iThome

台灣·近期無新文章

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 0篇
近 7 天: 117篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/7
最近更新: 11/9 02:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 117 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

Google拒絕移除「非法」內容遭俄羅斯罰款，最終可能被降速
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>俄羅斯當局周二以Google拒絕移除非法內容為由，罰款600萬盧布（約227萬臺幣），最終Google可能進一步遭降速處份。</p> <p><a href="https://www.reuters.com/technology/russia-gives-google-one-day-delete-banned-content-threatens-slowdown-2021-05-24/" target="_blank">路透社報導</a>，俄羅斯聯邦通訊、科技資訊和大眾媒體監督局（Roskomnandzor）周一宣稱，已經要求Google移除包括毒品、暴力與「極端組織」相關違法內容2.6萬件，並揚言如果俄羅斯Google分公司不在24小時內移除內容，最高將處以年營收10%的罰款，並且調降Google對外連線速度。</p> <p><a href="https://www.reuters.com/technology/russia-fines-google-4-mln-roubles-failing-delete-content-tass-2021-05-25/" target="_blank">路透社周二報導</a>，俄羅斯當局當天發出三張各200萬盧布，共600萬盧布的罰單。除了Google平臺上的內容，當局也要求Google移除數家俄國媒體的YouTube頻道。</p> <p>在此之前，<a href="https://www.ithome.com.tw/news/143149" target="_blank">推特（Twitter）</a>也拒絕刪除當局認定的違法內容，而遭俄國當局降速。</p> <p>這也是Google和俄羅斯當局為了移除內容而起的最新爭議。一月間俄羅斯民眾上街示威，要求俄國政府釋放反對派領袖Alexei Navalny，Roskomnadzor要求Google移除12則由Navalny主持的YouTube頻道發布的影片，當局隨後控告Google/YouTube拒絕移除煽動叛亂的非法內容。Google則在五月中，向俄羅斯法院上訴Roskomnadzor移除YouTube內容的不合理要求。</p> </div></div></div>
2021/5/26 11:17作者林妍溱https://www.ithome.com.tw/news/144626
【iThome 2021 CIO大調查(上) 一起抗疫靠IT】企業未來1年如何靠IT來因應新常態？
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1026-cover4-960.png" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>遠端工作是後疫新常態的典型。企業內部，第一個必須有能力遠端工作的部門，就是確保全公司遠端工作環境的IT部門。在未來十大IT抗疫重點作法中，強化IT部門遠端工作能力是排名第一的優先工作。未來1年，有高達67.9%的企業列為抗疫重點對策。這些企業不只是讓IT具備遠端能力就夠了，而是要在未來1年持續「強化」。疫情未來變化仍有許多未知，臺灣這一波疫情何時舒緩？疫苗何時發揮作用？能阻斷大規模流行？沒有人有答案。企業得考量更嚴峻的疫情風險，來要求IT自己先做好準備。而且，IT還要同時強化開發即戰力，過半企業未來1年，也要提高IT敏捷性，讓內部應用更模組化和彈性化。</p> <p>從各產業IT抗疫對策來看，重度依賴數位通路和線上服務的產業，如金融業和服務業，都同樣將強化IT遠端能力和內部流程優化，列為未來1年的前兩項重點，但有過半金融業要強化全公司的數位化環境，而服務業則要提高IT敏捷性，另外也要提高IT上雲的比重。醫療業未來1年IT抗疫首要，則是要先加速內部流程數位化和自動化，而高科技業者則有近3成企業，要擴大上雲的比重。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1026-cover4-600-1.png" style="width: 557px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1026-cover4-600-2.png" style="width: 557px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1026-cover4-600-3.png" style="width: 557px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1026-cover4-600-4.png" style="width: 584px;" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 問卷說明 </span></strong></span></p> <p><span style="color: rgb(51, 153, 255);"><strong>大調查執行期間從2021年3月8日到4月5日，對臺灣大型企業、歷屆CIO大調查企業、政府機關和大學IT與資安主管進行線上問卷調查，有效問卷439家，其中74.3%填答者為企業IT最高主管。</strong></span></p> </div></div></div>
2021/5/26 07:00作者王宏仁https://www.ithome.com.tw/article/144548
GitLab 13.12加入按需動態應用程式安全測試服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>最新的<a href="https://about.gitlab.com/releases/2021/05/22/gitlab-13-12-released/#on-demand-dast-ga-launch">GitLab 13.12</a>獲得可用性和工作管線管理功能更新，不只要讓程式碼部署更安全，還要提升團隊協作效率。該平臺新版重要更新包括GitLab Ultimate用戶，可以開始使用按需動態應用程式安全測試（DAST）掃描，還有新版也更新工作管線編輯器，並且持續新增DORA4指標支援。</p> <p>現在所有GitLab Ultimate用戶可按需使用DAST掃描（下圖），在CI/CD工作管線外任何已配置環境，都能使用DAST掃描已部署的應用程式和API，用戶不需要進行任何程式碼變更或合併請求，就能立刻開始掃描。官方持續更新DAST掃描功能，在先前的13.11版本中，官方在按需DAST網站的配置檔案，添加特定身分驗證資訊、排除URL、新增額外請求標頭，以及切換網頁應用程式與API掃描等功能。官方提到，他們還會增加諸如掃描排程等功能，以涵蓋大部分用戶的需求。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/dast_on_demand_auth.png" style="width: 580px;" /></p> <p>在安全掃描功能方面，除了DAST，用於JavaScript、TypeScript和Python的Semgrep SAST分析器，現在也發布正式版本。Semgrep靈活的規則語法，能簡化GitLab自定義規則及功能，以擴充和修改檢測規則，並且讓GitLab用戶存取Semgrep社群規則。</p> <p>另外，GitLab更新向DAST用戶，推出了瀏覽器爬蟲Beta測試版，新的爬蟲工具經特別設計，可以在JavaScript應用程式中發現，可能會被傳統基於代理爬蟲程式忽略的頁面，使得新的排蟲程式有能力提升應用程式的測試覆蓋率。</p> <p>官方提到，現在網頁使用越來越多的JavaScript，甚至有一些是專滿足JavaScript和單頁應用程式開發的工具。但是重度依賴JavaScript的網頁，卻會增加爬蟲掃描頁面的困難度，在官方的基準測試裡，基於瀏覽器的爬蟲程式，與當前基於代理的爬蟲程式相比，爬蟲覆蓋率明顯提高。</p> <p>除了安全性更新之外，官方也簡化了工作管線管理來增加可用性，工作管線編輯器現在帶有可摺疊指南說明面板，可以快速帶新手入門。同時官方還新增在規則中定義變數的功能，供用戶能夠在滿足特定條件時，靈活地配置工作管線變數。</p> <p>而13.12版本在原生支援DORA4指標的工作，現在加入群組部署頻率圖表，該圖表可以讓用戶了解部署狀況以利發現瓶頸，並改進跨專案和團隊的效率。部署頻率圖表顯示所有專案的匯總部署頻率指標，用戶可以更全面了解多個專案的和團隊的部署頻率，以精確掌握部署效率。</p> <p>GitLab的價值串流（Value Stream）分析功能也獲得更新，價值串流分析能協助用戶在工作流程中，找出效能低落的根本問題，而在13.12中，官方加入了工作流程項目的分頁和排序功能，視覺呈現更清楚，用戶也能對特定階段視覺化並且排序項目，以方便查明瓶頸所在。</p> </div></div></div>
2021/5/25 23:10作者李建興https://www.ithome.com.tw/news/144618
木馬程式開採MacOS零時差漏洞暗中錄製螢幕
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.jamf.com/blog/zero-day-tcc-bypass-discovered-in-xcsset-malware/" target="_blank">安全廠商Jamf Protect偵測小組發現</a>，一隻名為XCSSET的木馬程式，可開採作業系統安全漏洞，繞過Mac電腦內建安全防護，偷偷錄製電腦螢幕取得敏感資料。所幸蘋果今天釋出macOS Big Sur 11.4更新解決該問題。</p> <p>這隻<a href="https://www.ithome.com.tw/news/139432" target="_blank">XCSSET是去年趨勢科技首先發現</a>。一開始，研究人員知道它專門利用兩個零時差漏洞。第一個用來竊取Safari瀏覽器cookies，蒐集重要資訊，包括帳號、密碼等，另一個則是繞過用戶通知，以安裝開發商版本的Safari應用程式。</p> <p>Jamf團隊則在近日研究中，發現XCSSET作者還利用第三個零時差漏洞CVE-2021-30713，來繞過蘋果的透明度同意與控管（Transparency Consent and Control，TCC）框架。TCC主要用以控制應用可存取資源，像是同意影像協同軟體存取網路攝影機和麥克風，以進行虛擬會議。CVE-2021-30713漏洞可讓攻擊者未獲得用戶明顯同意下，取得完整硬碟存取、螢幕錄製或其他授權。</p> <p>Jamf研究人員近日偵測到XCSSET變種活動有上升的情形，這隻惡意程式著重錄製螢幕畫面。XCSSET進入Mac電腦中後，會搜尋受害者電腦中常獲得螢幕共享的其他App，像是Zoom、WhatsApp和Slack，並在這些App中注射錄製螢幕的程式碼。這就等於附身在合法App上，並承襲它們的權限。然後又繼續以新的憑證簽發App bundle，以躲過macOS內建的公證（notarization）機制。</p> <p>研究人員提醒，比起XCSSET，更需注意CVE-2021-30713這項漏洞，因為它能給予麥克風、Web攝影機及側盤側錄的存取權限，而進行錄音、監控或竊取信用卡帳號及密碼。</p> <p>蘋果則於今天<a href="https://developer.apple.com/documentation/macos-release-notes/macos-big-sur-11_4-release-notes" target="_blank">（5/25）釋出的macOS 11.4更新版</a>中修補該漏洞，其他功能則包括強化數款AMD GPU、Podcast App中的付費訂閱支援，並修補了Safari、Preview在搜尋PDF文件時、Photos匯出等問題。</p> </div></div></div>
2021/5/25 23:30作者林妍溱https://www.ithome.com.tw/news/144624
FBI警告：美國占Conti全球受害單位一半以上，公布感染指標
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>五月中駭客利用Conti勒索軟體攻擊愛爾蘭衛生機關，而本周<a href="https://www.aha.org/system/files/media/file/2021/05/fbi-tlp-white-report-conti-ransomware-attacks-impact-healthcare-and-first-responder-networks-5-20-21.pdf" target="_blank">美國聯邦調查局則警告</a>，美國醫療界、消防、警察單位也無法倖免於Conti攻擊，美國受害者甚至占了全球超過一半，將近3/4。</p> <p>愛爾蘭健康服務管理署（Health Service Executive，HSE）IT系統五月遭遇Conti勒索軟體攻擊，勒索2000萬美元，駭客宣稱握有700多GB的資料，涵括病患住址、電話號碼以及員工合約、薪資及財務資料，揚言若拿不到贖金就會出售或公布資料。HSE營運受到重大影響。HSE預防性關閉所有IT系統及切斷網路，造成一家都柏林醫院暫時關閉了所有科別門診，該國COVID-19篩檢服務也被迫取消。同時間HSE主管機關愛爾蘭衛生部（Department of Health，DoH）也遭同一批歹徒以Conti發動襲擊，所幸未成功。</p> <p>FBI本周指出，去年至少辨識出有16起Conti勒索軟體攻擊，是針對美國健康照護業與緊急派遣單位的網路，包括執法機關、急救、911派遣中心及市政府等等。而Conti在全球400多個攻擊目標中，超過290個位於美國。</p> <p>Conti背後的駭客可能以惡意連結、附件或竊來的RDP (Remote Desktop Protocol)密碼進入受害者網路。它可能在Word檔中嵌入Powershell script，一開始經由Word檔發動Cobalt Strike，然後在網路上植入Emotet使門戶洞開，讓攻擊者得以部署勒索軟體。攻擊者可能會在受害者網路上潛伏4天到3個星期，再使用DLL部署Conti，必要時則以其他合法工具，如Sysinternal和Mimikatz來升高權限及在網路上橫向移動，然後進行資料外洩和加密，有時也會使用TrickBot等木馬程式。而Conti植入受害者網路後，可能長期留在企業網路內，以Anchor DNS對外伺服器連線。</p> <p>FBI並公布Conti的攻擊指標，包括在感染機器上從port 80、443、8080和8443，來對國內、國際虛擬伺服器(VPS)發出beacon訊息，或以port 53進行滲透攻擊，此外，也會對雲端儲存商MegaNZ和pCloud伺服器發送大量HTTPS資料連線。如果有偵測到可疑新增帳號、端點偵測被關閉、或是不斷有HTTP或DNS beacon，都表示可能已感染Conti。</p> </div></div></div>
2021/5/26 00:10作者林妍溱https://www.ithome.com.tw/news/144625
AWS Lambda現可安裝擴充套件強化處理能力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS宣布現在<a href="https://aws.amazon.com/tw/blogs/aws/getting-started-with-using-your-favorite-operational-tools-on-aws-lambda-extensions-are-now-generally-available/">Lambda擴充套件</a>正式釋出，該功能讓用戶可以在無伺服器運算服務Lambda中，整合自己愛用的工具，以進行監控、安全性和治理等任務。用戶可以使用控制臺和命令列工具，簡單地安裝擴充套件，以執行訊息擷取或是自動偵測程式碼等需求。目前這項功能已經在美東北維吉尼亞地區，以及歐洲的愛爾蘭和米蘭地區正式上線。</p> <p>官方表示，Lambda擴充套件提供了一個容易擴充Lambda執行環境的方法，AWS用戶、AWS合作廠商和開源社群，都可以使用Lambda Extensions API來建構擴充套件，這些套件能在Lambda函式的執行流程中，提供增強功能。</p> <p>比起在2020年10月所釋出的AWS Lambda擴充套件預覽版，在正式版本有了功能調整，用戶的程式碼執行完後，可立即送出回應，而不需要等待擴充套件工作完成，如此，擴充套件就可以在函式回傳回應訊息後，執行像是發送遙測資料這類的工作。</p> <p>官方提到，AWS Lambda擴充套件的使用情境，可以包括在呼叫函式前、期間和之後擷取診斷資訊，或是以擴充套件自動檢視程式碼，也能利用安全代理來進行檢測和警告函式活動，以及將遙測資料，用非同步的方式，發送到S3和Kinesis等自定義目標。</p> <p>AWS Lambda擴充套件的安裝與配置管理簡單易用，用戶可以使用Lambda圖層將工具加到函式中，或是將其新增至函式映像檔，以容器的方式來部署。Lambda擴充套件使用擴充API來註冊功能和執行環境生命周期事件，並且啟動新的程序或是執行邏輯，來回應這些事件。而Lambda擴充套件也可以使用Runtime Logs API來訂閱，從Lambda執行環境送往Amazon CloudWatch的日誌串流，Lambda串流這些日誌到擴充套件，以進行處理、過濾和發送等任務。</p> <p>多數用戶不需要了解API的運作，可以僅透過配置Lambda函式中的選項使用擴充套件，用戶使用在Lambda控制臺、命令列工具、基礎設施即程式碼服務，以及像是AWS CloudFormation和Terraform等工具，安裝和管理擴充套件。AWS與HashiCorp、Datadog和Splunk等企業合作，在Lambda上提供擴充套件，另外，AWS也提供了4款自家服務的擴充套件，分別是AppConfig、CodeGuru Profiler、CloudWatch Lambda Insights和Distro for OpenTelemetry。</p> <p>Lambda擴充套件與函式共用計費模型，AWS會收取Lambda生命周期中的運算時間，在函式呼叫方面，用戶需要支付服務請求、程式碼執行以及所有擴充套件運算時間的費用。官方也提醒，Lambda擴充套件因為與函式共用CPU、記憶體和儲存資源，因此可能會影響效能，而且擴充套件會在函式程式碼之前初始化，因此函式的執行時間也會跟著增加。</p> </div></div></div>
2021/5/25 16:35作者李建興https://www.ithome.com.tw/news/144615
藍牙的核心與Mesh規格含有7個安全漏洞，允許駭客冒充合法裝置
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.bluetooth.com/learn-about-bluetooth/key-attributes/bluetooth-security/reporting-security/" target="_blank">藍牙技術聯盟（Bluetooth SIG）在24日揭露</a>了7個有關藍牙規格的安全漏洞，這些安全漏洞存在於Core及Mesh Profile規格中，將允許駭客冒充合法裝置，波及Android開源專案、思科、Cradlepoint、英特爾、Microchip與紅帽的相關產品。</p> <p>Bluetooth Core與Bluetooth Mesh Profile都是用來定義各種，企圖利用藍牙進行連線的裝置政策及技術需求的規格，在本周揭露的漏洞中，與Mesh Profile規格有關的為CVE-2020-26559、CVE-2020-26556、CVE-2020-26557與CVE-2020-26560；而CVE-2020-26555、CVE-2020-26558與另一個尚未具備編號的漏洞，則涉及Core規格。</p> <p>根據卡內基梅隆大學<a href="https://www.kb.cert.org/vuls/id/799380/" target="_blank">CERT協調中心</a>的說明，相關漏洞將可用來執行冒充攻擊並揭露驗證值（AuthValue），允許駭客在執行藍牙配對時，假冒為合法裝置。</p> <p>這些漏洞同時波及了採用藍牙規格的作業系統與硬體，其中，Android開源專案受到當中3個漏洞的影響，Google已準備藉由下一次的Android安全更新修補；紅帽至少受到兩個漏洞的影響，尚未提出修補時程。</p> <p>思科則說受到兩個漏洞的影響，正在等待個別產品團隊的回報以提供軟體更新；專門開發雲端無線邊緣網路設備的Cradlepoint，以及英特爾亦受到兩個漏洞的波及；美國微控制器與半導體製造商Microchip已確定其中的兩個漏洞，影響該公司的部分藍牙產品，並已<a href="http://aem-origin.microchip.com/en-us/products/wireless-connectivity/software-vulnerability-response/anssi-bluetooth-core-vulnerabilities" target="_blank">訂出修補計畫</a>。</p> </div></div></div>
2021/5/25 15:44作者陳曉莉https://www.ithome.com.tw/news/144613
Container周報第138期：德國鐵路公司擁抱GitOps關鍵大公開，OCI容器映像檔分散規格1.0出爐
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><strong>4/16~5/16 精選容器新聞</strong></h3> <h3><span style="color:#0000FF;"><strong>#GitOps #德國鐵路</strong></span><br /><span style="color:#FF8C00;"><strong>德國鐵路公司如何擁抱GitOps，靠單一K8s命名空間結合自動化工具來實現維運免手動</strong></span></h3> <p>德國鐵路集團旗下DB Systel公司是德鐵集團的IT團隊，負責所有全集團數位轉型和IT戰略。最近在KubeCon歐洲場研討會中，DB Systel雲端首席架構師Schlomo Schapiro首度公開了德鐵集團擁抱GitOps，讓IT戰略更高度自動化的經驗。他強調，走向GitOps是DevOps實踐中自然演化的結果。</p> <p>為了數位轉型，許多企業將流程自動化列入IT的重要戰略之一，例如想要建立更多標準化流程、減少不必要流程、減少維運和變動的成本、擁抱雲端運算，全面都自動化等。他坦言，但要做到這些目標，實務上有很多挑戰，因為IT需求暴增，所有流程都要整合API、IT複雜的成長超過IT人力的成長，更多IT人力投入業務部門的優化（BizDevOps）、但對IT法遵要求卻越來越多，又要求要善用雲端來創新。「不管IT團隊怎麼努力，似乎永遠都無法跟上需求。」他表示。</p> <p>對IT部門來說，他指出，IT的期待是，聚焦在產品和服務，打造最好的服務，使用最好的工具，更容易實現法遵，和其他團隊沒有相依性而被拖累。「這不是無解難題，必須同時考量組織面和技術面，將所有的問題，都視為自動化挑戰。」他指出。</p> <p>德鐵IT整合組織框架和技術框架，以人為核心來聚焦6大目標，簡化政策、法遵可接受的作法、工具標準化、法遵自動化預算、政策程式碼化（Policy as Code）以及免手動維運（Hands-Off Operations）。「這其中最關鍵的IT策略就是免手動維運，」他強調。這一項正是德鐵發展GitOps的核心原則。</p> <p>為何不講維運自動化而要講免手動維運，他強調，因為這不只是技術議題，而且還是組織文化的議題，就像敏捷不只是工具，也要養成文化面的風氣。許多企業發展各種持續整合、派送自動化，「這只是CI維運，需要結合GitOps，進一步來建免手動維運的文化。」</p> <p>他指出，免手動維運思維包括了正式環境禁止人工介入，不論開發或維運團隊都預設零產品權限（不能插手線上環境），全力發展自動化（法遵治理、更新升級、復原等都自動化）、測試驅動所有事、工具標準化，「GitOps工具就是為了實現免手動維運。」實務上，德鐵利用K8s來執行各種應用，透過單一K8s命名空間，來管理本地端K8s叢集和雲端基礎架構環境，再搭配ArgoCD、Flux第二版來落實GitOps。</p> <h3><span style="color:#0000FF;"><strong>#K8s開發 #除錯工具</strong></span><br /><span style="color:#FF8C00;"><strong>K8s應用除錯工具Pixi宣布開源，可快速建立效能追蹤機制</strong></span></h3> <p>知名美國雲端監控服務商New Relic最近宣布開源釋出了一款K8s應用除錯工具Pixi，採Apache 2.0授權。Pixi提供了一套建立應用程式效能追蹤，監測矩陣、網路層資料蒐集的儀表板工具，也定義了一套自動蒐集各種效能數據的基礎設計，可以完全透過腳本程式來存取所蒐集的各種資料。運作架構上，採取叢集內邊緣運算架構，可將遠端監測所需的各種資料儲存在K8s叢集內而不用回傳來避免遭攔截。主要元件包括了叢集內資料蒐集和查詢引擎Vizier，應用程式和用戶管理後臺Pixie Cloud平臺。</p> <h3><span style="color:#0000FF;"><strong>#Anthos #跨雲平臺</strong></span><br /><span style="color:#FF8C00;"><strong>GCP混合雲平臺Anthos推出1.7版，終於支援Windows容器也可整合跨公雲日誌</strong></span></h3> <p>日前GCP推出新版混合雲平臺Anthos 1.7版，主要增加了三大特性，第一是雲端日誌機制Cloud Logging可以支援Anthos on AWS，等於監測矩陣可以跨本地端、GCP環境和AWS環境來追蹤了。另一個新特色是終於支援Windows容器，可派送Windows容器到vSphere環境中。Anthos配置管理機制ACM也支援更多種叢集類型，包括EKS 1.19、AKS 1.19、OpenShift 4.5、KIND 0.10和Rancher 1.2.4的叢集。第三項新特色是工作量身分識別機制（Workload Identity）可以支援本地端部署或AWS環境的工作量識別管理了，可以用來確保在不同混合雲環境中執行服務時，能有適當的權限控管。</p> <h3><span style="color:#0000FF;"><strong>#GitOps #OpenShift</strong></span><br /><span style="color:#FF8C00;"><strong>瞄準開發部署自動化風潮，紅帽OpenShift正式推出CI整合機制和GitOps功能</strong></span></h3> <p>最近紅帽宣布旗下企業級K8s平臺OpenShift正式推出CI整合機制OpenShift Pipelines，以及用於應用程式部署與配置自動化的OpenShift GitOps功能。OpenShift Pipelines功能使用了開源的持續派送基礎專案Tekton，可自動派送雲端K8s原生應用，到K8s叢集上的POD環境上部署。因此也可以支援可使用Tekton CLI命令列的IDE開發工具，例如Visual Studio Code和IntelliJ的Tekton外掛。而OpenShift GitOps功能則源自另一個CNCF開源專案Argo CD，可建立一個以Git PR指令來驅動的自動化流程，可跨不同K8s叢集來部署和配置應用程式。</p> <h3><span style="color:#0000FF;"><strong>#容器交換 #OCI</strong></span><br /><span style="color:#FF8C00;"><strong>OCI容器映像檔分散規格1.0正式出爐，跨平臺交換容器映像檔也有標準作法</strong></span></h3> <p>容器標準推動組織OCI最近正式宣布，容器分散規格OCI Distribution Specification正式釋出1.0版。這是一個源自Docker Registry HTTP API V2的容器映像檔交換協定，用來規範不同容器儲存庫上推和下拉映象檔的方式。<br /> OCI技術監督委員會主席Phil Estes指出，先前定義的runtime規格界定了容器的定義和執行方式，容器映像檔規格定義了封裝的方式，而現在這個分散規格的訂定，有助於建立一個在各種儲存庫和runtimePhil Estes工具間傳遞容器的標準作法。Docker技術長Justin Cormack更直言這是另一個里程碑的重大進展。</p> <h3><span style="color:#0000FF;"><strong>#IaaS #Pulumi</strong></span><br /><span style="color:#FF8C00;"><strong>基礎設施即程式碼工具Pulumi大改版，3.0也能原生支援Azure和GCP</strong></span></h3> <p>基礎設施即程式碼工具Pulumi 3.0帶來非常多的功能更新，包括了正式加入Pulumi自動化API，讓開發者可以在應用程式中嵌入Pulumi功能，而且除了AWS，Pulumi也開始原生支援Azure和Google雲端平臺，在語言的支援上，Pulumi試圖整合多語言元件，讓各種語言的套件能夠互通。開發者可透過自動化API將Pulumi功能，嵌入到自己的應用程式中，因此可以不使用命令列工具或是撰寫腳本來操作CI/CD，改用Pulumi部署引擎，更多元的方式控制工作流程。Pulumi自動化API支援多種語言，包括TypeScript/JavaScript、Python、Go以及C#。</p> <h3> <span style="color:#0000FF;"><strong>#K8s開發 #OpenShift</strong></span><br /><span style="color:#FF8C00;"><strong>為簡化K8s開發，紅帽發布OpenShift開發者沙盒</strong></span></h3> <p>紅帽推出了一款新開發工具稱為OpenShift開發者沙盒，可以在有預配置開發者工具的多租戶叢集中，提供私密的OpenShift環境，由於基礎設施和工具緊密整合，因此能讓開發人員安全地設計和建構新應用程式、添加新服務，還能從程式碼創建容器或Dockerfiles等。沙盒中的預設工具，包括了一組Helm Chart以及紅帽建置映像檔、s2i建置工具以及CodeReady Workspaces。紅帽也更新了一系列工具，這些更新建立在OpenShift GitOps和OpenShift Pipelines之上，因此IT團隊可以利用GitOps工作流程，來配置叢集和交付應用程式，並完全控制開發團隊的交付工作管線、套件和存取控制。</p> <h3><span style="color:#0000FF;"><strong>#生命週期管理 #雲端原生應用</strong></span><br /><span style="color:#FF8C00;"><strong>雲端生命周期管理系統Airship大進展，2.0新推更方便的命令列新工具</strong></span></h3> <p>新版Airship 2.0提供了宣告式的命令列工具Airshipctl，讓用戶組合和調度雲端原生建置模組，來供應或是管理Kubernetes，以及其衍生的軟體堆疊。透過直覺且簡單易用的介面，方便地操作其他開源專案，包括Cluster API、Metal Kubed、Kustomize和kubeadm等。Airshipctl可以從版本化的Git存儲庫，以Kubernetes資源檔案的形式，擷取宣告式意圖，並且透過與Kustomize的整合，Airshipctl能將行動（Action）的任意部分，轉出為文件包。新版能支援各種基礎設施後端和作業系統，從Azure、Google等公有雲，到虛擬機器Openstack，甚至是裸機環境。</p> <h3><span style="color:#0000FF;"><strong>#GCP #Azure #AWS</strong></span><br /><span style="color:#FF8C00;"><strong>GCP容器相關服務的競爭產品是甚麼？一張表快速比較三大雲端容器服務</strong></span></h3> <p>GCP、AWS和Azure大比對公有雲的容器相關服務越來越多，種類也很雜，不只是純容器服務，有些列在資安服務，有的則屬於無伺服器服務，不同業者對於類似功能的服務，也各有不同的命名，更難比較同樣功能的服務有何差異，最近Google<a href="https://cloud.google.com/free/docs/aws-azure-gcp-service-comparison?utm_source=google&utm_medium=blog&utm_campaign=FY21-Q2-Product-Mapping-Blog&utm_content=documentation">更新了</a>一份與其他兩家公有雲服務競爭對手的產品對照表，雖然這是Google觀點的產品表，意味著會完整列出GCP自家功能，但不一定會列出對手的服務，對手可能也不見得同意GCP的分類，不過，這倒是一份可以一窺GCP自家產品有哪些競爭服務，可供有意採用的企業產品評估之用，Azure也有<a href="https://docs.microsoft.com/zh-tw/azure/architecture/aws-professional/services">類似的產品比較表可參考</a>。整體來看，Google與容器應用相關的服務，近來以容器資安和無伺服器應用類型上的新增服務較多，這也是GCP近來的產品發展重點。</p> <h3><span style="color:#0000FF;"><strong>#GPU #GKE</strong></span><br /><span style="color:#FF8C00;"><strong>GKE現讓多執行個體共享單一GPU</strong></span></h3> <p>Google更新其Kubernetes服務GKE，提供多執行個體可共用單一Nvidia GPU的功能。Nvidia A100 GPU最多可以劃分成7個執行個體，每個執行個體都有獨立的高頻寬記憶體、快取和運算核心，每個執行個體可以分配給1個容器，每個A100 GPU最多可以分配7個容器，另外，多執行個體GPU間由於採用硬體隔離來增加了安全性，也替所有GPU上執行的容器提供一致且可預測的QoS。</p> <p><strong>責任編輯：王宏仁</strong></p> <h3><strong>更多容器新聞 </strong></h3> <p>●VMware的Tanzu SQL服務正式新增MySQL，可在K8s環境上大規模部署MySQL<br /> ●GKE推出Dataplane第二版新版，可即時顯示GKE或Anthos叢集的網路活動情況<br /> ●紅帽執行長Paul Cormier宣布新混合雲戰略，要將OpenShift延伸到邊緣<br /> ●HashiCorp成Codecov供應鏈攻擊受災戶，導致加密金鑰外流<br /> ●Google函式即服務Cloud Functions開始支援PHP</p> </div></div></div>
2021/5/25 14:27作者王宏仁https://www.ithome.com.tw/news/144609
【疫情日報】全國第三級警戒延長至6月14日，全國各級學校停課亦延長
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中央流行疫情指揮中心今（25日）宣布單日新增281例本土案例，以及校正追加261例，而且全國三級警戒延長至6月14日，全國停課措施也一併延長至6月14日。</p> <p><span style="font-size:22px;"><strong>單日新增281例，校正追加261例</strong></span></p> <p>指揮中心指揮官陳時中指出，本日新增個案分布以新北市154例最多，其次為臺北市49例，其他分佈縣市包括桃園市16例，臺南市、基隆市及彰化縣各10例，臺中市9例，屏東縣及新竹市各4例，高雄市、宜蘭縣各3例，臺東縣、南投縣及苗栗縣各2例、新竹縣、雲林縣及花蓮縣各1例。</p> <p>另外校正追加的261例中，以臺北市155例最多，其次為新北市89例，宜蘭縣、桃園市各5例，基隆市及彰化縣各3例，臺中市1例。這些案例追加回5月16日至5月24日。</p> <p><strong><span style="font-size:22px;">全國三級警戒延長至6月14日，全國各級學校停課同步延長</span></strong></p> <p>陳時中也宣布全國疫情第三級警戒延長至6月14日，也呼籲企業持續落實人員分流、異地辦公等營運指引措施。另由於第三級警戒延長，影響不少產業，行政院正積極討論紓困方案，日後將儘早公佈相關措施。</p> <p>今日，教育部部長潘文忠也宣布全國停課時間延長至6月14日，範圍涵蓋全國各級學校及公私立幼兒園，兒童課後照顧服務中心、補習班等各類教育機構也包括在內。</p> <p>為因應遠距教學需求，教育部持續擴大線上教學資源，包括在教育部因材網YouTube頻道擴充各類課程單元的學習資源、國家教育研究院聯手台達電子文教基金會開發專屬YouTube頻道，提供高中學科學習資源。此外，教育部也請公視3臺播放「疫起線上看」教學節目，來提供師生更多居家學習管道。</p> <p>教育部也建議，教師要是遭遇線上教學問題，也可參考教育部線上教學便利包，或加入臉書「台灣線上同步教學社群」，來查詢輔助資源或尋找諮詢協助。</p> </div></div></div>
2021/5/25 14:34作者王若樸https://www.ithome.com.tw/news/144610
佛州簽署新法令，禁止科技平臺封鎖政治候選人
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國佛羅里達州州長Ron DeSantis在24日<a href="https://www.flgov.com/2021/05/24/governor-ron-desantis-signs-bill-to-stop-the-censorship-of-floridians-by-big-tech/" target="_blank">簽署了Senate Bill 7072法案</a>，要求大型科技業者必須維護當地民眾存取相關平臺的能力，並採用高度透明化的政策，同時禁止相關平臺封鎖政治候選人，這是美國首個針對科技平臺封鎖政策祭出規定的州政府，美國媒體評論它可能受到違反美國《第一修正案》的考驗，而臉書及Twitter等平臺則尚未針對此一新法案發表評論。</p> <p>DeSantis與美國前任總統川普（Donald Trump）同屬共和黨，該法案很可能是因為Twitter與臉書同時封鎖了川普帳號而誕生，佛州議員Blaise Ingoglia即表示，保守派言論日益受到矽谷大型科技業者的攻擊，然而，佛州認為這種偏見沈默不應被容許，此一具有歷史意義的立法將確保人們的聲音被聽見，捍衛言論自由。</p> <p>州長DeSantis也說，假如這些大型科技業者的言論審查行為不一致，偏袒了主導市場的矽谷意識型態，那麼它們將會被究責。</p> <p>根據新法案，這些大型科技平臺必須平等對待所有的州民，在實行內容審核時必須基於一致的政策且透明化，否則人們有權可以控告它們，還能請求損害賠償；假設這些業者違反了當地的反托拉斯法令，便不得與任何公共實體簽訂合作協議。</p> <p>而最受到矚目的規定則是，相關平臺不得封鎖佛州的任何政治候選人，一旦違反該規定，佛州的選舉委員會每日最高可向其開罰25萬美元。該州強調，任何州民都能夠選擇封鎖任何不想看到或聽到的候選人，因為這是每個州民的權利，然而，這並不是大型科技業者得以決定的。</p> <p>不過，佛州以言論自由為名，禁止科技平臺封鎖政治候選人，也可能違反要求政府不得干預企業言論自由的美國憲法《第一修正案》，而遭到法院推翻。</p> </div></div></div>
2021/5/25 15:04作者陳曉莉https://www.ithome.com.tw/news/144612
1年1.6億次攻擊如何擋？三總從實戰練出7措施11方法打造更強防禦
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>三總是全臺最大軍醫院，也屢屢成為資安攻擊的標靶，曾經1年遭受過上億次攻擊。在這些經驗中，三總先是以切割DMZ、分割網段等7個措施，再進一步用11個方法來圍堵缺口，最後收緊USB的使用，才維持每個季度病毒量在200、300以下。三總總結醫療資安3心法：可視監控、隔離管制、關鍵保護，未來還要建置自動化資安應變系統。</p> <p><strong><span style="font-size:22px;">醫療資安事件頻傳，2019年國家級資安事件讓醫院加碼重視</span></strong></p> <p>三總是國防部所屬14家國軍醫院之一，不僅是北部醫院中心，也是全臺最大的軍醫院。三總醫療資訊組系統工程組組長林靖指出，近年醫療資安事件頻傳，像是新加坡醫療系統遭駭外洩150萬筆個資，或是德國醫院因勒索病毒發生病患死亡事件，甚至像在臺灣，2019年勒索軟體侵襲全臺30多家醫院，造成了國家級醫療資安事件。</p> <p>2019年那次攻擊之所以影響多家醫院，是因為駭客入侵健保VPN網路，再從衛福部電子病歷交換中心的EEC閘道器，蔓延到多家醫院。林靖解釋，攻擊者透過遠端桌面連線和暴力破解，入侵了健保申報主機，再橫向擴散到不同的EEC閘道器，也就是醫院與衛福部交換電子病歷的平臺。</p> <p>駭客等於是攻進了健保內網，在醫院與健保署共用的內部網路擴散，才導致30多家醫院受到攻擊。這次事件後，全臺醫院更加注重資安，紛紛投入資安防護建設，衛福部也開始改善EEC內網安全。</p> <p><strong><span style="font-size:22px;">身為全臺最大軍醫院成為攻擊標靶，AD都曾遭駭變成散播跳板</span></strong></p> <p>但對三總來說，「資安攻擊司空見慣。」林靖指出，早從2004年開始，三總就不斷受到攻擊，尤其在2018年，全臺軍醫院頻頻遭受攻擊，甚至，「一年共有1.6億次攻擊，大多針對三總。」</p> <p>不過，他認為，最嚴重的攻擊發生在2013年，中國網軍透過社交工程，把醫院最重要的網域主控站（AD）「打掛了」。駭客取得AD控制權後，在內部網路環境部署多個控制管道來擴散。</p> <p>事後，三總統計，當時高達46個惡意程式和36個駭客工具，入侵了59臺電腦和伺服主機，而且在網站主機上，還發現了7種不同功能類型的後門程式。</p> <p>林靖分析，那次災情只因一封電子郵件而起。收信者開啟信中檔案，後門程式順勢觸發，駭客便透過中繼站操控受害電腦，來下載破解密碼的惡意程式，對AD展開攻擊。</p> <p>當駭客掌握AD控制權後，也就取得醫院網域內所有帳號密碼資訊，開始在內網橫向擴散，攻擊其他電腦和伺服器。不只如此，駭客還透過跳板程式來操控這些電腦、上傳資料。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%94%BB%E6%93%8A.jpg" /></p> <p><strong><span style="font-size:22px;">三總第一次調整，用7招防護措施來改善</span></strong></p> <p>2013年事件發生前，三總原有資安架構是，外部設置一套入侵防護系統（IPS），來管理對外網路區域（DMZ），包括了AD、網路、郵件主機和網域名稱伺服器DNS。IPS下還建置了外部防火牆和網頁內容過濾器，對內則有2套不同型號的內部防火牆搭配，來保護三總不同院區（包括臺北門診中心、松山院區、北投院區、澎湖院區）以及國防醫學院的資訊安全。（如下圖，不過，IPS位置錯置，應位於更外層）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%9E%B6%E6%A7%8B.jpg" /></p> <p>內部防火牆之後設有閘道器，除了一端連接到健保VPN外，還有一端連接到緊急醫療網與伺服器運算農場（Server Farm），其下有內部的AD、交換主機、急診系統等。三總還有另一個閘道器來連結汀州院區、行政網、醫療網和資管室網段。</p> <p>林靖解釋，採用不同型號防火牆的原因，是為了預防一款遭攻陷，還有另一款可防護。即使做到了如此的防禦縱深，但那起事件中，駭客還是能入侵，三總認為，這代表當時的架構不夠強韌。因此找來資安業者討論，用了幾個方法來更進一步來精進資安架構。</p> <p>第1個方法是將DMZ按業務特性和風險程度細分，再切割成多個DMZ區，比如將提供外部服務的網路掛號等主機，移到外部DMZ區，或是將伺服器農場再分割，比如分為行政網DMZ區、內部網路DMZ區等。</p> <p>再來，三總也隔離了外部郵件，不讓外部信件進入醫院內部。</p> <p>第3，為確保分院和總院安全，各院區（包括汀州院區、國防醫學院、臺北門診中心、松山院區、北投院區、澎湖院區）改由總院單一閘道連線至網路。同時，各院區專線應經過防火牆把關，而且要在防火牆內限定可存取的指定資源。</p> <p>接下來，則是在網段間設置存取控制清單（ACL），包括醫療網、行政網、資管處網段、緊急醫療網和伺服器農場等。第5個方法則是在伺服器農場中，將醫療系統和資料獨立出一個網段，安裝防火牆來限定可存取來源和協定。不只如此，三總對外也採取更嚴格的措施，比如院外連線需透過VPN，而且還要雙因數認證。</p> <p>此外，三總也逐年改善資安防護措施，比如在DMZ區前增加防護、在後端也增設APT防火牆等更多系統來防護。</p> <p>「加了這麼多層的縱深防禦架構，就夠了嗎？」林靖坦言，在2017年，三總再次遭到攻擊，來自內部國防醫學院網路滲透過來的攻擊，成功入侵了三總系統。</p> <p><strong><span style="font-size:22px;">三總第二次調整，11措施全面防堵醫院資安缺口</span></strong></p> <p>這起事件發生後，國防部緊急要求三總再次盤點所有資安缺口。林靖指出，醫院端使用網路的單位包括了臨床醫療、教學部、研究部，其中「教學和研究部，與國防醫學院完全分不開，」因為國防醫學院每年都派實習生到醫院受訓，而三總主治醫師，也經常要到國防醫學院教課，雙方需要資訊可共享的網路服務。</p> <p>三總原本就將醫院內網封閉、只開放虛擬桌面VDI連接，但卻未將國防醫學院的路徑隔離在外，因此造成缺口，才釀成了這起攻擊事件，駭客入侵後便橫向擴散到醫院其他主機。</p> <p>三總盤點缺口後，開始進行防堵，要建造完善的醫療資安防禦網。他們採取11項措施，首先是網系隔離，這次將國防醫學院學術網實體隔離，徹底與三總分割。再來是網路管理方面，醫療網電腦對外連線，只開放給白名單上醫療業務所需的IP，其他對外連線一律禁止。如果需使用網路資源，只能透過虛擬桌面方式上網，並進行黑名單管制，甚至使用完立即中斷連線。</p> <p>第3個措施是，全院管控行動儲存設備，比如隨身碟。三總管控之嚴，連醫師用隨身碟都必須先註冊，來掌握每一個使用者。</p> <p>再來是安裝檔案加解密系統。安裝系統後，資料攜出三總時會經過加密，讀取者需要解密才行，林靖指出，若連這麽做都發生資料外洩，那就表示有人刻意為之，這也是三總想要杜絕的事。</p> <p>除此之外，三總也全面建構端點防護作為，不只在使用者端，全面安裝防毒軟體，來防範已知病毒，也安裝資安監控軟體，透過滲透行為鑑識，來辨識未知的攻擊行為。</p> <p>其他措施還包括禁止非必要性軟體安裝（如Line）、管制高危連接埠和指令碼（如網路芳齡139和445、PowerShell）、定期資安健檢和醫護人員資安訓練等。另外，由於當時資訊工程師只有4位，人力不足，因此委外資安廠商來建置SOC機制。</p> <p>另一個措施是定期更新作業系統修補檔。「我相信許多醫療院所都對這點很頭痛，」林靖解釋，因為一般PC有更新程式可修補，但醫療電腦連接了大型醫療裝備，這類電腦的作業系統多半為Windows XP，「根本更換不了，」除非連醫療裝備一起汰換。即便如此，三總還是找到方法來解決，也計畫採購IoT資安閘道器來應對。</p> <p>三總用內部偵測到的病毒程式量，來觀察資安架構對外的防護強度，數量越少，代表多數病毒程式被層層攔截了。三總統計後發現，2013年第三季，內部監測到的病毒數量高達4,500支，資安架構經過第一次調整後，每季度的病毒量下降至500支以下，而2017年第二次調整後，每季度病毒量也微幅下降。最近在2020年的第三次調整，三總更決定全院封鎖外部USB，只保留一個簡易站電腦，需使用USB的醫護人員，得將自帶USB的檔案先拷貝到這臺電腦，再用公發USB來存取，才能到內部使用，來降低惡意程式的攻擊。此時，每季內部偵測到的病毒量已經小於200支。（如下圖）</p> <p><strong><span style="font-size:22px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E7%B5%B1%E8%A8%88(2).jpg" /></span></strong></p> <p><strong><span style="font-size:22px;">醫療資安3大心法：可視監控、隔離管制、關鍵保護</span></strong></p> <p>「因為嚴格的防護措施，2019年勒索軟體攻擊全臺醫院事件中，三總反而沒有受到影響。」三總經過多次攻擊、久病成良醫，林靖也分享醫療資安的3大心法，也就是可視監控、隔離管制、關鍵保護。</p> <p>可視監控的第一步，「網路是駭客攻擊的第一目標，因此要建立網路可視化系統，來監控異常流量。」他提醒，傳統網路流量監控的設備，無法監控SSDL加密資料，因此，三總也採購了進階的加密資料監控設備，能解開加密式內容，來加強監控。</p> <p>再者，三總也鎖定醫療裝備等物聯網設備，要採購IoT資安閘道器，來掃描IoT設備狀況，進而實現可視監控。再來，三總也建立SIEM平臺，來彙整上述兩種資料，來進行即時性分析，未來還要導入AI大數據分析，來自動找出異常活動，降低人力負荷。</p> <p>而第2個心法「隔離管制」則要做到4個要件，也就是邊界防護（防火牆）、網路區段隔離，比如分行政網、醫療網等，再來是實體隔離和單機隔離，像三總就將國防醫學院的網路直接切割，進行實體隔離。</p> <p>至於關鍵保護，首先在程式面，三總要建立零信任監控，針對PC、伺服器等，建立應用程式白名單，來有效避免惡意程式。再來是帳號權限管控，因為，三總經歷過AD遭控制、帳號密碼權限全失的事件，因此借助不同資安軟體來管控帳號。</p> <p>林靖推薦各家醫療院所，參考衛福部去年8月發布的「基層醫療院所資安防護參考指引」，「醫院只要做到指引中的措施，就能大幅提高資安層級。」他指出。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_6651.jpg" /></p> <p><strong><span style="font-size:22px;">與攻擊共存，把資安當作一種管理流程</span></strong></p> <p>他也坦言，不管任何產業，都沒有絕對安全的系統，因此，「學習接受可接受的風險，與攻擊共存，」當遇到駭客發動攻擊時，有能力儘早找出問題點，解決問題。</p> <p>在他看來，資安就是一種管理流程，包括預防、偵測、控制、復原、修正。預防要做到的是，避免未授權而獲取資料或資源；偵測則是找出資訊系統內的不法案件；控制是要啟動安全措施，遏止不法事件發生；而復原則是要建立資安事件後的復原能力，最後的修正，則是加強管理工作，一有缺失就立即更正。如此，醫院才能盡情發展智慧醫療應用。</p> <p>未來，三總還要建立自動化資安應變系統，透過大數據分析來快速掌握資安情資，此外還要透過微分割和SDN機制，來即時響應告警，快速阻止有限和無線網路中的威脅。</p> <div id="gtx-anchor" style="position: absolute; visibility: hidden; left: 878px; top: 2126px; width: 27px; height: 15px;"> </div> <div aria-describedby="bubble-2" class="jfk-bubble gtx-bubble" role="alertdialog" style="visibility: visible; left: 287px; top: 2151px; opacity: 1;"> <div class="jfk-bubble-content-id" id="bubble-2"> <div id="gtx-host" style="min-width: 200px; max-width: 400px;"> </div> </div> <div aria-label="Close" class="jfk-bubble-closebtn-id jfk-bubble-closebtn" role="button" tabindex="0"> </div> <div class="jfk-bubble-arrow-id jfk-bubble-arrow jfk-bubble-arrowup" style="left: 871.5px;"> <div class="jfk-bubble-arrowimplbefore"> </div> <div class="jfk-bubble-arrowimplafter"> </div> </div> </div> </div></div></div>
2021/5/25 13:48作者王若樸https://www.ithome.com.tw/news/144606
【臺灣資安大會直擊】資安攻擊防不勝防，白名單是打造零信任資安環境的利器
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近期國內資安攻擊事件頻傳，尤其是高科技製造業屢屢成為駭客攻擊目標，企業資安防護應如何自保，今年資安大會中，曾任美國賽門鐵克核心研究實驗室總監的工研院資通所所長的闕志克認為，企業應建立零信任的安全機制，白名單即是一個相當重要的手段。</p> <p>「零信任就是一開始對任何行為都不信任」，闕志克直接點出零信任安全機制的精神，所有系統行為都需經過批准，唯有通過批准的行為才能被執行，這點正和白名單的安全機制不謀而合，白名單概念是只有正面列出的應用可被允許，其他未被列入者則不被允許。</p> <p>傳統資安攻擊手法可歸納為三步驟，駭客利用軟體漏洞入侵裝置，員工在不覺之下將被入侵的BYOD裝置帶到企業環境內使用，導致惡意程式攻擊在企業內部橫向擴散。換言之，只要中止這個過程中的步驟，就能降低攻擊造成的損害。資安攻擊過程大多是，駭客利用漏洞將shellcode植入系統，進而讓系統下載安裝惡意程式，可能造成任何的損害，例如破壞系統的正常運行或是竊取資料等等。</p> <p>闕志克指出，傳統防毒軟體多運用黑名單機制，建立禁止執行的惡意程式名單，一旦發現黑名單中的程式即中止執行；相反地，應用程式白名單機制，只有被允許者能夠執行，名單外的程式都禁止。</p> <p><span style="color:#B22222;"><strong>白名單適合保護特定功能的系統</strong></span></p> <p>對個人使用的電腦或筆電採取白名單機制，可能因太嚴格的限制，造成使用者的不便，但闕志克指出，白名單非常適合無線路由器、無人機、自駕車等特定用途的裝置採用，其他例如企業工業控制系統等OT的保護，也相當適合。</p> <p>美國NCCIC(國家安全暨通訊整合中心)曾對工業控制系統保護提出7項建議，應用程式白名單機制名列第一，重要性可見一斑。「白名單機制雖然不是萬靈丹，卻是最需要先做的事」，闕志克說。</p> <p>要對特定功能的伺服器建立白名單，得先知道這臺伺服器提供哪些功能，先設妥哪些應用程式必需執行或可允許，將其列入白名單中。他以工研院這幾年所開發的Windows-based AWL為例，針對可執行的二元碼（Binary Code）、共享函式、核心模組、驅動程式，甚至是Script程式進行檢查，建立應用程式白名單機制</p> <p>「白名單從哪裡來」，闕志克點出這個機制第一個挑戰，當一臺全新、從來沒有連接過網路的Windows server 2020，最初的白名單如何設定，才能確保Windows server必要的應用被允許執行。</p> <p>當建立白名單機制後，接下來的問題是如何維護？白名單上的應用如有任何更新，白名單沒有同步調整，就可能發生應用更新後無法執行的問題，目前工研院致力於研究如何讓白名單保護機制與時俱進，例如讓白名單的調整和Windows Update流程結合，或是企業以AD主機安裝的應用，也能同時更改應用程式白名單。否則，當Chrome瀏覽器自動更新版本，若白名單沒有同步調整，就可能出現更新後無法執行的問題。</p> <p>即使建立應用程式白名單，但闕志克提醒，白名單中的程式也不代表就是安全，如同前面所說的，當駭客利用應用程式的漏洞植入shellcode，仍舊會造成損害，簡言之，如何發現白名單內的應用程式已經「變質」，是強化白名單機制安全性的一大挑戰。</p> <p>目前工研院已研發一套檢查工具，針對白名單應用程式的系統呼叫行為模式進行檢查，比對編譯期和runtime的系統呼叫行為是否出現異常，作為判別被植入shellcode的依據。</p> <p>另外，也可用Android Kernel框架慣用的控制流程(control flow)檢查，透過檢查比對執行時的控制流程是否異常，來判斷白名單所允許的應用程式是否被駭。</p> <p><span style="color:#B22222;"><strong>以正面表列規範應用程式應有的行為</strong></span></p> <p>闕志克表示，白名單機制不應只是設定哪些應用程式可執行，還應包括程式的正常行為模式，例如系統呼叫、控制流程行為也一併記錄，這麼做的好處是，只要描述好的應用程式應有的行為，不需去定義壞的應用程式有哪些不好的行為。在一般資安系統設計思維裡，多傾向思考壞人有哪些不好的行為，較少思考好人應有的好行為是什麼。「這就是正面表列、零信任的精神」。</p> <p>他認為，正面表列的安全機制尤其適合ATM、無人機、自駕車這類固定功能的系統，這些系統因為特定用途，可採用多層次的白名單檢查，包括允許安裝執行的應用程式二元碼檢查，事先定義每個程式對系統資源的使用行為，還有程式的系統呼叫、控制流程圖等，就能降低被攻擊風險。「在多層次的保護機制下，即使白名單允許的程式因漏洞遭植入shellcode，也能阻斷攻擊過程」。</p> <p>企業資安防護使用白名單機制時，闕志克建議，不只是一臺伺服器上有哪些應用可執行，這些應用能用哪些系統資源，還有哪些外部伺服器或用戶端電腦被允許和這一臺伺服器的應用互動等，都要列入白名單中。</p> <p>同樣地，對員工的BYOD裝置也應採取零信任的態度，只允許裝置上的少數應用能用企業資源，例如在員工手機上部署虛擬行動基礎架構(VMI)，僅允許虛擬手機使用企業內部的資源。</p> <p><strong>闕志克建議企業可將白名單視為一種通用的資安防護策略，並採取層層定義的方式，對應用程式、程式應有資源使用行為、網路通訊、可與之互通的BYOD裝置程式定義清楚：</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/whitelising-1.jpg" style="width: 600px; height: 411px;" /></p> <p>若是不幸地，惡意程式入侵，為了阻擋惡意程式在企業內部擴散，並進一步限縮可能造成的損害，他也建議，企業應建立應用感知的網路切片(Application-aware network segment)，讓不同的應用使用個別的網路切片，甚至進一步對虛擬機器或容器間的網路通訊行為模式，建立應用層級的白名單機制，以形成防火牆規則，限縮惡意攻擊的影響性。</p> <p>闕志克總結，企業規畫資訊系統應納入零信任精神，先考慮想提供那些功能，這些功能可允許哪些行為，包括哪些程式可允許執行，允許哪些裝置和這些程式互動等等。</p> <p>「企業應將白名單機制視為一種通用資安防禦策略，多數企業規畫資安系統時，不斷嚐試找出哪裡有漏洞，但漏洞是人為錯誤的結果，漏洞是無限的挑戰，企業反而應該思考，允許哪些行為就足以滿足營運需要，同時將影響限縮到最小」，他說。</p> <p> </p> </div></div></div>
2021/5/25 10:14作者蘇文彬https://www.ithome.com.tw/news/144553
14年玩成全球頂尖駭客，戴夫寇爾首席資安研究員親身分享5階段心路轉折
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「雖然說我的成就看似光鮮亮麗，全世界可以相比的人也屈指可數，但我也有自己的課題要面對。」今年剛率領戴夫寇爾（Devcore）資安研究團隊，在全球頂尖白帽駭客比賽Pwn2Own中奪冠的戴夫寇爾首席資安研究員Orange Tsai，近日在臺灣資安大會上，分享自己一路成長為世界頂尖駭客的心路歷程。</p> <p>他大方揭露，自己也經歷所謂的「萌新」時期，從找不出錯誤的程式碼，一步步學習、成長、歷練，才能達到現在的成就；而在各大比賽中嶄露頭角後，頂著資安新星的光環，卻也有遭遇挫折的時候，這時就需要重新找到動力，才能堅定的持續前行。這些一路走來面臨的轉捩點與課題，都是他不斷精進自我的關鍵。</p> <h3><span style="color:#FF8C00;">以數碼寶貝的進化5階段，回顧自己14年駭客學習歷程</span></h3> <p>Orange Tsai演講過程中，以卡通數碼寶貝的5個進化階段，分別是幼年期、成長期、成熟期、完全體到究極體，來回顧自身14年來的駭客技能學習歷程。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E5%BF%AB%E7%85%A7%202021-05-24%20%E4%B8%8A%E5%8D%8810_33_03.png" style="width: 700px;" /></p> <p>「大部分人可能會好奇，我以前如何接觸電腦？如何想當駭客？」Orange Tsai表示，開始接觸電腦的契機，是在小學四年級，接觸到知名電腦補習班補助弱勢孩童的電腦課程，儘管已記不得當時所學內容，但是過程中「很好玩」的感覺，開啟了他摸索電腦的興趣。</p> <p>這段學習電腦的「幼年期」，Orange Tsai表示，自己也曾經是個「萌新」，就像是遊戲中的新手玩家，還在不斷學習探索。遇到問題，也會到「Yahoo奇摩知識+」徵求網友解答，比如詢問該如何打開「命令提示字元」；或是自學C語言時，把整段程式碼貼上詢問錯誤之處。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E5%BF%AB%E7%85%A7%202021-05-24%20%E4%B8%8A%E5%8D%8810_34_14.png" style="width: 700px;" /></p> <p>直到2007年底，他看到新聞正在播送一個轟動全臺的駭客新聞，因而萌生了一個想法：「如果可以在網路世界中，神不知鬼不覺地來去自如，應該帥爆了！」至此，他立下了要當駭客的目標。</p> <p>在興起這個念頭後，Orange Tsai的駭客生涯進入「成長期」。回想成長期的學習歷程，他認為，「學習一門技術，就像玩遊戲的過程，」比如任天堂在2017年發行的遊戲薩爾達傳說，讓玩家在開放世界的地圖中探索，就像學習一門新領域時，從最熟悉的地方逐漸向外探索的過程，「如果你在探索某塊地圖、打倒某隻怪物的過程中感到好玩，代表你已經開始樂在學習了。」</p> <p>Orange Tsai在成長期的時候，正是秉持著探索的精神，開始學習各種駭客攻擊手法，無論是木馬程式、逆向工程、網路攻防各類知識，都主動接觸，若遇到看不懂的內容，就先筆記下來，「每隔一段時間重看一次，直到看懂為止。」</p> <p>持續摸索一、兩年後，由於一個人學習有其侷限性，也缺乏與他人的交流，Orange Tsai主動與當年在資安圈小有名氣、現在則是戴夫寇爾執行長翁浩正聯繫，進而加入了他在輔仁大學創辦的資安研究社團NISRA。</p> <p>當時，Orange Tsai只是高中生，但每週都會固定到輔大的資安社團學習，他也因此接觸到更多資源，比如開始迷上鼓勵駭客思維的Wargame比賽，也曾經為了某個挑戰茶不思飯不想，渾然投入其中。這些學習經歷，更讓他在2009年，第一次以高中生身份參加臺灣駭客年會時，就一舉奪下冠軍。</p> <p>「我從最初覺得駭客很帥，到學習駭客技術上癮，又因為冠軍引起關注，這對一個高中生來說，自信心是很大的膨脹。」Orange Tsai說。</p> <h3><span style="color:#FF8C00;">開始歷經挫折，卻從中找回屬於自己的駭客精神</span></h3> <p>以奪獎作為分界點，Orange Tsai的學習歷程進入「成熟期」。在這段時期，為了獲得更多認同感，他開始刻意訓練自己的演講能力，也投稿各類研討會，來分享自己習得的知識或資訊。</p> <p>「雖然當時是因為認同感才決定演講，但回想起來，這是我做過最正確的一件事。」Orange Tsai指出，一場演講的準備，就是進行一次小型研究的過程，為了確保演講內容精彩且正確，得不斷地對同一個主題深究，過程中，會將雜亂的資料整理成有用的資訊，內化成自己的知識，再向觀眾解釋，「這些能力對我日後有很大的幫助。」</p> <p>除了對外尋求認同感，Orange Tsai也對內尋求自我的認同。當時，由於好奇自己的極限，他開始駭入曾經使用過的服務，「我不是要搞破壞或從中獲利，我也知道這會為自己帶來很多麻煩，可是這個挑戰非常吸引人。」剖析當時的心境，他也坦言，駭入時，會在滿滿的罪惡感與成就感之間徘徊，甚至會為了要不要按下Enter鍵猶豫許久。</p> <p>雖然Orange Tsai找到了漏洞後，都會向提供服務的企業回報，但是，這類攻擊舉動仍對這些企業造成困擾。他強調：「這是不好的示範，我不鼓勵大家這麼做。」尤其，當時他剛加入戴夫寇爾不久，公司剛逐漸上軌道，他才驚覺，自己一時錯誤的決定，可能會因此連累所屬公司的名譽受損。「這件事情帶給我很大的反思，後來，不輕易造成別人的誤會與困擾，成為我的重要原則。」</p> <p>Orange Tsai建議，若新手駭客要練功，無論是CTF或是Bug Bounty之類的挑戰，都是很好的方向。就像當時，他對於駭客技術的追求，轉而透過CTF這類比賽來實現，「CTF更專注技術，且自帶競爭感，跟我當時的想要聚焦技術、追求成就感的想法不謀而合。」</p> <p>這段參加CTF競賽的時期，被Orange Tsai劃分為進入「完全體」的階段。藉由競賽，他獲得了非常豐碩的成果，比如學習還原只剩一半的QR Code、學習開鎖技能、甚至透過逆向工程使吃餃子老虎機中大獎等，「在CTF可以挑戰各式各樣新穎有趣，甚至一輩子都碰不到的技術。」甚至，在CTF上斐然的成績，還讓他與戰隊成員，受到總統接見的殊榮。</p> <p>但在這時，Orange Tsai卻開始遭遇了另一個挫折，「雖然CTF帶給我很大的成就感，但也要承認，永遠會有比你天才的存在。」這個認知，甚至讓他開始質疑自己：「為什麼要這麼努力？自己的價值到底在哪裡？」</p> <p>經過一段時間的反思，Orange Tsai逐漸體認到，在真實世界的駭客攻防中，除了技術之外，更重要的是經驗，「我這幾年的經驗累積，是對方單靠技術無法碾壓的。」他為自己打氣，只要不停止接觸資安，在攻擊的經驗上，自己肯定能佔據優勢。</p> <p>對此，他更引述一位駭客余弦（EvilCos）所說的話，來勉勵自己與觀眾：「哪怕再小，也要讓自己成為某一點的No.1。」哪怕再小，每一次成為第一名的過程中，就是一次自我學習的實現，「當你可以說服自己在某一點擁有價值的時候，心中就能更踏實的走下去。」他坦然的說。</p> <h3><span style="color:#FF8C00;">站在世界舞臺，使命感油然而生</span></h3> <p>當了多年的電競選手後，Orange Tsai發現，CTF的成就感逐漸滿足不了自己，因而開始往更大的目標挑戰，這是他的學習歷程中最後一個階段「究極體」。</p> <p>這個時期，Orange Tsai陸續挑戰了各種駭客領域中，自己尚未拿過獎項的比賽，不只近日在Pwn2Own比賽中獲得破解大師（Master of Pwn）的桂冠殊榮，2019年也與同為戴夫寇爾資安研究員的Meh Chang，獲得漏洞界奧斯卡獎Pwnie Awards「最佳伺服器漏洞獎」的肯定，過去也曾擔任世界級駭客大會如Black Hat USA、Defcon、HITB的講者。</p> <p>「當眼界放大到世界，使命感會慢慢地浮現，尤其在國際舞臺上，臺灣常遭鄰居打壓，如果可以大聲講出你來自臺灣，心裡就會莫名的爽。」Orange Tsai毫無保留的說出，要讓世界看見臺灣的決心；不只如此，他的使命感，還在於對臺灣資安人才的培育，近年來參與了政府辦理的資安人才培育計畫，要透過自身力量，幫助臺灣年輕駭客成長。</p> <p>不過，走到這個階段的Orange Tsai，看似已經達到旁人不能及的高度，仍舊遭遇了更多課題需要自我克服，「雖然說我的成就看似光鮮亮麗，全世界可以相比的人也屈指可數，但我也有自己的課題要面對。」</p> <p>比如追逐成就感的過程，是驅使他不斷向高處攀登的動力，但有時也讓他陷入鑽牛角尖的循環。他舉例，為了讓自己產出比前一年更傑出的研究成果，去年一整年，他每天都強迫自己找漏洞，也因此，找漏洞變成一件痛苦的事。經過一段時間沈澱後，他才發現，有趣的不是挖漏洞的過程，這是別人花時間也能做到的事，反而是創造出新的攻擊手法，才能更能彰顯他的價值，也是他真正感興趣的事。</p> <p>「很多人問我，你會不會有一天不做資安？」Orange Tsai鄭重地說，若做資安的動機，只是單純因為帥、或是覺得好玩，將來就可能被更有趣的事吸引而放棄，不過，他總結自己學習資安的過程，從一開始覺得駭客很帥、學習技術很好玩，逐漸感受到認同感、成就感與使命感，不同階段目標的疊加成就了現在的自己，「套一句某個前輩說過的話，駭客是終身職，我為什麼會放棄資安？」</p> <h3><span style="color:#FF8C00;">找到學習動機、刻意練習，每個人都有機會成為第一</span></h3> <p>最後，Orange Tsai給所有對資安有興趣的年輕學子一個變強公式，儘管不一定適用所有人，但他建議，在學習資安的路上，首先要找到學習的動機，「有夠強的動機，才能驅使你不怕任何事情持續前進。」再者，則是要刻意練習、刻意挑戰，持續挑戰比現在水平更難一點的題目，若挑戰成功，就能從解題過程中獲得樂趣與成就感，若挑戰失敗，也能檢討反思，來避免日後犯下同樣的錯誤。</p> <p>Orange Tsai說，就像自己過去，也曾循序挑戰更難的題目、刻意練習演講的能力，「持之以恆，就能在某個領域中成為第一名。」</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E5%BF%AB%E7%85%A7%202021-05-24%20%E4%B8%8A%E5%8D%8811_18_23.png" style="width: 700px;" /></p> </div></div></div>
2021/5/25 09:50作者翁芊儒https://www.ithome.com.tw/news/144565
【iThome 2021 CIO大調查(上) 一起抗疫靠IT】企業如何更重視IT抗疫的價值？
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1026-cover3-960-2.png" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>後疫新常態中，IT對企業的價值，遠比過去更加重要。CIO的影響力也比過去更高、也更廣。尤其，許多企業總經理，執行長，都比過去更重視IT。從iThome 2021年CIO大調查發現，可以明顯看到，IT地位和價值向上提高的改變。</p> <p>高達68.7%企業的CEO，比過去更加重視IT，尤其是金融業和高科技業，本來就高度重視IT的金融業，在疫情衝擊下，32.6%金融業CEO明顯增加與CIO的互動。而過去常將IT視為支援單位的一般製造業，現在也有高達62.5%的企業主，開始認真看重IT的價值。</p> <p>過去一年疫情發生後，CIO與CEO的互動也比過去更頻繁，根據我們的調查，近6成企業都如此，CEO越來越需要借重CIO的知識和經驗，用IT來對抗疫情，或者協助企業數位發展的決策，甚至有1成的一般製造業CEO，明顯增加了與IT部門主管溝通。</p> <p>在企業實際營運上，CIO的影響力也比過去更大。過半數企業的CIO們，都因企業抗疫需求，而有更多機會參與企業高層的營運決策，其中又以金融業CIO最多，高達76.7%金融CIO更是高度參與營運決策。就連一般製造業，也有38.5%的IT主管，因抗疫而參與更多高層決策。</p> <p>CIO不只是向上影響力的提升，對於其他部門的影響力也比過去更大，不論是金融、政府機關與學校、高科技、醫療業，都有超過6成企業的CIO，比過去更能影響其他部門。</p> <p>因為不只是企業主更加看重IT，其他部門也更能感受到IT的價值，不管是外部營運環境、面對顧客的服務通路、上下游的供應鏈，都需要IT。根據今年大調查，2成高科技業或醫院CIO明顯感受到自己對其他部門影響力大幅提升，而有同樣感受的金融CIO和政府部門CIO的比例，更是超過了3成。</p> <p>而且不只為了被動的因應疫情，甚至IT可以變成掌握新商機或發展新商業模式的助力，這也是為何6成企業的業務主管，比過去更重視IT的緣故，就連一般製造業中，也有近半企業的業務主管改變對IT的態度，比過去更重視。</p> <p>在後疫新常態時代中，IT在企業中的角色大幅改變了。不論從企業主、營運決策、其他部門，甚至是業務單位，都更能感受到IT的價值，也更重用IT。60.8%企業都開始指派IT負責更有價值，或是更有戰略性的任務。雖然IT抗疫，是一場現在還沒看見終點的硬仗，但這也是IT發揮戰功的時機。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1026-cover3-600-1.png" style="width: 580px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1026-cover3-600-2.png" style="width: 596px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1026-cover3-600-3.png" style="width: 596px;" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 問卷說明 </span></strong></span></p> <p><span style="color: rgb(51, 153, 255);"><strong>大調查執行期間從2021年3月8日到4月5日，對臺灣大型企業、歷屆CIO大調查企業、政府機關和大學IT與資安主管進行線上問卷調查，有效問卷439家，其中74.3%填答者為企業IT最高主管。</strong></span></p> </div></div></div>
2021/5/25 07:00作者王宏仁https://www.ithome.com.tw/article/144546
臉書發布高效能完全非監督式語音辨識模型Wav2vec-U
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臉書發表最新的語音辨識技術<a href="https://ai.facebook.com/blog/wav2vec-unsupervised-speech-recognition-without-supervision">Wav2vec-U</a>，這是Wav2vec非監督式版本，可以讓研究人員不需要將語音轉錄成文字資料，就可以訓練模型的方法，Wav2vec-U的效能已經可媲美幾年前，使用1,000小時轉錄語音資料訓練的監督式模型。</p> <p>無論是回答問題還是執行請求，語音辨識技術已經被廣泛地應用在各種情境，但現今的語音辨識系統，僅對少數語言友善，研究人員解釋，這是因為需要大量的轉錄音訊，才能夠訓練出高品質的語音辨識系統，但是每種語言、方言或是說話方式並無法輕易的取得這樣的資料。</p> <p>因此臉書開發了Wav2vec-U，這是一種不需要轉錄資料的語音辨識系統方法，臉書已經在Swahili和Tatar等語言測試該模型，由於這些語言缺乏大量帶有標籤的訓練資料，因此一直沒有高品質的語音辨識模型。</p> <p>Wav2vec-U能純粹從錄製的語音音訊和未配對的文字中學習，過程不需要進行任何轉錄的工作，與過去的自動語音辨識系統相比，臉書採用了一種新方法，能夠從未標記的音訊中學習語音結構，結合Wav2vec-U和k-平均演算法，就能將語音分割出各個對應的語音單元，像是把CAT這個詞分割成/K/、/AE/和/T/。</p> <p>為了要學習辨識語音中的單詞，研究人員訓練了由生成網路（Generator）和判別網路（Discriminator）組成的生成對抗網路（GAN），其生成網路使用嵌入在自我監督表示中的每個音訊片段，並預測和語言中聲音相對符的音位（Phoneme），目的是要試圖欺騙判別網路來進行訓練，判別網路會評估預測的音位序列是否逼真。最初生成網路產生的結果很差，但是經過判別網路的回饋，生成網路產生的結果會更加準確。</p> <p>研究人員提到，判別網路本身也是一個神經網路，透過將生成網路的輸出當做輸入，以及來自各種音元化的真實文本，能訓練判別網路學會區分由生成網路產生的輸出和真實文本。</p> <p>研究人員將Wav2vec-U與其他模型比較，以評估Wav2vec-U的效能，在TIMIT基準測試中，與最佳的非監督式方法相比，Wav2vec-U錯誤率降低57％，而在更大型的Librispeech基準測試中，Wav2vec-U與基準中歷年最佳效能的監督式模型相比（下圖），Wav2vec-U在沒有任何轉錄資料訓練下，和2019年使用960小時轉錄資料訓練的模型效能不相上下。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/185911567_1930754773744348_4077514865307512480_n.jpg" style="width: 580px;" /></p> <p>TIMIT和Librispeech都是用來評估英文系統的基準測試，但英文由於有大量的標籤資料集，已經存在極佳的語音辨識技術，而非監督式語音辨識，將對於缺乏標籤資料的語言，產生極大的影響。因此研究人員也開始在Swahili、Tatar和Kyrgyz等標籤資源匱乏的語言中，研究使用Wav2vec-U。</p> <p>臉書提到，Wav2vec-U是他們在語音辨識、自我監督學習和非監督式機器翻譯上多年的成果，讓模型僅透過觀察就可以習得解決任務的能力，這項成果將使得語音技術為更多人所用。</p> </div></div></div>
2021/5/24 22:35作者李建興https://www.ithome.com.tw/news/144599
Exchange漏洞公布5分鐘就被駭客掃描
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>安全廠商Palo Alto發現，現在駭客攻擊更勤快、更快速，RDP漏洞占了1/3，而8成重大漏洞和雲端有關。今年三月微軟Exchange Server漏洞公布後， 5分鐘內駭客就開始掃描網路上可能的攻擊目標了。</p> <p><a href="https://www.ithome.com.tw/news/143001" target="_blank">微軟三月初公告</a>，名為Hafnium的中國駭客組織積極活動，透過統稱為ProxyLogon的4項零時差漏洞對本地部署的Exchange Server發動攻擊。不到一周，估計光是美國就有3萬公立和民營組織遭駭。<a href="https://www.ithome.com.tw/news/143210" target="_blank">安全廠商研判</a>有至少10組駭客企圖以木馬、勒索軟體、DDoS攻擊程式攻擊Exchange Server用戶。</p> <p>Palo Alto Networks從今年一月到三月分析了網路上對全球50家企業共5000萬個IP的掃描活動，並發表<a href="https://start.paloaltonetworks.com/asm-report" target="_blank">《Cortex Xpanse 攻擊表面威脅報告》</a>，顯示駭客24x7掃描網路尋找受害機器，平常情況下攻擊者每小時掃一次，反觀全球化企業可能要好幾周才會掃完公司有漏洞的機器。此外，駭客動作極快，在漏洞CVE公開後，一般零時差漏洞，平均15分鐘就開始掃描了，而對Exchange Server這麼普及的機器，微軟3月2日公布後，駭客5分鐘內就開始行動。</p> <p>研究人員還發現，全球企業每12小時就發現到重大漏洞，包括RDP、Telnet、SNMP、VNC等不安全的遠端存取漏洞、資料庫伺服器及Exchange Server或F5負載平衡器上的零時差漏洞，速度之快反映今天IT及漏洞的複雜性。研究也顯示，在所有安全問題中，RDP漏洞占了1/3，而重大漏洞中，和雲端相關的占了79%，顯示雲端對現代企業基礎架構帶來的風險，特別是疫情下，企業加速將營運環境搬上雲端。</p> <p>研究人員解釋，駭客活動升高是現在資訊設備及運算服務愈來愈便宜之故，駭客只要花個10美元租用雲端掃描服務，只要大致掃描網路看看有哪些未補漏洞的Exchange Server，使攻擊的門檻大為降低。現在一些免費搜尋引擎，像是Shodan和GrayHatWarfare更被駭客濫用來查詢連網潛在目標機器。</p> <p>報告顯示，從大量成功的攻擊來看，駭客發動攻擊已經比企業修補漏洞還快。</p> </div></div></div>
2021/5/24 22:58作者林妍溱https://www.ithome.com.tw/news/144605
Google更新Jetpack，原生UI工具包Compose將在7月釋出1.0版本
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google在其I/O大會上發布了<a href="https://android-developers.googleblog.com/2021/05/whats-new-in-jetpack.html" target="_blank">Jetpack的更新消息</a>， Android Jetpack是一套函式庫、工具和指南，可讓開發人員依循最佳實踐，開發適用於各Android版本和裝置之間的應用程式。Google也預告目前處於測試階段，用來建構Android原生UI的工具包的Jetpack Compose，將會在7月的時候發布1.0版本。</p> <p>這次更新的函式庫包括CameraX，該函式庫提供統一的API介面，可用於跨作業系統版本存取攝影機，其提供裝置的相容性修補程式，減少應用程式支援不同版本和裝置的麻煩。這次CameraX的更新支援調整曝光補償，以及讓開發人員得以存取相機的相關狀態，而且也能在攝影機執行時，使用Camera2Interop方法控制諸如FPS範圍等攝影機設定。除了新功能之外，Google持續提升CameraX的運作效能，特別是增加舊裝置相機初始化和拍攝速度。</p> <p>Paging函式庫則推出3.0版本，Paging讓開發者可以載入和顯示小資料塊，以改善網路和系統資源消耗的函式庫，這個新版本提供完全使用Kotlin重寫的版本，並且完整支援協程和Flow，使用RxJava與Guava元語進行非同步載入。</p> <p>而在新版Jetpack中，進入Beta測試的函式庫包含DataStore，其提供了一個強健的資料儲存解決方案，保持簡單且高度可用的API介面，並且也以Flow和RxJava支援Kotlin協程等最佳實踐。DataStore讓開發者透過Preference DataStore或協定緩衝來儲存鍵值對，而用戶也可以使用像是Kotlin序列化等自己偏好的序列化解決方案。</p> <p>Jetpack加入了新的AppSearch函式庫，該函式庫提供高效能且功能豐富的全文本搜尋功能，與SQLite相比，AppSearch支援多種世界語言，簡化查詢結果排名，並且也能以較低的延遲，搜尋和索引大型資料集。</p> </div></div></div>
2021/5/24 23:02作者李建興https://www.ithome.com.tw/news/144604
在Windows 10及Linux上執行Chrome會當掉？Google修補了
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>最近這幾天相繼<a href="https://support.google.com/chrome/thread/110605125/chrome-crashing-unable-to-access-anything-not-even-settings?hl=en" target="_blank">有Chrome用戶抱怨</a>，在Windows 10與Linux上啟用chrome時，不但網頁當掉了、分頁當了，甚至無法載入設定或書籤，而且不管是重新安裝Chrome或重新啟動電腦也無效，不過，Google已快速更新Chrome，修補了相關臭蟲。</p> <p>在短短的2天內，總計有超過100個用戶回應遇到類似的問題，還有使用者表示，他與太太使用同樣的Chrome版本，但他的Chrome無法使用，太太的Chrome卻能正常運作，顯示並非每個Chrome用戶都受到影響。</p> <p>Chrome支援經理Rebecca Resnick則回應，他們是自5月21日陸續收到使用者的舉報，發現Windows版與Linux版的Chrome會無預警地當掉，已經找到原因並發布更新。</p> <p>不過，Windows用戶必須關閉並重新開啟Chrome視窗，開啟後仍會看到破碎的Chrome，讓它停留5分鐘，再結束Chrome並重新啟用Chrome，繼之就會恢復正常。Linux用戶的重新啟用程序則稍微複雜，但Resnick也列出了詳細的步驟。</p> </div></div></div>
2021/5/24 16:55作者陳曉莉https://www.ithome.com.tw/news/144598
Google公共雲端資料集解決方案現加入商業資料集
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google<a href="http://cloud.google.com/blog/products/data-analytics/datasets-for-enriching-analytics-ai-initiatives" target="_blank">更新雲端資料集解決方案</a>，讓企業用戶能以更加統一的方式，同時取用公共和商業資料。另外，Google還開源公共資料集參照基礎架構，使得公開資料來源更透明，用戶也可以分叉到自己的Google帳戶，以便上線私有資料集並將其用於商業目的。</p> <p>Google這項針對企業的雲端資料集解決方案，是建立在現有的公共資料集計畫之上，只是現在將應用的範圍，從公共資料擴展到商業資料集、綜合資料集和第一方Google資料資產上，來增加分析和人工智慧服務的價值。</p> <p>在2016年的時候，Google公共資料集計畫和美國國家海洋暨大氣總署（NOAA）、美國國家研究院等許多資料供應商合作，將經過格式最佳化的資料放在BigQuery和雲端儲存上，作為精選公共資料資產目錄，Google提到，許多資料可供各行業進行各種分析，像是NOAA的嚴重風暴事件的公共資料集，在結合零售商自己的庫存資料後，就可以分析惡劣天氣對銷售與庫存的影響。</p> <p>而透過將商業、合成以及第一方的資料加到計畫中，用於資料分析和人工智慧，可進一步強化分析的能力，另外，用戶也可以透過Earth Engine和Kaggle的目錄，來探索並且取用這些資料集。</p> <p>除了豐富雲端的資料集之外，Google還發布用於資料匯入的開源參照基礎架構，這樣即便用戶不將企業私人資料放到Google雲端上，也能使用這些資料進行綜合分析。Google提到，可以把新的參照基礎架構想成網頁框架，網頁框架可以用來處理建構網頁應用程式所要進行的繁瑣工作，而參照基礎架構，則可以用來減少開發和維護資料工作管線的額外工作。</p> <p>參照基礎架構是一個資料集上線的工作管線基礎架構，使用YAML配置檔案來簡化控制。Google宣布將公共資料集的參照基礎架構開源，讓使用者不只可以清楚資料來源，並且也讓有意想要公開資料集的組織，能夠研究利用該架構，將資料放上Google雲端，而企業也可以藉由分叉基礎架構專案，並在自有的Google雲端帳戶上線資料集進行商業使用。</p> </div></div></div>
2021/5/24 17:33作者李建興https://www.ithome.com.tw/news/144596
Snap：沒有iPhone就沒有Snap，很願意支付30%佣金
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>就在美國遊戲暨平臺開發商Epic Games控告蘋果App Store之際，雖然不少開發者都希望Epic Games可以勝訴，迫使蘋果調降30%的交易佣金，甚至允許iOS用戶自App Store以外下載程式，然而，Snap執行長Evan Spiegel近日接受CNBC專訪時卻吐露：沒有iPhone就沒有Snap，很願意支付30%的佣金予蘋果。</p> <p>Snap為2011年成立的影像分享平臺，除了開發多媒體傳訊程式Snapchat之外，也打造可錄製影片的Spectacles智慧眼鏡，在2016年收購了允許使用者自製漫畫頭像的Bitstrips，於2017年登上美國紐約股市，目前全球的每月用戶數已超過5億。</p> <p><a href="https://www.cnbc.com/video/2021/05/21/snap-ceo-apple-app-store-fees.html" target="_blank">Spiegel向CNBC表示</a>，他認為如果沒有蘋果所建立的平臺，或者是沒有iPhone，Snap就不會存在，因此，他不確定對於30%的佣金是否有所選擇，但他們是很樂意支付的，用以交換蘋果所提供的先進軟體與硬體。</p> <p>Spiegel的說法與其它的開發者大相逕庭，除了Epic Games之外，全球影片串流龍頭<a href="https://www.ithome.com.tw/news/125408" target="_blank">Netflix</a>曾企圖繞過蘋果App Store的拆帳機制，全球音樂串流龍頭<a href="https://www.ithome.com.tw/news/129325" target="_blank">Spotify</a>甚至直接向歐盟投訴，指控蘋果App Store以不合理的佣金與措施來排擠競爭對手。</p> <p>此外，有別於<a href="https://www.ithome.com.tw/news/141713" target="_blank">臉書</a>大作廣告來抨擊蘋果隨著iOS 14.5上線的<a href="https://www.ithome.com.tw/news/144059" target="_blank">追蹤透明化政策</a>，Spiegel也稱讚蘋果的作法是正確的，因為它替使用者帶來了更多的隱私保護。</p> <p>Epic Games與蘋果之間的辯論將於本周結束，而法官則可望於未來幾個月作出裁決。</p> </div></div></div>
2021/5/24 16:27作者陳曉莉https://www.ithome.com.tw/news/144597
險被水中下毒的佛州淨水廠外包商也被駭
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年初美國佛羅里達州一家淨水廠被駭，<a href="https://www.ithome.com.tw/news/142702" target="_blank">差點導致淨水下毒事件</a>。安全公司又發現案外案，連淨水廠外包商也被捲入安全事件。</p> <p>今年二月佛州奧德馬爾（Oldsmar）市一家淨水處理廠員工發現，有不明人士入侵公司網路及電腦軟體，企圖調高淨水過程的氫氧化鈉，使其濃度調高到正常值的100倍，幸好及時修正，未釀成大錯。</p> <p>消息見報後安全廠商Dragos研究發現，似乎在主要攻擊之前，這家淨水處理廠還陷入另一樁安全事件。Dragos發現到，淨水廠的一家營建基礎架構外包商的WordPress網站上有段惡意程式碼，並在當時進行水坑式攻擊（watering hole），即從所有連向該WordPress程式碼的電腦系統蒐集資料。從時間點來看，淨水廠被駭事件發生當天，也有一個瀏覽器從奧德馬市存取該網站。</p> <p>細究發現，這段程式碼蒐集資料起自去年12月20日，到Dragos介入修正問題前已活動58天。研究人員研判攻擊者是開採了WordPress多項漏洞，成功植入該段數位指紋（fingerprinting）script。近二個月期間內和該網站有過互動的電腦包括淨水廠、美國州政府、市政府單位以及和水資源有關的民營公司，以及一般合法網頁機器人和網站爬蟲程式。那段時間被這段程式碼分析過的用戶電腦超過上千臺，多數來自美國境內，特別是佛州。</p> <p>進一步分析這段數位指紋script，研究人員追蹤到和殭屍網路程式TofSee的關聯性。他們發現這惡意數位指紋script是代管在一個網路黑市，但這個黑市網站似乎真正身份是殭屍網路病毒TofSee感染裝置的「報到」網站。Dragos分析TofSee已感染了1.3萬臺電腦，</p> <p>Dragos推斷，2月5日早上將近10點存取外包商WordPress網站的瀏覽器，和該淨水廠同一網路。巧合的是，當天早上不明人士透過淨水廠控制電腦的人機介面，也在這個時間點駭入企圖在水中下毒。</p> <p>但是研究人員強調，淨水廠外包商網站的水坑式攻擊和淨水廠被駭似乎沒有直接關聯。該水坑攻擊並未釋出開採程式，也未存取連結的受害者電腦。研究人員推斷攻擊者挑選這個外包商網站，可能是想在低調一點的地方蒐集資料。</p> <p>但研究人員仍相信這代表水資源產業的安全風險，也突顯對使用營運科技（operational technology，OT）及工控電腦的企業而言，控管未受信任的網站存取行為的重要性。</p> </div></div></div>
2021/5/24 15:32作者林妍溱https://www.ithome.com.tw/news/144595
GitHub發布構件匯出工具Artifact Exporter
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>GitHub建構並開源了構件匯出工具<a href="https://github.blog/2021-05-18-github-artifact-exporter-open-source-release/">GitHub Artifact Exporter</a>，可讓報告團隊不用使用API下，取得需要的資料。GitHub Artifact Exporter提供了命令列和簡單的GUI工具，用戶可以依照範圍日期，匯出GitHub的問題（Issue）以及相關註解（Comment），而且工具還支援GitHub全文搜尋語法，可根據搜尋參數過濾結果。</p> <p>官方提到，在較大的組織中，可能有專門負責報告的團隊，能夠以不同精細度匯出活動，供修改或是稽核之用。GitHub雖提供了API，讓團隊成員透過程式開發方法存取資料，但是對許多使用者來說，這樣的方式存在一定的技術門檻，不少情況用戶僅是要將問題和其他儲存庫資料，下載為CSV檔。</p> <p>為此，GitHub開發了Artifact Exporter，供用戶使用更簡單的介面，來取用需要的資料，Artifact Exporter可以匯出提交、歷程碑（Milestone）、專案、拉取請求和發布版本等資料，命令列和GUI工具都支援匯出JSON和CSV檔案。</p> <p>在使用GUI工具時，用戶會需要填寫個人存取權杖、儲存庫擁有者和儲存庫本身的名字，用戶可以輸入搜尋字串過濾儲存庫的問題之後，選擇以CSV或是JSON輸出，而命令列工具除了可以跟GUI一樣產生JSON和CSV資料外，還能被用來實作成其他搜尋類型。</p> </div></div></div>
2021/5/24 15:52作者李建興https://www.ithome.com.tw/news/144593
美國運通發送大量垃圾郵件，遭英國判罰9萬英鎊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>以服務為名發送行銷郵件的業者要小心了，英國的資料保護組織ICO（Information Commissioner's Office，資訊專員辦公室）近日<a href="https://ico.org.uk/about-the-ico/news-and-events/news-and-blogs/2021/05/amex-fined-for-sending-four-million-unlawful-emails/?utm_source=twitter&utm_medium=iconews&utm_term=5186cf95-3253-4458-a3b6-9750afae2f84&utm_content=&utm_campaign=" target="_blank">針對歐洲美國運通（Amex）祭出9萬英鎊（約363萬元新台幣）的罰款</a>，原因是美國運通所發出的服務郵件遭到客訴，這些使用者認為他們已明白表示拒絕接收行銷郵件，但還是收到了，ICO認定這些郵件屬於行銷郵件，而非美國運通所宣稱的服務郵件。</p> <p>有少數的美國運通客戶向ICO投訴，他們已經選擇退出了美國運通的行銷郵件名單，但還是陸續收到廣告信件，儘管美國運通認為，這些郵件屬於服務郵件（Servicing Emails），並非行銷郵件（Marketing Emails），是根據與使用者簽署的信用協議（Credit Agreements）所發送，如果使用者不知道相關的訊息可能會吃虧，但ICO不為所動。</p> <p>ICO的調查顯示，在2018年6月1日到2019年的5月21日之間，美國運通至少送出了5,000萬封所謂的服務郵件予客戶，但當中有超過400萬封郵件屬於行銷郵件，專門用來鼓勵用戶以美國運通信用卡來消費，以讓美國運通可以增加業績。</p> <p>美國運通的信用卡用戶所收到的郵件，包括描述以該信用卡在網路上消費所能得到的獎勵，或者是鼓勵使用者充份利用美國運通信用卡並下載Amex程式。</p> <p>事實上，ICO明確定義了服務郵件與行銷郵件，若是付款條件及付款計畫上的變更，或是服務中斷通知，就屬於服務郵件；而舉凡針對特定使用者的廣告或行銷上的通訊，即會被歸類為行銷郵件。</p> <p>ICO也藉此奉勸所有的業者都應重新審視其發送郵件的程序，理解服務與行銷郵件的差異，以避免違反當地的法令。</p> </div></div></div>
2021/5/24 14:28作者陳曉莉https://www.ithome.com.tw/news/144591
【疫情日報】疫情持續發生，專家會議建議延長三級警戒，陳時中坦言正在研議中
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中央流行疫情指揮中心揭露今天（5/24）COVID-19確診病例，今天本土新增了334例，校正回歸的個案數也仍有256例。陳時中今天透露，專家會議建議延長第三級警戒期間，目前正在研議中。</p> <p>今天本土確診案例中，以新北市最多，達到177例，又以板橋區43例最多。臺北次今天則新增99例，以萬華區38例最多。校正回歸的個案中，則以臺北市最多（其中萬華區校正回歸了76例，而新北則追加99例，同樣以板橋區34例最多。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/210524%E7%A2%BA%E8%A8%BA%E7%97%85%E4%BE%8B%E6%A0%A1%E6%AD%A3%E5%9B%9E%E6%AD%B8%E6%83%85%E5%BD%A2_%E8%B3%87%E6%96%99%E4%BE%86%E6%BA%90_%E8%A1%9B%E7%A6%8F%E9%83%A8.jpg" /></p> <p>陳時中表示，校正回歸的情況，希望在這一周全部補齊，讓疫情數據更正確。但他強調，目前來看，確診病例數的趨勢有穩定持續發生的情況。原訂第三級警戒時間在5月28日結束，但陳時中表示，專家會議建議要延長三級警戒期間，目前正在研議中。而疫苗進度跟原先掌握的進度一樣，國產疫苗以七月底施打為目標。</p> </div></div></div>
2021/5/24 14:46作者王宏仁https://www.ithome.com.tw/news/144592
臺灣入口網站蕃薯藤在2013年的被駭資料流入駭客論壇
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>來自臺灣的威脅情報研究人員<a href="https://twitter.com/StillAzureH/status/1383234219153846276" target="_blank">StillAzureH近日向Have I Been Pwned（HIBP）舉報</a>，已於駭客論壇上發現來自臺灣入口網站蕃薯藤的外洩資料，而<a href="https://haveibeenpwned.com/" target="_blank">HIBP則說</a>，該資料庫內含超過1,300萬用戶的資料。</p> <p>成立於1997年的蕃薯藤（<a data-sk="tooltip_parent" data-stringify-link="http://yam.com" delay="150" href="http://yam.com/" rel="noopener noreferrer" target="_blank">yam.com</a>）是臺灣的第一個入口網站，與Yahoo!奇摩及PChome同為臺灣的三大入口網站，過去的入口網站主要提供各式的網路資源，從搜尋、電子郵件、新聞到分類服務等，如今，大概只剩Yahoo!奇摩稱得上是入口網站，PChome已轉型為電子商務網站，而蕃薯藤則在2006年賣給了網絡數碼（現為天空傳媒），內容服務也已大幅縮小。</p> <p>StillAzureH已驗證這批資料的真實性，他說，他在臺灣認識的人當中，有8成出現在該資料庫。</p> <p>HIBP已發送郵件予訂閱該站外洩通知服務的使用者，表示這批資料的外洩時間點為2013年的6月，內含13,258,797筆的不重覆電子郵件，以及這些帳號的用戶名稱、姓名、生日、電話號碼、實體地址與未加鹽的MD5雜湊密碼，已於今年流入駭客論壇。</p> <p>使用者除了應該變更於蕃薯藤所使用的密碼之外，也得變更在其它網路服務所使用的同樣密碼，並儘量在所有網路服務啟用雙因素認證，同時留意各種網釣或詐騙郵件，也應注意自己的身分是否遭到濫用。</p> </div></div></div>
2021/5/24 12:43作者陳曉莉https://www.ithome.com.tw/news/144589
SITA供應鏈被駭受害者：印度航空外洩450萬名乘客資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>全球航空業知名的IT與電信服務供應商<a href="https://www.ithome.com.tw/news/143092" target="_blank">SITA（國際航空電訊集團）在今年3月坦承</a>，旗下專門經營航空公司乘客處理系統的子公司Passenger Service System（PSS）遭到駭客入侵，而<a href="http://www.airindia.in/images/pdf/Data-Breach-Notification.pdf" target="_blank">印度航空（Air India）直至上周才宣布自己是受害者</a>，約有450萬名乘客的資料外洩。</p> <p>PSS主要提供各大航空公司的乘客處理服務，從到櫃臺報到至登機，亦支援生物辨識系統，估計每年有來自各大航空公司的10億名乘客使用PSS服務。</p> <p>印度航空表示，他們雖然是在2月25日就收到通知，但一直到5月才確認受到影響的乘客資料，所以才在上周統一公布。受影響的450萬乘客是在2011年8月26日至2021年2月3日間註冊的，涵蓋乘客的姓名、生日、聯絡資訊、護照資訊、機票資訊、信用卡資料，並未包含信用卡的安全代碼，或是使用者密碼。</p> <p>至於SITA PSS在被駭之後，馬上就展開調查，修補受駭的伺服器，與安全專家合作，通知信用卡發行銀行，也重設所有密碼。</p> <p>SITA PSS並未公布受到波及的航空公司名單，而是由各大航空公司自行宣布，除了印度航空之外，<a href="https://www.bleepingcomputer.com/news/security/air-india-data-breach-impacts-45-million-customers/" target="_blank">Bleeping Computer</a>則報導包括紐西蘭航空（Air New Zealand）、國泰航空（Cathay Pacific）、新加坡航空（Singapore Airlines）、北歐航空（SAS - Scandinavian Airline）、濟州航空（Jeju Air）、馬來西亞航空（Malaysia Airlines）、芬蘭航空（Finnair）與漢莎航空（Lufthansa）亦為這波供應鏈攻擊的間接受害者，另外全日空與日本航空也在受害之列。</p> </div></div></div>
2021/5/24 11:34作者陳曉莉https://www.ithome.com.tw/news/144587
【臺灣資安大會直擊】物聯網裝置要如何做到端點的威脅偵測？研究人員打算透過韌體虛擬化來檢測
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>物聯網設備的資安近年來可說是越來越嚴峻，攻擊事件頻傳，不少廠商提供類似入侵偵測系統（IDS）的機制，藉由網路層面提供防護，來防堵這些裝置遭到攻擊。然而，若要找出有關於系統層面的威脅，這樣的機制可能很難進一步察覺異狀。在臺灣資安大會的議程中，臺灣科技大學資訊工程系副教授鄭欣明針對物聯網設備的防護，介紹該校連網實驗室（Connectivity Lab）旗下的物聯網子團隊（IoT subgroup），正在研究以「韌體虛擬化」的方式，來實現物聯網的端點偵測與回應（EDR）機制。</p> <p>在臺灣資安大會上介紹相關技術的目的，我們會後也向鄭欣明詢問，他表示希望能在大會上推廣物聯網虛擬化技術，協助連網設備開發業者強化裝置安全。而對於相關的研究成果，鄭欣明表示日後會將核心技術與公司合作來發表專利，應用層面的部分亦會發表有關論文。</p> <p>關於投入物聯網虛擬化技術研究的動機為何？鄭欣明認為，面對各式各樣類型、運算資源相當有限的物聯網裝置，採用經由網路層面來加以防範的措施，透過監控網路流量是否存在惡意內容，比對特徵碼做為攔截與警示的依據，可說是相當理所當然的做法，但這樣的防護機制，管理者很難得知攻擊者在端點上的行蹤，而成為防禦上的死角。例如，駭客濫用連網裝置的漏洞，甚至是入侵裝置本身，IDS很難察覺這樣的行蹤。</p> <p>因此，若要得知攻擊者究竟在物聯網裝置做了什麼，勢必要透過對於端點裝置本身下手，而在一般端點電腦上相當常見的做法，就是名為端點偵測與回應（EDR）的機制。然而，物聯網裝置往往運算能力有限，管理介面可能不甚友善，以及架構上也有各式各樣的形態，使得這種原本運用在電腦上的防護機制，無法套用到這些物聯網裝置上。例如，電腦的EDR系統普遍會在端點部署代理程式的做法，物聯網裝置就無法比照辦理。</p> <p>針對這樣的情況，鄭欣明說，最近2年開始有研究人員提出將這些裝置「虛擬化」方式，來突破無法直接在原本的物聯網裝置監控的現象。而在將這些裝置的韌體虛擬化之後，就可以利用虛擬化平臺較為強大的效能，來對於虛擬的物聯網設備韌體部署感測器，並檢查是否流量中出現攻擊者濫用裝置漏洞，或者是意圖入侵的跡象。</p> <p>而這種虛擬物聯網裝置的做法，依據程度上的不同，鄭欣明也舉出目前研究人員可能會運用的方法。首先，較早出現的是使用虛擬化軟體（如QEMU），模擬物聯網裝置處理器和記憶體的方式來進行測試。這種方法能應用於較有效率的重度資安測試工作，卻因為沒有真實模擬韌體、核心系統，以及相關元件（如監視器的鏡頭）運作，而效果有限。</p> <p>因此，這也衍生出第2種做法：模擬的物聯網裝置再搭配真實的硬體元件，來形成更真實的裝置模擬。然而，鄭欣明說，這種做法所需面臨的問題，就是這些硬體元件很可能難以部署。</p> <p>對此，在鄭欣明的研究團隊所進行研究中，他們採用的是「完整系統模擬（Full System Emulation）」：不只模擬裝置的處理器，還同時模擬韌體的運作，這樣製作出來的虛擬連網設備，才能在沒有真實硬體設備搭配的情況下，較為完整呈現實際設備的樣貌。但對於如何在沒有連接硬體設備的情況下，達到更為真實運作情境的模擬？鄭欣明沒有進一步說明。</p> <p>有了虛擬化的物聯網裝置，鄭欣明究竟要如何用來進行端點的偵測與回應呢？他說，他們利用自己開發的設備分流，在傳送網路流量給受保護的設備之餘，也將流量鏡像一份到EDR系統，由EDR系統利用虛擬化的物聯網設備進行檢測，模擬在端點設備上執行的可能情形，一旦發現像是濫用設備漏洞的跡象，就將這樣的檢查結果製作成IDS特徵碼，由IDS攔截相關威脅。</p> <p>鄭欣明也透過影片展示他們的研究成果，該團隊利用他們的EDR系統保護2款設備以進行實驗，這些設備是可取國際（iCatch）監視器主機設備KMH-0428，以及思科路由器RV110W，他們使用了這些設備的已知漏洞CVE-2020-10514、CVE-2020-3331來發動模擬攻擊，結果EDR系統藉由模擬的監視器主機和路由器，得知攻擊者濫用相關漏洞，並製作特徵碼給IDS進行防禦。而這些物聯網設備的韌體取得方式，鄭欣明指出，他們是從設備廠商的網站下載檔案來進行研究，並未對其執行漏洞分析，較無影響商譽之疑慮。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IoT-EDR-Emulation.png" style="width: 580px; height: 324px;" /></p> <p>雖然這樣的做法算是對物聯網資安的重大進展，但鄭欣明說他們還是有一些需要突破的地方，像是希望日後能做到大部分的物聯網裝置韌體模擬，能由EDR系統自行分析、匯入，製作成虛擬設備，而非像現行多數是透過研究人員針對每個設備逐一製作，如此他們的EDR系統才能真正用於保護於大多數的物聯網裝置。</p> </div></div></div>
2021/5/24 11:41作者周峻佑https://www.ithome.com.tw/news/144538
肚肚靠技術融合連鎖餐飲經驗，打通B2C發展POS平臺新商模
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一支App和一套後臺，可以支援小至路邊早餐店，大到擁有300家分店、20種品牌的連鎖餐飲經營型態，甚至只需要1個工程師，就能支援2,000家餐廳的IT維運，肚肚這家雲端POS新創靠的就是技術力。</p> <p>肚肚本來是鴻海內部創業計畫孵育的一款美食搜尋引擎App，為了讓用戶找到餐廳後可以直接從App預約，再將通知送到店家POS機，肚肚執行長孫和翊找遍了全臺灣，「竟然有1百多種餐飲POS！根本無法不可行。」</p> <p>孫和翊原本是個徹底的技術人，2010年就進入鴻海研究IaaS雲端專利，不只鑽研公有雲架構，也打造過貨櫃式機房、虛擬化核心Hypervisor。在一次鴻海內部年輕人創業提案簡報時，以美食搜尋App的點子，大獲郭台銘賞識，而組成團隊在高雄鴻海大樓開始開發「巴豆妖」這支免費的美食搜尋App，可以依據定位自動推薦附近美食，大獲好評，很快就超過10萬人下載。</p> <p>但免費的2C服務終究不是長遠之道，孫和翊轉而聚焦企業端的2B收費模式，先前App預約功能整合上百款餐廳POS的開發難題，讓孫和翊嗅到了一個餐飲2B市場的資訊需求缺口。</p> <p>「不同餐飲系統各自獨立、破碎化無法整合，讓IT部門很痛苦。」他指出。一家稍具規模的餐廳，常見作業流程，從預約、排隊、點餐、結帳、外送接單到後臺帳務管理，得靠多套系統才能實現，因疫情爆紅的幾家外送平臺也無法整合，顯示餐廳資料有整合斷點。「甚至看過數百家分店規模的連鎖咖啡店，乾脆靠『人肉API』，由店員手工輸入來跨系統拋轉訂單資料。」</p> <p>所以，孫和翊決定自己跳下來開發POS，但他的願景「不只是POS軟體，而是變成打通C和B的橋樑。」從一款搜尋App，轉而要打造一個可以整合所有餐飲商家資訊和顧客需求的大平臺。</p> <p><span style="font-size:28px;"><strong>融合連鎖餐飲業Know-how，將POS功能參數化滿足多元業態需求</strong></span></p> <p>整合破碎化資訊流的策略，更吸引了臺灣餐飲龍頭王品集團的目光。旗下超過400家分店的王品，近幾年大力發展雲端化和行動化，2019年，決定和鴻海聯手投資肚肚的大平臺新戰略，發展未來10年用的新一代POS系統。所以，肚肚在2019年脫離了鴻海新創孵育階段，正式成立公司。</p> <p>不只出資，孫和翊點出，產品開發過程中，王品連鎖餐飲Know-how更扮演了至關重要的角色。王品旗下超過20個子品牌，幾乎涵蓋了市場上各種不同的餐飲類型，POS的操作流程也更為複雜，這讓肚肚取得了第一線真實的多樣化POS需求，來進行產品架構與功能設計。王品集團這套大型連鎖餐飲IT系統知識和管理經驗，成了肚肚開發POS系統的重要基礎，也是目標。</p> <p>不過，想要實現餐飲資訊系統All-in-One不是一件容易的事，市面上早有不少平板化、App化的POS產品，但鮮少有人能通吃大小規模、各種業態和所有流程。孫和翊表示，餐飲業POS的複雜之處，是難以透過一個統一的POS版本，來滿足所有餐廳業者的需求。例如西式餐廳點餐單位是個人，但中餐廳卻以桌次為主，或像結帳流程有先結帳、後結帳，桌邊結帳等形式。</p> <p>曾在王品集團擔任多年IT最高主管，現為肚肚資深副總鄭榮輝解釋，餐飲業的規模與類型多元，因為現成套裝POS無法涵蓋所有需求，通常得客製化來開發特定版本，或是由餐飲業自家IT自行修改客製。</p> <p>「為了打造出一套餐飲界通用的OS，發展出餐飲圈App Store，」這個大願景讓孫和翊成立了一個規模在同業少見的研發團隊，至今已經投入了40個研發人力，花了數年時間專注在一套系統上。鴻海集團旗下卓越中心更擔任技術輔導角色，找來產學界專家強化肚肚的軟體開發能力，例如導入了網頁自動化測試與電腦視覺系統自動化測試等技術。</p> <p>參考王品的大型連鎖餐飲經驗，再補上早餐店和飲料店經營型態，肚肚將各類型餐飲樣態的需求先標準化，設計成不同的功能模組，再採取參數化設計，來提供自助式設定。鄭榮輝比喻，這像是一種服務隨選（Service on Demand）設計，一般不具備程式開發技能的店家，也可以在後臺自己設定。</p> <p>統計至今，採用肚肚POS的店家已經達到2千3百家，全都用同一套POS版本來滿足不同餐廳經營業態的需求。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0527-500-%E7%8E%8B%E5%93%81%E7%BF%94_%E6%8A%80%E8%A1%93%E9%95%B7_%E6%B4%AA%E6%94%BF%E5%81%89%E6%94%9D.jpg" style="width: 500px;" /></p> <p><span style="color: rgb(105, 105, 105);">攝影／洪政偉</span></p> <p><span style="font-size:20px;"><span style="color: rgb(105, 105, 105);"><strong>在發展POS功能的過程中，技術當然很重要，但更重要的是餐飲業者的Know-how。</strong>─── 肚肚技術長王品翔</span></span></p> <p><span style="font-size:28px;"><strong>雲端基礎架構從IaaS改用PaaS，將IT維運人力大幅降低至一人</strong></span></p> <p>前端只靠同一支App，後端系統為了維運彈性，肚肚一開始就全面上雲端，採用雲端原生技術，部署在AWS上來運作。這是以研發雲端技術起家的孫和翊最熟悉的形式。</p> <p>不過，「剛開始使用雲端時，我們沒有正確的利用雲端的力量。」肚肚技術長王品翔回憶，他去年一進入肚肚時任職的第一件事，就是將原先部署在AWS EC2上的資料庫系統，改用AWS關聯式資料庫服務RDS來重構。</p> <p>一開始肚肚上雲以IaaS服務為主，仍自行設計和維運基礎架構，就像傳統使用本地端主機一樣。「隨著客戶數不斷成長，產品功能也不斷改版擴充，連帶開發人力的需求增加，」種種因素讓王品翔意識到，「技術人力應該更專注投入在產品開發上，而非基礎架構的維運。」像是他們若要自行設計資料庫的高可用性，就需要投入許多人力與時間成本。後來，肚肚決定善用AWS的PaaS服務，將資料庫改用RDS，後續要建立高可用性架構，就會更便利。</p> <p>不過，資料庫遷移是個大挑戰。去年5月，肚肚直接使用廠商提供的資料庫遷移工具，在雲端資料庫服務建立與原先同樣欄位架構的資料庫，再將資料同步搬遷，只停機10分鐘就完成轉換。</p> <p>改用雲端資料庫服務後，肚肚也進一步升級所用的MySQL資料庫版本，後續，還建立起讀寫分離的機制，來提升資料庫讀取效能。王品翔指出，客戶數還只有300∼400家時，使用單一資料庫來提供服務，足以因應工作負載，但是，客戶大幅增長上千家後，每逢晚上九點到十點的尖峰關帳時間，出現了大量提交營業報表的分析請求，爆量工作負載就會影響POS功能。所以，肚肚將資料庫用途分為線上交易處理（OLTP）與線上分析處理（OLAP）系統，分別處理交易面與分析面的請求。</p> <p>另外，肚肚也同步運用雲端監控服務Data Dog以及AWS本身的監控服務，建立雲端服務的監控機制，將維運人力大幅降低至一人，就足以管理數千家餐廳使用POS的全部雲端維運工作。</p> <p>轉換了資料庫後，肚肚也陸續導入DevOps、CI/CD、自動化測試的機制，來加速產品功能的交付與版本更新，後續更調整了RD團隊的組織架構，打破前端與後端的隔閡，來凝聚團隊向心力。</p> <p><span style="font-size:28px;"><strong>靠前端分散式資料處理架構，在無外網情況維持POS服務不中斷</strong></span></p> <p>不過，上雲端雖然提供了擴充彈性，卻也增加了營運不中斷的外部風險，像是對外網路斷線無法連上雲端，或是雲端業者當機的情況。王品翔指出，相較小店家，大型連鎖餐飲業者對營運不中斷有更高的要求。</p> <p>尤其，許多大型餐廳，除了櫃檯結帳POS機，也會需要多臺iPad讓店員桌邊點餐，原本靠雲端集中整合地端所有iPad的資料，但遇到SaaS服務中斷，還是得想辦法靠本地端設備和資料同步方式來運作。</p> <p>所以，肚肚發展出了前端分散式資料處理架構，靠本地端iPad互相同步資料來點餐和結帳，就算斷網也能繼續維持POS的運作。在架構上，肚肚將多臺iPad其中一臺指定為主機，其餘是子機，兩種角色皆可用於點餐、結帳，差異之處是主機是資料同步的主體，所有資料會率先同步於主機，再分別與其他子機同步。也採取高可用設計，主機故障時，可以自動切換到任何一臺子機來擔任主機的角色。</p> <p>設計分散式系統的資料同步機制時，會遇到CAP定理的兩難挑戰，只能在資料的一致性（Consistency）與可用性（Availability）之間取得平衡，無法同時兼顧。因此，王品翔指出，需要根據POS使用場景來判斷，資料一致性或是可用性的需求，何者更為重要。</p> <p>為了確保點餐和結帳工作的進行，多數時候以服務可用性優先，容許各子機的資料同步有時間差，不需等待各子機資料先同步到主機，再更新到各子機上，就能進行各項POS操作。但是有三個關鍵必須確保資料一致性優先，一個是點單時，肚肚會鎖定同一時間，同一桌點餐只能用同一臺iPad，來避免重複下單的問題。其次是每日關帳時，為了避免帳務資料發生錯誤，這時得禁止任何子機進行開桌或點餐。另外還有遇到數值不能重複的資料欄位，例如訂單單號，會讓子機統一向主機上的App請求，集中產生單號編號，再回傳給子機開單使用。</p> <p>多臺iPad平行運作時，單靠一臺iPad主機來負荷資料中心和運算中心的功能，「主機很容易成為效能的瓶頸。」王品翔解釋，為避免主機工作負載過重的問題，主子機的工作要能進行動態切換，將部分主機功能，轉移到子機來處理。例如由子機完成點餐後，將原先由主機自動運算生成圖像化出單單據的任務，直接交給子機負責，再將單據圖檔回傳主機，來指定出單機列印，減輕主機的負擔。「因為我們無法做出一種架構滿足所有情境，所以，一定要設計彈性的轉換機制。」</p> <p>這些克服現場挑戰的產品創新設計，王品翔坦言，關鍵並非技術上的挑戰，而是需要實際場域的知識經驗，才能理解大型連鎖餐飲業者的痛點，來調整功能，「技術當然重要，但更重要的是餐飲業Know-how。」</p> <p><span style="font-size:28px;"><strong>整合破碎化資訊流，目標成為餐飲業OS與App Store</strong></span></p> <p>建立了一套可以涵蓋前臺到後臺所有餐飲作業的POS系統之後，肚肚想做的是打通所有的資訊流，先推出了可串接自家POS的訂位、訂餐、候位與餐券App，集中管理各類服務的資訊流。不只如此，孫和翊更計畫，訂定標準化的公開API規格，開放讓第三方服務與POS系統串接，目標是讓肚肚POS能成為餐飲界的作業系統與App Store，來建立自己的餐飲服務生態系。</p> <p>「未來獲客量達到一定規模後，取得顧客同意後，還可以進一步建立顧客消費歷程，發展顧客大數據的應用。」這是孫和翊更長遠的願景，他透露，未來考慮發展跨業合作，讓店家下載肚肚平臺上的顧客消費歷程資料，用實際售前到售後的營業數據向銀行申請貸款。他更計畫要整合歷史訂單資料來推估餐廳食材用量，不只供店家事前採購參考，甚至統一向食品供應商集材議價來降低成本，讓肚肚平臺也成為餐飲業供應鏈更上游的食材平臺。</p> <p>技術人出身的孫和翊，現在滿口都是餐飲經，站在鴻海和王品的肩膀上，肚肚想要靠硬底子的40人規模研發力，建立自己的餐飲大平臺。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 公司檔案 </span></strong></span></p> <p><strong>肚肚</strong></p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 關鍵人物 </span></span></strong></p> <p> <strong>肚肚執行長孫和翊</strong></p> <p><strong> 肚肚技術長王品翔</strong></p> <p><strong> 肚肚資深副總鄭榮輝</strong></p> <p>● 成立時間：獨立成立時間為2019年5月</p> <p>● 地址：高雄市前鎮區成功二路25號11之2A</p> <p>● 執行長：孫和翊</p> <p>● 員工人數：100人</p> <p>● 年營收：6,000萬</p> <p><strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 技術部門小檔案 </span></strong></p> <p>肚肚的研發部門（RD），現有人數約40人，分為前、後端研發、QA測試、UI/UX設計、大型客戶導入輔導與專案管理等小組。肚肚近期也進行組織調整，將RD進一步分為開發與維運團隊，將每一位RD人員分派開發或維運的任務，來加強前、後端人員協作。RD的研發預算每年超過6,000萬，未來一年，將聚焦自動化測試、維運自動化管理，作為技術發展重點。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 公司大事紀 </span></strong></span></p> <p>● 2015年5月：肚肚找美食App上架</p> <p>● 2016年12月：肚肚當家App上架</p> <p>● 2017年5月：肚肚POS 1.0上架</p> <p>● 2018年4月：肚肚POS 2.0進化版</p> <p>● 2018年6月：開發POS多機智能自動溝通機制</p> <p>● 2019年5月：公司獨立成立</p> <p>● 2019年6月：EDC控制器（Banapi）整合串連iPad POS與銀行傳統刷卡機設備</p> <p>● 2020年4月：雲端大數據監控與分析平臺導入</p> <p>● 2020年7月：外送平臺整合上線</p> <p>● 2020年8月：iOS & Web自動化測試導入</p> <p>● 2020年9月：桌邊點餐與中餐廚房管理系統（KDS）產品推出</p> <p>● 2020年10月：批次叫餐與自助掃碼點餐服務推出</p> <p>● 2021年1月：西餐廚房管理系統（KDS）產品推出</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/0527_du_du_hong_zheng_wei_she_-960.png" width="960" height="420" alt="" title="肚肚技術長王品翔／肚肚資深副總鄭榮輝／肚肚執行長孫和翊　　（攝影／洪政偉）" /></div></div></div>
2021/5/24 09:26作者翁芊儒https://www.ithome.com.tw/people/144585
IoT雙周報第93期：亞馬遜將啟用IoT無線傳輸服務Sidewalk，可通過家中Echo喇叭擴大藍牙追蹤器的覆蓋範圍，…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="color:#0000FF;"><strong>05/08~05/21精選IoT新聞</strong></span></h3> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">智慧醫療</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 監理沙盒 </span></strong></span></p> <p><span style="font-size:22px;"><strong>科技部正在研擬智慧醫療的監理沙盒法案，預計下個會期送交審議</strong></span></p> <p><span style="font-size:22px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%961-IoT%E9%9B%99%E9%80%B1%E5%A0%B1.png" style="width: 600px; height: 338px;" /></strong></span></p> <p>繼金融科技、無人載具科技，臺灣有望成立第三個通過監理沙盒法案的產業，就是智慧醫療科技產業。在7日一場智慧醫材專案辦公室啟動典禮上，行政院科技會報副召集人暨科技部部長吳政忠首度透露，未來將建立智慧醫療監理沙盒的制度，目前正在草擬的階段。</p> <p>去年一場智慧醫療創新實驗法規沙盒產業座談會上，當時行政院科技會報辦公室就曾廣邀科技部、衛福部與經濟部以及醫療產業界凝聚各方共識，希望建立一個以智慧醫療產業創新實驗為主的沙盒機制。直到今年4月，科技部開始聯合經濟部、衛福部就智慧醫療監理沙盒制度的設立展開研議，並由科技部草擬。</p> <p>吳政忠表示，儘管目前國內智慧醫療應用，看似沒有受到相關醫療法規的影響，但仍不排除未來許多創新應用因此受限，因此需要有一個沙盒機制，可以提供業者暫時不受法規限制的實驗性的沙盒環境，如此才能加速創新，同時又能確保推出來的醫材或解決方案，能符合安全性的要求。</p> <p>儘管，草案細節目前內部仍在草擬階段，吳政忠也透露，待草案經院會拍板定案後，預計最快下個會期送立院審議。他也補充提到，在邁向智慧醫療的同時，透過衛福部新啟用的智慧醫材專案辦公室，以作為資通訊與醫療跨域溝通的橋樑，才能加速智慧醫療解決方案的推出。他說，這是非常重要的一步。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 智慧家庭 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Zigbee聯盟 </span></strong></span></p> <p><span style="font-size:22px;"><strong>Zigbee聯盟聯手科技三巨頭力推智慧家庭連網新標準Matter，首批支援產品可望今年底前問世</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%962-IoT%E9%9B%99%E9%80%B1%E5%A0%B1.png" style="width: 600px; height: 281px;" /></p> <p>近日，推動智慧家庭連網標準的Zigbee 聯盟，不只宣布改名為連網標準聯盟（Connectivity Standards Alliance ,CSA），還發布了該聯盟與科技三巨頭Amazon、蘋果、Google共同制定的首個智慧家庭連網標準Matter，就連原本它們合組的Project CHIP工作小組，之後也將以Maer作為新品牌名稱。</p> <p>從最早Zigbee標準到最新釋出新的IP標準Matter，CSA聯盟指出，該聯盟一直致力於簡化和協調IoT產業連接標準，新釋出的Matter也作為新的IoT產業連接標準。</p> <p>值得一提的是，儘管改為連網標準聯盟，但CSA聯盟也強調，未來仍將維持Zigbee技術發展與品牌。</p> <p>根據Matter官網的說明，Matter標準是一個串連連網物件的基礎，可以作為物聯網產業建立可靠且安全的統一連接標準，從而簡化了IoT製造商的開發，並提高了家庭物聯網產品相容性。此外，通過IP協定，開發者可使用它完成跨智慧家庭裝置、行動應用程式以及雲服務的通訊，並使用一套基於IP 的聯網技術，可供設備的認證。</p> <p>Matter新標準早期採用者包括Amazon、Google、Comcast、華為、英飛凌、NXP，以及SmartThings等。首批支援Maer技術的產品可望在今年底前問世，包括照明、電力控制（如插座）、門鎖、空調、安全（如感測器、保全產品）、窗簾、電子、無線AP、無線路由器等。</p> <p> </p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> IoT無線傳輸標準 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Sidewalk </span></strong></span></p> <p><span style="font-size:22px;"><strong>亞馬遜將啟用IoT無線傳輸服務Sidewalk，不僅可連接家中Echo喇叭，還可結合藍牙追蹤器加快找到丟失物</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%963-IoT%E9%9B%99%E9%80%B1%E5%A0%B1.png" style="width: 600px; height: 273px;" /></p> <p>經過兩年內部測試，亞馬遜日前宣布自家IoT無線傳輸服務Sidewalk將於6月8日正式對外啟用，並先讓家中有安裝Echo喇叭裝置的美國用戶先使用，以簡化新設備的設置，並加快網路連接的速度。</p> <p>不僅自家智慧家庭產品能用，該公司還與Tile、Level和CareBand共三家 IoT設備業者合作，讓其用戶可以使用它幫助自己更容易找到丟失的物品，或是控制智慧鎖，甚至與穿戴裝置結合，提供室內和室外活動的追蹤及分析用途。</p> <p>以Tile配件為例，因為是使用藍牙技術來定位物品，用戶一般只能在其通訊範圍內使用，但借助Sidewalk無線連接技術，不僅傳輸距離高於Wi-Fi與藍牙，且具有更強的穿透性，甚至最遠可覆蓋1.6公里遠，因此，只要搭配Echo設備，就可擴大Tile的網路訊號覆蓋範圍，幫助用戶更容易找到丟失的鑰匙、錢包和其他物品。這也讓Tile因此能夠與來勢洶洶的蘋果AirTag對抗。</p> <p>舉例來說，用戶只須對著家中Echo設備說出：「Alexa，幫忙找鑰匙」， Tile配件就會自動發出聲音，提示它的所在位置，當同時連接多臺Echo設備時，還會指出它距離哪一臺設備最近，以及最後出現的日期和時間等。</p> <p> </p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 台電 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 智慧巡檢 </span></strong></span></p> <p><span style="font-size:22px;"><strong>台電首間5G AIoT推動辦公室啟用，更展示結合無人機、機器人智慧巡檢應用</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%964-IoT%E9%9B%99%E9%80%B1%E5%A0%B1.jpg" style="width: 600px; height: 400px;" /></p> <p>除了持續擴大智慧電表的推動，台電公司近年來也開始運用AIoT技術發展智慧巡檢應用，來協助人員進行電廠巡檢任務。近日該公司於南部發電廠設立全臺首間台電5G AIoT推動辦公室時，現場就展示結合AIoT智慧巡檢等四大電力智慧應用。像是台電利用名為「瓩力」的智慧巡檢機器人，輔助作業員完成變電所和輸電鐵塔的巡檢作業，讓人員不用到現場，從遠方就能即時監看畫面和進行電力設備診斷，以降低風險與提高作業效率。台電還利用無人機來協助電塔的巡檢，以即時掌握電塔即時狀況，確保供電穩定。甚至維修人員於現場也能透過MR眼鏡與內部專家即時遠端連線，提升檢修效率。還有結合虛擬實境工安教育訓練等。</p> <p> </p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 邊緣運算 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AIoT </span></strong></span></p> <p><span style="font-size:22px;"><strong>凌華科技最新款工業AIoT智慧攝影機亮相，可提供多達21兆次的加速運算</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%965-IoT%E9%9B%99%E9%80%B1%E5%A0%B1.jpg" style="width: 600px; height: 450px;" /></p> <p>近日，工業物聯網設備商凌華科技推出最新款工業AIoT智慧攝影機系列 NEON-2000-JNX，可用來簡化邊緣電腦視覺與AIoT應用部署，而且除了製造業，未來亦可應用於物流、零售、服務、農業、醫療、生命科學等行業。</p> <p>這款AIoT攝影機一大特色，就是整合了Nvidia新一代Jetson Xavier NX模組系統，可提供伺服器等級處理效能，多達21兆次的加速運算。而小尺寸設計的攝影機外型也相當輕巧，長寬高各為12.3公分、7.8公分與6.7公分，重約 600克。該攝影機還整合多種影像感測器，其中包括4款Basler影像感測器，可以提供完整的影像細節作為機器視覺應用，還配備兩個新的MIPI介面影像感測器，以及嵌入式圖像訊號處理器，可適應工業環境的影像處理需求，並提高AI判讀正確性。該攝影機還預載這家公司自行開發的邊緣視覺分析軟體開發套件EVA SDK，讓開發者可以使用該套件平臺，用於邊緣AI視覺應用和模型訓練，以縮短產品開發驗證，加速產品推出上市。</p> <p>圖片來源／財團法人醫藥品查驗中心、Maer、台電、亞馬遜、凌華科技</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 更多IoT動態 </span></strong></span></p> <p><strong><strong><strong>1.SAE更新自動駕駛等級的定義，明確區分自動駕駛為等級3到5，而非0到2</strong></strong></strong></p> <p><strong><strong><strong>2.日本Hitachi Vantara的物聯網平臺Lumada推出一系列新產品，強化工業物聯網資料分析能力</strong></strong></strong></p> <p><strong><strong><strong>3.研華與日本NTT DATA強強聯手，將合推智慧製造新方案加速企業數位轉型</strong></strong></strong></p> <p><strong><strong><strong><strong><strong>資料來源：iThome整理，2021年5月</strong></strong></strong></strong></strong></p> </div></div></div>
2021/5/24 09:32作者余至浩https://www.ithome.com.tw/news/144586
【iThome 2021 CIO大調查(上) 一起抗疫靠IT】過去1年疫情如何衝擊企業數位轉型？
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1026-cover2-960.png" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>5月，臺灣COVID-19疫情突然蔓延，接連在多個縣市出現確診病患，</p> <p>中央流行疫情指揮中心更在5月19日宣布全國進入疫情警戒第三級，所幸，過去一年來，許多大型企業早就積極展開布局，要用IT來抗疫。</p> <p>根據iThome 2021年CIO大調查，過去一年疫情，影響了8成臺灣大型企業的營運，對4成企業帶來正面衝擊，例如電商因零接觸商機而帶動了不少線上業績的成長。但是，也有3成企業面臨了負面衝擊，像是製造業者，海外工廠面臨了停工、停料或缺乏運輸工具的供應鏈考驗。以產業來看，金融業、服務業、政府機關學校和高科技業，受到正面衝擊的企業比例，高於負面衝擊的比例，而站在疫情第一線的醫院則約各半，半數醫院是正衝擊，而半數則是負衝擊，造成差異原因的關鍵是醫院的數位能力。只有一般製造業，受到負面衝擊的企業比例較高。</p> <p>但不管衝擊好壞，近7成企業都意識到，IT是對抗疫情的關鍵武器，只有近2成維持原來作法，但也有13%受到營運削弱的影響，而減少了在IT上的投資。</p> <p>根據我們的調查，在臺灣守住疫情的這一年來，62.5%的大型企業加快了數位轉型的腳步，這其中更有8.3%企業，是因疫情而決定提前啟動轉型，尤其有不少一般製造業者和醫院，去年都因這波疫情而決定展開轉型。</p> <p>不只加速，更有31.3%企業加碼提高了數位轉型的預算，以金融業者最多，5成金融業者提高了數位相關的預算。而IT預算向來比其他產業低的一般製造業，也同樣有3成企業，罕見地因疫情而決定提高數位投資。在IT預算成長率上，為了抗疫加碼投資的企業，平均IT預算在今年有兩位數的成長，高達16%，成長力道幾乎是維持不變者的兩倍。</p> <p>在疫情警戒第三級的規範下，為了阻斷傳染鏈，雖然企業可以繼續營業或上班，但是，居家上班、遠距工作成了主流，企業得緊急採取行動，來因應與過去截然不同的民眾消費模式，以及企業運作型態。企業的數位韌性和IT即戰力，成了企業應變疫情，迅速適應的關鍵，這也讓IT在企業的價值，以及CIO的影響力，提升到前所未有的高度。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1026-cover2-600-1.png" style="width: 583px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1026-cover2-600-2.png" style="width: 568px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1026-cover2-600-3.png" style="width: 587px;" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 問卷說明 </span></strong></span></p> <p><span style="color:#3399ff;"><strong>大調查執行期間從2021年3月8日到4月5日，對臺灣大型企業、歷屆CIO大調查企業、政府機關和大學IT與資安主管進行線上問卷調查，有效問卷439家，其中74.3%填答者為企業IT最高主管。</strong></span></p> </div></div></div>
2021/5/24 07:00作者王宏仁https://www.ithome.com.tw/article/144543
防疫警戒升級，考驗數位即戰力
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>從5月15日起，臺北市與新北市的疫情警戒進入第三級，幾天後（5月19日），中央流行疫情指揮中心宣布，全國疫情警戒提升至第三級。而在先前政府祭出的10項措施當中，除了關閉多種公共場所，避免不必要移動、活動或集會，以及停止室內5人以上、室外10人以上之家庭聚會和社交聚會，對於民間最大的生活衝擊，就是人員外出時需全程佩戴口罩，以及餐飲場所與婚、喪禮均應遵守實聯制、社交距離，以及防疫措施、加強清潔消毒。</p> <p>為了因應這項要求，一般商家紛紛開始以手機掃描QR code與紙本簽名等方式，要求上門顧客提交或填寫可供聯絡的個人姓名與連絡電話。紙本登記的部分，衛福部疾管署去年5月底已公布了〈COVID-19 防疫新生活運動：實聯制措施指引〉，當中也提供實聯制登記表的兩種範本：民眾自填版與服務人員代填版。手機掃描QR code的部分，有些導引至自家管理的網站應用程式、雲端問卷服務（SurveyCake、Google表單）、即時通訊軟體對話機器人（Line Bot）。</p> <p>除此之外，行政院在5月19日正式推出「簡訊實聯制」的IT服務，使用上更加簡便，民眾只需以手機掃描各種場所張貼的QR code之後，會執行手機本身的簡訊傳送程式，並自動填入出場所本身的代號，以及收件者電話號碼1922（疾病署設置的免付費傳染病諮詢專線），不需安裝App，不用手動鍵入個人資訊，可廣泛應用於店家、攤商、公務機關及公共運輸等；簡訊實聯制也適用於無照相功能的手機，民眾僅需開啟簡訊功能，在收信人欄位輸入電話號碼1922，接著於訊息欄位輸入場所代號（業者張貼的QR code看板會顯示這組代號），之後發送這通簡訊即可完成通報。</p> <p>而對於場所負責人而言，若要申請代號與產生對應的QR code，可自行連至政府架設的<a href="https://emask.taiwan.gov.tw/real/" target="_blank">簡訊實聯制網站</a>，進行登錄。目前這裡能讓4種場所登記，包含：法人店家、個人店家、政府機關、交通事業（台鐵、高鐵、國道客運）等，接著驗證申請者身分，可透過健保卡加註冊密碼、自然人憑證、簡易認證、行動電話認證等方式（等同於向政府登記預購口罩的程序），之後填寫基本資料，完成這些步驟之後，系統最終會產生場所的QR code，以及由15個數字所組成的店碼，點選系統當中「列印」的按鈕，即可下載PDF檔案，可存查或印成紙本公告。</p> <p>看到這裡，身為擁有更大應用程式開發能量的企業，該好好省思能否在如此短的時間內完成這樣的工作，以及我們是否很嚴肅、正式地看待這樣子的需求。在疫情警戒尚未高漲到如此程度時，多數公司的人員接待櫃檯似乎還是沿用既有的方式，來管制與登記人員的進出，只有少數運用數位化的系統來處理這方面的工作，然而，如果民間社群不出手、政府也未發展相關的機制，相關工作遲早會落到公司IT與應用程式開發的團隊身上，那時不僅要兼顧現有開發與維運工作，還要臨時、盡快支應這種緊急的要求，而顯得捉襟見肘。</p> <p>此外，關於應用服務的快速提供，設法整合現有各種可用的軟體服務平臺，的確是大勢所趨，前端不一定是特定的網站介面或行動App，關於資料的接受與處理位置，可能也未必是由公司本身管理的儲存區或資料庫，或許在緊急事態的當下，也只能暫時採用這種權宜變通的方式，但也有不少專家擔憂後續的個人資料保管與隱私議題，該如何兼顧各種考量已然成為無可閃躲的議題，如今政府新推出的簡訊實聯制，似乎體現了新的可能性。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E7%96%AB%E6%83%85">疫情</a></div><div class="field-item odd"><a href="/tags/%E9%98%B2%E7%96%AB">防疫</a></div><div class="field-item even"><a href="/tags/covid-19">COVID-19</a></div><div class="field-item odd"><a href="/tags/%E6%95%B8%E4%BD%8D%E5%8D%B3%E6%88%B0%E5%8A%9B">數位即戰力</a></div><div class="field-item even"><a href="/tags/%E7%B0%A1%E8%A8%8A%E5%AF%A6%E8%81%AF%E5%88%B6">簡訊實聯制</a></div><div class="field-item odd"><a href="/tags/%E7%A7%91%E6%8A%80%E6%8A%97%E7%96%AB">科技抗疫</a></div></div></div>
2021/5/24 07:00作者李宗翰https://www.ithome.com.tw/voice/144562
【疫情日報】健保App正式開放查詢篩檢結果，指揮中心未來還要精簡檢驗通報流程3大問題來避免塞車
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中央流行疫情指揮中心23日宣布新增287例本土案例，另校正追加170例至上周的確診案例，指揮中心坦言校正回歸的原因是系統性問題，包括通報欄位太複雜、送驗條碼取得繁瑣、檢驗報告重複登打，以及需要人工研判結果，指揮中心也提出4方法來解決。今日，健保署也正式開放民眾用健保快易通App查詢篩檢結果，快篩1小時就能得知、PCR檢驗約3天。</p> <p>指揮中心指揮官陳時中指出，287例本土案例為這2天採檢的個案，可看出疫情擴大到更多縣市，除了新北142例居高外，還包括臺北市77例、桃園市23例，屏東縣和南投縣各8例，其他還有宜蘭縣6例、臺中市和彰化縣各5例，臺南市2例，最後，花蓮縣、嘉義縣市、新竹縣市和雲林縣各1例。</p> <p>同時，指揮中心也校正追加170例，回歸到5月16日至5月22日的確診案例中。今天是第二波校正回歸，陳時中再次澄清，校正追加的根本原因是系統性問題，包括因檢體運送、實驗室量能和無法即時登打等因素，造成個案檢驗報告無法於2天內完成。他表示，指揮中心並不樂見校正回歸的情況持續發生，因此近日來持續改善檢驗通報流程。</p> <p><strong style="font-size: 22px;">陳時中再次強調校正回歸是系統性問題，檢驗通報流程還有3大問題要簡化</strong></p> <p>昨天第一次進行校正回歸引起各界質疑，陳時中今天更進一步說明檢驗通報流程的塞車問題，過去，民眾至社區採檢站或醫院採檢後，採檢單位得通報作業上，得填寫20多項的資料欄位，再將檢體採檢送到實驗室，進行PCR檢驗。實驗室人員需登打檢驗結果、上傳到疾管署來發布結果，再由人工進行個案研判，最後才由指揮中心在記者會上發布。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/210523%E9%80%9A%E5%A0%B1%E6%B5%81%E7%A8%8B%E6%89%8B%E7%89%88.jpg" /></p> <p>陳時中指出，這個流程有4個地方出問題。首先是通報階段，20多個欄位填錯1個就得全部重來，檢驗量大時非常耗時而造成塞車，目前，已經簡化為8個必填欄位。</p> <p>不過，還有3個問題正在改善中。第2個問題是檢體送驗，需多道程序才能取得條碼，陳時中指出，目前正在簡化這些程序，讓相關人員更容易取得條碼。他也坦言，部分PCR檢驗儀器老舊，可能耗費較多時間檢驗，指揮中心也挪出費用補助PCR檢驗單位汰換、改用新型高通量的自動化儀器來加速檢驗，降低醫檢師負擔、減少錯誤率。</p> <p>第3個問題是登打檢驗結果，因為仍有多個欄位需重複登打，因此檢驗量暴增時就，會拖慢登打時間，也耗費大量人力。對此，指揮中心也著手簡化登打流程，只需通報篩檢陽性個案，來免除重複登打陰性個案的時間。</p> <p>最後一個問題是人工判讀檢驗結果。陳時中解釋，當檢驗報告上傳至疾管署網站，地方衛生局和相關人員得知後，便開始進行疫調。但最後綜合疫調結果的判定得仰賴人力，才能進行下一步的法定程序，也就是開立居家隔離/檢疫書，或進行隔離治療。</p> <p>陳時中表示，在這重重判定的過程中，也有時間差產生，未來，指揮中心希望針對無異常的個案，採取自動直接判定的作法，只針對異常個案進一步檢查。他希望未來用這些方法，來解決前端問題，「後段就不會塞車。」</p> <p><strong><span style="font-size: 22px;">串接健保快易通App，快速發送篩檢結果給民眾</span></strong></p> <p>今日，指揮中心也聯手健保署，來將檢驗結果上傳至健保IC卡系統，讓健保署直接將資料發佈到健保快易通App（即健康存摺）中，供民眾快速查閱檢驗結果。</p> <p>健保署署長李伯璋解釋，當民眾至醫院或社區採檢站檢驗後，採檢單位可直接將檢驗通報資料上傳至健保IC卡系統，健保署能立即將這些資料，發送到民眾端的健保快易通App，供民眾查詢。其中，快篩結果約在1個多小時完成，PCR檢驗結果約3天內通知。</p> <p>李伯璋表示，目前健保署已接受全國採檢站約6成的篩檢結果資料，民眾已可立即在健康存摺中查詢。此外，健保署也會將接收到資料，每小時上傳到疾管署，讓疾管署掌握即時資訊。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/messageImage_1621747155626.jpg" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/messageImage_1621747169697.jpg" /></p> <div id="gtx-trans" style="position: absolute; left: 1256px; top: 1611px;"> <div class="gtx-trans-icon"> </div> </div> </div></div></div>
2021/5/23 15:52作者王若樸https://www.ithome.com.tw/news/144584
一周大事：國產檢疫亭大幅提升快篩效率。政院發布簡訊版實聯制
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="font-size:36px;"><strong>工研院正壓式檢疫亭大幅提升快篩效率</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/600-%E6%AA%A2%E7%96%AB%E4%BA%AD_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E5%B7%A5%E7%A0%94%E9%99%A2.png" style="width: 500px;" /></p> <p><span style="color:#696969;">圖片來源／工研院</span></p> <p>因應雙北地區COVIED-19檢疫需求大增，工研院日前緊急將兩臺檢疫亭運送至臺北，以供採檢使用。這兩臺檢疫亭採取正壓式設計，也就是空氣只能由內向外送的機制，來確保空間的密閉性與隔離性，讓醫護人員在採檢時不需要穿脫隔離衣，可以直接進入檢疫亭，還能獲得比穿著隔離衣更完善的隔離保護。在檢驗能量方面，檢疫亭一次可容納兩位醫護人員，同時對外進行採檢，在一次檢疫約10分鐘的情形下，一小時可採檢12位，一天預計能採檢多達240人。<a href="https://www.ithome.com.tw/news/144446" target="_blank">更多內容</a></p> <p><span style="font-size:36px;"><strong>疫情進入社區傳播，企業應落實BCP，加強產業防疫措施</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_BCP_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E7%96%BE%E7%AE%A1%E7%BD%B2.png" style="width: 600px;" /></p> <p><span style="color:#696969;">圖片來源／疾管署</span></p> <p>近期國內本土確診案例大增，行政院長蘇貞昌召集相關部會討論如何強化產業防疫。國發會主委龔明鑫表示，去年衛福部已提出企業持續營運（BCP）的指引，主要有三個重點，首先，將工作區塊化、模組化，人員分組分流工作；第二，人員的健康監測及通報；第三是當人員確診後，先規畫替代方案。</p> <p>為進一步協助產業抗疫，行政院長要求經濟部、科技部重新檢視指引，經濟部透過公協會，科技部透過園區管理中心和廠商溝通，具體的強化措施，包括成立防疫應變小組，每家重要公司成立應變小組，以和園區管理中心、管理單位作橫向連繫，掌握防疫情資，檢討防疫對策，即便有零星個案確診，能夠儘快回復運作。<a href="https://www.ithome.com.tw/news/144480" target="_blank">更多內容</a></p> <p><span style="font-size:36px;"><strong>雙北公務員在家上班比例要提高到5成，經濟部鼓勵企業跟進</strong></span></p> <p>行政院人事處總處宣布擴大彈性上班措施，包括病例數較多的雙北，應讓半數員工在家辦公。經濟部也鼓勵企業，讓半數員工居家辦公，減少不必要的移動。<a href="https://www.ithome.com.tw/news/144582" target="_blank">更多內容</a></p> <p><span style="font-size:36px;"><strong>行政院推5秒完成紀錄的簡訊實聯制，開放民間免費申請</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%AF%A6%E8%81%AF%E5%88%B6_%E8%A1%8C%E6%94%BF%E9%99%A2.jpg" style="width: 500px;" /></p> <p><span style="color:#696969;">圖片來源／行政院</span></p> <p>行政院於周三（5月19日）推出簡訊實聯制，結合電信業者簡訊發送機制及1922，強調只要掃碼、點選連結、發簡訊3步驟，約5秒鐘就能完成實聯制，除開放民間業者申請使用，大眾運輸服務也開始採用。<a href="https://www.ithome.com.tw/news/144487" target="_blank">更多內容</a></p> <div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture" allowfullscreen="" frameborder="0" height="315px" src="https://www.youtube.com/embed/H6uqbHPV57Y" title="YouTube video player" width="560px"></iframe></div> <p> </p> <p><span style="font-size:36px;"><strong>衛福部視訊診療再鬆綁！特定慢性病患者還能電話診療</strong></span></p> <p class="rtecenter"><img alt="" src="https://www.mohw.gov.tw/Public/Images/202105/9142105201748626f7.JPG" style="width: 500px;" /></p> <p><span style="color:#696969;">圖片來源／衛福部</span></p> <p>為照護有回診需求的慢性病患者，健保署開放慢性病患者視訊診療，民眾可透過健保署官網查詢附近是否有視訊診療院所，再電洽安排、透過視訊App問診，最後由家屬或代理人至看診院所特殊窗口繳費、領藥，或由藥師送至家中。其中，病情穩定的慢性病患還可透過電話診療看診。該措施自即日起至5月28日止。<a href="https://www.ithome.com.tw/news/144527" target="_blank">更多內容</a></p> <p><span style="font-size:36px;"><strong>因應疫情全國各級學校停課改採線上教學、320位耳鼻喉科醫師投入社區篩檢</strong></span></p> <p>為防堵疫情擴散，教育部宣布全國各級學校停課、改採遠距教學，同時為防堵疑似感染個案在社區活動，320位基層診所耳鼻喉科醫師自願投入社區篩檢站，還要協助疫苗注射、檢疫和隔離民眾的通訊診療。<a href="https://www.ithome.com.tw/news/144475" target="_blank">更多內容</a></p> <p><span style="font-size:36px;"><strong>雙北停課首日酷課雲一度因流量太大導致服務異常</strong></span></p> <p>雙北高中職以下師生周二（5/18）正式啟用遠距授課，卻面臨線上教學平臺酷課雲無法登入問題。臺北市教育局為此緊急擴充資源，同時建議師生改用其他通訊軟體提供視訊連結網址，並參閱酷課雲多種綁定方式，以利分流登入。<a href="https://www.ithome.com.tw/news/144471" target="_blank">更多內容</a></p> <p><span style="font-size:36px;"><strong>金管會揭露金融機構BCP指引，要求業者維持營運服務不中斷</strong></span></p> <p>周二（5/18）金管會要求銀行因應疫情進行準備措施。金管會銀行局副局長黃光熙表示，金管會要求銀行的自動櫃員機（ATM）必須隨時備妥現金，並保持順利運作。他也強調，無論接下來疫情警戒面臨何種階段，銀行都要保持ATM運作順暢。<a href="https://www.ithome.com.tw/news/144481" target="_blank">更多內容</a></p> <p><span style="font-size:36px;"><strong>PCR檢測結果將可用健保行動快易通APP查詢</strong></span></p> <p>在周五（5/21）疫情記者會上，中央流行疫情指揮中心指揮官陳時中預告，近期民眾將能直接從全民健保行動快易通App查詢COVID-19檢測結果，不用等待通知。<a href="https://www.ithome.com.tw/news/144544" target="_blank">更多內容</a></p> <p><span style="font-size:36px;"><strong>科技部著手研擬智慧醫療的監理沙盒法案</strong></span></p> <p>繼金融科技、無人載具科技之後，臺灣有望成立第三個通過監理沙盒法案的產業，就是智慧醫療科技產業。行政院科技會報副召集人暨科技部部長吳政忠表示，科技部正在研擬智慧醫療監理沙盒的制度，待草案經院會拍板定案後，預計最快下個會期送立院審議。<a href="https://www.ithome.com.tw/news/144513" target="_blank">更多內容</a></p> <p><span style="font-size:36px;"><strong>微軟準備關閉Azure區塊鏈服務</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_Azure%E5%8D%80%E5%A1%8A%E9%8F%88_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E5%BE%AE%E8%BB%9F(1).png" style="width: 500px;" /></p> <p>圖片來源_微軟</p> <p>微軟在Azure服務網頁上貼出公告，表示Azure Blockchain服務將於2021年9月10日終止服務，呼籲用戶根據使用或評估階段，將總帳（ledger）資料轉到其他服務。<a href="https://www.ithome.com.tw/news/144384" target="_blank">更多內容</a></p> <p><span style="font-size:36px;"><strong>Microsoft Teams消費版功能正式上線</strong></span></p> <p>前陣子進行公開測試後，微軟宣布Microsoft Teams消費版功能正式上線，允許用戶和親友間啟動文字、語音通訊、視訊，或建立群組、分享相片／影片、檔案，並有管理工具以便共享活動規劃、家人行事曆、待辦事項清單、地點等。Teams消費版並沒有單獨App，只要有Teams公司帳號，即可加入個人帳號啟動這些功能。<a href="https://www.ithome.com.tw/news/144467" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 更多重要新聞 </span></strong></span></span></p> <p><span style="font-size:28px;"><a href="https://www.ithome.com.tw/news/144539" target="_blank"><strong>工研院揭3種去識別化方法</strong></a></span></p> <p><span style="font-size:28px;"><strong><a href="https://www.ithome.com.tw/news/144442" target="_blank">Flask 2.0放棄支援Python 2、3.5</a></strong></span></p> <p><span style="font-size:28px;"><a href="https://www.ithome.com.tw/news/144501" target="_blank"><strong>Firefox啟用全新網站隔離架構，防範CPU推測執行漏洞衍生的攻擊</strong></a></span></p> <p><span style="font-size:28px;"><a href="https://www.ithome.com.tw/news/144498" target="_blank"><strong>Google發表可談論無限主題的對話AI模型LaMDA</strong></a></span></p> </div></div></div>
2021/5/23 07:00未署名https://www.ithome.com.tw/news/144566
拜Matter標準之賜，Google Nest將和蘋果HomeKit及Amazon Echo互通相容
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/144351" target="_blank">本月初Zigbee聯盟</a>改名為Connectivity Standards Alliance (CSA)，並公布Matter標準。<a href="https://blog.google/products/google-nest/four-google-smart-home-updates-matter/" target="_blank">Google昨（20）日宣布</a>，拜這項技術規格之賜，未來智慧家庭產品線Nest及Android將和其他大廠，特別是蘋果和Amazon的裝置及服務互通相容。</p> <p>Matter是由Zigbee聯盟2019年發起推動的共通標準，Amazon、蘋果、Google三巨頭及其他業者，當時也加入了產業聯盟Project Connected Home over IP，或稱Project CHIP。甫公布的第一版Matter協定規格，可執行在Ethernet (802.3)、Wi-Fi (802.11)、和Thread (802.15.4) 上，並可和Bluetooth Low Energy互通。Matter旨在簡化各品牌智慧家庭產品間的資料互通，並讓語音助理如Google Assistant、Siri及Alexa、SmartThings及其他服務，不再侷限於特定平臺。</p> <p>Google指出，該公司也將把Matter帶到Android和Nest產品上，實現相容控制及簡化設定。透過Android內建Matter支援，用戶只要簡單幾個步驟來設定Matter相容裝置，包括蘋果HomeKit或Amazon的Echo系列，控制Android app、Google Assistant、Google Home、Android Power Control和相容的Google產品，或者反過來，以Android 及Google Assistant控制操作蘋果、Amazon的裝置，這些都會獲得Matter相容認證。</p> <p>Google並指出，Thread是提供智慧家庭安全連網的技術，因此內建Thread協定支援的智慧家庭Nest系列，像是Nest Wifi、Nest Hub Max 和第二代Nest Hub，將可作為市面上Matter裝置的連接點。Nest智慧螢幕及智慧喇叭如Nest Hub、Nest Mini，也將自動更新而具備控制Matter裝置的能力，不論是走Wi-Fi、Thread或是Ethernet網路。Nest中央空調控制裝置也拜Matter之賜，得以控制Matter認證裝置。</p> <p>其他宣布包括<a href="https://assistant.google.com/smart-home/" target="_blank">Google推出一個網站</a>供使用者查詢與購買和Google Assistant相容的裝置，以及使用示範影片等資源。而隨著<a href="https://www.ithome.com.tw/news/142505" target="_blank">WebRTC網路影音協定今年初成為W3C的標準</a>，Google也宣布第三方裝置將整合Google Assistant及WebRC。第一批包括Arlo、Logitech、Netatmo和 Wyze等，未來幾周將再陸續宣布更多廠商。此外，Google也改進Google Assistant的Home & Away技能，可根據用戶在家與否自動控制Nest攝影機、溫控裝置、以及第三方廠商的智慧燈泡、智慧插座及智慧開關等。</p> </div></div></div>
2021/5/22 19:27作者林妍溱https://www.ithome.com.tw/news/144583
Azure開始提供原生Elastic解決方案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟宣布在<a href="https://azure.microsoft.com/zh-tw/blog/search-made-simple-native-elastic-integration-with-azure-now-in-preview/">Azure開始提供Elastic產品預覽</a>，Elastic所開發的Elastic Search、Kibana和Logstash軟體，提供雲端用戶好用的觀察性、搜尋和安全性工具，以監控和了解跨雲，以及本地端應用程式的運作狀況和效能。現在這些工具，用戶可以簡單地從Azure市集中取用。</p> <p>微軟提到，在Azure配置Elastic堆疊可能是個耗時的過程，需要同時具備Elastic解決方案和Azure的技術知識。為了簡化Azure用戶部署Elastic產品的麻煩，微軟與Elastic合作，在Azure雲端上整合Elastic解決方案，包括部署、計費和支援，用戶可以直接從Azure市集中取用。</p> <p>這項整合讓用戶可以使用Azure Control平面，來控制Elastic SaaS解決方案，能夠配置新的Elastic服務，並設定Azure資源自動傳送日誌和指標到Elastic。微軟提到，透過自動日誌轉發程序，用戶能夠在Azure入口服務，簡單地使用Elastic配置資源日誌。另外，用戶還可以管理Azure虛擬機器的Elastic代理，以設定從虛擬機器主機上發送的日誌和指標。</p> <p>在安全性的考量上，這項整合在Azure虛擬網路與Elastic Cloud虛擬網路間，提供安全的Private Link連接，並且在解決方案中實作單點登入，用戶可以在Azure和Elastic Cloud，統一使用Azure憑證登入操作。</p> </div></div></div>
2021/5/22 19:29作者李建興https://www.ithome.com.tw/news/144560
Google用電腦視覺技術助視障也能獨自路跑
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google和導盲犬學校Guiding Eyes for the Blind公司合作，發布了一個無障礙研究專案<a href="https://ai.googleblog.com/2021/05/project-guideline-enabling-those-with.html" target="_blank">Project Guideline</a>，該專案使用機器學習技術，引導視障者在有標線的馬路上獨自慢跑。Guideline系統需要用戶使用特別訂製的腰帶配掛行動裝置，搭配骨傳導耳機，並且只能跑在有油漆或是貼有膠帶的路徑上。</p> <p>Guideline的核心技術是裝置上分割模型，該模型會使用行動裝置影格作為輸入，並將影格中的每個畫素分割為標線或是非標線（下圖），官方提到，這個簡單的遮罩會應用到每一個影格中，供Guideline應用程式可以不需位置資料，就能夠預測跑步者相對於路徑上標線的位置。使用模型的預測資料，應用程式會向跑步者發送音訊，指引他們保持在直線上，一旦跑步者遠離標線太多，系統也會透過聲音警告跑步者。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/image2(21).png" style="width: 580px; height: 167px;" /></p> <p>在不可預測的環境中，要引導視障者跑步存在許多挑戰，Google提到，系統必須具備足夠的準確性、系統效能，還要有許多訓練資料。由於視障者的行動能力受到限制，在馬路上跑步存在危險性，機器學習模型要足夠精確且通用，才能確保跑步者在不同位置，和各種環境條件的安全性。</p> <p>除了用戶的安全問題，系統效能還必須至少每秒處理15影格，才能對跑步者提供即時回饋，當跑步的路徑沒有資料服務就只能離線運作，且裝置執行時間必須至少3小時，不能耗盡手機電池。Google提到，為了訓練分割模型，需要用到大量包含標線的道路行進影片，而且為了使模型更加通用，資料多樣性和豐富度都相當重要，必須要收集一天中不同時間、光照、天氣條件和拍攝位置的影片。</p> <p>由於要滿足延遲和功耗要求，研究人員選擇在DeepLabv3框架上建構標線分割模型，並且利用MobilenetV3-Small作為主幹。考量到行動裝置的處理速度，研究人員將攝影鏡頭影片畫素下降到513x513，作為DeepLab分割模型的輸入，且為了要進一步加速DeepLab模型在裝置上的執行速度，研究人員決定略過最後的升採樣層，直接輸出65x65畫素的預測遮罩，作為後處理的輸入。藉由在兩階段最佳化輸入解析度，研究人員得以改進分割模型執行，並且加速後處理。</p> <p>收集訓練資料是Project Guideline專案困難之處，研究人員解釋（下圖），訓練資料之所以無法使用公開資料集的道路訓練影像，是因為這些資料集都是在車頂安裝攝影鏡頭，並且車輛駕駛在標線中間所拍攝的影片，這與Project Guideline專案需求差距甚遠，該專案需要的訓練資料，是要在人的腰間掛上攝影機，並且直線前進的影片。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/image5-crop.png" style="width: 580px; height: 387px;" /></p> <p>現有的公開資料集都幫不上忙，因此研究人員只好重頭開始創建資料集，以人工收集資料的方法，在道路上手動鋪設膠帶，拍攝在不同時間和天氣條件下，行走於標線周圍的影片，研究人員也建立自定義渲染工作管線，以合成的方式快速產出各種條件的訓練資料。</p> <p>端到端系統使用深度學習函式庫Tensorflow Lite和機器學習工具ML Kit，可在Pixel裝置上快速執行，Pixel 4 XL上達到29+ FPS，而在Pixel 5上則達到20+ FPS，分割模型在Pixel 4 XL延遲為6毫秒，Pixel 5則為12毫秒，模型的影格成功率達到99.5％，平均交併比（mIOU）則有93％。</p> <p>Guiding Eyes for the Blind執行長Thomas Panek作為Project Guideline測試者，只使用了一副骨傳導耳機和執行Guideline技術的行動電話，在無輔助的情況下，成功在紐約中央公園慢跑5公里。Google提到，現在該專案仍處於探索階段，他們仍持續改善該系統，除了要收集更多的使用者回饋資料外，也要改進分割模型使其更加通用強健。</p> </div></div></div>
2021/5/22 19:15作者李建興https://www.ithome.com.tw/news/144557
【疫情日報】單日新增321例本土案例、但上周數據校正追加400例確診，經濟部鼓勵企業半數員工在家上班
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中央流行疫情指揮中心22日宣布新增321例本土案例、400例校正回歸，也就是說，除今日新增的321例外，還追加了過去一周400例的確診案例。同時，為降低感染風險，行政院人事處總處宣布擴大彈性上班措施，包括病例數較多的雙北，應讓半數員工在家辦公。經濟部也鼓勵企業，讓半數員工居家辦公，減少不必要的移動。</p> <p><strong><span style="font-size:22px;">因採檢欄位繁瑣造成通報壅塞，簡化後解決大部分案件</span></strong></p> <p>指揮中心指揮官陳時中指出，近日個案通報數量大，而且多縣市社區快篩站成立、篩檢量大增，再加上原本個案通報程序繁瑣，需檢驗20多項欄位，因此造成資料上傳壅塞、確認延遲。近幾日，指揮中心才將檢驗欄位簡化為8項必要欄位，來加速通報檢驗。</p> <p>而指揮中心昨晚也漏夜釐清1萬多件案例，在今日完成確認400例確診案例的追加。這些新增案例分佈時間點為5月16日至5月21日，詳情如下圖：</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0522%20%E6%A0%A1%E6%AD%A3%E5%9B%9E%E6%AD%B8%E6%83%85%E5%BD%A2.jpg" /></p> <p>陳時中表示，追回400例案例後，以每日採檢陽性篩檢率來看，自5月1日起至今，並未有大規模爆發的情形。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/5022-%E6%8E%A1%E6%AA%A2%E9%99%BD%E6%80%A7%E7%8E%87.png" /></p> <p>他也透露，欄位檢驗簡化後的追加確診案例，並非完全結束，仍有寫零星案件待釐清。不過他也指出，欄位簡化後能縮短通知採檢民眾的時間，指揮中心近日也與健保署密切討論，如何將採檢結果結合健保快易通App中的健康存摺，來讓民眾查詢檢疫結果。日後，指揮中心將公開說明查詢步驟。</p> <p><strong><span style="font-size:22px;">行政院強提高公務機關在家上班人力至二分之一，但不得處理機敏性資料</span></strong></p> <p>另一方面，為降低公務機關人員染疫風險，行政院人事行政總處人事長施能傑宣布擴大彈性上班時間、異地辦公和在家辦公等措施，希望在維持業務不中斷的情況下，減少人員跨區移動、降低染疫風險。</p> <p>雖然公務機關的規定是，在家辦公的人數不得超過該組織的三分之一，但針對病例數最高的雙北，施能傑宣布強化居家上班措施，「將原本的三分之一提高為二分之一，」讓雙北公務機關半數員工，可在家上班、減少移動。</p> <p>他補充，除了防疫、警消、醫療或其他為生所需、必須24小時運作的服務不適用這個強化版規定外，其他居家辦公者的辦公環境必須符合資安規範，且居家上班者不得處理機敏性公務。</p> <p>他建議，公務機關應優先讓跨區上班的員工，或是處理非核心業務的同仁居家辦公。而公務機關也應持續落實異地辦公，減少辦公室內的人口密度、維持核心業務運作。</p> <p><strong><span style="font-size:22px;">經濟部建議企業半數員工居家辦公</span></strong></p> <p>為降低人員移動帶來的染疫風險，經濟部長王美花建議，企業盡可能讓半數員工在家上班，若是半導體等需將產品供應至全球的產業，可優先讓行政人員、R&D員工在家辦公。</p> <p>同理，對於產線不能中斷的製造業來說，需與勞工協商、調整出勤規定，「特別重要的是，要做好分流工作，」王美花強調。她也指出，產線要是有員工確診，企業必須啟動應變機制，並在第一時間通報科學園區或工業園區窗口，來即時讓政府單位進行疫調、降低感染風險。</p> </div></div></div>
2021/5/22 15:25作者王若樸https://www.ithome.com.tw/news/144582
【臺灣資安大會直擊】企業為何需要建立弱點獎金計畫？專家指出有2大抗漏優點
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>曾是群暉科技的安全應變小組經理，現為獨立產品安全顧問李宜謙，在資安大會上分享了企業設立弱點獎金計畫的經驗。群暉在2014年的時候，產品NAS出現嚴重的勒索軟體攻擊事件，從那時起，群暉痛定思痛花了許多心力在改進產品安全上，除了2016年設立產品安全事件應變團隊（PSIRT）之外，還於2017年推出安全性弱點獎金計畫（Bug Bounty Program），4年過去，群暉已經與超過200位安全研究人員合作，發出25萬美元獎金。</p> <p>不只是群暉，各大科技公司包括Google、Apple和微軟等，皆有自家的弱點獎金計畫，「組織安全，駭客有錢，發大財」李宜謙以這11個字說明了弱點獎金計畫的目標，他解釋，弱點獎金計畫不只是給漏洞研究者的報酬，也是企業對資安漏洞的回應管道，能夠在漏洞公開揭露之前進行控制並修補，同時也能避免研究人員將漏洞賣給不利的第三方。</p> <p>李宜謙特別提到，在臺灣，弱點獎金計畫常會被誤解為滲透測試或是安全競賽。畢竟這兩個都是較短期的活動，像是安全競賽時間為2天，最多1周，如果研究人員可以發現重大的安全漏洞，通常是已經做足了許多準備，要不然就是安全性太差，李宜謙坦言，研究人員要發現有價值的漏洞，通常需要很長一段時間。</p> <h2>優點1：尋找軟體漏洞更經濟有效的作法</h2> <p>企業為什麼需要弱點獎金計畫？李宜謙提到，無非是想要取經於專業安全研究人員，企業中的資安人員數量已經不多，更別說是要設置專門進行滲透測試的人力，透過弱點獎金計畫邀請外部的研究人員提供弱點研究，是更有效率的方法。</p> <p>而且以成本考量來說，發出獎金邀請外部研究人員尋找軟體漏洞，是更為經濟的作法，根據群暉釋出的數據，從2017年成立弱點獎金計畫以來，經過4年，共與200位資安研究人員和單位合作，總計發出獎金為25萬美元。李宜謙提到，要計算弱點獎金計畫發出去的錢是多還少，企業有兩種評估方式，一種是評估當企業漏洞被駭客開採，所需要付出的損失，第二種評估方式，則是計算要能研究出相同數量的漏洞，企業要培養多少個資安人員，並以付出資安人員的費用來計算。</p> <h2>優點2：企業可控制弱點揭露時間</h2> <p>對企業來說，弱點獎金計畫還有另一個好處，是能夠控制漏洞揭露的時程，一般來說，當資安研究人員向企業回報漏洞，則企業擁有90天的修補時間，以及2星期的延後揭露時間，因此企業可以最多擁有104天的時間，能安心地進行修補。</p> <p>其實弱點獎金計畫不只對企業資安有助益，對資安研究人員也有許多優點。回報企業的漏洞，除了資安研究人員能夠獲得一些研究獎金，還能夠獲得企業官方認證，甚至在企業的漏洞網頁掛上研究人員的名字，同時也，資安研究人員也可以發表CVE（Common Vulnerabilities and Exposures）漏洞資訊，在公開漏洞資訊的同時，獲得一些名聲。不過，約定的事情總有一些意外，李宜謙提到，比較常見的爭議，是企業漏洞獎金發放延遲，也可能造成糾紛。</p> <p>企業建立弱點獎金計畫，能夠強化自家系統與產品的安全性，李宜謙提醒，信任難以建立，卻很容易失去，企業語研究人員雙方應該在維持信任的基礎下，謹慎的執行每一步嚴格遵守承諾。</p> </div></div></div>
2021/5/22 12:03作者李建興https://www.ithome.com.tw/news/144275
微軟預告明年6月停用IE 11，Edge提供IE模式到2029年
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟宣布要在<a href="https://blogs.windows.com/windowsexperience/2021/05/19/the-future-of-internet-explorer-on-windows-10-is-in-microsoft-edge/" target="_blank">2022年6月15日正式汰除IE11（Internet Explorer 11）</a>，IE 11桌面應用程式將會停用，並且不再支援部分版本的Windows 10。終止IE 11支援的政策，不會影響Windows 10 LTSC，以及Server上的IE 11桌面應用程式，也不影響MSHTML（Trident）引擎。</p> <p>去年起微軟積極地停止IE的支援，包括宣布Microsoft 365線上服務不再支援IE，而現在微軟給出更明確的IE 11停用期限（2022年6月15日），該公司希望IE用戶可以在期限之前，完全轉移到微軟新的瀏覽器Edge上，而對於原本專為IE建置的網站或是應用程式，微軟則建議可以使用Edge中內建的IE模式，來存取這些資源。</p> <p>對一般使用者而言，從IE11搬遷到Edge的工作較為容易，藉由Edge上的搬遷功能，就能將IE中的密碼、資料集和瀏覽記錄搬到Edge上，在遇到需要IE才能開啟的網站，則可以使用Edge內建的IE模式存取。</p> <p>但對企業來說，停用IE 11可能不是一個好消息，根據微軟在今年委託研究和諮詢公司Forrester所做的研究，他們發現所調查的40家企業中，每家企業平均擁有1,678個舊版應用程序。針對過去大量使用IE的企業，微軟提到，企業可能擁有大量以IE為基礎的舊版網站和應用程式，可以透過選擇搬移使用Edge，持續使用這些舊版程式，這些資源的壽命將會在IE 11停用之後繼續延續，微軟提到Edge中的IE模式，最少會提供到2029年。</p> <p>之所以微軟要淘汰IE11，全面過渡到Edge，微軟提到，主要有三個原因，相容性、生產力和安全性。由於Edge具有雙引擎，在支援舊版網站的同時，還能夠提供用戶存取現代網站的能力，Edge對IE的支援包括ActiveX控制元件，完整支援IE舊版網站和應用程式，而Edge是建立在Chromium專案之上，因此也同時也具備前端的瀏覽器技術。</p> <p>過去用戶在存取老舊網站和應用程式的時候需要使用IE 11，但是瀏覽較新的網站卻又需要現代瀏覽器，切換工具可能影響生產力，微軟表示，Edge的雙引擎設計，讓用戶可以不必針對不同任務，分開使用不同的瀏覽器。而且Edge還提供了許多IE所沒有的功能，像是睡眠功能可以釋放分頁的資源，避免電腦速度降低，分頁也可以變成垂直排列，而收藏集則可以讓用戶方便收集網路的資訊。</p> <p>而最重要的原因，是Edge提供更好的安全性，面對平均每秒鐘發生579次密碼攻擊的現況，微軟提到，用戶的瀏覽器需要能夠具有抵禦這樣攻擊的能力，而Edge提供Defender SmartScreen，可避免釣魚和惡意軟體攻擊，並且替用戶監控密碼，在個人憑證遭到洩漏的時候通知用戶。</p> <p>另外，Edge回應安全漏洞更為即時，IE的更新節奏為每月一次的安全更新，但是Edge對安全更新的反應，可以於數天甚至數小時內針對特定漏洞，發布修補程式。</p> </div></div></div>
2021/5/22 07:00作者李建興https://www.ithome.com.tw/news/144519
Fintech周報第182期：國泰產險導入OpenID多元身分驗證，逾400萬國泰世華存戶可用網銀帳號驗證登入產險網站
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; color: inherit; font-weight: bold; font-size: 18px;"><strong style="vertical-align: top;"><span style="vertical-align: top; color: rgb(0, 0, 205);">0515</span></strong></span><strong style="vertical-align: top; color: inherit; font-size: 18px;"><span style="vertical-align: top; color: rgb(0, 0, 205);">～</span></strong><strong style="vertical-align: top; color: inherit; font-size: 18px;"><span style="vertical-align: top; color: rgb(0, 0, 205);">0521</span></strong><br /><span style="font-size: 14pt; vertical-align: top;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> OpenID </span> </strong></span><span style="font-size: 14pt; vertical-align: top; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 國泰產險 </span></strong></span><span style="font-size: 14pt; vertical-align: top;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="font-size: 14pt; vertical-align: top; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 身分認證 </span></strong></span><span style="font-size: 14pt; vertical-align: top;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="font-size: 14pt; vertical-align: top;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="font-size: 14pt; vertical-align: top;"><span style="vertical-align: top; font-size: 22px;">國泰產險導入OpenID多元身分驗證，逾400萬國泰世華存戶可用網銀帳號驗證登入產險網站</span></strong><br /><span style="font-size: 14pt;">國泰金控今天（5/21）宣布，在國泰產險官網導入國泰世華網路銀行帳號OpenID身分驗證服務。超過400萬國泰世華存戶使用網銀帳號驗證，就能直接登入國泰產險官網，查詢完整保單狀況、事故通知、線上繳費與續保。國泰金控表示，這也是金管會開放金控業者可與集團子公司合作雙向身分認證後，首家產險導入銀行OpenID驗身服務。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 14pt;">國泰金控暨國泰產險副總經理梁明喬表示，國泰金控旗下子公司之間顧客重疊率高，產險顧客同時是國泰世華銀行顧客占比達6成。為了讓國泰用戶在不同子公司的服務間無痛轉換，此次之所以在產險端導入銀行OpenID身分驗證服務，主要是考量網銀使用頻率高於線上保險服務，用戶又更為熟悉銀行數位帳號，再加上銀行數位帳號的身分驗證機制與資安權限嚴謹這3項要素。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 14pt;">國泰金控暨國泰世華銀行副總經理陳冠學則表示，為了讓集團跨子公司數位服務銜接，國泰金控藉由國泰世華銀行建立的身分認證系統，透過銀行驗身中臺，以API串聯銀行身分驗證中心，來整合國泰產險會員認證，取代以往產險數位會員身分驗證，僅能透過手機OTP與密碼的機制。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 跨行轉帳 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 疫情應變措施 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 金管會 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">金管會宣布疫情警戒三級以上期間，民眾使用網銀與行動銀行App跨行轉帳手續費全免</span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_%E9%87%91%E7%AE%A1%E6%9C%83_%E6%94%9D%E5%BD%B1_%E6%9D%8E%E9%9D%9C%E5%AE%9C.jpg" /></span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">中央流行疫情指揮中心在5月19日宣布全國進入第三級疫情警戒，來統一全國防疫步調。為了加強全民共同防疫，降低外出或臨櫃交易需求，金管會在5月20日邀集中央銀行、財金公司與全體本國37家銀行的總經理或董事長召開線上會議，共同研商疫情期間減免或調降網路銀行、行動銀行App，及實體ATM轉帳手續費，來鼓勵民眾盡量運用線上金融服務。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">金管會表示，在中央流行疫情指揮中心宣布全國任一縣市疫情警戒第三級以上期間，全國民眾與機構法人透過網銀、行動銀行App跨行轉帳的手續費全部減免，包含財金公司向金融機構收取的費用。如果民眾是使用實體ATM跨行轉帳，手續費則減收2元，財金公司與金融機構則各減收1元，該措施即日起正式實施。<a href="https://www.fsc.gov.tw/ch/home.jsp?id=96&parentpath=0,2&mcustomize=news_view.jsp&dataserno=202105200001&aplistdn=ou=news,ou=multisite,ou=chinese,ou=ap_root,o=fsc,c=tw&dtable=News"><strong>（詳全文）</strong></a></span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 微軟 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> Azure區塊鏈服務 </span></strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">微軟將於9月關閉Azure區塊鏈服務，建議用戶尋找替代服務</span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E5%BF%AB%E7%85%A7%202021-05-20%20%E4%B8%8B%E5%8D%8811_12_33.png" /></span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">在推出2年後，微軟宣布將關閉Azure區塊鏈服務，並未說明原因。微軟在Azure服務網頁上貼出公告，表示Azure Blockchain服務將於2021年9月10日終止服務，微軟建議根據用戶正式營運和測試階段尋找替代服務。如果用戶已進入正式營運和前導專案，微軟建議改用Quorum或是Azure VM服務。至於處於全新部署或評估階段的用戶，Azure Marketplace有Quorum和Besu的範本。雖然Azure區塊鏈服務9月才關閉，但自5月10日起，就不再接受建立新會員或建立新系統。<a href="https://www.ithome.com.tw/news/144384"><strong>（詳全文）</strong></a></span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 金融機構 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 防疫措施 </span></strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">多家金融機構祭出多項防疫措施，紛紛啟動居家與異地辦公</span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%BD%B0%E9%8A%801.jpeg" /></span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">近期，因應疫情升溫，多家金融機構在第一時間祭出多項防疫措施，紛紛啟動居家辦公或異地辦公。比如，玉山銀行雙北地區的營業單位實施兩班備援的機制，維持5成的人力，並調整6個時段分流到班，另一半人員則實施居家辦公；總行除了異地辦公外，也開始大規模實施居家辦公。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">或像是富邦金控擴大了異地辦公、居家辦公、同棟分散樓層辦公的人數規模；且全面暫停臺灣與海外子公司間之雙向離境出差。永豐金控則宣布啟動居家上班，金控各子公司對外營業單位全面採實聯制，並啟動人員彈性分流上下班與異地備援，銀行部分則已有半數員工在家上班。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">外商銀行如星展銀行（臺灣）更全面啟動居家辦公，因業務性質無法執行居家辦公的員工，則採取分組辦公模式。或像是渣打銀行自疫情升溫之際，已禁止員工所有實體會議與跨城市差旅，截至5月中，渣打銀行全行後勤單位已有超過半數員工啟動居家辦公。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">兆豐銀行更是超前部署，總處核心單位及核心業務在5月6日已啟動異地辦公，董總採取分棟大樓異地辦公；其他單位規畫分A、B組辦公機制。更已將國內外防疫不同階段的分級SOP建置完成，包括封城狀態的演練都已完成。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">在顧客面的防疫措施，比如中國信託銀行將全臺152家分行全面消毒分流管理，客戶採實聯制登記，並鼓勵用戶使用線上金融服務，也在部分分行設置多功能視訊櫃檯，民眾可自主開戶免與人接觸。彰化銀行因應疫情變化，除了採取異層、異地及分組分批居家辦公模式外；北部第一線櫃檯人員則戴上防護面罩，持續提供客戶服務。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 安盛集團 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 保險業 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 勒索軟體 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">歐洲大型保險業者AXA遭勒索軟體攻擊，鎖定目標為亞洲部門</span></strong><br /><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">總部位於法國的歐洲前五大保險業者之一的安盛集團（AXA）在5月16日對外宣布，已淪為勒索軟體的受害者，至於勒索軟體集團Avaddon則是在前一天就表明自己是始作俑者。根據AXA的聲明，駭客鎖定該公司的亞洲部門展開攻擊，影響了泰國、馬來西亞、香港及菲律賓的IT系統。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">另一方面，Avaddon勒索軟體集團則宣稱已取得了AXA集團多達3TB的檔案，包括客戶的醫療或健康報告、客戶的理賠申請、支付紀錄、所有客戶的身分與銀行帳號、醫院與醫生的調查報告及合約書等，並要求AXA要在10天內（240小時）支付贖金，否則就要公布這些機密資料。不過，AXA向BleepingComputer透露，駭客只取得了泰國合作夥伴協助（IPA）的特定資料，尚無證據顯示有其它泰國IPA以外的資料外洩。<a href="https://www.ithome.com.tw/news/144457">（詳全文）</a></span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 金融業 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 營運服務不中斷 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 金管會 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">金管會要求銀行、保險、證券業必須維持營運服務不中斷</span></strong><br /><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">為因應疫情趨於嚴峻，金管會在5月18日的線上記者會，要求金融業者在面對疫情，基本原則是維持營運不中斷，必須維持金融業務運作的順暢。金管會也表示，為了確保金融服務營運不中斷，銀行、保險、證券3大金融業者，對於疫情早都訂有不同階段的應變計畫。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">未來，如果疫情警戒標準提升第四級，需要封城時，金管會是否有規定銀保證3業的分行或分公司最低營運人數？為此，金管會回應，並沒有強制規定，端看各業者的評估與規範。不過，金管會也強調，未來，如果有遠端交易的需求，包括銀行、保險、證券的交易部門，都需要建立授權的確認機制，包含資安的議題，以及做好遠端作業的營運管理，讓交易能順暢運行。<a href="https://www.ithome.com.tw/news/144481"><strong>（詳全文）</strong></a></span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 狗狗幣 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 迷因幣 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> DeFi </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">以太坊共同創辦人Vitalik Buterin捐出大量迷因幣，各種犬幣價格崩跌</span></strong><br /><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">柴犬幣（SHIB）、秋田犬幣（AKITA）、狗狗火星幣（Dogelon Mars，ELON）以及狗狗幣（Dogecoin，DOGE）被統稱為去中心化金融（Decentralized Finance，DeFi）的迷因（meme）幣，這些犬幣創始人為了吸引市場注意，把發行的半數代幣送給了以太坊共同創辦人Vitalik Buterin。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">但Buterin日前捐出大量以太幣及迷因幣給各大慈善組織，而造成相關幣種的價格崩跌，被視為去中心化金融史上最大的一次倒貨行動，也讓外界懷疑這波由狗狗幣帶動的迷因幣狂潮，是否會因此而變成泡沫。不過，在那之後它們的價格已出現緩慢回升。<a href="https://www.ithome.com.tw/news/144447"><strong>（詳全文）</strong></a></span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-size: 18.6667px;">攝影／李靜宜；圖片來源／微軟、彰化銀行</span><br /><span style="font-size: 18.6667px;">責任編輯／李靜宜</span><br /><strong style="vertical-align: top; font-size: 18.6667px; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 金融科技近期新聞 </span></strong><br /><strong style="vertical-align: top; font-size: 18.6667px;">1. <a href="https://www.fsc.gov.tw/ch/home.jsp?id=2&parentpath=0&mcustomize=news_view.jsp&dataserno=202105200006&dtable=News">金管會宣布公開發行公司從5月24日到6月30日停止召開股東會，預計有1,913家公司要延期舉行</a><br /> 2. </strong><a href="https://www.ithome.com.tw/news/144354"><strong style="font-family: 微軟正黑體, sans-serif; vertical-align: top; font-size: 18.6667px;">蘋果App Store在去年阻止300萬張被盜金融卡的交易</strong></a><br /><strong>3. </strong><strong style="font-family: 微軟正黑體, sans-serif; vertical-align: top; font-size: 18.6667px;"><a href="https://www.ithome.com.tw/news/144401">Tor專案以NFT形式，對外拍賣全球首個洋蔥網域Dusk的金鑰與數位作品</a><br /> 4. <a href="https://www.fsc.gov.tw/ch/home.jsp?id=96&parentpath=0,2&mcustomize=news_view.jsp&dataserno=202105180002&dtable=News">由金管會主導推動建置的保障型保險商品平臺，將於今年7月上線</a></strong><br /><strong style="font-family: 微軟正黑體, sans-serif; vertical-align: top; font-size: 18.6667px;">5. </strong><strong style="font-family: 微軟正黑體, sans-serif; vertical-align: top; font-size: 18.6667px;">庫幣科技升級推出數位資產硬體錢包CoolWallet Pro，可操作DeFi與Staking交易、支援全新幣種</strong><br /><strong style="font-size: 14pt; vertical-align: top;">資料來源：iThome整理，2021年5月</strong></p> </div></div></div>
2021/5/21 18:16作者李靜宜https://www.ithome.com.tw/news/144558
Check Point Research：23款Android程式因雲端配置錯誤，讓1億用戶的資料曝險
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.checkpoint.com/2021/05/20/misconfiguration-of-third-party-cloud-services-exposed-data-of-over-100-million-users/" target="_blank">資安業者Check Point Research本周指出</a>，該公司研究人員發現有23款Android應用程式所使用的第三方雲端服務配置錯誤，可能讓全球超過1億的Android用戶個資曝險，包括有13款程式的即時雲端資料庫缺乏密碼保護，還有些程式把通知與雲端儲存的金鑰直接置放在程式碼中。</p> <p>即時資料庫允許開發者把資料存放在雲端，並讓Android用戶隨時可與雲端同步，不過，若開發者並未替即時資料庫設定密碼時，代表所有人都可存取該資料庫，並取得程式用戶的各種機密資訊。</p> <p>例如超過1,000萬次下載的星座程式Astro Guru，就因配置錯誤而外洩了使用者的姓名、生日、性別、位置、電子郵件與支付資訊。或者是超過5萬次下載的叫車程式T’Leva，也因配置錯誤而外洩了乘客的姓名、電話號碼與接送位置。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0521-%E9%9B%B2%E7%AB%AF%20%E9%85%8D%E7%BD%AE%E9%8C%AF%E8%AA%A4-2-V2.png" style="width: 600px;" /></p> <p><span style="color:#696969;">圖片來源／Check Point Research</span></p> <p>研究人員還發現有通知管理程式把金鑰存放在程式碼中，一旦駭客取得了該金鑰，就能任意發送通知予使用者，包括詐騙訊息及網釣連結。</p> <p>另有程式將雲端儲存金鑰置放在程式碼中，像是超過1,000萬次下載量的Screen Recorder，它可用來紀錄與保存使用者的螢幕畫面，由於開發者也將使用者的私鑰存放在同一雲端儲存服務上，使得研究人員得以取得使用者的私鑰，並存取使用者的所有螢幕畫面。擁有50萬用戶的傳真程式iFax同樣把雲端儲存金鑰嵌入程式裡，讓駭客能夠存取使用者的所有傳真文件。</p> <p>Check Point Research同時知會了Google與這23款程式的開發者，迄今已有部份程式修補了相關漏洞。</p> </div></div></div>
2021/5/21 17:36作者陳曉莉https://www.ithome.com.tw/news/144556
【臺灣資安大會直擊】看懂零信任架構，先釐清對於ZTA常見的3大迷思
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近年來，在資安防護的觀念上，零信任概念越來越熱門，不僅資安專家、廠商都在提倡，美國國家標準暨技術研究院（NIST）在2020年8月也發布了SP 800-207標準文件，探討並說明如何建立零信任架構（Zero trust architecture，ZTA），儘管ZTA概念持續發展，在這10多年來逐漸成形，但還是有很多人對ZTA僅有著模糊的概念，對此，臺灣科技大學教授查士朝從ZTA的迷思與導入策略談起，讓國內企業對於ZTA可以有更簡單的認識。</p> <h2><strong>打破迷思，零信任其實還是存在信任關係，不純粹信任網路邊界才是重點</strong></h2> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%965sS%EF%BC%89%E5%B0%8D%E6%96%BCZTA%E5%B8%B8%E8%A6%8B%E7%9A%843%E5%A4%A7%E8%BF%B7%E6%80%9D-%E6%9F%A5%E5%A3%AB%E6%9C%9D.jpg" style="width: 220px; float: right;" /></p> <p>對於零信任架構大家的想像是什麼？是指全部都不信任嗎？查士朝指出，大家可能因為零信任架構這樣的名稱，而有了很多誤解。</p> <p>他說明，在企業防禦上，以往採區隔信賴邊界的做法，但在沒有區隔信賴邊界狀況時，就會變成所有的元件，都要經過重新經過安全的分析，才能判斷一個服務到底安不安全。</p> <p>然而，在這樣的角度之下，不論使用資訊服務或相關的事，其實一定都會存在某種程度的信賴基礎，他舉例，像是基於對於憑證管理中心（CA）的信賴，而去建立安全連線與簽章，相信對方是真的連接對象；基於對伺服器硬體的信任，因而在上面布署各式服務；以及基於對程式編輯器的信任，而使用它來開發程式。</p> <p>因此，大家在理解零信任時，並不表示任何東西都不能信任。他解釋，我們不能只信任內網的使用者，也不能單純不信任外網的使用者，重點其實是不能單純因為邊界，而去決定要不要信任使用者。</p> <p>這是因為，傳統強化邊界的方法，在面對新興存取方式時有著不少挑戰。例如，10多年前就興起的BYOD浪潮，而現在有更多企業將資料放上雲端，加上這一年來COVID 19使遠端工作成常態，因此，在NIST SP 800-207的ZTA文件中，就特別強調ZTA是針對目前依些新興存取行為的因應對策。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖2sS）對於ZTA常見的3大迷思-查士朝.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962sS%EF%BC%89%E5%B0%8D%E6%96%BCZTA%E5%B8%B8%E8%A6%8B%E7%9A%843%E5%A4%A7%E8%BF%B7%E6%80%9D-%E6%9F%A5%E5%A3%AB%E6%9C%9D.jpg" style="width: 600px;" /></a></p> <blockquote><p>較為具體地零信任概念（Zero trust architecture，ZTA），是在2010年由Forrester Research前副總裁John Kindervag提出。</p> </blockquote> <h2><strong>進一步探究近代零信任概念發展與現況</strong></h2> <p>關於零信任概念的發展，追溯最早的起源，查士朝認為，可以說是來自於無心插柳的結果。在2003年Jericho論壇上，那時討論的主軸，是關注於網路資源在不同企業的共享與利用，可以去除企業之間的邊界，因此主要是聚焦無邊界趨勢下的網路安全解決方案。不過，當時論壇延伸出的技術探討，也成為了零信任後續發展的基礎。</p> <p>較為具體的零信任概念，是在2010年出現，由Forrester Research前副總裁John Kindervag提出。John Kindervag認為，裝置不再有信賴與不信賴的邊界，以及不再有信賴與不信賴的網路與使用者。查士朝舉例，像是不因內網或外網而有信任或不信任的情況，也會不會有絕對信任的使用者，而是判斷用戶行為與情境，再去決定相關權限。</p> <p>關於零信任架構的邏輯與重點，查士朝分別從2010年John Kindervag提出的內容，以及2020年NIST SP 800-207所公布的內容，來說明發展現況。</p> <p>以John Kindervag的零信任考量重點來看，查士朝表示，主要有4大核心，包括：使用整合的分割閘道器（Segmentation gateway）為網路核心；建立平行且安全的網路分隔；需考慮網路後臺的集中管理；以及建立資料蒐集網路，以掌握網路的完整狀況。</p> <p>而以NIST SP 800-207而言，在ZTA的核心元件中，最強調的部分就是，對於任何關鍵資源，在存取前都要檢查使用者是否有權限。</p> <p>因此，需要經過存取控制常提到的政策落實點（PEP），做到權限的檢查，而在檢查過程當中，將透過政策決策點（PDP）來判斷是否有權限做這樣的事情。並且，此一過程將考慮到更多面向的資訊，包括資料存取政策、SIEM、活動紀錄，以及威脅情資等8類資料來源，幫助決定存取決策。</p> <p>在此當中，查士朝更是具體說明了零信任還是有信任關係存在。因為，在上述ZTA核心元件中，現在至少還是會信任某些元件，例如PEP與PDP，只不過ZTA會要求在存取前，必須要做到檢查。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961s%EF%BC%89%E5%B0%8D%E6%96%BCZTA%E5%B8%B8%E8%A6%8B%E7%9A%843%E5%A4%A7%E8%BF%B7%E6%80%9D-%E6%9F%A5%E5%A3%AB%E6%9C%9D.jpg" style="width: 600px;" /></p> <blockquote><p>為了說明NIST SP 800-207中的ZTA邏輯元件組成，在查士朝本場簡報中，也特別將該架構圖翻譯成中文，讓現場聽眾可以更直覺了解ZTA的核心邏輯元件。同時，他也點出ZTA其實還是會信任某些元件，那就是關鍵的政策落實點（PEP）與政策決策點（PDP）。</p> </blockquote> <h2><strong>ZTA不是一個獨特架構，而是告訴大家安全上應考慮某些原則</strong></h2> <p>現在NIST SP 800-207所描繪的ZTA，與10年前有何差異？查士朝認為，在於增加了對於風險或存取情境的存取控制考量。</p> <p>他解釋，現在不只是看到風險的結果，還要能基於風險評估的結果，去決定是否能夠存取，而且，現在ZTA不再強調是特定的一個架構，而是列出許多教條，也就是7大原則，讓各式實作能依循這些原則以符合ZTA。</p> <p>基本上，ZTA設計的7大原則，包含：（一）所有的資料來源與運算服務都要被當作是資源；（二）不管適合哪個位置的裝置通訊，都需要確保安全；（三）對於個別企業資源的存取要求，應該要以每次連線為基礎去許可；（四）資源的存取應該要基於客戶端識別、應用服務，以及要求存取資安可觀察到的狀態，以及可能包括的行為或環境屬性，去動態決定；（五）企業監控與衡量所有擁有與相關資訊資產的正確性與安全狀態；（六）在允許存取之前，所有的資源的身分鑑別與授權機制，都要是依監控結果動態決定，並且嚴格落實；（七）企業應該要盡可能收集有關資訊資產、網路架構、骨幹，以及通訊的現況，並用這些資訊來增進安全狀態。</p> <p>因此，從這些原則所專注焦點來看，簡而言之，就是識別可存取資源、連線安全、妥善存取控制、考量存取者狀態、了解資源狀態，以及監控裝置與資源風險，持續蒐集資訊與改善。</p> <p>同時，為了讓大家快速掌握NIST中ZTA新的重點，查士朝歸納出3大重要項目來說明。首先是，可存取資源的識別，基本要知道哪些資源可被存取，那些資源不能被存取；其次，使用者層級的權限控制，需考慮使用者的身分，透過身分層級去做存取控制；最後，是在存取控制加入對風險的考量，透過風險考量每次決定使用者是否存在相關風險，判斷是否能夠存取資源，動態改變存取的原則。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%966s%EF%BC%89%E5%B0%8D%E6%96%BCZTA%E5%B8%B8%E8%A6%8B%E7%9A%843%E5%A4%A7%E8%BF%B7%E6%80%9D-%E6%9F%A5%E5%A3%AB%E6%9C%9D(1).jpg" style="width: 600px;" /></p> <blockquote><p>在近年ZTA參考設計的主軸來看，查士朝強調3大重點，可存取資源的識別、使用者層級的權限控制，以及存取控制加入對風險的考量。</p> </blockquote> <h2><strong>ZTA也不是要立即替換既有邊緣安全機制</strong></h2> <p>對於企業該如何導入ZTA，查士朝認為，在NIST SP 800-702中就提到了4種布署方式，包括基於資源、限制區域、雲端與微分割的布署方式。這些是企業在導入ZTA時，可參考與評估的重點之一。</p> <p>舉例來說，以基於資源的布署方式而言，在每個資源存取之前，都要經過相關的管控機制，他以BYOD或遠端工作情形為例，如果使用者端裝置都沒有安裝任何MDM相關軟體，將只能夠以訪客身分存取，並且不允許存取受保護的資源，如果裝置安裝了保護軟體並經妥善設定，才能夠依使用者的身分與狀態，存取這些受到進階保護的資源。因此，在這樣的概念中，不只是資源存取的強化，也包含了存取者風險狀態的綜合考量；此外，他也針對基於雲端的布署方式做說明，企業除了在雲端設置一個存取閘道，控管上將有兩種選擇，可將PEP與PDP設置於企業內部或是雲端。</p> <p>不過，這部分他更想強調的是，在導入過程中，我們該如何看待既有邊緣安全機制。他指出，這些防護設備在ZTA中，其實都還是能夠發揮一定的效果。</p> <p>例如，原本的身分識別與存取管理（IAM），在ZTA中還是需要它用來提供身分鑑別與存取控制資訊，次世代防火牆（NGFW）將被用來做為PEP，但通常還要加入對於裝置安全的考量，而入侵偵測與防禦系統（IDP/IPS）也將可與ZTA整合。</p> <p>其他網路設備同樣會有作用，像是網路防火牆，在某種程度上還是可以扮演政策執行點的角色；Web應用防火牆（WAF）仍可用來減少攻擊介面；網路存取控制（NAC）可做為限制存取客戶端的初步手段；至於負載平衡器，在零信任架構中仍然需要，只是布署方式可能需要改變。</p> <p>此外，像是SIEM/SOAR這類設備，將可幫助提供情資資訊，而特權存取管理也能與ZTA整合，以提供更好的存取控制決策。在ZTA架構中惟一可能會被淘汰的，他認為只有VPN。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%964As%EF%BC%89%E5%B0%8D%E6%96%BCZTA%E5%B8%B8%E8%A6%8B%E7%9A%843%E5%A4%A7%E8%BF%B7%E6%80%9D-%E6%9F%A5%E5%A3%AB%E6%9C%9D.jpg" style="width: 295px;" /> <img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%964Bs%EF%BC%89%E5%B0%8D%E6%96%BCZTA%E5%B8%B8%E8%A6%8B%E7%9A%843%E5%A4%A7%E8%BF%B7%E6%80%9D-%E6%9F%A5%E5%A3%AB%E6%9C%9D.jpg" style="width: 295px;" /></p> <blockquote><p>在NIST SP 800-702中有提到ZTA布署方式有四種，查士朝特別用簡單的架構圖，來呈現基於資源、限制區域、雲端與微分割的不同布署方式。</p> </blockquote> <h2><strong>建議採階段式導入，從掌握現況、強化根基再到深化安全</strong></h2> <p>而在企業朝向ZTA邁進時，還要注意什麼？畢竟，從上述種種內容來看，比起說ZTA是一個架構，更可以說是企業或組織的資安策略。因此，查士朝建議，可採取階段導入方式來一步步完成，這部分在NIST SP 800-702第七章有相關說明，查士朝並強調，企業一開始不要急著花錢，他更是歸納出3大階段10大步驟，讓企業能有更簡單的依循方式。</p> <p>首先，企業應該要能掌握現況，先知道自己有哪些重要資源需要保護，並對既有的存取原則與安全控制作了解。簡單來說，初期步驟就是要盤點所有企業資源與存取情境，掌握既有存取控制規則，以及掌握既有安全控制措施。</p> <p>接下來是慢慢強化，也就是將既有存取控制進一步強化，確認存取控制是否正確，以及確認安全問題等。具體而言，這裡的步驟包括：強化存取控制措施、強化記錄機制、強化強化災難復原機制與資安檢查。</p> <p>最後是更進一步深化安全，像是做到能夠依照收到Log紀錄與知道的風險，去動態調整存取控制原則，他認為，這時候再去布置零信任相關元件，或許是比較好的做法。因此，相關步驟包括：掌握風險資訊提前因應、依存取情境變更存取權限、持續檢討與改善。</p> <p>整體而言，在本場零信任架構的演講中，查士朝其實要我們能夠先釐清對於ZTA常見的3大迷思，才能更好地應用其概念，來改善企業或組織的資安架構。包括要大家能理解，ZTA還是會信任某些元件，但重點更是要我們不只是純粹信任網路的邊界，並要認識ZTA不是一個獨特的架構，而是在安全上要考量到某一些原則，以及知道ZTA並不是要我們汰換原有的所有邊緣安全機制。</p> <p>同時，對於ZTA導入策略，查士朝列出4大關鍵作為提醒，包括：盤點使用者與資源、妥善布署資源、檢視權限並落實存取控制，以及掌握資源與使用者狀態。他並表示，如果企業想要以最快方式完成這些動作，將重要資源集中是關鍵，並在前方設置相關次世代防火牆，做到資源動態配置與加強存取控制，這些是最基本要做到的部分。此外，企業也應懂得考慮本身的狀態，引入相關概念來逐步強化。文⊙羅正漢</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%963s%EF%BC%89%E5%B0%8D%E6%96%BCZTA%E5%B8%B8%E8%A6%8B%E7%9A%843%E5%A4%A7%E8%BF%B7%E6%80%9D-%E6%9F%A5%E5%A3%AB%E6%9C%9D.jpg" style="width: 600px;" /></p> <blockquote><p>導入ZTA先別急著花錢，查士朝建議，可採取階段式導入概念，一開始可以先掌握現況，盤點要保護的重要資源與既有存取原則與安全控制，之後再循序強化，最終做到掌握風險資訊提前因應、依存取情境變更存取權限，以及持續檢討與改善。</p> </blockquote> </div></div></div>
2021/5/21 15:31作者羅正漢https://www.ithome.com.tw/news/144551
Google發表可讓查詢更加精準快速的語言模型MUM
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google發表了一個稱為<a href="https://blog.google/products/search/introducing-mum/" target="_blank">多任務統一模型（Multitask Unified Model，MUM）</a>，能夠讓用戶以較少的查詢快速獲得想要的答案，對複雜任務提供如同專家的回應。</p> <p>不少搜尋任務，需要用戶輸入許多查詢並且執行多次搜尋後，才能獲得所需要的答案，Google以登山者使用情境來說明查詢會遇到的問題，以及MUM能夠解決這個問題的原因。Google假設當用戶已經去過亞當斯山，計畫明年秋天要去富士山，想要在Google查詢該做的準備。</p> <p>針對這樣的情境，現階段Google可以提供許多資訊，但是都必須要使用者經過深思熟慮後進行搜尋，像是分別搜尋每座山的海拔、秋天的平均氣溫、行走路徑的難度和正確的裝備等。整合經過多次搜尋的結果，用戶就可以得到需要的答案。但是詢問登山健行專家就會以不同的問題進行，用戶可以詢問「我應該做什麼準備」這種開放式的問題，並且獲得一個考慮周到的答案，包括兩座山的差異，以及許多需要考慮的事項。</p> <p>爬山查詢僅是一個例子，官方提到，Google用戶每天都會需要查詢並解決各種任務，這些任務可能需要許多步驟，他們發現，用戶要解決複雜的任務，平均需要發出8個查詢，他們認為，現今的搜尋引擎都不夠完善，無法以專家的方式回答。</p> <p>而Google發展出了MUM技術，試圖簡化這些複雜查詢任務，MUM如同語言模型BERT一樣，建立於Transformer架構之上，但功能更加強大，MUM不僅可以理解語言，還可以生成語言。MUM接受了75種語言和多種任務訓練，可以比過去模型更全面地了解資訊和世界知識，而且MUM具有多模態（Multimodal）特性，能夠理解文字和圖像中的資訊，並且在之後還可以擴展理解視訊或是音訊等更多形式的內容。</p> <p class="rtecenter"><img alt="" src="https://storage.googleapis.com/gweb-uniblog-publish-prod/original_images/MUM_GIF02_02_1.gif" style="width: 580px;" /></p> <p>在上述用戶想要爬富士山的案例，MUM可以理解用戶正在比較兩座山，因此海拔和步道訊息是相關資訊，另外，MUM也可以理解在登山遠足的活動背景下，可能需要準備運動或是合適的裝備。由於MUM具有理解世界的知識，因此能夠告訴用戶，雖然兩座山海拔相似，但是秋天會是富士山的雨季，因此用戶可能需要防水手套。而MUM還會提供延伸主題，包括針對登山的頂級裝備和最佳訓練資訊，呈現網路中有用的文章、影片和圖像。</p> <p>Google會針對MUM進行有關機器學習偏見的研究，避免將偏見引入到系統中，並且減少訓練MUM的碳足跡，確保搜尋能夠高效執行。目前MUM仍處於探索初期，但Google提到，在幾個月後他們會逐漸開始在產品中加入MUM，以提供更好的服務。</p> </div></div></div>
2021/5/21 16:21作者李建興https://www.ithome.com.tw/news/144550
金管會揭露電支條例子法7大重點，記名式儲值卡有望跨境消費、比照銀行數存帳戶分類強化身分驗證機制
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>新電子支付機構管理條例將在7月1日正式上路，除了要打造支付生態圈的目標之外，更要透過建置電子支付跨機構共用平臺，開放跨機構間互通的金流服務。近期，「電子支付機構管理條例」修正案出爐，共有18項授權相關子法要配合修正或訂定，其中，中央銀行與財政部各負責1項，金管會則負責16項。</p> <p>央行在5月19日<a href="https://www.cbc.gov.tw/tw/cp-302-134799-888c9-1.html">預告</a>，新電支條例整併了電支、電票條例，央行因此配合擬具「非銀行支付機構儲值款項準備金繳存及查核辦法」修正草案，名稱修正為「專營電子支付機構收受儲值款項準備金繳存及查核辦法」。</p> <p>央行共提出3大修正重點，包括將電子票證機構併入專營電子支付機構定義，這是第一點；第二點是定義儲值款項，包括預先存放在電子支付帳戶與儲值卡的款項；央行擬將同一機構收受儲值款應計提準備金的門檻，調高到100億元，並就超過100億元的部分計提準備金。第三點則是，將配合計提準備金門檻調高到100億元，修正應提準備額的計算方式。</p> <p>針對金管會負責「電子支付機構管理條例」修正案中的16項子法，金管會也在5月20日對法規進行為期14天的<a href="https://www.fsc.gov.tw/ch/home.jsp?id=96&parentpath=0,2&mcustomize=news_view.jsp&dataserno=202105200005&aplistdn=ou=news,ou=multisite,ou=chinese,ou=ap_root,o=fsc,c=tw&dtable=News">預告</a>，總共有7大修正重點。金管會銀行局主秘童政彰表示，金管會共修正了14項授權法規命令、增訂2項授權法規，新增訂的部分包括「外籍移工國外小額匯兌業務管理辦法」、「專營電子支付機構負責人資格條件兼職限制及其他應遵行事項準則」草案。</p> <h3><span style="color:#0000FF;"><strong>外籍移工匯兌業務匯款上限為每筆3萬元、每月5萬元，每年上限為40萬元</strong></span></h3> <p>第一大修正重點，是外籍移工匯兌業務部分，根據草案規畫，外籍移工匯兌公司應以獨立業務經營外籍移工國外小額匯兌業務，但不限專營，相關業者也可兼營，童政彰舉例，外勞仲介業者也可向金管會申請兼營外籍移工匯兌業務。</p> <p>針對專營的業者，則規定最低實收資本額為新臺幣1億元，且必須設置專責部門與人員。此外，金管會核發的營業許可證為3年有效期；而且，業者收受的匯款交易款項須全數交付信託，或取得金融機構履約保證及限制匯款限額等管理機制，以確保用戶資金安全；匯款上限為每筆3萬元、每月5萬元，每年上限為40萬元。</p> <p>金管會進一步表示，目前有易安聯、統振這2家正在實驗外籍移工國外小額匯兌業務的業者，預計今年10月29日可出金融監理沙盒。新電支條例7月生效後，這2家業者在法規運作上可無縫接軌。</p> <p>第二大修正重點，是專營電子支付機構負責人資格條件部分，明訂負責人的積極與消極資格條件、兼職限制、訓練及其他遵循事項；針對現任董事長、經理人的積極資格條件，可以在原職務或任期內擔任的過渡規定；此外，還有負責人的教育訓練等，以促進專營電子支付機構的健全經營。</p> <h3><span style="color:#0000FF;"><strong>第三方支付服務業者納管門檻拉高到20億元</strong></span></h3> <p>童政彰提到，第三項重點是針對第三方支付服務業者。依照現行規定，第三方支付業者所保管代理收付實質交易款項，一年日平均餘額如果超過10億元，就必須申請轉為由金管會所規管的電支機構。此次，金管會考量到電商市場的發展及市場需求，所以，修訂將現行10億元門檻，調高到20億元。</p> <p>為配合財金資訊公司建置電子支付跨機構共用平臺，辦理跨機構間支付款項帳務清算，金管會修正了「電子支付機構專用存款帳戶管理辦法」，增訂「清算銀行」與「清算帳戶」相關作業機制與管理規定。童政彰表示，清算銀行部分，由財金公司指定的合作金庫銀行來辦理。這是第四項修正重點。</p> <h3><span style="color:#0000FF;"><strong>將開放記名式儲值卡可到國外搭乘交通運輸工具或到特店消費</strong></span></h3> <p>第五項是有關跨境業務，共有2項修正重點。童政彰表示，一方面是將開放國內記名式儲值卡，可以到國外合作機構的特店消費，或是國外記名式儲值卡，也可到國內經核准機構的特店來消費。舉例來說，未來民眾可拿悠遊卡、一卡通等記名式儲值卡，到國外搭乘公共交通運輸工具或消費。</p> <p>另一方面，金管會開放可透過「境內帳務清算機構」，目前由財金公司扮演該角色；或透過「境外帳務清算機構」，來進行帳務清算及系統介接、資訊傳輸與交換服務的合作模式。童政彰解釋，現行機制是經核准的電支機構業者需自行找境外合作機構，一家家去簽約；未來，便可透過境內帳務清算機構如財金公司，找境外合作機構來簽約，以減少國內電支機構的成本並提高競爭力。</p> <h3><span style="color:#0000FF;"><strong>強化電子支付機構身分確認機制，比照銀行數存帳戶分類</strong></span></h3> <p>第六項修正重點則是強化電子支付機構身分確認機制。金管會表示，這部分是比照銀行數位存款帳戶的分類，身份確認強度也分為一到三類。其中，增訂確認使用者所提供行動電話號碼機制、核驗姓名程序，及排除第三類數位存款帳戶得作為身分確認的金融工具種類。此外，金管會還提高第一類電支帳戶儲值餘額上限，從現行的5萬元拉高到10萬元；國內外小額匯兌交易每筆限額則為10萬元。</p> <p>最後一項重點是，金管會修訂電子支付機構業務管理規則，比如，新增特約機構、儲值卡及業務範圍之相關管理規定、修正支付指示應記載事項、股票應於開業後1年內辦理公開發行等規定。文⊙李靜宜</p> </div></div></div>
2021/5/21 16:30作者李靜宜https://www.ithome.com.tw/news/144554
攻擊愛爾蘭健康服務管理署的駭客耍詐，給解密金鑰仍威脅出售內部資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>愛爾蘭健康服務管理署（HSE）上周遭駭客以Conti勒索軟體攻擊，駭客昨（19）日一方面提供免費解密金鑰，但同時也持續出售已竊取的敏感資料。</p> <p>上周愛爾蘭HSE遭駭客組織發動勒索軟體攻擊，勒索2千萬（19,999,000）美元，迫使他們預防性切斷網路系統。這場攻擊影成重大影響，除了一家都柏林醫院暫時關閉了所有科別門診，還牽連了COVID-19的篩檢服務，愛爾蘭外交部長認為，這可能是該國歷來最嚴重的網路犯罪事件。</p> <p><a href="https://www.hse.ie/eng/services/news/media/pressrel/hse-cyber-security-incident.html" target="_blank">根據HSE網站</a>，雖然HSE極力搶修，但是直到周四系統服務仍未恢復，仍然仰賴人力作業，以致於延誤非急診病患的服務。</p> <p>此外，<a href="https://www.bleepingcomputer.com/news/security/conti-ransomware-gives-hse-ireland-free-decryptor-still-selling-data/" target="_blank">Bleeping Computer報導</a>，發動Coni攻擊的駭客本周在和受害者交涉的Tor網頁，貼出免費解密工具的連結，讓受害單位可以復原被加密的檔案。MalwareHunterTeam也證實，解密工具確實可用來復原這批被加密的資料。</p> <p>不過駭客同時也警告，如果HSE堅持不交涉、不付錢的話，他們還是會出售或公佈竊來的隱私資料。</p> <p><a href="https://siliconangle.com/2021/05/19/information-stolen-ransomware-attack-irelands-health-service-shared-online/" target="_blank">根據媒體報導</a>，目前駭客公佈的樣本包括和12個人有關的27個檔案，但駭客宣稱手中握有700多GB的資料，涵括病患住址、電話號碼以及員工合約、薪資及財務資料。</p> <p>第一天愛爾蘭總理Micheál Martin就對當地媒體RTÉ News表示，政府不會付贖金，也不會參與任何此類互動。</p> <p>另一方面，<a href="https://www.ithome.com.tw/news/144469" target="_blank">這個駭客組織同時也攻擊了HSE的主管機關──愛爾蘭衛生部</a>（Department of Health）。愛爾蘭官方資安機關研判兩案的攻擊手法及使用的工具類似，只是衛生部的防護系統及時偵測到惡意活動加以阻斷，因此未造成損失。</p> </div></div></div>
2021/5/21 17:17作者林妍溱https://www.ithome.com.tw/news/144555
微軟開源可用來部署模擬網路攻擊實驗室環境的SimuLand專案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟本周<a href="https://www.microsoft.com/security/blog/2021/05/20/simuland-understand-adversary-tradecraft-and-improve-detection-strategies/" target="_blank">開源了SimuLand專案</a>，以協助全球的安全研究人員部署可模擬各種網路攻擊場景的實驗室環境，或是用來驗證Microsoft 365 Defender、Azure Defender與Azure Sentinel的偵測能力，並利用遙測及每次模擬演練所產生的鑑識產物，來擴展威脅研究。</p> <p>目前該專案僅建置一個Golden SAML AD FS Mail Access實驗室，它模擬駭客自本地端的AD FS伺服器盜走令牌簽署憑證，進而簽署SAML令牌，企圖假冒為特權使用者，以藉由Microsoft Graph API蒐集郵件資料。</p> <p>根據微軟的規畫，SimuLand專案將導入來自微軟安全產品的各種案例，可創造不同的實驗室環境，並採用模組化設計，因此可在整合不同攻擊行動與實驗室環境的情況下展開測試。</p> <p>微軟也揭露了對於SimuLand專案的期許，包括理解駭客的行為與功能，藉由記錄攻擊者的操作來確定攻擊路徑及緩解措施，加快威脅實驗室環境的設計與部署，跟上駭客所使用的技術與工具，辨識與記錄共享資料來檢測及建模駭客的行為，以及驗證與調整檢測能力。此外，SimuLand還能整合那些可於端對端模擬場景中，執行動態分析的既有威脅研究方法。</p> <p>不過，要部署SimuLand所提供的模擬攻擊實驗室環境，至少要具備一個Microsoft 365 E5授權及一個Azure租戶，其它需求則根據不同的實驗室環境而定。</p> <p>微軟亦鼓勵安全研究人員分享端對端的攻擊路徑，或是貢獻其它的偵測規則。</p> </div></div></div>
2021/5/21 15:47作者陳曉莉https://www.ithome.com.tw/news/144552
【疫情日報】今日新增312例本土確診案例，陳時中重申全國防疫步調統一，更預告PCR檢測結果將可用健保行動快易通APP查詢
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中央流行疫情指揮中心今天（5/21）疫情記者會上，指揮官陳時中揭露，今天新增了315例，其中包括本土312例，確診病患以新北144例最多，旗下板橋區37例最多，臺北市有127例，以萬華區60例最多，其次桃園市13例，基隆市9例，臺中市和彰化縣各5例，高雄市4例，宜蘭縣2例，屏東縣、南投縣、雲林縣各1例。其中，關連不明有72例，疫調中有25例。他預告，PCR檢測結果，近日將直接整合到全民健保行動快易通APP，讓民眾查詢自己的檢測結果不用等待通知。</p> <p>整體來看，陳時中表示，臺灣疫情仍在高峰中，但沒有突發情況，大部分來源可以找到源頭，屬於多發性的局勢，影響區域也增多。他呼籲，全體民眾要特別注意，國外訪者這段期間也不要來臺，避免增加檢疫量能的負擔。</p> <p>另外，針對先前出現安置速度太慢，讓民眾等候1、2天的情況，陳時中表示，這兩天加緊準備，中央集中檢疫所已經準備好了，發現快篩陽性，就可以先送到中央的集中檢疫所，等待PCR檢測。內有醫護人員進行健康監測。防疫物資整備上，目前有充足的PPE儲備量和製造能力，也會撥發N95口罩、防護衣、隔離衣給診所，旅宿業者也會撥發隔離衣。</p> <h3><span style="color:#FF8C00;"><strong>陳時中強調：全國防疫警戒步調一致、作法一致、說法一致</strong></span></h3> <p>陳時中希望，中央地方步調齊一，地方之間也能同步。他重申，全國三級警戒上，採取「步調一致、做法一致、說法一致」，中央負責指揮，訂定標準和指引，由地方執行，若有執行面的問題，可在每天全國防疫會議上提出來調整。國家關鍵產業也要積極備戰，出現確診者後如何分流上班，來因應困難的時候。</p> <p>目前PCR檢測結果，若是陽性會盡快通知當事人，但陰性仍會在三天內通知。目前健保署和疾管署正在合作，未來會將檢測結果整合全民健保行動快易通APP，讓民眾可以更快查詢到自己檢測結果，不用像現在以電話通知的方式，來降低民眾的焦慮感。</p> <p>另外，在今天早上的全國防疫會也有多項決定，中央要求各縣市政府發布確診者足跡前，要審慎確認再發布，中央正進行確診者熱點分析，之後會提供給各縣市。確診者後送作業上，醫福會每天8點前會通知確診者最多的雙北，讓雙北政府來協助指揮調度，包括消防局救護車等，來快速後送。</p> <p>為了提高集中檢疫場所設置的能量，中央也開始請地方政府盤點，由地方提供場所名單、由中央評估，再來設置。各縣市社區採檢站的分佈狀況為台北市設置5個採檢站，新北市設有7個採檢站（新增輔大、中和、新店），宜蘭會目前設置2站，桃園有1個站，會再設置2站，彰化新增1個站，苗栗有1站，高雄2站，連江1站。</p> </div></div></div>
2021/5/21 14:50作者王宏仁https://www.ithome.com.tw/news/144544
【從K匿名法、GAN和統計整合練兵，再攻聯合學習】工研院揭3種去識別化方法
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在AI大浪的席捲下，如何兼顧大數據分析和資料隱私？工研院巨資中心專家分享3種作法，包括常見的K匿名法、GAN生成資料法，以及從GAN衍生出的多機構專用統計整合法。工研院巨資中心資料隱私與平臺技術部經理王邦傑更強調，用GAN生成的無涉及個資假資料，與完全用原始資料的準確度相比，誤差值僅在5％以內。這些也正是工研院用於財政資訊中心、健保署健保大數據的資料去識別化作法。</p> <p>不只如此，工研院在金融、電商和醫療資料去識別化的經驗，還延伸至聯合學習（Federated Learning）應用，去年展開PoC驗證，提出多種方法來解決聯合學習資料品質參差不齊的問題。今年更聯手臺灣人工智慧實驗室（AI Labs），要把聯合學習推廣到各產業。</p> <p><span style="font-size:28px;"><strong>著重資料可分析性，資料去識別化應聚焦間接識別符</strong></span></p> <p>「許多資安廠商、資訊業者認為，資料去識別化只要將資料加密或Hash轉換就好，」但工研院巨資中心資料隱私與平臺技術部經理王邦傑指出，大數據時代著重的是「資料背後代表的意義，也就是資料的可分析性。」因此，資料去識別化不該只是加密資料，而是要在保護個資的條件下，也保有資料可分析性。</p> <p>但是，這種資料去識別化該怎麼做呢？</p> <p>這得先了解個人資料的組成。根據個資法定義，個人資料可分為直接識別符和間接識別符，直接識別符就是姓名、身分證字號等資料，而年齡、種族和郵遞區號等就是間接識別符。</p> <p>「間接識別符無法判斷特定個體，但攻擊者可從間接識別符的組合，來推導出特定個體，」因此，去識別化就是針對可識別資料、間接識別符下手，讓資料中足夠多的個體，對應到同一組間接識別符，將個體特徵「模糊化，」隱身於群體中。</p> <p>在這些條件下，他表示，有3種常見的去識別化核心技術，包括傳統統計揭露控制（Statistical Disclousure Control，簡稱SDC）、K匿名系列演算法，以及差分隱私演算法（Differential Privacy）。</p> <p>王邦傑解釋，SDC是個傳統老方法，已存在20多年，K匿名演算法則相對年輕，問世約10年，「不過，現在會需要更強健的K匿名演算法。」至於差分隱私，則是近幾年興起的熱門資料去識別化方法，目的是在資料集中加入雜訊，來混淆視聽。</p> <p>工研院也有幾套資料去識別化作法，在保有資料可分析性的情況下，也兼顧資料隱私。他們的方法除了上述的K匿名演算法外，還自行發展出2套去識別化方法，一個是GAN資料生成法，另一個是GAN生成法衍生的多機構去識別化資料融合分析法。</p> <p><span style="color: rgb(51, 153, 255);"><span style="font-size: 28px;"><strong>工研院推薦這3種資料去識別化方法</strong></span></span></p> <p><strong><span style="color: rgb(178, 34, 34);">1. K匿名法：</span></strong><span style="color: rgb(105, 105, 105);"><strong>傳統常見作法，利用資料藏匿和資料泛化，將確切值隱藏在一個區間達到匿名效果。直覺、容易使用的作法，但工研院建議K值大於20，較不易遭攻破。衛福部和財政資料中心曾用此法來開放政府資料。</strong></span></p> <p><strong><span style="color: rgb(178, 34, 34);">2. 完全用GAN生成假資料：</span></strong><span style="color: rgb(105, 105, 105);"><strong>業界資料保護主流作法，用GAN生成器模型產生接近真實資料的合成假資料，來達到匿名效果但又有分析力。工研院經驗，GAN生成資料的分析準確度，與原始資料間相比，兩者的誤差值可在5％以內。</strong></span></p> <p><strong><span style="color: rgb(178, 34, 34);">3. 用GAN去識別化再融合分析：</span></strong><span style="color: rgb(105, 105, 105);"><strong>工研院整合GAN和傳統統計作法，可用於多機構間的資料去識別化和資料整合分析。先在各機構端以GAN生成資料，再靠統計匹配作法，橫向整合資料後得到，可分析的整體性資料。工研院建議，2家機構整合的效果最佳。</strong></span></p> <p><span style="color: rgb(105, 105, 105);">資料來源：工研院，iThome整理，2021年5月</span></p> <p><span style="font-size:28px;"><strong>工研院資料去識別化第1招：K匿名法</strong></span></p> <p>K匿名演算法是工研院常用資料去識別化法之一，「它雖然不是最強的保護方法，但卻是最直覺、最容易操作的去識別化方法。」王邦傑點出這個方法的優點。這個作法的核心在於資料藏匿（Supression）和資料泛化（Generalization），也就是將資料進行更廣義、更抽象的描述。</p> <p>但只是將部分資料遮掩，比如電信帳單中遮掩幾碼的電話號碼，或是遮掩姓名中間字的作法，「就不是可分析的資料了。」他認為，用K匿名法將資料去識別化時，得將年齡、地址等確切資料隱藏在一個區間，比如將33歲改為31至35歲、將確切門牌號碼改為住在忠孝東路，或是將身高隱藏在181至185公分的區間。如此一來，「在資料顆粒度變粗的情況下，會有更多人符合這些條件組合，要從中去找出特定人，也就更難。」這就達到了隱匿效果。</p> <p>所以，K匿名法中的K就是指，用不同間接識別符的組合來搜尋時，至少有K個個體符合，比如搜尋上述「31至35歲、住在忠孝東路、身高181至185公分」條件的人，至少有5個，那K就是5，也就是最小能保護的基準值。</p> <p>同時，王邦傑也建議， K 值要大於20才不容易被攻破。幾年前，工研院也用這個方法，來輔導衛福部和財政資訊中心的資料去識別化專案，協助政府開放資料。</p> <p><span style="font-size:28px;"><strong>工研院資料去識別化第2招：完全用GAN生成的合成資料</strong></span></p> <p>工研院資料去識別化的第2招，是利用對抗生成網路（GAN）來產生合成資料，並用這些生成資料完全取代真實資料，來避免個資洩漏的問題。</p> <p>這個做法的原理是，將原始資料輸入GAN生成器（Generator），來產生具有原始資料特性的合成資料，接著用GAN鑑別器（Discriminator）來評斷這些合成資料的擬真度，藉此提高合成資料的真實性。這個過程會反覆進行，直到生成器產生的資料成功騙過鑑別器為止。</p> <p>王邦傑指出，GAN生成法是時下業界資料保護的主流作法，一些專家甚至會加入差分隱私，來提高去識別化強度。工研院也自2017年開始，用GAN生成器模型來產生接近真實資料的合成資料，進行資料去識別化。不過他也提醒，採用該方法「要考量的是，如何讓GAN生成的資料，夠接近原始真實資料。」</p> <p>除了不會洩漏個資的好處，這個方法也能彌補傳統方法的缺點，王邦傑解釋，傳統在真實資料中加入雜訊（假資料）來混淆視聽，會造成運算成本增加，也會降低日後資料分析的準確度。「完全採用合成資料，就不會有這些問題。」</p> <p>就資料可分析性來說，工研院採用GAN生成資料的準確度，與完全用原始資料的準確度相比，誤差值在5％。甚至，「狀況好時可達1％、2％。」王邦傑強調。</p> <p><span style="font-size:28px;"><strong>工研院資料去識別化第3招：用GAN去識別化再融合分析</strong></span></p> <p>在GAN的基礎上，工研院還延伸出另一套方法，可以作為多機構的資料去識別化和分析需求之用。這個方法整合GAN和傳統統計整合作法，可分為3個步驟，包括在機構端以GAN生成資料，再以統計學橫向整合（Join）這些資料，最後，匯出這些資料就可以得到具有分析力的去識別化資料集。</p> <p>舉例來說，假設銀行A、電商B分別擁有資料集X、Y和X、Z，其中X是兩家企業的共通資料，也就是共通客群，而Y和Z是與X相關的資料。為了在兼顧個資隱私的條件下整合兩家資料，雙方得先將手上的資料集X、Y和X、Z去識別化，也就是以GAN生成近似原始資料的合成資料。</p> <p>接著，工研院透過橫向整合（Database join）、資料配對（Record linkage）、統計匹配等方法，來整合這些生成資料（也就是隨機配對），完成後再匯出整合的資料集X、Y、Z，來進行分析。</p> <p>王邦傑解釋：「這種隨機分配並不會影響整體資料可分析性，因為在統計學上，資料走向是一樣的。」工研院也用這個方法進行不少模擬，不過，他認為，這個方法最適合用於兩家機構的資料整合，若機構數量更多，就會影響資料的可分析性，也就是後續運用於AI的準確度。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%963-%E5%B7%A5%E7%A0%94%E9%99%A2%E5%B7%A8%E8%B3%87%E4%B8%AD%E5%BF%83%E7%B6%93%E7%90%86%E7%8E%8B%E9%82%A6%E5%82%91-%E6%94%9D%E5%BD%B1-%E7%8E%8B%E8%8B%A5%E6%A8%B8.JPG" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);">攝影／王若樸</span></p> <p><strong><span style="color: rgb(105, 105, 105);">工研院巨資中心資料隱私與平臺技術部經理王邦傑指出，在大數據時代下，企業的資料去識別化應保有資料可分析性，而非只進行資料加密或Hash轉換就好。</span></strong></p> <p><span style="font-size:28px;"><strong>去識別化後的資料分析準確度多高？工研院用5種ML模型來評估</strong></span></p> <p>資料去識別化的目的在於分析，但去識別化程度會影響分析準確度。為衡量這些做法的資料可分析性高低，工研院也自建一套評估工具，會使用5種ML演算法，包括XGBoost、SVM、隨機森林、Linear SVC和Logistic regression，來測試資料去識別化後的AI分析準確度。為了評估，同一批分析資料，還會訓練出三種AI模型來比較。</p> <p>測試前，得先確認生成資料欄位屬性，比如是類別型或數值型，才開始使用ML演算法，針對想要分析的資料欄位，利用原始資料和合成資料來訓練模型，交叉比對準確度。</p> <p>例如，可將訓練資料和測試資料按比例分為80％和20％，首先完全使用原始資料來訓練、測試模型，這就是模型一。模型二是用80%合成資料訓練模型，再以20%原始資料來測試模型。假設模型一的準確度與模型二相近，就表示「生成資料能以假亂真，」王邦傑說。</p> <p>接下來，還可以完全使用合成資料來訓練、測試建立第三種模型（模型三），它的目的是檢驗是否有過度擬合（Overfitting）問題。這個檢驗標準，是與模型一相比，要是模型三準確度高於模型一，就代表過度擬合。</p> <p>有了模型一、二、三和各5種ML演算法的訓練與測試分數後，工研院自建的評估系統也會依類別列出5種演算法，各自在這三種模型中的表現，讓使用者從中判斷去識別化的資料可分析性。</p> <p>工研院已經將資料去識別化做法和評估工具，開發成一套解決方案，內有多種去識別化核心演算法、風險和資料可用性評估模組，以及資料處理模組等，這套解決方案可平行化部署在大數據框架Hardoop、Spark上，也能單機部署在個人電腦上。王邦傑指出，不少政府、金融甚至是智慧製造業者，也用這套方法來處理資料去識別化。</p> <p><span style="font-size:28px;"><strong>投入隱私資料保護的新作法聯合學習</strong></span></p> <p>工研院巨資中心自2019年下半年也投入的聯合學習技術的研究，這是另一個不需揭露隱私個資又能提供資料分析性的新作法，更在2020年展開醫療聯合學習PoC，包括與工研院生醫所進行的痰音疾病預測。</p> <p>聯合學習常見的模式之一是Server與Client模式，也就是透過發起人設置一套初始模型，讓各個Local端（即Client端）下載，用自家的資料來訓練，再將參數上傳到中央伺服器的母模型（即Server端的Global模型）來優化，如此反覆直到模型收斂。</p> <p>不過，王邦傑發現，聯合學習本是要解決安全問題，「現在也衍生一些安全問題。」比如，醫院擔心Local端的訓練模型會偷走資料，或是Local端的模型遭破解而洩露資料、匯入錯誤資料，又或是Global模型會遭破解等等。</p> <p><span style="font-size:28px;"><strong>聯合學習還有資料中毒和Non-IID兩大挑戰</strong></span></p> <p>這就演變成聯合學習的兩大挑戰。首先是資料中毒（Data poison）問題，也就是Local端用錯誤資料來訓練模型，會破壞了整體聯合學習的Global模型表現。王邦傑坦言，這是個無法完全解決的問題，「但有技巧可以避免。」比如降低特定Local端模型在Global模型的權重，就比較不會造成資料中毒問題。</p> <p>再來，因為聯合學習旨在保護資料隱私，Server端無法仔細檢視每個Local端用來訓練模型的資料，因此當少數Local端模型表現異常時，Server端無法確定是不是資料中毒問題。這時，Server端就要考慮「Non-IID（Non-Identical Independent Data）問題，也就是該Local端的資料本來就異於常人。」這個現象，也是聯合學習常見的挑戰之一。</p> <p>「Non-IID是指非完美分布的資料，」王邦傑解釋，在聯合學習中，若Client端的資料分布（Distribution）差距非常大，也就是每個Local端模型表現差異極大時，會導致Global模型表現不佳，或是難以收斂。</p> <p>面對這個問題，學術上也有幾種方法來應對，比如從各Client端挑選有共識的資料（像是屬性類似的子資料集），先來訓練Global模型、縮小差距，待模型表現穩定後，再加入屬性差異較大的資料。</p> <p>這種優先挑選屬性類似資料的作法，可透過資料增強（Data augumentation）來實現。資料增強是一種增加資料量的方法，將現有資料複製、稍加調整（如翻轉、剪裁、顏色修正等方法），來產生更多資料、擴充訓練資料集。</p> <p>藉由這個方法，Local端可多產生一些性質類似的訓練資料，來強化該資料的占比，進而訓練出差距較小的模型。</p> <p>有了這些技術經驗，工研院今年進一步聯手臺灣人工智慧實驗室（Taiwan AI Labs），投入跨政府部會成立的臺灣聯合學習產業大聯盟，擔任核心成員。</p> <p>王邦傑透露，工研院將在聯盟中，協助制定特定產業的聯合學習標準（比如標註規則），並建立聯合學習生態系；同時，他們也會繼續探討聯合學習的技術問題，比如Non-IID，並尋找更好的解法。他們希望將在聯合學習在醫界的成功經驗，推廣到其他產業。</p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/0521-%E5%B7%A5%E7%A0%94%E9%99%A2-600-1-765X541.jpg" onclick="window.open(this.href, '', 'resizable=no,status=no,location=no,toolbar=no,menubar=no,fullscreen=no,scrollbars=no,dependent=no,width=765,height=541'); return false;"><img alt="" src="https://s4.itho.me/sites/default/files/images/0521-%E5%B7%A5%E7%A0%94%E9%99%A2-600-1-s.jpg" style="width: 488px;" /></a></p> <p><span style="color:#696969;">資料來源：王邦傑</span></p> <p><strong><span style="color:#696969;">工研院巨資中心過去一年執行不少醫療聯合學習POC，發現聯合學習仍有些安全議題，比如Local端模型遭破解、資料外洩等。工研院也依此在不同階段設計防護機制，像是醫院與Local端模型間。</span></strong></p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>國際資料治理組織近2年格外重視資料隱私</strong></span></span></p> <p><span style="color:#696969;"><strong>在國際電信聯盟電信標準化部門ITU-T旗下，有個為期兩年（2017年至2019）的資料治理專案組織FG-DPM，專門制定IoT和智慧城市相關的資料治理與AI框架，「是國際上腳步最快的資料治理組織，」親身參與該組織的工研院巨資中心資料隱私與平臺技術部經理王邦傑說。</strong></span></p> <p><span style="color:#696969;"><strong> FG-DPM 制定的架構涵蓋5 大層面，其中之一就是資料處理和管理面的隱私技術，以及對應的法規問題，凸顯了組織對資料隱私的重視。就其他4個層面來說，還包括資料的使用情境、需求和應用服務，以及資料處理管理（DPM）框架、架構和核心元件，再來是資料共享、互通性和區塊鏈管理等，最後則是資料經濟化和貨幣化。原本杜拜萬國博覽會是第一個要實驗資料貨幣化的場域，但因爲去年疫情嚴峻、參訪人數受限制，導致成效不理想。</strong></span></p> <p><span style="color:#696969;"><strong>「FG-DPM領先其他國際組織，快速定義出完整的資料治理建議和應用框架，」王邦傑指出，該組織產生的15份報告，也交由ITU標準組織旗下的小組參考，包括醫療AI（FG-AI4H）、IoT智慧城市（SG20）、多媒體（SG16），以及機器學習於5G未來網路（FG-ML5G）等。他直言，FG-DPM制定資料隱私和AI框架的舉動，勢必帶動其他國際組織跟進，在資料治理上更有著墨。</strong></span></p> </div></div></div>
2021/5/21 13:44作者王若樸https://www.ithome.com.tw/news/144539
睽違3年的帳號驗證服務重返Twitter
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Twitter於本周四（5/20）<a href="https://blog.twitter.com/en_us/topics/company/2021/relaunching-verification-and-whats-next.html" target="_blank">重新啟動了帳號驗證服務</a>，公布了<a href="https://help.twitter.com/en/managing-your-account/about-twitter-verified-accounts" target="_blank">全新的帳號驗證政策</a>，所有用戶預計在未來幾周就可看到帳號驗證申請功能。</p> <p>過去Twitter也曾提供帳號驗證服務，只要通過身分驗證，使用者帳號旁邊就會出現一個藍底的白色打勾符號，但<a href="https://www.ithome.com.tw/news/141301" target="_blank">在2017年</a>因為爭議太多而取消。</p> <p>帳號驗證是為了讓用戶確定，與之互動的對象與身分是真實存在的，Twitter將率先驗證六大類別的帳號，包括政府、企業/品牌/非營利組織、新聞、娛樂、運動，以及活動家/具影響力的個人，未來Twitter用戶將可在帳號設定標籤中看到新的驗證申請功能，選擇類別之後再提供自己的網站、電子郵件帳號或身分文件以驗明正身。</p> <p>Twitter表示，使用者提出申請的幾天內，應該就會收到系統回覆，之後該站可能需要花上幾周的時間來審核，如果通過了，使用者的個人檔案上就會出現藍色徽章，若被否決，30天之後可以再度提出申請。</p> <p>除了上述類別之外，Twitter亦計畫於今年添增其它類別的帳號驗證，例如科學家、學者或是宗教領袖等。</p> </div></div></div>
2021/5/21 14:05作者陳曉莉https://www.ithome.com.tw/news/144540
美國財政部：企業的加密貨幣交易金額超過1萬美元就必須申報
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://home.treasury.gov/system/files/136/The-American-Families-Plan-Tax-Compliance-Agenda.pdf" target="_blank">美國財政部周四（5/20）宣布</a>，美國企業只要收到價值超過1萬美元的加密貨幣資產，就必須向國稅局申報。</p> <p>美國總統拜登（Joe Biden）已提議要分配額外的資源予美國國稅局，來解決日益增加的加密貨幣資產問題。而財政部則說，加密貨幣的市值已超過2兆美元，只是它依然存在著難以偵查的挑戰，進而促成包括逃稅在內的非法行為；儘管加密貨幣交易現在只占商業收入的一小部份，但預期它在未來10年的重要性將逐漸增加。</p> <p>因此，在新的財務會計申報制度下，將涵蓋加密貨幣與加密資產的交易帳號，以及接收加密貨幣的支付服務帳號，此外，與現金交易一樣，美國企業若收到價值超過10萬美元的加密貨幣資產也必須申報。</p> <p>另一方面，美國國稅局也已將加密貨幣視為個人資產，<a href="https://www.irs.gov/individuals/international-taxpayers/frequently-asked-questions-on-virtual-currency-transactions" target="_blank">要求美國民眾申報相關的交易所得</a>。</p> </div></div></div>
2021/5/21 14:16作者陳曉莉https://www.ithome.com.tw/news/144541
Google今夏開設第一家零售門市
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/products/devices-services/google-store-nyc/" target="_blank">Google昨（20）日宣布</a>，將於今年夏天開設販售3C產品的自有零售門市，第一家位於紐約。</p> <p>第一家Google Store將設於紐約的雀兒喜（Chelsea）區，位於Google紐約市中心的辦公室附近，將販售Google 3C產品，包括Pixel手機、Pixelbook、Nest智慧家庭裝置、Fitbit健身穿戴產品等等。Google Store除了提供現場販售，也提供消費者於GoogleStore.com線上下單到店取貨。</p> <p>此外，如同蘋果Apple Store，Google Store也會有工作人員提供產品教學、技術支援及消費者服務。</p> <p>由於美國COVID-19疫情仍未完全退散，Google Store也設立衛生規範，包括要求消費者戴口罩、保持社交距離，實施人流總量限制以及快速取貨點等措施。</p> <p>2016年Google也曾以在紐約蘇活區，設立快閃商店展示Pixel產品、Google Home及VR眼鏡等裝置，不過並不提供販售，消費者仍然必須到線上或實體商店購買產品。這次開設實體商店也是Google真正著手投入零售業務。Google表示會以此作為探索實體零售店的可能性及方向。</p> <p>去年在疫情期間，<a href="https://www.ithome.com.tw/news/138478" target="_blank">微軟關閉</a>了全球的實體零售店Microsoft Store，零售部門員工將轉為線上銷售、技術支援及教育訓練。蘋果的Apple Store則在關閉將近一年後，<a href="https://www.ithome.com.tw/news/142981" target="_blank">於3月全部重新開張</a>。</p> </div></div></div>
2021/5/21 11:21作者林妍溱https://www.ithome.com.tw/news/144537
醫院如何把關委外廠商資安，北市聯醫資安長揭露8階段重點
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺北市立聯合醫院是臺灣最早設置資安長一職的醫院，上任2年多的北市聯醫資安長許世欣，在臺灣資安大會上分享把關委外廠商資安的經驗，涵蓋從投標、簽約、開發到終止等8個階段。他建議，醫院委外開發時，要特別注意系統防護需求等級，再來才是其他資安要求。另外，VPN存取權限也要嚴格把關，像北市聯醫自今年7月起，就要求廠商須通過ISO 27001認證，或通過北市聯醫資安查核者才能申請醫院VPN。</p> <p><strong><span style="font-size:22px;">資安法上路2年，子法9大細則規範委外重點</span></strong></p> <p>許世欣指出，許多機構的資安事件，都與委外廠商有關。而上路2年的新版資安法，明定了企業對委外廠商的資安稽核規範，許世欣就是依此來制定委外審核標準。</p> <p>他解釋，資安法第9條規範公務機關和非特定公務機關，必須選任合適的委外廠商，同時也要「監督」該廠商的資安維護情形。</p> <p>根據這條法規，資安法施行細則第4條詳列了委外廠商9項把關重點。首先是企業委外給廠商的業務相關程序和環境，必須具備完善的資安管理措施，或通過第三方驗證。再來是委外廠商需有受過資安訓練的專業人員，而且，雙方須制定複委託的範圍、對象和資安維護措施，也就是「再發包」的範圍定義和資安防護措施。</p> <p>第4是委外廠商不得涉及國家機密，執行人員應接受適任性檢查。再來是委外開發系統時，委外廠商須提出該系統的安全性檢測證明，而且，委外系統若是企業核心系統，或委外金額達1,000萬元以上，企業須自行或委託第三方機構來進行安全檢測。</p> <p>第6，要是委外廠商發生資安事件，或違反資安法時，需立即通知企業並補救。委外關係終止時，廠商還必須銷毀、刪除或交還委託業務的資料。</p> <p>最後，企業應定期稽核、確認委外案的執行情形，或得知委外廠商可能發生資安事件時也必須稽核執行情況。這也是許世欣特別強調必須落實的一點。</p> <p><strong><span style="font-size:22px;">委外服務管理分8階段，第1階段要注意系統防護需求等級</span></strong></p> <p>根據這些規範，許世欣將企業委外服務分為8個階段，每個階段都有對應的資安重點。這些階段包括徵求建議書（RFP）、廠商投標、廠商得標與簽約、設計與開發、測試、驗收、系統上線，以及最後的維運。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E7%AE%A1%E7%90%86%E9%9A%8E%E6%AE%B5.jpeg" /></p> <p>在第1階段，RFP需列出了委外廠商必須知道的一切資安要求，包括了上述每個階段的資安說明。以北市聯醫RFP資安要求專章為例，該專章有19條，一大重點就是如何準確評估系統的資安防護等級，分為普、中、高級，不同等級在資安法附表中的防護措施多寡不同，普級有31項、但高級則有76項。</p> <p>再來，專章明定廠商的資格，也就是要通過ISO 27001驗證，且作業人員須受過資安訓練。</p> <p>其他規範重點還包括，廠商應按SSDLC準則來開發和維運、要申請VPN遠端連線得符合一定資格(例如獲得ISO 27001認證，或通過資安查核)，才能獲得VPN權限。而且系統上線前，須檢測源碼風險、廠商需主動通報事件並配合相關應變與調查作業。最後，廠商也需配合醫院的開發環境訪查作業。</p> <p><strong><span style="font-size:22px;">廠商投標要提供ISMS第三方證明，簽契約要繳交資安協議書</span></strong></p> <p>再來進入第2階段的廠商投標。這時，醫院要審核廠商的資訊安全管理系統（ISMS）第三方證明，以及資安教育證明，來確保品質。</p> <p>而第3階段的契約簽署，有賴醫院提供院方資安規範文件，廠商也須簽署資安協議書和切結書，包括「委外廠商執行人員保密切結書」和「個人保密切結書」。在個人保密切結書中更要規定，廠商若有人員異動，必須馬上通知醫院，來降低權限外洩的風險。</p> <p>在資安協議書方面，許世欣以北市聯醫的範本來說明，協議書分為IT和醫療儀器（OT）2種，每種都有42條選項。這些選項涵蓋人力資源管理措施和存取控制權要求，每一項還要區分醫院和廠商雙方對該項的同意權。要是廠商意願與醫院不同，可在空白欄說明。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%8D%94%E8%AD%B0%E6%9B%B8.jpeg" /></p> <p>依資安法規定，雙方在這個階段還需遵守「限制危害國家資通安全產品」，也就是避免使用特定生產者的產品。「這個規定有3大重點，」許世欣點出，第一是無特殊原因不得採購，第二是不得已採購時，需提供事理並由主管機關審核，最後是採用後，不得與公務網路環境介接。</p> <p><strong><span style="font-size:22px;">設計開發要注重VPN權限、連線設備掃毒，測試需做好弱掃</span></strong></p> <p>接下來進入第4階段的設計與開發階段，這時，依最初的系統防護等級分類和對應的防護措施，廠商應依此繳交「SSDLC採取措施及驗證查核表」，來說明系統設計作法。</p> <p>許世欣也根據這些規範，設計一套SSDLC查核Excel表（如下圖）。表中列出帳號管理的所有措施，再按等級以不同顏色來標註這些措施，如綠色為普、藍色為中、紅色為高，如果系統屬於高級，要必須做到3綠色、藍、紅所標註的措施。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%9F%A5%E6%A0%B8.jpeg" /></p> <p>此外，在系統設計開發階段，醫院也得注意委外廠商的行動裝置和遠距工作，特別是VPN連線權限、隨身碟等裝置的掃毒等。他強調，由於許多攻擊事件都透過VPN引發，為降低風險，北市聯醫自今年7月起，要求廠商必須通過ISO 27001認證，或通過北市聯醫的查核標準，才能申請醫院VPN。甚至，「廠商人員異動也需立即通知醫院，如此才能掌握使用權限，」他提醒。</p> <p>同時，北市聯醫也針對IT和OT設計2套資安檢核表單，來確保廠商的管理作業，以及是否將開發、測試和運作環境區隔開來。在這個階段，要是廠商會用到非自行開發的系統，也需提交軟體授權證明。</p> <p>接下來，進入測試階段時，廠商得做好源碼檢測和弱點掃描。</p> <p><strong><span style="font-size:22px;">用SSDLC表來驗收，系統上線前應繳交緊急應變計畫</span></strong></p> <p>完成測試後，就進入第6階段的驗收。許世欣會用第4階段完成的SSDLC查核表，來核對廠商開發的系統是否符合。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/ssdlc.jpeg" /></p> <p>不過，這份SSDLC表格多半適用於軟體。為顧及後來納入資安法管轄的OT，許世欣還另外設計一套資安封面查核表和醫療儀器管理系統，來整合不同廠商的OT資安檢核。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E7%AE%A1%E7%90%86%E7%B3%BB%E7%B5%B1.jpeg" /></p> <p>他也提醒，在系統上線前，廠商需提交緊急應變計畫，內容包括預防作業、整備作業、依情境描述的應變作業，以及復原作業等4大要點。</p> <p>至於上線後的維運，還有4大資安要求，分別是事件通報、配合應變演練、配合事件調查報告，以及安全性檢測的修補。其中，事件調查報告部分要求廠商在事件發生的15天內，將報告提交給對口單位。</p> <p>在這個階段，因資安法要求醫院監督委外廠商，北市聯醫就挑選2家風險極高的廠商，再加上上級機關臺北市政府的查核項目表，來稽核廠商。這時，廠商需配合準備受稽核文件，並針對缺失來改善。</p> <p>最後，在契約終止階段時，廠商需配合法規規定，來返還、移交文件，並將資料移除設備或報廢。比如，「將X光機等醫療儀器中的暫存資料抹除，如此才算完成，」許世欣說。如此一來，就完成委外服務8階段的資安查核了。</p> </div></div></div>
2021/5/21 00:38作者王若樸https://www.ithome.com.tw/news/144535
Martech月報第5期：Google即將公布新一代隱私安全作法，要靠ML在Cookieless時代維持廣告成效
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞(0416~0520)</span></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Google </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 隱私安全技術 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 第三方cookie </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;"><strong>Google預告月底發布多項隱私安全更新，以因應第三方Cookies消失的廣告需求</strong></span></strong></p> <p>Google在月底（5/27）將舉辦<a href="https://adsonair.withgoogle.com/events/google-marketing-live-2021?utm_medium=referral&utm_source=keyword&utm_campaign=20210513US" target="_blank">Google線上行銷大會</a>，焦點是當前討論度極高的隱私安全技術。Google也預告了幾項作法，其一，去年發布了用戶Cookies廣告同意模式功能（<a href="https://blog.google/products/marketingplatform/360/measure-conversions-while-respecting-user-consent-choices/" target="_blank">Consent Mode</a>），會排除拒絕者的Cookies作為廣告用途；但現在，Google要在同意模式中增加轉化建模功能（conversion modeling），將透過確保隱私的方法來來衡量廣告投放效果，Google指出，這項功能可以恢復用戶不接受Cookies而失去的廣告點擊轉化（ad-click-to-conversion），達到平均70％以上。</p> <p>其二，是去年新版Google Analytics中，增加了ML技術來分析行銷洞察，比如顯示顧客購買的可能性、行銷活動表現的重大改變等。今年，Google則會增加進階ML模型到行為分析報告中，比如在因為Cookies不能使用，而無法取得新行銷活動的完整獲客報告時，將可以透過模型分析來消弭與現實獲客情形的差距，讓廣告主仍可了解顧客在跨裝置、跨網站的消費旅程洞察，來改善行銷。（<a href="https://blog.google/products/ads-commerce/future-proof-measurement-privacy-safe-solutions" target="_blank">詳全文</a>）</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 零售業 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 連鎖超市 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AI應用 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">零售業如何應用AI？美國與英國最大兩家連鎖超市現身說法</span></strong></p> <p>美國最大連鎖超市Kroger首席研發工程師Victoria Uti，與英國最大連鎖超市Tesco首席資料科學家Robert Armstrong，日前在一場活動中分享兩大超市的AI應用。</p> <p>Victoria首先指出，Kroger用AI來精簡員工與顧客體驗，其中兩大重要應用，一是價格最佳化，透過衡量供給與需求，並分析促銷活動和銷售量，針對即時市場變化來訂定企業與顧客雙方都能接受的價格，達成價格最佳化。二是透過各類推薦機制，來節省顧客尋找商品的時間，同時提升他們的購物體驗，比如當顧客進入Kroger.com的官網，會看到頁面輪播的商品項目，Kroger會根據會員資料的消費記錄，自動將顧客慣例購買、正在促銷商品、最近購買商品品項陳列其中，發送個人化折價券，在顧客離開頁面之前，更會主動推播是否有忘記購買的商品。</p> <p>Kroger也用AI，將許多耗費人力的零售作業流程最佳化。一是將物品分類與上架，「每一個物件在分類時，都經歷非常複雜且重複的過程，」為了加快上架時間，Kroger在作業流程中加入多種AI，重複辨識商品名稱、營養標示、成分，自動將商品加入不同的分類。二則是透過對話式AI技術開發Chatbot，當顧客打電話到客服中心，Chatbot就能主動招呼並處理一般性問題，針對COVID-19疫情，還能以Chatbot結合顧客資訊，比如透過年齡、所在地區等條件，來指引顧客至合適的藥局，來施打疫苗。</p> <p>Robert則說明，Tesco在供應鏈管理與智慧商店如何應用AI。他首先提到，成功的零售業者要能預測需求，若能更全面、精確的找出細節，進而了解什麼事情即將發生，企業就能在第一時間快速反應，來排序、分配最需要被執行的任務，「在這個情境下，我們正在檢視AI的可能性。」為此，Tesco近期釋出了一個ML-based的新模型，能夠同時關注超過3,000家商店、超過3,000萬種商品，預測未來21天的供應情形，當發現顧客行為改變時，快速反應來調整庫存，提前預測顧客需求。</p> <p>在智慧商店方面，Robert指出，簡化商店內的例行任務或流程，是AI應用的一大機會，Tesco主要用AI來支持兩大任務，一是確保商店內人員的安全，用感應器偵測店內是否有溼滑危險之處，提醒店員應該清理；同時，在結帳時協助掃瞄辨識商品，加快結帳速度來提升顧客消費體驗。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E5%BF%AB%E7%85%A7%202021-05-20%20%E4%B8%8A%E5%8D%8811_51_50.png" style="width: 700px;" /></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 漸強實驗室 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Treasure Data </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 行銷分析 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">Line官方帳號技術供應商與全球CDP廠商聯手，將Line官方帳號數據納入企業行銷分析一環</span></strong></p> <p>臺灣行銷科技新創漸強實驗室與全球CDP供應商Treasure Data簽訂合作，將漸強實驗室MAAC後臺（Messaging Analytics & Automation Cloud）與Treasure Data CDP（Customer Data Platform），可透過API串接拋轉Line數據資料來進行分析應用。同時購買雙方產品的企業，可以在CDP後臺將Line資料匯入，進行分析後，再匯出到漸強實驗室，透過分析結果來進一步用於行銷推播，將Line數據納入企業行銷分析的一環。</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Martech之父 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 行銷工具管理 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 應用框架 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">Martech之父提出行銷工具應用框架，依據整合目的分為四大類供企業參考</span></strong></p> <p>Martech之父Scott Brinker近期在自己的部落格中指出，隨著Martech相關的應用程式越來越多，企業也採用了更多應用程式，來整合內部不同的行銷或工作流程，若進一步細分，根據這些應用程式整合的目的，又可以分為4個層次，分別是資料整合、工作流整合、UI/UX整合、治理面的整合等，他也用這4面向建立一個行銷科技應用框架，歸納市面上的應用程式，供企業參考。</p> <p>首先是虛擬資料層，是指將不同應用程式的資料統整到一起，這也是最常見的整合方式，比如市面上常見的資料倉儲、資料湖相關工具，或是MDM、CDP、DAM等數據管理平臺，又或是Google Sheets等共享表單，都屬於這個類別；第二是虛擬工作流層，指的是將橫跨各種App之間的工作流自動化的工具，包括市面上的iPaaS（Integration Platform as a Service）、工作流自動化、BPM服務，或是資料流（Data Pipeline）、ETL自動化、RPA工具等。</p> <p>第三是虛擬UI/UX層，指的是在一個App的使用者介面嵌入另一個App的元素，包括共享的協作工具（如Slack、微軟Teams）、共享的資料分析工具、CRM等特定領域平臺等；最後是虛擬治理層，指的是在應用程式生態系中，建立和執行相關規則或標準，包含SaaS管理平臺、隱私和資料治理工具、身份驗證管理工具等。（<a href="https://chiefmartec.com/2021/05/entire-martech-stack-really-one-big-virtual-platform/" target="_blank">詳全文</a>）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/virtual-platform-layer-examples.png" style="width: 1600px;" /></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 蘋果 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> App追蹤透明化政策 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> iOS 14.5 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">蘋果正式上路新增App追蹤透明化政策的iOS 14.5，經調查只有13%用戶同意被追蹤</span></strong></p> <p>蘋果於4月26日<a href="https://www.ithome.com.tw/news/144059" target="_blank">釋出了iOS 14.5</a>，終於採用了可強化使用者隱私的App追蹤透明化（App Tracking Transparency）政策，這項政策原本要隨著去年秋天問世的iOS 14一起出爐，但為了讓開發者有更多的因應時間，才延至iOS 14.5。在啟用這項新政策之後，任何企圖要追蹤使用者的App都必須先取得使用者的許可，不管是要跨App追蹤、跨網站追蹤，或是分享追蹤資料予第三方，都要先徵求用戶同意；同時蘋果也規定，倘若使用者拒絕程式的追蹤，開發者仍應提供一致的程式功能。</p> <p>對此，行動程式分析業者Flurry於iOS 14.5問世的第一天就開始紀錄同意追蹤的用戶比例，顯示截至5月7日，只有13%的App用戶同意被追蹤，相較於過去全面遭到追蹤的100%，可說是天壤之別。蘋果實施追蹤透明化政策之前，絕大多數的程式都是默默地追蹤使用者行為，用來散布目標式廣告，不過現在，除非先取得用戶同意，否則便會因違反蘋果政策而被警告與下架。（<a href="https://www.ithome.com.tw/news/144277" target="_blank">詳全文</a>）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0510-app_track_ios_apple.png" style="width: 700px;" /></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 蘋果 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Google Play </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 安全項目 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">繼蘋果App Store隱私標籤政策之後，Google Play新App政策將強制加入隱私資安章節</span></strong></p> <p>Google本月宣布，Google Play上的App將具備安全章節（Safety Section），以供開發者描述App的隱私聲明與其它安全功能，正式的政策將會在今年第三季出爐，第四季就可於App中嵌入，明年第二季將會強制實施，屆時Google Play上所有的App，包括Google自家的App在內，都必須在安全章節中說明安全及隱私的資訊。這個安全章節的功用，與蘋果App Store去年12月實施的隱私標籤如出一轍，都是為了讓使用者了解App所蒐集的個資與用途。</p> <p>Google要求，開發者必須於安全章節中分享App所蒐集與儲存的資料，像是精確位置、通訊錄、個人資訊、照片/影片或聲音檔案等，也必須說明相關資料的用途，例如是為了滿足App功能或執行個人化服務等。同時，Google也會在安全章節中提供開發者可自行決定是否添增的選項，例如是否加密資料、是否遵循家庭政策、是否需要某些資料才能運作，App的安全項目是否經過獨立的第三方驗證，以及是否提供資料刪除能力等。（<a href="https://www.ithome.com.tw/news/144245" target="_blank">詳全文</a>）</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Google </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AI客服中心 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 即時對話建議 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">Google推出AI客服中心新功能，提供前臺即時對話建議來提昇顧客體驗</span></strong></p> <p>Google近期宣布AI客服中心（Contact Center AI，CCAI）新功能，推出Agent Assist for Chat服務預覽版。Agent Assist for Chat可在客服人員和客戶通話或線上通訊時提供支援，具體功能方面，包含二個主要元件：一是智慧回覆（Smart Reply），可提供對話建議，幫助客服人員更快、更適切和客戶對話，它的建議資料庫不只能集結頂尖客服的回答，也能針對公司品牌風格修改預設題庫，底層的AI模型也會不斷吸收企業資料來重新訓練，發展出更精準的建議內容；其次是知識輔助（Knowledge Assist），可同時搜尋多個應用和資料庫，以便在客服人員講電話時，即時提供對的文件或FAQ建議，縮短客服電話所需時間。（<a href="https://www.ithome.com.tw/news/144223">詳全文</a>）</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> TikTok </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 廣告在地化 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 中小企業行銷平臺 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">TikTok也能成為中小企業的行銷平臺！繼推出企業解決方案滿一年，今年更推新工具將廣告在地化</span></strong></p> <p>TikTok在本月發起為中小企業慶祝的活動，起因是去年五月時，發佈了TikTok For Business平臺，為品牌或廠商提供工具，使其能以TikTok作為行銷管道，來與TikTok社群互動。TikTok指出，過去一年來，許多中小企業因TikTok For Business而受益，尤其減輕了疫情對於中小企業的衝擊，因而發起為期一個月的慶祝活動。同時，TikTok也宣布與全球市場研調公司Nielsen合作發佈新廣告工具，讓企業主能針對指定市場區域（Designated Market Areas），將廣告在地化，來觸及真正重要的消費群體。（<a class="notion-link-token notion-enable-hover" data-reactroot="" data-token-index="1" href="https://newsroom.tiktok.com/en-us/celebrating-small-businesses" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" target="_blank"><span style="border-bottom:0.05em solid;border-color:rgba(55,53,47,0.4);opacity:0.7">詳全文</span></a>）</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 更多Martech動態 </span></strong></span></strong></p> <p><strong>1.Wordpress認為FLoC追蹤機制可能助長歧視，提案從核心預設停用（<a href="https://www.ithome.com.tw/news/143922" target="_blank">詳全文</a>）</strong></p> <p><strong>2.WhatsApp本周即將啟用新用戶條款（<a href="https://www.ithome.com.tw/news/144333" target="_blank">詳全文</a>）</strong></p> <p><strong>3.微軟將完全在歐盟境內處理和儲存歐盟客戶的資料（<a href="https://www.ithome.com.tw/news/144244" target="_blank">詳全文</a>）</strong></p> <p><p></p></p> <p><p></p></p> <p><p></p></p> <p>責任編輯／翁芊儒</p> <p>圖片來源／GTC、Scott Brinker、蘋果</p> <p>資料來源：iThome整理，2021年5月</p> </div></div></div>
2021/5/21 09:59作者翁芊儒https://www.ithome.com.tw/news/144514
Android的5月安全更新已有4個漏洞遭到開採
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google於月初公布了5月的Android安全性公告，修補約50個安全漏洞，不過，本周Google Project Zero的安全研究人員<a href="https://twitter.com/maddiestone/status/1395004346996248586" target="_blank">Maddie Stone</a>周三（5/19）透過Twitter表示，Google已更新了該公告，註明有4個漏洞已經遭到開採，相關漏洞皆存在於GPU中，包含兩個源自高通GPU的CVE-2021-1905與CVE-2021-1906，另外兩個則是Arm Mali GPU中的CVE-2021-28663與CVE-2021-28664。</p> <p class="rtecenter"><a href="https://twitter.com/maddiestone/status/1395004346996248586" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0521-Maddie%20Stone.jpg" style="width: 500px;" /></a></p> <p>Stone直接說這4個漏洞已經被開採，<a href="https://source.android.com/security/bulletin/2021-05-01" target="_blank">更新的Android公告</a>則相對保守，表示相關漏洞可能已受到有限的目標式攻擊。</p> <p><a href="https://www.qualcomm.com/company/product-security/bulletins/may-2021-bulletin" target="_blank">根據高通的說明</a>，CVE-2021-1905屬於釋放後使用漏洞，肇因於無法妥善處理多程序記憶體映射；CVE-2021-1906則是在繪圖未動作時偵測到錯誤狀況，是因無法處理註銷地址的錯誤，而造成新GPU位置分配的失敗。</p> <p><a href="https://developer.arm.com/support/arm-security-updates/mali-gpu-kernel-driver" target="_blank">Arm則說</a>，CVE-2021-28663漏洞出現在其核心驅動程式允許於GPU記憶體的不當操作，未獲特權的使用者可因此而進入釋放後使用場景，進而取得最高權限，或造成資訊揭露。CVE-2021-28664則可把CPU唯讀頁面變成可寫入，允許未獲特權的用戶寫入唯讀記憶體，並取得最高權限、破壞記憶體或是竄改其它程序的記憶體。</p> <p>不管是Google、高通或Arm，皆未公布相關漏洞的開採場景或駭客的開採目的。</p> </div></div></div>
2021/5/21 10:15作者陳曉莉https://www.ithome.com.tw/news/144536
Flutter 2.2加入支付擴充套件強化App行動支付功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google在開發者大會Google I/O發布了最新版<a href="https://medium.com/flutter/announcing-flutter-2-2-at-google-i-o-2021-92f0fcbd7ef9">Flutter 2.2</a>，這是一個跨平臺的開源工具包，用戶可以使用Flutter簡單地開發多種平臺的應用程式。Flutter 2.2帶來許多重要更新，包括透過改進App內購買、支付和廣告等功能，使得Flutter應用程式更容易獲利，而且Flutter 2.2也能夠簡單地連接雲端服務和API，以擴展應用程式功能，另外，Flutter 2.2還提供新的工具和語言功能，減少開發程式錯誤，在提高應用程式效能的同時，減少程式套件大小。</p> <p>Flutter 2.2建立在Flutter 2基礎之上，而Flutter 2則是一個重要的里程碑，使得Flutter應用程式得以跨出行動裝置，在網頁、桌面和嵌入裝置上運作。官方提到，最新的Flutter 2.2更新重點，擺在改進開發體驗，讓開發者能夠提供更可靠且高效能的應用程式。</p> <p>現在Flutter 2.2新專案預設空值安全，針對空值引用例外提供額外的保護，同時也給開發人員在程式碼中，表達非空值類型的方法，而且得利於Dart語言的優點，編譯器現在可以不用在執行時檢查空值，所以也就得以提高應用程式效能。Flutter生態系快速跟上這項更新，目前已經有超過約5,000個套件支援空值安全。</p> <p>這個版本的重要功能改進，還有網頁應用程式也能使用服務工作程式（Service Workers），在後臺進行快取。而在Android應用程式，Flutter則開始支援推延元件（Deferred Component），也就是說開發者所建置的應用程式，能夠在執行時，才下載額外的Dart程式碼和資源，僅在需要的時候才載入這些功能，如此便可大幅減少安裝Apk的大小。</p> <p>而Flutter 2.2針對iOS的更新，則是提供預編譯著色器，這將能解決iOS裝置在第一次執行Flutter應用程式時，所出現的動畫效果降級（Janky）的問題。另外，官方也在DevTools套件中，加入許多新功能，讓開發人員可以掌握應用程式的記憶體分配方式，並提供對第三方工具的支援。</p> <p>Flutter 2.2的新功能更新，官方在這個版本更新的廣告SDK，這個SDK具有空值安全性，並且能夠自動適應橫幅格式。而Flutter 2.2新加入的支付擴充套件，這個套件是與Google Pay團隊合作開發，可以讓終端使用者在iOS和Android上購買實體物品並付款，同時官方也更新App內購買功能，讓終端使用者可以更方便地在應用程式中購買和訂閱商品。</p> <p>Flutter受到廣泛採用，除了Toyota早前宣布在車輛資訊娛樂系統使用Flutter之外，Canonical也在Ubuntu整合Flutter，並且提供Wayland支援。Google也提到，三星和Sony也正將Flutter整合到自家生態系中。Adobe還也發布XD to Flutter套件，讓Adobe XD設計人員以更快的迭代方式工作，而微軟也持續與Flutter團隊合作，除了開發者能以Flutter在可摺疊裝置上建構應用程式外，微軟也已在Windows 10上的UWP應用程式提供Flutter支援。</p> </div></div></div>
2021/5/21 10:21作者李建興https://www.ithome.com.tw/news/144525
推特分析自家圖片剪裁演算法確實存在偏差
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>用戶在去年9月的時候，抗議推特的圖片縮圖剪裁演算法存在偏差，由於當時正是BLM（Black Lives Matter，黑人的命也是命）運動熱烈進行之時，這個<a href="https://www.ithome.com.tw/news/140121" target="_blank">事件在當時引起軒然大波</a>，官方也立即跳出來回應用戶，承諾他們會進一步研究，並且將研究發現開源。</p> <p>而現在<a href="https://blog.twitter.com/engineering/en_us/topics/insights/2021/sharing-learnings-about-our-image-cropping-algorithm.html" target="_blank">推特的研究結果出爐</a>，證明自家圖片剪裁演算法的確存在部分偏差，而官方表示將會停止自動剪裁圖片，透過完整顯示標準長寬比的圖片消除偏差問題，並讓用戶在編輯推文時，就可以預覽圖片呈現方式。</p> <p>推特從2018年的時候就開始使用突出顯示演算法剪裁圖片，這樣做的目的是要讓時間軸中的照片大小一致，並且讓用戶能夠一次看到更多的推文。這個演算法的想法，是預測使用者希望第一眼觀看到的圖片部分，並且將圖片剪裁成易於查看的大小。</p> <p>推特透過模仿人眼觀看圖片的方法，來訓練這個突出顯示模型，藉由人眼追蹤資料來訓練模型，教模型學習大多數人們認為重要的事物，使得該模型可以預測圖像中每一個區域的分數，並把得分數最高的地方當做剪裁的中心。</p> <p class="rtecenter"><img alt="" src="https://cdn.cms-twdigitalassets.com/content/dam/blog-twitter/engineering/en_us/insights/2021/imagecropping/newimagecropanimations.gif" style="width: 512px;" /></p> <p>使用者指出剪裁模型可能存在三項缺點，第一項，模型在剪裁圖像時，傾向選擇白人而非黑人，並且圖片中傾向選擇女性而非男性，第二項，用戶反應模型存在男性凝視，也就是圖像剪裁會傾向從男異性戀者的角度來選擇圖片剪裁特徵，像是模型可能選擇女性的胸部或是腿部作為突出的特徵。第三項缺點，則是演算法決策讓用戶無法選擇圖片的呈現方式，因此傷害了呈現自由。</p> <p>推特研究人員針對突出顯示演算法，進行性別與種族偏見實驗，的確發現了模型存在一些問題，在比較男性和女性時，模型偏好女性的機率高出8％，黑人與白人相比時白人高出4％，黑人女性和白人女性相比時，模型偏好白人女性機率高出7％，而黑人男性與白人男性相比，白人男性則多出2％。</p> <p>研究人員也針對模型可能存在的男性凝視進行研究，但是沒有找到任何客觀證據，官方提到，演算法絕大多數都是以男性和女性的臉部作為剪裁目標，但是約每100張圖片，會有3張剪裁區域在頭部範圍之外，但是當圖像剪裁非人物頭部時，通常是為了剪裁非身體的部分，像是運動服上的數字。</p> <p>而研究人員提到，即便對凸顯演算法進行調整，使模型在性別和種族完全平等，但仍然損害了使用者按自己意願呈現內容的自由，更遑論凸顯演算法還可能存在其他潛在危害，包括對文化細微差異不敏感等問題。</p> <p>現在推特更新圖片剪裁方法，以降低對機器學習的依賴，推特表示，並非所有平臺上的內容都適合使用演算法，剪裁圖像最好的方式就是讓使用者自己決定。推特從3月開始，就在iOS和Android上測試能夠完整顯示標準長寬比照片的新方法，這樣便無需使用演算法剪裁圖片，也能讓用戶更好地控制圖像外觀，而更新也包括使用者在推文編輯區域的預覽，推文作者將可以清楚知道推文發布的外觀。</p> </div></div></div>
2021/5/21 10:24作者李建興https://www.ithome.com.tw/news/144526
衛福部視訊診療再鬆綁！特定慢性病患者還能電話診療
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在疫情嚴峻期間，需定期回診的慢性病人不必擔心踏進醫院了！衛福部健保署今日宣布，推動全國視訊診療指定院所開設「視訊診療門診」，要讓慢性病患者透過視訊看診。同時，健保署也開放「電話問診」，要讓經醫師評估病情穩定的複診慢性病患，也能透過電話看診，減少外出的染疫風險。</p> <p>健保署表示，慢性病患者和長者是COVID-19感染重症的高風險族群，應減少出門。但這些族群為領取第2、3次慢性用藥，必須前往醫院或藥局等公共場所，就會增加暴露風險。</p> <p>為降低這個風險，健保署宣布，持慢性病連續處方箋的病人，可在住家附近或習慣就醫的醫療院所，利用「視訊診療門診」來預約看診、拿取慢性病連續處方箋。而經醫師評估病情穩定的複診病人，也可採用電話問診。健保署指出，這項措施自即日起至5月28日止。</p> <p><strong><span style="font-size:22px;">視訊看診5步驟完成</span></strong></p> <p>在操作上，可分為5個步驟。首先，有就醫需求的民眾可先從健保署<a href="https://www.nhi.gov.tw/Content_List.aspx?n=1482911120B73697&topn=787128DAD5F71B1A">官網</a>中，查詢住家附近是否有「視訊診療指定院所」，接著透過電話向院所預約看診時間，並約定看診共同使用的視訊App。</p> <p>再來，第3步就是與院所聯繫、進行視訊診療。診療完成後，可由家屬攜帶健保卡，至看診院所特定窗口（如得來速窗口）過卡、繳費、領藥，並領取第2、3次慢性病連續處方箋，或經醫療院所同意後，由藥師送藥到府。</p> <p>最後，後續慢性病連續處方箋第2、3次領藥時，家屬或代理人可持健保卡和處方箋，自行選擇到原看診院所或社區藥局領藥即可。</p> <p>與此同時，健保署也開放雲端醫療資訊系統的「因應天災及緊急醫療查詢作業」，來讓醫師查詢民眾的就醫資訊，來評估視訊診療病人的餘藥量，以及病情是否穩定。如果是複診病人，醫師可採電話問診並錄音，來開立慢性病連續處方箋。健保署也提供<a href="https://www.youtube.com/watch?v=ELFBvuCQyLo&ab_channel=%E5%81%A5%E4%BF%9D%E7%BD%B2%E5%8D%97%E5%8D%80%E6%A5%AD%E5%8B%99%E7%B5%84">影片教學</a>，供民眾和醫師參考。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%8A%95%E5%BD%B1%E7%89%871.jpeg" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%8A%95%E5%BD%B1%E7%89%872.jpeg" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%8A%95%E5%BD%B1%E7%89%873.jpeg" /></p> <p> </p> <p> </p> </div></div></div>
2021/5/20 21:11作者王若樸https://www.ithome.com.tw/news/144527
為了證明握有App Store控制權是重要的，蘋果不惜出賣Mac
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>遊戲業者Epic Games控告蘋果的App Store壟斷市場，危及市場競爭，並建議蘋果其實只要在iPhone上沿用Mac的程式安裝政策即可，結果負責軟體工程的蘋果副總裁Craig Federighi在證人席上表示，蘋果成功地建立了更安全的iPhone環境，這一年來只有3款惡意程式感染了iPhone，Mac上卻有130款，Mac的惡意程式數量令人難以接受。</p> <p>蘋果對iPhone與Mac有不同的程式安裝政策，iPhone用戶只能透過App Store安裝程式，也只能採用蘋果的支付機制購買程式或服務，但Mac用戶卻可自外部下載或購買各種程式，在《要塞英雄》（Fortnite）遊戲程式中嵌入自家支付機制而被蘋果下架的Epic Games，因而控告蘋果濫用其市場地位，危害市場競爭。</p> <p>Epic Games企圖迫使蘋果放寬對App Store的限制，而蘋果則不斷強調對App Store的控制是為了保障用戶的安全，還不惜出賣Mac。</p> <p>根據<a href="https://www.cnet.com/news/apple-cites-significant-malware-on-mac-while-defending-ios-app-store-in-fortnite-trial/" target="_blank">CNet</a>的報導，Federighi宣稱這一年來Mac上就出現了130款惡意程式，其中有一款感染了逾30萬台Mac電腦。Federighi說，Mac雖然仍比PC安全，但其安全性仍遠不如iPhone、iPad及其它蘋果裝置，Mac上的惡意程式狀況是蘋果無法接受的。</p> <p><a href="https://www.theverge.com/2021/5/19/22444353/mac-malware-not-acceptable-craig-federighi-apple-epic" target="_blank">The Verge</a>則報導，Federighi認為如果要把Mac的安全機制延伸到iOS生態體系上，那麼整體情況將比現在的Mac更惡劣，這是因為Mac用戶所下載的程式數量不如iOS用戶，假使iOS也採用了與Mac一致的程式安全政策，可能會出現不可收拾的後果。</p> </div></div></div>
2021/5/20 17:33作者陳曉莉https://www.ithome.com.tw/news/144524
【臺灣資安大會直擊】面對層出不窮的勒索軟體攻擊，臺灣也有高科技半導體公司導入NIST CSF框架，從建立韌性的資安體質…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>過去一年來，臺灣在內等全球勒索軟體攻擊事件頻傳，特別是鎖定高科技製造業為主的勒索軟體攻擊，這也帶來了新的資安挑戰。在資安威脅持續升高的局勢下，高科技公司內部資安控管該如何做才夠安全，能夠抵抗這類難纏病毒攻擊的威脅，這也成了許多公司資安長或CIO的當務之急，列為優先想要解決的問題。</p> <p>如果從風險管理角度來看，韋萊韜悅臺灣分公司企業風險與保險經紀資深協理吳明璋就表示，面對駭客威脅無所不再，企業除了持續提高資安防護與應變反應能力之外，在資安標準採用上也須與時俱進，除了大家熟知的ISO 27001，他認為企業更可從導入當紅的CSF網路安全框架（Cybersecurity Framework）開始做起，逐步建立並強化自身的數位韌性體質，來因應後疫資安新常態。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/PXL_20210505_065942913.jpg" style="width: 600px; height: 378px;" /></p> <p>CSF框架是什麼？它其實是由美國國家標準技術研究所（NIST）幾年前所提出的一個網路安全框架，最早是在美國聯邦政府各部門實施，但因為主打容易上手，且又不像ISO 27001標準，得經過第三方驗證，企業單靠自己就能執行CSF框架，因此不只美國政府，就連企業也大力採用，將它做為資安風險管理標準與指引的參考，而且不只美國，連歐亞各國都有政府機關或大型企業都先後引進，甚至連中小企業都能用。</p> <p>目前導入NIST CSF的大型企業也不少，代表性的企業包括有英特爾、波音公司、微軟、AWS，以及HP等。</p> <p>隨著NIST CSF在國外越來越火紅，如今這股風潮也開始吹到臺灣。像是國內封測大廠日月光投控，就藉由導入NIST CSF作為資安成熟度評估機制，來推動公司全面的網路安全規畫，並持續改善精進。不只封測大廠，近來也有國內面板廠有意導入，通過該框架，來評估其供應鏈好壞，而且不只半導體業，從企業官網或年報上揭露來看，也有一些企業目前正在推動，或是開始規畫，未來有意導入，包括了華碩、中華電信、台達化學工業，涵蓋電腦製造業、電信業、化工產業等。</p> <p>從整個框架來看，CSF框架涵蓋了資安的五大面向，包括識別、保護、偵測、回應與復原，企業可以通過該框架，來建立資安風險管理的生命周期，並透過對於關鍵服務的衝擊影響，採用不同風險處置的方式，如減損、移轉、規避與接受等，同時根據風險容忍度，作為資源投入優先順序的參考。</p> <p>針對NIST CSF框架的描述，吳明璋自己形容更貼切：「CSF框架就好比是中醫，從望聞問切做起，找出病患更深層病根再加以治本，相較之下，ISO 27001標準則比較像西藥，以目標導向的模式，針對症狀改善。」</p> <p>他認為，CSF框架對臺灣企業將帶來衝擊和新機會，一來是開始有國外企業強調CSF管理框架重要性，甚至把它變成合約條款，要求合作供應商配合，否則之後可能就拿不到訂單。二來，在全球朝向可信賴的供應鏈的發展趨勢下，未來對資安的要求會不段增加，因此，這樣一個新資安框架的採用，也變得越來越重要，甚至有些超前部署的領先企業，還將它當作競爭力的展現，能夠讓自家產品或公司更具國際競爭力。</p> <p>從資安產業角度來看，吳明璋自己也相當看好NIST CSF將帶來新的機會，除了讓資安業者能將自己資安產品或解決方案，與CSF框架做對照，方便企業來選用，從整體臺灣資安產業發展，他也認為，通過CSF框架將有機會能夠串連整個資安產業服務鏈，他也說，現在產業正慢慢往這個趨勢靠攏，舉例來說，紅隊演練使用的MITRE 的ATT&CK資安攻防框架，就開始對應到CSF管理框架等。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/PXL_20210506_084834326.jpg" style="width: 600px; height: 373px;" /></p> <p>CSF框架的出現，甚至也影響到後來其他產業資安標準的建立，像是由台積電在2018年主推的半導體資安標準草案SEMI Doc 6506 ，就有納入CSF框架的精神，可以對應到其定義的保護和檢測兩大資安面向，例如傳統老舊機臺汰換或定期更新就是屬於保護面向。日誌記錄的管理與追蹤則是檢測面向。除了參考CSF框架，Doc 6506本身還參考其它新的國際資安標準，如工控資安管理標準IEC 62443 CIS Controls框架等。</p> <p>他也補充提到，目前該草案新進展，在歷經兩年多，來回提交修改，累計回覆多達上百個問題後，最新修正版本於5月中已經向國際SEMI協會提交，預計6月投票，他說，未來如果這個版本通過，成為正式標準後，企業就可依新標準在採購合約上納入資安要求。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/PXL_20210505_070546079.jpg" style="width: 600px; height: 346px;" /></p> <p>儘管，NIST CSF框架有諸多好處，但企業實施遭遇到的阻力也不少。吳明璋根據實務經驗提出新標準實施的3個挑戰，首先是以取得證書為目的。他表示，目前國內業者心態，還是為證書導入居多，這也影響到企業對於CSF框架導入的意願，因為，CSF框架雖然可以透過第三方報告或稽核，但目前並沒有國際認證組織核發的證書，因此，倘若在法規沒強制、客戶沒有要求，亦無管理需求等急迫情況下，企業推動的步伐緩慢，或是就算實施，也不是全面推行，只有在少數部門實施，如IT或資安部門等。</p> <p>IT重硬體不重軟體則是第二個挑戰。他表示，CSF框架或新的資安標準，不只硬體，也開始強調軟體開發流程需要納入資安考量，但對於長期IT委外的企業來說，也是一大挑戰。甚至一些關鍵性設備，都掌握在其他設備廠商手上，一旦發生資安問題，廠商未釋出更新之前，只能被動等待更新。這是第三個挑戰。除此之外，CSF框架實務執行上，也容易造成執行單位和稽核方的困擾，例如由於CSF框架本身不具強制性，企業可以從框架108項中擷取當中重點式的作法，再來調整，但這也會影響到稽核評量的方式，甚至即使是同一家公司不同單位或部門，對於框架的適用情況亦有所不同。</p> <p>另從資安成熟度評量工具來看，他也觀察到，新的NIST v1.1版本中改以分級（Tier）的方式，作為企業資安成熟度的評估機制，不再使用成熟度模型評分標準。不過，目前業界普遍將它視為一種資安成熟度評估工具。</p> <p>他也提到，國外企業目前導入CSF框架的觀念是，第一年是企業內部自己先導入，往後二、三年才逐漸擴大到上下游供應鏈，他說，這是一個長期發展的過程，而非是短期內為取得證書而做。</p> <p>對於臺灣該如何推動CSF框架，他認為，CSF框架在臺灣真正落地一大關鍵，在於中文化，他指出，不像ISO 27001有自己的中文版本，NIST CSF框架的內容至今目前還沒有中文版，僅有英文版，因此較不易企業使用。其次，不只企業採用，就連政府未來也可以在資安成熟度的評估機制上，將NIST CSF框架納入，作為未來評估資安成熟度的新作法。</p> </div></div></div>
2021/5/20 10:19作者余至浩https://www.ithome.com.tw/news/144512
Google：在2029年前製造出實用的量子電腦
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google在周二Google I/O開發者大會宣布<a href="https://www.ithome.com.tw/news/144489" target="_blank">Android 12</a>、合併三星Tizen的WearOS等產品之際，<a href="https://blog.google/technology/ai/unveiling-our-new-quantum-ai-campus/" target="_blank">也公布</a>將在2029年開發出有商用價值，可助節能減碳及精準醫療的量子電腦。</p> <p>Google於昨日展示位於加州聖塔芭芭拉市的新量子AI園區，內有Google第一座量子資料中心、量子硬體研究實驗室，以及量子處理器構建設施。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0520-google%20quantum-600.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;">圖片來源／Google</span></p> <p>Google量子AI首席工程師Erik Lucero指出，為了打造效率更高的電池、製造肥料而不排碳、或是產生精準療法，必須要了解分子設計，這都需要量子運算能力支援模擬。</p> <p>以Google現有成果而言，<a href="https://www.ithome.com.tw/news/133790" target="_blank">2019年該公司宣布</a>54量子位元處理器Sycamore，它200秒內所執行的運算量，可抵得上全球最快超級電腦執行1萬年，雖然IBM後來反駁，以其超級電腦只要2.5天就趕上Sycamore。Lucero指出，相較於現有量子運算系統規不超過100物理量子位元，目前Google正在打造一台體積約為一個房間大小、經過糾錯（error-corrected），並且內有100萬物理量子位元同時運作的量子電腦。</p> <p>Google的目標並非短期能一蹴可幾。為此，Google在其量子AI園區中將打造全球第一顆量子電晶體（quantum transistor），以2顆經糾錯的邏輯量子位元（logical qubit）執行量子運算，並探究以數百到數千顆量子位元疊加成量子電腦，這就需要好幾年。Google的理想是透過量子糾錯技術，以1000物理量子位元編碼成1個可長久存在、幾近完美的邏輯量子位元。長期而言，Google估計要有1000邏輯量子位元，也就是100萬物理量子位元，才能執行解決複雜問題的運算需求。Lucero表示，Google計畫在10年內，也就是2029年之前達到目標。</p> <p>Google是眾多投入量子位元系統開發的大廠之一。<a href="https://www.ithome.com.tw/news/140037" target="_blank">IBM目標</a>是在2023年，打造出超過1,000量子位元，稱為IBM Quantum Condor的處理器，藍色巨人長期也規畫要打造100萬量子位元的系統。</p> </div></div></div>
2021/5/20 16:54作者林妍溱https://www.ithome.com.tw/news/144522