關聯筆記：Google Cybersecurity Certificate > C5 課程總覽
C5W1 — 資產安全入門（Introduction to asset security）
Module 1: 搞懂要保護什麼、怎麼分類、用什麼框架規劃
目錄
一、資產、威脅、漏洞三者什麼關係
1. 核心三角
安全計畫的基礎就是分析三個元素，分別代表「保護什麼」「為什麼要保護」「怎麼被攻破」：
| 元素 | 定義 | 日常比喻 |
|---|---|---|
| Asset（資產） | 對組織有價值的任何東西 | 家裡的人、貴重物品、門窗 |
| Threat（威脅） | 可能對資產造成負面影響的事件或情境 | 小偷、暴風雨、小孩踢球 |
| Vulnerability（漏洞） | 可被威脅利用的弱點 | 門鎖老舊、木頭裂縫 |
三者的關係：
威脅 ──利用──→ 漏洞 ──導致──→ 資產受損2. 風險公式
Risk = Likelihood × Impact
風險 = 發生的可能性 × 影響程度
資安人員的主要工作是降低「可能性」那一邊，方法是處理威脅和漏洞這兩個風險因子。
計算風險的目的：
- 預防代價高昂的中斷事件
- 找出系統與流程的改善空間
- 判斷哪些風險可以接受
- 優先處理最關鍵的資產
3. 威脅與漏洞的分類
| 類別 | 威脅（Threat） | 漏洞（Vulnerability） |
|---|---|---|
| 人為/有意 | 駭客攻擊設定錯誤的應用程式 | 軟體設定錯誤 |
| 人為/無意 | 員工幫陌生人開門進入管制區 | 員工在停車場遺失門禁卡 |
| 非人為 | 自然災害中斷供應鏈 | 老舊的硬體設備 |
易錯點
- Risk ≠ Threat ≠ Vulnerability，日常混用但考核嚴格區分
- Risk 是衝擊 CIA 的「任何東西」（最廣）
- Threat 是「事件或情境」（外部壓力）
- Vulnerability 是「資產本身的弱點」（內部缺陷）
二、怎麼分類與追蹤資產
1. 資產管理流程
Asset Management（資產管理）= 追蹤資產 + 追蹤影響它們的風險。
核心原則：你只能保護你知道自己有什麼。
第一步是建立 Asset Inventory（資產清冊），記錄所有需要保護的資產。好處類似牧羊人清點羊群：能分配資源、能在少了一隻時收到警報。
2. 資產分類四層級
Asset Classification（資產分類）= 依敏感度與重要性為資產貼標籤。
| 層級 | 說明 | 範例 |
|---|---|---|
| Restricted（限制） | 最高等級，need-to-know 才能接觸 | 智財、健康資料、支付資訊 |
| Confidential（機密） | 洩漏會對組織造成重大負面影響 | 新產品內部信件 |
| Internal-only（內部） | 員工與合作夥伴可見，不對外 | 內部政策文件 |
| Public（公開） | 任何人可見，洩漏無負面影響 | 官網公告 |
分類前要先掌握四件事：有什麼、在哪裡、誰擁有、多重要。
3. 分類的挑戰
資訊類資產最難分：
- 擁有權模糊：公司配的筆電存了員工私人照片，誰是 owner？
- 多重層級：同一封信裡，姓名是公開的，地址是機密的
政府 vs 企業命名差異
政府把最高等級叫 Confidential（機密），企業通常叫 Restricted（限制）。標籤不同但概念相同。
易錯點
- 分類層級由高到低：Restricted → Confidential → Internal-only → Public
- 分類的目的是決定資產能否被揭露（disclosed）、更改（altered）、銷毀（destroyed）
三、數位資料的三種狀態
1. 資料狀態一覽
Data（資料）= 由電腦翻譯、處理或儲存的資訊。保護資料取決於它在哪裡和在做什麼。
| 狀態 | 定義 | 範例 |
|---|---|---|
| Data in use（使用中） | 正被一個或多個使用者存取 | 你打開筆電看 email |
| Data in transit（傳輸中） | 從一個點移動到另一個點 | 你按下「送出」把信寄給朋友 |
| Data at rest（靜止中） | 目前沒有被存取，存在實體裝置上 | 你合上筆電去吃早餐 |
使用中 ←──→ 傳輸中 ←──→ 靜止中
(存取) (移動) (儲存)2. 資訊安全（InfoSec）
Information Security（InfoSec）= 讓資料在所有狀態下都遠離未授權使用者。
資訊安全薄弱的後果：身分盜竊、財務損失、名譽損害。
雲端時代的「靜止中」
手機放桌上不代表資料真的在休息。資料可能同步到雲端，仍在被存取或傳輸。定義「靜止」要看資料本身，不是看裝置。
四、雲端安全的挑戰
1. 三種雲端服務模型
| 模型 | 全稱 | 誰管什麼 | 範例 |
|---|---|---|---|
| SaaS | Software as a Service | 供應商管全部後端，使用者用前端 | Gmail、Slack、Zoom |
| PaaS | Platform as a Service | 供應商管硬體+底層軟體，客戶管自己的 App | Google App Engine、Heroku |
| IaaS | Infrastructure as a Service | 供應商管實體設施，客戶管 OS 以上 | Google Cloud Platform、Azure |
2. 共享責任模型（Shared Responsibility Model）
雲端安全的核心概念：「責任跟著控制權走」。
客戶通常負責：
- 身分與存取管理（IAM）
- 資源設定
- 資料處理方式
供應商負責底層基礎設施的安全。責任分界隨服務類型（SaaS/PaaS/IaaS）而不同，IaaS 客戶要自己扛最多。
3. 雲端安全的四大挑戰
- 設定錯誤（Misconfiguration）：最大隱憂，客戶常用預設設定
- 雲端原生攻擊（Cloud-native breaches）：因設定錯誤而更容易發生
- 存取監控困難：取決於服務層級與客戶能力
- 法規合規：HIPAA、PCI DSS、GDPR 等各有要求
五、安全計畫的組成元素
1. 三元素一覽
安全計畫由三層構成，從策略到執行：
| 元素 | 功能 | 回答什麼問題 |
|---|---|---|
| Policy（政策） | 策略層：定範圍、目標、限制 | 我們保護什麼？為什麼？ |
| Standards（標準） | 戰術層：設定衡量基準 | 保護得夠好嗎？ |
| Procedures（程序） | 執行層：一步步指引 | 具體怎麼做？ |
Policy（方向）
↓
Standards（基準）
↓
Procedures（步驟）2. 各元素範例
- Policy：AUP（Acceptable Use Policy，可接受使用政策），新員工報到必簽
- Standards：NIST SP 800-63B 要求密碼至少 8 字元
- Procedures：「如何安全重設密碼」的步驟文件
安全是文化，不只是部門
安全計畫的核心是「人」。有效的計畫要考慮所有人（員工、供應商、客戶）的不同背景和觀點，確保出事時沒人被遺漏。
六、NIST CSF 怎麼用
1. NIST CSF 是什麼
NIST Cybersecurity Framework（CSF）= 一套自願性的標準、指引與最佳實踐，用來管理資安風險。2014 年由 NIST 為美國關鍵基礎設施制定，後擴展至各產業。
三大組件：
| 組件 | 功能 | 類比 |
|---|---|---|
| Core（核心） | 六大安全功能的清單 | 安全檢查表 |
| Tiers（分層） | 衡量各功能的成熟度（Level 1-4） | 評分卡 |
| Profiles（設定檔） | 當前安全狀態的快照 | 不同時間的照片對比 |
2. 核心六大功能
① Identify（識別）
↓
② Protect（保護）
↓
③ Detect（偵測）
↓
④ Respond（回應）
↓
⑤ Recover（復原）
⑥ Govern（治理）── 2024 年新增，貫穿全部Govern 是 2024 年 2 月新增的第六個功能，強調領導層在資安風險管理中的決策角色。
3. 分層評分
| Level | 名稱 | 意義 |
|---|---|---|
| 1 | Passive（被動） | 達到最低標準 |
| 2 | Risk Informed（風險知情） | 有風險意識但未全面 |
| 3 | Repeatable（可重複） | 正式流程已建立 |
| 4 | Adaptive（適應性） | 模範等級，持續改善 |
分層不是及格/不及格，而是一個光譜，讓組織看出什麼有效、什麼需要改善。
4. 實施 CSF 的四步驟（CISA 建議）
- 建立當前設定檔：描述現有安全運作 + 業務需求
- 執行風險評估：找出哪些現有措施符合業務與法規標準
- 分析並排序差距：識別讓資產暴露在風險中的缺口
- 執行行動計畫：達成組織的安全目標
框架 vs 法規
- Regulations（法規）= 必須遵守的規則
- Frameworks（框架）= 可選擇使用的資源
- CSF 是自願性的，但能幫助達成各種法規的 Compliance（合規）
易錯點
- CSF Core 有 六個 功能（含 2024 新增的 Govern），不是五個
- Tiers 是 1-4，不是 1-5
- Profiles 是「快照」不是「目標」。它描述的是現狀，用來跟標準比較差異
七、術語速查表
前文已詳細解釋的術語不再重複，請回對應章節查閱。
| 英文 | 中文 | 白話解釋 |
|---|---|---|
| Asset | 資產 | 對組織有價值的任何東西 |
| Asset classification | 資產分類 | 依敏感度和重要性貼標籤 |
| Asset inventory | 資產清冊 | 需要保護的資產目錄 |
| Asset management | 資產管理 | 追蹤資產與其風險的流程 |
| Compliance | 合規 | 遵循內部標準與外部法規 |
| Data at rest | 靜止資料 | 目前沒被存取的資料 |
| Data in transit | 傳輸中資料 | 正在移動中的資料 |
| Data in use | 使用中資料 | 正被存取的資料 |
| InfoSec | 資訊安全 | 讓所有狀態的資料遠離未授權使用者 |
| NIST CSF | NIST 資安框架 | 管理資安風險的自願性框架 |
| Policy | 政策 | 減少風險、保護資訊的規則集 |
| Procedures | 程序 | 執行特定安全任務的逐步指引 |
| Regulations | 法規 | 政府或機構設定的強制性規則 |
| Standards | 標準 | 告知如何設定政策的參考依據 |
筆記建立日期：2026-07-12 ｜ 最後更新：2026-07-12