商業間諜攻擊激增 針對小企業佔三成 Symantec（納斯達克上市代號：SYMC）今日發表最新互聯網安全威脅報告（Internet Security Threat Report, Volume 18），顯示針對性攻擊於 2012 年內上升多達 42%，比前一年大幅飊升。該類針對性商業間諜攻擊之目的是竊取知識產權，以製造業和小型企業為目標的情況更明顯增多，佔該類攻擊的 31% 之多。小型企業本身是具吸引力的攻擊目標，亦是攻擊者通過所謂「水坑」（watering hole）攻擊方式入侵較大型企業的途徑。此外，消費者仍然處於勒索軟件及各種流動威脅之下，在 Android 平台上的情況尤其嚴重。 Symantec 香港系統工程經理李輝表示：「本年度互聯網安全威脅報告顯示網絡罪犯未有放慢腳步，他們為求從不同規模的企業竊取資訊而不斷鑽研各種新的技倆。這些攻擊十分巧妙，加上現今 IT 系統環境日益複雜，例如虛擬化、流動應用及雲端技術日益普及，促使企業必須保持主動及採取更有深度的安全措施，才能有效抵禦這些攻擊。」 本年度互聯網安全威脅報告重點摘要： 小型企業抵抗能力最弱 鎖定 250 人以下企業的針對性攻擊之增長速度最高，佔同類攻擊的 31%。小型企業或許認為自己不會成為針對性攻擊的對象，但網絡罪犯卻垂涎他們擁有的客戶數據、銀行帳戶資料和知識產權。小型企業往往欠缺充足的安全措施和基礎設施，因此成為攻擊者演練入侵技巧的對象。 至於利用網站發動的攻擊在 2012 年上升 30%，其中不少攻擊來源是早已被入侵的小型企業網站。這些小型企業網站被攻佔後，會被用作發動大規模網絡攻擊以及「水坑」（watering hole）攻擊。「水坑」攻擊的原理是首先攻佔目標人物經常瀏覽的網站，例如博客和小型企業的網站，然後靜待目標人物到來瀏覽，伺機暗中向他們植入惡意程式。Elderwood 黑客集團開創了這種攻擊方式的先河，並於 2012 年創下在一日內成功入侵 500 家商業機構的惡行。從這個個案可以發現攻擊者捨難取易，首先入侵安全防護較薄弱的企業，以此作為踏腳石繞過其他企業較嚴密的安全措施。 目標鎖定製造業及知識工作者 在 2012 年，製造業取代了政府部門成為針對性攻擊的頭號目標。Symantec 相信這個現象與供應鏈受襲個案上升的趨勢有關，原因是攻擊者發現承包商和分包商往往掌握著高價值的知識產權，而且較容易入侵，因此以他們為對象。攻擊者每每可通過入侵供應鏈內的生產商以獲得較大型企業的敏感資訊。此外，根據 2012 年的數據，行政人員已不再是攻擊者的首要目標，在各行業內針對性攻擊最經常被鎖定的目標是能夠獲取企業知識產權的知識工作者（27%），其次是銷售人員（24%）。 惡意流動程式及網站令消費者及企業飽受威脅 去年，惡意流動程式數量激增58%，而在眾有流動威脅之中，其中32%意圖竊取資訊，例如電郵地址及電話號碼。與此同時，流動操作系統的漏洞數量亦飆升達30%，但這卻未必是因為惡意程式數目增加，令人出乎意料。根據有關方面的正式紀錄，Apple 旗下 iOS 流動操作系統的漏洞最多，但在這段時期內該系統只發現了一種威脅。相比之下，Android 雖然漏洞較少，但針對 Android 的威脅數量卻遠遠超過任何其他流動操作系統。原因是 Android 擁有龐大的市場佔有率，加上平台又高度開放，為惡意程式提供了多個擴散的渠道，Android 亦因此成為惡意程式作者的首選平台。 此外，61% 惡意網站其實是已被入侵及已被植入惡意程式碼的正當網站，而最熱門受感染的五大類網之中，包括商業、科技及購物網站等。Symantec 認為原因是正當網站未有及時堵塞系統安全漏洞。過去幾年，這些網站已經常成為目標，以銷售偽冒防毒軟件為手法詐騙消費者。然而，近期更新興一種名為勒索軟件的惡毒攻擊手法，由於可為攻擊者帶來巨額金錢，因此已成為最熱門的惡意程式。攻擊者利用已被植入惡意程式的網站感染或鎖上受害用戶電腦，然後要求對方繳付贖金才能令系統回復正常。惡意廣告亦是另一種愈來愈流行的網絡攻擊方式，罪犯向正當網站購買廣告空間，用以暗藏惡意攻擊程式。 關於互聯網安全威脅報告 互聯網安全威脅報告提供年度全球威脅活動的概覽和分析。報告內的數據從 Symantec 的環球情報網絡（Global Intelligence Network）收集得來，Symantec 分析人員透過該網絡辨別、分析及評論各種攻擊、惡意程式活動、網絡釣魚和濫發垃圾訊息的新興趨勢。

香港企業受惠於流動應用獲利更豐 Symantec（納斯達克上市代號：SYMC）今日公布最新 2013 年《流動應用狀況》調查報告結果，發現受訪企業對流動技術的應用持不同態度，大致可分為兩大類，分別是樂意採用流動技術的「創新型」企業，以及對流動應用裹足不前的「傳統型」企業。香港有 73% 創新型企業受業務因素推動而對流動應用較積極進取，因此獲得顯著效益。傳統型企業部署流動應用的步伐則十分緩慢，主要是回應用戶要求才作出部署，雖然成本較低，但所獲效益亦較少。 Symantec 香港、台灣及大中華區全球性業務董事總經理徐海國先生表示：「流動技術已成為資訊科技領域的少數熱門課題之一。比較積極部署流動應用的機構與對相關應用舉棋不定的機構，兩者之間存在極大差別；進取的企業能夠從中獲得可觀的效益，但猶豫不決的機構卻往往在發現自己遠遠落後時才急起直追，然而所獲優勢已遠遜前者。」 兩類企業對流動應用存在的效益和風險觀點亦截然不同。全球 66% 創新型企業認為流動應用可帶來龐大的效益，值得承擔風險；另一方面，74% 傳統型企業卻認為不值得冒險採用流動應用。此外，40% 香港創新型和傳統型企業則表示，願為流動應用所帶來的效益承受可能出現的風險。流動應用使用率的數據也反映了這個情況，在全球創新型企業內採用智能手機的員工，比傳統型企業多 50%。逾半數（55%）創新型企業更掌握為員工購買手機的控制權，但傳統型企業則只有 44% 採取同樣措施；本港情況較接近全球創新型企業，當中56%機構已掌握為員工購買手機的控制權。 創新型企業不單替員工購買手機，亦較常制訂針對企業的流動應用政策，而且更透過技術方案來執行有關政策，其比率亦較傳統型企業高達一倍（全球 60% 創新型企業採用技術方案執行政策，傳統型企業則只有 33%。）。另外，香港有超過一半創新型和傳統型企業採用技術方案執行流動應用政策。 成本與效益 創新型企業透過流動技術獲益較多，所付出的相關成本亦較高。事實上，受訪創新型企業去年遇到與流動應用有關的事故平均數目較其他企業高一倍，其中包括遺失流動裝置及數據外洩，導致違規罰款或營收減少等後果。然而，創新型企業亦獲得了遠勝其他企業的龐大效益，主要包括以下三大範疇： 促進生產力，提高速度及彈性 提升品牌價值、客戶滿意程度及整體競爭力 員工感覺較愉快，改善招聘及保留率 最重要一點，就是創新型企業的收入增長達 44%，較收入增幅只有 30% 的傳統型企業高出近 50%。綜合所有考慮因素，積極採用流動技術可帶來更理想效果。至於本港包括創新型和傳統型企業取得收入增幅平均達 28% 及利潤增長達 21%。 有效的流動應用部署 調查結果亦顯示，企業只要有充分的準備，流動應用便能夠為企業帶來正面效益。以下建議可協助企業充分發揮流動應用的優勢，並同時降低風險： 企業對流動應用應保持謹慎態度，但切勿抗拒。企業應採取積極主動的態度，細心規劃有效的流動應用部署策略。 部署應由各種可促進員工生產力的流動應用程式開始。企業部署流動應用的最佳起點之一，是優先建置對業務有立竿見影效益的流動應用程式。 向創新機構借鏡，從中獲得優勢，並減低風險。了解與流動技術有關的風險，例如資訊遺失，並參考創新機構處理相關問題的方法。 Symantec 2013 年《流動應用狀況》調查報告 Symantec 2013 年《流動應用狀況》調查報告總結了來自 29 個國家合共 3,236 家企業，當中包括 103 家香港企業的經驗。受訪者均為有關機構電腦運算方面的負責人，包括大型企業高層要員或中小型企業內精通科技的員工。受訪者來自不同規模的企業，員工人數由 5 至 5,000 人不等。

Symantec（納斯達克上市代號：SYMC）最近發表了〈2013 年雲端隱形成本調查〉（Avoiding Hidden Cost in the Cloud 2013 Survey）結果，調查顯示，企業廣泛遷移至雲端，務求獲取速度、敏捷度和靈活性方面的競爭優勢。事實上，現時全球逾 96% 機構已開始探討雲端技術，比率遠高於一年前的 75%。是次調查的另一項重要發現，是大型及中小型企業均面對著不合格的雲端服務（rogue cloud）、複雜的備份和復原，以及雲端儲存效率不彰等問題，因而令成本加重。不合格的雲端服務指企業採用的公共雲端應用並非由公司資訊科技部門管理，亦未有融合到其資訊科技基建內。 業界專家預測，多項將於 2013 年出現的重大挑戰主要圍繞雲端運算的財務壓力及保安等範疇。隨著雲端服務中斷事故日趨頻繁，維持業務持續性成了比保安事故更受到注視的議題。早前，某雲端服務供應商於假日期間發生服務中斷事件，雖然經過搶修後令服務迅復回復正常，但仍然對客戶造成了重大的影響，並引發各種重大議題的相關討論，包括預防數據遺失、備份、數據復原時間及相關成本等。事實上，企業若能做好事前準備，建立安全、靈活、有效率，而又能符合商業目標的雲端服務一點也不困難。 Symantec 香港、台灣及大中華區全球性業務董事總經理徐海國指出：「只要能充分掌握雲端部署，企業便能享受雲端應用所帶來的各種優勢，包括靈活性和成本，並同時減低因不合格雲端服務而引起的數據管理和保安風險。」 不合格雲端服務帶來的隱憂 調查亦發現，不合格的雲端服務是最大的隱形成本之一，而這個問題極之普遍。去年，多達 89% 香港企業受有關問題的影響，比率之高實在令人咋舌。 因採用不合格雲端服務而遇到問題的受訪機構之中，40% 表示曾發生機密資料外洩事件，超過四分之一的受訪企業經歷帳戶盜竊、網站內容被竄改、貨品或服務被盜竊等問題。而企業採用不合格雲端服務最普遍的原因，是希望節省時間和金錢。 雲端備份和復原問題 雲端數據備份和復原程序非常複雜。大多數機構採用多達三至四款方案來備份存放在實體、虛擬及雲端的數據，這不僅令資訊科技效率降低，同時也增加風險和員工培訓成本。此外，平均 51% 受訪本港企業（47% 大型企業及 36% 中小企業）曾經歷雲端數據遺失事件，因此需要通過備份進行復原，而大部分（79%）企業在復原過程中亦曾遭遇故障。 調查亦發現，大部分受訪企業認為雲端數據復原程序既緩慢又冗長，當中只有 25% 受訪機構認為復原程序快捷，另有22%受訪機構估計，如遭遇嚴重的數據遺失事件，把遭受災難性損失的雲端數據回復原狀需時至少三天或以上。 雲端儲存效率不彰 雲端儲存的其中一個主要優勢是部署簡單，但這個優點有時會導致雲端儲存的效率不彰。一般來說，機構會設法把儲存使用率維持於 50% 以上，但這次調查卻發現受訪本港企業的雲端儲存使用率只有 17%，實在令人驚訝。其中大型企業的雲端儲存使用率只有 26%，中小企業的雲端儲存使用率更低至 7%，兩者差距之大令人震驚。此外，約半數受訪企業承認他們很少使用重複數據刪除技術，令有關問題更為複雜。 法規遵循與電子蒐證（eDiscovery）的關注 調查顯示，42% 受訪香港機企業擔心雲端服務是否符合相關法規的要求，53% 企業關注如何證明自己已符合相關雲端法規的要求。事實上，34% 受訪企業曾因為違反雲端私隱規例而被罰款，因此機構關注雲端法規遵循的問題實在理所當然。 電子蒐證（eDiscovery）可快速搜尋正確的相關資訊，不過也為企業帶來更多的壓力。近半數（48%）受訪本港企業表示，在過去 12 個月內曾接到涉及雲端數據的電子蒐證要求，其中三份二未能趕及在雲端蒐證的期限內找到有關資訊，因此被罰款或冒上法律風險。 數據傳遞的問題 企業在雲端儲存了各式各樣的資產，包括網站內容、網上業務或網絡應用程式。無論是個人或財務資訊、商業交易或其他網上交易資訊，均需要透過SSL認證來保護在傳遞過程中的數據。是次調查顯示，受訪本港機構認為管理大量 SSL 認證是極之複雜的工作：只有 16% 受訪機構認為雲端SSL認證易於管理，僅 26% 可確定其雲端合作夥伴的認證符合其標準。 數據傳遞的問題 根據是次調查結果，若企業忽視上述隱形成本，將會對業務構成嚴重的影響。然而，只要細心規劃、部署和管理有關項目，要將這些風險降至最低並不困難。Symantec 建議： 針對資訊和人員制定政策，而非技術或平台 教育員工了解政策，並監察及落實政策 採用跨平台的工具 在雲端進行重複數據刪除 Symantec 2013 年雲端隱形成本調查簡介 Symantec 2013 年雲端隱形成本調查是由調查公司 ReRez 於 2012 年 9 月至 10 月期間進行的研究。是次調查涵蓋了來自29個國家的 3,236 家企業，其中包括 1,358 家中小型企業及 1,878 家大型企業。受訪企業員工人數由 5 人至 5,000 人以上不等，而受訪企業中有 103 家來自香港。