歡迎來到軟體安全性！
你好！我們現在要深入探討 CIMA P3 課程中一個至關重要的部分：軟體安全性 (Software Security)。這屬於更廣泛的網絡風險 (Cyber Risk) 範疇。你可以將軟體安全性想像成一道數碼「盾牌」，保護著你企業每天依賴的各種應用程式——從會計軟體到客戶使用的手機 App，無一例外。
在本章中，我們將學習軟體如何產生漏洞、駭客如何嘗試入侵，以及最重要的一點：企業可以採取什麼措施來保持安全。即使你不是「科技達人」也不用擔心——我們會將所有內容拆解成簡單易懂的部分！
1. 什麼是軟體安全性？
從核心層面來看，軟體安全性是一個關於設計、構建和測試軟體的過程，旨在確保即便軟體受到攻擊，仍能正常運作。這不僅僅是修復錯誤（bug），更是為了防止未經授權的人員查看、修改或竊取你的數據。
類比：想像你正在建造一個高安全性金庫。硬體安全性是厚實的鋼牆和物理鎖，而軟體安全性則是金庫內部的邏輯——即那些確保只有在輸入正確密碼時才會開門，且不會因為有人隨意亂轉把手而意外解鎖的程式碼。
核心原則：「左移」方案 (Shift Left Approach)
過去，企業往往習慣先構建軟體，最後才進行安全性檢查。這種做法成本高昂且風險巨大。今天，我們採用「左移」(Shift Left) 方案。這意味著我們將安全檢查前置到軟體開發過程的最開始（時間軸的左側）。在繪製「藍圖」階段修復安全性缺陷，遠比房子蓋好後再來修補要便宜得多！
重點重溫：軟體安全性的關鍵在於從第一天起就將韌性（resilience）植入程式碼中，而不是在最後才試圖進行「拼湊式」的修補。
2. 常見的軟體漏洞
漏洞 (Vulnerability) 指的是軟體中的弱點，駭客（威脅行為者）可以利用這些弱點進行攻擊。以下是你考試需要掌握的最常見類型：
A. 輸入驗證錯誤 (Input Validation Errors)
當軟體盲目信任用戶在表單（如登入框）中輸入的內容時，就會發生這種情況。如果軟體沒有對這些輸入進行「清理」或「驗證」，駭客就可以輸入惡意程式碼，而不是用戶名。
例子： SQL 注入 (SQL Injection, SQLi)。駭客在「搜尋」欄輸入一段資料庫程式碼。如果軟體安全性不足，它可能會執行該段程式碼，從而意外地向駭客洩露資料庫中的所有密碼！
B. 緩衝區溢位 (Buffer Overflows)
類比：想像一個 12 盎司的杯子。如果你試圖倒入 20 盎司的水，水就會溢出並弄得一團糟。在軟體中，緩衝區溢位發生在發送給記憶體「緩衝區」的數據超過其負荷時。「溢出」的部分可能會導致系統崩潰，或者讓駭客在多出的數據中隱藏惡意指令。
C. 損壞的身份驗證 (Broken Authentication)
這指的是軟體的「前門」防守薄弱。如果軟體允許用戶使用「123456」作為密碼，或者在用戶閒置後沒有自動登出，這就屬於損壞的身份驗證。
你知道嗎？世界上許多大型資料洩漏事故並非由高超的「超級駭客」技術造成，而是源於簡單的疏忽，例如未修復已知的軟體漏洞！
3. 軟體安全：防禦策略
我們該如何反擊？以下是確保軟體安全的主要方法：
1. 輸入消毒 (Input Sanitization - 門衛)
軟體應將所有用戶輸入視為「有罪，除非證明無罪」。消毒意味著軟體在處理數據前，會剔除任何危險字元（如程式語言中使用的符號）。這就像夜店門衛在讓客人進入前，先檢查他們是否攜帶武器一樣。
2. 修補程式管理 (Patch Management)
當軟體公司（如 Microsoft 或 Adobe）發現安全漏洞時，他們會發佈一個「修補程式」(patch)，這是一小段用於填補漏洞的程式碼。 風險管理提示：企業面臨的最大風險之一就是未修補的軟體。如果你沒有定期更新系統，就等於把數碼大門完全敞開。
3. 最小權限原則 (Principle of Least Privilege, PoLP)
這意味著只給予用戶（或軟體組件）執行其工作所需的最低限度存取權限。 現實例子： 市場部實習生不需要擁有薪資系統的「管理員」權限。透過限制權限，即使駭客竊取了實習生的登入資訊，也能將損失降到最低。
4. 加密 (Encryption)
軟體應對以下兩種狀態的數據進行加密：
- 靜態數據 (Data at Rest)：儲存在硬碟或資料庫中的數據。
- 傳輸中數據 (Data in Transit)：在網路上傳輸的數據（例如發送電子郵件或進行付款時）。
記憶小撇步：使用 "V.A.L.I.D" 這個縮寫來記住良好的軟體安全實踐：
V - Validate all input（驗證所有輸入）
A - Authenticate users strongly（強力驗證用戶）
L - Least Privilege access（最小權限存取）
I - Inspect/Audit logs regularly（定期檢查/審計日誌）
D - Design for security from the start（從一開始就進行安全設計）
4. 軟體開發生命週期 (SDLC)
對於 P3 考試，你需要理解安全性必須融入 SDLC 的每一個階段。這通常稱為 DevSecOps（開發、安全性與營運）。
步驟：
1. 規劃：識別安全需求和潛在風險。
2. 設計：在設計架構時納入安全性考量（例如，防火牆應放置在何處？）。
3. 開發：程式設計師編寫「安全程式碼」，並在過程中利用工具檢查錯誤。
4. 測試：進行「滲透測試」（由「白帽駭客」嘗試入侵以找出漏洞）。
5. 部署與維護：監控真實環境中的軟體並應用修補程式。
常見避坑指南：不要以為軟體安全性只是 IT 部門的事。從風險管理的角度來看，這是一個管治 (governance) 問題。董事會必須確保有預算與政策到位，以支持定期的系統更新和安全培訓。
5. 總結與關鍵重點
軟體安全性是一個持續的過程，而非一次性解決方案。身為 CIMA 學生，你不需懂得編寫程式，但你必須理解軟體安全性不足帶來的風險，以及用於緩解這些風險的控管措施。
必須記住的關鍵點：
- 漏洞 (Vulnerabilities) 是弱點；威脅 (Threats) 是利用這些弱點的人或事件。
- SQL 注入是輸入驗證不足的典型例子。
- 修補 (Patching) 是防禦已知錯誤最有效的方法。
- 安全設計 (Security by Design)（即「左移」）是現代開發的金科玉律。
- 最小權限原則確保即使發生漏洞，損害也能被限制在一定範圍內。
如果這些技術術語看起來很多，請別擔心！只需專注於背後的邏輯：我們需要驗證是誰在使用軟體、限制他們的權限，並確保透過修補程式讓軟體保持「健康更新」。你一定做得到的！