資訊安全是保護數碼或實體資料免受未經授權存取、更改或破壞的紀律。
目錄
資訊安全定義
資訊安全，又稱為資訊保安，原則是保護資訊免受未經授權濫用，使其保持機密、準確及可用。簡而言之，資訊安全旨在保障數碼及實體資料的安全。
資訊安全不限於防範黑客。它涵蓋保護資料的全光譜，無論是儲存在雲端系統中、在網絡上傳輸，還是保存在實體檔案中。此原則將加密及防火牆等技術保障與管治、風險及合規（GRC）等組織實務相結合。資訊保安能解決各種威脅，支援從個人私隱到全球業務運作等一切。
為何資訊安全如此重要？
資訊安全對企業及現代社會同樣重要，包括保護我們私隱權及支援日常營運及穩定的資料。
在商業背景下，現今每個機構都依賴安全的資料來營運：客戶詳情、財務記錄、員工資料、知識產權等等。如果沒有充分的防護，這些資料就會成為攻擊者、競爭對手甚至內部威脅的目標。
同樣地，如銀行資料、病歷、網上帳戶，甚至社交媒體檔案等個人資料，在沒有資訊安全的情況下也有風險。
資訊安全不充份的後果
資訊安全原則
資訊安全原則為機構及個別人士奠定保護資料基礎，界定保安在實務中的意義。這些原則每天應用於每個機構，包括保護病人記錄的醫院，以及保護交易數據的銀行。他們設定了如何處理數據、誰可以存取以及如果系統中斷須如何回應的期望。
資訊安全原則的核心主要集中於三件事：
確保資料僅由獲授權人士查閱。
保持資料準確及不變。
在需要時提供數據及系統。
此模型通常被稱為 CIA 三步曲，現已成為定義資訊安全的全球基準。
CIA：資訊安全意義
CIA 三步曲（機密、誠信、可用性）是資訊安全的基礎。它提供了衡量系統和數據是否安全的實用方法。每個元素在實務中都有獨特意義。
網絡保安的保密性
保密性是指只有獲得適當授權的人士才能存取敏感資料。例如，在醫療保健數據安全方面，只有主診醫生和獲授權人員才能查看患者的醫療檔案。機密洩漏通常透過網絡釣魚、內幕入侵或不良的存取控制而發生。
網絡保安的誠信
誠信確保資訊保持正確和不變。它防止篡改財務記錄、操作系統日誌或損壞研究資料。例如，若勒索程式修改或刪除主要商業檔案，即使備份在日後恢復可用性，這些記錄的完整性也會受到影響。
網絡保安的可用性
資訊安全的可用性意味著獲授權用戶可在需要時存取所需數據及系統。電子商務網站因拒絕服務攻擊讓而停運就直接破壞了這個原則。WannaCry 勒索程式在 2017 年入侵英國 NHS，是典型的可用性故障案例：關鍵的醫療服務因系統被鎖定而無法運作。
資訊安全與網絡安全
雖然它經常與網絡保安互換使用，但資訊安全的範圍更廣。網絡保安主要針對數碼攻擊的防護，而資訊安全亦包括以任何形式保護數據的政策、管治及實體防護。
這項區別對風險管理至關重要。網絡保安方案可解決很多數碼威脅，但完整的資訊安全策略亦必須考慮合規、管治及實體存取管控。
層面
資訊安全（資訊）
網絡保安
專注點
保護所有形式的資料（數碼 + 實體）
保護數碼系統、網絡及應用程式
範圍
保密性、完整性及可用性
防範網絡威脅，如惡意程式、網絡釣魚、勒索程式
例子
防止內部洩露敏感資料
攔截針對企業網絡的勒索程式活動
資訊安全風險管理
資訊安全風險管理是辨識、評估和減輕資訊資產風險的過程。機構使用 ISO 27001 或 NIST 網絡保安框架等結構化框架來指導這些工作。
這些步驟通常包括：
識別威脅，例如網絡釣魚、內部濫用或未補丁的軟件。
評估風險 — 考慮可能性和影響。
採用管控措施——包括加密等技術措施及培訓等程序措施。
審查成效 — 因應威脅演化而更新計劃。
關鍵資訊安全密鑰的例子包括：
身份及存取管理 （IAM） 以限制數據存取。
用戶端防護，保護裝置。
加密靜態及傳輸時的敏感資料。
減少復原時間的事故回應計劃。
以 Trend Vision One™ 整合資訊安全
建立有效的資訊安全需要機構各層面的視野、速度及協調。結合用戶端、電郵、網絡及雲端保安，Trend Vision One™ 協助企業從一個地方偵測資訊保安威脅。
Fernando Cardoso 是趨勢科技產品管理副總裁，專長於不斷演進的人工智能與雲端世界。他的職業生涯由擔任網路與銷售工程師開始，並在數據中心、雲端、DevOps 及網絡資訊保安領域都具備優異技能，而他對這些領域依然煥發了無比熱情。
常見問題
甚麼是資訊安全？
資訊安全是保護數碼或實體資訊免受未經授權存取、更改或破壞的做法。
甚麼是 infosec？
Infosec 是資訊安全的常見縮寫，涵蓋保護數據的原則、流程及技術。
為何資訊安全如此重要？
它可保護資料免受入侵，降低財務及聲譽風險，並確保符合歐盟通用資料保護法規等法規。
資訊安全的原則是甚麼？
- 這些原則是保密性、完整性和可用性，通常稱為 CIA 三步曲。
CIA 三步曲網絡保安的意義是甚麼？
- CIA 三步曲定義如何保護資料：保密限制存取、完整性確保準確性，與及可用性在需要時保證存取。
資訊安全與網絡保安有何分別？
- 資訊保安涵蓋所有形式的資料保護，而網絡保安則專注於保護數碼系統及網絡。
甚麼是資訊安全風險管理？
- 它是透過控制、政策和持續監控來識別、評估和降低資訊風險的過程。