CISA D5 資訊資產安全:存取、加密、網路最常錯的 10 個觀念

D5 考怎麼保護資訊資產。在 ISACA 五大領域裡,D4、D5 合計過半。題目很少直接問定義,多半給一個情境,問哪個控制最好、哪個缺失最嚴重;四個選項常常都是正當的控制,差別只在有沒有守對地方,聽起來越安全的越要小心。

下面 10 個觀念,各講考試怎麼問、哪個選項最會騙人、怎麼分辨。例題是自寫的練習題,讀完可用免費試做驗證。

先問資料最怕哪一根受傷

• 觀念 1|機密性、完整性、可用性:機密性是不該看的人看不到,完整性是沒被改也沒漏,可用性是要用時用得到。題目給一份資料,問最大風險或該選哪個控制,先問它最怕哪一根:個資、卡號怕外洩,財務數字、日誌怕被改,公開資料不怕被看,只怕用不到。再選顧那一根的控制:加密顧機密,雜湊顧完整,備援顧可用;要防外流選資料外洩防護(DLP),先做資料分類才有效。

加密、雜湊、簽章、憑證:各管一件事

• 觀念 2|加密只防偷看:題目問內容有沒有被改、是誰送的,選項卻擺著加密或 TLS,這是最常見的陷阱。加密只防偷看,內容被改過,照樣能加密後送到;TLS 只護傳輸中的那一段線路。鑰匙的方向也常被對調:要讓只有收件者讀得到,用收件者的公鑰加密;要證明是我寄的,用我的私鑰簽章(簽的是雜湊值,不是整份文件),對方用我的公鑰驗證。雙方共用的對稱金鑰和訊息鑑別碼,都做不到不可否認。

• 觀念 3|憑證機構簽發,註冊中心驗身分:看到「簽發」選憑證機構(CA),看到「受理申請、驗證身分」才是註冊中心(RA)。問 PKI 最大的疑慮,看鑰匙不看鎖:憑證廢止清冊(CRL)沒更新、私鑰只靠一組密碼保護、金鑰沒集中管理才是弱點,用對稱還是非對稱只是正常設計。要即時查憑證有沒有被廢止,用線上憑證狀態協定(OCSP)。

存取控制:誰能做什麼,出事找得到誰

• 觀念 4|多因子要「不同類」:多因子題先把每種方式歸類:所知(密碼)、所持(卡片、權杖)、所具(生物特徵)。同類不算:密碼加 PIN 都是所知,卡片加鑰匙都是所持,兩種生物特徵都是所具;卡片加 PIN、密碼加指紋才是雙因子。
• 觀念 5|最小權限與權限累積:最小權限管「能做什麼操作」,知之所需管「能看哪些資訊」。常見的壞情境是調職後舊權限沒收回(權限累積),或離職帳號沒停用,後者是最常見的存取缺失。對策是定期存取審查:它是偵測性控制,審查者是資料或系統擁有者,不是動手設定的 IT。核准存取也一樣,拍板的是擁有者,資安長和安全管理員通常不是。
• 觀念 6|共用帳號、特權帳號與職務分工:多人共用一個帳號,最大的風險是無法歸責到個人,系統管理員共用最嚴重;多因子驗證和單一登入只管登入那一刻,補不了這個洞。職務分工管另一件事:不讓同一個人從頭做到尾,付錢、推程式上線、自己送出再自己驗證都該拆開。拆不開,就讓不相干的人覆核,或讓當事人改不了紀錄。特權帳號也這樣管:集中保管密碼、錄下操作,日誌放在當事人碰不到的地方。

網路邊界:防火牆、IDS、VPN 與零信任

• 觀念 7|防火牆擋、IDS 看、VPN 護傳輸:誘餌是把偵測當預防、把傳輸保護當全面保護。防火牆依規則過濾,是預防性控制,規則最後一條要是全部拒絕;IDS 只偵測、發警示,不阻擋,即時擋下惡意流量的是 IPS,但誤判會擋掉正常流量。VPN 只保護傳輸這一段,端點被入侵照樣有風險。一般防火牆看不懂 SQL 注入,那是網頁應用程式防火牆(WAF)的工作。
• 觀念 8|零信任是每次存取都驗證:核心是持續驗證、最小權限、微分段,它是架構理念,不是某個產品。看到「永不信任、持續驗證」,答案是每次存取都依身分、裝置與情境重新授權;微分段最重要的效益,是限制入侵後的橫向移動。

實體與環境控制:人命先於資產

• 觀念 9|門禁、停電與滅火:實體題先看有沒有關係到人命的選項:逃生門被堵、密閉機房用二氧化碳,都排在設備受損之前。停電時門要解鎖還是上鎖,看保護的是什麼:人命選故障安全(fail-safe,解鎖),資產才選故障上鎖(fail-secure)。刷卡門禁防不了尾隨進入,最好的對策是互鎖門(mantrap),監視器只能偵測與嚇阻。機房滅火避免濕式管線,氣體釋放前要先警報並延遲,讓人員撤離。偵煙器裝在天花板上下和高架地板下。

雲端與行動裝置:地方不是你的,責任還是你的

• 觀念 10|共同責任與自帶裝置:供應商管雲本身,客戶管放在雲上的東西與設定。資料、身分與存取管理、設定對不對,不論 IaaS、PaaS 還是 SaaS 都是客戶的責任,推不給供應商。看不到供應商機房,就靠合約的稽核權和獨立第三方報告。行動裝置最大的風險是未加密的資料隨裝置遺失;自帶裝置(BYOD)先訂政策和使用者協議,再導入行動裝置管理(MDM)。遠端抹除只是遺失後的補救,要連網才有效,最好的預防仍是裝置加密。