專欄 on 資安見聞錄

[專欄] 定期執行資安合規檢視有效管控資訊系統風險

Mon, 29 Jan 2018 14:47:00 +0000

隨著惡意的攻擊手法愈來愈多樣化，對於防禦的一方而言，需要持續關注的議題也愈來愈多，在日常維運方面，無論是參考國際標準的要求，或是依據產業的規範或最佳實務，定期的實施自我資安檢查，將是確保組織維持強健體質的良方。

從去年犯罪集團針對包括台灣、泰國、日本等各國的ATM系統進行入侵和盜領案件，到2017年年初對於證券業者發動的分散式阻斷服務(DDoS)攻擊勒索事件，各式各樣的資安攻擊仍然層出不窮。依據英國標準協會(BSI)和營運持續協會(BCI)所共同發表的2017 Horizon Scan Report指出，2017年排名前三大的威脅仍然是「網路攻擊」、「資料外洩」和「無預警的資通訊中斷」，這些威脅將直接關係到組織本身的資訊系統，以及保護、管理與存取資訊的能力。換句話說，組織是否有能力定期檢視資訊系統，分析評估可能存在的威脅與弱點，並且盡快進行處理，就是維持資訊系統持續運作的重要關鍵。

主管機關對資安評估之要求

在2014年7月，中華民國銀行商業同業公會全國聯合會就提出了「金融機構辦理電腦系統資訊安全評估辦法」，並且報請金融監督管理委員會的同意，要求金融機構參照其所制訂的「金融機構資訊系統安全基準」和「金融機構辦理電子銀行業務安全控管作業基準」，定期實施資訊安全評估作業，希望藉由提早發現可能的資安威脅與弱點，並且實施技術面和管理面的相關控制措施，以提升並強化組織在資訊系統和網路安全的防護能力。

因此，金融機構必須依照其整體資訊系統的現況來制訂資安評估計畫，先針對資訊資產的重要性和影響性進行分類，再決定實施資訊安全評估之週期，並且在完成之後，提交一份正式的電腦系統資訊安全評估報告。如果評估之後發現有不符合的項目，還需要進行後續的追蹤和矯正。若是有單一系統不幸發生了重大的資安事件，此系統也被要求必須要在三個月內，重新再執行一次資訊安全評估作業。

表1 電腦系統之分類和評估週期

電腦系統類別	定義	評估週期
第一類	直接提供客戶自動化服務或對營運有重大影響之系統(如電子銀行、分行櫃台、ATM自動化服務等系統)	每年至少辦理一次資訊安全評估作業
第二類	經人工介入以直接或間接提供客戶服務之系統 (如作業中心、客戶服務等系統)	每三年至少辦理一次資訊安全評估作業
第三類	未接觸客戶資訊或服務且對營運無影響之系統 (如人資、財會、總務等系統)	每五年至少辦理一次資訊安全評估作業

(資料來源：金融機構辦理電腦系統資訊安全評估辦法)

資安評估作業的內容項目

在資訊安全評估作業之內容方面，它一共包括了以下六大項目：

(一) 資訊架構檢視：評估網路架構之配置、資訊設備的管理方式和單點故障的風險承擔能力，以及組織對於營運持續所採取的相關措施。

(二) 網路活動檢視：包括了網路相關設備的帳號權限管理和存取記錄、設備的監控與異常事件的處理，以及檢視網路封包是否存在網路異常連線和惡意行為。

(三) 網路設備、伺服器及終端機等設備檢測：檢測設備的存取和連線機制、是否定期實施弱點掃瞄和修補作業，以及檢測是否存在惡意程式和後門程式。

(四) 網路安全檢測：包括了網站和客戶端軟體的弱點掃瞄、程式源碼的檢測、滲透測試，以及評估網站目錄權限設定的適當性，檢視系統是否存在可能易遭連線挾持和資源消耗等影響系統可用性的情況。

(五) 安全設定檢視：包括系統存取限制和特權管理、伺服器的設定原則、軟體更新、防火牆的連線設定，以及金鑰的儲存保護和存取機制等。

(六) 合規檢視：檢視整體的電腦系統是否符合「金融機構資訊系統安全基準」中，有關提供系統可靠性及安全性侵害對策之規範要求。如果組織提供了電子銀行服務，還需要檢視相關系統是否符合「金融機構辦理電子銀行業務安全控管作業基準」之要求。

基本上，前五項的檢視要求比較偏向於技術面的評估，評估人員只要符合了辦法中相關的資格條件，可以由內部人員或委由外部廠商來執行，但是在第六項合規檢視的部份，它是從整體的資安要求與管控機制來看，因此比較適合由獨立的第三方機構來進行，藉由公正客觀的角度和業界的實務經驗，能協助組織更有效地找出可能的資安風險。

資訊系統合規檢視的重點

金融機構資訊系統安全基準是主管機關為了提升金融業務相關電腦系統的穩定性，所提出的強化措施之一，它針對了環境、設備、軟體、系統開發、運作管理等項目，分別從設備基準、營運基準、技術基準提供了相關的實務措施與控制作法，其中又以技術基準是作為提升資訊系統的可用性、完整性及機密性，提出在系統硬體及軟體等技術面的對策，主要包括「提升系統可靠性(技1-技25)」和「安全性侵害之對策(技26-技51)」兩個層面，區分為8大項和51個的小項目，可以用來協助金融業者檢視相關資訊系統的安全現況，分別說明如下。

提升硬體設備之可靠性 (技1-技6)
這6個項目主要是在預防硬體設備的故障，要求組織應依照設備本身的特性，定期實施預防性的檢查和保養，並且針對包括重要主機、週邊裝置、通訊裝置、通訊線路及端末系統，都需要評估並設置所需的備用與備援設備，以強化系統運作的可靠性。

提昇軟體系統之可靠性 (技7-技15)
這9個項目是要求提升軟體的開發和維護品質，主要著重在完整的系統開發生命週期的各個階段，所對應實施的控制措施，例如確認系統開發設計的計畫是否納入了安全的考量，並且在系統計畫階段就實施了必要的安全控管機制；是否採用標準化的設計和程式撰寫作業，以確保軟體的品質；在測試階段如何擬定測試計計畫並完成各項測試作業；程式如何進行派送，以及購置套裝軟體時的考量等。另外，它也要求在系統功能進行增修變更時，相關的作業仍應比照開發階段時的品質控管要求。

提升營運可靠性之對策 (技16-技19)
這4個項目是要求系統操作如何保持自動化和簡易化，並且在操作的過程中，是否進行系統操作的檢核，以降低人為操作的錯誤。另外，針對資訊系統的運作狀態，是否進行適當的監控，以避免其因資源不夠或超過負荷，而導致系統錯誤的發生。對於無人看管的ATM設備，是否採行了集中監控和遠端搖控功能，以確保無人化服務區的穩定運作，這些都是屬於營運可靠性的要求。

故障之早期發現、早期復原 (技20-技24)
這5個項目是希望讓故障能夠被早期發現並進行復原，因此組織需要設置資訊系統的監視機制，包括了運轉、停止、錯誤等狀態的發現和回報，一旦故障真的發生，還能夠適當地隔離故障的部位，縮小故障的範圍以便讓其他功能可以正常運作。另外，若是屬於交易類的系統，為使故障的影響降至最低，必要時可以限制交易的科目或類型。當然，組織也需要建置系統復原的功能，以便能盡快地回復到正常的服務作業。

災變對策 (技25)
有關災變的因應只有一個要求，就是為了預防資訊中心發生災難而導致所有系統功能完全喪失，組織需備有災變備援中心，以便能讓相關服務能夠及早回復。

資料保護 (技26-技34)
在資料保護方面，一共有9項要求，主要著重在防止資料外洩和被竄改破壞，需要建立相關的檢核機制。所以它的要求從最基本的密碼不顯示不印錄等措施開始，在資料傳輸過程中必須實施加密，重要資料於儲存時也要進行亂碼化處理。而為了保護資料本身，除了要求檔案存取時要具有排他機制外，對於存取資料的人員、應用程式和檔案，也要求應具有檢核與剔除的功能，對於帳務相關的主檔和交易日誌檔案等，也要具備相互勾稽的機制，以預防資料受到不當的竄改。

防止非法使用 (技35-技48)
這裡一共有15項管控要求，主要重點在於存取權限的確認、交易範圍的限制，以及防止偽冒欺詐的情況發生，所以其要求包括了偵測非法使用ID的功能、系統的日誌和歷史資料的保護、發生事故時限制交易或停止交易的機制、卡片的偽冒和電子儲值資訊的保護等。另外，網路安全的相關措施，包括偵測非法的網路入侵、確保不必要的設備存取重要網路、非法存取與異常交易的監控，以及萬一真的發現非法入侵和存取時應變機制和復原程序，也是防止非法使用的要求重點。

防止非法之程式 (技49-技51)
這3個項目主要是著重在惡意程式的防禦，包括如何在系統開發、維護、營運中防止電腦病毒的入侵，以及是否設置了偵測和檢查機制以降低被感染的風險，還有萬一真的被惡意程式感染時，如何進行適當的隔離和清除，降低對資訊系統的影響，都是組織需要進行評估的要求內容。

金融相關產業都應及早遵循

目前，除了金融機構因應銀行公會之要求，需要依照電腦系統的重要性類別，定期實施資安評估作業並產出報告之外，已經有其他相關的產業公會也比照此一要求來通知其會員公司辦理。目前已經正式行文的包括「壽險業辦理電腦系統資訊安全評估作業原則」、「產險業辦理電腦系統資訊安全評估作業原則」、「信用合作社辦理電腦系統資訊安全評估辦法」、「保險代理人公司辦理資訊安全評估作業原則」、「保險經紀人辦理電腦系統資訊安全評估作業原則」等。因此，如果組織本身隸屬於以上的產業，為了能夠更有效地管控資安風險，應及早規畫並依據作業辦法之要求，指派內部的專業人員，或是尋求外部單位的協助來定期執行資安評估，以遵循主管機關之期望要求。(本文刊載於2017年5月號網管人雜誌)

參考資料

金融機構辦理電腦系統資訊安全評估辦法
金融機構資訊系統安全基準

[專欄] 強化組織的資訊韌性因應惡意挑戰並克服難關

Thu, 20 Jul 2017 07:05:00 +0000

在資訊時代瞬息萬變的局勢下，組織要如何才能夠永續經營？一旦面臨困難挑戰，發展組織韌性(Organizational Resilience)將會是危機中的逆轉關鍵，所謂的韌性是指組織能夠預測、準備和應對可能突發的營運危機，擁有充份的能力可以因應變化，最後得以持續生存並且繁榮興盛。

在今年農曆春節結束後開工的第一週，台灣有十家以上的證券業者遭遇了勒索式的網路阻斷服務攻擊，巨大的攻擊流量對於資訊系統的運作造成了重大的影響，同時也考驗了組織面對外來威脅的應變機制和能力。根據BSI英國標準協會過去對於資訊部門主管所做的調查結果指出，有九成以上的受訪者坦言其組織曾經遭遇過來自網路的攻擊，更有五成的受訪者表示因為駭客試圖入侵或是惡意程式的潛伏運作，而使組織蒙受經營上的損失。

無論是大企業或是小公司，當面對來自四面八方的網路攻擊，或是潛藏在組織中伺機發作的惡意軟體，具備足夠的資訊韌性將是必要的生存要素之一，有韌性的組織可以藉由更好的供應商和產品工具的協助，建立標準化且迅速的事件回應處理流程，加上擁有足夠資安意識和應變能力的專業人員，能夠協助組織克服危機帶來的考驗，也就是說，具備資訊韌性除了可以確保業務的持續運作，更可同時維護重要資訊的安全。

有關組織韌性的國際標準

BS 65000是BSI在2014年底所發布的英國國家標準，它是有關組織韌性的最佳實務指引，目前，正在發展中的ISO 22316更以它為本，將初稿內容公開以徵詢各方意見，未來即將成為正式的國際標準。BS 65000除了針對韌性的本質給予清楚的描述，也提到了發展組織韌性的方法，也就是透過整合現有的作業流程，讓複雜的組織運作能夠透過協同運作的方式，建立組織因應各項問題的能力。根據經濟學人的研究指出，組織韌性已是現代企業邁向成功的驅動力，它主要包括了以下三大領域：

營運韌性 (Operational Resilience) - 聚焦於提升組織的營運能力，強化產品、服務與流程的績效和永續性，進一步防範組織在財務與聲譽方面受到損害。

資訊韌性 (Information Resilience) - 管理組織的實體與數位資訊，強調資訊的生命週期管理，從資訊的產生到終止，讓各方的利害關係人都能安全且有效率地取得、儲存及使用資訊。

供應鏈韌性 (Supply chain resilience) – 它是量化與緩和供應鏈風險的能力，包含了採購、製造、運輸、銷售的生命週期，以適當的管理機制將供應鏈中斷的衝擊減至最小，並且保護組織免於財務和聲譽的損害。

發展資訊韌性的四大基礎

在現今的資訊時代，組織需要有足夠的能力去保護敏感資訊，也需要被客戶信賴。隨著資訊化的腳步愈來愈快，組織也面臨了伴隨而來的各種安全威脅，像是資訊詐騙、商業間諜及惡意破壞等。如今，大部份的威脅已不是來自於外部，而是來自於內部缺少適當的安全控制措施，並且也包括使用新興科技的雲端服務，還有委外的商業資訊和個人資料處理，也擴大了可能的安全議題。

對組織而言，為了獲得利害關係人像是客戶的信任，導入有效的資訊安全管理(ISMS)體系已是強化資訊韌性的必要做法，而且還要讓它進一步融入於組織的文化之中，以支持在各個層級的內部營運和商務運作。基本上，在資訊從產生到終止的生命週期中，一個有韌性的組織必須考量從實體面、數位面來管理所擁有的資訊，並且在流程面採取資安內化的角度，讓資訊能夠安全且有效率地被蒐集、存取和利用。

對於想要強化資訊韌性的組織，以下四個層面將是必要的發展基礎：

管理和保護資訊：首先組織必須了解需要妥善保護的資訊有哪些，這部分可以藉由盤點關鍵的營運流程和相關的資訊資產來進行。另外，對於資訊本身的生命週期，包括創建、處理、儲存、傳輸及銷毀的過程，也需要清楚的識別其作業方式和保留記錄。對組織而言，管制資訊的出入口是第一道防線，若能及時實施適當的存取控制，就可以大幅降低資訊外洩的風險。
防護資訊基礎設施：組織內部與資訊處理相關的基礎設施，除了包括所在場域維持運作所需的基本公共服務，例如網路、電力、水力等，也涵蓋了自行管理的資訊設備、電腦機房和資料中心。換句話說，實體安全的控制是防護基礎設施重要的一環，無論是位於場所內或場所外的資訊設備，都需要事先評估無法運作時的風險。因此，組織需要制定對應的備援機制和營運持續計畫，同時還要安排定期的演練，確認相關計畫在災難發生時的可行性。
強化信任和聲譽：組織想要長期的生存發展，並不是單靠本身的力量即可達成，尤其是許多的資訊服務與資源，可能來自於協力的廠商業者，因此，除了要主動強化彼此的信任合作關係，打造可信賴的資訊服務，還要去維持良好的供應商關係，進一步強化組織聲譽以成為重要供應鍊中的一環，以便讓業務得以長期的擴展。
確保法令法規的遵循：對於組織來說，要求遵循適用的法令法規已是必要的責任和義務，隨著組織規模的擴大和資訊服務的無遠弗屆，除了了解當地的法令法規要求，更需要進一步了解業務範圍內的各國法規，否則一旦適法性受到質疑，伴隨而來的法律議題將會危及組織的生存發展，所以組織也需要有法規專業人才的協助，確保法令法規的遵循要求。

結合管理系統以提升資訊韌性

為了強化組織韌性，結合受到全球認可與導入，並且適用於各種產業與規模的管理系統標準，已是形塑組織內部文化與建構資訊韌性的最佳方法，以下是與提升資訊韌性密切相關的管理系統標準，可以作為組織的參考。

ISO/IEC 27001 資訊安全管理系統
ISO/IEC 27001是受到業界廣泛認可的資安管理標準，它定義了資訊安全管理系統(ISMS)的基本要求，這項標準的設計是確保有充分、適當的安全控制措施，協助組織保護其重要的資訊資產。導入ISO/IEC 27001可增強包括客戶在內的利害相關人各方的信心，它適合於全球任何規模和行業的組織，尤其適合於影響關鍵業務及特別需要安全保護的組織資訊。

ISO 20000 IT服務管理系統
資訊科技已是支持組織日常營運的重要支柱，不管員工位於何處或負責何種業務，任何規模的組織都需要仰賴有效的IT 服務管理，以達成服務績效和營運要求。IT 服務除了具有成本效益之外，還必須達成可靠性、一致性及有效性，無論是管理企業內部的IT服務，或是針對提供 IT 服務的委外服務業者，ISO 20000都能協助組織達成以上目標，並且可以因應不同產業的快速變化，提升資訊技術基礎架構(ITIL)來滿足業務所需。

ISO 22301 營運持續管理系統
對於可能造成營運中斷的風險，ISO 22301提供了正式的營運持續管理架構，藉由營運衝擊分析來協助組織發展出營運持續計畫，以便在發生重大衝擊事件期間和之後還能夠持續地營運。若組織能有效遵循所制訂的營運持續計畫，將可減少中斷事故所造成的衝擊和影響，確保組織有能力快速恢復正常營運，並持續提供客戶所需的服務及產品。

ISO 31000 風險管理標準
組織若採取有效的風險管理策略，可以幫助在事前進行危機分析和風險評估。因此，參考ISO 31000標準所提供全面性的原則和準則，能夠協助組織鑑別所面臨的風險。此一標準適用於大部分的業務營運活動，不論是公務機關或私人企業，都能藉由標準指引來建立風險管理機制，針對可能的風險進行評估，並且針對不可接受的風險進行風險處理。

強化資訊韌性迎向未來挑戰

依據經濟學人智庫(The Economist Intelligence)針對全球411位企業高階主管的調查指出，有八成以上的受訪者認為韌性是組織營運發展的關鍵要素，並且是業務長期發展的必要條件，但是目前僅有三成的組織已實施相關的做法，因此相當需要實務上的指引和協助。

在資訊變動快速的年代，面對未來許多不可知的風險，組織可藉由發展資訊韌性，仔細地審視在整個資訊生命週期之中，包括產品、人員、流程存在著哪些可能的風險，再透過管理系統的導入與相互合作，落實風險管理並強化日常維運的基礎，正所謂「適者生存」，組織唯有具備了強建的韌性體魄，才有充分能力因應未來更多的挑戰。
(本文刊載於2017年4月號網管人雜誌)

[專欄] 以ISO/IEC 27018 強化雲端上的個資安全

Mon, 10 Apr 2017 17:06:00 +0000

隨著個人資料保護法的實施和民眾對於個人隱私保護意識的增加，對於日漸普及的雲端服務，一旦包含了民眾的個人資料處理，對於資訊安全要求就顯得更加重要。對雲端服務提供商而言，如何讓雲端服務的客戶和其使用者，能夠信賴雲端服務的安全機制，並且願意使用雲端服務，透過取得國際標準的認證，將是一個最佳的展現方式。

由於科技的進步，傳統的商業模式和服務，時至今日已經逐漸轉型，透過高度資訊化和方便的網路連結，讓各項交易和服務能夠以更即時的方式來運作。目前，應用雲端運算的強大資源，資訊服務也能夠以更有效率且節約成本的方式，傳遞給不分國界的使用者。在使用雲端科技方面，關於服務本身的透明度與資料的安全性，已是受到普遍關注的議題。以公有雲的服務來說，某種程度上就是一種委外服務，就像傳統的金融服務一樣，民眾在考量是否要將貴重物品或金錢存放在某家銀行時，主要考量的要素就是銀行是不是值得讓人信賴。同理，雲端服務客戶在採用雲端服務時，也會關心自己重要且有價值的資訊，是否能夠獲得雲端服務提供商妥善且安全地處理。

目前，藉由與資訊安全標準ISO/IEC 27001的結合，ISO/IEC 27018提供了雲端服務提供商一個在處理個人可識別資訊(PII)時，可以參考的最佳實務指引。這本標準的重點在於協助公有雲服務提供商在扮演PII處理者時，有足夠能力去處理公有雲服務的資安議題，並且在能夠滿足客戶合約和法令法規的前提下，有效地因應雲端上個人資料保護的特定風險。

取得ISO/IEC 27018的必要條件

有鑑於ISO/IEC 27018對於個人資料保護之要求相當完備，並且需要由獨立的第三方實施現場查核，藉由稽核過程中所獲得的客觀證據，才可作為業者已經遵循實施此一國際標準的佐證，這已經是業界公認在雲端服務上保護個資的有效機制。

基本上，適用此一標準而可以進行驗證的組織，以雲端服務提供商為主，而且是提供了公有雲服務，其業務型態包括了個人資料的蒐集、處裡、利用或傳輸等。ISO/IEC 27018要求在服務使用者同意的情況下，針對個人資料生命週期的各個階段，都需要採取適當的保護措施。同時，雲端服務提供商也有義務，需要對雲端服務客戶說明如何確保資料的完整性和透明性等議題，並且尊重使用者對於其個人資料的主張權益。

對於雲端服務提供商來說，在導入ISO/IEC 27018之後，所產生的效益包括了：

增加使用者的信任：提供更強的安全保護機制，以確認雲端服務客戶和利害關係人的個人資料已經受到妥善的保護。
強化商業競爭力：比同業的競爭對手提供更高層次的個資保護措施。
保護品牌和商譽：降低因資安或資料外洩事件的發生，以保護組織的聲譽。
有效降低資安風險：藉由實施風險評鑑的過程來選擇適當的控制措施，可有效地管理可能的資安風險。
協助組織營運成長：對於跨國的企業或提供不同國家服務的雲端服務提供商，可以提供一個共同的規範準則，協助組織更容易地在世界各地提供公眾使用的雲端服務。

ISO/IEC 27018國際標準的架構

ISO/IEC 27018標準的內容主要由兩個部份組成，它分別參考了ISO/IEC 27001附錄A，也就是ISO/IEC 27002的16項控制措施，以及根據ISO/IEC 29100的11項隱私權框架原則所追加的25項控制措施。以下僅針對個資隱私保護原則的部份，做簡要的說明。

1. 同意及選擇：這項要求只有追加一個「A.1.1 有關個人資料當事人權利的合作義務」控制措施，主要是要求公有雲的個資處理者，應該要提供個資當事人能行使其個資權利的方式，包括有能力可存取、更正或刪除屬於他們的個人資料。

2. 目的適法性及規定：這項要求包括了「A.2.1 公有雲PII處理者的目的」和「A.2.2 公有雲PII處理者的商業使用」二個控制措施，主要是要求公有雲的個資處理者應該要基於合約的使用目的，不能以獨立於合約的其他任何目的來處理個人資料，除非以重新獲得當事人的同意。另外，在商業使用方面，在沒有獲得同意之前，不應將個人資料作為行銷和廣告的目的來使用，而且也不應該以此作為客戶接受此項服務的條件，換句話說，應給予雲端服務客戶可以自由選擇的權利。

3. 資料極小化：這項要求的控制措施是「A.4.1 暫時性檔案的安全刪除」，主要是針對在處理個資的過程中，可能會產生許多暫時性的檔案，像是個資編輯修改的記錄、存取的日誌記錄、修改的副本暫存檔等，由於內容也可能涉及個資，因此應在指定或所約定的期間內被刪除或銷毀。

4. 利用、持有及揭露限制：這項要求包括了「A.5.1 PII揭露的告知」和「A.5.2 PII揭露的紀錄」，主要是規範當公有雲的業者遇到來自執法單位的具有法律約束力的個資揭露要求時，需要按照合約所約定的程序和時間，通知受影響的雲端服務客戶，除非是受到法律或其他方式要求禁止通知。此外，對於第三方揭露個資時，需要明確地記錄對誰？在什麼時間？揭露了哪些資料？目前實務上，可以透過定期提供透明度報告來向客戶告知相關訊息。

5. 公開、透明及告知：這項要求的控制措施是「A.7.1 委外PII處理的揭露」，它規範了公有雲業者若是採用分包商來處理個資時，需要在採用之前向相關的雲端服務客戶說明採用的方式和委外的情況。

6. 可歸責性：這項要求的控制措施，包括了「A.9.1 通知涉及PII的洩漏」、「A.9.2 管理的安全政策及指引的保存期間」及「A.9.3 PII的返還、傳輸及汰除」，主要是要求公有雲業者在任何未經授權存取個資，或是發生個資遺失、洩露或竄改時，應及時地通知相關的雲端服務客戶。另外，業者還需要保存服務提供期間的安全政策和作業程序副本，並在定期地更新，而且需要說明有關個資的返還、傳輸及汰除的政策內容，讓雲端服務客戶可以了解其作業方式。

7. 資訊安全：在資訊安全的要求方面，所要求的控制措施是最多的，包括了「A.10.1 機密性或保密協議」、「A.10.2 建立實體資料的限制」、「A.10.3 資料還原的控制和記錄」、「A.10.4 保護離開場所的儲存媒體上的資料」、「A.10.5 未加密可攜式媒體和裝置的使用」、「A.10.6 PII透過公眾網路傳輸的加密」、「A.10.7 實體資料的安全汰除」、「A.10.8 獨特的使用者ID」、「A.10.9 經授權使用者的記錄」、「A.10.10 使用者ID管理」、「A.10.11 合約措施」、「A.10.12 委外PII處理」，以及「A.10.13 先前使用的資料儲存空間上的資料存取」。
首先是保密的要求，對於有能力可以存取個資的工作人員，需具有保密的義務；針對個資方面，如果創建產生可顯示個資的實體文件，則需要受到限制；當業者進行資料還原時，需要記錄還原過程的程序和記錄；含有個資的儲存媒體，如磁碟、磁帶、光碟等需離開組織場所時，要經過適當授權和保護，而未加密的儲存媒體或可攜式裝置原則上是不該被使用的，若是在不可避免的情況下，則需要留下記錄；在透過公眾網路傳輸個資時，資料在傳輸前需經過加密處理，實體資料若需要汰除，應採取安全的機制，像是交叉切割、焚燒或水銷等方式銷毀；業者內部需要存取個資的工作人員，都要使用唯一的識別帳號以適當的區隔和授權，並且記錄使用者的活動概況，如果是已停用或過期的帳號，則不應再指派給其他人員使用；在合約方面，應明確說明所採取的安全措施，以確保資料不會被目的以外的方式進行處理；需要進行分包處理時，也應明確說明相關的處理程序和個資保護責任；因為雲端服務共同資源的特性，若先前使用過的資料儲存空間，要重新分配給其他用戶時，也要確保先前儲存的資料是不可見的。

8. 隱私遵循：這項要求的控制措施，包括了「A.11.1 個人資料的地理位置」和「A.11.2 個人資料的預期目的地」，由於雲端服務跨國的特性，主要是規範業者需明確說明，個資可能會被儲存在哪些國家。另外，若是透過網路來傳輸個資，也需要採取適當控制措施來確保資料可到達其預定的目的地。

以標準做法和國際服務要求接軌

ISO/IEC 27018是全世界第一個針對雲端服務提供商如何在公有雲上保護個人資料的國際標準，已順利通過ISO/IEC 27018的雲端服務提供商，可以宣告基於此國際標準的要求，對於雲端服務上個人資料的蒐集、處裡、利用或傳輸等，已經受到適當有效的安全保護。目前，已經通過驗證的雲端服務提供商，包括了微軟的Azure和Office 365、Amazon的AWS、Google、Dropbox、Box.com、香港的Ribose、日本的HDE和TKC、韓國的NAVER Business Platform Corp.等業者，期許台灣的雲端服務提供商，也能參考此一國際標準的要求，及早取得證書來和國際業界接軌。
(本文刊載於2017年2月號網管人雜誌)

[專欄] 導入ISO/IEC 27017 擴展安全控制措施至雲端之上

Wed, 15 Feb 2017 10:41:00 +0000

雲端運算可無限擴展延伸的特性，已吸引了眾多組織的採納和運用，但是從資訊安全的角度來看，無論是大型的跨國企業像是Amazon和Google，或是單一國家或地區的中小型公司，包括雲端服務提供商和客戶雙方，都需要一套適合且有效的方式去管控基於雲端服務的資料和系統安全。

依據2016年11月由雲端安全聯盟和EY China所聯合發表針對金融服務產業的研究報告指出，百分之47.9的金融服務組織目前正在規劃和雲端有關的策略，但也有百分之54.2的組織指出，目前內部尚未針對雲端服務的資料安全定義需要遵循的法規。另外，百分之37.5的受訪者認為目前最大的雲端威脅，來自於管理階層缺少雲端安全管理的領導力，其主要原因是管理階層對於雲端安全的規範缺少了解和重視。

關於雲端服務的資安管理，除了可參考廣泛適用的ISO/IEC 27001標準之外，在國際標準方面，ISO/IEC 27017提供了ISO 27002與雲端相關的控制措施實施指引，更提供了針對雲端服務的額外安全控制措施。ISO/IEC 27017標準適用於所有類型和規模大小的組織，無論是自建的雲端服務或是透過購買所獲得的雲端服務，以及雲端服務提供商本身，皆可透過此一標準的指引，強化所提供或所使用的雲端服務的安全。

導入ISO/IEC 27017所帶來的優勢

根據研究調查指出，有五成的組織其實不太清楚他們所採用的雲端服務提供商，到底是如何去監控和保護其雲端上的相關資料。雲端服務某種程度上其實是一種委外關係，好的商業關係來自於所提供服務的透明性，讓兩造雙方有足夠的理解和信任，讓彼此能夠各取所需，而ISO/IEC 27017能夠幫助雙方清楚地定義雲端服務提供商和雲端服務客戶之間的責任，避免可能在服務過程中所產生的歧見，導致服務的窒礙難行。

一般而言，藉由導入ISO/IEC 27017標準，對於雲端服務提供商和使用服務的客戶所帶來的好處包括了：

增加客戶對服務的信任度：對客戶和利害關係人提供更多的保障，特別是針對資料的保護，雲端服務客戶可以要求雲端服務提供商提供安全功能及其說明，以確認是否符合使用者的安全需求與期望。

強化市場的競爭力：雲端服務提供商可針對雲端服務的資料安全，展現強而有力的控制措施。

保護品牌和商譽：降低可能因為使用雲端服務發生資料外洩事件，導致對於組織商譽的傷害和品牌的影響。

強化組織安全和減少風險：藉由使用雲端服務提供商所提供的安全功能，雲端服務客戶可以間接強化其系統或服務的安全性，並且確保所識別出來的風險，已經受到適當地管理，降低可能影響組織營運的衝擊。

擴展業務的商機：雲端服務並沒有疆域的限制，在全球的市場，雲端服務提供商都可藉此展現標準化的資安管控機制，以滿足不同國家的雲端服務客戶需求。

雲端服務專屬的控制措施

ISO/IEC 27017標準除了引用37個來自於ISO/IEC 27002的控制措施，並且還額外提供了7個專門針對雲端服務的安全控制措施，以下是這些專屬控制措施的簡要說明。

CLD.6.3.1 在雲端運算環境內共享的角色和責任
針對內部組織的管理，ISO/IEC 27017增加了「CLD.6.3.1 在雲端運算環境內共享的角色和責任」這項控制措施，主要是為了釐清在雲端服務中，雲端服務供應商和雲端服務客戶雙方的責任。在過去，對許多採用廠商所提供服務的客戶而言，往往會認為相關的安全責任，在支付了費用之後，應該都要由廠商來處理和負責。但事實上，由於雲端服務的共享特性，對於使用雲端服務的客戶而言，自己也具有一定的安全責任。

以這項控制措施為例，對於雲端服務提供商的要求為應透過書面化的協議方式，載明在提供服務的過程和雲端中，所參與的各方之角色與責任，包括了服務提供商、服務提供商所採用的軟硬體供應商，以及使用雲端服務之客戶等。同時，如果屬於跨國提供的雲端服務，也需要主動告知客戶有關其資料可能儲存的國家或地理位置。

站在雲端服務客戶的角度來看，雲端服務其實也是內部資訊服務的延伸，所以此一控制措施要求雲端服務客戶需要評估現有的資安政策和程序是否同樣可適用於雲端服務，同時還需要了解雲端服務提供商能提供的支援和連繫方式，並且識別和提供或使用雲端服務時有關的權責機關，像是目的事業主管機關或地方政府的主管單位等。

CLD.8.1.5 雲端服務客戶資產的移除
許多雲端服務的使用者擔心，一旦結束服務服務的合約之後，相關資料的歸屬該如何去認定？從標準的控制措施要求來看，在資產管理方面，服務提供商除了以資產清冊來載明雲端服務的客戶資料和透過雲端服務所獲取的資料外，也需要在服務協議中說明一旦合約中止時，客戶資產的返還和移除方式。相對地，雲端服務的客戶一開始也需要以文件化的方式，要求服務提供商敘述在終止服務時的作業流程，清楚了解有關資訊資產後續的處理方式。

CLD.9.5.1虛擬運算環境的區隔
在雲端服務的環境中，雲端服務提供商採用虛擬化技術，來達成快速且彈性的虛擬主機、應用程式、網路架構及儲存空間等服務，已是非常普遍的運作方式。在虛擬化的環境之中，雲端服務提供商有點類似房東的角色，所有的雲端客戶是以承租戶的方式來共享資源，因此在虛擬環境的配置和資料保護方面，這項控制措施的要求，目的是為了在多重租戶的環境中，適當區隔不同的雲端服務客戶所使用的資源，並且也要和雲端服務提供商本身的管理環境相互區隔，以達成彼此互不干擾，資料不會發生意外共享的情況，保護和區分客戶所使用的虛擬環境。

CLD.9.5.2 虛擬機器的強化
同樣和虛擬化技術的運用有關，這項控制措施是要求在設置虛擬主機時，雲端服務客戶和雲端服務提供商都應該確認所採用虛擬主機的安全性，透過實施適當的技術來強化所使用的虛擬機器的安全，其重點包括了評估需要使用的通訊埠、通訊協定及啟用的服務，以及虛擬主機本身是否具備防範惡意程式的軟體，並提供相關安全性事件和系統日誌記錄等，這些都可以強化虛擬主機運作時的安全。

CLD.12.1.5 管理者的操作安全
在雲端服務的運作程序和責任方面，為了建立雲端環境中可管理的機制，降低因運作或操作失誤所帶來的風險，這項控制措施要求雲端服務客戶需要了解在雲端環境中操作失效可能造成的影響，事先以文件化方式建立關鍵的操作程序，包括了如何安裝、變更和刪除虛擬機器，一旦不使用雲端服務時的中止程序，以及資料的備份和回存方式等。相對地對雲端服務提供商來說，就需要因應客戶的要求，適時且充分的提供有關雲端服務的操作和作業程序文件給客戶參考使用。

CLD.12.4.5 雲端服務的監視
為了強化服務的透明性，增加服務雙方的信任，這項控制措施要求雲端服務提供商需要提供日誌存錄的功能給客戶，讓客戶有能力監控其雲端服務的運作，包括了監視和偵測雲端服務是否會作為攻擊他人的平台，或是敏感資料可能從雲端服務上外洩，這項能力同時也需要考量到在共享的雲端環境中，應限制每個客戶只能存取其自身的雲端服務資訊，並提供客戶有關服務監視功能的操作程序文件。換句話說，雲端服務客戶也應該要求雲端服務提供商，提供所需的每一個雲端服務的監視功能資訊。

CLD.13.1.4 虛擬和實體網路安全管理的一致性
針對網路管理的安全要求，考量到雲端環境中大量運作虛擬化技術來架構所提供的應用服務，這項控制措施要求雲端服務提供商應以文件化方式來定義有關虛擬網路的安全政策，並且要和實體網路的安全管理維持一致性。這也就是說，服務提供商需要確認不管是採用了何種虛擬網路的技術，其網路組態和設定都需要與既定的資訊安全政策相符，才能有效管制雲端服務的網路安全。

將安全控制措施延伸至雲端

就個人訪談並稽核許多組織的經驗，有資訊人員相當熱烈擁抱雲端服務，但也有管理階層對於雲端服務還是一直裹足不前，事實上雲端服務本身並不是洪水猛獸，許多的安全風險不是來自於雲端服務本身，而是對於服務的不了解而無法採取適當的管理作為。在這種情況下，參考國際標準的管理要求就是最佳的實務做法，組織可以將現有的安全控管機制，逐步地延伸到雲端之上，讓雲端運算的技術和服務成為組織的助力，所以請試著往前走，從了解標準的內容開始，作為迎向雲端未來的第一步。
(本文刊載於2017年1月號網管人雜誌)

[專欄] 評估雲端服務安全性就從認識國際標準開始

Wed, 18 Jan 2017 16:06:00 +0000

隨著雲端服務的應用愈來愈普及，到底該如何評估雲端服務的安全性？這時服務提供商是否取得了相關的國際認證，就成為重要的參考指標。

時至今日，有許多的政府單位和企業組織已逐漸地採用各式各樣的雲端服務，例如：雲端上的郵件服務、儲存空間、應用軟體及虛擬主機等。在採用雲端服務的效益方面，對於使用雲端服務已經數年的組織而言，都相當地肯定雲端服務的確為組織強化了資訊服務可用性、降低了營運成本，以及帶來高度彈性可擴充的能力。

根據Crowd Research Partners最新發佈的2016雲端安全研究報告指出，在受訪者中有91%的組織對於雲端服務的安全性仍是相當關注的，也就是說，目前影響組織採用雲端服務主要障礙，還是來自於安全的疑慮、擔心資料遺失或外洩風險，以及需合乎相關法令法規的要求等。但對資訊人員而言，調查顯示最頭痛的問題則是如何確認雲端服務的安全政策與組織的要求一致、如何了解基礎設施的可見度，以及確保雲端服務能夠和既有的資安法規和標準要求接軌等三項議題。

事實上，雲端安全的相關議題的確突顯了現今的雲端服務，無論是站在使用者的角度要選擇安全可靠的服務提供商，或是站在服務提供商的角度來確保雲端服務的安全性，都迫切需要找到一個彼此認可且具有公正性、代表性的指標，才能作為評估的基礎，而參考雲端安全相關的國際標準，就成為一個最佳的解決方案。

選擇最適用的雲端國際標準目前和雲端安全有關的認證和國際標準主要有三個，分別是CSA STAR認證、ISO /IEC 27017和ISO/IEC 27018，以下分別簡要地說明標準的特性和其適用的驗證對象。

圖1 雲端安全三大國際標準之適用對象

CSA STAR
CSA STAR認證是在2013年底由雲端安全聯盟(CSA)和英國標準協會(BSI)，共同宣佈針對雲端服務提供商所實施的國際認證，這項認證是基於通過ISO/IEC 27001資訊安全管理系統(ISMS)的要求，並且再藉由實施雲端控制矩陣(CCM)的控制措施，以成熟度的方式來評估雲端服務提供商的安全水準，藉此來突顯組織可能需要持續改善的區域，並且確保標準的符合性，不會成為組織對於資安的最低要求。有關取得CSA STAR認證的必要條件和評估方式，可參考先前的「展現雲端服務的安全成熟度-及早取得STAR認證」一文。

ISO/IEC 27017
ISO/IEC 27017是由ISO組織在2015年12月15日正式公布的雲端安全國際標準，基本上它仍採用ISO/IEC 27001附錄A所要求的控制措施，不過針對雲端安全的部份，它也要求強化了對於雲端服務相關人員的職責區隔、虛擬環境的隔離、虛擬主機的強化、虛擬網路的管理，以及系統管理者的操作安全和雲端服務的監控機制等。

基本上，ISO/IEC 27017不是一個獨立可驗證的標準，而是必須以ISO/IEC 27001做為基礎，在雲端服務的範圍內先取得ISO/IEC 27001證書後，再經由第三方的稽核驗證來證明組織同樣也實施遵循了ISO/IEC 27017有關雲端安全的要求。

ISO/IEC 27017使用了延伸自ISO/IEC 27001的37個控制措施，並且再加上7個增項的控制措施，在標準中特別強調在雲端服務中，客戶和提供商各自需要負起的安全責任。以ISO/IEC 27001附錄A中「A.6.1.1 資訊安全之角色及責任」為例，在ISO/IEC 27017中針對雲端服務使用者的要求是「雲端服務客戶應以書面化的協議載明雙方於雲端運算環境內的資訊安全角色及責任，並且應識別和管理雲端服務提供商的客戶支援和關懷功能」。而針對雲端服務提供商方面，則是要求「雲端服務提供商應和雲端服務客戶、本身服務的提供商、和它的供應者以書面化的協議載明各自於雲端運算環境內的資訊安全角色及責任。」

另外，以「CLD 12.4.5 雲端服務的監視」增項的控制措施為例，對雲端服務使用者的要求是「雲端服務客戶應向雲端服務提供商要求每一個雲端服務的監視功能資訊」。而針對雲端服務提供商方面，則是要求「雲端服務提供商應提供日誌存錄的功能給客戶；應讓客戶能監視其雲端服務的運作，例如: 監視和偵測雲端服務是否作為攻擊他人的平台，或是敏感資料從雲端服務上外洩；適當的存取控制應保全監視功能的使用，讓每個客戶只能存取自身雲端服務的資訊；應提供雲端服務客戶服務監視功能的文件；監視應提供與A.12.4.1事件日誌一致的資訊和支持SLA條款。」

ISO/IEC 27018
ISO/IEC 27018是在2014年正式公佈，也是第一個為公有雲上的個人資料保護，所提供可驗證的國際標準，對服務提供商而言，可以作為雲端個資管理的作業規範，實施其所要求的控制措施，藉此消除使用者對雲端服務處理個資的不信任感，也可解決其所關切的個資保護相關議題。

ISO/IEC 27018採用了延伸自ISO/IEC 27001的16個控制措施，並且再加上25個延伸自ISO/IEC 29100隱私保護框架的控制措施，在標準中特別規範了在公有雲環境的個人可識別資訊的處理者，依據相關協議或合約要求處理個人資料時應遵循的作業要求。ISO/IEC 27018主要的目的就是為了要協助雲端服務使用者和提供商之間的協議契約化，要求服務提供商確實遵守法規和合約的要求，使雲端服務的相關事項更加透明，以達成公有雲上個資保護的目標。

ISO/IEC 27018本身的獨特性在於讓服務提供商在提供雲端服務前，就能夠在合約或協議中透明地呈現其所提供的雲端服務，有關個人資料保護的機制，例如：清楚說明處理個人資料的目的、個資留存的期間、委外作業處理的方式，以及所實施的隱私保護措施等。而在提供雲端服務的期間，也讓使用者有能力可控制自身的資料，同時依據合約要求不會將個資用於行銷用途，並且記錄任何對於使用者個人資料的異動，主動將這些異動資訊提供給使用者確認。萬一真的發生相關的資料外洩或需揭露資料給第三方時，提供及時通知的機制，並且記錄任何來自於主管機關或法院要求，依法定義務或責任需揭露的個人資料。

圖2 雲端安全國際標準驗證方案與準則

ISO/IEC 27001仍是雲端安全的基礎

目前，這三個雲端服務國際標準，驗證的前提是要先取得ISO/IEC 27001的認證，並且涵蓋所使用或所提供雲端服務的範圍。三個標準的主要差異在於，CSA STAR的驗證對象是雲端服務提供商，確認其有足夠的能力來管理雲端服務的資訊安全，而ISO/IEC 27017的驗證對象則不限，適用於各行各業包括雲端服務的使用者和提供商，都可以藉由導入這個標準的要求，來強化雲端服務的控制措施，達到風險管理的目標。最後，ISO/IEC 27018的驗證對象則是公有雲雲端服務的提供商，目的是要強化公有雲上的個人資料管理與隱私保護，以確保使用者利用雲端服務所處理的個人資料，都能獲得適當的安全控管。

所以，從雲端服務使用者的角度而言，除了自己可以導入ISO/IEC 27017雲端服務的安全控制措施之外，在選擇雲端服務提供商的時候，也可以將是否已取得CSA STAR、ISO/IEC 27017和ISO/IEC 27018認證的廠商，作為最佳的評選依據。而從雲端服務提供商的角度來看，主動積極地取得雲端服務國際標準的認證，對於取得使用者的信任，以及強化市場的競爭力，都會產生大大加分的效果，實務上也可以讓服務本身的資安管理機制正式和國際接軌，以滿足不同國家使用者的資安要求。
(本文刊載於2016年11月號網管人雜誌)

[專欄] 讓雲端服務安全維護透明化 - 建立隱私等級協議強化用戶信心與資料安全

Tue, 31 Mar 2015 15:16:00 +0000

隨著雲端服務已廣泛地受到個人和企業所使用，隱私維護與個人資料保護，更是用戶和雲端服務供應商，雙方都必須要重視的課題。對服務供應商來說，透過自我的安全評估並展現保護個人資料的決心，將有助於提升用戶的信心，也能強化市場的競爭力。

目前，許多人對於雲端服務仍裹足不前的原因，有很大的一部份是來自於信任的問題，一旦個人或企業將自己擁有的資料上傳至雲端服務之後，就會擔心資料內容是否可能會被竊取或外洩，進而造成企業重大的損失。尤其是如果資料內容包含了個人資料的話，萬一遭到不當的揭露與使用，更可能會違反法令法規的要求，除了會造成企業的聲譽受損，很可能還要面對法律的懲處與求償。

為了強化雲端服務用戶的信心，並且讓業者能夠主動的自我要求與評估，由雲端安全聯盟(CSA)所發佈的PLA隱私等級協議綱要(Privacy Level Agreement Outline)，雖然其主要目的是為了滿足歐盟(EU)對於隱私保護的要求，其實也非常適合作為雲端服務供應商在保護個人資料方面的參考。

基本上，PLA綱要對於個人資料的揭露、隱私維護、資料保護政策、個人資料的處理與儲存方式等，提供了一個良好的文件化架構，一旦服務供應商完成了這項協議，對於現有的用戶和未來的客戶，就可以根據其所展現的實務做法，評估是否可以滿足個資保護的要求，並且作為在評選服務供應商的重要依據。

建立隱私等級協議的目的

企業若採用了雲端服務，與業者的服務等級協議(SLA)往往是不可或缺的，而PLA即可作為雲端服務協議的一部分，更是服務供應商用來評估現有安全措施的一項工具，除了能夠自行檢測是否遵循了個資法規的要求，所展現的結果也能夠充分展現業者對於資料處理的透明性，以及對客戶資料保護所肩負的責任。

PLA的目標有二個，首先是提供了雲端服務用戶一項工具，可以用來評估雲端服務供應商是否信守承諾去保護個人資料；其次則是針對個資外洩可能造成的經濟損失和違反法規時所造成的影響，提供文件化的合約要求與約束。

在雲端安全聯盟所提出的綱要之中，主要宣示了以下幾個重點：

雲端用戶內部與外部的盡職調查評估(due diligence)
可上傳至雲端服務的個人資料類別
雲端資料處理的方式
資料所在位置、傳輸、保存、監控及安全措施
個人資料外洩時的通報
資料可移動性、移轉和傳輸的後端協助
可歸責性(Accountability)
依法實施的存取行動
補救與賠償

PLA的架構與綱要內容

在PLA隱私等級協議綱要中，一共包括了16項要點，雲端服務供應商可在此陳述其所採取的實務做法，透過自我揭露的方式，讓用戶可以得知有關隱私維護與個資保護的現況，確保得以遵守來自內部與外部法規的要求，以下為各項要點的簡要說明。

1. 識別雲端服務供應商的角色和資安隱私相關人員的聯絡方式
在此可說明雲端服務供應商的公司寶號、代表人和營業地點，以及在資料存取與處理過程中所扮演的角色，還有當用戶有資料安全和隱私相關問題時，提供能夠直接聯絡的管道與窗口，以顯示業者相當重視客戶有關安全的疑慮。

2. 客戶禁止在雲端上傳送和處理的個人資料類別
雲端服務供應商可在此說明用戶要求不能在雲端服務中處理的資料類型，常見的像是醫療資料、犯罪前科等特種個資，可能不太適合以公有雲方式來處理。

3. 在雲端上處理資料的方式
雲端服務供應商在其所提供的雲端服務中，隨著所扮演的角色不同，處理資料的方式也會不同，如果服務供應商是屬於資料處理者(processor)，就必須說明因應資料控管者(controller)所要求的資料處理作法有哪些，其中最重要的就是資料處理者不可任意變更資料處理的目的，同時也包括資料儲存的地點、類型、監控方式等。另外，還需要說明有關資料中心對於個人資料的處理方式、存放地點和備份還原機制，如果雲端服務供應商本身採取了外包商的其他服務(例如Dropbox的儲存空間採用的是Amazon S3儲存服務)，也就需要說明外包商在資料處理過程中涉入的程度、應負的安全責任及確保資料安全的作法。如果雲端服務還需要在用戶的電腦中，安裝附加程式如瀏覽器的plug-in等，也需要一併說明其目的和可能的影響。

4. 資料的傳輸
在此可說明資料在正常營運或是在緊急的情況之下，是否會進行跨境的傳輸與備份，如果跨境傳輸是受到法規限制的，也要說明法令的內容與限制的要求。以歐盟為例，如果資料需要傳輸到歐盟以外的國家如美國，就必須說明法律許可進行的方式，以及是否符合了美國的安全港(Safe Harbor)協議。

5. 資料的安全措施
此處可說明雲端服務供應商為了對抗可能發生的資安事件，例如非法的存取使用、資料的遺失與不當揭露等危害資料安全的情況，所採取的技術面和管理面的做法，確認是否可以達成以下的安全目標。

機密性：說明採取了哪些措施來維持機密性，例如在資料傳輸和閒置時實施加密，或是透過資安政策來宣告只有經過授權的員工才能存取資料，以及要求相關人員簽署保密協議，規範不得任意洩露所得知的機密訊息等。
完整性：描述如何確保資料內容的正確與完整，例如透過加密和電子簽章等機制，確認個人資料內容不會遭到竄改等。
可用性：說明資料的備份與備援機制，一旦資安事件發生時，能夠在多少的時間內回復原有的服務與資料。
隔離性：說明如何有效地控管與監督有權可存取個人資料的行為，例如在賦予角色與權限時，是否秉持了最小權限原則，並且定期的進行權限的檢視與審查等，以避免不當授權的情況發生。而針對雲端服務虛擬主機的使用，可說明如何透過hypervisor的運作與管理，確保在同一實體主機下的所有虛擬主機用戶，不會發生不當的資料存取行為。

此外，如果服務供應商還參考並實施了來自其他國際標準的控制措施，例如ISO 27001、CSA CCM等，也可以一併在此描述所實施的內容和範圍。

6. 監控
描述是否讓用戶有權可針對所上傳的個人資料實施監控，或是能夠定期地進行實地審查，如果服務供應商不允許的話，是否可以提供獨立第三方的監控報告，以及委由公正業者來實施安全稽核。另外，針對資料的存取行為，是否可以提供相關的記錄，以確保有能力可識別出未經授權的存取事件發生。

7. 第三方稽核
說明是否有第三方的獨立稽核報告可以提供給用戶，在報告中應呈現稽核的範圍、時間、頻率及發現等，由於報告中可能包括了服務供應商某些敏感的營運資訊，因此實務上通常也會要求索取稽核報告的用戶，必須要簽署保密協議，以避免營運資訊的不當洩露。此外，如果服務供應商允許用戶可挑選適合的稽核員來實施審查，也可以在此說明相關的作業程序和所需負擔的費用成本等事項。

8. 個資侵害事件的通報
說明萬一發生資安事件，造成個人資料受到不當的遺失、揭露、損毀，以及受到非法的存取與利用時，服務供應商所採取的因應措施與通報方式，特別要指出通報的時間與方式，以避免當事人受到更大的損害。

9. 資料可移動性、移轉和傳輸的後端協助
在此指出可移動資料的格式與關聯性，以及任何與移動的資料、應用程式、服務可能會產生的成本與費用。建議具體說明如何協助用戶，將資料移轉至新的服務業者或是內部的IT環境中，所需的作業方式及必須花費的成本。

10. 資料保存、歸還和刪除
描述雲端服務供應商的資料保存政策，以及當服務終止時，如何歸還或銷毀所保存的個人資料。

11. 可歸責性
描述雲端服務供應商有哪些安全政策和程序，能夠確保所提供的雲端服務已符合法令法規的要求，實務上的作法為保存和維護在資料處理過程中所產生的文件化資料，並且提供可信賴的監控方式和登入帳號的記錄。在此也可標示出服務供應商已取得的第三方驗證證書，說明其適用的範圍和有效期間。

12. 協同合作
說明雲端服務供應商將如何與客戶充分合作，以確保符合法令法規和資料保護的要求，以便取信於用戶，並且因應所屬的主管機關進行的審查。

13. 執行法律時的存取行為
說明如何因應執法單位的要求，對所管理的個人資料來提出適當的回應或揭露，同時也會對利害關係人及時發出通知，並且維持在犯罪調查過程中，需要保護的資料機密性。

14. 補救與賠償
說明如果違反了PLA，在發生資安事件時可以提供給用戶的補救與賠償措施，在雲端服務方面，可能的賠償內容包括了損害事項的回復、進行訴訟的花費，以及合約明訂的賠償金額等。

15. 抱怨與爭議的處理
在與個人資料有關的抱怨和爭議中，提供主要可以聯絡的窗口，說明其接受處理問題的方式、回應的時間等，以及可以提供協助的其他資料保護組織等。

16. 雲端服務供應商的保險政策
說明雲端服務供應商的網路保險政策，以及任何有關安全事件的保險事宜。

遵循法規是雲端服務的基本原則

對雲端服務供應商而言，無論提供的是軟體、開發或基礎設施的雲端服務，一旦以商業化的方式來進行，除了確認能夠滿足用戶的需求之外，遵守合約中明訂的安全規範，以及所在區域的法令法規，將是維運雲端服務的基本原則。

對用戶來說，如果需要上傳屬於個人資料的內容至雲端服務，由於受到個資法的規範約束，尤其要特別小心，除了確保必須符合個資蒐集、處理和利用的要求之外，針對服務供應商的安全審查也是不可或缺的，這時候如果有PLA作為一項隱私保護評估的依據，對業者和用戶雙方都可達到事半功倍的效果。(本文刊載於2014年7月號網管人雜誌)

[參考資料] CSA Privacy Level Agreement Outline

[專欄] 確保資訊安全管理持續有效 - 為升級ISO 27001新版標準做好準備

Wed, 10 Dec 2014 13:38:00 +0000

國際知名的資訊安全管理標準ISO 27001，已經在2013年底正式更新了內容，如果您所屬的組織過去已經導入了2005年的標準，現在也應該要為符合最新的標準要求而做好準備，以確保資訊安全管理制度能夠持續有效地運作實施。

隨著時間的改變，資訊安全的問題也變得更加地多樣化，舉例來說，在五年以前，行動化裝置和雲端服務的安全可能都不會是大家注目的焦點，但時至今日，這些資安風險已成為企業組織不得不去面對的重要課題。

在資訊安全的領域，除了駭客攻防的技術之外，資安管理機制也是必要的措施，而國際標準ISO 27001一向是公認最佳的資安實務參考，隨著不同資安風險的出現，國際標準內容的更新有其必要性，同時也可以讓組織能夠持續地因應新的資安問題，以便採取適當的安全控制措施。

了解新舊版本的主要差異

新版ISO 27001標準的內容有著很大的轉變，在架構方面，它採用了管理系統標準可以通用的Annex SL格式，能夠讓導入許多標準(如ISO 9001、ISO 14000、ISO 22301等)的組織在需要整合時，變得更加地容易進行。另外，在所使用的專業術語上，也做了許多的重新定義與安排，讓組織能夠更清楚標準提到的重點與要求。

在內容方面，新版標準的本文內容從舊版的8個章節擴展成為10個章節，在附錄A的控制措施方面，也從11個增加到14個控制領域，但是控制措施經過重新的編排與合併之後，反而從133個減為114個控制措施，對組織來說，新版也可以選用附錄A以外的其他資安控制做法。

至於在實施範圍方面，舊版主要考慮的是業務性質、組織大小、所在位置與資產技術，新版則是從內外部議題和利害關係人的需求與期望出發，在了解組織的背景與運作型態之後，再由管理層來決定其適用的範圍，同時也更加強調應為資訊安全設定明確的目標，並且實施監控和採取適合的量測指標，以確保安全控制的有效性。

新版標準條文的重點提醒

第0~3章簡介、範圍、引用標準及用語釋義
新版標準在這部份，大幅刪減了舊版所提及的內容，並且捨去了過去所強調的PDCA模式，但這並非是認為PDCA已經不重要，而是將重點放在持續改進的要求，若是為了達成此一目標，PDCA仍然是可以運用的方法，但並非是唯一的做法，組織可以依需求自行來選擇。在範圍方面，新版強調第4章到第10章的任何要求都是不能被排除的，否則就無法宣稱已經符合了ISO 27001標準的要求。至於引用標準及用語定義的解釋方面，新版ISO 27001就不再贅述了，而是請讀者參考ISO 27000的標準內容，對於新版增加的專業用語，它也都有詳細的解說。

第4章組織背景
在第4章的組織背景方面，「4.1 了解組織和其背景」的條款中要求，應先了解組織的現況和來自於內外部的期望與需求，然後再去決定ISMS實施的範圍，再建立起實施ISMS的計畫。在這一章節中，新版特別增加了「4.2 了解利害關係人的需求與期望」，所謂的利害關係人包括了內部要求、外部合作夥伴、客戶的期望及法令法規的要求等。

在「4.3 決定ISMS的範圍」中，新版要求必須識別組織內相關的活動，還有委任給第三方來執行的活動，針對所有可能影響達成ISMS預期結果的內外部議題，還可以再參考ISO 31000有關組織內外部的各項活動指引，來決定組織對於資訊安全的要求與適用範圍。

至於ISMS的導入方面，新版「4.4 資訊安全管理系統」將整個管理循環的過程，從建立、實施、運作、監控、審查、維持及改進，改變成為建立、實施、維持和持續改進ISMS，更為簡要符合標準的要求。

第5章領導力
對組織管理階層而言，在新版「5.1 領導力與承諾」條款中，要求必須要有效地展現其領導力和承諾，並且提供ISMS所需要的資源。在「5.2 政策」中則要求應建立符合組織策略發展方向的資訊安全政策，同時也要負責溝通管理ISMS的重要性，確認相關的控制實施皆符合了ISMS的要求，以達成組織預期的結果，最後並可督促組織持續地改進。

在「5.3 組織的角色、責任和授權」方面，管理層需要明確地指派和資訊安全有關的人員角色、執掌與責任，確認相關的工作符合標準的要求，並且回報ISMS的實施績效給更高的管理階層。

第6章計畫
在「6.1 因應風險與機會的行動」方面，需要參考4.1和4.2的結果，思考對於組織可能存在的風險和機會，以便制定出適合組織的風險因應做法。在新版的風險評鑑中，已不再要求必須要先識別出資產及其具有的弱點與威脅，才能找出所面臨的風險，換句話說，組織可以自己選擇風險評鑑的方式，並且參考ISO 31000的風險管理原則與指南，定義出風險擁有者可接受的風險準則。

「6.2 資訊安全目標與計畫」提到，ISMS的目標應與組織的策略發展方向相結合，要求必須在組織相關的功能和層級中建立資訊安全的目標。在這裡的功能，指的是組織內部的運作功能，層級則是指管理的層級，應具體地說明由何人負責、需要哪些資源、在預計的哪個時間達成了什麼工作，最後再針對成果來進行評估。

第7章支援
在支援方面，組織需要決定並提供ISMS所需要的資源(7.1)，以便建立、實施、維持和持續改進資訊安全管理。針對與ISMS有關的人員，需要決定其應具備的能力(7.2)，建立詳細的訓練計畫，讓所有人員都可獲得所需的專業知識。針對一般的人員，則必須讓其具有足夠的認知(7.3)，包括了解組織的資訊安全政策、明白其貢獻對於組織所帶來的好處，以及不遵守資訊安全要求可能造成的後果。

至於在溝通(7.4)方面，組織應確保內外部的溝通順暢，定義何人、何時、何地，所進行溝通的流程與內容。在「7.5 文件化資訊」的要求方面，這是新版增加的一個新用詞，主要是用來取代舊版中所提到的「文件」與「記錄」。在標準條款中若提及了文件化資訊，就表示相關的運作都應建立、保存及更新所需的文件與記錄。

第8章運作
「8.1 運作計畫與控制」，主要是強調組織應針對「6.1 因應風險與機會的行動」的結果，採取必要的行動並且保留文件化資訊，以確保運作已獲得有效的控制。新版在這裡特別強調，組織應確保外包的流程與作業，都已獲得有效的決定與控管。

「8.2 資安風險評鑑」，要求組織應依照所設定的期間和方法來實施，尤其是當組織有重大的改變時，資安風險評鑑也要重新執行，以確保相關的風險被識別並獲得控制。「8.3 資安風險處理」是要求組織必須落實風險處理計劃，並且保留相關實施之後的文件化資訊，記錄風險處理後的結果。

第9章績效評估
在「9.1 監控、量測、分析和評估」的條款中，新版標準要求應評估資訊安全的績效和ISMS的有效性，評估的方式包括了決定哪些流程和事項需要被監控與量測、採取什麼分析與評估的方法、在什麼時間由誰來進行，以及最後的結果分析等。對組織來說，建議可採取循序漸進的方式來進行，著重在與資訊安全目標有關的事項，而不是要求一次到位的全面監控，要注意的是過程中仍要保留相關的文件化資訊。

「9.2 內部稽核」與「9.3 管理審查」與舊版的要求大致是相同的，組織應建立稽核計畫，並且依照計畫的內容與期間來實施。在管理審查方面，新版不再強調特定的審查輸入與輸出事項，而是關注在內外部的期許與要求是否能被實現、重視資安績效的回饋，以及持續改進的機會。

第10章改善
在新版標準中，已不再如舊版強調應採取預防措施，而是將之溶入在了解組織背景和風險管理的過程中。在「10.1 不符合事項與矯正行動」方面，新版要求需要針對不符合事項採取適當的矯正行動，並且處理其產生的結果。同時也要消除不符合事項的原因，以及判斷是否還有類似的不符合事項存在。至於「10.2 持續改進」，則簡單明瞭地要求組織應持續改進ISMS的適用性、正確性及有效性。

因應新版標準必須做出的改變

根據經濟部標準檢驗局的標準轉換說明提到，從2014年10月1日起，驗證機構就不能再核發ISO 27001的2005年版證書，而所有已取得舊版證書的組織，也必須在2015年9月30日前完成轉版，也就是說只剩下不到一年的時間來完成更新並轉換為新的標準。

對尚未導入ISO 27001的組織而言，直接採用新的標準內容，並且依照其要求來實施是最好的方式。但對於需要轉換新版的組織來說，則需要先進行新舊版的差異評估，才能找出需要修改的內容與方向。基本上，有關ISMS政策、風險評鑑與風險處理、適用性聲明書、內外部的溝通、新版增加的控制措施等，這些都是需要一一檢視的重點，建議應及早著手準備，以便讓組織的資訊安全管理更加完備。(本文刊載於2014年6月號網管人雜誌)

[專欄] 識別員工BYOD的隱私風險 - 漫談行動裝置的安全與管理

Sun, 30 Nov 2014 14:19:00 +0000

隨著愈來愈多的企業，允許員工攜帶自有的行動裝置(BYOD)上班，並且使用在日常工作之中，一旦這些行動裝置離開了企業環境，企業要如何管控行動裝置上所儲存的大量商業資料，實施有效的安全管理，同時也要避免侵害員工的隱私？

隨著Apple iOS、Android及Windows手機與平版電腦如雨後春筍般的銷售成長，其中有一項行銷的策略在於廠商讓消費者明白了，購買這些行動裝置不只可以作為生活中的娛樂之用，更可以同時使用於工作之中，創造了使用者在購買時一次滿足的強烈欲望。

企業願意讓員工BYOD並成為工作中的一項工具，主要就是希望透過這些行動裝置的協助，能夠增加更多的工作效率，並且有機會拓展更多業務，而藉由員工自備行動裝置，也可以讓企業降低硬體採購與更新的成本。

另外，使用行動裝置的好處是，員工即使離開了工作場所，還是可以在往返公司的途中來存取工作資料，或是在出差時間，利用它來收發個人電子郵件或瀏覽網頁之用，同時兼顧並保有生活與工作上的多重用途。

行動裝置的安全與隱私風險

但是，無論是公司添購的或是私人擁有的行動裝置，只要是會將它連接至公司網路時，就必須依照公司的資安政策，進行身分驗證，然後賦予適當的權限，以便降低資訊安全的風險。一般而言，行動裝置可能造成資料外洩的原因，包括遺失裝置、感染惡意程式、未經授權的不當洩露等。

目前在企業內可使用的行動裝置，大致有以下二種情況，第一種是由公司所配發的設備，所以公司有權可以主動進行適當的管控。另一種則是個人擁有的行動裝置，對使用者而言，這些行動裝置是自己購買的，在使用時不必受到公司資訊部門的管轄，也可以拒絕受到不必要的安全管控。

目前，大多數企業只站在安全管理的角度來進行控管，而忽略了可能會有侵犯個人隱私的情況，舉例來說，如果發生疑似資料外洩的事件，企業可能會要求員工必須交出其使用的行動裝置，以便檢查其中所存取的公司文件、瀏覽記錄與所儲存的資料等，撇開由私人所購買的裝置不看，即便行動裝置是由企業所提供，但是大多數的使用者，仍可能會將它使用在私人用途上，像是瀏覽網站、使用Facebook等社群媒體、下載音樂、影片、應用程式和遊戲等，這些仍是與個人隱私有關的資訊。

BYOD可能造成的隱私問題

根據美國的一項調查指出，使用BYOD的使用者有80%對於企業雇主存取其私有設備上的個人資料感到疑慮，擔心他們自己所在的位置、使用的App、網頁瀏覽記錄和下載的資訊受到不當揭露。站在企業資訊安全的角度而言，進行安全管控以降低風險當然有其必要性，但卻不能以此就作為犧性員工個人隱私的充分理由。而員工興高采烈地帶著自己的行動裝置，在加入公司的BYOD行列之前，也要想想可能會對自己造成什麼影響。

根據雲端安全聯盟(CSA)所提出的行動裝置安全指南，提到員工在使用公司所提供的BYOD方案時，應該要先了解以下幾個問題：

公司是否會讀取行動裝置上我的個人資料 • 若需要進行法律相關調查時，對我的行動裝置會造成什麼影響？ • 如果我的行動裝置遺失了，將會發生什麼事？
在遺失行動裝置時，是否可以要求進行完整的資料清除？
當我採取了BYOD方案，但是在離開公司之後，將會發生什麼事？

至於針對企業在建立BYOD的政策時，也需要考慮以下的事項：

在什麼情況下，企業需要取得行動裝置的所有權？
在什麼情況下，行動裝置的資料會被清除？這需要考量當地的法律和法規。
監控員工的資料與行為，應該合乎員工所面臨風險的比例原則，尤其特別需要考量所儲存的位置資訊。
可授權進行監控員工的管理人員，應該要被清楚的識別出來並了解其責任。
所有的監控在實施時，應盡可能的將侵犯行為控制在最小的範圍，並且只獲取最小量的員工資料。
了解在某些案例中，可能也會牽涉到非企業的員工，例如員工的家屬可能也會使用員工的行動裝置。
行動裝置的資料清除應只限於公司的資料。

保障行動裝置安全與隱私的做法

為了因應BYOD的需求，同時兼顧企業資訊安全的管理，由廠商所提出的第一代行動裝置管理方案MDM(Mobile Device Management)，很快地就受到企業的歡迎。MDM的方案，主要是針對行動裝置本身的安全管理，提供了裝置監控、遠端鎖定、網頁過濾、禁用相機等功能，但相對地也比較難以區隔在使用方面的個人隱私要求。

為了要同時兼顧工作與個人使用方面的需求，後續推出的應用程式管理MAM (Mobile Application Management)方案，讓存取企業資料的環境與個人在手機上所使用的行為能有所區隔。MAM透過建立虛擬的企業工作區域，讓使用者自帶的行動裝置可以達成公私兩用的彈性做法，對企業來說，獨立的工作區域也可降低資料外洩的風險，但是在隱私方面，雖然可以做到應用程式上的資料區隔，卻也仍然無法避免企業仍可保有追蹤使用者的位置資訊。

對企業來說，能夠保障個人隱私的作法有哪些？以下是有關實施時的參考建議。

避免不當的位置追蹤：企業導入行動設備管理方案的好處，就是可以即時追縱行動裝置的所在位置，以便可以隨時啟動遠端鎖定、遠端警示和資料刪除等功能，除了GPS之外，當使用者處於建築物內部時，也可以透過所接入的無線網路或3G網路來偵測出所在的地點，換句話說，企業的資訊部門是有能力隨時能夠掌握使用者的行蹤的，因此企業需要明訂在什麼情況之下，基於何種理由和目的，公司可以啟動追蹤功能，並且是否要預先獲得使用者的同意。
避免個人資料的遺失：一旦企業需要啟用遠端變更密碼、強制鎖定和刪除時，請先確認會由誰來負責進行授權，並且將會如何進行。如果設定了自動刪除功能，那麼是否僅僅會刪除企業相關的資料和應用程式？是否也提供了復原裝置資料的功能？
妥善管理連線資訊：除了所在的地點和位置資訊之外，一旦使用私有的行動裝置連結了企業網路，相關的網路活動也有可能受到企業的過濾與監控，在使用者離職之後，這些涉及個人活動有關的資料，請確認是否還會繼續保留？
避免不當的隱私審查：如果涉及了相關的法律事件，企業是否需要審查使用者自帶的行動裝置，內容將會包括了這台裝置上的網頁瀏覽記錄、下載資料、歌曲、影片、電子郵件內容、聯絡人、社群媒體的活動、通話記錄，甚至是所存放與家人有關的資訊，這些都有可能會被揭露，請評估可能的衝擊與結果。
釐清應用程式的安裝限制：針對行動裝置的惡意程式愈來愈多，企業為了降低安全風險，可能會限制員工在行動裝置上任意安裝App，但若是員工私有的行動裝置，員工仍然保有權力可以自己安裝軟體，因此這一部分就需要企業事先與使用者進行溝通，明訂應用程式的安裝要求。
制定使用政策並實施教育訓練：透過政策明訂的內容，向員工說明以便取得其同意來實施某些安全做法。例如啟用遠端刪除功能、資料加密等，會是比較容易獲得員工尊重與信賴的做法。

最後，建議企業在行動裝置的安全管理方面，盡量以勸導、訓練和警示，代替全面監控員工的作法，換句話說，請千萬不要假安全之名，而行侵犯隱私之實，因為在行動裝置中的個人資料，同樣也是受到個人資訊保護法的保障，若企業因此而違法的話，到最後將會得不償失。(本文刊載於2014年5月號網管人雜誌)

[專欄] 捍衛網路安全 - 美國白宮網路安全框架 (NIST Cybersecurity Framework) 導覽

Sun, 16 Nov 2014 13:18:00 +0000

對於政府單位或民間企業而言，面對日益增加且來自世界各地的網路攻擊事件，如果沒有一套有效的因應方案，重則會對國家經濟與民生問題造成嚴重打擊，輕則會對企業生產營運產生不必要的損失與影響。

在2014年2月，美國政府正式提出了一項可強化資訊安全的網路安全框架 (NIST Cybersecurity Framework)，它主要是來自於2013年美國總統歐巴馬所頒佈的總統執行命令，要求必須著手改善有關網路安全的重要基礎設施。這項框架不但透過了政府部門與民間產業的攜手合作，利用一年的時間來彼此交流各項最佳實務，更結合了國際上有關資訊安全的標準與作法，除了可以協助已導入其他標準的組織最佳化其安全實務之外，更可提供缺少安全計畫的企業，一項可以完整實施的參考藍圖。

網路安全框架是一項自願性的參與計畫，主要是希望美國聯邦機構和地方政府，同時也包括電力、運輸等重要的基礎產業，能夠強化自身的網路安全，以避免受到來自網路的重大威脅，並且結合了業界標準與最佳實務，幫助企業組織能夠有效地管理網路安全風險。此一框架並非要取代組織中現有的資訊安全與風險管理架構，而是希望能夠與現有的流程結合並互補，以便組織能夠持續地改善以達到更高的安全目標。

網路安全框架的架構與組成

網路安全框架主要有三項組成的元件，分別說明如下：

框架核心(Framework Core)：針對關鍵基礎設施共通的安全問題，它具有一系列的網路安全活動和參考實施作法，網路安全活動可區分為五個功能，分別是識別(Identify)、保護(Protect)、偵測(Detect)、回應(Respond)、及復原(Recover)，能夠協助組織管理安全風險，並提供高層良好的視野。在每個功能之中，又可以向下展開為各項活動分類，例如在保護功能中，就包括了存取控制(Access Control)、認知與訓練(Awareness and Training)、資料安全(Data Security)、資訊保護流程與程序(Information Protection Processes and Procedures)、維護(Maintenance)及保護的技術(Protective Technology)六項分類。在每項分類中，又可更細分出各項可採行的資安措施與安全活動，以便落實在關鍵的基礎設施之中，同時還提供了許多參考資訊，可以對應到國際共通的標準與指引。
組織側寫(Profiles)：透過組織側寫能夠描繪出組織的網路安全活動，使其和本身的業務營運要求、風險容忍度、所需要的資源能夠趨於一致。企業也能夠藉由此一組織側寫來了解其網路安全的現況、支援活動的優先順序，以及達到目標理想狀況所需要採取的措施。透過現況與目標理想狀況的比較，就可以進行差異分析，使組織可以決定改善安全現況所需的資源與實施順序。
實施層級(Tiers)：實施層級為組織提供了一種途徑，能夠檢視其網路風險的方法和流程，實施層級的範圍從部份實施(Tier 1)、察覺風險(Tier 2)、察覺風險且重複評估(Tier 3)，到完全適合並實施(Tier 4)共區分為四個等級。藉由檢視實施層級來嚴格地描述網路安全的風險管理，了解安全工作是否依據了業務需求，並且已經整合至組織整體的風險管理實務之中。

網路安全框架核心組成 (資料來源：Cybersecurity Framework)

實施與建立網路安全框架

對企業組織而言，想要建立並實施網路安全框架，由上而下至少需要經過最高管理層、業務流程層和實施運作層等三個階層的互相合作。一開始，最高管理層需要與業務流程層的相關人員進行溝通，以確認任務的優先順序、風險偏好及所需的預算。業務流程層再依據最高管理層的決定，進行組織框架的側寫，將現況與目標理想的差距告知實施運作層，實施運作層的相關人員則可藉此來訂定行動計畫，針對所有風險來源的資產、威脅與弱點，實施所需要的改變與控制措施，並將實行的結果回報給業務流程層，業務流程層再將實施之後的變化與可能仍未消除的風險向最高管理層報告，以便制定下一階段的風險管理要求與決定。

組織的資訊與決策流程概念 (資料來源：Cybersecurity Framework)

因此，組織在制定一項新的網路安全計畫或是針對現有的計畫進行改善時，建議可以參考以下的步驟來進行，並且還需要重複地實施以不斷地改善強化組織的資訊安全。

步驟一：決定優先順序與範圍組織應了解其業務目標和最高管理層對於風險管理的期待，藉此才能夠制定因應資訊安全的策略和決定實施的範圍。在決定範圍時，需要考量的是有哪些資產和資訊系統是和業務流程有關的，在導入網路安全框架與實施計畫時，也可因應不同業務流程的需要與風險的高低，決定所需要採取的整體做法與個別的控制措施。

步驟二：確認目標與方向一旦組織依據其業務流程決定了網路安全實施計畫的範圍之後，組織就可以識別其相關的資產和系統、法律法規的要求及整體的風險管理做法。接下來即可針對這些資產和系統，識別其可能存在的威脅與弱點，以確認實施計畫的目標與方向。

步驟三：建立組織現況的側寫組織可以參考網路安全框架核心中所明列的安全活動，以及每個活動中的功能和分類，來剖析組織目前的安全現況。

步驟四：實施風險評鑑組織可以藉由整體風險管理過程的引導，針對業務運作的環境進行分析，以了解資安事件發生的可能性和其可能帶來的衝擊，在這個過程中必須充分考量風險中的各項威脅與弱點資料，才可促進組織對於資安事件的可能性與衝擊能夠有充分的掌握。

步驟五：建立理想目標的側寫組織同樣可以參考網路安全框架核心中的安全活動，以及每個活動中的功能和分類，來建立理想的安全狀態與目標，藉由與組織現況的側寫的相互比較，就可以了解其中差距，以便採取必要的改善行動。除了參照網路安全框架之外，組織也可以考量來自外部利害關係人如客戶、商業夥伴對於資訊安全的期望，將其一併納入未來的目標之中。

步驟六：針對差距進行分析及確認優先順序組織針對現況和理想目標進行比較之後，即可得知其安全差距，為了消除安全差距，接下來就是要制定一項可行的行動計畫，在計畫之中，必須針對成本、效益以及達成的風險結果進行分析，以便決定行動的優先順序和所需要的資源，同時也可藉此一計畫讓管理階層明白相關的安全活動，以獲得有效改善與達到目標的各項支持。

步驟七：實施行動計畫一旦建立行動計畫之後，就需要依據其內容來逐步實施，在過程之中，除了可參考網路安全框架核心中所明列的安全活動和分類之外，組織也能決定還需要搭配哪些國際標準、安全準則和最佳實務做法，以便符合其實際的需要並且達到更好的效果。最後，針對行動計畫的實施過程，還必須持續地加以監控，以確認達成預期的目標。

如何因應日新月異的安全風險

透過以上的實施步驟，組織就可以依據其需要，不斷地重複進行分析與改善其資訊安全，在這個過程中，最高管理層所關注的是組織的整體風險，業務流程層則關注與其有關的關鍵基礎設施，再交由實施運作層的人員來執行改善的行動計畫。基本上，無論組織的規模大小與風險等級，只要運用此一網路安全框架就可以改善資訊安全的現況，並且能夠管理關鍵基礎設施所面臨的安全風險，更由於此一網路安全框架參考了國際認可的安全標準，因此也同樣適用於美國以外的其他地區，可成為一項國際通用的安全準則。

對組織而言，今日的資安風險是多變且多樣化存在的，並沒有一項單一的作法，可以因應所有的安全問題，因此，組織必須持續地以文件化和風險管理方式來更新改善，以確保關鍵基礎設施可能面臨的各項新的風險，都能夠即時動態地被有效管理因應，以降低對組織可能造成的損失與衝擊。如果您的組織還缺少一套足以因應網路風險的管理作法，網路安全框架是相當適合用來作為改善資訊安全的基礎藍圖。(本文刊載於2014年4月號網管人雜誌)

[專欄] 展現雲端服務的安全成熟度 - 及早取得STAR認證

Tue, 22 Jul 2014 03:26:00 +0000

對雲端服務供應商而言，如果想要展現出高度的資安管理成熟度，唯有藉由第三方獨立公正的稽核，並且進一步取得國際認可的認證，才是最佳的解決方案，除了可以強化本身的市場競爭力，也能夠滿足客戶對於資安的期盼與要求。

隨著雲端運算的蓬勃發展，許多企業紛紛採用了雲端服務，以便降低營運支出成本，或是達成過去缺少資源所能達到的目標。若是從企業高層的治理與管理角度來看，一旦企業導入了雲端服務，並且與本身的業務運作相互結合，那麼就必須評估這項服務，是否會對企業產生無法控制的風險，也就是說，企業需要考慮採用了雲端服務，如果發生了資訊安全的問題，是否將對企業造成衝擊與影響。

因此，選擇一個安全可靠且值得信賴的雲端服務供應商，就成為企業在採用雲端服務時，也能降低營運風險的必要做法。只是，面對市場上眾多的雲端服務業者，到底應該要如何挑選，才能找到品質與安全兼顧的良好夥伴，就成為企業在評估時的頭痛問題。幸好，在2013年年底，針對雲端服務供應商的安全要求，雲端安全聯盟(CSA)與英國標準協會(BSI)正式宣布推出STAR認證，這項認證結合了ISO 27001資訊安全管理系統標準的要求，並且藉由實施雲端控制矩陣(Cloud Control Matrix；CCM)，再以成熟度評估的方式來量測出雲端服務的安全水準。

取得STAR認證的必要條件

雲端安全聯盟指出，「STAR認證是以達成ISO 27001和雲端控制矩陣所列出的一系列準則作為基礎，此一矩陣共有11項控制領域，涵蓋了法規遵循、資料治理、設施及場所安全、人力資源安全、資訊安全、法令法規、營運管理、風險管理、發行管理、恢復能力及安全架構」。

對雲端服務供應商來說，如果想要取得STAR認證，需要具備以下三個條件：

已取得ISO 27001認證：ISO 27001主要是從資訊安全的角度出發，要求雲端服務供應商基於客戶的安全期許與要求，在所提供的雲端服務範圍內，導入系統化的資訊安全管理制度，業者必須要識別服務中所面臨的風險，實施適當的安全控制措施，以降低風險至可以接受的程度。因此，ISO 27001的認證範圍，也就不得小於STAR認證的範圍。
導入CCM的安全控制要求：CCM是針對雲端服務中的各項特定的重要領域，實施對應的安全控制措施，以便確保業者所提供的雲端服務已具備足夠的安全防護，降低資訊安全的風險。
達到成熟度評估的水準：業者必須申請由第三方獨立驗證機構來進行安全成熟度的評估，這項作法可以確保CCM並非只是最低的自我安全要求，而是能夠展現在各個雲端安全控制領域中，已有運行良好的管理活動，確保安全問題能夠持續地獲得關注和改善。

雲端安全成熟度評估的要素

雲端服務供應商如果想要通過STAR驗證，就必須在所有CCM要求的控制領域中，展現已經實施的安全作法與相關證據，若是組織對於自己的雲端安全管理有信心，接下來就可以申請實施獨立的第三方驗證，BSI將以管理成熟度評估方式，針對CCM的每一項控制領域來進行查驗，至於CCM的實務措施與做法，讀者可以參照先前一系列有關雲端控制矩陣之介紹文章。

基本上，在雲端控制矩陣的每一項的控制領域裡，稽核員都會分別依據以下五個管理要素來進行評分:

溝通和利害關係人的參與
政策、計劃、程序及系統化方法
技巧和專業能力
負責態度、領導能力和管理
監控與量測

換句話說，在每一個控制領域中，稽核員都會依照所實施的管理活動，在五個管理要素中給予1-15的評分，如果其中有一個管理要素獲得較低的分數，那麼這項控制領域就會以此最低的分數作為其總體獲得的評分。

以CCM v1.4來說，業者在11項的控制領域中，就會獲得11項1-15分不等的分數，而每一項分數都是取決於五個管理要素所獲得的評分結果。以「政策、計劃、程序及系統化方法」的管理要素為例，其評分所依據的準則如下。

無正式實施方法 (No Formal Approach) : 若只有很少的證據可顯示在營運和管理方面，已有相關的計畫、流程、政策及作業程序，將獲得1分；如果業者已實施了效果有限的作業流程，可獲得2分；在一些關鍵的區域中，作業流程已被實施和遵從，將可得到3分。

被動式實施方法 (Reactive Approach) : 若有一些證據顯示，某些員工對於關鍵區域的主要控制要求已經有所了解，將獲得4分；如果大多數的計畫、流程、政策及程序都已更新，可獲得5分；有證據顯示這些的計畫、流程、政策及程序已經被實施和遵從，將可得到6分。

主動式實施方法 (Proactive Approach) : 若業者已有廣泛的計畫、流程、政策及程序，並已涵蓋了大多數的控制和作業區域，將獲得7分；如果計畫、流程、政策及程序已被定期的檢視審查，可獲得8分；員工已熟知並且能找出對應的計畫、流程、政策及程序，將可得到9分。

持續改進實施方法 (Improvement-Based Approach) : 若有證據顯示相關的計畫、流程、政策及程序，已經涵蓋日常的作業和緊急應變措施，將獲得10分；如果針對營運活動可能的風險，對於相關計畫、流程、政策及程序已進行檢視審查，可獲得11分；員工能夠主動地涉入風險管理和風險消除，將可得到12分。

最佳化實施方法 (Optimising Approach) : 針對營運活動的改變，管理階層對於相關計畫、流程、政策及程序皆有強健的領導力和因應做法，將獲得13分；如果相關計畫、流程、政策及程序已與組織外的最佳實務做法進行比較，可獲得14分；相關的計畫、流程、政策及程序，皆能與營運願景維持一致，並且獲得了正面評價，將可得到15分。

最後，每一個控制領域的得分將會加以平均，若是平均得分低於3分，就無法獲得任何的獎牌；如果平均得分為3~6分，將可取得銅牌；平均得分為6~9分則為銀牌；如果達到9分以上，則可獲得金牌。一旦獲得了CSA STAR認證的獎牌，雲端服務供應商就可將它展現給客戶，以達到市場的競爭力並且建立正面形象。

合格稽核員以專業給出評分

對於STAR稽核員而言，雲端安全的成熟度評估不但考驗專業能力，更是一項實務挑戰，因此在能力要求方面，執行STAR驗證的稽核員在資訊安全領域，至少要有二年以上的工作經驗，並且要通過ISO 27001主導稽核員課程考試，或是已經被國際驗證機構認可為合格且具有經驗的ISO 27001稽核員，同時，也必須要完成由BSI和CSA共同開設的CCM訓練課程。

當業者在申請進行STAR驗證時，為了確保專業性和對組織的有效性，建議最好選擇已取得CCSK雲端安全知識認證的稽核員，這樣一來在實施評估時會更有利於專業評分的進行，因為執行STAR驗證的稽核員，除了要查核所有CCM要求的雲端安全控制領域，也要基於風險評鑑和來自內部與第三方的要求來進行評估，稽核員還需要依據管理成熟度的五個要素，對每個控制措施分別給出1~15的分數，並且查驗業者所提出對應的相關證據，這些都需要足夠的雲端安全知識才可有效進行。

此外要注意的是，在實施稽核的過程中，業者可能會質疑有些成熟度要素無法直接對應至明確的控制措施，例如資料治理領域中的「DG-06 非生產環境資料」，這個控制措施是要求生產環境中的資料不應被同步複製或使用在非生產環境之中，它與「負責態度、領導能力和管理」這一個成熟度要素，看起來似乎沒有直接的關聯。不過，事實上在進行查核的時候，稽核員會從整體的資料治理措施來進行評估，像是配合「DG-01 擁有權和管理職責」這個控制措施，先確認業者是否有足夠的證據來顯示所有資料都已被明確指派定義、記錄和溝通其管理職責，然後再給予DG-06這一個控制措施評分，這也就是表示，對雲端服務供應商來說，所有成熟度的要素都是無法忽略的，必須要力求完整呈現在每個控制措施中，才有機會取得高分。

及早取得認證以搶佔市場先機

雲端服務供應商如果想要及早取得STAR認證，必須先確認其所提供的雲端服務，已在ISO 27001認證的範圍之內，然後實施CCM的安全控制要求，以CCM v1.4而言，它涵蓋了11項控制領域，其中包括了98個安全控制措施，這些控制措施也都可以參照ISO 27001本文和附錄A的內容，彼此達到互補的功能。

目前，全球已經有三個組織順利取得了由BSI所頒發的STAR認證，分別是英國的惠普(HP)與脈動(Pulsant)，兩家皆取得了銀牌，在亞洲有一家是阿里雲，它獲得了第一面金牌。預計在2014年第二季之後，台灣也將會有業者來取得這項認證。未來，雲端服務供應商可藉由STAR認證來展現自己的安全成熟度，以贏得客戶的信心，而消費者也將多了一項管道，可以得知所選擇的雲端服務業者，是否有足夠的能量來確保所需的資訊安全，這對於雲端服務的長遠發展，可算是一項福音。(本文刊載於2014年3月號網管人雜誌)

[專欄] 雲端控制矩陣安全措施簡介(八) - 強化雲端安全架構從底層打好強健基礎

Wed, 09 Jul 2014 13:50:00 +0000

上一篇我們說明了在雲端控制矩陣之中，有關發行安全管理和災難回復能力之要求，本期將說明有關雲端安全控制要求的最後一項-安全架構之內容。

在雲端控制矩陣中的第十一項是針對安全架構的要求，希望藉由強化底層的網路基礎設施與應用程式，以減少營運時可能面臨的安全風險。以下將說明安全架構中的15個控制措施，以及可對應參考的ISO 27001標準與實務建議。

SA-01 客戶存取之要求
這項控制措施是要求在賦予客戶存取資料、系統、資產之前，所有已識別出與存取有關的安全、合約、法規之要求，應該被處理和達成。

在ISO 27001標準附錄「A.6.1.2資訊安全協調工作」中提到，組織之中的資訊安全，不會只是單一部門的工作，除了資訊單位之外，可能也需要人力資源、總務、行政、業務、稽核、法務等部門人員的參與，才能達成組織所設定資訊安全的目標，所以資訊安全的相關活動，需要由不同部門的代表協調，才能順利地執行。此外，「A.6.2.2處理客戶事務的安全說明」也要求，在賦予客戶存取組織資訊的權限之前，應考量到各項資訊安全要求，例如對於提供服務的內容描述，以及客戶應有的安全責任與要求等。

SA-02 使用者身分憑證
這項控制措施要求組織所提供的雲端服務，對於應用程式、資料庫、伺服器及網路的使用者身分憑證與密碼管理，需要滿足以下的最低要求：

在密碼重設之前，進行使用者身分確認。
如果密碼是由非使用者重設(如系統管理員)，在第一次使用時必須要求使用者立即更改。 3. 對終止職務的使用者，應及時地取消其存取權限。
至少每90天移除及停用閒置的使用者帳號。
應採取唯一的使用者識別帳戶，禁止帳號密碼的共享使用。
密碼過期週期為90天。
密碼最小長度不得低於7碼。
應使用混合數字與符號的強健密碼。
重新設定密碼時，不得與最近四次使用過的相同。
密碼經重試6次錯誤之後，即鎖定帳號。
帳號鎖定最少期間為30分鐘，或是直到管理者解鎖為止。
使用者閒置15分鐘之後，應要求必須重新輸入密碼才可繼續使用。
特權使者者的存取與活動記錄必須被保存。

有關使用者身分管理之要求，還可以參考ISO 27001附錄「A.11.2.3 使用者密碼管理」，要求使用者密碼的配置，需要有正式的管理流程來進行控制，也就是說在配置的過程中必須實施所需的安全要求。

SA-03 資料安全
這項控制措施是要求組織的資料在不同系統、途徑及第三方的交換過程中，必須建立確保資料安全與完整性的政策和程序，以便遵守法律法規與合約的要求，同時避免資料受到不當的揭露、竄改與銷毀。

對此，可以參考ISO 27001附錄「A.10.8.1 資訊交換政策和程序」，要求組織的資訊交換，都需要依照所定義的管道和方式來進行。為了確保資料安全，也可依照「A.12.5.4 資料外洩」之要求，在系統上線前進行系統掃描，確認是否有不當的訊息外送或開放的傳輸埠，另外也要監測系統資源的使用與網路活動，以防範資料洩漏的事件發生。

SA-04 應用程式安全
這項控制措施是要求應用程式需依照業界認可的安全標準如OWASP來進行開發，並且合乎適用的法規與商業要求。針對應用程式安全，在ISO 27001附錄「A.12.6.1技術脆弱性控制」中提到，因為資訊系統本身並非十全十美，也就需要定期或及時地加以修補，這項控制措施要求組織應及時取得和弱點有關的資訊，並採取對應的行動來降低因已被公布的安全弱點，而遭受到不必要的攻擊。

SA-05 資料完整性
這項控制措施是針對資料的輸入與輸出，對應用程式介面和資料庫實施完整性檢查，以避免資料受到手動或系統執行錯誤所造成的問題。對此，可參照「A.12.2.1 輸入資料確認」之要求，針對所輸入的資料，在內容上面可加以限制，例如價格欄位只允許輸入數字、身分證字號只允許輸入10個字元等，透過對於數值的範圍、資料完整性、資料量及有效字元等的偵測，可避免像是資料隱碼（SQL Injection）或緩衝區溢位（Buffer Overflow）等常見的攻擊。

SA-06 生產與非生產環境
這項控制措施是要求生產與非生產的環境應被區隔，以保護資產不會受到未經授權的存取與變更。在實施方面，可參照ISO 27001附錄「A.10.1.4 開發、測試與運作環境的區隔」，要求組織針對應用程式的開發，勢必要備妥開發流程、測試和上線運作的程序文件。同時，所使用的資訊軟硬體設備，也要加以適當的區隔，不可在同一個環境上進行，也不將資訊存放在相同的儲存媒體中。

SA-07 遠端使用者之多因素認證
在雲端服務之中，使用者的身分可決定其使用的服務內容，因此在身分驗證方面，這項控制要求所有遠端存取的使用者，都必須使用多因素認證，包括像是登入管理介面、創建金鑰、存取多個使用者帳號、防火牆設置及遠端存取等。

在實施方面，可參照ISO 27001附錄「A.11.4.2 外部連線的使用者鑑別」，要求當使用者從外部網路連回使用相關服務時，需要採用適當的鑑別方法，確認使用者的身分以便進行存取控管。目前最常見的作法是採用VPN方式，以使用者帳號、密碼和Token進行身分驗證，在建立安全加密的通道之後，才允許其使用網路服務。

SA-08 網路安全
這個控制措施是要求針對信任與非信任區域的網路，應該被設計為可限制彼此的連結，並以文件化方式記錄所有服務的用途和被允許使用的網路協定與連接埠，也包括了針對不足之處所實施的補償性措施。另外，在網路架構圖上面，應清楚定義高風險的環境和資料流經之處，以降低可能違反法規之衝擊。

對此，可參考ISO 27001附錄「A.11.4.1 網路服務的使用政策」之內容，要求組織制訂有關網路服務和使用的安全政策，規範使用者只能存取已獲得授權的服務，並且在政策中說明像是有哪些網路服務是允許使用者來存取的、申請使用和授權的程序、可允許存取的方式，以及所採取保護網路連線和服務的安全管理機制等。

SA-09 環境區隔
這個控制措施要求系統和網路環境必須使用防火牆進行區隔，以確保能夠遵守以下的要求。 1. 業務與客戶之要求
2. 安全要求
3. 法律、法規與合約之要求
4. 生產與非生產環境區隔之要求
5. 敏感資料之保護與隔離要求

針對網路的安全管理，可參考ISO 27001附錄「A.10.6.1 網路控制措施」的內容，利用資安設備像是防火牆、入侵偵測系統、VPN等，以保護網路連線服務不會受到惡意的入侵和存取。對於敏感性資料，則可以依據「A.11.6.2 敏感性系統隔離」來要求敏感性系統需要有專屬的作業環境，以避免其他未經授權的人員可以操作使用。

SA-10 無線安全
這個控制措施要求對於無線網路的安全，應建立相關的政策與程序，並實施以下的安全防護作法：

部署邊界防火牆來限制未經授權的網路流量。
啟用安全的組態配置如加密與身分驗證措施，修改廠商預設的加密密碼和SNMP等設定。
只限經過授權的人才可使用無線網路。
有能力偵測偽冒的無線基地台，並且能夠及時的阻斷連線。

對於網路服務的安全，可依照「A.10.6.2 網路服務的安全」之要求，識別無線服務所屬的安全等級，以便採取對應的控管方法，包括制定申請使用程序、可連線的方式、身分識別方法及所採取的加密措施等。

SA-11 分享的網路
在組織之中，隨著規模的擴大以及資訊服務的增加，網路環境也顯得愈來愈複雜，若沒有實施良好的管理，資訊的傳遞、儲存、使用可能會危及本身的機密性、完整性和可用性。因此，這個控制措施要求使用分享的網路基礎設施時，應依據安全政策、程序和標準的要求，只限於已取得授權的人員。對於和外部單位分享的網路，應以文件化方式規劃所需的補償性控制措施，使其和組織本身的網路能有所區隔。

至於文件化的政策方面，可參考ISO 27001附錄「A.11.1.1 存取控制政策」，依照營運相關的存取安全要求來建立文件化的存取控制政策，藉此明確地說明每位使用者和使用群組如何配置所需擁有的存取權限。另外，針對網路的隔離，「A.11.4.5 網路區隔」提到的作法是可採取虛擬網段（VLAN）的方式，透過網路交換器、路由器、防火牆等設備，依照不同網域的安全要求來加以分割，以確保網路流量的區隔和安全邊界的劃分。

SA-12 時間同步
為了確保日誌記錄的有效性，正確的時間設定是非常重要的一環，唯有各項系統的時間維持一致，才能去作分析與追蹤。這個控制措施是要求組織中所有與雲端服務有關的系統，必須使用來自可信賴的資源，並且定義所在的安全區域，以便同步整合所有系統的時間。

對此，可參考ISO 27001附錄「A.10.10.6 鐘訊同步」，採行實務上最簡單的方法，也就是使用NTP的通訊協定與國際標準時間或當地標準時間伺服器來進行同步對時，確保使用了共同的時間來源。

SA-13 設備識別
這個控制措施要求對於提供雲端服務的各項設備，必須要有能力可以彼此自動地識別與連結，對於已知所在地點的設備，可透過地理位置感知技術，以強化連結時的安全驗證。

在ISO 27001附錄「A.11.4.3 網路設備鑑別」中提到，組織若想限制來自特定地點或設備的網路連線，最好是採取自動設備的識別方法，以鑑別連線的設備是合法且經過授權的裝置。實務上最容易採取的方式，是識別網路設備的MAC Address和網路IP，尤其是目前普遍使用的無線網路，相關行動設備皆建議採取此種方式來進行識別，若再配合使用者的身分鑑別，則可以大幅提高其安全性，避免受到惡意人士採用偽冒身分的攻擊。

SA-14 稽核記錄與入侵偵測
這個控制措施是要求包括特權使用者的存取行為、已授權與未授權的存取要求、系統例外和資安事件等，應依據所制定的政策要求來加以記錄。稽核記錄應當每日進行檢視，並且部署檔案完整性檢測和入侵偵測系統，以確保能夠即時地監控並分析事故發生的原因。有關稽核記錄的實體與邏輯存取，也只限於經過授權的人員才可進行。

在ISO 27001附錄「A.10.10.1 稽核存錄」中提到，無論是資訊系統、資安設備、資料庫或應用程式等，每天都可能會產生大量的系統日誌（log），這項控制措施的目的，就是要保留使用者的活動記錄、異常事件的告警等，以便可以用來找出事件可能的發生原因，甚至還原事件發生的過程。所以在實務方面，建議日誌記錄必須要保存適當的一段時間，至於應該保留的事項包括：

事件發生的日期、時間。
所使用的帳號和使用行為如登入和登出等。
系統存取成功或失敗的記錄。
系統組態的變更項目和範圍。
系統工具程式的使用情況。
所存取的檔案類型和方式。
網路IP和使用的通訊協定。
系統異常事件的告警等。

SA-15 行動碼
行動碼是指可以跨越不同平台設備使用的程式，像是ActiveX、Java、Flash等，這個控制措施是要求行動碼在安裝、使用和配置之前，應先取得管理者的授權，並且確保將根據既定的安全政策來執行，也就是必須能夠防止未經授權的行動碼的使用。對此，可參考ISO 27001附錄「A.10.4.2對抗行動碼的控制措施」之要求，實務上最常使用的管制方式是提高瀏覽器的安全等級，以避免使用者有能力直接執行有害的惡意程式。

總結

雲端服務牽涉到基礎設施的維護、系統的穩定及資料的安全等，對雲端服務供應商而言，要如何展現有效的安全管理並取得使用者的信任，往往是決定服務好壞的關鍵要素。雖然目前仍缺少一個雲端安全的國際標準，但透過雲端安全聯盟的努力與推廣，包括所提出的雲端安全關鍵指南、雲端控制矩陣和STAR認證等，也已受到業界的肯定。因此，如果能夠實施其所建議的各項要求，相比之下，更能夠具體地說明服務供應商對資訊安全的重視與決心，也能夠為廣大的使用者提供更安全的雲端服務。(本文刊載於2014年2月號網管人雜誌)

[專欄] 雲端控制矩陣安全措施簡介(七) - 留心發行管理安全要求災難復原計畫更不可少

Sun, 11 May 2014 23:35:00 +0000

上一篇說明了在雲端控制矩陣之中，有關法律議題與營運作業時應實施的安全要求，並且要從整體雲端服務的角度來評估可能的風險，本期將說明有關發行安全管理和災難回復能力之要求。

在雲端控制矩陣中的第九項是有關發行管理的要求，它是針對雲端服務的營運中，評估是否存在相關的變更管理流程與機制，一旦與雲端服務有關的事項有所變動時，服務供應商必須要有能力識別並且實施計畫性的更動，同時也要評估發生災難時可能帶來的衝擊，以及擬定必要的復原程序。以下將說明發行管理中的5個控制措施，以及所對應ISO 27001的標準內容與實務建議。

發行管理之安全要求

RM-01 新開發與取得要求
這項控制措施是要求對於新的應用程式、系統、資料庫、基礎建設、服務、操作和設施的開發或取得，必須建立管理授權的相關政策和程序，也就是在一開始評估與規劃時，即考量所需的安全要求。在ISO 27001標準中，可參照「A.12.1.1安全要求分析與規格」之要求，了解新的資訊系統對組織整體營運的重要性為何？評估系統萬一失效或受到入侵時可能產生的安全風險？所需要的資安防護層面有哪些？如果系統本身無法達到所需的安全強度，是否可尋求其他的配套措施來降低風險？

另外，在「A.6.1.4資訊處理設施的授權過程」中提到，組織大都會採購資訊相關設備，並且給予員工在作業時使用，為了確認這些新設施能夠符合資訊安全的要求，因此有關資訊設備的使用，必須先取得管理階層的核准，換句話說，組織應明訂此一授權程序和流程，才可確保符合了資安政策的要求。

RM-02 生產之變更
如果組織所提供的雲端服務，需要進行與生產環境有關的變更，變更的項目一般包括了軟體和硬體，像是應用程式、系統、資料庫、網路裝置等，可能變更的內容則涵蓋了安裝修補程式(patches and service pack)和其他的更新與修改，因此這項控制措施要求在變更進行之前要先獲得主管授權，採取文件化方式的流程並且進行測試。

有關的生產變更之要求，可以參考「A.10.1.2 變更管理」，以確保和資訊處理設施與系統有關的變更事項，都能夠受到妥善的管理控制。實務方面，除了所有的變更內容務必要取得主管的授權之外，特別要注意的是務必保存相關的變更記錄，包括作業核准的程序、重大變更事項的識別和記錄、變更規劃與測試計劃，以及在變更失敗時，如何中止並進行復原的程序等。

此外，在「A.12.5.1 變更控制程序」中也提到，針對資訊系統的變更，需要制訂正式的變更程序才可進行，也就是說重點在於整個過程都需要有適當的監控，因此最好的作法是有文件化的變更作業程序，同時依據之前A.10.1.2變更管理的相關要求來實施。

RM-03 品質測試
這項控制措施是要求組織中所有的軟體開發，都必須建立系統化的監督和評估計畫，以確保達到品質標準的要求。針對資訊系統的更新和版本變更，都要以文件化方式進行，在系統開發和被採用之前，也都要事先進行安全測試。管理階層需要有足夠的能力來監督品質測試的過程，以確認符合當初的開發目的，並且在釋出上線之前解決可能發生的問題。

對此，可以參考「A.10.1.4 開發、測試與運作環境的區隔」之要求，也就是應分隔在開發、測試和運作所使用的資訊設施，以避免因設備的誤用或資訊的不當修改，而產生不必要的風險。在實務方面，針對應用程式的開發，務必要備妥開發流程、測試和上線運作的程序文件，同時，所使用的資訊軟硬體設備，也要加以適當的區隔，不在同一個環境上進行，也不將資訊存放在相同的儲存媒體中。特別是要避免使用正式的上線環境和營運資料進行測試，以免影響日常的營運。

在系統完成更新之後，可依照「A.12.5.2 作業系統變更後的應用程式技術審查」之要求來進行審查測試，以確認不會影響到組織的作業或其他關鍵系統。換句話說，只要有系統進行了變更作業，就要對應到後續的技術審查過程，而且所有更新作業與運作情況，都需要留下適當的記錄才行。

RM-04 外包之開發
這項控制措施是要求針對所有外包軟體之開發，必須建立系統化的監控與評估計畫，以確保符合品質標準之要求，同時所有外包的軟體開發，都應受到組織的管控和安全要求，包括了開發環境需經過合格人士的獨立審查，開發人員需接受安全認證訓練，以及進行原始碼的檢測等。至於相關的安全認證則要符合ISO 17024之認證規範，或是符合當地法定認可機構所頒發的執照與認證。

針對此項安全要求，在「A.12.5.5 委外的軟體開發」中提到，服務供應商若選擇委外廠商來進行軟體開發，就必須要加以適當的監督，確認其遵守了組織的安全政策，這部份同時可參照「A.10.2第三方服務交付管理」的要求，實務上更建議組織應將安全要求明列在所簽訂的委外合約之中。

RM-05 未授權的軟體安裝
這項控制措施是要求應建立政策和程序，並且實施相關作法來限制未授權的軟體安全。對此，可參照「A.10.4.1 對抗惡意碼的控制措施」之要求，制定正式政策來規範使用者不可任意自網路上下載安裝未經授權的軟體，並實施教育訓練讓使用者有足夠的認知，以避免來自網路和電子郵件等惡意程式的入侵。同時也可依據「A.11.6.1 資訊存取限制」之要求，遵守所制定的存取控制政策，確保只有符合擁有存取權限的人員才可存取系統。

災難回復之安全要求

雲端服務的運作，除了必要的安全管控措施之外，還需要更進一步思考可能發生的潛在危機和災難，藉此來提早防範於未然。在雲端控制矩陣之中，對於雲端服務的災難復原事項，也提出了以下8個的安全控制要求。

RS-01 災難復原之管理計畫
在實務方面，有關業務持續與災難復原的政策、流程和程序，應依據組織的業務、法令法規及合約的要求來制訂完成，將預期到的可能災難風險，降低至可接受的水準，並透過預防與復原的措施，減少災難對於組織的衝擊與影響。組織的復原管理計畫，應與組織業務所有相關人員進行溝通，並且發佈給這些人員，將它存放在災難發生時易於被取得的地方。

在標準方面，可以參照ISO 27001附錄「A.14.1.1 將資訊安全納入業務持續管理流程」，要求組織依照業務所需的資安要求，發展和維持整體的業務持續管理流程，也就是需要去識別和業務有關的關鍵活動，以及支持這些關鍵活動所需的資產，例如人員、場地、資訊、技術、供應商、利害關係人等，組織必須充分地了解這些資產所需的安全要求，以及這些資產可能引起營運中斷的風險，評估其可能造成的衝擊，然後再選擇適當的控制措施。

RS-02 衝擊分析
對於可能造成組織營運中斷的風險，必須以文件化方式來定義其可能的衝擊，這項控制措施提到的相關作法包括了：

識別關鍵產品與服務
識別支持關鍵活動所需的作業流程、應用程式、業務夥伴及第三方的服務供應商。
了解對關鍵產品與服務的威脅
對於計畫或非計畫中的中斷事件，依時間變化決定其對組織的衝擊影響。
建立最大可容忍的中斷時間(MTPD)
建立復原的優先順序
建立回復關鍵產品與服務的目標時間(RTO)
評估復原活動的所需資源

針對這項控制要求，可參照「A.14.1.2 業務持續與風險評鑑」，要求組織必須識別可能導致營運中斷的事件，研判其可能發生的機率，評估可能造成損害的等級，以及對組織的衝擊和影響。一般而言，由資安事件引發的系統錯誤、設備失效、天然災害等問題，多數能夠藉由風險評鑑加以識別，並且依其損壞程度和復原時程，判斷如何恢復至正常運作的水準。

所以在進行規劃時，建議最好由業務活動和資源的擁有者來參與，才能完整的識別出正常營運所需的資源、可容忍的中斷時間及復原的順序，如此也才能識別出各項風險，進而決定組織業務持續管理的整體作法，避免落入過度偏重在添購資訊設備的備援情境中。

RS-03 業務持續計畫
這個控制措施是要求雲端服務供應商，必須建立業務持續計畫的框架，並以文件化方式確保和組織的資訊安全要求維持一致。

業務持續計畫的內容包括了：

定義目標和範圍，並與相關附屬要求保持一致
讓需要使用的人容易理解並取得
指定負責人以便進行更新、審查及核可
定義溝通的管道、人員角色與責任
詳細描述復原程序、人工作業方式與所需的資訊

對此，可參考「A.14.1.3 發展與實作包括資訊安全的持續計畫」之內容，要求針對各項可能造成營運中斷的風險，建立對應之維持或恢復運作的計畫，以確保在一定時間內達到資訊可用的要求等級。所以，建議組織在規劃時需考量可以接受的服務中斷時間，還有可供使用的人力、物力等各項資源。

另外，「A.14.1.4 業務持續計畫框架」中也提到，業務持續計畫需要確保一致性，也就是實施時務必要依照組織的整體作法，例如在每一份計畫中都會涵蓋特定的計畫擁有人、聯絡清單、啟動條件、緊急程序等，這些就是所謂的框架，依照這些項目來建立各項業務持續計畫的內容，同時明訂測試與維護的優先順序。

RS-04 業務持續之測試
這個控制措施要求業務持續計畫必須在規劃時，或是組織與環境有重大變更時需進行測試，以確保計劃的有效性。在實務方面，可以依據「A.14.1.5 業務持續計畫的測試、維護及重新評鑑」，要求所有的業務持續計畫，都需要定期測試與更新，以確保計畫內容與作法，符合當下的真實環境。因為對組織而言，或許無法同時完整測試所有計畫，但應規劃其測試時程和方法，再視情況選擇採取紙本演練、狀況模擬、技術測試或完整演練等，確保在災難發生時，能夠依照預先設想的步驟來執行，以達成業務持續的目標。

RS-05 環境的風險
這個控制措施是要求自然發生的災難或是蓄意的攻擊，都應該要進行事先的預測、規劃及實施對應的控制措施，對此，可參考「A.9.1.4 保護來自外部與環境的威脅」中提到，利用適當的實體防護，以降低外在的環境威脅，如火災、地震、水災等的侵襲影響。

RS-06 設備之所在地
這個控制措施是要求為了減少來自環境的威脅，以及未經授權存取的風險，針對設備的所在地需要實施控管，並且在合理的距離之外設置備援設備。針對設備的問題，在「A.9.2.1 設備的設置與保護」中提到，資訊相關設備應適當地進行安置、保護及監控，以降低環境威脅所造成的損害，或是受到未經授權的存取。舉例來說，像是電子產品須要受到良好的環境溫溼度監控；操作資訊系統時，應有適當的遮蔽來避免敏感資訊的外洩，例如機房就最好不要採用完全透明的玻璃作為隔間來使用。

RS-07 設備電力之失效
這個控制措施是要求對於設備運作所需的公用服務，例如電力失效和網路中斷等，需要採取安全防護和備援設施。對此，可參考「A.9.2.2 支援的公用事物」之要求，在機房部署不斷電系統。但要注意的是，若面臨長時間的電力中斷，不斷電系統應確保足以循序地將重要主機進行關機，若要確保能夠持續運作，則要考量是否有獨立的備援電力供應站，或是使用燃油發電機來運作，而除了電力之外，電信與網路系統也要有備援，以確保在中斷期間的通訊能夠正常運作。

RS-08 電力與通訊
這個控制措施是要求針對通訊線路和電力纜線應提供適當的保護，避免其受損而導致服務中斷，並且要設計替代的線路或取得其他的電力來源。對於電力與通訊的問題，在「A.9.2.3 佈線的安全」中提到，傳送資料與電力的纜線應有適當的標示、固定及保護，建議設於地下或其他已受到適當防護的管道，尤其要避免經過公共區域。另外，電力與網路線也要作適當的阻隔，以避免相互干擾而造成資料傳輸的問題，以上這些都是實務方面可以因應的參考做法。(本文刊載於2014年1月號網管人雜誌)

[專欄] 雲端控制矩陣安全措施簡介(六) - 注意法律與作業管理風險管理是重要關鍵

Sun, 04 May 2014 14:50:00 +0000

上一篇，我們說明了雲端控制矩陣中，關於資安事故回應處理、網路安全控制，以及行動裝置與原始碼存取之管控，本期將繼續說明在雲端控制矩陣中，有關法律議題與營運作業時應實施的風險管理。

在雲端控制矩陣中的第六項是有關法律的議題，主要是針對雲端服務中的人員與服務內容，希望藉由書面協議的正式簽署，確保雲端服務能夠符合組織的安全要求。以下將說明法律議題中的2個控制措施，以及對應ISO 27001的標準內容與實務建議。

因應雲端服務法律議題

LG-01 保密協議
對雲端服務供應商而言，為客戶所提供的各項雲端服務，資訊安全肯定是客戶會關注的重要問題，尤其是服務內容所涵蓋的項目，若是包括了重要資料的儲存和處理，那麼可能接觸到這些資料的人員，就需要擁有足夠的安全意識與技能，才可妥善地確保資料的安全。

這項控制措施是要求針對組織中需要受到保護的，或是與營運相關的資訊，應該被識別並採取文件化的記錄，同時也要求相關人員必須簽署保密協議，並且定期地進行審查。針對保密協議的簽署，在ISO 27001標準中，可參照「A.6.1.5機密性協議」之要求，對於敏感性的職務工作，可以由法務部門會同人事部門，制訂保密政策和程序，據此要求人員簽署保密協議。但協議內容必須能夠反映內部資安政策的要求，因此也要配合定期審查對各項資訊保護的要求，再將其更新至保密協議的內容之中。

LG-02 第三方協議
如果所提供的雲端服務，需要依靠第三方所提供的資源或技術協助，那麼與第三方所協議的相關內容，就會直接或間接地影響雲端服務供應商的營運。因此，有關資訊的處理、存取、傳輸、儲存，以及資產和服務的管理與終止等，在協議內容中就要包括資訊安全要求與資訊的完整性控制，以避免資訊受到不當的揭露、竄改及損毀。

對此，可以參考ISO 27001附錄「A.6.2.3 第三方協議中的安全說明」之要求，也就是在與第三方所簽定的協議與合約之中，必須明訂組織的資訊安全要求、應遵守的相關法規，以及在違反時應負的法律責任等。

規畫進行雲端作業管理

雲端服務的運作，有賴組織中各個階層人員的參與，包括由管理階層來制訂相關政策與程序，透過雲端服務小組的協同運作，技術人員規劃資源運用與設備的維護等，這些都需要有效的作業辦法，才能滿足客戶的需求，並且達到營運的目標。在雲端控制矩陣之中，對於雲端服務的作業管理，也提出了以下幾項的控制要求。

OP-01 作業管理之政策
實務方面，在雲端服務尚未運作之前，管理階層應會同人事部門，針對雲端服務所需的作業人員，定義其工作角色與執掌，並且確認此項工作所需的專業技能、工作經驗與人格特質，以便招募所須的作業人員。

在標準方面，可以參照ISO 27001附錄5.1所提到的兩項控制措施，如A.5.1.1要求資訊安全政策應經由管理階層的核准，並且公布傳達讓所有員工和相關的內外部團體知道，實作方面，在這份資訊安全政策中，除了傳達管理階層對於資訊安全的支持，確保資訊安全與組織營運目標的一致性之外，也需要說明資安的重要性與實施範圍，以及相關人員的職責。A.5.1.2則是要求資訊安全政策若發生重大變更時，也需要進行審查，以確保內容持續地適用充分和有效，因此這份政策，必須配合雲端服務的環境、業務型態、法律合約要求和技術更新等事項，進行持續的修訂與發行。

OP-02 作業管理之文件化要求
在作業管理中，所謂的標準作業程序(SOP)，是指有正式的文件化記錄，並且經過管理階層審查核可的內容，才能用於實際的作業環境。所以在雲端服務之中，有關系統組態、安裝與操作，還有所包括的安全功能與管理員的操作指引、系統架構圖等相關文件，都應採取文件化方式建立起來，並且交付給已被授權的作業人員，根據此一標準作業程序來進行各項工作。

針對這項要求，可參照ISO 27001附錄「A.10.1.1文件化作業程序」，只要是與資訊系統活動和作業有關的程序，包括通訊設施的使用、電腦開機與關機、備份方式、資訊設備維護、資訊儲存媒體使用和機房作業管理等，都以文件化方式來呈現，並且讓相關人員在需要的時候即可馬上取得，以便遵照其要求的標準作業程序來進行。

OP-03 容量與資源之規劃
這個控制措施是要求針對各項資源的可用性、品質及所需的容量，依照法規、合約與業務要求來實施規劃與量測，同時也要考量有足夠的能力，因應未來服務系統可能過載的風險。對此，在ISO 27001附錄「A.10.3.1 容量管理」中提到，管理人員需要預作規劃準備，評估未來可能成長的資料量，來添購所需的儲存媒體和設備，以避免因為容量不足的問題而導致系統服務的中斷。

OP-04 設備裝置維護
這個控制措施要求雲端服務供應商對於設備裝置的維護，需要建立政策與程序，以確保各項服務作業的持續與可用性。在實務方面，可以依據ISO 27001附錄「A.9.2.4 設備維護」，要求相關的資訊設備應定期自行維護或尋求廠商協助，相關的維護也需要留下適當的紀錄，以便定期地進行追蹤查核。而實施維護的外部人員，應該事先經過申請與核准，在實際作業時也要有適當的人員來陪同。

有效落實雲端風險管理

在ISO國際標準之中，計劃(Plan)、實施(Do)、監督(Check)、改善(Act)是確保持續營運與降低可能風險的最佳實務架構。因此，組織在管理有關雲端服務的工作時，若能秉持PDCA的精神，並且融入在各項作業程序之中，就能夠降低風險並且讓服務品質更加地精進。在雲端控制矩陣中對於風險管理，也提出了以下五個重要的控制要求。

RI-01 風險管理之計畫
對於雲端服務可能隱含的風險，組織應發展或維持一個風險管理的框架，讓風險可被降低至可接受的水準。對於此項要求，可參考ISO 27001本文4.2.1所提到，依據組織營運、組織、所在位置、資產和技術等特性，定義出資訊安全應受到適當控管的範圍，例如可以部門、系統、業務項目或實體環境來定義所要實施風險控管的範圍，並且建立所需的風險處理計畫。

RI-02 風險管理之評鑑
針對與組織營運有關的風險，這項控制措施要求應至少每年一次進行正式的風險評鑑，以質化或量化的方式，識別所有可能發生和造成業務衝擊的風險。組織可以透過稽核的結果、威脅與弱點分析，以及法規的要求等，建立風險管理的全貌，掌控組織可能隱含或殘餘的風險。

在實務方面，建議參照ISO 27001本文4.2的條款內容，界定組織的風險評鑑作法，並定義風險可以接受的等級。在標準之中對風險評鑑方法的要求，在於風險評鑑後所產出的結果，必須是可比較且可再產生的，換句話說，風險評鑑的方法，必須能夠重複地使用，尤其是在不同時期所進行的風險評鑑，其結果都可用來進行相互分析比較，作為未來風險處理與改善的參考。

RI-03 風險管理之消除與接受
一般來說，風險評鑑的過程是從識別可能的風險開始，再依據其發生的可能性與衝擊，計算出風險值並賦予其適合的風險等級，最後選擇可實施的風險控制措施，以降低風險至可以接受的水準。這項雲端控制即是要求所有風險都需要控制至可接受的程度，而可接受的風險水準，則是基於合理的時間處理與管理階層的核可。對此，ISO 27001本文的4.2條款提到，在完成了風險處理之後，所殘留下來的剩餘風險，都必須要取得管理階層的授權與核可，整個的風險處理過程才算完成。

RI-04 風險管理之業務與政策改變衝擊
雲端服務供應商在完成了風險評鑑之後，風險評鑑的結果應該要更新至安全政策、程序與相關的控制措施，以確保其持續的有效。在ISO 27001方面，此項控制可參照ISO 27001本文的4.2.1條款，在制定政策的時候，就需要考量營運與相關法規的要求，還有合約中所制定的資訊安全責任，像是法律要求必須要保障個人隱私、保護重大營運資訊，或是合約中要求必須保護客戶資料等，這些都是設定資安目標時的重要依據與參考。

因此，定期實施的風險評鑑，可為組織政策的修訂與更新，提供了一個有效的輸入來源，也就是說，依據風險評鑑的結果，可以進一步更新政策要求，以確保各項風險受到了良好的管理。

RI-05 風險管理之第三方存取
在雲端服務中有關第三方的存取行為，是一項明顯可識別的風險來源，在雲端控制矩陣裡，要求所有存取組織資訊系統與資料的行為，都應該被識別監控，同時評估若有不適當的存取時，可能帶來的業務風險與衝擊。換句話說，在提供這些服務供第三方存取之前，就要優先實施補償性的控制措施，以降低存取行為的安全風險。

在ISO 27001方面，可以參考附錄「A.6.2.1與外部團體相關的風險之識別」，要求透過風險評鑑的過程，找出外部團體對組織資訊的處理和使用時，可能存在的資訊安全風險，像是可存取的資訊類型、人員的識別與授權是否適當等。另外，也可參考「A.8.3.3 移除存取權限」，要求所有員工、承包商和第三方使用者，對於資訊、資訊處理設施的存取權限，應在聘僱、合約或協議終止時移除，或依變更進行調整。

最後，還可依據「「A.11.1.1 存取控制政策」，基於營運相關的存取安全要求和使用者可能接觸資訊的安全等級，以文件化的存取控制政策，說明如何去配置其存取權限，並以組織整體的營運風險作為優先考量。(本文刊載於2013年12月號網管人雜誌)

[專欄] 雲端控制矩陣安全措施簡介(五) - 小心處理資安事故管理與技術雙管齊下

Sun, 06 Apr 2014 11:12:00 +0000

上一期，我們說明了雲端控制矩陣中，關於資安教育訓練、管理者與使用者安全責任、加密與金鑰管理，以及漏洞修補和防範惡意程式等控制措施，本期將繼續說明在資安管理控制項目中，剩下的各項安全要求。

在雲端控制矩陣中的第五項「資訊安全」，它是整體雲端服務的管理重點，一共包含了34個控制措施，以下將說明第22至34個控制措施的要求，以及其所對應的ISO 27001標準內容和實務建議。

IS-22 資安事故管理
對組織而言，面臨和資訊安全有關的事故時，勢必要有適當的應變處理方法，這項控制措施即是要求與資安相關的事件，應建立政策和作業程序，並且進行分類和及時因應，以建立起完整的事故管理機制。

如果組織已導入ISO 27001標準，則可參照「A.13.1.1 資訊安全事件通報」之要求，建立正式的資安事件通報程序，以便相關人員能透過適當的管道，快速將資安事件回報給管理人員，以便及時因應與指示處理。通常一個完整的通報程序，包括要指定一個正式的聯絡人和代理人，並提供文件化的資安事件通報程序和表單，讓相關人員能夠依照事件通報指示，記錄和事件有關的重要細節，例如發生的時間、地點、系統錯誤訊息、監控指數，以及其他主觀判定異常的行為，以作為事件處理的依據參考。

IS-23 資安事故通報
一旦資安事件發生的時候，到底該由誰來負責通報？應該如何進行呢？其實這都有賴於事前建立完整的做法，在雲端服務中，這項控制措施要求針對合約承包商、員工和第三方的使用者，需要讓他們了解應即時通報安全事件的責任，並且要透過預設的溝通管道，符合法令、法規及合約的要求。

因此，組織需要建立適當的責任區分和作業程序，才能夠迅速有效地回應資安事件，對此，可參考ISO 27001附錄「A.13.2.1責任與程序」之要求，針對事件區分不同的等級型式，分別建立不同的因應辦法，例如針對單機的電腦中毒，就會有其需要通報的內容說明和處置，而針對來自網路的阻絕服務攻擊，在通報層級和處置方面，則會有顯著的不同。

IS-24 事故回應與法律準備
如果資安事故涉及到法律問題，組織就必須採取相關的法律行動，證明自己並無故意過失，或是對於惡意行為準備進行損害求償。在事故的後續處理方面，這個控制措施是要求針對可能採取的法律行動，應該要有適當的鑑識流程以保全證據，確認證據的蒐集、保存、報告皆能支持所採取的法律行動。

實務方面，可以參照ISO 27001附錄「A.13.2.3 證據的蒐集」的做法，針對資安事故過程進行蒐集、保存和提交相關的證據，以符合法庭在審判時的佐證要求。基本上，數位證據的蒐集是相當專業且不易進行的，因為數位證據本身很容易受到破壞和竄改，進而損及到證據應具有的證明力和證據力，所以可能需要委由刑事鑑識單位或合格的民間業者來進行。

IS-25 事故回應方法
這個控制措施是要求針對資安事故的類型、數量和損失，應建立可實施與監控的作法。針對這項要求，可參照ISO 27001附錄「A.13.2.2 從資訊安全事故中學習」，避免資安事故的效應擴大，在事先採取監督機制，監控資安事故的過程和所造成的衝擊，作為因應未來事故的依據參考。

IS-26 合理使用
這個控制措施是要求針對資訊資產的合理使用，應建立相關的政策和作業程序。對此，可參照ISO 27001附錄「A.7.1.3 可被接受使用的資產」之要求，對於和資訊處理設施有關的所有資產，其可被接受使用的方式規則，都應被識別、文件化和實施，並制訂相關的規範，例如網路和電子郵件的使用辦法、行動裝置的使用規定，以及USB隨身碟的申請與使用作業辦法等。

IS-27 資產歸還
這個控制措施要求組織在人員的異動和聘雇關係終止時，應事先定義適當的期間之內，要求員工、合約承包商和第三方使用者歸還因工作所持有的各項資產。在實務方面，可以依據ISO 27001附錄「A.8.3.2 資產歸還」，針對應歸還的資產，以清單檢核的方式來確認人員已歸還像是組織的門禁卡、電腦設備、軟體、作業手冊等，如果人員是使用自己的設備進行作業，也要確保其所儲存的資料已經交回，並且執行資料的清除。

IS-28 電子商務交易
如果雲端服務牽涉到電子商務的交易行為，這項控制措施要求針對經過公眾網路的交易資料，必須實施適當的加密防護，以避免資料受到未經授權的修改或揭露，防止詐騙事件的發生。

對於此項要求，可依據ISO 27001附錄「A.10.9.1 電子商務」，保護所有透過公眾網路所進行的電子商務活動，在實務方面，可以採用強健的身分驗證機制如雙因素認證，以及導入網站身分識別標章，讓消費者能夠清楚地識別。至於交易過程中所產生的資料，包括訂單、付款資訊、寄送地址等，這些客戶資料的存取方面也要有完整的授權流程，以避免資料受到不當的存取與利用。最後在網路傳輸方面，則可參考「A.10.9.2 線上交易」之要求，在連線過程中採用SSL加密機制或其他的加密通訊管道，要求使用安全的通訊協定，以避免交易資訊可能受到來自其他公眾網路的不當存取。

IS-29 稽核工具之存取
對於可使用在組織資訊系統的稽核工具，這項控制措施要求應有適當的限制和區隔，以避免系統存錄資料(log)受到不當的損害和濫用。

在實務方面，建議參照ISO 27001附錄的「A.15.3.2 資訊系統稽核工具的保護」，要求所有系統所使用的稽核工具，都必須要有適當的保護，以避免濫用或受到破解的情況發生。針對組織負責資訊系統稽核的人員，也必須要求具有獨立性，使用的工具也要和開發或運作中的系統分開，並且實施權限控管，必要時甚至可先從運作中的系統移除，以避免受到誤用。

IS-30 診斷與組態埠之存取
現今的資訊設備或系統，大都需要廠商提供定期的支援與維護，因此許多網路設備和電腦主機，都能設定組態埠並提供遠端診斷服務，如果其開放的組態埠沒有實施任何安全防護，就容易受到外來的入侵和未授權的存取。

為了防止系統診斷和組態埠受到不當利用，這個控制措施要求應限制只有經過授權的個人和應用程式，才能進行存取。實務方面可參考ISO 27001附錄「A.11.4.4 遠端診斷與組態埠保護」之要求，在設備方面採取上鎖和移除等方式進行，若是邏輯上的存取使用，則可透過文件化的作業程序，要求事先申請並確認身分之後才開放使用，而在診斷完成時，也應及時關閉相關的組態埠和服務。

IS-31 網路與基礎建設服務
針對網路和基礎建設服務方面，無論是自營或外包，這個控制措施要求包括安全控制、容量與服務等級，以及業務和客戶之需要，都要有清楚的文件化服務等級協議。

在ISO 27001方面，此項控制可參照附錄「A.6.2.3 第三方協議中的安全說明」，也就是在與第三方所簽定的協議與合約之中，必須明訂組織的資訊安全要求、應遵守的相關法規，以及違反時應負的法律責任等；也可參考「A.10.6.2 網路服務的安全」的內容，要求相關網路服務都需要識別其安全等級、使用程序及管理要求，包括了申請使用程序、連線方式、身分識別及所採取的加密措施等。

IS-32 可攜式與行動裝置
隨著可攜式與行動裝置使用的普及，也成為雲端資安的隱憂之一，這項控制措施是針對常見的設備包括筆記型電腦、行動電話、PDA等，以及高風險的資訊設備，都需要建立政策與作業程序，嚴格限制其有能力存取組織的敏感性資料。

在ISO 27001方面，可以參考附錄「A.11.7.1 行動運算與通訊」的要求，針對行動運算設施採取適當的安全控管，例如筆記型電腦等行動裝置採取硬碟加密，並避免留置在無人看管的地點。實務方面，雲端服務供應商也可明文禁止這一類的行動裝置可直接連接或存取與雲端有關的服務，以降低不必要的風險。

IS-33 原始碼存取之限制
對雲端服務供應商而言，應用程式或雲端資源原始碼的重要性無庸置疑，因此需要嚴格的限制原始碼的存取行為，這個控制措施是要求應限制只有職務上需要，並且已經過授權的人員才可進行，同時對於其申請存取的原因、方式和所存取的原始碼版本，都必須留下完整的記錄。

在ISO 27001方面，可以參照附錄「A.12.4.3 程式原始碼的存取控制」，針對原始碼所儲存的特定地點，建議做法包括了建立存取作業程序、設定存取權限、定期評估存放環境的安全等，即使是程式開發人員本身需要取得程式原始碼，也應事先經過授權，依照作業程序並保存相關記錄才可進行。

IS-34 工具程式之存取
針對系統的工具程式，這個控制措施要求可能越過系統、網路、物件及虛擬主機的控制行為，應該都要受到限制。對此，可參照ISO 27001附錄「A.11.5.4 系統公用程式的使用」，要求嚴格限制能夠跨越系統和既有應用服務等公用程式的使用。實務方面的建議是直接在使用者的電腦上移除這些工具，如果是系統管理人員，也需要經過授權才可使用工具程式，並且保留相關的變更記錄。

資安管理是雲端控制的基本功

在規劃有關資訊安全管理的策略時，經常會提到一個俗稱為「PPT」的思考架構，它是指人員（People）、流程（Process）和技術（Technology），也就是說在資安管理的要求方面，基本上皆會涵蓋此三個層面，包括需要依照組織營運目標與資訊安全政策，透過教育訓練來讓所有員工了解並落實其應有的安全責任；依照各單位業務屬性不同，訂立各項安全的作業流程，並留下相關的作業記錄；以及透過各項資安技術的協助，來偵測防禦可能來自內部與外部的各項威脅。

即使如今組織已採取了先進的雲端服務，這些基本的控制要求仍是不可或缺的，因為面對可能來自於內部與外部的各項風險，唯有審慎評估並提高警覺，才能夠防範於未然。換句話說，組織需要事先練好了基本功，擁有了良好的體質，才能夠有效因應各項資安事件的發生，這一點請組織管理階層務必牢記在心。(本文刊載於2013年11月號網管人雜誌)

[專欄] 雲端控制矩陣安全措施簡介(四) - 資訊安全管理與控制措施(2)

Tue, 21 Jan 2014 14:28:00 +0000

上一次，我們說明了雲端控制矩陣中針對資訊安全管理與控制的要求，並且解說了對應至ISO 27001的各項安全措施，由於此一項目所包含的控制措施內容較多，所以將分成三篇文章來說明介紹，本文將繼續解說在雲端控制矩陣中，有關資安管理控制的各項要求。

在雲端控制矩陣中的第五項「資訊安全」，它是整體雲端服務的管理重點，一共包含了34個控制措施。在這些控制措施之中，從高階管理階層的要求開始，同時也兼顧了技術面的安全要求，因此它能夠協助組織建立整體的資安管理架構，以強化所提供雲端服務的資訊安全，以下將說明第11至21個控制措施的要求和所對應ISO 27001標準的內容。

IS-11 資安教育訓練與宣導
從實務上來看，資訊安全的重點之一是要確保所有相關人員，都已具備足夠的安全知識來對抗可能的威脅，這個控制措施就是要求雲端服務應針對所有合約承包商、第三方的使用者和本身的員工，建立一項資訊安全教育訓練與宣導的計劃，尤其是針對有能力存取組織資料的人員，應要求其接受必要的安全訓練，並且定期地更新組織或職務有關的政策、程序及作業流程。

如果組織已導入ISO 27001標準，則可參照本文「5.2.2 訓練、認知及能力」之要求，確保和雲端服務有關的所有人員，都能接受適當的訓練以具備勝任其職務的必要能力，同時也要維持各項和教育訓練有關的記錄。另外，在附錄「A.8.2.2 資訊安全認知、教育與訓練」也提到，組織應定期依照員工所擔負的不同職務，實施一般性或專業的資訊安全教育訓練，協助員工能夠針對可能的資安事件作出適當反應，並且可採取問卷或考試評量方式，以確認教育訓練的有效性。

IS-12 業界知識與基準評價
雲端服務是一項新興的熱門產業，許多有關資訊安全的做法，不見得在所有的組織都已一一地實踐，因此，有效取得業界相關的安全訊息就顯得十分重要。這個控制措施即是要求組織應透過業者之間的從業關係、專業的安全論壇，或是有許多專家參與的協會，取得業界有關雲端安全的知識與評價方式，確保雲端服務能夠滿足業界的基準與使用者的期待。

在實務方面，建議組織可以加入業界的雲端產業聯盟，並且選派適合的人員參與定期舉辦的研討會活動。在ISO 27001則可參考附錄「A.6.1.7 與特殊利害相關團體的連繫」之要求，由於資訊安全的技術日新月異，所以組織需要經常聽取專家的意見，或是參與專業論壇以取得更新的資訊，盡可能與各種和資訊安全有關的利害團體、專家協會等，保持適當的連繫管道。

IS-13 資訊安全角色與責任
不同的雲端服務，將會有不同的人員牽涉其中，這個控制措施是要求包括合約承包商、員工及第三方的使用者，都要採取文件化方式，記錄和其相關的資訊資產和安全要求。在「ISO 27001本文5.1 (c)」中提到，管理階層應承諾建立資訊安全之各種角色與責任，另外，也可參考附錄「A.6.1.3資訊安全責任的配置」，管理階層需要指定各部門主管和個人的安全責任，並且界定各項資產的保護與作業流程，唯有執掌角色的定義清楚，才能夠履行所賦予的各項任務。

還有附錄「A.8.1.1 角色與責任」中也要求以書面的方式，說明新進人員的資訊安全責任，例如告知所需遵守的組織資訊安全政策、個人資料保護法、智慧財產權等相關規範，以及資安事件發生時的通報方式等。

IS-14 管理階層之監督
針對管理階層的責任，部門主管或經理對於所負責區域有關的安全政策、作業程序及標準要求，應負起宣導和要求共同遵守的責任。針對這項要求，ISO 27001本文「5.2.2 訓練、認知及能力」中提到，組織應確保被指定責任的管理人員，有能力去要求、評估工作人員足以履行其職務相關的各項工作，同時也要維持教育訓練、技能資格等之記錄。另外，附錄「A.8.2.1 管理階層責任」也提到，應要求員工、承包商和第三方使用者，依照組織所建立的政策和程序來履行安全事項。

在實務方面，也可參照「A.11.2.4 使用者存取權限的審查」，要求管理階層定期地針對使用者的存取權限進行正式的審查，因此，建議在存取控制政策中即明訂組織將定期（例如三個月或半年一次）在人員的職務變更之後，實施權限審查與重新配置，以維持對於資訊和系統服務存取的有效控制。

IS-15 資訊安全之權責區分
這個控制措施是要求在安全政策、流程及作業程序中，應納入實施和確保適當的職責區分要求，如果在某些情況中存在使用者角色的利益衝突，就必須要實施相關的技術控制，以消除組織的資訊資產，可能受到未經授權的更改與誤用濫用的風險。

在ISO 27001方面，可參照「A.10.1.3 職務區隔」之要求，避免某些工作職務皆由同一個人來進行(例如會計和出納)，以確保不會有人可以一手遮天，有能力侵佔款項後同時竄改紀錄。在實務方面，如果公司規模不大且人員數量不多，可能很難作到完全的職務劃分，這時候可以選擇其他的配套方法，像是妥善保存作業活動上的監視紀錄，以及經常實施獨立的安全稽核，並且配合實施人員的教育訓練等，盡可能的來降低資訊安全風險。

IS-16 資訊安全之使用者責任
除了管理階層的監督與要求之外，使用者也有其應盡的安全責任，在這個控制措施中提到，應該讓使用者意識並察覺其應有的安全責任，包括了遵守適用的法令法律與工作規定，維持一個安全的工作環境，以及離開工作區域時應妥善保護所持有的資訊資產。

在實務方面，可以參考ISO 27001附錄「A.11.3.1 密碼的使用」，要求使用者一旦獲得其系統使用的帳號密碼，在使用方面就必須按照組織要求的安全規定，像是避免使用不安全的懶人密碼，選用一定長度以上、大小寫數字混合的嚴謹密碼，並要求定期進行密碼的變更。

IS-17 資訊安全之工作區域
一般而言，工作區域屬於所有員工都要負起共同安全責任的地方，這項控制措施要求保護工作區域中可見並包含敏感資料的文件，以及所使用的資訊系統在閒置或未使用時應登出，並且也要明訂相關的安全政策與作業程序。對於此項要求，可依據ISO 27001附錄「A.9.1.5 在安全區域工作」，對於組織所劃分出的安全區域，制訂所需的安全工作規則，並對員工提供適當的說明，依職務了解其可以進行的相關活動。

此外，對於需要使用的無人看管設備，可依照「A.11.3.2 無人看管的使用者設備」來要求實施適當的保護，例如一些公共區域使用的電腦，在一定閒置時間或結束使用時會強制終止其現有連線，或是設定有密碼保護的螢幕保護程式，以避免受到未經授權的使用。

IS-18 資訊安全之加密
在雲端服務之中，資料本身的安全防護是無法忽視的重點，這個控制措施是要求對於儲存在資訊設備或媒體中的資料(例如檔案伺服器和行動裝置)，以及跨越不同系統或公用網路的資料傳輸時，必須依照訂定的安全政策與作業程序來實施加密。

對此，可參照ISO 27001的「A.10.8.3運送中的實體媒體」，要求對於含有敏感資訊的媒體，在進行運送時需要依照安全程序來進行，例如確認運送人員的身分、保留運送過程的紀錄、使用安全的運送方式等。另外，也可參照「A.10.9.2 線上交易」，在網路連線過程中採用SSL加密機制或其他的加密通訊管道，必須使用安全的通訊協定，以避免所傳輸的資訊會受到來自其他公眾網路的存取。

至於加密的政策方面，可參考「A.12.3.1 使用加密控制措施的政策」，針對與營運或是個人隱私有關的敏感資訊，依照組織的風險評鑑結果，制訂統一的加密政策，說明將會採取何種加密技術或控制方法來保護這些資訊。例如包括智慧型手機等行動裝置，或是可移除式的媒體像是行動硬碟、隨身碟等，針對這些設備的使用、授權方式及加密作法，都應該在相關政策或作業程序中加以說明。

IS-19 加密之金鑰管理
為了確保組織的加密機制能有效落實，這個控制措施是要求建立金鑰管理的相關政策和作業程序，實務方面可參考ISO 27001附錄「A.10.7.3資訊處置程序」，要求在組織之中，只要是和營運活動相關或敏感性的資訊需要處理，就應該建立其處理和儲存程序，以確保資訊不會受到不當的揭露和誤用。

另外，也可參照附錄「A.12.3.2 金鑰管理」，要求在金鑰管理的生命周期中，從金鑰產生、分派、儲存、更新、廢止到銷毀等，都要有完整的作業程序作為基礎，同時，只要是和金鑰有關的作業活動，都需要保留完整的記錄，以便進行後續的安全稽核。

IS-20 弱點與漏洞修補管理
針對應用系統和網路設備可能的安全弱點，這個控制措施要求應基於風險管理的作法，定期地評估並且及時地採取修補行動，以降低可能的安全風險，相關的實施作法，也應明訂在安全政策和作業程序之中。

在ISO 27001方面，可以參照「A.12.6.1技術脆弱性控制」的內容，要求組織能夠及時取得和弱點有關的資訊，並採取對應行動來降低因被公開的安全弱點而遭受到不必要的攻擊。實務的作法為建立一份完整的資訊資產清冊，詳細記載應用系統和網路設備的相關資訊，例如版本、廠商、部署狀態、負責人員等，並與廠商保持溝通連繫，以掌握可能的安全風險與現況。至於在作業程序方面，可參考「A.12.5.1 變更控制程序」，針對資訊系統的變更，必須制訂正式的變更程序才可進行，並且要求整個修補的過程，都需要有適當的監控並且留下記錄。

IS-21 防毒程式與惡意軟體
針對常見的病毒事件，這個控制措施是要求必須確保所有的防毒程式，都有能力去偵測、移除、保護未知的惡意攻擊，並且需要在每12個小時內，更新防毒程式的病毒碼。

在ISO 27001方面，則可參照「A.10.4.1 對抗惡意碼的控制措施」，在系統上安裝防毒軟體並定期地更新病毒碼，以確保防毒軟體能夠有效運作。此外，在政策方面，可要求使用者不可任意自網路下載未經授權的軟體並進行安裝，也要實施教育訓練讓使用者有足夠的安全認知，降低來自網路和電子郵件等惡意程式的入侵風險。(本文刊載於2013年10月號網管人雜誌)

[專欄] 雲端控制矩陣安全措施簡介(三) - 資訊安全管理與控制措施 (1)

Sun, 15 Dec 2013 13:46:00 +0000

上一次介紹了雲端控制矩陣針對設備場所與人力資源的要求，並一一說明了其對應ISO 27001的安全控制措施，接下來將繼續說明在雲端控制矩陣中，第五項控制區域有關資訊安全的各項要求。

在雲端控制矩陣之中，擁有最多項控制要求的控制區域，無庸置疑的就是第五項「資訊安全」，在這裡一共包含了34個控制措施。在這些控制措施之中，從高階管理階層的要求開始，一路走到了技術面的安全要求，基本上已涵蓋了組織整體的資訊安全管理架構，分別說明如下。

IS-01 資訊安全管理計畫
這個控制措施是要求針對資產的保護，必須防止未經授權的存取、揭露、修改、銷毀，以避免資料的外洩與誤用。因此，組織在經過管理階層的核可之後，需要建立一項資訊安全管理計畫(ISMP)，實施的範圍包括了管理面、技術面和實體環境面的安全措施，計畫的內容也應與組織的業務直接相關，它包括但不限於如風險管理、安全政策、組織資訊安全、資產管理、人力資源安全、實體與環境安全、通訊與作業管理、存取控制，以及資訊系統取得、開發與維護等。

如果雲端服務供應商已導入ISO 27001標準，則可參照本文「4.2 建立與管理ISMS」之要求，將雲端服務一併納入至ISMS的範圍之內，至於可參考的控制措施，則包括了「A.6.1.1–A.6.1.8」等，主要是針對內部組織來建立相關的資訊安全角色與責任。

IS-02 管理階層支持與涉入
這個控制措施是要求管理階層和直屬主管，應透過清楚且文件化的指示和承諾，明確地指派任務，並且確認任務執行後的情況，採取正式的行動來展現對於資訊安全的支持。在實務方面，有關資訊安全政策的更新，都應該要經過管理階層的簽署同意，並且分發告知所有的員工，員工則必須清楚地知悉之後來共同遵守。

另外，也可參照ISO 27001的本文「5. 管理階層責任」，以及附錄「A.6.1.1管理階層對資訊安全的承諾」中所提到，管理階層的支持是資訊安全管理制度能有效運作的重要關鍵因素，因此這項控制措施強調管理階層應該要在組織中，明確地指派並確認人員的安全責任，主動地支持各項安全工作，並提供所需要的資源。

IS-03 資訊安全政策
這個控制措施是要求管理階層應核可一份正式的資訊安全政策，並且發佈給全體員工、合約承包商和相關的外部夥伴知悉。在這份資安政策中，應建立明確的組織方向，並且和產業所適用的法令法規、業界的最佳實務相結合，同時資安政策也需要被組織的管理策略與領導計畫，以及明確定義人員角色的資安計畫所支持。

實務方面，可依據ISO 27001附錄「A.5.1.1資訊安全政策文件」，要求資訊安全政策應經由管理階層的核准，並且公布傳達給所有員工和相關的內外部團體知道。在這份資訊安全政策中，主要是傳達管理階層對於資訊安全的支持，確保資訊安全與組織營運目標的一致性，同時說明資訊安全的重要性、實施範圍、要求與目標，以及相關人員的職責。其中關於目標的部份，最好以量化的方式說明，例如為確保相關資安措施符合法令與法規的要求，組織每年應至少實施兩次的資訊安全內部稽核。

IS-04 資訊安全基準線之要求
在這個控制措施中提到，資訊安全之基本要求應被建立，並且實施在應用程式、資料庫系統、網路基礎設施的設計與部署，同時也要求資訊的處理必須遵守政策、標準和適用的法規要求。資訊安全基準線要求和法規遵循，至少每年一次需要進行重新評估，此外，在組織有重大變更時也應該要重新審查。

針對這項要求，可參照ISO 27001「A.12.1.1安全要求分析與規格」，要求在一開始評估規劃資訊系統時，就要將安全項目納入其中，除了從管理面進行風險分析之外，在技術面需要考量的項目包括系統是否具有可自動運作的控制措施，能夠偵測出系統的異常情況，或是具有輔助性的人工控管方法，可進行參數的調整來增加安全的強度。以及也可參照「A.15.2.2 技術遵循性查核」，要求定期採取技術性方式來查核各項資訊系統，例如組織可以使用自動化工具，針對網站進行弱點掃描，或採取手動方式，針對系統進行滲透測試，再提出網站的安全改善報告。特別要注意的是所有技術性的查核過程，都務必要事先取得授權，並且在適當的監督和記錄下，由專業人士來實施，以避免引起其他不必要的問題。

IS-05 資訊安全政策之復審
這個控制措施是要求管理階層應當在計畫的期間之內，或是當組織有變動時，重新審查資訊安全政策，以確保其持續的正確與有效。在實務方面，資安政策的復審期限應以不超過一年為限，並且在遇有重大事件或組織變動時，也需要額外進行重新審查。

在ISO 27001方面，可以參照「A.5.1.2 資訊安全政策之審查」之要求，若發生重大變更時，需要進行資訊安全政策的審查，以確保內容持續地適用且充分有效。這也就是說，資訊安全政策不單單只是一份宣示性的文件，而是必須配合組織環境、業務型態、法律合約要求和技術更新等事項，進行持續的修訂與發行，因此這一項控制措施的重點在於，組織可能會對政策內容進行修改，但也不要忘了更改內容之後，需要重新取得管理階層的核准，並且留下相關的審查記錄才行。

IS-06 資訊安全政策之執行
針對違反資訊安全政策和程序的員工，應建立正式的懲戒或獎懲政策，同時也必須在政策和程序中陳述說明，讓員工能夠知曉若違反規定時，可能會面臨的懲處行動。

實務方面，如果發現了不當的行為，就要引發後續的調查行動，若發現屬實則要給予相關人員適當的懲處，在嚴重時甚至可終止工作合約，並交由人力資源部門進行後續的協調傳達。若是依據ISO 27001之要求，則可參考「A.8.2.3 懲處過程」中提到對違反安全的員工，應有正式的懲處過程。這項控制措施的重點，在於組織是否公布懲處的程序與方式，是否以正確、公平的方式蒐集客觀的證據，以證明員工違反安全規範，對於嚴重的不當行為，也可允許管理人員解除其職務，或要求其離開辦公作業場所。

IS-07 使用者存取政策
針對應用程式、資料庫、網路基礎設施的正常權限與特殊權限的指派，應建立文件化、經核可後實施的存取政策和程序，並且與商業、安全、法規遵循及服務等級協議(SLA)之要求維持一致。一般而言，存取政策是廣泛安全政策中的一部份，對於資產的存取應基於僅知原則(need to know)和最小權限原則，並且實施基於角色的存取控制作法，尤其對於實體存取與邏輯上的控制，也需要保持一致。

對於此項要求，可參考ISO 27001中的「A.11.1.1 存取控制政策」要求，依照營運相關的存取安全要求，建立文件化的存取控制政策，並且在這項政策中明確說明每位使用者和使用群組，應該要如何去配置其應有的存取權限。而這些存取權限的考量，則可能來自於本身的職位高低或所接觸資訊的安全等級，以及對組織整體的營運風險考量。

基本上，在組織之中的存取控制措施，將會牽涉整個存取授權的流程，包括如何提出授權的請求、如何審查並賦予權限，以及不需使用時的權限如何移除等。因此在實務方面，我們建立存取控制規則時，必須掌握一個原則，那就是「除非允許，否則一律禁止」，這項原則可以應用在實體環境的門禁管制，或是邏輯上的防火牆存取規則，這樣將可大幅降低不當的存取設定可能帶來的風險。

IS-08 使用者存取限制與授權
這個控制措施是要求對於擁有正常或特殊權限的使用者，在存取應用程式、系統、資料庫、網路配置和敏感資料時，相關功能必須要加以限制，並且事先取得管理階層的授權。對此，可參照ISO 27001的「A.11.2.1 使用者註冊」，要求所有的使用者在獲得存取資訊的權限之前，必須經過正式的使用者註冊程序，換句話說，若不再需要存取資訊時，也必須經過適當的註銷程序，撤銷其所具有的存取權限。在實務方面，最常見的作法是讓使用者透過表單流程來進行申請，在通過審查核可之後，賦予其一個唯一的識別帳號(User ID)，藉此來管控並留下使用者存取資訊的記錄。

另外，也可參照「A.11.2.2 特權管理」，針對如系統開發人員和系統管理人員等，這些擁有和一般使用者不同的特殊權限人員，要求必須限制和控管特權的配置與使用，實務上最簡單的作法就是特權申請需要經過管理階層的授權，並且留下相關記錄。另外，特權的使用也要明訂相關的作業辦法，使用的過程也要保存其系統記錄(log)。

IS-09 使用者存取之撤銷
這個控制措施是要求需要依照員工、合約承包商、客戶、商業夥伴和第三方的情況，及時地解除、撤銷或修改使用者有能力存取組織的系統、資產和資料。所有的變更都必須包含在員工的職務、合約或協議的終止，以及員工聘雇的更動或轉職時的流程進行。

對此，可參照ISO 27001的「A.8.3.3 移除存取權限」控制措施，針對人員的轉調、離職或合約終止，需要確保其使用資訊系統的存取權限已進行適當變更，實務上建議在人員離職日起即暫時凍結使用者帳號，等待確認相關資訊與權限已移轉完成之後，再將其帳號和權限移除。

IS-10 使用者存取之審查
這個控制措施是要求所有的使用者權限，都要在所規劃的一定期限內，由管理階層進行審查。對於違反存取規定的情況，也要依照文件化的存取控制政策和程序，進行後續的矯正行動。

在ISO 27001方面，則可參照「A.11.2.4 使用者存取權限的審查」的作法，要求管理階層需要定期針對使用者的存取權限進行正式的審查，因此實務方面建議在存取控制政策中即納入組織將定期(例如三個月或半年一次)在使用者的職務變更之後，實施權限審查與重新配置，以維持對資訊和系統服務存取的有效性控制。(本文刊載於2013年9月號網管人雜誌)

[專欄] 雲端控制矩陣安全措施簡介(二) - 評估設備場所與人力資源安全

Sat, 16 Nov 2013 01:29:00 +0000

上一次我們介紹了雲端控制矩陣(CCM)針對法規遵循與資料治理的要求，並一一說明了對應的安全控制措施，接下來將繼續說明控制區域中的第三項設備場所安全，以及第四項人力資源安全的各項控制做法。

對雲端服務供應商而言，如果已經導入並取得了ISO 27001資訊安全管理系統的認證，那麼將相關的資訊安全控制要求，也涵蓋到所提供的雲端服務範圍之內，將是組織最容易強化雲端安全的做法。

目前，在雲端控制矩陣中的每一項控制措施，都可直接對應至ISO 27001的標準，因此建議組織將ISO 27001標準的實務做法，回應至雲端開放認證架構的第二層要求，在未來若想要通過第三方的獨立稽核時，就可達到事半功倍的效果。

設備場所安全之控制措施

雲端控制矩陣的第三項控制區域是有關設備與場所安全的要求，它一共包括了8個控制措施，分別說明如下。

FS-01 設備場所安全政策
這個控制措施是要求對於辦公室環境、資訊設施及安全區域，必須建立相關的安全政策與作業程序，以維護這些設備場所的安全。實務上可行的做法是對於場所的進出都要有適當的管控，例如必須使用門禁卡，要求所有訪客必須登記並配載識別證才可進出等。

如果雲端服務供應商已導入ISO 27001標準，則可參照「A.5.1.1安全政策」的要求，說明資訊安全的重要性與實施場所範圍，經由管理階層核准之後，公布傳達給所有員工和相關人員；並依據「A.9.1.3保護辦公室、房間和設施安全」的控制措施，對於重要的資訊處理設備，應避免放在公眾可觸及的地方；或參照「A.9.1.5在安全區域工作」的要求，制訂在安全區域內的工作規則，例如除非經過授權，才可在安全區域使用照相機、錄音錄影等設備，尤其敏感區域可視需要禁止攜入可拍照的手機，並對員工提供適當的說明。

FS-02 設備場所安全之使用者存取
這個控制措施是要求針對資訊資產的實體存取，應依相關人員的職務和支援上的需要，進行適當的限制。實務上建議的做法，可依據人員的職務賦予所需的最小權限，限制只有必要的人員才可進入安全區域，並且實施多因素的身分驗證機制。

另外，也可參照ISO 27001標準「A.9.1.1實體安全邊界」的要求，藉由圍牆、門禁刷卡系統、或是大門設置接待人員，來保護區域內資訊與資訊處理設備的安全；或依據「A.9.1.2實體進入控制」，當訪客要進入辦公處所時，應該在接待櫃台進行登記，並記錄進入和離開的日期和時間，同時也要求其配戴訪客識別證，即使是在同一棟大樓裡活動，樓層入口也應有適當的管制，像是刷卡才可進入。若要進入資訊機房，更必須要事先獲得授權且有人員陪同，告知並要求其遵守有關資訊安全的規定。

FS-03 設備場所安全之存取點控制
這個控制措施是要求實體環境的安全邊界，必須要有清楚的劃分，並且針對敏感資料和資訊系統實施安全的保護。

實務方面，建議雲端服務供應商可以對關鍵的資訊系統，包括從進入時的門禁管制，到存取系統時的多因素身分認證(以帳號密碼並搭配如指紋等生物辨識方式)，實施多重的存取控制。或是依據ISO 27001附錄「A.9.1.1實體安全邊界」的要求，在劃分公共區域與安全區域時，依照所評估的風險等級來決定所實施的控制措施，例如內部專用的會議室與提供給訪客的休息區，在控管的程度一定有所不同，不一定都要強制採刷卡方式才能進入；而辦公區域的大門，一般都會設有門鎖，或是經過保全人員確認身分之後才可通行；公共進出的通道則要採取明顯的標示說明，針對無人的區域則設置防盜系統或監視器等。

FS-04 設備場所安全之安全區域授權
這個控制措施是要求針對場所的入口和出口，必須限制只有經過授權的人員才可進出，並且具備安全的監控措施。建議雲端服務供應商可以配合FS-03的要求來一併進行，也可參照FS-02中所提到的ISO 27001標準「A.9.1.2實體進入控制」，在所有的進出管道，進行人員身分的確認。

FS-05 設備場所安全之未授權人員入口
這個控制措施是要求對於雲端服務區域中，所有未授權人員可能進出的管道，需要實施安全監控，如果可能的話，針對資料儲存設備與處理的設施，也要進行隔離和限制，以避免不當的資料遺失或外洩。

在實務方面，除了同樣可以依照FS-03的控制要求來進行之外，也可依據ISO 27001標準的「A.9.1.6 公眾存取、遞送和裝貨區域」，要求辦公處所若需要收發或裝卸物品，則設置收發室櫃台來統一收件，不讓外部人員可未經控管就能直接進入，若相關物品卸載之後需要移至使用的地點，也可設置廠商設備的檢查區及裝卸區，經過適當的檢查之後才放行。

FS-06 設備場所安全之外地授權
為了確保在組織之外的場所，相關的軟硬體設備和儲存的資料也能獲得安全保護，這個控制措施要求當設備和資料需要移至外地時，必須事先獲得管理階層的授權。實務方面，在FS-01的設備場所安全政策中，就要定義包括設備和資料移轉，以及資產變更管理的要求。

若依據ISO 27001標準，則可參考「A.9.2.7資產的調動」要求，在資產的使用與調度方面，所有的資訊設備、軟體，相關物品的攜出和攜入都需要事先授權；以及參照「A.10.1.2 變更管理」，除了所有變更事項都要取得主管的授權之外，特別要注意的是務必保存相關的變更紀錄，包括作業核准的程序、重大變更事項的識別和紀錄、變更規劃與測試計畫，以及萬一在變更不成功時，如何中止並進行復原的程序等。

FS-07 設備場所安全之外地設備
針對位於組織外的場所和設備，這個控制措施要求必須要有相關的政策，並且規範資產的使用、維護和安全處置的程序，以確保相關設備的安全。對於此項要求，可依據ISO 27001標準中的「A.9.2.5 場所外設備安全」，要求組織的資訊設備，在攜出辦公場所外使用時，應注意其在不同場所可以面臨的威脅與安全風險。例如筆記型電腦在外部使用時，小心可能遭竊的問題，避免留置在遠離視線可及之處，在技術方面也可使用硬碟加密，以強化敏感資訊的安全。

另外，目前普遍使用的智慧型手機、USB隨身碟等，也要訂立相關的使用辦法，並訓練員工能夠理解並遵守，以避免不當的資料遺失或外洩。對於設備的處置，則可參照「A.9.2.6 設備安全的處置和再利用」，要求資訊處理設備在轉移給其他單位或重新交由其他員工使用時，所儲存的資料和安裝的應用軟體都要清除。針對要汰換的硬碟等儲存設備，如果曾經存放過敏感資料，建議採取實體破壞的方式，以避免資料可能再次被還原。

FS-08 設備場所安全之資產管理
針對重要的資產，這個控制措施要求應建立文件化的資產清單，並且指定資產的擁有者。對此，可參照ISO 27001標準「A.7.1.1 資產清冊」的要求，清查盤點和雲端服務有關的資產，實務方面在進行盤點時，建議事先設定資產的類別，例如區分為資訊類（電子檔、紙本）、人員類（內部、外部）、軟體類（套裝、自行開發）、實體類（電腦設備、辦公處所）、服務類（電力、網路）等，仔細清查每一筆資產的型式、位置、數量、擁有者、使用者、保管者和營運價值，最後彙整成一份組織的資產清冊，並依據「A.7.1.2 資產的擁有權」的要求，指定實際上能夠控制資產的處理、發展、使用和安全的個人或部門作為擁有者，要求負起資產的保管責任。

人力資源安全之控制措施

對公有雲端服務的使用者來說，雲端服務就是一項委外服務，也就是必須將組織的資料或應用系統架構在雲端服務供應商所提供的環境之中，因此有一項風險會來自於服務供應商的人員，因為具備了存取或接觸資料的管理權限，如果沒有實施適當的安全控制，就可能危害到重要資料的安全。

在雲端控制矩陣的第四項控制區域，主要就是針對雲端服務供應商的員工和利害關係人，要求實施必要的安全管控，以確保雲端服務的安全，在此共有3個控制措施，分別說明如下。

HR-01 人力資源安全之背景審查
這個控制措施是要求依照當地的法令和合約要求，針對包括雲端服務供應商的應徵者、合作夥伴與相關的第三方人員，依據其可能接觸機密資料的比例、業務要求及可接受的風險等級，進行適當的背景查核。

建議雲端服務供應商可參照ISO 27001標準的「A.8.1.2篩選」控制措施，針對這項要求制定人員篩選的作業程序，說明將由何人、何時、何種方式來進行查核確認的工作。在進行背景審查時，則務必徵求應徵者本人的同意，並遵守個人資料保護法及隱私權的要求，再針對像是人員的學經歷資料、專業資格及信用記錄等進行查核。

HR-02人力資源安全之聘僱協議
這個控制措施是要求在賦予人員對於場所設施、系統或資料的實體或邏輯上的存取權限之前，必須簽署與聘僱關係或服務合約相關的協議和使用條款。在實務方面，雲端服務供應商可以在聘僱合約中加入保密協議的要求，並且對人員實施基礎的資訊安全意識的教育訓練，再依照其職務角色或可接觸的機密等級，個別實施必要的安全訓練。

針對保密協議，則可參照ISO 27001標準「A.6.1.5 機密性協議」的作法，定期地識別並審查對各項資訊保護的要求，評估協議的內容是否適當，再將它納入需要簽署的保密協議之中。至於聘僱合約則可依據「A.8.1.3 聘僱條款與條件」，事先擬定必要的資訊安全條款與保密切結書等文件，並向相關人員說明，取得其同意和簽署之後，才可授權讓其存取組織的資料和使用資訊處理設施。

HR-03人力資源安全之聘僱終止
這個控制措施是要求針對員工的聘僱終止或聘僱程序的異動，應指派相關人員的角色與責任，保持良好的溝通並且留下文件化的記錄。在實務方面，一旦雲端服務供應商有人員職務終止的情況，就必須依照人力資源政策中的相關流程來進行，至於在客戶方面，則由其對自己所創建的使用者帳戶負責管理。

在ISO 27001標準中，可依照「A.8.3.1 終止責任」的做法，針對人員的轉調或離職，指定專責的單位和人員來處理，一般而言，可藉由人力資源部門來進行相關人員的終止程序，以確認符合了聘僱條件與合約的要求。(本文刊載於2013年8月號網管人雜誌)

[專欄] 自我評估雲端服務安全 - 雲端控制矩陣安全措施簡介(一)

Mon, 11 Nov 2013 12:24:00 +0000

如果您想要了解雲端服務供應商的安全水準，藉由雲端安全聯盟所提出的雲端開放認證架構(OCF)，可以作為在選擇服務廠商時的參考，因此這對於廠商而言，確實了解雲端控制矩陣(CCM)的要求，並且回應已實施的安全控制措施，就顯得十分重要。

上一期我們介紹了雲端安全開放認證架構(Open Certification Framework；OCF)，它是一個可以用來評估雲端服務供應商的安全認證標準，在其所要求的三層式架構中，第一步就是要自我描述各項針對雲端服務的安全要求和因應措施，然後將它傳送到CSA的註冊管理單位(STAR Registry)進行審查，在此一層次中，除了使用自我評估問卷(Consensus Assessments Initiative Questionnaire；CAIQ)之外，直接採用雲端控制矩陣(Cloud Controls Matrix；CCM)所要求的安全控制，更可為第二層需要面對的外部稽核，預先做好準備。

雲端控制矩陣是雲端安全聯盟設計作為評估雲端安全的基礎，也是建議雲端服務供應商可以採用的最佳實務作法，它可歸納為十一項控制區域(Control Area)共98個控制措施，並且也能對應到其他的標準法規要求，包括COBIT 4.1、HIPPA/HITECH Act、ISO 27001、NIST SP800-53、FedRAMP、PCI DSS v2.0、AICPA Trust Service Criteria等，導入雲端控制矩陣的目的，就是希望能夠幫助需要遵守許多不同法規的廠商，減輕必須重複實施的相關工作。

對雲端服務供應商而言，若想要符合雲端安全開放認證架構，就必須在CAIQ問卷或雲端控制矩陣的控制區域中，一一具體回應填寫已實施的作法與現況，所以接下來一系列的文章，將會解說雲端控制矩陣中所要求的控制區域，並且搭配ISO 27001標準的實務做法，以協助您能夠有效回應雲端開放認證架構之要求。

法規遵循之控制措施

雲端控制矩陣的第一項控制區域是有關法規遵循的要求，它一共包括了6個控制措施，分別說明如下。

CO-01 稽核計劃
這個控制措施是要求專注在資料複製、存取和儲存邊界限制等相關的稽核計劃、活動和實施項目，應被設計用來降低業務流程中可能發生中斷的風險，因此這些稽核活動必須要提前規畫，並且獲得利害關係人的同意。對此，實務上可回應的做法為經由內部稽核或資安小組來擬定每年需要實施的稽核計劃，呈交給管理階層審查以獲得同意，然後定期實施並產出稽核報告，再針對不符合事項進行追蹤改善，以降低可能的資料安全風險。

如果雲端服務供應商已導入ISO 27001標準，則可參照本文的「4.2.3 監督與審查」所要求，將利害關係人的建議納入定期審查，以及依所規劃時間來實施內部稽核等作法，作為此控制要求的回應內容。

CO-02 獨立稽核
這個控制措施是要求至少每年一次或定期進行獨立審查和評鑑(例如內稽/外稽、驗證、弱點和滲透測試)，以確保符合了相關政策、程序、標準和適用的法規要求。實務建議的做法為可參照ISO 27001標準的要求，定期進行內部稽核，並由獨立的外部驗證公司進行審查，或是由外部定期進行弱點掃瞄或滲透測試，實施技術性的獨立查核。

CO-03 第三方稽核
這個控制措施是要求第三方服務供應商，在資訊安全、機密性、服務定義和交付協議及合約中，展現出已遵守相關的法規，同時第三方的報告、記錄和服務，也應當接受定期的稽核與審查，以確保符合服務交付協議所要求的法規遵循。

在實務方面，建議雲端服務供應商可以在與第三方的合約中，明確要求有權定期實施第三方的稽核，或是依據ISO 27001附錄「A.6.2.3第三方協議中的安全說明」，也就是在與第三方所簽定的協議與合約之中，明訂組織的資訊安全要求、應遵守的相關法規，以及違反時需要負起的法律責任等。

CO-04 合約與授權之維護
這個控制措施是要求應按照組織業務和客戶需求，符合相關法律、法規和合約規定，並與當地的政府機關保持聯繫；另外，針對資料、應用程式、基礎設施和硬體，必須確立其適用的法律和管轄權。建議雲端服務供應商可以指定特定人員作為法律問題和執法當局的聯絡窗口，並且與法律顧問、特定廠商、技術論壇等人員保持聯繫，以便必要時可請求其提供支援。

對此，也可參照ISO 27001標準「A.6.1.6與權責機關的聯繫做法」，擬定適當的作業程序，說明何種事件需要由何人進行通報，包括了哪些需要連繫的權責機關，以及參考「A.6.1.7與特殊利害相關團體的連繫」，平時就要與各種團體、專家協會等保持適當的連繫管道。

CO-05 資訊系統法規對照
這個控制措施是要求法律、法規和合約之要求，在所有資訊系統的元件中都應定義清楚，而組織用來符合已知的要求和新的命令的方法，也應被明確地定義、文件化及更新。這裡所提到的資訊系統的元件，可能包括了資料、物件、應用程式、基礎設施和硬體等，每個元件都可能會被分配到其適用的法律和管轄權，以便與法規進行對照。

在實務做法上，建議雲端服務供應商可以在服務描述中，說明本身所適用的法令和所屬的管轄區域，並且定期審查是否有新的法令或更新的要求。在ISO 27001標準方面，則可參照包括：「A.15.1.1識別適用的法條」，將適用的法律識別出來，並在內部的管理程序中，清楚明訂其要求；「A.15.1.3組織記錄的保護」，評估究竟有哪些記錄需要留存，需要採取什麼樣的安全措施，考量如何記錄、存在地點、存放型式、加密方式和存取權限等；「A.15.1.4個人資訊的資料保護與隱私」，依照個資法對於個資蒐集、處理和利用的要求，在作業辦法中加入符合法律的措施；「A.15.1.6加密控制措施的規定」，確認在資料保護上所使用的加密機制，已遵守當地國家法令的要求，並了解這些可實施加密的設備，是否會有進出口的限制。

CO-06 智慧財產權
為了保護智慧財產權，這個控制措施要求必須建立和實施相關的政策、流程和程序，並且透過法律管轄權和合約限制，以保障組織專有軟體的使用。在實務方面，可宣導並要求所有員工必須遵守智慧財產權法，同時確認所有的軟體均有合法的授權。

依據ISO 27001標準，則可參照「A.15.1.2智慧財產權」，要求組織必須確保所使用的資料和軟體，不會涉及違反智慧財產權的法律要求，並建立適切的管理程序。舉例來說，組織可在管理程序中明訂購置軟體的方式和原則，說明為尊重智慧財產權，內部一律使用合法授權的軟體，並嚴禁非法下載音樂、影片和未授權的軟體，同時也為合法軟體建立一份軟體清單，並且定期清查以避免違法的情事發生。

資料治理之控制措施

雲端控制矩陣的第二項控制區域，主要是針對雲端服務供應商所擁有的資料，要求建立相關的政策和作業程序，以確保雲端資料的安全，在此一共有8個控制措施，分別說明如下。

DG-01 擁有權和管理職責
這個控制措施是要求所有的資料都應被指派定義、記錄和溝通其管理職責。實務上最簡單的做法，就是建立一份資訊資產清冊，註明資料所在的位置、安全等級和擁有者，然後定期的重新檢查更新。

雲端服務供應商也可參照ISO 27001標準中包括：「A.6.1.3資訊安全責任的配置」，由管理階層指定各部門主管和個人的安全責任，並且界定各項資產的保護與作業流程；「A.7.1.2 資產的擁有權」，在資產清冊中，為每筆資訊資產指定其擁有者，這裡所謂的擁有者，並不是指對於資產本身擁有財產權，而是指實際上能夠控制資產的處理、發展、使用和安全，也就是對資產負有管理職責的個人或部門。

DG-02 分級分類
這個控制措施是要求針對資料本身和物件中所包含的資料，應基於資料類型、司法管轄權、所在地法律、合約要求、價值、對組織的敏感性和重要性，以及第三方對於資料的保存與防止未經授權的揭露責任，指定其安全等級。

在實務方面，雲端服務供應商可以自行定義其資料分級分類的做法，或是參照ISO 27001標準「A.7.2.1 分類指引」，將資料依照其對組織的價值、法律要求、敏感性和重要性進行分類，但是，建議資訊的分類不宜過多，以避免太過複雜而造成各業務單位實施的困擾。

DG-03 處理/標示/安全政策
這個控制措施是要求針對資料本身和物件中所包含的資料，應建立標示、處理和安全的政策和程序，必須對於保有資料的容器實施標示的繼承機制。建議實務作法為進行資料分級和標示，撰寫所需的安全指引手冊，或是參照ISO 27001「A.7.2.2 資訊標示和處理」，發展和定義組織的資訊處理標示和分類方法，例如在文件上面可標示其所屬的機密等級，或是標示在電子資料的meta-data之中。

DG-04 保留政策
這個控制措施是要求應建立資料保留和儲存的政策和程序，並且實施備份和備援機制，以確保符合管理、法律、合約或業務的要求，針對備份還原的測試，也必須依所規劃的時間來實施。在實務方面，除了建立備份政策和程序之外，雲端服務供應商可採取異地備援和持續同步備份等方式，以確保所儲存的資料安全，也可參照ISO 27001標準「A.10.5.1 資訊備份」，針對資料本身不同的屬性，定義出不同的備份方式如完整備份、增量備份、差異備份等，並且考量實施備份的頻率，像是每年、每月、每週、每日等，以確保資料擁有多重的防護。

DG-05 安全處置
這個控制措施是要求為達成安全處置和徹底移除儲存媒體中曾存放的資料，必須建立相關的政策、程序和做法，確保資料不會被以其他方式復原回來。在實務方面，對於不再使用的儲存媒體，可採取實體破壞方式，使其不可能被還原回來，處置的過程也要妥善地加以記錄保存。

至於需要再使用的儲存媒體，則可參照ISO 27001標準「A.9.2.6 設備安全的處置和再利用」，要求資訊處理設備在轉移給其他單位或重新交由其他人使用時，具有版權的軟體需要重新整理移除，所儲存的資料也要一併清除；針對需要進行報廢的設備，則依據「A.10.7.2 媒體的報廢」要求，需要依照一定的安全程序進行報廢，以確保資料不會被復原。

DG-06 非生產環境資料
這個控制措施是要求生產環境中的資料不應被同步複製或使用在非生產環境之中，實務方面建議應嚴格禁止非公開的客戶資料，從生產環境中移到非生產區域，除非是已獲得客戶同意或在法務部門指導下才可進行。

針對應用程式的開發，則可參照ISO 27001標準「A.10.1.4 開發、測試與運作環境的區隔」，備妥開發流程、測試和上線運作的程序文件，同時，所使用的資訊軟硬體設備，也要加以適當的區隔，不將資訊存放在相同的儲存媒體中；若要進行測試，則依據「A.12.4.2 系統測試資料的保護」要求，在測試時注意所使用的資料是否已經過授權取得，剔除或替代資料中敏感性的內容，並在測試完成之後，徹底將資料從系統中清除。

DG-07 資訊洩漏
這個控制措施是要求必須實施安全做法以避免資訊外洩，實務上可採取嚴格的身分驗證與授權(IAM)，以及導入防範資料外洩方案(DLP)來進行，針對資訊系統本身，則可參照ISO 27001標準「A.12.5.4 資料外洩」的要求，在系統上線前進行系統掃描，確認是否有不當的訊息外送或開放的傳輸埠，另外也要監測系統資源的使用與網路活動，以防範資料洩漏的事件發生。

DG-08 風險評鑑
這個控制措施是要求風險評鑑必須配合資料治理的要求來定期實施，包括針對敏感資料儲存與傳輸的教育訓練、遵守所定義的資料保留期限和處置要求，以及針對資料分級分類以防止受到未經授權的存取和遺失損毀等。實務方面，建議參照ISO 27001標準本文中「4.2.1 (c)界定組織的風險評鑑作法、(d)識別各項風險」之要求來進行，以及「4.2.3 (d)依照已規劃的期間，審查風險評鑑的結果，並且審查剩餘風險的等級與已識別的可接受風險」。(本文刊載於2013年7月號網管人雜誌)

[專欄] 評估雲端服務的安全性 - 雲端安全開放認證架構簡介

Thu, 12 Sep 2013 13:09:00 +0000

隨著雲端服務的迅速發展，無論是SaaS、PaaS、IaaS服務，各種雲端服務供應商都提供了消費者方便彈性、隨需可用的雲端服務，只是在眾多服務的背後，您是否了解廠商對於資安控管和安全責任的要求？是否可以安心地採用雲端服務呢？

面對如雨後春筍般出現的雲端服務，身為想要採用雲端服務的消費者，到底應該如何選擇一個可靠安全的雲端服務供應商？事實上並不容易。對消費者而言，公有的雲端服務，其實就是一種外包服務，消費者對於廠商的了解，可能來自於品牌印象、其他人的推薦，或是來自於媒體中刊登的廣告，對於價格或服務的內容，或許可以有所了解，但是對於廠商的資料保護能力、服務運作能力，以及資訊安全的管理要求和實施情況呢？或許心中仍然存在著許多的問號。

基本上，由於雲端服務本身有著跨越國境和許多用戶同時租用的特性，而且各項行業依照其產業所屬性質的不同，都有其所需要特別遵守的法律法規，再加上各個雲端服務供應商對於資安要求的程度不一，因此目前仍然缺乏一個統一的標準，也很難有一個容易實施的方法來進行安全性的評估。

雖然有些業者強調，已經導入了資訊安全管理標準ISO 27001的安全控管要求，但是其驗證的範圍是否包含了雲端服務？針對雲端服務實施了哪些安全的控制措施，整體的資訊安全水準如何？似乎缺少了一個更透明化的方式，可以讓廣大的消費者得知，並且可以作為選擇雲端服務供應商的參考。

雲端安全開放認證架構簡介

對於以上所提到種種與安全有關的問題，雲端安全聯盟(CSA)已認知到很難有一個單一的安全認證，就可以含括所有服務供應商的安全需求，但是業界又很確切需要有一種公開且可受公評的方式，讓服務供應商可以自我揭露其安全水準，同時也讓消費者獲得可以參考的依據。

因此，在2012年的雲端安全會議中，雲端安全聯盟基於各項受到產業認可的安全控制目標，提出了雲端安全開放認證架構(Open Certification Framework；OCF)，可用來作為評估雲端服務供應商的安全認證。OCF是基於雲端安全聯盟對於治理、風險和法規遵循(Governance, Risk and Compliance Stack)的研究專案，所發展出來的可信賴雲端服務認證安全架構，它能夠廣泛地支援多個層次且來自於不同供應商和消費者的安全需求。

雲端安全開放認證架構提供了一個可彈性應用的方案，透過三個漸進式的發展層次，從自我評估到外部評鑑的實施，最終的目標是希望能夠持續地監控，以確保各項安全控制措施的有效性，並且也能不斷地改善，以滿足使用者的安全需求。雲端安全聯盟指出，服務供應商藉由實現了雲端安全開放認證架構的安全控制，將可以達成以下目標：

讓雲端服務供應商可以因應各項產業標準和法規的要求，並且採取業界認同的雲端安全最佳實務，同時更期許經由政府機關的率先導入，為公眾使用的雲端服務，指出了一個明確可行的安全認證要求與方向。

提供了明確的安全指引和工具，像是整合了ISO 27001的雲端控制矩陣 (Cloud Controls Matrix；CCM)，讓雲端服務供應商更易於滿足多項標準的安全要求。CCM是雲端安全聯盟設計用來作為評估雲端安全的基礎，也是引導服務供應商採用業界的最佳實務作法，除了可以確保其雲端服務的安全，同時也能協助雲端服務的消費者，藉此來選擇符合其安全要求的雲端服務供應商。CCM的控制措施和CSA雲端安全關鍵指南中的13項安全領域要求是一致的，並且融合了其他業界常見的安全標準，例如 HITRUST CSF、ISO 27001/27002、ISACA COBIT、PCI、HIPAA和NIST等，也呼應了服務型組織對其內部稽核控制的安全要求，預期將可減少組織同時適用各項法規時，所需要面對的重覆稽核問題。

雲端安全開放認證架構可作為一項受到業界認可的體制，它能夠支援ISO標準、美國會計師協會(AICPA)和其他相關安全認證架構，簡化並減少需要重覆進行各項安全認證的要求。

開放認證架構的評鑑方式

雲端安全開放認證架構是一個三層式的架構，從它的底層出發愈往上走，就愈能透明化的展現雲端服務供應商的安全控管方式，並且讓消費者獲得更高的安全保證，評鑑的實施方式說明如下。

第一層STAR自我評鑑 (The STAR Self-Assessment)
在這一層次中，雲端服務供應商可以提交兩種類型的報告，一種是依據CSA STAR (Security, Trust & Assurance Registry；STAR)的自我評估問卷(Consensus Assessments Initiative Questionnaire；CAIQ)，描述各項已符合安全要求的作法與因應措施，然後將它傳送到CSA的註冊管理單位(STAR Registry)進行審查；另一種則是依據雲端控制矩陣中所要求的98項安全控制措施，逐條回答已經實施的作法與現況。

雲端服務供應商向STAR Registry所提交的自我評鑑報告，雲端安全聯盟會在其網站(https://cloudsecurityalliance.org/star/registry/)上提供已認可的註冊記錄，讓公眾可以直接查詢，這些記錄將可以協助雲端服務的消費者，了解並評估服務供應商的各項安全控制的作法，目前這項服務無論是註冊或查詢，都是可以免費進行的。

在這個評鑑階段中，由雲端安全聯盟所提供可免費下載的自我評估問卷(CAIQ)，提供了超過140項針對雲端服務供應商、消費者和雲端安全稽核人員可能想要了解的安全問題，服務供應商可以自行填答(Yes or No)並提出描述說明，透過自我揭露的各項安全作法，用來作為消費者在選擇雲端服務時，可評估安全風險的最佳參考資料。

服務供應商必須確保自我評鑑的更新週期，不得小於12個月，也就是說至少每年都需要重新自我評鑑一次，以確保各項安全控制措施的更新，能夠及時反應在評鑑的內容之中。如果沒有及時更新，雲端安全聯盟會將未更新的報告註記為不認同，如果超過一年六個月都還沒有更新的話，就會直接將這筆記錄從註冊資料庫中移除。

第二層 STAR認證-第三方獨立評鑑 (STAR Certification - Third Party Assessment)
在第二層的評鑑之中，雲端安全聯盟將會結合ISO 27001和雲端控制矩陣的安全控制措施要求，透過第三方驗證單位(目前配合的驗證單位是BSI英國標準協會)來實施獨立的安全查核，針對雲端系統的成熟度進行評分。這項安全查核將採用國際標準普遍應用的規劃、實施、檢查、改善行動(PDCA)原則，並依照雲端控制矩陣中對雲端系統的安全要求來進行，最後所獲得已量化的評分，即可作為管理階層進行評估改善的參考。

第三層基於認證的持續監控 (Continuous Monitoring based certification)
第三層是CSA STAR認證的延伸，目標是希望透過持續蒐集到的稽核證據，即時地監控雲端安全的控制，以期符合消費者的安全要求，此一階段的實施做法，目前則還在發展之中。

雲端安全開放認證的實施現況

目前，雲端安全開放認證架構仍處於先期的導入計畫階段，已經實施的是第一層的自我評鑑要求，已經獲得許多雲端服務供應商的響應參與。第二層的做法預計在2013年開始執行，至於第三層的持續監控要求，預計最晚會在2015年完成。

對雲端服務供應商而言，實施導入雲端安全開放認證架構的安全要求，不是為了追求另外一項認證，而是能夠具體的提供其雲端服務安全管理的證明，同時也確認自己有能力來因應可能發生的安全事件，能夠降低雲端服務的營運風險，建立消費者對於業者的信心。

至於對消費者來說，則是獲得了一個透明公開的管道，可以得知雲端服務供應商的安全管理要求與實際做法，評估是否與自身的安全需求能夠趨於一致，並且可以滿足組織的安全政策與要求。(本文刊載於2013年6月號網管人雜誌)

[專欄] 個資保護與隱私維護系列(五) - 保護個資的安全控制措施

Mon, 15 Jul 2013 11:56:00 +0000

上一次我們談到了許多和個人隱私有關的事項，雖然同屬於個人資料，但是在不同行業之間，隨著所適用的法規和客戶的期許不同，對個人資料的保護要求也有所差異，本文則將從評估個人資料的價值談起，探討適用於個資的安全控制措施。

依據個人的觀察，雖然個資法的正式實施，已經讓企業明白保護個資是勢在必行的工作，但是究竟該由誰來負責或主導，仍然存在著許多不同的意見。

有些人認為，公司內部和個人有關的資料，大多存放在人事和財務部門，因此應該要由這些部門來率先實施推動；人事和財務部門則認為，個人資料都存放在公司的檔案伺服器和資料庫中，負責維護管理的是資訊部門，而且個資保護又和資訊安全有關，所以理應由資訊部門來主導；資訊部門則摸著頭殼說，可是這些個人資料都不是由我們來蒐集和利用，充其量只是透過資訊系統來處理儲存而已，應該是由蒐集個資的業務和利用個資的行銷部門來運作才對，怎麼會是我？

探究大家不願意主導或負責的原因，主要還是來自於面對這項新的議題，心裡卻不太清楚究竟該從何做起，如果真的被老闆賦予任務而接手了，與其將燙手山芋攬在自己身上，倒不如一開始就放手把它交給別人來應對就好。

事實上，許多企業在資安方面都已經有所要求，有些甚至都已取得了ISO 27001的資安管理標準認證，如果藉由資訊安全的角度來出發，一樣採取企業風險管理的方式來因應，在個資保護與隱私維護方面，它就會是很好的第一步了。

參考個資保護相關標準

對於個人資料的安全保護，如果還是不了解要如何實施，最簡單的方式就是參考其他也有個資法律國家的相關經驗，或是參考受到國際認可的實務準則和標準。舉例來說，在先前的文章曾經提過的OECD八項隱私保護原則、APEC的九項隱私保護綱領，以及美國的安全港架構協定，就是可用的參考依據。

至於在國際認可的個資保護標準方面，由英國標準協會所提出的BS 10012個人資訊管理標準，也是目前在個資管理方面一項很好的參考來源，它採用了常見的PDCA (Plan, Do, Check, Act)管理流程，可將企業對於個資保護的期許和法律要求作為基礎，進而建立一項個資保護的管理計畫(P)，然後根據這項計畫在企業中實施運作(D)，接著藉由運作過程中所產出的相關文件記錄，透過管理審查和稽核方式進行監督(C)，再依照稽核的結果要求進行改善行動(A)，以確保個資管理制度實施的有效性。

除了英國的BS 10012標準之外，目前由經濟部委託資策會所研擬，針對電子商務業者的「台灣個人資料保護與管理制度(TPIPAS)」，也可作為企業在實施個人資料保護措施的參考。

TPIPAS制度的運作分為三個階段，它先從制度的規劃開始來確立個資保護的要求，然後透過教育訓練的方式來培育所需的建置和稽核人員；接下來則是透過受過訓練的內部人員來自行建置，或是藉由外部輔導顧問的協助，將個資保護與管理制度導入企業之中；最後再由合格的稽核人員進行實地審查，確認制度實施的有效性之後，再向主管單位申請發放合格的隱私標章，以此作為企業落實個資保護的一項證明。

進行個資盤點是第一步

如果企業有心要保護個人資料，就必須要了解目前到底持有多少的個人資料，由哪些部門來進行蒐集、採取什麼方式來處理、存放在什麼地點，以及如何地利用這些個人資料。一般而言，需要先釐清資料的蒐集方式(自動化或人工)，以作為進行個資盤點的基礎，然後再藉由實際的業務流程來追蹤資料的產生過程，接著再清查並掌握部門所持有的個人資料清單，資料清單上面請務必清楚記錄以下幾個重點。

資料的內容：記錄資料的名稱，並且描述是屬於何種業務流程而產生。
資料存在形式：通常資料的形式可簡單區分為紙本和電子檔案兩種。
資料儲存位置：若是紙本文件，記錄其儲存的地點位於哪一樓層與檔案櫃編號；若是電子檔案，則註明其儲存的應用系統、伺服器或資料庫，也可以視情況加入存放的儲存媒體，例如光碟、磁帶、磁卡等。
蒐集目的：說明蒐集的目的為何，這部分可參照由法務部所公布的個資蒐集目的和類別。
蒐集單位：記錄個資是由哪個部門或人員所蒐集的。
處理單位：記錄個資是由哪個部門或人員進行編輯和建檔。
利用單位：記錄個資是由哪個部門來使用，包括可能利用的其他第三方單位。
資料保護措施：說明針對此項個資的保護作法，例如加密、上鎖、權限控管等。

著手評估個資的影響價值

依據個人資料保護法的定義，只要能夠以直接或間接方式識別到特定個人的資料，就屬於應該要妥善加以保護的個人資料。換句話說，個人資料除了常見的姓名、電話、地址、身分證字號之外，可能涵蓋的內容會有百百種，因此到底有哪些資料應該要優先進行控管，就是一個必須要釐清的問題。

從風險管理的角度來看，對企業最有價值的資料，就是萬一不小心遺失、損毀或外洩時，會對企業造成最多損失且影響最大的資料，這也就是首先要保護的對象，但是損失多寡和影響程度到底要如何來判定呢？

判斷個人資料的價值，我們可以從資料本身所具有的機密性、完整性及可用性著手，以機密性而言，取決於所賦予的機密等級，不管是電子檔案或紙本文件，我們都可以將其簡單地分為高度機密、機密、內部使用和公開等級別，在實務方面，只要是包含有個人資料在內的文件或檔案，通常會是屬於機密級別，如果其中包括了敏感個資如健康檢查或醫療記錄，則會指定更高的等級為高度機密。

資料分級的目的，主要是為了確保讓所有人員在處理這些檔案和文件時，明白需要採取的相對安全措施是什麼，例如傳遞屬於機密等級的電子檔案時必須先進行加密，紙本的機密文件則必須要將內容彌封起來；針對高度機密的資料則有更嚴格的身分驗證機制，確保只有少數經過授權的人員才可以存取等，這些都是常見的安全控制措施。

除了機密性之外，我們也要從資料的完整性和可用性來加以評估，判定如果資料內容受到不當竄改或是不正確時，以及資料在特定的時間內無法順利地存取時，對於使用者、部門和企業的衝擊程度有多大，或是估算可能造成的損失金額有多少，一旦發現這些衝擊程度大和損失金額多的資料，肯定就是優先需要實施保護的對象。

制訂個資交換安全政策

在企業中完成個人資料的盤點清查，評估個資可能的衝擊與價值，選擇適當可行的控制措施，並定期的實施內部審查稽核，再針對需要改善的項目採取行動，這些作法都是企業整體風險管理中的一部分，而且是需要持續來重覆進行的。

針對企業可能與外部交換個人資料的高風險行為，建議也要制訂一項資料交換的安全政策，作為企業內部人員可遵循的參考依據，個資交換安全政策的內容重點如下：

交換目的：要求內部人員與外部進行資料交換時，必須明確說明交換的目的，也要事先獲得主管的授權，並將授權的記錄歸檔留存。

交換內容：要求明確說明資料交換的內容是什麼，以及所屬的機密等級為何，如果內容涉及敏感性的個資，需要確認是否符合法律的規定，並且已獲得當事人的同意。

交換方式：要求說明所採取交換資料的方式，例如使用電子郵件、網路FTP檔案傳輸，或是存放在USB可移動式儲存媒體、燒錄光碟，以及透過郵寄、專人送達等。

安全責任：說明個資交換應遵守的法律規定和內部的作業規範，以及內部人員應有的安全責任和外部人員必要的保密要求等。

安全措施：要求依據所交換資料被指定的機密等級，實施相對應的安全控制措施，例如檔案加密和電子簽章、使用可上鎖的容器、專人傳遞和確認當事人簽收等。

交換記錄：針對以上的項目，在資料交換的過程中，要求保存相關的文件化記錄，例如個資交換申請表、檔案傳輸記錄、簽署的保密協定、簽收單據等。

總結

個資保護與隱私維護所牽涉的層面相當廣泛，包括需要理解法律和主管機關的要求、建立管理面的保護制度，以及導入技術面的控制措施等，這些實在不是三言兩語就能交待清楚，並且可以順利完成的。但無論如何，身為資訊相關人員的您，在這場個資保護大戰之中，肯定是不可或缺的一員，與其被動的等待他人要求和執行，倒不如積極地從各個層面去了解可行的作法，持續累積和補充所需的實務知識，然後把它應用在自己的工作之中，藉此也將創造出更寬廣的職場生涯之路。(本文刊載於2013年5月號網管人雜誌)

[專欄] 個資保護與隱私維護系列(四) - 特定行業的個資隱私保護要求

Thu, 06 Jun 2013 14:54:00 +0000

上一次，我們談到了在個資保護與隱私維護方面，因為世界各國有著不同的法律，所以對隱私保護的要求也有所不同，不過基本上，大致仍遵循著一些共通的規範原則，本文將探討不同行業之間對個人資料應有的保護要求。

依據個人資料保護法第二條的定義，只要是得以直接或間接方式，能夠識別該個人之資料，就是屬於受到法律保護的個人資料。換句話說，除了最常見的姓名、電話、地址、身分證字號、出生日期之外，還有許許多多可連結識別到特定個人的資料，這些都是各行各業不可忽視的個人資料內容。

其中比較特別的是在個資法第六條中指出，有關醫療、基因、性生活、健康檢查及犯罪前科等個人資料，除非符合了特定的要件，否則預設是不能夠任意的蒐集、處理及利用的，這也就表示，如果您的組織是屬於經常性的會接觸到這些資料的產業，像是醫院、保險公司、健檢中心等，就更必須明白有些法律針對特定的敏感資料，它的要求與一般的個人資料是不太一樣的。

醫療業的個資保護事項

對醫療業而言，保護病患的隱私，基本上已是醫療從業人員的義務和責任，尤其是關於醫生與患者之間的保密要求，更經常出現在世界各國的醫療法規之中。醫療資訊的重要性，不同於一般個人資料的原因，就在於它明顯的反應了一個人的內在，包括身體的情況和心理的狀態，若是受到不當的揭露，對於個人的衝擊，明顯地大於許多可識別至個人的資料。

換句話說，醫療業者必須要確保醫療資訊的安全和妥善的隱私保護，才能夠獲得患者的信任，使其願意提供個人的身體和心理的真實情況，才可有助於醫生判斷病情，讓病症獲得正確的診治。所以，醫療業者對於個人資料的保護責任不在話下，面對與醫療有關的個人資料蒐集、處理和利用，自是應該遵守個人資料保護法和相關醫療法規的要求，即使有些醫療資訊是為了提供給學術研究或疾病統計之用，也要注意是否已將資料作了適當的匿名化處理，使其無法識別至特定的個人，以免誤觸了法網。

此外，醫療資訊對許多職場工作者來說也是重要的，如果雇主能夠任意地取得員工的醫療記錄，對於評估為可能屬於高風險的員工，有些雇主為了避免付出過高醫療保險費用，可能就會實施惡意性的解雇，或是針對性向不同的員工，主觀認為可能會對其他員工造成影響，而將之惡意性的汰換，導致個人的工作權益受到損害。

金融業的個資保護事項

保護個人金融與信用方面的資訊，是金融業必須重視的要項之一，保護客戶的信用與借貸資料，目的是希望客戶能夠安心地揭露個人的資產與債務情況，有助於銀行業者來評估借貸者的還款能力。另外，確保個人信用資料的安全，也能夠避免個人的身分不會受到非法的冒用，或是個人金融交易受到不當的損害。

許多法規對於金融資訊的保護都有其要求，例如美國在1999年實施的GLBA法案，建立了針對金融機構一系列的個人資料保護要求；日本的個人情報保護法，針對屬於金融方面的個人資料，也有相關的使用規範。而為了進一步確保金融資訊的安全，各國針對銀行幾乎都有對應的法律要求，除了確保從業人員需盡到業務保密的責任之外，若是沒有正當的理由或未經個人同意之下，即使是政府單位想要調閱金融資訊，都可能受到限制，目的就是要保護個人的隱私。

不過近年來，為了反制恐怖行動和反制國際洗錢的犯罪行為，金融業者對於客戶金融資料的保護也面臨了種種的壓力與挑戰，因此在特定類型的交易資料方面，相關的安全機制和通報的要求，就需要多方的審慎考量。另外，透過網路的信用卡支付方面，也有別於傳統銀行業的交易模式，針對線上的身分驗證、資料傳輸及用戶端的個人資料保護，可以參考PCI-DSS標準的內容，實施對應的安全措施。

電子商務的個資保護要求

對電子商務業者而言，主要是透過網站來蒐集和個人有關的各項資料，一般可分為兩種方式來進行，第一種是主動式的蒐集，例如在進行線上交易之前，網站通常會要求消費者必須加入會員才能進行購物，因此就會在網頁上提供會員註冊表單，讓消費者可以採用選單選擇或直接依照項目說明填入所需的資料，最後按下送出即可完成。

第二種蒐集消費者個人資料的方法，是採取被動的蒐集方式進行，也就是電子商務業者會在消費者無法發覺的情況之下，透過網站互動技術像是Cookie，在背景之中蒐集消費者的瀏覽資訊，包括了瀏覽過的網頁、所使用的瀏覽器版本、作業系統，甚至所在的位置等，藉此來追蹤統計消費者的購物和網站使用習慣，作為後續的行銷之用或廣告點選次數計算等。

無論是採取了主動或被動的資料蒐集方式，只要蒐集的資料可以識別到特定的個人，這種行為就屬於個人資料保護法中所定義的蒐集個人資料，因此必須依照法律的要求，除了要說明蒐集的目的，同時也要盡到所謂告知的義務。目前最簡單的實務作法是在網站上提供適當的聲明或是附上隱私政策的宣告，讓消費者可以知道其個人資料是如何被蒐集、處理和利用的。

除此之外，電子商務業者針對網站所蒐集到的個人資料，也必須採取適當的安全措施來加以保護，至少包括了網站本身的主機安全、應用程式與資料庫的安全，以及資料在傳輸時的安全。如果線上交易的對象跨越國界，也不要忘了注意跨國購物和資料跨國傳輸的相關法規要求。

電信業的個資保護要求

憲法第十二條中規定：「人民有秘密通訊之自由。」目就是在確保人民就通訊之有無、對象、時間、方式及內容等事項，有不受國家及他人任意侵擾之權利。依據大法官的解釋，即使國家採取各項限制手段時，除應有法律依據外，限制之要件應具體、明確，不得逾越必要之範圍，所採行之程序也應合理、正當，才能符憲法保護人民秘密通訊自由之意旨。

目前電信業者對於和個人資料保護與隱私維護的重點，大致涵蓋了三個方向，首先是通訊的內容保護，包括了語音通話和傳真數據的內容，還有簡訊或電子郵件的訊息安全；其次是可識別至特定個人的資訊，包括了發話者和受話者的身分，所使用綁定的電話號碼等；最後則是各項的通聯記錄和歷史軌跡資料，從中可以得知過去通訊的時間、使用的設備，甚至所在的地點等。

對於政府和執行單位而言，這些與個人有關的資料是非常具有價值的，尤其是在防制非法活動和犯罪行為調查方面，提供了一個有效而明確的偵辦方向，但從另一個角度來看，這些資料都是屬於個人私密的訊息，而且是憲法所賦予的通訊自由。因此，有關通聯記錄的調閱、通話內容的監聽等行為，應該受到明確的規範、限制授權和合理的實施程序，尤其是非政府單位所提出的通訊監控要求，或是存取相關的通訊記錄，更應該受到嚴格的禁止。

近年來，人們的通訊隱私更是受到一大挑戰，因為只要連接上了網際網路，地理位置等相關資訊就可能受到蒐集和利用，尤其是行動裝置的普及，更可以精確的鎖定精準的位置，所以對於電信業者來說，如何加強內部人員的管理，避免相關的個人資料受到不當的存取，勢必是未來要妥善因應的重要關鍵。

人力派遣業的個資保護要求

目前有許多的公司行號，採用了人力派遣業者所提供的人力資源，所以這些業者手上握有最多的商業資訊，就是各種不同工作者的履歷資料。這些履歷資料可能是工作者自行提供，或是來自於和人力銀行的合作，所包括的個資，除了姓名、連絡電話、學經歷、個人照片之外，可能還包括了親屬聯絡人和身高體重等健康資料。

對人力業者而言，為了符合個人資料保護法的規定，一開始在蒐集個人資料時，就要注意內容是否與該當事人所應徵的職務，有著明顯和正當的關聯，除了工作所需的必要資料之外，其他可能無關的政黨支持、宗教理念、性別傾向及身體特徵等，就不需要過度的蒐集，以免因保護或利用不當而導致不必要的損害發生。

在處理個人資料時，除了要求內容的正確性和確保資料存放的安全外，針對內容的新增、修改、刪除，以及查詢、記錄和更正，都需要有相關的回應處理方式，以符合法律所賦予當事人可對其個人資料主張的權利。

在利用個人資料時，則必須確實遵守與當事人告知的使用目的，如果與當初蒐集的目的不符時，就必須要重新獲得當事人的書面同意。如果相關的履歷資料需要提供給可能的雇主參考時，也別忘了提醒對應的企業人力資源部門，對於所交付的個人資料，也必須盡到所需的保護責任。(本文刊載於2013年4月號網管人雜誌)

[參考資料]
IAPP - Information Privacy (Official reference for CIPP)

[專欄] 個資保護與隱私維護系列(三) - 各國隱私法規與個資保護要求

Thu, 16 May 2013 07:58:00 +0000

雖然隱私的維護要求並沒有國界之分，但各國對於隱私維護所制訂的法規卻有所不同，因此在個資保護方面，也必須依照不同國家的法律規定，評估可能面臨的最大風險，再來實施相對應的控制措施。

針對隱私保護，世界各國的法律要求皆有所不同，主要原因是不同的國家，由於其社會經濟發展的腳步並不一致，因此在保護的重點和程度上，皆有其各自的考量，也衍生出了不同的觀點。

以歐盟為例，它採用了廣泛性的一般適用原則，無論是政府或民間企業，都必須遵守其所頒布的資料保護法規，並且由專責的資料保護機構來予以監督，在這個原則之下，歐盟各國仍然保有其自主彈性的空間，可依據本身的國情與民眾的期待，實施所需的個人資料保護作法，以達成歐盟對於隱私維護的精神。

作為世界另一大經濟體的美國，對於個人資料保護的做法，則是以不同的產業要求作為區分，以金融行業為例，主要保護的對象是客戶的金融訊息和記錄，若是醫療產業，則保護的主體是和個人有關的醫療及健康資訊，不同的產業都有其所屬行業要求的法規，並沒有非常明確的國家法律來要求所有組織都要遵守才行。

至於加拿大和澳洲，其個人資料保護是由各個產業發展出必須要遵守的一套標準，然後再交由隱私的專責機構(資訊隱私委員會)來作統一監督，確保隱私維護與個資保護的相關規定，能夠在所有的行業中都予以落實。

OECD的隱私保護原則

在1980年，由美國、日本和歐洲國家所組成的經濟合作與發展組織(OECD)，公布了一項名為保護隱私與跨境傳輸個人資料的隱私指導原則，成為了世界各國最廣泛認可的實務參考，同時也受到美國聯邦貿易委員會(FTC)的支持，它提出了以下八項隱私保護原則，非常適合組織作為制定隱私保護政策時的參考。

限制蒐集原則 - 強調個人資料的蒐集應受到限制，並且要在公平合法的情況下被取得，同時以適當的方式來取得當事人的同意。
資料品質原則 - 個人資料的內容應與蒐集的目的有關，或是符合其使用目的而產生的必要性，個人資料的內容必須確保正確與完整性，並且及時地更新。
目的明確原則 - 個人資料的蒐集目的，必須在開始蒐集時即明確指出，隨後在利用這些個人資料時，也必須限制在目的之內，日後若需要變更時，更要明確指出其變更後的利用目的為何。
利用限制原則 - 個人資料不應在特定目的之外被揭露或利用，除非已事先獲得當事人的同意或有相關法律作為依據。
安全措施原則 - 針對個人資料可能發生遺失、不當存取、使用、修改、損毀及揭露的風險，應採取相對適當的安全控制措施，以降低可能的風險。
公開原則 - 對於個人資料的發展、實務和政策的制定，應依據公開的原則來進行，針對個人資料持有的種類和使用目的，以及資料控管者的連絡方式，應公開並且易於讓當事人知悉。
個人參與原則 - 個人資料的當事人，應保有以下的權利：(a)有權利向資料控管者或持有之組織，確認是否保有和其有關的個人資料；(b)在合理的時間和費用範圍內，以合理的方式和可了解的形式，向組織查詢和其有關的個人資料；(c)針對所提出的查詢或主張的權利若遭到拒絕時，可以提出異議要求說明；(d)若所提出的異議成立時，可要求組織刪除、變更、修改、補充其個人資料。
責任原則 - 個資的控管者必須負起相關責任，並要求落實以上提到的各項隱私保護原則。

歐盟的個人資料保護指令

在1981年，歐洲的議會針對自動化處理的個人資料，通過了個人保護協定(COE convention)，它所要求的個人資料保護原則和OECD類似，可作為歐洲國家在制定個人資料保護法令的參考。到了1990年代，由於歐洲各國在個人資料保護方面仍缺乏一致性，加上實務面各國都有跨境傳輸個人資料的需求，可是在取得當事人的同意和接收國的保護措施方面，要求的程度都有所不同，因此促成了歐盟起草資料保護指令(EU Data Protection Directive)的契機。

歐盟的個資保護指令在1995年被採納，並且在1998年正式生效，對歐盟的會員國而言，只要是遵守個資保護指令的國家，也就等同於採納了各國所屬的個人資料保護法，可以獲得跨境傳輸資料的允許和信任。事實上，歐盟的個資保護指令的確在歐盟會員國之間產生了個資保護的關鍵性作用，而隨著資訊科技的演進，在2012年個資保護指令已進行了更新與修改，期許未來不只在歐洲地區，對歐盟以外的國家也可提供重要的隱私保護資訊與要求。

APEC的隱私保護綱領

對亞太地區而言，於1989年成立的亞太經濟合作組織，則是扮演了重要的經濟與文化交流的推手，針對隱私維護與個人資料保護的要求，在2003年所成立的隱私保護小組也致力於此項議題的發展，並於2004年11月正式通過了隱私保護綱領(APEC Privacy Framework)，包含了以下九項的隱私保護原則。

損害避免原則 - 針對當事人對於其個人資料的合理期待，針對可能損及當事人權益的風險，應採取適當的風險處理措施以避免損害。
告知原則 - 在蒐集個人資料時，應告知當事人被蒐集的目的、資料類型、蒐集者的聯絡方式與當事人可主張的權利。
限制蒐集原則 - 個人資料的蒐集應與被告知的目的相關，要求採取公正的方式進行，並且限制其所蒐集的範圍。
利用原則 - 個人資料的利用應獲得當事人的同意，並且僅限於當初所蒐集的目的範圍內，不可任意作為其他的用途。
選擇原則 - 當事人應被提供可選擇的權利，能夠針對其個人資料的蒐集、處理和揭露，主張其個人的意願和選擇。
完整原則 - 個人資料務必確保其正確與完整，並且要持續地更新以維護當事人的權益。
安全原則 - 保有個人資料的組織，應針對可能的安全風險，實施對應的安全控制措施，以避免個人資料受到不當的揭露與損毀。
存取和更正原則 - 組織應提供個人資料的當事人，可在合理的時間內，以適當的方式對其個人資料提出查詢和閱覽的請求，並且不得無故拒絕其補充或更正的申請。
責任原則 - 保有個人資料的組織，應負責遵守法規和個資保護的責任，尤其當資料需傳輸至第三方和不同國家時，務必要求以對等的保護方式來維護當事人的隱私和資料安全。

美國的安全港架構協定

目前有許多的組織，在網站的資料收集和隱私權政策中，經常會提到它們會遵守所謂的「安全港架構(Safe Harbor Framework)」，到底這是什麼樣的架構？和隱私保護有什麼關係？必須要遵循哪些事項？恐怕清楚知道的人就不多了。

根據維基百科的定義，安全港架構是一項法律的協定，可以減少或消除當事人在法律的責任，但其要件是當事人的各項行為，必須能夠履行良好的誠信原則，或者符合所定義的法規標準。

目前美國和歐盟都有通過彼此認可的安全港架構，主要是因各國對於隱私和個人資訊保護所採取的措施皆不同，為了避免資料在跨國傳輸時，被認定為保護措施不足而受到限制，歐盟在2000年時認可了只要是符合安全港架構的組織，歐盟的成員國就可允許其傳送、儲存或使用歐盟成員國民的個人資訊，也就是將符合安全港原則的組織也視為符合其「資料保護命令(The European Commission’s Directive on Data Protection)」的標準。

如果想要符合美國和歐盟的安全港計劃，組織可以加入一項自我律定的隱私計劃，每年以書面方式向相關單位證明確實遵循了安全港的隱私原則，以達到美國和歐盟的安全港架構的要求，或是也可以制訂本身所監管的隱私政策，以符合美國和歐盟的安全港架構。關於安全港的隱私原則，共有以下七項要求：

告知 - 組織必須告知當事人關於其個人資料的蒐集和使用目的，組織也必須提供個人在有任何疑問時，如何與該組織連繫或投訴、向第三方揭露資訊的方式，以及提供可用來限制使用和揭露的選擇。
選擇 - 組織應給予個人選擇同意或退出的機會，選擇是否提供可將個人資訊透露給第三方或用於不符合當初蒐集目的的授權，組織必須尊重當事人依其權利所作法的選擇。
轉送 - 若組織要將個人資訊揭露給第三方，必須符合以上提到的告知和選擇原則，同時若作為轉讓資訊的代理人，必須確保第三方同樣遵守安全港隱私保護原則，像是訂立書面協議，要求第三方至少也要提供相同水準的隱私保護方式。
存取 - 個人擁有合理存取在組織中所持有個人資訊的權利，而且能夠要求更正、修改或刪除不正確的個人資訊，除非此要求將產生和個人隱私不相稱的風險，或是會侵犯到其他人的權利，組織才可拒絕提供。
安全 - 組織必須採取合理的預防措施，保護個人資訊不會遺失、被濫用，以及受到未經授權的存取、洩露、竄改和毀壞。
資料完整性 - 個人資料必須使用於和蒐集有關的目的上，組織必須採取合理的步驟來確保資料的可靠性，以達成預期合理的使用、正確完整和及時更新。
執法 - 為了確保符合安全港的隱私保護原則，組織必須：(a)建立易於獲得的獨立申訴機制，使每個人的投訴和糾紛可進行調查和解決，提供適用於法律或隱私部門的損害賠償；(b)確認公司承諾遵守安全港原則的程序已被實施；(c)若未遵守原則時，必須負起矯正所產生問題的義務，同時制裁措施必須夠嚴格，未符合要求就無法列入安全港組織清單中。組織如果未能提出年度的自我認證書，也會被從參與者名單中除名，組織遵守安全港的利益也將無法被保證。(本文刊載於2013年3月號網管人雜誌)

[參考資料]

1. IAPP - Information Privacy (Official reference for CIPP)

2. U.S.-EU Safe Harbor Overview - http://export.gov/safeharbor/

[專欄] 個資保護與隱私維護系列(二) - 個資保護與隱私維護的基本原則

Tue, 23 Apr 2013 14:08:00 +0000

隨著個人資料保護法的實施，個資保護已成為政府與企業不得不進行的重要工作之一，但是在立法的精神之中，除了強調個資保護責任，隱私維護更是不可或缺的重要支柱，如果無法維護個人隱私，也就意謂著個資保護一定不夠周全。

在資安的領域之中，若是談到資料的保護，實施起來並不是一件十分困難的事，只要組織的管理階層願意提供支持，同時參考資安相關的標準來建立管理制度，並且採取適當的技術控制措施，在資安方面，即可達到一定程度的防護要求，也能大幅降低因發生資安事件而對營運造成衝擊的風險。

不過，只要在保護的資料之中牽涉到個人資料，並且含括了隱私維護的要求，單靠技術層面的控管，恐怕就不足以因應法律層面的要求。因此，如果要落實個人隱私維護，就需要補充更多對法令的認識，以及對於個人隱私的認知與尊重，這和單純的資安防護比較起來，有著相當不同的思維與因應作法，也是一項更加多元的挑戰。

近代隱私維護發展的歷史

所謂的隱私，指的是個人能夠自由地選擇在什麼情況之下，向哪些人揭露多少程度的個人資料和行為，主張個人有權利去保護針對個人生活與家庭可能產生的直接侵擾，並且限制與個人有關的資訊被發布。

從歷史發展的角度來看，隱私的概念最早源自古希臘和聖經，在回教可蘭經中也有相關的記載，對支持隱私權的人士來說，在1890年由Samuel Warren和Louis Brandeis在「The right to privacy」這篇論文中所提到的「the right to be let alone」，已成為支持隱私權最重要的引用基礎。

至於現代第一部個人資料保護法，是在1970年由德國公布，主要目的是因應資訊科技的高度進步和發展，可能會對個人隱私所造成的影響；同年，美國也誕生了第一部有關隱私的法律，但主要是針對保護消費者的信用資訊。而隱私保護最知名的論點，則是來自於小說「1984」裡的老大哥隨時都在看著你(big brother is watching you)，讓人們得以了解個資保護與隱私維護的重要性。

個資的類別與區分原則

依據個人資料保護法的定義，所謂的個資是指可以直接或間接識別到特定個人的資料，這部分與歐盟的個資定義相同，換句話說，只有屬於可識別到個人的資料，才會受到個資法的保護。因此，如果有些資料加以去識別化，或是採取匿名或遮蔽的方式，就不適用於個資法的要求，即可歸屬於非個人資料。

在個資法尚未實施之前，大多數企業對於資料保護的要求，主要都是針對非個人資料，包括像是營運資訊、研發產權、產品與服務資訊等，所採取的方式也比較簡單，只需保護資料本身即可，不需要兼顧所謂的個人隱私要求。只不過，在所謂「可識別至特定個人」這條線之間，仍然存在的許多模糊地帶，例如以網路IP位址為例，到底它是否屬於個資，在不同國家的法律和法庭之間，就有著不同的認定方式。

以歐盟(EU)而言，IP位址是被視為可識別至特定個人的個資，美國聯邦貿易委員會(Federal Trade Commission；FTC)也認為，若IP位址與醫療健康資訊有關，就會被認定為個資之一。但是，在愛爾蘭的法庭卻認為，IP位址並不構成所謂個人資料的要件，因此不被視為是需要保護的個資。

從隱私的角度來看，目前與個人資料有關的隱私類別，可以區分為以下四類。

資訊隱私：包括了醫療資訊、金融資訊、網路使用與社交活動記錄等，主要關注於需建立規則來妥善地管理和個人資料有關的蒐集與處理行為。

身體隱私：與身體有關的隱私包括了所進行的身體檢查、藥物測試、基因測試，也包含了和個人有關的血統、墮胎、收養等資訊，它主要專注在與個人身體有關的各項行為。

通訊隱私：要求保護與個人通訊有關的意圖和內容，包括了傳統信件、電子郵件、電話溝通及其他可用來實現通訊行為的軟硬體設備，像是現今流行的即時通訊App等。

領域隱私：它是和個人環境有關，這些區域包括了個人住宅、工作場所和公共區域等，主張可以用來侵擾他人領域的能力，都應受到適當的限制，例如架設可監控錄影的攝影機、要求出入需要檢查身分證件，以及其他類似的做法等。

企業面臨的個資與隱私風險

為了保障個人隱私和說明個資被蒐集的情況，許多組織都會在其用來蒐集個資的管道中，透過個資保護政策(policy)或隱私聲明(notice)來告知使用者，這些隱私政策和聲明的目的，除了可以宣達組織的個資保護責任之外，同時也是為了教育使用者的隱私觀念。

對組織而言，由於隱私所牽涉的範圍很廣，可能包括了個人、法律和商業運作等諸多層面，加上許多的隱私保護要求，也是來自於法律法規、產業協定和商業合約等，除了需要考慮這些外部要求之外，內部的聲音同樣也不能忽視，包括像是保護員工個人資料、提供工作場所的隱私維護、實施資訊系統的監控與記錄等，都是企業在評估個資與隱私風險時，不可遺漏的一環。

為了有效管理個資與隱私所帶來的風險，最簡單的方式是從個資生命週期來著手，以下是在各個階段需要審慎考量的重點。

蒐集階段：個資的蒐集應受到適當的限制，更要取得當事人的同意，以避免過度蒐集。舉例來說，以往一些大賣場在舉辦抽獎活動時，總是要求消費者必須在抽獎券上填寫其個人資料如姓名、電話、身分證字號等，但讓人無法理解的是，難道沒有身分證字號就無法進行抽獎嗎？其中之一的解釋理由是因為獎品有課稅問題，所以就必須要填寫身分證字號，可是事實上，如果已經有了姓名和電話，在中獎之後再通知中獎人填寫即可，若在一開始的時候就強制要求，這就是所謂的過度蒐集了。
處理階段：所謂處理是指將所蒐集的個人資料編輯成為個人檔案的過程，在這個過程之中，必須確保資料的正確性與完整性，並且實行安全措施以防止資料受到未經授權的竄改。處理過後的資料，組織通常會加以儲存，在儲存時必須注意資料所存放的地點是否安全，以及指定所需保存的期限。
利用階段：組織必須確保個人資料的利用需符合當初蒐集時所告知的使用目的，並且限制只能在此範圍內利用。如果需要做不同的用途時，依照個人資料保護法的規定，必須重新取得當事人的書面同意才行。
傳輸階段：個人資料在傳輸時，必須注意所使用的資料載體是否安全，最常見的載體包括了網路和可移動式儲存裝置(如USB硬碟、隨身碟、光碟、磁帶等)。在透過網路傳輸時，請務必採取加密的方式(如SSL或VPN)，至於使用可移動式儲存裝置時，則需要了解原先設定的權限控管方式，若無法延伸至這些設備上時，就要採取補償性的控制措施才行，像是對資料進行加密，或採用可上鎖的箱子來攜帶資料，這些都是實務上可行的辦法。
銷毀階段：一旦個人資料過了需要保存的年限，最好的方式就是把它銷毀，以降低持續保管可能帶來的風險。對硬體設備而言，實體破壞是確保資料完全消失的最好作法，其他可採取的方式還包括低階格式化和消磁等。至於紙本文件的銷毀，則可採取集中焚毀或是水銷方式進行，目前也有業者提供了可全程監控，並且附上證明的資料銷毀服務。

尊重個資當事人應有的權益

對個資的當事人來說，除了應告知其個資將如何被蒐集之外，最重要的前提是必須獲得當事人的同意才行，因此蒐集個資的組織除了提供明顯的宣告之外，並且也要明確陳述其利用目的，以便足以讓當事人明瞭並獲得其同意。

目前，個人資料來源主要有以下三個：

公開記錄：通常是由政府來蒐集並提供公開查詢，例如房產交易與地政資訊等。

公眾可得的資訊：指容易被大眾所取得的個資，包括電信公司提供的用戶電話簿、報章雜誌、媒體報導，以及今日最常見的網路搜尋引擎、社群網站等，可由此輕易獲得眾多和個人有關的資訊。

非公開的資訊：指受到法律保護或依慣例不太容易被取得的資訊，包括了醫療記錄、金融交易資訊、員工受雇資料等。組織在蒐集個資時，還必須要給予當事人選擇提供與否的權利，實務上常見的作法為提供「Opt in(選擇參與)」和「Opt out(選擇退出)」這二種方式。Opt in是指當事人主動地確認其個人資訊可被蒐集或分享給第三方，例如在填寫會員申請表時主動勾選同意分享其資料供其他合作廠商作為寄發廣告之用，或是願意收到來自第三方所寄送的產品資訊。另一種Opt out方式，則是提供給當事人退出的選項，例如在加入網路新聞論壇時，若當事人未勾選拒絕接受所傳送的電子郵件訊息時，相關的訊息將會持續發送給當事人，直到其主動表達拒絕為止。

如今，依據個人資料保護法所賦予當事人的權利，當事人可以向持有其個資的組織，要求提供查詢、閱覽其個資檔案或是提供複製本，並且也可以要求組織補充、更正或刪除其個人資料，甚至可要求停止蒐集、處理和利用其個資。

因此，組織務必要指派相關人員，並且制訂一項個資查詢回覆的作業流程，以因應當事人依法所提出的請求。對許多組織而言，從現在開始理解並尊重個資當事人的隱私權利，或許就是邁向善盡個資保護責任的第一步了。(本文刊載於2013年2月號網管人雜誌)

[參考資料]
IAPP - Information Privacy (Official reference for CIPP)

[專欄] 個資保護與隱私維護系列(一) - 資訊科技隱私專家證照–CIPP/IT

Sat, 23 Mar 2013 00:47:00 +0000

隨著個人資料保護法的正式上路，身為資訊人員的您，除非本身具有法律背景，否則面對多如牛毛的法條與施行細則，在日常的IT維運中是否真能派上用場，若心中還是存疑的話，或許就該尋求其他的因應之道了。

在IT維運的日常工作之中，除了近年來日漸受到重視的軟體版權問題之外，資訊人員和法律打交道的機會幾乎是微乎其微，尤其是對於所謂的個資保護與隱私權概念，恐怕也是一知半解。但是隨著個人資料保護法已經正式實施，在許多的企業之中，個資法所要求的個資保護相關工作，許多責任都落到了資訊人員身上，這也驅使資訊人員必須要去學習這門新的顯學。

對資訊人員來說，法律知識是有專業門檻的，學習的重點也不是要去詮釋個資法條的意義，而是要將個資保護與隱私維護的精神，落實在日常的資訊工作之中。只是目前許多由法律專家所提出的建議，不見得能夠完全應用在資訊系統，所以到底該如何找到一個因應方法，就成為資訊人員頭痛的問題之一。

為了因應個資法，有人提出應該要先建置各項資安產品，如果沒有採用相關技術來確保資訊安全的話，想要達成個資法的要求，幾乎是項不可能的任務。事實上，雖然落實資安的確是個資保護的第一步，但是，企業如果想要遵循個資法的要求，除了導入資安技術之外，更需要懂得隱私相關的領域知識與管理實務做法，才能夠有效地達成個資法中對於個資保護與隱私維護的目標。

國際認可的隱私保護專家

目前，在國際上和個資保護與隱私維護有關的組織單位中，IAPP(International Association of Privacy Professionals)國際隱私專家協會是最大且廣泛受到全球企業認可的非營利機構，它成立於西元2000年，在全球70個國家之中有超過一萬名的專家會員。

IAPP的營運宗旨是希望協助各個產業和組織，能夠有效地保護其所控管的個人資料，並且提供給所有個資保護與隱私維護有關的從業人員，一個獲得教育訓練、知識交流和經驗分享的平台，同時也讓隱私專業人員在職業生涯中能有更好的發展。

在2004年，IAPP率先提出了針對隱私相關從業人員的CIPP(Certified Information Privacy Professional)認證考試，並且發展出橫跨美國、加拿大、歐洲和資訊科技產業的多項資訊隱私專家認證，一共包含了CIPP/US(美國)、CIPP/C(加拿大)、CIPP/E(歐洲)、CIPP/G(政府)及CIPP/IT(資訊科技)等五種證照，分別說明如下。

CIPP/US - 主要是針對美國的隱私法律和各州頒布的個人資料保護和隱私維護法規要求，取得此一認證的人員，可顯示其已熟悉美國本土相關的隱私保護法規和所需職責，並且了解敏感的個人資料從美國傳輸至歐洲或其他國家的法令規定。

CIPP/C - 主要是針對加拿大的資訊隱私法，對於想要取得此一認證的人員，必須熟悉加拿大聯邦和各省的隱私保護原則、要求及相關責任。

CIPP/E - 它是針對整個歐洲國家個人資料保護法、歐盟重要的隱私保護綱領、個資保護的實務做法及跨國資料傳輸的要求，想要取得此一認證的人員，必須了解歐洲法律法規的要求及實務上的規範才行。

CIPP/G - 這項認證主要是提供給與美國政府單位相關合作的人員，能夠了解美國政府的隱私法規和特定政府部門的個資保護要求，同時相關的隱私維護知識，也適用於其他公眾事務與私人企業。

CIPP/IT - 這項認證主要是適合資訊相關從業人員，若是取得了此一認證，可以展現個人已了解各項資訊科技產品與資訊服務，在研究、開發、部署和稽核的過程中，能夠應用個資保護與隱私維護的實務作法，充分地了解並滿足相關個資與隱私法規的要求。

資訊人員必備的隱私知識

目前，許多資訊人員為了獲得與個資保護有關的專業知識，除了瀏覽個資法律條文或參加資安研討會之外，並沒有適當的管道可提供足夠的個資保護與隱私維護專業訓練，尤其是許多負有重責大任的資訊人員，也不清楚自身的專業知識技能，是否已足以應對個資法對於資訊系統的要求。

因此，透過CIPP所提供系統化的知識領域要求，無論是從頭開始學習個資保護與隱私維護領域知識，或是驗證自己的資安專業技能是否已經足夠，可將它視為是一項自我審查的好方法。如果您想要取得這項認證，首先必須要加入成為IAPP的會員，並且通過Certification Foundation基礎考試，接下來才能依照自己的專業領域或需求，選擇想要取得的證照。

CIPP基礎考試的時間為90分鐘，一共有90個單選題，考題所涵蓋的知識領域(Common Body of Knowledge)包括了個資保護與隱私維護的共通概念與國際通用的原則，無論是屬於哪個國家或產業的人員，都必須要對這些知識有一定程度的熟悉與了解，主要涵蓋的四個領域如下：

隱私維護的一般原則與方法 - 應考人員必須了解近代隱私維護發展的歷史、個資保護的架構與原則、個人資料的類別與定義、個資保護與隱私維護對企業可能的風險與衝擊，以及資訊的生命週期。
司法管轄與產業要求 - 應考人員必須了解不同地理區域與國家，對於個資保護與隱私維護的法令要求，也要了解包括健康醫療、金融、電信、線上網站、政府、行銷、人資等不同產業對於隱私維護的要求。
資訊安全與個資保護措施 - 應考人員必須熟悉有關資安的各項基礎知識，像是確保資訊安全的關鍵要素、ISO 27001資安管理標準、資安威脅與弱點的識別、資安控制措施等。
線上隱私維護 - 應考人員必須了解含有個人資料的網站，應如何落實個資保護與隱私維護，並且熟知網站安全機制和確保線上隱私的各項基本要求。

掌握資訊科技的隱私風險

在通過CIPP基礎考試之後，接下來還需要參加額外的單科考試，才能正式取得CIPP提供的任一專業證照，CIPP/IT的考試時間為70分鐘，需要完成作答60道試題，考題所涵蓋的知識領域包括：

系統活動對使用者隱私的影響 - 應考人員需要了解系統中所包含的個人資料類別與處理流程、了解系統開發過程中的隱私維護、了解資料存取儲存與傳輸的安全，以及如何將隱私要求納入系統設計之中。

使用者對隱私的行為要求與期望 - 應考人員必須了解當資訊系統作為服務提供給使用者時，使用者對於隱私維護的期許作法，例如在電子商務服務中使用確保個人隱私與權益，定義營運人員的個資保護職責，以及系統監控的作法與要求等。

個資保護與隱私維護的方法 - 應考人員需要了解資訊系統可實施的保護作法來消弭與法規要求的落差，並且熟悉可以採用的安全技術與隱私維護工具。

提供告知與選擇 - 應考人員需要明白如何在資訊系統之中，提供法律所要求的告知事項和使用者所需的隱私選項，並且獲得使用者的同意。

稽核與實施IT相關隱私標準 - 應考人員需要了解在資訊服務中，所適用的個資保護與隱私維護法規標準，例如ISO 38500、COBIT、ITIL、PCI DSS、HITRUST等，同時也要熟悉如何進行個資保護與隱私稽核，以及明白IT稽核員應有的角色與職責。

不同資訊技術所帶來的隱私衝擊 - 資訊科技不斷地發展進步，面對各項新興的資訊服務，像是雲端應用、RFID、GPS與GIS地理資訊系統、身分識別技術等，應考人員必須了解其可能帶來的隱私衝擊與風險。

學習是資訊時代最好的投資

對於資訊人員而言，透過準備並取得CIPP/IT認證的過程，可以強化自己對於個資保護與隱私維護要求的專業能力，尤其是一旦被組織指定為個資工作負責人或窗口，將有充分的自信與實務知識，能夠協調人員、分配資源、指派工作以達成個資法的各項要求。

CIPP/IT認證的好處是它不限定在國家、特定產業和工作職務，無論您是系統操作人員、程式開發人員、硬體研發人員、IT經理、網站管理人員、法務人員、資安人員等，都可以藉由閱讀考試教材或參加課程訓練，來補足自己在個資保護與隱私維護的專業認知與實務技巧。

目前，除了各國政府單位之外，包括了IBM、HP、Intel、微軟、Ernst & Young、PWC、KPMG、Deloitte等四大會計事務所都是國際上認可CIPP證照的企業之一，在這新的一年，如果您有志於朝向個資保護與隱私維護的工作目標發展，或許CIPP/IT就是您的最佳入口了。(本文刊載於2013年1月號網管人雜誌)

註：CIPP/IT目前已更換名稱為"Certified Information Privacy Technologist (CIPT)"

[參考資料] https://www.privacyassociation.org/