歡迎來到網絡安全的世界！
你好，未來的會計師！歡迎來到資訊系統與控制（ISC）考試中最重要的一部分：安全性（Security）。如果你曾經因為充滿技術術語的討論而感到不知所措，別擔心！我們將把這些概念拆解成簡單、生活化的實際應用。請不要把安全性看作一堆枯燥的程式碼，而應將其視為一道保護公司最寶貴秘密的「數位圍牆」。在本章中，我們將學習公司如何識別門口的人是誰、如何鎖好門戶，以及如何防範數位「竊賊」。
1. 基礎：CIA 三位一體（CIA Triad）
在深入探討「如何做」之前，我們需要先了解「為什麼」。在安全領域，我們所做的一切都是為了保護這三項原則，我們稱之為 CIA 三位一體。（不，這不是指那個情報機構！）
• 機密性（Confidentiality）：保守秘密。只有獲得授權的人才能看到敏感數據。
類比：一封只有收件人才能拆開的密封信件。
• 完整性（Integrity）：確保數據沒有被竄改或因錯誤而改變。資訊必須準確且完整。
類比：一份詳實記錄你所有消費的銀行對帳單，不多也不少。
• 可用性（Availability）：確保系統在人們需要時能夠正常運作。
類比：當你在凌晨 2 點需要提款時，櫃員機（ATM）確實能正常運作。
快速回顧：
Confidentiality = 保密
Integrity = 準確
Availability = 可用
2. 身分與存取管理（IAM）
IAM 是確保正確的人能以正確的方式存取正確資源的過程。它通常遵循三個步驟。如果這些術語聽起來很相似，別擔心，以下是它們的區別：
第一步：識別（Identification）
這僅僅是告訴系統你是誰。
例子：輸入你的使用者名稱（Username）。
第二步：驗證（Authentication）
這是證明你確實是你所聲稱的那個人。這就是多重身分驗證（MFA）發揮作用的地方。為了更高的安全性，我們要求提供來自不同類別的「憑證」：
• 你知道的（Something you know）：密碼或 PIN 碼。
• 你擁有的（Something you have）：實體金鑰、接收驗證碼的智慧型手機，或 USB 安全金鑰。
• 你具備的（Something you are）：生物識別技術，例如指紋或臉部掃描。
重要提示：要達到「多重」身分驗證，必須使用來自「不同」類別的項目。使用兩個不同的密碼並「不是」MFA，那只是兩個「你知道的」類別！
第三步：授權（Authorization）
既然系統已經確認了你的身分，你被允許做什麼？這受最小權限原則（Principle of Least Privilege）管轄。該規則規定，員工應僅擁有執行工作所需的最低限度存取權限。
例子：實習生不應該擁有「刪除所有檔案」的按鈕！
重點總結：
識別是姓名，驗證是身分證，而授權是唯一能打開特定門的鑰匙。
3. 保護網絡
組織使用多種工具來保護其「數位家園」免受外部威脅。
防火牆（Firewall）
可以把防火牆想像成夜店的保安。它位於公司的私人網絡與危險的公共互聯網之間。它會檢查每一個試圖進入或離開的數據「封包（Packet）」，並根據一套規則決定是否放行。
虛擬私人網絡（VPN）
正確設定的加密VPN可保護不可信網絡上隧道內流量，但不保證端點、使用者、應用程式或隧道外流量安全，仍須認證、修補、存取及端點保安。
加密（Encryption）
加密是使用數學金鑰將可讀數據（明文，Plaintext）轉變為亂碼（密文，Ciphertext）的過程。
• 靜態數據加密（Encryption at Rest）：保護儲存在硬碟或伺服器上的數據。
• 傳輸中數據加密（Encryption in Transit）：保護在互聯網上傳輸的數據（例如使用 VPN 或「https」網站）。
4. 系統與終端安全
「終端（Endpoint）」是指任何連接到網絡的設備——筆電、手機，甚至是智慧印表機。這些通常是安全環節中最薄弱的一環。
弱點管理（Vulnerability Management）
軟體並非完美，通常會有漏洞或弱點（Vulnerabilities）。駭客會尋找這些洞。公司必須進行弱點掃描來找出它們，然後應用修補程式（Patches，即更新）來修復。
鼓勵小語：如果你的手機提醒你更新軟體，請務必更新！你實際上是在「修補」一個安全漏洞。
惡意軟體防護（Malware Protection）
電腦病毒附於宿主檔案或程式複製，破壞不是定義必需。勒索軟件常加密或封鎖資料，相關勒索亦可偷取資料威脅公開，有時不加密。
5. 人為因素：社交工程（Social Engineering）
有時候，進入系統最簡單的方法不是透過電腦，而是透過使用它的人。這就是所謂的社交工程。
商業電郵詐騙冒認或入侵可信身份誘使未授權付款或披露，可能冒充高管、供應商或其他聯絡人；釣魚只是其中方法，敏感更改須經獨立核實渠道確認。 社交工程亦含釣魚訊息及以虛構故事身份作藉口。
商業電郵詐騙冒認或入侵可信身份誘使未授權付款或披露，可能冒充高管、供應商或其他聯絡人；釣魚只是其中方法，敏感更改須經獨立核實渠道確認。 社交工程亦含釣魚訊息及以虛構故事身份作藉口。
6. 監控與回應
保安日誌記錄已設定且可取得事件，非必然所有活動。有效監察須覆蓋範圍、同步時間、保護儲存、保留、警報分流及回應；人手及時段依機構，SOC非必然全天有人。
組織通常設有資訊安全營運中心（SOC）——這是一組 24/7 全天候監控這些日誌的專家團隊，專門尋找顯示安全事件正在發生的「紅旗（警示訊號）」。
快速回顧盒：
MFA：需要 2 個以上不同的因素（知識、持有、特徵）。
最小權限：只給予工作所需權限。
防火牆：過濾流量（保安）。
VPN：遠端工作的安全隧道。
網路釣魚：竊取資訊的詐騙郵件。
總結：為什麼這對會計師很重要？
缺少多重認證等控制可增未授權存取風險，須評估帳戶、系統、資料、威脅及補償控制；缺陷本身不證明財務資料已被改或錯報。
如果這些術語看起來很多，別擔心！只要記住這些類比：保安（防火牆）、秘密隧道（VPN）和訪客名單（授權）。你一定做得到！