資安線上／建構5G安全網三策略

經濟日報

張晉瑞  資誠智能風險管理諮詢公司執行董事

程冠衛  資誠智能風險管理諮詢公司協理

NCC日前正式核發台灣第一張5G執照，宣告5G時代正式來臨！5G是移動和無線通信發展中的下一個關鍵領域，提供空前的速度、容量和功能。然而，5G虛擬化意味著整個連接均基於軟體，而該軟體本身就是可入侵的，且5G具有明顯更多的網路端點，可能暴露在網路威脅中。

保護5G網路免受網路威脅的第一步是了解安全漏洞發生的位置，在允許每個元件連接到網路之前，採用識別、分析和評估每個元件的運行狀況是否安全，並在適當的情況下，根據此評估實施對5G服務的存取控制。

根據資誠《2020 5G網路安全白皮書》，建立5G時代的安全防禦有以下三大策略。

1. 建立資安防禦意識，企業必須發現並描述網路的每個端點設備和應用程式資訊，確定設備的安全運行狀態，並識別有哪些使用者和設備已連接以及用何種方式連接，另外則是透過監控和日誌記錄持續評估設備和使用者的日常行為。
2. 針對敏感數據分類，企業必須評估要保護的資產、數據、應用程式的價值和重要性，根據資安曝險的衝擊分析分配風險評分，並將數據、使用者、端點設備對應到數據存取分類群組，以及針對業務特性、數據分類存取分類群組、對應的風險評分，來訂出與優先處理順序一致的資訊安全策略。
3. 確保安控措施執行，企業要根據資訊安全策略確定存取權限和安控執行邊界，確定如何偵測、遏制、和隔離相關的威脅入侵和違規事件，提供資料外洩和違規事件的通報機制，並且定義出對應用程式、端點設備、和使用者進行基於身份識別為基礎的存取控制框架，以及根據已定義的資訊安全策略，在信任邊界實施身分識別的安控措施。

根據資誠《2019數位信任調查報告》，企業針對5G網路攻擊和其他破壞性衝擊的抵禦能力，正建立並導入網路安全韌性設計。具有網路安全韌性高水平的排名前25％企業，在以下針對5G網路架構而制定網路安全韌性策略的三個主要領域中領先。

1. 提高數據資產的可視性，具有網路安全韌性的企業，會一貫地追蹤其數據資產和現有作業流程如何影響其業務核心發展。
2. 攻擊容忍度測試，高網路安全韌性的企業會綜觀全局，在面臨特殊資安風險情境時，充分掌握遭受攻擊時的承受能力多寡。
3. 調適和完善，高網路安全韌性的企業會不斷發展其安全防禦策略。提高數據資產的可視性並執行攻擊容忍度測試，持續保持高度的網路安全韌性。

企業應透過以上三個策略來重新建構「5G網路安全」的概念，進而改變整個5G社群對安全的認知。未來，建議企業採用零信任的風險評估方法（zero trust  approach），結合三個主要優點：安全信任，韌性設計和全面啟動網路防禦，以協助企業領導者，建構出合理的5G安全防禦策略基礎，確保企業可以快速並安全地推出5G相關的產業創新，使個人，企業和社會可以放心地享受5G強大的新技術。