歡迎來到 IT 系統安全與控制！

你好！歡迎來到 SBL 學習之旅中最實用、最重要的章節之一。你可能會想：「IT 安全不是技術專家的事嗎？」嗯，作為未來的戰略領導者，你需要確保業務免受數位威脅。如果 IT 系統崩潰或遭到駭客攻擊，整個戰略都會付諸東流！在本章中，我們將學習如何保護數據並確保業務順利運作，無論發生什麼情況。

別擔心你不是「技術型人才」。我們會將所有內容拆解為簡單的概念，並輔以大量的現實生活類比。

1. IT 安全的三大支柱：CIA 三元組

在我們研究如何保護系統之前，我們需要知道我們想要達成什麼目標。每一項安全策略都旨在實現三件事，稱為 CIA 三元組 (CIA Triad)。

  • 機密性 (Confidentiality)： 確保敏感數據只能由獲得授權的人員查閱。（想像成一封只寄給你的密封信件。）
  • 完整性 (Integrity)： 確保數據準確、完整且未被篡改。（就像一份準確顯示你所有消費的銀行對帳單，不多也不少。）
  • 可用性 (Availability)： 確保系統和數據在業務需要時隨時可用。（就像凌晨兩點你需要現金時，自動櫃員機依然運作正常。）

小貼士： 如果考試題目問及數據洩露的影響，請自我提問：數據是被竊取了（機密性）？是被竄改了（完整性）？還是系統被迫關閉了（可用性）？

總結： CIA 三元組是安全的「黃金標準」。如果這三者中有任何一個被破壞，企業就會面臨風險。

2. 識別 IT 系統的威脅

威脅 (Threat) 是指任何可能干擾你 IT 系統的事物。我們可以將其分為三大類：

A. 人為威脅（蓄意）

這些是「壞人」。包括駭客、心懷不滿且試圖報復的員工，或試圖竊取商業機密的工業間諜。

B. 人為威脅（無意）

信不信由你，這往往是最大的風險！包括意外刪除文件、糟糕的密碼管理，或員工點擊郵件中的網路釣魚連結。錯誤難免，但代價可能很昂貴！

C. 環境與技術威脅

這些是非人為問題，例如火災、洪水、停電或硬體故障（例如伺服器崩潰）。

你知道嗎？ 大多數重大的安全漏洞都始於簡單的人為錯誤，例如有人將筆記型電腦留在火車上，或使用「Password123」作為密碼。

3. 一般性控制與應用控制

為了阻止這些威脅，我們使用控制措施 (Controls)。在 SBL 中，我們將其分為兩類。理解兩者的區別至關重要！

一般性 IT 控制 (General IT Controls, GITC)

這些控制適用於整個組織的所有系統。它們為一切運作創造了一個安全的環境。你可以將其想像為工廠門口的「保安」。

  • 實體存取控制： 伺服器機房的門鎖、閉路電視 (CCTV) 和員工識別證。
  • 邏輯存取控制： 要求使用強密碼和多重驗證 (MFA) 來登入網路。
  • 備份與復原： 定期在不同地點儲存數據副本。
  • 系統開發控制： 確保新軟體在投入使用前經過適當的測試。

應用控制 (Application Controls)

這些控制針對特定任務或程式（例如你的薪資軟體或銷售系統）。它們確保輸入的數據正確無誤。你可以將其想像為工廠生產線上的「品質檢測」。

  • 編輯檢查 (Edit checks)： 如果你在「電話號碼」欄位中輸入文字，系統會封鎖你的操作。
  • 範圍檢查 (Range checks)： 如果經理嘗試為某員工一週的工作支付 1,000,000 元，系統會標記錯誤。
  • 批次總數 (Batch totals)： 核對輸入的 50 張發票總額是否與電腦計算的總額一致。

關鍵要點： 一般性控制保護整棟建築；應用控制確保在建築內完成的特定工作準確無誤。

4. 網路安全策略

網路安全就是保護你的「數位周邊」。作為領導者，你應該提倡「縱深防禦」(Defense in Depth) 的方法——這意味著擁有多層次的保護。

常見的網路攻擊：

  • 網路釣魚 (Phishing)： 設計用來誘騙使用者洩露密碼的偽造電子郵件。
  • 勒索軟體 (Ransomware)： 鎖定你的檔案並要求支付贖金才能解鎖的軟體。
  • 惡意軟體 (Malware)： 會損壞系統的通用「不良軟體」（病毒/蠕蟲）。

如何建立強大的防禦：

  1. 防火牆 (Firewalls)： 一種過濾進入和離開網路流量的數位牆。
  2. 加密 (Encryption)： 將數據亂碼化，即使被竊取，沒有「金鑰」也無法讀取。
  3. 修補程式管理 (Patch Management)： 定期更新軟體以修復安全「漏洞」。
  4. 員工培訓： 教導員工不要點擊可疑連結。（這往往是最有效的控制措施！）

記憶輔助： 用 P.E.T.S. 來記住安全層級：Passwords（密碼）、Encryption（加密）、Training（培訓）和 Software updates（軟體更新）。

5. 業務持續計劃與災難復原 (BCP & DRP)

即使有最完善的安全措施，事情仍可能出錯。業務持續計劃 (BCP) 是整個企業的「B 計畫」。它問的是：「如果我們的辦公室被燒毀或 IT 系統崩潰，我們如何繼續經營？」

復原計劃的關鍵組成部分：

  • 災難復原計劃 (DRP)： 這是技術部分——IT 專家如何還原伺服器和數據。
  • 備援站點 (Alternative Sites)：
    • 冷站 (Cold Site)： 一棟只有電力但沒有設備的空建築。（便宜，但設定需時較長）。
    • 暖站 (Warm Site)： 一棟有部分硬體但沒有即時數據的建築。
    • 熱站 (Hot Site)： 一個設備齊全且擁有即時數據鏡像的設施。（昂貴，但能在幾分鐘內恢復業務！）

常見錯誤： 不要混淆 BCP 和 DRP。BCP 是企業生存的廣泛戰略；DRP 是恢復電腦連線的具體 IT 技術流程。

總結： 韌性 (Resilience) 就是要「為最壞的情況做準備」，這樣災難就不會成為公司的終點。

快速複習箱

1. 什麼是 CIA 三元組？ 機密性 (Confidentiality)、完整性 (Integrity) 和可用性 (Availability)。
2. 一般性與應用控制的區別？ 一般性 = 整個系統環境；應用 = 特定數據輸入/處理。
3. 最好的網路防禦？ 技術工具（防火牆/加密）與人員工具（培訓）的結合。
4. 什麼是「熱站」(Hot Site)？ 一個功能齊全、可隨時使用的備用辦公室。

你一定沒問題的！IT 安全只是關於保持明智、有條理和主動。記住這些概念，你就能應對 SBL 考試中任何與 IT 相關的情境！