24 June 2008
根據Verizon Business 公佈的一項綜合調查，如配備適當的安全措施，近九成的企業資?外洩事件 (Data Breach) 是可以避免的。本調查亦提供重要建議，協助企業建?最周全的安全措施，並促請企業採取主動策?。
這項「2008 資?外洩調查報告」研究?時四?，涵蓋超過500 項取證分析調查及二億三千筆記?，並分析??百個企業資?外洩個案，包括???五個最嚴重企業資?外洩事件的其中三個案?。這項調查由Verizon Business 安全解決方案專家進?，73%的資?外洩是由外在因素引起，18%由內部威脅造成，而大部份則因多個事件同時發生所造成，而非單一入侵或攻擊所致。
Verizon Business 安全解決方案研究及情報副總裁Peter Tippett 指出：「對全球的企業機構而言，安全??及敏感資?外洩是真正日益備受關注的問題。這項調查可協助企業?解資?外洩如何出現及它們的共通點。最重要的是，本調查可促使企業於安全方面採取主動措施，而這正是保護資?的?二法門」。
基本安全原則的主要調查結果
某些調查結果可能與廣為認同的看法對?，?如內部人員要就大部份的資?外洩事件負責。主要的調查結果包括：
* 調查中大部份的資?外洩事件是由外在因素所引起
有39%的外洩歸咎於商業夥伴，這?字於調查期間上升?五倍。
* 大部份資?外洩是由多個事件同時出現所造成，而非單一活動所致
62%的??歸因於嚴重的內部失誤，直接或間接造成資?外洩。至於蓄意外洩，則有59%是由入侵及攻擊造成。
* 39%由駭客入侵所引起的資?外洩，所針對的是應用或軟件層面
針對應用、軟件及服務層面的攻擊多於入侵作業系統平台，前者佔23%。少於25%的個案，是?用已知或未知的??進?攻擊。值得注意的是，在發現這些資?外洩事件至少?個月前，90%的已知??均有可用的修補程式 (Patch)。
* 九成的資?外洩含有一些「未知」的情況，其中包括未知的系統、資?、網絡?接、及/或帳戶使用者權限
此外，75%的資?外洩是由第三方發現，而非受害機構，並存在?一段長時間而未被察覺。
* 現代機構的資?無所?在，資?監控工作又極?艱巨
基本原則十分簡單，但如果你?知道資?儲存在哪?，當然無法保護它。
盜取資?的全球黑市市場正在增長
本調查所研究的資?外洩事件涵蓋多個?業。?售和餐飲業的案?佔超過半?。相反，與其他?業相比，擁有龐大貨幣資產的?融服務業一般都配備高?的防護，該?業的案?佔調查總個案的14%。
本調查亦顯示國際事件的?目及?別均顯著上升。?如，亞洲出現的攻擊，尤以中國及越南為甚，經常包含應用層面的入侵，繼而導致資?外洩，而網站篡改 (Defacement) 則經常?自中東。而銷售點系統 (POS) 的攻擊事件，其?源IP 通常都與東歐及俄?斯有關?。
調查發現：「隨著資訊科技提升?全球各地的相互?接性、企業極?尋求全球夥伴合作、以及法規治?對資?外洩事件的處?與公佈日漸成熟，國際資?外洩的上升趨勢很有可能會持續下去。」
報告?明?資?外洩的背後??，透過資?盜取竊取所需資??進?身份詐騙，是一種最容?、最安全，且最有?可圖的方法。罪犯只須闖入擁有權限的電腦系統，盜取儲存於這些電腦系統中的敏感資?，就可以存取載有成千上萬受害人資?的系統。?採用非電子方法，罪犯只能取得少?資?。
有?可圖的資?黑市交?使得這些犯罪?為變得?具吸引?。罪犯透過社交網?互相合作，尋找存有??的系統、竊取資?，進而進?大規模的身份盜竊。報告指出，在這個網絡內，?手合作的罪犯讓駭客、騙子及其他有組織犯罪集團可持續取得所需資?。
給企業的建議
這項研究提到，只要持續執?幾項簡單的動作，?可獲得莫大效益。主要建議包括：
* 把策?與程序緊密結合
在59%的資?外洩事件中，企業機構都有為系統建?安全策?及程序，但是這些措施都從未實?過。?實執?是一大要訣！
* 制訂資?保存計劃
在66%的資?外洩個案中，這些公司甚至?知道這些外洩的資?是在他們的系統之中。企業機構必須?解資??動的途徑及儲存所在，以辨?資?並為其排定風險的優先順序。
* 設?交?區管控資?
調查人員指出，將網絡區隔有助於避免攻擊，或至少緩和部份攻擊。換言之，企業機構應於適當的時段及位置將資?予以區隔。
* 監控事件日誌
證據顯示高達82%的資?外洩事件，於外洩真正發生前都是有跡可尋的。企業機構應持續以系統的方式監控日誌，並於事件發現時適時予以回應。
* 建?意外事件處?計劃
懷疑有資?外洩的情況時，企業機構一定要迅速作出反應，?單要阻止資?繼續外洩，還要搜集證據，以?在必要時可進?檢舉。
* 提高警覺
儘管員工是保護資?的最前線，但只有14%的資?外洩個案是由受害機構員工發現。企業機構必須培養員工的警覺性。
* 進?模擬事件測試
企業機構要確保員工訓?有素，可應付資?外洩的情況，並提供模擬危機訓?，測試員工的事件處?能?、判斷?及?動。
Tippett 補充：「這項報告明確指出，資?保護的關鍵?是安全防禦措施如何巧妙或精密，而是從資?監控計劃到實?都必須從最根本處著手。」
Verizon Business調查：企業應採取主動策?免資?外洩 (Chinese)
