資通安全責任等級依照資通安全責任等級分級辦法，由主管機關核定相對應之等級，按照等級決定導入系統之驗證範圍，例如：A級機關初次受核定或等級變更後之二年內，全部核...
-示例 XACML 實現XACML主要用於授權而不是身份驗證。可以實施 PKI 以支持相互身份驗證。802.1X，又名 EAP over LAN，是一種基於 E...
PKI 證書編碼(PKI Certificate Encoding)X.509 標準中未定義的一個值得注意的元素是證書內容應如何編碼以存儲在文件中。但是，通常有...
在部署基於容器的應用程序時，我們可以使用容器編排器來配置和管理容器。這意味著變更請求已獲批准和實施，集成和測試已完成，並且已授予操作授權 (ATO)。使用編排器...
(一) 正式範圍定義的目的範圍定義的目的是準確說明組織所做的事情，範圍說明應準確說明組織所做的事情是否符合標準。範圍的定義比較不適切的敘述如後：「XXX公司的資...
六、 訂定資訊安全管理系統適用範圍組織必須確定資訊安全管理系統的邊界和適用性，以確定其範圍。在確定此範圍時，組織應考慮4.1中提到的外部和內部問題；還必須考慮到...
(五) 員工我們目前擁有多名員工，分別是管理階層、軟體開發、硬體維護、營業部門、客戶管理及財務和管理，他們的要求如下： 公司獲利並提供安全的工作。 公司提供安...
五、 了解利害關係者的需求和期望組織必須確定與資訊安全管理系統相關的利害關係者及其要求，有關利害關係者的要求可能包括法律、監管要求以及合約義務，必須識別對組織的...
三、 建立外部背景外部背景是組織尋求達成目標的外部環境。了解外部背景非常重要，是為了確保在訂定安全風險標準時已考慮外部利害關係者的目標和關切事項。基於組織範圍的...
伍、 第四章 全景分析現在開始針對ISO 27001標準本文的章節來進行探討，第一到三章是一般性標準的敘述，就不多加探討；從第四章開始，這個章節是所有導入組織最...
-層與層（Layer vs Tier）前端輸入驗證和受限用戶界面是針對錶示層中的 SQL 注入的對策，這通常發生在客戶端。但是，攻擊者可能不會從表示層發起 SQ...
參、 管理系統概述品質管理系統應該是所有管理系統的基礎，ISO/TC 176在制訂品質管理系統的標準時，訂定了七大原則(改版前稱為八大定理)，這七大原則可以應用...
三、 威脅是屬於一種外部事件或狀態，對於基本要素會產生破壞，在此節僅針對其特性做一些基本敘述，於後面風險分析的章節會有更詳細的說明。威脅會隨著時間、技術及社會造...
-一般問題解決過程如果配置由其他工程師仔細檢查，則對配置更改強制執行兩人控制可能會避免該事件。這是一種預防控制。社交媒體服務依賴於 DNS，這需要 BGP 支持...
本篇解析斷斷續續寫了將近一年的時間，一直沒有下定決心到底要寫成甚麼樣子，在一些外在因素影響下，終於努力地將它完整寫完，其中內容引用了很多的法規、條文及參考資料，...
以下是 NIST SP 800-204 的摘錄：典型的基於微服務的應用程序的部署堆棧中存在六層，如硬體、虛擬化、雲、通信、服務/應用程序和編排。本文件將這些層視...
在一個電信行業的技術詞彙，它是指為了向用戶提供（新）服務的準備和安裝一個網絡的處理過程。它也包括改變一個已存在的優先服務或功能的狀態。「服務開通」常常出現在有關...
-資料和系統所有者將“資料所有者“（data owner）和“資料控制者”（data controller）一視同仁的情況並不少見。然而，事實並非如此。資料控制...
-使用 AWS 構建無服務器後端微服務通常託管在部署在本地或 PaaS 上的容器中；它們也可以在無服務器後端實現，即功能即服務 (FaaS)，與 PaaS 相比...
-計算機架構CPU 指令將值加載到寄存器中進行計算是很常見的。CPU 的尋址模式意味著 CPU 如何定位感興趣的值。值可以在指令中立即給出（立即尋址）、從寄存器...
-VPN 和 EAP-EAP 協議比較 803.802.1X 使用基於 EAP 的身份驗證協議讓請求者向身份驗證器進行身份驗證，而 RAIDUS 是身份驗證器（...
-什麼是管理？-目標和目的目標設定過程可以考慮綜合因素，但目標要具體，並以關鍵指標衡量。在不提供資源的情況下設定目標是不實際的，而且是口頭上的。 管理是實現目標...
-數位簽章使用您的私鑰加密代碼的指紋或對代碼進行散列並使用您的私鑰加密結果是生成數字簽名的 改寫 。. 使用 SHA 生成合約的消息驗證碼，確保數據來源的真實性...
-政策框架組織應當遵守法律法規。管理團隊應盡職盡責制定或審查政策以滿足法律和監管要求。組織政策與法律或法規不一致並不一定意味著違規。組織政策可能會制定比法律或法...
-治理結構-波特的價值鏈職能通過開展將輸入轉化為有用結果的活動來產生價值。一個組織通常由直線職能和員工組成，以支持運營和交付價值。組織級別的安全功能可由任何級別...
-風險處理（風險應對）無論我們實施哪種加密方案，都可以降低風險。ISO 27005 使用術語“風險修正”來表達風險緩解的概念。如果我們決定避免風險，用以太網代替...
-盡職調查和應有注意當談到 CISSP 時，盡職調查 (DD) 的定義是模糊和不一致的。IMO、DD 需要根據上下文定義標準。法律領域的DD標準與金融領域的標準...
-CIA作為安全目標在 FISMA 中，真實性和不可否認性是完整性的屬性，即使它們在美國國防部信息保障計劃和美國網路安全政策中與完整性分開。要將文件摘要加密為數...
-滲透測試方法使用 CVE 進行漏洞掃描通常遵循識別和枚舉端口、服務和資源的情況。進行滲透測試並不是一個絕對的順序，而是一種常見的做法。 參考. CEH 黑客方...
-示例 XACML 實現XACML 旨在支持授權，而不是身份驗證。XACML 代表“可擴展訪問控制標記語言”。該標准定義了一種聲明性細粒度、基於屬性的訪問控制策...
iThome鐵人賽
看影片追技術
看更多