Q.過去我們在看待資安問題的時候，都是從「防禦」的角度，但是您認為「網絡安全是業務的推動者」，為什麼您會這麼說？

A. 網路安全過去被視為企業營運需要控管的「成本」，如今的世界走向數位化、網路化，企業內外部的資訊以數位方式流通，資安的重要性與日俱增。尤其數位轉型已經成為企業成長的推動力，運用科技為企業升級有一個最重要的前提，就是必須使用安全的科技。
全球政府和人民也對個資安全越來越警覺，像是歐盟在2016年通過ＧＤＰＲ（《一般資料保護規則》），如果企業沒有妥善處理個資，最高將被處以兩千萬歐元或全球總營業額四％的罰鍰。同時，有越來越多的標準被用來衡量、要求企業的資安作為，合作夥伴之間也會關切對方的資安策略、評估合作風險，這是現今商業合作的常態。而且人們對供應鏈安全的重視程度，提升至前所未有，尤其台灣是全球產業很重要的供應鏈，如果企業多關注資安議題，能讓歐美乃至於全球更有信心與台灣貿易往來。

Q.種種資料顯示，網路攻擊的數量、種類和速度都在加劇。為什麼企業現在要面臨更多威脅？這將帶來什麼後果？

A. 五到十年前，資安的主要課題還是以識別、控制網路病毒居多。如今的網路攻擊有更多的方式和目的，包括勒索軟體、加密攻擊、資訊竊取⋯⋯這都可能是蓄意造成破壞，也可能有特定目的。而各種新科技的出現，實現了過往無從想像的效率和便利，卻也讓事情變得越來越複雜，為資安人員帶來以下的挑戰。

1. 在網路與實體設施的連結部分，例如工廠和關鍵基礎設施整合使用ＯＴ （operational technology）運營科技和ＩＴ資訊科技，實現更有效率的生產，卻也了資料被竊取的機會。這不僅允許攻擊者進入電腦系統，進行數據外洩，也可能讓企業組織實體的運作過程陷入風險；這些風險可能危及生產流程的人身安全、甚至整個組織的信譽受損。而工業生產線上的物聯網設備也提供外部攻擊者將黑手伸進生產流程的機會，特別是物聯網設備的網路攻擊已經大量出現。
2. 在５Ｇ方面，５Ｇ無線技術的出現將使得資訊更快速地跨越藩籬，也促使攻擊和竊取的行為也更加快。
3. 在雲端部分，無論公有雲或私有雲，都能提供更好的靈活彈性，卻也暴露了更多的資安風險，這不代表企業為了保全資訊安全而不使用雲端，而是必須採取適當的措施、小心維護資訊安全。

Q. 面對這麼多威脅，企業該如何因應？

A. 首先應該改變心態。資安在過去只是資訊部門的事情，但現在企業經營者應該認知「資安必須是董事會層級就該關注的議題」；企業需要多了解「資安」意涵的經理人，並不一定要具備資訊工程的學位，但對資安風險務必要更有意識。同時，企業全體員工也都應該有相當的資安意識，因為「人」是每日營運中的行為與決策者。

Q. 結合您從華府到私人企業的經驗，能不能給台灣企業進行資安防護時的一些建議？

A. 無論機構大小或形態，有幾件事情是不變的：
網際網路變化日益快速，軟硬體互聯性也日趨複雜，雖然企業採取隔離措施，但仍會衍生資安風險，因此企業主必須釐清自己最想要避免的資安風險有哪些，從而擬定因應策略。

1. 正確的設施架構。許多企業認為建構完整而複雜的網路安全架構，才可以打造良好的控管資安環境，但我認為部署架構的重點在於「簡化」，才能清楚準確找到問題點，因此一家公司應該從幾個角度來檢視資訊設施架構。首先，用分層防禦的方式，保護核心架構（core architecture)，確保哪些資訊只有特定的哪些人能夠存取。此外，還要注意的是雲端的資料防禦，以及桌機、筆電、手機、平板、物聯網等所有終端設備的防禦。分層防禦的概念本身很簡單，但是結合了以上這些終端設計，技術就會變得更複雜。
   企業還需要更快的網路速度和更好的互聯性（Connectivity)，能夠透過團體戰的方式，進行資安防禦。
2. 可視化（Visibility）。通常企業會利用加密方式，提升網路安全性，但是這也帶來可能無法全面清楚瞭解網路企業網路發生的大小事。因此企業要有正確資安觀念的員工，擁有正確的技術，還要給這些員工對的工具，提供立即、清晰可見的可視性，讓他們看得到網路中發生了什麼事。
3. 自動化（automation）解決方案。資安事件頻傳，許多企業的資安工作由IT或MIS人員兼任，缺少專職的資安人員，使得資安防護難以落實。所以，若企業能實施長期自動監控網路活動，能使企業的營運更有效率，同時降低複雜度；當複雜性降低了以後，就能減少人為失誤。
   這些都可以透過新的資安科技來達成，即使是沒有能力自行建置龐大資安工程的機構，也可以透過外部第三方專業機構取得協助，降低營運成本。

Q. 面對這麼多資安威脅，在資安科技上有沒有什麼令人更振奮的新進展？

A. 面對網路大數據（Big Data），奠基於「機器學習（Machine Learning)）的ＡＩ人工智慧，能為資安監控帶來極大的幫助。我們在Fortinet建立了一棟有兩百多名員工的實驗大樓，針對全球不同的網路威脅進行研究，並將這些資訊互相比對串聯，同時ＡＩ也能協助Fortinet的人員有辦法可以查看高達數十億的惡意軟體，快速識別最新出現的威脅，並對外發布分享資安威脅訊息，讓Fortinet企業客戶的資安人員使用這些資訊後，能在第一時間減輕損害，並把時間花在更重要的工作上。

Phil Quade
Phil Quade曾於美國國家安全局（ＮＳＡ)服務三十四34年，擔任國家安全局網絡特遣部隊主任和國家安全局網絡主任特別助理。退職後轉任私人企業，於資安防護服務供應商Fortinet擔任首席資安長，串聯公私部門資安情報，並結合在國安局鑽研情報技術及網路攻擊防禦的經驗，以及Fortinet世界頂尖資安防護的經驗與科技實力，致力於提升資安防護，組成資安長（ＣＩＳＯ)跨組織防禦連線。