DNS 通道會運用 DNS 通訊協定，透過連接埠 53 來傳輸非 DNS 流量。 但是，也有人會出於惡意來使用 DNS 通道 VPN 服務。 這些服務可能會用來將輸出流量偽裝成 DNS，藉此隱匿通常透過網際網路連線分享的資料。 有惡意用途者，會運用 DNS 要求將遭入侵系統的資料外洩到攻擊者的基礎架構中。 也可能會將它用於攻擊者基礎架構對遭入侵系統的命令和控制回呼。 隨著數位金融蓬勃發展，大幅提升與銀行往來的便利性，現在只要打開銀行 App ，就很容易將過往需耗費數小時的事情，在手掌上頃刻解決。
不過可以肯定的是，對於區塊鏈有關的資安需求，政府機關是積極推動這方面的應用。 接著TPEx櫃買中心主任秘書涂月憲分享他的觀點，觀察到Web3及區塊鏈技術的相關應用潛力。 他認為分散式架構區塊鏈所結合的資料處理有兩大目的，其一是儲存資料的信任，其二對自身資料的自主權。 而這兩項意圖進一步延伸出相關實際應用，例如履歷溯源、投票、碳足跡追蹤、乃至於搭配智能合約來提升商務效率等。
資安所: 資安人員(資安管理)
而要執行這些演練，除了企業自己實做，市面上也有不少資安服務業者會提供這些服務，名稱像是社交工程演練服務，或是電子郵件警覺性測試服務，也有業者能提供買斷方式供企業自建系統來執行。 隨著威脅態勢日益嚴峻，現在的郵件安全防護技術也更進步，過去企業知道要做好垃圾郵件過濾、郵件防毒，現在郵件APT、進階郵件安全防護等方案，就是企業要重視的項目，才能幫助使用者過濾無法看出的郵件潛藏威脅。 只不過，2021年修法後，根據安碁資訊統計，2021年因為發生資安事件而發布重訊的企業有14家，而2022年則有8家。 全國認證基金會（TAF）執行長許景行則指出，SGS以及BSI兩家驗證公司被TAF列入資訊安全管理系統減列名單是事實，但這兩家公司如果可以儘快針對評鑑缺失項目做改正，在2020年1月2日後，就可以重新申請恢復增列。 對於這次受害醫院而言，為了讓風險可以降到最低，做好資料的備份與還原，就是最重要的工作之一，其次就是要清查入侵管道及因應，以避免遭受同樣威脅再次受害。 在導入資安框架的過程中，CSF提供了最重要的檢核範圍與項目，不過，實務上企業利用這套框架時，首先還是要重新觀察自身的資安態勢，找出需要改善的地方，並且設定階段性目標，最後執行相關的計畫，完成後，企業需要檢視成果，然後再進行第二階段的改善周期。
但要注意的是，談到電子郵件安全，企業過往想到的，可能就只是防垃圾郵件與防毒，而現在的郵件安全防護面向與功能，並不僅於此。 儘管惡意電子郵件、釣魚郵件帶來的威脅風險越來越高，但是許多的企業用戶，仍是仰賴電子郵件作為正式溝通管道，如何降低這些風險與威脅，就是首要課題。 二面：測試完之後，由兩位主管進行面試，一位應該是資安部門的主管，另一位是infra的主管，剛面試時是只有資安主管來，但他的面試風格為自己看履歷然後有問題時進行提問，所以在過程中除非主管有提問，否則基本上不太會有交流的機會。 資安所 大概過了半個小時，infra的主管下來後才打破了這個詭異的局面，他事先看了履歷並且根據他的疑惑進行提問，提問的差不多之後，就開始由求職者進行提問。
資安所: 資訊資安人員
一般而言，國際資訊系統安全認證協會之類的非營利組織可提供業界廣泛接受的安全證照。 這類證照包括 CompTIA Security+ 以及資訊系統安全認證專家 (CISSP) 等等。 有些公司的資訊安全長 (CISO) 或取得認證的資訊安全經理 (CISM) 可能需要接受廠商的專門培訓。
近期頻傳的勒索病毒也是對資料保護的嚴重考驗，過去單純保護資料不被竊取的方式，已經無法滿足這種惡意行為，必須採取新的資安思維及防護技術來保障資料。 現今的生活中，已不再需要到特定地點辦理，使用網路就可以執行，大大地增加便利性，但隨之而來的問題是如何確保身份認證的授權身份、資料的管理及使用。 近年來國際間提出許多相應的規範與認證，政府單位、金融機構服務及企業網站，可以參考或遵循國際標準或國家規範，來保護及使用民眾的資料。 20世紀末以及21世紀初見證通信、電腦硬體和軟體以及資料加密領域的巨大發展。 小巧、功能強大、價格低廉的計算裝置使得對電子資料的加工處理能為小公司和家庭使用者所負擔和掌握。
資安所: 資訊安全碩博士學位學程
臺灣BSI針對客戶的聲明則明確指出，臺灣BSI對客戶核發的ISMS證書，除TAF認可外，也取得國際認可機構（ANAB）登錄之合法公正第三方驗證機構證書。 上述的種種疑問，過去一周開始於資安圈內不停擴散、恣意傳播，甚至出現種種不同的懶人包以及各種信誓旦旦的網路傳言，告知已經取得由BSI或SGS核發ISO 27001認證的企業或政府機關，如果不趕緊轉驗證，他們的證書將會失效。 而且，對於此次大規模醫院受感染的事件，義大醫院資訊部協理莊博昭更是指出一個少被討論的現象，就是同時有太多醫院遭遇勒索病毒，也出現了SI系統廠商與原廠無足夠人力支援的狀況，南部的情形更是嚴重。 據瞭解，臺北醫院在8月29日（週四）凌晨12點多，發現系統異狀，查出攻擊來源是從健保VPN網路而來，當下他們通知資安業者處理調查，以及依照規定通報，並有多個備份檔遭加密的情況。 在事發後幾天，全國醫療的最高主管機關行政院衛生福利部曾公布調查，結果是22間遇害，最近10月底我們再次詢問，後續衛福部資訊處長龐一鳴確認，他表示，知道遇害的增至36間，不過，坊間仍傳出有一些單位遇害的消息，根據我們得到的消息可能是66間。
舉例來說，金融單位防範資料外洩的嚴謹度，若套在企業商業機敏資料，是可以適用的；電子商務參考網路銀行的方法也適用，另外，工控無人操作裝置可以參考銀行ATM管理防護──取其方法跟經驗做為跨領域的參考思考，建立合適防護與管理方法並做強度調整。 因此，現今面對目標式攻擊的防禦方案，須具備更為主動的第一線處理能力與智能智慧化設計，如XDR（Cross-Layered Detection and Response）技術，為跨層次的檢測與回應，其中的「檢測與回應」已廣泛用在新一代端點防駭EDR方案上，並正逐步延伸到邊際、網路、應用、雲等不同層次。 隨著現今雲端網路及行動應用的高度發展，更顯出傳統定義的企業網路安全邊界崩解；換言之，過往「企業內部網路的人、事、物就是安全可信任」，這類的資安思考方式，必須重新檢視。
資安所: 資安分析工讀
而在具體作法上，龐一鳴最近表示，他們已經提供稽核報告，旗下健保署正在著手改善中。 毛敬豪表示，包括東元集團的東亨創投及矽谷創投，都有意投資資安鑄造公司，目前Pre A輪的資金挹注，預計在2022年農曆春節的前後有結果。 因此，企業在盤點了各個面向的執行現況後，接著，就要評估需要優先改進的項目，進而達到持續改善的最終目的。 隨後，在2013年7月，NIST首度推出了該框架的草案，並於2014年2月發布1.0正式版本，接著在同年的12月，該國制訂了網路安全強化法案，使得NIST在執行前述歐巴馬發布的行政命令中，扮演了更加重要的角色。
他也強調，醫院需要的是醫療營運的資安報告，透過戰情牆的方式，提供資安事件回報和情資處理狀況；目前費用的計算方式是打開API，計算雲端存取的數量，以及把資料送回來，產生合規報告的費用。 畢竟，現今大幅開放API之後，使用者行為與帳號都可能遭到外部滲透竊取，許多網銀App若不夠安全，也可能造成信用卡或銀行帳密資料外洩，甚至金融機構與第三方業者串接時，一旦發生配置錯誤，都可能造成個資外洩。 對此，他指出，CMAS不僅符合工業局「行動應用App基本資安檢測項目」，也會查驗OWASP的行動裝置十大漏洞（OWASP Mobile Top 10）的檢核項目。
資安所: 企業求才
同時，微軟產業解決方案暨客戶創新亞太區總經理葉怡君也在此會議上，說明他們在Zero-trust IoT資安的相關計畫與現況。 另外，在這場研討會上，美國美國國家標準暨技術研究院（NIST）也以視訊方式說明他們在IoT安全方面的相關計畫與發展歷程。 服務提供商常以臨時的方式來進行，並且通常未有記錄（或記錄不完全）對所提供的服務， 通常僅在與資產擁有者簽訂的合約(工作說明書)中指定，其結果，可能難有一致性。 註：此處”已記錄”指執行服務時遵循的過程，例如，向服務提供商提供詳細說明， 並非僅指執行服務的結果。 衛福部食品藥物管理署為了減輕資安事件的衝擊，既有郵件防護體系之下，他們相當看中員工對於郵件安全意識的訓練。
第一是主管機關的調適、第二是擴大稽核範圍、第三點是強化特定非公務機關資安管理，並擴大納管對象。 除了法規涉及的機關權責，對於非資安法所納管的對象，林春吟也提到建議可以加入「台灣電腦網路危機處理暨協調中心」（TWCERT/CC），這個組織主要任務在推動企業資安事件處理、產品資安漏洞通報等。 接著林春吟分享國資安推動的幾個重要進程，從2001年開始展開第一期機制計畫，這個階段最重要的任務是完成政府機關分級制度，相關工作包含界定分級標準，以及推動資訊安全管理制度及認知推廣。 資安所2023 每一期計畫共執行四年，重要的里程碑是在2017年的第五期發展，成功推動資通安全管理法，進一步完備國家資安聯防體系，這一期的績效包含落實A級機關資安治理成熟度及推動「資安產業發展行動計畫」。 既然區塊鏈應用在不同產業逐漸落地開花，對於使用者也會關注資安保護議題，尤其是主管機關或相關法制單位，如何看待政府在區塊鏈領域內，有關安全規範角色的定義？ 法務部調查局資通安全處處長張尤仁對此回應，他認為政府角色會聚焦在「規範」與「推動」，引領區塊鏈更廣泛使用，像是司法界近年成立「司法聯盟鏈」，在規範部分涉及打擊區塊鏈的犯罪，例如NFT詐欺，執法部門傾向嚴格把關，有助於讓區塊鏈應用導入良善方向。
資安所: ICS 系統內的通訊
也就是說，身為企業高階主管的資安長，已經不能和以往定義的資安部門主管一樣，只偏重資安技術和縱深防護而已，因此，當資安長是由公司更高階的主管擔任時，思考的角度也從傳統的技術思維，必須進一步轉變成公司營運的思維才行。 在該法第4條上市公司重大訊息中，原本第26項只規定：發生災難、集體抗議、罷工、環境污染或其他重大情事，都必須發布重大訊息。 以往證交所雖然將資安事件歸類為其他重大情事，但往往因定義不明確，反而容易讓企業鑽漏洞，不論資安事件嚴重與否，都被認為屬於企業的機密而不願公開揭露。 但是，藉由修訂第4條第26項後，不僅將資通安全事件明訂在法條中，而且該修法效力則是公布後即刻生效。 由於TAF的規定，BSI和SGS遭到減列的處分後，必須按照規定，即刻通知相關客戶。
CYFIRMA 針對 SafeChat 的分析指出，一旦用戶誤信該軟體是真實的即時通訊軟體並且安裝後，SafeChat 會要求用戶授與輔助使用權限，以自動取得存取簡訊、通訊錄、通話記錄、GPS 資訊、外接儲存裝置等權限，並進行後續的惡意軟體酬載載入與安裝。 SafeChat 甚至會要求用戶同意存取手機的電池電力最佳化子系統，這是為了阻止系統在使用者很少使用該 App 時，自動中止該 App 的執行。 建議 Android 使用者除應避免自非 Google 官方管道下載安裝 App 外，如遇 App 要求輔助使用等權限，應立即拒絕並移除該軟體。 資安設備解決方案導入、部署及維運，進行資安系統監控與管理， 以及資安事件分析與 問題排除。
資安所: 資訊安全專員[無經驗可，歡迎社會新鮮人]
此外，該計畫應推動系統建立，以保存證據來進行法醫分析，並展開可能的相關起訴作業。 這項資料可協助防止進一步的外洩狀況，並幫助相關人員發現攻擊者。 至於資通安全管理法有哪些修法重點方向，林春吟點出三個關鍵指標。
傳統資安思維往往執著於「有洞就要補好補滿」，但補洞評估與程序經常費時，反讓駭客可將惡意程式安置妥當。 醫院若是為了自保，做好完善備份仍是必須，損失程度將比不備份的狀況要少，也不會落入因檔案無法救回，而考慮付贖金的窘境。 根據大學甄選會公布的 112 學年度大學「繁星推薦」與「申請入學」管道招生簡章中顯示，為了配合國家政策培育資安人才，今年大學甄選新增了「資安組」，鼓勵大學透過申請入學管道招收具有資安特長之學生。 中間人 (MitM) 攻擊又稱為竊聽攻擊，攻擊者會將自己安插在兩方交易之中。
資安所: 產業未來十年決勝點 是德點名五大關鍵領域
事實上，為了避免政府部門員工遭到社交網路郵件的攻擊，我國政府機關在2005年開始這樣要求，至今，各機關單位也都持續在進行，執行每年兩次的防範電子郵件社交工程施行計畫，近年金管會也有類似的規定，要求所有金融業者，應定期執行電子郵件社交工程演練與教育訓練，每年至少一次。 當然，不僅是政府單位，許多企業也會藉此方式訓練員工，各種類型產業都有，像是高科技產業、傳統產業、服務業，以及電商與第三方支付產業等。 金管會在2022年12月公布了「金融資安行動方案2.0版」，其中提到的重點包括：數位身分驗證等級國際標準（可參考ISO 29115）架構、零信任網路部署以及MITRE Engage等新的概念與技術，金融業則要提前佈局準備；另外供應鏈的安全也是未來需要注意的。
- 首先是「要保護什麼」，第二是「針對哪種類型的攻擊」，第三則是「考慮哪些網絡安全投資」。
- 在同一月份，德國漏洞分析暨管理公司Greenbone Networks的研究報告中，指出全球有52國、590套醫療影像儲存系統PACS，因設置不當與缺乏密碼保護，造成2,400萬名病患的7億張醫療影像，曝光在網路上。
- 在2017年5月Wannacry勒索病毒肆虐全球之際，雖然不是鎖定醫院，但新北市三峽恩主公醫院的醫療推車電腦也曾遇害。
- 有了框架核心這個檢核表，企業就要將每個項目現況的組態（Profile）詳實描述後登錄，進而評估單一項目執行的成熟層級（Tier）。
- 問題比較大的是，有部分只取得TAF核發的機關單位，為了維護客戶權益，SGS在取得客戶同意後，會協助以轉證的方式，以維護客戶證書的有效性。
對於上市公司重大資安事件的揭露，在昨日（4月27日）傍晚，臺灣證券交易所發布公告指出，由於發生資安事件對公司財務業務的影響，已是越來越高，同時也對公司商譽等可能有重大影響。 因此，資安事件重大訊息發布與揭露相當重要，同時為了更有明確的法源依據，臺灣證券交易所也採取實際行動，已修訂重大訊息處理程序，並明訂上市公司發生重大資通安全事件應發布重大訊息。 在國內因資通安全法的通過與施行，普遍對ISMS(資訊安全管理系統)已有一定的認知，而在製造或工業生產為主的產業，通用的資訊安全標準ISO/CNS 27001，只提供適用資訊安全管理的大架構，對於提升產品安全如何更貼切的引用？ 資安所 畢竟這些主動寄來的電子郵件，鎖定的攻擊目標就是「人」，誘騙使用者開啟信件後，透過點擊連結或下載附件等方式，藉此突破企業防禦大門。 系統只是輔助，可以幫使用者過濾掉大部分的威脅，降低可能發生的機率，但其餘的郵件安全防護，還是得仰賴提升使用者的資安意識，因此企業也得設法解決。 在這次事件中，從政府調查的結果來看，已知感染途徑，是透過國內的健保VPN網路來入侵，雖然不是從醫療服務供應商下手，但從駭客的手段來看，其實都是一次行動就能攻擊到許多單位。
資安所: 何謂 ICS 系統？
毛敬豪表示，資安鑄造公司現有的產品，主要是原先資安所研發的科專計畫，也就是針對行動App的資安檢測工具Crystal Mobile Application Analysis & Assessment System（CMAS），可以偵測行動App的漏洞與風險，確保個人資料再行動裝置的安全性。 以資產管理而言，總共有6個子項目，分別是實體裝置的清查、軟體平臺與應用程式的盤點、資料流量的管理、資訊系統編目列管、資源調度的優先順序，以及與外部合作夥伴之間的所扮演的資安任務等。 企業可逐項依據框架核心裡所列出的參考資訊，檢視自己的網路安全現況。
行政院資安處表示，從上述的規定來看，外面傳言公務機關要立即換證、轉證的說法是不精確的，因為受資安法規範的單位，未來取得ISO 27001資安認證的範圍，必須是全機關的核心系統外，也有三年的緩衝期，取得TAF認證的ISO 27001證書。 不過，他也要澄清，證書有效性不在於證書掛哪一個認證機構的標誌，而是看接受證書的單位，是否承認發證單位的公正性與專業性，甚至於，如果企業用戶相信BSI和SGS的驗證，兩家公司也可以自行核發不掛任何認證單位標誌的證書。 他認為，以BSI和SGS兩家的實力和資源，只要可以針對不符合的項目進行改善，三個月後就可以重新申請增列。 無論如何，勒索軟體已經不是新興的攻擊，但持續會有新的變種出現，並且鎖定某領域攻擊的狀況越來越多見，醫院要如何自保，以及落實資安工作，都將是不能再迴避的問題。
資安所: 產業服務
另外，劉培文提醒，資安防護及作業本身也需要做到數位轉型與作業流程精進，他也說，以目前金管會及證交所制定對金融機構及上市櫃公司的各種資安管控要求後，未來要找到符合資格的資安專才，將會越來越困難。 例如，德國在2017年針對電動車和自駕車等供應商，通過汽車安全訊息評估交換平臺TISAX的規定，未來要進軍歐盟汽車供應鏈的製造商，都必須符合TISAX規定，如果相關汽車供應鏈業者的資安長，能更早掌握相關規定，就可以有餘裕促使公司合規、提供公司的競爭力，進而提高公司的營收。 萬幼筠也提醒，供應鏈安全應該是融合在所有資通訊產品中，尤其近期歐盟通過許多法規，臺灣有許多全球重要的代工大廠，除了品牌客戶對代工廠的各種資安要求外，各國對資通安全產品法規的要求，也應該成為供應鏈安全的內容之一。
現場作業通常會透過所謂的 現場裝置 (Field Device) 來接收遠端站台的監控指令。 在成熟度第3級，代表至少執行過一次以上成熟度第2級的服務流程，並可證明在整個服 務提供商的組織中都是可重複的，且可以根據合約與資產擁有者的工作說明文件，為各別 項目量身定制成熟度第3級的服務。 特別的是，隨著雲端服務的盛行，市面上，開始有提供寄送釣魚測試信的雲端服務，以及資安教育訓練的平臺，這也成為企業現在可以利用的新資源。
