德讯电讯
安全合规审核要点
进行合规與安全稽核時，先確認業務範圍、資料類型及法規要求，特別是個人資料保護法（PDPA）相關處理。稽核清單應包含資料分級、資料最小化、與資料留存政策。對租賃伺服器與雲主機採取不同檢核項目：租賃實體需驗證物理安全與機房合規；雲主機則重點放在帳號管理、IAM權限與虛擬網路分段。
身份與存取管理
建立多重身分驗證（MFA）、最小權限原則與定期權限審查。SSH、RDP 等遠端存取要強制使用金鑰認證與IP白名單，停用弱密碼與預設帳號。API 與管理介面應採用具細緻權限的服務帳號與角色分配。
日誌、監控與事件回應
確保系統日誌集中傳送至SIEM或安全日誌平台，設置異常行為告警、保留策略與稽核追蹤。建立明確的資安事件處理流程與演練，並定期進行弱點掃描與滲透測試。
加密通信部署指南
網路傳輸加密是保護資料在途安全的核心。部署應以新版協定與強化設定為主，包含TLS 1.3或至少TLS 1.2、啟用前向保密（PFS）與淘汰弱加密套件。
伺服器端 TLS 配置要點
選擇可靠憑證來源（商業CA或自建私有CA），並落實憑證管理與自動續期（如 ACME/Let's Encrypt）。配置時開啟HSTS、OCSP Stapling，關閉 SSLv3/TLS 1.0/1.1，優先使用 ECDHE+AES-GCM 或 AEAD 套件，並定期檢查憑證鏈與密鑰長度（RSA ≥2048、ECC P-256 或以上）。
內部服務與微服務安全
服務間通訊建議採用相互 TLS (mTLS)以驗證雙方身份，或透過服務網格（如 Istio）來集中管理憑證與策略。資料庫、消息佇列等後端連線也應啟用 TLS，避免明文通訊。
金鑰與秘密管理
私鑰不得儲存在代碼或非受控主機上，應使用硬體安全模組 (HSM)或雲端 KMS 管理密鑰、啟用金鑰輪換策略與存取審計。對稱金鑰、API Key 與憑證同等保護，採用最小可見原則。
補充控制與營運建議
部署防火牆、入侵偵測/防禦（IDS/IPS）、WAF 與資安基線（CIS）能顯著降低風險。備份需採用加密與離線保存，並定期驗證可用性。對外暴露服務應以反向代理或 API Gateway 做統一入口，並實施流量限速與異常檢測。
在台灣營運時，除遵守 PDPA 外，依產業或合約要求可能須進一步落實資料在地化、加密標準或第三方稽核（ISO 27001、SOC2 等）。業者應與法務、資安及營運團隊協作，將合規要求納入週期性稽核。
常見問答（FAQ）
問：租賃伺服器是否需要使用雲端 KMS？
答：視風險與管理需求而定。若需集中管理密鑰並支援金鑰輪換與審計，建議使用雲端 KMS 或 HSM；對於極高敏感資料，可考慮專用 HSM。
問：如何在短期內提升租服/雲主機的加密安全？
答：優先完成 TLS 升級（啟用 TLS1.2/1.3、移除弱套件）、憑證自動化管理、開啟 HSTS 與 OCSP Stapling、以及對內部服務實施 mTLS，配合強化 SSH 與管理介面認證可在短期內明顯改善安全性。
