居家辦公成資安破口 學者籲強化資安防護

2020年新冠肺炎病毒蔓延全球，歐美企業在嚴峻的疫情下以居家辦公降低群聚風險，台灣因防疫得宜，多數仍維持正常上班。但今 (2021) 年 5 月本土疫情爆發，國內企業為因應疫情緊急採取居家辦公，資安防護是否到位，儼然成為企業急需關注的議題。根據軟體業者 Check Point 調查，今年 4～5 月，亞太地區網路攻擊月增 53%，其中台灣排名第 5、月增 17%，凸顯居家辦公下，企業加強資安防護的重要性。

臺灣科技大學資訊管理系系主任 查士朝教授 。(圖／蔡雨婷攝影)

居家辦公缺乏防護機制  成駭客攻擊目標

臺科大資管系系主任查士朝指出，去年全年國外企業多採居家辦公，已有統計數據顯示居家辦公已成為駭客資安攻擊一大目標。查士朝解釋，居家辦公情境下，民眾常一邊以家中電腦收信，一邊以企業虛擬專用網路（Virtual Private Network，VPN）連接公司內部網路工作，直接帶來釣魚郵件或惡意軟體的潛在威脅。若是家用電腦防護機制不足，無意間即可能透過 VPN 連線，將駭客「帶回」公司。

查士朝說，以防護嚴密程度來看，國內資安防護做得最好的當屬財政資訊中心、健保資料庫。這些單位控管民眾重要個資，資安防護嚴密，設置高規格的實體安全隔離機制，系統也不會與外界連網，防護程度相對嚴密。一般企業雖無做到類似封閉的環境，但仍有基本的實體門禁及網路安全機制，然而，居家辦公「這些機制都沒有」。

企業電腦多半配備防毒軟體，可以作為防範駭客社交攻擊的第一道防線，但員工家用電腦很可能都沒有裝。加上疫情期間，民眾更常依賴社交媒體交換疫情、疫苗相關訊息，駭客可能丟個釣魚網站就上鉤了。「居家辦公較好的解方是企業提供員工工作用電腦，但這受限於企業經費」，查士朝解釋。

其次，居家連網也是資安一大議題，查士朝指出，一般人不一定會常更新居家無線網路設備，但如果無線網路設備久未更新，安全協定可能出現漏洞，成為駭客攻擊一大破口。

查士朝解釋，駭客入侵辦公電腦後，會透過 VPN 連線潛入企業內部網路，再透過橫向攻擊尋找管理員權限，竊取公司機密文件。

遠距辦公面臨的 5 個潛在資安威脅。(圖／查士朝教授提供)

資源花在刀口上  重點保護機密資料

雖然 VPN 連線是企業居家辦公常用方式，但查士朝直言，「這是最簡單但也最不安全的做法」，民眾透過 VPN 連回公司，變成公司內的一台電腦可以直接存取公司所有資源，可能引發資料外流危機。較好的作法是限制存取對象，或針對存有重要資訊電腦設置防護機制。

查士朝建議，若要有較好的防護可以參考國內金融業常見作法設置「VPI（虛擬桌面）」，員工連線回公司都必須經過線上檢查，合格後才能連線到虛擬桌面，且虛擬桌面同步紀錄員工操作內容，防範資料外流，但這取決於企業對於資安重視、資源投入程度。

然而國內 97% 為中小企業，以毛利率 1% 計算，「花 1 萬塊等於要賺 100 萬」，中小企業多難以支應大量財力投入資安防護；對此，查士朝建議，企業可以先盤點重要資料、系統並集中管理，將資源優先用於維護相關系統，確保資料安全性。

除了外部駭客，內賊也是一項隱憂。查士朝認為，若有心人士要竊密，各式手法防不勝防，居家辦公環境下，包含螢幕錄影、側錄等都是可能方法，建議重要的機密資料要限制公司內部存取，減少相關風險。

勿點擊陌生連結  強化個人資安防護

查士朝指出，除了攻擊企業之外，駭客針對企業資安防護較為嚴密的產業，如因金管會要求資安防護程度較佳的金融業，會轉而攻擊企業終端使用者（End user）。今年以來台新、國泰等國內大型知名銀行，接連傳出用戶收到詐騙簡訊，在釣魚網站中輸入帳戶資料，導致戶頭遭駭，面臨金錢損失。駭客除了運用釣魚網站竊取個資之外，「撞庫」（即利用詐騙拿到的同一組帳號、密碼在不同企業資料庫間測試）也是駭客竊取民眾資料的常見手法。

面對無差別式的社交攻擊，民眾最好的防範方法是不要輕易點擊陌生連結，並維持手機、筆電等裝置系統更新至最新版本。透過企業與使用者雙方加強資安防範，才可能避免多樣化資安威脅造成的損失。