亞利安科技資安技術支援部協理王添龍以「建構以加密為核心的新世代資安韌性體系」為題，說明在量子運算逐步成熟的趨勢下，企業應如何重新檢視資料保護與加密策略，並從加密、代碼化到稽核，建構更完整的資安韌性。
量子運算逼近，長期資料保護面臨考驗
「先攔截、後解密」（HNDL）威脅與 NIST 提出的 PQC 遷移時程建議。
王添龍指出，量子電腦對現行非對稱加密體系（又稱公鑰密碼學；PKI 則是公鑰基礎建設）具有根本性威脅。傳統電腦分解 RSA-1024 需超過上千萬年，但量子電腦可能在一天甚至 8 小時之內破解 RSA-2048；ECC 等離散對數體系預期會比 RSA 更早被攻破。
換句話說，像 ECC 這類演算法，在未來量子電腦問世後也可能被破解，導致長期機敏資料的保護失效。若資料的保護期限需求超過 10 年，例如國防機密、醫療記錄、金融帳戶資訊與司法文獻，即便目前無法解密，駭客仍可靜待 2030 年至 2035 年左右量子電腦技術成熟後再行破解，屆時將毫無補救機會。
這也凸顯 HNDL（Harvest Now, Decrypt Later）的真實威脅，駭客現在就先竊取加密資料，等量子電腦成熟後再回頭解密；即便量子電腦尚未普及，已對長期資料造成影響。目前各國陸續發展 PQC（後量子密碼）相關標準與規範，NIST 已於 2024 年 11 月發布 NIST IR 8547 初稿，提供遷移指引，並提出 2030 年後逐步淘汰量子易受攻擊演算法、 2035 年後不再允許使用的過渡時程，提供各界推動時參考。
分散防禦容易留下破口，資料安全才是核心
企業須現在採取行動的五大理由：多環境風險、 Shadow Data 、人為因素、內部威脅、數位轉型。
王添龍表示，PQC 之所以受到重視，關鍵仍在於資料安全；防範量子時代威脅，擔心的就是資料遭破解、竊取與濫用，因此更須回頭補強資料安全。
他說明，分散的防禦措施會讓資料暴露於風險之中。例如只做加密卻未做監控，便無法掌握資料如何被使用、是否存在疏漏；反之只監控而未加密，機敏資料仍可被讀取。資料顯示，有 40% 的資料外洩事件涉及多個環境中的資料，平均損失達 517 萬美元，平均偵測時間長達 283 天。
其次是 Shadow Data（影子資料）的問題。有 35% 的資料外洩事件源自不受管理的資料，造成的損失甚至比平均事件高出 16% 。再者是人為因素，有 60% 的資料外洩事件與人為因素有關，涵蓋社交工程、人為錯誤、憑證外洩與內部威脅，從員工的資安意識到資料傳輸與使用過程的各個環節，都必須一併納入防護。
從加密、代碼化到稽核的整合防護
Thales 三大防禦方案：HSE 點對點加密器、 Luna HSM 、 CipherTrust 資料安全平台。
在解決方案上，點對點加密（HSE）可讓資料從 A 點送出時即先加密，抵達 B 點後再解密，確保整段連線過程維持加密狀態。以 HSM 為例，Thales 的 Luna HSM 是業界首批通過 FIPS 140-3 Level 3 驗證的 HSM，目前已支援 PQC 演算法，未來若有新的演算法，也會透過韌體更新支援。
除了在資料庫層級加密之外，若要逐筆處理每一筆資料，另一種方式是 Tokenization（代碼化）。 Tokenization 是將敏感資料轉換成 Token 的過程，也就是把真實資料加以變造；資料進入系統後會被變造成一份假的、錯誤的資料，即使遭竊，取得的也都是錯誤內容。代碼化後實際儲存在資料庫中的是變造後的資料，且可保留原始資料的格式與長度，避免傳統加密因金鑰長度而產生一長串亂碼的問題。無論雲端或內部 AP 開發與研發單位，都可透過同一個管理平台介接。
在稽核方面，可設定觸發條件，觸發後即保留相關 Log 。例如以資料庫的使用者名稱來看，若是 root 、 admin 等高權限帳號便特別記錄；除了記錄使用者對資料庫的操作，也可記錄資料庫回應前端使用者的資料內容，形成雙向稽核。常見的稽核政策包括 DBA 帳號存取行為、非上班時間的存取行為，以及外包廠商加班時段的存取記錄等。此外，Imperva 系列產品內建報表系統，提供超過 200 種報表範本，可呈現完整的稽核報表，並支援 CSV 、 PDF 等格式；完成資料收集後即可進行報表分析與事件查詢。最後，將資料庫本身的 Log 收集起來再行分析，則是新一代 DSF（Data Security Fabric）平台的功能，可涵蓋多雲、混合雲與本地部署環境。
王添龍總結，從 PQC 議題切入，企業現在就能著手的，是落實資料的保護、加密與監控；加密與監控一併導入，才是最完整的規劃，讓資料安全防護更為完整。
更多會後報導
活動精彩回顧