※ 引述《CMJ0121 (不要偷 Q)》之铭言： : 在某一份工作 曾经替主管整理资料描述公司遭遇资安事件之後的可能下场 : 最近看到 iThome 的文章：被骇超过20次却不知不觉的InfoTrax与FTC和解[0] : 又想起当年整理的报告 在台湾如果不是发生像勒索病毒这种立刻瘫痪系统的攻击 而是像资料窃取的资安事件 我认为可能也是一堆企业被骇客入侵而不自觉 看看去年的铨叙部和1111人力银行个资外泄的事件 也是骇客把那些资料公布在Raidforums论坛上 他们才惊觉已经被入侵了 代表当下也没有即时发现和阻止 : 简单来说：当一间公司的资安问题严重到被政府 (e.g. 美国政府) 盯上的时候 : 就会被罚钱 and/or 接受外部第三方的评估 : 这表示可能在某些年限中 (e.g. 10年内) 要被第三方做 code review : 光公司内的 code review 就可以吵翻天了 不知道被公司外的人 code review 会怎样啊 2018年政府就有开始实施资通安全管理法 其中有一项条例就是说公务机关和特定非公务机关(例如：金融业、电信业、医疗业) 发生资安事件时必须通报上级机关 否则会有罚锾 但事实上若真的发生重大资安事件 以我听到的一些资讯 反而会有更多的机关选择隐瞒实情 因为有重大资安事件势必就会被中央关切和检讨 之後还要缴交改善报告、还会被外部稽核 底下机关为了美化数据当然会想办法粉饰太平 --

※ 发信站: 批踢踢实业坊(ptt.cc), 来自: 106.104.80.164 (台湾) ※ 文章网址: https://webptt.com/cn.aspx?n=bbs/NetSecurity/M.1580015148.A.162.html