公司治理需要找到一個好的方式來綜覽是否各個事務都有做好資安配置，之前網路星期二聽到 Allen Own 演講的內容提到的 NIST Cybersecurity Framework 讓我非常感興趣，畢竟有個框架，才知道怎樣盤點公司狀態，來看我們面對資安事務的準備有哪些方面不足。
NIST Cybersecurity Framework 很有趣的是，把資安相關的事情，做了一個生命週期的分類。從識別、安全保護、偵測資安事件、應對資安事件、和從資安事件復原，可以看出其概念上是想要傳輸大家對資安事件有正確的理解，裡頭的內容也算簡單易讀，對於公司治理的管理人、負責研發的人員、負責業務的人員、客服等等，都有幫助。雖然國內盛行的認證是 ISO 27001，較無聽說根據 NIST Cybersecurity
網站安全性，其中一個是擁有安全的備份檔案，尤其是資料庫的費份，包含了帳號、密碼雜湊、使用者個資等，更應該注重安全性。該備份不應明碼儲存，更不應放在同一臺主機上的 web 權限可以取得之處，以免網站被攻破時，連帶將你的備份帶走保存；甚至刪除你的原始備份，這樣就完全沒有備份的效果了。
因此，實現備份時，種種顧慮下，第一步一定是將備份的檔案正確的加密，我們建議使用非對稱金鑰來實現這樣的工作，因為非對稱金鑰可以讓系統自動備份時，使用可以公開的公鑰進行檔案加密，就算被竊取走，也不用擔心備份的檔案被解密。需要解密時，使用僅存於少數人中的私鑰解密，讓加密備份安全無虞。
使用 Linux 環境，可以使用 OpenSSL 來達成此工作。先使用以下指令產生非對稱金鑰：
openssl req -x509 -nodes -newkey rsa:2048 -keyout private.key -out public.key
該金鑰如前述，public.key 要儲存於伺服器中， private.key 則是存在真正有權限的使用者安全處。
如果使用 MariaDB，我們推薦使用 Markabackup 來進行資料庫的備份，比起傳統的 mysqldump，mariabackup 支援熱備份，且對網站的造成影響較小，不會讓資料庫在備份過程中斷線，詳細可以參考
在進行程式碼開發時，有一些開發習慣常常會造成程式漏洞，有時候會進而導致資安問題，
以下列出幾項常見的開發習慣造成的資安問題與錯誤與大家分享
$_GET 或 $_POST 參數漏洞
資料型別檢查失效漏洞
不完整的存取權限
Visual Studio Code（以下簡稱 VS Code）是一款由微軟（Microsoft）開發的跨平台免費原始碼編輯器，VS Code 至今本身就已擁有強大功能，也像許多受歡迎的開源軟體一樣，VS Code 有豐富的社群參與和擴充功能，這些輔助與除錯工具讓我們改善工作流程、增進工作效率，我們可以選擇在喜歡的主題下敲打鍵盤，並進行各種客製化設定，甚至可以在編輯器裡與喜歡的動物相伴，或是玩貪吃蛇！！
筆記軟體同步雲端的功能其實有隱私疑慮，例如這裡發生過掃描使用者上傳的筆記內容，Joplin 是一個開源的免費筆記軟體，要同步到雲端目前有很多選擇，而且通通都可以加密後再同步。
其中最容易使用的雲端同步地點是 Dropbox，幾乎無痛可以使用，可惜 Dropbox 免費版本限制僅能 3 個裝置彼此同步資料，Joplin 則提供的另一個選項 - Joplin Server，自行架設 Server，將加密後的筆記同步至雲端
（※話先說在前，轉址或多或少會影響到SEO，網路上已有很多好心神人的文章，這邊就不再贅述，可以搜尋「換網址 + SEO」關鍵字來看看各種注意/待辦事項唷。）
近期有碰到客戶因應組織名稱調整，因而需要一起更換網站的網址，例如從 abc.com 改成 abcd.com。
那麼網址換新就 OK 了嗎？舊網址租用日期到了自動停止租用即可嗎？
那您該考慮永久續租舊網域。
若原網址已經使用很久了，是累積歷來很多流量的網址，即便碰到是網站必須更換新網址的情境，舊網址仍繼續租用較佳，以免舊網址之後被買走做別的事。曾經有聽聞過一個案例，換網址之後，其他使用者從 Google 搜尋結果點到舊網址，進到一個觀感不佳（自行想像）網站。也有發生過資安事件，原網域被買走，並且作為釣魚網站 https://krebsonsecurity.com/2018/11/that-domain-you-forgot-to-renew-yeah...。若是經營了很久的網址，後來這樣被使用來欺騙支持者，一定非常心痛吧！
另外，其他網站/網誌有協助推廣舊網址的連結？例如別的站台推廣您網站的活動、
說起來，能夠在網絡實習，還真的是一個機緣！大學期間便已耳聞同儕在網絡的實習與工讀經驗，畢業後在業界打滾快兩年，回歸讀了碩班，然後就在2021這個美好的時間點，碰上網絡開缺的實習機會。
參與一個網站的誕生
先前在業界是做SEO的工作，對網站的認識可說是既熟悉又陌生，主要關注的是網站流量與關鍵字排名，僅以顧問身分提出網站技術端優化與內容配置、調整的建議。因此，非常開心在網絡實習期間能直接觸碰到網站建置規劃與流程；從參與與客戶的討論會議開始，釐清與記錄客戶需求開始，撰寫網站建置規劃書，以軟體繪製線框稿 ( Wireframe ) 建立網站藍圖，作為雙方在前端版面配置與功能呈現上的確認依據，接續進入視覺設計討論、再轉交工程師將網站建置完成，而在正式上線前，亦反覆確認每一網頁的功能、內容呈現，最終協助撰寫網站的操作手冊或成果報告書。
貼近非營利組織，進入他們的思維
在短短一年的實習中，非常幸運能接觸了十來個大小網站的建置與改版，也從這些實作經驗中，認識了在不同領域中努力發揮光與熱、並朝著各自理想前進的機構。網絡主要服務的客戶是為非營利組織，這些組織能被概略分成倡議與服務二種性質，倡議型的組織在網站建置上，主要期待是為清楚呈現議題資訊，相比之下，服務性質的組織則更強調於服務成果的展現。儘管相似性質的組織對網站的期待與需求是大同小異，然而，在這些異點上的追求與琢磨是很耐人尋味的，似乎也能反映各組織在其定位與目標上的期許。
netiCRM.tw提供NGO/NPO線上捐款、報名活動、列印收據、整合管理組織聯絡人名單。
netiCRM 基於 CiviCRM 中文優化的開發成果，亦由相同授權 GNU AGPL 釋出。
