威脅、漏洞與風險之間有何分別？

不論是討論網站還是家居安全問題，理解準確的安全術語都能助您更好地掌握所保護對象的安全狀態。本文將介紹 IT 安全領域的常用術語，以及它們之間的實際區別。

但首先，我們需要定義一個與這些術語搭配使用、十分重要的概念。

資產：您需要保護的對象

幾乎在所有場景下，資產都是具備正面價值的事物，通常有實際價值。例如金錢就是一種資產。在羅列資產與負債時，資產指所有具備價值的事物。

從廣義而言，資產可以是人員、財產或資訊。就 Web 安全場景來說，我們此處所指的資產是您的網站，也包括您的線上聲譽，或是客戶資訊、財務記錄等敏感數據。

任何需要保護的敏感資訊都是資產。

威脅：可損毀或破壞資產的因素

如果說資產是您試圖保護的對象，那麼威脅就是您需要防範的對象。

我們以私人住宅為例說明這些概念：您的住宅是資產，入屋盜竊者就是一種威脅，甚至竊賊可能使用的撬鎖工具等也屬於威脅範疇。若未加防範，這些潛在威脅可能對您的住宅造成損害。

在線上場景中，我們將您的網站視為資產，針對網站的安全威脅包括黑客，以及黑客可能使用的工具，例如一段惡意代碼（如惡意軟件）可被植入到網站中。這類代碼可以侵入您的網站，植入病毒或是透過攻擊導致您的網站癱瘓。

威脅的類型

威脅可分為自然威脅、意外威脅及故意威脅三類：

• 自然威脅指超出您控制範圍、無法預測的威脅，通常是龍捲風、洪水、颶風、山火等自然災害及危險事件。
• 非故意威脅指並非出於惡意，但會令您的資訊安全陷於風險的行為，這類威脅一般源自人為失誤。
• 故意威脅指由威脅行為者故意實施、會危害您的資訊系統的行為。

如何做好防範準備

防範故意網絡威脅的最佳方法，是主動了解這類威脅。緊貼網絡攻擊、數據泄露的最新動態，以及網絡犯罪分子或黑客的作案手法，是非常重要的。常見的威脅類型包括：DDoS（分散式拒絕服務）, 網絡釣魚, SQL 注入, 中間人攻擊（MitM），以及惡意軟件.

漏洞：防護體系中的弱點或缺口

威脅能夠對您的資產造成損害的唯一前提，是存在可供該威脅利用、尚未修復的漏洞。

沿用住宅的例子，漏洞可以是依賴電力運作的安防系統：如果沒有後備電池，竊賊可以截斷電源，繼而未經授權隨意進入住宅；另一個漏洞可以簡單到一扇沒有上鎖的窗戶。任何可供竊賊利用的問題都屬於安全漏洞。

同理，您的網站也可能存在可供黑客利用的漏洞。未經更新、缺乏維護的舊程式碼或外掛程式，危險性相當於住宅中一扇沒鎖的門。如果您不定期更新網站，就等於將漏洞完全暴露在黑客面前，讓對方可以輕易入侵。

常見漏洞及管理

如上所述，舊程式碼或外掛程式經常被威脅行為者利用。定期更新作業系統及應用程式，以消除所有未修補的安全漏洞十分重要。此外，您的IT安全團隊應確保所有數據均已加密，且不存在軟件配置錯誤或缺陷。

主動漏洞管理是網絡安全工作的核心。您的團隊必須定期進行漏洞評估及掃描。此外，您亦應確保自身的網絡安全策略符合相關標準（ISO 27001），制定應急預案，並維持嚴格的存取控制機制。

風險：資產、威脅與漏洞的交集

風險本身是威脅利用漏洞竊取或損害資產所產生的結果，即：資產 + 威脅 + 漏洞 = 風險。

理解這三個獨立的概念，有助您準確判斷自身網站的實際安全狀況。

黑客等威脅可能客觀存在，但如果您的系統不存在漏洞，風險水平就會非常低。

您的網站可能存在漏洞，但如果沒有對應的威脅，風險同樣很低（不過現實中這種情況幾乎不可能出現，因為網絡上的黑客活動十分普遍）。

網絡安全風險管理與評估

持續的風險管理對所有機構都至關重要。有關流程包括定期進行安全風險評估（SRA），並按評估結果按需規劃、落實風險處置方案。

安全風險評估是對機構的架構、技術及流程作出的評價，用於確認是否已部署必要的安全措施，以保護您的資產。

為您的企業提供安全防護

在Web安全領域，您的目標是堵塞所有漏洞，保障資產安全。實現這一目標的最佳方案是採用SiteLock web security platform 方案，該方案會每日掃描您的網站，偵測潛在漏洞，並在威脅利用該等漏洞前完成修復與堵塞。

另一項重要的網絡安全措施是確保您的網站部署SSL證書；您可了解Sectigo如何協助管理企業的證書生命週期.