這是個很大的議題, 通常你所付出的代價, 應該要跟你 (遺失資料的代價 x 風險發生機率) 成正比, 如果花費 1000 萬去保護 (價值只有 100 萬的資料 x 風險機率只有 0.0001%), 這樣是一種過當且沒有意義的保護.

所以, 在了解你所面對的資料價值與風險機率之前, 我沒有辦法做出精確的建議.

只不過, 就您的想法來看, 這裡提供一些不同的意見, 您可以再想想對策:

1. 您要用戶以 SSLVPN 先連線, 如此一來, Hinet 外層的 IPS 就當場失效了, 因為 IPS 無法幫你檢查: 已經被 VPN 加密過的傳輸內容, 當然就無法辨別是否有不當的行為

2. 原理同上, 我也不確定 Fortigate 的 IPS, 能否檢查被 SSLVPN 加密過的傳輸?

3. 即便你層層加密, 但若用戶端中了木馬程式, 從他的PC側錄到他登入時所敲入的鍵盤 Keystroke, 那加密還有用嗎? 是否考慮採用:只能用滑鼠點選的動態鍵盤?

4. 如果您的服務協定是 HTTP/HTTPS 的話, IPS 可能會跑出太多的假警報把你整到翻, 為何不考慮用 Web Application Firewall (WAF) 做更深度且精準的保護? 這裡有簡單的說明:Intrusion Detection FAQ: What is the difference between an IPS and a Web Application Firewall?

5. Client IP 白名單當然可以降低很多風險, 但您確定所有 User 都可以用他專屬的固定 IP 上來嗎? 中間都沒有經過 NAT 設備嗎? (例如: 同一個單位內的不同人要來連線? 現在要上 Internet 很少不經過 NAT 設備的)

6. 只用 ID/PW 一種方式來驗證身分嗎? 有沒有考慮發放每個 Client 專用的 PKI 數位憑證? (你可以自己發憑證, 或採用現成的 PKI 如自然人憑證, 健保卡...等) 或是採用雙因認證? (Two-factor Authentication)

7. 要驗證整個 Web site 是否有漏洞, 有很多專門做弱點檢測的公司或軟體可以幫你檢查, 雖然也有免費的, 不過通常免費的查不出太多漏洞, 有用的,要錢的又很貴; 所以這又回到最前面的問題: 你應該要花多大的代價, 去保護這些資料?

8. 你的敏感資料是在 DB 內, 不是在網頁內, 有沒有考慮在 AP <-> DB 之間, 多加一道防火牆? 你是否有工具可以防止 AP 被操縱成 SQL Injection 或 XSS 攻擊?

9. 你願意花比較多的代價在: 精確辦認 Client 身分? 還是用在: 防止惡意的存取? 通常只要特別加強其中一項, 另一項就可以稍微放鬆一點, 這樣可以達到預算的平衡; 否則, 如果你兩方面都想抓到最高標準的話, 可能會付出兩倍的代價, 卻只得到一倍的效果...

你用過銀行給公司行號使用的 EDI 電子轉帳嗎? 那個轉帳如果被破解, 損失可不小, 公司的錢可能都被轉走了; 可是, 大部分銀行, 只用了一個單純的 PKI 架構, 就足以杜絕掉被惡意轉帳的問題.

這個問題沒有絕對唯一的答案, 任何方案是否適用, 取決於你們對資料價值的認定.