在金融科技的创新上，区块链（Blockchain）往往被数位货币（digital currency）抢尽锋头，然而，最近有个例子的应用，提供了截然不同的观点。
这件事发生在英国，当地政府正考虑让所属的土地注册处（Land Registry Department）以其他方式，保障登记有案之不动产及相关权益，然而，这个土地注册处，却提供了另一种有趣的区块链应用方式，让全球各地都有相关计画进行测试--利用此区块链解决方案，就能找出特定地产的所有人是谁，并确保所有权，不会在当事人未授权的状况下，发生移转，而这部分，也包括贷款期间由银行持有地产做为担保的情况。
对于这样的案例，根据Gartner的发现，推广区块链应用的企业数量已大幅增加。以应用形式来说，基本的分散式帐本（distributed ledger）作为区块链的核心，让各式各样的资产都可以被追踪，包括所有权、身分判定与证明、加密金钥或装置属性。
至于众所皆知的比特币（bitcoin），虽是目前最受瞩目的区块链生态系统，却也有各式各样的区块链生态系统与技术问世。在许多案例中，区块链生态系统与技术之间有极大差别，有些或许可以存活下来，有些则将无法达到关键存续量（critical mass）。不过，对于企业的资讯安全长来说，每一种生态系统或技术，都在资安层面具有不同意涵。
目前，有些区块链的使用案例仍处于理论阶段，还有一些已进入概念验证初期，而且，有越来越多机构开始进行区块链试验。它可用于任何一种「商业信托」（trust business）--例如，银行、结算所，以及政府主管机关等，这些皆属于集中式机构与官僚机构的组织，都可以透过商业的流程，达到去中心化（decentralization），并能利用区块链提供另类解决方案。
而对组织的安全主管来说，区块链的分散式帐本能带来全新的优势与应用，但也造成风险和挑战。这种区块链创新的技术与手法，需要资安团队在安全架构方面采用全新的思考方式，考量很多重要的差异。
去中心化共识
传统的模型乃是利用集中式仲裁器（central arbiter），来判定事实，并估量记录资料的准确度（也就是诚信）。
举例来说，传统的资料库，就是透过集中式记录来维持一致性，而去中心化模式，则是将仲裁的权力与商业信托，移转给去中心化的虚拟网路，让合格的相关节点持续依照时序，将各项交易以资料区块的形式加以记录，再提供给相关社群的成员。而这种链状的交易区块，就是所谓的区块链。
在此时，前一个区块的参考内容，会包含了前一个密码的加密散列校验和（cryptographic hash checksum），如此一来，就不再需要中心媒介，透过这些方法，就能确保不会发生交易资料被复制的状况。
上图为高阶的区块链架构，将仲裁的权力与商业信托，移转给去中心化的虚拟网路，让合格的相关节点持续依照时序，将各项交易以资料区块的形式，加以记录，然后，再提供给相关社群的成员。（资料来源：Gartner，2016年8月）
上图为高阶区块链分散式架构图，即区块链扮演毫无模糊空间的交易验证器角色，各个节点能全然信赖此区块链生态系统，并透过区块链的去中心化共识，加以治理。（资料来源：Gartner，2016年8月）
区块链与辅助的区块链服务
如以上所言，区块链可视作是一种资料储存库，提供给所有合格的成员使用。比特币作为区块链的应用之一，能使所有交易资料公开，且对所有有意加入的人持开放态度。
随着区块链技术逐渐成熟，应用可能会随着参与成员的会员资格、资料相关规则与隐私权而有所不同。必须留意的是，因应使用案例的不同需求，访问途径可根据政策、属性或系统设计来管控。就像私人建置的区块链，则可遵循封闭式的用户社群规则，此时，安全主管除了管理加密式存取金钥，可能还要建置网路安全措施，来限制访问路径。
尽管部分特定的区块链应用情况，可能有所不同，但安全主管必须留意，未来区块链的架构模式必须提供所有成员标头资讯（header information），这可能也包含区块内部的交易资料。储存的资料可能是价值符号，像是金融交易的记录、帐户结余数字或其他资料，而这些都能利用传统的密码工具进行加密，以维持其机密性。
此外，由于区块链相关产品与技术快速变迁，资讯安全长与安全主管对此，应确保有能力掌握手中所有区块链计画，所产出、储存或使用了哪些资料。这会随着区块链的技术--亦即以太坊（Ethereum）、超级帐本（hyperledger）或比特币--而有所不同，部分案例差异，甚至可能十分显著。
尽管区块链技术令人兴奋、快速变化且势必带动强烈的突破性创新，还是得确实做好资料机密、可用性，以及诚信（CIA模型）等资讯安全基本原则。
智慧合约（与智慧资产）
所谓的智慧合约（smart contract），就是将成套的商业逻辑加以编码为程式的形态，再加上价值单位或其范畴内的交易单位。
其基本概念是透过区块链而非集中式仲裁器，以程式验证交易，合约执行后交易才算完成。根据区块链环境的目的与结构，相关方能针对货品与服务递交的方式，以及资金自动扣款的条款达成协议（否则可能惩以罚金）。而所谓智慧资产，就是在数位财产中嵌入所有权，以及动态行为的概念，这可能指个人、公司，或其他智慧资产。
同时，安全主管必须意识到，智慧合约也可能会有缺陷，攻击者可利用这些缺陷来窃取、敲诈或扣留款项，也正如所有软体犯罪一样，这类攻击的影响可能相当严重。
就某种意义而言，它跟其他应用或网站并没有什么不同，都有某种漏洞或机制容易遭到诈骗。因此，安全主管必须扩大现有的安全保护机制，将智慧合约与智慧资产纳入其中，而且要把渐进失效（asymptotic failure）的风险，纳入组织容许度（当然，这可由会员自由定义，而非强制式的要求）。
可信赖运算与去信任化交易
上述概念能让资源与交易横向分散，且不限于企业内部，而是遍及区块链系统中全体参与成员。过去的集中式监管机构与仲裁组织，也能加以编码成为智慧合约，并藉由区块链的去中心化共识加以治理。因此，很可能在不久的将来，就会出现全新型态的纯数位化组织，业务纯粹以智慧合约为主。
对此，区块链所扮演的部分，是一个毫无模糊空间的交易验证器角色，全然信赖区块链生态系统，因其在技术的基础上，还加入信任、合规、职权、管理与法律的规则，并确保使用了可靠的加密技术。
因此，安全主管必须确保区块链，能够忠实扮演上述之交易验证器的角色，而且毫无模糊空间，而使用的加密技术，也必须能证明并支援上述可靠特质。此外，安全主管必须确保基础架构元件安全无虞，节点也不能发生问题，而将错误的资讯带进区块链。
工作量证明／权益证明
许多区块链技术的核心概念，就是「工作量证明」（proof of work），或者是权益证明（proof of stake）等相关概念，这些都源于最早的比特币--它是一种运算任务，复杂程度之高，足以制止区块链的更动，所以，区块链上的记录，不能在没有重做工作证明的情况下，予以改变。工作量证明也因此成为关键元素，因其无法轻易作废，而且，透过可靠的加密散列，以确保真实性。
工作量证明所费不赀，未来还可能会有扩充性与安全方面的问题，且用交易手续费做为吸引成员参与的诱因，不一定适用金融交易以外的项目。
因此，有人认为，权益证明可能是一种适用范围更大的解决方案，因其执行成本较低，且一般认为入侵更为加困难。而且，权益证明的好处是，可以判定是否足以合格参与区块链共识，还能降低「分裂」（split）的风险，也就是有两方以上的来源都宣称是真实来源。
不论是工作量证明或换种形式的权益证明，安全主管都必须在这些规画中，了解区块链证明系统的优点，还有特定证明系统的风险，因为这都将是决定区块链诚信度的主要因素。
区块链的风险
整体而言，当前区块链应用的风险，有如下几项：
行销周期
区块链的定义及潜在应用，都是可变动的。除了比特币以外，各种应用的功能各异，而且，许多规画中的解决方案都尚未脱离概念阶段。
而且，很可惜的是，目前围绕着区块链的宣导性行销发展周期，其实，也偏离了实际有潜力的案例。
值得注意的是，根据Gartner先前所公布的2016年新兴技术发展周期报告（Gartner Hype Cycle for Emerging Technologies，2016）指出，区块链如今已经接近期望膨胀期（Peak of Inflated Expectations）。
一般而言，Gartner新兴技术发展周期报告，可做为开发新兴科技组合时的参考，而在回顾2016年的报告中，我们可见到区块链已经接近期望膨胀期，亦即技术快速发展的高峰期。（资料来源：Gartner，2016年8月）
扩充性
随着装置、资料、交易与使用者身分的增加，相关人工因素的管理与储存要求也越来越多。因此，企业资讯安全长需要一套安全且可扩充的方法，以确保未来几年区块链能够成功。
尽管区块链未来可能会受益于其扩充性，但目前其仍被视作一种风险，箱关的研究人员正在设法，使区块链的运作方式，脱离传统的分散式共识机制（distributed consensus mechanisms ），朝向可扩充模式发展的各种选项。
网路攻击／诈骗
最近，分布式自治组织（Distributed Autonomous Organization）所遭受到的攻击，就是因为对方利用了智慧合约方面的弱点，相关安全因此亮起了红灯。
相对而言，比特币的漏洞较少，且其韧性为人称道，但安全负担已从网路转移到为区块链写入内容的端点。一般而言，漏洞通常发生在作业系统、网路协定，以及部分安全相关的领域。
区块链的风险评估更加困难
随着区块链相关服务范围的扩大，为风险评估建构一个详细的威胁模型，也变得越发困难。
因为，区块链是复杂的技术系统，不像传统系统具有监管透明度且可供审核。而区块链缺乏通用的标准或规范，也让问题变得更加复杂。
对此，Jonathan Care表示：「整体来说，人们并不了解区块链这种新技术；它很复杂，所以，正确评估相关风险与揭露，已变成一大挑战。也正由于目前尚无通用的标准或规范，也因此让问题雪上加霜。」
而对于资讯安全长与IT安全主管而言，应确保资安团队，将区块链技术和管理与究责，分开处理。
导入区块链应用的建议
首先，应仔细评估应用是否适合整合到特定的区块链系统，以及子系统。
这包括：确实对所有层面的应用堆叠，进行严格的安全测试，举凡作业系统（例如物联网或嵌入式作业系统）、编码查核、应用程式逻辑，以及实验性系统的架构模型（例如，建构在区块链技术基础之上的智慧合约）。
此外，对于协助资讯安全长及资安团队来说，漏洞管理方案是必要的，能提供可用的洞察及情报，来减轻各种威胁的伤害。这样的漏洞管理方案，还应该包含区块链应用与架构元件，让管理变得透明化，同时进行审核控制，以借此：
（1）侦测技术与行政管理上的失误；
（2）遏止不法行为造成伤害；
（3）让消费者及利益相关者等门外汉，也能了解诚信管控。
最后，就是要持续监控主要厂商的功能创新、整合或竞争威胁能力。在某些情况下，应询问现有及未来厂商在区块链及其安全性的能力。
