5.1. 研究結論
電腦系統安全之演進至今已經有三十幾年以上的歷史且獲得長足之進步。儘管如 此，在數以萬計的電腦系統當中安全性仍意味著這是件麻煩的事。有心人與駭客可以輕 易竊取或破壞大部份系統上的有用資訊，甚至於在一次的行動中可以攻擊數以萬計的系 統。在網際網路盛行之後使得電腦安全的防護愈來愈困難，約在二十年前只有少數的人 使用電腦，而今，全世界約有五億人口連結網際網路，任何人來自於任何地方都可能因 此對安全造成影響。許多組織仰賴 IT 資源，並且相信它們是可靠的，一旦公司資產的 安全性受到危害而導致災難性後果，數天停機所帶來的損失將會難以估算，並且因為公 司的安全性缺口，以及其所導致的信用、客戶、夥伴喪失，將使組織本身面臨相當大的 險境。
本論文提出以國際上已標準化之方式來評估企業資訊安全防護能力與改善方案，其 成果如下：
1. 評估資訊安全之防護能力可確立企業資訊安全發展方向：
網路安全問題會隨著時間變得更加錯綜複雜，影響也將會不斷擴大，但是企業 對於資訊科技的投資卻逐漸走緩而形成強大的對比。「知己知彼，百戰不殆」，企業 利用評估資訊安全之防護能力，一方面可以瞭解自身「罩門」之所在，亦可當作企 業資源分配上之參考依據。
2. 資訊產品/系統安全性修補程式管理系統能可提昇對抗惡意軟體的控制措施之有效 性：
弱點攻擊技術日新月異防不勝防，而防範之道必須建立滴水不漏的基礎架構之 上。資訊產品/系統安全性修補程式管理系統可以緩和系統因為安全性修補程式尚未 更新完成前就已經遭受攻擊的問題，藉由實例規劃亦驗證改善方法之可行性，進而 產生之明顯之效益改善。
5.2. 後續研究建議
CNS 17799（ISO/IEC 17799）資訊安全管理之作業要點，已是資訊安全管理廣為 接受之最佳實務與指引廣為接受的標準，原作業要點中所不足之諸如「資訊產品/系統缺 點修補作業」與「技術脆弱性控制」等控制措施【17~25】亦在新版 ISO/IEC FDIS 17799:2005(E)中增列。在未來的研究上，筆者認為由於電腦的普及和網路的持續快速發 展，使用資訊科技必將成為日常生活的一部份且未經授權存取與病毒感染所造成之危害 勢必更加頻繁，如何減少使用者與管理者之操作負擔是維持控制措施有效性之最佳途 徑。以下是對於後續研究者之建議：
未授權工作站自動化缺點修補作業：
訪客、行動和遠端使用者，對於企業來說這些用戶端是潛在的攻擊來源，
除此之外某些獨立電腦或不受控制的非網域成員電腦由於沒有這些不受管理用 戶端的本機系統管理員權限，故難以收集電腦名稱及 IP 位址之外的系統資訊 並用以識別完成安全性修補程式需要。本研究對於不受管理或是非標準網域的 電腦，僅採取移除此工作站的網路連線方式來阻絕風險。因此如圖 5.1~5.2 所 示，亦可設計一種針對未授權工作站自動化缺點修補作業方法及系統以主動完
Access Point Access Point
<Ans> Reply Individual Identification
<Ans> Reply Security Patch & Pattent Information Acknowledged Response (2) Acknowledged Response (2)
<Ans> Reply Individual Identification
<Ans> Reply Security Patch & Pattent Information Acknowledged Response (2) Acknowledged Response (2)
<1> Query Computer Name=Laptop1
<2> Query Security Patch & Pattent=……
<3> Store to DB
Identification Store (3) Identification Store (3)
<1> Query Computer Name=Laptop1
<2> Query Security Patch & Pattent=……
<3> Store to DB
Identification Store (3) Identification Store (3)
Laptop1
Database/
Authentication servers
22 2
Uses of existing network infrastructure、 database、
authentication server for communicable device’s health check and vulnerability fix
<Q> Query Computer Name=……
<Q> Query Security Patch & Pattent=……
Information Inquiry (1) Information Inquiry (1)
<Q> Query Computer Name=……
<Q> Query Security Patch & Pattent=……
Information Inquiry (1) Information Inquiry (1)
11
Access Point
Laptop1 Pattern=524 Sec. Patch=None
Individual Identification Individual Identification
(4)(4)
Laptop1
Database/
Authentication servers
Pattern=524
Sec. Patch=KB819696, KB823182, KB823559, KB825119……
Security Baseline Security Baseline
(4)(4) Authentication server
export mobile device’s individual identification to database. If mobile device’s individual
identification doesn't match with Security Baseline，
this will trigger for action
<1> Agree to upgrade and enter privilege account
& password in case of non-manageable device
<2> Deny network access if rejected to upgrade
<3> Direct upgrade of manageable device Take Action
Take Action (5)(5) 55 5
Access Point Access Point
Laptop1 Pattern=524 Sec. Patch=None
Individual Identification Individual Identification
(4)(4)
Laptop1 Pattern=524 Sec. Patch=None
Individual Identification Individual Identification
(4)(4)
Laptop1
Database/
Authentication servers
Pattern=524
Sec. Patch=KB819696, KB823182, KB823559, KB825119……
Security Baseline Security Baseline
(4)(4) Pattern=524
Sec. Patch=KB819696, KB823182, KB823559, KB825119……
Security Baseline Security Baseline
(4)(4) Authentication server
export mobile device’s individual identification to database. If mobile device’s individual
identification doesn't match with Security Baseline，
this will trigger for action
<1> Agree to upgrade and enter privilege account
& password in case of non-manageable device
<2> Deny network access if rejected to upgrade
<3> Direct upgrade of manageable device Take Action
Take Action (5)(5)
<1> Agree to upgrade and enter privilege account
& password in case of non-manageable device
<2> Deny network access if rejected to upgrade
<3> Direct upgrade of manageable device Take Action
Take Action (5)(5)
參考文獻
【1】 Robert D. Austin; Christopher A.R. Darby, "The Myth of Secure Computing", Harvard Business Review, June 1, 2003.
【2】 Nicholas G. Carr, "IT Doesn't Matter", Harvard Business Review, May 1, 2003.
【3】 洪國興、趙榮耀（2002）資訊安全管理理論之探討，資管評論，第 12 期，頁 17~47。
【4】 樊國楨、徐鈺宗（2003）數位社會資訊安全管理系統驗證規範初探，資訊安全論壇，
第 10 期，頁 39-50。
【5】 林禎吉、賴溪松（2000）資訊安全國際標準制定之現況，網路通訊，第 111 期，頁 90~97。
【6】 ISO, Banking- Approved algorisms for message authentication- Part 1: DEA, ISO 8731-1:1987(E), ISO, 1987.
【7】 ISO, Banking –Approved algorithms for message authentication- Part 2: Message authenticator algorithm, ISO 8731-2: 1987(E), ISO, 1987.
【8】 馬正維，資訊安全國家標準之研訂現況，資訊安全通訊，第四卷，第四期，頁 19~28，
1998。
【9】 http://www.nicst.nat.gov.tw (2004 年 11 月 21 日)。
【10】 http://www.icst.org.tw (2004 年 11 月 21 日)。
【11】 國家資通安全會報技術服務中心（2002）2001 年資通安全報告書，2001 年 12 月。
【12】 行政院國家資通安全會報技術服務中心（2002）九十一年執行成果彙編，2002 年 12 月。
【13】 行政院國家資通安全會報技術服務中心（2003）九十二年執行成果彙編，2003 年 12 月。
【14】 行政院國家資通安全會報（2004）建立我國通資訊基礎建設安全機制計畫(九十四年至 九十七年)，2004 年 3 月。
【15】 戚難先（2003）我國資通安全的推手－建立我國通資訊基礎建設安全機制計畫，資安 季刊，第 1 期，頁 4~10。
【16】 ISO, Information technology – Code of practice for information security management, ISO/IEC 17799:2005-06-15, ISO, 2005。
【17】 經濟部標準檢驗局（2002）資訊技術－資訊安全管理之作業要點，CNS17800。
【19】 Microsoft Corp.（2003）The Microsoft Guide to Security Patch Management，July 2003。
【20】 Brykczynski, B. and R.A. Small（2003）Effective security patch management，IEEE Computer，Vol. 20，No.1，pp. 50 –57。
【21】 British Standards Institution（2002）Information security management systems－
Specification with guideance for use，BS 7799-2：2002。
【22】 Plate, A（2004）Hot off the press－Revision of version of ISO/IEC 17799，ISMS Journal，Issue 5，pp. 2~3，Nov. 2004。
【23】 Mell, P. and M. Tracy （ 2002 ） Procedures for Handling Security Patches － Recommendations of the National Institute of Standards and Technology（NIST），
NIST Special Publication 800-40，NIST。
【24】 ISO（2004）Information technology－Security techniques－Information security incident management，ISO/IEC：2004（E）。
【25】 Kaplan, R. S. and D. P. Norton（1996）The Balanced Scorecard：Translating Strategy into Action，Harvard Business School Press。