生成式AI崛起，大小企業都要做的關鍵決定：你要把資安交給誰保護？

by pumoadmin55 · 2024-08-26

施密特（Steve Schmidt）出席今年AWS資安大會re:Inforce，提到亞馬遜不只在經營理念上貫徹「飛輪效應」，資安上同樣也有飛輪，要求團隊不斷審視安全性，並不停打造更安全的環境。 (來源：AWS提供)

你常看到臉書上假冒名人的詐騙帳號嗎？或是你還記得2022年美國眾議院長裴洛西訪台時，一間7-11的跑馬燈竟然被中國駭客入侵，出現「戰爭販子裴洛西，滾出台灣」的字幕嗎？

資訊安全離你我並不遙遠。尤其台灣身處地緣衝突中心，根據Check Point Research今年第二季最新數據，台灣平均每週受攻擊次數居亞太之冠。現在科技發展一日千里，全球又深陷地緣衝突，資訊安全會如何演變？

亞馬遜網路服務公司AWS，今年的資安盛會「re:Inforce」，特別以「生成式AI時代下的安全」為題召開。本刊專訪亞馬遜的首席安全長施密特（Steve Schmidt），他認為，網路資訊安全正在面臨兩大挑戰，第一是生成式AI的崛起，駭客攻擊變得更加難辨，第二是俄烏戰爭後，不分大小的企業開始遭受國家級的攻擊。

生成式AI正在改變資安的運作，「關鍵是，攻擊方和防守方都在改變，兩邊都變得更有效率」，他分析。

在防守方，AI能讓工程師能夠更快處理大量的資料，也能夠快速鎖定需要處理的資安漏洞，「讓一堆人盯著一堆螢幕，慢慢翻閱系統工作日誌的時代已經過去了」。

未來將更常面臨AI強化、國家級的攻擊

攻擊方也同樣被AI強化，施密特說，「尤其勒索軟體現在是非常常見的問題，五年前跟現在根本不能比」。他強調，而且這不是針對某些特定產業，是所有人都可能遇到，包括醫院、地方政府等通常沒有龐大的資安團隊的小型組織，都難以倖免。

根據FBI去年的「網路犯罪報告」，勒索軟體雖然按報案數量排名，並不是最大宗的，但損失金額成長率卻相當驚人，年增達74%。其中前三攻擊目標，分別是公共衛生、關鍵製造業，和政府組織。

施密特解釋，常見攻擊方式是先透過盜取相關人員的身份，再把惡意軟體裝到你的系統裡。而攻擊者盜取身份的方式，通常是透過網路釣魚。「以前我們收到釣魚信件很容易看出寫得很糟，文法和邏輯都有問題，但生成式AI讓攻擊者可以輕易克服這些問題」，他說。

另一個新出現的重大挑戰，是自烏克蘭戰爭開打後，俄羅斯為了阻止各國運送物資到烏克蘭，開始瞄準物流、海運，或鐵路系統，嘗試阻止它們運送物資，「這代表這些公司突然需要面臨國家等級的攻擊，這是從來沒遇過的。」

現在全球地緣衝突頻發，企業面臨的「國家級威脅」恐怕不會只侷限於俄烏戰場一處。

台灣對雲端運算及資安的需求也在不斷增加。AWS於今年6月宣布，將於明年在台灣推出「區域」（region）級別的基礎設施，加入目前全球33個區域級運算中心的行列。

台灣過去只有「本地區域」（Local Zone）級的基礎設施，該等級是「區域」的延伸，仍需要連接到區域級的運算中心才能運作。對於這次升級，施密特表示，「是因為當地（台灣）製造業需要非常低延遲的傳輸，去存取高可用性的資料（註：高可用性指服務不易故障或中斷），這也有助於它們去滿足一些資安規定。」

資訊安全交給誰？是企業最重要決定之一

那麼，該從哪裡著手加強資安？施密特建議，企業首先需要思考：「你有什麼樣的資料？這些資料要存在哪？該如何儲存？誰可以存取？以什麼原因、什麼時間點可以存取？你做的防護如何向政府管制單位證明有效？」

施密特建議企業可以從硬體開始做多重要素驗證（Multi-factor authentication，MFA），電腦裝多重要素驗證的Token（認證裝置），沒有這個Token就沒辦法存取系統中的資料，「我們鼓勵客戶也這樣做，因為一般的MFA，像是簡訊驗證（SMS）根本不夠，很不幸的，SMS其實很好破解」，施密特說。

在軟體面，施密特指出，「決定由哪家服務商來保障你企業的安全，會是你最重要的決定之一」。AWS與許多資安服務商有合作，他舉例，如果你擔心威脅最大的身份盜竊問題，就可以找Okta、Ping Identity、CrowdStrike等。

施密特也強調，不要認為中小企業或是傳統製造業，因為數位化能力較弱，就不適合把資料上雲。正是因為他們沒有足夠的IT人才去管理自己的資料庫，反而更適合使用類似AWS的服務，直接把企業資料轉到受管理的專業資料庫中。