社團法人中華民國物理治療師公會全國聯合會

Home > PTNEWS 雙月刊

第 108 期

【分享系列】物理治療師資訊安全研討會之會後感言

林士峰

近年來，隨著電腦資訊運用的普及與網際網路的蓬勃發展，帶來許多資訊的安全問題，資安事件越來越多元化，網路安全也就變的越來越重要，整合性資訊安全的規劃將是未來的趨勢。一般人對於電腦資訊的加密與使用安全性的相關知識不足，將容易導致重要資料外流或是自身權益損失，想想這是值得大家及公會重視的重要課題，因此，我們必須做好資訊安全防護措施，唯有在確保資訊安全之前提下，才能安心地享受資訊便利。面對資訊世紀的來臨，為確保物理治療師公會有關會員資料、資訊系統、設備及網路之安全，全聯會特別舉辦資訊技術系列資訊安全研討會，邀請資訊安全專家陳恆順醫師、陳志明治療師講解關於1.)如何辨別網路攻擊方式，並描述電腦病毒、後門程式與網路釣魚等檢測方法。2.)說明網路個人資訊管理方法，並列舉身份認證管理技術與資訊加密技術。3.)界定個人資料保護法對網路資訊的衝擊。4.)判斷個別網站可能存在的網路資訊安全問題。上完這些資訊安全課程自己覺得非常有用，除了能瞭解電腦病毒的類型和電腦病毒的特性，更重要的是教我們如何防範未然，因為雖然能判斷電腦所中的是木馬病毒或蠕蟲病毒這些還不夠，我們必須要知道如何防範。除了資訊軟體方面我們必須防範無聲無形的攻擊，在硬體設備上我們也應該有所防備與注意，以下是一些關於資訊實體及環境安全相關的資訊與正確觀念，茲整理敘述如下：

設備安全管理
（一）設備安置地點之保護

設備應安置在適當的地點並予保護，以減少環境不安全引發的危險及減少未經授權存取系統的機會。
設備安置應遵循的原則如下：
1. 設備應儘量安置在可減少人員不必要經常進出的地方。處理機密性及敏感性資料的工作站，應放置在公會人員可以注意及照顧的地點。
2. 需要特別保護的設備，應考量與一般的設備區隔，安置在獨立的區域。
3. 應檢查及評估火災、煙、水、灰塵、震動、電力供應、電磁幅射等可能的風險。
4. 電腦作業區應禁上飲用食物。
5. 在特定的作業環境下，可考慮使用鍵盤保護膜。

（二）電源供應

電腦設備之設置，應予保護，以防止斷電或其他電力不正常導致的傷害；電源供應依據製造廠商提供的規格設置。
應考量安置預備電源，並使用不斷電系統。
公會擬訂資訊安全事件緊急處理應變計畫，應將不斷電系統失效之後的應變措施納入；不斷電系統應依據製造廠商的建議，定期進行測試。
應謹慎使用電源延長線，以免電力無法負荷導致火災等危害安全情事。

（三）電纜線安全

電力及通信用的電纜線，應予適當的保護，以防止被破壞或是資料被截取。
電力及通信纜線的保護原則如下：
1. 連接資訊設施的電源及通信線路，應儘可能地下化；如果不能地下化，應採取足夠的替代保護措施。
2. 應該考量保護網路通信線路的措施，以防止遭截取或是受到破壞。
3. 對於特別敏感性或是特別重要的系統，應採取額外強化的安全措施。

（四）設備維護

應妥善地維護設備，以確保設備的完整性及可以持續使用。
設備維護的原則如下：
1. 應依據設備供應商建議的維修服務期限及說明，進行設備維護。
2. 設備的維護能由專責的維護人員執行。
3. 應將所有的錯誤或是懷疑的錯誤，予以明確記載。

二、周邊安全管理
（一）周圍環境之安全

實體環境的安全保護，應以事前劃定的各項周邊設施為基礎，並以設置必要的障礙（例如:使用身分識別卡之安全門），達成安全控管的目的。
每項資訊設施的實體保護程度，以及實體障礙設置的位置，應依資訊資產及服務系統的價值及安全的風險決定。
實體環境的安全保護原則如下：
1. 周圍設施的安全措施，應視擬保護的資訊資產或資訊服務系統的價值而定。
2. 應明確界定有那些周邊設施，須列為安全管制的對象。
3. 支援資訊作業的相關設施如影印機、傳真機等，應安置在適當的地點，以降低未經授權的人員進入管制區的風險，及減少敏感性資訊遭破解及洩漏的機會。
4. 非經授權，公會內不得設置照像、錄音及錄影等設備。

（二）人員進出管制：來訪人員進入公會應予適當的管制，並記錄進出時間；來訪會員只有在特定的目的或是被授權情形下，才能進入管制區。
（三）公會辦公桌面之安全管理

應考量採用辦公桌面的淨空政策，以減少文件及磁碟片等在辦公時間之外遭未被授權的人員取用、遺失或是被破壞的機會。
應考量事項如下：
1. 文件及磁碟片在不使用或是不上班時，應存放在櫃子內。
2. 機密性及敏感性資訊，不使用或下班時應該上鎖，最好是放在防火櫃之內。
3. 個人電腦及電腦終端機不再使用時，應以上鎖、通行碼或是其他控制措施保護。
4. 應該考量保護一般郵件進出的地點，以及無人看管的傳真機。

（四）財產移轉之安全管理：電腦設備、資料或軟體，在沒有公會管理人員書面授權的情形下，不應被帶離辦公室。
最後，從事有關公會網頁資訊的管理工作已有些許時間，上完本次全聯會舉辦的資訊安全研討會之前，我對資訊安全仍只停留在安裝防毒軟體以及定期掃毒上面，現在才知道以前的自己處理相關資訊安全的觀念，就如同小孩子在大城市裡面亂晃一樣完全不知道身邊的世界是多麼的危險，本來以為資訊安全很簡單，沒啥了不起的，現在才終於明白，資訊安全攸關全體會員的權利與隱私，讓我不得不重新思考如何加強對於資訊安全的維護及防範，當然在資訊發展日異月新的環境下，要了解事情比我們想像中要來的多得多，例如資訊系統運作原理、程式運作原理、網路運作、通訊協定，林林總總一大堆，期待未來全聯會能繼續辦理相關資訊安全的研討會。