許多企業為降低群聚與通勤的感染風險，實施遠距工作或居家上班等措施，以期在防範員工感染之下，維持企業最大限度地正常運作。由於遠距工作或居家上班對各種通訊、線上會議軟體與網路等之依賴程度更高，資安風險亦隨之升高。
去（2020）年初新冠肺炎爆發後蔓延至全球，至今雖因疫苗推出，疫情稍見舒緩，但仍未完全平息。疫情期間為避免對社會的衝擊擴大，各國政府皆視疫情發展，實施各種防疫管控措施，從自主管理、居家檢疫、社交距離乃至封城鎖國等，不僅打亂民眾生活步調，也影響企業日常運作。
企業為降低群聚與通勤的感染風險，實施遠距工作或居家上班措施，以期在防範員工感染之下，維持最大限度地正常運作。由於遠距工作或居家上班對各種通訊、線上會議軟體與網路之依賴程度更高，資安風險隨之升高。
全球網路資安廠商Fortinet於2020年8月發佈針對2020年上半年的全球網路攻擊概況的「FortiGuard Labs全球威脅型態報告」即指出，全球所偵測到病毒活動數量較過去增加131%。全球因受疫情蔓延影響，遠距工作、居家上班成為企業維持營運的新型態，隨之亦衍生大量的駭客攻擊破口，在駭客大規模攻擊下，影響層面甚至到達國家層級。
依附疫情相關議題 郵件資安威脅暴增
在因疫情居家上班期間，以Coronavirus、COVID-19等為名的垃圾郵件、詐騙郵件，大量出現在個人的電子郵件信箱，相關的商業郵件詐騙、勒索軟體、惡意軟體、惡意網址等也隨之暴增。網路資安解決方案廠商趨勢科技公佈的2020年第三季COVID-19相關威脅觀察報告指出，偵測到3千8百萬件電子郵件威脅，為最大的單一威脅類型，占比近8成。除依附在疫情相關議題之外，針對物聯網裝置、營運技術（Operational Technology，OT）層面的勒索軟體與攻擊亦呈現不減反增的狀況，顯示資安威脅在持續演變中，變得更加複雜且更具針對性。
探究疫情期間資安案件暴增的原因，主要在於公司無法管控遠距或居家的工作環境，內部管理監控機制也難以發揮作用，筆電、手機等個人裝置遺失或者遭竊時，都會造成潛在資安與資料外洩的風險。而過去在熟悉的工作環境中，若遭遇電腦、IT系統等操作相關問題，可以隨時詢問同事解決，在實施遠距工作、居家上班狀況下，碰到問題時處理相對不便；因此下載異常檔案、授權或存取控制不易、雲端服務操作錯誤、通訊軟體資料外洩，以及會議邀請對象錯誤等狀況層出不窮。 除此之外，由於民眾對疫情資訊的需求殷切，給予駭客有機可乘的入侵破口，趁機利用與疫情相關的資訊散布釣魚郵件，引誘民眾點擊惡意連結或開啟惡意附件，以達到竊取個資、勒索金錢等目的。
企業實施居家上班 作業流程因應調整
面對遠距或居家工作出現的各種資安問題，企業必須在作業流程、網路∕資料管理與權限區分等方面，做出因應措施才能避免資料外洩等資安問題，造成損失。 作業流程部分，實施遠距或居家工作時，針對不同業務的作業流程必須做對應的調整，好讓在不同地點的員工可以順暢地協同作業，彙整工作資料，並確認工作內容與品質等。進行線上會議時，視訊設備、軟體測試須事先準備與完成，並熟悉同時發言、分享檔案等遠端操控功能，以確保會議品質與效率。
此外，會議軟體等是否加密等安全性也是須注意的環節。企業常使用的通訊軟體，建議採用有端到端加密（End-to-End Encryption，E2EE），以確保公司內部的機密內容只有內部人員才能解密。而期間若不幸發生資安事件，負責處理團隊、處理方式等標準作業流程，亦須事先規劃研擬，才能快速處理降低損失。針對釣魚郵件充斥的風險，企業應設法提供具備郵件過濾機制的安全郵件使用環境，做好郵件安全防禦，再搭配定期的教育訓練與社交工程演練，提高員工的警覺性。
實施遠距或居家工作期間，一般會開放VPN，讓員工連線進入公司內部網路。由於在短時間內提供大量員工的外部存取，勢必得在安全性與便利性之間取得平衡。因此，開放VPN之後的監控與阻隔等網路管理機制，亦是必須思考的資安因應措施。
首先，由於VPN伺服器是常被攻擊的對象，須確認伺服器是否為最新版。管理面須落實VPN帳號盤點，全面開放或僅針對需要的員工開放，區分群組給予不同的權限與連線範圍，並透過內部網路的網路流量監控機制，確認VPN使用無異常狀況。此外，在內部資料管理方面亦須依照機密或重要性區分存放位置與取用權限，如移轉至雲端或伺服器，遠端取用管制，或存放在個人電腦端等。
員工保持資安意識 落實相關使用規範
然而，除企業端針對作業流程、網路管理等提出因應措施外，每位員工隨時保持資安意識，並徹底執行設備、網路與資料等相關使用規範也一樣重要。
個人設備使用方面，用來存取公司資料或內部網路的電腦，須定期更換登入密碼，並嚴格遵守禁止將作為非公務用途之原則，也應避免非公司人員操作該電腦。若常在公共空間工作，可以為筆電安裝螢幕防窺片，或離開電腦時立即進入螢幕保護程式並鎖定；常須攜帶移動時，對於尋找、鎖定以及遠端清除資料等遺失因應機制須完整設定，以避免因設備遺失導致資料外洩。
網路連接方面，儘量不要使用公用共Wi-Fi連接公司網路，或公用電腦登入公司系統，必要時可使用手機熱點或透過VPN連接網際網路，以免被側錄或竄改等。連線時，確認取得之內部網路或網際網路的IP位址是否正確無誤。在公共環境工作時，將電腦的藍牙等非必要連線管道關閉，可避免有心人士透過該管道攻擊個人裝置。
而內部資料管理部分，公司內部機密資料、文件等，須嚴格遵守只存放在公司設備，重要的文件必須予以加密，以及三份備份異地存放的原則，並留下存放、修改、持有人等稽核紀錄以便於管理，避免資料外洩。
2020年新冠疫情爆發，改變民眾生活型態、工作模式與企業日常運作，亦使得各種網路攻擊有機可乘，甚至出現攻擊方式隨著疫情迅速調整的高敏捷式網路威脅型態。在此狀況下，企業與組織須更加認識各種資安風險、積極部署並調整防禦策略，維持網路上的社交距離，以確保延伸至居家，乃至各類終端設備的網路與資訊安全。
＜本文作者：周維忠現為資策會MIC資深研究總監＞