0701 Project Manager - September Issue 71 - E-book - Cybersecurity Insights.pdf

0701 Project Manager - September Issue 71 - E-book - Cybersecurity Insights.pdf

2. 鄭惠如 (RuRu Cheng)
CC, CSM
Integrated Solutions Technology, Inc
AWS Security Community Builder
目前擔任上市櫃半導體產業財務暨人資主管，於2022
年榮獲PMI-TW專案管理大獎(PTGA)傑出專案領袖獎，
並擔任專案管理大獎副主委。2024年獲選為台灣僅10
位左右的AWS Community Builder。其跨領域專業表現
卓越，亦擔任台灣敏捷部落(TAT) Agile HR社長、ISC2
Taipei Chapter媒體公關委員以及DevSecOps Taiwan執行
顧問，致力於敏捷、專案管理和資安知識推廣，並透
過建立專業社群促進學習與成長。
18資安大小事

3. 專案團隊
面對社交工程的防禦心法
▲ 常見的社交工程。林家瑋(Ray Lin)、鄭惠如(RuRu Cheng)整理
隱形的駭客：社交工程
在資訊充斥的時代裡，社交工程(Social Engineering)
成了隱形的駭客，巧妙地在我們的日常生活中
遊走。你會驚訝地發現，與其說是技術漏洞，
不如說是我們對身邊人的信任成了資安軟肋。
那些熟悉的面孔，比如：日常接觸的同事，甚
至我們自己，都可能在不經意間成為洩露資訊
的源頭。
這些隱形的駭客擅長利用我們的好心、信任，
甚至是小疏忽來進行攻擊。他們不需要破壞任
何技術防護，僅僅是透過一句話、一封郵件或
一通電話，就可能讓我們毫無戒心地打開心
防，透露出重要的資訊。
他們的偽裝技巧高超，能夠化身為任何角色，
從新同事到求助的客戶，甚至是公司高層。透
過精心設計的互動，逐漸建立起信任，最終達
到他們的目的—獲取敏感資訊。這場社交工程
滲透戰，常常發生在我們最不警惕的時刻，就
像日常生活中不經意間遇到的間諜一樣。不需
要任何高超的駭客技巧，因為他們已經潛入我
們的信任圈。
1919

4. 社交工程在專案過程中的風險
在專案各個階段，從規劃到執行，甚至在專案
驗收，社交工程的威脅都可能悄悄伸向毫無防
備的團隊，在專案執行的過程中，常常需要與
內外部團隊、廠商與合作夥伴密切地溝通與協
作，正是這些看似平凡的互動，有時會成為社
交工程的跳板。

在需求蒐集過程中，有個可能發生的典型例
子。假設有一位「客戶代表」透過電話或電子
郵件與PM接觸，要求提供關於專案需求的「重
要資訊」。在這種情況下，如果PM未能妥善驗
證對方的身分，就可能無意中向冒牌的「客戶
代表」透露關鍵的專案細節。這種資訊洩露不
僅可能對專案造成嚴重影響，還會使整個組織
面臨風險。

另一個案例，在專案執行期間，一位自稱是新
上任的IT人員出現，要求獲得存取系統的權限，
以進行「必要的維護工作」。如果團隊成員未
經嚴格的身分核對程序，就輕信這位所謂的IT人
員，那麼敏感的專案資料很可能就會落入惡意
人員手中。

還有一種情境也很常發生，在商業分析階段有
時會尋求專家意見，找外部顧問來進行專案效
益分析。如果這位「顧問」的背景未經嚴格審
查，那麼專案團隊可能就會將寶貴的專案資料
交到不肖人士手中。

不論是在專案的哪個階段，社交工程都是一個
不容忽視的威脅。透過資安政策、資安意識與
教育訓練，專案團隊可以學習到如何辨識，並
防範這些有跡可循的攻擊者，從而保護專案和
組織的利益不受損害。識別這些風險並不容
易，但透過提高警覺性和實施嚴格的身分驗證
流程，專案團隊可以大幅地降低這些風險。

團隊沒有內賊，資訊還是洩露出去了？
除了刻意偽裝取得信任以竊取資訊外，資訊還
會透過什麼方式洩漏出去呢？
以下場景你可能會有點熟悉，團隊成員在餐
廳、電梯或便利商店無意間提到了即將發布的
產品，或者討論到這個產品的Bug解不掉，公司
訂單狀況如何等。雖然這些對話看似無害，但
如果有心人士在場，這些敏感資訊很可能會被
記錄下來並用於非法目的。這種看似日常的交
流，實際上很有可能會對組織造成無法估計的
損失。
此外，在人人都是自媒體的時代，分享成了一
種習慣，當員工在線上分享工作相關的照片或
訊息時，也可能會不經意地洩露商業機密。即
使是一張辦公室的隨手拍或是會議的照片，也
可能無意中洩露重要的策略文件或螢幕上的敏
感資料。

為了解決這些問題，組織需要培養安全的警覺
思維。包括定期的資安訓練、明確的溝通指引
和嚴格的資訊分類制度。只有每一位員工都意
識到自己在保護組織資產中扮演的角色時，才
能真正地將社交工程風險降到最低。
專案團隊的社交工程防護策略
在資安即國安的時代，我們每個人都可能成為
社交工程攻擊的目標。不論是在工作還是日常
生活中，資訊安全是每個人的責任。以下提供
一些簡單且實用的方法，可以幫助我們抵禦這
些看似無形，卻極具威脅的攻擊：?I?
2020

5. 結語
在面對不斷變化的資訊安全挑戰時，專案管理
與資安防護之間的緊密結合變得尤為重要。安
全意識的培養應該成為組織文化的核心。這意
味著資訊安全不僅僅是IT部門的責任，更是每一
位員工的共同責任。透過定期資安意識訓練，
員工可以學習到辨識和應對社交工程的技巧，
如：釣魚郵件、假冒電話等。也可分享真實的
安全事件案例，讓員工更有感觸地理解資安的
重要性。

此外，鼓勵開放和透明的溝通對於建立安全文
化也非常重要。員工應被鼓勵在遇到任何可疑
的行為或請求時進行回報，而不因為害怕受到
懲罰而保持沉默。透過建立一個完善的回報機
制，讓員工可以在不必擔心負面後果的情況下
報告安全事件，共同維護組織的安全環境。1
?+??
身~L「??」? \
"，? Lh;?，?
維X?。 2
?*B*?);
?p? ??e容? L>?
私]B?，?越?私"?
????6 e 。 4
T?*8)
,^6$@E?X?Aq? .3R[?1&?
^_f 2? 3
T生?
社交l]?Yc工p時 L?
tqV，?{?日??@
??e 。 5
Q*/,??
常安??時?s，
i加。 6
??0??
+?7p:?Y?$U.?$AF?gJRX+?
!?Z~+??
2121