Bill Hagestad II, profile picture
Uploaded byBill Hagestad II
PDF, PPTX1,224 views

Chinese Uses of Big Data Cloud Security 漫步在雲端資安新戰場

本文件探讨了云计算在信息安全领域面临的挑战，包括用户数据泄露事件和云服务的安全隐患。文中提及Sony、Google和Apple等公司遭遇的安全事件，强调用户隐私的脆弱性和大型数据收集带来的风险。最终指出，在享受云计算带来的便利时，用户仍需关注信息安全和信任问题。

Internet◦
Related topics:
Cloud Security Insights•

Embed presentation

Download as PDF, PPTX
1 / 109
2 / 109
3 / 109
4 / 109
5 / 109
6 / 109
7 / 109
8 / 109
9 / 109
10 / 109
11 / 109
12 / 109
13 / 109
14 / 109
15 / 109
16 / 109
17 / 109
18 / 109
19 / 109
20 / 109
21 / 109
22 / 109
23 / 109
24 / 109
25 / 109
26 / 109
27 / 109
28 / 109
29 / 109
30 / 109
31 / 109
32 / 109
33 / 109
34 / 109
35 / 109
36 / 109
37 / 109
38 / 109
39 / 109
40 / 109
41 / 109
42 / 109
43 / 109
44 / 109
45 / 109
46 / 109
47 / 109
48 / 109
49 / 109
50 / 109
51 / 109
52 / 109
53 / 109
54 / 109
55 / 109
56 / 109
57 / 109
58 / 109
59 / 109
60 / 109
61 / 109
62 / 109
63 / 109
64 / 109
65 / 109
66 / 109
67 / 109
68 / 109
69 / 109
70 / 109
71 / 109
72 / 109
73 / 109
74 / 109
75 / 109
76 / 109
77 / 109
78 / 109
79 / 109
80 / 109
81 / 109
82 / 109
83 / 109
84 / 109
85 / 109
86 / 109
87 / 109
88 / 109
89 / 109
90 / 109
91 / 109
92 / 109
93 / 109
94 / 109
95 / 109
96 / 109
97 / 109
98 / 109
99 / 109
100 / 109
101 / 109
102 / 109
103 / 109
104 / 109
105 / 109
106 / 109
107 / 109
108 / 109
109 / 109
1 漫步在雲端 資安新戰場 吳皇儒
2 大綱  雲端的代價--近期資訊安全重大案例  SONY、Apple、Google、 Amazon  雲端運算的迷思  簡介與應用  擁抱雲端的迷思  新的資訊安全挑戰  駭客比你更喜愛雲端  便利與安全的兩難  雲端運算之7大安全威脅  雲端運算的風險  組織與政策  技術  法律  雲端運算服務資訊安全評估  雲端運算的安全性分析  雲端運算服務資訊安全評估步驟  結論  以安全為前提，享受新便利  信任仍是雲端運算落實關鍵
3 雲端的代價--近期資訊安全重大案例  SONY用戶資料頻失竊 雲端運算如何確保 安全？ 因SONY公司7,700萬網路用戶個人資 訊遭竊，剛被提拔為SONY副社長的平 井一夫，於5月1日在東京向全球消費者 鞠躬道歉，承諾將加強用戶資訊保護。 但一天過去，SONY伺服器再遭駭客攻 擊，根據Sony公告，入侵的駭客「可 能」已取得用戶的姓名、地址、電子郵 件地址、出生日期、登入名稱、PSN Online ID。甚至包含用戶帳戶資料， 購買紀錄、帳單郵寄地址及密碼提示答 案也可能遭竊，受影響者達7700萬人 。
4 近期資訊安全重大案例(續)  Google旗下移動廣告子公司涉嫌非法收集 用戶資訊。  Apple公司搜集用戶定位資訊。  Amazon的AWS(Amazon Web Service)服 務，因為停電造成一部分的雲端服務主機 停擺(承諾3個9的可靠性，99.9%)。
5 近期資訊安全重大案例(續)  屢次出現的網路資訊安全 問題不禁讓人對雲端運算 加重懷疑。一旦用戶把重 要的資料寄存在他人的伺 服器上，安全問題能得到 保障嗎？ 「匿名者」駭客喬治‧霍茨
6 新裸奔年代—商周128期封面故事  “它”是現在最熱門的商品—美國彭博商業週刊。  “它”，使Facebook市值超過新台幣4兆8 千億，使5/19日剛上市的LinkedIn本益比超 過600倍，使法國總統薩克奇召開G8會議 前，召集包含Google、Amazon等企業領導 人召開2天的會議，就是討論 “它”。  “它”，就是你我的”隱私”。
7 免費的個資、隱私?  ”個資，已成為網路新黃金” —華爾街日報  免錢的最貴!!!天下沒有白吃的午餐，你以為 享受免費的服務，其實背後也有人免費拿 走你的個資、隱私。
8 你，可能已經被拍賣了  檢視以下問題 你玩臉書並曾經按過讚? 你曾使用iPhone下載免費的遊戲軟體? 你愛玩SONY的PS3? 你習慣用Google發信、管理行事曆? 你從不做上述事情，但你身邊有人喜歡?  只要符合其中一項，你，可能已經被拍賣 了
9 4c812db2922729⋯⋯  貝蒂的故事  在貝蒂（Ashley Hayes-Beaty）的電腦裡， 有一個小小的文件。這個檔案蒐集她很多 個人資訊，裡頭只有一個簡單的代碼： 4c812db2922729⋯⋯。」這是《華爾街日 報》針對網路隱私調查報導的起始。
10 貝蒂的故事  這個代碼，可能是貝蒂玩過臉書上的開心 農場，或因朋友留言而按下一個讚的時候， 而被悄悄植入的。在這個代碼中，連你的 滑鼠曾經指向哪裡，都記錄下來。根據 《華爾街日報》調查，臉書上前十大的熱 門遊戲中，有近五成都在你的電腦裡「建 檔」。
11 一被建檔，貝蒂就成為被「掘金」的對象 當貝蒂在 •照片分享網站讓人看到他的家庭照片 •在折扣網站下載折扣卷 •在臉書與社交網站Myspace上跟朋友討論剛去過的 餐廳時 瑞普立夫〈資訊整合公司〉透過不斷的交叉比對， 找出貝帝的真實輪廓，與真實姓名，並把這些資料 轉賣出去。
12 個資的拍賣價  當他登錄eBay的網頁，不到幾秒，所有的 行為細節資料，也同時上傳到西雅圖新創 公司BlueKai的拍賣台，最便宜的價碼每份 僅值0.031台幣。
13 iPhone、Android手機  同時間，手機業者也盯著貝蒂不放。《華爾街日 報》調查iPhone或是Android手機上一百零一個最 紅的應用程式，其中，有四十七個程式，會記錄 下你曾經去過哪裡及你現在的位置。你帶著的手 機，就像是帶著隨身的監控器。「手機可以知道 一切，就像是用上帝之眼來觀察人類的行為。」 麻省理工學院媒體實驗室教授潘蘭（Pentland） 說。
14 貝蒂的故事  而這，還不是結束，美國波士頓東北大學 分析了一千六百萬筆通話紀錄和位置資訊， 得出的結論是，如果分析足夠多的資訊， 預測一個人在未來某時刻的地點位置，準 確率可以達到 九三．六％。  企業不僅要賺貝蒂現在的錢，還透過行為 預測，要賺她未來的錢。
15 貝蒂的故事 「我還以為自己能有點小秘密，但顯然這是 個妄想。」當《華爾街日報》循線找到真 實世界中的貝蒂，並把資訊公司對她的觀 察告知，貝蒂驚訝的說。  你，跟我，都可能是貝蒂。因為在虛擬的 國度裡，沒有地域的限制，世界任何一個 在網路上的小動作，都可能被蒐集成為賺 錢的利器。
16 網路隱私權販賣流程 當你登入網路 收信或上臉書 按下讚…… 個資開始被販賣 一筆0.031元 Blue Kai個資拍賣平台裡， 你個資單筆最低報價 僅新台幣0.031元。 個資被大量追蹤 300家 根據統計，一筆公開 的個資，平均有300家 廠商盯著你看。 廣告效益提高 2.4倍 依消費者喜好投注廣告 ，點擊數是過去2.4 倍 ，交易成功率大增。 你的樣貌被拼出 10億份電郵 資料整合商透過不同 資料跟10億份電郵交 叉比對後，連你姓名 都能找出。 廣告量大幅成長 1,000億元 今年美國廠商投在精準 行銷廣告費用達新台幣 1,000億元，每年正以 50％速度成長。 你被歸納和分類 10萬種 資料賣給資料挖掘 廠商後，你的個性 被拆解、歸納在10萬 種分類中。 資料來源：eMarketer、《華爾街日報》、Gartner、Enders Analysis
17 網路隱私「被賣」爭議，越演越烈  '07/5/25 Google發表街景應用程式，為全球各地提供街景視圖，歐 盟正調查是否違法。  '09/3 臉書擅自更改使用條款，用戶即使刪除資料，公司仍有使用權， 5月頒行。  '10/8/18 臉書推出可標記所在位置的最新功能「地標」（Place）， 引發隱私權論戰。  '11/2/11 美國會議員史皮爾提《謝絕網路追蹤法案》，網路使用者 有拒絕個人被追蹤權利。  '11/4/17 索尼的線上遊戲與音樂服務遭駭客入侵，至今上億名用戶 的個資外洩。  '11/4/20 資安專家爆料iPhone等產品會記錄地理位置和行蹤，執行 長賈伯斯上火線澄清。  資料來源：各新聞網站
18 雲端運算的迷思--簡介與應用
19 雲端運算定義 組織 定義 NIST 雲端運算是一個模式，能便利地隨需透過網路存取設定好的共享運算資源池（如網 路、伺服器、儲存裝置、應用程式與各類服務）。可以最少的管理工作或服務供應 商互動，進行快速配置和發佈。 Gartner 雲端運算是一種具備大量且可擴充之IT相關能力的運算，透過網際網路技術並服務的 方式(as a service)提供給外部的使用者。 Forrester 雲端運算是一種具有高度彈性、抽象的運算中心，可以提供使用者所需要的應用程 式，並可依據資源使用多寡來收費。 IDC 雲端運算是一種即時的IT能力運算網路平台，可被請求、被供應、被傳遞以及被消費。 Google 應用程式和資料在雲端，可以透過任何裝置存取，使用瀏覽器在網雲間相互連通。 Mircosoft 一種由微軟資料中心供應的網路雲端服務平台，可提供一套作業系統和一組程式開 發者服務，可供個人或群體操作。 IBM 雲端運算是種分享的網路資訊服務的模式，使用者看到的只有服務本身，不用關心 相關基礎的建置。 Wikipedia 雲端運算是種能夠將動態伸縮的虛擬化資源，透過網路以服務的方式提供給使用者 的運算模式，使用者不需要知道如何管理那些支援雲端運算的基礎設施
20  雲端運算影片介紹 什麼是雲端運算(Cloud computing)? 過度炒作?
21 NIST對雲端運算的定義 Public Private Hybrid Community Deployment Models Service Models Software as a Service (SaaS) Platform as a Service (PaaS) Infrastucture as a Service (IaaS) Essential Characteristics On-Demand Self Service Broad Network Access Resource Pooling Rapid ElasticityMeasured Service Visual Model of NIST’s Working Definition of Cloud Computing http://www.csrc.nist.gov/groups/SNS/cloud-computing/index.html
22 雲端運算的特性  多重租賃/共享資源 (multi tenancy)  Multiple users use the same resource in network level、host level and application level (資料來源：Cloud security and privacy :Tim Mather et al.)
23 雲端運算的特性  極佳的擴充性(Massive scalability)  Provides the ability to massively scale system、bandwith and space. (資料來源：Cloud security and privacy :Tim Mather et al.)
24 雲端運算的特性  彈性(elasticity)  Users can rapidly increase and decrease their computing resources as they needed, as well as release resources to other users when they are no longer required. (資料來源：Cloud security and privacy :Tim Mather et al.)
25 雲端運算的特性  用多少付多少(pay as you go)  Users pay for only the resource they actually use. (資料來源：Cloud security and privacy :Tim Mather et al.)
26 雲端運算的特性  自我調配(self-provisioning)  Users self-provisioning resources, such as systems( processing capability, software, storage) and network resources. (資料來源：Cloud security and privacy :Tim Mather et al.)
27 雲端服務的SPI架構
28© 2009 Cisco Systems, Inc. All rights reserved. Cisco Public 雲端運算的本質之一 Infrastructure as a Services 彈性的運用實體資料中心的資源  系統及網路管理人員可以隨使用單 位的需求, 機動的提供 ICT 架構  每個部門都可以擁有自己的虛擬資 料中心, 可自行或委託管理.  資源可重覆使用, 機動調派, 提昇整 體利用率, 達成綠色節能的目地.  案例如 : Rackspace 及 Amazon AWS EC2.
29© 2009 Cisco Systems, Inc. All rights reserved. Cisco Public 範例: 虛擬桌面架構應用 View Connection Broker Virtualized Desktops遠端學校 WAN View Client RDP with SSL Media Server 區網/高速電腦中心 Media VServer View Client 中小學電腦教室 區網/高速電腦 資料中心
30© 2009 Cisco Systems, Inc. All rights reserved. Cisco Public 雲端運算的本質之二 Platform as a Services 以應用程式設計為導向的平台服務.  程式設計人員可以依據所提供的 API, 自行開發所需要的程式系統, 而不需要知道這個平台在那裡.  資源可重覆使用, 負載均衡, 網路安 全, 資料備援等皆可自動達成.  案例如 : Google Application Engine, Amazon AWS Simple Storage 及 Cisco WebEx Connect 等.
31© 2009 Cisco Systems, Inc. All rights reserved. Cisco Public 雲端運算的本質之三 Software as a Services 以應用為導向的服務.  一般使用者可依據需求直接使用各 項服務系統, 而不需要知道該系統 存放在那裡.  使用者可以直接利用瀏覽器來使用 應用程式服務.  以 dotcom 的形式存在.  案例如 : Gmail, Cisco WebEx.com, Salesforce.com and qq.com 等.
32© 2009 Cisco Systems, Inc. All rights reserved. Cisco Public 雲端運算的需求 機動的增減資源的使用與自動化 資料庫叢集的增生 SaaS 應用平台的增生 主機託管業務的減少 SaaS 應用平台的縮減 虛擬化主機業務的增加 根據需求, 彈性, 自動及虛擬 的有效提供現有資源 整體資源的數量不變
33 雲端運算 優勢： •低成本 •免軟體、儲存空間、伺服器成本 •節能環保 •節省設備維護人力 •伺服器軟硬體升級容易 •主機備份容易 •使得安全稽核/測試更簡單 •可運用雲端自動安全管理 •簡化災難復原程序 •將公開資料轉移到外部雲，減少暴露內部敏感資料的機會 33
34 劣勢： ‧資料安全性 ‧特殊使用者角色權限 ‧法律規範，若有違法屬於誰！？ ‧資料所屬位置（國家？） ‧資料隔離安全性 ‧資料完整性（回復能力） ‧供應商永久性/供應商的安全模型 ‧供應商隱私保護 ‧喪失實體控制能力 ‧Net Admin 會沒工作! 34 雲端運算
35 全世界都在談  國際大廠（如微軟、IBM和Google等）和 各國政府（如歐盟、日本和韓國等）紛紛 重視雲端運算的發展，台灣政府亦在今年 積極推動雲端運算產業發展方案，預計五 年內投入240億元，帶動企業研發投資127 億。在政府及雲端供應商積極規劃和佈局 的同時，需求端市場是否已準備好採用雲 端服務，抑或處於觀望階段?--資策會FIND消費研 究與市場預測組
36 微軟  MCloud 台灣微軟 MCloud 首部曲 (2009 年 12 月 1 日，台北) 雲端運算不再只是口 號！繼微軟執行長史蒂夫‧鮑默爾 (Steve Ballmer) 11 月初訪台時揭示微軟雲端運算願景 ─「3 螢 1 雲」(Three Screens and a Cloud)， 並分別與經濟部共同推動「軟體暨服務卓越中 心」、與中華電信簽訂雲端運算策略聯盟合作備 忘錄之後，今天更進一步把雲端願景落實到企業 應用中，推出微軟 MCloud 解決方案，其中包含 軟體即服務 (SaaS, Software as a Service)、平 台即服務 (PaaS, Platform as a Service) 和基 礎架構即服務 (IaaS, Infrastructure as a Service) 三大領域。
37 蘋果  Apple iCloud Apple 發表 iCloud 免費雲端服務今日登場 【 2011 年 6 月 6 日，舊金山訊】Apple® 今天發表 iCloud®, 提供重大創新免費全新雲端服務組合，可與 iPhone®、iPad®、iPod touch® 與 Mac® 或 PC 應用 程式緊密無縫配合整合，將資料無線地儲存到 iCloud， 自動推送到所有裝置。一旦某個裝置上內容改變，立即 無線更新所有裝置。 「以現今狀況，想在所有裝置保持個人資訊與內容一致， 是非常令人困擾與失望。」Apple 執行長 Steve Jobs 表示：「iCloud 將重要資料與內容，在所有裝置上保 持所有個人資訊與內容一致。全都自動與無線地進行， 這項服務在完美整合我們的應用程式裡，根本不需再費 心，因為全都做到了。」
38 賈伯斯為何願花14年上雲端？  「iCloud」是一種雲端運算服務，更精確的說， 這是一種幫你同步資料的服務，你在iPhone上修 改的行事曆，不用你動手，你的PC和iPad上，就 會同步顯示同樣的資料，系統還會按照你的設定， 自動幫你把資訊分送到不同地方。  聽起來，「iCloud」不過是智慧型的資料同步服 務，不過，這個產品的深度遠不只如此。 資料來源:商業週刊1230期
39 兩億用戶的工作、吃喝玩樂 蘋果都要賺  用一套資料同步服務 把所有軟硬體綁在一起  策略一：免費轉換 用戶升級，直接使用雲端  策略二：提供平台 開發雲端App，成本接近零 策略三：建立通路 記錄使用喜好，賺資訊財 資料來源:商業週刊1230期
40 iCloud推出後的受益、受害者 亞馬遜、Google如臨大敵——  受益者 1.App開發商 原因：蘋果提供免費資源，開發雲端平台 2.內容供應商 原因：增加新銷售管道和商業模式  受害者 1.雲端服務供應商如亞馬遜、Google 原因：蘋果提供免費服務，雲端服務競爭日益激烈 2.電信公司 原因：新雲端服務可能威脅簡訊等收入來源 3.個人電腦廠商 原因：個人電腦重要性下降，更容易被平板電腦等產品取代 資料來源:商業週刊1230期
41 雲端運算的各式應用
42 政府雲端服務基礎建設計畫 資料來源：研考會，2010年8月
43 雲端 VS.資安  從資安看雲端 OR  從雲端看資安
44
45 從資安看雲端 CISSP認證資訊系統安全專家的觀點  1.資訊安全與風險管理(Information Security and Risk Management )  2.存取控制（Access Control)  3.安全架構與設計(Security Architecture and Design)  4.作業安全(Operations Security)  5.通訊與網路安全 （Telecommunications & Network Security ）  6.密碼學（Cryptography ）  7.業務持續運作與災害復原計畫(Business Continuity Planning & Disaster Recovery Planning ）  8.實體(環境)安全（Physical (Environmental) Security )  9.應用程式安全(Application Security)  10.法律、規章、遵循性與調查(Legal, Regulations, Compliance and Investigations)
46
47 Intel最在意的資安議題  英特爾資安風險長Jackee Ireland表示，英 特爾認為資訊安全的定義，就是讓英特爾 保持在合法的狀態下，要注重像是資訊的 保密性（Confidentiality）、完整性 （Integrity）和可用性（Availability）。
48 雲端運算的迷思  任何事都有一體兩面，既然雲端服務能夠提供給我們這麼大的便利性， 相對它的安全性也就成為一個相對複雜的議題，例如：顧客資料、公 司財務細節、甚至是研發資料…等，這些極為機敏的資訊，是否要放 在對任何人開放、申請的雲端服務上，或是能夠採用私有雲的概念， 來達成資料互通的便利性，我想這一點也是很多企業在選擇雲端服務 時的一大考量。  畢竟多一層服務，也就代表資料洩露的風險會提高一些，畢竟再便利 的服務還是得要有人管理、維護，縱使可以透過加密的手段來增加安 全性，但是在實務上這樣子的做法所要付出的代價可能遠高於採用它 所能節省下來的資源，況且，安全性的疑慮同時也包括了服務停擺時 的風險，網路斷線時的資料完整性，當主導權不再是掌握在自己手中 時，也沒有太多立場能夠要求對方提供額外的服務，當然，非得要求 對方提供額外服務也不是不行，只是值不值得我們投入如此鉅額的費 用而已。
49 資料的安全性與隱私性  資料放在遠端雲端資料中心是否安全？是 否容易外洩？如果資料儲存與其他企業共 享同一個伺服器，是否妥當？
50 雲端運算安全的迷思-1  迷思1) 基礎架構服務 (Infrastructure-as-a- Service，簡稱 IaaS) 供應商所提供的虛擬私人雲 端就像企業內部資料中心一樣安全  您仍舊與其他企業共用硬體資源與交換網路，彼 此間僅藉由虛擬區域網路 (VLAN) 隔離。然而組 態設定錯誤的情況時有所聞。根據最近一份研究 顯示，澳洲有 31% 的資料外洩事件是「第三方廠 商如雲端運算或 SaaS 供應商的錯誤所造成」。
51 雲端運算安全的迷思-2  迷思2) 您不需要一家以上的 IaaS 供應商  將所有雞蛋都放在同一個籃子，萬一籃子打翻了 就很危險，雲端運算也一樣。採用單一 IaaS 供應 商較容易管理，但卻也形成單一故障點。建立備 援據點，是達成災難復原的主要方法之一，雲端 運算的時代也一樣。企業或許不需要一個熱待命 的失敗接管據點，但卻應該規劃並測試如何在需 要的時候迅速將營運切換至第二家供應商。
52 雲端運算安全的迷思-3  迷思3) 私人雲端同樣也適用實體資料中心的安全方案  虛擬化與雲端運算加大了歹徒的攻擊面，共用式儲存就是 一個例子。另外如系統管理員不小心用 vMotion 將某個伺 服器從安全區域移到 DMZ。VLAN 組態設定錯誤也可能 導致資料未妥善隔離。還有，同一個 vShield 區域內的 VM 之間不受監控的資料流量呢？在一個混合式雲端環境 中，當一個應用程式移到雲端，其虛擬機器周圍卻沒有安 全防護將會如何？仰賴 IaaS 廠商所提供的基本防火牆規 則，甚至連 IDS/IPS 也沒有，可能會讓某些企業感到不安。
53 雲端運算安全的迷思-4  迷思4) 雲端服務供應商會負起安全的責任  IaaS 環境的安全性終究是企業與 IaaS 廠商 應該共同負擔的責任，而且，最終的責任 通常還是落在企業本身。雖然供應商會負 起安全的責任，但萬一發生資料外洩事件， 企業本身仍舊須承擔最終的責任。畢竟， 那是您的資料。
54 雲端運算安全的迷思-5  迷思5) 我的雲端服務廠商有 SAS 70 Type II 稽核程序，因此我的資料安全無虞。  稽核無法檢查稽核範圍以外的項目。在稽 核檢查表上的項目您或許嚴格控管，但漏 洞卻可能在檢查範圍之外。
55 雲端資安-從個資法探討  個資法已於99年5月公告，預於11月(6)公 佈施行細則  個資法施行細則公佈後，隱私權何價??  每人、每筆10000元，20000筆資料/隨身碟  2億元的代價  一支隨身碟價值可能超過帝寶豪宅!!
56 個人資料  個人資料是一種可以讓大家更加了解我 的資訊 WHEN WHAT HOW WHO 王小花，女生 今年7歲 1. 家中有爸爸、媽媽和我 2. 就讀oo國小一年級 3. 身高120公分,體重40公斤 電話:2577-4249 地址:台北市八德路3段2號3F
57 個人資料生命週期管理
58 個人資料保護生命週期（草案） PKI 個人資料 檔案 個人 資料 儲存 蒐集 處理 利用 國際 傳輸 記錄 輸入 編輯 更正 檢索 輸出 連結 複製 DB doc 傳送 （流通） 刪除 銷燬 Tape PLAN DO CHECK ACTION 資料來源：瑞百通首席顧問：鍾榮翰
59 法規面及個資生命週期保護需求  技術面 防竊取 防竄改 防內文刪除 防洩漏 防檔案刪除 檔案銷毀機制 稽核
60
61
62 個資法之新舊比較 84.08.11 舊法 99.05.26 新法 姓名: 王小明 生日: 06月06日 姓名: 王小明 生日: 06月06日 姓名: 王小花 就診: 99.06.15 科別: 小兒科 施行日期:待行 政院公佈 (估計約1年) http://www.hudong.com/versionview/uAwgHUUNYUlFfWVsED wJWRg**,檢索日期:2010.06.15 姓名: 王小花 就診: 99.06.15 科別: 小兒科  電腦處理個人資料保護法 → 個人資料保護法 （以下簡稱舊法） （以下簡稱新法）  個資法保護對象：包括數位化資料+人工資料
63  新法擴大適用對象  新法擴大保護對象  新法擴大規範行為  新法加重罰責 如違反要受到哪些處罰？ 哪些是個人資料？ 哪些個資項目要被保護？ 行為主體 保護客體 規範行為 處罰 哪些行為是個資法所禁止？ 哪些人被規範在內？ 【2010.04.27日三讀通過】 【2010.05.26總統公佈】 醫院、醫師、藥師、護理 人員、醫院行政人員、志 工、委外單位
64  擴大行為主體範圍—不再侷限於特定行業別 行為主體 公務機關 (新法第2條第1項第7款) (本法第4條) 非公務機關 (本法第2條第1項第8款) 依法行使公權力之中央 或地方機關或行政法人 受委託行使公權力 非公務機關 (新法第2條第1項第8款) 前款以外之自然人、 法人或其他團體 醫院 學校 電信業 金融 業 證券業 保險業及大 眾傳播業 (舊法第3條第1項第7款)
65 自然人姓名、出生年月日 國民身分證、 護照號碼、 特徵、指紋、婚姻、 家庭、教育、職業 病歷、醫療、基因、 性生活、健康檢查 其他 犯罪前科、聯絡方式、 財務情況、社會活動 企業 團體 個人 機關 過去電子病歷已為個資法的保護客體 即目前保護客體為數位資料＋人工資料  擴大保護客體範圍—不再侷限於數位資料 一般性資料 敏感性資料 (病歷、醫療、基因、性生活、健康檢 查)  原則：不得搜集與利用  例外：法律規定或醫療、衛生、犯罪預防目的
66 1 2 3 4 法律明文規定 公務機關執行法 定職務或非公務 機關履行法定義 務所必要，且有 適當 安全維護措 施。 當事人自行公 開或其他已合 法公開之個人 資料。 公務機關或學 術研究機構基 於醫療、衛生 或犯罪預防目 的，為統計或 學術研究而有 必要，且經一 定程序所為蒐 集、處理或利  擴大保護客體範圍—不再侷限於數位資料 (cont.) 敏感資料（醫療、基因、性生活、健康檢查及犯罪前 科）  目的：易會造成社會不安或對當事人造成難以彌補傷害。  原則：不得蒐集、 處理或利用。  例外：
67  擴大規範行為—新增國際傳輸 規範行為 蒐集 利用處理 任何方法取得個人資料 1.直接自當事人蒐集者 2.間接從當事人取得者 (新法第2條) 為建立或利用個人資料所為之 紀錄、輸出、儲存 編輯 更正 複製、檢索、刪除、輸出、連 結或內部傳送將個人 資料作為跨國境之處理 機關內部之資料傳送 (新法第2條) 將蒐集之個人資料為處理以外 使用 將個人資料作為跨國境之利用 將資料提供給當事人以外之第 三人 (新法第2條) 建立個人資料檔案而 取得個人資料 (舊法第3條第1項第4 款) 電腦處理 (舊法第3條第1項第3款) 公務機關或非公務 機關將個人資料檔 案為內部使用或提 供第三人 (舊法第3條第1項第5款)
68 1. 我方查明後應 以適當方式通 知當事人(新 法第12條) 2. 建議為降低個 資外洩所造成 之損害，仍應 於事故發生當 下先行通知當 事人 個資外洩 我方因應 訴訟程序  罰則—加重任民事、刑事、行政責任  企業、團體或個人若違反個資法，最重受刑法處罰 為5年以下有期徒刑；民事賠償最高達新台幣2億元 1. 公務機關:無過失損害賠償責任(第28條) 2. 非公務機關:舉證責任倒置之過失責任(第29條)  同一原因事實應對於當事人負損害賠償責任者， 原則上依實際能證明損賠額賠償  如無法證明時，每人每一事件500-20000元， 最高賠償額新台弊２億元為限  行為人是否有故意過失之判斷應由公正第三人判斷之 刑事處罰：最重刑責5年(第41、42條) 1.犯罪行為  無營利行為 ：處2年以下有期徒刑 拘役或併科NT20萬元以下罰金  意圖營利行為：處5年以下有期徒刑 拘役或併科NT100萬元以下罰金 2.告訴乃論之罪 3.處罰對象  中華民國境內或外之中華民國人民  公務人員假借職務上之權力機會或方法犯本章之罪者，加重其刑至1/2
69 為何雲端安全重要?  2億?  刑責?  2億+刑責+公司信譽  有符合個資法的工具嗎?(ISMS、ISO 27001、PIMS)?
70
71
72 新的資訊安全挑戰
73 新的資訊安全挑戰  會引起安全問題的顧慮，是因為客戶的資料和 應用系統都在供應商處  在開放的架構下，安全性永遠都是最主要的考 量 客戶 客戶資料 客戶 應用系統 供應商
74 安全性是企業最主要關注的議題
75 新的資訊安全挑戰  駭客比你更喜愛雲端 雲端運算迫使民眾 把自己資料的控制權交給 第三者
76
77 誰是駭客?內部  內部  惡意的雲端使用者  想了解系統認證機制  想控制(虛擬)機器  惡意的雲端服務商員工  紀錄客戶使用資料  雲端服務商  讀取未加密資料  偷窺/複製虛擬機器  可以監視網絡及應用程式使用模式
78 誰是駭客?外部  外部 入侵者 網路攻擊者  可能行為  側聽網絡通信內容  插入惡意內容  窺探雲端架構  進行DoS(阻斷服務攻擊)
79 誰是駭客?目的  入侵  網路分析  中間人  雲端架構拓墣
80 危險和漏洞  危險 破壞服務 竊取資訊 喪失隱私 資料毀損  漏洞 惡意程式 駭客攻擊
81 新的資訊安全挑戰  便利與安全的兩難  我們的隱私原則，通常是搖擺的，人們會出現隱 私兩難的局面。(紐約時報)  網路的匿名特性，是最大的缺點，但也是最大的 優點。 如果匿名的特性不在，即使有助於遏止一 些惡意活動，勢必仍將遭到隱私權提倡者的極力 反對。 除非有人可以解決隱私權與安全性的兩難 問題，否則原本的網際網路仍將繼續存在。
82 新的資訊安全挑戰  他說：「只有惡棍才會擔心網路隱私權」  還說：「若對隱私權設限，將限制網路成長」 ----施密特(former Google CEO Eric Schmidt )
83 雲端運算之7大安全威脅  雲端安全聯盟(CSA)發表雲端運算之7大威 脅(TOP threats to cloud computing)
84 雲端運算之7大安全威脅  濫用或利用雲端運算進行非法的行為(Abuse and Nefarious Use of Cloud Computing)  不安全的使用者介面與APIs (Insecure Interface and APIs)  惡意的內部人員(Malicious Insiders)  共享環境所造成的議題(Shared Technology Issues)  資料遺失或外洩(Data Loss or Leakage)  帳號或服務被竊取(Account or Service Hijacking)  未知的風險模型(Unknown Risk Profile)
85 濫用或利用雲端運算進行非法行為  此一威脅主要是針對雲端運算服務的供應者而言。 雲端運算服務供應商(尤其是IaaS 與PaaS 供應商) 為了降低使用的門檻，通常並不會要求使用者必 須經過嚴格的資料審查過程就可以直接使用其所 其提供的資源，有些服務供應商甚至提供免費使 用的功能或試用期。這些做法雖然可以有效推廣 雲端運算的業務，卻也容易成為有心分子利用的 管道。事實上，已經有包含殭屍網路、木馬程式 下載在內的惡意程式運行於雲端運算的系統內。
86 不安全的使用者介面與APIs  使用者透過使用者介面或是APIs與雲端運 算服務進行互動，因此這些介面與APIs是 否安全直接影響到雲端運算服務本身的安 全性。像是使用者介面的驗證與授權功能 是否安全，APIs 的相依性與安全性，都是 必須特別注意的地方。此外，如果有使用 第三方的加值服務，這些服務的介面與 APIs 的安全性也必須一併加以考量。
87 惡意的內部人員  內部人員所造成的問題，這幾年來已經成為許多 組織關注的重點，採用雲端運算將會讓內部人員 所產生的問題更形嚴重。一個最主要的因素在於 使用者無法得知雲端運算服務供應商如何規範與 管理內部員工，甚至連招聘的條件與流程也屬於 非公開的資訊。以安全的角度來說，”未知”絕 對不是一種幸福，而是一種芒刺在背的威脅。更 何況以雲端運算的業務性質而言，絕對是有心分 子眼中的肥魚，所以內部惡意員工的比例應當會 比一般組織來的更高。
88 共享環境所造成的議題  雖然使用雲端運算的服務(尤其是IaaS) 時使用者 好像擁有獨立的環境，但是這些環境都是從共享 的實體環境中透過虛擬化的技術所產生出來的。 這些虛擬化的平台能否將不同的使用者進行有效 地隔離，以避免彼此之間相互干擾其服務的正常 運算，甚至是避免彼此之間可以存取對方的資源， 對雲端運算的安全來說是一個嚴格的挑戰。
89 資料遺失或外洩  資料遺失與外洩對於一個組織的影響不只在於實 際上的金錢損失，更在於如企業形象之類的無形 損失。雲端運算因為其特定的緣故，使得資料遺 失或外洩的議題面臨更加嚴峻的考驗。包含是否 擁有足夠的AAA (驗證、授權、稽核)、是否採用 適當且足夠的加密技術、資料持續性的需求、如 何安全地刪除資料、災難復原、甚至是司法管轄 的問題，都是必須認真加以考量的問題。
90 帳號或服務被竊取  儘管帳號或服務被竊取的問題由來已久，但是這類問題對 於雲端運算來說更具威脅性。首先因為雲端運算不像傳統 的IT 架構般擁有實體的東西，因此一旦帳號或服務被竊取 後，除非有其他的方式加以證明，否則惡意分子可以完全 取代原先使用者的身分。在傳統的IT 環境中，因為使用者 至少還擁有硬體的控制權，所以即使發生帳號或服務的竊 取行為，使用者還是可以進行一些事後的補救措施，但是 這些補救措施在雲端運算的架構下可能無法執行。此外， 對於那些公開的雲端運算服務而言，直接暴露於網際網路 上也讓這些竊取行為更加容易發生。
91 未知的風險模型  以安全的角度來說，”未知”是一種芒刺在背的 威脅。以雲端運算來說，不管是IaaS、PaaS、 SaaS 都是將服務包裝成一個使用者不需了解也 無法了解的系統，讓使用者專注於如何”使用” 該系統。但是這樣的方便性，也讓使用者無法了 解這些服務所使用的網路架構、安全架構、軟體 版本等等各式各樣的重要資訊。這些資訊對於評 估安全狀態是很有幫助的，欠缺這些資訊將使得 這樣的評估行為無法被有效地進行。使用者須依 所處的環境決定這些威脅的影響並採取適當的控 制措施。
92 雲端運算的風險 組織與政策 技術 法律 歐洲網絡與資訊安全部 The European Network and Information Security Agency (ENISA)
93 資安風險  不做風險評估的資安，就是威脅及恐嚇  資安風險：潛在威脅利用弱點對資產造成 影響的可能性  風險 (Risk) = 潛在威脅 (Threats) x 弱點 (Vulnerabilities) x 影響 (Impact)
94 風險評估矩陣
95 組織與政策  喪失管理權限 使用雲端基礎設施，客戶端必須將某些關鍵 資料的控制權移轉到雲端供應商，從而影 響安全性。同時，供應商可能無法提供滿 足客戶需求的服務水平協議(SLA)承諾，也 將形成安全性落差。
96 組織與政策  鎖定(lock-in) 目前仍缺乏工具、程序、標準資料格式或服 務介面，以確保資料、應用系統及服務的 可攜性。使用者將無法轉換雲端服務供應 商，甚至無法回到原來企業內部使用的系 統環境，這將導致過於依賴特定廠商的服 務，你願意承擔這種風險嗎?
97 組織與政策  適用性風險(法規或標準) 轉移到雲端後，認證公司可能面臨以下風險 1.如果雲端服務供應商不能提供證據證明自己遵守 有關規定? 2.如果雲端服務供應商不允許客戶對其稽核? 這意味著使用公有雲的服務，將可能無法達到某些 法規或標準的要求
98 組織與政策  惡意的內部人員 雖然平時不太可能，但由惡意的內部人員 造成的損害可能往往更大。雲端架構某些 必要角色將有極高風險。如系統管理員和 託管安全服務提供商。
99 技術  資源獨立性問題(ISOLATION FAILURE) 多租戶和共享資源是雲端的特點，但也相對 隱含一些風險，包括無效的獨立儲存、記 憶體、路由機制，甚至共用資源的租戶聲 譽（例如，跳板攻擊）。當然，攻擊資源 隔離機制仍比攻擊傳統系統少很多，但一 旦發生問題，影響將更大。
100 技術  不安全或不完整的資料刪除 雲端的儲存架構，將使資料更難以刪除，也 許副本資料仍存在其他磁碟，多用戶共享 磁碟的結果，如未完整刪除資料，沒人知 道是否有被復原的風險?(陳姓藝人送修筆電 引發的風暴!!)
101 法律  資料保護 雲端運算同時對使用者及供應商帶來資料保 護的風險，在某些情況下，使用者可能難 以確認供應商對資料處理方式是否合法。 特別是在不同雲端之間傳送資料，供應商 是否提供相關資訊及證明，將是選擇供應 商的重要參考。
102 責任是無法外包的  考慮採用雲端服務時，應先與使用用傳統 服務的風險互相比較，並非所有風險都可 轉移到雲端服務商，假如因為風險而導致 服務中斷，損害商譽，恐怕沒人可以為你 承擔損害，切記，工作可以外包，責任(可 歸責性，accountability)是無法外包的。
103 雲端運算資安架構
104 雲端運算服務資訊安全評估
105 雲端運算服務資訊安全評估  選定採用雲端服務的種類  確認相關資料與應用程式的重要性  進行整體風險分析  尋找合適業者  定期追蹤考核
106 結語  從分散獨立的資訊服務系統轉移到雲端的架構確 實可以獲得許多好處，例如降低成本、更有彈性、 有效率的使用IT資源等等，但是，雲端的隱私及 安全也不容忽視，不確定性會讓使用者對風險及 隱私有所質疑，藉由市場競爭可以建立一個更加 安全雲端。  雖然一些不確定性威脅總是存在於網絡世界，但 透過明確的法規和大家的合作，未來還是可以享 用雲端的優點。
107 結語  就像人們因為信任而將收入存款存放在金融銀行 單位的道理一樣，即使雲端運算的觀念逐漸被企 業所接受，採用的關鍵仍在於「信任」，尤其伺 服器與儲存設備雲端化的效益在於硬體資源的彈 性運用，其較為「可見」，然而做為連結服務的 關鍵──網路，以及攸關資訊與系統風險的安全需 求，所帶出的雲端服務存取速度與可靠性議題， 則是企業應用當中更為重要且更需建立的觀念。
108
109 結語—鑒古知今，由電力產業推論資訊產業?  19世紀的電力產業：  工廠自備電力  大電廠出現，並提供電力網後，工廠也擔心輸電線的 可靠性，是否有必要冒風險，放棄自己發電?  現在的資訊產業：  企業自備電腦資源(運算能力、儲存空間)  雲端服務公司出現，企業擔心顧客資料、機密資料放 在雲端有風險，是否有必要冒風險，放棄IT部門?  What do you think ?

More Related Content

PDF
云安全的意义
bydrewz lin
 
PDF
Data-centric IoT (NTU CSIE 2016.12)
byWilliam Liang
 
PPT
2010中国云计算调查报告
byITband
 
PDF
行動終端、物聯網與雲端平台在高速移動網路下的整合趨勢 (for MOPCON 2016)
byWilliam Liang
 
PDF
高速移動網路新時代 - 雲端與物聯網發展新趨勢 (An Integration Trend of Terminal Devices, IoT and C...
byWilliam Liang
 
PDF
20090605 行動雲端運算創新應用趨勢探索 大廠觀察（下）
byChris Huang
 
PPTX
行動與雲端科技在圖書館的應用
by皓仁 柯
 
PDF
Introduction to Trend Micro Mobility Security 8
byAndrew Wong
 
云安全的意义
bydrewz lin
 
Data-centric IoT (NTU CSIE 2016.12)
byWilliam Liang
 
2010中国云计算调查报告
byITband
 
行動終端、物聯網與雲端平台在高速移動網路下的整合趨勢 (for MOPCON 2016)
byWilliam Liang
 
高速移動網路新時代 - 雲端與物聯網發展新趨勢 (An Integration Trend of Terminal Devices, IoT and C...
byWilliam Liang
 
20090605 行動雲端運算創新應用趨勢探索 大廠觀察（下）
byChris Huang
 
行動與雲端科技在圖書館的應用
by皓仁 柯
 
Introduction to Trend Micro Mobility Security 8
byAndrew Wong
 

Similar to Chinese Uses of Big Data Cloud Security 漫步在雲端資安新戰場

PPTX
Service oriented computing and cloud computing
by志銘 劉志銘
 
PPT
2012 雲端產業介紹
bySitg Yao
 
PPT
Challenges and opportunities computing Kuo-Yi Chen
bykuoyichen
 
PPTX
Big Data Technology - Cloud Computing
byRen-Hao (PAN) Pan
 
PPT
雲端科技發展下的資訊安全問題
by采蓉 李
 
PDF
建構金融機構SaaS服務之探討-以Google App Engine為例
byToomore
 
PDF
雲端運算簡介
by吳錫修 (ShyiShiou Wu)
 
PDF
課程1 1：雲端運算初探
byvaemon
 
PDF
破雲而出 — 重新發現您的雲端策略
byFred Chiang
 
PDF
20090605 行動雲端運算創新應用趨勢探索 大廠觀察（上）
byChris Huang
 
ODP
雲端技術的新趨勢
byJazz Yao-Tsung Wang
 
PDF
郭憲誌／迎戰駭客攻擊，打造企業資安堡壘
byChungSC_tw
 
PPT
那些雲端運算教我的事
byFred Chiang
 
PPTX
雲端運算的演進與定義
byAwei Hsu
 
PPTX
Cloud computing_2
byHuang Kai
 
PPTX
Cloud computing
byHuang Kai
 
PDF
網頁標記語言1
by東偉 蘇
 
PPT
2012 0521 雲端產業介紹 簡報
bySitg Yao
 
PPT
創新管理 雲端協同商務平台 V2.5
byyaohung
 
PPT
創新管理 雲端協同商務平台 V2.0
byyaohung
 
Service oriented computing and cloud computing
by志銘 劉志銘
 
2012 雲端產業介紹
bySitg Yao
 
Challenges and opportunities computing Kuo-Yi Chen
bykuoyichen
 
Big Data Technology - Cloud Computing
byRen-Hao (PAN) Pan
 
雲端科技發展下的資訊安全問題
by采蓉 李
 
建構金融機構SaaS服務之探討-以Google App Engine為例
byToomore
 
雲端運算簡介
by吳錫修 (ShyiShiou Wu)
 
課程1 1：雲端運算初探
byvaemon
 
破雲而出 — 重新發現您的雲端策略
byFred Chiang
 
20090605 行動雲端運算創新應用趨勢探索 大廠觀察（上）
byChris Huang
 
雲端技術的新趨勢
byJazz Yao-Tsung Wang
 
郭憲誌／迎戰駭客攻擊，打造企業資安堡壘
byChungSC_tw
 
那些雲端運算教我的事
byFred Chiang
 
雲端運算的演進與定義
byAwei Hsu
 
Cloud computing_2
byHuang Kai
 
Cloud computing
byHuang Kai
 
網頁標記語言1
by東偉 蘇
 
2012 0521 雲端產業介紹 簡報
bySitg Yao
 
創新管理 雲端協同商務平台 V2.5
byyaohung
 
創新管理 雲端協同商務平台 V2.0
byyaohung
 

More from Bill Hagestad II

PDF
Hagestad xmlversion-120110170214-phpapp02
byBill Hagestad II
 
PDF
Future of Chinese Cyber Warfare
byBill Hagestad II
 
PDF
China's People's Liberation Army force distribution 2015 中国人民解放军陆军
byBill Hagestad II
 
PDF
Evolving chinese military cyber doctrine 中国网络战部队
byBill Hagestad II
 
PDF
China’s clandestine services red dragon rising copyright 2015
byBill Hagestad II
 
PDF
s4x15whychinaoriranwouldtargetusnationalcriticalinfrastructure
byBill Hagestad II
 
PDF
'The How & Why China & Iran Would Successfully Target US Critical Infratsruct...
byBill Hagestad II
 
PDF
高技术战争 Gaojishu People's Liberation Army high tech war in 2014
byBill Hagestad II
 
PDF
Weaponized malware comparison
byBill Hagestad II
 
PDF
Cyber Threat Taxonomy Matrix APR 2014
byBill Hagestad II
 
PDF
Red Dragon Rising Understanding the Chinese Cyber Scenarios 02 march 2014
byBill Hagestad II
 
PDF
사이버 보안의 이해 Intro to korean cyber security
byBill Hagestad II
 
PDF
Korean information security practices 보안 인식교육
byBill Hagestad II
 
PDF
Chinese hackers how to presentation投影片 1網路安全
byBill Hagestad II
 
PDF
No Cyber for you CONOPLAN 3502
byBill Hagestad II
 
PDF
解放軍网络对抗技术 Chinese Military Network Warfare Technology DDoS
byBill Hagestad II
 
TXT
Red Dragon's CYBER Security RSS Feed .docx version
byBill Hagestad II
 
DOCX
Niels G's security websites list
byBill Hagestad II
 
Hagestad xmlversion-120110170214-phpapp02
byBill Hagestad II
 
Future of Chinese Cyber Warfare
byBill Hagestad II
 
China's People's Liberation Army force distribution 2015 中国人民解放军陆军
byBill Hagestad II
 
Evolving chinese military cyber doctrine 中国网络战部队
byBill Hagestad II
 
China’s clandestine services red dragon rising copyright 2015
byBill Hagestad II
 
s4x15whychinaoriranwouldtargetusnationalcriticalinfrastructure
byBill Hagestad II
 
'The How & Why China & Iran Would Successfully Target US Critical Infratsruct...
byBill Hagestad II
 
高技术战争 Gaojishu People's Liberation Army high tech war in 2014
byBill Hagestad II
 
Weaponized malware comparison
byBill Hagestad II
 
Cyber Threat Taxonomy Matrix APR 2014
byBill Hagestad II
 
Red Dragon Rising Understanding the Chinese Cyber Scenarios 02 march 2014
byBill Hagestad II
 
사이버 보안의 이해 Intro to korean cyber security
byBill Hagestad II
 
Korean information security practices 보안 인식교육
byBill Hagestad II
 
Chinese hackers how to presentation投影片 1網路安全
byBill Hagestad II
 
No Cyber for you CONOPLAN 3502
byBill Hagestad II
 
解放軍网络对抗技术 Chinese Military Network Warfare Technology DDoS
byBill Hagestad II
 
Red Dragon's CYBER Security RSS Feed .docx version
byBill Hagestad II
 
Niels G's security websites list
byBill Hagestad II
 

Chinese Uses of Big Data Cloud Security 漫步在雲端資安新戰場