【从“相信WHO的下场”学防骇】不相信单一情资来源，落实事实查核是重要关键

中国在武汉肺炎疫情第一时间爆发时，对外宣传都是“可防、可控、不会人传人”即便坊间仍有不少讯息透露，例如，武汉肺炎疫情从爆发之初，许多疑似感染不明肺炎的病人，包括医护人员在内，都已经收治在隔离病房治疗，而这些传言的出现，都让此病不会人传人的说法打上问号。

而台湾疾管署也从这样的迹象判断，武汉肺炎的疫情不会像是世界卫生组织（WHO）对外宣称，如此单纯无害，疾管署甚至早在2019年年底，就写信给WHO，希望能呼吁全球-，都能及早注意防范武汉肺炎可能导致人传人的传染风险。

WHO违背专业素养，相信他们情报的国家下场都很惨

WHO过往在全球健康防护的作为上，扮演专业、积极且中立的角色，这也使得加入WHO的近二百个会员国，都会相信WHO对于各种传染疾病的专业判断，当然，也包括WHO对于武汉肺炎的判断。

不过，当WHO从一个关注全球民众健康状态的非-组织，摇身一变成为亲中的非-组织时，也让WHO的专业性大打折扣。例如，WHO干事长谭德赛到中国访问时，不仅对全世界宣扬中国-对于武汉肺炎采取封城管控措施的正确性，一句“全世界欠中国一个道谢”、“如果我得武汉肺炎，会希望可以在中国治疗”，竟有效地协助中国-摆脱“武汉肺炎散布者”的角色。

甚至，WHO也积极力挺中国-，认同他们宣称武汉肺炎疫情“可防、可控、不会人传人”的政治口号，而这也使得一月下旬开始到二月份，武汉肺炎爆发全球第一波的流行：当时的主要确诊者和死亡病例，都来自中国境内和部分亚洲国家。

但是，当谭德赛持续对外宣称：武汉肺炎是“可防、可控、不会人传人”，除了台湾之外，包括日、韩、欧盟和美国的全世界绝大多数国家，对于WHO这样医疗卫生专业组织的情报来源，都深信不疑。

也因为其他国家都百分之百相信WHO提供武汉肺炎的情报，这也造成各国轻忽、低估了这样的公共卫生危机。于是，在中国及亚洲国家爆发第一波武汉肺炎疫情时，其他欧美各国因为对于武汉肺炎疫情缺乏正确的认知，并且由于他们没有足够的防疫意识，直接造成第二波大规模武汉肺炎确诊和死亡病例，在全球出现大爆发。

从一月底到现在全球疫情仍持续蔓延的局面来看，相信WHO武汉肺炎情报的国家下场都很惨，而这么推论的最直接证据，就是因为不正确的情资，结果造成这一场全球超过一千三百万人确诊，超过五十万人死亡的疫情悲剧。

确认情资，应该以事实为查核基础

解析本次武汉肺炎防疫的案例，我们可以发现：专业机构的确有其专业性，但是过度仰赖单一的情报来源，当面临组织质变，甚至出现政治凌驾专业的情况时，往往都会导致专业情报变得不可信任。

国际电脑稽核协会（ISACA）资讯风险治理咨询小组委员杨博裕表示，就资安的面向来看，目前不会出现类似WHO这种全球性的资安专业组织，作为资安情报的来源。但对于情报这件事情，他认为，“尽信书不如无书”，不管是收到任何资安情报，都必须抱持着“事实查核”的前提，做进一步的求证和确认。

他以勒索软件Wannacry爆发时为例，因为用户没有及早修补或因应微软SMB漏洞，结果造成勒索软件Wanacry横行，而企业用户在知悉这个情报时，就必须要先确认情报来源的正确性，我们可以从微软官方网站查询，确认他们是否已经对外公布SMB的漏洞资讯，也要确认微软是否已经对外释出相关的修补程式。

他指出，当资安人员已经掌握相关情报来源后，就必须回头盘点企业内部的资讯系统，确认自身IT环境是否也面临SMB的漏洞，以及是否已经安排相关的漏洞修补排程等等。

“毕竟，资安就像鬼一样，听到的人多，但看到的人少。”杨博裕说，所以，各种资安情报的确认，一定要有事实作为查核基础，也可以善用类似金融业打造的F-ISAC（资安情资分享平台），作为情报查核的来源之一。

国际电脑稽核协会（ISACA）资讯风险治理咨询小组委员杨博裕表示，没有任何的资安情报是永远可信或永远不可信，所有的情报在采用之前，都必须先做到事实查核，才不会做错决策。图片来源:iThome

对威胁情资抱持合理怀疑，交叉比对以降低资安事件传播率

对于资安的情资处理，KPMG顾问服务部执行副总经理谢昀泽表示，应做到即时搜集情报、多重可靠来源、信息交叉比对、厘清情资时序、确认适用条件、对比现有资产等重点，才不至于误判情资。

特别是资安情资来源，他指出，官方消息通常即时性较差，且内容正确性也可能失真，组织必须要有来自其他民间组织、协会、研究机构、联防平台、协力厂商，甚至地上、地下网络论坛的多元来源，并有能力进行分析判断。

资安上，不能相信单一情报来源，但如何判断呢？资诚智能风险管理咨询公司执行董事张晋瑞认为，要保持合理怀疑，不相信单一情资来源，但也不尽信。例如，资诚（PwC）会对全球进行资安监控，曾经在仪表板上看到台湾有某企业遭骇，该企业被当做跳板攻击其他单位。

他说，资诚透过内部管道告知受骇企业，刚开始，对方存疑并有高度防御心强，发生多次后，现在则透过TWCERT/CC和受骇企业联系。张晋瑞认为，不可因为仪表板没有警示便以为一切安好，当有资安情资来源出现时，收到情资的当事者，就应该保持合理怀疑，并透过不同管道和方式，来验证资安情资的正确性，以及资安事件是否会发生。

台湾安永咨询服务总经理张腾龙表示，目前资安威胁有几种，包括骇客活动、暗网、国家型组织APT等，如何信任组织提供的资安资讯，就必须和防疫一样，要有一套确认情资的方法和查核机制，而一套好的资讯分享流程，除了要制定相关的SOP（标准作业程序）外，最好也能够针对处理方针提供人为和法律支援，更重要的是，内部更要有判断资讯正确性的专业能力，才能够不被迷惑。

他也以疫情R0值（传播率）为例，-防疫透过许多居家检疫、居家隔离、戴口罩和维持社交距离等方式来降低R0值，但是，许多资安事件一旦爆发，传播速度可能是一秒瞬间，会比武汉肺炎疫情的传播速度更快，而且，受骇企业能够即时反应的时间更短，对整体经济社会生活带来的影响，也可能更重大。