藉由市場競爭可以建立一個更加安全雲端

雖然一些不確定性威脅總是存在於網絡世界但透過明確的法規和大家的合作未來還是可以享用雲端的優點

107

結語

就像人們因為信任而將收入存款存放在金融銀行單位的道理一樣即使雲端運算的觀念逐漸被企業所接受採用的關鍵仍在於「信任」尤其伺服器與儲存設備雲端化的效益在於硬體資源的彈性運用其較為「可見」然而做為連結服務的關鍵網路以及攸關資訊與系統風險的安全需求所帶出的雲端服務存取速度與可靠性議題則是企業應用當中更為重要且更需建立的觀念

108

109

結語mdash鑒古知今由電力產業推論資訊產業

19世紀的電力產業 工廠自備電力 大電廠出現並提供電力網後工廠也擔心輸電線的可靠性是否有必要冒風險放棄自己發電

現在的資訊產業 企業自備電腦資源(運算能力儲存空間) 雲端服務公司出現企業擔心顧客資料機密資料放在雲端有風險是否有必要冒風險放棄IT部門

What do you think

• 漫步在雲端 資安新戰場
• 大綱
• 雲端的代價--近期資訊安全重大案例
• 近期資訊安全重大案例(續)
• 近期資訊安全重大案例(續)
• 新裸奔年代mdash商周128期封面故事
• 免費的個資隱私
• 你可能已經被拍賣了
• 4c812db2922729⋯⋯
• 貝蒂的故事
• Slide Number 11
• 個資的拍賣價
• iPhoneAndroid手機
• 貝蒂的故事
• 貝蒂的故事
• 網路隱私權販賣流程
• 網路隱私「被賣」爭議越演越烈
• 雲端運算的迷思--簡介與應用
• 雲端運算定義
• Slide Number 20
• Slide Number 21
• 雲端運算的特性
• 雲端運算的特性
• 雲端運算的特性
• 雲端運算的特性
• 雲端運算的特性
• 雲端服務的SPI架構
• 雲端運算的本質之一 Infrastructure as a Services
• 範例 虛擬桌面架構應用
• 雲端運算的本質之二 Platform as a Services
• 雲端運算的本質之三 Software as a Services
• 雲端運算的需求 機動的增減資源的使用與自動化
• Slide Number 33
• Slide Number 34
• 全世界都在談
• 微軟
• 蘋果
• 賈伯斯為何願花14年上雲端
• 兩億用戶的工作吃喝玩樂蘋果都要賺
• iCloud推出後的受益受害者
• 雲端運算的各式應用
• Slide Number 42
• 雲端 VS資安
• Slide Number 44
• 從資安看雲端CISSP認證資訊系統安全專家的觀點
• Slide Number 46
• Intel最在意的資安議題
• 雲端運算的迷思
• 資料的安全性與隱私性
• 雲端運算安全的迷思-1
• 雲端運算安全的迷思-2
• 雲端運算安全的迷思-3
• 雲端運算安全的迷思-4
• 雲端運算安全的迷思-5
• 雲端資安-從個資法探討
• 個人資料
• 個人資料生命週期管理
• 個人資料保護生命週期（草案）
• 法規面及個資生命週期保護需求
• Slide Number 60
• Slide Number 61
• 個資法之新舊比較
• Slide Number 63
• Slide Number 64
• Slide Number 65
• Slide Number 66
• Slide Number 67
• Slide Number 68
• 為何雲端安全重要
• Slide Number 70
• Slide Number 71
• 新的資訊安全挑戰
• 新的資訊安全挑戰
• 安全性是企業最主要關注的議題
• 新的資訊安全挑戰
• Slide Number 76
• 誰是駭客內部
• 誰是駭客外部
• 誰是駭客目的
• 危險和漏洞
• 新的資訊安全挑戰
• 新的資訊安全挑戰
• 雲端運算之7大安全威脅
• 雲端運算之7大安全威脅
• 濫用或利用雲端運算進行非法行為
• 不安全的使用者介面與APIs
• 惡意的內部人員
• 共享環境所造成的議題
• 資料遺失或外洩
• 帳號或服務被竊取
• 未知的風險模型
• Slide Number 92
• 資安風險
• 風險評估矩陣
• 組織與政策
• 組織與政策
• 組織與政策
• 組織與政策
• 技術
• 技術
• 法律
• 責任是無法外包的
• 雲端運算資安架構
• Slide Number 104
• 雲端運算服務資訊安全評估
• 結語
• 結語
• Slide Number 108
• 結語mdash鑒古知今由電力產業推論資訊產業

75

新的資訊安全挑戰

駭客比你更喜愛雲端 雲端運算迫使民眾 把自己資料的控制權交給第三者

76

77

誰是駭客內部

內部 惡意的雲端使用者

想了解系統認證機制 想控制(虛擬)機器

惡意的雲端服務商員工 紀錄客戶使用資料

雲端服務商 讀取未加密資料 偷窺複製虛擬機器 可以監視網絡及應用程式使用模式

78

誰是駭客外部

外部 入侵者 網路攻擊者

可能行為 側聽網絡通信內容 插入惡意內容 窺探雲端架構 進行DoS(阻斷服務攻擊)

79

誰是駭客目的

入侵 網路分析 中間人 雲端架構拓墣

80

危險和漏洞

危險 破壞服務 竊取資訊 喪失隱私 資料毀損

漏洞 惡意程式 駭客攻擊

81

新的資訊安全挑戰

便利與安全的兩難 我們的隱私原則通常是搖擺的人們會出現隱私兩難的局面(紐約時報)

網路的匿名特性是最大的缺點但也是最大的優點 如果匿名的特性不在即使有助於遏止一些惡意活動勢必仍將遭到隱私權提倡者的極力反對 除非有人可以解決隱私權與安全性的兩難問題否則原本的網際網路仍將繼續存在

82

新的資訊安全挑戰

他說「只有惡棍才會擔心網路隱私權」 還說「若對隱私權設限將限制網路成長」 ----施密特(former Google CEO Eric Schmidt )

83

雲端運算之7大安全威脅

雲端安全聯盟(CSA)發表雲端運算之7大威脅(TOP threats to cloud computing)

84

雲端運算之7大安全威脅

濫用或利用雲端運算進行非法的行為(Abuse and Nefarious Use of Cloud Computing)

不安全的使用者介面與APIs (Insecure Interface and APIs) 惡意的內部人員(Malicious Insiders) 共享環境所造成的議題(Shared Technology Issues) 資料遺失或外洩(Data Loss or Leakage) 帳號或服務被竊取(Account or Service Hijacking) 未知的風險模型(Unknown Risk Profile)

85

濫用或利用雲端運算進行非法行為

此一威脅主要是針對雲端運算服務的供應者而言雲端運算服務供應商(尤其是IaaS 與PaaS 供應商) 為了降低使用的門檻通常並不會要求使用者必須經過嚴格的資料審查過程就可以直接使用其所其提供的資源有些服務供應商甚至提供免費使用的功能或試用期這些做法雖然可以有效推廣雲端運算的業務卻也容易成為有心分子利用的管道事實上已經有包含殭屍網路木馬程式下載在內的惡意程式運行於雲端運算的系統內

86

不安全的使用者介面與APIs

使用者透過使用者介面或是APIs與雲端運算服務進行互動因此這些介面與APIs是否安全直接影響到雲端運算服務本身的安全性像是使用者介面的驗證與授權功能是否安全APIs 的相依性與安全性都是必須特別注意的地方此外如果有使用第三方的加值服務這些服務的介面與APIs 的安全性也必須一併加以考量

87

惡意的內部人員

內部人員所造成的問題這幾年來已經成為許多組織關注的重點採用雲端運算將會讓內部人員所產生的問題更形嚴重一個最主要的因素在於使用者無法得知雲端運算服務供應商如何規範與管理內部員工甚至連招聘的條件與流程也屬於非公開的資訊以安全的角度來說rdquo未知rdquo絕對不是一種幸福而是一種芒刺在背的威脅更何況以雲端運算的業務性質而言絕對是有心分子眼中的肥魚所以內部惡意員工的比例應當會比一般組織來的更高

88

共享環境所造成的議題

雖然使用雲端運算的服務(尤其是IaaS) 時使用者好像擁有獨立的環境但是這些環境都是從共享的實體環境中透過虛擬化的技術所產生出來的這些虛擬化的平台能否將不同的使用者進行有效地隔離以避免彼此之間相互干擾其服務的正常運算甚至是避免彼此之間可以存取對方的資源對雲端運算的安全來說是一個嚴格的挑戰

89

資料遺失或外洩

資料遺失與外洩對於一個組織的影響不只在於實際上的金錢損失更在於如企業形象之類的無形損失雲端運算因為其特定的緣故使得資料遺失或外洩的議題面臨更加嚴峻的考驗包含是否擁有足夠的AAA (驗證授權稽核)是否採用適當且足夠的加密技術資料持續性的需求如何安全地刪除資料災難復原甚至是司法管轄的問題都是必須認真加以考量的問題

90

帳號或服務被竊取

儘管帳號或服務被竊取的問題由來已久但是這類問題對於雲端運算來說更具威脅性首先因為雲端運算不像傳統的IT 架構般擁有實體的東西因此一旦帳號或服務被竊取後除非有其他的方式加以證明否則惡意分子可以完全取代原先使用者的身分在傳統的IT 環境中因為使用者至少還擁有硬體的控制權所以即使發生帳號或服務的竊取行為使用者還是可以進行一些事後的補救措施但是這些補救措施在雲端運算的架構下可能無法執行此外對於那些公開的雲端運算服務而言直接暴露於網際網路上也讓這些竊取行為更加容易發生

91

未知的風險模型

以安全的角度來說rdquo未知rdquo是一種芒刺在背的威脅以雲端運算來說不管是IaaSPaaSSaaS 都是將服務包裝成一個使用者不需了解也無法了解的系統讓使用者專注於如何rdquo使用rdquo該系統但是這樣的方便性也讓使用者無法了解這些服務所使用的網路架構安全架構軟體版本等等各式各樣的重要資訊這些資訊對於評估安全狀態是很有幫助的欠缺這些資訊將使得這樣的評估行為無法被有效地進行使用者須依所處的環境決定這些威脅的影響並採取適當的控制措施

92

雲端運算的風險 組織與政策 技術 法律

歐洲網絡與資訊安全部 The European Network and Information Security Agency (ENISA)

93

資安風險

不做風險評估的資安就是威脅及恐嚇 資安風險潛在威脅利用弱點對資產造成影響的可能性

風險 (Risk) = 潛在威脅 (Threats) x 弱點 (Vulnerabilities) x 影響 (Impact)

94

風險評估矩陣

95

組織與政策

喪失管理權限 使用雲端基礎設施客戶端必須將某些關鍵資料的控制權移轉到雲端供應商從而影響安全性同時供應商可能無法提供滿足客戶需求的服務水平協議(SLA)承諾也將形成安全性落差

96

組織與政策

鎖定(lock-in) 目前仍缺乏工具程序標準資料格式或服務介面以確保資料應用系統及服務的可攜性使用者將無法轉換雲端服務供應商甚至無法回到原來企業內部使用的系統環境這將導致過於依賴特定廠商的服務你願意承擔這種風險嗎

97

組織與政策

適用性風險(法規或標準) 轉移到雲端後認證公司可能面臨以下風險 1如果雲端服務供應商不能提供證據證明自己遵守有關規定

2如果雲端服務供應商不允許客戶對其稽核 這意味著使用公有雲的服務將可能無法達到某些法規或標準的要求

98

組織與政策

惡意的內部人員 雖然平時不太可能但由惡意的內部人員造成的損害可能往往更大雲端架構某些必要角色將有極高風險如系統管理員和託管安全服務提供商

99

技術

資源獨立性問題(ISOLATION FAILURE)

多租戶和共享資源是雲端的特點但也相對隱含一些風險包括無效的獨立儲存記憶體路由機制甚至共用資源的租戶聲譽（例如跳板攻擊）當然攻擊資源隔離機制仍比攻擊傳統系統少很多但一旦發生問題影響將更大

100

技術

不安全或不完整的資料刪除 雲端的儲存架構將使資料更難以刪除也許副本資料仍存在其他磁碟多用戶共享磁碟的結果如未完整刪除資料沒人知道是否有被復原的風險(陳姓藝人送修筆電引發的風暴)

101

法律

資料保護 雲端運算同時對使用者及供應商帶來資料保護的風險在某些情況下使用者可能難以確認供應商對資料處理方式是否合法特別是在不同雲端之間傳送資料供應商是否提供相關資訊及證明將是選擇供應商的重要參考

102

責任是無法外包的

考慮採用雲端服務時應先與使用用傳統服務的風險互相比較並非所有風險都可轉移到雲端服務商假如因為風險而導致服務中斷損害商譽恐怕沒人可以為你承擔損害切記工作可以外包責任(可歸責性accountability)是無法外包的

103

雲端運算資安架構

104

雲端運算服務資訊安全評估

105

雲端運算服務資訊安全評估 選定採用雲端服務的種類 確認相關資料與應用程式的重要性 進行整體風險分析 尋找合適業者 定期追蹤考核

106

結語

從分散獨立的資訊服務系統轉移到雲端的架構確實可以獲得許多好處例如降低成本更有彈性有效率的使用IT資源等等但是雲端的隱私及安全也不容忽視不確定性會讓使用者對風險及隱私有所質疑藉由市場競爭可以建立一個更加安全雲端

雖然一些不確定性威脅總是存在於網絡世界但透過明確的法規和大家的合作未來還是可以享用雲端的優點

107

結語

就像人們因為信任而將收入存款存放在金融銀行單位的道理一樣即使雲端運算的觀念逐漸被企業所接受採用的關鍵仍在於「信任」尤其伺服器與儲存設備雲端化的效益在於硬體資源的彈性運用其較為「可見」然而做為連結服務的關鍵網路以及攸關資訊與系統風險的安全需求所帶出的雲端服務存取速度與可靠性議題則是企業應用當中更為重要且更需建立的觀念

108

109

結語mdash鑒古知今由電力產業推論資訊產業

19世紀的電力產業 工廠自備電力 大電廠出現並提供電力網後工廠也擔心輸電線的可靠性是否有必要冒風險放棄自己發電

現在的資訊產業 企業自備電腦資源(運算能力儲存空間) 雲端服務公司出現企業擔心顧客資料機密資料放在雲端有風險是否有必要冒風險放棄IT部門

What do you think

• 漫步在雲端 資安新戰場
• 大綱
• 雲端的代價--近期資訊安全重大案例
• 近期資訊安全重大案例(續)
• 近期資訊安全重大案例(續)
• 新裸奔年代mdash商周128期封面故事
• 免費的個資隱私
• 你可能已經被拍賣了
• 4c812db2922729⋯⋯
• 貝蒂的故事
• Slide Number 11
• 個資的拍賣價
• iPhoneAndroid手機
• 貝蒂的故事
• 貝蒂的故事
• 網路隱私權販賣流程
• 網路隱私「被賣」爭議越演越烈
• 雲端運算的迷思--簡介與應用
• 雲端運算定義
• Slide Number 20
• Slide Number 21
• 雲端運算的特性
• 雲端運算的特性
• 雲端運算的特性
• 雲端運算的特性
• 雲端運算的特性
• 雲端服務的SPI架構
• 雲端運算的本質之一 Infrastructure as a Services
• 範例 虛擬桌面架構應用
• 雲端運算的本質之二 Platform as a Services
• 雲端運算的本質之三 Software as a Services
• 雲端運算的需求 機動的增減資源的使用與自動化
• Slide Number 33
• Slide Number 34
• 全世界都在談
• 微軟
• 蘋果
• 賈伯斯為何願花14年上雲端
• 兩億用戶的工作吃喝玩樂蘋果都要賺
• iCloud推出後的受益受害者
• 雲端運算的各式應用
• Slide Number 42
• 雲端 VS資安
• Slide Number 44
• 從資安看雲端CISSP認證資訊系統安全專家的觀點
• Slide Number 46
• Intel最在意的資安議題
• 雲端運算的迷思
• 資料的安全性與隱私性
• 雲端運算安全的迷思-1
• 雲端運算安全的迷思-2
• 雲端運算安全的迷思-3
• 雲端運算安全的迷思-4
• 雲端運算安全的迷思-5
• 雲端資安-從個資法探討
• 個人資料
• 個人資料生命週期管理
• 個人資料保護生命週期（草案）
• 法規面及個資生命週期保護需求
• Slide Number 60
• Slide Number 61
• 個資法之新舊比較
• Slide Number 63
• Slide Number 64
• Slide Number 65
• Slide Number 66
• Slide Number 67
• Slide Number 68
• 為何雲端安全重要
• Slide Number 70
• Slide Number 71
• 新的資訊安全挑戰
• 新的資訊安全挑戰
• 安全性是企業最主要關注的議題
• 新的資訊安全挑戰
• Slide Number 76
• 誰是駭客內部
• 誰是駭客外部
• 誰是駭客目的
• 危險和漏洞
• 新的資訊安全挑戰
• 新的資訊安全挑戰
• 雲端運算之7大安全威脅
• 雲端運算之7大安全威脅
• 濫用或利用雲端運算進行非法行為
• 不安全的使用者介面與APIs
• 惡意的內部人員
• 共享環境所造成的議題
• 資料遺失或外洩
• 帳號或服務被竊取
• 未知的風險模型
• Slide Number 92
• 資安風險
• 風險評估矩陣
• 組織與政策
• 組織與政策
• 組織與政策
• 組織與政策
• 技術
• 技術
• 法律
• 責任是無法外包的
• 雲端運算資安架構
• Slide Number 104
• 雲端運算服務資訊安全評估
• 結語
• 結語
• Slide Number 108
• 結語mdash鑒古知今由電力產業推論資訊產業

76

77

誰是駭客內部

內部 惡意的雲端使用者

想了解系統認證機制 想控制(虛擬)機器

惡意的雲端服務商員工 紀錄客戶使用資料

雲端服務商 讀取未加密資料 偷窺複製虛擬機器 可以監視網絡及應用程式使用模式

78

誰是駭客外部

外部 入侵者 網路攻擊者

可能行為 側聽網絡通信內容 插入惡意內容 窺探雲端架構 進行DoS(阻斷服務攻擊)

79

誰是駭客目的

入侵 網路分析 中間人 雲端架構拓墣

80

危險和漏洞

危險 破壞服務 竊取資訊 喪失隱私 資料毀損

漏洞 惡意程式 駭客攻擊

81

新的資訊安全挑戰

便利與安全的兩難 我們的隱私原則通常是搖擺的人們會出現隱私兩難的局面(紐約時報)

網路的匿名特性是最大的缺點但也是最大的優點 如果匿名的特性不在即使有助於遏止一些惡意活動勢必仍將遭到隱私權提倡者的極力反對 除非有人可以解決隱私權與安全性的兩難問題否則原本的網際網路仍將繼續存在

82

新的資訊安全挑戰

他說「只有惡棍才會擔心網路隱私權」 還說「若對隱私權設限將限制網路成長」 ----施密特(former Google CEO Eric Schmidt )

83

雲端運算之7大安全威脅

雲端安全聯盟(CSA)發表雲端運算之7大威脅(TOP threats to cloud computing)

84

雲端運算之7大安全威脅

濫用或利用雲端運算進行非法的行為(Abuse and Nefarious Use of Cloud Computing)

不安全的使用者介面與APIs (Insecure Interface and APIs) 惡意的內部人員(Malicious Insiders) 共享環境所造成的議題(Shared Technology Issues) 資料遺失或外洩(Data Loss or Leakage) 帳號或服務被竊取(Account or Service Hijacking) 未知的風險模型(Unknown Risk Profile)

85

濫用或利用雲端運算進行非法行為

此一威脅主要是針對雲端運算服務的供應者而言雲端運算服務供應商(尤其是IaaS 與PaaS 供應商) 為了降低使用的門檻通常並不會要求使用者必須經過嚴格的資料審查過程就可以直接使用其所其提供的資源有些服務供應商甚至提供免費使用的功能或試用期這些做法雖然可以有效推廣雲端運算的業務卻也容易成為有心分子利用的管道事實上已經有包含殭屍網路木馬程式下載在內的惡意程式運行於雲端運算的系統內

86

不安全的使用者介面與APIs

使用者透過使用者介面或是APIs與雲端運算服務進行互動因此這些介面與APIs是否安全直接影響到雲端運算服務本身的安全性像是使用者介面的驗證與授權功能是否安全APIs 的相依性與安全性都是必須特別注意的地方此外如果有使用第三方的加值服務這些服務的介面與APIs 的安全性也必須一併加以考量

87

惡意的內部人員

內部人員所造成的問題這幾年來已經成為許多組織關注的重點採用雲端運算將會讓內部人員所產生的問題更形嚴重一個最主要的因素在於使用者無法得知雲端運算服務供應商如何規範與管理內部員工甚至連招聘的條件與流程也屬於非公開的資訊以安全的角度來說rdquo未知rdquo絕對不是一種幸福而是一種芒刺在背的威脅更何況以雲端運算的業務性質而言絕對是有心分子眼中的肥魚所以內部惡意員工的比例應當會比一般組織來的更高

88

共享環境所造成的議題

雖然使用雲端運算的服務(尤其是IaaS) 時使用者好像擁有獨立的環境但是這些環境都是從共享的實體環境中透過虛擬化的技術所產生出來的這些虛擬化的平台能否將不同的使用者進行有效地隔離以避免彼此之間相互干擾其服務的正常運算甚至是避免彼此之間可以存取對方的資源對雲端運算的安全來說是一個嚴格的挑戰

89

資料遺失或外洩

資料遺失與外洩對於一個組織的影響不只在於實際上的金錢損失更在於如企業形象之類的無形損失雲端運算因為其特定的緣故使得資料遺失或外洩的議題面臨更加嚴峻的考驗包含是否擁有足夠的AAA (驗證授權稽核)是否採用適當且足夠的加密技術資料持續性的需求如何安全地刪除資料災難復原甚至是司法管轄的問題都是必須認真加以考量的問題

90

帳號或服務被竊取

儘管帳號或服務被竊取的問題由來已久但是這類問題對於雲端運算來說更具威脅性首先因為雲端運算不像傳統的IT 架構般擁有實體的東西因此一旦帳號或服務被竊取後除非有其他的方式加以證明否則惡意分子可以完全取代原先使用者的身分在傳統的IT 環境中因為使用者至少還擁有硬體的控制權所以即使發生帳號或服務的竊取行為使用者還是可以進行一些事後的補救措施但是這些補救措施在雲端運算的架構下可能無法執行此外對於那些公開的雲端運算服務而言直接暴露於網際網路上也讓這些竊取行為更加容易發生

91

未知的風險模型

以安全的角度來說rdquo未知rdquo是一種芒刺在背的威脅以雲端運算來說不管是IaaSPaaSSaaS 都是將服務包裝成一個使用者不需了解也無法了解的系統讓使用者專注於如何rdquo使用rdquo該系統但是這樣的方便性也讓使用者無法了解這些服務所使用的網路架構安全架構軟體版本等等各式各樣的重要資訊這些資訊對於評估安全狀態是很有幫助的欠缺這些資訊將使得這樣的評估行為無法被有效地進行使用者須依所處的環境決定這些威脅的影響並採取適當的控制措施

92

雲端運算的風險 組織與政策 技術 法律

歐洲網絡與資訊安全部 The European Network and Information Security Agency (ENISA)

93

資安風險

不做風險評估的資安就是威脅及恐嚇 資安風險潛在威脅利用弱點對資產造成影響的可能性

風險 (Risk) = 潛在威脅 (Threats) x 弱點 (Vulnerabilities) x 影響 (Impact)

94

風險評估矩陣

95

組織與政策

喪失管理權限 使用雲端基礎設施客戶端必須將某些關鍵資料的控制權移轉到雲端供應商從而影響安全性同時供應商可能無法提供滿足客戶需求的服務水平協議(SLA)承諾也將形成安全性落差

96

組織與政策

鎖定(lock-in) 目前仍缺乏工具程序標準資料格式或服務介面以確保資料應用系統及服務的可攜性使用者將無法轉換雲端服務供應商甚至無法回到原來企業內部使用的系統環境這將導致過於依賴特定廠商的服務你願意承擔這種風險嗎

97

組織與政策

適用性風險(法規或標準) 轉移到雲端後認證公司可能面臨以下風險 1如果雲端服務供應商不能提供證據證明自己遵守有關規定

2如果雲端服務供應商不允許客戶對其稽核 這意味著使用公有雲的服務將可能無法達到某些法規或標準的要求

98

組織與政策

惡意的內部人員 雖然平時不太可能但由惡意的內部人員造成的損害可能往往更大雲端架構某些必要角色將有極高風險如系統管理員和託管安全服務提供商

99

技術

資源獨立性問題(ISOLATION FAILURE)

多租戶和共享資源是雲端的特點但也相對隱含一些風險包括無效的獨立儲存記憶體路由機制甚至共用資源的租戶聲譽（例如跳板攻擊）當然攻擊資源隔離機制仍比攻擊傳統系統少很多但一旦發生問題影響將更大

100

技術

不安全或不完整的資料刪除 雲端的儲存架構將使資料更難以刪除也許副本資料仍存在其他磁碟多用戶共享磁碟的結果如未完整刪除資料沒人知道是否有被復原的風險(陳姓藝人送修筆電引發的風暴)

101

法律

資料保護 雲端運算同時對使用者及供應商帶來資料保護的風險在某些情況下使用者可能難以確認供應商對資料處理方式是否合法特別是在不同雲端之間傳送資料供應商是否提供相關資訊及證明將是選擇供應商的重要參考

102

責任是無法外包的

考慮採用雲端服務時應先與使用用傳統服務的風險互相比較並非所有風險都可轉移到雲端服務商假如因為風險而導致服務中斷損害商譽恐怕沒人可以為你承擔損害切記工作可以外包責任(可歸責性accountability)是無法外包的

103

雲端運算資安架構

104

雲端運算服務資訊安全評估

105

雲端運算服務資訊安全評估 選定採用雲端服務的種類 確認相關資料與應用程式的重要性 進行整體風險分析 尋找合適業者 定期追蹤考核

106

結語

從分散獨立的資訊服務系統轉移到雲端的架構確實可以獲得許多好處例如降低成本更有彈性有效率的使用IT資源等等但是雲端的隱私及安全也不容忽視不確定性會讓使用者對風險及隱私有所質疑藉由市場競爭可以建立一個更加安全雲端

雖然一些不確定性威脅總是存在於網絡世界但透過明確的法規和大家的合作未來還是可以享用雲端的優點

107

結語

就像人們因為信任而將收入存款存放在金融銀行單位的道理一樣即使雲端運算的觀念逐漸被企業所接受採用的關鍵仍在於「信任」尤其伺服器與儲存設備雲端化的效益在於硬體資源的彈性運用其較為「可見」然而做為連結服務的關鍵網路以及攸關資訊與系統風險的安全需求所帶出的雲端服務存取速度與可靠性議題則是企業應用當中更為重要且更需建立的觀念

108

109

結語mdash鑒古知今由電力產業推論資訊產業

19世紀的電力產業 工廠自備電力 大電廠出現並提供電力網後工廠也擔心輸電線的可靠性是否有必要冒風險放棄自己發電

現在的資訊產業 企業自備電腦資源(運算能力儲存空間) 雲端服務公司出現企業擔心顧客資料機密資料放在雲端有風險是否有必要冒風險放棄IT部門

What do you think

• 漫步在雲端 資安新戰場
• 大綱
• 雲端的代價--近期資訊安全重大案例
• 近期資訊安全重大案例(續)
• 近期資訊安全重大案例(續)
• 新裸奔年代mdash商周128期封面故事
• 免費的個資隱私
• 你可能已經被拍賣了
• 4c812db2922729⋯⋯
• 貝蒂的故事
• Slide Number 11
• 個資的拍賣價
• iPhoneAndroid手機
• 貝蒂的故事
• 貝蒂的故事
• 網路隱私權販賣流程
• 網路隱私「被賣」爭議越演越烈
• 雲端運算的迷思--簡介與應用
• 雲端運算定義
• Slide Number 20
• Slide Number 21
• 雲端運算的特性
• 雲端運算的特性
• 雲端運算的特性
• 雲端運算的特性
• 雲端運算的特性
• 雲端服務的SPI架構
• 雲端運算的本質之一 Infrastructure as a Services
• 範例 虛擬桌面架構應用
• 雲端運算的本質之二 Platform as a Services
• 雲端運算的本質之三 Software as a Services
• 雲端運算的需求 機動的增減資源的使用與自動化
• Slide Number 33
• Slide Number 34
• 全世界都在談
• 微軟
• 蘋果
• 賈伯斯為何願花14年上雲端
• 兩億用戶的工作吃喝玩樂蘋果都要賺
• iCloud推出後的受益受害者
• 雲端運算的各式應用
• Slide Number 42
• 雲端 VS資安
• Slide Number 44
• 從資安看雲端CISSP認證資訊系統安全專家的觀點
• Slide Number 46
• Intel最在意的資安議題
• 雲端運算的迷思
• 資料的安全性與隱私性
• 雲端運算安全的迷思-1
• 雲端運算安全的迷思-2
• 雲端運算安全的迷思-3
• 雲端運算安全的迷思-4
• 雲端運算安全的迷思-5
• 雲端資安-從個資法探討
• 個人資料
• 個人資料生命週期管理
• 個人資料保護生命週期（草案）
• 法規面及個資生命週期保護需求
• Slide Number 60
• Slide Number 61
• 個資法之新舊比較
• Slide Number 63
• Slide Number 64
• Slide Number 65
• Slide Number 66
• Slide Number 67
• Slide Number 68
• 為何雲端安全重要
• Slide Number 70
• Slide Number 71
• 新的資訊安全挑戰
• 新的資訊安全挑戰
• 安全性是企業最主要關注的議題
• 新的資訊安全挑戰
• Slide Number 76
• 誰是駭客內部
• 誰是駭客外部
• 誰是駭客目的
• 危險和漏洞
• 新的資訊安全挑戰
• 新的資訊安全挑戰
• 雲端運算之7大安全威脅
• 雲端運算之7大安全威脅
• 濫用或利用雲端運算進行非法行為
• 不安全的使用者介面與APIs
• 惡意的內部人員
• 共享環境所造成的議題
• 資料遺失或外洩
• 帳號或服務被竊取
• 未知的風險模型
• Slide Number 92
• 資安風險
• 風險評估矩陣
• 組織與政策
• 組織與政策
• 組織與政策
• 組織與政策
• 技術
• 技術
• 法律
• 責任是無法外包的
• 雲端運算資安架構
• Slide Number 104
• 雲端運算服務資訊安全評估
• 結語
• 結語
• Slide Number 108
• 結語mdash鑒古知今由電力產業推論資訊產業

77

誰是駭客內部

內部 惡意的雲端使用者

想了解系統認證機制 想控制(虛擬)機器

惡意的雲端服務商員工 紀錄客戶使用資料

雲端服務商 讀取未加密資料 偷窺複製虛擬機器 可以監視網絡及應用程式使用模式

78

誰是駭客外部

外部 入侵者 網路攻擊者

可能行為 側聽網絡通信內容 插入惡意內容 窺探雲端架構 進行DoS(阻斷服務攻擊)

79

誰是駭客目的

入侵 網路分析 中間人 雲端架構拓墣

80

危險和漏洞

危險 破壞服務 竊取資訊 喪失隱私 資料毀損

漏洞 惡意程式 駭客攻擊

81

新的資訊安全挑戰

便利與安全的兩難 我們的隱私原則通常是搖擺的人們會出現隱私兩難的局面(紐約時報)

網路的匿名特性是最大的缺點但也是最大的優點 如果匿名的特性不在即使有助於遏止一些惡意活動勢必仍將遭到隱私權提倡者的極力反對 除非有人可以解決隱私權與安全性的兩難問題否則原本的網際網路仍將繼續存在

82

新的資訊安全挑戰

他說「只有惡棍才會擔心網路隱私權」 還說「若對隱私權設限將限制網路成長」 ----施密特(former Google CEO Eric Schmidt )

83

雲端運算之7大安全威脅

雲端安全聯盟(CSA)發表雲端運算之7大威脅(TOP threats to cloud computing)

84

雲端運算之7大安全威脅

濫用或利用雲端運算進行非法的行為(Abuse and Nefarious Use of Cloud Computing)

不安全的使用者介面與APIs (Insecure Interface and APIs) 惡意的內部人員(Malicious Insiders) 共享環境所造成的議題(Shared Technology Issues) 資料遺失或外洩(Data Loss or Leakage) 帳號或服務被竊取(Account or Service Hijacking) 未知的風險模型(Unknown Risk Profile)

85

濫用或利用雲端運算進行非法行為

此一威脅主要是針對雲端運算服務的供應者而言雲端運算服務供應商(尤其是IaaS 與PaaS 供應商) 為了降低使用的門檻通常並不會要求使用者必須經過嚴格的資料審查過程就可以直接使用其所其提供的資源有些服務供應商甚至提供免費使用的功能或試用期這些做法雖然可以有效推廣雲端運算的業務卻也容易成為有心分子利用的管道事實上已經有包含殭屍網路木馬程式下載在內的惡意程式運行於雲端運算的系統內

86

不安全的使用者介面與APIs

使用者透過使用者介面或是APIs與雲端運算服務進行互動因此這些介面與APIs是否安全直接影響到雲端運算服務本身的安全性像是使用者介面的驗證與授權功能是否安全APIs 的相依性與安全性都是必須特別注意的地方此外如果有使用第三方的加值服務這些服務的介面與APIs 的安全性也必須一併加以考量

87

惡意的內部人員

內部人員所造成的問題這幾年來已經成為許多組織關注的重點採用雲端運算將會讓內部人員所產生的問題更形嚴重一個最主要的因素在於使用者無法得知雲端運算服務供應商如何規範與管理內部員工甚至連招聘的條件與流程也屬於非公開的資訊以安全的角度來說rdquo未知rdquo絕對不是一種幸福而是一種芒刺在背的威脅更何況以雲端運算的業務性質而言絕對是有心分子眼中的肥魚所以內部惡意員工的比例應當會比一般組織來的更高

88

共享環境所造成的議題

雖然使用雲端運算的服務(尤其是IaaS) 時使用者好像擁有獨立的環境但是這些環境都是從共享的實體環境中透過虛擬化的技術所產生出來的這些虛擬化的平台能否將不同的使用者進行有效地隔離以避免彼此之間相互干擾其服務的正常運算甚至是避免彼此之間可以存取對方的資源對雲端運算的安全來說是一個嚴格的挑戰

89

資料遺失或外洩

資料遺失與外洩對於一個組織的影響不只在於實際上的金錢損失更在於如企業形象之類的無形損失雲端運算因為其特定的緣故使得資料遺失或外洩的議題面臨更加嚴峻的考驗包含是否擁有足夠的AAA (驗證授權稽核)是否採用適當且足夠的加密技術資料持續性的需求如何安全地刪除資料災難復原甚至是司法管轄的問題都是必須認真加以考量的問題

90

帳號或服務被竊取

儘管帳號或服務被竊取的問題由來已久但是這類問題對於雲端運算來說更具威脅性首先因為雲端運算不像傳統的IT 架構般擁有實體的東西因此一旦帳號或服務被竊取後除非有其他的方式加以證明否則惡意分子可以完全取代原先使用者的身分在傳統的IT 環境中因為使用者至少還擁有硬體的控制權所以即使發生帳號或服務的竊取行為使用者還是可以進行一些事後的補救措施但是這些補救措施在雲端運算的架構下可能無法執行此外對於那些公開的雲端運算服務而言直接暴露於網際網路上也讓這些竊取行為更加容易發生

91

未知的風險模型

以安全的角度來說rdquo未知rdquo是一種芒刺在背的威脅以雲端運算來說不管是IaaSPaaSSaaS 都是將服務包裝成一個使用者不需了解也無法了解的系統讓使用者專注於如何rdquo使用rdquo該系統但是這樣的方便性也讓使用者無法了解這些服務所使用的網路架構安全架構軟體版本等等各式各樣的重要資訊這些資訊對於評估安全狀態是很有幫助的欠缺這些資訊將使得這樣的評估行為無法被有效地進行使用者須依所處的環境決定這些威脅的影響並採取適當的控制措施

92

雲端運算的風險 組織與政策 技術 法律

歐洲網絡與資訊安全部 The European Network and Information Security Agency (ENISA)

93

資安風險

不做風險評估的資安就是威脅及恐嚇 資安風險潛在威脅利用弱點對資產造成影響的可能性

風險 (Risk) = 潛在威脅 (Threats) x 弱點 (Vulnerabilities) x 影響 (Impact)

94

風險評估矩陣

95

組織與政策

喪失管理權限 使用雲端基礎設施客戶端必須將某些關鍵資料的控制權移轉到雲端供應商從而影響安全性同時供應商可能無法提供滿足客戶需求的服務水平協議(SLA)承諾也將形成安全性落差

96

組織與政策

鎖定(lock-in) 目前仍缺乏工具程序標準資料格式或服務介面以確保資料應用系統及服務的可攜性使用者將無法轉換雲端服務供應商甚至無法回到原來企業內部使用的系統環境這將導致過於依賴特定廠商的服務你願意承擔這種風險嗎

97

組織與政策

適用性風險(法規或標準) 轉移到雲端後認證公司可能面臨以下風險 1如果雲端服務供應商不能提供證據證明自己遵守有關規定

2如果雲端服務供應商不允許客戶對其稽核 這意味著使用公有雲的服務將可能無法達到某些法規或標準的要求

98

組織與政策

惡意的內部人員 雖然平時不太可能但由惡意的內部人員造成的損害可能往往更大雲端架構某些必要角色將有極高風險如系統管理員和託管安全服務提供商

99

技術

資源獨立性問題(ISOLATION FAILURE)

多租戶和共享資源是雲端的特點但也相對隱含一些風險包括無效的獨立儲存記憶體路由機制甚至共用資源的租戶聲譽（例如跳板攻擊）當然攻擊資源隔離機制仍比攻擊傳統系統少很多但一旦發生問題影響將更大

100

技術

不安全或不完整的資料刪除 雲端的儲存架構將使資料更難以刪除也許副本資料仍存在其他磁碟多用戶共享磁碟的結果如未完整刪除資料沒人知道是否有被復原的風險(陳姓藝人送修筆電引發的風暴)

101

法律

資料保護 雲端運算同時對使用者及供應商帶來資料保護的風險在某些情況下使用者可能難以確認供應商對資料處理方式是否合法特別是在不同雲端之間傳送資料供應商是否提供相關資訊及證明將是選擇供應商的重要參考

102

責任是無法外包的

考慮採用雲端服務時應先與使用用傳統服務的風險互相比較並非所有風險都可轉移到雲端服務商假如因為風險而導致服務中斷損害商譽恐怕沒人可以為你承擔損害切記工作可以外包責任(可歸責性accountability)是無法外包的

103

雲端運算資安架構

104

雲端運算服務資訊安全評估

105

雲端運算服務資訊安全評估 選定採用雲端服務的種類 確認相關資料與應用程式的重要性 進行整體風險分析 尋找合適業者 定期追蹤考核

106

結語

從分散獨立的資訊服務系統轉移到雲端的架構確實可以獲得許多好處例如降低成本更有彈性有效率的使用IT資源等等但是雲端的隱私及安全也不容忽視不確定性會讓使用者對風險及隱私有所質疑藉由市場競爭可以建立一個更加安全雲端

雖然一些不確定性威脅總是存在於網絡世界但透過明確的法規和大家的合作未來還是可以享用雲端的優點

107

結語

就像人們因為信任而將收入存款存放在金融銀行單位的道理一樣即使雲端運算的觀念逐漸被企業所接受採用的關鍵仍在於「信任」尤其伺服器與儲存設備雲端化的效益在於硬體資源的彈性運用其較為「可見」然而做為連結服務的關鍵網路以及攸關資訊與系統風險的安全需求所帶出的雲端服務存取速度與可靠性議題則是企業應用當中更為重要且更需建立的觀念

108

109

結語mdash鑒古知今由電力產業推論資訊產業

19世紀的電力產業 工廠自備電力 大電廠出現並提供電力網後工廠也擔心輸電線的可靠性是否有必要冒風險放棄自己發電

現在的資訊產業 企業自備電腦資源(運算能力儲存空間) 雲端服務公司出現企業擔心顧客資料機密資料放在雲端有風險是否有必要冒風險放棄IT部門

What do you think

• 漫步在雲端 資安新戰場
• 大綱
• 雲端的代價--近期資訊安全重大案例
• 近期資訊安全重大案例(續)
• 近期資訊安全重大案例(續)
• 新裸奔年代mdash商周128期封面故事
• 免費的個資隱私
• 你可能已經被拍賣了
• 4c812db2922729⋯⋯
• 貝蒂的故事
• Slide Number 11
• 個資的拍賣價
• iPhoneAndroid手機
• 貝蒂的故事
• 貝蒂的故事
• 網路隱私權販賣流程
• 網路隱私「被賣」爭議越演越烈
• 雲端運算的迷思--簡介與應用
• 雲端運算定義
• Slide Number 20
• Slide Number 21
• 雲端運算的特性
• 雲端運算的特性
• 雲端運算的特性
• 雲端運算的特性
• 雲端運算的特性
• 雲端服務的SPI架構
• 雲端運算的本質之一 Infrastructure as a Services
• 範例 虛擬桌面架構應用
• 雲端運算的本質之二 Platform as a Services
• 雲端運算的本質之三 Software as a Services
• 雲端運算的需求 機動的增減資源的使用與自動化
• Slide Number 33
• Slide Number 34
• 全世界都在談
• 微軟
• 蘋果
• 賈伯斯為何願花14年上雲端
• 兩億用戶的工作吃喝玩樂蘋果都要賺
• iCloud推出後的受益受害者
• 雲端運算的各式應用
• Slide Number 42
• 雲端 VS資安
• Slide Number 44
• 從資安看雲端CISSP認證資訊系統安全專家的觀點
• Slide Number 46
• Intel最在意的資安議題
• 雲端運算的迷思
• 資料的安全性與隱私性
• 雲端運算安全的迷思-1
• 雲端運算安全的迷思-2
• 雲端運算安全的迷思-3
• 雲端運算安全的迷思-4
• 雲端運算安全的迷思-5
• 雲端資安-從個資法探討
• 個人資料
• 個人資料生命週期管理
• 個人資料保護生命週期（草案）
• 法規面及個資生命週期保護需求
• Slide Number 60
• Slide Number 61
• 個資法之新舊比較
• Slide Number 63
• Slide Number 64
• Slide Number 65
• Slide Number 66
• Slide Number 67
• Slide Number 68
• 為何雲端安全重要
• Slide Number 70
• Slide Number 71
• 新的資訊安全挑戰
• 新的資訊安全挑戰
• 安全性是企業最主要關注的議題
• 新的資訊安全挑戰
• Slide Number 76
• 誰是駭客內部
• 誰是駭客外部
• 誰是駭客目的
• 危險和漏洞
• 新的資訊安全挑戰
• 新的資訊安全挑戰
• 雲端運算之7大安全威脅
• 雲端運算之7大安全威脅
• 濫用或利用雲端運算進行非法行為
• 不安全的使用者介面與APIs
• 惡意的內部人員
• 共享環境所造成的議題
• 資料遺失或外洩
• 帳號或服務被竊取
• 未知的風險模型
• Slide Number 92
• 資安風險
• 風險評估矩陣
• 組織與政策
• 組織與政策
• 組織與政策
• 組織與政策
• 技術
• 技術
• 法律
• 責任是無法外包的
• 雲端運算資安架構
• Slide Number 104
• 雲端運算服務資訊安全評估
• 結語
• 結語
• Slide Number 108
• 結語mdash鑒古知今由電力產業推論資訊產業

78

誰是駭客外部

外部 入侵者 網路攻擊者

可能行為 側聽網絡通信內容 插入惡意內容 窺探雲端架構 進行DoS(阻斷服務攻擊)

79

誰是駭客目的

入侵 網路分析 中間人 雲端架構拓墣

80

危險和漏洞

危險 破壞服務 竊取資訊 喪失隱私 資料毀損

漏洞 惡意程式 駭客攻擊

81

新的資訊安全挑戰

便利與安全的兩難 我們的隱私原則通常是搖擺的人們會出現隱私兩難的局面(紐約時報)

網路的匿名特性是最大的缺點但也是最大的優點 如果匿名的特性不在即使有助於遏止一些惡意活動勢必仍將遭到隱私權提倡者的極力反對 除非有人可以解決隱私權與安全性的兩難問題否則原本的網際網路仍將繼續存在

82

新的資訊安全挑戰

他說「只有惡棍才會擔心網路隱私權」 還說「若對隱私權設限將限制網路成長」 ----施密特(former Google CEO Eric Schmidt )

83

雲端運算之7大安全威脅

雲端安全聯盟(CSA)發表雲端運算之7大威脅(TOP threats to cloud computing)

84

雲端運算之7大安全威脅

濫用或利用雲端運算進行非法的行為(Abuse and Nefarious Use of Cloud Computing)

不安全的使用者介面與APIs (Insecure Interface and APIs) 惡意的內部人員(Malicious Insiders) 共享環境所造成的議題(Shared Technology Issues) 資料遺失或外洩(Data Loss or Leakage) 帳號或服務被竊取(Account or Service Hijacking) 未知的風險模型(Unknown Risk Profile)

85

濫用或利用雲端運算進行非法行為

此一威脅主要是針對雲端運算服務的供應者而言雲端運算服務供應商(尤其是IaaS 與PaaS 供應商) 為了降低使用的門檻通常並不會要求使用者必須經過嚴格的資料審查過程就可以直接使用其所其提供的資源有些服務供應商甚至提供免費使用的功能或試用期這些做法雖然可以有效推廣雲端運算的業務卻也容易成為有心分子利用的管道事實上已經有包含殭屍網路木馬程式下載在內的惡意程式運行於雲端運算的系統內

86

不安全的使用者介面與APIs

使用者透過使用者介面或是APIs與雲端運算服務進行互動因此這些介面與APIs是否安全直接影響到雲端運算服務本身的安全性像是使用者介面的驗證與授權功能是否安全APIs 的相依性與安全性都是必須特別注意的地方此外如果有使用第三方的加值服務這些服務的介面與APIs 的安全性也必須一併加以考量

87

惡意的內部人員

內部人員所造成的問題這幾年來已經成為許多組織關注的重點採用雲端運算將會讓內部人員所產生的問題更形嚴重一個最主要的因素在於使用者無法得知雲端運算服務供應商如何規範與管理內部員工甚至連招聘的條件與流程也屬於非公開的資訊以安全的角度來說rdquo未知rdquo絕對不是一種幸福而是一種芒刺在背的威脅更何況以雲端運算的業務性質而言絕對是有心分子眼中的肥魚所以內部惡意員工的比例應當會比一般組織來的更高

88

共享環境所造成的議題

雖然使用雲端運算的服務(尤其是IaaS) 時使用者好像擁有獨立的環境但是這些環境都是從共享的實體環境中透過虛擬化的技術所產生出來的這些虛擬化的平台能否將不同的使用者進行有效地隔離以避免彼此之間相互干擾其服務的正常運算甚至是避免彼此之間可以存取對方的資源對雲端運算的安全來說是一個嚴格的挑戰

89

資料遺失或外洩

資料遺失與外洩對於一個組織的影響不只在於實際上的金錢損失更在於如企業形象之類的無形損失雲端運算因為其特定的緣故使得資料遺失或外洩的議題面臨更加嚴峻的考驗包含是否擁有足夠的AAA (驗證授權稽核)是否採用適當且足夠的加密技術資料持續性的需求如何安全地刪除資料災難復原甚至是司法管轄的問題都是必須認真加以考量的問題

90

帳號或服務被竊取

儘管帳號或服務被竊取的問題由來已久但是這類問題對於雲端運算來說更具威脅性首先因為雲端運算不像傳統的IT 架構般擁有實體的東西因此一旦帳號或服務被竊取後除非有其他的方式加以證明否則惡意分子可以完全取代原先使用者的身分在傳統的IT 環境中因為使用者至少還擁有硬體的控制權所以即使發生帳號或服務的竊取行為使用者還是可以進行一些事後的補救措施但是這些補救措施在雲端運算的架構下可能無法執行此外對於那些公開的雲端運算服務而言直接暴露於網際網路上也讓這些竊取行為更加容易發生

91

未知的風險模型

以安全的角度來說rdquo未知rdquo是一種芒刺在背的威脅以雲端運算來說不管是IaaSPaaSSaaS 都是將服務包裝成一個使用者不需了解也無法了解的系統讓使用者專注於如何rdquo使用rdquo該系統但是這樣的方便性也讓使用者無法了解這些服務所使用的網路架構安全架構軟體版本等等各式各樣的重要資訊這些資訊對於評估安全狀態是很有幫助的欠缺這些資訊將使得這樣的評估行為無法被有效地進行使用者須依所處的環境決定這些威脅的影響並採取適當的控制措施

92

雲端運算的風險 組織與政策 技術 法律

歐洲網絡與資訊安全部 The European Network and Information Security Agency (ENISA)

93

資安風險

不做風險評估的資安就是威脅及恐嚇 資安風險潛在威脅利用弱點對資產造成影響的可能性

風險 (Risk) = 潛在威脅 (Threats) x 弱點 (Vulnerabilities) x 影響 (Impact)

94

風險評估矩陣

95

組織與政策

喪失管理權限 使用雲端基礎設施客戶端必須將某些關鍵資料的控制權移轉到雲端供應商從而影響安全性同時供應商可能無法提供滿足客戶需求的服務水平協議(SLA)承諾也將形成安全性落差

96

組織與政策

鎖定(lock-in) 目前仍缺乏工具程序標準資料格式或服務介面以確保資料應用系統及服務的可攜性使用者將無法轉換雲端服務供應商甚至無法回到原來企業內部使用的系統環境這將導致過於依賴特定廠商的服務你願意承擔這種風險嗎

97

組織與政策

適用性風險(法規或標準) 轉移到雲端後認證公司可能面臨以下風險 1如果雲端服務供應商不能提供證據證明自己遵守有關規定

2如果雲端服務供應商不允許客戶對其稽核 這意味著使用公有雲的服務將可能無法達到某些法規或標準的要求

98

組織與政策

惡意的內部人員 雖然平時不太可能但由惡意的內部人員造成的損害可能往往更大雲端架構某些必要角色將有極高風險如系統管理員和託管安全服務提供商

99

技術

資源獨立性問題(ISOLATION FAILURE)

多租戶和共享資源是雲端的特點但也相對隱含一些風險包括無效的獨立儲存記憶體路由機制甚至共用資源的租戶聲譽（例如跳板攻擊）當然攻擊資源隔離機制仍比攻擊傳統系統少很多但一旦發生問題影響將更大

100

技術

不安全或不完整的資料刪除 雲端的儲存架構將使資料更難以刪除也許副本資料仍存在其他磁碟多用戶共享磁碟的結果如未完整刪除資料沒人知道是否有被復原的風險(陳姓藝人送修筆電引發的風暴)

101

法律

資料保護 雲端運算同時對使用者及供應商帶來資料保護的風險在某些情況下使用者可能難以確認供應商對資料處理方式是否合法特別是在不同雲端之間傳送資料供應商是否提供相關資訊及證明將是選擇供應商的重要參考

102

責任是無法外包的

考慮採用雲端服務時應先與使用用傳統服務的風險互相比較並非所有風險都可轉移到雲端服務商假如因為風險而導致服務中斷損害商譽恐怕沒人可以為你承擔損害切記工作可以外包責任(可歸責性accountability)是無法外包的

103

雲端運算資安架構

104

雲端運算服務資訊安全評估

105

雲端運算服務資訊安全評估 選定採用雲端服務的種類 確認相關資料與應用程式的重要性 進行整體風險分析 尋找合適業者 定期追蹤考核

106

結語

從分散獨立的資訊服務系統轉移到雲端的架構確實可以獲得許多好處例如降低成本更有彈性有效率的使用IT資源等等但是雲端的隱私及安全也不容忽視不確定性會讓使用者對風險及隱私有所質疑藉由市場競爭可以建立一個更加安全雲端

雖然一些不確定性威脅總是存在於網絡世界但透過明確的法規和大家的合作未來還是可以享用雲端的優點

107

結語

就像人們因為信任而將收入存款存放在金融銀行單位的道理一樣即使雲端運算的觀念逐漸被企業所接受採用的關鍵仍在於「信任」尤其伺服器與儲存設備雲端化的效益在於硬體資源的彈性運用其較為「可見」然而做為連結服務的關鍵網路以及攸關資訊與系統風險的安全需求所帶出的雲端服務存取速度與可靠性議題則是企業應用當中更為重要且更需建立的觀念

108

109

結語mdash鑒古知今由電力產業推論資訊產業

19世紀的電力產業 工廠自備電力 大電廠出現並提供電力網後工廠也擔心輸電線的可靠性是否有必要冒風險放棄自己發電

現在的資訊產業 企業自備電腦資源(運算能力儲存空間) 雲端服務公司出現企業擔心顧客資料機密資料放在雲端有風險是否有必要冒風險放棄IT部門

What do you think

• 漫步在雲端 資安新戰場
• 大綱
• 雲端的代價--近期資訊安全重大案例
• 近期資訊安全重大案例(續)
• 近期資訊安全重大案例(續)
• 新裸奔年代mdash商周128期封面故事
• 免費的個資隱私
• 你可能已經被拍賣了
• 4c812db2922729⋯⋯
• 貝蒂的故事
• Slide Number 11
• 個資的拍賣價
• iPhoneAndroid手機
• 貝蒂的故事
• 貝蒂的故事
• 網路隱私權販賣流程
• 網路隱私「被賣」爭議越演越烈
• 雲端運算的迷思--簡介與應用
• 雲端運算定義
• Slide Number 20
• Slide Number 21
• 雲端運算的特性
• 雲端運算的特性
• 雲端運算的特性
• 雲端運算的特性
• 雲端運算的特性
• 雲端服務的SPI架構
• 雲端運算的本質之一 Infrastructure as a Services
• 範例 虛擬桌面架構應用
• 雲端運算的本質之二 Platform as a Services
• 雲端運算的本質之三 Software as a Services
• 雲端運算的需求 機動的增減資源的使用與自動化
• Slide Number 33
• Slide Number 34
• 全世界都在談
• 微軟
• 蘋果
• 賈伯斯為何願花14年上雲端
• 兩億用戶的工作吃喝玩樂蘋果都要賺
• iCloud推出後的受益受害者
• 雲端運算的各式應用
• Slide Number 42
• 雲端 VS資安
• Slide Number 44
• 從資安看雲端CISSP認證資訊系統安全專家的觀點
• Slide Number 46
• Intel最在意的資安議題
• 雲端運算的迷思
• 資料的安全性與隱私性
• 雲端運算安全的迷思-1
• 雲端運算安全的迷思-2
• 雲端運算安全的迷思-3
• 雲端運算安全的迷思-4
• 雲端運算安全的迷思-5
• 雲端資安-從個資法探討
• 個人資料
• 個人資料生命週期管理
• 個人資料保護生命週期（草案）
• 法規面及個資生命週期保護需求
• Slide Number 60
• Slide Number 61
• 個資法之新舊比較
• Slide Number 63
• Slide Number 64
• Slide Number 65
• Slide Number 66
• Slide Number 67
• Slide Number 68
• 為何雲端安全重要
• Slide Number 70
• Slide Number 71
• 新的資訊安全挑戰
• 新的資訊安全挑戰
• 安全性是企業最主要關注的議題
• 新的資訊安全挑戰
• Slide Number 76
• 誰是駭客內部
• 誰是駭客外部
• 誰是駭客目的
• 危險和漏洞
• 新的資訊安全挑戰
• 新的資訊安全挑戰
• 雲端運算之7大安全威脅
• 雲端運算之7大安全威脅
• 濫用或利用雲端運算進行非法行為
• 不安全的使用者介面與APIs
• 惡意的內部人員
• 共享環境所造成的議題
• 資料遺失或外洩
• 帳號或服務被竊取
• 未知的風險模型
• Slide Number 92
• 資安風險
• 風險評估矩陣
• 組織與政策
• 組織與政策
• 組織與政策
• 組織與政策
• 技術
• 技術
• 法律
• 責任是無法外包的
• 雲端運算資安架構
• Slide Number 104
• 雲端運算服務資訊安全評估
• 結語
• 結語
• Slide Number 108
• 結語mdash鑒古知今由電力產業推論資訊產業

79

誰是駭客目的

入侵 網路分析 中間人 雲端架構拓墣

80

危險和漏洞

危險 破壞服務 竊取資訊 喪失隱私 資料毀損

漏洞 惡意程式 駭客攻擊

81

新的資訊安全挑戰

便利與安全的兩難 我們的隱私原則通常是搖擺的人們會出現隱私兩難的局面(紐約時報)

網路的匿名特性是最大的缺點但也是最大的優點 如果匿名的特性不在即使有助於遏止一些惡意活動勢必仍將遭到隱私權提倡者的極力反對 除非有人可以解決隱私權與安全性的兩難問題否則原本的網際網路仍將繼續存在

82

新的資訊安全挑戰

他說「只有惡棍才會擔心網路隱私權」 還說「若對隱私權設限將限制網路成長」 ----施密特(former Google CEO Eric Schmidt )

83

雲端運算之7大安全威脅

雲端安全聯盟(CSA)發表雲端運算之7大威脅(TOP threats to cloud computing)

84

雲端運算之7大安全威脅

濫用或利用雲端運算進行非法的行為(Abuse and Nefarious Use of Cloud Computing)

不安全的使用者介面與APIs (Insecure Interface and APIs) 惡意的內部人員(Malicious Insiders) 共享環境所造成的議題(Shared Technology Issues) 資料遺失或外洩(Data Loss or Leakage) 帳號或服務被竊取(Account or Service Hijacking) 未知的風險模型(Unknown Risk Profile)

85

濫用或利用雲端運算進行非法行為

此一威脅主要是針對雲端運算服務的供應者而言雲端運算服務供應商(尤其是IaaS 與PaaS 供應商) 為了降低使用的門檻通常並不會要求使用者必須經過嚴格的資料審查過程就可以直接使用其所其提供的資源有些服務供應商甚至提供免費使用的功能或試用期這些做法雖然可以有效推廣雲端運算的業務卻也容易成為有心分子利用的管道事實上已經有包含殭屍網路木馬程式下載在內的惡意程式運行於雲端運算的系統內

86

不安全的使用者介面與APIs

使用者透過使用者介面或是APIs與雲端運算服務進行互動因此這些介面與APIs是否安全直接影響到雲端運算服務本身的安全性像是使用者介面的驗證與授權功能是否安全APIs 的相依性與安全性都是必須特別注意的地方此外如果有使用第三方的加值服務這些服務的介面與APIs 的安全性也必須一併加以考量

87

惡意的內部人員

內部人員所造成的問題這幾年來已經成為許多組織關注的重點採用雲端運算將會讓內部人員所產生的問題更形嚴重一個最主要的因素在於使用者無法得知雲端運算服務供應商如何規範與管理內部員工甚至連招聘的條件與流程也屬於非公開的資訊以安全的角度來說rdquo未知rdquo絕對不是一種幸福而是一種芒刺在背的威脅更何況以雲端運算的業務性質而言絕對是有心分子眼中的肥魚所以內部惡意員工的比例應當會比一般組織來的更高

88

共享環境所造成的議題

雖然使用雲端運算的服務(尤其是IaaS) 時使用者好像擁有獨立的環境但是這些環境都是從共享的實體環境中透過虛擬化的技術所產生出來的這些虛擬化的平台能否將不同的使用者進行有效地隔離以避免彼此之間相互干擾其服務的正常運算甚至是避免彼此之間可以存取對方的資源對雲端運算的安全來說是一個嚴格的挑戰

89

資料遺失或外洩

資料遺失與外洩對於一個組織的影響不只在於實際上的金錢損失更在於如企業形象之類的無形損失雲端運算因為其特定的緣故使得資料遺失或外洩的議題面臨更加嚴峻的考驗包含是否擁有足夠的AAA (驗證授權稽核)是否採用適當且足夠的加密技術資料持續性的需求如何安全地刪除資料災難復原甚至是司法管轄的問題都是必須認真加以考量的問題

90

帳號或服務被竊取

儘管帳號或服務被竊取的問題由來已久但是這類問題對於雲端運算來說更具威脅性首先因為雲端運算不像傳統的IT 架構般擁有實體的東西因此一旦帳號或服務被竊取後除非有其他的方式加以證明否則惡意分子可以完全取代原先使用者的身分在傳統的IT 環境中因為使用者至少還擁有硬體的控制權所以即使發生帳號或服務的竊取行為使用者還是可以進行一些事後的補救措施但是這些補救措施在雲端運算的架構下可能無法執行此外對於那些公開的雲端運算服務而言直接暴露於網際網路上也讓這些竊取行為更加容易發生

91

未知的風險模型

以安全的角度來說rdquo未知rdquo是一種芒刺在背的威脅以雲端運算來說不管是IaaSPaaSSaaS 都是將服務包裝成一個使用者不需了解也無法了解的系統讓使用者專注於如何rdquo使用rdquo該系統但是這樣的方便性也讓使用者無法了解這些服務所使用的網路架構安全架構軟體版本等等各式各樣的重要資訊這些資訊對於評估安全狀態是很有幫助的欠缺這些資訊將使得這樣的評估行為無法被有效地進行使用者須依所處的環境決定這些威脅的影響並採取適當的控制措施

92

雲端運算的風險 組織與政策 技術 法律

歐洲網絡與資訊安全部 The European Network and Information Security Agency (ENISA)

93

資安風險

不做風險評估的資安就是威脅及恐嚇 資安風險潛在威脅利用弱點對資產造成影響的可能性

風險 (Risk) = 潛在威脅 (Threats) x 弱點 (Vulnerabilities) x 影響 (Impact)

94

風險評估矩陣

95

組織與政策

喪失管理權限 使用雲端基礎設施客戶端必須將某些關鍵資料的控制權移轉到雲端供應商從而影響安全性同時供應商可能無法提供滿足客戶需求的服務水平協議(SLA)承諾也將形成安全性落差

96

組織與政策

鎖定(lock-in) 目前仍缺乏工具程序標準資料格式或服務介面以確保資料應用系統及服務的可攜性使用者將無法轉換雲端服務供應商甚至無法回到原來企業內部使用的系統環境這將導致過於依賴特定廠商的服務你願意承擔這種風險嗎

97

組織與政策

適用性風險(法規或標準) 轉移到雲端後認證公司可能面臨以下風險 1如果雲端服務供應商不能提供證據證明自己遵守有關規定

2如果雲端服務供應商不允許客戶對其稽核 這意味著使用公有雲的服務將可能無法達到某些法規或標準的要求

98

組織與政策

惡意的內部人員 雖然平時不太可能但由惡意的內部人員造成的損害可能往往更大雲端架構某些必要角色將有極高風險如系統管理員和託管安全服務提供商

99

技術

資源獨立性問題(ISOLATION FAILURE)

多租戶和共享資源是雲端的特點但也相對隱含一些風險包括無效的獨立儲存記憶體路由機制甚至共用資源的租戶聲譽（例如跳板攻擊）當然攻擊資源隔離機制仍比攻擊傳統系統少很多但一旦發生問題影響將更大

100

技術

不安全或不完整的資料刪除 雲端的儲存架構將使資料更難以刪除也許副本資料仍存在其他磁碟多用戶共享磁碟的結果如未完整刪除資料沒人知道是否有被復原的風險(陳姓藝人送修筆電引發的風暴)

101

法律

資料保護 雲端運算同時對使用者及供應商帶來資料保護的風險在某些情況下使用者可能難以確認供應商對資料處理方式是否合法特別是在不同雲端之間傳送資料供應商是否提供相關資訊及證明將是選擇供應商的重要參考

102

責任是無法外包的

考慮採用雲端服務時應先與使用用傳統服務的風險互相比較並非所有風險都可轉移到雲端服務商假如因為風險而導致服務中斷損害商譽恐怕沒人可以為你承擔損害切記工作可以外包責任(可歸責性accountability)是無法外包的

103

雲端運算資安架構

104

雲端運算服務資訊安全評估

105

雲端運算服務資訊安全評估 選定採用雲端服務的種類 確認相關資料與應用程式的重要性 進行整體風險分析 尋找合適業者 定期追蹤考核

106

結語

從分散獨立的資訊服務系統轉移到雲端的架構確實可以獲得許多好處例如降低成本更有彈性有效率的使用IT資源等等但是雲端的隱私及安全也不容忽視不確定性會讓使用者對風險及隱私有所質疑藉由市場競爭可以建立一個更加安全雲端

雖然一些不確定性威脅總是存在於網絡世界但透過明確的法規和大家的合作未來還是可以享用雲端的優點

107

結語

就像人們因為信任而將收入存款存放在金融銀行單位的道理一樣即使雲端運算的觀念逐漸被企業所接受採用的關鍵仍在於「信任」尤其伺服器與儲存設備雲端化的效益在於硬體資源的彈性運用其較為「可見」然而做為連結服務的關鍵網路以及攸關資訊與系統風險的安全需求所帶出的雲端服務存取速度與可靠性議題則是企業應用當中更為重要且更需建立的觀念

108

109

結語mdash鑒古知今由電力產業推論資訊產業

19世紀的電力產業 工廠自備電力 大電廠出現並提供電力網後工廠也擔心輸電線的可靠性是否有必要冒風險放棄自己發電

現在的資訊產業 企業自備電腦資源(運算能力儲存空間) 雲端服務公司出現企業擔心顧客資料機密資料放在雲端有風險是否有必要冒風險放棄IT部門

What do you think

• 漫步在雲端 資安新戰場
• 大綱
• 雲端的代價--近期資訊安全重大案例
• 近期資訊安全重大案例(續)
• 近期資訊安全重大案例(續)
• 新裸奔年代mdash商周128期封面故事
• 免費的個資隱私
• 你可能已經被拍賣了
• 4c812db2922729⋯⋯
• 貝蒂的故事
• Slide Number 11
• 個資的拍賣價
• iPhoneAndroid手機
• 貝蒂的故事
• 貝蒂的故事
• 網路隱私權販賣流程
• 網路隱私「被賣」爭議越演越烈
• 雲端運算的迷思--簡介與應用
• 雲端運算定義
• Slide Number 20
• Slide Number 21
• 雲端運算的特性
• 雲端運算的特性
• 雲端運算的特性
• 雲端運算的特性
• 雲端運算的特性
• 雲端服務的SPI架構
• 雲端運算的本質之一 Infrastructure as a Services
• 範例 虛擬桌面架構應用
• 雲端運算的本質之二 Platform as a Services
• 雲端運算的本質之三 Software as a Services
• 雲端運算的需求 機動的增減資源的使用與自動化
• Slide Number 33
• Slide Number 34
• 全世界都在談
• 微軟
• 蘋果
• 賈伯斯為何願花14年上雲端
• 兩億用戶的工作吃喝玩樂蘋果都要賺
• iCloud推出後的受益受害者
• 雲端運算的各式應用
• Slide Number 42
• 雲端 VS資安
• Slide Number 44
• 從資安看雲端CISSP認證資訊系統安全專家的觀點
• Slide Number 46
• Intel最在意的資安議題
• 雲端運算的迷思
• 資料的安全性與隱私性
• 雲端運算安全的迷思-1
• 雲端運算安全的迷思-2
• 雲端運算安全的迷思-3
• 雲端運算安全的迷思-4
• 雲端運算安全的迷思-5
• 雲端資安-從個資法探討
• 個人資料
• 個人資料生命週期管理
• 個人資料保護生命週期（草案）
• 法規面及個資生命週期保護需求
• Slide Number 60
• Slide Number 61
• 個資法之新舊比較
• Slide Number 63
• Slide Number 64
• Slide Number 65
• Slide Number 66
• Slide Number 67
• Slide Number 68
• 為何雲端安全重要
• Slide Number 70
• Slide Number 71
• 新的資訊安全挑戰
• 新的資訊安全挑戰
• 安全性是企業最主要關注的議題
• 新的資訊安全挑戰
• Slide Number 76
• 誰是駭客內部
• 誰是駭客外部
• 誰是駭客目的
• 危險和漏洞
• 新的資訊安全挑戰
• 新的資訊安全挑戰
• 雲端運算之7大安全威脅
• 雲端運算之7大安全威脅
• 濫用或利用雲端運算進行非法行為
• 不安全的使用者介面與APIs
• 惡意的內部人員
• 共享環境所造成的議題
• 資料遺失或外洩
• 帳號或服務被竊取
• 未知的風險模型
• Slide Number 92
• 資安風險
• 風險評估矩陣
• 組織與政策
• 組織與政策
• 組織與政策
• 組織與政策
• 技術
• 技術
• 法律
• 責任是無法外包的
• 雲端運算資安架構
• Slide Number 104
• 雲端運算服務資訊安全評估
• 結語
• 結語
• Slide Number 108
• 結語mdash鑒古知今由電力產業推論資訊產業

80

危險和漏洞

危險 破壞服務 竊取資訊 喪失隱私 資料毀損

漏洞 惡意程式 駭客攻擊

81

新的資訊安全挑戰

便利與安全的兩難 我們的隱私原則通常是搖擺的人們會出現隱私兩難的局面(紐約時報)

網路的匿名特性是最大的缺點但也是最大的優點 如果匿名的特性不在即使有助於遏止一些惡意活動勢必仍將遭到隱私權提倡者的極力反對 除非有人可以解決隱私權與安全性的兩難問題否則原本的網際網路仍將繼續存在

82

新的資訊安全挑戰

他說「只有惡棍才會擔心網路隱私權」 還說「若對隱私權設限將限制網路成長」 ----施密特(former Google CEO Eric Schmidt )

83

雲端運算之7大安全威脅

雲端安全聯盟(CSA)發表雲端運算之7大威脅(TOP threats to cloud computing)

84

雲端運算之7大安全威脅

濫用或利用雲端運算進行非法的行為(Abuse and Nefarious Use of Cloud Computing)

不安全的使用者介面與APIs (Insecure Interface and APIs) 惡意的內部人員(Malicious Insiders) 共享環境所造成的議題(Shared Technology Issues) 資料遺失或外洩(Data Loss or Leakage) 帳號或服務被竊取(Account or Service Hijacking) 未知的風險模型(Unknown Risk Profile)

85

濫用或利用雲端運算進行非法行為

此一威脅主要是針對雲端運算服務的供應者而言雲端運算服務供應商(尤其是IaaS 與PaaS 供應商) 為了降低使用的門檻通常並不會要求使用者必須經過嚴格的資料審查過程就可以直接使用其所其提供的資源有些服務供應商甚至提供免費使用的功能或試用期這些做法雖然可以有效推廣雲端運算的業務卻也容易成為有心分子利用的管道事實上已經有包含殭屍網路木馬程式下載在內的惡意程式運行於雲端運算的系統內

86

不安全的使用者介面與APIs

使用者透過使用者介面或是APIs與雲端運算服務進行互動因此這些介面與APIs是否安全直接影響到雲端運算服務本身的安全性像是使用者介面的驗證與授權功能是否安全APIs 的相依性與安全性都是必須特別注意的地方此外如果有使用第三方的加值服務這些服務的介面與APIs 的安全性也必須一併加以考量

87

惡意的內部人員

內部人員所造成的問題這幾年來已經成為許多組織關注的重點採用雲端運算將會讓內部人員所產生的問題更形嚴重一個最主要的因素在於使用者無法得知雲端運算服務供應商如何規範與管理內部員工甚至連招聘的條件與流程也屬於非公開的資訊以安全的角度來說rdquo未知rdquo絕對不是一種幸福而是一種芒刺在背的威脅更何況以雲端運算的業務性質而言絕對是有心分子眼中的肥魚所以內部惡意員工的比例應當會比一般組織來的更高

88

共享環境所造成的議題

雖然使用雲端運算的服務(尤其是IaaS) 時使用者好像擁有獨立的環境但是這些環境都是從共享的實體環境中透過虛擬化的技術所產生出來的這些虛擬化的平台能否將不同的使用者進行有效地隔離以避免彼此之間相互干擾其服務的正常運算甚至是避免彼此之間可以存取對方的資源對雲端運算的安全來說是一個嚴格的挑戰

89

資料遺失或外洩

資料遺失與外洩對於一個組織的影響不只在於實際上的金錢損失更在於如企業形象之類的無形損失雲端運算因為其特定的緣故使得資料遺失或外洩的議題面臨更加嚴峻的考驗包含是否擁有足夠的AAA (驗證授權稽核)是否採用適當且足夠的加密技術資料持續性的需求如何安全地刪除資料災難復原甚至是司法管轄的問題都是必須認真加以考量的問題

90

帳號或服務被竊取

儘管帳號或服務被竊取的問題由來已久但是這類問題對於雲端運算來說更具威脅性首先因為雲端運算不像傳統的IT 架構般擁有實體的東西因此一旦帳號或服務被竊取後除非有其他的方式加以證明否則惡意分子可以完全取代原先使用者的身分在傳統的IT 環境中因為使用者至少還擁有硬體的控制權所以即使發生帳號或服務的竊取行為使用者還是可以進行一些事後的補救措施但是這些補救措施在雲端運算的架構下可能無法執行此外對於那些公開的雲端運算服務而言直接暴露於網際網路上也讓這些竊取行為更加容易發生

91

未知的風險模型

以安全的角度來說rdquo未知rdquo是一種芒刺在背的威脅以雲端運算來說不管是IaaSPaaSSaaS 都是將服務包裝成一個使用者不需了解也無法了解的系統讓使用者專注於如何rdquo使用rdquo該系統但是這樣的方便性也讓使用者無法了解這些服務所使用的網路架構安全架構軟體版本等等各式各樣的重要資訊這些資訊對於評估安全狀態是很有幫助的欠缺這些資訊將使得這樣的評估行為無法被有效地進行使用者須依所處的環境決定這些威脅的影響並採取適當的控制措施

92

雲端運算的風險 組織與政策 技術 法律

歐洲網絡與資訊安全部 The European Network and Information Security Agency (ENISA)

93

資安風險

不做風險評估的資安就是威脅及恐嚇 資安風險潛在威脅利用弱點對資產造成影響的可能性

風險 (Risk) = 潛在威脅 (Threats) x 弱點 (Vulnerabilities) x 影響 (Impact)

94

風險評估矩陣

95

組織與政策

喪失管理權限 使用雲端基礎設施客戶端必須將某些關鍵資料的控制權移轉到雲端供應商從而影響安全性同時供應商可能無法提供滿足客戶需求的服務水平協議(SLA)承諾也將形成安全性落差

96

組織與政策

鎖定(lock-in) 目前仍缺乏工具程序標準資料格式或服務介面以確保資料應用系統及服務的可攜性使用者將無法轉換雲端服務供應商甚至無法回到原來企業內部使用的系統環境這將導致過於依賴特定廠商的服務你願意承擔這種風險嗎

97

組織與政策

適用性風險(法規或標準) 轉移到雲端後認證公司可能面臨以下風險 1如果雲端服務供應商不能提供證據證明自己遵守有關規定

2如果雲端服務供應商不允許客戶對其稽核 這意味著使用公有雲的服務將可能無法達到某些法規或標準的要求

98

組織與政策

惡意的內部人員 雖然平時不太可能但由惡意的內部人員造成的損害可能往往更大雲端架構某些必要角色將有極高風險如系統管理員和託管安全服務提供商

99

技術

資源獨立性問題(ISOLATION FAILURE)

多租戶和共享資源是雲端的特點但也相對隱含一些風險包括無效的獨立儲存記憶體路由機制甚至共用資源的租戶聲譽（例如跳板攻擊）當然攻擊資源隔離機制仍比攻擊傳統系統少很多但一旦發生問題影響將更大

100

技術

不安全或不完整的資料刪除 雲端的儲存架構將使資料更難以刪除也許副本資料仍存在其他磁碟多用戶共享磁碟的結果如未完整刪除資料沒人知道是否有被復原的風險(陳姓藝人送修筆電引發的風暴)

101

法律

資料保護 雲端運算同時對使用者及供應商帶來資料保護的風險在某些情況下使用者可能難以確認供應商對資料處理方式是否合法特別是在不同雲端之間傳送資料供應商是否提供相關資訊及證明將是選擇供應商的重要參考

102

責任是無法外包的

考慮採用雲端服務時應先與使用用傳統服務的風險互相比較並非所有風險都可轉移到雲端服務商假如因為風險而導致服務中斷損害商譽恐怕沒人可以為你承擔損害切記工作可以外包責任(可歸責性accountability)是無法外包的

103

雲端運算資安架構

104

雲端運算服務資訊安全評估

105

雲端運算服務資訊安全評估 選定採用雲端服務的種類 確認相關資料與應用程式的重要性 進行整體風險分析 尋找合適業者 定期追蹤考核

106

結語

從分散獨立的資訊服務系統轉移到雲端的架構確實可以獲得許多好處例如降低成本更有彈性有效率的使用IT資源等等但是雲端的隱私及安全也不容忽視不確定性會讓使用者對風險及隱私有所質疑藉由市場競爭可以建立一個更加安全雲端

雖然一些不確定性威脅總是存在於網絡世界但透過明確的法規和大家的合作未來還是可以享用雲端的優點

107

結語

就像人們因為信任而將收入存款存放在金融銀行單位的道理一樣即使雲端運算的觀念逐漸被企業所接受採用的關鍵仍在於「信任」尤其伺服器與儲存設備雲端化的效益在於硬體資源的彈性運用其較為「可見」然而做為連結服務的關鍵網路以及攸關資訊與系統風險的安全需求所帶出的雲端服務存取速度與可靠性議題則是企業應用當中更為重要且更需建立的觀念

108

109

結語mdash鑒古知今由電力產業推論資訊產業

19世紀的電力產業 工廠自備電力 大電廠出現並提供電力網後工廠也擔心輸電線的可靠性是否有必要冒風險放棄自己發電

現在的資訊產業 企業自備電腦資源(運算能力儲存空間) 雲端服務公司出現企業擔心顧客資料機密資料放在雲端有風險是否有必要冒風險放棄IT部門

What do you think

• 漫步在雲端 資安新戰場
• 大綱
• 雲端的代價--近期資訊安全重大案例
• 近期資訊安全重大案例(續)
• 近期資訊安全重大案例(續)
• 新裸奔年代mdash商周128期封面故事
• 免費的個資隱私
• 你可能已經被拍賣了
• 4c812db2922729⋯⋯
• 貝蒂的故事
• Slide Number 11
• 個資的拍賣價
• iPhoneAndroid手機
• 貝蒂的故事
• 貝蒂的故事
• 網路隱私權販賣流程
• 網路隱私「被賣」爭議越演越烈
• 雲端運算的迷思--簡介與應用
• 雲端運算定義
• Slide Number 20
• Slide Number 21
• 雲端運算的特性
• 雲端運算的特性
• 雲端運算的特性
• 雲端運算的特性
• 雲端運算的特性
• 雲端服務的SPI架構
• 雲端運算的本質之一 Infrastructure as a Services
• 範例 虛擬桌面架構應用
• 雲端運算的本質之二 Platform as a Services
• 雲端運算的本質之三 Software as a Services
• 雲端運算的需求 機動的增減資源的使用與自動化
• Slide Number 33
• Slide Number 34
• 全世界都在談
• 微軟
• 蘋果
• 賈伯斯為何願花14年上雲端
• 兩億用戶的工作吃喝玩樂蘋果都要賺
• iCloud推出後的受益受害者
• 雲端運算的各式應用
• Slide Number 42
• 雲端 VS資安
• Slide Number 44
• 從資安看雲端CISSP認證資訊系統安全專家的觀點
• Slide Number 46
• Intel最在意的資安議題
• 雲端運算的迷思
• 資料的安全性與隱私性
• 雲端運算安全的迷思-1
• 雲端運算安全的迷思-2
• 雲端運算安全的迷思-3
• 雲端運算安全的迷思-4
• 雲端運算安全的迷思-5
• 雲端資安-從個資法探討
• 個人資料
• 個人資料生命週期管理
• 個人資料保護生命週期（草案）
• 法規面及個資生命週期保護需求
• Slide Number 60
• Slide Number 61
• 個資法之新舊比較
• Slide Number 63
• Slide Number 64
• Slide Number 65
• Slide Number 66
• Slide Number 67
• Slide Number 68
• 為何雲端安全重要
• Slide Number 70
• Slide Number 71
• 新的資訊安全挑戰
• 新的資訊安全挑戰
• 安全性是企業最主要關注的議題
• 新的資訊安全挑戰
• Slide Number 76
• 誰是駭客內部
• 誰是駭客外部
• 誰是駭客目的
• 危險和漏洞
• 新的資訊安全挑戰
• 新的資訊安全挑戰
• 雲端運算之7大安全威脅
• 雲端運算之7大安全威脅
• 濫用或利用雲端運算進行非法行為
• 不安全的使用者介面與APIs
• 惡意的內部人員
• 共享環境所造成的議題
• 資料遺失或外洩
• 帳號或服務被竊取
• 未知的風險模型
• Slide Number 92
• 資安風險
• 風險評估矩陣
• 組織與政策
• 組織與政策
• 組織與政策
• 組織與政策
• 技術
• 技術
• 法律
• 責任是無法外包的
• 雲端運算資安架構
• Slide Number 104
• 雲端運算服務資訊安全評估
• 結語
• 結語
• Slide Number 108
• 結語mdash鑒古知今由電力產業推論資訊產業

81

新的資訊安全挑戰

便利與安全的兩難 我們的隱私原則通常是搖擺的人們會出現隱私兩難的局面(紐約時報)

網路的匿名特性是最大的缺點但也是最大的優點 如果匿名的特性不在即使有助於遏止一些惡意活動勢必仍將遭到隱私權提倡者的極力反對 除非有人可以解決隱私權與安全性的兩難問題否則原本的網際網路仍將繼續存在

82

新的資訊安全挑戰

他說「只有惡棍才會擔心網路隱私權」 還說「若對隱私權設限將限制網路成長」 ----施密特(former Google CEO Eric Schmidt )

83

雲端運算之7大安全威脅

雲端安全聯盟(CSA)發表雲端運算之7大威脅(TOP threats to cloud computing)

84

雲端運算之7大安全威脅

濫用或利用雲端運算進行非法的行為(Abuse and Nefarious Use of Cloud Computing)

不安全的使用者介面與APIs (Insecure Interface and APIs) 惡意的內部人員(Malicious Insiders) 共享環境所造成的議題(Shared Technology Issues) 資料遺失或外洩(Data Loss or Leakage) 帳號或服務被竊取(Account or Service Hijacking) 未知的風險模型(Unknown Risk Profile)

85

濫用或利用雲端運算進行非法行為

此一威脅主要是針對雲端運算服務的供應者而言雲端運算服務供應商(尤其是IaaS 與PaaS 供應商) 為了降低使用的門檻通常並不會要求使用者必須經過嚴格的資料審查過程就可以直接使用其所其提供的資源有些服務供應商甚至提供免費使用的功能或試用期這些做法雖然可以有效推廣雲端運算的業務卻也容易成為有心分子利用的管道事實上已經有包含殭屍網路木馬程式下載在內的惡意程式運行於雲端運算的系統內

86

不安全的使用者介面與APIs

使用者透過使用者介面或是APIs與雲端運算服務進行互動因此這些介面與APIs是否安全直接影響到雲端運算服務本身的安全性像是使用者介面的驗證與授權功能是否安全APIs 的相依性與安全性都是必須特別注意的地方此外如果有使用第三方的加值服務這些服務的介面與APIs 的安全性也必須一併加以考量

87

惡意的內部人員

內部人員所造成的問題這幾年來已經成為許多組織關注的重點採用雲端運算將會讓內部人員所產生的問題更形嚴重一個最主要的因素在於使用者無法得知雲端運算服務供應商如何規範與管理內部員工甚至連招聘的條件與流程也屬於非公開的資訊以安全的角度來說rdquo未知rdquo絕對不是一種幸福而是一種芒刺在背的威脅更何況以雲端運算的業務性質而言絕對是有心分子眼中的肥魚所以內部惡意員工的比例應當會比一般組織來的更高

88

共享環境所造成的議題

雖然使用雲端運算的服務(尤其是IaaS) 時使用者好像擁有獨立的環境但是這些環境都是從共享的實體環境中透過虛擬化的技術所產生出來的這些虛擬化的平台能否將不同的使用者進行有效地隔離以避免彼此之間相互干擾其服務的正常運算甚至是避免彼此之間可以存取對方的資源對雲端運算的安全來說是一個嚴格的挑戰

89

資料遺失或外洩

資料遺失與外洩對於一個組織的影響不只在於實際上的金錢損失更在於如企業形象之類的無形損失雲端運算因為其特定的緣故使得資料遺失或外洩的議題面臨更加嚴峻的考驗包含是否擁有足夠的AAA (驗證授權稽核)是否採用適當且足夠的加密技術資料持續性的需求如何安全地刪除資料災難復原甚至是司法管轄的問題都是必須認真加以考量的問題

90

帳號或服務被竊取

儘管帳號或服務被竊取的問題由來已久但是這類問題對於雲端運算來說更具威脅性首先因為雲端運算不像傳統的IT 架構般擁有實體的東西因此一旦帳號或服務被竊取後除非有其他的方式加以證明否則惡意分子可以完全取代原先使用者的身分在傳統的IT 環境中因為使用者至少還擁有硬體的控制權所以即使發生帳號或服務的竊取行為使用者還是可以進行一些事後的補救措施但是這些補救措施在雲端運算的架構下可能無法執行此外對於那些公開的雲端運算服務而言直接暴露於網際網路上也讓這些竊取行為更加容易發生

91

未知的風險模型

以安全的角度來說rdquo未知rdquo是一種芒刺在背的威脅以雲端運算來說不管是IaaSPaaSSaaS 都是將服務包裝成一個使用者不需了解也無法了解的系統讓使用者專注於如何rdquo使用rdquo該系統但是這樣的方便性也讓使用者無法了解這些服務所使用的網路架構安全架構軟體版本等等各式各樣的重要資訊這些資訊對於評估安全狀態是很有幫助的欠缺這些資訊將使得這樣的評估行為無法被有效地進行使用者須依所處的環境決定這些威脅的影響並採取適當的控制措施

92

雲端運算的風險 組織與政策 技術 法律

歐洲網絡與資訊安全部 The European Network and Information Security Agency (ENISA)

93

資安風險

不做風險評估的資安就是威脅及恐嚇 資安風險潛在威脅利用弱點對資產造成影響的可能性

風險 (Risk) = 潛在威脅 (Threats) x 弱點 (Vulnerabilities) x 影響 (Impact)

94

風險評估矩陣

95

組織與政策

喪失管理權限 使用雲端基礎設施客戶端必須將某些關鍵資料的控制權移轉到雲端供應商從而影響安全性同時供應商可能無法提供滿足客戶需求的服務水平協議(SLA)承諾也將形成安全性落差

96

組織與政策

鎖定(lock-in) 目前仍缺乏工具程序標準資料格式或服務介面以確保資料應用系統及服務的可攜性使用者將無法轉換雲端服務供應商甚至無法回到原來企業內部使用的系統環境這將導致過於依賴特定廠商的服務你願意承擔這種風險嗎

97

組織與政策

適用性風險(法規或標準) 轉移到雲端後認證公司可能面臨以下風險 1如果雲端服務供應商不能提供證據證明自己遵守有關規定

2如果雲端服務供應商不允許客戶對其稽核 這意味著使用公有雲的服務將可能無法達到某些法規或標準的要求

98

組織與政策

惡意的內部人員 雖然平時不太可能但由惡意的內部人員造成的損害可能往往更大雲端架構某些必要角色將有極高風險如系統管理員和託管安全服務提供商

99

技術

資源獨立性問題(ISOLATION FAILURE)

多租戶和共享資源是雲端的特點但也相對隱含一些風險包括無效的獨立儲存記憶體路由機制甚至共用資源的租戶聲譽（例如跳板攻擊）當然攻擊資源隔離機制仍比攻擊傳統系統少很多但一旦發生問題影響將更大

100

技術

不安全或不完整的資料刪除 雲端的儲存架構將使資料更難以刪除也許副本資料仍存在其他磁碟多用戶共享磁碟的結果如未完整刪除資料沒人知道是否有被復原的風險(陳姓藝人送修筆電引發的風暴)

101

法律

資料保護 雲端運算同時對使用者及供應商帶來資料保護的風險在某些情況下使用者可能難以確認供應商對資料處理方式是否合法特別是在不同雲端之間傳送資料供應商是否提供相關資訊及證明將是選擇供應商的重要參考

102

責任是無法外包的

考慮採用雲端服務時應先與使用用傳統服務的風險互相比較並非所有風險都可轉移到雲端服務商假如因為風險而導致服務中斷損害商譽恐怕沒人可以為你承擔損害切記工作可以外包責任(可歸責性accountability)是無法外包的

103

雲端運算資安架構

104

雲端運算服務資訊安全評估

105

雲端運算服務資訊安全評估 選定採用雲端服務的種類 確認相關資料與應用程式的重要性 進行整體風險分析 尋找合適業者 定期追蹤考核

106

結語

從分散獨立的資訊服務系統轉移到雲端的架構確實可以獲得許多好處例如降低成本更有彈性有效率的使用IT資源等等但是雲端的隱私及安全也不容忽視不確定性會讓使用者對風險及隱私有所質疑藉由市場競爭可以建立一個更加安全雲端

雖然一些不確定性威脅總是存在於網絡世界但透過明確的法規和大家的合作未來還是可以享用雲端的優點

107

結語

就像人們因為信任而將收入存款存放在金融銀行單位的道理一樣即使雲端運算的觀念逐漸被企業所接受採用的關鍵仍在於「信任」尤其伺服器與儲存設備雲端化的效益在於硬體資源的彈性運用其較為「可見」然而做為連結服務的關鍵網路以及攸關資訊與系統風險的安全需求所帶出的雲端服務存取速度與可靠性議題則是企業應用當中更為重要且更需建立的觀念

108

109

結語mdash鑒古知今由電力產業推論資訊產業

19世紀的電力產業 工廠自備電力 大電廠出現並提供電力網後工廠也擔心輸電線的可靠性是否有必要冒風險放棄自己發電

現在的資訊產業 企業自備電腦資源(運算能力儲存空間) 雲端服務公司出現企業擔心顧客資料機密資料放在雲端有風險是否有必要冒風險放棄IT部門

What do you think

• 漫步在雲端 資安新戰場
• 大綱
• 雲端的代價--近期資訊安全重大案例
• 近期資訊安全重大案例(續)
• 近期資訊安全重大案例(續)
• 新裸奔年代mdash商周128期封面故事
• 免費的個資隱私
• 你可能已經被拍賣了
• 4c812db2922729⋯⋯
• 貝蒂的故事
• Slide Number 11
• 個資的拍賣價
• iPhoneAndroid手機
• 貝蒂的故事
• 貝蒂的故事
• 網路隱私權販賣流程
• 網路隱私「被賣」爭議越演越烈
• 雲端運算的迷思--簡介與應用
• 雲端運算定義
• Slide Number 20
• Slide Number 21
• 雲端運算的特性
• 雲端運算的特性
• 雲端運算的特性
• 雲端運算的特性
• 雲端運算的特性
• 雲端服務的SPI架構
• 雲端運算的本質之一 Infrastructure as a Services
• 範例 虛擬桌面架構應用
• 雲端運算的本質之二 Platform as a Services
• 雲端運算的本質之三 Software as a Services
• 雲端運算的需求 機動的增減資源的使用與自動化
• Slide Number 33
• Slide Number 34
• 全世界都在談
• 微軟
• 蘋果
• 賈伯斯為何願花14年上雲端
• 兩億用戶的工作吃喝玩樂蘋果都要賺
• iCloud推出後的受益受害者
• 雲端運算的各式應用
• Slide Number 42
• 雲端 VS資安
• Slide Number 44
• 從資安看雲端CISSP認證資訊系統安全專家的觀點
• Slide Number 46
• Intel最在意的資安議題
• 雲端運算的迷思
• 資料的安全性與隱私性
• 雲端運算安全的迷思-1
• 雲端運算安全的迷思-2
• 雲端運算安全的迷思-3
• 雲端運算安全的迷思-4
• 雲端運算安全的迷思-5
• 雲端資安-從個資法探討
• 個人資料
• 個人資料生命週期管理
• 個人資料保護生命週期（草案）
• 法規面及個資生命週期保護需求
• Slide Number 60
• Slide Number 61
• 個資法之新舊比較
• Slide Number 63
• Slide Number 64
• Slide Number 65
• Slide Number 66
• Slide Number 67
• Slide Number 68
• 為何雲端安全重要
• Slide Number 70
• Slide Number 71
• 新的資訊安全挑戰
• 新的資訊安全挑戰
• 安全性是企業最主要關注的議題
• 新的資訊安全挑戰
• Slide Number 76
• 誰是駭客內部
• 誰是駭客外部
• 誰是駭客目的
• 危險和漏洞
• 新的資訊安全挑戰
• 新的資訊安全挑戰
• 雲端運算之7大安全威脅
• 雲端運算之7大安全威脅
• 濫用或利用雲端運算進行非法行為
• 不安全的使用者介面與APIs
• 惡意的內部人員
• 共享環境所造成的議題
• 資料遺失或外洩
• 帳號或服務被竊取
• 未知的風險模型
• Slide Number 92
• 資安風險
• 風險評估矩陣
• 組織與政策
• 組織與政策
• 組織與政策
• 組織與政策
• 技術
• 技術
• 法律
• 責任是無法外包的
• 雲端運算資安架構
• Slide Number 104
• 雲端運算服務資訊安全評估
• 結語
• 結語
• Slide Number 108
• 結語mdash鑒古知今由電力產業推論資訊產業

82

新的資訊安全挑戰

他說「只有惡棍才會擔心網路隱私權」 還說「若對隱私權設限將限制網路成長」 ----施密特(former Google CEO Eric Schmidt )

83

雲端運算之7大安全威脅

雲端安全聯盟(CSA)發表雲端運算之7大威脅(TOP threats to cloud computing)

84

雲端運算之7大安全威脅

濫用或利用雲端運算進行非法的行為(Abuse and Nefarious Use of Cloud Computing)

不安全的使用者介面與APIs (Insecure Interface and APIs) 惡意的內部人員(Malicious Insiders) 共享環境所造成的議題(Shared Technology Issues) 資料遺失或外洩(Data Loss or Leakage) 帳號或服務被竊取(Account or Service Hijacking) 未知的風險模型(Unknown Risk Profile)

85

濫用或利用雲端運算進行非法行為

此一威脅主要是針對雲端運算服務的供應者而言雲端運算服務供應商(尤其是IaaS 與PaaS 供應商) 為了降低使用的門檻通常並不會要求使用者必須經過嚴格的資料審查過程就可以直接使用其所其提供的資源有些服務供應商甚至提供免費使用的功能或試用期這些做法雖然可以有效推廣雲端運算的業務卻也容易成為有心分子利用的管道事實上已經有包含殭屍網路木馬程式下載在內的惡意程式運行於雲端運算的系統內

86

不安全的使用者介面與APIs

使用者透過使用者介面或是APIs與雲端運算服務進行互動因此這些介面與APIs是否安全直接影響到雲端運算服務本身的安全性像是使用者介面的驗證與授權功能是否安全APIs 的相依性與安全性都是必須特別注意的地方此外如果有使用第三方的加值服務這些服務的介面與APIs 的安全性也必須一併加以考量

87

惡意的內部人員

內部人員所造成的問題這幾年來已經成為許多組織關注的重點採用雲端運算將會讓內部人員所產生的問題更形嚴重一個最主要的因素在於使用者無法得知雲端運算服務供應商如何規範與管理內部員工甚至連招聘的條件與流程也屬於非公開的資訊以安全的角度來說rdquo未知rdquo絕對不是一種幸福而是一種芒刺在背的威脅更何況以雲端運算的業務性質而言絕對是有心分子眼中的肥魚所以內部惡意員工的比例應當會比一般組織來的更高

88

共享環境所造成的議題

雖然使用雲端運算的服務(尤其是IaaS) 時使用者好像擁有獨立的環境但是這些環境都是從共享的實體環境中透過虛擬化的技術所產生出來的這些虛擬化的平台能否將不同的使用者進行有效地隔離以避免彼此之間相互干擾其服務的正常運算甚至是避免彼此之間可以存取對方的資源對雲端運算的安全來說是一個嚴格的挑戰

89

資料遺失或外洩

資料遺失與外洩對於一個組織的影響不只在於實際上的金錢損失更在於如企業形象之類的無形損失雲端運算因為其特定的緣故使得資料遺失或外洩的議題面臨更加嚴峻的考驗包含是否擁有足夠的AAA (驗證授權稽核)是否採用適當且足夠的加密技術資料持續性的需求如何安全地刪除資料災難復原甚至是司法管轄的問題都是必須認真加以考量的問題

90

帳號或服務被竊取

儘管帳號或服務被竊取的問題由來已久但是這類問題對於雲端運算來說更具威脅性首先因為雲端運算不像傳統的IT 架構般擁有實體的東西因此一旦帳號或服務被竊取後除非有其他的方式加以證明否則惡意分子可以完全取代原先使用者的身分在傳統的IT 環境中因為使用者至少還擁有硬體的控制權所以即使發生帳號或服務的竊取行為使用者還是可以進行一些事後的補救措施但是這些補救措施在雲端運算的架構下可能無法執行此外對於那些公開的雲端運算服務而言直接暴露於網際網路上也讓這些竊取行為更加容易發生

91

未知的風險模型

以安全的角度來說rdquo未知rdquo是一種芒刺在背的威脅以雲端運算來說不管是IaaSPaaSSaaS 都是將服務包裝成一個使用者不需了解也無法了解的系統讓使用者專注於如何rdquo使用rdquo該系統但是這樣的方便性也讓使用者無法了解這些服務所使用的網路架構安全架構軟體版本等等各式各樣的重要資訊這些資訊對於評估安全狀態是很有幫助的欠缺這些資訊將使得這樣的評估行為無法被有效地進行使用者須依所處的環境決定這些威脅的影響並採取適當的控制措施

92

雲端運算的風險 組織與政策 技術 法律

歐洲網絡與資訊安全部 The European Network and Information Security Agency (ENISA)

93

資安風險

不做風險評估的資安就是威脅及恐嚇 資安風險潛在威脅利用弱點對資產造成影響的可能性

風險 (Risk) = 潛在威脅 (Threats) x 弱點 (Vulnerabilities) x 影響 (Impact)

94

風險評估矩陣

95

組織與政策

喪失管理權限 使用雲端基礎設施客戶端必須將某些關鍵資料的控制權移轉到雲端供應商從而影響安全性同時供應商可能無法提供滿足客戶需求的服務水平協議(SLA)承諾也將形成安全性落差

96

組織與政策

鎖定(lock-in) 目前仍缺乏工具程序標準資料格式或服務介面以確保資料應用系統及服務的可攜性使用者將無法轉換雲端服務供應商甚至無法回到原來企業內部使用的系統環境這將導致過於依賴特定廠商的服務你願意承擔這種風險嗎

97

組織與政策

適用性風險(法規或標準) 轉移到雲端後認證公司可能面臨以下風險 1如果雲端服務供應商不能提供證據證明自己遵守有關規定

2如果雲端服務供應商不允許客戶對其稽核 這意味著使用公有雲的服務將可能無法達到某些法規或標準的要求

98

組織與政策

惡意的內部人員 雖然平時不太可能但由惡意的內部人員造成的損害可能往往更大雲端架構某些必要角色將有極高風險如系統管理員和託管安全服務提供商

99

技術

資源獨立性問題(ISOLATION FAILURE)

多租戶和共享資源是雲端的特點但也相對隱含一些風險包括無效的獨立儲存記憶體路由機制甚至共用資源的租戶聲譽（例如跳板攻擊）當然攻擊資源隔離機制仍比攻擊傳統系統少很多但一旦發生問題影響將更大

100

技術

不安全或不完整的資料刪除 雲端的儲存架構將使資料更難以刪除也許副本資料仍存在其他磁碟多用戶共享磁碟的結果如未完整刪除資料沒人知道是否有被復原的風險(陳姓藝人送修筆電引發的風暴)

101

法律

資料保護 雲端運算同時對使用者及供應商帶來資料保護的風險在某些情況下使用者可能難以確認供應商對資料處理方式是否合法特別是在不同雲端之間傳送資料供應商是否提供相關資訊及證明將是選擇供應商的重要參考

102

責任是無法外包的

考慮採用雲端服務時應先與使用用傳統服務的風險互相比較並非所有風險都可轉移到雲端服務商假如因為風險而導致服務中斷損害商譽恐怕沒人可以為你承擔損害切記工作可以外包責任(可歸責性accountability)是無法外包的

103

雲端運算資安架構

104

雲端運算服務資訊安全評估

105

雲端運算服務資訊安全評估 選定採用雲端服務的種類 確認相關資料與應用程式的重要性 進行整體風險分析 尋找合適業者 定期追蹤考核

106

結語

從分散獨立的資訊服務系統轉移到雲端的架構確實可以獲得許多好處例如降低成本更有彈性有效率的使用IT資源等等但是雲端的隱私及安全也不容忽視不確定性會讓使用者對風險及隱私有所質疑藉由市場競爭可以建立一個更加安全雲端

雖然一些不確定性威脅總是存在於網絡世界但透過明確的法規和大家的合作未來還是可以享用雲端的優點

107

結語

就像人們因為信任而將收入存款存放在金融銀行單位的道理一樣即使雲端運算的觀念逐漸被企業所接受採用的關鍵仍在於「信任」尤其伺服器與儲存設備雲端化的效益在於硬體資源的彈性運用其較為「可見」然而做為連結服務的關鍵網路以及攸關資訊與系統風險的安全需求所帶出的雲端服務存取速度與可靠性議題則是企業應用當中更為重要且更需建立的觀念

108

109

結語mdash鑒古知今由電力產業推論資訊產業

19世紀的電力產業 工廠自備電力 大電廠出現並提供電力網後工廠也擔心輸電線的可靠性是否有必要冒風險放棄自己發電

現在的資訊產業 企業自備電腦資源(運算能力儲存空間) 雲端服務公司出現企業擔心顧客資料機密資料放在雲端有風險是否有必要冒風險放棄IT部門

What do you think

• 漫步在雲端 資安新戰場
• 大綱
• 雲端的代價--近期資訊安全重大案例
• 近期資訊安全重大案例(續)
• 近期資訊安全重大案例(續)
• 新裸奔年代mdash商周128期封面故事
• 免費的個資隱私
• 你可能已經被拍賣了
• 4c812db2922729⋯⋯
• 貝蒂的故事
• Slide Number 11
• 個資的拍賣價
• iPhoneAndroid手機
• 貝蒂的故事
• 貝蒂的故事
• 網路隱私權販賣流程
• 網路隱私「被賣」爭議越演越烈
• 雲端運算的迷思--簡介與應用
• 雲端運算定義
• Slide Number 20
• Slide Number 21
• 雲端運算的特性
• 雲端運算的特性
• 雲端運算的特性
• 雲端運算的特性
• 雲端運算的特性
• 雲端服務的SPI架構
• 雲端運算的本質之一 Infrastructure as a Services
• 範例 虛擬桌面架構應用
• 雲端運算的本質之二 Platform as a Services
• 雲端運算的本質之三 Software as a Services
• 雲端運算的需求 機動的增減資源的使用與自動化
• Slide Number 33
• Slide Number 34
• 全世界都在談
• 微軟
• 蘋果
• 賈伯斯為何願花14年上雲端
• 兩億用戶的工作吃喝玩樂蘋果都要賺
• iCloud推出後的受益受害者
• 雲端運算的各式應用
• Slide Number 42
• 雲端 VS資安
• Slide Number 44
• 從資安看雲端CISSP認證資訊系統安全專家的觀點
• Slide Number 46
• Intel最在意的資安議題
• 雲端運算的迷思
• 資料的安全性與隱私性
• 雲端運算安全的迷思-1
• 雲端運算安全的迷思-2
• 雲端運算安全的迷思-3
• 雲端運算安全的迷思-4
• 雲端運算安全的迷思-5
• 雲端資安-從個資法探討
• 個人資料
• 個人資料生命週期管理
• 個人資料保護生命週期（草案）
• 法規面及個資生命週期保護需求
• Slide Number 60
• Slide Number 61
• 個資法之新舊比較
• Slide Number 63
• Slide Number 64
• Slide Number 65
• Slide Number 66
• Slide Number 67
• Slide Number 68
• 為何雲端安全重要
• Slide Number 70
• Slide Number 71
• 新的資訊安全挑戰
• 新的資訊安全挑戰
• 安全性是企業最主要關注的議題
• 新的資訊安全挑戰
• Slide Number 76
• 誰是駭客內部
• 誰是駭客外部
• 誰是駭客目的
• 危險和漏洞
• 新的資訊安全挑戰
• 新的資訊安全挑戰
• 雲端運算之7大安全威脅
• 雲端運算之7大安全威脅
• 濫用或利用雲端運算進行非法行為
• 不安全的使用者介面與APIs
• 惡意的內部人員
• 共享環境所造成的議題
• 資料遺失或外洩
• 帳號或服務被竊取
• 未知的風險模型
• Slide Number 92
• 資安風險
• 風險評估矩陣
• 組織與政策
• 組織與政策
• 組織與政策
• 組織與政策
• 技術
• 技術
• 法律
• 責任是無法外包的
• 雲端運算資安架構
• Slide Number 104
• 雲端運算服務資訊安全評估
• 結語
• 結語
• Slide Number 108
• 結語mdash鑒古知今由電力產業推論資訊產業

83

雲端運算之7大安全威脅

雲端安全聯盟(CSA)發表雲端運算之7大威脅(TOP threats to cloud computing)

84

雲端運算之7大安全威脅

濫用或利用雲端運算進行非法的行為(Abuse and Nefarious Use of Cloud Computing)

不安全的使用者介面與APIs (Insecure Interface and APIs) 惡意的內部人員(Malicious Insiders) 共享環境所造成的議題(Shared Technology Issues) 資料遺失或外洩(Data Loss or Leakage) 帳號或服務被竊取(Account or Service Hijacking) 未知的風險模型(Unknown Risk Profile)

85

濫用或利用雲端運算進行非法行為

此一威脅主要是針對雲端運算服務的供應者而言雲端運算服務供應商(尤其是IaaS 與PaaS 供應商) 為了降低使用的門檻通常並不會要求使用者必須經過嚴格的資料審查過程就可以直接使用其所其提供的資源有些服務供應商甚至提供免費使用的功能或試用期這些做法雖然可以有效推廣雲端運算的業務卻也容易成為有心分子利用的管道事實上已經有包含殭屍網路木馬程式下載在內的惡意程式運行於雲端運算的系統內

86

不安全的使用者介面與APIs

使用者透過使用者介面或是APIs與雲端運算服務進行互動因此這些介面與APIs是否安全直接影響到雲端運算服務本身的安全性像是使用者介面的驗證與授權功能是否安全APIs 的相依性與安全性都是必須特別注意的地方此外如果有使用第三方的加值服務這些服務的介面與APIs 的安全性也必須一併加以考量

87

惡意的內部人員

內部人員所造成的問題這幾年來已經成為許多組織關注的重點採用雲端運算將會讓內部人員所產生的問題更形嚴重一個最主要的因素在於使用者無法得知雲端運算服務供應商如何規範與管理內部員工甚至連招聘的條件與流程也屬於非公開的資訊以安全的角度來說rdquo未知rdquo絕對不是一種幸福而是一種芒刺在背的威脅更何況以雲端運算的業務性質而言絕對是有心分子眼中的肥魚所以內部惡意員工的比例應當會比一般組織來的更高

88

共享環境所造成的議題

雖然使用雲端運算的服務(尤其是IaaS) 時使用者好像擁有獨立的環境但是這些環境都是從共享的實體環境中透過虛擬化的技術所產生出來的這些虛擬化的平台能否將不同的使用者進行有效地隔離以避免彼此之間相互干擾其服務的正常運算甚至是避免彼此之間可以存取對方的資源對雲端運算的安全來說是一個嚴格的挑戰

89

資料遺失或外洩

資料遺失與外洩對於一個組織的影響不只在於實際上的金錢損失更在於如企業形象之類的無形損失雲端運算因為其特定的緣故使得資料遺失或外洩的議題面臨更加嚴峻的考驗包含是否擁有足夠的AAA (驗證授權稽核)是否採用適當且足夠的加密技術資料持續性的需求如何安全地刪除資料災難復原甚至是司法管轄的問題都是必須認真加以考量的問題

90

帳號或服務被竊取

儘管帳號或服務被竊取的問題由來已久但是這類問題對於雲端運算來說更具威脅性首先因為雲端運算不像傳統的IT 架構般擁有實體的東西因此一旦帳號或服務被竊取後除非有其他的方式加以證明否則惡意分子可以完全取代原先使用者的身分在傳統的IT 環境中因為使用者至少還擁有硬體的控制權所以即使發生帳號或服務的竊取行為使用者還是可以進行一些事後的補救措施但是這些補救措施在雲端運算的架構下可能無法執行此外對於那些公開的雲端運算服務而言直接暴露於網際網路上也讓這些竊取行為更加容易發生

91

未知的風險模型

以安全的角度來說rdquo未知rdquo是一種芒刺在背的威脅以雲端運算來說不管是IaaSPaaSSaaS 都是將服務包裝成一個使用者不需了解也無法了解的系統讓使用者專注於如何rdquo使用rdquo該系統但是這樣的方便性也讓使用者無法了解這些服務所使用的網路架構安全架構軟體版本等等各式各樣的重要資訊這些資訊對於評估安全狀態是很有幫助的欠缺這些資訊將使得這樣的評估行為無法被有效地進行使用者須依所處的環境決定這些威脅的影響並採取適當的控制措施

92

雲端運算的風險 組織與政策 技術 法律

歐洲網絡與資訊安全部 The European Network and Information Security Agency (ENISA)

93

資安風險

不做風險評估的資安就是威脅及恐嚇 資安風險潛在威脅利用弱點對資產造成影響的可能性

風險 (Risk) = 潛在威脅 (Threats) x 弱點 (Vulnerabilities) x 影響 (Impact)

94

風險評估矩陣

95

組織與政策

喪失管理權限 使用雲端基礎設施客戶端必須將某些關鍵資料的控制權移轉到雲端供應商從而影響安全性同時供應商可能無法提供滿足客戶需求的服務水平協議(SLA)承諾也將形成安全性落差

96

組織與政策

鎖定(lock-in) 目前仍缺乏工具程序標準資料格式或服務介面以確保資料應用系統及服務的可攜性使用者將無法轉換雲端服務供應商甚至無法回到原來企業內部使用的系統環境這將導致過於依賴特定廠商的服務你願意承擔這種風險嗎

97

組織與政策

適用性風險(法規或標準) 轉移到雲端後認證公司可能面臨以下風險 1如果雲端服務供應商不能提供證據證明自己遵守有關規定

2如果雲端服務供應商不允許客戶對其稽核 這意味著使用公有雲的服務將可能無法達到某些法規或標準的要求

98

組織與政策

惡意的內部人員 雖然平時不太可能但由惡意的內部人員造成的損害可能往往更大雲端架構某些必要角色將有極高風險如系統管理員和託管安全服務提供商

99

技術

資源獨立性問題(ISOLATION FAILURE)

多租戶和共享資源是雲端的特點但也相對隱含一些風險包括無效的獨立儲存記憶體路由機制甚至共用資源的租戶聲譽（例如跳板攻擊）當然攻擊資源隔離機制仍比攻擊傳統系統少很多但一旦發生問題影響將更大

100

技術

不安全或不完整的資料刪除 雲端的儲存架構將使資料更難以刪除也許副本資料仍存在其他磁碟多用戶共享磁碟的結果如未完整刪除資料沒人知道是否有被復原的風險(陳姓藝人送修筆電引發的風暴)

101

法律

資料保護 雲端運算同時對使用者及供應商帶來資料保護的風險在某些情況下使用者可能難以確認供應商對資料處理方式是否合法特別是在不同雲端之間傳送資料供應商是否提供相關資訊及證明將是選擇供應商的重要參考

102

責任是無法外包的

考慮採用雲端服務時應先與使用用傳統服務的風險互相比較並非所有風險都可轉移到雲端服務商假如因為風險而導致服務中斷損害商譽恐怕沒人可以為你承擔損害切記工作可以外包責任(可歸責性accountability)是無法外包的

103

雲端運算資安架構

104

雲端運算服務資訊安全評估

105

雲端運算服務資訊安全評估 選定採用雲端服務的種類 確認相關資料與應用程式的重要性 進行整體風險分析 尋找合適業者 定期追蹤考核

106

結語

從分散獨立的資訊服務系統轉移到雲端的架構確實可以獲得許多好處例如降低成本更有彈性有效率的使用IT資源等等但是雲端的隱私及安全也不容忽視不確定性會讓使用者對風險及隱私有所質疑藉由市場競爭可以建立一個更加安全雲端

雖然一些不確定性威脅總是存在於網絡世界但透過明確的法規和大家的合作未來還是可以享用雲端的優點

107

結語

就像人們因為信任而將收入存款存放在金融銀行單位的道理一樣即使雲端運算的觀念逐漸被企業所接受採用的關鍵仍在於「信任」尤其伺服器與儲存設備雲端化的效益在於硬體資源的彈性運用其較為「可見」然而做為連結服務的關鍵網路以及攸關資訊與系統風險的安全需求所帶出的雲端服務存取速度與可靠性議題則是企業應用當中更為重要且更需建立的觀念

108

109

結語mdash鑒古知今由電力產業推論資訊產業

19世紀的電力產業 工廠自備電力 大電廠出現並提供電力網後工廠也擔心輸電線的可靠性是否有必要冒風險放棄自己發電

現在的資訊產業 企業自備電腦資源(運算能力儲存空間) 雲端服務公司出現企業擔心顧客資料機密資料放在雲端有風險是否有必要冒風險放棄IT部門

What do you think

• 漫步在雲端 資安新戰場
• 大綱
• 雲端的代價--近期資訊安全重大案例
• 近期資訊安全重大案例(續)
• 近期資訊安全重大案例(續)
• 新裸奔年代mdash商周128期封面故事
• 免費的個資隱私
• 你可能已經被拍賣了
• 4c812db2922729⋯⋯
• 貝蒂的故事
• Slide Number 11
• 個資的拍賣價
• iPhoneAndroid手機
• 貝蒂的故事
• 貝蒂的故事
• 網路隱私權販賣流程
• 網路隱私「被賣」爭議越演越烈
• 雲端運算的迷思--簡介與應用
• 雲端運算定義
• Slide Number 20
• Slide Number 21
• 雲端運算的特性
• 雲端運算的特性
• 雲端運算的特性
• 雲端運算的特性
• 雲端運算的特性
• 雲端服務的SPI架構
• 雲端運算的本質之一 Infrastructure as a Services
• 範例 虛擬桌面架構應用
• 雲端運算的本質之二 Platform as a Services
• 雲端運算的本質之三 Software as a Services
• 雲端運算的需求 機動的增減資源的使用與自動化
• Slide Number 33
• Slide Number 34
• 全世界都在談
• 微軟
• 蘋果
• 賈伯斯為何願花14年上雲端
• 兩億用戶的工作吃喝玩樂蘋果都要賺
• iCloud推出後的受益受害者
• 雲端運算的各式應用
• Slide Number 42
• 雲端 VS資安
• Slide Number 44
• 從資安看雲端CISSP認證資訊系統安全專家的觀點
• Slide Number 46
• Intel最在意的資安議題
• 雲端運算的迷思
• 資料的安全性與隱私性
• 雲端運算安全的迷思-1
• 雲端運算安全的迷思-2
• 雲端運算安全的迷思-3
• 雲端運算安全的迷思-4
• 雲端運算安全的迷思-5
• 雲端資安-從個資法探討
• 個人資料
• 個人資料生命週期管理
• 個人資料保護生命週期（草案）
• 法規面及個資生命週期保護需求
• Slide Number 60
• Slide Number 61
• 個資法之新舊比較
• Slide Number 63
• Slide Number 64
• Slide Number 65
• Slide Number 66
• Slide Number 67
• Slide Number 68
• 為何雲端安全重要
• Slide Number 70
• Slide Number 71
• 新的資訊安全挑戰
• 新的資訊安全挑戰
• 安全性是企業最主要關注的議題
• 新的資訊安全挑戰
• Slide Number 76
• 誰是駭客內部
• 誰是駭客外部
• 誰是駭客目的
• 危險和漏洞
• 新的資訊安全挑戰
• 新的資訊安全挑戰
• 雲端運算之7大安全威脅
• 雲端運算之7大安全威脅
• 濫用或利用雲端運算進行非法行為
• 不安全的使用者介面與APIs
• 惡意的內部人員
• 共享環境所造成的議題
• 資料遺失或外洩
• 帳號或服務被竊取
• 未知的風險模型
• Slide Number 92
• 資安風險
• 風險評估矩陣
• 組織與政策
• 組織與政策
• 組織與政策
• 組織與政策
• 技術
• 技術
• 法律
• 責任是無法外包的
• 雲端運算資安架構
• Slide Number 104
• 雲端運算服務資訊安全評估
• 結語
• 結語
• Slide Number 108
• 結語mdash鑒古知今由電力產業推論資訊產業

84

雲端運算之7大安全威脅

濫用或利用雲端運算進行非法的行為(Abuse and Nefarious Use of Cloud Computing)

不安全的使用者介面與APIs (Insecure Interface and APIs) 惡意的內部人員(Malicious Insiders) 共享環境所造成的議題(Shared Technology Issues) 資料遺失或外洩(Data Loss or Leakage) 帳號或服務被竊取(Account or Service Hijacking) 未知的風險模型(Unknown Risk Profile)

85

濫用或利用雲端運算進行非法行為

此一威脅主要是針對雲端運算服務的供應者而言雲端運算服務供應商(尤其是IaaS 與PaaS 供應商) 為了降低使用的門檻通常並不會要求使用者必須經過嚴格的資料審查過程就可以直接使用其所其提供的資源有些服務供應商甚至提供免費使用的功能或試用期這些做法雖然可以有效推廣雲端運算的業務卻也容易成為有心分子利用的管道事實上已經有包含殭屍網路木馬程式下載在內的惡意程式運行於雲端運算的系統內

86

不安全的使用者介面與APIs

使用者透過使用者介面或是APIs與雲端運算服務進行互動因此這些介面與APIs是否安全直接影響到雲端運算服務本身的安全性像是使用者介面的驗證與授權功能是否安全APIs 的相依性與安全性都是必須特別注意的地方此外如果有使用第三方的加值服務這些服務的介面與APIs 的安全性也必須一併加以考量

87

惡意的內部人員

內部人員所造成的問題這幾年來已經成為許多組織關注的重點採用雲端運算將會讓內部人員所產生的問題更形嚴重一個最主要的因素在於使用者無法得知雲端運算服務供應商如何規範與管理內部員工甚至連招聘的條件與流程也屬於非公開的資訊以安全的角度來說rdquo未知rdquo絕對不是一種幸福而是一種芒刺在背的威脅更何況以雲端運算的業務性質而言絕對是有心分子眼中的肥魚所以內部惡意員工的比例應當會比一般組織來的更高

88

共享環境所造成的議題

雖然使用雲端運算的服務(尤其是IaaS) 時使用者好像擁有獨立的環境但是這些環境都是從共享的實體環境中透過虛擬化的技術所產生出來的這些虛擬化的平台能否將不同的使用者進行有效地隔離以避免彼此之間相互干擾其服務的正常運算甚至是避免彼此之間可以存取對方的資源對雲端運算的安全來說是一個嚴格的挑戰

89

資料遺失或外洩

資料遺失與外洩對於一個組織的影響不只在於實際上的金錢損失更在於如企業形象之類的無形損失雲端運算因為其特定的緣故使得資料遺失或外洩的議題面臨更加嚴峻的考驗包含是否擁有足夠的AAA (驗證授權稽核)是否採用適當且足夠的加密技術資料持續性的需求如何安全地刪除資料災難復原甚至是司法管轄的問題都是必須認真加以考量的問題

90

帳號或服務被竊取

儘管帳號或服務被竊取的問題由來已久但是這類問題對於雲端運算來說更具威脅性首先因為雲端運算不像傳統的IT 架構般擁有實體的東西因此一旦帳號或服務被竊取後除非有其他的方式加以證明否則惡意分子可以完全取代原先使用者的身分在傳統的IT 環境中因為使用者至少還擁有硬體的控制權所以即使發生帳號或服務的竊取行為使用者還是可以進行一些事後的補救措施但是這些補救措施在雲端運算的架構下可能無法執行此外對於那些公開的雲端運算服務而言直接暴露於網際網路上也讓這些竊取行為更加容易發生

91

未知的風險模型

以安全的角度來說rdquo未知rdquo是一種芒刺在背的威脅以雲端運算來說不管是IaaSPaaSSaaS 都是將服務包裝成一個使用者不需了解也無法了解的系統讓使用者專注於如何rdquo使用rdquo該系統但是這樣的方便性也讓使用者無法了解這些服務所使用的網路架構安全架構軟體版本等等各式各樣的重要資訊這些資訊對於評估安全狀態是很有幫助的欠缺這些資訊將使得這樣的評估行為無法被有效地進行使用者須依所處的環境決定這些威脅的影響並採取適當的控制措施

92

雲端運算的風險 組織與政策 技術 法律

歐洲網絡與資訊安全部 The European Network and Information Security Agency (ENISA)

93

資安風險

不做風險評估的資安就是威脅及恐嚇 資安風險潛在威脅利用弱點對資產造成影響的可能性

風險 (Risk) = 潛在威脅 (Threats) x 弱點 (Vulnerabilities) x 影響 (Impact)

94

風險評估矩陣

95

組織與政策

喪失管理權限 使用雲端基礎設施客戶端必須將某些關鍵資料的控制權移轉到雲端供應商從而影響安全性同時供應商可能無法提供滿足客戶需求的服務水平協議(SLA)承諾也將形成安全性落差

96

組織與政策

鎖定(lock-in) 目前仍缺乏工具程序標準資料格式或服務介面以確保資料應用系統及服務的可攜性使用者將無法轉換雲端服務供應商甚至無法回到原來企業內部使用的系統環境這將導致過於依賴特定廠商的服務你願意承擔這種風險嗎

97

組織與政策

適用性風險(法規或標準) 轉移到雲端後認證公司可能面臨以下風險 1如果雲端服務供應商不能提供證據證明自己遵守有關規定

2如果雲端服務供應商不允許客戶對其稽核 這意味著使用公有雲的服務將可能無法達到某些法規或標準的要求

98

組織與政策

惡意的內部人員 雖然平時不太可能但由惡意的內部人員造成的損害可能往往更大雲端架構某些必要角色將有極高風險如系統管理員和託管安全服務提供商

99

技術

資源獨立性問題(ISOLATION FAILURE)

多租戶和共享資源是雲端的特點但也相對隱含一些風險包括無效的獨立儲存記憶體路由機制甚至共用資源的租戶聲譽（例如跳板攻擊）當然攻擊資源隔離機制仍比攻擊傳統系統少很多但一旦發生問題影響將更大

100

技術

不安全或不完整的資料刪除 雲端的儲存架構將使資料更難以刪除也許副本資料仍存在其他磁碟多用戶共享磁碟的結果如未完整刪除資料沒人知道是否有被復原的風險(陳姓藝人送修筆電引發的風暴)

101

法律

資料保護 雲端運算同時對使用者及供應商帶來資料保護的風險在某些情況下使用者可能難以確認供應商對資料處理方式是否合法特別是在不同雲端之間傳送資料供應商是否提供相關資訊及證明將是選擇供應商的重要參考

102

責任是無法外包的

考慮採用雲端服務時應先與使用用傳統服務的風險互相比較並非所有風險都可轉移到雲端服務商假如因為風險而導致服務中斷損害商譽恐怕沒人可以為你承擔損害切記工作可以外包責任(可歸責性accountability)是無法外包的

103

雲端運算資安架構

104

雲端運算服務資訊安全評估

105

雲端運算服務資訊安全評估 選定採用雲端服務的種類 確認相關資料與應用程式的重要性 進行整體風險分析 尋找合適業者 定期追蹤考核

106

結語

從分散獨立的資訊服務系統轉移到雲端的架構確實可以獲得許多好處例如降低成本更有彈性有效率的使用IT資源等等但是雲端的隱私及安全也不容忽視不確定性會讓使用者對風險及隱私有所質疑藉由市場競爭可以建立一個更加安全雲端

雖然一些不確定性威脅總是存在於網絡世界但透過明確的法規和大家的合作未來還是可以享用雲端的優點

107

結語

就像人們因為信任而將收入存款存放在金融銀行單位的道理一樣即使雲端運算的觀念逐漸被企業所接受採用的關鍵仍在於「信任」尤其伺服器與儲存設備雲端化的效益在於硬體資源的彈性運用其較為「可見」然而做為連結服務的關鍵網路以及攸關資訊與系統風險的安全需求所帶出的雲端服務存取速度與可靠性議題則是企業應用當中更為重要且更需建立的觀念

108

109

結語mdash鑒古知今由電力產業推論資訊產業

19世紀的電力產業 工廠自備電力 大電廠出現並提供電力網後工廠也擔心輸電線的可靠性是否有必要冒風險放棄自己發電

現在的資訊產業 企業自備電腦資源(運算能力儲存空間) 雲端服務公司出現企業擔心顧客資料機密資料放在雲端有風險是否有必要冒風險放棄IT部門

What do you think

• 漫步在雲端 資安新戰場
• 大綱
• 雲端的代價--近期資訊安全重大案例
• 近期資訊安全重大案例(續)
• 近期資訊安全重大案例(續)
• 新裸奔年代mdash商周128期封面故事
• 免費的個資隱私
• 你可能已經被拍賣了
• 4c812db2922729⋯⋯
• 貝蒂的故事
• Slide Number 11
• 個資的拍賣價
• iPhoneAndroid手機
• 貝蒂的故事
• 貝蒂的故事
• 網路隱私權販賣流程
• 網路隱私「被賣」爭議越演越烈
• 雲端運算的迷思--簡介與應用
• 雲端運算定義
• Slide Number 20
• Slide Number 21
• 雲端運算的特性
• 雲端運算的特性
• 雲端運算的特性
• 雲端運算的特性
• 雲端運算的特性
• 雲端服務的SPI架構
• 雲端運算的本質之一 Infrastructure as a Services
• 範例 虛擬桌面架構應用
• 雲端運算的本質之二 Platform as a Services
• 雲端運算的本質之三 Software as a Services
• 雲端運算的需求 機動的增減資源的使用與自動化
• Slide Number 33
• Slide Number 34
• 全世界都在談
• 微軟
• 蘋果
• 賈伯斯為何願花14年上雲端
• 兩億用戶的工作吃喝玩樂蘋果都要賺
• iCloud推出後的受益受害者
• 雲端運算的各式應用
• Slide Number 42
• 雲端 VS資安
• Slide Number 44
• 從資安看雲端CISSP認證資訊系統安全專家的觀點
• Slide Number 46
• Intel最在意的資安議題
• 雲端運算的迷思
• 資料的安全性與隱私性
• 雲端運算安全的迷思-1
• 雲端運算安全的迷思-2
• 雲端運算安全的迷思-3
• 雲端運算安全的迷思-4
• 雲端運算安全的迷思-5
• 雲端資安-從個資法探討
• 個人資料
• 個人資料生命週期管理
• 個人資料保護生命週期（草案）
• 法規面及個資生命週期保護需求
• Slide Number 60
• Slide Number 61
• 個資法之新舊比較
• Slide Number 63
• Slide Number 64
• Slide Number 65
• Slide Number 66
• Slide Number 67
• Slide Number 68
• 為何雲端安全重要
• Slide Number 70
• Slide Number 71
• 新的資訊安全挑戰
• 新的資訊安全挑戰
• 安全性是企業最主要關注的議題
• 新的資訊安全挑戰
• Slide Number 76
• 誰是駭客內部
• 誰是駭客外部
• 誰是駭客目的
• 危險和漏洞
• 新的資訊安全挑戰
• 新的資訊安全挑戰
• 雲端運算之7大安全威脅
• 雲端運算之7大安全威脅
• 濫用或利用雲端運算進行非法行為
• 不安全的使用者介面與APIs
• 惡意的內部人員
• 共享環境所造成的議題
• 資料遺失或外洩
• 帳號或服務被竊取
• 未知的風險模型
• Slide Number 92
• 資安風險
• 風險評估矩陣
• 組織與政策
• 組織與政策
• 組織與政策
• 組織與政策
• 技術
• 技術
• 法律
• 責任是無法外包的
• 雲端運算資安架構
• Slide Number 104
• 雲端運算服務資訊安全評估
• 結語
• 結語
• Slide Number 108
• 結語mdash鑒古知今由電力產業推論資訊產業

85

濫用或利用雲端運算進行非法行為

此一威脅主要是針對雲端運算服務的供應者而言雲端運算服務供應商(尤其是IaaS 與PaaS 供應商) 為了降低使用的門檻通常並不會要求使用者必須經過嚴格的資料審查過程就可以直接使用其所其提供的資源有些服務供應商甚至提供免費使用的功能或試用期這些做法雖然可以有效推廣雲端運算的業務卻也容易成為有心分子利用的管道事實上已經有包含殭屍網路木馬程式下載在內的惡意程式運行於雲端運算的系統內

86

不安全的使用者介面與APIs

使用者透過使用者介面或是APIs與雲端運算服務進行互動因此這些介面與APIs是否安全直接影響到雲端運算服務本身的安全性像是使用者介面的驗證與授權功能是否安全APIs 的相依性與安全性都是必須特別注意的地方此外如果有使用第三方的加值服務這些服務的介面與APIs 的安全性也必須一併加以考量

87

惡意的內部人員

內部人員所造成的問題這幾年來已經成為許多組織關注的重點採用雲端運算將會讓內部人員所產生的問題更形嚴重一個最主要的因素在於使用者無法得知雲端運算服務供應商如何規範與管理內部員工甚至連招聘的條件與流程也屬於非公開的資訊以安全的角度來說rdquo未知rdquo絕對不是一種幸福而是一種芒刺在背的威脅更何況以雲端運算的業務性質而言絕對是有心分子眼中的肥魚所以內部惡意員工的比例應當會比一般組織來的更高

88

共享環境所造成的議題

雖然使用雲端運算的服務(尤其是IaaS) 時使用者好像擁有獨立的環境但是這些環境都是從共享的實體環境中透過虛擬化的技術所產生出來的這些虛擬化的平台能否將不同的使用者進行有效地隔離以避免彼此之間相互干擾其服務的正常運算甚至是避免彼此之間可以存取對方的資源對雲端運算的安全來說是一個嚴格的挑戰

89

資料遺失或外洩

資料遺失與外洩對於一個組織的影響不只在於實際上的金錢損失更在於如企業形象之類的無形損失雲端運算因為其特定的緣故使得資料遺失或外洩的議題面臨更加嚴峻的考驗包含是否擁有足夠的AAA (驗證授權稽核)是否採用適當且足夠的加密技術資料持續性的需求如何安全地刪除資料災難復原甚至是司法管轄的問題都是必須認真加以考量的問題

90

帳號或服務被竊取

儘管帳號或服務被竊取的問題由來已久但是這類問題對於雲端運算來說更具威脅性首先因為雲端運算不像傳統的IT 架構般擁有實體的東西因此一旦帳號或服務被竊取後除非有其他的方式加以證明否則惡意分子可以完全取代原先使用者的身分在傳統的IT 環境中因為使用者至少還擁有硬體的控制權所以即使發生帳號或服務的竊取行為使用者還是可以進行一些事後的補救措施但是這些補救措施在雲端運算的架構下可能無法執行此外對於那些公開的雲端運算服務而言直接暴露於網際網路上也讓這些竊取行為更加容易發生

91

未知的風險模型

以安全的角度來說rdquo未知rdquo是一種芒刺在背的威脅以雲端運算來說不管是IaaSPaaSSaaS 都是將服務包裝成一個使用者不需了解也無法了解的系統讓使用者專注於如何rdquo使用rdquo該系統但是這樣的方便性也讓使用者無法了解這些服務所使用的網路架構安全架構軟體版本等等各式各樣的重要資訊這些資訊對於評估安全狀態是很有幫助的欠缺這些資訊將使得這樣的評估行為無法被有效地進行使用者須依所處的環境決定這些威脅的影響並採取適當的控制措施

92

雲端運算的風險 組織與政策 技術 法律

歐洲網絡與資訊安全部 The European Network and Information Security Agency (ENISA)

93

資安風險

不做風險評估的資安就是威脅及恐嚇 資安風險潛在威脅利用弱點對資產造成影響的可能性

風險 (Risk) = 潛在威脅 (Threats) x 弱點 (Vulnerabilities) x 影響 (Impact)

94

風險評估矩陣

95

組織與政策

喪失管理權限 使用雲端基礎設施客戶端必須將某些關鍵資料的控制權移轉到雲端供應商從而影響安全性同時供應商可能無法提供滿足客戶需求的服務水平協議(SLA)承諾也將形成安全性落差

96

組織與政策

鎖定(lock-in) 目前仍缺乏工具程序標準資料格式或服務介面以確保資料應用系統及服務的可攜性使用者將無法轉換雲端服務供應商甚至無法回到原來企業內部使用的系統環境這將導致過於依賴特定廠商的服務你願意承擔這種風險嗎

97

組織與政策

適用性風險(法規或標準) 轉移到雲端後認證公司可能面臨以下風險 1如果雲端服務供應商不能提供證據證明自己遵守有關規定

2如果雲端服務供應商不允許客戶對其稽核 這意味著使用公有雲的服務將可能無法達到某些法規或標準的要求

98

組織與政策

惡意的內部人員 雖然平時不太可能但由惡意的內部人員造成的損害可能往往更大雲端架構某些必要角色將有極高風險如系統管理員和託管安全服務提供商

99

技術

資源獨立性問題(ISOLATION FAILURE)

多租戶和共享資源是雲端的特點但也相對隱含一些風險包括無效的獨立儲存記憶體路由機制甚至共用資源的租戶聲譽（例如跳板攻擊）當然攻擊資源隔離機制仍比攻擊傳統系統少很多但一旦發生問題影響將更大

100

技術

不安全或不完整的資料刪除 雲端的儲存架構將使資料更難以刪除也許副本資料仍存在其他磁碟多用戶共享磁碟的結果如未完整刪除資料沒人知道是否有被復原的風險(陳姓藝人送修筆電引發的風暴)

101

法律

資料保護 雲端運算同時對使用者及供應商帶來資料保護的風險在某些情況下使用者可能難以確認供應商對資料處理方式是否合法特別是在不同雲端之間傳送資料供應商是否提供相關資訊及證明將是選擇供應商的重要參考

102

責任是無法外包的

考慮採用雲端服務時應先與使用用傳統服務的風險互相比較並非所有風險都可轉移到雲端服務商假如因為風險而導致服務中斷損害商譽恐怕沒人可以為你承擔損害切記工作可以外包責任(可歸責性accountability)是無法外包的

103

雲端運算資安架構

104

雲端運算服務資訊安全評估

105

雲端運算服務資訊安全評估 選定採用雲端服務的種類 確認相關資料與應用程式的重要性 進行整體風險分析 尋找合適業者 定期追蹤考核

106

結語

從分散獨立的資訊服務系統轉移到雲端的架構確實可以獲得許多好處例如降低成本更有彈性有效率的使用IT資源等等但是雲端的隱私及安全也不容忽視不確定性會讓使用者對風險及隱私有所質疑藉由市場競爭可以建立一個更加安全雲端

雖然一些不確定性威脅總是存在於網絡世界但透過明確的法規和大家的合作未來還是可以享用雲端的優點

107

結語

就像人們因為信任而將收入存款存放在金融銀行單位的道理一樣即使雲端運算的觀念逐漸被企業所接受採用的關鍵仍在於「信任」尤其伺服器與儲存設備雲端化的效益在於硬體資源的彈性運用其較為「可見」然而做為連結服務的關鍵網路以及攸關資訊與系統風險的安全需求所帶出的雲端服務存取速度與可靠性議題則是企業應用當中更為重要且更需建立的觀念

108

109

結語mdash鑒古知今由電力產業推論資訊產業

19世紀的電力產業 工廠自備電力 大電廠出現並提供電力網後工廠也擔心輸電線的可靠性是否有必要冒風險放棄自己發電

現在的資訊產業 企業自備電腦資源(運算能力儲存空間) 雲端服務公司出現企業擔心顧客資料機密資料放在雲端有風險是否有必要冒風險放棄IT部門

What do you think

• 漫步在雲端 資安新戰場
• 大綱
• 雲端的代價--近期資訊安全重大案例
• 近期資訊安全重大案例(續)
• 近期資訊安全重大案例(續)
• 新裸奔年代mdash商周128期封面故事
• 免費的個資隱私
• 你可能已經被拍賣了
• 4c812db2922729⋯⋯
• 貝蒂的故事
• Slide Number 11
• 個資的拍賣價
• iPhoneAndroid手機
• 貝蒂的故事
• 貝蒂的故事
• 網路隱私權販賣流程
• 網路隱私「被賣」爭議越演越烈
• 雲端運算的迷思--簡介與應用
• 雲端運算定義
• Slide Number 20
• Slide Number 21
• 雲端運算的特性
• 雲端運算的特性
• 雲端運算的特性
• 雲端運算的特性
• 雲端運算的特性
• 雲端服務的SPI架構
• 雲端運算的本質之一 Infrastructure as a Services
• 範例 虛擬桌面架構應用
• 雲端運算的本質之二 Platform as a Services
• 雲端運算的本質之三 Software as a Services
• 雲端運算的需求 機動的增減資源的使用與自動化
• Slide Number 33
• Slide Number 34
• 全世界都在談
• 微軟
• 蘋果
• 賈伯斯為何願花14年上雲端
• 兩億用戶的工作吃喝玩樂蘋果都要賺
• iCloud推出後的受益受害者
• 雲端運算的各式應用
• Slide Number 42
• 雲端 VS資安
• Slide Number 44
• 從資安看雲端CISSP認證資訊系統安全專家的觀點
• Slide Number 46
• Intel最在意的資安議題
• 雲端運算的迷思
• 資料的安全性與隱私性
• 雲端運算安全的迷思-1
• 雲端運算安全的迷思-2
• 雲端運算安全的迷思-3
• 雲端運算安全的迷思-4
• 雲端運算安全的迷思-5
• 雲端資安-從個資法探討
• 個人資料
• 個人資料生命週期管理
• 個人資料保護生命週期（草案）
• 法規面及個資生命週期保護需求
• Slide Number 60
• Slide Number 61
• 個資法之新舊比較
• Slide Number 63
• Slide Number 64
• Slide Number 65
• Slide Number 66
• Slide Number 67
• Slide Number 68
• 為何雲端安全重要
• Slide Number 70
• Slide Number 71
• 新的資訊安全挑戰
• 新的資訊安全挑戰
• 安全性是企業最主要關注的議題
• 新的資訊安全挑戰
• Slide Number 76
• 誰是駭客內部
• 誰是駭客外部
• 誰是駭客目的
• 危險和漏洞
• 新的資訊安全挑戰
• 新的資訊安全挑戰
• 雲端運算之7大安全威脅
• 雲端運算之7大安全威脅
• 濫用或利用雲端運算進行非法行為
• 不安全的使用者介面與APIs
• 惡意的內部人員
• 共享環境所造成的議題
• 資料遺失或外洩
• 帳號或服務被竊取
• 未知的風險模型
• Slide Number 92
• 資安風險
• 風險評估矩陣
• 組織與政策
• 組織與政策
• 組織與政策
• 組織與政策
• 技術
• 技術
• 法律
• 責任是無法外包的
• 雲端運算資安架構
• Slide Number 104
• 雲端運算服務資訊安全評估
• 結語
• 結語
• Slide Number 108
• 結語mdash鑒古知今由電力產業推論資訊產業

86

不安全的使用者介面與APIs

使用者透過使用者介面或是APIs與雲端運算服務進行互動因此這些介面與APIs是否安全直接影響到雲端運算服務本身的安全性像是使用者介面的驗證與授權功能是否安全APIs 的相依性與安全性都是必須特別注意的地方此外如果有使用第三方的加值服務這些服務的介面與APIs 的安全性也必須一併加以考量

87

惡意的內部人員

內部人員所造成的問題這幾年來已經成為許多組織關注的重點採用雲端運算將會讓內部人員所產生的問題更形嚴重一個最主要的因素在於使用者無法得知雲端運算服務供應商如何規範與管理內部員工甚至連招聘的條件與流程也屬於非公開的資訊以安全的角度來說rdquo未知rdquo絕對不是一種幸福而是一種芒刺在背的威脅更何況以雲端運算的業務性質而言絕對是有心分子眼中的肥魚所以內部惡意員工的比例應當會比一般組織來的更高

88

共享環境所造成的議題

雖然使用雲端運算的服務(尤其是IaaS) 時使用者好像擁有獨立的環境但是這些環境都是從共享的實體環境中透過虛擬化的技術所產生出來的這些虛擬化的平台能否將不同的使用者進行有效地隔離以避免彼此之間相互干擾其服務的正常運算甚至是避免彼此之間可以存取對方的資源對雲端運算的安全來說是一個嚴格的挑戰

89

資料遺失或外洩

資料遺失與外洩對於一個組織的影響不只在於實際上的金錢損失更在於如企業形象之類的無形損失雲端運算因為其特定的緣故使得資料遺失或外洩的議題面臨更加嚴峻的考驗包含是否擁有足夠的AAA (驗證授權稽核)是否採用適當且足夠的加密技術資料持續性的需求如何安全地刪除資料災難復原甚至是司法管轄的問題都是必須認真加以考量的問題

90

帳號或服務被竊取

儘管帳號或服務被竊取的問題由來已久但是這類問題對於雲端運算來說更具威脅性首先因為雲端運算不像傳統的IT 架構般擁有實體的東西因此一旦帳號或服務被竊取後除非有其他的方式加以證明否則惡意分子可以完全取代原先使用者的身分在傳統的IT 環境中因為使用者至少還擁有硬體的控制權所以即使發生帳號或服務的竊取行為使用者還是可以進行一些事後的補救措施但是這些補救措施在雲端運算的架構下可能無法執行此外對於那些公開的雲端運算服務而言直接暴露於網際網路上也讓這些竊取行為更加容易發生

91

未知的風險模型

以安全的角度來說rdquo未知rdquo是一種芒刺在背的威脅以雲端運算來說不管是IaaSPaaSSaaS 都是將服務包裝成一個使用者不需了解也無法了解的系統讓使用者專注於如何rdquo使用rdquo該系統但是這樣的方便性也讓使用者無法了解這些服務所使用的網路架構安全架構軟體版本等等各式各樣的重要資訊這些資訊對於評估安全狀態是很有幫助的欠缺這些資訊將使得這樣的評估行為無法被有效地進行使用者須依所處的環境決定這些威脅的影響並採取適當的控制措施

92

雲端運算的風險 組織與政策 技術 法律

歐洲網絡與資訊安全部 The European Network and Information Security Agency (ENISA)

93

資安風險

不做風險評估的資安就是威脅及恐嚇 資安風險潛在威脅利用弱點對資產造成影響的可能性

風險 (Risk) = 潛在威脅 (Threats) x 弱點 (Vulnerabilities) x 影響 (Impact)

94

風險評估矩陣

95

組織與政策

喪失管理權限 使用雲端基礎設施客戶端必須將某些關鍵資料的控制權移轉到雲端供應商從而影響安全性同時供應商可能無法提供滿足客戶需求的服務水平協議(SLA)承諾也將形成安全性落差

96

組織與政策

鎖定(lock-in) 目前仍缺乏工具程序標準資料格式或服務介面以確保資料應用系統及服務的可攜性使用者將無法轉換雲端服務供應商甚至無法回到原來企業內部使用的系統環境這將導致過於依賴特定廠商的服務你願意承擔這種風險嗎

97

組織與政策

適用性風險(法規或標準) 轉移到雲端後認證公司可能面臨以下風險 1如果雲端服務供應商不能提供證據證明自己遵守有關規定

2如果雲端服務供應商不允許客戶對其稽核 這意味著使用公有雲的服務將可能無法達到某些法規或標準的要求

98

組織與政策

惡意的內部人員 雖然平時不太可能但由惡意的內部人員造成的損害可能往往更大雲端架構某些必要角色將有極高風險如系統管理員和託管安全服務提供商

99

技術

資源獨立性問題(ISOLATION FAILURE)

多租戶和共享資源是雲端的特點但也相對隱含一些風險包括無效的獨立儲存記憶體路由機制甚至共用資源的租戶聲譽（例如跳板攻擊）當然攻擊資源隔離機制仍比攻擊傳統系統少很多但一旦發生問題影響將更大

100

技術

不安全或不完整的資料刪除 雲端的儲存架構將使資料更難以刪除也許副本資料仍存在其他磁碟多用戶共享磁碟的結果如未完整刪除資料沒人知道是否有被復原的風險(陳姓藝人送修筆電引發的風暴)

101

法律

資料保護 雲端運算同時對使用者及供應商帶來資料保護的風險在某些情況下使用者可能難以確認供應商對資料處理方式是否合法特別是在不同雲端之間傳送資料供應商是否提供相關資訊及證明將是選擇供應商的重要參考

102

責任是無法外包的

考慮採用雲端服務時應先與使用用傳統服務的風險互相比較並非所有風險都可轉移到雲端服務商假如因為風險而導致服務中斷損害商譽恐怕沒人可以為你承擔損害切記工作可以外包責任(可歸責性accountability)是無法外包的

103

雲端運算資安架構

104

雲端運算服務資訊安全評估

105

雲端運算服務資訊安全評估 選定採用雲端服務的種類 確認相關資料與應用程式的重要性 進行整體風險分析 尋找合適業者 定期追蹤考核

106

結語

從分散獨立的資訊服務系統轉移到雲端的架構確實可以獲得許多好處例如降低成本更有彈性有效率的使用IT資源等等但是雲端的隱私及安全也不容忽視不確定性會讓使用者對風險及隱私有所質疑藉由市場競爭可以建立一個更加安全雲端

雖然一些不確定性威脅總是存在於網絡世界但透過明確的法規和大家的合作未來還是可以享用雲端的優點

107

結語

就像人們因為信任而將收入存款存放在金融銀行單位的道理一樣即使雲端運算的觀念逐漸被企業所接受採用的關鍵仍在於「信任」尤其伺服器與儲存設備雲端化的效益在於硬體資源的彈性運用其較為「可見」然而做為連結服務的關鍵網路以及攸關資訊與系統風險的安全需求所帶出的雲端服務存取速度與可靠性議題則是企業應用當中更為重要且更需建立的觀念

108

109

結語mdash鑒古知今由電力產業推論資訊產業

19世紀的電力產業 工廠自備電力 大電廠出現並提供電力網後工廠也擔心輸電線的可靠性是否有必要冒風險放棄自己發電

現在的資訊產業 企業自備電腦資源(運算能力儲存空間) 雲端服務公司出現企業擔心顧客資料機密資料放在雲端有風險是否有必要冒風險放棄IT部門

What do you think

• 漫步在雲端 資安新戰場
• 大綱
• 雲端的代價--近期資訊安全重大案例
• 近期資訊安全重大案例(續)
• 近期資訊安全重大案例(續)
• 新裸奔年代mdash商周128期封面故事
• 免費的個資隱私
• 你可能已經被拍賣了
• 4c812db2922729⋯⋯
• 貝蒂的故事
• Slide Number 11
• 個資的拍賣價
• iPhoneAndroid手機
• 貝蒂的故事
• 貝蒂的故事
• 網路隱私權販賣流程
• 網路隱私「被賣」爭議越演越烈
• 雲端運算的迷思--簡介與應用
• 雲端運算定義
• Slide Number 20
• Slide Number 21
• 雲端運算的特性
• 雲端運算的特性
• 雲端運算的特性
• 雲端運算的特性
• 雲端運算的特性
• 雲端服務的SPI架構
• 雲端運算的本質之一 Infrastructure as a Services
• 範例 虛擬桌面架構應用
• 雲端運算的本質之二 Platform as a Services
• 雲端運算的本質之三 Software as a Services
• 雲端運算的需求 機動的增減資源的使用與自動化
• Slide Number 33
• Slide Number 34
• 全世界都在談
• 微軟
• 蘋果
• 賈伯斯為何願花14年上雲端
• 兩億用戶的工作吃喝玩樂蘋果都要賺
• iCloud推出後的受益受害者
• 雲端運算的各式應用
• Slide Number 42
• 雲端 VS資安
• Slide Number 44
• 從資安看雲端CISSP認證資訊系統安全專家的觀點
• Slide Number 46
• Intel最在意的資安議題
• 雲端運算的迷思
• 資料的安全性與隱私性
• 雲端運算安全的迷思-1
• 雲端運算安全的迷思-2
• 雲端運算安全的迷思-3
• 雲端運算安全的迷思-4
• 雲端運算安全的迷思-5
• 雲端資安-從個資法探討
• 個人資料
• 個人資料生命週期管理
• 個人資料保護生命週期（草案）
• 法規面及個資生命週期保護需求
• Slide Number 60
• Slide Number 61
• 個資法之新舊比較
• Slide Number 63
• Slide Number 64
• Slide Number 65
• Slide Number 66
• Slide Number 67
• Slide Number 68
• 為何雲端安全重要
• Slide Number 70
• Slide Number 71
• 新的資訊安全挑戰
• 新的資訊安全挑戰
• 安全性是企業最主要關注的議題
• 新的資訊安全挑戰
• Slide Number 76
• 誰是駭客內部
• 誰是駭客外部
• 誰是駭客目的
• 危險和漏洞
• 新的資訊安全挑戰
• 新的資訊安全挑戰
• 雲端運算之7大安全威脅
• 雲端運算之7大安全威脅
• 濫用或利用雲端運算進行非法行為
• 不安全的使用者介面與APIs
• 惡意的內部人員
• 共享環境所造成的議題
• 資料遺失或外洩
• 帳號或服務被竊取
• 未知的風險模型
• Slide Number 92
• 資安風險
• 風險評估矩陣
• 組織與政策
• 組織與政策
• 組織與政策
• 組織與政策
• 技術
• 技術
• 法律
• 責任是無法外包的
• 雲端運算資安架構
• Slide Number 104
• 雲端運算服務資訊安全評估
• 結語
• 結語
• Slide Number 108
• 結語mdash鑒古知今由電力產業推論資訊產業

87

惡意的內部人員

內部人員所造成的問題這幾年來已經成為許多組織關注的重點採用雲端運算將會讓內部人員所產生的問題更形嚴重一個最主要的因素在於使用者無法得知雲端運算服務供應商如何規範與管理內部員工甚至連招聘的條件與流程也屬於非公開的資訊以安全的角度來說rdquo未知rdquo絕對不是一種幸福而是一種芒刺在背的威脅更何況以雲端運算的業務性質而言絕對是有心分子眼中的肥魚所以內部惡意員工的比例應當會比一般組織來的更高

88

共享環境所造成的議題

雖然使用雲端運算的服務(尤其是IaaS) 時使用者好像擁有獨立的環境但是這些環境都是從共享的實體環境中透過虛擬化的技術所產生出來的這些虛擬化的平台能否將不同的使用者進行有效地隔離以避免彼此之間相互干擾其服務的正常運算甚至是避免彼此之間可以存取對方的資源對雲端運算的安全來說是一個嚴格的挑戰

89

資料遺失或外洩

資料遺失與外洩對於一個組織的影響不只在於實際上的金錢損失更在於如企業形象之類的無形損失雲端運算因為其特定的緣故使得資料遺失或外洩的議題面臨更加嚴峻的考驗包含是否擁有足夠的AAA (驗證授權稽核)是否採用適當且足夠的加密技術資料持續性的需求如何安全地刪除資料災難復原甚至是司法管轄的問題都是必須認真加以考量的問題

90

帳號或服務被竊取

儘管帳號或服務被竊取的問題由來已久但是這類問題對於雲端運算來說更具威脅性首先因為雲端運算不像傳統的IT 架構般擁有實體的東西因此一旦帳號或服務被竊取後除非有其他的方式加以證明否則惡意分子可以完全取代原先使用者的身分在傳統的IT 環境中因為使用者至少還擁有硬體的控制權所以即使發生帳號或服務的竊取行為使用者還是可以進行一些事後的補救措施但是這些補救措施在雲端運算的架構下可能無法執行此外對於那些公開的雲端運算服務而言直接暴露於網際網路上也讓這些竊取行為更加容易發生

91

未知的風險模型

以安全的角度來說rdquo未知rdquo是一種芒刺在背的威脅以雲端運算來說不管是IaaSPaaSSaaS 都是將服務包裝成一個使用者不需了解也無法了解的系統讓使用者專注於如何rdquo使用rdquo該系統但是這樣的方便性也讓使用者無法了解這些服務所使用的網路架構安全架構軟體版本等等各式各樣的重要資訊這些資訊對於評估安全狀態是很有幫助的欠缺這些資訊將使得這樣的評估行為無法被有效地進行使用者須依所處的環境決定這些威脅的影響並採取適當的控制措施

92

雲端運算的風險 組織與政策 技術 法律

歐洲網絡與資訊安全部 The European Network and Information Security Agency (ENISA)

93

資安風險

不做風險評估的資安就是威脅及恐嚇 資安風險潛在威脅利用弱點對資產造成影響的可能性

風險 (Risk) = 潛在威脅 (Threats) x 弱點 (Vulnerabilities) x 影響 (Impact)

94

風險評估矩陣

95

組織與政策

喪失管理權限 使用雲端基礎設施客戶端必須將某些關鍵資料的控制權移轉到雲端供應商從而影響安全性同時供應商可能無法提供滿足客戶需求的服務水平協議(SLA)承諾也將形成安全性落差

96

組織與政策

鎖定(lock-in) 目前仍缺乏工具程序標準資料格式或服務介面以確保資料應用系統及服務的可攜性使用者將無法轉換雲端服務供應商甚至無法回到原來企業內部使用的系統環境這將導致過於依賴特定廠商的服務你願意承擔這種風險嗎

97

組織與政策

適用性風險(法規或標準) 轉移到雲端後認證公司可能面臨以下風險 1如果雲端服務供應商不能提供證據證明自己遵守有關規定

2如果雲端服務供應商不允許客戶對其稽核 這意味著使用公有雲的服務將可能無法達到某些法規或標準的要求

98

組織與政策

惡意的內部人員 雖然平時不太可能但由惡意的內部人員造成的損害可能往往更大雲端架構某些必要角色將有極高風險如系統管理員和託管安全服務提供商

99

技術

資源獨立性問題(ISOLATION FAILURE)

多租戶和共享資源是雲端的特點但也相對隱含一些風險包括無效的獨立儲存記憶體路由機制甚至共用資源的租戶聲譽（例如跳板攻擊）當然攻擊資源隔離機制仍比攻擊傳統系統少很多但一旦發生問題影響將更大

100

技術

不安全或不完整的資料刪除 雲端的儲存架構將使資料更難以刪除也許副本資料仍存在其他磁碟多用戶共享磁碟的結果如未完整刪除資料沒人知道是否有被復原的風險(陳姓藝人送修筆電引發的風暴)

101

法律

資料保護 雲端運算同時對使用者及供應商帶來資料保護的風險在某些情況下使用者可能難以確認供應商對資料處理方式是否合法特別是在不同雲端之間傳送資料供應商是否提供相關資訊及證明將是選擇供應商的重要參考

102

責任是無法外包的

考慮採用雲端服務時應先與使用用傳統服務的風險互相比較並非所有風險都可轉移到雲端服務商假如因為風險而導致服務中斷損害商譽恐怕沒人可以為你承擔損害切記工作可以外包責任(可歸責性accountability)是無法外包的

103

雲端運算資安架構

104

雲端運算服務資訊安全評估

105

雲端運算服務資訊安全評估 選定採用雲端服務的種類 確認相關資料與應用程式的重要性 進行整體風險分析 尋找合適業者 定期追蹤考核

106

結語

從分散獨立的資訊服務系統轉移到雲端的架構確實可以獲得許多好處例如降低成本更有彈性有效率的使用IT資源等等但是雲端的隱私及安全也不容忽視不確定性會讓使用者對風險及隱私有所質疑藉由市場競爭可以建立一個更加安全雲端

雖然一些不確定性威脅總是存在於網絡世界但透過明確的法規和大家的合作未來還是可以享用雲端的優點

107

結語

就像人們因為信任而將收入存款存放在金融銀行單位的道理一樣即使雲端運算的觀念逐漸被企業所接受採用的關鍵仍在於「信任」尤其伺服器與儲存設備雲端化的效益在於硬體資源的彈性運用其較為「可見」然而做為連結服務的關鍵網路以及攸關資訊與系統風險的安全需求所帶出的雲端服務存取速度與可靠性議題則是企業應用當中更為重要且更需建立的觀念

108

109

結語mdash鑒古知今由電力產業推論資訊產業

19世紀的電力產業 工廠自備電力 大電廠出現並提供電力網後工廠也擔心輸電線的可靠性是否有必要冒風險放棄自己發電

現在的資訊產業 企業自備電腦資源(運算能力儲存空間) 雲端服務公司出現企業擔心顧客資料機密資料放在雲端有風險是否有必要冒風險放棄IT部門

What do you think

• 漫步在雲端 資安新戰場
• 大綱
• 雲端的代價--近期資訊安全重大案例
• 近期資訊安全重大案例(續)
• 近期資訊安全重大案例(續)
• 新裸奔年代mdash商周128期封面故事
• 免費的個資隱私
• 你可能已經被拍賣了
• 4c812db2922729⋯⋯
• 貝蒂的故事
• Slide Number 11
• 個資的拍賣價
• iPhoneAndroid手機
• 貝蒂的故事
• 貝蒂的故事
• 網路隱私權販賣流程
• 網路隱私「被賣」爭議越演越烈
• 雲端運算的迷思--簡介與應用
• 雲端運算定義
• Slide Number 20
• Slide Number 21
• 雲端運算的特性
• 雲端運算的特性
• 雲端運算的特性
• 雲端運算的特性
• 雲端運算的特性
• 雲端服務的SPI架構
• 雲端運算的本質之一 Infrastructure as a Services
• 範例 虛擬桌面架構應用
• 雲端運算的本質之二 Platform as a Services
• 雲端運算的本質之三 Software as a Services
• 雲端運算的需求 機動的增減資源的使用與自動化
• Slide Number 33
• Slide Number 34
• 全世界都在談
• 微軟
• 蘋果
• 賈伯斯為何願花14年上雲端
• 兩億用戶的工作吃喝玩樂蘋果都要賺
• iCloud推出後的受益受害者
• 雲端運算的各式應用
• Slide Number 42
• 雲端 VS資安
• Slide Number 44
• 從資安看雲端CISSP認證資訊系統安全專家的觀點
• Slide Number 46
• Intel最在意的資安議題
• 雲端運算的迷思
• 資料的安全性與隱私性
• 雲端運算安全的迷思-1
• 雲端運算安全的迷思-2
• 雲端運算安全的迷思-3
• 雲端運算安全的迷思-4
• 雲端運算安全的迷思-5
• 雲端資安-從個資法探討
• 個人資料
• 個人資料生命週期管理
• 個人資料保護生命週期（草案）
• 法規面及個資生命週期保護需求
• Slide Number 60
• Slide Number 61
• 個資法之新舊比較
• Slide Number 63
• Slide Number 64
• Slide Number 65
• Slide Number 66
• Slide Number 67
• Slide Number 68
• 為何雲端安全重要
• Slide Number 70
• Slide Number 71
• 新的資訊安全挑戰
• 新的資訊安全挑戰
• 安全性是企業最主要關注的議題
• 新的資訊安全挑戰
• Slide Number 76
• 誰是駭客內部
• 誰是駭客外部
• 誰是駭客目的
• 危險和漏洞
• 新的資訊安全挑戰
• 新的資訊安全挑戰
• 雲端運算之7大安全威脅
• 雲端運算之7大安全威脅
• 濫用或利用雲端運算進行非法行為
• 不安全的使用者介面與APIs
• 惡意的內部人員
• 共享環境所造成的議題
• 資料遺失或外洩
• 帳號或服務被竊取
• 未知的風險模型
• Slide Number 92
• 資安風險
• 風險評估矩陣
• 組織與政策
• 組織與政策
• 組織與政策
• 組織與政策
• 技術
• 技術
• 法律
• 責任是無法外包的
• 雲端運算資安架構
• Slide Number 104
• 雲端運算服務資訊安全評估
• 結語
• 結語
• Slide Number 108
• 結語mdash鑒古知今由電力產業推論資訊產業

88

共享環境所造成的議題

雖然使用雲端運算的服務(尤其是IaaS) 時使用者好像擁有獨立的環境但是這些環境都是從共享的實體環境中透過虛擬化的技術所產生出來的這些虛擬化的平台能否將不同的使用者進行有效地隔離以避免彼此之間相互干擾其服務的正常運算甚至是避免彼此之間可以存取對方的資源對雲端運算的安全來說是一個嚴格的挑戰

89

資料遺失或外洩

資料遺失與外洩對於一個組織的影響不只在於實際上的金錢損失更在於如企業形象之類的無形損失雲端運算因為其特定的緣故使得資料遺失或外洩的議題面臨更加嚴峻的考驗包含是否擁有足夠的AAA (驗證授權稽核)是否採用適當且足夠的加密技術資料持續性的需求如何安全地刪除資料災難復原甚至是司法管轄的問題都是必須認真加以考量的問題

90

帳號或服務被竊取

儘管帳號或服務被竊取的問題由來已久但是這類問題對於雲端運算來說更具威脅性首先因為雲端運算不像傳統的IT 架構般擁有實體的東西因此一旦帳號或服務被竊取後除非有其他的方式加以證明否則惡意分子可以完全取代原先使用者的身分在傳統的IT 環境中因為使用者至少還擁有硬體的控制權所以即使發生帳號或服務的竊取行為使用者還是可以進行一些事後的補救措施但是這些補救措施在雲端運算的架構下可能無法執行此外對於那些公開的雲端運算服務而言直接暴露於網際網路上也讓這些竊取行為更加容易發生

91

未知的風險模型

以安全的角度來說rdquo未知rdquo是一種芒刺在背的威脅以雲端運算來說不管是IaaSPaaSSaaS 都是將服務包裝成一個使用者不需了解也無法了解的系統讓使用者專注於如何rdquo使用rdquo該系統但是這樣的方便性也讓使用者無法了解這些服務所使用的網路架構安全架構軟體版本等等各式各樣的重要資訊這些資訊對於評估安全狀態是很有幫助的欠缺這些資訊將使得這樣的評估行為無法被有效地進行使用者須依所處的環境決定這些威脅的影響並採取適當的控制措施

92

雲端運算的風險 組織與政策 技術 法律

歐洲網絡與資訊安全部 The European Network and Information Security Agency (ENISA)

93

資安風險

不做風險評估的資安就是威脅及恐嚇 資安風險潛在威脅利用弱點對資產造成影響的可能性

風險 (Risk) = 潛在威脅 (Threats) x 弱點 (Vulnerabilities) x 影響 (Impact)

94

風險評估矩陣

95

組織與政策

喪失管理權限 使用雲端基礎設施客戶端必須將某些關鍵資料的控制權移轉到雲端供應商從而影響安全性同時供應商可能無法提供滿足客戶需求的服務水平協議(SLA)承諾也將形成安全性落差

96

組織與政策

鎖定(lock-in) 目前仍缺乏工具程序標準資料格式或服務介面以確保資料應用系統及服務的可攜性使用者將無法轉換雲端服務供應商甚至無法回到原來企業內部使用的系統環境這將導致過於依賴特定廠商的服務你願意承擔這種風險嗎

97

組織與政策

適用性風險(法規或標準) 轉移到雲端後認證公司可能面臨以下風險 1如果雲端服務供應商不能提供證據證明自己遵守有關規定

2如果雲端服務供應商不允許客戶對其稽核 這意味著使用公有雲的服務將可能無法達到某些法規或標準的要求

98

組織與政策

惡意的內部人員 雖然平時不太可能但由惡意的內部人員造成的損害可能往往更大雲端架構某些必要角色將有極高風險如系統管理員和託管安全服務提供商

99

技術

資源獨立性問題(ISOLATION FAILURE)

多租戶和共享資源是雲端的特點但也相對隱含一些風險包括無效的獨立儲存記憶體路由機制甚至共用資源的租戶聲譽（例如跳板攻擊）當然攻擊資源隔離機制仍比攻擊傳統系統少很多但一旦發生問題影響將更大

100

技術

不安全或不完整的資料刪除 雲端的儲存架構將使資料更難以刪除也許副本資料仍存在其他磁碟多用戶共享磁碟的結果如未完整刪除資料沒人知道是否有被復原的風險(陳姓藝人送修筆電引發的風暴)

101

法律

資料保護 雲端運算同時對使用者及供應商帶來資料保護的風險在某些情況下使用者可能難以確認供應商對資料處理方式是否合法特別是在不同雲端之間傳送資料供應商是否提供相關資訊及證明將是選擇供應商的重要參考

102

責任是無法外包的

考慮採用雲端服務時應先與使用用傳統服務的風險互相比較並非所有風險都可轉移到雲端服務商假如因為風險而導致服務中斷損害商譽恐怕沒人可以為你承擔損害切記工作可以外包責任(可歸責性accountability)是無法外包的

103

雲端運算資安架構

104

雲端運算服務資訊安全評估

105

雲端運算服務資訊安全評估 選定採用雲端服務的種類 確認相關資料與應用程式的重要性 進行整體風險分析 尋找合適業者 定期追蹤考核

106

結語

從分散獨立的資訊服務系統轉移到雲端的架構確實可以獲得許多好處例如降低成本更有彈性有效率的使用IT資源等等但是雲端的隱私及安全也不容忽視不確定性會讓使用者對風險及隱私有所質疑藉由市場競爭可以建立一個更加安全雲端

雖然一些不確定性威脅總是存在於網絡世界但透過明確的法規和大家的合作未來還是可以享用雲端的優點

107

結語

就像人們因為信任而將收入存款存放在金融銀行單位的道理一樣即使雲端運算的觀念逐漸被企業所接受採用的關鍵仍在於「信任」尤其伺服器與儲存設備雲端化的效益在於硬體資源的彈性運用其較為「可見」然而做為連結服務的關鍵網路以及攸關資訊與系統風險的安全需求所帶出的雲端服務存取速度與可靠性議題則是企業應用當中更為重要且更需建立的觀念

108

109

結語mdash鑒古知今由電力產業推論資訊產業

19世紀的電力產業 工廠自備電力 大電廠出現並提供電力網後工廠也擔心輸電線的可靠性是否有必要冒風險放棄自己發電

現在的資訊產業 企業自備電腦資源(運算能力儲存空間) 雲端服務公司出現企業擔心顧客資料機密資料放在雲端有風險是否有必要冒風險放棄IT部門

What do you think

• 漫步在雲端 資安新戰場
• 大綱
• 雲端的代價--近期資訊安全重大案例
• 近期資訊安全重大案例(續)
• 近期資訊安全重大案例(續)
• 新裸奔年代mdash商周128期封面故事
• 免費的個資隱私
• 你可能已經被拍賣了
• 4c812db2922729⋯⋯
• 貝蒂的故事
• Slide Number 11
• 個資的拍賣價
• iPhoneAndroid手機
• 貝蒂的故事
• 貝蒂的故事
• 網路隱私權販賣流程
• 網路隱私「被賣」爭議越演越烈
• 雲端運算的迷思--簡介與應用
• 雲端運算定義
• Slide Number 20
• Slide Number 21
• 雲端運算的特性
• 雲端運算的特性
• 雲端運算的特性
• 雲端運算的特性
• 雲端運算的特性
• 雲端服務的SPI架構
• 雲端運算的本質之一 Infrastructure as a Services
• 範例 虛擬桌面架構應用
• 雲端運算的本質之二 Platform as a Services
• 雲端運算的本質之三 Software as a Services
• 雲端運算的需求 機動的增減資源的使用與自動化
• Slide Number 33
• Slide Number 34
• 全世界都在談
• 微軟
• 蘋果
• 賈伯斯為何願花14年上雲端
• 兩億用戶的工作吃喝玩樂蘋果都要賺
• iCloud推出後的受益受害者
• 雲端運算的各式應用
• Slide Number 42
• 雲端 VS資安
• Slide Number 44
• 從資安看雲端CISSP認證資訊系統安全專家的觀點
• Slide Number 46
• Intel最在意的資安議題
• 雲端運算的迷思
• 資料的安全性與隱私性
• 雲端運算安全的迷思-1
• 雲端運算安全的迷思-2
• 雲端運算安全的迷思-3
• 雲端運算安全的迷思-4
• 雲端運算安全的迷思-5
• 雲端資安-從個資法探討
• 個人資料
• 個人資料生命週期管理
• 個人資料保護生命週期（草案）
• 法規面及個資生命週期保護需求
• Slide Number 60
• Slide Number 61
• 個資法之新舊比較
• Slide Number 63
• Slide Number 64
• Slide Number 65
• Slide Number 66
• Slide Number 67
• Slide Number 68
• 為何雲端安全重要
• Slide Number 70
• Slide Number 71
• 新的資訊安全挑戰
• 新的資訊安全挑戰
• 安全性是企業最主要關注的議題
• 新的資訊安全挑戰
• Slide Number 76
• 誰是駭客內部
• 誰是駭客外部
• 誰是駭客目的
• 危險和漏洞
• 新的資訊安全挑戰
• 新的資訊安全挑戰
• 雲端運算之7大安全威脅
• 雲端運算之7大安全威脅
• 濫用或利用雲端運算進行非法行為
• 不安全的使用者介面與APIs
• 惡意的內部人員
• 共享環境所造成的議題
• 資料遺失或外洩
• 帳號或服務被竊取
• 未知的風險模型
• Slide Number 92
• 資安風險
• 風險評估矩陣
• 組織與政策
• 組織與政策
• 組織與政策
• 組織與政策
• 技術
• 技術
• 法律
• 責任是無法外包的
• 雲端運算資安架構
• Slide Number 104
• 雲端運算服務資訊安全評估
• 結語
• 結語
• Slide Number 108
• 結語mdash鑒古知今由電力產業推論資訊產業

89

資料遺失或外洩

資料遺失與外洩對於一個組織的影響不只在於實際上的金錢損失更在於如企業形象之類的無形損失雲端運算因為其特定的緣故使得資料遺失或外洩的議題面臨更加嚴峻的考驗包含是否擁有足夠的AAA (驗證授權稽核)是否採用適當且足夠的加密技術資料持續性的需求如何安全地刪除資料災難復原甚至是司法管轄的問題都是必須認真加以考量的問題

90

帳號或服務被竊取

儘管帳號或服務被竊取的問題由來已久但是這類問題對於雲端運算來說更具威脅性首先因為雲端運算不像傳統的IT 架構般擁有實體的東西因此一旦帳號或服務被竊取後除非有其他的方式加以證明否則惡意分子可以完全取代原先使用者的身分在傳統的IT 環境中因為使用者至少還擁有硬體的控制權所以即使發生帳號或服務的竊取行為使用者還是可以進行一些事後的補救措施但是這些補救措施在雲端運算的架構下可能無法執行此外對於那些公開的雲端運算服務而言直接暴露於網際網路上也讓這些竊取行為更加容易發生

91

未知的風險模型

以安全的角度來說rdquo未知rdquo是一種芒刺在背的威脅以雲端運算來說不管是IaaSPaaSSaaS 都是將服務包裝成一個使用者不需了解也無法了解的系統讓使用者專注於如何rdquo使用rdquo該系統但是這樣的方便性也讓使用者無法了解這些服務所使用的網路架構安全架構軟體版本等等各式各樣的重要資訊這些資訊對於評估安全狀態是很有幫助的欠缺這些資訊將使得這樣的評估行為無法被有效地進行使用者須依所處的環境決定這些威脅的影響並採取適當的控制措施

92

雲端運算的風險 組織與政策 技術 法律

歐洲網絡與資訊安全部 The European Network and Information Security Agency (ENISA)

93

資安風險

不做風險評估的資安就是威脅及恐嚇 資安風險潛在威脅利用弱點對資產造成影響的可能性

風險 (Risk) = 潛在威脅 (Threats) x 弱點 (Vulnerabilities) x 影響 (Impact)

94

風險評估矩陣

95

組織與政策

喪失管理權限 使用雲端基礎設施客戶端必須將某些關鍵資料的控制權移轉到雲端供應商從而影響安全性同時供應商可能無法提供滿足客戶需求的服務水平協議(SLA)承諾也將形成安全性落差

96

組織與政策

鎖定(lock-in) 目前仍缺乏工具程序標準資料格式或服務介面以確保資料應用系統及服務的可攜性使用者將無法轉換雲端服務供應商甚至無法回到原來企業內部使用的系統環境這將導致過於依賴特定廠商的服務你願意承擔這種風險嗎

97

組織與政策

適用性風險(法規或標準) 轉移到雲端後認證公司可能面臨以下風險 1如果雲端服務供應商不能提供證據證明自己遵守有關規定

2如果雲端服務供應商不允許客戶對其稽核 這意味著使用公有雲的服務將可能無法達到某些法規或標準的要求

98

組織與政策

惡意的內部人員 雖然平時不太可能但由惡意的內部人員造成的損害可能往往更大雲端架構某些必要角色將有極高風險如系統管理員和託管安全服務提供商

99

技術

資源獨立性問題(ISOLATION FAILURE)

多租戶和共享資源是雲端的特點但也相對隱含一些風險包括無效的獨立儲存記憶體路由機制甚至共用資源的租戶聲譽（例如跳板攻擊）當然攻擊資源隔離機制仍比攻擊傳統系統少很多但一旦發生問題影響將更大

100

技術

不安全或不完整的資料刪除 雲端的儲存架構將使資料更難以刪除也許副本資料仍存在其他磁碟多用戶共享磁碟的結果如未完整刪除資料沒人知道是否有被復原的風險(陳姓藝人送修筆電引發的風暴)

101

法律

資料保護 雲端運算同時對使用者及供應商帶來資料保護的風險在某些情況下使用者可能難以確認供應商對資料處理方式是否合法特別是在不同雲端之間傳送資料供應商是否提供相關資訊及證明將是選擇供應商的重要參考

102

責任是無法外包的

考慮採用雲端服務時應先與使用用傳統服務的風險互相比較並非所有風險都可轉移到雲端服務商假如因為風險而導致服務中斷損害商譽恐怕沒人可以為你承擔損害切記工作可以外包責任(可歸責性accountability)是無法外包的

103

雲端運算資安架構

104

雲端運算服務資訊安全評估

105

雲端運算服務資訊安全評估 選定採用雲端服務的種類 確認相關資料與應用程式的重要性 進行整體風險分析 尋找合適業者 定期追蹤考核

106

結語

從分散獨立的資訊服務系統轉移到雲端的架構確實可以獲得許多好處例如降低成本更有彈性有效率的使用IT資源等等但是雲端的隱私及安全也不容忽視不確定性會讓使用者對風險及隱私有所質疑藉由市場競爭可以建立一個更加安全雲端

雖然一些不確定性威脅總是存在於網絡世界但透過明確的法規和大家的合作未來還是可以享用雲端的優點

107

結語

就像人們因為信任而將收入存款存放在金融銀行單位的道理一樣即使雲端運算的觀念逐漸被企業所接受採用的關鍵仍在於「信任」尤其伺服器與儲存設備雲端化的效益在於硬體資源的彈性運用其較為「可見」然而做為連結服務的關鍵網路以及攸關資訊與系統風險的安全需求所帶出的雲端服務存取速度與可靠性議題則是企業應用當中更為重要且更需建立的觀念

108

109

結語mdash鑒古知今由電力產業推論資訊產業

19世紀的電力產業 工廠自備電力 大電廠出現並提供電力網後工廠也擔心輸電線的可靠性是否有必要冒風險放棄自己發電

現在的資訊產業 企業自備電腦資源(運算能力儲存空間) 雲端服務公司出現企業擔心顧客資料機密資料放在雲端有風險是否有必要冒風險放棄IT部門

What do you think

• 漫步在雲端 資安新戰場
• 大綱
• 雲端的代價--近期資訊安全重大案例
• 近期資訊安全重大案例(續)
• 近期資訊安全重大案例(續)
• 新裸奔年代mdash商周128期封面故事
• 免費的個資隱私
• 你可能已經被拍賣了
• 4c812db2922729⋯⋯
• 貝蒂的故事
• Slide Number 11
• 個資的拍賣價
• iPhoneAndroid手機
• 貝蒂的故事
• 貝蒂的故事
• 網路隱私權販賣流程
• 網路隱私「被賣」爭議越演越烈
• 雲端運算的迷思--簡介與應用
• 雲端運算定義
• Slide Number 20
• Slide Number 21
• 雲端運算的特性
• 雲端運算的特性
• 雲端運算的特性
• 雲端運算的特性
• 雲端運算的特性
• 雲端服務的SPI架構
• 雲端運算的本質之一 Infrastructure as a Services
• 範例 虛擬桌面架構應用
• 雲端運算的本質之二 Platform as a Services
• 雲端運算的本質之三 Software as a Services
• 雲端運算的需求 機動的增減資源的使用與自動化
• Slide Number 33
• Slide Number 34
• 全世界都在談
• 微軟
• 蘋果
• 賈伯斯為何願花14年上雲端
• 兩億用戶的工作吃喝玩樂蘋果都要賺
• iCloud推出後的受益受害者
• 雲端運算的各式應用
• Slide Number 42
• 雲端 VS資安
• Slide Number 44
• 從資安看雲端CISSP認證資訊系統安全專家的觀點
• Slide Number 46
• Intel最在意的資安議題
• 雲端運算的迷思
• 資料的安全性與隱私性
• 雲端運算安全的迷思-1
• 雲端運算安全的迷思-2
• 雲端運算安全的迷思-3
• 雲端運算安全的迷思-4
• 雲端運算安全的迷思-5
• 雲端資安-從個資法探討
• 個人資料
• 個人資料生命週期管理
• 個人資料保護生命週期（草案）
• 法規面及個資生命週期保護需求
• Slide Number 60
• Slide Number 61
• 個資法之新舊比較
• Slide Number 63
• Slide Number 64
• Slide Number 65
• Slide Number 66
• Slide Number 67
• Slide Number 68
• 為何雲端安全重要
• Slide Number 70
• Slide Number 71
• 新的資訊安全挑戰
• 新的資訊安全挑戰
• 安全性是企業最主要關注的議題
• 新的資訊安全挑戰
• Slide Number 76
• 誰是駭客內部
• 誰是駭客外部
• 誰是駭客目的
• 危險和漏洞
• 新的資訊安全挑戰
• 新的資訊安全挑戰
• 雲端運算之7大安全威脅
• 雲端運算之7大安全威脅
• 濫用或利用雲端運算進行非法行為
• 不安全的使用者介面與APIs
• 惡意的內部人員
• 共享環境所造成的議題
• 資料遺失或外洩
• 帳號或服務被竊取
• 未知的風險模型
• Slide Number 92
• 資安風險
• 風險評估矩陣
• 組織與政策
• 組織與政策
• 組織與政策
• 組織與政策
• 技術
• 技術
• 法律
• 責任是無法外包的
• 雲端運算資安架構
• Slide Number 104
• 雲端運算服務資訊安全評估
• 結語
• 結語
• Slide Number 108
• 結語mdash鑒古知今由電力產業推論資訊產業

90

帳號或服務被竊取

儘管帳號或服務被竊取的問題由來已久但是這類問題對於雲端運算來說更具威脅性首先因為雲端運算不像傳統的IT 架構般擁有實體的東西因此一旦帳號或服務被竊取後除非有其他的方式加以證明否則惡意分子可以完全取代原先使用者的身分在傳統的IT 環境中因為使用者至少還擁有硬體的控制權所以即使發生帳號或服務的竊取行為使用者還是可以進行一些事後的補救措施但是這些補救措施在雲端運算的架構下可能無法執行此外對於那些公開的雲端運算服務而言直接暴露於網際網路上也讓這些竊取行為更加容易發生

91

未知的風險模型

以安全的角度來說rdquo未知rdquo是一種芒刺在背的威脅以雲端運算來說不管是IaaSPaaSSaaS 都是將服務包裝成一個使用者不需了解也無法了解的系統讓使用者專注於如何rdquo使用rdquo該系統但是這樣的方便性也讓使用者無法了解這些服務所使用的網路架構安全架構軟體版本等等各式各樣的重要資訊這些資訊對於評估安全狀態是很有幫助的欠缺這些資訊將使得這樣的評估行為無法被有效地進行使用者須依所處的環境決定這些威脅的影響並採取適當的控制措施

92

雲端運算的風險 組織與政策 技術 法律

歐洲網絡與資訊安全部 The European Network and Information Security Agency (ENISA)

93

資安風險

不做風險評估的資安就是威脅及恐嚇 資安風險潛在威脅利用弱點對資產造成影響的可能性

風險 (Risk) = 潛在威脅 (Threats) x 弱點 (Vulnerabilities) x 影響 (Impact)

94

風險評估矩陣

95

組織與政策

喪失管理權限 使用雲端基礎設施客戶端必須將某些關鍵資料的控制權移轉到雲端供應商從而影響安全性同時供應商可能無法提供滿足客戶需求的服務水平協議(SLA)承諾也將形成安全性落差

96

組織與政策

鎖定(lock-in) 目前仍缺乏工具程序標準資料格式或服務介面以確保資料應用系統及服務的可攜性使用者將無法轉換雲端服務供應商甚至無法回到原來企業內部使用的系統環境這將導致過於依賴特定廠商的服務你願意承擔這種風險嗎

97

組織與政策

適用性風險(法規或標準) 轉移到雲端後認證公司可能面臨以下風險 1如果雲端服務供應商不能提供證據證明自己遵守有關規定

2如果雲端服務供應商不允許客戶對其稽核 這意味著使用公有雲的服務將可能無法達到某些法規或標準的要求

98

組織與政策

惡意的內部人員 雖然平時不太可能但由惡意的內部人員造成的損害可能往往更大雲端架構某些必要角色將有極高風險如系統管理員和託管安全服務提供商

99

技術

資源獨立性問題(ISOLATION FAILURE)

多租戶和共享資源是雲端的特點但也相對隱含一些風險包括無效的獨立儲存記憶體路由機制甚至共用資源的租戶聲譽（例如跳板攻擊）當然攻擊資源隔離機制仍比攻擊傳統系統少很多但一旦發生問題影響將更大

100

技術

不安全或不完整的資料刪除 雲端的儲存架構將使資料更難以刪除也許副本資料仍存在其他磁碟多用戶共享磁碟的結果如未完整刪除資料沒人知道是否有被復原的風險(陳姓藝人送修筆電引發的風暴)

101

法律

資料保護 雲端運算同時對使用者及供應商帶來資料保護的風險在某些情況下使用者可能難以確認供應商對資料處理方式是否合法特別是在不同雲端之間傳送資料供應商是否提供相關資訊及證明將是選擇供應商的重要參考

102

責任是無法外包的

考慮採用雲端服務時應先與使用用傳統服務的風險互相比較並非所有風險都可轉移到雲端服務商假如因為風險而導致服務中斷損害商譽恐怕沒人可以為你承擔損害切記工作可以外包責任(可歸責性accountability)是無法外包的

103

雲端運算資安架構

104

雲端運算服務資訊安全評估

105

雲端運算服務資訊安全評估 選定採用雲端服務的種類 確認相關資料與應用程式的重要性 進行整體風險分析 尋找合適業者 定期追蹤考核

106

結語

從分散獨立的資訊服務系統轉移到雲端的架構確實可以獲得許多好處例如降低成本更有彈性有效率的使用IT資源等等但是雲端的隱私及安全也不容忽視不確定性會讓使用者對風險及隱私有所質疑藉由市場競爭可以建立一個更加安全雲端

雖然一些不確定性威脅總是存在於網絡世界但透過明確的法規和大家的合作未來還是可以享用雲端的優點

107

結語

就像人們因為信任而將收入存款存放在金融銀行單位的道理一樣即使雲端運算的觀念逐漸被企業所接受採用的關鍵仍在於「信任」尤其伺服器與儲存設備雲端化的效益在於硬體資源的彈性運用其較為「可見」然而做為連結服務的關鍵網路以及攸關資訊與系統風險的安全需求所帶出的雲端服務存取速度與可靠性議題則是企業應用當中更為重要且更需建立的觀念

108

109

結語mdash鑒古知今由電力產業推論資訊產業

19世紀的電力產業 工廠自備電力 大電廠出現並提供電力網後工廠也擔心輸電線的可靠性是否有必要冒風險放棄自己發電

現在的資訊產業 企業自備電腦資源(運算能力儲存空間) 雲端服務公司出現企業擔心顧客資料機密資料放在雲端有風險是否有必要冒風險放棄IT部門

What do you think

• 漫步在雲端 資安新戰場
• 大綱
• 雲端的代價--近期資訊安全重大案例
• 近期資訊安全重大案例(續)
• 近期資訊安全重大案例(續)
• 新裸奔年代mdash商周128期封面故事
• 免費的個資隱私
• 你可能已經被拍賣了
• 4c812db2922729⋯⋯
• 貝蒂的故事
• Slide Number 11
• 個資的拍賣價
• iPhoneAndroid手機
• 貝蒂的故事
• 貝蒂的故事
• 網路隱私權販賣流程
• 網路隱私「被賣」爭議越演越烈
• 雲端運算的迷思--簡介與應用
• 雲端運算定義
• Slide Number 20
• Slide Number 21
• 雲端運算的特性
• 雲端運算的特性
• 雲端運算的特性
• 雲端運算的特性
• 雲端運算的特性
• 雲端服務的SPI架構
• 雲端運算的本質之一 Infrastructure as a Services
• 範例 虛擬桌面架構應用
• 雲端運算的本質之二 Platform as a Services
• 雲端運算的本質之三 Software as a Services
• 雲端運算的需求 機動的增減資源的使用與自動化
• Slide Number 33
• Slide Number 34
• 全世界都在談
• 微軟
• 蘋果
• 賈伯斯為何願花14年上雲端
• 兩億用戶的工作吃喝玩樂蘋果都要賺
• iCloud推出後的受益受害者
• 雲端運算的各式應用
• Slide Number 42
• 雲端 VS資安
• Slide Number 44
• 從資安看雲端CISSP認證資訊系統安全專家的觀點
• Slide Number 46
• Intel最在意的資安議題
• 雲端運算的迷思
• 資料的安全性與隱私性
• 雲端運算安全的迷思-1
• 雲端運算安全的迷思-2
• 雲端運算安全的迷思-3
• 雲端運算安全的迷思-4
• 雲端運算安全的迷思-5
• 雲端資安-從個資法探討
• 個人資料
• 個人資料生命週期管理
• 個人資料保護生命週期（草案）
• 法規面及個資生命週期保護需求
• Slide Number 60
• Slide Number 61
• 個資法之新舊比較
• Slide Number 63
• Slide Number 64
• Slide Number 65
• Slide Number 66
• Slide Number 67
• Slide Number 68
• 為何雲端安全重要
• Slide Number 70
• Slide Number 71
• 新的資訊安全挑戰
• 新的資訊安全挑戰
• 安全性是企業最主要關注的議題
• 新的資訊安全挑戰
• Slide Number 76
• 誰是駭客內部
• 誰是駭客外部
• 誰是駭客目的
• 危險和漏洞
• 新的資訊安全挑戰
• 新的資訊安全挑戰
• 雲端運算之7大安全威脅
• 雲端運算之7大安全威脅
• 濫用或利用雲端運算進行非法行為
• 不安全的使用者介面與APIs
• 惡意的內部人員
• 共享環境所造成的議題
• 資料遺失或外洩
• 帳號或服務被竊取
• 未知的風險模型
• Slide Number 92
• 資安風險
• 風險評估矩陣
• 組織與政策
• 組織與政策
• 組織與政策
• 組織與政策
• 技術
• 技術
• 法律
• 責任是無法外包的
• 雲端運算資安架構
• Slide Number 104
• 雲端運算服務資訊安全評估
• 結語
• 結語
• Slide Number 108
• 結語mdash鑒古知今由電力產業推論資訊產業

91

未知的風險模型

以安全的角度來說rdquo未知rdquo是一種芒刺在背的威脅以雲端運算來說不管是IaaSPaaSSaaS 都是將服務包裝成一個使用者不需了解也無法了解的系統讓使用者專注於如何rdquo使用rdquo該系統但是這樣的方便性也讓使用者無法了解這些服務所使用的網路架構安全架構軟體版本等等各式各樣的重要資訊這些資訊對於評估安全狀態是很有幫助的欠缺這些資訊將使得這樣的評估行為無法被有效地進行使用者須依所處的環境決定這些威脅的影響並採取適當的控制措施

92

雲端運算的風險 組織與政策 技術 法律

歐洲網絡與資訊安全部 The European Network and Information Security Agency (ENISA)

93

資安風險

不做風險評估的資安就是威脅及恐嚇 資安風險潛在威脅利用弱點對資產造成影響的可能性

風險 (Risk) = 潛在威脅 (Threats) x 弱點 (Vulnerabilities) x 影響 (Impact)

94

風險評估矩陣

95

組織與政策

喪失管理權限 使用雲端基礎設施客戶端必須將某些關鍵資料的控制權移轉到雲端供應商從而影響安全性同時供應商可能無法提供滿足客戶需求的服務水平協議(SLA)承諾也將形成安全性落差

96

組織與政策

鎖定(lock-in) 目前仍缺乏工具程序標準資料格式或服務介面以確保資料應用系統及服務的可攜性使用者將無法轉換雲端服務供應商甚至無法回到原來企業內部使用的系統環境這將導致過於依賴特定廠商的服務你願意承擔這種風險嗎

97

組織與政策

適用性風險(法規或標準) 轉移到雲端後認證公司可能面臨以下風險 1如果雲端服務供應商不能提供證據證明自己遵守有關規定

2如果雲端服務供應商不允許客戶對其稽核 這意味著使用公有雲的服務將可能無法達到某些法規或標準的要求

98

組織與政策

惡意的內部人員 雖然平時不太可能但由惡意的內部人員造成的損害可能往往更大雲端架構某些必要角色將有極高風險如系統管理員和託管安全服務提供商

99

技術

資源獨立性問題(ISOLATION FAILURE)

多租戶和共享資源是雲端的特點但也相對隱含一些風險包括無效的獨立儲存記憶體路由機制甚至共用資源的租戶聲譽（例如跳板攻擊）當然攻擊資源隔離機制仍比攻擊傳統系統少很多但一旦發生問題影響將更大

100

技術

不安全或不完整的資料刪除 雲端的儲存架構將使資料更難以刪除也許副本資料仍存在其他磁碟多用戶共享磁碟的結果如未完整刪除資料沒人知道是否有被復原的風險(陳姓藝人送修筆電引發的風暴)

101

法律

資料保護 雲端運算同時對使用者及供應商帶來資料保護的風險在某些情況下使用者可能難以確認供應商對資料處理方式是否合法特別是在不同雲端之間傳送資料供應商是否提供相關資訊及證明將是選擇供應商的重要參考

102

責任是無法外包的

考慮採用雲端服務時應先與使用用傳統服務的風險互相比較並非所有風險都可轉移到雲端服務商假如因為風險而導致服務中斷損害商譽恐怕沒人可以為你承擔損害切記工作可以外包責任(可歸責性accountability)是無法外包的

103

雲端運算資安架構

104

雲端運算服務資訊安全評估

105

雲端運算服務資訊安全評估 選定採用雲端服務的種類 確認相關資料與應用程式的重要性 進行整體風險分析 尋找合適業者 定期追蹤考核

106

結語

從分散獨立的資訊服務系統轉移到雲端的架構確實可以獲得許多好處例如降低成本更有彈性有效率的使用IT資源等等但是雲端的隱私及安全也不容忽視不確定性會讓使用者對風險及隱私有所質疑藉由市場競爭可以建立一個更加安全雲端

雖然一些不確定性威脅總是存在於網絡世界但透過明確的法規和大家的合作未來還是可以享用雲端的優點

107

結語

就像人們因為信任而將收入存款存放在金融銀行單位的道理一樣即使雲端運算的觀念逐漸被企業所接受採用的關鍵仍在於「信任」尤其伺服器與儲存設備雲端化的效益在於硬體資源的彈性運用其較為「可見」然而做為連結服務的關鍵網路以及攸關資訊與系統風險的安全需求所帶出的雲端服務存取速度與可靠性議題則是企業應用當中更為重要且更需建立的觀念

108

109

結語mdash鑒古知今由電力產業推論資訊產業

19世紀的電力產業 工廠自備電力 大電廠出現並提供電力網後工廠也擔心輸電線的可靠性是否有必要冒風險放棄自己發電

現在的資訊產業 企業自備電腦資源(運算能力儲存空間) 雲端服務公司出現企業擔心顧客資料機密資料放在雲端有風險是否有必要冒風險放棄IT部門

What do you think

• 漫步在雲端 資安新戰場
• 大綱
• 雲端的代價--近期資訊安全重大案例
• 近期資訊安全重大案例(續)
• 近期資訊安全重大案例(續)
• 新裸奔年代mdash商周128期封面故事
• 免費的個資隱私
• 你可能已經被拍賣了
• 4c812db2922729⋯⋯
• 貝蒂的故事
• Slide Number 11
• 個資的拍賣價
• iPhoneAndroid手機
• 貝蒂的故事
• 貝蒂的故事
• 網路隱私權販賣流程
• 網路隱私「被賣」爭議越演越烈
• 雲端運算的迷思--簡介與應用
• 雲端運算定義
• Slide Number 20
• Slide Number 21
• 雲端運算的特性
• 雲端運算的特性
• 雲端運算的特性
• 雲端運算的特性
• 雲端運算的特性
• 雲端服務的SPI架構
• 雲端運算的本質之一 Infrastructure as a Services
• 範例 虛擬桌面架構應用
• 雲端運算的本質之二 Platform as a Services
• 雲端運算的本質之三 Software as a Services
• 雲端運算的需求 機動的增減資源的使用與自動化
• Slide Number 33
• Slide Number 34
• 全世界都在談
• 微軟
• 蘋果
• 賈伯斯為何願花14年上雲端
• 兩億用戶的工作吃喝玩樂蘋果都要賺
• iCloud推出後的受益受害者
• 雲端運算的各式應用
• Slide Number 42
• 雲端 VS資安
• Slide Number 44
• 從資安看雲端CISSP認證資訊系統安全專家的觀點
• Slide Number 46
• Intel最在意的資安議題
• 雲端運算的迷思
• 資料的安全性與隱私性
• 雲端運算安全的迷思-1
• 雲端運算安全的迷思-2
• 雲端運算安全的迷思-3
• 雲端運算安全的迷思-4
• 雲端運算安全的迷思-5
• 雲端資安-從個資法探討
• 個人資料
• 個人資料生命週期管理
• 個人資料保護生命週期（草案）
• 法規面及個資生命週期保護需求
• Slide Number 60
• Slide Number 61
• 個資法之新舊比較
• Slide Number 63
• Slide Number 64
• Slide Number 65
• Slide Number 66
• Slide Number 67
• Slide Number 68
• 為何雲端安全重要
• Slide Number 70
• Slide Number 71
• 新的資訊安全挑戰
• 新的資訊安全挑戰
• 安全性是企業最主要關注的議題
• 新的資訊安全挑戰
• Slide Number 76
• 誰是駭客內部
• 誰是駭客外部
• 誰是駭客目的
• 危險和漏洞
• 新的資訊安全挑戰
• 新的資訊安全挑戰
• 雲端運算之7大安全威脅
• 雲端運算之7大安全威脅
• 濫用或利用雲端運算進行非法行為
• 不安全的使用者介面與APIs
• 惡意的內部人員
• 共享環境所造成的議題
• 資料遺失或外洩
• 帳號或服務被竊取
• 未知的風險模型
• Slide Number 92
• 資安風險
• 風險評估矩陣
• 組織與政策
• 組織與政策
• 組織與政策
• 組織與政策
• 技術
• 技術
• 法律
• 責任是無法外包的
• 雲端運算資安架構
• Slide Number 104
• 雲端運算服務資訊安全評估
• 結語
• 結語
• Slide Number 108
• 結語mdash鑒古知今由電力產業推論資訊產業

92

雲端運算的風險 組織與政策 技術 法律

歐洲網絡與資訊安全部 The European Network and Information Security Agency (ENISA)

93

資安風險

不做風險評估的資安就是威脅及恐嚇 資安風險潛在威脅利用弱點對資產造成影響的可能性

風險 (Risk) = 潛在威脅 (Threats) x 弱點 (Vulnerabilities) x 影響 (Impact)

94

風險評估矩陣

95

組織與政策

喪失管理權限 使用雲端基礎設施客戶端必須將某些關鍵資料的控制權移轉到雲端供應商從而影響安全性同時供應商可能無法提供滿足客戶需求的服務水平協議(SLA)承諾也將形成安全性落差

96

組織與政策

鎖定(lock-in) 目前仍缺乏工具程序標準資料格式或服務介面以確保資料應用系統及服務的可攜性使用者將無法轉換雲端服務供應商甚至無法回到原來企業內部使用的系統環境這將導致過於依賴特定廠商的服務你願意承擔這種風險嗎

97

組織與政策

適用性風險(法規或標準) 轉移到雲端後認證公司可能面臨以下風險 1如果雲端服務供應商不能提供證據證明自己遵守有關規定

2如果雲端服務供應商不允許客戶對其稽核 這意味著使用公有雲的服務將可能無法達到某些法規或標準的要求

98

組織與政策

惡意的內部人員 雖然平時不太可能但由惡意的內部人員造成的損害可能往往更大雲端架構某些必要角色將有極高風險如系統管理員和託管安全服務提供商

99

技術

資源獨立性問題(ISOLATION FAILURE)

多租戶和共享資源是雲端的特點但也相對隱含一些風險包括無效的獨立儲存記憶體路由機制甚至共用資源的租戶聲譽（例如跳板攻擊）當然攻擊資源隔離機制仍比攻擊傳統系統少很多但一旦發生問題影響將更大

100

技術

不安全或不完整的資料刪除 雲端的儲存架構將使資料更難以刪除也許副本資料仍存在其他磁碟多用戶共享磁碟的結果如未完整刪除資料沒人知道是否有被復原的風險(陳姓藝人送修筆電引發的風暴)

101

法律

資料保護 雲端運算同時對使用者及供應商帶來資料保護的風險在某些情況下使用者可能難以確認供應商對資料處理方式是否合法特別是在不同雲端之間傳送資料供應商是否提供相關資訊及證明將是選擇供應商的重要參考

102

責任是無法外包的

考慮採用雲端服務時應先與使用用傳統服務的風險互相比較並非所有風險都可轉移到雲端服務商假如因為風險而導致服務中斷損害商譽恐怕沒人可以為你承擔損害切記工作可以外包責任(可歸責性accountability)是無法外包的

103

雲端運算資安架構

104

雲端運算服務資訊安全評估

105

雲端運算服務資訊安全評估 選定採用雲端服務的種類 確認相關資料與應用程式的重要性 進行整體風險分析 尋找合適業者 定期追蹤考核

106

結語

從分散獨立的資訊服務系統轉移到雲端的架構確實可以獲得許多好處例如降低成本更有彈性有效率的使用IT資源等等但是雲端的隱私及安全也不容忽視不確定性會讓使用者對風險及隱私有所質疑藉由市場競爭可以建立一個更加安全雲端

雖然一些不確定性威脅總是存在於網絡世界但透過明確的法規和大家的合作未來還是可以享用雲端的優點

107

結語

就像人們因為信任而將收入存款存放在金融銀行單位的道理一樣即使雲端運算的觀念逐漸被企業所接受採用的關鍵仍在於「信任」尤其伺服器與儲存設備雲端化的效益在於硬體資源的彈性運用其較為「可見」然而做為連結服務的關鍵網路以及攸關資訊與系統風險的安全需求所帶出的雲端服務存取速度與可靠性議題則是企業應用當中更為重要且更需建立的觀念

108

109

結語mdash鑒古知今由電力產業推論資訊產業

19世紀的電力產業 工廠自備電力 大電廠出現並提供電力網後工廠也擔心輸電線的可靠性是否有必要冒風險放棄自己發電

現在的資訊產業 企業自備電腦資源(運算能力儲存空間) 雲端服務公司出現企業擔心顧客資料機密資料放在雲端有風險是否有必要冒風險放棄IT部門

What do you think

• 漫步在雲端 資安新戰場
• 大綱
• 雲端的代價--近期資訊安全重大案例
• 近期資訊安全重大案例(續)
• 近期資訊安全重大案例(續)
• 新裸奔年代mdash商周128期封面故事
• 免費的個資隱私
• 你可能已經被拍賣了
• 4c812db2922729⋯⋯
• 貝蒂的故事
• Slide Number 11
• 個資的拍賣價
• iPhoneAndroid手機
• 貝蒂的故事
• 貝蒂的故事
• 網路隱私權販賣流程
• 網路隱私「被賣」爭議越演越烈
• 雲端運算的迷思--簡介與應用
• 雲端運算定義
• Slide Number 20
• Slide Number 21
• 雲端運算的特性
• 雲端運算的特性
• 雲端運算的特性
• 雲端運算的特性
• 雲端運算的特性
• 雲端服務的SPI架構
• 雲端運算的本質之一 Infrastructure as a Services
• 範例 虛擬桌面架構應用
• 雲端運算的本質之二 Platform as a Services
• 雲端運算的本質之三 Software as a Services
• 雲端運算的需求 機動的增減資源的使用與自動化
• Slide Number 33
• Slide Number 34
• 全世界都在談
• 微軟
• 蘋果
• 賈伯斯為何願花14年上雲端
• 兩億用戶的工作吃喝玩樂蘋果都要賺
• iCloud推出後的受益受害者
• 雲端運算的各式應用
• Slide Number 42
• 雲端 VS資安
• Slide Number 44
• 從資安看雲端CISSP認證資訊系統安全專家的觀點
• Slide Number 46
• Intel最在意的資安議題
• 雲端運算的迷思
• 資料的安全性與隱私性
• 雲端運算安全的迷思-1
• 雲端運算安全的迷思-2
• 雲端運算安全的迷思-3
• 雲端運算安全的迷思-4
• 雲端運算安全的迷思-5
• 雲端資安-從個資法探討
• 個人資料
• 個人資料生命週期管理
• 個人資料保護生命週期（草案）
• 法規面及個資生命週期保護需求
• Slide Number 60
• Slide Number 61
• 個資法之新舊比較
• Slide Number 63
• Slide Number 64
• Slide Number 65
• Slide Number 66
• Slide Number 67
• Slide Number 68
• 為何雲端安全重要
• Slide Number 70
• Slide Number 71
• 新的資訊安全挑戰
• 新的資訊安全挑戰
• 安全性是企業最主要關注的議題
• 新的資訊安全挑戰
• Slide Number 76
• 誰是駭客內部
• 誰是駭客外部
• 誰是駭客目的
• 危險和漏洞
• 新的資訊安全挑戰
• 新的資訊安全挑戰
• 雲端運算之7大安全威脅
• 雲端運算之7大安全威脅
• 濫用或利用雲端運算進行非法行為
• 不安全的使用者介面與APIs
• 惡意的內部人員
• 共享環境所造成的議題
• 資料遺失或外洩
• 帳號或服務被竊取
• 未知的風險模型
• Slide Number 92
• 資安風險
• 風險評估矩陣
• 組織與政策
• 組織與政策
• 組織與政策
• 組織與政策
• 技術
• 技術
• 法律
• 責任是無法外包的
• 雲端運算資安架構
• Slide Number 104
• 雲端運算服務資訊安全評估
• 結語
• 結語
• Slide Number 108
• 結語mdash鑒古知今由電力產業推論資訊產業

93

資安風險

不做風險評估的資安就是威脅及恐嚇 資安風險潛在威脅利用弱點對資產造成影響的可能性

風險 (Risk) = 潛在威脅 (Threats) x 弱點 (Vulnerabilities) x 影響 (Impact)

94

風險評估矩陣

95

組織與政策

喪失管理權限 使用雲端基礎設施客戶端必須將某些關鍵資料的控制權移轉到雲端供應商從而影響安全性同時供應商可能無法提供滿足客戶需求的服務水平協議(SLA)承諾也將形成安全性落差

96

組織與政策

鎖定(lock-in) 目前仍缺乏工具程序標準資料格式或服務介面以確保資料應用系統及服務的可攜性使用者將無法轉換雲端服務供應商甚至無法回到原來企業內部使用的系統環境這將導致過於依賴特定廠商的服務你願意承擔這種風險嗎

97

組織與政策

適用性風險(法規或標準) 轉移到雲端後認證公司可能面臨以下風險 1如果雲端服務供應商不能提供證據證明自己遵守有關規定

2如果雲端服務供應商不允許客戶對其稽核 這意味著使用公有雲的服務將可能無法達到某些法規或標準的要求

98

組織與政策

惡意的內部人員 雖然平時不太可能但由惡意的內部人員造成的損害可能往往更大雲端架構某些必要角色將有極高風險如系統管理員和託管安全服務提供商

99

技術

資源獨立性問題(ISOLATION FAILURE)

多租戶和共享資源是雲端的特點但也相對隱含一些風險包括無效的獨立儲存記憶體路由機制甚至共用資源的租戶聲譽（例如跳板攻擊）當然攻擊資源隔離機制仍比攻擊傳統系統少很多但一旦發生問題影響將更大

100

技術

不安全或不完整的資料刪除 雲端的儲存架構將使資料更難以刪除也許副本資料仍存在其他磁碟多用戶共享磁碟的結果如未完整刪除資料沒人知道是否有被復原的風險(陳姓藝人送修筆電引發的風暴)

101

法律

資料保護 雲端運算同時對使用者及供應商帶來資料保護的風險在某些情況下使用者可能難以確認供應商對資料處理方式是否合法特別是在不同雲端之間傳送資料供應商是否提供相關資訊及證明將是選擇供應商的重要參考

102

責任是無法外包的

考慮採用雲端服務時應先與使用用傳統服務的風險互相比較並非所有風險都可轉移到雲端服務商假如因為風險而導致服務中斷損害商譽恐怕沒人可以為你承擔損害切記工作可以外包責任(可歸責性accountability)是無法外包的

103

雲端運算資安架構

104

雲端運算服務資訊安全評估

105

雲端運算服務資訊安全評估 選定採用雲端服務的種類 確認相關資料與應用程式的重要性 進行整體風險分析 尋找合適業者 定期追蹤考核

106

結語

從分散獨立的資訊服務系統轉移到雲端的架構確實可以獲得許多好處例如降低成本更有彈性有效率的使用IT資源等等但是雲端的隱私及安全也不容忽視不確定性會讓使用者對風險及隱私有所質疑藉由市場競爭可以建立一個更加安全雲端

雖然一些不確定性威脅總是存在於網絡世界但透過明確的法規和大家的合作未來還是可以享用雲端的優點

107

結語

就像人們因為信任而將收入存款存放在金融銀行單位的道理一樣即使雲端運算的觀念逐漸被企業所接受採用的關鍵仍在於「信任」尤其伺服器與儲存設備雲端化的效益在於硬體資源的彈性運用其較為「可見」然而做為連結服務的關鍵網路以及攸關資訊與系統風險的安全需求所帶出的雲端服務存取速度與可靠性議題則是企業應用當中更為重要且更需建立的觀念

108

109

結語mdash鑒古知今由電力產業推論資訊產業

19世紀的電力產業 工廠自備電力 大電廠出現並提供電力網後工廠也擔心輸電線的可靠性是否有必要冒風險放棄自己發電

現在的資訊產業 企業自備電腦資源(運算能力儲存空間) 雲端服務公司出現企業擔心顧客資料機密資料放在雲端有風險是否有必要冒風險放棄IT部門

What do you think

• 漫步在雲端 資安新戰場
• 大綱
• 雲端的代價--近期資訊安全重大案例
• 近期資訊安全重大案例(續)
• 近期資訊安全重大案例(續)
• 新裸奔年代mdash商周128期封面故事
• 免費的個資隱私
• 你可能已經被拍賣了
• 4c812db2922729⋯⋯
• 貝蒂的故事
• Slide Number 11
• 個資的拍賣價
• iPhoneAndroid手機
• 貝蒂的故事
• 貝蒂的故事
• 網路隱私權販賣流程
• 網路隱私「被賣」爭議越演越烈
• 雲端運算的迷思--簡介與應用
• 雲端運算定義
• Slide Number 20
• Slide Number 21
• 雲端運算的特性
• 雲端運算的特性
• 雲端運算的特性
• 雲端運算的特性
• 雲端運算的特性
• 雲端服務的SPI架構
• 雲端運算的本質之一 Infrastructure as a Services
• 範例 虛擬桌面架構應用
• 雲端運算的本質之二 Platform as a Services
• 雲端運算的本質之三 Software as a Services
• 雲端運算的需求 機動的增減資源的使用與自動化
• Slide Number 33
• Slide Number 34
• 全世界都在談
• 微軟
• 蘋果
• 賈伯斯為何願花14年上雲端
• 兩億用戶的工作吃喝玩樂蘋果都要賺
• iCloud推出後的受益受害者
• 雲端運算的各式應用
• Slide Number 42
• 雲端 VS資安
• Slide Number 44
• 從資安看雲端CISSP認證資訊系統安全專家的觀點
• Slide Number 46
• Intel最在意的資安議題
• 雲端運算的迷思
• 資料的安全性與隱私性
• 雲端運算安全的迷思-1
• 雲端運算安全的迷思-2
• 雲端運算安全的迷思-3
• 雲端運算安全的迷思-4
• 雲端運算安全的迷思-5
• 雲端資安-從個資法探討
• 個人資料
• 個人資料生命週期管理
• 個人資料保護生命週期（草案）
• 法規面及個資生命週期保護需求
• Slide Number 60
• Slide Number 61
• 個資法之新舊比較
• Slide Number 63
• Slide Number 64
• Slide Number 65
• Slide Number 66
• Slide Number 67
• Slide Number 68
• 為何雲端安全重要
• Slide Number 70
• Slide Number 71
• 新的資訊安全挑戰
• 新的資訊安全挑戰
• 安全性是企業最主要關注的議題
• 新的資訊安全挑戰
• Slide Number 76
• 誰是駭客內部
• 誰是駭客外部
• 誰是駭客目的
• 危險和漏洞
• 新的資訊安全挑戰
• 新的資訊安全挑戰
• 雲端運算之7大安全威脅
• 雲端運算之7大安全威脅
• 濫用或利用雲端運算進行非法行為
• 不安全的使用者介面與APIs
• 惡意的內部人員
• 共享環境所造成的議題
• 資料遺失或外洩
• 帳號或服務被竊取
• 未知的風險模型
• Slide Number 92
• 資安風險
• 風險評估矩陣
• 組織與政策
• 組織與政策
• 組織與政策
• 組織與政策
• 技術
• 技術
• 法律
• 責任是無法外包的
• 雲端運算資安架構
• Slide Number 104
• 雲端運算服務資訊安全評估
• 結語
• 結語
• Slide Number 108
• 結語mdash鑒古知今由電力產業推論資訊產業

94

風險評估矩陣

95

組織與政策

喪失管理權限 使用雲端基礎設施客戶端必須將某些關鍵資料的控制權移轉到雲端供應商從而影響安全性同時供應商可能無法提供滿足客戶需求的服務水平協議(SLA)承諾也將形成安全性落差

96

組織與政策

鎖定(lock-in) 目前仍缺乏工具程序標準資料格式或服務介面以確保資料應用系統及服務的可攜性使用者將無法轉換雲端服務供應商甚至無法回到原來企業內部使用的系統環境這將導致過於依賴特定廠商的服務你願意承擔這種風險嗎

97

組織與政策

適用性風險(法規或標準) 轉移到雲端後認證公司可能面臨以下風險 1如果雲端服務供應商不能提供證據證明自己遵守有關規定

2如果雲端服務供應商不允許客戶對其稽核 這意味著使用公有雲的服務將可能無法達到某些法規或標準的要求

98

組織與政策

惡意的內部人員 雖然平時不太可能但由惡意的內部人員造成的損害可能往往更大雲端架構某些必要角色將有極高風險如系統管理員和託管安全服務提供商

99

技術

資源獨立性問題(ISOLATION FAILURE)

多租戶和共享資源是雲端的特點但也相對隱含一些風險包括無效的獨立儲存記憶體路由機制甚至共用資源的租戶聲譽（例如跳板攻擊）當然攻擊資源隔離機制仍比攻擊傳統系統少很多但一旦發生問題影響將更大

100

技術

不安全或不完整的資料刪除 雲端的儲存架構將使資料更難以刪除也許副本資料仍存在其他磁碟多用戶共享磁碟的結果如未完整刪除資料沒人知道是否有被復原的風險(陳姓藝人送修筆電引發的風暴)

101

法律

資料保護 雲端運算同時對使用者及供應商帶來資料保護的風險在某些情況下使用者可能難以確認供應商對資料處理方式是否合法特別是在不同雲端之間傳送資料供應商是否提供相關資訊及證明將是選擇供應商的重要參考

102

責任是無法外包的

考慮採用雲端服務時應先與使用用傳統服務的風險互相比較並非所有風險都可轉移到雲端服務商假如因為風險而導致服務中斷損害商譽恐怕沒人可以為你承擔損害切記工作可以外包責任(可歸責性accountability)是無法外包的

103

雲端運算資安架構

104

雲端運算服務資訊安全評估

105

雲端運算服務資訊安全評估 選定採用雲端服務的種類 確認相關資料與應用程式的重要性 進行整體風險分析 尋找合適業者 定期追蹤考核

106

結語

從分散獨立的資訊服務系統轉移到雲端的架構確實可以獲得許多好處例如降低成本更有彈性有效率的使用IT資源等等但是雲端的隱私及安全也不容忽視不確定性會讓使用者對風險及隱私有所質疑藉由市場競爭可以建立一個更加安全雲端

雖然一些不確定性威脅總是存在於網絡世界但透過明確的法規和大家的合作未來還是可以享用雲端的優點

107

結語

就像人們因為信任而將收入存款存放在金融銀行單位的道理一樣即使雲端運算的觀念逐漸被企業所接受採用的關鍵仍在於「信任」尤其伺服器與儲存設備雲端化的效益在於硬體資源的彈性運用其較為「可見」然而做為連結服務的關鍵網路以及攸關資訊與系統風險的安全需求所帶出的雲端服務存取速度與可靠性議題則是企業應用當中更為重要且更需建立的觀念

108

109

結語mdash鑒古知今由電力產業推論資訊產業

19世紀的電力產業 工廠自備電力 大電廠出現並提供電力網後工廠也擔心輸電線的可靠性是否有必要冒風險放棄自己發電

現在的資訊產業 企業自備電腦資源(運算能力儲存空間) 雲端服務公司出現企業擔心顧客資料機密資料放在雲端有風險是否有必要冒風險放棄IT部門

What do you think

• 漫步在雲端 資安新戰場
• 大綱
• 雲端的代價--近期資訊安全重大案例
• 近期資訊安全重大案例(續)
• 近期資訊安全重大案例(續)
• 新裸奔年代mdash商周128期封面故事
• 免費的個資隱私
• 你可能已經被拍賣了
• 4c812db2922729⋯⋯
• 貝蒂的故事
• Slide Number 11
• 個資的拍賣價
• iPhoneAndroid手機
• 貝蒂的故事
• 貝蒂的故事
• 網路隱私權販賣流程
• 網路隱私「被賣」爭議越演越烈
• 雲端運算的迷思--簡介與應用
• 雲端運算定義
• Slide Number 20
• Slide Number 21
• 雲端運算的特性
• 雲端運算的特性
• 雲端運算的特性
• 雲端運算的特性
• 雲端運算的特性
• 雲端服務的SPI架構
• 雲端運算的本質之一 Infrastructure as a Services
• 範例 虛擬桌面架構應用
• 雲端運算的本質之二 Platform as a Services
• 雲端運算的本質之三 Software as a Services
• 雲端運算的需求 機動的增減資源的使用與自動化
• Slide Number 33
• Slide Number 34
• 全世界都在談
• 微軟
• 蘋果
• 賈伯斯為何願花14年上雲端
• 兩億用戶的工作吃喝玩樂蘋果都要賺
• iCloud推出後的受益受害者
• 雲端運算的各式應用
• Slide Number 42
• 雲端 VS資安
• Slide Number 44
• 從資安看雲端CISSP認證資訊系統安全專家的觀點
• Slide Number 46
• Intel最在意的資安議題
• 雲端運算的迷思
• 資料的安全性與隱私性
• 雲端運算安全的迷思-1
• 雲端運算安全的迷思-2
• 雲端運算安全的迷思-3
• 雲端運算安全的迷思-4
• 雲端運算安全的迷思-5
• 雲端資安-從個資法探討
• 個人資料
• 個人資料生命週期管理
• 個人資料保護生命週期（草案）
• 法規面及個資生命週期保護需求
• Slide Number 60
• Slide Number 61
• 個資法之新舊比較
• Slide Number 63
• Slide Number 64
• Slide Number 65
• Slide Number 66
• Slide Number 67
• Slide Number 68
• 為何雲端安全重要
• Slide Number 70
• Slide Number 71
• 新的資訊安全挑戰
• 新的資訊安全挑戰
• 安全性是企業最主要關注的議題
• 新的資訊安全挑戰
• Slide Number 76
• 誰是駭客內部
• 誰是駭客外部
• 誰是駭客目的
• 危險和漏洞
• 新的資訊安全挑戰
• 新的資訊安全挑戰
• 雲端運算之7大安全威脅
• 雲端運算之7大安全威脅
• 濫用或利用雲端運算進行非法行為
• 不安全的使用者介面與APIs
• 惡意的內部人員
• 共享環境所造成的議題
• 資料遺失或外洩
• 帳號或服務被竊取
• 未知的風險模型
• Slide Number 92
• 資安風險
• 風險評估矩陣
• 組織與政策
• 組織與政策
• 組織與政策
• 組織與政策
• 技術
• 技術
• 法律
• 責任是無法外包的
• 雲端運算資安架構
• Slide Number 104
• 雲端運算服務資訊安全評估
• 結語
• 結語
• Slide Number 108
• 結語mdash鑒古知今由電力產業推論資訊產業

95

組織與政策

喪失管理權限 使用雲端基礎設施客戶端必須將某些關鍵資料的控制權移轉到雲端供應商從而影響安全性同時供應商可能無法提供滿足客戶需求的服務水平協議(SLA)承諾也將形成安全性落差

96

組織與政策

鎖定(lock-in) 目前仍缺乏工具程序標準資料格式或服務介面以確保資料應用系統及服務的可攜性使用者將無法轉換雲端服務供應商甚至無法回到原來企業內部使用的系統環境這將導致過於依賴特定廠商的服務你願意承擔這種風險嗎

97

組織與政策

適用性風險(法規或標準) 轉移到雲端後認證公司可能面臨以下風險 1如果雲端服務供應商不能提供證據證明自己遵守有關規定

2如果雲端服務供應商不允許客戶對其稽核 這意味著使用公有雲的服務將可能無法達到某些法規或標準的要求

98

組織與政策

惡意的內部人員 雖然平時不太可能但由惡意的內部人員造成的損害可能往往更大雲端架構某些必要角色將有極高風險如系統管理員和託管安全服務提供商

99

技術

資源獨立性問題(ISOLATION FAILURE)

多租戶和共享資源是雲端的特點但也相對隱含一些風險包括無效的獨立儲存記憶體路由機制甚至共用資源的租戶聲譽（例如跳板攻擊）當然攻擊資源隔離機制仍比攻擊傳統系統少很多但一旦發生問題影響將更大

100

技術

不安全或不完整的資料刪除 雲端的儲存架構將使資料更難以刪除也許副本資料仍存在其他磁碟多用戶共享磁碟的結果如未完整刪除資料沒人知道是否有被復原的風險(陳姓藝人送修筆電引發的風暴)

101

法律

資料保護 雲端運算同時對使用者及供應商帶來資料保護的風險在某些情況下使用者可能難以確認供應商對資料處理方式是否合法特別是在不同雲端之間傳送資料供應商是否提供相關資訊及證明將是選擇供應商的重要參考

102

責任是無法外包的

考慮採用雲端服務時應先與使用用傳統服務的風險互相比較並非所有風險都可轉移到雲端服務商假如因為風險而導致服務中斷損害商譽恐怕沒人可以為你承擔損害切記工作可以外包責任(可歸責性accountability)是無法外包的

103

雲端運算資安架構

104

雲端運算服務資訊安全評估

105

雲端運算服務資訊安全評估 選定採用雲端服務的種類 確認相關資料與應用程式的重要性 進行整體風險分析 尋找合適業者 定期追蹤考核

106

結語

從分散獨立的資訊服務系統轉移到雲端的架構確實可以獲得許多好處例如降低成本更有彈性有效率的使用IT資源等等但是雲端的隱私及安全也不容忽視不確定性會讓使用者對風險及隱私有所質疑藉由市場競爭可以建立一個更加安全雲端

雖然一些不確定性威脅總是存在於網絡世界但透過明確的法規和大家的合作未來還是可以享用雲端的優點

107

結語

就像人們因為信任而將收入存款存放在金融銀行單位的道理一樣即使雲端運算的觀念逐漸被企業所接受採用的關鍵仍在於「信任」尤其伺服器與儲存設備雲端化的效益在於硬體資源的彈性運用其較為「可見」然而做為連結服務的關鍵網路以及攸關資訊與系統風險的安全需求所帶出的雲端服務存取速度與可靠性議題則是企業應用當中更為重要且更需建立的觀念

108

109

結語mdash鑒古知今由電力產業推論資訊產業

19世紀的電力產業 工廠自備電力 大電廠出現並提供電力網後工廠也擔心輸電線的可靠性是否有必要冒風險放棄自己發電

現在的資訊產業 企業自備電腦資源(運算能力儲存空間) 雲端服務公司出現企業擔心顧客資料機密資料放在雲端有風險是否有必要冒風險放棄IT部門

What do you think

• 漫步在雲端 資安新戰場
• 大綱
• 雲端的代價--近期資訊安全重大案例
• 近期資訊安全重大案例(續)
• 近期資訊安全重大案例(續)
• 新裸奔年代mdash商周128期封面故事
• 免費的個資隱私
• 你可能已經被拍賣了
• 4c812db2922729⋯⋯
• 貝蒂的故事
• Slide Number 11
• 個資的拍賣價
• iPhoneAndroid手機
• 貝蒂的故事
• 貝蒂的故事
• 網路隱私權販賣流程
• 網路隱私「被賣」爭議越演越烈
• 雲端運算的迷思--簡介與應用
• 雲端運算定義
• Slide Number 20
• Slide Number 21
• 雲端運算的特性
• 雲端運算的特性
• 雲端運算的特性
• 雲端運算的特性
• 雲端運算的特性
• 雲端服務的SPI架構
• 雲端運算的本質之一 Infrastructure as a Services
• 範例 虛擬桌面架構應用
• 雲端運算的本質之二 Platform as a Services
• 雲端運算的本質之三 Software as a Services
• 雲端運算的需求 機動的增減資源的使用與自動化
• Slide Number 33
• Slide Number 34
• 全世界都在談
• 微軟
• 蘋果
• 賈伯斯為何願花14年上雲端
• 兩億用戶的工作吃喝玩樂蘋果都要賺
• iCloud推出後的受益受害者
• 雲端運算的各式應用
• Slide Number 42
• 雲端 VS資安
• Slide Number 44
• 從資安看雲端CISSP認證資訊系統安全專家的觀點
• Slide Number 46
• Intel最在意的資安議題
• 雲端運算的迷思
• 資料的安全性與隱私性
• 雲端運算安全的迷思-1
• 雲端運算安全的迷思-2
• 雲端運算安全的迷思-3
• 雲端運算安全的迷思-4
• 雲端運算安全的迷思-5
• 雲端資安-從個資法探討
• 個人資料
• 個人資料生命週期管理
• 個人資料保護生命週期（草案）
• 法規面及個資生命週期保護需求
• Slide Number 60
• Slide Number 61
• 個資法之新舊比較
• Slide Number 63
• Slide Number 64
• Slide Number 65
• Slide Number 66
• Slide Number 67
• Slide Number 68
• 為何雲端安全重要
• Slide Number 70
• Slide Number 71
• 新的資訊安全挑戰
• 新的資訊安全挑戰
• 安全性是企業最主要關注的議題
• 新的資訊安全挑戰
• Slide Number 76
• 誰是駭客內部
• 誰是駭客外部
• 誰是駭客目的
• 危險和漏洞
• 新的資訊安全挑戰
• 新的資訊安全挑戰
• 雲端運算之7大安全威脅
• 雲端運算之7大安全威脅
• 濫用或利用雲端運算進行非法行為
• 不安全的使用者介面與APIs
• 惡意的內部人員
• 共享環境所造成的議題
• 資料遺失或外洩
• 帳號或服務被竊取
• 未知的風險模型
• Slide Number 92
• 資安風險
• 風險評估矩陣
• 組織與政策
• 組織與政策
• 組織與政策
• 組織與政策
• 技術
• 技術
• 法律
• 責任是無法外包的
• 雲端運算資安架構
• Slide Number 104
• 雲端運算服務資訊安全評估
• 結語
• 結語
• Slide Number 108
• 結語mdash鑒古知今由電力產業推論資訊產業

96

組織與政策

鎖定(lock-in) 目前仍缺乏工具程序標準資料格式或服務介面以確保資料應用系統及服務的可攜性使用者將無法轉換雲端服務供應商甚至無法回到原來企業內部使用的系統環境這將導致過於依賴特定廠商的服務你願意承擔這種風險嗎

97

組織與政策

適用性風險(法規或標準) 轉移到雲端後認證公司可能面臨以下風險 1如果雲端服務供應商不能提供證據證明自己遵守有關規定

2如果雲端服務供應商不允許客戶對其稽核 這意味著使用公有雲的服務將可能無法達到某些法規或標準的要求

98

組織與政策

惡意的內部人員 雖然平時不太可能但由惡意的內部人員造成的損害可能往往更大雲端架構某些必要角色將有極高風險如系統管理員和託管安全服務提供商

99

技術

資源獨立性問題(ISOLATION FAILURE)

多租戶和共享資源是雲端的特點但也相對隱含一些風險包括無效的獨立儲存記憶體路由機制甚至共用資源的租戶聲譽（例如跳板攻擊）當然攻擊資源隔離機制仍比攻擊傳統系統少很多但一旦發生問題影響將更大

100

技術

不安全或不完整的資料刪除 雲端的儲存架構將使資料更難以刪除也許副本資料仍存在其他磁碟多用戶共享磁碟的結果如未完整刪除資料沒人知道是否有被復原的風險(陳姓藝人送修筆電引發的風暴)

101

法律

資料保護 雲端運算同時對使用者及供應商帶來資料保護的風險在某些情況下使用者可能難以確認供應商對資料處理方式是否合法特別是在不同雲端之間傳送資料供應商是否提供相關資訊及證明將是選擇供應商的重要參考

102

責任是無法外包的

考慮採用雲端服務時應先與使用用傳統服務的風險互相比較並非所有風險都可轉移到雲端服務商假如因為風險而導致服務中斷損害商譽恐怕沒人可以為你承擔損害切記工作可以外包責任(可歸責性accountability)是無法外包的

103

雲端運算資安架構

104

雲端運算服務資訊安全評估

105

雲端運算服務資訊安全評估 選定採用雲端服務的種類 確認相關資料與應用程式的重要性 進行整體風險分析 尋找合適業者 定期追蹤考核

106

結語

從分散獨立的資訊服務系統轉移到雲端的架構確實可以獲得許多好處例如降低成本更有彈性有效率的使用IT資源等等但是雲端的隱私及安全也不容忽視不確定性會讓使用者對風險及隱私有所質疑藉由市場競爭可以建立一個更加安全雲端

雖然一些不確定性威脅總是存在於網絡世界但透過明確的法規和大家的合作未來還是可以享用雲端的優點

107

結語

就像人們因為信任而將收入存款存放在金融銀行單位的道理一樣即使雲端運算的觀念逐漸被企業所接受採用的關鍵仍在於「信任」尤其伺服器與儲存設備雲端化的效益在於硬體資源的彈性運用其較為「可見」然而做為連結服務的關鍵網路以及攸關資訊與系統風險的安全需求所帶出的雲端服務存取速度與可靠性議題則是企業應用當中更為重要且更需建立的觀念

108

109

結語mdash鑒古知今由電力產業推論資訊產業

19世紀的電力產業 工廠自備電力 大電廠出現並提供電力網後工廠也擔心輸電線的可靠性是否有必要冒風險放棄自己發電

現在的資訊產業 企業自備電腦資源(運算能力儲存空間) 雲端服務公司出現企業擔心顧客資料機密資料放在雲端有風險是否有必要冒風險放棄IT部門

What do you think

• 漫步在雲端 資安新戰場
• 大綱
• 雲端的代價--近期資訊安全重大案例
• 近期資訊安全重大案例(續)
• 近期資訊安全重大案例(續)
• 新裸奔年代mdash商周128期封面故事
• 免費的個資隱私
• 你可能已經被拍賣了
• 4c812db2922729⋯⋯
• 貝蒂的故事
• Slide Number 11
• 個資的拍賣價
• iPhoneAndroid手機
• 貝蒂的故事
• 貝蒂的故事
• 網路隱私權販賣流程
• 網路隱私「被賣」爭議越演越烈
• 雲端運算的迷思--簡介與應用
• 雲端運算定義
• Slide Number 20
• Slide Number 21
• 雲端運算的特性
• 雲端運算的特性
• 雲端運算的特性
• 雲端運算的特性
• 雲端運算的特性
• 雲端服務的SPI架構
• 雲端運算的本質之一 Infrastructure as a Services
• 範例 虛擬桌面架構應用
• 雲端運算的本質之二 Platform as a Services
• 雲端運算的本質之三 Software as a Services
• 雲端運算的需求 機動的增減資源的使用與自動化
• Slide Number 33
• Slide Number 34
• 全世界都在談
• 微軟
• 蘋果
• 賈伯斯為何願花14年上雲端
• 兩億用戶的工作吃喝玩樂蘋果都要賺
• iCloud推出後的受益受害者
• 雲端運算的各式應用
• Slide Number 42
• 雲端 VS資安
• Slide Number 44
• 從資安看雲端CISSP認證資訊系統安全專家的觀點
• Slide Number 46
• Intel最在意的資安議題
• 雲端運算的迷思
• 資料的安全性與隱私性
• 雲端運算安全的迷思-1
• 雲端運算安全的迷思-2
• 雲端運算安全的迷思-3
• 雲端運算安全的迷思-4
• 雲端運算安全的迷思-5
• 雲端資安-從個資法探討
• 個人資料
• 個人資料生命週期管理
• 個人資料保護生命週期（草案）
• 法規面及個資生命週期保護需求
• Slide Number 60
• Slide Number 61
• 個資法之新舊比較
• Slide Number 63
• Slide Number 64
• Slide Number 65
• Slide Number 66
• Slide Number 67
• Slide Number 68
• 為何雲端安全重要
• Slide Number 70
• Slide Number 71
• 新的資訊安全挑戰
• 新的資訊安全挑戰
• 安全性是企業最主要關注的議題
• 新的資訊安全挑戰
• Slide Number 76
• 誰是駭客內部
• 誰是駭客外部
• 誰是駭客目的
• 危險和漏洞
• 新的資訊安全挑戰
• 新的資訊安全挑戰
• 雲端運算之7大安全威脅
• 雲端運算之7大安全威脅
• 濫用或利用雲端運算進行非法行為
• 不安全的使用者介面與APIs
• 惡意的內部人員
• 共享環境所造成的議題
• 資料遺失或外洩
• 帳號或服務被竊取
• 未知的風險模型
• Slide Number 92
• 資安風險
• 風險評估矩陣
• 組織與政策
• 組織與政策
• 組織與政策
• 組織與政策
• 技術
• 技術
• 法律
• 責任是無法外包的
• 雲端運算資安架構
• Slide Number 104
• 雲端運算服務資訊安全評估
• 結語
• 結語
• Slide Number 108
• 結語mdash鑒古知今由電力產業推論資訊產業

97

組織與政策

適用性風險(法規或標準) 轉移到雲端後認證公司可能面臨以下風險 1如果雲端服務供應商不能提供證據證明自己遵守有關規定

2如果雲端服務供應商不允許客戶對其稽核 這意味著使用公有雲的服務將可能無法達到某些法規或標準的要求

98

組織與政策

惡意的內部人員 雖然平時不太可能但由惡意的內部人員造成的損害可能往往更大雲端架構某些必要角色將有極高風險如系統管理員和託管安全服務提供商

99

技術

資源獨立性問題(ISOLATION FAILURE)

多租戶和共享資源是雲端的特點但也相對隱含一些風險包括無效的獨立儲存記憶體路由機制甚至共用資源的租戶聲譽（例如跳板攻擊）當然攻擊資源隔離機制仍比攻擊傳統系統少很多但一旦發生問題影響將更大

100

技術

不安全或不完整的資料刪除 雲端的儲存架構將使資料更難以刪除也許副本資料仍存在其他磁碟多用戶共享磁碟的結果如未完整刪除資料沒人知道是否有被復原的風險(陳姓藝人送修筆電引發的風暴)

101

法律

資料保護 雲端運算同時對使用者及供應商帶來資料保護的風險在某些情況下使用者可能難以確認供應商對資料處理方式是否合法特別是在不同雲端之間傳送資料供應商是否提供相關資訊及證明將是選擇供應商的重要參考

102

責任是無法外包的

考慮採用雲端服務時應先與使用用傳統服務的風險互相比較並非所有風險都可轉移到雲端服務商假如因為風險而導致服務中斷損害商譽恐怕沒人可以為你承擔損害切記工作可以外包責任(可歸責性accountability)是無法外包的

103

雲端運算資安架構

104

雲端運算服務資訊安全評估

105

雲端運算服務資訊安全評估 選定採用雲端服務的種類 確認相關資料與應用程式的重要性 進行整體風險分析 尋找合適業者 定期追蹤考核

106

結語

從分散獨立的資訊服務系統轉移到雲端的架構確實可以獲得許多好處例如降低成本更有彈性有效率的使用IT資源等等但是雲端的隱私及安全也不容忽視不確定性會讓使用者對風險及隱私有所質疑藉由市場競爭可以建立一個更加安全雲端

雖然一些不確定性威脅總是存在於網絡世界但透過明確的法規和大家的合作未來還是可以享用雲端的優點

107

結語

就像人們因為信任而將收入存款存放在金融銀行單位的道理一樣即使雲端運算的觀念逐漸被企業所接受採用的關鍵仍在於「信任」尤其伺服器與儲存設備雲端化的效益在於硬體資源的彈性運用其較為「可見」然而做為連結服務的關鍵網路以及攸關資訊與系統風險的安全需求所帶出的雲端服務存取速度與可靠性議題則是企業應用當中更為重要且更需建立的觀念

108

109

結語mdash鑒古知今由電力產業推論資訊產業

19世紀的電力產業 工廠自備電力 大電廠出現並提供電力網後工廠也擔心輸電線的可靠性是否有必要冒風險放棄自己發電

現在的資訊產業 企業自備電腦資源(運算能力儲存空間) 雲端服務公司出現企業擔心顧客資料機密資料放在雲端有風險是否有必要冒風險放棄IT部門

What do you think

• 漫步在雲端 資安新戰場
• 大綱
• 雲端的代價--近期資訊安全重大案例
• 近期資訊安全重大案例(續)
• 近期資訊安全重大案例(續)
• 新裸奔年代mdash商周128期封面故事
• 免費的個資隱私
• 你可能已經被拍賣了
• 4c812db2922729⋯⋯
• 貝蒂的故事
• Slide Number 11
• 個資的拍賣價
• iPhoneAndroid手機
• 貝蒂的故事
• 貝蒂的故事
• 網路隱私權販賣流程
• 網路隱私「被賣」爭議越演越烈
• 雲端運算的迷思--簡介與應用
• 雲端運算定義
• Slide Number 20
• Slide Number 21
• 雲端運算的特性
• 雲端運算的特性
• 雲端運算的特性
• 雲端運算的特性
• 雲端運算的特性
• 雲端服務的SPI架構
• 雲端運算的本質之一 Infrastructure as a Services
• 範例 虛擬桌面架構應用
• 雲端運算的本質之二 Platform as a Services
• 雲端運算的本質之三 Software as a Services
• 雲端運算的需求 機動的增減資源的使用與自動化
• Slide Number 33
• Slide Number 34
• 全世界都在談
• 微軟
• 蘋果
• 賈伯斯為何願花14年上雲端
• 兩億用戶的工作吃喝玩樂蘋果都要賺
• iCloud推出後的受益受害者
• 雲端運算的各式應用
• Slide Number 42
• 雲端 VS資安
• Slide Number 44
• 從資安看雲端CISSP認證資訊系統安全專家的觀點
• Slide Number 46
• Intel最在意的資安議題
• 雲端運算的迷思
• 資料的安全性與隱私性
• 雲端運算安全的迷思-1
• 雲端運算安全的迷思-2
• 雲端運算安全的迷思-3
• 雲端運算安全的迷思-4
• 雲端運算安全的迷思-5
• 雲端資安-從個資法探討
• 個人資料
• 個人資料生命週期管理
• 個人資料保護生命週期（草案）
• 法規面及個資生命週期保護需求
• Slide Number 60
• Slide Number 61
• 個資法之新舊比較
• Slide Number 63
• Slide Number 64
• Slide Number 65
• Slide Number 66
• Slide Number 67
• Slide Number 68
• 為何雲端安全重要
• Slide Number 70
• Slide Number 71
• 新的資訊安全挑戰
• 新的資訊安全挑戰
• 安全性是企業最主要關注的議題
• 新的資訊安全挑戰
• Slide Number 76
• 誰是駭客內部
• 誰是駭客外部
• 誰是駭客目的
• 危險和漏洞
• 新的資訊安全挑戰
• 新的資訊安全挑戰
• 雲端運算之7大安全威脅
• 雲端運算之7大安全威脅
• 濫用或利用雲端運算進行非法行為
• 不安全的使用者介面與APIs
• 惡意的內部人員
• 共享環境所造成的議題
• 資料遺失或外洩
• 帳號或服務被竊取
• 未知的風險模型
• Slide Number 92
• 資安風險
• 風險評估矩陣
• 組織與政策
• 組織與政策
• 組織與政策
• 組織與政策
• 技術
• 技術
• 法律
• 責任是無法外包的
• 雲端運算資安架構
• Slide Number 104
• 雲端運算服務資訊安全評估
• 結語
• 結語
• Slide Number 108
• 結語mdash鑒古知今由電力產業推論資訊產業

98

組織與政策

惡意的內部人員 雖然平時不太可能但由惡意的內部人員造成的損害可能往往更大雲端架構某些必要角色將有極高風險如系統管理員和託管安全服務提供商

99

技術

資源獨立性問題(ISOLATION FAILURE)

多租戶和共享資源是雲端的特點但也相對隱含一些風險包括無效的獨立儲存記憶體路由機制甚至共用資源的租戶聲譽（例如跳板攻擊）當然攻擊資源隔離機制仍比攻擊傳統系統少很多但一旦發生問題影響將更大

100

技術

不安全或不完整的資料刪除 雲端的儲存架構將使資料更難以刪除也許副本資料仍存在其他磁碟多用戶共享磁碟的結果如未完整刪除資料沒人知道是否有被復原的風險(陳姓藝人送修筆電引發的風暴)

101

法律

資料保護 雲端運算同時對使用者及供應商帶來資料保護的風險在某些情況下使用者可能難以確認供應商對資料處理方式是否合法特別是在不同雲端之間傳送資料供應商是否提供相關資訊及證明將是選擇供應商的重要參考

102

責任是無法外包的

考慮採用雲端服務時應先與使用用傳統服務的風險互相比較並非所有風險都可轉移到雲端服務商假如因為風險而導致服務中斷損害商譽恐怕沒人可以為你承擔損害切記工作可以外包責任(可歸責性accountability)是無法外包的

103

雲端運算資安架構

104

雲端運算服務資訊安全評估

105

雲端運算服務資訊安全評估 選定採用雲端服務的種類 確認相關資料與應用程式的重要性 進行整體風險分析 尋找合適業者 定期追蹤考核

106

結語

從分散獨立的資訊服務系統轉移到雲端的架構確實可以獲得許多好處例如降低成本更有彈性有效率的使用IT資源等等但是雲端的隱私及安全也不容忽視不確定性會讓使用者對風險及隱私有所質疑藉由市場競爭可以建立一個更加安全雲端

雖然一些不確定性威脅總是存在於網絡世界但透過明確的法規和大家的合作未來還是可以享用雲端的優點

107

結語

就像人們因為信任而將收入存款存放在金融銀行單位的道理一樣即使雲端運算的觀念逐漸被企業所接受採用的關鍵仍在於「信任」尤其伺服器與儲存設備雲端化的效益在於硬體資源的彈性運用其較為「可見」然而做為連結服務的關鍵網路以及攸關資訊與系統風險的安全需求所帶出的雲端服務存取速度與可靠性議題則是企業應用當中更為重要且更需建立的觀念

108

109

結語mdash鑒古知今由電力產業推論資訊產業

19世紀的電力產業 工廠自備電力 大電廠出現並提供電力網後工廠也擔心輸電線的可靠性是否有必要冒風險放棄自己發電

現在的資訊產業 企業自備電腦資源(運算能力儲存空間) 雲端服務公司出現企業擔心顧客資料機密資料放在雲端有風險是否有必要冒風險放棄IT部門

What do you think

• 漫步在雲端 資安新戰場
• 大綱
• 雲端的代價--近期資訊安全重大案例
• 近期資訊安全重大案例(續)
• 近期資訊安全重大案例(續)
• 新裸奔年代mdash商周128期封面故事
• 免費的個資隱私
• 你可能已經被拍賣了
• 4c812db2922729⋯⋯
• 貝蒂的故事
• Slide Number 11
• 個資的拍賣價
• iPhoneAndroid手機
• 貝蒂的故事
• 貝蒂的故事
• 網路隱私權販賣流程
• 網路隱私「被賣」爭議越演越烈
• 雲端運算的迷思--簡介與應用
• 雲端運算定義
• Slide Number 20
• Slide Number 21
• 雲端運算的特性
• 雲端運算的特性
• 雲端運算的特性
• 雲端運算的特性
• 雲端運算的特性
• 雲端服務的SPI架構
• 雲端運算的本質之一 Infrastructure as a Services
• 範例 虛擬桌面架構應用
• 雲端運算的本質之二 Platform as a Services
• 雲端運算的本質之三 Software as a Services
• 雲端運算的需求 機動的增減資源的使用與自動化
• Slide Number 33
• Slide Number 34
• 全世界都在談
• 微軟
• 蘋果
• 賈伯斯為何願花14年上雲端
• 兩億用戶的工作吃喝玩樂蘋果都要賺
• iCloud推出後的受益受害者
• 雲端運算的各式應用
• Slide Number 42
• 雲端 VS資安
• Slide Number 44
• 從資安看雲端CISSP認證資訊系統安全專家的觀點
• Slide Number 46
• Intel最在意的資安議題
• 雲端運算的迷思
• 資料的安全性與隱私性
• 雲端運算安全的迷思-1
• 雲端運算安全的迷思-2
• 雲端運算安全的迷思-3
• 雲端運算安全的迷思-4
• 雲端運算安全的迷思-5
• 雲端資安-從個資法探討
• 個人資料
• 個人資料生命週期管理
• 個人資料保護生命週期（草案）
• 法規面及個資生命週期保護需求
• Slide Number 60
• Slide Number 61
• 個資法之新舊比較
• Slide Number 63
• Slide Number 64
• Slide Number 65
• Slide Number 66
• Slide Number 67
• Slide Number 68
• 為何雲端安全重要
• Slide Number 70
• Slide Number 71
• 新的資訊安全挑戰
• 新的資訊安全挑戰
• 安全性是企業最主要關注的議題
• 新的資訊安全挑戰
• Slide Number 76
• 誰是駭客內部
• 誰是駭客外部
• 誰是駭客目的
• 危險和漏洞
• 新的資訊安全挑戰
• 新的資訊安全挑戰
• 雲端運算之7大安全威脅
• 雲端運算之7大安全威脅
• 濫用或利用雲端運算進行非法行為
• 不安全的使用者介面與APIs
• 惡意的內部人員
• 共享環境所造成的議題
• 資料遺失或外洩
• 帳號或服務被竊取
• 未知的風險模型
• Slide Number 92
• 資安風險
• 風險評估矩陣
• 組織與政策
• 組織與政策
• 組織與政策
• 組織與政策
• 技術
• 技術
• 法律
• 責任是無法外包的
• 雲端運算資安架構
• Slide Number 104
• 雲端運算服務資訊安全評估
• 結語
• 結語
• Slide Number 108
• 結語mdash鑒古知今由電力產業推論資訊產業

99

技術

資源獨立性問題(ISOLATION FAILURE)

多租戶和共享資源是雲端的特點但也相對隱含一些風險包括無效的獨立儲存記憶體路由機制甚至共用資源的租戶聲譽（例如跳板攻擊）當然攻擊資源隔離機制仍比攻擊傳統系統少很多但一旦發生問題影響將更大

100

技術

不安全或不完整的資料刪除 雲端的儲存架構將使資料更難以刪除也許副本資料仍存在其他磁碟多用戶共享磁碟的結果如未完整刪除資料沒人知道是否有被復原的風險(陳姓藝人送修筆電引發的風暴)

101

法律

資料保護 雲端運算同時對使用者及供應商帶來資料保護的風險在某些情況下使用者可能難以確認供應商對資料處理方式是否合法特別是在不同雲端之間傳送資料供應商是否提供相關資訊及證明將是選擇供應商的重要參考

102

責任是無法外包的

考慮採用雲端服務時應先與使用用傳統服務的風險互相比較並非所有風險都可轉移到雲端服務商假如因為風險而導致服務中斷損害商譽恐怕沒人可以為你承擔損害切記工作可以外包責任(可歸責性accountability)是無法外包的

103

雲端運算資安架構

104

雲端運算服務資訊安全評估

105

雲端運算服務資訊安全評估 選定採用雲端服務的種類 確認相關資料與應用程式的重要性 進行整體風險分析 尋找合適業者 定期追蹤考核

106

結語

從分散獨立的資訊服務系統轉移到雲端的架構確實可以獲得許多好處例如降低成本更有彈性有效率的使用IT資源等等但是雲端的隱私及安全也不容忽視不確定性會讓使用者對風險及隱私有所質疑藉由市場競爭可以建立一個更加安全雲端

雖然一些不確定性威脅總是存在於網絡世界但透過明確的法規和大家的合作未來還是可以享用雲端的優點

107

結語

就像人們因為信任而將收入存款存放在金融銀行單位的道理一樣即使雲端運算的觀念逐漸被企業所接受採用的關鍵仍在於「信任」尤其伺服器與儲存設備雲端化的效益在於硬體資源的彈性運用其較為「可見」然而做為連結服務的關鍵網路以及攸關資訊與系統風險的安全需求所帶出的雲端服務存取速度與可靠性議題則是企業應用當中更為重要且更需建立的觀念

108

109

結語mdash鑒古知今由電力產業推論資訊產業

19世紀的電力產業 工廠自備電力 大電廠出現並提供電力網後工廠也擔心輸電線的可靠性是否有必要冒風險放棄自己發電

現在的資訊產業 企業自備電腦資源(運算能力儲存空間) 雲端服務公司出現企業擔心顧客資料機密資料放在雲端有風險是否有必要冒風險放棄IT部門

What do you think

• 漫步在雲端 資安新戰場
• 大綱
• 雲端的代價--近期資訊安全重大案例
• 近期資訊安全重大案例(續)
• 近期資訊安全重大案例(續)
• 新裸奔年代mdash商周128期封面故事
• 免費的個資隱私
• 你可能已經被拍賣了
• 4c812db2922729⋯⋯
• 貝蒂的故事
• Slide Number 11
• 個資的拍賣價
• iPhoneAndroid手機
• 貝蒂的故事
• 貝蒂的故事
• 網路隱私權販賣流程
• 網路隱私「被賣」爭議越演越烈
• 雲端運算的迷思--簡介與應用
• 雲端運算定義
• Slide Number 20
• Slide Number 21
• 雲端運算的特性
• 雲端運算的特性
• 雲端運算的特性
• 雲端運算的特性
• 雲端運算的特性
• 雲端服務的SPI架構
• 雲端運算的本質之一 Infrastructure as a Services
• 範例 虛擬桌面架構應用
• 雲端運算的本質之二 Platform as a Services
• 雲端運算的本質之三 Software as a Services
• 雲端運算的需求 機動的增減資源的使用與自動化
• Slide Number 33
• Slide Number 34
• 全世界都在談
• 微軟
• 蘋果
• 賈伯斯為何願花14年上雲端
• 兩億用戶的工作吃喝玩樂蘋果都要賺
• iCloud推出後的受益受害者
• 雲端運算的各式應用
• Slide Number 42
• 雲端 VS資安
• Slide Number 44
• 從資安看雲端CISSP認證資訊系統安全專家的觀點
• Slide Number 46
• Intel最在意的資安議題
• 雲端運算的迷思
• 資料的安全性與隱私性
• 雲端運算安全的迷思-1
• 雲端運算安全的迷思-2
• 雲端運算安全的迷思-3
• 雲端運算安全的迷思-4
• 雲端運算安全的迷思-5
• 雲端資安-從個資法探討
• 個人資料
• 個人資料生命週期管理
• 個人資料保護生命週期（草案）
• 法規面及個資生命週期保護需求
• Slide Number 60
• Slide Number 61
• 個資法之新舊比較
• Slide Number 63
• Slide Number 64
• Slide Number 65
• Slide Number 66
• Slide Number 67
• Slide Number 68
• 為何雲端安全重要
• Slide Number 70
• Slide Number 71
• 新的資訊安全挑戰
• 新的資訊安全挑戰
• 安全性是企業最主要關注的議題
• 新的資訊安全挑戰
• Slide Number 76
• 誰是駭客內部
• 誰是駭客外部
• 誰是駭客目的
• 危險和漏洞
• 新的資訊安全挑戰
• 新的資訊安全挑戰
• 雲端運算之7大安全威脅
• 雲端運算之7大安全威脅
• 濫用或利用雲端運算進行非法行為
• 不安全的使用者介面與APIs
• 惡意的內部人員
• 共享環境所造成的議題
• 資料遺失或外洩
• 帳號或服務被竊取
• 未知的風險模型
• Slide Number 92
• 資安風險
• 風險評估矩陣
• 組織與政策
• 組織與政策
• 組織與政策
• 組織與政策
• 技術
• 技術
• 法律
• 責任是無法外包的
• 雲端運算資安架構
• Slide Number 104
• 雲端運算服務資訊安全評估
• 結語
• 結語
• Slide Number 108
• 結語mdash鑒古知今由電力產業推論資訊產業

100

技術

不安全或不完整的資料刪除 雲端的儲存架構將使資料更難以刪除也許副本資料仍存在其他磁碟多用戶共享磁碟的結果如未完整刪除資料沒人知道是否有被復原的風險(陳姓藝人送修筆電引發的風暴)

101

法律

資料保護 雲端運算同時對使用者及供應商帶來資料保護的風險在某些情況下使用者可能難以確認供應商對資料處理方式是否合法特別是在不同雲端之間傳送資料供應商是否提供相關資訊及證明將是選擇供應商的重要參考

102

責任是無法外包的

考慮採用雲端服務時應先與使用用傳統服務的風險互相比較並非所有風險都可轉移到雲端服務商假如因為風險而導致服務中斷損害商譽恐怕沒人可以為你承擔損害切記工作可以外包責任(可歸責性accountability)是無法外包的

103

雲端運算資安架構

104

雲端運算服務資訊安全評估

105

雲端運算服務資訊安全評估 選定採用雲端服務的種類 確認相關資料與應用程式的重要性 進行整體風險分析 尋找合適業者 定期追蹤考核

106

結語

從分散獨立的資訊服務系統轉移到雲端的架構確實可以獲得許多好處例如降低成本更有彈性有效率的使用IT資源等等但是雲端的隱私及安全也不容忽視不確定性會讓使用者對風險及隱私有所質疑藉由市場競爭可以建立一個更加安全雲端

雖然一些不確定性威脅總是存在於網絡世界但透過明確的法規和大家的合作未來還是可以享用雲端的優點

107

結語

就像人們因為信任而將收入存款存放在金融銀行單位的道理一樣即使雲端運算的觀念逐漸被企業所接受採用的關鍵仍在於「信任」尤其伺服器與儲存設備雲端化的效益在於硬體資源的彈性運用其較為「可見」然而做為連結服務的關鍵網路以及攸關資訊與系統風險的安全需求所帶出的雲端服務存取速度與可靠性議題則是企業應用當中更為重要且更需建立的觀念

108

109

結語mdash鑒古知今由電力產業推論資訊產業

19世紀的電力產業 工廠自備電力 大電廠出現並提供電力網後工廠也擔心輸電線的可靠性是否有必要冒風險放棄自己發電

現在的資訊產業 企業自備電腦資源(運算能力儲存空間) 雲端服務公司出現企業擔心顧客資料機密資料放在雲端有風險是否有必要冒風險放棄IT部門

What do you think

• 漫步在雲端 資安新戰場
• 大綱
• 雲端的代價--近期資訊安全重大案例
• 近期資訊安全重大案例(續)
• 近期資訊安全重大案例(續)
• 新裸奔年代mdash商周128期封面故事
• 免費的個資隱私
• 你可能已經被拍賣了
• 4c812db2922729⋯⋯
• 貝蒂的故事
• Slide Number 11
• 個資的拍賣價
• iPhoneAndroid手機
• 貝蒂的故事
• 貝蒂的故事
• 網路隱私權販賣流程
• 網路隱私「被賣」爭議越演越烈
• 雲端運算的迷思--簡介與應用
• 雲端運算定義
• Slide Number 20
• Slide Number 21
• 雲端運算的特性
• 雲端運算的特性
• 雲端運算的特性
• 雲端運算的特性
• 雲端運算的特性
• 雲端服務的SPI架構
• 雲端運算的本質之一 Infrastructure as a Services
• 範例 虛擬桌面架構應用
• 雲端運算的本質之二 Platform as a Services
• 雲端運算的本質之三 Software as a Services
• 雲端運算的需求 機動的增減資源的使用與自動化
• Slide Number 33
• Slide Number 34
• 全世界都在談
• 微軟
• 蘋果
• 賈伯斯為何願花14年上雲端
• 兩億用戶的工作吃喝玩樂蘋果都要賺
• iCloud推出後的受益受害者
• 雲端運算的各式應用
• Slide Number 42
• 雲端 VS資安
• Slide Number 44
• 從資安看雲端CISSP認證資訊系統安全專家的觀點
• Slide Number 46
• Intel最在意的資安議題
• 雲端運算的迷思
• 資料的安全性與隱私性
• 雲端運算安全的迷思-1
• 雲端運算安全的迷思-2
• 雲端運算安全的迷思-3
• 雲端運算安全的迷思-4
• 雲端運算安全的迷思-5
• 雲端資安-從個資法探討
• 個人資料
• 個人資料生命週期管理
• 個人資料保護生命週期（草案）
• 法規面及個資生命週期保護需求
• Slide Number 60
• Slide Number 61
• 個資法之新舊比較
• Slide Number 63
• Slide Number 64
• Slide Number 65
• Slide Number 66
• Slide Number 67
• Slide Number 68
• 為何雲端安全重要
• Slide Number 70
• Slide Number 71
• 新的資訊安全挑戰
• 新的資訊安全挑戰
• 安全性是企業最主要關注的議題
• 新的資訊安全挑戰
• Slide Number 76
• 誰是駭客內部
• 誰是駭客外部
• 誰是駭客目的
• 危險和漏洞
• 新的資訊安全挑戰
• 新的資訊安全挑戰
• 雲端運算之7大安全威脅
• 雲端運算之7大安全威脅
• 濫用或利用雲端運算進行非法行為
• 不安全的使用者介面與APIs
• 惡意的內部人員
• 共享環境所造成的議題
• 資料遺失或外洩
• 帳號或服務被竊取
• 未知的風險模型
• Slide Number 92
• 資安風險
• 風險評估矩陣
• 組織與政策
• 組織與政策
• 組織與政策
• 組織與政策
• 技術
• 技術
• 法律
• 責任是無法外包的
• 雲端運算資安架構
• Slide Number 104
• 雲端運算服務資訊安全評估
• 結語
• 結語
• Slide Number 108
• 結語mdash鑒古知今由電力產業推論資訊產業

101

法律

資料保護 雲端運算同時對使用者及供應商帶來資料保護的風險在某些情況下使用者可能難以確認供應商對資料處理方式是否合法特別是在不同雲端之間傳送資料供應商是否提供相關資訊及證明將是選擇供應商的重要參考

102

責任是無法外包的

考慮採用雲端服務時應先與使用用傳統服務的風險互相比較並非所有風險都可轉移到雲端服務商假如因為風險而導致服務中斷損害商譽恐怕沒人可以為你承擔損害切記工作可以外包責任(可歸責性accountability)是無法外包的

103

雲端運算資安架構

104

雲端運算服務資訊安全評估

105

雲端運算服務資訊安全評估 選定採用雲端服務的種類 確認相關資料與應用程式的重要性 進行整體風險分析 尋找合適業者 定期追蹤考核

106

結語

從分散獨立的資訊服務系統轉移到雲端的架構確實可以獲得許多好處例如降低成本更有彈性有效率的使用IT資源等等但是雲端的隱私及安全也不容忽視不確定性會讓使用者對風險及隱私有所質疑藉由市場競爭可以建立一個更加安全雲端

雖然一些不確定性威脅總是存在於網絡世界但透過明確的法規和大家的合作未來還是可以享用雲端的優點

107

結語

就像人們因為信任而將收入存款存放在金融銀行單位的道理一樣即使雲端運算的觀念逐漸被企業所接受採用的關鍵仍在於「信任」尤其伺服器與儲存設備雲端化的效益在於硬體資源的彈性運用其較為「可見」然而做為連結服務的關鍵網路以及攸關資訊與系統風險的安全需求所帶出的雲端服務存取速度與可靠性議題則是企業應用當中更為重要且更需建立的觀念

108

109

結語mdash鑒古知今由電力產業推論資訊產業

19世紀的電力產業 工廠自備電力 大電廠出現並提供電力網後工廠也擔心輸電線的可靠性是否有必要冒風險放棄自己發電

現在的資訊產業 企業自備電腦資源(運算能力儲存空間) 雲端服務公司出現企業擔心顧客資料機密資料放在雲端有風險是否有必要冒風險放棄IT部門

What do you think

• 漫步在雲端 資安新戰場
• 大綱
• 雲端的代價--近期資訊安全重大案例
• 近期資訊安全重大案例(續)
• 近期資訊安全重大案例(續)
• 新裸奔年代mdash商周128期封面故事
• 免費的個資隱私
• 你可能已經被拍賣了
• 4c812db2922729⋯⋯
• 貝蒂的故事
• Slide Number 11
• 個資的拍賣價
• iPhoneAndroid手機
• 貝蒂的故事
• 貝蒂的故事
• 網路隱私權販賣流程
• 網路隱私「被賣」爭議越演越烈
• 雲端運算的迷思--簡介與應用
• 雲端運算定義
• Slide Number 20
• Slide Number 21
• 雲端運算的特性
• 雲端運算的特性
• 雲端運算的特性
• 雲端運算的特性
• 雲端運算的特性
• 雲端服務的SPI架構
• 雲端運算的本質之一 Infrastructure as a Services
• 範例 虛擬桌面架構應用
• 雲端運算的本質之二 Platform as a Services
• 雲端運算的本質之三 Software as a Services
• 雲端運算的需求 機動的增減資源的使用與自動化
• Slide Number 33
• Slide Number 34
• 全世界都在談
• 微軟
• 蘋果
• 賈伯斯為何願花14年上雲端
• 兩億用戶的工作吃喝玩樂蘋果都要賺
• iCloud推出後的受益受害者
• 雲端運算的各式應用
• Slide Number 42
• 雲端 VS資安
• Slide Number 44
• 從資安看雲端CISSP認證資訊系統安全專家的觀點
• Slide Number 46
• Intel最在意的資安議題
• 雲端運算的迷思
• 資料的安全性與隱私性
• 雲端運算安全的迷思-1
• 雲端運算安全的迷思-2
• 雲端運算安全的迷思-3
• 雲端運算安全的迷思-4
• 雲端運算安全的迷思-5
• 雲端資安-從個資法探討
• 個人資料
• 個人資料生命週期管理
• 個人資料保護生命週期（草案）
• 法規面及個資生命週期保護需求
• Slide Number 60
• Slide Number 61
• 個資法之新舊比較
• Slide Number 63
• Slide Number 64
• Slide Number 65
• Slide Number 66
• Slide Number 67
• Slide Number 68
• 為何雲端安全重要
• Slide Number 70
• Slide Number 71
• 新的資訊安全挑戰
• 新的資訊安全挑戰
• 安全性是企業最主要關注的議題
• 新的資訊安全挑戰
• Slide Number 76
• 誰是駭客內部
• 誰是駭客外部
• 誰是駭客目的
• 危險和漏洞
• 新的資訊安全挑戰
• 新的資訊安全挑戰
• 雲端運算之7大安全威脅
• 雲端運算之7大安全威脅
• 濫用或利用雲端運算進行非法行為
• 不安全的使用者介面與APIs
• 惡意的內部人員
• 共享環境所造成的議題
• 資料遺失或外洩
• 帳號或服務被竊取
• 未知的風險模型
• Slide Number 92
• 資安風險
• 風險評估矩陣
• 組織與政策
• 組織與政策
• 組織與政策
• 組織與政策
• 技術
• 技術
• 法律
• 責任是無法外包的
• 雲端運算資安架構
• Slide Number 104
• 雲端運算服務資訊安全評估
• 結語
• 結語
• Slide Number 108
• 結語mdash鑒古知今由電力產業推論資訊產業

102

責任是無法外包的

考慮採用雲端服務時應先與使用用傳統服務的風險互相比較並非所有風險都可轉移到雲端服務商假如因為風險而導致服務中斷損害商譽恐怕沒人可以為你承擔損害切記工作可以外包責任(可歸責性accountability)是無法外包的

103

雲端運算資安架構

104

雲端運算服務資訊安全評估

105

雲端運算服務資訊安全評估 選定採用雲端服務的種類 確認相關資料與應用程式的重要性 進行整體風險分析 尋找合適業者 定期追蹤考核

106

結語

從分散獨立的資訊服務系統轉移到雲端的架構確實可以獲得許多好處例如降低成本更有彈性有效率的使用IT資源等等但是雲端的隱私及安全也不容忽視不確定性會讓使用者對風險及隱私有所質疑藉由市場競爭可以建立一個更加安全雲端

雖然一些不確定性威脅總是存在於網絡世界但透過明確的法規和大家的合作未來還是可以享用雲端的優點

107

結語

就像人們因為信任而將收入存款存放在金融銀行單位的道理一樣即使雲端運算的觀念逐漸被企業所接受採用的關鍵仍在於「信任」尤其伺服器與儲存設備雲端化的效益在於硬體資源的彈性運用其較為「可見」然而做為連結服務的關鍵網路以及攸關資訊與系統風險的安全需求所帶出的雲端服務存取速度與可靠性議題則是企業應用當中更為重要且更需建立的觀念

108

109

結語mdash鑒古知今由電力產業推論資訊產業

19世紀的電力產業 工廠自備電力 大電廠出現並提供電力網後工廠也擔心輸電線的可靠性是否有必要冒風險放棄自己發電

現在的資訊產業 企業自備電腦資源(運算能力儲存空間) 雲端服務公司出現企業擔心顧客資料機密資料放在雲端有風險是否有必要冒風險放棄IT部門

What do you think

• 漫步在雲端 資安新戰場
• 大綱
• 雲端的代價--近期資訊安全重大案例
• 近期資訊安全重大案例(續)
• 近期資訊安全重大案例(續)
• 新裸奔年代mdash商周128期封面故事
• 免費的個資隱私
• 你可能已經被拍賣了
• 4c812db2922729⋯⋯
• 貝蒂的故事
• Slide Number 11
• 個資的拍賣價
• iPhoneAndroid手機
• 貝蒂的故事
• 貝蒂的故事
• 網路隱私權販賣流程
• 網路隱私「被賣」爭議越演越烈
• 雲端運算的迷思--簡介與應用
• 雲端運算定義
• Slide Number 20
• Slide Number 21
• 雲端運算的特性
• 雲端運算的特性
• 雲端運算的特性
• 雲端運算的特性
• 雲端運算的特性
• 雲端服務的SPI架構
• 雲端運算的本質之一 Infrastructure as a Services
• 範例 虛擬桌面架構應用
• 雲端運算的本質之二 Platform as a Services
• 雲端運算的本質之三 Software as a Services
• 雲端運算的需求 機動的增減資源的使用與自動化
• Slide Number 33
• Slide Number 34
• 全世界都在談
• 微軟
• 蘋果
• 賈伯斯為何願花14年上雲端
• 兩億用戶的工作吃喝玩樂蘋果都要賺
• iCloud推出後的受益受害者
• 雲端運算的各式應用
• Slide Number 42
• 雲端 VS資安
• Slide Number 44
• 從資安看雲端CISSP認證資訊系統安全專家的觀點
• Slide Number 46
• Intel最在意的資安議題
• 雲端運算的迷思
• 資料的安全性與隱私性
• 雲端運算安全的迷思-1
• 雲端運算安全的迷思-2
• 雲端運算安全的迷思-3
• 雲端運算安全的迷思-4
• 雲端運算安全的迷思-5
• 雲端資安-從個資法探討
• 個人資料
• 個人資料生命週期管理
• 個人資料保護生命週期（草案）
• 法規面及個資生命週期保護需求
• Slide Number 60
• Slide Number 61
• 個資法之新舊比較
• Slide Number 63
• Slide Number 64
• Slide Number 65
• Slide Number 66
• Slide Number 67
• Slide Number 68
• 為何雲端安全重要
• Slide Number 70
• Slide Number 71
• 新的資訊安全挑戰
• 新的資訊安全挑戰
• 安全性是企業最主要關注的議題
• 新的資訊安全挑戰
• Slide Number 76
• 誰是駭客內部
• 誰是駭客外部
• 誰是駭客目的
• 危險和漏洞
• 新的資訊安全挑戰
• 新的資訊安全挑戰
• 雲端運算之7大安全威脅
• 雲端運算之7大安全威脅
• 濫用或利用雲端運算進行非法行為
• 不安全的使用者介面與APIs
• 惡意的內部人員
• 共享環境所造成的議題
• 資料遺失或外洩
• 帳號或服務被竊取
• 未知的風險模型
• Slide Number 92
• 資安風險
• 風險評估矩陣
• 組織與政策
• 組織與政策
• 組織與政策
• 組織與政策
• 技術
• 技術
• 法律
• 責任是無法外包的
• 雲端運算資安架構
• Slide Number 104
• 雲端運算服務資訊安全評估
• 結語
• 結語
• Slide Number 108
• 結語mdash鑒古知今由電力產業推論資訊產業

103

雲端運算資安架構

104

雲端運算服務資訊安全評估

105

雲端運算服務資訊安全評估 選定採用雲端服務的種類 確認相關資料與應用程式的重要性 進行整體風險分析 尋找合適業者 定期追蹤考核

106

結語

從分散獨立的資訊服務系統轉移到雲端的架構確實可以獲得許多好處例如降低成本更有彈性有效率的使用IT資源等等但是雲端的隱私及安全也不容忽視不確定性會讓使用者對風險及隱私有所質疑藉由市場競爭可以建立一個更加安全雲端

雖然一些不確定性威脅總是存在於網絡世界但透過明確的法規和大家的合作未來還是可以享用雲端的優點

107

結語

就像人們因為信任而將收入存款存放在金融銀行單位的道理一樣即使雲端運算的觀念逐漸被企業所接受採用的關鍵仍在於「信任」尤其伺服器與儲存設備雲端化的效益在於硬體資源的彈性運用其較為「可見」然而做為連結服務的關鍵網路以及攸關資訊與系統風險的安全需求所帶出的雲端服務存取速度與可靠性議題則是企業應用當中更為重要且更需建立的觀念

108

109

結語mdash鑒古知今由電力產業推論資訊產業

19世紀的電力產業 工廠自備電力 大電廠出現並提供電力網後工廠也擔心輸電線的可靠性是否有必要冒風險放棄自己發電

現在的資訊產業 企業自備電腦資源(運算能力儲存空間) 雲端服務公司出現企業擔心顧客資料機密資料放在雲端有風險是否有必要冒風險放棄IT部門

What do you think

• 漫步在雲端 資安新戰場
• 大綱
• 雲端的代價--近期資訊安全重大案例
• 近期資訊安全重大案例(續)
• 近期資訊安全重大案例(續)
• 新裸奔年代mdash商周128期封面故事
• 免費的個資隱私
• 你可能已經被拍賣了
• 4c812db2922729⋯⋯
• 貝蒂的故事
• Slide Number 11
• 個資的拍賣價
• iPhoneAndroid手機
• 貝蒂的故事
• 貝蒂的故事
• 網路隱私權販賣流程
• 網路隱私「被賣」爭議越演越烈
• 雲端運算的迷思--簡介與應用
• 雲端運算定義
• Slide Number 20
• Slide Number 21
• 雲端運算的特性
• 雲端運算的特性
• 雲端運算的特性
• 雲端運算的特性
• 雲端運算的特性
• 雲端服務的SPI架構
• 雲端運算的本質之一 Infrastructure as a Services
• 範例 虛擬桌面架構應用
• 雲端運算的本質之二 Platform as a Services
• 雲端運算的本質之三 Software as a Services
• 雲端運算的需求 機動的增減資源的使用與自動化
• Slide Number 33
• Slide Number 34
• 全世界都在談
• 微軟
• 蘋果
• 賈伯斯為何願花14年上雲端
• 兩億用戶的工作吃喝玩樂蘋果都要賺
• iCloud推出後的受益受害者
• 雲端運算的各式應用
• Slide Number 42
• 雲端 VS資安
• Slide Number 44
• 從資安看雲端CISSP認證資訊系統安全專家的觀點
• Slide Number 46
• Intel最在意的資安議題
• 雲端運算的迷思
• 資料的安全性與隱私性
• 雲端運算安全的迷思-1
• 雲端運算安全的迷思-2
• 雲端運算安全的迷思-3
• 雲端運算安全的迷思-4
• 雲端運算安全的迷思-5
• 雲端資安-從個資法探討
• 個人資料
• 個人資料生命週期管理
• 個人資料保護生命週期（草案）
• 法規面及個資生命週期保護需求
• Slide Number 60
• Slide Number 61
• 個資法之新舊比較
• Slide Number 63
• Slide Number 64
• Slide Number 65
• Slide Number 66
• Slide Number 67
• Slide Number 68
• 為何雲端安全重要
• Slide Number 70
• Slide Number 71
• 新的資訊安全挑戰
• 新的資訊安全挑戰
• 安全性是企業最主要關注的議題
• 新的資訊安全挑戰
• Slide Number 76
• 誰是駭客內部
• 誰是駭客外部
• 誰是駭客目的
• 危險和漏洞
• 新的資訊安全挑戰
• 新的資訊安全挑戰
• 雲端運算之7大安全威脅
• 雲端運算之7大安全威脅
• 濫用或利用雲端運算進行非法行為
• 不安全的使用者介面與APIs
• 惡意的內部人員
• 共享環境所造成的議題
• 資料遺失或外洩
• 帳號或服務被竊取
• 未知的風險模型
• Slide Number 92
• 資安風險
• 風險評估矩陣
• 組織與政策
• 組織與政策
• 組織與政策
• 組織與政策
• 技術
• 技術
• 法律
• 責任是無法外包的
• 雲端運算資安架構
• Slide Number 104
• 雲端運算服務資訊安全評估
• 結語
• 結語
• Slide Number 108
• 結語mdash鑒古知今由電力產業推論資訊產業

104

雲端運算服務資訊安全評估

105

雲端運算服務資訊安全評估 選定採用雲端服務的種類 確認相關資料與應用程式的重要性 進行整體風險分析 尋找合適業者 定期追蹤考核

106

結語

從分散獨立的資訊服務系統轉移到雲端的架構確實可以獲得許多好處例如降低成本更有彈性有效率的使用IT資源等等但是雲端的隱私及安全也不容忽視不確定性會讓使用者對風險及隱私有所質疑藉由市場競爭可以建立一個更加安全雲端

雖然一些不確定性威脅總是存在於網絡世界但透過明確的法規和大家的合作未來還是可以享用雲端的優點

107

結語

就像人們因為信任而將收入存款存放在金融銀行單位的道理一樣即使雲端運算的觀念逐漸被企業所接受採用的關鍵仍在於「信任」尤其伺服器與儲存設備雲端化的效益在於硬體資源的彈性運用其較為「可見」然而做為連結服務的關鍵網路以及攸關資訊與系統風險的安全需求所帶出的雲端服務存取速度與可靠性議題則是企業應用當中更為重要且更需建立的觀念

108

109

結語mdash鑒古知今由電力產業推論資訊產業

19世紀的電力產業 工廠自備電力 大電廠出現並提供電力網後工廠也擔心輸電線的可靠性是否有必要冒風險放棄自己發電

現在的資訊產業 企業自備電腦資源(運算能力儲存空間) 雲端服務公司出現企業擔心顧客資料機密資料放在雲端有風險是否有必要冒風險放棄IT部門

What do you think

• 漫步在雲端 資安新戰場
• 大綱
• 雲端的代價--近期資訊安全重大案例
• 近期資訊安全重大案例(續)
• 近期資訊安全重大案例(續)
• 新裸奔年代mdash商周128期封面故事
• 免費的個資隱私
• 你可能已經被拍賣了
• 4c812db2922729⋯⋯
• 貝蒂的故事
• Slide Number 11
• 個資的拍賣價
• iPhoneAndroid手機
• 貝蒂的故事
• 貝蒂的故事
• 網路隱私權販賣流程
• 網路隱私「被賣」爭議越演越烈
• 雲端運算的迷思--簡介與應用
• 雲端運算定義
• Slide Number 20
• Slide Number 21
• 雲端運算的特性
• 雲端運算的特性
• 雲端運算的特性
• 雲端運算的特性
• 雲端運算的特性
• 雲端服務的SPI架構
• 雲端運算的本質之一 Infrastructure as a Services
• 範例 虛擬桌面架構應用
• 雲端運算的本質之二 Platform as a Services
• 雲端運算的本質之三 Software as a Services
• 雲端運算的需求 機動的增減資源的使用與自動化
• Slide Number 33
• Slide Number 34
• 全世界都在談
• 微軟
• 蘋果
• 賈伯斯為何願花14年上雲端
• 兩億用戶的工作吃喝玩樂蘋果都要賺
• iCloud推出後的受益受害者
• 雲端運算的各式應用
• Slide Number 42
• 雲端 VS資安
• Slide Number 44
• 從資安看雲端CISSP認證資訊系統安全專家的觀點
• Slide Number 46
• Intel最在意的資安議題
• 雲端運算的迷思
• 資料的安全性與隱私性
• 雲端運算安全的迷思-1
• 雲端運算安全的迷思-2
• 雲端運算安全的迷思-3
• 雲端運算安全的迷思-4
• 雲端運算安全的迷思-5
• 雲端資安-從個資法探討
• 個人資料
• 個人資料生命週期管理
• 個人資料保護生命週期（草案）
• 法規面及個資生命週期保護需求
• Slide Number 60
• Slide Number 61
• 個資法之新舊比較
• Slide Number 63
• Slide Number 64
• Slide Number 65
• Slide Number 66
• Slide Number 67
• Slide Number 68
• 為何雲端安全重要
• Slide Number 70
• Slide Number 71
• 新的資訊安全挑戰
• 新的資訊安全挑戰
• 安全性是企業最主要關注的議題
• 新的資訊安全挑戰
• Slide Number 76
• 誰是駭客內部
• 誰是駭客外部
• 誰是駭客目的
• 危險和漏洞
• 新的資訊安全挑戰
• 新的資訊安全挑戰
• 雲端運算之7大安全威脅
• 雲端運算之7大安全威脅
• 濫用或利用雲端運算進行非法行為
• 不安全的使用者介面與APIs
• 惡意的內部人員
• 共享環境所造成的議題
• 資料遺失或外洩
• 帳號或服務被竊取
• 未知的風險模型
• Slide Number 92
• 資安風險
• 風險評估矩陣
• 組織與政策
• 組織與政策
• 組織與政策
• 組織與政策
• 技術
• 技術
• 法律
• 責任是無法外包的
• 雲端運算資安架構
• Slide Number 104
• 雲端運算服務資訊安全評估
• 結語
• 結語
• Slide Number 108
• 結語mdash鑒古知今由電力產業推論資訊產業

105

雲端運算服務資訊安全評估 選定採用雲端服務的種類 確認相關資料與應用程式的重要性 進行整體風險分析 尋找合適業者 定期追蹤考核

106

結語

從分散獨立的資訊服務系統轉移到雲端的架構確實可以獲得許多好處例如降低成本更有彈性有效率的使用IT資源等等但是雲端的隱私及安全也不容忽視不確定性會讓使用者對風險及隱私有所質疑藉由市場競爭可以建立一個更加安全雲端

雖然一些不確定性威脅總是存在於網絡世界但透過明確的法規和大家的合作未來還是可以享用雲端的優點

107

結語

就像人們因為信任而將收入存款存放在金融銀行單位的道理一樣即使雲端運算的觀念逐漸被企業所接受採用的關鍵仍在於「信任」尤其伺服器與儲存設備雲端化的效益在於硬體資源的彈性運用其較為「可見」然而做為連結服務的關鍵網路以及攸關資訊與系統風險的安全需求所帶出的雲端服務存取速度與可靠性議題則是企業應用當中更為重要且更需建立的觀念

108

109

結語mdash鑒古知今由電力產業推論資訊產業

19世紀的電力產業 工廠自備電力 大電廠出現並提供電力網後工廠也擔心輸電線的可靠性是否有必要冒風險放棄自己發電

現在的資訊產業 企業自備電腦資源(運算能力儲存空間) 雲端服務公司出現企業擔心顧客資料機密資料放在雲端有風險是否有必要冒風險放棄IT部門

What do you think

• 漫步在雲端 資安新戰場
• 大綱
• 雲端的代價--近期資訊安全重大案例
• 近期資訊安全重大案例(續)
• 近期資訊安全重大案例(續)
• 新裸奔年代mdash商周128期封面故事
• 免費的個資隱私
• 你可能已經被拍賣了
• 4c812db2922729⋯⋯
• 貝蒂的故事
• Slide Number 11
• 個資的拍賣價
• iPhoneAndroid手機
• 貝蒂的故事
• 貝蒂的故事
• 網路隱私權販賣流程
• 網路隱私「被賣」爭議越演越烈
• 雲端運算的迷思--簡介與應用
• 雲端運算定義
• Slide Number 20
• Slide Number 21
• 雲端運算的特性
• 雲端運算的特性
• 雲端運算的特性
• 雲端運算的特性
• 雲端運算的特性
• 雲端服務的SPI架構
• 雲端運算的本質之一 Infrastructure as a Services
• 範例 虛擬桌面架構應用
• 雲端運算的本質之二 Platform as a Services
• 雲端運算的本質之三 Software as a Services
• 雲端運算的需求 機動的增減資源的使用與自動化
• Slide Number 33
• Slide Number 34
• 全世界都在談
• 微軟
• 蘋果
• 賈伯斯為何願花14年上雲端
• 兩億用戶的工作吃喝玩樂蘋果都要賺
• iCloud推出後的受益受害者
• 雲端運算的各式應用
• Slide Number 42
• 雲端 VS資安
• Slide Number 44
• 從資安看雲端CISSP認證資訊系統安全專家的觀點
• Slide Number 46
• Intel最在意的資安議題
• 雲端運算的迷思
• 資料的安全性與隱私性
• 雲端運算安全的迷思-1
• 雲端運算安全的迷思-2
• 雲端運算安全的迷思-3
• 雲端運算安全的迷思-4
• 雲端運算安全的迷思-5
• 雲端資安-從個資法探討
• 個人資料
• 個人資料生命週期管理
• 個人資料保護生命週期（草案）
• 法規面及個資生命週期保護需求
• Slide Number 60
• Slide Number 61
• 個資法之新舊比較
• Slide Number 63
• Slide Number 64
• Slide Number 65
• Slide Number 66
• Slide Number 67
• Slide Number 68
• 為何雲端安全重要
• Slide Number 70
• Slide Number 71
• 新的資訊安全挑戰
• 新的資訊安全挑戰
• 安全性是企業最主要關注的議題
• 新的資訊安全挑戰
• Slide Number 76
• 誰是駭客內部
• 誰是駭客外部
• 誰是駭客目的
• 危險和漏洞
• 新的資訊安全挑戰
• 新的資訊安全挑戰
• 雲端運算之7大安全威脅
• 雲端運算之7大安全威脅
• 濫用或利用雲端運算進行非法行為
• 不安全的使用者介面與APIs
• 惡意的內部人員
• 共享環境所造成的議題
• 資料遺失或外洩
• 帳號或服務被竊取
• 未知的風險模型
• Slide Number 92
• 資安風險
• 風險評估矩陣
• 組織與政策
• 組織與政策
• 組織與政策
• 組織與政策
• 技術
• 技術
• 法律
• 責任是無法外包的
• 雲端運算資安架構
• Slide Number 104
• 雲端運算服務資訊安全評估
• 結語
• 結語
• Slide Number 108
• 結語mdash鑒古知今由電力產業推論資訊產業

106

結語

從分散獨立的資訊服務系統轉移到雲端的架構確實可以獲得許多好處例如降低成本更有彈性有效率的使用IT資源等等但是雲端的隱私及安全也不容忽視不確定性會讓使用者對風險及隱私有所質疑藉由市場競爭可以建立一個更加安全雲端

雖然一些不確定性威脅總是存在於網絡世界但透過明確的法規和大家的合作未來還是可以享用雲端的優點

107

結語

就像人們因為信任而將收入存款存放在金融銀行單位的道理一樣即使雲端運算的觀念逐漸被企業所接受採用的關鍵仍在於「信任」尤其伺服器與儲存設備雲端化的效益在於硬體資源的彈性運用其較為「可見」然而做為連結服務的關鍵網路以及攸關資訊與系統風險的安全需求所帶出的雲端服務存取速度與可靠性議題則是企業應用當中更為重要且更需建立的觀念

108

109

結語mdash鑒古知今由電力產業推論資訊產業

19世紀的電力產業 工廠自備電力 大電廠出現並提供電力網後工廠也擔心輸電線的可靠性是否有必要冒風險放棄自己發電

現在的資訊產業 企業自備電腦資源(運算能力儲存空間) 雲端服務公司出現企業擔心顧客資料機密資料放在雲端有風險是否有必要冒風險放棄IT部門

What do you think

• 漫步在雲端 資安新戰場
• 大綱
• 雲端的代價--近期資訊安全重大案例
• 近期資訊安全重大案例(續)
• 近期資訊安全重大案例(續)
• 新裸奔年代mdash商周128期封面故事
• 免費的個資隱私
• 你可能已經被拍賣了
• 4c812db2922729⋯⋯
• 貝蒂的故事
• Slide Number 11
• 個資的拍賣價
• iPhoneAndroid手機
• 貝蒂的故事
• 貝蒂的故事
• 網路隱私權販賣流程
• 網路隱私「被賣」爭議越演越烈
• 雲端運算的迷思--簡介與應用
• 雲端運算定義
• Slide Number 20
• Slide Number 21
• 雲端運算的特性
• 雲端運算的特性
• 雲端運算的特性
• 雲端運算的特性
• 雲端運算的特性
• 雲端服務的SPI架構
• 雲端運算的本質之一 Infrastructure as a Services
• 範例 虛擬桌面架構應用
• 雲端運算的本質之二 Platform as a Services
• 雲端運算的本質之三 Software as a Services
• 雲端運算的需求 機動的增減資源的使用與自動化
• Slide Number 33
• Slide Number 34
• 全世界都在談
• 微軟
• 蘋果
• 賈伯斯為何願花14年上雲端
• 兩億用戶的工作吃喝玩樂蘋果都要賺
• iCloud推出後的受益受害者
• 雲端運算的各式應用
• Slide Number 42
• 雲端 VS資安
• Slide Number 44
• 從資安看雲端CISSP認證資訊系統安全專家的觀點
• Slide Number 46
• Intel最在意的資安議題
• 雲端運算的迷思
• 資料的安全性與隱私性
• 雲端運算安全的迷思-1
• 雲端運算安全的迷思-2
• 雲端運算安全的迷思-3
• 雲端運算安全的迷思-4
• 雲端運算安全的迷思-5
• 雲端資安-從個資法探討
• 個人資料
• 個人資料生命週期管理
• 個人資料保護生命週期（草案）
• 法規面及個資生命週期保護需求
• Slide Number 60
• Slide Number 61
• 個資法之新舊比較
• Slide Number 63
• Slide Number 64
• Slide Number 65
• Slide Number 66
• Slide Number 67
• Slide Number 68
• 為何雲端安全重要
• Slide Number 70
• Slide Number 71
• 新的資訊安全挑戰
• 新的資訊安全挑戰
• 安全性是企業最主要關注的議題
• 新的資訊安全挑戰
• Slide Number 76
• 誰是駭客內部
• 誰是駭客外部
• 誰是駭客目的
• 危險和漏洞
• 新的資訊安全挑戰
• 新的資訊安全挑戰
• 雲端運算之7大安全威脅
• 雲端運算之7大安全威脅
• 濫用或利用雲端運算進行非法行為
• 不安全的使用者介面與APIs
• 惡意的內部人員
• 共享環境所造成的議題
• 資料遺失或外洩
• 帳號或服務被竊取
• 未知的風險模型
• Slide Number 92
• 資安風險
• 風險評估矩陣
• 組織與政策
• 組織與政策
• 組織與政策
• 組織與政策
• 技術
• 技術
• 法律
• 責任是無法外包的
• 雲端運算資安架構
• Slide Number 104
• 雲端運算服務資訊安全評估
• 結語
• 結語
• Slide Number 108
• 結語mdash鑒古知今由電力產業推論資訊產業

107

結語

就像人們因為信任而將收入存款存放在金融銀行單位的道理一樣即使雲端運算的觀念逐漸被企業所接受採用的關鍵仍在於「信任」尤其伺服器與儲存設備雲端化的效益在於硬體資源的彈性運用其較為「可見」然而做為連結服務的關鍵網路以及攸關資訊與系統風險的安全需求所帶出的雲端服務存取速度與可靠性議題則是企業應用當中更為重要且更需建立的觀念

108

109

結語mdash鑒古知今由電力產業推論資訊產業

19世紀的電力產業 工廠自備電力 大電廠出現並提供電力網後工廠也擔心輸電線的可靠性是否有必要冒風險放棄自己發電

現在的資訊產業 企業自備電腦資源(運算能力儲存空間) 雲端服務公司出現企業擔心顧客資料機密資料放在雲端有風險是否有必要冒風險放棄IT部門

What do you think

• 漫步在雲端 資安新戰場
• 大綱
• 雲端的代價--近期資訊安全重大案例
• 近期資訊安全重大案例(續)
• 近期資訊安全重大案例(續)
• 新裸奔年代mdash商周128期封面故事
• 免費的個資隱私
• 你可能已經被拍賣了
• 4c812db2922729⋯⋯
• 貝蒂的故事
• Slide Number 11
• 個資的拍賣價
• iPhoneAndroid手機
• 貝蒂的故事
• 貝蒂的故事
• 網路隱私權販賣流程
• 網路隱私「被賣」爭議越演越烈
• 雲端運算的迷思--簡介與應用
• 雲端運算定義
• Slide Number 20
• Slide Number 21
• 雲端運算的特性
• 雲端運算的特性
• 雲端運算的特性
• 雲端運算的特性
• 雲端運算的特性
• 雲端服務的SPI架構
• 雲端運算的本質之一 Infrastructure as a Services
• 範例 虛擬桌面架構應用
• 雲端運算的本質之二 Platform as a Services
• 雲端運算的本質之三 Software as a Services
• 雲端運算的需求 機動的增減資源的使用與自動化
• Slide Number 33
• Slide Number 34
• 全世界都在談
• 微軟
• 蘋果
• 賈伯斯為何願花14年上雲端
• 兩億用戶的工作吃喝玩樂蘋果都要賺
• iCloud推出後的受益受害者
• 雲端運算的各式應用
• Slide Number 42
• 雲端 VS資安
• Slide Number 44
• 從資安看雲端CISSP認證資訊系統安全專家的觀點
• Slide Number 46
• Intel最在意的資安議題
• 雲端運算的迷思
• 資料的安全性與隱私性
• 雲端運算安全的迷思-1
• 雲端運算安全的迷思-2
• 雲端運算安全的迷思-3
• 雲端運算安全的迷思-4
• 雲端運算安全的迷思-5
• 雲端資安-從個資法探討
• 個人資料
• 個人資料生命週期管理
• 個人資料保護生命週期（草案）
• 法規面及個資生命週期保護需求
• Slide Number 60
• Slide Number 61
• 個資法之新舊比較
• Slide Number 63
• Slide Number 64
• Slide Number 65
• Slide Number 66
• Slide Number 67
• Slide Number 68
• 為何雲端安全重要
• Slide Number 70
• Slide Number 71
• 新的資訊安全挑戰
• 新的資訊安全挑戰
• 安全性是企業最主要關注的議題
• 新的資訊安全挑戰
• Slide Number 76
• 誰是駭客內部
• 誰是駭客外部
• 誰是駭客目的
• 危險和漏洞
• 新的資訊安全挑戰
• 新的資訊安全挑戰
• 雲端運算之7大安全威脅
• 雲端運算之7大安全威脅
• 濫用或利用雲端運算進行非法行為
• 不安全的使用者介面與APIs
• 惡意的內部人員
• 共享環境所造成的議題
• 資料遺失或外洩
• 帳號或服務被竊取
• 未知的風險模型
• Slide Number 92
• 資安風險
• 風險評估矩陣
• 組織與政策
• 組織與政策
• 組織與政策
• 組織與政策
• 技術
• 技術
• 法律
• 責任是無法外包的
• 雲端運算資安架構
• Slide Number 104
• 雲端運算服務資訊安全評估
• 結語
• 結語
• Slide Number 108
• 結語mdash鑒古知今由電力產業推論資訊產業

108

109

結語mdash鑒古知今由電力產業推論資訊產業

19世紀的電力產業 工廠自備電力 大電廠出現並提供電力網後工廠也擔心輸電線的可靠性是否有必要冒風險放棄自己發電

現在的資訊產業 企業自備電腦資源(運算能力儲存空間) 雲端服務公司出現企業擔心顧客資料機密資料放在雲端有風險是否有必要冒風險放棄IT部門

What do you think

• 漫步在雲端 資安新戰場
• 大綱
• 雲端的代價--近期資訊安全重大案例
• 近期資訊安全重大案例(續)
• 近期資訊安全重大案例(續)
• 新裸奔年代mdash商周128期封面故事
• 免費的個資隱私
• 你可能已經被拍賣了
• 4c812db2922729⋯⋯
• 貝蒂的故事
• Slide Number 11
• 個資的拍賣價
• iPhoneAndroid手機
• 貝蒂的故事
• 貝蒂的故事
• 網路隱私權販賣流程
• 網路隱私「被賣」爭議越演越烈
• 雲端運算的迷思--簡介與應用
• 雲端運算定義
• Slide Number 20
• Slide Number 21
• 雲端運算的特性
• 雲端運算的特性
• 雲端運算的特性
• 雲端運算的特性
• 雲端運算的特性
• 雲端服務的SPI架構
• 雲端運算的本質之一 Infrastructure as a Services
• 範例 虛擬桌面架構應用
• 雲端運算的本質之二 Platform as a Services
• 雲端運算的本質之三 Software as a Services
• 雲端運算的需求 機動的增減資源的使用與自動化
• Slide Number 33
• Slide Number 34
• 全世界都在談
• 微軟
• 蘋果
• 賈伯斯為何願花14年上雲端
• 兩億用戶的工作吃喝玩樂蘋果都要賺
• iCloud推出後的受益受害者
• 雲端運算的各式應用
• Slide Number 42
• 雲端 VS資安
• Slide Number 44
• 從資安看雲端CISSP認證資訊系統安全專家的觀點
• Slide Number 46
• Intel最在意的資安議題
• 雲端運算的迷思
• 資料的安全性與隱私性
• 雲端運算安全的迷思-1
• 雲端運算安全的迷思-2
• 雲端運算安全的迷思-3
• 雲端運算安全的迷思-4
• 雲端運算安全的迷思-5
• 雲端資安-從個資法探討
• 個人資料
• 個人資料生命週期管理
• 個人資料保護生命週期（草案）
• 法規面及個資生命週期保護需求
• Slide Number 60
• Slide Number 61
• 個資法之新舊比較
• Slide Number 63
• Slide Number 64
• Slide Number 65
• Slide Number 66
• Slide Number 67
• Slide Number 68
• 為何雲端安全重要
• Slide Number 70
• Slide Number 71
• 新的資訊安全挑戰
• 新的資訊安全挑戰
• 安全性是企業最主要關注的議題
• 新的資訊安全挑戰
• Slide Number 76
• 誰是駭客內部
• 誰是駭客外部
• 誰是駭客目的
• 危險和漏洞
• 新的資訊安全挑戰
• 新的資訊安全挑戰
• 雲端運算之7大安全威脅
• 雲端運算之7大安全威脅
• 濫用或利用雲端運算進行非法行為
• 不安全的使用者介面與APIs
• 惡意的內部人員
• 共享環境所造成的議題
• 資料遺失或外洩
• 帳號或服務被竊取
• 未知的風險模型
• Slide Number 92
• 資安風險
• 風險評估矩陣
• 組織與政策
• 組織與政策
• 組織與政策
• 組織與政策
• 技術
• 技術
• 法律
• 責任是無法外包的
• 雲端運算資安架構
• Slide Number 104
• 雲端運算服務資訊安全評估
• 結語
• 結語
• Slide Number 108
• 結語mdash鑒古知今由電力產業推論資訊產業

109

結語mdash鑒古知今由電力產業推論資訊產業

19世紀的電力產業 工廠自備電力 大電廠出現並提供電力網後工廠也擔心輸電線的可靠性是否有必要冒風險放棄自己發電

現在的資訊產業 企業自備電腦資源(運算能力儲存空間) 雲端服務公司出現企業擔心顧客資料機密資料放在雲端有風險是否有必要冒風險放棄IT部門

What do you think

• 漫步在雲端 資安新戰場
• 大綱
• 雲端的代價--近期資訊安全重大案例
• 近期資訊安全重大案例(續)
• 近期資訊安全重大案例(續)
• 新裸奔年代mdash商周128期封面故事
• 免費的個資隱私
• 你可能已經被拍賣了
• 4c812db2922729⋯⋯
• 貝蒂的故事
• Slide Number 11
• 個資的拍賣價
• iPhoneAndroid手機
• 貝蒂的故事
• 貝蒂的故事
• 網路隱私權販賣流程
• 網路隱私「被賣」爭議越演越烈
• 雲端運算的迷思--簡介與應用
• 雲端運算定義
• Slide Number 20
• Slide Number 21
• 雲端運算的特性
• 雲端運算的特性
• 雲端運算的特性
• 雲端運算的特性
• 雲端運算的特性
• 雲端服務的SPI架構
• 雲端運算的本質之一 Infrastructure as a Services
• 範例 虛擬桌面架構應用
• 雲端運算的本質之二 Platform as a Services
• 雲端運算的本質之三 Software as a Services
• 雲端運算的需求 機動的增減資源的使用與自動化
• Slide Number 33
• Slide Number 34
• 全世界都在談
• 微軟
• 蘋果
• 賈伯斯為何願花14年上雲端
• 兩億用戶的工作吃喝玩樂蘋果都要賺
• iCloud推出後的受益受害者
• 雲端運算的各式應用
• Slide Number 42
• 雲端 VS資安
• Slide Number 44
• 從資安看雲端CISSP認證資訊系統安全專家的觀點
• Slide Number 46
• Intel最在意的資安議題
• 雲端運算的迷思
• 資料的安全性與隱私性
• 雲端運算安全的迷思-1
• 雲端運算安全的迷思-2
• 雲端運算安全的迷思-3
• 雲端運算安全的迷思-4
• 雲端運算安全的迷思-5
• 雲端資安-從個資法探討
• 個人資料
• 個人資料生命週期管理
• 個人資料保護生命週期（草案）
• 法規面及個資生命週期保護需求
• Slide Number 60
• Slide Number 61
• 個資法之新舊比較
• Slide Number 63
• Slide Number 64
• Slide Number 65
• Slide Number 66
• Slide Number 67
• Slide Number 68
• 為何雲端安全重要
• Slide Number 70
• Slide Number 71
• 新的資訊安全挑戰
• 新的資訊安全挑戰
• 安全性是企業最主要關注的議題
• 新的資訊安全挑戰
• Slide Number 76
• 誰是駭客內部
• 誰是駭客外部
• 誰是駭客目的
• 危險和漏洞
• 新的資訊安全挑戰
• 新的資訊安全挑戰
• 雲端運算之7大安全威脅
• 雲端運算之7大安全威脅
• 濫用或利用雲端運算進行非法行為
• 不安全的使用者介面與APIs
• 惡意的內部人員
• 共享環境所造成的議題
• 資料遺失或外洩
• 帳號或服務被竊取
• 未知的風險模型
• Slide Number 92
• 資安風險
• 風險評估矩陣
• 組織與政策
• 組織與政策
• 組織與政策
• 組織與政策
• 技術
• 技術
• 法律
• 責任是無法外包的
• 雲端運算資安架構
• Slide Number 104
• 雲端運算服務資訊安全評估
• 結語
• 結語
• Slide Number 108
• 結語mdash鑒古知今由電力產業推論資訊產業