遠端辦公應對勒索威脅　駕馭資料安全成當務之急

新冠肺炎（COVID-19）疫情對全球的IT團隊產生了直接而巨大的影響，長期影響的層面仍在不斷延伸。2022年Thales全球資料威脅報告調查超過2,800位資安專業人士和執行主管，分別來自澳洲、香港、印度、日本、紐西蘭、新加坡和韓國。這份亞太版分析，來自亞太區850位以上的受訪者，著眼探討造成這些影響的許多面向，從勒索軟體、零信任安全策略和雲端資料等主題中發現一些安全趨勢與脈絡。

資料外洩仍然高居不下

儘管企業每年在網路安全方面投入大量資金，但資料外洩率仍然高得令人不安。50%的受訪者表示他們曾在某個時間遭遇資安漏洞，其中32%在過去12個月內曾經歷過資料外洩的危害。

資料外洩仍然居高不下的可能原因之一，是缺乏有關資料所在地和分類的資訊。在今年的調查中，只有16%的受訪者表示他們完全了解資料儲存的位置，只有23%的受訪者能夠對資料進行完全分類。而可用於漏洞通知流程中的避風港（Safe Harbor）聲明，其定義仍然不明確，因為仍有62%的資料外洩事件申訴不符避風港標準。

安全威脅增加勒索軟體位居第一

45%的受訪者表示駭客攻擊次數有增加。看到攻擊增加的受訪者，對於增長的攻擊類型分別是，58%勒索軟體，57%惡意軟體，45%阻斷服務攻擊。在去年的受訪報告中，57%的人將惡意軟體列為危害安全的主要攻擊來源，勒索軟體以47%位居第二。勒索軟體攻擊發生的速度以及對經濟造成的傷害，將持續改變企業檢測和應對資料外洩的方式。

儘管攻擊增加，但企業仍然充滿信心。77%的受訪者表示他們信任自己的企業擁有他的個人資料。全球受訪者對自身企業的總體信任度也達到79%。

對於攻擊來源的在排名，75%的亞太區受訪者將內部突發錯誤列在首位，其次73%選擇以意識形態為動機的外部對手「駭客份子」，以69%排名第三的是具有地緣政治目標，如民族國家行動者發動的攻擊。對於那些是優先攻擊的目標，34%的受訪者表示最大目標是雲端儲存，31%認為是雲端資料庫，28%是本地網路應用程式。

勒索軟體改變了資料外洩可牟取的非法利益

該報告重新關注勒索軟體的策劃和應對。與大多數「低度和緩慢」的惡意軟體資料外洩風險相比較，勒索軟體的攻擊速度和嚴重程度，會對資料機密性和可用性造成影響。21%的受訪者表示，他們必須支付或將支付贖金才能從攻擊中手中取回資料。更令人擔憂的是，只有47%的受訪者表示，他們有一個正式可遵循的勒索軟體應對計畫（圖1）。

鑑於勒索軟體攻擊的嚴重性和速度，在協調一致的應對策略時，首先應該制定一個集中式正式計畫，將安全運營、法律和高階主管團隊等不同利益關聯者聯繫起來。

持續遠端辦公的時代

在過去的一年中，許多企業為員工延伸了遠端辦公方案。2022年企業仍持續憂慮遠端辦公人員的資安風險，調查顯示80%的亞太區受訪者對遠端辦公資安風險「非常擔心」或「有些擔心」，只有47%回應有一個正規可遵循的的勒索軟體應對計畫（圖2）。

遠端存取應用程式的採用，59%使用虛擬桌面基礎架構（VDI)。53%並列第二的是VPN和以雲端為基礎的單一登入（SSO），38%為零信任網路存取（ZTNA）。

零信任策略尚未被正規化

零信任原則是對身分、網路、設備、應用程式和資料不再使用傳統企業網路安全認證方法。或許是因為零信任安全策略涵蓋的範圍太廣，較少受訪者表示擁有正規的零信任策略。只有28%受訪者表示他們已經採納正規的策略，另有28%的受訪者仍在研究和計畫制定正規的零信任安全策略，如圖3所示。

雲端動能與雲端覆蓋的差距逐漸縮小

全球企業將越來越多的資料移轉到雲端，亞太區企業也不例外。51%的受訪者表示他們至少有40%的資料儲存在外部雲端，19%將超過60%的資料在雲端。

資料受到保護的差距正在縮小。資料外洩紀錄雖然有改善，但仍居高不下。33%的受訪者指出，在過去12個月內曾經歷雲端資料和應用程式的資料外洩或是沒有通過審查。48%的受訪者指出，至少有少40%儲存在雲端中的機敏資料已經加密保護。而21%的受訪者表示，超過60%儲存在雲端中的機敏資料已經加密，如圖4所示。

多雲端策略正在普及

在該調查中也發現，大多數企業為了符合多樣的需求，採用多個雲端服務供應商提供的IaaS、PaaS和SaaS雲端服務模式，因此雲端的加密形式變得更加複雜。2022年調查中，亞太區受訪者49%採用AWS與43%採用Azure來協助各項工作執行，兩種公有雲服務的比例很接近。選擇雲端服務模式變化最大的是SaaS服務。

隨著越來越多的SaaS以API形式交付，差異化極大的各雲端使用服務模式，31%受訪者採用50個以上的SaaS應用程式，在跨多個雲端服務供應商運作時，帶來更複雜的加密金鑰管理和身分安全的憂慮和挑戰。

多雲採用和金鑰管理方案導致複雜性

有鑑於IaaS、SaaS以及現有的本地基礎架構的差異性，企業需要在內部進行一致的安全控管要求，這也造成企業擁有混合的加密和金鑰管理解決方案。

特別的是，39%的亞太區企業採用5到7個單獨的金鑰管理產品，而11%受訪者擁有多達8到10個金鑰管理產品。這些通常包括金鑰管理軟體、硬體安全模組、本地端解決方案和電子表格或平面檔（Flat Files）。

決定在雲端中使用加密的主要驅動因素，如圖5所示。許多雲端服務和平台會提供資料加密的功能，如果底層金鑰管理沒有做好理解，將增加雲端資料保護的複雜性。受訪者保護雲端中的機敏資料會優先考慮的安全技術，分別為61%的靜態資料加密，其次是53%的多因素身分驗證，51%金鑰管理。企業可以全面研究分析不同的加密和金鑰管理解決方案，以確保執行和安全要求之間沒有差距。

展望未來

本項研究可以作為亞太區企業在開啟安全之旅時，作為可依循參考的路徑指標。從疫情中，我們得到的關鍵教訓是，安全戰略必須具備高敏捷性，以應對瞬息萬變的世界，但也必須擁有高靈活性，可以應對自身的基礎設施、應用程式、資料和用戶的混合環境類別，因為安全領域變成居家辦公和雲端的常設固定裝置，這是一個零信任策略可以提供幫助的領域。

雲端運算和混合環境雖然具備它們該有的所有優勢，但也具有相當大的複雜性，而複雜性是良好安全性的敵人。這表示安全控制和安全管理都需要擴展到雲端，以防止每個雲端環境成為孤立的操作領域，並透過以服務為基礎的產品和自動化來減少人工負擔。

＜本文作者：陳昶旭現為Thales大中華區資深技術顧問。＞