成功 IT 主管不說的秘密 － 有效面對Web威脅的六個訣竅

成功 IT 主管不說的秘密
前言：
今天的IT主管，是高挑戰性的工作。一方面，來自Web的威脅日益增加，另一方面，經濟不景氣，駭客更用力，而公司卻是預算降低，人手不足。資安投資並非能增加公司業務，在有限的時間、資源與預算下，資安做得好是運氣，且難以具體展現成果，而面對日新月異的攻擊手法，稍有疏忽卻要背負所有的責任。難道這是 IT 主管的宿命嗎？當然不是，只是成功的 IT 主管很少分享他們的秘訣。成功的IT主管能在有限資源下，充分掌握威脅面貌，減少不必要投資，有效降低資安風險，在需要時，與上級有效溝通取得資源，並選擇好的廠商，購買正確的產品或服務。資安威脅目前已經普遍受到公司高層主管重視，抓到訣竅的IT主管往往能快速得到認同，成為紅人。這個演講將用世界知名 CIO/CSO 實際的例子，舉出六個訣竅，說明這些成功的 IT 主管是如何瞭解威脅，與上級溝通，如何選對產品或廠商，如何在威脅中仍能高枕無憂，甚至步步高升？

一、洞悉 Web 威脅的宏觀挑戰

當網站開發完成，一旦對外開放的哪一刻開始，就無法拒絕任何人的任意輸入，如「神農大帝嚐百草，即使毒藥也得吃」，然神農大帝有神農氏一族，有目標、有系統、有管理的運作，你是單槍匹馬嗎？更甚者，一旦網站進一步成為幫兇，傷及網站瀏覽者，影響商譽甚鉅。而「漏洞修補」的方式也因開發團隊、語言系統、攻擊手法有不同因應方式，是否確實、有效、完整的修補也是一大課題。至於洞悉 Web 威脅，我們另外一場有深入剖析。

二、正確有效善用「現有資源」
1.最少投資，最大效益

了解 Web AP 弱點有其「難易度」與「輕重緩急」，「修補」與「防護」之間如何拿捏運用？以解「燃眉之急」！

體察修補漏洞「收斂」與「歸納」的重要性，最短時間達到最大效益。

2.現狀處境、現有資源的相互應用

人力（內外部）、時間、預算與技術方案，「完整化」所有弱點的發現。

三、向上管理，體察君意、謀得資源！
1.對上用「維持資安水平」，「不要發生資安事故」的同理心，方能爭取「所需資源」。
2.避免陷入「功能面」單純比較，兼顧「管理面」、「操作面」與「技術面」。
3.避免陷入「大廠背書」迷失。

四、對下管理，同仇敵愾！
1.Web 安全方案 vs 打破藩籬：網路、系統、開發、資安如何分工？要談分工，就必須知道問題出在哪裡？
2.Web 安全方案 vs 組織抗拒：資安非其事，何故惹塵埃？
3.槍口「一致」對外(駭客)：要塑造「保護網站」等同「保家衛民」，面對「艱難」任務，「共同」責任重大。並是適度利用「獎賞制度」讓「小兵願意立大功」，「全員皆兵，全面備戰」。
4.鼓勵資安為「生涯規劃」第二專長：強化資安教育訓練，如 Web 應用程式攻擊趨勢、修補改善、Secure Coding、應變鑑識、資安認證...等方式，培養資安專才。網路、系統、開發、資安本一家，內部輪調有必要，也能使同仁不會有過度的主觀意識。

五、「嚴選」Web AP 安全合作夥伴

阿碼是原廠，有產品技術的優勢，也提供滲透測試服務，對於網站攻與防有專業能力。阿碼的原廠技術都在台灣，就在南港軟體園區，而我們團隊來自世界各地，能說中英文，提供在地的即時的技術服務。阿碼也提供事件應變處理協助，但我們卻不喜歡這樣的接觸狀況，因為，這個時候已經是事後了，但我們仍會解決客戶問題，並給予正確的忠墾建議與防範觀念。也因為這些接觸我們也有機會接觸到最新的攻擊手法、威脅，且我們更關注在地的重大威脅狀況，或全球注目的重大攻擊事件，提供最新的攻擊分析說明，看我們的 Blog 就可以說明一切了。

六、實務導入「Web 資安生命週期」各階段之制度、流程與技術

這點當然是阿碼的強項，但阿碼不只有懂網站的攻防，我們也懂惡意程式。別忘了我們的「木馬間諜檢測軟體(Archon Scanner)」，透過行為痕跡偵測來分析電腦健康狀態的檢定工具。

後記：
「SecuTech Expo 2009 亞太資安論壇」於04月22~24日在台北南港世貿舉行，有鑑於許多向隅的人，還有中南部無法北上的有心人士，以及無法全場做成筆記者，能夠了解、知悉我們的成果分享，因此，在這彙整「亞太資安論壇」上的簡報內容。阿碼科技的 ASF 團隊(Armorize Special Forces)在協助多家企業客戶成功導入產品、建立管理制度、傳授人力技術...等過程中，一起共同努力克服重大問題的關鍵時刻，不斷磨合學習而來，在歸納整理心訣後，在此與大家一同分享。