想像你的資訊就像你的私房錢 💰
1. 機密性 (Confidentiality) 🤫
目標： 你的私房錢，只有你知道放在哪、是多少錢。不讓不該知道的人看到。
>防止未經授權的存取和洩露資訊。確保只有被授權的個人、實體或流程才能查看或使用敏感資訊。
- 為什麼重要？
- 保護隱私： 你不希望別人知道你的存款數字或秘密。
- 保護公司機密： 公司也不希望對手知道他們的客戶名單或新產品計畫。
>維護個人隱私、保護商業機密、遵守法律法規 (例如資料保護法)。
- 怎麼做到？
- 上鎖 🔒 (加密)： 你的錢藏在保險箱裡，只有你有鑰匙。就算別人拿到保險箱，沒鑰匙也打不開。
- 例子： 你用 LINE 傳訊息，LINE 會自動加密，所以中間的人偷看也只會看到一堆亂碼。
- 管制進出 (存取控制)： 你的錢放在只有你能進出的房間裡。或是你把房間的鑰匙只給信任的人。
- 例子： 登入網站要輸入帳號密碼。銀行 App 要用指紋或臉部辨識才能開。
- 誰能知道誰能用 (資訊分類)： 你會把錢分成「買菜錢」、「私房錢」、「緊急預備金」，然後用不同的方式保護。
- 例子： 公司會把「公開資訊」、「內部文件」、「最高機密」分級，最高機密的檔案只有少數高層能看。
- 防止錢流出去 (資料遺失防護 DLP)： 確保你的錢不會不小心從口袋掉出去。
- 例子： 公司系統偵測到有人想把機密文件透過 Email 寄給外部人士時，會自動阻擋。
- 存取控制 (Access Control): 實施嚴格的身份驗證 (Authentication，驗證你是誰，例如使用密碼、生物辨識) 和授權 (Authorization，驗證你是否有權限存取特定資源，例如檔案權限)。
- 加密 (Encryption): 將資料轉換成密文，只有擁有正確金鑰的人才能解密。這適用於儲存中的資料 (Data at Rest，例如硬碟加密) 和傳輸中的資料 (Data in Transit，例如 HTTPS)。
- 資料遺失防護 (Data Loss Prevention, DLP): 監控和防止敏感資訊離開組織的控制範圍，例如防止員工透過電子郵件或 USB 隨身碟洩露機密文件。
- 物理安全 (Physical Security): 限制對存放敏感資訊的物理場所 (例如資料中心、辦公室) 的存取。
- 背景調查 (Background Checks): 對於需要存取敏感資訊的員工進行背景調查，降低內部威脅的風險。
- 資訊分類 (Data Classification): 將資訊根據其敏感程度進行分類 (例如公開、內部、機密、高度機密)，並根據分類結果採取相應的保護措施。
----------------------------------------------------------------------------------------------------
2. 完整性 (Integrity) ✅
目標： 你的私房錢，數目是準確的，沒有被偷改、沒有被破損。確保錢的數量跟來源都是對的。
>維護資訊的準確性、完整性和可靠性，防止未經授權的修改、破壞或竄改。確保資訊在儲存、傳輸和處理過程中保持其原始狀態。
- 為什麼重要？
- 做對決定： 如果數字錯了，你可能會買錯東西或做出錯誤判斷。
- 證明清白： 確保交易紀錄沒有被竄改。
>確保決策的正確性、維護資料的可靠性、符合法規要求 (例如財務報告的準確性)。
- 怎麼做到？
- 核對清單 (校驗和/雜湊)： 你點完鈔票會數一數，看看數字對不對。或用特殊的記號確保鈔票是真的。
- 例子： 下載檔案後，會比對校驗碼 (Checksum)，如果數字一樣，就表示檔案在傳輸過程中沒有被動手腳。
- 留紀錄 (版本控制/稽核追蹤)： 你的帳本上會詳細記下每筆錢的進出和原因，而且不能隨意塗改。
- 例子： Google 文件會自動記錄每一次修改，你可以看到誰在什麼時候動了哪段文字。
- 數位簽名 (Digital Signatures)： 就像你簽收包裹一樣，證明包裹的確是你本人收的，而且沒被拆過。
- 例子： 下載政府文件，會附上數位簽章，證明這是政府發的，而且內容沒被竄改過。
- 限制修改 (存取控制)： 只有你和授權的人能動你的錢。
- 例子： 只有財務部的人能修改公司的帳務資料。
實現完整性的常見方法：
- 存取控制 (Access Control): 限制只有授權人員才能修改資料。
- 版本控制 (Version Control): 追蹤文件的變更歷史，方便回溯和審計。
- 校驗和 (Checksums) 和雜湊函數 (Hash Functions): 用於驗證檔案在傳輸或儲存過程中是否被竄改。
- 數位簽章 (Digital Signatures): 用於驗證文件的來源和完整性，防止否認 (Non-repudiation)。
- 入侵偵測系統 (IDS): 監控系統中是否有未經授權的修改行為。
- 稽核追蹤 (Audit Trails): 記錄系統和資料的存取和修改行為，方便事後追蹤和分析。
- 資料驗證 (Data Validation): 在資料輸入和處理過程中進行檢查，確保資料的格式和內容符合預期。
----------------------------------------------------------------------------------------------------
3. 可用性 (Availability) ⬆️
目標： 你的私房錢，在你需要用的時候，隨時都能拿出來用。錢不能被鎖住或找不到。
>確保授權的使用者在需要時可以及時且可靠地存取資訊和相關資源。目標是最小化服務中斷，確保業務持續運營。
- 為什麼重要？
- 生活正常運作： 臨時需要錢，卻發現錢包不見了，那可麻煩了。
- 業務不中斷： 公司網站如果掛了，客戶就不能下單，會損失慘重。
>維持生產力、確保業務連續性、滿足使用者需求。
- 怎麼做到？
- 準備多份 (備份/冗餘)： 你的錢可能不只放在一個地方，或是你有好幾個提款卡。
- 例子： 電腦資料定期備份到外接硬碟或雲端。公司的伺服器不只一台，一台掛了還有另一台立刻補上。
- 不停電 (電力備援)： 家裡停電了，你有手電筒或行動電源。
- 例子： 資料中心有不斷電系統 (UPS) 和發電機，確保電力供應不中斷。
- 不塞車 (負載平衡)： 如果只有一條路，很多人要走就會塞車。多開幾條路，交通就順暢。
- 例子： 當網站流量很大時，負載平衡器會把請求分給多台伺服器，避免單一伺服器過載當機。
- 災難演習 (災難復原計畫 DR/業務持續性計畫 BCP)： 練習如果家裡發生火災，錢該怎麼搶救、怎麼安置。
- 例子： 公司會定期演練，模擬機房被水淹了，該怎麼在另一個地方快速恢復所有服務。
- 持續檢查 (監控和警報)： 你會常常檢查錢包有沒有破洞、錢有沒有掉出來。
- 例子： 系統會持續監控網路和伺服器狀態，一旦有異常就馬上發出警報。
實現可用性的常見方法：
- 冗餘 (Redundancy): 部署多個相同的硬體或軟體組件，當一個組件發生故障時，其他組件可以接替工作 (例如 RAID 磁碟陣列、備援伺服器)。
- 容錯 (Fault Tolerance): 設計系統使其在發生硬體或軟體故障時能夠自動恢復，而不會導致服務中斷。
- 備份和恢復 (Backup and Recovery): 定期備份資料和系統，並建立完善的恢復計畫，以便在發生災難時能夠快速恢復服務。
- 負載平衡 (Load Balancing): 將網路流量分散到多個伺服器上，防止單一伺服器過載而導致服務中斷。
- 災難復原計畫 (Disaster Recovery Plan, DRP) 和業務持續性計畫 (Business Continuity Plan, BCP): 詳細規劃在各種災難情況下如何恢復 IT 系統和業務運營。
- 電力備援 (Power Redundancy): 例如使用不斷電系統 (UPS) 和發電機，確保在電力中斷時系統仍然可以運行。
- 網路冗餘 (Network Redundancy): 部署多條網路連接和備援網路設備，確保網路連線的穩定性。
- 監控和警報 (Monitoring and Alerting): 監控系統的健康狀況和效能，及時發現和解決潛在的問題。
