【前辈现身讲：Panasonic IoT威胁情资研究员赖婕芳】家电大厂如何做资安？IoT资安研究员第一手经验

“讲到Panasonic，大家很容易联想到是一个专门做家电设备的超大集团，但可能没想过，这样的家电厂商，如何做资安？”现为Panasonic IoT威胁情资研究员的赖婕芳，一般人对资安的想像，常常是金融业、电信业或网络公司中，较少联想到家电、电子产品制造商，这也是她当初进入Panasonic之前，未曾触及的领域。

赖婕芳过去曾是台湾资安社群HITCON Girls的共同创办人，也曾在行政院国家资通安全会报技术服务中心担任资安工程师，具有APT威胁猎捕、恶意程式分析相关经验，也在博科通讯系统担任过软件工程师，2019年进入Panasonic任职，从IT跨足到IoT资安研究的领域。她表示，成为IoT威胁情资研究员，是自己职涯发展过程中的一大转变。

一个资安实验室、三大资安团队，Panasonic如何做资安？

IoT资安近年来备受重视，从智能手机、穿戴装置、智慧居家到智慧城市，处处可见物联网设备，根据Gartner的预测，物联网装置更将在2021年达到250亿个，大家较为耳熟的IoT资安威胁，常见如入侵监控录影机、打印机等设备被骇等案例。

赖婕芳解释，Panasonic也有许多种IoT产品，除了智慧家电，更有飞机座椅后背的显示屏幕、车用多媒体主机等设备。因此，IoT资安也逐渐成为Panasonic的一大挑战。

对资安重视程度的提升，也源自一般消费者对于商品安全性的期待，比过去更高了，从制造到销售，经手的不同厂商或外部监督单位，都被赋予不同程度的资安期待。“对消费者来讲，他期待制造商不只是卖出产品，还要能确保产品的安全性。”赖婕芳指出，甚至，未来若发生资安事件，厂商也得有足够的能力来解决问题，还要能管控上下游供应链，提供足够安全的设备零组件，并提供自家产品的资安报告给-，来取得-对产品的资安防护认可。

“消费者对于厂商有非常高的期待，”赖婕芳表示，这也成为厂商提供更高品质产品的动力，另外还有一股更大的资安推动力是，-对IoT资安的规范，“法规要求，也会变相推进厂商提升资安防护能力。”

不过，如同大多数的传统家电厂商，Panasonic也不是刚开始就有足够的资安能量，为了培养自己的资安实力，他们选择先与外部资安厂商合作，引进资安防护的产品，后来，才逐渐增进自己的研发能量，更在台湾设立了资安实验室，来测试设备、执行资安专案，并进行资安事件的协调与处理。

赖婕芳指出，Panasonic主要分为三个资安团队，其一是偏向电脑资安事件应变小组（CSIRT）的范畴，专门维护企业内IT资讯系统的资讯安全，包括网站、PC、服务器、网络、资料与App等。另一个团队则偏向产品资安事件应变小组（PSIRT）的范畴，也是赖婕芳身处的团队，主要针对集团出产的设备，如家电、飞机椅背显示屏幕等产品，提供安全性检查或资安服务。最后一个团队则是工厂资安事件应变小组（FSIRT），针对工厂的制造系统与机器的安全性，来进行资安防护。

面对IoT资安威胁，Panasonic也建置了一个IoT威胁情资平台，来搜集针对家电发动攻击的恶意程式情资，接着，透过对恶意程式进行特征分析，再将分析结果用来强化IoT产品安全。赖婕芳表示，当前在资安实验室中执行的专案内容，正是搜集并分析IoT资安情资，产出可用的报告，除了将资讯提供内部使用，未来更要回馈给社群或其他厂商。

“IoT资安防护，还是比较辛苦的领域。”赖婕芳指出，由于IoT设备的通用性及广泛性，使得IoT资安解决方案大多十分相似，这类产品多从IT或是资安厂商的角度为出发点。但是，赖婕芳指出，在IoT资安领域，许多企业与厂商，都面临了不同平台、难以管理的设备等挑战。“制造商自己投入的优势是，可以直接从源头找寻解决方案。”

这也是为何Panasonic要切入IoT资安的领域，自行成立资安实验室，就是要以IoT制造商的角度出发，来研发资安防护作法，成为产业先行者来推动IoT资安的发展。

保持对资安的热情与初心，在职场上培养多层次思考、协作与整合能力

回忆自己为何要成为一名资安研究员？赖婕芳表示，是源自于很中二的理由，因为觉得对抗骇客很酷，就像电影情节一样，才引起了自己的兴趣；同时，也因为资安领域会一直接触到新知识，且富有挑战性、趣味性，于是就进入了这项产业。

“真正加入了之后，会发现资安的世界跟外面不太一样，工程师就已经是另一个世界，资安又是其中更小的圈圈。”赖婕芳注意到，资安圈除了相对小，与其他产业相比，可见度也没那么高，常常是被隐藏起来的一群人，参与国内外研讨会时，除了常遇到熟识的伙伴，议程中的主讲者或技术发表单位，也通常是熟悉的人或组织。不过，尽管圈圈小，却不妨碍资安技术的快速更迭。

进入职场后，赖婕芳从一开始身为资安服务的提供者，后来转换到企业资安部门。角色转换过程中，也让她对资安的理解，有了更深一层的体会。

她过去在资安服务的供应端，仅从较单一的视角来检视企业资安，总是认为企业不够重视资安，应投注更多的资源；直到进入企业以后，她才了解到，“买再多设备、做最好的防护，只要有一个猪队友，一切都毁了。”换句话说，资安并非只有一个层面，而是应该从软件、硬件、甚至是员工的教育与管理制度，各个层面都需要考虑到，她现在也已经能以多层次的角度，来检视企业的资安作法。

在从事资安工作的过程中，赖婕芳也体认到不断吸收新知的重要性，除了与工作中的其他技术研究员互相分享资讯，由于本身是Hitcon Girls社群的创办人，她也推荐资安人员可以多参与社群活动，或是前往各大国内外资安会议与研讨会，来不断追求新知，还能结交资安领域的同好。不只如此，她也会定期从不同的新闻、论坛与订阅的报告来吸收新知，同时增强自己对资安事件的敏锐度。

职场上，除了得持续学习新知来精进技术，与他人的协作也是一大挑战。比如在推广研究的产品或专案时，不只要统整各方面的资料，更要懂得与其他单位协调，才能共同推出研究成果。但相对的，她也从中获得许多成就感，比如在进行资安研究时，她喜欢在许多小而混乱的资讯中，找到枝微末节的线索，再将线索们串连成一整个故事，“我自己是喜欢想故事、听故事的人，将这些线索拼凑起来变成小秘密，是非常有趣的过程。”

对于自己身为资安产业中女性的角色，赖婕芳指出：“资安相对其他产业，对女生比较开放，很多时候是看你拥有什么能力，把你放在什么位置。”她在职场中，并未感受到歧视或玻璃天花板的现象，她更以此来鼓励女性，不需要靠言语去向别人诉说自己的能力，每个人在职场上的高度与位置，取决于工作表现或研究成果。