【从“发送细胞简讯”学防骇】善用ISAC或CERT分享资安情报，通知潜在利害关系人

今年二月初，武汉肺炎疫情爆发初期，乘客上千人的钻石公主号油轮因为曾经在台湾靠港，并且有在基隆港下船。因为下船乘客人数众多，加上足迹遍布北北基（台北市、新北市、基隆市），因此，流行疫情指挥中心为了提醒，曾经在钻石公主号乘客旅游地停留的民众注意防疫，透过“灾防告警细胞广播讯息系统”（Public Warning Cell Broadcast Service）”发送细胞简讯给北北基民众，提醒在1月31日当天上午六点到傍晚五点半，曾经过钻石公主号乘客停留相关景点的民众，都应该立刻进行自主健康管理。

针对特定区域民众发送细胞简讯，部会和县市-才有发送权限

当大家经历第一次发送细胞简讯的震撼教育后，接着来到清明连续假期的考验。因为台湾民众已经闷了二个月不能出门，结果造成清明连假各个景点都是人，而在垦丁大街涌现的大批人潮，也让流行疫情指挥中心采取因应措施，那就是直接在4月4日上午11点40分下令，针对全台湾11处旅游景点以及在垦丁旅游的民众发送细胞简讯，提醒民众注意，如果不能保持室外1米、室内1.5米的社交距离的话，就一定要戴上口罩以确保安全。

而上述发送的细胞简讯，就类似各种提醒防灾的国家级警报，这么做的主要的目的就是：让民众及早掌握各种灾防资讯。一般而言，台湾-发送的细胞广播讯息，分成四种类型：国家级警报、紧急警报、警讯通知、每月测试用讯息，目前包括16个部会、-机构，以及22个县市-，都拥有发送细胞简讯的权限。

基本上，细胞广播讯息发送的方式，是利用4G系统的细胞广播服务功能，透过串接五大电信业者系统，可以快速、大量地针对特定区域民众，进行全区发送，一旦警示讯息从发布机关送出后，民众大约在4～10秒内，就可以收到讯息；但是，当对象离开该地点时，就无法接收讯息。

另一个大量发送警示的例子，则是流行疫情指挥中心公布磐石舰队确诊武汉肺炎官兵的个案活动足迹，并针对在90多处公共场所、停留15分钟以上的民众，发送21万封“类细胞简讯”。

事实上，这种类细胞简讯和一般简讯一样，由电信业者找出曾在同一时间，和确诊官兵停留地点的手机基地台交换过讯号的手机号码，进行类细胞简讯的发送。如果当地的手机基地台越密集，这种类细胞简讯发送的精准度越高，而发送类细胞简讯的好处是，可以精准掌握停留者的手机号码，即便已经离开确诊官兵的活动区域，当时停留在此地的人员，还是可以接到相关通知，而能提高警觉。

资安事件主动示警违反人性，善用CERT或ISAC主动分享资安情报

台湾安永咨询服务总经理张腾龙表示，企业面对资安事件往往不会主动告知，但可以透过鼓励企业主动通报资安事件，搭配资安教育训练、提高员工资安意识，提高整体资安防护水准。  （图片来源／张腾龙）

台科大资管系特聘教授吴宗成表示，细胞简讯发送并不是针对特定高风险使用者，反而是针对部分区域的不特定当事人，因此，只有在法律授权下，相关权责单位在发生灾难、紧急事故时，才能进行细胞简讯的广播。

若从发送细胞简讯的防疫作为，来类比企业资安防骇作为，他说，除了像是上市柜公司需遵循国家的规定，有任何重大讯息都必须对外公告外，从-到企业面对各种资安事件或是遭骇时，企业资安公告通常是“被动”的，而且，也常是“被迫的”。

吴宗成认为，对企业而言，发送资安事件的通报，都需要经过查证，他建议可以善用各级ISAC（企业情资分享平台）转发情资，可查证资料正确之余，同时，也可以找到相对应的解决办法，以及避免受害的措施。

不过，台湾安永咨询服务总经理张腾龙指出，防疫因为和人人相关，主动发送细胞简讯的作法，的确可以达到提醒和警示的效果；但若类比到企业防骇的角度，主动针对资安事件发送告警简讯，通常只有业内人士会感兴趣，一般民众往往对于资安事件通报无感；甚至，因应个资法规范，如果企业或组织发生个资外泄事件，企业或组织必须主动通知当事人，但很多当事人也缺乏足够的个资防护意识和素养。

张腾龙进一步解释，疫情可以主动通知，但企业资安事件，因为涉及许多利害当事人，经常会影响企业是否公告或主动告知的意愿。而且，企业资安通报或示警都必须从与大众沟通的角度出发，避免因为错误的说明造成不必要的误解。

事实上，各种资安事件爆发，通常都是企业或组织本身处理不好、出事、失控了，再加上就人的本性而言，通常不会想让人知道自己没有做好的事情，因此，不管是谁，当然不会想主动公告资安事件。

即便不强制企业主动通报公告资安事件，但人员往往是资安最脆弱的环节，他认为，可以积极透过员工资安教育训练、提高资安意识。虽然-目前不会强制企业主动公告资安事件，但可以善用国家、主管机关有SOC（资安监控中心）和ISAC（资安情资分享平台），借此鼓励企业主动通报资安事件，提升整体资安防护水准。

风险主动预警，通知潜在受影响利害关系人

关于细胞简讯的概念，该如何应用到企业资安防骇上呢？

KPMG顾问服务部执行副总经理谢昀泽认为，我们可从企业内、外部的事件告警与通报程序，来着手进行。过去企业资安通报多是被动接收使用者所发现的异常资讯，然后进行后续通报与处理；未来可以进一步调整为：将可疑的资安事件，主动通知潜在受影响的内部使用者，或外部客户、供应商等，以防止资安事件扩大。

对此，国际电脑稽核协会（ISACA）资讯风险治理咨询小组委员杨博裕认为，发送细胞简讯是一种资讯通报、风险告知，透过即时分享资讯与网网络安全事件给利害关系人，以便分析影响程度，并研拟暨追踪相关应变行动。

就像钻石公主号的状况，是由国家出面发送细胞简讯告知民众风险所在，但企业若面临网络攻击，很难由国家发送细胞简讯告知。那么，企业该怎么做呢？公司如何保护员工以及供应商？他建议，可以透过CERT的电子邮件，或者是ISAC情资分享，主动发布相关资安资讯。

他举例，当示威民众路线影响员工上下班时，公司也可以主动通知员工在家上班（WFH），这就是一种风险主动通知和预警的作为；其他像是许多外商银行都有一些网络防护中心的组织，会主动发送简讯或电子邮件给利害关系人，如果有收到相关的威胁情资，都可以主动发送。

资诚智能风险管理咨询公司执行董事张晋瑞认为，若以发送细胞简讯来类比企业资安防骇的情况，那会是下列状况：企业知道出现一个零时差漏洞后，会针对自己内部IT系统和环境，事先盘点是否有风险，再看后续如何因应或修补。他以2018年Apache Struts2的零时差漏洞为例，有些企业与组织的作法，就是先让IT或资安人员知道风险所在，在修补程式还没有释出前，先不要把Apache服务器暴露在网络上，确保安全，而等到修补程式释出后，就可以主动修补。

这么做的重点在于，面对风险时，IT要主动检查是否有异常状况，把讯息传递给所有管理者后，并检视所有系统安全性，及早准备。

 更多相关报导  从防疫学防骇