完整性

完整性（Integrity）是資訊安全三大基本原則（機密性、完整性、可用性，簡稱CIA三元組）之一。其核心定義為保護資訊、系統與資產免於未經授權的修改、刪除或破壞，確保其內容的準確性與完整性。國際標準 ISO/IEC 27001:2022 將其定義為「準確性與完整性的屬性」。美國國家標準暨技術研究院（NIST）在 SP 800-53 Rev. 5 中則定義為「防護不當的資訊修改或破壞，並包括確保資訊的不可否認性與真實性」。在風險管理體系中，完整性失效可能導致災難性後果，例如財務報表遭竄改造成決策失誤、醫療紀錄被修改引發醫療事故，或工業控制系統參數被變更導致生產停擺。它與「機密性」（Confidentiality，防止未授權揭露）和「可用性」（Availability，確保授權使用者能及時存取）共同構成資訊安全的基礎，三者缺一不可。

在企業風險管理中，確保完整性的應用涵蓋技術與流程層面，具體步驟如下： 1. **實施存取控制（Access Control）：** 採用最小權限原則與職責分離（Segregation of Duties），透過角色為基礎的存取控制（RBAC）機制，確保僅有經授權的人員才能修改特定關鍵數據。例如，會計人員僅能修改帳務系統，而無法變更系統底層設定。 2. **應用密碼學驗證（Cryptographic Verification）：** 使用雜湊函數（如SHA-256）為檔案或數據生成獨一無二的「數位指紋」。定期比對雜湊值，任何不符都表示數據曾遭竄改。此外，導入數位簽章技術可同時驗證數據來源的真實性與傳輸過程的完整性。 3. **建立嚴謹的變更管理與稽核紀錄（Change Management & Auditing）：** 對所有關鍵系統與數據的變更，建立標準化的申請、審核、執行與驗證流程。同時，啟用不可變的稽核日誌（Immutable Audit Logs），詳實記錄所有存取與修改活動（何人、何時、何地、何事），以便追蹤與究責。 台灣某金融機構導入資料庫活動監控（DAM）與檔案完整性監控（FIM）系統後，成功阻止了數次未經授權的資料庫變更嘗試，使其核心系統的風險事件減少了約40%，並順利通過金融監督管理委員會的年度資安稽核。

台灣企業在導入完整性控制時，普遍面臨以下三大挑戰： 1. **老舊系統（Legacy Systems）的技術限制：** 許多製造業或中小企業仍在使用缺乏現代安全機制的舊有系統，難以直接套用新的完整性控制措施。對策：採用「補償性控制措施」，例如在網路層部署入侵偵測系統（IDS）、對資料庫進行加密與存取監控，並將保護重心放在新舊系統的介接點。優先行動項目是盤點關鍵資產，分階段將核心應用遷移至支援現代安全標準的平台，預期時程約12至24個月。 2. **資安意識與專業人才不足：** 員工可能因誤操作或缺乏警覺而破壞數據完整性，同時企業內部也缺乏規劃與維運相關機制的專業人才。對策：推動全員資安意識培訓，並結合社交工程演練。與外部專業顧問合作，進行風險評估與導入輔導，同時培養內部種子人員。優先行動項目是立即啟動高階主管與IT人員的專業訓練，預期3個月內完成初步培訓。 3. **成本與資源分配的兩難：** 導入完整的資安解決方案需要相當的預算，對中小企業構成壓力。對策：採取風險導向的方法，優先保護最核心的業務資料與系統。善用開源工具（如AIDE）或雲端服務供應商（如AWS、Azure）內建的完整性檢查功能，以較低成本啟動防護。優先行動項目是完成資產盤點與風險評估，依據風險等級分階段投入資源，預期6個月內完成第一階段部署。