近期重大外洩案例回顧
- 美國人事管理局 (OPM) — 2,150 萬筆人事/背景調查資料
- Sally Beauty Supply — 信用卡資料
- 星巴克 — App 密碼/Email 外洩
- Anthem 醫療保險 — 7,880 萬筆醫療/個人資料
- 成人交友網站 Ashley Madison — 3,200 萬用戶隱私
- 賓州州立大學 — 學術/員工資料
核心教訓與盲區
1. 「沒人為防住攻擊鼓掌，只會為失敗指責」 → 企業傾向掩蓋、簽 NDA、延遲通報
STEALTHBits 主管 Jonathan Sander 指出：公關視角下資安注定輸，導致資訊不透明、經驗無法共享。
2. 多數外洩本質相同：基本防護不到位
- 未修補已知漏洞、預設密碼未改、權限過度、缺乏加密、日誌不完整。
- Sander：「極少有新手法，多數只是安全性太差。」
3. 使用者端人為風險不可忽視
- 星巴克案例：用戶跨站重複使用密碼 → 撞庫攻擊 → 銀行帳戶被盜。
- 用戶需承擔責任：獨立密碼 + 密碼管理器 + 2FA。
4. 攻擊面過大，無法窮盡所有入口
Sander：「目前沒辦法知道所有外洩管道。」 → 必須建立**風險評估導向**的防禦，而非試圖堵住所有洞。
5. 風險管理必須「先知後做」
- OPM 甚至不知被攻擊系統存在。
- WhiteHat 創辦人 Jeremiah Grossman：**「先知道資產在哪、威脅是什麼，再買工具」**。
- 風險分析價值 > 合規清單 > 工具採購。
正向回應案例
- 賓州州立大學、Sally Beauty、Ashley Madison、Anthem 主動發布新聞稿：聘請法律顧問、第三方鑑識、通知受影響用戶、提供信用監控服務。
給企業的五項具體建議
- 資產發現與分級：自動化掃描 + CMDB，知道每筆敏感資料在哪。
- 建立威脅模型：針對核心資產識別攻擊路徑 (ATT&CK 框架)。
- 分層防禦 + 零信任：身分為新邊界，微隔離、持續驗證、最小權限。
- 事件響應計畫 (IRP) 實戰演練：季度桌上演練、年度紅藍軍對抗。
- 供應鏈風險管理：評估第三方廠商安全成熟度，契約納入資安條款。
資安不是成本中心，是**業務連續性與品牌資產的保險**。