Google Cloud臺灣技術副總林書平：防駭客入侵 朝三方向努力

Google Cloud臺灣技術副總林書平。圖／王德爲

Google Cloud臺灣技術副總林書平對於未來防範駭客入侵，提出三大努力方向，包括：1、強化資安治理、因應新型態威脅；2、採取「零信任」存取控管；3、建立軟體供應鏈安全。林書平也引述數據分析，在駭客成功竊取資料之前，仍有很多徵兆仍能作防備，「每一起事件背後至少有9.8次事件發生，有32.2次先兆，600起事故隱患。」

若依上述三大方向提出改善策略，林書平建議，應提供資安管理框架，從策略面、管理面、技術面持續優化資安控管機制，確保資源的有效投入。

在「零信任」存取控管執行上，林書平認爲，應以「身分（identity）」來取代網路作爲存取控制安全邊界，且不分內外網來強制實施包括使用者帳戶、權限等在內的存取政策；而在建立軟體供應鏈安全上，他認爲應建立安全開發、安全佈署、安全運行的環境，而且還要透過自動化流程減少人爲操作，並且儘可能在開發初期發現弱點時就快速修復。

林書平並以由風險高低、衝擊大小爲X與Y軸的四大象限來分析駭客的偏好，進而指出，這幾年駭客多轉爲以財務報酬爲動機，在駭客行爲中進行資產綁架與資料加密，待被害人付贖金，才能解密拿回資產。

林書平進而以美國所查出駭客攻擊15個漏洞的分類指出現行「零信任」的弱點和軟體供應鏈的安全問題，強調身份的重要性，包括使用者自己、裝置、不同的服務乃至於程式碼都需有不同的身份，程式碼的身份都非常重要，並指出在「零信任」的安全模式之下，有三大重要的安全原則，包括：1、在內外網都要有很嚴格的限制；2、強化帳戶安全並實施裝置政策；3、傳輸加密並強制實施權限檢查。