【资安周报第24期】资安人才培育资源无上限，为何韩国能而台湾不能？

韩流窜起，形成亚洲甚至是全球引领潮流的风潮，很多台湾民众只看到关于文创演艺事业蓬勃，当然，也看到韩国大型企业如何左右韩国的经济发展，从各种韩流的经验可以发现，政府往往扮演政策引领和推动方向的舵手，方向对了、政策定了，政府会扮演率先投入资源、壮大发展风潮，之后，各种民间资源就会跟着投入，也会造成百花齐放的景象。韩国政府的各种政策推动都是采用这样的策略，包含资安人才的培育也是如此。

许多资安圈的人，都曾经耳闻过，韩国有一个资安人才培育计划（Best of the Best，简称BoB）是由政府部门带头，以资源无上限的方式，开始培养韩国高中生和大学生对于资安领域的兴趣与专长。这个BoB专案，从2010年开始执行，2012年正式招募，到2015年培养的资安人才，顺利在全球骇客攻防殿堂DEFCON CTF夺下冠军，人才培养成果丰硕。

让这样培育计划得以超光速展开的幕后推手，就是曾担任过4任反对党国会议员、在2010年进入韩国特别公部门“韩国资讯科技研究中心”（KITRI）担任第九任总裁的柳晙相（Yoo Joon-sang）。柳晙相日前代表韩国政府来台参加第十四任正副总统就职典礼，也抽空和台湾科技大学签订资安人才合作交流的备忘录（MOU），未来台湾资安人才培育计划的师生们，都有机会进一步和韩国BoB专案的成员交流。这是台湾第一次有机会直接观摩韩国如何培育资安人才培育的作法，借由参考其他国家的经验，优化台湾的作法。

资安攻击已经对韩国带来实质损失，韩国决议培养资安人才

韩国政府经历过惨痛的教训才决定培养资安人才，像是在2009年，包括韩国总统府青瓦台、韩国国会在内的政府网站，都被植入恶意程式，当机好几天；而在2011年，就有银行的电脑系统遭到骇客入侵而当机，数万台电脑受到恶意病毒感染并遭到永久性的损害。这类网络攻击究竟带来多少实质损失其实不得而知，不过，根据韩国现代研究机构（Hyundai Research Institutes）的研究，光是2009年，韩国因网络攻击造成的经济损失高达3,370万～5,050万美金之间。而韩国网络安全中心（KISA）也曾经指出，光是来自韩国本土及国外的网络攻击已经逐渐增加，网络攻击的比例2011年比2008年则增加37％，成长幅度惊人。

根据统计，韩国大约有36万间企业，对资安有意识的企业不到4万间，BoB计划希望最终可以培养至少1万名优秀的资安人才，真正巩固到韩国互联网的安全性。

韩国BoB引进产官学资源，并建立辅导人才的导师制度

BoB专案从2012年正式招募至今，已经完成四届培训，培训人数逐年增加，今年6月将招募第五届BoB人才。2012年第一届只培训了60人，到了2013年第二届招募时，恰好该年3月20日爆发了黑暗首尔（Dark Seoul）的网络攻击事件，造成韩国银行和电视台总计48,700台电脑被植入恶意程式破坏硬盘，造成电视台中断报导、银行无法提款等资安事件，同年六月还有类似的攻击手法出现。因此，柳晙相决定，将第二届BoB甄选名额增加一倍，却吸引了480名韩国白帽骇客来争取120人的名额。后续第三、四届招募人数也都持续成长，每年增加10个名额。

除了获得政府资源大力支持外，更重要的是，BoB也直接和各种资安与IT相关产官学结合，像是包括韩国赛门铁克、BlueCoat等跨国资安公司签订合作的备忘录外，也和韩国在地的资安业者、IT业者、政府与政府投资的企业、创业支援中心以及相关的大学等签署合作备忘录，让BoB的资安人才培育，永远可以和最顶尖的技术发展与研究做整合。

除了引进产业界和学术界的资源外，BoB人才培训的另外一项特色就是，建立所谓的“导师”（Mentor）制度，从第一届开始，就会聘请资安业界中优秀的资安研究员，协助辅导这群培训对象，除了提供技术上面的指导外，还包含未来职涯发展的协助。

BoB的训练课程内容，除了基础的加密学、操作系统安全、网络安全、法律以及相关的资安政策外，还包括了六大安全领域，包括：数位鉴识、资安咨询顾问、弱点分析、行动装置安全、融合式安全（Converged Security）以及云端安全等。

先从基础课程教起，慢慢筛选出有兴趣、能力更好的学生来接受更难的训练课程，每一届最后都会挑出10个最优秀的学生，不只颁发2千万韩圆（约台币55万元）的奖金，还推荐他们进入资安公司或军队工作。

进一步分析韩国BoB招募的人才分布比例，招收女生的比例从第一届只有6.7％，隔年增加到10％，到了第三届女生比例甚至高达18％。BoB透过鼓励与培训机制，也将资安专业知识推广到女性。参与者以高中生、大学生和研究生为主，很少有超过30岁的培训者，从年轻人开始培养对资安领域的专业，也让资安有机会慢慢成为韩国资讯产业中的显学。

韩国BoB的成功来自于整合行政、立法的支持力道

柳晙相从1980年代就积极参与行政体系相关的经济与科技相关的委员会，对于资讯发展和应用也相当重视，加上长年担任国会议员，从行政和立法的角度来看，都具有相当的影响力。韩国总统朴槿惠当选后还聘用柳晙相为国政顾问；为了获得国会更多支持，柳晙相在国会中成立一个K-BoB论坛，让国会议员对于资讯安全有更深入的了解，当然也会更愿意支持相关的预算。

分析BoB计划的成功，柳晙相功不可没，除了政策方向的规划正确外，因为了解行政部门的运作，加上兼具国会影响力，大幅降低推动BoB计划时的阻力，需要预算大幅投入时，国会也会比较阿沙力地通过相关预算。

韩国BoB专案至少有10名专职人员，加上场地租金，不包含培训资安人才时所需要使用的经费，不设限的资源投入，就已经让人羡慕。反观台湾，在相关资安人才的培育上，即便政策方向是正确的，但是，政府相关的经费补助，只有20到100万元不等，但中间繁琐的稽核和报账流程，光是将计划人力用在写政府报告上，就已经差不多了，几乎没有多余的心力可以用来推广资安人才培训。

从台韩的资安人才培育计划做比较，两者获得的资源更是有如天壤之别，人才培育是需要长期的、大量的资源投入，台湾小气而谨慎的资源投入，并无法让资安人才培育真正落地生根，对于台湾长期的资安人才培育并没有真正的帮助。或许，新政府在规划相关的人才培育时，也应该正式各种经费和资源的投入，都应该是长期的才是。

本周（5/15～5/21）重要资安事件回顾：
※勒索软件TeslaCrypt作者良心发现，免费释出解密金钥
※中国政府宣传网军“五毛党”，估一年在中国社交网站有近5亿则宣传文
※Google的SMTP服务器与Gmail 6月中将停止支援RC4与SSLv3
※新政府启动第一天，专访行政院科技幕僚长郭耀煌，畅谈未来台湾科技政策怎么走
※韩国打造全球DEFCON CTF冠军推手来台，与台科大签订合作备忘录
※Linkedin资料外泄事件扩大， 将要求上亿用户重设密码
※为防杜学生作弊，伊拉克不惜关闭全国网络，连3天早上考试都断网
※Bitdefender：木马感染90万台装置，透过僵尸网络进行点击诈骗
※盗版打印终结者？ IBM新专利让打印机能禁止打印未授权内容
※Tumblr金钥疑外泄，Yahoo将促受影响用户换密码
※调查：美国民众对网络隐私及安全缺乏信心，恐累及网络交易、表达意愿
※SWIFT警告：孟加拉央行遭骇并非个案
※Google Chrome第4季起将预设关闭Flash，仅暂时保留十大网域
※Google更新广告政策，将封锁“发薪日贷款”广告
※Google修改VirusTotal病毒资料分享政策，资安业者不回馈就踢出去