Recommended
More Related Content
Similar to Security training
Recently uploaded
Recently uploaded (14)
Security training
- 2. 數字會說話 70%大型企業資安人力配置低於2人 30.4%僅配置1人 5.6%沒有設置資安人力 2人以下的比例高達71.4% 多數大型企業的資安人力配置明顯不足 資料來源：資策會MIC 2007年6月
- 3. 3 以平均員工人數778.3人來看 平均一位資安人員需負責282位員工 以平均PC台數396.9台來看 平均一位資安人員需負責143.8台PC 數字會說話 資料來源：資策會MIC 2007年6月
- 5. 5 資安人的角色與職責
- 7. 7 資安技術人員 ✤ 職責範圍 − 網路通訊安全 − 資安弱點評估 − IT營運與與資安事件處理 − 系統與應用程式安全 − 資安產品開發、建置與維護 ✤ 常見職稱 − 資安工程師、資安分析師、資安架構師
- 8. 8 資安管理人員 ✤ 職責範圍 − 資安政策制定 − 資安風險管理 − 資安事件管理 − 營運持續 − 法規遵循 ✤ 常見職稱 − 資訊長、資安官
- 9. 9 資安稽核人員 ✤ 職責範圍 − 資安標準稽核 − 法規遵循稽核 ✤ 常見職稱 − 資安稽核人員 − 電腦稽核人員
- 10. 10 資安鑑識人員 ✤ 職責範圍 − 資安事件現場鑑識調查 − 數位證據蒐集、檢驗、分析、報告 − 擔任法院專家證人 ✤ 常見職稱 − 調查局鑑識人員 − 刑事警察局鑑識人員 − 犯罪現場鑑識人員
- 11. 11 資安顧問人員 ✤ 職責範圍 − 資安標準導入建議 − 資安產品導入建議 − 資安風險分析評估 − 資安治理諮詢建議 − 資安教育訓練 ✤ 常見職稱 − 資安顧問 − 風險管理顧問、ISMS顧問
- 12. 12 資安人必備的專業知識
- 13. 13 資安的基礎知識領域 可參考2007年10月由美國國土安全部所 發布的：Information Technology Security Essential Body of Knowledge (IT Security EBK)：A Competency and Functional Framework for IT Security Workforce Development 下載網址： http://www.us-cert.gov/ITSecurityEBK/
- 14. 14 IT Security EBK 1. Data Security 2. Digital Forensics 3. Enterprise Continuity 4. Incident Management 5. IT Security Training and Awareness 6. IT Systems Operations and Maintenance 7. Network Security and Telecommunications
- 15. 15 IT Security EBK 8. Personnel Security 9. Physical and Environment Security 10.Procurement 11.Regulatory and Standards Compliance 12.Risk Management 13.Strategic Management 14.System and Application Security
- 16. 16 資安證照的趨勢與發展
- 17. 17 證照的意義 ✤ 證照制度的目的 − 透過從業人員證照制度的建立，以提高從業 人員的素質，並達成專業的目標。 ✤ 通過證照考試後 − 代表證照持有者已經過專業組織的嚴格評 定，其知識與能力已達到相當的水準。
- 18. 18 台灣資安證照發展現況 ✤ 經濟部委託資策會及電腦技能基金會，執行資訊專 業人員鑑定(Information Technology Expert；ITE) 工作。 ✤ 電腦技能基金會於90年透過台北市電腦工會，訪查 業界需求人力項目，並據以選出「系統分析」、 「軟體設計」、「網路管理」、「資訊安全管理」 及「企業電子化系統」等五項為91年鑑定之項目， 並在91年中開考。
- 19. 19 資訊安全管理專業人員 ✤ 資訊專業人員鑑定中的資訊安全類項目，需要應 考資訊與網路安全管理概論、資訊安全管理系統 與風險控管等二科。 ✤ 各科成績總分達70分(含)以上者，才能取得由經 濟部所頒發的資訊安全管理專業人員證書。 ✤ 報名方式：線上報名，每季舉辦一次會考 http://www.itest.org.tw
- 20. 20 國際資安證照介紹 ✤ CISSP ✤ CISA ✤ Certified Ethical Hacker (CEH) ✤ CompTIA Security+ ✤ CIW Security Analyst
- 21. 21 關於CISSP ✤ CISSP是由國際非營利組織(ISC)2所提供的 資訊安全專家資格證照。 ✤ 主要認證對象為負責制定資訊安全政策、安 全標準、程式以及管理整個機構政策推行的 資訊安全專家。 ✤ 已取得美國國家標準學會之有關資訊安全的 ISO/IEC 17024證書標準，此證書可為全球 專業人員資格認證標準，以確保擁有不同範 疇之專業能力。
- 22. 22 CISSP證照十大知識領域 1.存取控制 6.法規遵循與調查 2.應用程式安全 7.作業安全 3.業務持續與災害復原計劃 8.實體(環境)安全 4.密碼學 9.安全架構與設計 5.資訊安全與風險管理 10.通訊與網路安全
- 23. 23 成為CISSP的基本要求 ✤ 在CISSP CBK所規定的十大領域中，具有5年 專業經驗，於10個CISSP CBK範圍中擁有最 少2個範圍的專業經驗；或者4年專業經驗及具 備大學學位或(ISC)2認可的證書。 ✤ 同意及遵守(ISC)2的專業守則，並得到另一位 (ISC)2所認證的專業人士推薦。
- 25. 25 應考注意事項 考試日期： ‣ 通常每3個月舉行一次，會在(ISC)2網站公布，並 接受報名。 報名方式： ‣ 線上填寫報名資料後上傳工作履歷及刷卡付款。 在距考試16天之前報名，考試費用為US$549美 元；16天內報名，考試費用則為US$599美元。 考試方式： ‣ 需通過長達6小時、設有250題選擇題的英文筆 試，考試概括CISSP CBK所規定的十大領域。
- 26. 26 關於CISA ✤ CISA是由國際電腦稽核協會(ISACA)所發起 的國際電腦稽核師資格證照。 ✤ 主要認證對象為對電腦稽核、控管、認證與 安全職業領域中具有卓越技能與判斷力的個 人作出評估與認證。 ✤ 已獲得美國國家標準學會之ISO/IEC 17024 證書標準，此證書可為全球專業人員資格認 證標準，以確保擁有不同範疇之專業能力。
- 27. 27 成為CISA的基本要求 ✤ 順利通過CISA的考試。 ✤ 提出申請並附上從事電腦稽核、控管、確認與 安全工作5年以上經驗的證明。所有專業經驗 都必須由原雇主獨立給予確認，並且必須在申 請之日前的10年之內獲得，或在通過考試之 日後的5年之內獲得。 ✤ 認證申請必須在通過CISA考試當日之後的5年 之內提出。 ✤ 同意遵守國際電腦稽核協會的「職業道德準 則」(www.isaca.org/ethics)
- 30. 30 應考注意事項 考試日期： ‣ CISA考試舉辦的時間每年共二次，都選在6月 和12月的星期六舉行，最近一次的考試日期可 上網查詢(www.isaca.org)。 報名方式： ‣ 通過ISACA的網址(www.isaca.org/examreg)線 上報名，能夠為考生節省USD$50美元。 考試方式： ‣ CISA考試包含200道單選題，考生的成績按照 比率分數來計算，考生必須達到或超過450分才 能通過考試。
- 31. 31 Certified Ethical Hacker(CEH) ✤ CEH是由國際電子商務顧問局(International Council of E-Commerce Consultants；EC- Council)所推出，它是一家以會員制為基礎的 專業機構。 ✤ 會員主要來自哈佛大學、紐約市立大學、加利 福尼亞大學、澳洲昆士蘭中央大學等大學教 授，以及從事電子商務的企業界人士所組成。
- 32. 32 CEH課程內容 ✤ 介紹駭客常用的工具與方法，以實際了解駭客行 為，進而懂得如何保護網路與系統免受攻擊，並學 到如何去制定攻防策略和權限，以防堵不法駭客的 入侵。 ✤ EC-Council的課程及證照已經獲得許多知名公司或 政府單位的認同 − 包括Canon、HP、Sony、Kodak、US Air Force Reserve、FBI、CIA、US Army等。
- 33. 33 CEH證照知識領域 1.倫理與法律 12.網站應用程式的弱點 2.足跡 13.密碼破解技術 3.網路掃瞄技術 14.資料隱碼的入侵模式 4.列舉 15.入侵無線網路系統 5.電腦系統入侵 16.病毒與病蟲 6.木馬程式與後門程式 17.實體安全 7.封包監聽 18.入侵Linux系統 8.阻斷服務 19.入侵偵測系統、防火牆與 網路誘陷系統 9.社交工程 20.緩衝區溢位 10.連線劫持 21.密碼學 11.網站入侵 22.滲透測試方法
- 34. 34 應考注意事項 ✤ 考試日期： − 上完課程之後即可參加考試，非學員需另外 進行考試申請。 ✤ 報名方式： − 學員採電話預約，非學員可申請於Prometric 授權考場中心考試，費用為US$250美元。 ✤ 考試方式： − 考試時間4小時、設有150題單、複選擇題， 考試分數為70分合格。
- 35. 35 CompTIA Security+ ✤ 由美國電腦協會(Computing Technology Industry Association；CompTIA)推出，它成 立於1980年，總部設於美國華盛頓，致力於 協助全球資訊產業發展、政府資訊產業政策製 定與資訊技術的認證。 ✤ 會員遍布102個國家、超過22,000個成員，是 全球性的電腦技術協會組織，也是全球最大的 獨立認證機構。
- 36. 36 CompTIA Security+知識領域 1.安全概要 7.密碼學基本原理 2.攻擊、惡意軟體與威脅 8.密碼學的應用 3.網路基礎建設安全 -基本安全概念 9.認證、授權與存取控制 4.網路基礎建設安全 -IDS/IPS、事件處理 10.安全政策與管理 5.弱點與稽核 11.作業安全、營運持續 與災難復原計畫 6.通訊安全與對策 12.其他安全相關課題
- 37. 37 應考注意事項 ✤ 考試日期： − 隨時可預約報考。 ✤ 報名方式： − 可於VUE或Prometric網站報名，並於授權之 考試中心考試，費用為US$258美元。 ✤ 考試方式： − 考試時間2小時、設有100題單、複選擇題， 考試分數為764分合格。
- 38. 38 CIW Security Analyst ✤ Certified Internet Webmaster(CIW)是全球性 的Internet認證機構，以其涵蓋網路各種特定 工作角色之技能和各軟硬體廠商的中立考試內 容而聞名。 ✤ CIW Security Analyst證照要求認證者必須熟悉 包括網路安全與防火牆、作業系統安全和安全 稽核與攻擊威脅分析等三大領域，並且能夠管 理與佈署整體性安全解決方案。
- 39. 39 CIW Security Analyst 知識領域 1.網路安全與防火牆 1.1 安全定義與元件 1.2 加密應用 1.3 攻擊種類與安全原則 1.4 協定與安全 1.5 資源安全控管 1.6 防火牆與VPN 1.7 駭客的偵測與分散 1.8 事件回應 2.作業系統安全 2.1 作業系統安全原則 2.2 帳號安全 2.3 檔案系統安全 2.4 風險評估 2.5 風險降低 3.安全稽核與攻擊威脅分析 3.1 安全稽核與尋找方法 3.2 稽核Server的滲透與攻擊技術 3.3 安全稽核與控制階段 3.4 入侵偵測 3.5 稽核與日誌分析
- 40. 40 應考注意事項 ✤ 考試日期： − 隨時可預約報考。 ✤ 報名方式： − 可於Prometric網站報名，並於授權之考試中心 考試，費用為US$150美元，需同時具備 MCSE、CCNA、LPI等證照，才可申請取得 CIW 安全分析師證照。 ✤ 考試方式： − 考試時間75分鐘、設有60題單選擇題，考試需 答對45題，總分75分以上合格。
- 41. 41 成為資安人的進修管道
- 42. 42 持續學習的方法 ✤ 研討會 − 國內媒體 – 資安人、網管人、iThome等 − 資安業者產品發表會 ✤ 網路資源 − 資安廠商之資安White paper − 國外舉辦的線上研討會 − 好站推薦 CSO Online – Security and Risk http://www.csoonline.com/
- 43. 43 持續學習的方法 ✤ 學界 − 華梵大學資通安全碩士在職專班 − 台科大資訊安全暑期課程 − 各大專院校開辦之資安學程 ✤ 業界 − 恆逸資訊、資策會等資安證照課程 − TWNIC網路安全教育訓練課程 − 資安廠商開設之免費課程
- 44. 44 總結 資安是條漫漫長路，要持續學習 先問問自己，喜歡技術還是管理 從資安證照著手，是入行的捷徑 只要有心，人人都可成為資安人!!
- 45. ·MIC報告-2007年台灣大型企業資安投資現況與未來意向 ·IT Security EBK，http://www.us-cert.gov/ITSecurityEBK/ ·林宜隆、薛明杰、賀宙才，「我國資安鑑識人才規劃與驗證之研 究」研討會論文 ·電腦技能基金會網站，http://www.itest.org.tw ·電腦稽核協會網站，http://www.caa.org.tw/cisa-license.asp ·精誠恆逸資訊CISSP資訊系統安全認證專家課程， http://edu.uuu.com.tw/events/070227/intro_cissp.htm ·資策會CEH課程，http://www.iiiedu.org.tw/taipei/edm/CEHC.htm ·資策會CompTIA Security+國際網路資安認證課程， http://www.iiiedu.org.tw/ites/CS.htm ·CIW Security Analyst Certification，http://www.ciwcertified.com/ certifications/security-analyst.asp 參考資料