日本政府特別安全顧問William H. Saito專訪:反正註定被駭,看誰復原得快

Y2K、紅旗法、SSL、RSA這幾個不同的東西,在日本政府安全顧問William H. Saito眼中,是如何成為資訊安全發展的重要代表呢?

自從美國前總統歐巴馬於2015年在《資訊安全與保護消費者高峰會》上發表演說,提到Palo Alto Networks為資訊安全代表廠商之一時,「納資訊安全為國策」的時代正式到來。而身為日本內閣與首相特別顧問、聯合國反恐怖主義委員會執行局(CTED)一員的Palo Alto Networks, K.K.副主席William H. Saito,擁有多年協助日本政府與國際組織對付駭客罪犯的經驗,在專訪中談到許多個人獨到的資訊安全觀點,以及安全業者所提出來的創新作法。

William H. Saito 副会長,パロアルトネットワークス株式会社 Palo Alto Networks, K.K.

「資訊安全是非常複雜的問題。」William H. Saito一開始並不意外先宣告了資訊安全的複雜性,但究竟有多複雜?他提出了8個資訊安全方向,並表示不論是企業或任何組織,要做好資訊安全,一定要先妥善顧及這8大方向。

「要做好資訊安全,一定要完成這8點:驗證、機密、隱私、完整、授權、究責、不可否認與可用性。」William H. Saito說道。

事實上,一般企業多半注意到前3點,也是大部分的資訊安全投資重點。但從國家角度來看,其他方向也是同樣重要,例如第4點的「完整性(Integrity)」,確保資料的完整正確,甚至可能是避免災難的重要步驟。

「舉例來說,假如某家醫院被駭客侵入了血型資料庫,很可能只是罰錢了事,這也是目前全球政府面對資訊安全的態度,」William H. Saito說明:「但是,萬一駭客竄改了資料庫,將所有的O型改成A型,病人輸錯血型的血液,不就立刻危害到生命,甚至成為一場大災難嗎?」

註定被駭不如看誰復原得快

2011年3月11日,日本福島第一核電廠因地震導致核子反應爐冷卻系統失靈,導致核電廠爆炸,輻射外洩致危害全球。William H. Saito在參與福島核災調查後,提出「沒有100%的安全,必須要錯誤視為平常」的心得。

換言之,他認為現今世界依靠資訊科技(IT)維持運作,因此只要IT系統穩定,其他的社會系統就能良好運作。然而,當不可知的災害發生時,就算有雲端備援,無應變計畫的IT系統是根本來不及把資料搬上雲端,所以資訊安全應該要結合IT系統運作,以增加IT系統的「復原力(Resilience)」為設計資訊安全架構的首要目標。

在資訊史上,有個稱為Y2K千禧蟲的著名事件,主要是因為擔心千禧年來臨,只用兩碼記錄年份的資料系統,很可能在進入2000/1/1那一刻出現問題,甚至出現當2000/1/1來臨那一天,全世界的電腦系統會大當機的謠言,因此許多軟體廠商與安全廠商紛紛提出各種對策,而金融、政府等單位也針對千禧蟲問題制訂許多計畫。沒想到西元2000年那一刻來臨,竟然沒有傳出任何災情,充其量也只有發生一些零星的系統錯誤而已,完全無傷大雅,眾人紛紛指摘千禧蟲危機是一場騙局。

1年後,2001年9月11日,美國本土發生911恐怖攻擊事件,許多位於紐約雙子星大樓的金融單位毀於一旦,美國金融市場遭受到嚴重打擊。此時,美國金融單位反而拿出當年的Y2K千禧蟲應變計畫,在短短一星期內,美國金融市場恢復秩序,遠超過世人預期。

「原來Y2K千禧蟲當時的應變計畫並沒有白做,我們其實獲得了寶貴的『復原力』而不自知,直到毀滅性的災難出現,才體會到擁有應變計畫代表我們的復原力持續存在。」William H. Saito表示,因為沒有100%的資訊安全,錯誤才是日常,所以「復原力」成為資訊安全架構設計的新思維。

「反正註定被駭,因此重點是看誰能夠復原得最快,成為資訊安全系統的決勝關鍵。」

有了煞車 才敢開快車

除了復原力,William H. Saito從另一個獨特的觀點來看待資訊安全的角色。

工業革命時代,發明蒸氣機後,蒸氣車也隨之誕生。為了蒸氣車的通行,英國議會於1865年制訂「紅旗法案」,規定蒸氣車時速不得超過4英里,至少要有3個人行駛,其中一個人必須在車輛前方50公尺外,搖動紅旗步行前進為蒸氣車開道。之所以會制訂紅旗法案,是因為蒸氣車上的鍋爐又吵又不穩定,會對當時主要的交通工具-馬車構成威脅,因此必須要制訂法案限制蒸氣車的行駛。

30多年過後,紅旗法案終於在1896年廢除,因為內燃機引擎新技術的興起,以及各種交通制度與法規逐漸完善,使得紅旗法案的規定顯得可笑。

「然而真正讓紅旗法案走入歷史的主要因素,我認為是因為煞車技術與裝置的可用性,讓汽車增加了安全性,車廠也願意不斷提高汽車的性能與速度。」William H. Saito表示,只有當汽車能夠在高速行駛下快速煞停,人類才願意提高汽車行駛的速度。

反觀IT產業也是如此,當企業的資訊系統或網路架構無法獲得足夠的安全性時,任何IT投資都形同增加對企業本身的傷害,「當國家政府或企業組織擁有足夠的資訊安全能力-也就是復原力時,資訊技術才有機會突飛猛進,」William H. Saito說明:「舉例來說,每天全球各地仍然不斷發生各種汽車交通事故,但因為各種制度與法規的完善,人類社會的復原能力足以應付交通事故帶來的損失,汽車科技才有機會不斷研發,這就是我認為資訊安全首重『復原力』的重要原因。」

除此之外,William H. Saito也認為足夠強大網路安全才是支撐經濟活動發展的重要關鍵。1995年發展商業Internet以來,出現的多半只是純HTML的內容網站,但在SSL與RAS加密傳輸技術興起之後,人們才願意透過Internet進行各種金融交易,造就現今如此蓬勃的線上經濟。

正義聯盟組成!

因此,Palo Alto Networks決定要建立一個網路安全資訊的交換平台,讓所有希望發展資訊安全相關產品或服務的廠商或開發者,都能夠取得Palo Alto Networks現有的各種網路安全資料,「讓他們能夠站在巨人的肩膀上,而不必從頭開始『重新造輪胎』,肯定有助於提升全球資訊安全能力。」William H. Saito表示。

在今年6月份的Ignite 2017安全會議上,Palo Alto Networks發表了「Palo Alto Networks Application Framework」,讓客戶企業組織能夠快速導入或建置來自任何大小規模供應商的創新雲端安全應用,以SaaS架構讓客戶能夠藉由Palo Alto Networks、第三方開發者、MSSPs以及他們本身團隊開發的安全應用,快速評估和部署新功能,以解決各種安全挑戰和使用情境。

「唯有安全業界的通力合作,才能夠抵抗擁有暴利的駭客經濟。」William H. Saito如是說。

發表迴響

關於我們

自1990年創刊UXmaster雜誌,1991年獲得美國LAN Magazine獨家授權中文版,2006年獲得CMP Network Computing授權,2009年合併CMP Network Magazine獨家授權中文版,2014年轉型為《網路資訊》雜誌網站,為台灣中小企業協助技術領導者落實企業策略,了解網路規劃及應用,為企業網路應用、管理、MIS、IT人員必備之專業雜誌網站。


與我們聯絡

加入《網路資訊》雜誌社群

© Copyright 2017 本站版權所有,禁止任意轉載 網路資訊雜誌 / 心動傳媒股份有限公司 聯絡電話:+886 2 29432416