矽谷工程師竊取 Google 機密，科技業的防火牆真的夠力嗎？

近期，一則新聞震撼了科技圈：三名矽谷工程師被指控從 Google 及其他公司竊取晶片安全相關的商業機密，並將其傳輸到未經授權的地點，包括伊朗，引發了國家安全方面的擔憂。美國聯邦檢察官已對 Samaneh Ghandali、Soroor Ghandali 和 Mohammadjavad Khosravi 提起訴訟，指控他們共謀和竊取商業機密，以及妨礙司法公正。

事件始末

根據司法部（DOJ）的聲明，Samaneh Ghandali 在 Google 任職期間，涉嫌將數百個文件，包括 Google 的商業機密，傳輸到第三方通訊平台，並傳輸到以每位被告名字命名的頻道。檢察官聲稱，這三人利用他們在 Google 和另外兩家未具名公司的職位，存取與行動電腦處理器相關的機密文件。被盜的材料包括與處理器安全和密碼學相關的商業機密，Google 的材料後來被複製到個人設備和與被告受僱的其他公司相關的工作設備上。

更令人震驚的是，起訴書中描述，2023 年 12 月，在前往伊朗的前一天晚上，Samaneh Ghandali 拍攝了大約 24 張另一家公司工作電腦螢幕的照片，螢幕上顯示著商業機密資訊。在伊朗期間，與她相關的設備據稱存取了這些照片，而 Khosravi 據稱存取了其他商業機密材料。

安全漏洞與國家安全

此案凸顯了內部人員存取先進半導體和密碼系統可能帶來的國家安全隱患。Kronos Research 的首席投資長 Vincent Liu 指出，即使現有的控制措施到位，擁有合法存取權限的員工也可以隨著時間的推移，悄悄地提取高度敏感的智慧財產權。他補充說，半導體和密碼學公司面臨的風險通常來自「受信任的內部人員，而不是駭客」，並將內部人員風險描述為「需要持續監控和嚴格資料分區的持續性結構性漏洞」。

Horizontal Systems 的加密基礎設施開發策略主管 Dan Dadybayo 認為，「當工程師可以將架構、金鑰管理邏輯或硬體安全設計移出受控環境時，『邊界』就會崩潰。」他表示，如果敏感的處理器和密碼學智慧財產權傳到伊朗，監管機構可能會做出積極反應。

合規性與真實韌性

加密安全和合規公司 Hacken 的執行主席 Dyma Budorin 表示，在大多數科技組織中，資訊盜竊風險被認為可以透過獲得 SOC 2 和 ISO 認證來降低。然而，這些框架「通常衡量的是合規成熟度，而不是針對有決心的攻擊者（尤其是內部人員）的實際韌性。」他認為，認證證明控制措施在「稽核時」存在，但「它不能證明敏感資料無法被盜取。」

Budorin 警告說，真正的安全需要「持續驗證、行為監控和對抗性測試」，否則組織可能會「在紙上合規，但在實踐中卻處於極度暴露的狀態。」

台灣科技業的啟示

這起事件對台灣的科技產業來說，無疑敲響了一記警鐘。台灣在全球半導體產業中扮演著舉足輕重的角色，擁有許多重要的晶片設計和製造公司。以下是一些值得台灣科技業深思的問題：

• 內部風險管理： 台灣企業是否建立了足夠嚴密的內部風險管理機制？如何有效監控和管理員工對機密資訊的存取權限？
• 供應鏈安全： 台灣在全球科技供應鏈中扮演著關鍵角色。如何確保供應鏈的安全，防止機密資訊洩漏？
• 國際合作： 面對日益複雜的網路安全威脅，台灣企業是否需要加強與國際夥伴的合作，共同應對挑戰？
• 法規遵循： 台灣的法規是否足以保護企業的商業機密？是否需要加強相關法律的執行力度？
• 員工教育： 台灣企業是否對員工進行了足夠的資訊安全教育？是否讓員工了解竊取商業機密的嚴重後果？

科技業的防火牆：真的夠力嗎？

這起事件也讓人不禁質疑，科技業的防火牆真的夠力嗎？儘管許多公司都投入大量資源來保護其商業機密，但內部人員的威脅仍然是一個難以忽視的風險。傳統的安全措施，例如防火牆和入侵偵測系統，對於防範外部攻擊可能有效，但對於那些已經身在其中的「自己人」來說，卻往往無能為力。

如何提升資訊安全？

面對日益嚴峻的資訊安全挑戰，科技企業需要採取更加積極和全面的措施，才能真正保護其商業機密。以下是一些建議：

• 零信任安全模型： 採用零信任安全模型，不再預設任何用戶或設備是可信任的。所有用戶和設備都需要經過身份驗證和授權，才能存取敏感資源。
• 行為分析： 利用行為分析技術，監控用戶和設備的異常行為，及早發現潛在的威脅。
• 資料加密： 對敏感資料進行加密，即使資料被盜，也難以被破解。
• 存取控制： 實施嚴格的存取控制，限制用戶只能存取其需要的資料。
• 定期稽核： 定期進行安全稽核，評估安全措施的有效性，並及時進行調整。
• 強化員工安全意識： 定期舉辦安全培訓，提升員工的安全意識，讓員工了解如何識別和防範網路威脅。

結論

矽谷工程師竊取 Google 機密一案，再次提醒我們，資訊安全是一個持續不斷的挑戰。科技企業需要不斷提升其安全防護能力，才能在競爭激烈的市場中保持優勢。同時，政府和監管機構也需要加強對資訊安全的監管，確保企業能夠真正保護其商業機密，維護國家安全。