內建軟體強奪個資 企業良心怎有保障？

（2014年10月23日，台北訊）小米事件尚未完全落幕，國產品牌ASUS卻又傳出更新Android版本並在未經使用者同意下直接加裝內建大陸軟體，由於該軟體要求過多手機權限，系統一旦更新後，完全不需經由使用者同意與否，所有的權限馬上就交出去了，隨即引起使用者不滿與討論，更加深民眾對於更新系統的遲疑與不信任感。芬安全(F-Secure)大中華區總代理商翔偉資安科技營運長杜世鵬強調，用戶下載App無論軟體所要求的授權合理與否，起碼都給予使用者選擇的機會，但手機內建軟體卻隨著系統更新強制安裝，讓使用者連說「NO」的權利都沒有，更突顯民眾在使用3C產品時，對於守護個人隱私的無能為力，倘若僅仰賴企業良心，宣導不要外洩用戶個資，恐怕又是一個無解問題。

杜世鵬表示不管是電腦或是行動裝置的系統更新，對於資安維護來說都是重要且必要的，系統更新除了新增功能外，最重要的是可以修正舊版本的缺失與漏洞以圍堵駭客入侵。各手機廠商在進行系統更新時，或多或少會夾帶內建軟體，但這些內建軟體是否有要求過多權限等問題，也需由廠商自行進行把關。以這次ASUS開放更新 ZenFone至 Android 4.4的例子來說，版本更新是希望提供用戶更好的使用經驗，卻在系統更新時，同步內建軟體「觸寶號碼助手」，手機廠商希望透過版本更新強化手機功能，並藉由此APP協助進行來電辨識、攔截詐騙或是騷擾電話等，雖然立意良善，但該軟體幾乎要求所有手機權限，等同給該軟體公司全面監控用戶的權力，而且連選擇的機會都沒有給用戶，在更新進行時直接安裝。由此單一事件牽扯到個資法來看，若專業經理人在洽談異業合作案時，未具備完善相關法律知識，恐因疏失導致企業負責人連帶受罰，企業經營者該如何避免員工因一時不察觸及法律，是現階段企業面臨個資法上路的一大考驗。台灣個資法專家林鴻文律師也提醒企業應善盡告知義務，在未取得個人同意之下而安裝內建軟體，任由軟體廠商取得使用者手機權限，恐有觸犯我國刑法妨害秘密罪、妨害電腦使用罪等及個人資料保護法之虞，若再因保管不當造成資料外洩，負責人或管理者可能會遭受鉅額民事損害追償及行政罰鍰。

杜世鵬提醒，類似事件層出不窮，這只是再次突顯企業對於守護用戶資訊的敏感度與謹慎仍顯不足，以此事件來看，企業在前端談合作方案時並沒有全方位思考消費者權利，導致APP開發商可輕易透過更新系統奪取用戶權益，甚至因為網路、APP無國界的特性，讓這些可以偷渡用戶資訊的軟體游走在國家法律邊緣逃脫政府的管控範圍。企業為了增加購買意願，透過內建許多便利軟體來吸引消費者目光，但這些APP收集到的資料用途為何卻沒交代清楚，也沒有向用戶報告如何管理並避免個資外洩，難保企業以「研究」為名將用戶資訊挪為其他用途，甚至給其他單位使用。守護個人隱私實際上難靠抽象的企業良心，政府雖因為小米事件開始檢測手機廠商後台資料運用，遇到相關事件才一個個去檢視，這都是只治標不治本的被動作法，行動裝置所衍生的個資管理、權限授權等問題應仰賴國家直接立法規範，才能從根本解決問題，避免外來軟體鑽更新漏洞，竊取民眾個資。

F-Secure(芬安全) – 重視並守護您無價的重要資產

F-Secure(芬安全)是全球電腦與行動裝置雲端安全領導品牌，無論您是使用電腦或智慧型手機，我們能確保您最重視的資料受到完整的安全保護。F-Secure於全球各地與超過200家電信業者合作提供服務，並擁有數億家庭與企業用戶的信任。F-Secure自1988年成立，總部設於芬蘭赫爾辛基市（Helsinki），已於1999年在NASDAQ OMX赫爾辛基證券交易所上市。歡迎造訪F-Secure網頁：http://www.f-secure.com

關於翔偉資安科技 sunwai InfoSec Technologies, Ltd.

翔偉資安科技為芬蘭國際級防毒領導品牌F-Secure芬安全大中華區總代理，提供端點系統安全進階技術服務與顧問輔導。藉由長期培育的專業工程團隊及客服支援中心，已連年贏得廣大企業客戶、政府機關與學校的肯定，翔偉資安科技代理之F-Secure產品目前已第五年獲得台灣銀行（中信局）共同供應契約合作。翔偉資安科技是台灣最廣連鎖紙張供應商賢記紙業集團之關係企業。歡迎造訪翔偉資安科技網頁：http://www.sunwai.com

七成公用事業曾遭受駭客攻擊 台灣相關單位警覺心仍待加強

（2014年7月17日，台北訊）根據美國Unisys近期針對公用事業所發布的一項資安調查顯示，過去一年全球有近七成的公用事業服務供應商曾因安全漏洞而遭受營運中斷或資料外洩等意外，內容涵蓋電力、水或其他重要民生服務的供應商，但將資安列為五大優先政策的公用事業供應商卻只有28%，顯示多數單位不但資安防護投注成本不足，連防護觀念都有待加強。芬安全(F-Secure)大中華區總代理商翔偉資安科技營運長杜世鵬觀察國內公用事業資安防護觀念提到，台灣的政府機關與公用事業單位雖然已有資安防護的觀念，但面對不間斷的駭客攻擊與資安意外，防護能力與警覺心卻仍待加強。

        杜世鵬指出駭客集團挑選攻擊目標，除了考量到攻擊後可得手利潤多寡外，攻擊的難易度也會列在考量裡，簡單來說就是越容易入侵、得手度越高的攻擊目標越會是駭客心目中的最佳肥羊，為了要得手C/P值高的企業，駭客通常會使用多種攻擊手法進行滲入，只要其中一種方式成功，企業無疑是敞開大門將機敏資料奉送給駭客。根據Unisys公布的資料顯示，有近七成的受訪公司在過去一年至少發生過一次資安意外，24%表示受駭原因是來自於內部的攻擊或是人為疏失，但只有不到兩成的受訪者表示他們已佈署並執行大部份的IT安全專案，更有高達34%的企業並無即時警示或威脅分析等能夠阻止或減輕網路攻擊災難的機制，這個調查顯示這些公用服務單位在面對鋪天蓋地而來的網路攻擊時幾乎是無招架之力，簡直就像是寶庫前連最基本的守衛都沒有，明顯凸顯警覺心與防護力嚴重不足。

        杜世鵬強調，公用事業無論是水、電或其他民生服務等，都是民眾生活必須且仰賴度極高，平常不覺得重要的服務一旦因攻擊而造成服務停擺，不只會造成日常生活的困擾，更會嚴重影響民眾對於公用事業的信任感。雖然近年來政府機關持續強化資安防護與員工觀念，類似事件並不常見，但駭客攻擊有如變形蟲般，時時刻刻都在嘗試可能成功的攻擊途徑，加上雲端時代、科技轉型帶來便利的同時也可能創造更多攻擊漏洞，日前新聞披露戶政系統承包商再將系統外包給其他廠商引起軒然大波，因為外包商若一個設定上的疏失或刻意開啟後門，就等同於雙手奉上2300萬人的個資。杜世鵬表示，程式的開發無法完美無缺，但若公用事業服務單位具備完善的端點安全防護，即使有漏洞也能因為有完整的資安防禦而不受駭。建議公用事業單位可參考ISO27001:2013規章，進行安全風險評估及改善，不只降低受駭機率，也能避免因廠商、員工、系統問題而造成營運中斷或資料外洩等意外。

F-Secure – 重視並守護您無價的重要資產

F-Secure芬安全是全球電腦與行動裝置雲端安全領導品牌，無論您是使用電腦或智慧型手機，我們能確保您最重視的資料受到完整的安全保護。F-Secure於全球各地與超過200家電信業者合作提供服務，並擁有數億家庭與企業用戶的信任。F-Secure自1988年成立，總部設於芬蘭赫爾辛基市（Helsinki），已於1999年在NASDAQ OMX赫爾辛基證券交易所上市。歡迎造訪F-Secure網頁：http://www.f-secure.com

關於翔偉資安科技 sunwai InfoSec Technologies, Ltd.

翔偉資安科技為芬蘭國際級防毒領導品牌F-Secure芬安全大中華區總代理，提供端點系統安全進階技術服務與顧問輔導。藉由長期培育的專業工程團隊及客服支援中心，已連年贏得廣大企業客戶、政府機關與學校的肯定，翔偉資安科技代理之F-Secure產品目前已第五年獲得台灣銀行（中信局）共同供應契約合作。翔偉資安科技是台灣最廣連鎖紙張供應商賢記紙業集團之關係企業。歡迎造訪翔偉資安科技網頁：http://www.sunwai.com

XP裸奔 心在淌血 湧「報」駭客別心急

（2014年5月15日，台北訊）五月進入報稅高峰期，許多民眾習慣使用網路報稅節省時間，但根據過去經驗，一到報稅季節前後都是駭客活躍期，最常見的手法就是寄送假冒國家稅務單位的釣魚郵件，誘騙收信者下載病毒或惡意報稅軟體，企圖竊取個資與信用卡資料，國外也曾傳出駭客集團直接入侵稅務系統，盜取民眾資料。而近期國稅局也極力呼籲民眾避免使用不再更新的XP報稅，雖然財政部報繳稅資訊系統經檢視不受其影響，但為確保報稅安全，還是使用最新版本的作業系統較佳。芬安全(F-Secure)提醒民眾報稅過程遭受入侵，敏感的財務資訊將會成為駭客手中的把柄，除了確保報稅過程中使用的裝置安全無虞外，民眾也應養成正確的資安觀念與習慣，才能防止資料外洩，避免稅金繳到駭客口袋的事件發生。

        芬安全(F-Secure)大中華區總代理商翔偉資安科技營運長杜世鵬表示，網路交易或是政府服務電子化是全球趨勢，尤其在國外早已行之有年，尤其四月爆出的「Heartbleed」漏洞事件，可能讓駭客歡欣收割全民稅金，某些國家的稅務局甚至已經宣布暫時停止電子報稅直到確保系統無誤。杜世鵬進一步解釋，目前全球大多數網站使用的伺服器加密技術「Heartbleed」的重大漏洞，讓駭客可直接竊取用戶電子信箱、銀行帳戶與密碼，一旦上網裝置的資安防護沒有即時更新版本，並成功防堵漏洞造成的資料外洩，很有可能造成上傳申報資料時被駭客趁虛而入。

        杜世鵬提醒，報稅季節又遇到伺服器加密技術的漏洞事件以及Windows XP不再更新，恐怕會讓民眾利用網路報稅時感到不安，建議除了確保利用安全網路的報稅系統外，民眾也應養成以下4個正確的電腦使用習慣，才能避免重要個資在彈指間成為駭客的囊中物：
        1.個人申報資料不要直接存在電腦硬碟中，若要暫存資料也要確定電腦安裝具有行為式分析之端點資安軟體。
        2.不經由公眾Wifi連線進入報稅網站，避免駭客從中攔截資訊。
        3.不使用公用電腦，避免因公用電腦中毒而導致機敏資料外洩。
        4.確保裝置的資安軟體、作業系統、應用程式(含Adobe、Office、Java等)有即時更新。

F-Secure – 重視並守護您無價的重要資產

F-Secure芬安全是全球電腦與行動裝置雲端安全領導品牌，無論您是使用電腦或智慧型手機，我們能確保您最重視的資料受到完整的安全保護。F-Secure於全球各地與超過200家電信業者合作提供服務，並擁有數億家庭與企業用戶的信任。F-Secure自1988年成立，總部設於芬蘭赫爾辛基市（Helsinki），已於1999年在NASDAQ OMX赫爾辛基證券交易所上市。歡迎造訪F-Secure網頁：http://www.f-secure.com

關於翔偉資安科技 sunwai InfoSec Technologies, Ltd.

翔偉資安科技為芬蘭國際級防毒領導品牌F-Secure芬安全大中華區總代理，提供端點系統安全進階技術服務與顧問輔導。藉由長期培育的專業工程團隊及客服支援中心，已連年贏得廣大企業客戶、政府機關與學校的肯定，翔偉資安科技代理之F-Secure產品目前已第五年獲得台灣銀行（中信局）共同供應契約合作。翔偉資安科技是台灣最廣連鎖紙張供應商賢記紙業集團之關係企業。歡迎造訪翔偉資安科技網頁：http://www.sunwai.com