Day 28：資安事件緊急應變小組（CSIRT）對中小企業主的意義為何?

筆者在台電時曾經負責單位網站，一年裡面總會當機幾次，每當電話一直進來，同事一直催時，心情無比的焦急；今天我們就要來聊聊，當公司真的被駭、調查局找上門、媒體在外面等，老闆該如何穩住陣腳？這種危機處理與商譽防火牆，如何落實在每日的工作中來建構。
首先，對於中小企業主而言，我們要先有一個正確的觀念，遇到資安事件，是駭客犯罪，而不是企業犯罪。現在個資法則是一直賦予企業一個印象，個資外洩是企業的責任，要被罰錢，甚或被告上法院。
筆者工作的闗係，幾乎天天都會看到有上市櫃公司發佈重大訊息，說明遇到資安事件，大多數的公司都是寫「不影響業務」、「協同資安專家處理，業務恢復中」、「受到勒索」、「資安險理賠情況：不適用」
我想談談Cyber Kill Chain，洛客希德馬丁公司將駭客攻擊分成7 個攻擊階段

1. 偵查（Reconnaissance）：收集目標的公開資訊與系統弱點。
2. 武器化（Weaponization）：結合漏洞與惡意程式，製作攻擊工具。
3. 投遞（Delivery）：透過釣魚郵件或網路將惡意武器送出。
4. 利用（Exploitation）：觸發目標系統漏洞來執行惡意程式。
5. 安裝（Installation）：在受害電腦建立後門，保持長期存取。
6. 命令與控制（C2）：建立遠端連線，由駭客發號施令。
7. 目標達成（Actions on Objectives）：執行竊密、加密勒索或破壞。
   我們不接資安事故的緊急處理，不接勒索軟體的資料恢復，不接弱點掃描的漏洞修補，我們只接資安健診、弱點掃描的初複測、資安教育訓練。也就是說我們都是做在Cyber Kill Chain的「前段」，搶缺建立好資安體質，在投遞階段之前就把同仁的資安概念建立好，把威脅擋下來。上兵伐謀，其次伐交，再其次代攻。在事件發生前建立好資安事件緊急應變小組（CSIRT），包含人員通訊錄、職責分工、日常演練，在真正發生事件時可以有SOP遵循，再透過「事件回饋與學習」的流程，把新遇到的資安事件納入SOP中。
   比方，一但發生網管設備有零日漏洞，駭客將台灣前100大企業的漏洞和設備管理帳號密碼都打包在暗網出售，遇到這種事，現有的資安組織要如何分工加以因應，誰負責什麼，這種事件要動用多少資源，企業有沒有外援，有沒有技術上快速因應之道。
   攻擊方紅隊只要找到一個破口就可以發動攻擊，而防守方藍隊則是需要方方面面都預防，藍隊毋寧說是比較辛苦的。而企業內部藍隊的職缺、人力往往比紅隊要多，養兵千日、用在一時。什麼時候，中小企業的董事會，從討論要不要花錢買資安設備和建置資安人力，過渡到我們這一季、這一月有什麼資安態勢，接下來要如何能夠重現、預防，那就代表中小企業的資安已經成熟了。