坏景气骇出新经济 守护网安怎么做？找谁做？

Palo Alto Networks副总裁暨亚太区与日本首席安全长Sean Duca。Palo Alto Networks

网络安全厂商Palo Alto Networks报告指出，经济衰退时可观察到网络犯罪者数量增多，且市场上已有许多黑客即服务(Hacking as a service)和勒索软件即服务(Ransomware as a service)平台。

该报告由Palo Alto Networks旗下Unit 42团队发布，过去1年来，7成网安威胁事件与勒索软件和商务电邮诈骗(Business email compromise)有关，且77%网络入侵事件是经由钓鱼连结、软件已知弱点及口令暴力破解 (Brute-force attacks)等方式发生。

黑客最常锁定的七大产业是金融、法律和专业服务、制造、医疗、高科技、批发及零售业。而半数被锁定的组织，在邮件系统、VPN及线上网络存取等关键系统缺乏多重验证机制，使网安风险大增。

报告指出，市场上已有许多便于取用的攻击架构和黑客即服务平台，导致业余威胁行为者增加。同时，虚拟货币市场波动性高和匿名性降低，则使商务电邮或支付网站相关诈骗案件攀升。经济衰退时，也出现更多网络犯罪者企图赚取快钱。

针对Web3.0产业相关网安风险，Palo Alto Networks副总裁暨亚太区与日本首席安全长Sean Duca日前受访表示，对于消费者而言，在网络上从事任何活动，包括分享身份信息、购买非同质化代币(Non-fungible tokens; NFT)或其他商品服务，须有保护个资的警觉。

对企业品牌而言，虚拟世界可作为吸引新兴消费者的代理，但企业不可忽视潜在风险，例如有人冒用特定品牌形象在虚拟平台上开设商店，却不须负担相对责任，原企业商誉便会受损。

关于有些人提及Web3.0可能泡沫化的议题，Duca认为短期难有定论，但Web3.0比起现有网络架构将有更多波动性及更多数据点。虚拟货币行情虽有起落，但Web3.0还包括元宇宙、虚拟世界等相关元素。针对这些全新领域，各界还在探讨摸索中，将来也可能变成人们生活的一部分。

针对制造业网安防护，Duca认为比起其他产业，制造业特色是拥有更多装置和设备，营运科技(OT)网络也需要特别防护，但OT网安是经常被忽略的部分。

对半导体业者而言，最有价值的资产是IP和制造设备。Palo Alto Networks协助业者监控在各装置和网络上运转的应用程序及使用权限，并运用云端和自动化网安工具，因应最新挑战和攻击样态演变。

对于在全球设有多处据点的业者而言，他建议企业总部应制定统一网安政策，降低技术和执行流程的复杂度，再分层级送到各营运据点。若缺乏统合性政策，很可能为黑定制造网安漏洞。

台湾金融业被要求设置网安长，许多企业却难以找到合适人选，对此有何建议？Duca认为，企业须先厘清该角色职务和监理标准，也避免设定过高标准而找不到人才。美国国家标准暨技术研究院(NIST)已提出国家网络安全教育倡议(National Initiative for Cybersecurity Education; NICE)，可供人才培育单位参考。

建议企业跳脱本位主义，尝试吸纳不同产业的分析人才，例如Duca遇过最好的分析师是生物学家或化学家出身。他们对特定领域的信息敏感，可迅速找到特定情资。此外，网安人才养成须长期持续进行，有朝一日才能培育出足够数量的人才。

责任编辑：陈至娴