5月25日玉山•資誠•常在•讀書共和國「資訊安全論壇」 當萬物都可駭，我們該如何面對？─資安專家聚集討論未來的資安犯罪面面觀 文：朱麗芝整理 2015年底巴黎恐攻，讓通訊隱私與國家安全爭議浮上檯面；2016年2月，英國匯豐銀行遭DDoS攻擊；2016年3月，孟加拉央行帳戶遭駭；而繼EC通過歐盟新資料保護法後，美政府擬新設聯邦資安長職位，大幅提升資安預算。凡此種種，皆突顯了「資訊安全與犯罪」已是全球性必須即刻處理的重大議題。前FBI未來犯罪趨勢專家、聯合國反恐怖主義專案研討會資深研究員馬克．古德曼緣此，台灣玉山科技協會特別於5月25日(星期三)下午，與資誠聯合會計師事務所、常在國際法律事務所、讀書共和國出版集團，共同籌辦【資訊安全論壇】，邀集各領域的頂尖專家參與，包括師承李昌鈺博士的科技犯罪鑑識專家李承龍教授、資誠企管顧問執行董事張晉瑞、常在國際法律事務所莊植寧律師，分別從科技犯罪的最新發展與防治、建構資安新思維、個資商機與法律風險、數位時代資安面面觀進行探討，並邀請常在國際法律事務所合夥人林香君律師主持座談會，希望真正讓參與者全面理解、掌握，進而實踐、運用在未來企業管理。專家匯聚，實屬難得，當天參加者約160位左右，均是關心未來資安問題的會員會友。 當天，在台大醫院國際會議中心，首先由資誠聯合會計師事務所周建宏營運長致詞。他表示，這個世界很多東西會變，但有一個不改變，就是企業需一個信任感，若餐廳賣的食品不安全，顧客就不會去。在未來的世界裡，若有什麼都會被駭，顧客對企業的信任來自於企業對資訊的安全處理方式，企業的經營在乎客戶對你的信任。傳統的資安是以防堵的方式，但已行不通了，必須有一個循環，如何辨識風險、如何保護？如何復原？發生了問題能知道如何因應。 常在國際法律事務所的資深合夥人林香君律師在致詞時表示，她以前認為律師對科技是比較陌生的，以為駭客是要你的密碼資料，但近來多個案例及美國影集都顯示，駭客以惡意程式將資料鎖碼，企圖勒索金錢，才發現「資料」是新型態的「金錢」，律師及任何其他行業都可能成為駭客攻擊的目標，全台灣民眾都可能是受害者。所以雖然政府或專家也談到資安重要性，但重點常在講技術與規格，今天的論壇期望從不同角度切入資安議題，讓一般企業及市井小民瞭解網路犯罪的態樣及外國案例，以進一步瞭解預防駭客入侵的作法。 讀書共和國出版集團王梵導讀《未來的犯罪》一書 王梵表示，《未來的犯罪：當萬物都可駭，我們該如何面對》(Future Crimes: Everything Is Connected,
Everyone Is Vulnerable and What We Can Do About It)這本書2015年在美國一推出，就受到各大重要媒體好評，包括《華盛頓郵報》(The Washington Post) 評選為2015年度十大好書；榮登《紐約時報》暢銷榜非文學類第二名；Amazon網路書店選書等。該書作者馬克．古德曼("> 她介紹馬克．古德曼是前FBI未來犯罪趨勢家，現為「國際刑警組織」(Interpol)資深顧問、聯合國反恐怖主義專案研討會資深研究員，他的Ted演說創造百萬驚人點閱。結合街頭警察、調查員、國際反恐策略分析師和矽谷科技產業人士等跨領域的經驗，馬克．古德曼以上百個犯罪實例與預想的犯罪情節讓我們看到：科技創新如何為懷有惡意的人或組織構成了無限的可能前景。如今，犯罪手法已出現了典範轉移，意圖犯罪的個人或組織早已經建構起一個龐大的地下網絡。 她指出這本書以小說般懸疑刺激的寫作手法，真實呈現黑幫版FinTech、共享經濟、資料仲介產業、地下犯罪有限公司、數位地下社會……等，讓人膽戰心驚。全書讀來有如科幻推理小說一般緊湊好看，犯罪手法令人瞠目結舌，仿若電影情節在真實世界上演，卻全都是根據科學事實。 王梵說，科技，已經沒有回頭路。這本書不是想令你不安，而是想令你產生危機感。若你讀第一、二部感到不安時，請一定要繼續讀第三部，作者在第三部提出了許多深刻具體的解決方案。從個人到政府，包括減少資料汙染、預設加密、提高科技識讀能力、構建免疫系統、建立公私協力關係等等。讀了這本書，等於為你自己穿上一件面對未來的防護衣。書中實用的解決之道，要讓我們不但可以在進步之中存活，而且能活得很好。 李承龍演講《未來的犯罪》 ─從CSI(實體犯罪現場)到Cyber(虛擬犯罪現場)談起 第一位主題演講人李承龍博士是台灣鑑識科學學會理事、李昌鈺博士物證科學基金會監察人、台灣警察專科學校刑事科及清華大學助理教授。他講到未來的犯罪，犯罪份子對高科技的敏感程度遠遠超過了普通人的想像，未來將會見證機器人、人工智慧、奈米科技與合成生物學的爆炸式應用，而各國執法部門對這些技術在犯罪行為中可能的應用及威脅卻嚴重低估，而且缺乏應對能力；檢察官、警察與調查人員夾在科技快速發展、高手如雲的智慧型罪犯之間，應該如何應對，是未來偵辦案件的隱憂，因此如何解讀犯罪的未來，提出可能的因應之道，更顯重要。 他舉例未來的犯罪，如： 駭客把監視嬰兒的監控器，轉為監看生活的工具。 出國期間，拍照跟朋友分享美景，但小偷也在分析你的臉書狀態，策畫何時侵入，從容偷竊。 入侵手機上的GPS定位系統，追蹤緊盯的對象，伺機犯案。 遠端醫療：植入人體的醫療設置，如心律節拍器(pacemaker)，可能被駭客侵入，遠端遙控，注入致命藥劑或施以電擊，殺人於無形。 無人駕駛車輛：高速行駛中，煞車系統被駭，遭遠端控制，藉以製造意外引起民眾的恐慌。 3D列印：可印製金屬槍械和毒品。 生物科技：恐怖份子可改造病毒或改良毒品的構造後，大量生產。 無人飛行載具：販毒集團可使用來運送毒品，讓警方的偵查更為困難。
他表示未來的犯罪，對駭客而言，任何的一部電腦設備，沒有無法駭取的，隨著物聯網(IoT)的成形，未來世界裡一切物件都會互相連結，將會帶來想像不到的方便和商機，但同時也會帶來想像不到、更加瘋狂的犯罪手法。所以，科技的發展如同雙刃刀，造福人群、提升人類生活品質，但也帶來未來犯罪、恐怖攻擊與網路詐騙等。 在兩百多頁內容豐富的 PPT中，李承龍列述許多科技犯罪的隱憂，科技發展如同雙刃刀，水可載舟亦可覆舟，傳統的犯罪手法搭上網路科技的便車，搖身一變，成為資訊外裝的歹徒。歹徒利用網路媒介、遠端行騙的虛擬詐騙手法，透過社交軟體聯繫，取代傳統皮條客的賣淫集團，將網路伺服器變成世界性賭場的線上簽賭犯罪集團，有些具規模的組織犯罪，還會利用電腦化的資訊管理，進行人員、帳目數位化，以便管理控制。除了物聯網的危機外，還有生物科技的危機，在這個講求客製化的世代，個人化的生化武器既能治癌、必能致癌，恐怖的生化武器也可能就此誕生。但科技亦能打擊犯罪，政府大資料的應用初步成果揭露，靠大資料預防犯罪再往前邁進一步，譬如中正大學犯罪防治中心與新北市警察局運用大資料發展犯罪探勘和分析的預測技術，日立公司將運用大數據和機器學習預測犯罪行為，還有持續監控系統可以追蹤罪犯，美國佈署ShotSpotter槍支探測系統等。 李承龍有著近廿年的刑案現場勘查經驗，他比較傳統與未來的犯罪現場。他要求大家要會處理犯罪現場並保留犯罪證據，指紋、地緣、職業、車款、車牌、歹徒特徵、現場完整性均需注意，皮屑、汗漬、口水均可以是重要的證據來源，但要會知道如何採證，一個棉花棒的體液採樣均會為辦案帶來契機。在未來的犯罪現場，被害人與現場處理人員，因為對科技的陌生或急著清理混亂的現場，容易導致事後追訴、咎責或緝兇的困難。 由於資訊開放導致犯罪手法易傳播，為因應未來的高科技犯罪，他表示台灣警察專科學校於105學年度率先成立了「科技偵察科」，栽培基層的科技偵查人才。警察機關也陸續成立相關的科技偵查單位，專責偵辦此類型的犯罪案件，是未來的偵查趨勢。許多軟體公司也設計開發警政司法相關的專業軟體。但他說光靠政府不夠，駭客的攻擊與手段是道高一尺，魔高一丈，必需強化全民的電腦知識，防範未然，並要培育與打擊未來犯罪的生力軍，方可產生嚇阻的力量。 資誠企業管理顧問(股)公司張晉瑞執行董事 談“保護皇冠上的寶石新世代資安策略” 第二位主講人─資誠企業管理顧問(股)公司張晉瑞執行董事表示，傳統的資安防護觀念就像是中古世紀在城堡周圍建立護城河和堅固的外牆，以抵擋敵人入侵，主要著重在預防與保護，以降低資安事故發生的可能性。然而，在「萬物皆連網，萬物皆可駭」的世界，威脅者已轉變為有組織性、針對性，由組織利益或政治考量所驅動，資安風險狀態從靜態轉變為動態且廣泛，傳統中古世紀的「牆」，已然無法抵擋二十一世紀的威脅。他為此以圖表來做了一個分析： | 傳統資訊安全面向 | 資安先行者之洞察 | 威脅者的特徵 | 單次或投機心態，由個人利益或技術挑戰所驅動 | 有組織性、針對性，由組織利益或政治考量所驅動 | 威脅來源 | 主要為外部 | 外部及內部 | 資安風險狀態 | 靜態或少許動態 | 動態且廣泛 | 資料分享對象 | 組織內部 | 與內外部單位分享 | 風險管理方式 | 主要著重在降低發生的可能性 | 接受資安事故終將發生，著重在最小化營運衝擊 | 控制模式 | 主要著重在預防與保護 | 辨識、保護、偵測、回應、復原 | 保護策略 | 相同的保護方式 | 優先保護最重要的資產(皇冠上的寶石) | 防禦姿態 | 保護周邊，如果被攻擊才回應 | 多層次防禦、即時偵測、迅速回應攻擊 |
他表示，相較於以前資安管理注重在減少風險發生的可能性，二十一世紀資安策略的風險管理方式，首先要接受「城牆遲早會被攻破」的事實，也就是接受資安事故終將發生，風險管理重點放在減少對企業衝擊。換言之，企業要先找到「皇冠上的寶石」，找出對企業最重要的資產並排出優先順序，再依照重要性，提供不同層級的保護。 當資安風險管理策略從風險發生的可能性減少，演變到降低企業衝擊的模式，就不能只是注重預防與保護，而應該是以全面、完整的控制生命週期( Lifecycle)來減少對企業的衝擊；這時，「網際安全架構」（CSF, Cybersecurity Framework)就是一個很值得參考的框架，它將資安風險管理分成五大控制模式，分別為識別（Identify）、保護（Protect）、偵測（Detect）、回應（Respond）以及復原（Recover），協助組織管理資安風險，並提供高層良好的資安透明度及視野。相對於傳統只注重保護，這樣的架構以全面、完整的資安管理生命週期，使其和本身的業務營運要求、風險容忍度、所需要的資源能夠趨於一致，將企業資源關注在最需優先保護的資產，讓企業的整體衝擊降低。 他最後結論中說，資安是永遠做不完的專案，企業應以資源管理的角度，設定保護標的及資安資源的優先順序，除了符合ISO等規範、落實與深化資安保護，更重要的是，必須建構與企業目標一致的資安策略與CSF網際安全架構。從合規、保護到信任，建立社會對企業的「信任」為目標，以驅動企業永續經營。 常在國際法律事務所初級合夥人莊植寧律師 談“運用個人資料的商機與法律風險” 個資保障議題牽涉相當廣泛，例如行動醫療照護、政府計畫推動的智慧電表，以及行動支付科技等等等。企業主如果希望合法蒐集及利用消費者資料，跨境佈局國際市場，對國際上最新隱私保護政策發展有所瞭解，就非常重要。 運用個人資料之商機無限，取得美國及歐盟隱私法專家認證 (CIPP/US, CIPP/EU）的莊植寧律師在演講開場，以「追蹤式廣告」、「個人化廣告」為例，說明個人資料於商業行為利用之多樣化，以及為企業主所帶來的商機，另外，在商機背後，所可能衍生之資訊隱私保障爭議。 莊律師於演講中以說明美國及歐盟之數個知名案例，說明國際上最新隱私保護政策發展。在美國部分，莊律師以美國Microsoft公司拒絕美國司法部要求索取儲存於境外資料之案例，以及美國FBI與蘋果公司之解碼之爭，說明公司面對政府要求提供個人資料時，他國公司之處理經驗。在歐盟部分，莊律師介紹了歐盟今年通過的隱私規章（General Data Protection Regulation)，其中新規定之「被遺忘權」，已有多件法院案例。這部新法即將在2018年實行，台灣企業如在歐盟地區提供產品或服務，都需特別注意這部新法的規定，罰款很高，最高可達全球營業額百分之四。 此外，雖然「萬物都可駭」，莊律師提醒大家，不可輕忽企業內部的隱私保護機制，有統計指出，有半數以上資料遺失或被竊，因為企業自己的不當行為導致，多數員工未曾接受隱私保護訓練，甚至不瞭解自己工作的內容必須特別遵守一定保護機制所導致。例如：很多企業推動行動辦公室鼓勵員工可使用個人手機電腦處理公事，對於「Bring Your Own Device」就應該有一定使用規範，並對人員進行訓練及危機處理。美國就曾經發生過數宗醫療業者員工因為筆記型電腦遺失，造成電腦內存放百萬筆個人醫療資訊遺失，遭到提起集體訴訟（class action）求償美金數十億元，不可不慎。此外，企業進行對員工施以必要的「人員管理」、「認知宣傳及教育訓練」，是企業證明自己已經盡到「防止義務」很重要的證明方式。 莊律師在結語也對政府提出建言，呼籲政府設置一個統一專責執法機關，並期盼儘速加入APEC跨境資料傳輸網絡(APEC Cross-Border Privacy Rules
System)，由政府力量帶領企業與國際接軌，幫助企業走向全球商務市場。 常在國際法律事務所資深合夥人林香君律師 主持專題座談“數位世代企業新思維” 常在國際法律事務所資深合夥人林香君律師接著主持專題座談“數位世代企業新思維”，與談人包括以上三位主講人台灣警察專科學校李承龍助理教授、資誠企業管理顧問(股)公司張晉瑞執行董事及常在國際法律事務所莊植寧律師。 林香君律師首先講到五月是個精彩的月份，前行政院長張善政成立的「國家資通安全科技中心」在新政府上台即被廢止，成立不到半年，是他短期執政的大遺憾。其次蔡英文總統先前推出的政策白皮書中，國防與資安是五大創新研發計畫之一，因此，有人問要成立專門針對資安的第四軍團嗎？另外，最近電腦公會也辦了「資安論壇」等，可見各界都注意到“資安”這個問題。由於蔡總統講到資安是國家未來發展的重點領域，所以林律師提出兩大問題與三位與談人探討，首先是請與談人談談對我國在資訊安全的思維及做法上有何期待與建議？其次是談談對企業資訊安全的商機何在？幾位與談人均各抒己見，非常精彩。 主持人林香君律師向觀眾拋出一個問題，“在座當中有沒有人沒有被駭過？”居然有好幾位舉手。林律師請他們一一講講如何做到網路不被駭。 *第一位觀眾表示他在家中的網路連線是用變動IP，不要被鎖定；其次是他在不用電腦時就斷線，這是防止駭客最重要的觀念。 *第二位觀眾表示她接到任何email，覺得有可疑處就先去查證，待確定後才去打開那個email，維持自己合理的懷疑性與好奇心；不必要用的就少用，並多設密碼。 *第三位觀眾提醒大家「要謹慎再謹慎」，曾有網路專家示範一個加密網站的方法─如何讓自己的資料被封鎖。若有可疑的檔案傳過來，你一旦點了一次，寄來的惡意程式就已在你的作業系統中，三分鐘就佈建完成，使用者感受不到差異。 *第四位觀眾表示，這就如阿里巴巴的故事一樣，沒有「芝麻開門」的密語就不開門。巴那馬律師事務所的一萬五千件文件洩密這事給大家警惕，要從源頭就管理好文件檔案。 這個座談會在台上講員與台下觀眾相互交流問答互動與分享中輕鬆結束，許多觀眾把握機會到前面與講員認識，遞交名片，詢問問題，期待在資安的領域中能找到更多良師與益友共同更深入來討論。￭ | 
