Learning Objectives
- 以機密性、完整性、可用性分析資訊系統受到的影響
- 區分資產、威脅、弱點與風險，並依可能性與影響排序
- 說明風險評分的限制
- 判斷哪些測試行為需要授權，並了解妨害電腦使用罪的基本內容
資訊安全的三個目標
開學的選課週，選課系統同時面對幾種不同的問題：有人想看別人的成績，有人想替自己加選額滿的課，也有大量請求讓網站變得緩慢。這些問題性質不同，防護方式也不同。討論防護之前，要先說清楚要保護的是什麼。
資訊安全通常以三個目標來描述，合稱 CIA：
| 目標 | 意義 | 選課系統的例子 |
|---|---|---|
| 機密性（Confidentiality） | 資訊只讓獲得授權的人取得 | 學生的成績只有本人與授課教師能看 |
| 完整性（Integrity） | 資訊不遭到不當的修改或銷毀 | 選課紀錄只能經由正式流程更動 |
| 可用性（Availability） | 需要時能及時、可靠地取得與使用 | 開放選課時，學生能夠完成操作 |
三個目標有時彼此牽制。例如加上更多驗證步驟可能提升機密性，卻降低可用性。安全設計是在限制之中取得平衡，並不是把某一項推到極限。
本課程會在模擬環境示範多種攻擊，目的是理解防護方式。所有練習都在瀏覽器內執行，對象是虛構的網站與資料；同樣的操作用在未獲授權的真實系統上可能構成犯罪，條文列在本課後半。
資產、威脅、弱點與風險
討論安全問題時，下列四個詞經常被混用，但意義不同：
| 名詞 | 意義 | 例子 |
|---|---|---|
| 資產（asset） | 值得保護的東西 | 學生個資、成績資料庫、選課服務本身 |
| 威脅（threat） | 可能造成損害的人、事件或情況 | 想改成績的學生、機房淹水 |
| 弱點（vulnerability） | 系統中可被利用的缺陷 | 退選介面沒有檢查學號是否屬於本人 |
| 風險（risk） | 威脅利用弱點造成損害的可能程度與後果 | 學生偽造請求替他人退選，影響修課權益 |
威脅建模（threat modeling）是有系統地找出這些項目的過程。常見的架構是四個問題：正在做什麼系統、可能出什麼問題、打算如何處理、做得是否足夠。實際討論第二個問題時，可以逐項列出：
- 誰可能造成問題（學生、外部攻擊者、內部人員、自然事件）
- 對方想要什麼（資料、金錢、惡作劇、干擾服務）
- 可能透過什麼途徑（網頁請求、竊取的帳號、實體接觸）
- 影響範圍多大（一個人、一門課、全校）
風險評估常以可能性與影響兩個面向來判斷，最簡單的形式是相乘：
風險 ＝ 可能性 × 影響
這個算式能幫助團隊把討論集中在優先順序上，但它有明確的限制。等級是主觀估計，1、2、3 並不是可以精確運算的量；相同的乘積可能代表性質完全不同的風險；低可能性、高影響的事件容易被低估。它是討論的工具，不是客觀的測量結果。
授權測試與妨害電腦使用罪
安全測試與犯罪行為在技術上可能完全相同，區別在於是否獲得授權。對自己擁有的系統或本課程的模擬環境進行練習沒有授權的問題；對他人的系統進行測試，應先具備下列條件：
- 書面授權：由有權代表系統擁有者的人簽署，不以口頭或善意推定取代
- 明確的範圍：哪些主機、哪些方法、哪段時間；範圍以外即未獲授權
- 事前約定的處理方式：發現問題如何回報、影響服務時如何聯絡、資料如何處理
《中華民國刑法》第三十六章「妨害電腦使用罪」的條文如下（全國法規資料庫）：
| 條次 | 條文 |
|---|---|
| 第 358 條 | 無故輸入他人帳號密碼、破解使用電腦之保護措施或利用電腦系統之漏洞，而入侵他人之電腦或其相關設備者，處三年以下有期徒刑、拘役或科或併科三十萬元以下罰金。 |
| 第 359 條 | 無故取得、刪除或變更他人電腦或其相關設備之電磁紀錄，致生損害於公眾或他人者，處五年以下有期徒刑、拘役或科或併科六十萬元以下罰金。 |
| 第 360 條 | 無故以電腦程式或其他電磁方式干擾他人電腦或其相關設備，致生損害於公眾或他人者，處三年以下有期徒刑、拘役或科或併科三十萬元以下罰金。 |
| 第 361 條 | 對於公務機關之電腦或其相關設備犯前三條之罪者，加重其刑至二分之一。 |
| 第 362 條 | 製作專供犯本章之罪之電腦程式，而供自己或他人犯本章之罪，致生損害於公眾或他人者，處五年以下有期徒刑、拘役或科或併科六十萬元以下罰金。 |
| 第 363 條 | 第三百五十八條至第三百六十條之罪，須告訴乃論。 |
閱讀條文時可以注意幾點。第 358 條的條文沒有「致生損害」的要件，第 359、360、362 條則有。第 361 條針對公務機關的設備加重處罰。第 363 條只把第 358 至 360 條列為告訴乃論，第 361、362 條不在其中。條文中的「無故」如何認定，以及具體行為是否構成犯罪，都由司法機關依個案判斷，不宜假設出於好奇或善意就不構成犯罪。
其他行為可能涉及其他法律，例如攔截他人通訊可能涉及《通訊保障及監察法》第 24 條與刑法第 315-1 條；以假網站騙取帳號密碼也可能涉及其他罪名。具體適用仍由司法機關依個案判斷。
系統處理個人資料時，也要遵守《個人資料保護法》。該法要求公務機關與非公務機關保有個人資料時採取安全維護措施，第 12 條則規定個人資料外洩時的通知義務。目前施行的是修正前的條文：違反本法規定，致個人資料被竊取、洩漏、竄改或其他侵害者，應查明後以適當方式通知當事人。民國 114 年 11 月 11 日修正的條文不再以違反本法為要件，並增訂通報義務，但尚未施行，施行日期由行政院定之；全國法規資料庫目前標示「最後生效日期：未定」，條文頁面顯示的是修正後的文字。新舊條文的差異在第 17 課說明。
以上內容僅供學習，說明條文與一般原則，不構成法律意見。遇到具體情況，請諮詢法律專業人員或學校的資安窗口。
重點整理
- 機密性、完整性、可用性是描述安全目標的共同語言，一個事件可能同時影響多項
- 資產、威脅、弱點、風險是不同的概念；弱點是系統的缺陷，風險還要考慮可能性與影響
- 可能性 × 影響能協助排序，但等級是主觀估計，相同的乘積不代表相同的風險
- 對他人的系統進行測試，應先取得有權者的書面授權並確認範圍；超出範圍視同未獲授權
- 刑法第 358 至 363 條規範入侵、取得或變更電磁紀錄、干擾與製作專供犯罪的程式；攔截通訊與處理個人資料另有其他法律規範；具體案件由司法機關判斷
- 本課程的所有攻擊示範都限於瀏覽器內的模擬環境與虛構資料
下一課討論一項常見的資產：使用者的密碼，以及它應該如何儲存。
小測驗
網站因磁碟滿載而停止服務，但資料沒有遺失也沒有外洩。這主要影響哪一個目標？
「退選介面沒有檢查學號是否屬於本人」屬於下列何者？
關於「風險＝可能性 × 影響」，下列何者正確？
學校書面授權你測試 test.campus.example。測試時發現同一套程式也部署在 campus.example。下一步應該如何處理？
依刑法第 363 條，下列何者須告訴乃論？