無線通訊網路實驗室適用於雲端運算環境下之安全模型 Security Model for Cloud Computing

無線通訊網路實驗室適用於雲端運算環境下之安全模型 Security Model for Cloud Computing Environment 報告人：陳昱仁

無線通訊網路實驗室報告大綱 v 緒論 v 安全模型之分析與比較 ü 研究背景 ü 研究動機 ü 研究目的 ü 模型適用對象分析 ü 情境應用 ü 與其他文獻之比較 v 文獻探討 ü 雲端運算介紹 ü 已提出之雲端安全模型回顧 v 結論與未來研究方向 ü 問題定義與研究假設 ü 雲端安全威脅分類 ü 模型架構設計 v 參考文獻 v 附錄 ü 結論 ü 研究貢獻 ü 未來研究方向 v 研究方法與設計 2018/3/15 2

無線通訊網路實驗室緒論 2018/3/15 3

無線通訊網路實驗室研究背景 v 近年來，資通訊科技業者爭先搶攻雲端運算(Cloud Computing)商機，視雲端運算為資通訊產業未來5至 10年的發展趨勢，持續推出相關的創新應用，而已經採用或計畫引進此一新興概念的政府機構和企業也越來越多 ü 英國、美國、中國、歐盟、台灣等 ü Google、微軟、Amazon、IBM、戴爾、昇陽、惠普等 v 雲端服務改變了以往的商業模式，採用雲端服務可使企業以更符合成本效益的方式經營，節省資訊軟、硬體及維護費用，企業毋須管理繁雜的IT設施，可以更專注於核心價值的經營與創造 2018/3/15 4

無線通訊網路實驗室研究背景（續）單位：億美元 3. 45倍 2018/3/15 2. 77倍雲端運算市場預估圖（資料來源： [14]） 5

無線通訊網路實驗室研究動機 v 雲端運算資源具有動態與自動分配的特性 ü 主機負荷 ü 資料位置 v 雲端服務供應商專注於提供特定的服務 ü 網路服務 ü 儲存服務 v 現有雲端安全威脅分類稍嫌不夠全面 2018/3/15 6

無線通訊網路實驗室研究動機（續） 2008年 8月： 74. 6% 2009年第三季： 87. 5% IDC安全挑戰排名及比重圖（資料來源： [15]） 2018/3/15 7

無線通訊網路實驗室研究目的 v 設計一個適用於雲端運算環境下且具全面性與實務之安全模型，利用此安全模型之不同分類構面的組合，以更全面的角度來識別現有雲端威脅，而在安全模型相對應的位置上也提供雲端威脅之檢查清單，幫助使用者進行安全之查核 ü 用戶 ü 供應商 ü 稽核人員 2018/3/15 8

無線通訊網路實驗室文獻探討 2018/3/15 9

無線通訊網路實驗室雲端運算概念與定義 v 雲端運算一詞最早由Google提出，一開始是應用於網頁資料的搜尋，透過大量的遠端伺服器進行平行運算，再將結果彙整和回傳給使用者 v 美國國家標準與技術局(National Institute of Standards and Technology, NIST)定義雲端運算是一種模式，它能夠方便地、隨選所需地透過網路去存取共享的運算資源（例如：網路、伺服器、儲存裝置、應用程式和各類服務），可以用最少的管理作或與最少的服務供應商互動，而進行快速配置和發布 2018/3/15 10

無線通訊網路實驗室 NIST定義之雲端運算[4] 量測服務快速且彈性隨選所需自助服務廣泛的網路存取平台即服務資源匯集基礎設施即服務軟體即服務混合雲私有雲公有雲 2018/3/15 社群雲 NIST定義之雲端運算視覺模型 11

無線通訊網路實驗室雲端安全聯盟提出之安全控制模型[4] 2018/3/15 安全控制模型 12

無線通訊網路實驗室雲端參考架構[13] 雲端服務用戶雲端特有基礎設施傳統 IT基礎設施雲端參考架構圖 2018/3/15 13

無線通訊網路實驗室研究方法與設計 2018/3/15 14

無線通訊網路實驗室問題定義與研究假設 v 問題定義 ü 現有文獻對雲端威脅之分類方法有些以管理層面來考量，而有些分類方法又以技術層面來考量，較缺乏全面性，因此本研究希望能整合各篇文獻分析雲端安全議題之不同觀點，設計出具全面性且實務的安全模型 v 研究假設 ü 雲端運算服務需由外部雲端服務供應商所提供 ü 組織營運位於組織防火牆之內 ü 用戶的背景與習性 2018/3/15 15

無線通訊網路實驗室雲端安全威脅分類雲端運作維護雲端治理方式 v A. 1遵循與稽核 (Compliance and Audit) v A. 2可攜性與互通性 (Portability and Interoperability) v A. 3人力資源安全 (Personnel Security) v A. 4資產管理 (Asset Management) 2018/3/15 16 v B. 1企業持續性營運管理 (Business Continuity Management) v B. 2應用程式安全 (Application Security) v B. 3系統安全 (System Security) v B. 4通訊及網路安全 (Telecommunications and Network Security) v B. 5實體安全與環境控制 (Physical Security & Environment Control) v B. 6加密與金鑰管理 (Encryption and Key Management) v B. 7身分和存取管理 (Identity and Access Management) v B. 8虛擬化 (Virtualization)

無線通訊網路實驗室檢查清單 v A. 1. 1 服務條款缺乏透明性與完整性（Lack of Completeness and Transparency in Terms of Use） v A. 1. 2 作業方式未遵循法規/服務等級協議（Regulatory Compliance） v A. 1. 3 支援調查能力之不足（Lack of Investigation Support） v A. 1. 4 稽核用戶記錄缺乏隱私（Lack of Data Privacy） v A. 2. 1 資料與服務之可攜性不足（Lack of Portability and Interoperability） v A. 3. 1 安全意識與教育訓練的不足（Lack of Security Awareness and Training Education） v A. 3. 2 缺乏對特權使用者的管理（Lack of Privileged User Access） v A. 3. 3 用戶註冊資料缺乏審查（Lack of User Registration） v A. 3. 4 角色與責任歸屬不明確（Unclear Roles and Responsibilities） v A. 4. 1 資料未依安全性進行分類或標示（Lack of, or Poor or Inadequate, Asset Classification） v A. 4. 2未進行資產的管理與追蹤（No Control on Vulnerability Assessment Process） 2018/3/15 17

無線通訊網路實驗室檢查清單（續） v B. 1. 1 缺乏災難復原的能力（Lack of Disaster Recovery） v B. 1. 2 未對資安事件進行監測與改善（Lack of Information Security Incident Management） v B. 1. 3 第三方供應商私自行為未知會（Supply Chain Failure） v B. 1. 4 跨雲間的應用程式產生隱藏依賴（Cross-Cloud Applications Creating Hidden Dependency） v B. 2. 1 應用程式修補程序管理薄弱（Poor Application Patch Management） v B. 2. 2 應用程式組態設定不安全（Insecure Application Configuration） v B. 2. 3 不安全的直接物件參考（Insecure Direct Object References） v B. 2. 4 應用程式機制之弱點（Application Vulnerabilities） v B. 2. 5 軟體授權議題（Licensing Risks） v B. 3. 1 系統組態設定不安全（Insecure System Configuration） v B. 3. 2 系統修補程序管理薄弱（Poor Patch Management） v B. 3. 3 沒有限制資源的使用量（Resource Usage No Upper Limit） 2018/3/15 18

無線通訊網路實驗室檢查清單（續） v v v v B. 4. 1 竊聽（Eavesdropping） B. 4. 2 流量分析（Traffic Analysis） B. 4. 3 偽裝（Masquerade） B. 4. 4 重送攻擊（Replay Attack） B. 4. 5 訊息竄改（Message Modification） B. 4. 6 阻斷服務（Denial of Service） B. 5. 1 未經授權進出安全區域或存取實體設備（Unauthorized to Access Facilities） B. 5. 2 資料刪除不完整（Data Recovery Vulnerabilities） B. 6. 1 資料傳輸未加密（Lack of Encryption of Data in Transit） B. 6. 2 資料儲存未加密（Lack of Encryption of Data in Store） B. 6. 3 加密方法不安全（Insecure Cryptography） B. 6. 4 金鑰管理程序薄弱（Poor Key Management Procedures） B. 6. 5 加密金鑰遺失或損壞（Loss of Encryption Keys） B. 6. 6 主機秘密資訊外洩（Host Secret Leakage） 2018/3/15 19

無線通訊網路實驗室檢查清單（續） v B. 7. 1 身分驗證方法不安全（Weak Authentication Schemes） v B. 7. 2 未驗證的轉址與轉送（Unvalidated Redirects and Forwards） v B. 7. 3 身分授權檢查不足（Insufficient/Faulty Authorization Checks） v B. 7. 4 同步延遲（Delays in Synchronisation between Cloud System Components） v B. 7. 5 未新增/移除員之存取權限（Removal of Access Rights） v B. 7. 6 量測/計費功能不安全（Metering/Billing Evasion） v B. 8. 1 隔離機制失效（Isolation Failure） v B. 8. 2 未對虛擬機器映像檔進行檢查或修補（Check and Patch Image） v B. 8. 3 虛擬網路安全控制不足（Insufficient Network-based Controls in Virtualized Networks） 2018/3/15 20

無線通訊網路實驗室雲端安全模型構面組成資訊安全需求組成元件資訊系統特性雲端安全模型示意圖 2018/3/15 21

無線通訊網路實驗室模型架構設計 v 構面之選擇 ü 組成元件 ü安全威脅可能發生在不同的位置 ü用戶也可能使用不同服務供應商所提供的服務 ü 資訊系統特性 ü傳統資訊系統特性造成的弱點依舊存在 ü文獻[13]探討了雲端運算特性所衍伸出的弱點 ü 資訊安全需求 ü針對雲端環境的資訊安全 2018/3/15 22

無線通訊網路實驗室資訊系統特性文獻 [16]之資訊狀態 NIST 定義之雲端運算基本特性 2018/3/15 資訊系統特性示意圖 23

無線通訊網路實驗室資訊系統特性（續） v 安全控管：資訊技術的改善、法規條文的頒布、企業業務範圍的調整等內在或外在因素，雲端服務資訊安全的要求也會有所改變，因此需在適當的位置佈署適當的安全機制 v 稽核：企業定期檢視並適時修改風險檢查表，以確保該雲端服務的資訊安全等級隨時保持在企業要求水準之上 v 系統持續營運：服務中斷可能會導致用戶蒙受巨大的聲譽或是金錢損失，尤其是企業級的用戶 2018/3/15 24

無線通訊網路實驗室資訊系統特性（續） v 隨選所需自助服務（On-demand Self-services）：可以在用戶需要時提供運算能力，例如：伺服器時間和網路儲存空間，不需要雲端供應商人員的介入即可自動依需求使用服務 v 廣泛的網路存取（Broad Network Access）：雲端供應商的服務可隨時在網路取用，無論用戶端設備之大小，例如：行動電話、筆記型電腦和PDA，皆可透過標準機制來使用網路 v 資源匯集（Resource Pooling）：資源匯集使雲端供應商透過多租戶模式來服務用戶，根據用戶的需求，來指派或重新指派實體及虛擬資源。而用戶一般無法去知道資源的準確位置，只可能掌握國家、州或資料中心等大範圍的區域地點。資源即所謂的儲存、處理、網路頻寬和虛擬機器等 v 快速且彈性（Rapid Elasticity）：服務能力可以快速、彈性地供應，在某些情況下自動地實現快速擴充、快速上線。對於用戶來說，可供應的服務能力近乎沒有限制，可以隨時按需要購買。 v 量測服務（Measured Services）：雲端系統利用經某種程度抽象的測量能力，所以能夠自動控制某種服務的資源使用達到最佳化，例如：儲存、處理、頻寬等。人們可以監視、控制資源使用、並產生報表，報表可以對供應商和用戶雙方都能全然透明的提供 2018/3/15 25

無線通訊網路實驗室資訊系統特性（續） v 分散式運算能力（Distributed Computing Capability）：將繁重的運算拆開成可以獨立完成的小部分，然後利用網路交付給個別的電腦去完成，運算結果則傳回來給主機去合併處理 v 主機代管（Co-location）：主機代管又稱為主機託管（Co-location），指的是將網際網路伺服器放到網際網路服務供應商（ISP）所設立的機房（又稱為資料中心），每月支付必要費用，由ISP代為管理。主機的管理者可從遠端連線入伺服器做管理。主機代管可讓伺服器的管理者，省去興建機房、申請數據線路、機房管理等費用及麻煩 v 異質資料存放（Heterogeneous Data Stored）：能將不同型態的資料儲存到本機端之資料庫或是磁碟內 v 安全控管與稽核（Security Control and Audit）：由於會因為資訊技術的改善、法規條文的頒布、企業業務範圍的調整等內在或外在因素的改變，企業對於採用的雲端服務資訊安全的要求也會有所改變；再加上惡意的攻擊程式、駭客也愈來愈多，對於大量依賴資訊系統以維持公司營運的企業而言也愈來愈不安全，因此在適當的位置佈署適當之安全機制是非常重要的。包含使用者權限管理、資料輸入的檢查、系統安全設定、日誌檔管理以及虛擬機器來源位置等。除了進行安全控管之外，還需要定期去檢視稽核記錄，例如：電腦日誌檔的稽核，以確保該雲端服務的資訊安全等級隨時保持在企業要求水準之上 v 系統持續營運（System Continuity）：供應商為了使服務的提供不中斷，有些行動是必需要去執行以達成企業永續經營，包括供應商與用戶雙方合約的履行、員教育訓練、安全意識的培養、資訊安全事件的通報與改進、以及用戶可以無縫地將資料轉移至其他平台等等 2018/3/15 26

無線通訊網路實驗室資訊安全需求 v 參考了ISO/IEC 27002： 2005 中對資訊安全之定義：「保護資訊的機密性(Confidentiality)、完整性(Integrity)與可用性 (Availability)；另外也能涉及如可驗證性(Authenticity)、可歸責性(Accountability)、不可否認性(Non-Repudiation)與可靠性 (Reliability)等性質」[2] v 參考了ISO 7498 -2中的定義所提出的五項資訊通信所需具備的安全服務，包括了完整性、可驗證性(Authentication)、不可否認性、機密性以及存取控制 (Access Control) [15] v 參考了文獻[4]提到安全控制可以遵循某些相關資訊安全法規的需求來設置，因此加入「適法性」 v 參考了文獻[1]、[6]與[20]提到身分授權之相關安全議題，因此加入「存取控制」 2018/3/15 27

無線通訊網路實驗室資訊安全需求（續）資訊安全需求示意圖 2018/3/15 28

無線通訊網路實驗室資訊安全需求（續） v 機密性（Confidentiality）：資訊不被未經授權的個人、實體或過程取得或揭露的特性 v 完整性（Integrity）：確保資料是完整的，沒有被新增、刪除或不當修改。 v 可用性（Availability）：確保被授權的用戶，在需要資料或服務時，能順利取得 v 可驗證性（Authentication）：驗證資訊使用者的身分、可記錄資訊是被誰使用過，例如：帳號、身分證字號以及員編號等 v 可歸責性（Accountability）：所有主要的資訊資產應有人負責，並指定資產的所有人負責保護，而且管理的記錄必須是可以追溯的 v 不可否認性（Non-Repudiation）：防止存心不良的使用者否認其所做過的事，包括送出資料、接收資料及存取資料等。即交易的收發雙方無法否認執行過該交易 v 可靠性（Reliability）：始終如一預期之行為與結果的特性。 v 存取控制（Access Control）：隱含有授權(Authorization)的意思，即依據使用者的權限及屬性，控制使用者對系統資源的存取行為 v 適法性（Legality）：在操作上避免違反任何法律、法令、公司內部法規或契約義務，以及公司內部之安全政策 2018/3/15 29

無線通訊網路實驗室組成元件 v 參考了文獻[4]提出之安全控制模型，包含管理、資料、應用程式介面、軟體(作業系統及應用程式)、硬體(運算資源及儲存資源)、網路、環境與實體設備等元件 ü 安全政策與標準的制訂與維護－文獻[3]、[6]與[15] ü 服務等級協議的制訂－文獻[6]、[19]與[21] ü 資料之安全性文獻－文獻[5]、[6]、[15]與[20] ü 應用程式介面相關安全議題－文獻[1]、[5]、[6]與[15] ü 軟體相關安全議題－文獻[1]、[6]、[20]與[21] ü 硬體相關安全議題－文獻[1]、[6]與[21] ü 網路相關安全議題－文獻[1]、[6]、[20]與[21] ü 環境與實體設備相關安全議題－文獻[3]與[6]。 ü 虛擬機器安全議題－文獻[6]、[15]與[21] ü 人員相關安全議題－文獻[1]、[3]、[5]、[6]與[15] ü 法規相關安全議題－文獻[3]、[6]與[9] 2018/3/15 30

無線通訊網路實驗室組成元件（續）組成元件示意圖 2018/3/15 31

無線通訊網路實驗室組成元件（續） v 人員（Person）：幾乎所有的資訊安全議題都與人有關係，而人員也是最後的決策者，因此人員的因素是需要考量的，包含服務供應商之員與用戶等 v 法規（Regulatory）：企業處理的資料種類與商業性質與企業所在位置的當地法規以及產業標準有相當密切的關係，例如：電腦處理個人資料保護法、著作權法、國家機密保護法、電子簽章法等法規及其他相關標準 v 管理（Management）：組織在治理公司之初，需先依據業務、組織、所在位置、資產及技術等特性，定義資訊系統之政策、合約協議、使用者手冊、訓練教材或記錄、組織文件、作業程序、風險管理、組態管理、身分識別管理、存取管控、軟體及虛擬機器之修補管理與金鑰管理等，使組織能順利進行完成任務 v 資料（Data）：我們需要資料的記錄、呈現來表達我們想要傳遞的訊息，而資訊系統不外乎是將資料進行建立、處理、傳輸、儲存以及銷毀等動作，因此，資料的安全也是我們要去考量的。資料包括圖片、聲音、文字、數字、符號等檔案以及日誌檔。 v 應用程式介面（Application Programming Interface）：供應商必須要提供應用程式介面以方便用戶使用服務，例如：Google Maps 提供可以輕易地結合應用程式與地圖資料的API，例如：旅遊網站結合地圖資訊 v 虛擬機器（Virtual Machine）：雲端運算有虛擬化的特性，而虛擬化又必須依靠虛擬機器來達成，因此虛擬機器的安全性也是我們需要考量的。包括管理程序（Hypervisor ）、虛擬機器以及虛擬機器映像檔等 2018/3/15 32

無線通訊網路實驗室組成元件（續） v 軟體（Software）：軟體是經由軟體生命週期中開發、測試與上線各階段而產生，因此我們所使用的服務大多是透過服務供應商提供已建置完成的系統或程式而來。包括作業系統、應用程式、瀏覽器元件、開發具等；另外作業系統的種類與版本、軟體版本與作業環境也是包含在此項目中 v 硬體（Hardware）：可分為運算資源及儲存資源。輸入必須要經由運算能力處理後才能得到輸出，達到我們的目標，因此運算資源的安全性也是我們需要考量的，運算資源則包含CPU及記憶體等。而我們處理完畢後的資料必須要存放在某個位置中，方便下次繼續使用，因此儲存資源的安全性也是我們需要去考量的，儲存資源包含硬碟、磁帶等 v 網路（Internet, Network and Communication）：雲端基礎設施可能散布在多個地理位置，而每個地理位置之間都是藉由網路來進行連結，而我們也必須透過網路才可以管理與存取遠端的服務，因此網路通道也是我們需要去考量的，包括虛擬網路、無線網路與實體網路之流量與連線。另外，利用網路進行資料交換、分享、傳播已日漸普及，傳輸資料使用之標準也需要納入考慮，例如：TCP/IP通訊協定、短距離無線資料交換的藍芽（Bluetooth）、 802. 11傳輸標準，與長距離無線資料交換的802. 16傳輸標準等 v 環境與實體設備（Environment and Facilities）：我們需要實體的設備與空間來佈署基礎設施，因此實體設備與環境的安全是我們需要去考量的，包括辦公區域、檔案室、機房、空調、機電、消防、纜線、保全監視系統、警衛等的安置及維護 2018/3/15 33

無線通訊網路實驗室檢查清單與本方法之對應檢查清單 □ A. 1. 1 …… □ A. 2. 2 ……. . 46 項檢查清單 2018/3/15 填入對應結果可參照附錄 34

無線通訊網路實驗室本方法各構面之元件（修正後）資訊安全需求 v v v v v 機密性完整性可用性可驗證性可歸責性不可否認性可靠性存取控制適法性 2018/3/15 組成元件 v v v v v 資訊系統特性人員法規管理資料應用程式介面虛擬機器軟體硬體網路環境與實體設備 35 v v v v v 隨選所需自助服務廣泛的網路存取資源匯集快速且彈性量測服務分散式運算能力主機代管異質資料存放安全控管與稽核系統持續營運

無線通訊網路實驗室安全模型之分析與比較 2018/3/15 36

無線通訊網路實驗室模型適用對象分析 2018/3/15 雲端安全模型運作流程示意圖 37

無線通訊網路實驗室模型適用對象分析（續）雲端安全模型放大圖 2018/3/15 38

無線通訊網路實驗室用戶 v 根據調查，用戶在使用雲端運算服務時，最關心的莫過於雲端上敏感資料之機密性[7] ü 資訊安全需求構面之機密性 ü 組成元件構面之資料 ü 資訊系統特性構面之資源匯集、主機代管與異質資料存放 v 因為全球化的影響，服務供應商的資料中心可能位在多個國家，用戶會擔心其資料中心所在之國家是否有資料相關安全規範，避免當地政府未經授權的存取 ü 資訊安全需求構面之存取控制 ü 組成元件構面之法規與資料 ü 資訊系統特性構面之資源匯集與異質資料存放 2018/3/15 39

無線通訊網路實驗室供應商 v 有些服務供應商主推資料隱私性，避免資料隱私以及資料儲存位置之法規所造成之安全議題 ü 資訊安全需求構面之機密性、完整性與適法性 ü 組成元件構面之法規與資料 ü 資訊系統特性構面之廣泛網路存取、主機代管、異質資料存放 v 有些服務供應商主推資料可用性，資料在任何時候都可以進行存取，即使發生中斷也能在最短時間修復或啟用備援措施 ü 資訊安全需求構面之可用性與可靠性 ü 組成元件構面之資料 ü 資訊系統特性構面之系統持續營運 2018/3/15 40

無線通訊網路實驗室稽核人員 v 稽核人員可能會依照該供應商提供的服務種類以及該供應商所屬之產業特性來進行稽核 ü 管理層面 ü 技術層面 ü 以相關產業之安全標準 v 稽核人員要以HIPAA (Health Insurance Portability and Accountability Act)法規來稽核醫療機構對病患資訊的處理 ü 資訊安全需求構面之機密性、可用性與適法性 ü 組成元件構面之法規與資料 ü 資訊系統特性構面之廣泛網路存取、異質資料存放、安全控管與稽核以及系統持續營運 2018/3/15 41

無線通訊網路實驗室情境應用─ ─以用戶為例 v 以亞馬遜（Amazon）推出的雲端儲存服務（Simple Storage Service, S 3）為例 ü 資料是否能隨時存取 ü 組成元件構面之資料與網路 ü 資訊系統特性構面之廣泛的網路存取、異質資料存放、主機代管與系統持續營運 ü 資訊安全需求構面之可用性與可靠性 v 在本方法中形成十六個交會處，分別為：（資料, 廣泛的網路存取, 可用性）、（資料, 異質資料存放, 可用性）、（資料, 主機代管, 可用性）、（資料, 系統持續營運, 可用性）、（資料, 廣泛的網路存取, 可靠性）、（資料, 異質資料存放, 可靠性）、（資料, 主機代管, 可靠性）、（資料, 系統持續營運, 可靠性）、（網路, 廣泛的網路存取, 可用性）、（網路, 異質資料存放, 可用性）、（網路, 主機代管, 可用性）、（網路, 系統持續營運, 可用性）、（網路, 廣泛的網路存取, 可靠性）、（網路, 異質資料存放, 可靠性）、（網路, 主機代管, 可靠性）、（網路, 系統持續營運, 可靠性） 2018/3/15 42

無線通訊網路實驗室情境應用─ ─系統初始畫面 2018/3/15 系統初始畫面 43

無線通訊網路實驗室情境應用─ ─系統畫面 2018/3/15 系統畫面 44

無線通訊網路實驗室情境應用─ ─系統畫面（續） 2018/3/15 系統畫面 45

無線通訊網路實驗室情境應用─ ─檢查清單總表 1. A. 2. 1資料與服務之可攜性不足 2. B. 1. 1缺乏災難復原的能力 3. B. 1. 2未對資安事件進行監測與改善 4. B. 1. 3第三方供應商私自行為未知會 5. B. 1. 4跨雲間的應用程式產生隱藏依賴 6. B. 2. 5軟體授權議題 7. B. 3. 1系統組態設定不安全 8. B. 3. 2系統修補程序管理薄弱 9. B. 4. 6阻斷服務 10. B. 7. 1 身分驗證方法不安全 11. B. 7. 3身分授權檢查不足 12. B. 8. 1隔離機制失效 2018/3/15 檢查清單總表 46

無線通訊網路實驗室　　　　　文獻項目人員與其他文獻之比較文獻 [13] 文獻 [4] V V SLA協議 V V 應用程式介面運算資源 V V V V V 文獻比較表 2018/3/15 V V 管理硬體 V V 資料網路本論文 V 法規網站應用程式文獻 [6] 47 V V V

無線通訊網路實驗室與其他文獻之比較（續）文獻項目儲存資源實體作業系統 /應用程式文獻 [13] 文獻 [4] 文獻 [6] 本論文 V V V V 公用運算 IAAA機制 V V 文獻比較表 2018/3/15 V 48

無線通訊網路實驗室結論與未來研究方向 2018/3/15 49

無線通訊網路實驗室結論 v 閱讀雲端安全模型與雲端安全威脅相關之文獻 v 整理現有雲端安全模型與威脅相關文獻後，進行本方法構面之選擇，歸納並整合出「組成元件」、「資訊系統特性」、「資訊安全需求」為本安全模型的三大構面 v 參考相關文獻後，將雲端安全威脅進行分類，成為本方法之檢查清單，並與本方法進行對應，也請資訊安全專家協助將這些檢查清單與本方法進行對應 v 分析供應商、用戶與稽核人員使用本方法之情況，使用者可以依照自己的需求來選定三個構面中之特定元件，選定之後即可找到相對應的檢查清單，使用者便可以依照此檢查清單進行雲端威脅的查核，最後以情境應用之方式來說明本方法之使用流程 v 將本方法與其他現有雲端威脅分類進行比較後，證明本方法可以涵蓋其他分類方法所識別出的安全威脅 2018/3/15 50

無線通訊網路實驗室研究貢獻 v 廣泛蒐集雲端安全之文獻 v 雲端安全威脅之檢查清單分類 v 雲端安全模型之全面性 v 提供較實務的檢查清單 2018/3/15 51

無線通訊網路實驗室未來研究方向 v 依照資訊安全等級的要求以及所處產業的相關法規，將元件進行彈性的增刪或修改 v 使用對象亦可以為資訊安全專家、服務供應商之同業競爭者 v 行動運算安全 2018/3/15 52

無線通訊網路實驗室參考文獻 2018/3/15 53

無線通訊網路實驗室參考文獻 [1]Almulla, A. A. and Yeun C. Y. , “Cloud Computing Security Management, ” The Second International Conference on Engineering Systems Management and Its Applications, pp. 1 -7, Sharjah, March-April 2010. [2]BSI, “Information technology - Security techniques - Code of practice for information security management”, BS ISO/IEC 27002: 2005, 2005. [3]BSI, “Information technology - Security techniques - Information security management systems - Requirements”, BS ISO/IEC 27001: 2005, 2005. [4]Cloud Security Alliance, “Security Guidance for Critical Areas of Focus in Cloud Computing V 2. 1, ” http: //www. cloudsecurityalliance. org/guidance/csaguide. v 2. 1. pdf, December 2009. [5]Cloud Security Alliance, “Top Threats to Cloud Computing V 1. 0, ” http: //www. cloudsecurityalliance. org/topthreats/csathreats. v 1. 0. pdf, March 2010. [6]Dawoud, W. , Takouna, I. and Meinel, C. , “Infrastructure as a Service Security: Challenges and Solutions, ” The Seventh International Conference on Informatics and Systems, pp. 1 -8, Cairo, Ｍarch 2010. [7]de Chaves, S. A. , Westphall, C. B. and Lamin, F. R. , “SLA Perspective in Security Management for Cloud Computing, ” The Sixth International Conference on Networking and Services, pp. 212 -217, Cancun, March 2010. [8]European Network and Information Security Agency, “Cloud computing: benefits, risks and recommendations for information security, ”http: //www. enisa. europa. eu/act/rm/files/deliverables/cloudcomputing-risk-assessment, 2009. 2018/3/15 54

無線通訊網路實驗室參考文獻（續） [9]European Network and Information Security Agency, “Survey An SME Perspective on Cloud Computing, ” http: //www. enisa. europa. eu/act/rm/. . . /cloud-computing-sme-survey/at. . . /full. Report, 2009. [10]Garfinkel, T. and Rosenblum, M. , “When virtual is harder than real: security challenges in virtual machine based computing environments, ” Proceedings of the 10 th conference on Hot Topics in Operating Systems - Volume 10, 2005. [11]Gartner , “Gartner: Seven Cloud-Computing Security Risks, ” 　 http: //www. infoworld. com/d/securitycentral/gartner-seven-cloud-computing-security-risks-853, 2008. [12]Gartner, http: //www. gartner. com/technology/home. jsp. [13]Grobauer, B. , Walloschek, T. and Stocker, E. , “Understanding Cloud-Computing Vulnerabilities, ” IEEE Security and Privacy, Vol. 9, No. 2, pp. 50 -57, March-April 2010. [14]International Data Corporation, “From Silicon to Cloud : Building Up to Cloud Computing, ” IDC Technology Spotlight, April 2009. [15]ISO. ISO 7498 -2: 1989. Information processing systems -- Open Systems Interconnection -- Basic Reference Model -- Part 2: Security Architecture. Geneva: ISO, 1989. ISO 7498 -2. [16]Jericho Forum, “Cloud Cube Model: Selecting Cloud Formations for Secure Collaboration, V 1. 0”, April 2009. [17]John, M. , “Information Systems Security: A Comprehensive Model, ” Proceedings 14 th National Computer Security Conference. National Institute of Standards and Technology. Baltimore, MD. October 1991. 2018/3/15 55

無線通訊網路實驗室參考文獻（續） [18]Kirch, J. , “Virtual Machine Security Guidelines, ” http: //www. cisecurity. org/tools 2/vm/CIS VM Benchmark v 1. 0. pdf, Assessed on 2007. [19]National Institute of Standards and Technology (NIST) Information Technology Laboratory, “NIST Definition of Cloud Computing v 15, ” http: //csrc. nist. gov/groups/SNS/cloud-computing, July 2009. [20]OWASP Top 10 Application Security Risks -2010, http: //owasptop 10. googlecode. com/files/OWASP%20 Top%2010%20 - %202010. pdf , Accessed: 19 June 2010. [21]Popovic, K. and Hocenski, Ž. , “Cloud Computing Security Issues and Challenges, ” The 33 th International Convention on Information and Communication Technology, Electronics and Microelectronics (MIPRO), pp. 344 -349, Opatija, May 2010. [22]Subashini, S. and Kavitha, V. , “A Survey On Security Issues in Service Delivery Models of Cloud Computing, ” Journal of Network and Computer Applications, Vol. 34, pp. 1 -11, January 2010. [23]Youseff, L. , Butrico, M. and Da Silva, D. , “Towards a Unified Ontology of Cloud Computing, ” In: Grid Computing Environments Workshop, 2008. GCE '08, pp. 1 -10, November 2008. [24]IBM，「IBM端運算白皮書」，ftp: //ftp. software. ibm. com/software/tw/tivoli/anquanyunduanyunsuan. pdf， 2009年 11月。 [25]王平、林文暉、郭溥村、王子夏、盧永翔，「雲端運算服務之資安風險與挑戰」，資訊安全通訊雜誌，Vol. 16 No. 4，2010年 10月。 2018/3/15 56

無線通訊網路實驗室參考文獻（續） [26]中華電信研究所寬頻網路研究室，「雲端運算對於電信產業的影響」， opm. twnic. net. tw/cloud/doc/5. pdf，存取日期：民國99年。 [27]林秉忠、陳彥銘，「無線網路安全白皮書」， http: //www. cert. org. tw/document/docfile/Wireless_Security. pdf，民國92年。 [28]雲端運算使用案例討論小組，「雲端運算使用案例白皮書」，第四版， http: //opencloudmanifesto. org/Cloud_Computing_Use_Cases_Whitepaper-4_0 China_T. Chinese_translation. pdf，存取日期：民國99年。雲端運算下資訊安全之探討 [29]彭秀琴、張念慈，「」，www. cepd. gov. tw/dn. aspx? uid=9857，民國99年。 [30]經濟部，「雲端運算產業發展方案」，www. cepd. gov. tw/dn. aspx? uid=8418，民國99年。 [31]資策會MIC，http: //mic. iii. org. tw/intelligence，民國99年。 [32]鐘嘉德、高天助、楊嘉栩，「雲端運算與產業發展」http: //bimn. rdec. gov. tw/lib 02/bimn/27802. pdf，存取日期：民國99年。 2018/3/15 57

無線通訊網路實驗室感謝大家的聆聽！ Q & A 2018/3/15 58

無線通訊網路實驗室附錄 2018/3/15 59

無線通訊網路實驗室資訊安全需求組成元件人員法規雲端安全威脅對應結果機密性完整性可用性 A. 1. 1, A. 1. 2, A. 1. 4, A. 3. 1, A. 3. 2, B. 1. 3, B. 2. 1, B. 2. 2, B. 3. 1, B. 3. 2, B. 6. 4, B. 6. 6, B. 7. 1, B. 7. 3 A. 1. 1, B. 1. 3, B. 2. 1, B. 2. 2, B. 3. 1, B. 3. 2, B. 6. 4, B. 6. 5, B. 6. 6 A. 1. 1, A. 1. 3, A. 2. 1, B. 1. 3, B. 2. 1 B. 2. 2, B. 3. 1, B. 3. 2, B. 6. 4, B. 6. 5, B. 6. 6 A. 1. 1, A. 1. 2, A. 1. 4, A. 3. 1, A. 3. 2, B. 1. 3, B. 2. 1, B. 2. 2, B. 2. 3, B. 2. 4, B. 3. 1, B. 3. 2 A. 1. 1, B. 1. 3, B. 2. 1, B. 2. 2, B. 2. 4, B. 3. 1, B. 3. 2, B. 4. 4, B. 4. 5, B. 6. 1, B. 6. 3, B. 6. 4, B. 6. 5, B. 6. 6, B. 7. 6, B. 8. 1, B. 8. 2, B. 8. 3 A. 1. 1, A. 1. 3, A. 2. 1, B. 1. 3, B. 2. 1 B. 2. 2, B. 2. 5, B. 3. 1, B. 3. 2, B. 4. 6, B. 5. 1, B. 6. 4, B. 6. 5, B. 6. 6, B. 8. 1 2018/3/15 可驗證性 A. 1. 1, A. 1. 2, A. 1. 3, A. 1. 4, A. 3. 3, A. 3. 4, A. 4. 1, A. 4. 2, A. 6. 4, B. . 6. 5, B. 6. 6, B. 7. 1, B. 7. 2, B. 7. 4, B. 7. 5 A. 3. 2, A. 3. 3, B. 2. 4, B. 4. 3, B. 4. 4, B. 6. 1, B. 6. 2, B. 6. 4, B. 6. 5, B. 6. 6, B. 7. 1, B. 7. 2, B. 7. 4, B. 7. 5 60 可歸責性不可否認性可靠性存取控制適法性 A. 1. 1, A. 1. 2, A. 1. 3, A. 3. 4, A. 4. 1, A. 4. 2, B. 6. 4, B. 6. 6 B. 6. 5, B. 6. 6 A. 2. 1, A. 3. 3, A. 3. 4, B. 1. 1, B. 1. 2, B. 1. 3, B. 1. 4, B. 3. 3 A. 1. 1, A. 1. 4, A. 3. 2, A. 3. 3, B. 2. 1, B. 2. 2, B. 3. 1, B. 3. 2, B. 6. 6, B. 7. 1, B. 7. 2, B. 7. 3, B. 7. 4, B. 7. 5 A. 1. 1, A. 1. 2, A. 1. 3, A. 1. 4, A. 2. 1, A. 3. 1, A. 3. 2, A. 3. 3, A. 3. 4, A. 4. 1, A. 4. 2, B. 1. 1, B. 1. 2, B. 1. 3, B. 1. 4, B. 2. 1, B. 2. 2, B. 3. 1, B. 3. 2, B. 3. 3, B. 6. 4, B. 6. 5, B. 6. 6, B. 7. 1, B. 7. 2, B. 7. 3, B. 7. 4, B. 7. 5, A. 1. 1, A. 1. 2, A. 1. 3, A. 3. 4, A. 4. 1, A. 4. 2, B. 2. 5, B. 6. 4, B. 6. 6 B. 7. 6 B. 6. 5, B. 6. 6 A. 2. 1, A. 3. 3, A. 3. 4, B. 1. 1, B. 1. 2, B. 1. 3, B. 1. 4, B. 3. 3 A. 1. 1, A. 1. 4, A. 3. 2, A. 3. 3, B. 2. 1, B. 2. 2, B. 2. 3, B. 2. 4 B. 3. 1, B. 3. 2, B. 4. 3, B. 4. 4, B. 4. 5, B. 5. 1, B. 6. 6, B. 7. 1, B. 7. 2, B. 7. 3, B. 7. 4, B. 7. 5, B. 8. 1 A. 1. 1, A. 1. 2, A. 1. 3, A. 1. 4, A. 2. 1, A. 3. 1, A. 3. 2, A. 3. 3, A. 3. 4, A. 4. 1, A. 4. 2, B. 1. 1, B. 1. 2, B. 1. 3, B. 1. 4, B. 2. 1, B. 2. 2, B. 2. 3, B. 2. 4, B. 2. 5, B. 3. 1, B. 3. 2, B. 3. 3, B. 4. 1, B. 4. 2, B. 4. 3, B. 4. 4, B. 4. 5, B. 4. 6, B. 5. 1, B. 5. 2, B. 6. 1, B. 6. 2, B. 6. 3, B. 6. 4, B. 6. 5, B. 6. 6, B. 7. 1, B. 7. 2, B. 7. 3, B. 7. 4, B. 7. 5, B. 7. 6, B. 8. 1, B. 8. 2, B. 8. 3

無線通訊網路實驗室資訊安全需求組成元件完整性可用性可驗證性可歸責性不可否認性可靠性存取控制 A. 1. 1, A. 1. 2, A. 1. 4, A. 3. 1, A. 3. 2, B. 1. 3, B. 2. 1, B. 2. 2, B. 2. 3, B. 2. 4, B. 3. 1, B. 3. 2 A. 1. 1, B. 1. 3, B. 2. 1, B. 2. 2, B. 2. 4, B. 3. 1, B. 3. 2, B. 6. 1, B. 6. 3, B. 6. 4, B. 6. 5, B. 6. 6, B. 7. 6, B. 8. 1, B. 8. 2, B. 8. 3 A. 1. 1, A. 1. 3, A. 2. 1, B. 1. 3, B. 2. 1 B. 2. 2, B. 2. 5, B. 3. 1, B. 3. 2, B. 5. 1, B. 6. 4, B. 6. 5, B. 6. 6, B. 8. 1 A. 3. 2, A. 3. 3, B. 2. 4, B. 6. 1, B. 6. 2, B. 6. 4, B. 6. 5, B. 6. 6, B. 7. 1, B. 7. 2, B. 7. 4, B. 7. 5 A. 1. 1, A. 1. 2, A. 1. 3, A. 3. 4, A. 4. 1, A. 4. 2, B. 2. 5, B. 6. 4, B. 6. 6 B. 7. 6 B. 6. 5, B. 6. 6 A. 2. 1, A. 3. 3, A. 3. 4, B. 1. 1, B. 1. 2, B. 1. 3, B. 1. 4, B. 3. 3 A. 1. 1, A. 1. 4, A. 3. 2, A. 3. 3, B. 2. 1, B. 2. 2, B. 2. 3, B. 2. 4 B. 3. 1, B. 3. 2, B. 5. 1, B. 6. 6, B. 7. 1, B. 7. 2, B. 7. 3, B. 7. 4, B. 7. 5, B. 8. 1 A. 1. 1, A. 1. 2, A. 1. 4, A. 3. 1, A. 3. 2, B. 1. 3, B. 2. 1, B. 2. 2, B. 2. 3, B. 2. 4, B. 3. 1, B. 3. 2 管理機密性 A. 1. 1, B. 1. 3, B. 2. 1, B. 2. 2, B. 2. 4, B. 3. 1, B. 3. 2, B. 4. 4, B. 4. 5, B. 6. 1, B. 6. 3, B. 6. 4, B. 6. 5, B. 6. 6, B. 7. 6, B. 8. 1, B. 8. 2, B. 8. 3 A. 1. 1, A. 1. 3, A. 2. 1, B. 1. 3, B. 2. 1 B. 2. 2, B. 2. 5, B. 3. 1, B. 3. 2, B. 4. 6, B. 5. 1, B. 6. 4, B. 6. 5, B. 6. 6, B. 8. 1 A. 3. 2, A. 3. 3, B. 2. 4, B. 4. 3, B. 4. 4, B. 6. 1, B. 6. 2, B. 6. 4, B. 6. 5, B. 6. 6, B. 7. 1, B. 7. 2, B. 7. 4, B. 7. 5 A. 1. 1, A. 1. 2, A. 1. 3, A. 3. 4, A. 4. 1, A. 4. 2, B. 2. 5, B. 6. 4, B. 6. 6 B. 7. 6 B. 6. 5, B. 6. 6 A. 2. 1, A. 3. 3, A. 3. 4, B. 1. 1, B. 1. 2, B. 1. 3, B. 1. 4, B. 3. 3 A. 1. 1, A. 1. 4, A. 3. 2, A. 3. 3, B. 2. 1, B. 2. 2, B. 2. 3, B. 2. 4 B. 3. 1, B. 3. 2, B. 4. 3, B. 4. 4, B. 4. 5, B. 5. 1, B. 6. 6, B. 7. 1, B. 7. 2, B. 7. 3, B. 7. 4, B. 7. 5, B. 8. 1 資料 2018/3/15 61 適法性 A. 1. 1, A. 1. 2, A. 1. 3, A. 1. 4, A. 2. 1, A. 3. 1, A. 3. 2, A. 3. 3, A. 3. 4, A. 4. 1, A. 4. 2, B. 1. 1, B. 1. 2, B. 1. 3, B. 1. 4, B. 2. 1, B. 2. 2, B. 2. 3, B. 2. 4, B. 2. 5, B. 3. 1, B. 3. 2, B. 3. 3, B. 5. 1, B. 5. 2, B. 6. 1, B. 6. 2, B. 6. 3, B. 6. 4, B. 6. 5, B. 6. 6, B. 7. 1, B. 7. 2, B. 7. 3, B. 7. 4, B. 7. 5, B. 7. 6, B. 8. 1, B. 8. 2, B. 8. 3 A. 1. 1, A. 1. 2, A. 1. 3, A. 1. 4, A. 2. 1, A. 3. 1, A. 3. 2, A. 3. 3, A. 3. 4, A. 4. 1, A. 4. 2, B. 1. 1, B. 1. 2, B. 1. 3, B. 1. 4, B. 2. 1, B. 2. 2, B. 2. 3, B. 2. 4, B. 2. 5, B. 3. 1, B. 3. 2, B. 3. 3, B. 4. 1, B. 4. 2, B. 4. 3, B. 4. 4, B. 4. 5, B. 4. 6, B. 5. 1, B. 5. 2, B. 6. 1, B. 6. 2, B. 6. 3, B. 6. 4, B. 6. 5, B. 6. 6, B. 7. 1, B. 7. 2, B. 7. 3, B. 7. 4, B. 7. 5, B. 7. 6, B. 8. 1, B. 8. 2, B. 8. 3

無線通訊網路實驗室資訊安全需求組成元件雲端安全威脅對應結果（續）完整性可用性可驗證性 B. 2. 1, B. 2. 2, B. 2. 3, B. 2. 4, B. 7. 3, B. 8. 1 B. 2. 1, B. 2. 2, B. 2. 4, B. 8. 1 B. 1. 4, B. 2. 1, B. 2. 2, B. 7. 3, B. 8. 1 B. 2. 4 B. 3. 1, B. 6. 6, B. 8. 1, B. 8. 2, B. 8. 3 B. 2. 5, B. 3. 1, B. 8. 1 B. 6. 6, B. 7. 4 B. 2. 5, B. 6. 6 B. 2. 1, B. 2. 2, B. 2. 4, B. 3. 1, B. 3. 2, B. 6. 1, B. 6. 3, B. 8. 1 A. 2. 1, B. 1. 4, B. 2. 1, B. 2. 2, B. 2. 5, B. 3. 1, B. 3. 2, B. 3. 3, B. 7. 1, B. 7. 3, B. 8. 1 B. 2. 4, B. 6. 1, B. 6. 2, B. 7. 1, B. 7. 2 A. 4. 2, B. 2. 5 硬體 B. 2. 1, B. 2. 2, B. 2. 3, B. 2. 4, B. 3. 1, B. 3. 2, B. 5. 2, B. 6. 1, B. 6. 2, B. 6. 3, B. 7. 1, B. 7. 3, B. 8. 1 B. 6. 2, B. 6. 6 網路 B. 4. 1, B. 4. 2 B. 4. 4, B. 4. 5 B. 3. 3, B. 4. 6 A. 4. 2, B. 6. 6, B. 7. 6 B. 4. 3, B. 4. 4 環境與實體設備 B. 5. 2 B. 5. 1 B. 4. 2 應用程式介面虛擬機器軟體機密性 2018/3/15 B. 6. 6, B. 7. 6 可歸責性不可否認性可靠性存取控制適法性 B. 2. 1, B. 2. 2, B. 2. 3, B. 2. 4, B. 7. 3, B. 8. 1 62 B. 1. 4, B. 2. 1, B. 2. 2, B. 2. 3, B. 2. 4, B. 7. 3, B. 8. 1 B. 3. 1, B. 6. 6, B. 7. 4, B. 8. 1 B. 2. 5, B. 3. 1, B. 6. 6, B. 7. 4, B. 8. 1, B. 8. 2, B. 8. 3 A. 2. 1, B. 1. 1, B. 3. 3 B. 2. 1, B. 2. 2, B. 2. 3, B. 2. 4, B. 3. 1, B. 3. 2, B. 7. 1, B. 7. 2, B. 7. 3, B. 8. 1 A. 4. 2, B. 1. 1, B. 2. 1, B. 2. 2, B. 2. 3, B. 2. 4, B. 2. 5, B. 3. 1, B. 3. 2, B. 3. 3, B. 5. 2, B. 6. 1, B. 6. 2, B. 6. 3, B. 7. 1, B. 7. 2, B. 7. 3, B. 8. 1 B. 3. 3 B. 6. 6 A. 4. 2, B. 3. 3, B. 6. 2, B. 6. 6, B. 7. 6 B. 3. 3 B. 4. 3, B. 4. 4, B. 4. 5 B. 3. 3, B. 4. 1, B. 4. 2, B. 4. 3, B. 4. 4, B. 4. 5, B. 4. 6 B. 4. 2, B. 5. 1, B. 5. 2 B. 6. 6, B. 5. 1

無線通訊網路實驗室雲端安全威脅對應結果（續）資訊系統特性資訊安全需求隨選所需自助服務廣泛的網路存取資源匯集快速且彈性量測服務主機代管異質資料存放安全控管與稽核系統持續營運 B. 3. 1, B. 3. 2, B. 6. 6, B. 7. 1, B. 8. 1 B. 4. 4, B. 4. 5, B. 6. 1, B. 7. 3, B. 8. 3 A. 1. 2, B. 5. 2, B. 6. 1, B. 6. 2, B. 6. 3, B. 6. 4, B. 8. 1, B. 8. 3 B. 2. 4, B. 6. 6, B. 7. 3, B. 8. 1 B. 7. 1 B. 1. 3, B. 3. 1, B. 3. 2, B. 6. 6, B. 8. 1, B. 8. 2, B. 8. 3 B. 5. 2, B. 6. 1, B. 6. 2, B. 6. 3, B. 8. 1 A. 1. 1, A. 1. 2, A. 1. 4, A. 3. 1, A. 3. 2, B. 1. 3, B. 2. 1, B. 2. 2, B. 2. 3, B. 2. 4, B. 3. 1, B. 3. 2, B. 4. 1, B. 4. 2, B. 5. 2, B. 6. 1, B. 6. 2, B. 6. 3, B. 6. 4, B. 6. 6, B. 7. 1, B. 7. 3, B. 8. 1, B. 8. 2, B. 8. 3 A. 3. 1, B. 1. 3 B. 4. 6, B. 6. 1, B. 8. 3 B. 6. 1, B. 6. 3, B. 6. 4, B. 7. 6, B. 8. 1, B. 8. 3 B. 2. 4, B. 6. 6, B. 8. 1 B. 7. 6 B. 1. 3, B. 3. 1, B. 3. 2, B. 6. 6, B. 8. 1, B. 8. 2, B. 8. 3 B. 6. 1, B. 6. 3, B. 8. 1 A. 1. 1, B. 1. 3, B. 2. 1, B. 2. 2, B. 2. 4, B. 3. 1, B. 3. 2, B. 6. 1, B. 6. 4, B. 4. 4, B. 4. 5, B. 6. 3, B. 6. 5, B. 6. 6, B. 7. 6, B. 8. 1, B. 8. 2, B. 8. 3 B. 1. 3 完整性 B. 3. 1, B. 3. 2, B. 6. 6, B. 8. 1 B. 2. 5, B. 4. 3, B. 4. 4, B. 7. 1, B. 7. 3 A. 1. 3, B. 3. 3, B. 8. 1 B. 2. 5, B. 3. 3, B. 7. 1 A. 2. 1, B. 1. 3, B. 1. 4, B. 3. 1, B. 3. 2, B. 8. 1 B. 1. 4, B. 8. 1 A. 1. 1, A. 1. 3, A. 2. 1, B. 1. 1, B. 1. 3, B. 1. 4, B. 2. 1, B. 2. 2, B. 3. 1, B. 3. 2, B. 3. 3, B. 4. 6, B. 5. 1, B. 6. 5, B. 7. 1, B. 7. 3, B. 8. 1 A. 2. 1, B. 1. 3, B. 1. 4, B. 4. 6 可用性 B. 2. 5, B. 3. 1, B. 3. 2, B 71, B. 8. 1 B. 6. 1, B. 7. 1, B. 7. 2, B. 7. 4 B. 6. 1, B. 6. 2, B. 6. 4 B. 2. 4, B. 6. 6, B. 7. 2, B. 7. 4, B. 7. 5 B. 7. 1 B. 6. 6 B. 6. 1, B. 6. 2 可驗證性 B. 6. 6, B. 7. 1, B. 7. 4, B. 7. 5 A. 3. 2, A. 3. 3, B. 2. 4, B. 4. 3, B. 4. 4, B. 6. 1, B. 6. 2, B. 6. 4, B. 7. 1, B. 7. 5, B. 6. 6, B. 7. 1, B. 7. 2 B. 2. 5, B. 6. 6 B. 2. 5 A. 1. 2, A. 1. 3, B. 6. 4 B. 2. 5, B. 6. 6 B. 2. 5, B. 7. 6 B. 6. 6 機密性可歸責性不可否認性 B. 6. 6 2018/3/15 B. 6. 6 63 A. 1. 1, B. 1. 2, A. 1. 3, A. 1. 4, A. 3. 3, A. 3. 4, A. 4. 1, A. 4. 2, B. 6. 4, B. 6. 6, B. 7. 6 B. 6. 5, B. 6. 6

無線通訊網路實驗室雲端安全威脅對應結果（續）資訊系統特性資訊安全需求隨選所需自助服務廣泛的網路存取資源匯集快速且彈性量測服務主機代管異質資料存放 B. 3. 3 A. 2. 1, B. 1. 3, B. 1. 4 B. 3. 1, B. 3. 2, B. 6. 6, B. 7. 1, B. 7. 4, B. 7. 5, B. 8. 1 B. 4. 3, B. 4. 4, B. 4. 5, B. 7. 1, B. 7. 2, B. 7. 3, B. 7. 4 B. 7. 2, B. 8. 1 B. 2. 4, B. 6. 6, B. 7. 3, B. 7. 4, B. 7. 5, B. 8. 1 B. 7. 1 B. 2. 5, B. 3. 1, B. 3. 2, B. 6. 6, B. 7. 1, B. 7. 4, B. 7. 5, B. 8. 1 B. 2. 5, B. 4. 1, B. 4. 2, B. 4. 3, B. 4. 4, B. 4. 5, B. 4. 6, B. 6. 1, B. 7. 2, B. 7. 3, B. 7. 4, B. 8. 3 A. 1. 2, A. 1. 3, B. 3. 3, B. 5. 2, B. 6. 1, B. 6. 2, B. 6. 3, B. 6. 4, B. 7. 2, B. 7. 6, B. 8. 1, B. 8. 3 B. 2. 4, B. 2. 5, B. 3. 3, B. 6. 6, B. 7. 3, B. 7. 4, B. 7. 5, B. 8. 1 B. 2. 5, B. 3. 3, B. 7. 1, B. 7. 6 可靠性存取控制適法性 2018/3/15 64 安全控管與稽核系統持續營運 B. 1. 4 A. 2. 1, A. 3. 3, A. 3. 4, B. 1. 1, B. 1. 2, B. 1. 3, B. 1. 4, B. 3. 3 B. 1. 1, B. 1. 2, A. 2. 1, B. 1. 3, B. 1. 4 B. 3. 1, B. 3. 2, B. 6. 6, B. 8. 1 A. 1. 1, A. 1. 4, A. 3. 2, A. 3. 3, B. 2. 1, B. 2. 2, B. 2. 4, B. 3. 1, B. 3. 2, B. 4. 4, B. 4. 5, B. 4. 3, B. 5. 1, B. 6. 6, B. 7. 1, B. 7. 2, B. 7. 3, B. 7. 5, B. 8. 1 B. 1. 3, B. 1. 4, B. 3. 1, B. 3. 2, B. 6. 6, B. 8. 1, B. 8. 2, B. 8. 3 B. 1. 4, B. 5. 2, B. 6. 1, B. 6. 2, B. 6. 3, B. 8. 1 A. 1. 1, A. 1. 2, A. 1. 3, A. 1. 4, A. 3. 1, A. 3. 2, A. 3. 3, A. 3. 4, A. 4. 1, A. 4. 2, B. 1. 1, B. 1. 2, B. 1. 3, B. 1. 4, B. 2. 1, B. 2. 2, B. 2. 3, B. 2. 4, B. 3. 1, B. 3. 2, B. 3. 3, B. 4. 1, B. 4. 2, B. 4. 3, B. 4. 4, B. 4. 5, B. 4. 6, B. 5. 1, B. 5. 2, B. 6. 1, B. 6. 2, B. 6. 3, B. 6. 4, B. 6. 5, B. 6. 6, B. 7. 1, B. 7. 2, B. 7. 3, B. 7. 4, B. 7. 5, B. 7. 6, B. 8. 1, B. 8. 2, B. 8. 3 A. 3. 1, B. 1. 3, B. 1. 4, B. 1. 1, B. 1. 2, B. 4. 6

組成元件無線通訊網路實驗室人員法規管理資料應用程式介面虛擬機器軟體硬體網路 B. 3. 1, B. 3. 2, B. 7. 4, B. 6. 6, B. 7. 1, B. 7. 5 B. 2. 5, B. 3. 1, B. 3. 2, B. 6. 6, B. 7. 1, B. 7. 4, B. 7. 5, B. 8. 1 B. 2. 5, B. 3. 1, B. 6. 6, B. 7. 4, B. 8. 1 B. 2. 5, B. 3. 1, B. 3. 2, B. 7. 1, B. 7. 4, B. 8. 1 B. 6. 6, B. 8. 1 B. 7. 1, B. 7. 2, B. 7. 3, B. 7. 4 B. 2. 5, B. 4. 1, B. 4. 2, B. 4. 3, B. 4. 4, B. 4. 5, B. 4. 6, B. 6. 1, B. 7. 1, B. 7. 2, B. 7. 3, B. 7. 4, B. 8. 3 B. 7. 3 B. 2. 5, B. 7. 4, B. 8. 3 B. 2. 5, B. 6. 1, B. 7. 2, B. 7. 3, B. 7. 4 A. 1. 2, A. 1. 3, B. 3. 3, B. 6. 4, B. 7. 2 A. 1. 2, A. 1. 3, B. 3. 3, B. 5. 2, B. 6. 1, B. 6. 2, B. 6. 3, B. 6. 4, B. 7. 2, B. 7. 6, B. 8. 1, B. 8. 3 B. 8. 1, B. 8. 3 B. 3. 3, B. 5. 2, B. 6. 1, B. 6. 2, B. 6. 3, B. 7. 2, B. 8. 1 B. 3. 3, B. 6. 1, B. 8. 3 B. 3. 3, B. 7. 1 B. 2. 4, B. 2. 5, B. 3. 3, B. 6. 6, B. 7. 3, B. 7. 4, B. 7. 5, B. 8. 1 B. 2. 4, B. 7. 3, B. 8. 1 B. 2. 5, B. 6. 6, B. 7. 4, B. 8. 1 B. 2. 4, B. 2. 5, B. 3. 3, B. 7. 3. , B. 7. 4, B. 8. 1 B. 3. 3, B. 6. 6, B. 8. 1 B. 3. 3, B. 8. 1 A. 2. 1, B. 1. 3, B. 1. 4, B. 3. 1, B. 3. 2, B. 6. 6 B. 2. 5, B. 3. 3, B. 7. 1, B. 7. 6 B. 2. 5 B. 3. 3 A. 2. 1, B. 1. 3, B. 1. 4, B. 3. 1, B. 3. 2, B. 6. 6, B. 8. 1, B. 8. 2, B. 8. 3 B. 2. 5, B. 3. 3, B. 7. 1 A. 2. 1, B. 3. 2, B. 1. 4, B. 8. 1 資訊系統特性隨選所需自助服務廣泛的網路存取資源匯集快速且彈性量測服務主機代管 2018/3/15 65 B. 8. 1 B. 3. 1, B. 6. 6, B. 8. 1, B. 8. 2, B. 8. 3 環境與實體設備 B. 4. 1, B. 4. 2, B. 4. 3, B. 4. 4, B. 4. 5, B. 4. 6, B. 6. 1. , B. 8. 3 B. 6. 6, B. 8. 1 B. 5. 2

組成元人法規管理資料應用程式介面虛擬機器軟體硬體網路 B. 1. 4, B. 5. 2, B. 6. 1, B. 6. 2, B. 6. 3 B. 5. 2, B. 6. 1, B. 6. 2, B. 6. 3, B. 8. 1 B. 1. 4 B. 8. 1 B. 6. 2, B. 8. 1 B. 6. 1, B. 8. 3 A. 1. 1, A. 1. 2, A. 1. 3, A. 1. 4, A. 2. 1, A. 3. 2, A. 3. 3, A. 3. 4, A. 4. 1, A. 4. 2, B. 1. 1, B. 1. 2, B. 1. 3, B. 1. 4, B. 2. 1, B. 2. 2, B. 3. 1, B. 3. 2, B. 3. 3, B. 6. 4, B. 6. 5, B. 6. 6, B. 7. 1, B. 7. 2, B. 7. 3, B. 7. 4, B. 7. 5 A. 1. 1, A. 1. 2, A. 1. 3, A. 1. 4, A. 2. 1, A. 3. 1, A. 3. 2, A. 3. 3, A. 3. 4, A. 4. 1, A. 4. 2, B. 1. 1, B. 1. 2, B. 1. 3, B. 1. 4, B. 2. 1, B. 2. 2, B. 2. 3, B. 2. 4, B. 3. 1, B. 3. 2, B. 3. 3, B. 4. 1, B. 4. 2, B. 4. 3, B. 4. 4, B. 4. 5, B. 4. 6, B. 5. 1, B. 5. 2, B. 6. 1, B. 6. 2, B. 6. 3, B. 6. 4, B. 6. 5, B. 6. 6, B. 7. 1, B. 7. 2, B. 7. 3, B. 7. 4, B. 7. 5, B. 7. 6, B. 8. 1, B. 8. 2, B. 8. 3 B. 1. 4, B. 2. 1, B. 2. 2, B. 2. 3, B. 2. 4, B. 7. 3 , B. 8. 1 B. 3. 1, B. 6. 6, B. 7. 4, B. 8. 1, B. 8. 2, B. 8. 3 B. 1. 4, B. 5. 2, B. 6. 1, B. 6. 2, B. 6. 3, B. 8. 1 A. 2. 1, A. 4. 2, B. 1. 1, B. 1. 4, B. 2. 1, B. 2. 2, B. 2. 3, B. 2. 4, B. 2. 5, B. 3. 1, B. 3. 2, B. 3. 3, B. 5. 2, B. 6. 1, B. 6. 2, B. 6. 3, B. 7. 1, B. 7. 2, B. 7. 3, B. 7. 4, B. 8. 1 A. 4. 2, B. 3. 3, B. 6. 2, B. 6. 6, B. 8. 1 B. 3. 3, B. 4. 1, B. 4. 2, B. 4. 3, B. 4. 4, B. 4. 5, B. 4. 6, B. 6. 1, B. 8. 1 B. 5. 1, B. 5. 2 A. 2. 1, A. 3. 1, B. 1. 2, B. 1. 3, B. 14. A. 2. 1, A. 3. 1, B. 1. 1, B. 1. 2, B. 1. 3, B. 1. 4, B. 4. 6 A. 2. 1, A. 3. 1, B. 1. 1, B. 1. 2, B. 1. 3, B. 1. 4 B. 8. 1, B. 8. 3 A. 4. 2 件員無線通訊網路實驗室資訊系統特性異質資料存放安全控管與稽核系統持續營運 2018/3/15 66 A. 2. 1, B. 1. 4 環境與實體設備 B. 5. 2

無線通訊網路實驗室 適用於雲端運算環境下 之安全模型 Security Model for Cloud Computing

無線通訊網路實驗室適用於雲端運算環境下之安全模型 Security Model for Cloud Computing