[問卦] 關務署說關貿EZway通過的資安ISO含金量

[zhanren ()]

「財政部關務署長彭英偉3日表示，考量民眾個資保護，經查EZ Way平台已通過ISO 27001資安國際認證、及ISO 27018個資管理系統標準認證，並自建資安監控中心（SOC）。」

本45歲無業自耕農提醒　彭署長：
資安事故發生時已經取得ISO/IEC 27001或 ISO/IEC 27018的歷史事件如下，請務必汲取經驗。


和雲行動服務（iRent）
發生日期2023 年 2 月
和雲行動服務發現部分客戶個人資料可於網際網路存取，經調查為雲端儲存服務設定不當，導致姓名、身分證字號、電話、電子郵件、駕照等會員資料遭外洩。


中華航空（China Airlines）
發生日期2023 年 2 月
駭客於暗網公開販售華夏會員資料，內容包含會員姓名、會員編號、電子郵件、電話等個資。


KKTIX（KKBOX 集團）
發生日期2020 年 6 月
KKTIX 偵測到未經授權存取，部分會員資料（姓名、Email、電話等）遭第三方取得。


PChome／Pi 錢包
發生日期2026 年 7 月
駭客宣稱入侵 PChome 集團旗下 Pi 錢包系統，取得大量會員個資及部分內部文件，並於駭客論壇公開販售。


酷澎（Coupang Taiwan）
發生日期2025 年
韓國 Coupang 集團發生大規模個資外洩事件，影響包含臺灣在內多個市場，官方確認約 20 萬名臺灣會員帳戶受影響。


ISO/IEC 27001 驗證的是資訊安全管理制度（ISMS）是否建立並持續運作，而非保證系統不會遭駭或個資絕不外洩。即使企業已通過認證，仍可能因技術漏洞、雲端組態錯誤、供應鏈攻擊、零時差漏洞或人為疏失而發生重大資安事件。


即使雲端服務通過 ISO/IEC 27018，仍無法完全避免資安事件。

Snowflake 雲端資料平台
發生日期2024 年 4～6 月
駭客透過竊取企業使用者帳號密碼（部分與 Infostealer 惡意程式有關），未經授權登入多個 Snowflake 客戶租戶環境，造成大量資料被下載。受影響企業包含 Ticketmaster、Santander、AT&T 等，外洩資料涉及會員資料、交易資料及企業內部資訊。


Microsoft Azure / Microsoft 365
發生日期2023 年 5 月～2024 年 1 月
2023 年 Storm-0558 攻擊者取得 Microsoft 帳戶簽章金鑰，偽造驗證 Token，入侵美國政府機關及企業 Exchange Online 電子郵件帳戶，造成部分敏感郵件資料外洩。
2024 年 Midnight Blizzard（Nobelium）攻擊再次入侵 Microsoft 內部系統，取得部分企業郵件及文件資料。Microsoft 後續進行金鑰更新、架構改善及安全強化。


Okta 身分驗證平台
發生日期2023 年 10 月
攻擊者利用竊取的 Okta 工程師帳號權限，入侵 Okta 客戶支援管理系統（Support Case Management System），
取得部分客戶上傳的 HAR 檔案。部分 HAR 檔案包含 Session Token、Cookie 及客戶環境資訊，影響 1Password、Cloudflare、BeyondTrust 等客戶。Okta 後續要求重設憑證並強化支援系統安全控制。


中華電信 / 是方電訊
發生日期2024 年初
暗網論壇出現駭客宣稱販售中華電信相關資料，包含大量內部文件、政府機關相關資料及疑似個資。

--
※ 發信站: 批踢踢實業坊(ptt.cc), 來自: 111.82.41.43 (臺灣)
※ 文章網址: https://www.ptt.cc/bbs/Gossiping/M.1785807538.A.FB2.html
→ badbadook: 有圖利ㄇ
推 Lutrinae: 青鳥不喜歡這篇
推 preisner: 通過ISO認證就代表永遠不會出問題?????
推 PerFrancis: 沒事吵這個幹嘛 吃飽太閒
推 hellophoenix: 通過認證表示東西沒隨便亂放 符合
→ hellophoenix: 業界標準
推 thesaurus: 過ISO的絕大部分都是當下把資料做好就
→ thesaurus: 行，這才是業內的實際情況
推 andy78714: 那個署長滿口幹話 騙不懂的人
→ andy78714: 但說實在的 這東西利大於弊 就只是要加
→ andy78714: 大監管而已
→ yesonline: 顧問輔導就有ISO認證
推 lastphil: ISO就交作業而已 毫無參考價值
→ ketrobo: (對駭客的)含金量
噓 adenkk: 美國財政部都能遭駭客了
→ adenkk: ISO認證只能防一般人, 防民營漏洞而已
推 sunland: ISO是在做從有漏洞到補漏洞的過程，並不
→ joe777: ISO 認證，只是民間的付錢就有 詐騙黨
→ sunland: 是保證做了ISO就不會有漏洞
→ yunf: 我相信問題他們不是不知道 但是點麵線你們也
→ yunf: 看到了
→ yunf: 都砸了超過200億還是這樣
→ yunf: 現在更麻煩的是在你更新的過程中會不會被埋
→ yunf: 下新的洞？馬上要20272030
→ yunf: 當初桃機放通緝犯脫逃也是新系統你們都忘了
→ yunf: 嗎？
→ wcm: Ido只是標準化程序，查驗時是有，但實際上有
→ wcm: 沒有就不知道了，我有待過那種申請iso擺出機
→ wcm: 器來應付查驗，實際上生產是人工的，因爲機
→ wcm: 器太慢了
推 mrshort: 問a答b喔？
→ yunf: https://tinyurl.com/2cwh8fj4 邊境把關
→ yunf: 把關很重要
推 carsly: 因為ezway買淘寶要實名制 資料都給中共了
→ carsly: 有ISO又怎麼樣
噓 offstage: 世界上本來就沒有任何「保證沒有任何漏
→ offstage: 洞」的認證，就算，SOC report也不保證
→ offstage: 企業內控毫無為題。
→ offstage: 有ISO認證不保證不會出事，但是連ISO認
→ offstage: 證都拿不到的，我直接認定他們沒有任何
→ offstage: 控管
→ offstage: 你可以把你這篇文章換成職業駕照或者醫
→ offstage: 師執照，意思一樣
→ offstage: 有醫師執照就保證這個醫師不會醫死人嗎
→ offstage: ？如果兩個醫生給你選，你要選有執照還
→ offstage: 是沒有執照的？
→ offstage: 換成你的大學或者碩士文憑也一樣，你保
→ offstage: 證有文憑的人做事就一定正確嗎？但是當
→ offstage: 你招聘新人或者看政府派任部長時，沒有
→ offstage: 大學學歷的部長你派得下去？
→ offstage: ISO含金量當然不高，所以沒有ISO認證的
→ offstage: 機構，代表其水準很低。
→ offstage: 就跟大學文憑一樣的東西。
噓 return517: 青鳥腦容量不夠看長文，請縮到一個字。
推 observer0117: 其實以前海外購物不用提供身分證
→ observer0117: 用了ezway之後反而每個平台都要索取
→ observer0117: 身份證字號，不管資安如何，這個做
→ observer0117: 法已經讓身份證、電話、姓名地址流
→ observer0117: 向全世界了，還要什麼資安
→ leterg: 拿ISO就只紙上規範而已，所以ISO有說不能
→ leterg: 拿ISO宣傳
→ loking: 27018是口誤吧   感覺不是27701就是27017