以為資料庫保安好嚴密？其實盲點處處！去年資安事故中不乏大公司資料外洩，除證明黑客攻擊越趨嚴重，更證明「人類總要重複同樣的錯誤」，再大嘅團隊都有盲點。其實，不少資安事故屬於可避免的，本文內容節錄自與 IBM 香港資訊安全業務經理 Ricky Ho 嘅訪問，教你認清 5 大資料庫保安盲點，Ricky 更就 5 大盲點提供相關建議，協助大家防患於未然，學嘢喇。 5 大資料庫保安盲點。 盲點一：安全方案訊息七國咁亂 不少企業 IT 都面對一個典型狀況：IT 環境及訊息不斷變動及擴展，今日出個 App，聽日又話搞 IoT，後日就來…

一般大眾對 Big Four 印象都是專責會計、審計、稅務，而其實 Big Four 業務範圍早已涉足一切企業管理服務，包括 IT Security。PWC 為其中表表者，而且於此範疇有豐富經驗及技術支援，最近不單舉辦 Hackday 比賽，最新研發產品有 Hackbot，不得了。 從審計到資安 「傳統上，PWC 的業務是審計，所以會見到客戶業務的各種問題，因此衍生了不同範疇的顧問服務，包括網絡安全方面的服務。」Samuel 於 Big Four 行頭有二十多年經驗，正是從審計變成資安專家嘅活生生例子。「審計工作其實不只看財務數字，還要看…

上文提到，權要有限。那麼職責呢？要分。權要限、職要分，夠鐘要放工，得閒要睇 wepro180。 在系統中，有一條重要保安原則：職責分離。在系統及流程中，要把重要功能、職責拆開。在流程中，申請新帳號或者IT服務者，與批准者，須是不同的人。又如有 D 公司將一個超級帳號密碼拆開前後兩截，一人管一截（有 D 似古代果 D 虎符）。又如寫程式的人，不可以把程式直接安裝入系統，要透過另一個團隊。以上這些職責分離，目的是要減少差錯及舞弊。文藝一些講：避免監守自盜。 （再文藝一些…在歷史中，這些職責分離比比皆是，例如中國的皇權與相權的分離、唐代的三省制，以至謀與斷的分工、三權分立等，都有古仔可以講。） 講到呢度，就可以明白，保安系統設計要嚴密，須要包括：有各系統權限的人，他們的職責是否有合理的分離。所以，大機構的 SIEM / Log Management 要求完備，因為要有足夠的 Audit Trails 去審計各程交易 (Transactions)…