Managertoday 經理人

區塊鏈能做什麼?有風險嗎?3 個管理問題,你不能忽視

2020-02-17 14:43:14
Managertoday
https://bnextmedia.s3.hicloud.net.tw/image/album/2017-10/img-1509001806-52375@900.jpg
區塊鏈技術發展至今,各領域從好奇、質疑,到現在因其不易竄改、低成本而大量應用。然而,實際導入的過程中,企業仍需慎防區塊鏈技術所帶來的風險。

從比特幣(Bitcoin)興起以來,作為它的帳本系統,區塊鏈技術也逐漸受到重視。區塊鏈透過點對點網路架構(P2P,peer-to-peer),實現了一個去中心化的系統(透過集體維護,使區塊鏈內的資料更可靠),並有不易竄改紀錄、低成本等優勢,在記錄資料上,更敏捷、安全,各大企業、政府都開始找尋適合的應用領域。

勤業眾信調查各國企業高管對區塊鏈的看法,2018 年有 74% 的人指出,已經見識到「有說服力的商業案例」;34% 的受訪者說,公司開始建立區塊鏈應用系統。到了 2019 年,高達 81% 的受訪者表示,他們正運用區塊鏈系統取代既有的資料紀錄系統

例如,2019 年 4 月瑞士雀巢公司(Nestlé)和法國連鎖超市家樂福(Carrefour)與 IBM 攜手,運用區塊鏈技術記錄食品產銷履歷,在馬鈴薯泥的產品包裝袋上印製 QR code,消費者即可到區塊鏈上查詢馬鈴薯的品種、生產日期和地點等資訊。

然而,區塊鏈雖然可以用來記錄金融交易、存儲醫療紀錄,甚至通過供應鏈追蹤物流,本質上仍是一個複雜的分類帳簿系統,需要結合企業現行的業務系統,在過程中仍有許多潛在資安風險,不得不防

整合區塊鏈與既有系統,衍生多項資安議題

舉例來說,使用區塊鏈技術記錄食品產銷履歷,仍需要由人員輸入資料,或透過生產線機器自動紀錄,如果沒有控管好輸入的資料、設置監控機制,輸入錯誤訊息,將直接導致這些資料寫入區塊鏈系統,且歷史紀錄不易修改,衍生問題。

因此,勤業眾信 2019 年的調查也發現,企業高管坦言,使用區塊鏈技術還是有許多挑戰,分別為「法令遵循議題」「如何取代或調整現行系統」「可能出現資安威脅」。由此可見,雖然多數人看好區塊鏈發展潛力,也了解到附加的問題,像是如果沒有考慮資料所有權、個人資料保護等議題,將造成法遵風險;如果不當寫入資料,可能造成外洩的資安危機。

進一步來看,要在區塊鏈應用上做好資安防護,要把「資訊系統既有的議題」以及「區塊鏈技術所衍生的議題」分類檢視。資訊系統既有的議題,主要包含軟體開發安全、存取控制管理、變更管理、金鑰管理等。

1.軟體開發安全

把資料寫入區塊鏈系統,需要開發應用軟體,好比智能合約(smart contract)就是在區塊鏈系統上執行的一種應用程式。因此,如何開發安全的系統是重要議題。有幾個資安事件的起因,就是不安全的軟體或智能合約設計。

2.存取控制管理

誰可以讀取資料、誰可以寫入資料,一直是企業規畫存取控制最基本的兩個問題,區塊鏈系統也一樣,尤其在跨國或跨企業間的應用場景中,此議題更為重要。

3.變更管理

作為跨企業間的資料交換與紀錄系統,如何進行區塊鏈系統的異動,是個重要的議題,假如不同企業內部與不同類型的系統介接時,想要降低影響、確保穩定,困難度會大幅提高。

4.金鑰管理

透過加密技術保護重要資料,以及透過數位憑證驗證數位身份,已是網路應用的基本概念,而引入現代密碼學與金鑰技術的區塊鏈系統也是如此,企業應該安全的保管持有的金鑰與數位憑證。

區塊鏈雖有不易竄改的特性,還是要做好基本風控

區塊鏈技術所衍生的議題,主要包含資料的正確與有效性、網路安全管理、智能合約管理等。

1.資料正確性與有效性

因為技術限制,區塊鏈並不能作為企業資料庫使用,但它的紀錄不易竄改,讓它可作為好的資料提供來源,如民眾就診紀錄等。

我們可以因為不易竄改的特性,一定程度相信資料的正確性,降低驗證成本。然而,設計一個良好的流程、確保寫入資料的有效性與正確性,還是非常重要,一旦沒有做好設計與管理,錯誤寫入資料,還是會因資料不正確,產生嚴重的資安議題

2.網路安全管理

網路安全管理是資訊系統既有的議題,但因為區塊鏈技術的特性,使得它的重要性再次提升,例如惡意的大量連線,對區塊鏈系統所造成的破壞,可能大於傳統的網路應用系統(如網站、email)。

3.智能合約管理

智能合約是一種應用程式,當滿足一組預先設定的條件時,區塊鏈系統將自動執行程式所設定的內容。

智能合約為企業帶來很大的發展想像與應用潛力,如保險自動理賠、貿易金融中的自動撥款等應用場景。但是,因為自動執行的特性,錯誤的智能合約,將帶來極大的資安風險