標準法規 on 資安見聞錄

[新知] ISO/IEC 27018:2025 解析：改版重點與導入注意事項

Sun, 16 Aug 2026 22:25:26 +0800

在 2025 年 8 月，針對公有雲個人可識別資訊 (Personally Identifiable Information, PII) 處理者的保護指引標準 - ISO/IEC 27018 進行了第二次的改版，正式取代了先前的版本 (ISO/IEC 27018:2019)。

ISO/IEC 27018 標準改版的主要目的，就是要與 ISO/IEC 27002:2022 的控制措施對齊，因此在整體的章節結構方面，舊版的第 5~18 章 14 個領域，已更新為第 5~8 章和 4 大控制主題（組織／人員／實體／技術），讓已經導入實施 ISO/IEC 27001:2022 的組織，可以更容易地將既有的資安控制措施延伸至雲端服務，並且內容也新增了附錄 B，提供了與舊版控制措施的對照內容 (請參考圖1說明)。

圖1 改版性質：結構重寫，控制措施要求微調

一般控制措施實施指引的改變

ISO/IEC 27018 這次的改版，針對條款結構是整個重新編排，但控制措施要求的實質內容變動不大，在第 5～8 章中沒有新增任何全新的控制措施，至於 ISO/IEC 27002:2022 新增的 11 個控制措施，新版也沒有提供針對公有雲 PII 保護的實作指引，可以直接適用 ISO/IEC 27002:2022 的指引。

不過在新版中有兩個地方，將雲端服務提供者 (Cloud Service Provider, CSP) 的角色從原本的「請求／告知」，提升為要「提供雲端服務客戶 (Cloud Service Customer, CSC) 實施能力」，共通模式是 CSP 的查核標的由「文件上的告知」轉為「技術上可用的功能」，也就是往「責任要能被驗證」的方向調整，說明如下：

5.14 資訊傳送：舊版的指引是 CSP 宜請求 CSC 採取額外措施（例如加密），在新版中除了保留同樣內容之外，還要求 CSP 宜支援施行該等措施之技術能力，也就是雙方都要實施相關的控制措施。
8.24 密碼技術之使用：條款名稱的密碼技術 (cryptography) 對應的實作重點是加密與金鑰管理，舊版的指引是 CSP 宜就其能力提供資訊，協助 CSC 施行自有的加密保護措施；而新版則是明確提到 CSP 要協助 CSC 實施和管理自有的加密保護與過程，並明列包括金鑰保管庫 (vault)、金鑰管理服務 (KMS)、硬體安全模組 (HSM) 與雲端 HSM (cloud HSM) 等業界常見的做法。另一方面，舊版要求 CSP 揭露自身於何種情況使用密碼技術保護 PII，這項透明性要求在新版中已被移除。

此外，在舊版 6.1.1 所對應的新版 5.2 「資訊安全之角色及責任」的指引中，已將「宜指定聯絡窗口 (point of contact) 供 CSC 使用」改為「配置 PII 專責人員提供諮詢」，組織在進行改版時，也要注意這點並且做出適當的調整。

原附錄 A 控制措施的改變

在舊版標準之中，除了有來自 ISO/IEC 27002 所延伸補充的實作指引之外，在附錄 A 中還有引用來自 ISO/IEC 29100 隱私原則的 25 個擴充控制措施。在新版標準裡面，這些擴充控制措施都予以保留，但要注意的是有「A.11.9 授權使用者之記錄／A.11.10 使用者 ID 管理」的條款編號互換對調 (請參考圖2說明)，所以實務方面，在組織的適用性聲明中要記得進行調整。

至於其它的 23 條，多數逐字未變或只有措辭調整，附錄 A 對於隱私保護的核心承諾（如 A.3.2 禁止以客戶 PII 作行銷用途）也是繼續維持不變，新增要求只出現在附錄 A 兩處：

A.3.1 公有雲 PII 處理者之目的：CSP 自行決定處理 PII 的方法時，除了遵循 ISO/IEC 29100 隱私原則外，也要遵循「隱私設計 (privacy by design)」原則。
A.6.2 PII 揭露之記錄：CSP 除了要紀錄第三方「揭露之來源、權限來源」之外，還要記錄「揭露該 PII 之理由」，實作指引從兩項增加為三項。

圖2 附錄 A 條款編號互換的 2 條

本次改版特別需要注意的地方

首先，新版標準中有一個地方疑似編輯疏漏（以下為個人比對後的判讀，實際仍有待確認），在標準中提到舊版的「13.2.4 機密性或保密協議」已轉換至新版的「6.6 機密性或保密協議」，而 6.6 未提供 27018 專屬指引，僅要求參照附錄 A 條款，但所列參照的「A.10.1 PII 資料侵害之告知」應為「A.11.1 機密性或保密協議」才是正確的。

其次，改版影響較大的條款是舊版「16.1.1 資安事故管理的責任與程序」的轉變，在新版附錄 B 中有提到舊版 16.1.1 要對照的新版條款是「5.24 資訊安全事故管理規劃及準備」，但 5.24 於新版中並沒有補充任何 27018 專屬指引，所以實際要去看的條款應該是「5.26 對資訊安全事故之回應」。

依據先前的上課經驗，有學員提到依據條款的指引說明，針對廣播式攻擊、埠掃描、登入失敗、阻斷服務攻擊及封包側錄這一類的事件，是不是都不用去調查？但以風險的角度來看，實務上還是需要進一步的調查評估，才能判定是否造成了資料侵害。所以這次改版，對於需要觸發進一步資料侵害審查的事件做了調整 (請參考圖3說明)，明列為例外的事件從 5 類縮減為 1 類，實質擴大了應觸發資料侵害審查的事件範圍，所以組織在對應的事件調查程序文件中，可能也要做出對應的調整。

圖3 對資訊安全事故之回應指引的改變

結語

最後，針對轉版的時程與要求，ISO/IEC 27018:2025 雖然已經發布滿一年，但多數已同時導入 ISO/IEC 27017 的組織，會選擇等兩份標準一起轉版；由於新版 ISO/IEC 27017:2026 才在 2026 年 7 月發布，實際的轉版流程仍有待驗證公司確認，所以建議已經導入舊版標準的組織，可先依照圖4的五個步驟來做好準備。

圖4 ISO/IEC 27018:2025 轉版規劃五步驟

備註：本文由作者自行創作，內容有請 AI 幫忙校對和製圖

Source：ISO/IEC 27018:2019、ISO/IEC 27018:2025

[新知] ISO/IEC 27017:2026 已正式發布：改版重點與差異解析

Sun, 09 Aug 2026 10:28:34 +0000

隨著組織皆已轉換至 ISO/IEC 27001:2022 的資訊安全管理系統之後，來上課學員經常詢問「對應 ISO/IEC 27001:2022 附錄 A 控制措施的 ISO/IEC 27017，到底什麼時候才會改版？」

總算千呼萬喚始出來，國際標準化組織 (ISO) 已在 2026 年 7 月底正式發布新版雲端服務資安控制措施標準 - ISO/IEC 27017:2026。

這次改版的主要目的就是要與 ISO/IEC 27002:2022 的控制措施對齊，因此在整體的章節結構方面，舊版的第 5~18 章 14 個領域，已更新為第 5~8 章和 4 大控制主題（組織／人員／實體／技術），讓已經導入實施 ISO/IEC 27001:2022 的組織，可以更容易地將既有的資安控制措施延伸至雲端服務。當然，新版標準同樣適用包括公有雲與私有雲的雲端服務客戶 (CSC) 和雲端服務提供者 (CSP)。

原 CLD 擴充控制措施的改變

在舊版 2015 的標準中，除了補充 37 個來自 ISO/IEC 27002:2013 控制措施的雲端服務實施指引之外，還另行新增 7 項 CLD 控制措施，補強在原本 ISO/IEC 27002 中沒有的像是雲端運算環境中的角色與責任、虛擬化環境的安全及雲端服務的監控要求等。在新版 2026 版的控制措施之中，有 5 項 CLD 控制措施被取消並回歸到 ISO/IEC 27002:2022 已有的控制措施之中，有 2 項 CLD 控制措施則是繼續沿用並且更新控制措施的條款編號 (5.38 / 8.35)。

除此之外，在新版 2026 的標準還新增兩個全新 CLD 控制措施，分別為「5.39 雲端服務夥伴角色與責任之協議」、「8.36 雲端服務未經授權使用之偵測與防範」。

依過去稽核時的經驗，曾經有受查的組織是透過雲端服務的代理商來租用雲端服務，可是在它與代理商的合約裡，卻完全沒提到資安責任，只有一份簡易的費用報價單。5.39 主要就是為了因應在目前租用雲端服務的過程中，會有所謂的雲端服務夥伴 (CSN) 的角色，當透過這些服務代理商來使用雲端服務，同樣也需要釐清彼此的安全責任，而且最好透過合約的方式來明確規範雙方的角色與責任。至於 8.36 則是針對組織內部有眾多的雲端服務使用者 (CSU)，他們會在未經由資訊或資安單位的同意之下，擅自使用外部的雲端服務，對於這些所謂影子 IT (Shadow IT) 的風險，組織需要具備監控與防範的能力，這也是在舊版的標準中未曾涵蓋的部分。

一般控制措施新增的實施指引

在 ISO/IEC 27001:2022 附錄 A 新增的 11 項控制措施，新版 ISO/IEC 27017:2026 也跟上了這個腳步，除了大多數可以直接延伸既有的控制方式至雲端服務 (可參考 ISO/IEC 27002:2022)，所以沒有補充實施指引之外，有 6 項控制措施則是補充了雲端專屬指引 (請參考圖3說明) ，分別為：5.7 威脅情資、5.30 營運持續之 ICT 備妥性、8.9 組態管理、8.10 資訊刪除、8.11 資料遮蔽、8.16 監視活動。

其他部分則是在新版標準中，更明確定義了雲端服務客戶需要落實的責任，共通模式是由被動使用轉為主動查證，並且要留下文件化資訊紀錄像是：

● 5.16 身分管理 (舊版 9.2.1)：CSC 需查證 CSP 身分管理功能是否滿足要求

● 5.18 存取權限 (舊版 9.2.2)：CSC 需查證 CSP 存取權管理功能是否滿足要求

● 8.35 虛擬環境區隔 (舊版 CLD.9.5.1)：CSC 需界定租戶隔離的要求並查證 CSP 是否可以達成

另外，由於舊版的「9.1.2 存取網路及網路服務」在 ISO/IEC 27002:2022 中已併入「5.15 存取控制」，而 5.15 在 27017:2026 並沒有補充的雲端服務指引，所以它是這次改版後唯一消失的條款。

本次改版對 CSP 端影響最大的條款

在舊版 2015 的標準中，條款「18.1.1 適用法律法規和合約要求的識別」是要求以下三件事：

1. 雲端服務提供者宜告知雲端服務客戶其雲端服務適用的法律管轄範圍。

2. 雲端服務提供者宜明確自身相關的法律要求（例如，關於加密以保護個人識別資訊 (PII) 的規定），雲端服務提供者還宜在客戶要求時提供此資訊。

3. 雲端服務提供者宜向雲端服務客戶提供其當前遵守適用法律法規和合約要求的證明。

但在新版其所對應的條款「5.31 法律、法令、法規及契約要求事項」中，則是新增加了過去沒有的權責機關調查請求 (investigation request) 的完整處理要求事項指引，例如：

● CSP 宜執行法律評估，判定該機關就其請求是否具備適用且法律上有效之依據

● CSP 宜將調查請求告知受影響之 CSC，除非法律禁止或有違法跡象

● 僅於 CSP 之法律評估顯示存在適用且有效之法律依據後，方宜授予存取或揭露 CSC 資料

● 宜將程序文件化並實作，限制存取範圍僅限於因應該請求，而非預設可存取全體 CSC 之資料

針對這項要求，CSP 的資安管理單位將會需要與內部的法律專業人員 (法遵 / 法務部門)，研討實際可行的做法，並針對過程保存適當的文件化資訊。

結語

針對新舊版標準條款的差異，大家最想了解的就是在新版標準中，是否有提供完整的新舊版條款對照表？可惜的是在 ISO/IEC 27017:2026 的 Annex A 雖然有提供新舊版對照，但是卻省略了非雲端專屬控制措施的對應關係，原因是這部分已由 ISO/IEC 27002:2022 的 Table B.1／B.2 涵蓋。所以多數的條款是需要搭配 ISO/IEC 27002:2022 進行逐條人工比對的，這是另外比較花費工夫的地方。

最後，針對轉版的時程與要求 (可能會搭配 2025 年 8 月改版的 ISO/IEC 27018:2025 一起進行)，由於新版 ISO/IEC 27017:2026 標準才剛發佈，目前還有待驗證公司確認相關的流程，所以建議已經導入舊版標準的組織，可先依照圖4的步驟來做好準備。

備註：本文由作者自行創作，內容有請 AI 幫忙校對和製圖。
Source：ISO/IEC 27018:2019、ISO/IEC 27018:2025

[分享] 從零開始讀 ISO 42001：3 層知識地圖與 5 階段學習路徑

Wed, 29 Jul 2026 15:40:11 +0000

最近發現無論是由組織指派，或是自己主動報名來參加 ISO 42001 主導稽核員課程的學員，課前完全沒有接觸過任何 ISO 標準的並不少，他們最常提出的問題就是「我是一個 ISO 標準新手，我該如何學習 ISO 42001 標準？」

ISO/IEC 42001:2023（以下簡稱 ISO 42001）是全球第一個可稽核驗證的人工智慧管理系統標準，但 AI 管理並不是一個容易掌握的專業技能，因為它橫跨了管理系統、風險管理與 AI 技術這 3 個知識領域，學習之前需要先具備一些基礎知識。因此，我準備了一份知識地圖和學習路徑，希望可以為有意學習人工智慧管理系統標準的夥伴，指出一個容易前進的方向。

圖1　學習 ISO 42001 前需要補齊的 3 層基礎知識

第一層 — 管理系統核心概念

對於沒有接觸過 ISO 管理系統標準 (Management System Standard, MSS) 的人而言，第一步要先理解的是管理系統不是指一個 IT 的應用系統，而是一套「體系」或「制度」，它規範的是組織如何「有系統地」規劃、執行、查核與改善，而不是規定技術做法。所以組織通過驗證取得證書，代表的是管理流程符合標準要求，並不代表驗證範圍中的 AI 系統本身通過測試，這是新手最常見的誤解。

ISO 42001 與其他管理系統標準 (例如 ISO/IEC 27001:2022) 目前都採用高階結構 (High Level Structure, HLS，2021 年後的正式名稱為 Harmonized Structure)，它對應了 PDCA 的管理精神：標準本文第 4 至 7 章是規劃 (Plan)、第 8 章是執行 (Do)、第 9 章是查核 (Check)、第 10 章是改善 (Act)，運作起來就如同一個輪子一般，讓組織的管理體系可以持續向前滾動。

第二層 — 風險管理基礎

管理系統標準最重要的核心要求，就是風險管理。在 ISO 42001 本文條款 6.1（因應風險與機會的行動）要求組織執行風險評鑑（包含風險識別、風險分析、風險評估 3 個步驟）與風險處理，它的方法論基礎來自 ISO 31000:2018《風險管理－指引》。ISO 31000 把風險管理拆成 7 個構成要素，其中 5 項是核心步驟，依序是範疇界定與準則建立、風險識別、風險分析、風險評估與風險處理；至於「溝通與諮詢」和「監督與審查」則貫穿整個流程。

人工智慧管理系統特別重視風險評鑑的過程，主要是因為 AI 風險有 3 項特性：一是不確定性高，模型行為會隨資料更新與再訓練而改變；二是影響對象擴及了個人、群體（如求職者、弱勢團體）及社會；三是風險型態多元，除了資訊安全與隱私保護之外，還涉及公平性、透明度與可解釋性，以及穩健性等。這使得傳統 IT 風險管理方法不足以完整涵蓋 AI 風險，也是實務上還要搭配 ISO/IEC 23894:2023《人工智慧－風險管理指引》的原因。

第三層 — AI 基本概念

如果您對於 AI 的認知，還是停留在與 ChatGPT 或 Gemini 的對話過程，這對於學習人工智慧管理來說明顯不夠。雖然學習人工智慧管理系統標準並不需要精通技術細節，但需要能理解 AI 相關名詞的定義與層次，例如人工智慧 (AI) 是最上層的概念，機器學習 (ML) 是實現 AI 的方法之一，而深度學習是機器學習的子集合，大型語言模型 (LLM) 與生成式 AI 則是深度學習技術的近期應用型態。

想要獲得 AI 的基礎知識，可以研讀 ISO/IEC 22989:2022《人工智慧－概念與術語》（以下簡稱 ISO 22989），它是少數不用花錢就可以從 ISO 官網下載的標準。另外，在 AI 生態系中，使用者不會是唯一的角色。如果您的組織有開發或提供 AI 系統，那麼能辨識 AI 系統生命週期 7 個階段（起始、設計與開發、驗證與確效、部署、運作與監控、再評估、汰除）各自的目標與風險，也是必須具備的能力，而這套 7 階段模型同樣出自 ISO 22989。

建議的 5 階段學習路徑

在具備了以上 3 層知識之後，建議您可以依下列 5 個階段持續推進，並且試著用自己的話來解釋標準的核心知識，或是產生對應的內容，路徑如下：

1. 管理系統基礎建立：自己能白話說明 PDCA 各階段所對應的標準本文章節。

2. 風險與 AI 基本概念：自己能解釋風險管理的過程與 AI 系統生命週期 7 階段。

3. 精讀標準本文：逐條研讀第 4 至 10 章，能夠指出管理系統要求建立的文件化資訊。

4. 研讀附錄 A／B：理解 9 大控制領域、38 項控制措施，能夠說明控制措施的目標與要求。

5. 案例演練與自我檢核：以實際或假設情境（例如 AI 客服系統）練習差異分析 (gap analysis)，產出一份差異分析報告。

圖2　ISO 42001 建議的 5 階段學習路徑與各階段產出

結語

回到一開始提到的，AI 管理並不是一個容易掌握的專業技能，所以先照著知識地圖與建議的學習路徑來走，會是比較容易的做法。

如果您已有 ISO 27001 或其他管理系統標準的學習經驗，代表第一層的知識已經具備，那麼就可以直接從第二層開始；如果完全沒有接觸過標準，就請務必從第一層起步。至於沒有 AI 技術背景的夥伴，您也不需要擔心，只要能理解 AI 相關名詞與 AI 系統生命週期各個階段，您也能成為組織建立人工智慧管理系統的重要推手。

Source: 本文之知識分層與學習路徑架構，整理自作者編撰之《ISO/IEC 42001 基礎知識地圖 v2.1》（2026 年 8 月）。

[分享] 新版ISO 27701:2025之改變和轉版規劃

Tue, 10 Feb 2026 07:01:00 +0000

新版ISO 27701:2025標準已於2025-10-14發布，正式成為可獨立實施和驗證的隱私資訊管理系統標準，新版標準採用了調和結構 (Harmonized Structure)，包括建立管理體系的本文4~10章，內容架構採用相同標題和文字，方便組織和其他標準進行整合。

在新版標準的附錄A，則針對「PII控制者 (A.1)」和「PII處理者 (A.2)」兩個角色，說明它的控制目標和控制措施。另外，也新增了兩個角色在資安方面需考量的控制措施 (A.3)，並且在附錄B提供了控制措施實作的參考指引，以下列舉新版標準主要的調整和變動。

管理體系的調整

- 原本文5.2~5.8調整為4~10，建立完整的高階管理架構，讓組織更容易和其他標準對齊。

- 原本文6~8調整為新版的附錄B實作指引。

- 原舊版中的附錄A和B，在新版中調整為A.1和A.2，並新增A.3 資安控制措施 (A.3.3~A.3.31)。

控制措施的調整

- 原附錄A.7.2~A.7.5針對「PII控制者」的控制措施，新版調整為附錄A.1.2~A.1.5，包括四個控制領域：蒐集及處理條件、對PII當事人之義務、於設計階段保護隱私及預設保護隱私，以及PII 共享、傳輸及揭露，一共有31個控制措施。

- 原附錄B.8.2~B.8.5針對「PII處理者」的控制措施，新版調整為附錄A.2.2~A.2.5，包括四個控制領域：蒐集及處理條件、對PII當事人之義務、於設計階段保護隱私，以及預設保護隱私及PII 共享、傳輸及揭露，一共有18個控制措施。

- 取消原條款6 ISO 27002 資安控制措施指引，新增附錄A.3「PII控制者和PII處理者的安全事項」，挑選了包括A.3.3~A.3.31共29個資訊安全控制措施，同時也提供了附錄B.3 「PII控制者和PII處理者的實作指引」作為參考。

轉版規劃與準備

目前各家驗證公司還沒有正式發布轉版的細節 (個人預估最晚在2026 Q3可申請進行轉版)，已知的資訊是所有 ISO 27701:2019 舊版證書將於 2028 年 10 月 31 日到期而失效。對於已持有舊版證書，準備要進行轉版的組織而言，可以先透過以下步驟進行規劃與準備：

1. 進行差異分析：可對照舊版和新版的要求事項，評估目前的差異，包括本文新增的條款6.3變更之規劃、條款6.1.3要求建立資訊安全計畫 (information security programme)，以及附錄A.3的29個資安控制措施。

2. 制訂轉版計畫：包括資源的準備，轉版工作的職責分配，本文4~10章管理體系各項流程實施完成時間的安排。

3. 實施新版要求：修訂管理制度文件，實作隱私控制措施，包括隱私風險評鑑和隱私風險處理、更新適用性聲明 (對應新版條款) 及隱私目標規劃與量測等，並且完成內部稽核和管理審查。

4. 申請轉版驗證：跟驗證公司確認轉版稽核時間，安排受稽人員和場地設施，以便順利取得新版證書。

[分享] 如何選擇適用的雲端安全標準

Sun, 20 Jul 2025 07:14:00 +0000

上一篇文章，分享了「導入雲端安全標準前應思考的三件事」，如果您已經確認組織所提供的服務，符合了雲端運算的五個基本特徵，並且歸納出是屬於哪一種部署模式和服務型式，也清楚了組織的角色是雲端服務顧客 (CSC) 或是雲端服務提供者 (CSP)，那接下您就可以參考這一篇文章，選用適合實施和進行驗證的雲端安全標準。

Source: BSI

可實施驗證的雲端安全標準

目前國際上認可和雲端安全有關，常見並且可以實施驗證的四個標準如下：

ISO/IEC 27001：它是適用於各行各業的資訊安全管理標準，可協助組織建立一個資訊安全管理系統 (ISMS)，藉由執行風險評鑑來選擇適當的控制措施，定義組織要達成的資安目標，再透過定期實施的內部稽核和管理審查，讓組織秉持PDCA的精神來持續改善資安，組織必須先通過ISO 27001驗證，這是獲得其他雲端安全標準證書的基本要求。
ISO/IEC 27017：它是基於ISO 27002，所延伸補充的雲端服務資訊安全控制措施的實作指引 (Code of practice for information security controls based on ISO/IEC 27002 for cloud services)，可適用於四種部署模式 (公有雲、私有雲、社群雲、混合雲) 和三種服務型式 (SaaS, PaaS, IaaS)，也同時適用雲端服務顧客 (CSC) 和雲端服務提供者 (CSP) 兩種角色。換句話說，它是目前適用性最廣泛的雲端安全標準。
CSA STAR：它是由雲端安全聯盟 (CSA)，所推出由產業認可的雲端安全標準，本身是基於由產業工作小組所聯合發展的雲端控制矩陣 (Cloud Control Matrix, CCM)，在實施之後，雲端服務提供者可藉由完成雲端安全自評表 (CAIQ)，或委由獨立公正的驗證單位像是BSI實施稽核，讓組織來展現已達成CSA STAR Level 1和Level 2的驗證。適用的對象，通常是以提供公有雲的三種服務型式為主的雲端服務提供者 (CSP) 。
ISO/IEC 27018：它是基於ISO 29100的隱私框架 (Privacy Framework) 和延伸補充自ISO 27002的控制措施，提供給PII處理者於公有雲環境，依據合約或協議處理個人可識別資訊 (PII) 時可遵循的實作指引 (Code of practice for protection of personally identifiable information (PII) in public clouds acting as PII processors)。這個標準是目前適用性範圍最小的，適用的對象包括提供公有雲的三種服務型式，但必須是PII處理者 (經由控制者委託處理PII) 的雲端服務提供者 (CSP)。

最簡單的評估和選擇方法

看了以上的說明，各位肯定還是眼花繚亂和一頭霧水，對吧？

別擔心，這裡介紹簡單選用的三個步驟 - 先釐清組織角色 (CSC or CSP)、確認服務類型 (SaaS, PaaS, IaaS)、選用部署模式 (公有雲、私有雲、社群雲、混合雲)，再依下列方法來選擇。

選擇一，無論您的組織是雲端服務顧客 (CSC) 或是雲端服務提供者 (CSP) ，使用或提供的是哪一種服務型式，也不管是哪一種部署模式，ISO 27017 肯定是最為適用的雲端安全標準。

選擇二，如果您的組織是雲端服務提供者 (CSP)，提供了任何一種的服務型式，通常部署的模式為公有雲 (Public Cloud) ，那麼選擇實施 CSA STAR 沒問題。

選擇三，如果您的組織是雲端服務提供者 (CSP)，在公有雲上提供了任何一種的服務型式，並且受到您的顧客委託 (有簽訂合約或協議)，使用雲服務來進行個資 (PII) 處理的活動，那麼您可以選擇實施ISO 27018來強化雲端服務的個資與隱私保護。

最後，再從組織角色方面，歸納出以下最簡單的判斷方式。

如果您是雲端服務顧客 (CSC)，只能驗證 ISO 27001 + ISO 27017。
如果您是雲端服務提供者 (CSP)，可以驗證 ISO 27001 + ISO 27017 + CSA STAR。
如果您是雲端服務提供者 (CSP)，並且也是公有雲的PII處理者，可以驗證 ISO 27001 + ISO 27017 + CSA STAR + ISO 27018。

[分享] 導入雲端標準前應思考的三件事

Sat, 19 Jul 2025 13:00:00 +0000

本週協助講授雲端服務資安管理主導稽核員的訓練課程，有學員詢問：「如果想要導入和驗證雲端服務的標準，那要如何確認自己是什麼樣的雲服務和適用哪一個國際標準？」

這是一個好問題，基本上，許多有興趣導入和實施雲標準的組織，最常見的情況就是不太清楚自己是真正的雲服務，還是只是傳統的網站服務，也不太知道自己是哪一種服務型式。

幸好，在雲端服務發展的初期，美國國家標準和技術研究院 (NIST) 就提出了雲端運算的定義 (NIST 800-145)，我個人喜歡把它稱之為「雲端運算的543」，組織可以利用它來評估自己是否有應用了雲端運算，而且是提供哪一類型的雲端服務。

Source: CSA Security Guidance

雲端標準導入第一步- 先確認自己是不是雲

關於雲端運算的543，其中5個基本特徵指的是:

廣泛的網路存取 (Broad network access)：所提供的服務支援各種用戶端設備，包括但不限於手機、筆記型電腦、平板電腦等，基本上只要此設備上面有瀏覽器，就可以透過網路來存取雲端服務。
快速且彈性的運作 (Rapid elasticity)：雲端服務的功能或資源可以快速且彈性的配置和調整，以租用IaaS的虛擬機器（VM）為例，租用雲端服務的顧客，可以依需求調整VM的數量，快速從10台擴展至50台，或是從50台減少至10台；若是SaaS的儲存服務，同樣也可以快速取得更多的儲存空間。在服務過程中，除了可自由手動配置之外，還可透過相關技術 (ex. API) 進行自動調整，如果口袋夠深，就可以實現在非常短時間內，獲得難以想像的運算能力，這是傳統IT架構比較難以達成的地方。
可量測的服務 (Measured service)：雲端服務是一種租賃的服務，雲端服務顧客（Cloud Service Customer, CSC）可以透過網路取得雲端服務提供者（Cloud Service Provider, CSP）所提供的各項運算資源 (例如：儲存、運算、頻寬、線上應用服務的帳戶等)，通常可採用按次付費或按使用資源收費的方式。所以對雲端服務提供者而言，就必須提供透明化的方式，並且有能力可以監控、控制和提供報表，讓雲端服務顧客可以清楚掌握目前資源使用的情況，以及需要付出的費用。
隨需的自助化服務 (On-demand self-service)：雲端服務可以讓顧客就像吃自助餐一樣，依照自己的喜好和需求來配置雲端運算的能力和資源，不需要透過雲端服務提供者的人工介入，包括申請、使用、配置功能和資源，都可以透過業者的雲端服務入口網站來達成。
資源池的調配 (Resource pooling)：由於雲端服務提供給為數眾多的顧客來使用，所以會形成一種共用資源的多租戶模式 (multi-tenant model)，為了要達成上面提到的快速且彈性的擴充和運作，對於雲端服務提供者來說，就必須要有能力匯整和調配包括實體和虛擬化的資源 (例如處理器、記憶體、儲存空間及網路頻寬)，快速地提供給需要的顧客，或是由不使用的顧客端進行回收。這些資源池可能位於世界各地，讓租用服務的顧客可以快速取用，業者也可順利的回收匯整。

對有意導入和驗證雲標準的組織，第一步就是要確認自己提供或使用的服務，是否運用了雲端運算，能夠符合雲端服務的5個基本特徵。

舉例來說，如果組織提供的服務是一個官方網站，它使用了一台實體的主機 (Windows Server + IIS)，放在自己的機房，設定開放對外的網路 (TCP 80, 443 port)，提供了組織簡介和產品資訊等內容，也開放給使用者可加入網站會員，申請帳號並利用它來登入網站使用電子報的訂閱和取消功能。

雖然它可滿足了一項雲端運算的特徵 (廣泛的網路存取)，但在其他4項特徵方面如果都沒有相關的功能和機制，只能說它其實還是傳統的網站服務，並不是所謂的雲端服務，也不太適用雲端服務的標準。

當然，目前NIST並沒有定義雲端服務需要完全滿足以上5個特徵，但若只是符合其中一項或二項，然後就認為自己是雲端服務的提供者，那實在是有點牽強。既然本質上不是雲端服務，又要強求去實施雲端服務相關的控制措施，恐怕很多的控制措施都很難展現和達成，也是浪費了組織的時間和人力成本。

但是，官方網站真的不能適用和驗證雲端服務的標準嗎？

有一種情況是可以實現的，就是組織同樣提供官網和會員的網站服務，但不是放在自家建置的環境，而是租用了其他業者的雲端服務，例如跟AWS, Azure, GCP租用虛擬主機，在上面運行所提供的網站服務。

這時候，藉由租用符合雲端運算5個基本特徵的雲端服務提供者的資源，就可以對外宣稱自己的網站服務是運用了雲端運算的服務，只不過組織的角色，並不會因此就直接變成雲端服務提供者，組織本身其實是雲端服務顧客的角色。

如果組織的目的是為了強化內部使用雲端服務的資訊安全，那就可以導入和驗證適用顧客的雲端標準 (ISO 27017) 了。

雲端標準導入第二步- 提供什麼類型的雲服務

關於雲端運算的543，剩下的4和3指的是：

4種部署模式：公有雲 (開放給大眾使用)、私有雲 (限單一組織使用)、社群雲 (具有共同目標的族群)、混合雲 (使用兩種以上部署模式)
3種服務型式： SaaS 軟體即服務 (ex. M365, Dropbox)、PaaS 平台即服務 (ex. 開發環境或容器運作平台)、IaaS 基礎設施即服務 (ex. VM)

若是確認了自己的服務已具備雲端運算的基本特徵，接下來請問問自己，採用的部署模式是什麼？所提供的是哪一類型的雲服務。

雲端標準導入第三步- 釐清自己的角色

如果您的組織和Microsoft、Google、Amazon一樣，提供各式各樣的雲服務給大家使用，並且滿足雲端服務的5大特徵，您就是「雲端服務提供者 (Cloud Service Provider, CSP)」。

如果您的組織單純只是使用現有的雲服務，例如：M365, GCP, AWS EC2等，那您就是「雲端服務顧客 (Cloud Service Customer, CSC)」。

如果您的組織像是儲存服務的業者Dropbox，在底層的儲存空間租用了AWS S3服務 (IaaS)，並且利用它來打造成為自己的檔案儲存應用服務 (SaaS)，此應用服務也藉由自己提供的機制符合了雲端運算的五大特徵，那麼您就是同時兼具了雲端服務顧客 (面對AWS)，同時也是雲端服務提供者 (面對Dropbox顧客)的角色。

最後，如果您已完全清楚了以上三件事，下一篇文章將告訴您如何選擇適用的雲端服務國際標準。

[新知] ISO 42001 - 人工智能管理系統 (AIMS) 的國際標準即將誕生

Mon, 13 Nov 2023 15:17:00 +0000

隨著AI (人工智能) 技術的快速發展，對於許多業者基於AI所提供的產品或服務，許多人也擔心新科技的應用可能會對人類的生活產生負面的影響，因此，如何讓AI科技的發展能夠趨於正途，成為了一個值得關注的議題。

目前人工智能管理系統 Artificial intelligence Management system (AIMS) 的國際標準「ISO 42001」，已經進入到最後草稿版本的審查階段，預計將在2023年12月正式公布。

# 更新: ISO 42001標準已於2023-12-18正式發布了~~

ISO 42001的AIMS和ISO 27001的ISMS一樣，同樣要求組織從「風險」的角度，評估提供AI的產品或服務，可能面臨的品質、安全、隱私、公平性、可靠性和透明度等議題所帶來的風險，進而實施對應的管控措施。

ISO 42001標準的內容，主要分為兩個部份，第一部份是本文第4章至第10章的內容，和ISO 27001資訊安全管理系統 (ISMS)一樣，遵循了ISO組織所定義的高階結構 (Annex SL)，主要是說明如何建立、實施、維持與持續改善組織的人工智能管理系統 (AIMS)，它能夠幫助組織以負責任的態度去開發或使用AI，並且達成法規的要求，同時也可滿足社會與眾多關注方的期望。

4 組織全景

4.1 了解組織及其全景

4.2 了解關注方的需要與期望

4.3 決定AI管理系統的範圍

4.4 AI管理系統

5 領導作為

5.1 領導與承諾

5.2 AI政策

5.3 角色、責任與權限

6 規劃

6.1 因應風險與機會之行動

6.1.1 一般要求

6.1.2 AI風險評鑑

6.1.3 AI風險處理

6.1.4 AI系統衝擊分析

6.2 AI目標與達成之規劃

6.3 變更之規劃

7 支援

7.1 資源

7.2 能力

7.3 認知

7.4 溝通

7.5 文件化資訊

8 運作

8.1 運作規劃與控制

8.2 AI風險評鑑

8.3 AI風險處理

8.4 AI系統衝擊分析

9 績效評估

9.1 監督、量測、分析及評估

9.2 內部稽核

9.3 管理審查

10 改善

10.1 持續改善

10.2 不符合事項與矯正措施

至於ISO 42001標準的第二部份，則包括了以下四個附錄的內容：

附錄A是參考之控制目標與控制措施，以表格說明了附錄B.2至B.10的控制措施要求。

附錄B是AI控制措施的實施指引 (內容有點像是ISO 27002，它是控制措施的參考書)

B.1 一般說明

B.2 AI相關之政策

B.3 內部組織

B.4 AI系統之資源

B.5 AI系統之衝擊分析

B.6 AI系統生命週期

B.7 AI系統之資料

B.8 關注方之資訊

B.9 AI系統之使用

B.10 第三方與顧客關係

附錄C是可能的AI相關組織目標與風險來源

C.1 一般說明

C.2 目標

C.3 風險來源

附錄D是使用AI管理系統涉及的領域或行業

D.1 一般說明

D.2 AI管理系統與其他管理系統標準之整合

[新知] ISO 27001:2022 新版資安管理系統 (ISMS) 國際標準正式發行

Tue, 25 Oct 2022 09:40:00 +0000

眾所矚目的ISO 27001:2022新版資安管理系統 (ISMS) 國際標準，終於在今日正式公布發行了，以下簡要地說明新版標準與舊版之間主要的差異:

1. ISO 27001:2022新版國際標準從原本的「資訊技術－安全技術－資訊安全管理系統－要求事項 (Information technology - Security techniques — Information security management systems — Requirements)，更名為「資訊安全、網路安全和隱私保護－資訊安全管理系統－要求事項 (Information security, cybersecurity and privacy protection — Information security management systems — Requirements)。

2. ISO 27001:2022新版國際標準的附錄A，採用了今年二月中已更新發行的ISO 27002:2022的四個控制領域 (組織、人員、實體、技術) 與93個控制措施。在舊版標準中所使用的控制目標 (Objective) 被移除了，改為以目的 (Purpose) 來取代，至於新增加的5個控制屬性 (five attribute)，則可由組織自行選用，並非強制要求。

3. ISO 27001:2022新版國際標準的內容文字，以文件 (document) 取代原先使用的國際標準 (International Standard)。

4. ISO 27001:2022新版國際標準在本文「4.4資訊安全管理系統」，要求定義建立、實作、維持及持續改善資訊安全管理系統所需的流程 (process)。

5. ISO 27001:2022新版國際標準更明確要求在組織內和資安有關的溝通角色。

6. ISO 27001:2022新版國際標準，微調了部份條款內容和編號，例如: 原先的「9.2 內部稽核」內容增加了「9.2.1 General 一般要求」和「9.2.2 Internal audit programme 內稽計畫」；「9.3管理審查」內容則增加了「9.3.1 General 一般要求」、「9.3.2 Management review inputs 管理審查輸入」及「9.3.3 Management review results 管理審查結果」。另外，原先舊版標準的「10 改善」，則是調整順序為「10.1 Continual improvement 持續改善」和「10.2 Nonconformity and corrective action 不符合項目及矯正措施」，僅將原先的編號對調但內容要求不變。

轉版時程與規劃安排

依據所得知的消息，自2022年11月1日起將會有3年的新舊版證書轉換期，所有的2013年舊版標準證書，預計將在2025年11月1日起失效。

目前已取得2013年舊版證書的組織，可以選擇在既定的後續審查 (CAV) 或三年重審 (RA) 時，同時進行轉版稽核，但要注意的是從2024年5月1日起，想要申請 ISO 27001 首次驗證 (IA) 或進行三年重審的組織，就不能選擇再採用2013年舊版標準來進行稽核了。

至於轉版的規劃，以下步驟可作為參考：

1. 取得新版的ISO 27001:2022國際標準，若有需要也可取得ISO 27002:2022國際標準，以便了解新版控制措施的實施指引。

2. 針對新版國際標準的要求，進行差異分析 (包括本文和附錄A) 和風險評鑑。

3. 針對ISMS管理體系和現有的控制措施，實施必要的改變和調整，並保留實施的文件化證據 (在轉版驗證時提供給稽核員看)。

4. 請務必更新適用性聲明書 (SOA) 以反映所實施新版國際標準的控制措施，並且說明適用和不適用的理由。

5. 主動與組織的驗證單位連繫，提早確認預計要進行轉版稽核的時間。

[新知] ISO/IEC 27701:2019 - 第一個隱私保護和個資管理的ISO標準誕生

Thu, 08 Aug 2019 11:58:00 +0000

有鑑於國際上愈來愈多對於隱私保護和法令法規的要求，以及幾乎所有的組織都會有處理個人資料 (PII) 的情況，保護個人資訊和隱私已然成為民眾普遍的期望。

目前，ISO/IEC 27001已是國際上公認為資訊安全管理系統的首要標準，不過，在隱私保護方面除了所需的資安控制措施之外，如何因應法令法規對於個資和隱私保護的要求，以及從PII的控制者和PII的處理者的不同角度來實現和滿足，這也讓ISO組織開始著手編寫ISO/IEC 27552 (ISO/IEC 27701的前身) 標準，希望在既有的資訊安全管理系統 (ISMS)上，也能延伸補充個資管理系統 (PIMS) 的要求和實施指引。

如今，「ISO/IEC 27701:2019 Security techniques — Extension to ISO/IEC 27001 and ISO/IEC 27002 for privacy information management — Requirements and guidelines」已在2019年8月正式發布，成為全球第一個隱私保護和個資管理的ISO標準。

ISO/IEC 27701的內容分為8個章節如下：

Scope
Normative references
Terms, definitions and abbreviations
General
PIMS-specific requirements related to ISO/IEC 27001
PIMS-specific guidance related to ISO/IEC 27002
Additional ISO/IEC 27002 guidance for PII controllers
Additional ISO/IEC 27002 guidance for PII processors

第一到第三章，主要是適用範圍、參考標準和名詞定義的說明，ISO/IEC 27701適用於任何類型的組織，包括公務機關、民營企業及非營利組織。

第四章則是整體性的說明，包括PIMS的要求如何對應到ISO/IEC 27001的4~10章管理體系，以及PIMS增項的指引如何對應到ISO/IEC 27002的5~18章的控制措施。

第五章和第六章的內容，則是進一步敘述在第四章提到的PIMS對應ISO/IEC 27001管理體系要求和ISO/IEC 27002控制措施實施指引。

至於第七章和第八章，則分別從PII控制者和PII處理者的角度，說明包括蒐集和處理個資的情況和條件、應遵循的個資保護原則、設計和預設的隱私考量，以及個資的分享、傳輸和揭露的增項要求。

最後，在標準的附錄A~F中還補充了PII控制者和PII處理者可參考的控制目標和控制措施，以及對應到 ISO/IEC 29100、GDPR、ISO/IEC 27018、ISO/IEC 29151 的條款編號，並且加上如何應用此標準的說明，對於想要整合多項標準和遵循GDPR的組織而言是很清楚的參考資訊。

[專欄] 定期執行資安合規檢視有效管控資訊系統風險

Mon, 29 Jan 2018 14:47:00 +0000

隨著惡意的攻擊手法愈來愈多樣化，對於防禦的一方而言，需要持續關注的議題也愈來愈多，在日常維運方面，無論是參考國際標準的要求，或是依據產業的規範或最佳實務，定期的實施自我資安檢查，將是確保組織維持強健體質的良方。

從去年犯罪集團針對包括台灣、泰國、日本等各國的ATM系統進行入侵和盜領案件，到2017年年初對於證券業者發動的分散式阻斷服務(DDoS)攻擊勒索事件，各式各樣的資安攻擊仍然層出不窮。依據英國標準協會(BSI)和營運持續協會(BCI)所共同發表的2017 Horizon Scan Report指出，2017年排名前三大的威脅仍然是「網路攻擊」、「資料外洩」和「無預警的資通訊中斷」，這些威脅將直接關係到組織本身的資訊系統，以及保護、管理與存取資訊的能力。換句話說，組織是否有能力定期檢視資訊系統，分析評估可能存在的威脅與弱點，並且盡快進行處理，就是維持資訊系統持續運作的重要關鍵。

主管機關對資安評估之要求

在2014年7月，中華民國銀行商業同業公會全國聯合會就提出了「金融機構辦理電腦系統資訊安全評估辦法」，並且報請金融監督管理委員會的同意，要求金融機構參照其所制訂的「金融機構資訊系統安全基準」和「金融機構辦理電子銀行業務安全控管作業基準」，定期實施資訊安全評估作業，希望藉由提早發現可能的資安威脅與弱點，並且實施技術面和管理面的相關控制措施，以提升並強化組織在資訊系統和網路安全的防護能力。

因此，金融機構必須依照其整體資訊系統的現況來制訂資安評估計畫，先針對資訊資產的重要性和影響性進行分類，再決定實施資訊安全評估之週期，並且在完成之後，提交一份正式的電腦系統資訊安全評估報告。如果評估之後發現有不符合的項目，還需要進行後續的追蹤和矯正。若是有單一系統不幸發生了重大的資安事件，此系統也被要求必須要在三個月內，重新再執行一次資訊安全評估作業。

表1 電腦系統之分類和評估週期

電腦系統類別	定義	評估週期
第一類	直接提供客戶自動化服務或對營運有重大影響之系統(如電子銀行、分行櫃台、ATM自動化服務等系統)	每年至少辦理一次資訊安全評估作業
第二類	經人工介入以直接或間接提供客戶服務之系統 (如作業中心、客戶服務等系統)	每三年至少辦理一次資訊安全評估作業
第三類	未接觸客戶資訊或服務且對營運無影響之系統 (如人資、財會、總務等系統)	每五年至少辦理一次資訊安全評估作業

(資料來源：金融機構辦理電腦系統資訊安全評估辦法)

資安評估作業的內容項目

在資訊安全評估作業之內容方面，它一共包括了以下六大項目：

(一) 資訊架構檢視：評估網路架構之配置、資訊設備的管理方式和單點故障的風險承擔能力，以及組織對於營運持續所採取的相關措施。

(二) 網路活動檢視：包括了網路相關設備的帳號權限管理和存取記錄、設備的監控與異常事件的處理，以及檢視網路封包是否存在網路異常連線和惡意行為。

(三) 網路設備、伺服器及終端機等設備檢測：檢測設備的存取和連線機制、是否定期實施弱點掃瞄和修補作業，以及檢測是否存在惡意程式和後門程式。

(四) 網路安全檢測：包括了網站和客戶端軟體的弱點掃瞄、程式源碼的檢測、滲透測試，以及評估網站目錄權限設定的適當性，檢視系統是否存在可能易遭連線挾持和資源消耗等影響系統可用性的情況。

(五) 安全設定檢視：包括系統存取限制和特權管理、伺服器的設定原則、軟體更新、防火牆的連線設定，以及金鑰的儲存保護和存取機制等。

(六) 合規檢視：檢視整體的電腦系統是否符合「金融機構資訊系統安全基準」中，有關提供系統可靠性及安全性侵害對策之規範要求。如果組織提供了電子銀行服務，還需要檢視相關系統是否符合「金融機構辦理電子銀行業務安全控管作業基準」之要求。

基本上，前五項的檢視要求比較偏向於技術面的評估，評估人員只要符合了辦法中相關的資格條件，可以由內部人員或委由外部廠商來執行，但是在第六項合規檢視的部份，它是從整體的資安要求與管控機制來看，因此比較適合由獨立的第三方機構來進行，藉由公正客觀的角度和業界的實務經驗，能協助組織更有效地找出可能的資安風險。

資訊系統合規檢視的重點

金融機構資訊系統安全基準是主管機關為了提升金融業務相關電腦系統的穩定性，所提出的強化措施之一，它針對了環境、設備、軟體、系統開發、運作管理等項目，分別從設備基準、營運基準、技術基準提供了相關的實務措施與控制作法，其中又以技術基準是作為提升資訊系統的可用性、完整性及機密性，提出在系統硬體及軟體等技術面的對策，主要包括「提升系統可靠性(技1-技25)」和「安全性侵害之對策(技26-技51)」兩個層面，區分為8大項和51個的小項目，可以用來協助金融業者檢視相關資訊系統的安全現況，分別說明如下。

提升硬體設備之可靠性 (技1-技6)
這6個項目主要是在預防硬體設備的故障，要求組織應依照設備本身的特性，定期實施預防性的檢查和保養，並且針對包括重要主機、週邊裝置、通訊裝置、通訊線路及端末系統，都需要評估並設置所需的備用與備援設備，以強化系統運作的可靠性。

提昇軟體系統之可靠性 (技7-技15)
這9個項目是要求提升軟體的開發和維護品質，主要著重在完整的系統開發生命週期的各個階段，所對應實施的控制措施，例如確認系統開發設計的計畫是否納入了安全的考量，並且在系統計畫階段就實施了必要的安全控管機制；是否採用標準化的設計和程式撰寫作業，以確保軟體的品質；在測試階段如何擬定測試計計畫並完成各項測試作業；程式如何進行派送，以及購置套裝軟體時的考量等。另外，它也要求在系統功能進行增修變更時，相關的作業仍應比照開發階段時的品質控管要求。

提升營運可靠性之對策 (技16-技19)
這4個項目是要求系統操作如何保持自動化和簡易化，並且在操作的過程中，是否進行系統操作的檢核，以降低人為操作的錯誤。另外，針對資訊系統的運作狀態，是否進行適當的監控，以避免其因資源不夠或超過負荷，而導致系統錯誤的發生。對於無人看管的ATM設備，是否採行了集中監控和遠端搖控功能，以確保無人化服務區的穩定運作，這些都是屬於營運可靠性的要求。

故障之早期發現、早期復原 (技20-技24)
這5個項目是希望讓故障能夠被早期發現並進行復原，因此組織需要設置資訊系統的監視機制，包括了運轉、停止、錯誤等狀態的發現和回報，一旦故障真的發生，還能夠適當地隔離故障的部位，縮小故障的範圍以便讓其他功能可以正常運作。另外，若是屬於交易類的系統，為使故障的影響降至最低，必要時可以限制交易的科目或類型。當然，組織也需要建置系統復原的功能，以便能盡快地回復到正常的服務作業。

災變對策 (技25)
有關災變的因應只有一個要求，就是為了預防資訊中心發生災難而導致所有系統功能完全喪失，組織需備有災變備援中心，以便能讓相關服務能夠及早回復。

資料保護 (技26-技34)
在資料保護方面，一共有9項要求，主要著重在防止資料外洩和被竄改破壞，需要建立相關的檢核機制。所以它的要求從最基本的密碼不顯示不印錄等措施開始，在資料傳輸過程中必須實施加密，重要資料於儲存時也要進行亂碼化處理。而為了保護資料本身，除了要求檔案存取時要具有排他機制外，對於存取資料的人員、應用程式和檔案，也要求應具有檢核與剔除的功能，對於帳務相關的主檔和交易日誌檔案等，也要具備相互勾稽的機制，以預防資料受到不當的竄改。

防止非法使用 (技35-技48)
這裡一共有15項管控要求，主要重點在於存取權限的確認、交易範圍的限制，以及防止偽冒欺詐的情況發生，所以其要求包括了偵測非法使用ID的功能、系統的日誌和歷史資料的保護、發生事故時限制交易或停止交易的機制、卡片的偽冒和電子儲值資訊的保護等。另外，網路安全的相關措施，包括偵測非法的網路入侵、確保不必要的設備存取重要網路、非法存取與異常交易的監控，以及萬一真的發現非法入侵和存取時應變機制和復原程序，也是防止非法使用的要求重點。

防止非法之程式 (技49-技51)
這3個項目主要是著重在惡意程式的防禦，包括如何在系統開發、維護、營運中防止電腦病毒的入侵，以及是否設置了偵測和檢查機制以降低被感染的風險，還有萬一真的被惡意程式感染時，如何進行適當的隔離和清除，降低對資訊系統的影響，都是組織需要進行評估的要求內容。

金融相關產業都應及早遵循

目前，除了金融機構因應銀行公會之要求，需要依照電腦系統的重要性類別，定期實施資安評估作業並產出報告之外，已經有其他相關的產業公會也比照此一要求來通知其會員公司辦理。目前已經正式行文的包括「壽險業辦理電腦系統資訊安全評估作業原則」、「產險業辦理電腦系統資訊安全評估作業原則」、「信用合作社辦理電腦系統資訊安全評估辦法」、「保險代理人公司辦理資訊安全評估作業原則」、「保險經紀人辦理電腦系統資訊安全評估作業原則」等。因此，如果組織本身隸屬於以上的產業，為了能夠更有效地管控資安風險，應及早規畫並依據作業辦法之要求，指派內部的專業人員，或是尋求外部單位的協助來定期執行資安評估，以遵循主管機關之期望要求。(本文刊載於2017年5月號網管人雜誌)

參考資料

金融機構辦理電腦系統資訊安全評估辦法
金融機構資訊系統安全基準

[專欄] 強化組織的資訊韌性因應惡意挑戰並克服難關

Thu, 20 Jul 2017 07:05:00 +0000

在資訊時代瞬息萬變的局勢下，組織要如何才能夠永續經營？一旦面臨困難挑戰，發展組織韌性(Organizational Resilience)將會是危機中的逆轉關鍵，所謂的韌性是指組織能夠預測、準備和應對可能突發的營運危機，擁有充份的能力可以因應變化，最後得以持續生存並且繁榮興盛。

在今年農曆春節結束後開工的第一週，台灣有十家以上的證券業者遭遇了勒索式的網路阻斷服務攻擊，巨大的攻擊流量對於資訊系統的運作造成了重大的影響，同時也考驗了組織面對外來威脅的應變機制和能力。根據BSI英國標準協會過去對於資訊部門主管所做的調查結果指出，有九成以上的受訪者坦言其組織曾經遭遇過來自網路的攻擊，更有五成的受訪者表示因為駭客試圖入侵或是惡意程式的潛伏運作，而使組織蒙受經營上的損失。

無論是大企業或是小公司，當面對來自四面八方的網路攻擊，或是潛藏在組織中伺機發作的惡意軟體，具備足夠的資訊韌性將是必要的生存要素之一，有韌性的組織可以藉由更好的供應商和產品工具的協助，建立標準化且迅速的事件回應處理流程，加上擁有足夠資安意識和應變能力的專業人員，能夠協助組織克服危機帶來的考驗，也就是說，具備資訊韌性除了可以確保業務的持續運作，更可同時維護重要資訊的安全。

有關組織韌性的國際標準

BS 65000是BSI在2014年底所發布的英國國家標準，它是有關組織韌性的最佳實務指引，目前，正在發展中的ISO 22316更以它為本，將初稿內容公開以徵詢各方意見，未來即將成為正式的國際標準。BS 65000除了針對韌性的本質給予清楚的描述，也提到了發展組織韌性的方法，也就是透過整合現有的作業流程，讓複雜的組織運作能夠透過協同運作的方式，建立組織因應各項問題的能力。根據經濟學人的研究指出，組織韌性已是現代企業邁向成功的驅動力，它主要包括了以下三大領域：

營運韌性 (Operational Resilience) - 聚焦於提升組織的營運能力，強化產品、服務與流程的績效和永續性，進一步防範組織在財務與聲譽方面受到損害。

資訊韌性 (Information Resilience) - 管理組織的實體與數位資訊，強調資訊的生命週期管理，從資訊的產生到終止，讓各方的利害關係人都能安全且有效率地取得、儲存及使用資訊。

供應鏈韌性 (Supply chain resilience) – 它是量化與緩和供應鏈風險的能力，包含了採購、製造、運輸、銷售的生命週期，以適當的管理機制將供應鏈中斷的衝擊減至最小，並且保護組織免於財務和聲譽的損害。

發展資訊韌性的四大基礎

在現今的資訊時代，組織需要有足夠的能力去保護敏感資訊，也需要被客戶信賴。隨著資訊化的腳步愈來愈快，組織也面臨了伴隨而來的各種安全威脅，像是資訊詐騙、商業間諜及惡意破壞等。如今，大部份的威脅已不是來自於外部，而是來自於內部缺少適當的安全控制措施，並且也包括使用新興科技的雲端服務，還有委外的商業資訊和個人資料處理，也擴大了可能的安全議題。

對組織而言，為了獲得利害關係人像是客戶的信任，導入有效的資訊安全管理(ISMS)體系已是強化資訊韌性的必要做法，而且還要讓它進一步融入於組織的文化之中，以支持在各個層級的內部營運和商務運作。基本上，在資訊從產生到終止的生命週期中，一個有韌性的組織必須考量從實體面、數位面來管理所擁有的資訊，並且在流程面採取資安內化的角度，讓資訊能夠安全且有效率地被蒐集、存取和利用。

對於想要強化資訊韌性的組織，以下四個層面將是必要的發展基礎：

管理和保護資訊：首先組織必須了解需要妥善保護的資訊有哪些，這部分可以藉由盤點關鍵的營運流程和相關的資訊資產來進行。另外，對於資訊本身的生命週期，包括創建、處理、儲存、傳輸及銷毀的過程，也需要清楚的識別其作業方式和保留記錄。對組織而言，管制資訊的出入口是第一道防線，若能及時實施適當的存取控制，就可以大幅降低資訊外洩的風險。
防護資訊基礎設施：組織內部與資訊處理相關的基礎設施，除了包括所在場域維持運作所需的基本公共服務，例如網路、電力、水力等，也涵蓋了自行管理的資訊設備、電腦機房和資料中心。換句話說，實體安全的控制是防護基礎設施重要的一環，無論是位於場所內或場所外的資訊設備，都需要事先評估無法運作時的風險。因此，組織需要制定對應的備援機制和營運持續計畫，同時還要安排定期的演練，確認相關計畫在災難發生時的可行性。
強化信任和聲譽：組織想要長期的生存發展，並不是單靠本身的力量即可達成，尤其是許多的資訊服務與資源，可能來自於協力的廠商業者，因此，除了要主動強化彼此的信任合作關係，打造可信賴的資訊服務，還要去維持良好的供應商關係，進一步強化組織聲譽以成為重要供應鍊中的一環，以便讓業務得以長期的擴展。
確保法令法規的遵循：對於組織來說，要求遵循適用的法令法規已是必要的責任和義務，隨著組織規模的擴大和資訊服務的無遠弗屆，除了了解當地的法令法規要求，更需要進一步了解業務範圍內的各國法規，否則一旦適法性受到質疑，伴隨而來的法律議題將會危及組織的生存發展，所以組織也需要有法規專業人才的協助，確保法令法規的遵循要求。

結合管理系統以提升資訊韌性

為了強化組織韌性，結合受到全球認可與導入，並且適用於各種產業與規模的管理系統標準，已是形塑組織內部文化與建構資訊韌性的最佳方法，以下是與提升資訊韌性密切相關的管理系統標準，可以作為組織的參考。

ISO/IEC 27001 資訊安全管理系統
ISO/IEC 27001是受到業界廣泛認可的資安管理標準，它定義了資訊安全管理系統(ISMS)的基本要求，這項標準的設計是確保有充分、適當的安全控制措施，協助組織保護其重要的資訊資產。導入ISO/IEC 27001可增強包括客戶在內的利害相關人各方的信心，它適合於全球任何規模和行業的組織，尤其適合於影響關鍵業務及特別需要安全保護的組織資訊。

ISO 20000 IT服務管理系統
資訊科技已是支持組織日常營運的重要支柱，不管員工位於何處或負責何種業務，任何規模的組織都需要仰賴有效的IT 服務管理，以達成服務績效和營運要求。IT 服務除了具有成本效益之外，還必須達成可靠性、一致性及有效性，無論是管理企業內部的IT服務，或是針對提供 IT 服務的委外服務業者，ISO 20000都能協助組織達成以上目標，並且可以因應不同產業的快速變化，提升資訊技術基礎架構(ITIL)來滿足業務所需。

ISO 22301 營運持續管理系統
對於可能造成營運中斷的風險，ISO 22301提供了正式的營運持續管理架構，藉由營運衝擊分析來協助組織發展出營運持續計畫，以便在發生重大衝擊事件期間和之後還能夠持續地營運。若組織能有效遵循所制訂的營運持續計畫，將可減少中斷事故所造成的衝擊和影響，確保組織有能力快速恢復正常營運，並持續提供客戶所需的服務及產品。

ISO 31000 風險管理標準
組織若採取有效的風險管理策略，可以幫助在事前進行危機分析和風險評估。因此，參考ISO 31000標準所提供全面性的原則和準則，能夠協助組織鑑別所面臨的風險。此一標準適用於大部分的業務營運活動，不論是公務機關或私人企業，都能藉由標準指引來建立風險管理機制，針對可能的風險進行評估，並且針對不可接受的風險進行風險處理。

強化資訊韌性迎向未來挑戰

依據經濟學人智庫(The Economist Intelligence)針對全球411位企業高階主管的調查指出，有八成以上的受訪者認為韌性是組織營運發展的關鍵要素，並且是業務長期發展的必要條件，但是目前僅有三成的組織已實施相關的做法，因此相當需要實務上的指引和協助。

在資訊變動快速的年代，面對未來許多不可知的風險，組織可藉由發展資訊韌性，仔細地審視在整個資訊生命週期之中，包括產品、人員、流程存在著哪些可能的風險，再透過管理系統的導入與相互合作，落實風險管理並強化日常維運的基礎，正所謂「適者生存」，組織唯有具備了強建的韌性體魄，才有充分能力因應未來更多的挑戰。
(本文刊載於2017年4月號網管人雜誌)

[新知] 新版BS 10012:2017標準已正式發佈

Thu, 13 Apr 2017 16:07:00 +0000

新版BS 10012:2017標準已正式在2017年3月31日正式發佈，新版標準主要是因應歐盟在2016年4月14日所通過的資料保護法規GDPR (General Data Protection Regulation )，它預計將在2018年5月25日正式取代在1995年所通過的歐盟個人資料保護指令European Directive (95/46/EC)之要求。

新版BS 10012:2017的主要改變包括了：

重新定義個人和敏感資料
使用個人資料進行分析的限制
針對資料隱私官(data privacy officers)的管理要求
擬匿名化資料(Pseudonymous data)的涵蓋
廢止通知和註冊之要求
對處理同意提出更嚴格的要求
當事人存取權利的改變
強化刪除的權利和新的盈利權
安全事故的通知要求
隱私設計和隱私衝擊評估要求
將法律延伸涵蓋資料處理者
排除依據安全港協議將資料傳輸至美國

另外，為了讓組織能更加容易整合已實施的多個管理制度和標準，BS 10012:2017也採用了ISO的High Level Structure，使得它的內容章節能夠和其他的國際標準，像是ISO 9000/14000/22301及 ISO/IEC 27001等趨於一致。

其主要之章節如下:

Scope
Normative references
Terms and definitions
Context of the organization
Leadership
Planning
Support
Operation
Performance evaluation
Improvement

[專欄] 以ISO/IEC 27018 強化雲端上的個資安全

Mon, 10 Apr 2017 17:06:00 +0000

隨著個人資料保護法的實施和民眾對於個人隱私保護意識的增加，對於日漸普及的雲端服務，一旦包含了民眾的個人資料處理，對於資訊安全要求就顯得更加重要。對雲端服務提供商而言，如何讓雲端服務的客戶和其使用者，能夠信賴雲端服務的安全機制，並且願意使用雲端服務，透過取得國際標準的認證，將是一個最佳的展現方式。

由於科技的進步，傳統的商業模式和服務，時至今日已經逐漸轉型，透過高度資訊化和方便的網路連結，讓各項交易和服務能夠以更即時的方式來運作。目前，應用雲端運算的強大資源，資訊服務也能夠以更有效率且節約成本的方式，傳遞給不分國界的使用者。在使用雲端科技方面，關於服務本身的透明度與資料的安全性，已是受到普遍關注的議題。以公有雲的服務來說，某種程度上就是一種委外服務，就像傳統的金融服務一樣，民眾在考量是否要將貴重物品或金錢存放在某家銀行時，主要考量的要素就是銀行是不是值得讓人信賴。同理，雲端服務客戶在採用雲端服務時，也會關心自己重要且有價值的資訊，是否能夠獲得雲端服務提供商妥善且安全地處理。

目前，藉由與資訊安全標準ISO/IEC 27001的結合，ISO/IEC 27018提供了雲端服務提供商一個在處理個人可識別資訊(PII)時，可以參考的最佳實務指引。這本標準的重點在於協助公有雲服務提供商在扮演PII處理者時，有足夠能力去處理公有雲服務的資安議題，並且在能夠滿足客戶合約和法令法規的前提下，有效地因應雲端上個人資料保護的特定風險。

取得ISO/IEC 27018的必要條件

有鑑於ISO/IEC 27018對於個人資料保護之要求相當完備，並且需要由獨立的第三方實施現場查核，藉由稽核過程中所獲得的客觀證據，才可作為業者已經遵循實施此一國際標準的佐證，這已經是業界公認在雲端服務上保護個資的有效機制。

基本上，適用此一標準而可以進行驗證的組織，以雲端服務提供商為主，而且是提供了公有雲服務，其業務型態包括了個人資料的蒐集、處裡、利用或傳輸等。ISO/IEC 27018要求在服務使用者同意的情況下，針對個人資料生命週期的各個階段，都需要採取適當的保護措施。同時，雲端服務提供商也有義務，需要對雲端服務客戶說明如何確保資料的完整性和透明性等議題，並且尊重使用者對於其個人資料的主張權益。

對於雲端服務提供商來說，在導入ISO/IEC 27018之後，所產生的效益包括了：

增加使用者的信任：提供更強的安全保護機制，以確認雲端服務客戶和利害關係人的個人資料已經受到妥善的保護。
強化商業競爭力：比同業的競爭對手提供更高層次的個資保護措施。
保護品牌和商譽：降低因資安或資料外洩事件的發生，以保護組織的聲譽。
有效降低資安風險：藉由實施風險評鑑的過程來選擇適當的控制措施，可有效地管理可能的資安風險。
協助組織營運成長：對於跨國的企業或提供不同國家服務的雲端服務提供商，可以提供一個共同的規範準則，協助組織更容易地在世界各地提供公眾使用的雲端服務。

ISO/IEC 27018國際標準的架構

ISO/IEC 27018標準的內容主要由兩個部份組成，它分別參考了ISO/IEC 27001附錄A，也就是ISO/IEC 27002的16項控制措施，以及根據ISO/IEC 29100的11項隱私權框架原則所追加的25項控制措施。以下僅針對個資隱私保護原則的部份，做簡要的說明。

1. 同意及選擇：這項要求只有追加一個「A.1.1 有關個人資料當事人權利的合作義務」控制措施，主要是要求公有雲的個資處理者，應該要提供個資當事人能行使其個資權利的方式，包括有能力可存取、更正或刪除屬於他們的個人資料。

2. 目的適法性及規定：這項要求包括了「A.2.1 公有雲PII處理者的目的」和「A.2.2 公有雲PII處理者的商業使用」二個控制措施，主要是要求公有雲的個資處理者應該要基於合約的使用目的，不能以獨立於合約的其他任何目的來處理個人資料，除非以重新獲得當事人的同意。另外，在商業使用方面，在沒有獲得同意之前，不應將個人資料作為行銷和廣告的目的來使用，而且也不應該以此作為客戶接受此項服務的條件，換句話說，應給予雲端服務客戶可以自由選擇的權利。

3. 資料極小化：這項要求的控制措施是「A.4.1 暫時性檔案的安全刪除」，主要是針對在處理個資的過程中，可能會產生許多暫時性的檔案，像是個資編輯修改的記錄、存取的日誌記錄、修改的副本暫存檔等，由於內容也可能涉及個資，因此應在指定或所約定的期間內被刪除或銷毀。

4. 利用、持有及揭露限制：這項要求包括了「A.5.1 PII揭露的告知」和「A.5.2 PII揭露的紀錄」，主要是規範當公有雲的業者遇到來自執法單位的具有法律約束力的個資揭露要求時，需要按照合約所約定的程序和時間，通知受影響的雲端服務客戶，除非是受到法律或其他方式要求禁止通知。此外，對於第三方揭露個資時，需要明確地記錄對誰？在什麼時間？揭露了哪些資料？目前實務上，可以透過定期提供透明度報告來向客戶告知相關訊息。

5. 公開、透明及告知：這項要求的控制措施是「A.7.1 委外PII處理的揭露」，它規範了公有雲業者若是採用分包商來處理個資時，需要在採用之前向相關的雲端服務客戶說明採用的方式和委外的情況。

6. 可歸責性：這項要求的控制措施，包括了「A.9.1 通知涉及PII的洩漏」、「A.9.2 管理的安全政策及指引的保存期間」及「A.9.3 PII的返還、傳輸及汰除」，主要是要求公有雲業者在任何未經授權存取個資，或是發生個資遺失、洩露或竄改時，應及時地通知相關的雲端服務客戶。另外，業者還需要保存服務提供期間的安全政策和作業程序副本，並在定期地更新，而且需要說明有關個資的返還、傳輸及汰除的政策內容，讓雲端服務客戶可以了解其作業方式。

7. 資訊安全：在資訊安全的要求方面，所要求的控制措施是最多的，包括了「A.10.1 機密性或保密協議」、「A.10.2 建立實體資料的限制」、「A.10.3 資料還原的控制和記錄」、「A.10.4 保護離開場所的儲存媒體上的資料」、「A.10.5 未加密可攜式媒體和裝置的使用」、「A.10.6 PII透過公眾網路傳輸的加密」、「A.10.7 實體資料的安全汰除」、「A.10.8 獨特的使用者ID」、「A.10.9 經授權使用者的記錄」、「A.10.10 使用者ID管理」、「A.10.11 合約措施」、「A.10.12 委外PII處理」，以及「A.10.13 先前使用的資料儲存空間上的資料存取」。
首先是保密的要求，對於有能力可以存取個資的工作人員，需具有保密的義務；針對個資方面，如果創建產生可顯示個資的實體文件，則需要受到限制；當業者進行資料還原時，需要記錄還原過程的程序和記錄；含有個資的儲存媒體，如磁碟、磁帶、光碟等需離開組織場所時，要經過適當授權和保護，而未加密的儲存媒體或可攜式裝置原則上是不該被使用的，若是在不可避免的情況下，則需要留下記錄；在透過公眾網路傳輸個資時，資料在傳輸前需經過加密處理，實體資料若需要汰除，應採取安全的機制，像是交叉切割、焚燒或水銷等方式銷毀；業者內部需要存取個資的工作人員，都要使用唯一的識別帳號以適當的區隔和授權，並且記錄使用者的活動概況，如果是已停用或過期的帳號，則不應再指派給其他人員使用；在合約方面，應明確說明所採取的安全措施，以確保資料不會被目的以外的方式進行處理；需要進行分包處理時，也應明確說明相關的處理程序和個資保護責任；因為雲端服務共同資源的特性，若先前使用過的資料儲存空間，要重新分配給其他用戶時，也要確保先前儲存的資料是不可見的。

8. 隱私遵循：這項要求的控制措施，包括了「A.11.1 個人資料的地理位置」和「A.11.2 個人資料的預期目的地」，由於雲端服務跨國的特性，主要是規範業者需明確說明，個資可能會被儲存在哪些國家。另外，若是透過網路來傳輸個資，也需要採取適當控制措施來確保資料可到達其預定的目的地。

以標準做法和國際服務要求接軌

ISO/IEC 27018是全世界第一個針對雲端服務提供商如何在公有雲上保護個人資料的國際標準，已順利通過ISO/IEC 27018的雲端服務提供商，可以宣告基於此國際標準的要求，對於雲端服務上個人資料的蒐集、處裡、利用或傳輸等，已經受到適當有效的安全保護。目前，已經通過驗證的雲端服務提供商，包括了微軟的Azure和Office 365、Amazon的AWS、Google、Dropbox、Box.com、香港的Ribose、日本的HDE和TKC、韓國的NAVER Business Platform Corp.等業者，期許台灣的雲端服務提供商，也能參考此一國際標準的要求，及早取得證書來和國際業界接軌。
(本文刊載於2017年2月號網管人雜誌)

[專欄] 導入ISO/IEC 27017 擴展安全控制措施至雲端之上

Wed, 15 Feb 2017 10:41:00 +0000

雲端運算可無限擴展延伸的特性，已吸引了眾多組織的採納和運用，但是從資訊安全的角度來看，無論是大型的跨國企業像是Amazon和Google，或是單一國家或地區的中小型公司，包括雲端服務提供商和客戶雙方，都需要一套適合且有效的方式去管控基於雲端服務的資料和系統安全。

依據2016年11月由雲端安全聯盟和EY China所聯合發表針對金融服務產業的研究報告指出，百分之47.9的金融服務組織目前正在規劃和雲端有關的策略，但也有百分之54.2的組織指出，目前內部尚未針對雲端服務的資料安全定義需要遵循的法規。另外，百分之37.5的受訪者認為目前最大的雲端威脅，來自於管理階層缺少雲端安全管理的領導力，其主要原因是管理階層對於雲端安全的規範缺少了解和重視。

關於雲端服務的資安管理，除了可參考廣泛適用的ISO/IEC 27001標準之外，在國際標準方面，ISO/IEC 27017提供了ISO 27002與雲端相關的控制措施實施指引，更提供了針對雲端服務的額外安全控制措施。ISO/IEC 27017標準適用於所有類型和規模大小的組織，無論是自建的雲端服務或是透過購買所獲得的雲端服務，以及雲端服務提供商本身，皆可透過此一標準的指引，強化所提供或所使用的雲端服務的安全。

導入ISO/IEC 27017所帶來的優勢

根據研究調查指出，有五成的組織其實不太清楚他們所採用的雲端服務提供商，到底是如何去監控和保護其雲端上的相關資料。雲端服務某種程度上其實是一種委外關係，好的商業關係來自於所提供服務的透明性，讓兩造雙方有足夠的理解和信任，讓彼此能夠各取所需，而ISO/IEC 27017能夠幫助雙方清楚地定義雲端服務提供商和雲端服務客戶之間的責任，避免可能在服務過程中所產生的歧見，導致服務的窒礙難行。

一般而言，藉由導入ISO/IEC 27017標準，對於雲端服務提供商和使用服務的客戶所帶來的好處包括了：

增加客戶對服務的信任度：對客戶和利害關係人提供更多的保障，特別是針對資料的保護，雲端服務客戶可以要求雲端服務提供商提供安全功能及其說明，以確認是否符合使用者的安全需求與期望。

強化市場的競爭力：雲端服務提供商可針對雲端服務的資料安全，展現強而有力的控制措施。

保護品牌和商譽：降低可能因為使用雲端服務發生資料外洩事件，導致對於組織商譽的傷害和品牌的影響。

強化組織安全和減少風險：藉由使用雲端服務提供商所提供的安全功能，雲端服務客戶可以間接強化其系統或服務的安全性，並且確保所識別出來的風險，已經受到適當地管理，降低可能影響組織營運的衝擊。

擴展業務的商機：雲端服務並沒有疆域的限制，在全球的市場，雲端服務提供商都可藉此展現標準化的資安管控機制，以滿足不同國家的雲端服務客戶需求。

雲端服務專屬的控制措施

ISO/IEC 27017標準除了引用37個來自於ISO/IEC 27002的控制措施，並且還額外提供了7個專門針對雲端服務的安全控制措施，以下是這些專屬控制措施的簡要說明。

CLD.6.3.1 在雲端運算環境內共享的角色和責任
針對內部組織的管理，ISO/IEC 27017增加了「CLD.6.3.1 在雲端運算環境內共享的角色和責任」這項控制措施，主要是為了釐清在雲端服務中，雲端服務供應商和雲端服務客戶雙方的責任。在過去，對許多採用廠商所提供服務的客戶而言，往往會認為相關的安全責任，在支付了費用之後，應該都要由廠商來處理和負責。但事實上，由於雲端服務的共享特性，對於使用雲端服務的客戶而言，自己也具有一定的安全責任。

以這項控制措施為例，對於雲端服務提供商的要求為應透過書面化的協議方式，載明在提供服務的過程和雲端中，所參與的各方之角色與責任，包括了服務提供商、服務提供商所採用的軟硬體供應商，以及使用雲端服務之客戶等。同時，如果屬於跨國提供的雲端服務，也需要主動告知客戶有關其資料可能儲存的國家或地理位置。

站在雲端服務客戶的角度來看，雲端服務其實也是內部資訊服務的延伸，所以此一控制措施要求雲端服務客戶需要評估現有的資安政策和程序是否同樣可適用於雲端服務，同時還需要了解雲端服務提供商能提供的支援和連繫方式，並且識別和提供或使用雲端服務時有關的權責機關，像是目的事業主管機關或地方政府的主管單位等。

CLD.8.1.5 雲端服務客戶資產的移除
許多雲端服務的使用者擔心，一旦結束服務服務的合約之後，相關資料的歸屬該如何去認定？從標準的控制措施要求來看，在資產管理方面，服務提供商除了以資產清冊來載明雲端服務的客戶資料和透過雲端服務所獲取的資料外，也需要在服務協議中說明一旦合約中止時，客戶資產的返還和移除方式。相對地，雲端服務的客戶一開始也需要以文件化的方式，要求服務提供商敘述在終止服務時的作業流程，清楚了解有關資訊資產後續的處理方式。

CLD.9.5.1虛擬運算環境的區隔
在雲端服務的環境中，雲端服務提供商採用虛擬化技術，來達成快速且彈性的虛擬主機、應用程式、網路架構及儲存空間等服務，已是非常普遍的運作方式。在虛擬化的環境之中，雲端服務提供商有點類似房東的角色，所有的雲端客戶是以承租戶的方式來共享資源，因此在虛擬環境的配置和資料保護方面，這項控制措施的要求，目的是為了在多重租戶的環境中，適當區隔不同的雲端服務客戶所使用的資源，並且也要和雲端服務提供商本身的管理環境相互區隔，以達成彼此互不干擾，資料不會發生意外共享的情況，保護和區分客戶所使用的虛擬環境。

CLD.9.5.2 虛擬機器的強化
同樣和虛擬化技術的運用有關，這項控制措施是要求在設置虛擬主機時，雲端服務客戶和雲端服務提供商都應該確認所採用虛擬主機的安全性，透過實施適當的技術來強化所使用的虛擬機器的安全，其重點包括了評估需要使用的通訊埠、通訊協定及啟用的服務，以及虛擬主機本身是否具備防範惡意程式的軟體，並提供相關安全性事件和系統日誌記錄等，這些都可以強化虛擬主機運作時的安全。

CLD.12.1.5 管理者的操作安全
在雲端服務的運作程序和責任方面，為了建立雲端環境中可管理的機制，降低因運作或操作失誤所帶來的風險，這項控制措施要求雲端服務客戶需要了解在雲端環境中操作失效可能造成的影響，事先以文件化方式建立關鍵的操作程序，包括了如何安裝、變更和刪除虛擬機器，一旦不使用雲端服務時的中止程序，以及資料的備份和回存方式等。相對地對雲端服務提供商來說，就需要因應客戶的要求，適時且充分的提供有關雲端服務的操作和作業程序文件給客戶參考使用。

CLD.12.4.5 雲端服務的監視
為了強化服務的透明性，增加服務雙方的信任，這項控制措施要求雲端服務提供商需要提供日誌存錄的功能給客戶，讓客戶有能力監控其雲端服務的運作，包括了監視和偵測雲端服務是否會作為攻擊他人的平台，或是敏感資料可能從雲端服務上外洩，這項能力同時也需要考量到在共享的雲端環境中，應限制每個客戶只能存取其自身的雲端服務資訊，並提供客戶有關服務監視功能的操作程序文件。換句話說，雲端服務客戶也應該要求雲端服務提供商，提供所需的每一個雲端服務的監視功能資訊。

CLD.13.1.4 虛擬和實體網路安全管理的一致性
針對網路管理的安全要求，考量到雲端環境中大量運作虛擬化技術來架構所提供的應用服務，這項控制措施要求雲端服務提供商應以文件化方式來定義有關虛擬網路的安全政策，並且要和實體網路的安全管理維持一致性。這也就是說，服務提供商需要確認不管是採用了何種虛擬網路的技術，其網路組態和設定都需要與既定的資訊安全政策相符，才能有效管制雲端服務的網路安全。

將安全控制措施延伸至雲端

就個人訪談並稽核許多組織的經驗，有資訊人員相當熱烈擁抱雲端服務，但也有管理階層對於雲端服務還是一直裹足不前，事實上雲端服務本身並不是洪水猛獸，許多的安全風險不是來自於雲端服務本身，而是對於服務的不了解而無法採取適當的管理作為。在這種情況下，參考國際標準的管理要求就是最佳的實務做法，組織可以將現有的安全控管機制，逐步地延伸到雲端之上，讓雲端運算的技術和服務成為組織的助力，所以請試著往前走，從了解標準的內容開始，作為迎向雲端未來的第一步。
(本文刊載於2017年1月號網管人雜誌)

[專欄] 評估雲端服務安全性就從認識國際標準開始

Wed, 18 Jan 2017 16:06:00 +0000

隨著雲端服務的應用愈來愈普及，到底該如何評估雲端服務的安全性？這時服務提供商是否取得了相關的國際認證，就成為重要的參考指標。

時至今日，有許多的政府單位和企業組織已逐漸地採用各式各樣的雲端服務，例如：雲端上的郵件服務、儲存空間、應用軟體及虛擬主機等。在採用雲端服務的效益方面，對於使用雲端服務已經數年的組織而言，都相當地肯定雲端服務的確為組織強化了資訊服務可用性、降低了營運成本，以及帶來高度彈性可擴充的能力。

根據Crowd Research Partners最新發佈的2016雲端安全研究報告指出，在受訪者中有91%的組織對於雲端服務的安全性仍是相當關注的，也就是說，目前影響組織採用雲端服務主要障礙，還是來自於安全的疑慮、擔心資料遺失或外洩風險，以及需合乎相關法令法規的要求等。但對資訊人員而言，調查顯示最頭痛的問題則是如何確認雲端服務的安全政策與組織的要求一致、如何了解基礎設施的可見度，以及確保雲端服務能夠和既有的資安法規和標準要求接軌等三項議題。

事實上，雲端安全的相關議題的確突顯了現今的雲端服務，無論是站在使用者的角度要選擇安全可靠的服務提供商，或是站在服務提供商的角度來確保雲端服務的安全性，都迫切需要找到一個彼此認可且具有公正性、代表性的指標，才能作為評估的基礎，而參考雲端安全相關的國際標準，就成為一個最佳的解決方案。

選擇最適用的雲端國際標準目前和雲端安全有關的認證和國際標準主要有三個，分別是CSA STAR認證、ISO /IEC 27017和ISO/IEC 27018，以下分別簡要地說明標準的特性和其適用的驗證對象。

圖1 雲端安全三大國際標準之適用對象

CSA STAR
CSA STAR認證是在2013年底由雲端安全聯盟(CSA)和英國標準協會(BSI)，共同宣佈針對雲端服務提供商所實施的國際認證，這項認證是基於通過ISO/IEC 27001資訊安全管理系統(ISMS)的要求，並且再藉由實施雲端控制矩陣(CCM)的控制措施，以成熟度的方式來評估雲端服務提供商的安全水準，藉此來突顯組織可能需要持續改善的區域，並且確保標準的符合性，不會成為組織對於資安的最低要求。有關取得CSA STAR認證的必要條件和評估方式，可參考先前的「展現雲端服務的安全成熟度-及早取得STAR認證」一文。

ISO/IEC 27017
ISO/IEC 27017是由ISO組織在2015年12月15日正式公布的雲端安全國際標準，基本上它仍採用ISO/IEC 27001附錄A所要求的控制措施，不過針對雲端安全的部份，它也要求強化了對於雲端服務相關人員的職責區隔、虛擬環境的隔離、虛擬主機的強化、虛擬網路的管理，以及系統管理者的操作安全和雲端服務的監控機制等。

基本上，ISO/IEC 27017不是一個獨立可驗證的標準，而是必須以ISO/IEC 27001做為基礎，在雲端服務的範圍內先取得ISO/IEC 27001證書後，再經由第三方的稽核驗證來證明組織同樣也實施遵循了ISO/IEC 27017有關雲端安全的要求。

ISO/IEC 27017使用了延伸自ISO/IEC 27001的37個控制措施，並且再加上7個增項的控制措施，在標準中特別強調在雲端服務中，客戶和提供商各自需要負起的安全責任。以ISO/IEC 27001附錄A中「A.6.1.1 資訊安全之角色及責任」為例，在ISO/IEC 27017中針對雲端服務使用者的要求是「雲端服務客戶應以書面化的協議載明雙方於雲端運算環境內的資訊安全角色及責任，並且應識別和管理雲端服務提供商的客戶支援和關懷功能」。而針對雲端服務提供商方面，則是要求「雲端服務提供商應和雲端服務客戶、本身服務的提供商、和它的供應者以書面化的協議載明各自於雲端運算環境內的資訊安全角色及責任。」

另外，以「CLD 12.4.5 雲端服務的監視」增項的控制措施為例，對雲端服務使用者的要求是「雲端服務客戶應向雲端服務提供商要求每一個雲端服務的監視功能資訊」。而針對雲端服務提供商方面，則是要求「雲端服務提供商應提供日誌存錄的功能給客戶；應讓客戶能監視其雲端服務的運作，例如: 監視和偵測雲端服務是否作為攻擊他人的平台，或是敏感資料從雲端服務上外洩；適當的存取控制應保全監視功能的使用，讓每個客戶只能存取自身雲端服務的資訊；應提供雲端服務客戶服務監視功能的文件；監視應提供與A.12.4.1事件日誌一致的資訊和支持SLA條款。」

ISO/IEC 27018
ISO/IEC 27018是在2014年正式公佈，也是第一個為公有雲上的個人資料保護，所提供可驗證的國際標準，對服務提供商而言，可以作為雲端個資管理的作業規範，實施其所要求的控制措施，藉此消除使用者對雲端服務處理個資的不信任感，也可解決其所關切的個資保護相關議題。

ISO/IEC 27018採用了延伸自ISO/IEC 27001的16個控制措施，並且再加上25個延伸自ISO/IEC 29100隱私保護框架的控制措施，在標準中特別規範了在公有雲環境的個人可識別資訊的處理者，依據相關協議或合約要求處理個人資料時應遵循的作業要求。ISO/IEC 27018主要的目的就是為了要協助雲端服務使用者和提供商之間的協議契約化，要求服務提供商確實遵守法規和合約的要求，使雲端服務的相關事項更加透明，以達成公有雲上個資保護的目標。

ISO/IEC 27018本身的獨特性在於讓服務提供商在提供雲端服務前，就能夠在合約或協議中透明地呈現其所提供的雲端服務，有關個人資料保護的機制，例如：清楚說明處理個人資料的目的、個資留存的期間、委外作業處理的方式，以及所實施的隱私保護措施等。而在提供雲端服務的期間，也讓使用者有能力可控制自身的資料，同時依據合約要求不會將個資用於行銷用途，並且記錄任何對於使用者個人資料的異動，主動將這些異動資訊提供給使用者確認。萬一真的發生相關的資料外洩或需揭露資料給第三方時，提供及時通知的機制，並且記錄任何來自於主管機關或法院要求，依法定義務或責任需揭露的個人資料。

圖2 雲端安全國際標準驗證方案與準則

ISO/IEC 27001仍是雲端安全的基礎

目前，這三個雲端服務國際標準，驗證的前提是要先取得ISO/IEC 27001的認證，並且涵蓋所使用或所提供雲端服務的範圍。三個標準的主要差異在於，CSA STAR的驗證對象是雲端服務提供商，確認其有足夠的能力來管理雲端服務的資訊安全，而ISO/IEC 27017的驗證對象則不限，適用於各行各業包括雲端服務的使用者和提供商，都可以藉由導入這個標準的要求，來強化雲端服務的控制措施，達到風險管理的目標。最後，ISO/IEC 27018的驗證對象則是公有雲雲端服務的提供商，目的是要強化公有雲上的個人資料管理與隱私保護，以確保使用者利用雲端服務所處理的個人資料，都能獲得適當的安全控管。

所以，從雲端服務使用者的角度而言，除了自己可以導入ISO/IEC 27017雲端服務的安全控制措施之外，在選擇雲端服務提供商的時候，也可以將是否已取得CSA STAR、ISO/IEC 27017和ISO/IEC 27018認證的廠商，作為最佳的評選依據。而從雲端服務提供商的角度來看，主動積極地取得雲端服務國際標準的認證，對於取得使用者的信任，以及強化市場的競爭力，都會產生大大加分的效果，實務上也可以讓服務本身的資安管理機制正式和國際接軌，以滿足不同國家使用者的資安要求。
(本文刊載於2016年11月號網管人雜誌)

[新知] 智慧城市國際標準 - PAS 181簡介

Wed, 17 Aug 2016 08:55:00 +0000

PAS 181是由英國標準協會(bsi)所撰寫的標準，其中所提出的智慧城市框架(Smart City Framework；SCF)，它提供了實務可用的建議，並且廣泛地反映來自於公部門、私人企業與自願投入者所在領域的最佳實務，主要是為了讓智慧城市的發起人，以及各個部門與層級的領導者，作為建立智慧城市計畫時的參考指南，藉此以促進整個智慧城市的推動。

智慧城市的定義

PAS 181對智慧城市的定義為：「一個有效整合環境中實體、數位與人類的系統，為市民提供一個可持續發展、繁榮、包容性的環境。」

在發展智慧城市的過程中，必須有一個明確的指導方針和策略藍圖，才不會迷失方向。因此，PAS 181提供一個智慧城市框架，作為智慧城市的頂層設計指南，提供給城市管理者參考，它是一個可以被城市管理者與不同部門使用的智慧城市設計指南，主要分為四個部份：「指導方針」、「14個關鍵的城市治理與實施流程」、「效益實現策略」及「關鍵成功要素」。

智慧城市發展的重要關鍵

為了幫助發展成為一個智慧城市，PAS 181所提到的智慧城市框架，除了提供實務可用的建議之外，更能作為一個城市的未來發展基礎，它透過「營運管理」、「以市民為中心的服務管理」、「科技與數位資產管理」等三大面向，促進整個智慧城市的推動，以下幾點是推動智慧城市發展時的重要關鍵。

確保城市資料的開放性和可用性，以便讓更多人能容易參與並活用城市的開放資源。
結合城市管理者和市民的力量，可更有效地管理城市重要的數位資產。
藉由不同利害關係人的角色來引領創新，在技術層級方面發展開放資料平台，而在商業層級方面採用適當的商業模式來繁榮市場，擴大更多的城市商機發展。
提供市民和產業界更多管道的公眾服務，從使用者的需求出發，建立整合的商業和資訊基礎架構，提供不同特定族群，例如通勤者、年長者、行動不便人士和弱勢家庭可享用的城市服務。
編列整體和彈性的預算，專注在創造價值而非營收，從城市治理和管理的角度，評估未來城市可能的改變。

基本上，一個城市的興起發展，可能會依據當地自有的特色，發展成為具有特定樣貌的城市型態，只是傳統的城市運作方式，主要是以單一功能為導向，難以做到各項功能流程的整合，以滿足城市的成長與市民的需求。

以英國為例，隨著智慧城市的推動，同時也面臨了許多重大的挑戰，像是地方政府在傳統上會依照各個特色趨向(如教育、交通、醫療等)去發展一個城市，但對PAS 181的智慧城市框架而言，除了基於基礎設施與民眾需求的發展，還需要將各個面向的推動做法再整合起來，以回應未來智慧城市的更多挑戰。

所以，PAS 181的智慧城市框架並不是採取一體適用的方式，想要將所有城市發展成為單一型態，相反地，它更專注在以創新方式運用科技和資料，以流程化、組織化的方式去幫助未來可能擁有各種不同樣貌的城市，並且採取更有效率、永續經營的方式，去推動並成就一個屬於全體市民的智慧城市的未來。

[新知] ISO 27017 雲端安全國際標準已正式發布

Thu, 17 Dec 2015 16:27:00 +0000

ISO 27017 (Code of practice for information security controls based on ISO/IEC 27002 for cloud services) 已正式由ISO組織在2015年12月15日公布。

ISO 27017基本上是採用ISO 27002的控制措施，不過針對雲端安全的部份，它也要求強化了對於雲端服務相關人員的職責區隔、虛擬環境的隔離、虛擬主機的強化和虛擬網路的管理，以及系統管理者的操作安全和雲端服務的監控機制等。

基本上，ISO 27017不是一個獨立可驗證的標準，而是必須以ISO 27001做為基礎，再經由第三方驗證來證明組織同樣也遵循了ISO 27017的要求。

目前，已率先取得ISO 27017證書的是Amazon，包括其位於世界各地的資料中心和所提供的30多項雲端服務，都在驗證評估的範圍內，可說是業界的榜樣了。

[專欄] 捍衛網路安全 - 美國白宮網路安全框架 (NIST Cybersecurity Framework) 導覽

Sun, 16 Nov 2014 13:18:00 +0000

對於政府單位或民間企業而言，面對日益增加且來自世界各地的網路攻擊事件，如果沒有一套有效的因應方案，重則會對國家經濟與民生問題造成嚴重打擊，輕則會對企業生產營運產生不必要的損失與影響。

在2014年2月，美國政府正式提出了一項可強化資訊安全的網路安全框架 (NIST Cybersecurity Framework)，它主要是來自於2013年美國總統歐巴馬所頒佈的總統執行命令，要求必須著手改善有關網路安全的重要基礎設施。這項框架不但透過了政府部門與民間產業的攜手合作，利用一年的時間來彼此交流各項最佳實務，更結合了國際上有關資訊安全的標準與作法，除了可以協助已導入其他標準的組織最佳化其安全實務之外，更可提供缺少安全計畫的企業，一項可以完整實施的參考藍圖。

網路安全框架是一項自願性的參與計畫，主要是希望美國聯邦機構和地方政府，同時也包括電力、運輸等重要的基礎產業，能夠強化自身的網路安全，以避免受到來自網路的重大威脅，並且結合了業界標準與最佳實務，幫助企業組織能夠有效地管理網路安全風險。此一框架並非要取代組織中現有的資訊安全與風險管理架構，而是希望能夠與現有的流程結合並互補，以便組織能夠持續地改善以達到更高的安全目標。

網路安全框架的架構與組成

網路安全框架主要有三項組成的元件，分別說明如下：

框架核心(Framework Core)：針對關鍵基礎設施共通的安全問題，它具有一系列的網路安全活動和參考實施作法，網路安全活動可區分為五個功能，分別是識別(Identify)、保護(Protect)、偵測(Detect)、回應(Respond)、及復原(Recover)，能夠協助組織管理安全風險，並提供高層良好的視野。在每個功能之中，又可以向下展開為各項活動分類，例如在保護功能中，就包括了存取控制(Access Control)、認知與訓練(Awareness and Training)、資料安全(Data Security)、資訊保護流程與程序(Information Protection Processes and Procedures)、維護(Maintenance)及保護的技術(Protective Technology)六項分類。在每項分類中，又可更細分出各項可採行的資安措施與安全活動，以便落實在關鍵的基礎設施之中，同時還提供了許多參考資訊，可以對應到國際共通的標準與指引。
組織側寫(Profiles)：透過組織側寫能夠描繪出組織的網路安全活動，使其和本身的業務營運要求、風險容忍度、所需要的資源能夠趨於一致。企業也能夠藉由此一組織側寫來了解其網路安全的現況、支援活動的優先順序，以及達到目標理想狀況所需要採取的措施。透過現況與目標理想狀況的比較，就可以進行差異分析，使組織可以決定改善安全現況所需的資源與實施順序。
實施層級(Tiers)：實施層級為組織提供了一種途徑，能夠檢視其網路風險的方法和流程，實施層級的範圍從部份實施(Tier 1)、察覺風險(Tier 2)、察覺風險且重複評估(Tier 3)，到完全適合並實施(Tier 4)共區分為四個等級。藉由檢視實施層級來嚴格地描述網路安全的風險管理，了解安全工作是否依據了業務需求，並且已經整合至組織整體的風險管理實務之中。

網路安全框架核心組成 (資料來源：Cybersecurity Framework)

實施與建立網路安全框架

對企業組織而言，想要建立並實施網路安全框架，由上而下至少需要經過最高管理層、業務流程層和實施運作層等三個階層的互相合作。一開始，最高管理層需要與業務流程層的相關人員進行溝通，以確認任務的優先順序、風險偏好及所需的預算。業務流程層再依據最高管理層的決定，進行組織框架的側寫，將現況與目標理想的差距告知實施運作層，實施運作層的相關人員則可藉此來訂定行動計畫，針對所有風險來源的資產、威脅與弱點，實施所需要的改變與控制措施，並將實行的結果回報給業務流程層，業務流程層再將實施之後的變化與可能仍未消除的風險向最高管理層報告，以便制定下一階段的風險管理要求與決定。

組織的資訊與決策流程概念 (資料來源：Cybersecurity Framework)

因此，組織在制定一項新的網路安全計畫或是針對現有的計畫進行改善時，建議可以參考以下的步驟來進行，並且還需要重複地實施以不斷地改善強化組織的資訊安全。

步驟一：決定優先順序與範圍組織應了解其業務目標和最高管理層對於風險管理的期待，藉此才能夠制定因應資訊安全的策略和決定實施的範圍。在決定範圍時，需要考量的是有哪些資產和資訊系統是和業務流程有關的，在導入網路安全框架與實施計畫時，也可因應不同業務流程的需要與風險的高低，決定所需要採取的整體做法與個別的控制措施。

步驟二：確認目標與方向一旦組織依據其業務流程決定了網路安全實施計畫的範圍之後，組織就可以識別其相關的資產和系統、法律法規的要求及整體的風險管理做法。接下來即可針對這些資產和系統，識別其可能存在的威脅與弱點，以確認實施計畫的目標與方向。

步驟三：建立組織現況的側寫組織可以參考網路安全框架核心中所明列的安全活動，以及每個活動中的功能和分類，來剖析組織目前的安全現況。

步驟四：實施風險評鑑組織可以藉由整體風險管理過程的引導，針對業務運作的環境進行分析，以了解資安事件發生的可能性和其可能帶來的衝擊，在這個過程中必須充分考量風險中的各項威脅與弱點資料，才可促進組織對於資安事件的可能性與衝擊能夠有充分的掌握。

步驟五：建立理想目標的側寫組織同樣可以參考網路安全框架核心中的安全活動，以及每個活動中的功能和分類，來建立理想的安全狀態與目標，藉由與組織現況的側寫的相互比較，就可以了解其中差距，以便採取必要的改善行動。除了參照網路安全框架之外，組織也可以考量來自外部利害關係人如客戶、商業夥伴對於資訊安全的期望，將其一併納入未來的目標之中。

步驟六：針對差距進行分析及確認優先順序組織針對現況和理想目標進行比較之後，即可得知其安全差距，為了消除安全差距，接下來就是要制定一項可行的行動計畫，在計畫之中，必須針對成本、效益以及達成的風險結果進行分析，以便決定行動的優先順序和所需要的資源，同時也可藉此一計畫讓管理階層明白相關的安全活動，以獲得有效改善與達到目標的各項支持。

步驟七：實施行動計畫一旦建立行動計畫之後，就需要依據其內容來逐步實施，在過程之中，除了可參考網路安全框架核心中所明列的安全活動和分類之外，組織也能決定還需要搭配哪些國際標準、安全準則和最佳實務做法，以便符合其實際的需要並且達到更好的效果。最後，針對行動計畫的實施過程，還必須持續地加以監控，以確認達成預期的目標。

如何因應日新月異的安全風險

透過以上的實施步驟，組織就可以依據其需要，不斷地重複進行分析與改善其資訊安全，在這個過程中，最高管理層所關注的是組織的整體風險，業務流程層則關注與其有關的關鍵基礎設施，再交由實施運作層的人員來執行改善的行動計畫。基本上，無論組織的規模大小與風險等級，只要運用此一網路安全框架就可以改善資訊安全的現況，並且能夠管理關鍵基礎設施所面臨的安全風險，更由於此一網路安全框架參考了國際認可的安全標準，因此也同樣適用於美國以外的其他地區，可成為一項國際通用的安全準則。

對組織而言，今日的資安風險是多變且多樣化存在的，並沒有一項單一的作法，可以因應所有的安全問題，因此，組織必須持續地以文件化和風險管理方式來更新改善，以確保關鍵基礎設施可能面臨的各項新的風險，都能夠即時動態地被有效管理因應，以降低對組織可能造成的損失與衝擊。如果您的組織還缺少一套足以因應網路風險的管理作法，網路安全框架是相當適合用來作為改善資訊安全的基礎藍圖。(本文刊載於2014年4月號網管人雜誌)

[活動] BSI年會 - 雲端安全STAR認證正式開跑

Tue, 12 Nov 2013 14:30:00 +0000

今天參加了連續第十年舉辦的英國標準協會(BSI)年會，現場依舊是人潮滿滿、座無虛席。本次年會的重點在於說明有關ISO 27001:2013的更新內容，以及BSI與雲端安全聯盟(CSA)所合作推動的STAR認證。

ISO 27001的更新，基本上和FDIS的內容差不多，所以我就不多說了，目前BSI也已經開始提供新版的訓練課程，至於轉版課程可能還要再等等。對我而言，最讓我感到有興趣的，其實是BSI對於雲端安全成熟度的評估方法，這將會決定想要取得STAR認證的雲端服務供應商，如何獲得其績效得分與獎牌。

關於STAR認證

在2013年9月25日，CSA和BSI正式宣布推出STAR認證(STAR Certification)，這項認證結合了ISO 27001管理系統標準的要求，藉由實施雲端控制矩陣(Cloud Control Matrix；CCM)，再以成熟度評估的方式來量測雲端服務的安全水準。

對雲端服務供應商來說，想要取得STAR認證，需要具備以下三個條件：
1. 已取得ISO 27001認證
2. 導入CCM的安全控制要求
3. 已達到成熟度評估的水準

因此，雲端服務供應商必須確認其所提供的雲端服務，已在ISO 27001認證的範圍之內，然後實施CCM的安全控制要求，以CCM v1.4而言，它涵蓋了法規遵循、資料治理、設施及場所安全、人力資源安全、資訊安全、法律議題、營運管理、風險管理、發行管理、回復能力和安全架構等11項控制領域，其中包括了98個安全控制措施，這些控制措施都可參照ISO 27001本文和附錄A的內容，彼此達到互補的功能。

關於雲端安全成熟度

如果組織對自己的雲端安全管理有信心，接下來就可以請BSI來實施獨立的第三方驗證，BSI將以成熟度評估方式，針對CCM的11項控制領域，分別依據以下五個管理能力來進行評分:

溝通和利害關係人的參與
政策、計劃、程序及系統化方法
技巧和專業能力
負責態度、領導能力和管理
監控與量測

針對每一個控制領域，BSI都會依據5個管理能力進行成熟度量測和評分，以「政策、計劃、程序及系統化方法」的管理能力為例，其評分的準則如下。

無正式實施方法(1-3分) : 指沒有證據顯示在營運和管理方面，針對服務的存取、身分識別、權限的指派已有相關的作業程序。

被動式實施方法(4-6分) : 指證據僅顯示在營運和作業流程方面，每當作業方式變更時，相關文件化的程序才會隨之改變。

主動式實施方法(7-9分) : 指組織已採取文件化的計畫方式，並涵蓋了所有控制領域。

持續改進實施方法(10-12分) : 指有證據顯示針對營運持續議題，以及可能的安全事件，加以識別並且實施了風險分析。

最佳化實施方法(13-15分) : 所有的政策、作業程序及計畫發展，皆與營運策略維持一致。

最後，每一個控制領域的得分會加以平均，若平均得分為3~6分，可取得銅牌；6~9分則為銀牌；9分以上則可獲得金牌。一旦獲得了STAR的獎牌，雲端服務供應商就可展現給客戶，以達到市場的區隔並建立口碑。

根據BSI表示，目前全球已有三個組織正式取得了STAR認證，英國兩家為惠普(HP)與脈動(Pulsant)，亞洲一家是阿里巴巴，三家都取得了銀牌。預計在2014年第二季，台灣預計也會有2~3家取得這項認證。所以，雲端服務供應商可藉由STAR認證來展現自己的安全成熟度，以贏得客戶的信心；而消費者也多了一項管道，可以得知所選擇的服務廠商，是否有足夠的能量來確保資訊安全，這對雙方來說的確是一項福音。

資料來源 : CSA官方網站、BSI英國標準協會

[專欄] 評估雲端服務的安全性 - 雲端安全開放認證架構簡介

Thu, 12 Sep 2013 13:09:00 +0000

隨著雲端服務的迅速發展，無論是SaaS、PaaS、IaaS服務，各種雲端服務供應商都提供了消費者方便彈性、隨需可用的雲端服務，只是在眾多服務的背後，您是否了解廠商對於資安控管和安全責任的要求？是否可以安心地採用雲端服務呢？

面對如雨後春筍般出現的雲端服務，身為想要採用雲端服務的消費者，到底應該如何選擇一個可靠安全的雲端服務供應商？事實上並不容易。對消費者而言，公有的雲端服務，其實就是一種外包服務，消費者對於廠商的了解，可能來自於品牌印象、其他人的推薦，或是來自於媒體中刊登的廣告，對於價格或服務的內容，或許可以有所了解，但是對於廠商的資料保護能力、服務運作能力，以及資訊安全的管理要求和實施情況呢？或許心中仍然存在著許多的問號。

基本上，由於雲端服務本身有著跨越國境和許多用戶同時租用的特性，而且各項行業依照其產業所屬性質的不同，都有其所需要特別遵守的法律法規，再加上各個雲端服務供應商對於資安要求的程度不一，因此目前仍然缺乏一個統一的標準，也很難有一個容易實施的方法來進行安全性的評估。

雖然有些業者強調，已經導入了資訊安全管理標準ISO 27001的安全控管要求，但是其驗證的範圍是否包含了雲端服務？針對雲端服務實施了哪些安全的控制措施，整體的資訊安全水準如何？似乎缺少了一個更透明化的方式，可以讓廣大的消費者得知，並且可以作為選擇雲端服務供應商的參考。

雲端安全開放認證架構簡介

對於以上所提到種種與安全有關的問題，雲端安全聯盟(CSA)已認知到很難有一個單一的安全認證，就可以含括所有服務供應商的安全需求，但是業界又很確切需要有一種公開且可受公評的方式，讓服務供應商可以自我揭露其安全水準，同時也讓消費者獲得可以參考的依據。

因此，在2012年的雲端安全會議中，雲端安全聯盟基於各項受到產業認可的安全控制目標，提出了雲端安全開放認證架構(Open Certification Framework；OCF)，可用來作為評估雲端服務供應商的安全認證。OCF是基於雲端安全聯盟對於治理、風險和法規遵循(Governance, Risk and Compliance Stack)的研究專案，所發展出來的可信賴雲端服務認證安全架構，它能夠廣泛地支援多個層次且來自於不同供應商和消費者的安全需求。

雲端安全開放認證架構提供了一個可彈性應用的方案，透過三個漸進式的發展層次，從自我評估到外部評鑑的實施，最終的目標是希望能夠持續地監控，以確保各項安全控制措施的有效性，並且也能不斷地改善，以滿足使用者的安全需求。雲端安全聯盟指出，服務供應商藉由實現了雲端安全開放認證架構的安全控制，將可以達成以下目標：

讓雲端服務供應商可以因應各項產業標準和法規的要求，並且採取業界認同的雲端安全最佳實務，同時更期許經由政府機關的率先導入，為公眾使用的雲端服務，指出了一個明確可行的安全認證要求與方向。

提供了明確的安全指引和工具，像是整合了ISO 27001的雲端控制矩陣 (Cloud Controls Matrix；CCM)，讓雲端服務供應商更易於滿足多項標準的安全要求。CCM是雲端安全聯盟設計用來作為評估雲端安全的基礎，也是引導服務供應商採用業界的最佳實務作法，除了可以確保其雲端服務的安全，同時也能協助雲端服務的消費者，藉此來選擇符合其安全要求的雲端服務供應商。CCM的控制措施和CSA雲端安全關鍵指南中的13項安全領域要求是一致的，並且融合了其他業界常見的安全標準，例如 HITRUST CSF、ISO 27001/27002、ISACA COBIT、PCI、HIPAA和NIST等，也呼應了服務型組織對其內部稽核控制的安全要求，預期將可減少組織同時適用各項法規時，所需要面對的重覆稽核問題。

雲端安全開放認證架構可作為一項受到業界認可的體制，它能夠支援ISO標準、美國會計師協會(AICPA)和其他相關安全認證架構，簡化並減少需要重覆進行各項安全認證的要求。

開放認證架構的評鑑方式

雲端安全開放認證架構是一個三層式的架構，從它的底層出發愈往上走，就愈能透明化的展現雲端服務供應商的安全控管方式，並且讓消費者獲得更高的安全保證，評鑑的實施方式說明如下。

第一層STAR自我評鑑 (The STAR Self-Assessment)
在這一層次中，雲端服務供應商可以提交兩種類型的報告，一種是依據CSA STAR (Security, Trust & Assurance Registry；STAR)的自我評估問卷(Consensus Assessments Initiative Questionnaire；CAIQ)，描述各項已符合安全要求的作法與因應措施，然後將它傳送到CSA的註冊管理單位(STAR Registry)進行審查；另一種則是依據雲端控制矩陣中所要求的98項安全控制措施，逐條回答已經實施的作法與現況。

雲端服務供應商向STAR Registry所提交的自我評鑑報告，雲端安全聯盟會在其網站(https://cloudsecurityalliance.org/star/registry/)上提供已認可的註冊記錄，讓公眾可以直接查詢，這些記錄將可以協助雲端服務的消費者，了解並評估服務供應商的各項安全控制的作法，目前這項服務無論是註冊或查詢，都是可以免費進行的。

在這個評鑑階段中，由雲端安全聯盟所提供可免費下載的自我評估問卷(CAIQ)，提供了超過140項針對雲端服務供應商、消費者和雲端安全稽核人員可能想要了解的安全問題，服務供應商可以自行填答(Yes or No)並提出描述說明，透過自我揭露的各項安全作法，用來作為消費者在選擇雲端服務時，可評估安全風險的最佳參考資料。

服務供應商必須確保自我評鑑的更新週期，不得小於12個月，也就是說至少每年都需要重新自我評鑑一次，以確保各項安全控制措施的更新，能夠及時反應在評鑑的內容之中。如果沒有及時更新，雲端安全聯盟會將未更新的報告註記為不認同，如果超過一年六個月都還沒有更新的話，就會直接將這筆記錄從註冊資料庫中移除。

第二層 STAR認證-第三方獨立評鑑 (STAR Certification - Third Party Assessment)
在第二層的評鑑之中，雲端安全聯盟將會結合ISO 27001和雲端控制矩陣的安全控制措施要求，透過第三方驗證單位(目前配合的驗證單位是BSI英國標準協會)來實施獨立的安全查核，針對雲端系統的成熟度進行評分。這項安全查核將採用國際標準普遍應用的規劃、實施、檢查、改善行動(PDCA)原則，並依照雲端控制矩陣中對雲端系統的安全要求來進行，最後所獲得已量化的評分，即可作為管理階層進行評估改善的參考。

第三層基於認證的持續監控 (Continuous Monitoring based certification)
第三層是CSA STAR認證的延伸，目標是希望透過持續蒐集到的稽核證據，即時地監控雲端安全的控制，以期符合消費者的安全要求，此一階段的實施做法，目前則還在發展之中。

雲端安全開放認證的實施現況

目前，雲端安全開放認證架構仍處於先期的導入計畫階段，已經實施的是第一層的自我評鑑要求，已經獲得許多雲端服務供應商的響應參與。第二層的做法預計在2013年開始執行，至於第三層的持續監控要求，預計最晚會在2015年完成。

對雲端服務供應商而言，實施導入雲端安全開放認證架構的安全要求，不是為了追求另外一項認證，而是能夠具體的提供其雲端服務安全管理的證明，同時也確認自己有能力來因應可能發生的安全事件，能夠降低雲端服務的營運風險，建立消費者對於業者的信心。

至於對消費者來說，則是獲得了一個透明公開的管道，可以得知雲端服務供應商的安全管理要求與實際做法，評估是否與自身的安全需求能夠趨於一致，並且可以滿足組織的安全政策與要求。(本文刊載於2013年6月號網管人雜誌)

[Q&A] 什麼是安全港架構(Safe Harbor Framework)？

Mon, 09 May 2011 15:06:00 +0000

許多組織，在網站的資料收集和隱私權政策中(像是google的隱私權政策)，常會提到其遵守所謂的「安全港架構(Safe Harbor Framework)」，到底它是什麼架構？要遵循哪些事項？恐怕清楚知道的人就不多了。

根據維基百科的定義，安全港架構是一項法律的規定，可減少或消除當事人在法律的責任，但其要件是當事人的各項作為，必須能夠履行良好的誠信原則，或符合所定義的法規標準。此一安全港架構即是立法者制訂用來保護在合法或情有可原的違反情況下，或是鼓勵採取適當隱私保護作為的措施。

目前美國和歐盟及瑞士都有通過彼此認可的安全港架構，主要是因各國對於隱私和個人資訊保護所採取的措施皆不同，例如歐盟即禁止個人資訊傳輸至非歐盟的國家。

但是若透過安全港架構，歐盟的成員國就可允許美國傳送、儲存或使用歐盟成員國民的個人資訊，也就是將符合安全港原則的美國企業也視為符合其「資料保護命令(The European Commission’s Directive on Data Protection)」的標準。

同理，美國和瑞士的作法也是類似，以此作為一個彼此互信採認的橋樑，讓美國的企業或組織同樣可遵守瑞士的資料保護法(Swiss data protection law)。

想要符合美國和歐盟的安全港計劃，組織可以加入一項自我律定的隱私計劃，遵守美國和歐盟的安全港架構的要求，或是也可以制訂本身所監管的隱私政策，以符合美國和歐盟的安全港架構。

關於安全港的隱私原則，主要有以下幾項要求：

告知(Notice)
組織必須告知個人關於其資訊的蒐集和使用目的，組織也必須提供個人在有任何疑問時，如何與該組織連繫或投訴、向第三方揭露資訊的方式，以及組織所提供可用來限制使用和揭露的選擇。

選擇(Choice)
組織必須給予個人選擇(退出)，是否可將他們的個人資訊透露給第三方或用於不符合當初蒐集目的或隨後的授權。對於敏感資訊，也必須提供明確的選擇(加入)，是否將資訊透露給第三方，或使用在不符合當初的蒐集目的，或是個人隨後授權的目的之上。

Onward Transfer (Transfers to Third Parties) 轉出(轉讓給第三方)
要將資訊揭露給第三方，必須符合告知和選擇原則。同時組織若作為轉讓的代理人，必須確保第三方同樣遵守安全港隱私保護原則，例如訂立書面協議，要求第三方至少也要提供相同水準的隱私保護。

存取(Access)
個人擁有存取在組織中所持有個人資訊的權利，而且能夠要求更正、修改或刪除不正確的個人資訊，除非其將產生和個人隱私不相稱的風險或侵犯到其他人的權利。

安全(Security)
組織必須採取合理的預防措施，保護個人資訊不會遺失、濫用，和受到未經授權的存取、洩露、竄改和破壞。

資料完整性(Data integrity)
個人資訊必須使用於和蒐集相關的目的上，組織必須採取合理的步驟來確保資料的可靠性，以達成預期的使用、正確、完整及現行趨勢。

執法(Enforcement)
為了確保符合安全港原則，必須是(a)易於獲得的獨立申訴機制，使每個人的投訴和糾紛可進行調查和解決，提供適用於法律或隱私部門的損害賠償；(b)確認公司承諾遵守安全港原則的程序已被實施；(c)未遵守原則時，矯正所產生問題的義務，處罰措施必須夠嚴格，以確保組織遵守法規，組織若未能提出年度的自我認證書，將會被從參與者名單除名，組織遵守安全港的利益也無法被保證。

[參考資料]

[觀點] 評估個人資料保護機制與現況

Tue, 25 Jan 2011 03:23:00 +0000

個資法的施行細則，預計在今年6月左右公布，最快可能在2012年初施行，也就是說，無論公務機關或非公務機關，還有一年左右的因應時間，現在正是可以用來提前準備，並評估個人資料保護機制的最佳時機。

上一篇為大家說明了個資法中，對於蒐集、處理、利用個人資料的規範與要求，這部份主要著重在個人隱私的維護，例如：

在蒐集個人資料時要對當事人盡到告知的義務，說明蒐集的特定目的為何，將會使用在哪些用途上；
處理時則是要確保眾多的個人資料，經過內部新增、編輯、傳遞、儲存時的安全，避免受到未經授權的竄改，同時還要尊重當事人對於個人資料的自主權利，提供查詢、複製本和更正的服務；
在利用時則是要符合當初蒐集時的特定目的，若要作其他目的使用，除了有適當的法源依據或符合個資法的要件外，否則都必須要重新再取得當事人的書面同意才行。

所以，接下來就要說明個資法要求的另一項重點，也就是對於透過各種管道所蒐集的個人資料，如何盡到善良管理責任，並實施適當的安全措施。

當然，對非公務機關而言，所謂的適當的安全措施，未來將由目的事業主管機關來加以認定，也就是要依照主管機關所提出的個人資料保護指引準則，擬定個人資料檔案安全維護計劃，並且在發生事故時能夠舉證才行。

在這份個人資料保護指引尚未完備之前，我們可以提早準備的，就是思考對於個人資料應實施哪些安全機制，並且評估個人資料的安全現況，以便先打好基礎，再針對不足的地方加以改進，以避免法律實施時措手不及的情況發生。

思考個資保護安全機制

組織若想要建立個人資料的保護機制，建議可以從三方面來著手。

首先是「人員」，請思考一下，目前組織中的個人資料，大多是由誰蒐集而來，經由誰進行處理，再由誰進行利用，我相信你會發現，這些都和大多數員工脫離不了關係。

根據統計，大部份的資料外洩事件，都是來自於內部人員的作業疏失或刻意的偷竊行為。因此，針對人員的安全機制，主要都會落在教育訓練之上，透過加強人員對於個資保護的認知，了解其應盡的責任與守法義務，並且熟悉內部的個人資料蒐集、處理和利用的作業規範，來避免違反個資法的事件發生。

一般而言，教育訓練區分為兩種，一種是對於個資法的認知訓練，另一種則是資訊安全的防護宣導。

在個資認知訓練方面，必須要確保和個資蒐集、處理、利用有關的人員，都要熟知個資法的要求，例如蒐集個人資料必須要有特定目的，並且要盡到告知的義務。

在資訊安全宣導方面，則是要讓人員了解常見的資料外洩管道與攻擊手法，像是如何避免掉入社交工程的陷阱，避免透過私人郵件寄送個人資料檔案，以及避免使用USB隨身碟下載個人資料並攜出工作場所等。

其次是「流程」，我們必須檢視現行的資料作業流程，其中是否會涉及到個人資料的處理，如果是的話，那麼配套的安全措施是什麼？作業流程中，安全防護的強度到底夠不夠？

舉例來說，像是員工在業務工作上，是否可以任意影印含有個人資料的文件，是否有經過主管的授權，影印時是否使用浮水印的註記，廢棄時是否有適當的資料銷毀方式？

另外，含有個人資料的文件傳遞，是否指定專人處理，文件本身是否有保護措施，傳遞過程中是否有留下記錄。如果有員工對於這些流程的安全控管要求不清楚的話，那麼最好開始建立相關可實行的標準作業程序(SOP)。

最後是「技術」，在各項與個資有關的作業流程中，我們需要去思考是否有相對應的資安防護技術，例如：

對於個人資料的存取方面，人員需申請並賦予唯一的識別帳號，並要求使用一定長度與複雜度的密碼；
依據業務性質和單位屬性的不同，進行網段區隔與存取控制；
網路安全方面，是否佈署適合的防火牆、入侵偵測系統，對於主機是否進行系統防毒與更新修補；
對於敏感的個資檔案，也要實施一定強度的加密機制。

評估個人資料安全現況

對於組織目前的個人資料保護現況，如果本身已導入的資訊安全管理系統(ISMS)，最好的方式就是依照ISO 27001標準所要求的11項領域、133項控制措施，來進行個人資料的安全評估。如果對於標準不是那麼地熟悉，也尚未建立個人資料管理制度，建議可以先從以下四大層面來著手，一一檢視重要的控制措施是否已經落實。

實體環境安全
評估辦公區域、資訊機房和資訊設備，是否已受到良好的安全防護，重點項目包括：

是否已確保辦公室與機房的環境安全？例如使用不易受到破壞的門與鎖；在重要的區域進行門禁管制或安裝監視系統，訪客要求需配載識別證，並且僅限於在特定處所活動；定期檢查消防設施和人員的逃生設備是否足夠。
是否可預防有人從外部可以窺探辦公處所的電腦設備或螢幕資訊？有些組織在機房、會議室，喜歡採用透明玻璃，因此需要評估人員在操作資訊設備或進行會議時，是否會造成不當的資訊外洩。
含有個人資料的資訊設備與文件，是否存放於安全地點？例如筆記型電腦等可攜式的設備，還有包括硬碟、磁帶、光碟、USB隨耳碟等儲存媒體，採取適當的安全防護以避免遺失；紙本文件存放在管制或上鎖的區域，使用碎紙機、大量文件水銷等方式確保廢棄的文件不會再被還原。

組織安全
評估組織針對個人資料是否制定了一體適用的安全政策，以及相關的作業程序以便人員可以遵守，重點項目包括：

組織是否指定專人負責個人資料的管理？是否已制訂個人資料保護安全政策，並提供適當的人力與經費，由高階主管來支持個人資料安全管理和保護工作的落實。
組織是否已有和個人資料安全有關的作業程序，可供員工操作並且遵守？例如密碼的使用與設定要符合安全原則；人員離開辦公處所時應讓桌面淨空，不遺留文件在未經監管的地點；電腦螢幕設定一定時間自動啟用螢幕保護程式等。
組織是否已建立跨部門溝通與協調機制？例如由各部門推派一位個資管理代表或聯絡人；成立一個跨部門的個人資料保護小組，並定期召開個資保護協調會議等。
組織是否定期實施教育訓練，並確認員工已充分了解其應盡的個資保護與安全責任？例如依據人員不同的工作職掌，實施認知、管理或技術的教育訓練，並透過內部稽核的實施，確認教育訓練的有效性與成果。
組織若發生個人資料外洩事件，是否有相關的處理程序，並進行事後的調查與檢討？例如在個人資料受到竊取、洩漏或不當侵害時，由專人來負責通知當事人；制訂個資事件的證據收集與保存程序，或是尋求外部的支援。
是否有人可從組織外部來存取資料？個人資料是否需要和外部進行傳遞或交換？實施了哪些安全措施來控制、保護與監控這些行為？例如清查有哪些資料是可供外部存取的，並針對資料的傳遞或交換，依法定程序執行或建立內部的作業規範；對於資訊委外處理的服務廠商，要求相對應的個人資料保護措施等。

資訊系統安全
評估資訊系統的建置、營運與服務，是否已有適當的安全措施，重點項目包括：

資訊系統的日常操作，是否有文件化的作業程序？例如設備的異動維護，皆已經過授權並留下記錄。
含有個人資料的主機，是否需要更高的安全防護，並執行嚴格的存取管理？例如主機實施實體隔離與監控，採用生物辨識方式，進行存取控制。
資訊系統是否有備援機制？針對儲存個人資料的設備，採用不斷電系統以持續維運；將資料備份存放在不同的地點；確保還原機制夠完善，定期執行演練與測試等。
資訊系統與應用軟體的弱點是否能被發現，並且定期更新修補？例如透過定期的弱點掃瞄或滲透測試，以及制訂適當的修補程序來進行控管。
是否已經強化網際網路與電子郵件的使用安全？例如有能力偵測或防止惡意程式下載至電腦系統；防毒機制可定期更新；郵件主機實施適當防護；資訊設備和系統的記錄檔(log)集中留存並可防止竄改等。

人員安全
評估職務角色適任與分工代理是否適當，重要項目包括：

與個資有關的人員聘用，是否進行適當的徵信或資格審查？例如針對背景和學歷資格的確認，確認前項工作的離職原因；進行適當的職務分工代理等。
是否額外註明對於個人資料保護的相關要求？例如在聘僱合約中加以說明，並要求簽署保密協定；在新進員工訓練或員工手冊中說明組織對於個資法的政策與個資處理的要求等。
是否清楚告知員工組織資訊設備的使用注意事項？例如不得將個人帳號密碼透露給第三人、避免瀏覽惡意網站、不使用公司電腦收發個人郵件、不使用個人郵件寄送業務相關資料等。

以上簡要的評估方法，可作為有心強化個資防護的組織參考，相信能夠在個資法正式實施之前，找到一個可以因應與實作的目標。(本文刊載於2010年11月號網管人雜誌)

[觀點] 個資蒐集、處理、利用之注意事項

Wed, 15 Dec 2010 08:49:00 +0000

在個人資料保護法裡，隱含了二項重要的精神與要求，其中個人隱私維護是首要項目，它是指必須要在個人資料蒐集、處理、利用的過程中確保個人隱私不會受到侵害，其次則是如何善盡個人資料保護的責任，本文將說明相關的注意事項。

個人資料保護法全文共有56條，內容說明了公務機關與非公務機關在個人資料蒐集、處理及利用的注意事項，以及違反時的賠償與罰則，單就法條內容來看，其實不太容易馬上就能掌握其要求的重點。

但經過歸納分析之後，可以發現個人資料保護法的精神與要求，主要集中在兩件事上，分別是「個人隱私維護」和「個人資料保護」，需要在個人資料蒐集、處理、利用、傳輸，也就是在個人資料的生命週期中予以落實(圖1)。

圖1：個人資料保護法的要求全貌

個人隱私維護的要求，主要來自於個人資料保護法的第一條，「為規範個人資料之蒐集、處理及利用，以避免人格權受侵害，並促進個人資料之合理利用，特制定本法。」其中隱私就是人格權的重要一環，因此個人資料的揭露與否，必須尊重當事人的權益並獲得其同意，以免因侵犯個人的隱私而造成人格的受損。

個人資料保護的要求，則來自於個人資料保護法的第十八條，「公務機關保有個人資料檔案者，應指定專人辦理安全維護事項，防止個人資料被竊取、竄改、毀損、滅失或洩漏。」；以及第二十七條，「非公務機關保有個人資料檔案者，應採行適當之安全措施，防止個人資料被竊取、竄改、毀損、滅失或洩漏。」

目前，依照法務部個人資料保護事項協調聯繫會議的決議，所有公務機關在99年底前都必須要指定一位個資聯絡窗口及個資召集人，來協調聯繫與個人資料有關的事項，而各機關也要在年底前完成制訂組織的「個人資料保護及管理規範」。

至於非公務機關，未來則是要依照所屬事業目的主管機關的要求，提出「個人資料檔案安全維護計畫」，這份維護計畫的建議內容，可參照上一篇文章的說明。

個人資料蒐集注意事項

所謂的蒐集是指以任何方式來取得個人資料，包括自動化(例如網頁上所填寫的個人資料)或非自動化(人工紙本記錄的個人資料)的方式來進行。

依照個人資料保護法第八條的規定，無論是公務機關或非公務機關，在向當事人蒐集個人資料時，都必須要明確告知當事人以下事項：

蒐集資料的公務機關或非公務機關的名稱。
蒐集的目的，也就是要在未來公布的特定目的中，至少找到一項適用的項目。
個人資料的類別，同樣也是在未來公布的個資類別中，找到適合的類別名稱。
個人資料利用的期間、地區、對象及方式，建議要向當事人說明資料使用時間和保存多久，在哪些地區使用，將會透過什麼方式來使用。
當事人可以行使的權利及方式，例如當事人可以要求更正、刪除、停止使用其個人資料，或要求提供個人資料的複製本。
應說明當事人可以自由選擇是否要提供個人資料，若當事人不願意提供的話，也要清楚告知不提供這些資料，對其個人權益會有哪些影響。

所以，請務必謹記，「只要有蒐集的行為，就會有告知的義務」，除非是法律規定可以不用告知，以及公務機關為了執行法定職務(例如警察執行公務)，或非公務機關為了履行法律規定的義務等，這部份請參照個人資料保護法第八條的五項免告知情形。

另外，依據個人資料保護法第十五條規定，公務機關對於個人資料的蒐集或處理，除了要有特定目的之外，還要符合以下三種情形之一，才可以進行：
一、執行法定職務必要範圍內。
二、經當事人書面同意。
三、對當事人權益無侵害。

建議在實務上，若不是執行法定職務，公務機關想要蒐集民眾的個人資料，最好的方式就是事先取得當事人的書面同意，以避免違反法規的要求。

個人資料處理注意事項

所謂的處理，簡單來說就是指蒐集個人資料之後，將這些資料經過編輯、修改、增刪、傳遞等動作，變成一份個人檔案的過程。依照第十條的規定，在正常情形之下，公務機關和非公務機關都要依照當事人的請求，針對這些個人檔案，提供查詢、閱覽或複製本，而且要在十五天內回覆當事人是否同意或拒絕其請求。

為了要維護這些檔案中個人資料的正確性，公務機關和非公務機關要主動或依照當事人的請求來予以更正或補充，至於回應的時間則是在三十天內要完成。若是個人資料的正確性有爭議時，也要主動或依照當事人請求，停止處理或利用這些個人資料。另外，隨著個人資料蒐集時的特定目的消失或是期限屆滿的時侯，也要依當事人請求，剛除、停止處理或利用這些個人資料。

為了避免個人資料的不當揭露，或是個人資料檔案受到不當的侵害，降低對當事人的衝擊，依據個人資料保護法第十二條的規定，無論是公務機關或非公務機關因違反了個人資料保護法的規定，而導致個人資料被竊取、洩漏、竄改，或是受到其他侵害，都要在查明之後盡快地通知當事人，也就是說，組織必須要事先建立一個通報機制，確保所使用的方式(例如電話、郵寄、email等)可以通知到當事人，並且留下記錄。

個人資料利用注意事項

將處理後的個人檔案使用在特定的目的上(例如行銷)，就是所謂的利用。在個人資料利用方面，最重要的一件事，就是要確認利用時是否和原先蒐集的特定目的是相同的，如果與原先的蒐集目的不同，依據個人資料保護法第十六條的規定，必須要符合以下情形，才能將個人資料用作其他目的：
一、有法律明文規定可引用。
二、為了維護國家安全或增進公共利益。
三、為了免除當事人的生命、身體、自由或財產上的危險。
四、為避免他人的權益受到重大危害。
五、為了公共利益進行統計或學術研究，且資料經過處理不會識別到當事人。
六、有利於當事人的權益。
七、經當事人書面同意。

基於以上的要求，未來在實務方面，建議若將個人資料作其他目的的利用時，最好事先再去取得當事人的書面同意，比較不會有違法利用的風險。

請小心留意才能避免觸法

個人資料保護法的精神與要求，在於個人資料的蒐集、處理或利用的過程中，如何去確保個人隱私和個人資料安全，這是所有擁有個人資料的組織或機關務必要去重視的地方。

在個人資料的蒐集、處理或利用的事項方面，如果是一般民營單位，受到公務機關委託執行和個人資料有關的事項，在個人資料保護法的適用範圍，依據第四條的規定是視同於委託機關的，換句話說，在個人隱私維護和個人資料保護的要求事項，就要比照公務機關來辦理才行。

此外，個人資料保護法第五條提到，「個人資料之蒐集、處理或利用，應尊重當事人權益，依誠實及信用方法為之，不得逾越特定目的之必要範圍，並應與蒐集之目的具有正當合理之關聯。」換句話說，個人資料的蒐集、處理及利用，都必須要符合當初蒐集時向當事人說明並獲得同意的目的，而且要與此目的有明顯相關。

萬一日後需要將個人資料，作為其他目的的利用時，則必須要重新獲得當事人的書面同意，而非僅止於口頭上的通知，這點要請經常需要將個人資料用於行銷或業務使用的企業，務必要小心留意以免觸法。(本文刊載於2010年10月號網管人雜誌)

[觀點] 制訂個人資料檔案安全維護計畫

Wed, 03 Nov 2010 06:49:00 +0000

之前，我們談到了個人隱私衝擊分析，其主要目的是要了解組織針對個人資料蒐集、處理、利用的現況，能夠幫助我們針對屬於高風險的個人資料，提出適當的保護計畫與安全措施，本文將說明如何制訂個人資料檔案安全維護計畫。

在個資法第27條提到，「非公務機關保有個人資料檔案者，應採行適當之安全措施，防止個人資料被竊取、竄改、毀損、滅失或洩漏。中央目的事業主管機關得指定非公務機關訂定個人資料檔案安全維護計畫或業務終止後個人資料處理方法」。

換句話說，未來保有個人資料的企業、組織或團體，都可能要針對個人資料提出一份檔案安全的維護計畫，在這份計畫之中，除了可說明個人資料的保護措施和管理方法之外，萬一未來發生個人資料外洩的事件，這份計畫以及實施的相關記錄，很可能是作為組織已善盡管理人義務，用來免除過失賠償責任的重要證據之一。

當然，這份計劃的最終內容要求，仍須以中央目的事業主管機關所公布的為主，但是凡事有備則無患，我們可以參照過去針對金融業、保險業及證券暨期貨業所公布的個人資料檔案安全維護計畫標準，來制訂適合自己組織的內容，並依據這份計畫來加強個人資料的保護與管理。

確認個人資料保護範圍

在制訂個人資料檔案安全維護計畫之前，首先要確認的就是我們所要保護的範圍，畢竟組織的資源有限，我們不太可能一開始就投入龐大資源來實施全面性的安全防護，而是要先了解現況並定出範圍，這也是管理系統導入的重要步驟。

以資訊安全管理系統來說，範圍通常會鎖定在重要的業務流程與資訊系統，像是醫院的醫療資訊系統、製造業的研發生產管理系統、資訊服務業的客戶服務系統等。至於保護的對象則是資訊資產，一般會先將它進行分類，例如分成人員、資料、軟體、硬體及服務等，再依據資訊處理的作業流程去盤點所有資訊資產，分析其可能存在的安全風險，依照其風險高低進行排序，然後再選擇適當的控制措施來進行風險處理，將風險降低至可接受的程度。

所以，若今天導入的是個人資訊管理系統的話，我們鎖定的保護對象就是個人資料，範圍也會是和個人資料有關的業務流程。只是，個人資料涵蓋的範圍甚廣，對許多組織而言，不太容易一下子就區分並識別完成，建議可採取以下兩種方式來進行。

從個人資料本身著手 - 首先定義常見的個人資料類別，例如員工資料、客戶資料、廠商資料等，或是個人資料的細項，例如連絡資料、薪資資料、付款資料等，然後調查這些資料是透過哪些方式來蒐集和處理。例如個人資料可能是以電腦輸入、網站蒐集等自動化機器產生，或是透過人工紙本記錄等非自動化方式來獲得，在完成確認之後，這些和個人資料有關的活動與流程，就會是個人資料保護的範圍。

從業務作業流程著手 - 這個方法和上述的方法順序相反，也就是先從和個人資料有關的活動流程著手，了解組織透過哪些自動化和非自動化方式蒐集和處理資料，再來確認這些資料內容是否包含了個人資料，如果有的話，就要將這些流程和系統劃為個人資料保護的範圍之內。

個資檔案安全維護計畫內容

在確認個人資料的保護範圍之後，接下來就要針對這些個人資料檔案來制訂保護計畫，無論您所屬的行業類別或營運規模大小，在這些計畫之中，建議您務必要納入以下的事項。

指定專人管理 - 針對組織所持有的個人資料檔案，說明由誰來負責辦理安全維護事項，至少應指定一位專人來防止個人資料受到不當的侵害。這位個資管理代表需要有能力可以協調各個事業單位，以擬定出適當可行的個人資料的管理辦法，也就是說，需要對於資訊安全，無論在管理面、技術面、教育面都要有一定的認知，最好選擇已接受過資安專業訓練並持有相關的資訊安全證照的人選為佳。
建立稽核制度 - 應說明組織是否已建立了個人資料檔案的稽核制度，像是稽核人員應具有哪些能力、依據何種稽核標準、多久實施一次內部稽核，針對稽核結果是否定期召開管理審查會議，如何進行缺失的矯正和預防。
確保系統安全 - 說明存取個資系統的人員，是否具備唯一的識別碼(ID)，針對不同的職務角色，是否完成權限控管；存取個人資料的相關作業，像是個人資料的新增、異動、刪除、傳輸，是否留有記錄(Log)；應用系統程式的開發是否遵照安全的開發流程，上線前是否經過適當的安全審核程序等。
強化實體安全 - 和個資有關的資訊設備，若存放於電腦機房，應說明機房的門禁管理辦法，針對主機和儲存媒體，是否有良好的安全防護措施，例如場所已作好天然災害和意外災害的防護、備份媒體以防火或上鎖設備異地存放。
災害防護演練 - 萬一發生天然災害或個資損害事件，是否有個資事件應變處理作業辦法，內容應包括如何進行損害控制、系統備援、災害復原和通知當事人等，並定期實施模擬演練。若是人為惡意的損害，是否有保存證據、要求損害賠償的措施。
員工作業安全 - 在計畫中應說明和個資有關的作業人員，是否要求簽署保密切結書，針對個資作業的內容，是否已說明個資法相關的安全規定，在資訊安全防護方面，是否定期實施教育訓練等。

與資訊安全管理系統作結合

完成個人資料檔案安全維護計畫，只是個資防護的初步工作，重點還是在於能否依照這個計畫切實地來執行。根據個人的了解，個資法中所提到針對個資應採行適當的安全措施，不可單單只解讀為已採行相關的技術防護手段，或是添購了資訊安全產品，就可在個資損害事件中證明自己沒有過失責任，而是必須要納入管理系統中所謂的PDCA(Plan-Do-Check-Act)精神，讓個資防護在完整的管理制度之下，能夠實施運作，並且持續改善。

因此，如果組織已導入了資訊安全管理系統(ISMS)，它就可以提供在個人資料防護的重要基礎，只是在個人隱私防護方面，還需要再進行重點補強，礙於篇幅有限，只說明以下重點項目供作參考，包括：將個資保護納入資安政策、建立個人資料清冊、進行個資風險評鑑、選擇適當控制措施、定期進行個資稽核、持續檢討維護改進等。若能與現有的資安管理系統作結合，相信在個資防護方面，也就不必重頭再來，將可達到事半功倍的效果。

組織應自我檢視的個資問題

雖然個資法的施行細則尚在修訂之中，正式實施的日期也還未確認，但是從個資母法來看，它很明確地要求二件事 – 「個人隱私維護」和「個人資料保護」，讓很多事項已如箭在弦上，無論是公務機關或非公務機關，未來勢必都要依法實行，所以為了因應法規所帶來的風險，建議組織應該自我檢視以下問題：

• 您(組織)知不知道個資法的要求？
• 您(組織)是否已經指定專人負責個資事項？
• 組織負責個資蒐集、處理及利用的同仁，是否已具備必要的知識與技能？
• 您(組織)是否知道如何保護所持有的個人資料？
• 您(組織)是否有適當的程序，以符合告知的要求？
• 您(組織)是否有適當的程序，對持有的個人資料提供當事人請求和維護？

如果有任何一項問題，組織無法明確地加以回應，建議應及早尋求外部專家或顧問的協助，以因應未來個資法正式實施之後可能帶來的衝擊。(本文刊載於2010年9月號網管人雜誌)

[觀點] 個人隱私衝擊分析(PIA)之介紹

Sun, 17 Oct 2010 14:22:00 +0000

在個資法第一條提到，「為規範個人資料之蒐集、處理及利用，以避免人格權受侵害，並促進個人資料之合理利用，特制定本法。」其中隱私權就是重要的人格權之一，本文將說明何謂個人隱私衝擊分析(PIA)。

無論是公務機關或非公務機關的企業、法人和團體，為了因應未來新版個人資料保護法實施之後，針對個人資料保護的種種要求，許多組織已開始著手來準備，如果仔細地去探究個資法所涵蓋的精神與要求，就會發現其關注的焦點有兩個層面：首先是如何維護個人隱私，其次則是如何落實個人資料保護。

基本上，在個人隱私方面，我們可以透過建立個人資料蒐集、處理和利用的注意事項和作業規範，以確保個人隱私不會受到不當揭露；至於在個人資料保護方面，則可以透過資安技術的應用，降低資訊系統在處理個人資料的過程中，可能會受到入侵、竊取、竄改和干擾的風險，並且達到一定的資料存取防護強度。本期我們就先來探討維護個人隱私的一項重要工作，也就是進行個人隱私衝擊分析(Privacy Impact Assessment, PIA)。

個人隱私衝擊分析目的

在個人資訊管理標準BS 10012的「4.4 風險評鑑」內容中提到，「組織應實施一項流程以評估和處理個資相關人員的風險程度，這項評估也應包括委由其他組織所進行的個資處理，組織需管理由風險評估過程所識別出的任何風險，以降低不符合政策要求的可能。」

簡單來說，為了避免違反法規和政策的要求，我們應針對個資的蒐集、處理和利用的過程，所牽涉到的人員、技術、作業流程，找出其中可能隱含的資訊安全風險，以避免和個資有關的不當事件發生，這也就是所謂的個人資料風險評鑑，而其使用的風險評鑑方法，稱之為個人隱私衝擊分析(PIA)。

因此，個人隱私衝擊分析的目的，就是要協助組織確認在個人資料的蒐集、處理和利用的過程中，相關的資訊系統、控制技術、作業流程和管理政策，是否符合確保個人隱私的基本要求，進行識別並管理其中的風險，以避免不必要的損失和聲譽受損，達成法律法規的要求。

個人隱私衝擊分析方法

有關個人隱私衝擊分析的方法論，各國政府為了因應本身的個資法規要求，所以皆有不同的作法，其中較為知名的分別是由英國的資訊委員會辦公室(Information Commissioner’s Office)所提出的「The ICO PIA handbook」，以及加拿大財政部秘書處(Treasury Board of Canada Secretariat)所提出的「Privacy Impact Assessment Guidelines」。

英國的PIA流程比較完整複雜，它是先以範圍來選擇實施的內容，主要分為全範圍PIA、小範圍PIA、隱私法和其他法規符合確認、個資法法規符合確認等四項，其中全範圍和小範圍PIA的進行再區分為五個階段，分別是：初始階段(Preliminary phase)、準備階段(Preparation phase)、諮詢和分析階段(Consultation and analysis phase)、文件化階段(Documentation phase)、審查與稽核階段(Review and audit phase)。

加拿大則是使用比較簡易清楚且近似風險管理的作法，其中包括了計畫、分析和教育訓練活動，主要分為四項流程來進行，但無論是英國還是加拿大，其共同點為皆是採用問卷方式來進行分析。

個人隱私衝擊分析流程

實施個人隱私衝擊分析，能夠有效識別出在其他管理層次下看不到的個資風險，藉由訪談相關人員的過程，可以改善與個資有關的政策、系統設計、採購決策及作業流程。以下以加拿大的PIA作法為例，說明實施個人隱私衝擊分析的流程。

步驟1：專案啟動(Project Initiation)

PIA的第一步是決定要實施的範圍和採用的工具，在初期組織若是對於個人隱私風險還不是那麼清楚，決定是否要實施PIA也還有雜音的時候，建議可以先做一次初始需求評鑑(Preliminary PIA)，藉由審查相關的政策和指導原則，以及可使用的資源與技能，並獲得外部像是隱私權、法規和技術等專家的建議之後，再正式的來實施全範圍的PIA。

步驟2：資料流分析(Data Flow Analysis)

在這個階段需要去描述和分析組織目前的業務流程架構，以便在工作計畫書中清楚的描述個人資料流的現況。基本上，任何的業務活動都會牽涉到資訊的管理，並且包括四項元素，分別為：資訊收集、交易流程、交易結果和以上三者所留下的記錄。在資料流分析過程中，至少要識別出業務流程主要的元件，例如人員、設備等，以及個人資料如何透過業務流程被蒐集、處理、利用、揭露和保存，建議以清楚易懂的圖形來呈現彼此的關聯，而以表格方式(如表1)來呈現單一資料或群組的現況。

表1：個人資料清單

個人隱私分析是要去檢查在個人資料流中，是否適用於個人隱私政策和法規要求，這部份可透過問卷與檢查表的使用，來識別主要的個資風險或是相關的弱點，其結果將作為個人隱私衝擊分析報告的基礎。至於問卷內容則可參考所在地法令或主管機關要求，以設計出可明確分辨現行流程是否符合法令要求的內容，如表2所示，問卷內容包含了一系列問題和是與否的選項，其中「細節描述」的欄位是用來解釋特定的要求符合或不符合的原因，以作為主管機關的參考，而每一階段的最後則提供「討論重點」，以記錄過程中重要的事項。

步驟3：個人隱私分析(Privacy Analysis)

表2：PIA問卷範例

步驟4：個人隱私衝擊分析報告(Privacy Impact Analysis Report)

藉由上述所採取的步驟，最終將會產生在PIA之中最重要的個人隱私衝擊分析報告，在這份文件中將呈現目前隱含個資風險的結果，也會作為後續決定降低或消除風險的控制措施的重要參考依據，同時它也會是和組織利害關係人溝通的重要工具。

個人資料安全實務建議

整體而言，組織可以藉由導入個人資訊管理制度(PIMS)，來達到個資法要求的個人隱私維護和個人資料保護兩個目標，在實務方面建議分為以下三步驟來進行：

第一步，請務必逐條了解法令之要求，並建立個人資料保護所需的基礎知識。實務作法為可邀請和個人資料蒐集、處理和利用有關的各部門相關人員，透過專家講座、教育訓練等方式，來協助員工獲得個資保護所需的認知與技能，並且清楚了解個人職務所扮演的角色和應盡的義務。

第二步，建立組織的個人資料管理制度，可參考BS 10012個人資訊管理系統標準內容，並依據個人資料保護的八大原則，檢視組織目前所蒐集、處理和利用的個資現況，並進行這些活動的風險評鑑，透過個人隱私衝擊分析(PIA)的方法，來評估與個資有關的風險。

第三步，落實個人資料保護機制，可配合管理制度的要求，在作業流程上部署個資或資訊安全防護技術，例如資料加密、身分驗證、資料庫稽核、資料外洩防護(DLP)、網路存取控制(NAC)等方案，協助控管個資處理流程中可能產生的安全風險。(本文刊載於2010年8月號網管人雜誌)

[觀點] 面對新版個資法的因應之道

Mon, 12 Jul 2010 07:57:00 +0000

隨著新版個資法正式的三讀通過，對於存在於各行各業且為數眾多的個人資料，總算有了保護的法源依據，對於公務機關和企業組織而言，未來若沒有落實個資保護，很可能就會面臨難以負擔的刑事責任和行政處罰。

延宕多年的電腦處理個人資料保護法修正案，總算在今年4月27日順利三讀通過，除了將名稱正式更改為「個人資料保護法」，在法條內容方面也做了一些修訂。尤其在二讀時，針對新聞報導自由的部份，在過程中引起了社會關注與媒體的討論，因此對於媒體報導的內容，是否需要事先取得當事人的同意，還有在Facebook上面分享拍攝的照片，會不會有洩露個資之虞，也作了適當的澄清，以避免民眾誤觸法網。

個資法修正前後的差異

過去在1995年公佈實施的電腦處理個人資料保護法，主要是參照經濟合作發展組織(OECD)所提出的個人資料保護八大原則，也就是要求限制蒐集、資料正確完整、具明確目的、限制利用、安全保護、公開、個人參與及責任義務等原則，以避免個人人格權受到侵害，或是個資遭到不當利用。

當初，因考慮此法頒布實行之後，將會對民間業者衝擊過大，所以將適用範圍限縮在只經電腦處理的資料，適用行業除了公務機關之外，僅有特定的八大行業(徵信業、醫院、學校、電信業、金融業、證券業、保險業、大眾傳播業)受到規範，後來，雖然也陸續透過指定方式，將期貨業、百貨公司、零售業、不動產仲介經紀業、人力銀行等九個行業納入適法範圍，但還是有許多會蒐集、處理、利用個資的企業和團體不在此法律適用範圍內，仍然有不夠完善之處。

新版個資法的修正原則，參照了亞太經濟合作論壇(APEC)隱私保護綱領，將取得個資的事先告知、蒐集限制和預防損害，納入個資保護的規範之內，並且要求各事業主管機關需要負起監督之責，以防範個人資料的不當使用與外洩，其修正重點與前後的主要差異如下：

資料類型與保護範圍擴大 - 電腦處理個人資料保護法的保護客體為經過電腦處理的資料，新法則擴大為不管是電腦處理或人工紙本的資料，統統都受到法律規範。至於適用的行業，過去只有公務機關及八大行業受到法令要求，新版個資法則包括所有個人、法人團體、一般企業等(第2條)，只要擁有個人資料的單位和組織，一律都要遵守個資法的規範。
刑責加重和罰責提高 - 過去若是發生個資外洩事件，民事損害賠償的總額上限為2千萬元，新法則提高至2億元，若被害人不易或不能證明實際損害的金額時，可以請求法院依照受害的情節以5百元以上2萬元以下來計算(第28條)，同時為了方便受害者提出救濟賠償，新法還增加了團體訴訟機制，可透過眾人的力量來集體控訴(第34條)。至於刑事責任方面，若是犯罪人意圖將個資用於營利行為，則可能受到5年以下有期徒刑，併科1百萬元以下罰金，並且被提起公訴(第42條)。
個資蒐集限制與告知義務 - 新法中要求若是有關醫療、基因、性生活、健康檢查及犯罪前科等特種個資，必須在符合法律明文規定的嚴格要件下，才能進行蒐集、處理和利用(第6條)。未來無論是直接或間接地蒐集個資，都必須要盡到對當事人的告知義務(第8條)，也就是要說明蒐集的目的和利用的方式，若是個資遭到不當外洩，資料保有者也必須依法查明後盡快通知當事人，以避免災害的擴大。
個人隱私與新聞自由的兼顧 - 新法二讀之後，在媒體上引起了一陣抗議波瀾，原因是個資法對於隱私的保護太過，若報導時都要對當事人告知並取得同意，在實務方面將會引起爭議與困難。因此在三讀時，為了基於對新聞自由的尊重，特別說明對於大眾傳播業者在進行新聞報導時，若基於「公益目的」(第9條)，則可免為告知當事人，若是和公共利益有關或個資來自於一般可得之來源，也可以進行蒐集或處理。
網路使用個資行為之澄清 - 民眾在部落格或facebook張貼與他人合影的照片，若是屬於單純個人或是家庭生活的目的，則可適用第51條的排除規定。若是蒐集、分享沒有和其他資料結合而可識別出特定個人的影音資料，只要是基於便利性及合照本身的合法使用目的相當明確，也可排除在法規之外。至於人肉搜索的行為，若是屬於公共利益或取自於一般可得之來源，也屬於個資法主張的合理使用範圍內。

個資法重點條文之解讀

新版個資法全文分為六章共56條條款，第一章為總則(第1~14條)，第二章為公務機關對個人資料之蒐集、處理及利用(第15~18條)，第三章為非公務機關對個人資料之蒐集、處理及利用(第19~27條)，第四章為損害賠償及團體訴訟(第28~40條)，第五章為罰則(第41~50條)，第六章為附則(第51~56條)。

關於新法修訂的目的，在第一章第一條開宗明義即提到「為規範個人資料之蒐集、處理及利用，以避免人格權受侵害，並促進個人資料之合理利用，特制定本法。」至於個人資料涵蓋的範圍，第二條明確指出個人資料是「指自然人之姓名、出生年月日、國民身分證統一編號、護照號碼、特徵、指紋、婚姻、家庭、教育、職業、病歷、醫療、基因、性生活、健康檢查、犯罪前科、聯絡方式、財務情況、社會活動及其他得以直接或間接方式識別該個人之資料。」

其中有關個人之醫療、基因、性生活、健康檢查、犯罪前科等，必須在法律明文規定之下，或是公務機關執法或非公務機關履行法定義務，並有適當的安全保護措施下才可進行，若是公務機關或學術研究機構為了醫療、衛生或犯罪預防的目的，也必須經過一定之程序才能蒐集、處理或利用個人資料作為統計或學術研究之用。

個資法實施之後的衝擊

對公務機關而言，在新版個資法實施之後，有許多和過去不同的要求，包括必須要將個人資料保有的依據和特定目的、檔案名稱和類別、機關名稱和聯絡方式公布在網站上(第17條)，換句話說，相關單位如何進行個資的清查和制訂公布的程序，就顯得十分重要。

另外，保有個人資料檔案的公務機關，必須要指定專人來負責個資安全維護事項，以防止個資受到竊取、竄改、毀損或洩漏(第18條)，也就是說，這位專人勢必要對資安防護具有相當的專業知識，才足以擔負起個資維護的重責大任，這對於某些資安專才不足的單位，恐怕也需要一番的規劃與考量，才可推派出適當人選。

對於非公務機關來說，尤其是不屬於舊法適用的企業，由於以往從未受到要求，恐怕在個資相關的作業流程和維護方式，往往是聊備一格的，所以特別需要熟悉新法中的種種要求。例如新法中提到，非公務機關利用個資進行首次行銷時，應提供當事人表示拒絕接受行銷之方式，若當事人表示拒絕接受行銷時，就要停止利用其個人資料來進行行銷活動(第20條)。

新法第27條則要求，「非公務機關保有個人資料檔案者，應採行適當之安全措施，防止個人資料被竊取、竄改、毀損、滅失或洩漏。」也就是說企業必須要制訂「個資安全維護計畫」，並且說明業務終止後個人資料的處理方法。未來若是其事業所屬的主管機關或縣市政府，接受檢舉或認為該企業有違反個資法之虞時，可以依照法定程序派員進行檢查，要求相關人員進行必要的說明配合，並提出已盡到個資保護的相關佐證資料(第22條)。若是有違反個資法行為而遭糾舉且屆期未改正者，將會按次處以2萬元以上，20萬元以下的罰鍰(第48條)。

此外，如果發現企業有違法的情形，將會公布違反人員之姓名和負責人(第25條)，若是導致個人資料遭到不法蒐集、處理、利用或其他侵害當事人權利者，還要負起損害賠償責任(第29條)。當然，如果企業能夠自行舉證並證明無故意或過失的責任，則不在此限，但這也就表示，企業若缺少適當的管理制度和表單記錄，要舉證恐怕不是一件容易的事。

請提早因應並做好準備

雖然，目前新版個資法的施行細則尚未完成，還須等待法務部參考多方意見來制訂並進行審查，預估最快也要到明年才會公布實施，因此對於公務機關和一般企業組織，還有一些因應的準備時間，但在此還是要提醒眾多單位主管及企業負責人，個資保護已有如箭在弦上，不得不發，所以提早因應做好準備，才是最佳的應對之道。

如果還不清楚該從何著手，建議先將法條內容瀏覽一遍，明瞭所處單位所受的規範要求，這是初步且必要的工作，然後去清查目前所保有的個資內容與評估其可能的安全風險，接著還需要針對個資蒐集、處理、利用的各個階段，將相關人員應扮演的角色責任明訂清楚，日後一旦施行細則公布之後，就可以參照必要的規範來運作，相信就能大幅降低觸犯法規的風險。(本文刊載於2010年6月號網管人雜誌)

[Q&A] 什麼是 SAS 70？

Thu, 24 Jun 2010 05:20:00 +0000

SAS 70全名為The Statement on Auditing Standards No.70，它是由美國認證會計師協會(AICPA)所發展，並被國際所認可的稽核標準，主要實施對象為金融服務機構和提供資訊服務的組織。透過第三方以SAS70為準則的公正稽核過程，可以驗證受稽核的服務組織已具備並實施有效的內部控制。

SAS70的稽核類型分為兩種：Type I和Type II，兩者皆會產出一份稽核報告。在Type I中，服務組織必須提供內部控制的詳細描述，以供稽核員進行檢查，項目包括：

組織內部控制環境各層面的描述，這些將影響到組織內部人員，同時也是其他控制措施的基礎。
風險評鑑的流程，包括如何識別和分析和控制措施有關的風險，說明風險如何被適當地管理。
說明政策和程序等控制相關活動，可確保管理被真正實施。
資通訊的交換流程與形式，以及人員在各時間點應盡的責任。
內部控制目標和相關的控制措施，以及其他組織可能要求的補償性控制措施。

在完成稽核之後，稽核員將針對服務組織提供的內部控制描述，發布一份公正的評估聲明，說明各項控制措施是否已被適當的設計，以達成組織描述的控制目標。

至於Type II的稽核，則不只是採取以上的步驟，在實施Type II的稽核過程中，組織的控制措施將經過六個月(也有可能更長)的測試，以確認其是否真正有效地運作。

因此，Type II的稽核報告中除了包括Type I的評鑑之外，更增加了測試過程的完整描述，以及其最後產生的結果。

參考資料：SAS 70 OVERVIEW

舊留言存檔

以下留言轉存自原 Blogger 網站，僅供存檔，無法回覆。

亨利王（2019-08-25）

https://www.otava.com/reference/sas-70-ssae-16-and-soc-comparison/

[觀點] BS 10012 個人資訊管理標準簡介

Sun, 06 Jun 2010 14:39:00 +0000

隨著新修訂個人資料保護法已經三讀通過，未來無論是政府機構或是民間企業，只要處理和個人資料有關的業務，勢必就要建立一套有效運作的個人資訊保護制度(PIMS)，而標準將會是最佳的參考指引。

還記得2008年8月，刑事警察局破獲了兩岸駭客和詐騙集團共同聯手，入侵了中華郵政網路銀行，將數十名客戶的存款盜轉走數百萬元，同時也入侵了健保局、教育部和多家電信業者的資料庫，將所得的個人資訊與購物台刷卡資料，共同整合成一個可供搜尋近五千萬筆個人資料庫的事件，讓人害怕的是幾乎從上到下，由政府官員到一般民眾等皆無一倖免。

每天，我們的資料都在政府或民間企業，像是政府各級單位、水力電力公司、戶役政稅務機關、醫院、學校、警察機關、銀行、保險公司、一般企業、零售業、超市、航空公司、旅行社等之中被蒐集、儲存、傳遞和使用，如果你的個人資訊被不安全地處理而遭到惡意人士的盜用，對個人而言，輕則財物受損，重則造成法律糾紛，個人名譽也將受到不必要的侵害，若洩露個資的單位查證屬實，一旦新修正的個人資料保護法三讀通過，也將面臨鉅額的懲罰性賠償。

個資有價，切莫輕忽

從資訊的生命週期來看，個人資訊的產生、處理、傳遞、儲存、復原、銷毀等過程，都需要有適當的安全管控措施，這部份可以透過管理制度的規範，或是技術性的保護，來防止不當處理個資事件的發生。

因此，組織必須要將個人資訊視為有價值的資產，無論其呈現的形式是什麼（例如紙本、聲音、影像、電子檔案等），都必須評估其可能存在的安全弱點，以及可能面臨的威脅，並且透過風險評鑑的過程，來找出其風險的高低，然後針對無法接受的風險，進行風險處理和後續改善行動。

隨著個資外洩事件不斷發生，目前已有許多政府單位與企業，對於個人資訊保護的問題日漸重視，但是卻往往不知該如何著手，找不到一套可以依循的規範與標準。如今，BS 10012的標準內容，正好可做為組織在建立個人資訊保護機制時的最佳參考，藉由標準所提供的基礎架構（Framework），配合PDCA的管理運作方法，能夠透過建立系統化的個人資訊管理制度，來達到保護個資的目的，更可進一步符合個資法規的要求。

重要的資料保護原則

談到資料保護，英國在1998年即制訂了資料保護法案（Data Protection Act 1998），並且在2000年3月公布實施，要求資料控管者（data controller）對於個人資料的取得、使用、儲存、揭露等，必須遵守法律的規範與要求。

其中，資料保護法案所要求應遵守的8項資料保護原則，非常適合各組織作為制定個人資料保護的參考，內容說明如下：

個人資料不可以非法或不公正方式蒐集、處理。
個人資料應限於以特定目的之方式蒐集、處理。
個人資料應以充分、相關，而非逾越其原本之目的處理。
個人資料應求準確，並在必要時及時更新。
個人資料之保存，不得超過其原定目的之保存期限。
個人資料之處理，應依照當事人之權限及法令規範。
組織應採取適當的資料保護技術和措施，防止個人資料遺失或毀壞。
個人資料不得轉移到歐洲經濟區以外的國家或地區。

綜合以上原則所述，組織在蒐集、處理、使用、儲存個人資料時，必須合乎公平正義原則，並依照當初的目的，採取適當的安全保護措施，以確保個人資料的正確與完整。為了使企業能有效保護個人資料，同時符合法規的要求，BSI英國標準協會在2009年5月31日公布了個人資訊管理系統（personal information management system；PIMS）標準，提供個人資訊管理的基礎架構，以作為組織在落實個人資訊保護時的參考。

BS 10012的基礎架構

BS 10012的全名為「資料保護─個人資訊管理系統之要求（Data protection–Specification for a personal information management system）」，其中BS指的是英國標準，後面則為標準編號，至於系統指的是文件化的管理制度，它是由工業、政府、學術、教育、消費者等各界專家代表所共同發展，因此適用於任何組織和公私領域，讓組織的管理階層可以依循參考，亦能作為有效的個資法規內外部的評鑑標準。

BS 10012內容共有7章，第0~2章為標準介紹、適用範圍與名詞定義之說明，第3~6章則為個人資訊管理制度的架構要求，其主要目標說明如下。

計畫與建立PIMS
本章的目標是要規劃建立個人資訊管理制度，以提供符合資料保護法規要求的方向和實務上的良好做法。因此在一開始，組織必須定義個人資訊管理的範圍和目標，並判斷內部有哪些資料屬於個人資訊，以便制訂適合組織運作的個人資訊管理政策。

此一政策必須由資深管理小組（可能包括董事會成員、執行長、資深工作者和組織合作夥伴）來發布，並負起維護和更新之責，在政策中要清楚地讓組織成員了解個資保護的重要性，以及個資處理的原則，要求必須共同遵守，並且融入組織的文化之中，以達成個資保護的目標。

實施與運作PIMS
本章內容是實施與運作個人資訊管理制度的要求，也是標準中內容最多的一章，其目標包括要確保組織已指派適當的負責人選，以便推動並執行個人資訊管理制度，因此需要明確說明資深管理小組成員的工作角色與職責，並且清楚定義其每天的工作任務。

另外，凡是組織內和個人資訊處理有關的單位或部門，也必須推派適當的代表，因為只有實際處理個資的同仁，才明白個資中的機密性與敏感性，透過各個單位負責代表的協助，才可實際進行個人資訊的風險評鑑，以評估目前組織所擁有及處理個人資訊的風險等級。

本章的重點還包括要求組織應對員工實施教育訓練，並確保個人資訊被公平且合法的處理使用，也就是要求從個人資訊生命週期的一開始到最終的銷毀階段，整個過程中是否遵守適當的處理作業流程，是否尊重個人資料所有人的權力，以及採取適當的資訊安全控制措施。

監督與審查PIMS
本章的內容是要求個人資訊管理制度應實施適當的監控與審查，因此組織必須制定稽核計畫，選擇合適的稽核人員依照政策與管理要求，定期地實施內部稽核，以確認管理制度能夠有效地運作。

除了內部稽核之外，組織還必須定期實施管理階層的審查會議，了解個資處理的過程是否有任何的變動，同時也要審查稽核之後的結果，以及是否曾經發生和個資有關的資安事件，以掌握組織個資處理的現況，並適當修訂現行的個人資訊管理政策內容。

維持與改善PIMS
本章的內容是維持與改進個人資訊管理制度，目標是改進整個制度實施的效率及有效性，因此要求從兩個方向來改善。首先是組織應針對可能違反法規的事件，在事先實施預防的行動，並評估可能造成的問題來決定與實施必要的預防措施；其次則是針對管理階層審查的結果，針對不符合政策與標準要求的事項，進行矯正的行動，以求將個資受到不當處理的風險降至最低。

保護個資，刻不容緩

未來隨著新版個人資料保護法頒布實施之後，對於擁有和處理個人資訊的各行各業來說，最大的改變會是什麼？個人認為是組織必須建立一個新觀念，那就是「個人資料是有價的」，再也不能像過去一樣被任意的處理和交換，無論是蒐集、處理、利用都必須要合乎法律規定，如果組織沒有建立有效的個人資訊管理制度，那麼很可能就會不小心觸法而蒙受不必要的損失。

因此，萬一組織仍舊忽視個人資訊的保護，而無法安全妥善地進行處理，根據目前正在修訂中的個資法草案，未來若發生個資外洩事件，當民眾進行受害索賠之時，並不需要負舉證之責。也就是說，洩露個資的單位，必須證明自己無故意或過失責任，才能免於賠償，所以如果沒有文件化的作業流程與記錄，要提出舉證恐怕相當困難，對此管理者請務必要三思才行。(本文刊載於2010年4月號網管人雜誌)

[專題] 資訊安全管理導入實務(五) - 管理階層之承諾與責任

Wed, 17 Mar 2010 03:46:00 +0000

有一些企業與組織，原本興致勃勃想要推動資訊安全管理制度，期望能夠在日常的運作中，避免產生高度的資訊安全風險，進而造成企業資產的損失。但是到了最後，卻往往功虧一簣，主要原因就是管理階層的參與度不足，無法在關鍵時刻發揮起領導決策的效用。

在「解碼郭台銘語錄」一書中，鴻海集團董事長郭台銘有這麼一句名言：「沒有管理，只有責任；管理可以訓練，領導沒法訓練。」他認為管理階層一定要在「油鍋裡炸過」，要能夠自己做出決策，以親身經驗才能去領導別人，否則即使有多麼完善的制度或法令去規範也沒用，因為下面的人並不會依照方向和時間來往前走。郭董事長的觀點，一語道破了在資訊安全管理制度之中成敗興廢的關鍵因素，也就是管理階層的親身參與和支持。

企業與組織若想建立一個有效且持續運作的資安管理制度，從一開始的規劃討論與專案啟動，到建立制度並且實施之後的管理審查階段，這些都仰賴管理階層的領導與決策能力，如果管理階層只是像沾沾醫油一樣，那麼這個管理制度註定是會失敗的。

也正因為如此，在ISO 27001標準中的第五章，規範的就是管理階層責任與應有的作為，而第七章則是要求管理階層必須依照所規劃的時程，定期審查組織的ISMS是否如預期般的有效運作，並且要確保可持續地適用於組織現況，同時每一次的審查結果都必須要留下文件化的記錄，以做為日後進行改善之用。

管理階層的承諾

為了要確保管理制度的有效性，ISO 27001標準中要求管理階層必須提供對於ISMS的建立、實施與運作、監督與審查、維持與改進的各項承諾證據，因此，管理階層應有的作為至少包括了：

為組織建立一份資訊安全政策，內容應說明為了達到資訊安全所採取之各項行動，必須依據何種準則或規範來進行。在政策中也需要說明如何去評估組織的資安風險，有哪些必須要遵守的法令法規和合約要求，以及管理階層的責任為何。

制定組織的資訊安全目標，確認達到各項目標的計畫和實施方式，並建立和資訊安全有關的各種角色與責任。例如確保內部員工、外部承包商和第三方的使用者，皆能明瞭其安全責任並符合要求，以降低可能的資訊安全風險。

對內對外傳達所建立的資訊安全政策、目標及法律所規範的組織責任，宣示維護資訊安全的決心，並要求不斷地持續改善可能的資安風險。

提供建立與維持資訊安全管理制度持續運作所需的資源，包括人力、物力和財力等。

在風險評鑑完成之後，決定組織所面臨的資安風險接受準則，要求對於具高風險之資產進行妥善處理，並決定最後可接受的剩餘風險等級。

確保組織依照既定的規劃時程進行內部稽核，依據內部稽核的結果要求進行矯正預防措施，並且實施管理階層審查。

提供運作所需資源

企業或組織欲導入資訊安全管理制度，目前普遍的作法是尋求外部顧問的協助導入，在評估各項文件與實施運作均符合ISO 27001標準的要求之後，再進一步請第三方驗證公司進行稽核，以便取得國際認可的ISO 27001認證。因此，在導入之前，所需成本的預算編列將是第一要務，組織應考慮營運規模的大小、導入的範圍和預計完成的時間來予以評估，而這些也都需要管理階層的參與和核准。

此外，在ISMS的建立、實施與運作、監督與審查、維持與改進的過程中，管理階層的責任是要確保各項資訊安全的作業程序，能夠符合組織營運的要求。換句話說，如果因為資訊安全的考量，所實行的控制措施已妨礙到日常業務的進行，那麼管理階層就必須適時的作出反應，或進行作業程序上的調整。

當然，在導入的過程中，很可能會識別出組織以往未曾發覺的資安風險，這時候進行風險的控管是必要的，而所使用的方式可能是從管理制度面來著手，擬定相關的作業程序，或是透過技術面的管控，藉由購置資安設備來到抵禦資安威脅。這些控制措施的實施是否正確且適當，也需要管理階層定期加以關切，以督導相關人員進行維護與改進。

確保資安認知能力

根據個人的觀察，目前企業或組織中最缺乏的就是熟悉資訊安全的人才，一旦管理階層決定要導入資訊安全管理制度，即刻面臨到的問題就是該由誰來負責執行？雖然我們可以仰賴外部顧問的協助，但若內部人員缺少維護與運作的能力，當合約期滿之後，很可能就會讓整個制度趨於荒廢。

因此，在組成跨部門的資安小組之前，管理階層要決定的就是執行相關工作的人員，到底需要具備什麼樣的能力？最簡單的方法，就是將人員送去參加ISO 27001的各項訓練課程，或是直接聘僱已參與ISO 27001相關課程並通過考試的人員，協助ISMS工作的推動。

為了確保ISMS相關人員的技能，管理階層需要決定教育訓練的實施計畫，並針對不同的角色人員，提供不同的訓練課程。例如主管人員安排參與定期的主管人員資安訓練；一般人員需參與一般人員的資訊安全認知課程；技術人員則參加相關設備的操作訓練或是和駭客攻防有關的技術課程。

當然，這些措施是否有效，也需要管理階層的長期關注，藉由定期審查人員維持教育訓練的記錄，或是已取得之技術證照，可確保所有人員皆認知其負責資安工作的重要性，以及具備所需要之專業技能。

進行管理階層審查

ISO 27001標準中要求，管理階層必須定期審查組織運作中的ISMS，以確保其持續的適用性與有效性。在實務上的做法是至少一年一次定期性的召開管理階層審查會議，根據ISMS運作時所產出的文件記錄，由參與的主管來評鑑ISMS的改善機會和方向。在管理審查程序上，標準要求必須要有9項審查輸入和5項審查輸出，分別說明如下：

審查輸入包括─
(1) 來自於內部和外部稽核的結果記錄
(2) 利害相關團體像是股東、客戶、供應商的意見或所提出之問題
(3) 是否有可以改善資訊安全的產品、技術或作業程序
(4) 已實施的資訊安全控制措施的現況
(5) 各項資訊安全控制措施有效性量測的結果
(6) 先前風險評鑑中尚未處理或忽略的資安風險
(7) 是否有任何影響ISMS運作的因素，例如技術或業務項目變更
(8) 上一次管理階層審查決議需跟進改善的措施
(9) 來自各個階層的管理建議

審查輸出包括─
(1) 如何進行ISMS的有效性改進
(2) 如何更新風險評鑑與進行風險處理
(3) 如何針對影響ISMS運作的因素，進行必要的修正
(4) 適當回應所需的資源需求
(5) 如何改進控制措施的有效性及量測

持續改進管理制度

以上談的都是有關管理階層應有的作為與責任，也反映了管理制度並不只是由高層頒布一些準則規範，就強制要求下面來遵守執行，而是需要由上至下，不斷地溝通討論，實施之後再加以檢討改進。透過這一系列的文章，雖然無法完整敘述整個資訊安全管理制度的全貌，但至少點出了其中的核心價值，希望透過標準這麼好的一項工具，可以讓我們依循並掌握住資安管理的重點。

相信大家都聽過「預防勝於治療」這句話，對於現今事事講究效益與成本的企業而言，能夠預防可能發生的資安風險，絕對比資安問題發生之後，處理與矯正的措施更具成本效益。所以在標準本文的第八章，要求的是ISMS的持續改進與矯正預防措施，提醒我們不要以為進行了風險評鑑，就已經掌握各項可能的風險，而是要不斷地依據組織的運作狀況，注意是否有新的威脅出現，或是因業務變更而產生新的風險，然後及早地加以預防。

萬一真的不幸還是發生資安事件了，也請務必謹記「亡羊補牢」這句話，要積極找出事件發生的根本原因，然後盡快把洞填補起來，以避免問題的再度發生。最後，回應上一期文章提到該由誰來負責進行追蹤確認的改善行動呢？答案當然就是懂得資訊安全，日後必定會晉升管理階層的您。(本文刊載於2009年11月號網管人雜誌)

[專題] 資訊安全管理導入實務(四) - ISMS內部稽核規劃與實施

Tue, 16 Mar 2010 10:25:00 +0000

在了解ISMS的文件化要求之後，接下來要談的就是在管理制度中不可或缺的重要工作，也就是在ISO 27001本文第六章所要求的ISMS內部稽核，在整個稽核過程中，從擬定稽核計畫開始直到稽核結束，事實上，也同樣可以運用PDCA原則來進行。

在您的企業或組織中，好不容易獲得了高階主管的支持，組成了跨部門的資安小組，並依據ISO 27001標準的要求，擬定出資安政策與各項作業規範，建立了文件化的資訊安全管理制度，並要求同仁們配合遵照實施，耗費了這麼多人力物力，突然有一天老闆詢問我們的資安到底做得好不好時，您要如何去展現或證明資訊安全管理制度已被有效地運作與維持呢？

正所謂「口說無憑」，因此您勢必得要拿出些「證據」才行。在資訊安全管理制度中，如果想要判定組織內的資安控制目標、資安控制措施以及實施的過程，是否符合ISO 27001標準的要求，並且如預期般地持續運作與有效維持，那麼定期的執行ISMS內部稽核，並留下相關的稽核報告和記錄，將會是最好的證明方法。

擬定稽核計畫

如果您想要順利完成ISMS內部稽核，以展現出這些日子來資安管理的成效，其實可以秉持之前所提到的PDCA模式來進行。還記得先前提到PDCA是指「計畫—執行—檢核—行動」的過程，因此我們在一開始的稽核計劃階段，首先要確認的是稽核準則和稽核範圍，也就是先去了解我們的稽核依據是什麼，還有稽核範圍到底適不適合。

舉例來說，若是我們實施的是ISO 27001標準的資安稽核，那稽核的依據就是ISO 27001本文和附錄A5~A15控制措施，如果接受驗證的範圍是資訊部門和其負責的機房維運流程，那麼其他和此一維運流程無關的單位，既使發現了不符合標準要求的事項，也不應將它列為此次稽核發現的缺失。

在稽核計畫階段，負責的主導稽核員還需要準備稽核行程表和檢查清單，也要召開稽核前的工作會議，向稽核團隊說明查核的標準、當天的行程及稽核方法。稽核行程表說明了當天的實施流程，因此必須事先傳送給受稽單位並請其確認，而檢查清單則是供稽核小組確認稽核計劃是否有遺漏的地方，通常在檢查清單中的項目至少會包括：
 受稽單位連絡人的姓名、電話
 稽核當天所需的引導人員數量
 稽核當天可作為稽核小組使用的會議室
 受稽單位是否對於稽核人員有健康或特別要求
 稽核時是否需要穿著或配掛特殊裝備
 稽核時需要遵守的現場安全規定
 稽核人員需要簽署的保密切結書

至於內部稽核的實施頻率，一般而言一年執行兩次是適當的，組織也可依照本身業務形態的重要性，來決定是否需要增加稽核的次數，但要注意的是實施頻率若過於頻繁，可能會造成相關業務人員作業的負擔與困擾，因此這點也要審慎加以評估。

建立稽核團隊

實施稽核同樣需要耗費一些人力、物力資源，其中挑選出適當的稽核團隊是成功的必要條件。在挑選人員時我們應事先了解其具有的專業技能，例如應選擇具有網路規劃和防火牆專長的人員去稽查網路的存取安全控制，或是派出熟悉環境安控的人員去稽核實體安全的防護。換句話說，如果稽核人員本身不了解受稽單位的作業事項，很可能會無法察覺潛在的一些不符合標準要求的項目。

此外，有一種狀況是務必要避免的，那就是稽核人員不應當稽核和其本身有關的工作，像是負責網路防火牆管理的人員去負責稽查網路存取安全，那麼這種「球員兼裁判」的行為，將無法達到所設定的稽核目標，同時也使稽核工作失去意義。

所以，一旦建立了稽核團隊之後，在稽核計畫階段就需要收集受稽單位的相關資訊以了解其作業型態，因此和受稽單位保持密切的溝通，提早確認執行稽核的時間，並告知需要準備的事項，這也是稽核團隊應盡的責任，這樣才可以確保稽核過程能夠順暢進行。

執行實地稽核

至於稽核的方法，通常包括了「文件審查」與「實地訪談」，在文件審查階段，主要是了解組織的ISMS相關文件，是否符合ISO 27001標準的文件化要求，並確認管理制度的運作過程中有留下各項記錄，以證明ISMS被有效的實施與進行。

而實地訪談的目的，則是確認相關作業人員，已清楚了解組織的資訊安全政策與目標，並按照所要求的作業規範來執行。對稽核人員來說，稽核的過程就是要能夠去取得「客觀性證據」，也就是依據稽核準則，透過實地訪談觀察到相關的人、事、時、地、物，透過多方面的證據收集，以支持其稽核的發現。

因此，對稽核人員而言，稽核技巧的鍛鍊非常重要，除了本身需要具備客觀性，避免僅從單一事項主觀地去判定問題之外，稽核人員詢問問題的方式也會決定其所收集到證據的完整。以下是稽核人員可運用的實務技巧：

詢問開放性問題：所謂的開放性問題是指讓受稽人員可明確回答和人、事、時、地、物有關的資訊，例如詢問資訊人員對於使用者的通行碼的安全控制措施有哪些？使用者的存取權限要如何進行申請？多久會進行一次審查？也就是說，稽核人員在訪談時應避免詢問「Yes or No」的問題，像是詢問「是否針對使用者的通行碼進行控管？」「有沒有針對使用者存取權限進行審查？」若是皆採用以上封閉性的問法，所得到的答案往往無法進一步提供更多資訊，也會使稽核人員落入難以判定的情況。
自行決定抽查樣本：稽核人員在審查相關文件記錄時，要堅持獨立性原則，例如在審查機房人員進出記錄時，應自行決定要抽查的日期，而不是僅參考受稽人員所主動提供的記錄，更不應受到言語左右而忽略應審查的項目，務必要按照事前所擬定的稽核計畫確實的來執行。
多方收集客觀證據：稽核人員應避免排斥或否定受稽人員的答案，應該多方抽樣或觀察以收集更多的證據。一般而言，受稽單位所提供的相關記錄應至少要有3個月，稽核人員可從不同的時間點或是透過不同的受訪者，來獲得可供判斷的有效資訊。
發展出稽核軌跡：稽核人員在執行稽核的過程中，所獲得的各項證據都必須要留下記錄，也就是在稽核工作底稿中，需要記載所審查的文件名稱、版本，同時包括訪談對象的職稱、回答的內容等，以作為前後比對與確認證據的關聯性之用，此一記錄更可作為稽查不同項目時，發現潛在因果關係的參考。
良好的時間管理：稽核的時間是事先排定的，也就是在執行稽核的當天必須按照表定行程來進行，如果時間沒有妥善掌握好的話，將會影響到接下來的稽核項目，很可能就會遺漏應稽查的事項而損及稽核報告的有效性。萬一發生時間延誤的情況，應盡快向稽核團隊尋求支援，以避免引發負面的連鎖效應。

追蹤確認改善

一開始我們即提到，內部稽核可秉持之前所提到的PDCA模式來進行，顯而易見的我們知道在稽核計畫階段是P、實地執行稽核是D，那麼C和A呢？兩者當然也不能遺漏掉，在這裡的C是指在稽核結束之後，當天會連同受稽單位舉行稽核結束會議，在會議中主導稽核員必須報告當天的稽核發現，並說明是否有未達標準要求的不符合事項，同時請受稽單位進行確認，如果對於不符合事項有任何意見，受稽單位也可當場提出討論，會後的決議結果將會作成正式的稽核報告。

所以，稽核工作到此就順利完成了嗎？當然不是，如果在稽核過程中發現了不符合事項，依據ISO 27001標準的要求，還必須進行follow-up活動，也就是受稽單位必須採行改善措施，以使造成不符合事項的原因消失。內部稽核的A即是指最後還要進行追蹤確認的改善行動，這樣才可使組織的資訊安全管理制度更臻至完善。那麼到底該由誰來負起整個改善行動之責呢？且聽下回分解。(本文刊載於2009年10月號網管人雜誌)

[專題] 資訊安全管理導入實務(三) - ISO 27001的文件化要求

Wed, 24 Feb 2010 05:49:00 +0000

在上一篇，已說明了ISO 27001標準中有關「實施與運作ISMS」、「監督與審查ISMS」，以及「維持與改進ISMS」的作法，並且提到People(人員)、Process(流程)和Product(產品)是資訊安全管理的基礎，如果要將此三者在組織中予以串聯落實，那麼撰寫明確並可供參考的文件就顯得十分重要。

在ISO 27001標準中，開宗明義即提到它的適用範圍涵蓋了各種形式的組織，包括商業團體、政府單位和非營利機構等，標準中規定應在組織整體的營運活動和其所面臨的各種風險中，建立、實施與運作、監督與審查、維持與改進「已文件化」的資訊安全管理系統要求。有關ISO 27001標準的文件化要求，主要是在4.3條文中說明，其所謂的文件化，除了政策的宣示、制訂作業程序規範及表單之外，還包括了管理階層針對資訊安全相關活動，進行各項決策所產生的記錄。

標準要求留下記錄的目的，是為了確保組織所實施的各項資安控制措施，都可以進行追溯，以便了解管理階層是在什麼時間點做出什麼樣的決定。因此，管理階層的各項決策記錄，應該是會不斷重覆產生的，透過這些決策記錄，就可以顯現出管理階層的作為，是不是依據風險評鑑的結果作出適當的風險處理，而不是僅憑個人臆測所作出的指示行動，也更能了解其資安作為是否符合組織的資訊安全政策，並且和組織的整體風險具有明確的關聯性。

ISO 27001要求的文件

組織在導入ISO 27001標準的過程中，需要產出的文件至少包括：

資訊安全政策：在標準本文的4.2.1(b)中提到，組織應依其營運型態、所在位置、資產及技術等各項特性，來制定其ISMS政策，在政策中需要陳述確保資訊安全的目的為何，以及有關資訊安全的行動準則與目標。一般而言，資訊安全的目標不會脫離確保資訊的機密性、完整性和可用性，但是為達到以上的資訊安全目標，在資安政策中應定義出可量化的指標，例如可歸責於資訊單位的駭客入侵和資料外洩事件，經外部通知後尚未處理的事件目標值為0；或是重要應用系統的可用率應高於99%等。另外，組織應考量本身適用的法令法規要求，以及合約規範的內容，在資安政策中說明應有的資訊安全義務，還有管理階層本身應盡的責任，使其在執行管理工作時能有明確的依據。

支援ISMS的各項程序書：為了符合ISO 27001的要求，組織需要加強資訊安全的控管，也就必須建立起各種不同的標準作業程序。常見的作業程序有資訊資產管理程序、網路安全管理程序、資訊存取控制程序、實體安全管理程序、資訊安全事件管理程序和資訊作業委外管理程序等。

風險評鑑方法論：關於風險評鑑的方法，通常會寫在風險評鑑與管理程序之中，說明組織是如何去識別威脅與弱點所產生的風險，以及風險值的評價與計算方式，並定義出可接受的風險等級。風險評鑑方法最重要的就是必須能夠產生可比較和可重複的結果，也就是說，同樣的風險評鑑方法應該能反覆實施，而其所產生的結果可以用來相互比較，以了解組織前後所面臨的風險現況。

風險評鑑報告：在風險評鑑報告中，必須記載此次風險評鑑的範圍和執行風險評鑑的時間，並且說明風險評鑑作業的執行方式與流程，若是首次執行風險評鑑作業，一開始需進行的是資訊資產的識別與盤點，若是重新進行風險評鑑的話，則是要確認組織是否有新增或是異動的資產，並給予適當的資產價值。至於風險的分析，則是要確認是否有新的威脅與弱點產生，並且判斷每一項資訊資產中，威脅利用弱點而產生風險的可能性。最後則是要說明本次風險評鑑的結果，有哪些資訊資產的風險值在可接受的風險之上，以列表方式把它呈現出來。

風險處理計劃：根據風險評鑑報告的結果，組織必須針對風險過高的資訊資產，決定所要採取的風險處理方式。一般而言，最常採取的作法就是降低風險，因此需要提出改善的作為或是控制方法。在風險處理計畫中，除了說明以上的處理方式外，最重要的是要指定一位負責人或負責單位，並註明預定完成處理的日期，以及預期將獲得的改善效益，也就是說明將如何去降低資訊資產的風險值。

控制措施的有效性量測：組織所採取用來降低風險的控制措施是否有效，不是自己說了就算數，而是必須有一套客觀的量測方法，以證明所面臨的風險已經被有效的控制住。針對有效性量測，在ISO 27001標準中著墨的並不多，它提到組織需要確保有效規劃、運作和控制其安全過程，並描述如何去量測控制措施的有效性。在4.2.3條文中則指出，量測控制措施的有效性，目的就是要能證明組織已符合ISMS的各項要求，因此，組織所選擇採用的控制措施，每一項都要說明其量測的方法和量測的指標，並且記錄其量測的結果，以便稽核人員在審查時能夠一目瞭然，判斷選擇用來降低風險的控制措施是否適當。

適用性聲明書：適用性聲明是用來陳述在資訊安全管理的過程中，組織依據風險評鑑的結果，決定選擇適用或不適用的ISO 27001附錄A控制措施。ISO 27001標準中所提到的133項資訊安全控制措施，並非每一項都要求強制實行，而是可依照組織實際的運作狀況和評鑑後的風險來自行決定。只不過，如果控制措施適用的話，必須指出其參考的文件為何，不適用的話，則要說明其理由。舉例來說，例如A.9.1.2實體進入控制措施，其採用的理由是為了確保只有經過授權的人，才能進入如機房等敏感實體區域，所以制訂了人員出入管制規範，而這項控制措施所參考的文件，則是實體安全管理程序和機房管理作業要點，讓相關人員可依照文件中的要求規範來遵照執行。

文件管制防護與作法

在ISO 27001標準中的各項作業程序文件，可說是整個資訊安全管理制度運作的骨架，因此在4.3.2文件管制的條文中，提到這些所需的文件應受到適當的保護與管制，其要求的作法如下：

在文件發行之前，必須要有管理階層的核准，以確保文件內容的正確與適用性。
如果因組織變動或作業流程的更改，在必要的時候，ISMS文件可以進行修訂與內容更新，但是必須經過管理階層的重新審查與核准後，才可頒布使用。
文件如果經過變更或修訂，應該採取適當的標示，例如註明文件名稱、文件編號與版次，並且在變更記錄中記載修訂的內容摘要、頁數、發布日期、修訂日期及修訂人員。
文件必須確保其內容易於識別和閱讀，並且要讓需要使用的人員能夠隨時取得，使用到最新版本的文件。
文件的分發必須進行管制，依照不同文件的敏感等級，提供給授權的人員使用，並且依照其所要求的資料交換作法，進行傳送和儲存。
文件若需要作廢時，應依據作廢流程確實執行，以避免作廢的文件遭到誤用，在特定的情況下，如果需要保留作廢的文件，也應該要有清楚的標示。

記錄管理要求與維持

除了各項文件需要受到適當控管之外，在ISO 27001標準4.3.3記錄管制的條文中，要求各項記錄應加以保護與管制，尤其是在法律或合約中有明訂要求保存的，更應該要有良好的控管。因此，在ISMS運作的過程中，所產生的各項活動記錄，也應該要被適當的保存，以作為管理制度有效運作的證據。所謂的記錄，包括像是機房人員的進出記錄、敏感資訊的存取記錄和資訊安全稽核報告等，都應保持容易閱讀、識別和檢索，並有適當的儲存方法與保存期限，而無論是文件或是記錄，都可採取紙本或電子形式，儲存於受到良好防護的實體，例如檔案室或硬碟、磁帶之中。

至於本文一開始所提到的「已文件化」程序，乃是指組織有一建立、文件化、實作和維持的程序，因此針對各項ISMS需要的文件與運作記錄，每個組織可能會有不同的文件化程度，但是在文件與記錄的管制要求上，兩者並無差別。所以，組織若想要維持一個有效且持續運作的資訊安全管理制度，那麼在文件與記錄的管理方面，勢必得要建立起符合標準要求的作業規範。(本文刊載於2009年9月號網管人雜誌)

[專題] 資訊安全管理導入實務(二) - 實施與維護資訊安全管理系統

Mon, 08 Feb 2010 14:03:00 +0000

在上一篇，介紹了目前廣泛被認可的資訊安全管理標準ISO 27001，可以作為企業建立資訊安全管理制度(ISMS)的參考規範，並且說明了支持管理制度運作的PDCA架構和「建立ISMS」條文的內涵，本篇將繼續說明標準中有關「實施與運作ISMS」、「監督與審查ISMS」，以及「維持與改進ISMS」的作法。

資訊安全是一個管理過程，在建立資安管理制度的過程中，主要會牽涉到三個P，分別是People (人員)、Process (流程)和Product (產品)，而在此三者之中，又以人員可說是管理制度成敗的首要關鍵。因此，在企業建立資安管理制度的初期，要如何找到對的人來執行，也就是如何成立一個資安管理推動小組，驅動企業成員的參與，將是首要的任務，接下來才是去思考如何建立起安全的作業流程，然後在作業流程的各個階段，導入適當的資安技術產品，以作為資訊安全的控制措施。

就目前個人所觀察到的現況，大多數企業對於資訊安全的管理，主要仍是落在導入產品的這一部份，所採取的作法也偏重在頭痛醫頭、腳痛醫腳，缺少一個有效完善的資安對應策略。相關人員對於資訊安全的概念，也是來自於銷售資安產品的廠商，往往會受限於只從技術的觀點出發，而忽略了管理的要求，以為添購了市面上最流行的產品之後，就可以解決所面臨的資安問題，但是事實上，資料外洩或是不當的入侵事件，在企業內仍舊是層出不窮。

實施與運作資安管理制度

在上回所談到建立ISMS的過程中，我們必須界定能夠識別企業風險的風險評鑑方法，並且運用此一方法去識別企業各項具有價值的資產，評估資產本身所具有的弱點，以及所面臨的威脅是否會利用這些弱點，可能對企業造成機密性、完整性和可用性的衝擊，然後再針對分析和評估各項風險的結果，依據所計算出的風險值大小和風險等級，決定要如何進行風險處理，也就是要選擇實施哪些資安控管措施。至於這些控管措施的作法，可能是透過建立標準作業流程來因應，或是添購產品以技術方法加以解決。

在ISO 27001標準4.2.2「實施與運作ISMS」條文中提到，我們要去建立一個風險處理計畫，評估企業現有的環境、資源和責任，然後制定出風險處理的優先次序。在風險處理計畫中，人員的調派和責任的配置相當重要，針對各項想要處理的風險，我們必須指定一位負責人，並說明要採取何種方式去降低此項風險及處理時間，如果是導入產品，就要擬定導入產品的時程，以及預估其可達到的控制成效。

其中特別要注意的是，在產品還無法負起資安防護的工作之前，必須選擇短期的對應措施。舉例來說，若企業所分析出的風險是敏感作業區域缺少門禁管制，採取的風險處理方法為添購門禁刷卡系統，但是預估要三個月才能建置完成，那麼在這三個月之內，缺少門禁管制的風險依舊是存在的，我們必須要實施短期的控制措施，先行控制這項風險，具體作法像是可調派警衛執行定點監控，檢查出入人員識別證等，以避免可能的資安事件發生。

到了運作ISMS的階段，企業必須要能確保所選擇的控制措施是有效的，換句話說，可以透過量測的方式，來評估控制方法的有效性。俗話說：「預防勝於治療」，所以在量測指標的設定上，我們應以設定偵測性指標為主，而避免把發生資安事故的次數作為量測的指標。例如在資料安全性的量測方面，我們可以用人員違反作業規範的次數來進行評量，而不是以發生資料外洩事件的件數作為量測的指標。

監督與審查資安管理制度

為了確保資安管理制度能夠有效運作，企業必須要有適當的監督方法，像是剛才提到可以設定量測性指標作為控制措施是否有效的衡量依據，因此，若想要去進行量測，就要事先擬定出可行的監督審查程序。在ISO 27001標準4.2.3的條文中提到，我們要能立即識別出可能危害資訊安全的事故發生，也要能夠判定所選擇的控制措施，都能如預期般地順暢運作執行。所以針對每項控制措施，就要在監督程序書中說明我們多久會進行一次有效性量測？如何去判定此項控制措施是否有效？多久會進行一次管理階層的審查？並且還要將安全稽核、發生的資安事故、有效性量測的結果，以及利害關係人所提出的建議，一併納入考量。

對企業而言，想要了解制度是否有效的執行，最常採取的作法就是定期實施內部稽核。所謂的內部稽核是指由企業內獨立的公正單位，像是稽核室人員，依照企業本身所遵守的標準、制度和法規，事先擬定查核項目，然後進行實地訪查和抽樣，以了解管理制度是否如文件中制定的要求來進行。在稽核的過程中，若有各項符合或不符合事項的發現，都要留下包括人、時、地、事、物的完整記錄，以作為未來管理階層審查時的輸入參考，藉此才能提出未來的改善目標和計畫。

維持與改進資安管理制度

企業透過定期實施的資安稽核，就可以了解目前資安管理制度的執行現況，從中發現人員、作業流程和產品技術是否有不足或是需要加強改進的地方。因此，在標準4.2.4「維持與改進ISMS」條文中提到，企業需要定期實施各項ISMS之改進，並依據所發現的不符合事項，進行適當的矯正和預防措施，像是作業文件的修訂、實施人員的教育訓練、加強技術性的弱點防護等，目的就是要達到預期的改善目標，並且確認各項資安控管措施是有效的，才能將可能的資安風險降至最低。

在ISO 27001標準的4.2條文之中，關於建立ISMS的篇幅較大，敘述也較為詳盡，這部份是企業一開始最用心且投入較多的地方，反觀維持與改進ISMS的內容，它說明應執行的事項並不多，也是整個管理制度中，很容易忽視或執行不夠徹底的地方。記得在西遊記裡有句諺語說：「起頭容易結梢難」，意思是指事情的開頭容易，但是要有令人滿意的結果卻很難。所以在此要提醒各位，可別忘了要確保資安管理制度可以有效地運作，就必須要持續PDCA的管理模式，例如維持與改進ISMS是屬於A的階段，若是沒有確實的執行，要再次銜接到下一循環的P就會有困難，可能會導致整個管理制度難以持續有效地運作下去。

熟悉標準將可事半功倍

所謂的管理制度，往往是說來容易做來難，以ISO 27001為例，在這薄薄數十頁的標準內容中，其實有著相當博大精深的內涵，要能夠完全理解它並不容易，但參照標準的好處是，可以快速地掌握各項資安管理制度的重點，然後再依據組織的現況和資源來予以彈性的運用。

至於本文一開始提到的三個P，則是執行資安管理的基礎，同時三者也是不可偏廢的，換句話說，想要只依靠單一要素來達到有效的資安管理，可說是難上加難，唯有融合專家智慧所凝聚出的標準規範，再讓上述三者能夠相輔相成，這樣才可達到事半功倍的效果，對於有心想落實資訊安全的企業，標準才會變身成為一項切實可用的神兵利器，而不只是所謂的紙上談兵，下一篇，將會說明ISO 27001針對管理制度的各項文件化要求。(本文刊載於2009年8月號網管人雜誌)

[專題] 資訊安全管理導入實務(一) - ISO 27001資訊安全管理系統簡介

Mon, 01 Feb 2010 03:01:00 +0000

推動資訊安全工作，主要涵蓋的層面包括人員、作業流程和資訊技術，要如何將此三者串連起來，最好的方式就是建置一套適合組織的資訊安全管理制度。目前，實務上最好的參考指引就是國際資訊安全管理標準ISO 27000系列的規範，接下來的文章，將會說明如何協助組織導入符合標準要求的資訊安全管理制度。

一談到資訊安全，大多數人的直覺反應就是在抵擋駭客入侵，但事實上，這只是其中的一小部分而已。過去，許多企業組織對於資訊安全的投入，主要都是著重在技術面的資安基礎建設，例如建置網路防火牆、防毒軟體和入侵偵測系統等，希望藉由安裝資安軟、硬體設備來加強網路安全，以抵擋來自企業外部的各種資訊安全威脅。

可是，僅僅做好網路安全防護，並無法有效地解決各種資訊安全問題的發生，因為還有兩項大原則必須要同時兼顧到，那就是人員與作業流程。因此，確保組織資訊安全的最佳方式是從管理層面來著手，藉由建立一套完整的資訊安全管理系統(Information Security Management Systems, ISMS)，才能有效防範資訊安全事件的發生，但是資訊人員們可千萬別誤會，這裡的「系統」指的並不是架設一台伺服器或是開發某個應用系統，它背後代表的意義，其實是要建立可以持續運作的資訊安全管理制度。

資訊安全管理標準簡介

目前，ISO 27000系列是國際上受到認可的資訊安全管理標準，其中在2005年通過的ISO 27001標準，它是規範建立、實施資訊安全管理系統的方式，以及落實文件化的要求，可以確保資訊安全管理制度，在組織內部能夠有效的運作，同時它也可以作為資訊安全管理系統的驗證標準。截至2009年6月為止，在全球已經有超過5600個組織通過驗證，台灣也有321個組織(包括公民營單位)取得ISO 27001證書，僅次於日本、印度、英國，位居全球第4位。

至於ISO 27002則是資訊安全管理作業要點，內容涵蓋了11個章節以及133個安全控制措施，提供很多實務上能夠運用的做法，可作為建立一個標準的資訊安全管理系統的參考。如果管理人員想要協助組織建立資訊安全管理制度，卻不知應該要如何著手時，就可以參照這個標準的內容來進行。

在ISO 27001標準中的要求，都是屬於一般性且可廣泛應用的，也就是說，它適用於任何型式的組織，而不受限於規模大小和營業性質。因此，只要是有心想要加強資訊安全的企業或政府單位，都可以藉由參考ISO 27001中的規範，自行選擇符合組織需求的資訊安全控制措施，來達成一定水準的資安防護能力。

管理制度的運作架構

在資訊安全管理系統的運作上，ISO 27001要求組織應該要在整體業務活動與其所面臨的風險之下，建立、實施、運作、監控、審查，並且維持和改進一個已經有文件化的管理制度，如果要確保它可長可久，就必須要運用PDCA(Plan-Do-Check-Act)過程導向模式，作為整體管理制度運作的基礎。

所謂的PDCA是指「計劃-執行-檢核-行動」的過程，在一開始的計劃階段，組織必須要建立符合營運目標的ISMS政策，它定義了組織實施ISMS的範圍，並說明資訊安全的目標、需要透過哪些指標去衡量成效，以及管理階層應該擔負的責任。因此，資訊安全政策也可視為管理階層對於資訊安全的宣誓與支持，唯有如此，到了執行的階段，我們才可依照此一政策來逐步推動各項資安的控制措施，並且建立相關的作業程序。

在依照計劃並且執行之後，要如何得知實施的成效呢？這時候就要進入檢核的階段，針對ISMS政策、控制目標及實行的過程，依照政策中所設定的指標去分析、評量實施的成果與績效，然後再將此一結果回報給管理階層作為審查之用。最後，再依據審查的結果，若是發現執行過程中有一些不符合的事項，就要透過實際行動來進行改善，也就是採取相對應的矯正和預防措施，來持續改進ISMS的整體運作。

ISO 27001標準條文內容

ISO 27001標準條文一共分為8個章節以及附錄，其中第1到3章，說明了ISMS的適用範圍、所引用的其他標準，以及相關名詞的解釋。ISO 27001條文的重點主要是落在第4到8章和附錄A，分別是「資訊安全管理系統」、「管理階層責任」、「ISMS內部稽核」、「ISMS之管理階層審查」、「ISMS之改進」，以及附錄A的控制目標與控制措施。其中特別要注意的，就是在這5個章節之中，涵蓋了資訊安全管理制度的建立運作與文件記錄管制、風險評鑑、管理責任、內部稽核和持續改善等要求，如果組織有任何一項不符合，就表示此一管理制度是無效的，也就無法通過ISO 27001標準的驗證，所以務必要了解條款背後所代表的執行意義。

為了滿足以上所提到的PDCA架構，在ISO 27001標準條文中，也是基於此一運作模式來設計，以第4章為例，4.2.1是「建立ISMS」、4.2.2為「實施與運作ISMS」、4.2.3是「監督與審查ISMS」、4.2.4則是「維持與改進ISMS」，剛好就對應了從計畫建立(P)、實施運作(D)、監督審查(C)及維持改善(A)的四個循環過程，換句話說，只要組織能夠持續PDCA的管理模式，就可以確保資訊安全管理制度可以有效地運作。

以下就先簡要說明4.2.1「建立ISMS」條文的內涵：

定義ISMS範圍 - 在此條文中，要求組織首先要依據營運、組織、所在位置、資產和技術等特性，定義出資訊安全應受到適當控管的範圍。我們可以依照組織本身的特性，以部門、系統、業務項目或實體環境來定義所要實施控管的範圍，舉銀行業為例，我們可以選擇銀行資訊部門作為導入ISMS的範圍，也可以將信用卡這項業務服務相關的部門、人員、流程或是信用卡服務中心所在地點作為實施範圍。在實務上，當組織在定義範圍的時候，請僅記一項原則，就是務必要把核心的業務納進來，因為別忘了我們一開始即提到，資訊安全的目標要與營運目標一致，如果不針對主要業務來進行資安控管，實施起來就不具有意義了。
界定ISMS政策 - 在制定政策的時候，我們需要考量組織營運與相關法規的要求，還有合約中所制定的資訊安全責任，例如法律要求必須要保障個人隱私、保護重大營運資訊，或是合約中要求必須保護客戶資料等，這些都是我們設定資安目標時的重要依據與參考。另外，在ISMS政策中，我們也要建立可以用來評估風險的準則，並且要能符合組織的整體風險管理策略。
界定風險評鑑作法 - 風險評鑑有各種不同的方法論，讀者可參閱網管人二月和三月號中有關資安風險管理的說明，自行發展出可以識別組織風險的方法，並定出風險可以接受的等級。標準之中對於風險評鑑方法的要求，在於風險評鑑後所產出的結果，必須是可比較且可再產生的，換句話說，風險評鑑的方法，必須能夠重複使用，而且在不同時期進行的風險評鑑，其結果皆可用來相互比較分析，以作為風險處理與改善的方向。
管理階層審查 - 標準中提到在風險處理之後，所殘留下來的剩餘風險，必須要取得管理階層的授權與核可，整個風險處理過程才算完成。
擬定適用性聲明書 - 所謂的適用性聲明是指針對資安風險所選擇的控制目標與措施，組織必須要說明其選擇的理由，另外，在標準中所排除的控制項目，也必須要提出合理的解釋。適用性聲明的主要目的，是為了要確保不會有存在於組織中的資安風險，受到忽略而缺少適當的控管。

資訊安全是一個管理過程

資訊安全是一個管理過程，而不是一項技術導入過程，在ISO 27002標準中提到，「資訊安全是為了有效保護資訊不會受到各種威脅，實施各項適當的控制措施，以使企業能夠持續營運，將可能受到的損失降至最低，並獲得最大商機。」所以，維護資訊安全並不單只是資訊人員的責任，而是必須提高層級由企業組織的管理階層做出承諾，要求成為所有人員必須遵守的規範，也唯有人員都具備了資訊安全的警覺與防護意識，才能降低資安事件發生的可能。(本文刊載於2009年7月號網管人雜誌)

舊留言存檔

以下留言轉存自原 Blogger 網站，僅供存檔，無法回覆。

Dr security（2010-02-07）

您好，很喜歡您整理的資料，我個人是在安全監控業服務的(包括ip cam)，剛成立一個BLOG，有興趣的話，可以前來指導一下，謝謝。 http://securitypro-anny.blogspot.com

傑克小花（2010-02-07）

您好，謝謝您的回應，安全監控也是資安的重要一環，您能在Blog上分享寶貴的經驗那真是太好了呢，也希望日後能與您多交流喔~

阿樹（2012-06-21）

最近看資策會好像有開ISO27005 RA 的認証課。不知道這個認証。是否有考的必要性呢?

傑克小花（2012-06-21）

Hi 阿樹, 如果您的工作是和資安與風險管理有關，那麼 ISO 27005是一個蠻好的參考標準，它可以協助您進行資安的風險評鑑和風險處理，對於風險管理的全貌也會有更完整的認知喔~

[專題] 電子商務資訊安全與法規遵循

Mon, 21 Dec 2009 03:25:00 +0000

網際網路的盛行，大幅擴展了資訊交換的領域，也改變了傳統的商業交易模式，對於現代企業而言，透過網路即可整合成一個上下游的供應鍊，能夠隨時採購所需要的各式原料與貨品；而對消費者來說，若是想要購買各種商品，已經不再需要攜帶現金跨出家門，也不需要在大賣場裡盲目地尋找想要購買的物品，更不需要一家一家去進行比價，花費太多力氣和時間來找出最值得購入的超值商品。

事實上，今天的消費者只要打開家裡的電腦，輕輕移動滑鼠連上網路，就可以連結販賣各種商品的網路商店，而且還可藉由商品比價的服務，輕鬆地找到想要購買的物品，然後把它們統統放到虛擬的購物車之中。一旦完成選購之後，接著只要按下「結帳」按鈕，再輸入商品送貨的地址和收件人資訊，透過信用卡來直接進行線上交易，短短幾十秒的時間內就可完成購物，有些物品甚至保證在24小時內就可送達顧客手中，若超過遞送時間的話，還會送上補償的現金折價卷，真是方便到令人難以想像。

不過，伴隨著「方便」而來的另一面，往往就會產生所謂的「安全」問題，因為消費者只要憑著信用卡號就能購買商品，那麼，商家要如何確保信用卡號不會在交易過程中被盜用，而造成個人的財務損失？如何去確保這些牽涉到金融交易的資訊，不會輕易落入惡意的第三者手中(例如駭客和公司內非經授權的員工)，而被用來從事非法的行為，這些都是提供電子商務和線上交易的業者，必須要認真去面對的問題。

電子商務面臨的安全威脅

根據媒體的報導，從2007年下半年起，因為網路購物資料外洩導致的詐欺案件，已經成為詐騙手法的主流，每月發生件數佔各類詐騙案件的三分之一，警方指出，這些詐騙集團看準了時下年輕人大量使用網路購物，所以經常假借拍賣網站或網購平台業者名義，假冒網購服務人員來行騙。

回顧過去，有關信用交易和線上交易所發生的個人資料外洩事件，在國內外都時有所聞，例如：

2005年6月，美國CardSystems電子付款資料處理公司，因為遭到駭客入侵被植入了惡意程式，導致4000萬筆交易帳戶資料外洩，成為當時規模最大的個人資料外洩事件。

2005年7月開始，美國零售業者TJX公司，至少有一年半的時間，由於無線網路遭到駭客入侵，惡意人士可自由地進入TJX的資料庫，偷偷地盜取客戶的交易資料，造成了4,500萬筆以上的客戶信用卡資料外洩，損失所及包括後續遭到盜刷的各家發卡銀行。

2007年1月，雅虎日本(Yahoo Japan)拍賣網站，出現了大量使用台灣信用卡卡號的異常消費，這些卡號都是事先被人側錄下來，然後集體在雅虎日本拍賣網站上盜刷，發卡單位包括了台灣數家知名銀行業者，約有數千名卡友被波及。

2007年6月，歐洲更發生了大規模的網站遭受駭客入侵、竄改網頁程式碼的事件，受到影響的網站超過了一萬個，其中絕大多數是屬於旅遊、飯店、汽車製造與影音娛樂類等網站；同時間，全台灣也有984個網站被植入了惡意程式碼，包括了汽車、體育、商業和學術機構等網站，民眾只要瀏覽了這些被入侵的網站，就有可能不知不覺被安裝了木馬程式或病毒等惡意程式，竊取個人隱私資料。

2007年12月，國內有八家購物和網路線上遊戲業者，疑似被竊取會員交易資料之後，再轉向購物網站會員進行詐騙，歹徒會以電話清楚告知被害人過去購物的內容明細，再謊稱因為作業疏忽誤將付款方式勾選為分期付款，進而要求消費者至ATM操作以便更正，誘使消費者不小心轉帳上當，預估被害人達五千多人；同時間，某知名線上購物平台業者，受到來自大陸的惡意入侵攻擊，在很短的時間內，被人大量地進行會員資料比對，不斷嚐試破解會員帳號密碼，藉此來取得進入會員登錄資料，有5400筆帳號和密碼因此被比對成功而外洩。

2008年4月，某知名化妝品網站，也傳出會員帳號、密碼疑似遭到歹徒入侵破解，共有70多位會員資料外洩而被詐騙集團利用，要求會員需至ATM提款機前操作，以便更改已付款的訂單，暗中再趁機轉出存款。

以上的資訊安全事件，都是經由媒體所披露出來的，事實上，這些很可能只是冰山的一角而已，還有許多的電子商務業者，對於網站的安全，仍然沒有很好的防護措施，即使被惡意人士入侵竊取了資料，也還是一無所悉，受害的都是那些信用卡號和個人資料遭盜用的消費者而已。當然，也有許多業者，積極地想要加強電子商務的資訊安全，以維護網站的聲譽和消費者的權益，但是卻不知該從何作起，對於這些有心的業者，個人的建議是，不妨參考國際通用的資訊安全法規，從中去挑選適合自己營業項目型態的條款，從這些基本的安全要求開始做起。

認識資訊安全相關法規

對於電子商務業者而言，參考國際法規的規範要求，對於資訊安全防護工作將有莫大的幫助，事實上，有許多法規也已成為各個產業必須確實遵守的法律要求，如果沒有符合法規的規範，企業的負責人很可能會面臨法律刑責與罰款的處罰。

針對目前國際上與資安有關的法規，簡要說明如下：

美國Sarbanes-Oxley Act沙賓法案 - 要求美國公開上市公司必須做好內稽內控的資安工作，確保財報之正確及有效性，適用對象只限於在美國掛牌上市的企業，以及美國企業赴海外設立的分支機構及子公司，若是重要營運資訊遭到竊改或公佈，造成市場重大影響，將處以100萬美元或是對負責人處以20年以上刑期。
美國Gramm Leach Bliley Act (GLBA)金融服務法案 - 要求相關金融產業必須保障個人金融資訊隱私，確保資料的機密性、完整性，避免資訊遭到未經授權的存取與誤用，違反者將處1萬美元罰款，其目的在於提供審慎服務架構，考量銀行、證券商、保險公司及其他金融服務業的健全經營，全面提升金融服務業之競爭力。
美國Healthcare Information Portability and Accountability Act (HIPPA)法案 - 明文要求所有處理或持有健康醫療相關資訊的組織，都必須遵守「保護病患個人資料」的安全性規定。要求相關單位之醫療照護必須要確保個人醫療資訊的安全，具備良好的存取控制措施，並確保資訊在傳輸、處理、儲存過程中不會被竊取或竄改，未遵守者將處五萬美元罰款和一年徒刑。
California Senate Bill 1386法令 - 要求企業在發生資料外洩事件時，必須要通知企業員工、顧客及可能受到侵害的個人，避免掩蓋事件而造成更大的傷害。
Payment Card Industry(PCI)資料安全標準 - 由各家支付卡業者所發起，主要是針對個人的信用卡相關資料，要求銀行必須實行嚴謹的安全控管措施，以保護信用卡持卡人的資料安全。

除了法規之外，目前國際上通用的資訊安全管理標準ISO 27000系列，則是國際認可的資訊安全管理標準，標準內容主要分為兩個部份，ISO 27001是規範建立實施資訊安全系統的方式和文件化的要求，以確保資訊安全系統能夠有效的運作，並且可作為資訊安全管理系統的驗證標準，在全球已有超過4000個組織通過驗證，台灣目前有181個組織取得證書，位居全球第4位。

至於ISO 27002(前身為ISO 17799)則是資訊安全管理作業要點，內容涵蓋了11個章節以及133個安全控制措施，可作為建立一個標準的資訊安全管理系統的參考，管理人員在建立資訊安全管理系統時，建議可參照這個標準來進行。

在ISO 27001標準中提到，「確保資訊安全是一個管理過程，而不是一項技術導入過程，它是為了確保資訊安全所實行的各項措施，能夠有效保護資訊不會受到各種威脅，以使企業能夠持續營運，並且將可能受到的損失降至最低。」所以，維護資訊安全並不單只是資訊人員的責任，而是必須提高層級由企業組織的管理階層做出承諾，要求成為所有人員必須遵守的規範，也唯有人員都具備了資訊安全的警覺與防護知識，才能降低發生資訊安全事件的可能。

PCI DSS資料安全標準介紹

以上所介紹的資訊安全法規中，個人認為PCI DSS是電子商務業者可以參考的最佳指引，PCI DSS是由American Express、Discover Financial Services、JCB、MasterCard Worldwide、Visa International等五家知名的電子付款與信用卡業者所共同組成的PCI Security Standards Council組織所制定，要求所有提供信用卡服務的商店，和支付款有關的業者，在儲存、處理與傳遞持卡人資料時，必須要有符合標準要求的安全控制措施。

此一提供給全球產業共同遵守的資料安全標準，雖然主要是用來保護信用卡持卡人的資料，但其目的就是為了要保護個人敏感資訊，以確保電子商務的交易安全。因此，對於提供線上交易的業者而言，主動落實PCI DSS中所明訂的各項要求，將可有效保護網站交易的各項資料。

本文所參考的的版本是在2006年9月發佈的PCI DSS 1.1(2009/3/31已更新為1.2)，一共分為6大目標和12項基本要求，內容涵蓋了技術、政策和程序，這些要求可用來審視業者的安全機制，用以保障持卡人的帳戶及交易資料安全。條文的要求內容說明如下：

(一) 建立並維護一個安全的網路
要求1：安裝並維護良好的防火牆配置，以保護持卡人的資料。
要求2：不使用設備出廠的預設值，例如管理密碼和其他安全參數。

(二) 保護持卡人資料
要求3：必須妥善保護儲存的持卡人資料。
要求4：透過公共網路所傳送的持卡人敏感資料，必須加密。

(三) 維護一個弱點管理系統
要求5：安裝防毒軟體，並經常更新程式和病毒碼。
要求6：發展及維護安全的系統和應用程式。

(四) 實施強有力的安全存取控制措施
要求7：依據業務需求，限制對於持卡人資料的存取。
要求8：對於進行資訊存取的個人，只賦予一個唯一識別碼。
要求9：限制持卡人資料的實體存取。

(五) 定期監控並測試網路
要求10：追蹤並監控存取各項網路資源和持卡人資料的過程。
要求11：定期測試系統安全與流程。

(六) 維持一個資訊安全政策
要求12：實施並維護一個資訊安全政策。

PCI DSS對電子商務安全的要求

PCI DSS標準所要求的對象是支付卡相關產業，目的是為了要保護電子商務交易的資料安全，企業若想要達到PCI DSS標準的要求，必須依照營運規模或每年的交易筆數，透過自我評核問卷 (Self-Assessment Questionnaire)、弱點掃描(Vulnerability scan)和實地稽核(Onsite review)等三種方式來進行認證，以下說明各項要求中應該注意的重點事項：

要求1：在要求1中，業者必須要建立起防火牆的配置標準，像是防火牆的建置拓樸圖、防火牆規則的建置說明以及DMZ區中的安全設定與網段區隔。基本上，除了必須的網路協定之外，其它不必要的網路服務與通訊埠皆不應開放，而且只要是含有儲存持卡人資料的系統，它和公用伺服器之間的任何連線，都必須建立起防火牆來加以區隔，並且藉由實施IP偽裝的機制(NAT)來避免內部主機位址暴露在網際網路上，以限制任何儲存敏感資訊的系統可以被外部公開地存取。

要求2：業者若是透過供應商來安裝各式系統和網路元件，例如防火牆、路由器、無線網路基地台等，應該修改系統管理的預設值，並且針對所有的管理連線進行加密，以避免駭客直接以系統預設帳號及密碼，繞過防線直接危害到管理系統。另外，若是自行開發各項延伸的系統元件，應採取業界建議的安全開發配置標準。

要求3：針對網站儲存的持卡人資料，業者應該秉持保留最少數據的原則，並且制定一個資料處理與儲存程序，來做好持卡人資料的控管。例如，若需要顯示持卡人主要帳號資料時，應採用前六或後四碼的隱蔽措施，如果需要將主要帳號資料儲存的話，也需要採取加密方式來確保資料不會任意被讀取。在實施了加密之後，用來加密持卡人的金鑰就成為重要關鍵，所以還要制定金鑰的管理流程和程序，來確保金鑰不會被洩露和濫用。

要求4：若敏感資料需要透過公共網路來傳送，務必要採用強度難以破解的加密演算法和安全協定，以避免資料在傳遞的過程中遭到破解與竄改。因此，網站必須提供像SSL/TLS或IPSec等安全傳輸協定，並且針對所傳輸的資料進行加密。

要求5：所有和持卡人資料有關的系統，都應該安裝防毒軟體，並且經常更新病毒碼，在防毒軟體的選擇上，建議最好同時具備防木馬與間諜程式的偵測功能。另外，更要確保所有的防毒措施都能及時更新，並且產生可供日後稽核的事件日誌。

要求6：網站的主機系統和應用程式，應該在由供應商發佈修補檔的一個月內進行安裝更新，管理者可以用訂閱方式來接收最新發現的安全弱點。若是自行開發的應用程式，應該採行業界的最佳實務如Security Development Life Cycle(SDLC)，將資訊安全與整個軟體發展生命週期相結合，而且要基於安全的程式編碼原則，以確保所有應用程式不會有已知的安全弱點，並且能抵禦已知的惡意攻擊。如果系統和軟體的配置需要更新或修改的話，也要事先取得管理階層的授權，依照所制定的變更控制流程來進行。

要求7：在存取控制措施方面，只能允許工作上有需要的個人來存取電腦資源和持卡人資訊，也就是依據「僅知原則(need to know)」，除非有獲得授權許可，否則應該拒絕所有的存取行為。

要求8：針對存取資料的使用者，必須賦予一個唯一的帳號，才能允許其存取和持卡人有關的資料，這樣做的目的在於一旦發生的非法事件，才能追溯相關責任。而針對採用遠端網路存取的員工或第三方合作廠商，也必須採用雙因素身份認證機制，也就是除了採用帳號和密碼之外，還需要使用如Token、憑證、或生物特徵(指紋)等方式來識別連線的使用者。PCI DSS要求，只要是在系統中需要使用的密碼，無論是儲存或傳輸，進行加密是必要的安全措施。

要求9：針對持卡人資料的實體存取行為，必須採用監視系統和門禁管理等適當的控制措施，而針對所有含有持卡人資料的紙類或電子媒體，都應存放在安全的地點，並採行實體安全保護，無論是內部或外部，含有持卡人的資料都應該限制發送，而且儲存持卡人資料的媒體在離開安全區域之前，也都需要經過管理階層的核准才能放行，一旦含有持卡人資料的媒體不再需要保留時，也要按照一定的安全程序進行徹底銷毀。而針對員工與訪客，也必須有一套流程，像是採用訪客識別證或通行卡，確保對所有訪客都能被有效管理，在訪客來訪期間的日誌記錄，至少需保存三個月以上，以確保訪客的活動能夠被稽核。

要求10：對於和持卡人資料有關的所有存取行為，必須建立一個識別程序，來記錄追蹤存取事件，所記錄的內容應包括使用者ID、事件類型、日期時間、成功或失敗、事件來源、受影響的資料、系統元件或資源的ID或名稱。對於這些事件，管理者應每天進行審查，並且妥善保護稽核軌跡，以防止日誌遭到竄改，所有的稽核記錄應至少保持一年。

要求11：針對各項的安全控管措施，每年應定期實施測試，以確保控制的有效性，每季也至少進行一次內部和外部的網路弱點掃瞄，尤其是在網路發生重大變更之後也要執行一次。針對可疑的入侵事件，應建立警示和通報的機制，一旦發現網路或主機遭到入侵，或是關鍵系統或檔案被非授權的更改，都要能夠及時通報相關的人員。

要求12：業者應建立、發佈、維護和宣傳一個資訊安全政策，並確保所有員工和合作夥伴，都能明瞭相關資訊安全的責任。在人員管理方面，對於待聘員工應進行背景資料的查核，對新進員工則應實施有關資訊安全意識的宣導，使所有員工都能了解保護資料的重要性，藉此將來自內部的資料外洩風險降至最低。如果不幸發生了資料外洩事件，業者應依照事先建立的事件回應計劃來處理，針對所有合作的供應商夥伴，在合約中也應該註明各項安全要求。

預先做好電子商務安全防護

電子商務業者除了參考PCI DSS標準的要求，來加強各項安全控制措施之外，在網站與資料安全管理方面也是相當重要的，尤其是一旦發現資料有可能遭到竊取而外洩時，就應該在第一時間內通知消費者，並盡快進行後續的補救措施，以避免事件一發不可收拾，而造成更大的損失。

另外，隨著新的弱點與攻擊手法不斷出現，業者必須要求系統接受定期的安全測試，以確保安全性不會隨著時間或是因軟體變更的關係而受到影響。換句話說，業者務必要定期進行安全稽核工作，以確保系統可能的漏洞都已修補，並且合乎本身所制定的資訊安全政策，至於資料本身，則要設定追蹤監控機制，以了解到底是誰在什麼時間、地點，存取了哪些資料。

最後，電子商務業者務必要建立一個有效的資訊安全政策，所謂的有效性是指唯有透過管理高層的正式發佈與重視，才能讓所有員工了解資訊安全的重要性，並且明白必須承擔的相關責任，這樣才有可能真正地落實資訊安全的各項工作。(本文刊載於2008工商時報電子資訊工業年鑑)

<參考資料>

[Q&A] 目前各國政府的資安法規中，網站安全通常與哪些議題相關？

Wed, 25 Nov 2009 09:50:00 +0000

談到網頁安全，讓我們先來回顧一下過去所發生的重大資安事件，在2005年，美國的CardSystems Soultions電子付款資料處理公司，因為遭到駭客入侵植入了惡意程式，導致4000萬筆帳戶資料外洩，引起了一陣軒然大波，成為史上規模最大的個人資料外洩事件；在2007年6月，歐洲更發生了大規模的網站遭受駭客入侵、竄改網頁程式碼的事件，受到影響的網站超過了一萬個，其中絕大多數是屬於旅遊、飯店、汽車製造與影音娛樂類等網站；而根據刑事局科技犯罪防治中心的統計指出，目前惡意網頁也已成為台灣排名第一的網路犯罪手法，主要受害的不再只是提供服務的網站業者，而是可能上網瀏覽網頁的一般民眾。

以上這些採用各種惡意攻擊手法，入侵具有系統漏洞或是根本沒做好安全防護的網站，並在網頁中植入惡意程式，伺機竊取個人資料的手法，已經成為新一代的網路犯罪型態，例如以旅遊產業而言，在網站上大都提供了線上訂購旅遊行程等付款服務，如果業者沒有妥善的安全防護機制，在網頁中被植入了惡意程式連結，當使用者利用瀏覽器進入了網站，查看旅遊行程並且利用線上刷卡付款時，很可能就會被偷偷地安裝了木馬程式，而導致個人資訊像是帳號、密碼和信用卡號等資料外洩。

PCI-DSS資料安全標準簡介

有效維護網頁安全，對於提供線上交易服務的業者而言，絕對是責無旁貸的必要工作，因為一旦發生資料被竊事件，除了嚴重打擊業者商譽之外，如果消費者因此而對網路交易機制失去信心，受害的將是所有提供電子商務服務的業者。

目前，由American Express、Discover Financial Services、JCB、MasterCard Worldwide、Visa International等五家知名的電子付款與信用卡業者所共同組成的PCI Security Standards Council，即制定了「支付卡行業資料安全標準(PCI Data Security Standard；PCI-DSS)」，此一提供給全球產業共同遵守的資料安全標準，要求所有提供信用卡服務的商店，在儲存、處理與傳遞持卡人資料時，必須要有符合要求的安全控制措施。

在PCI-DSS V1.1版中，一共分為6大類12項基本要求，這些要求可用來審視網站的安全機制，用以保障持卡人的帳戶及交易資料安全，條文內容說明如下：

一、建立並維護安全的網路

要求1：安裝並且維護防火牆配置以保護持卡人資料
要求2：不可使用供應商提供的原廠設定值作為系統密碼及其他的安全參數

二、保護持卡人資料

要求3：保護儲存的持卡人資料
要求4：將透過公共網路傳送的持卡人資料及敏感資料加密

三、維護一個弱點管理程式

要求5：使用防毒軟體並應經常更新程式及病毒碼
要求6：發展及維護安全系統和應用程式

四、實施強而有力的安全存取控制措施

要求7：根據業務需要限制對於持卡人資料的存取
要求8：對於進行電腦存取的每一個人只賦予唯一的ID
要求9：限制對持卡人資料進行實體存取

五、定期監控並測試網路

要求10：追蹤並監控對網路資源及持卡人資料所進行的所有存取
要求11：定期測試安全系統及流程

六、維護一個資訊安全政策

要求12：實施並維護一個資訊安全政策

PCI-DSS標準對網頁安全的要求

雖然，PCI-DSS標準所要求的對象是支付卡相關產業，目的是為了要保護電子商務交易的資料安全，但是個人認為目前全球適用的資安標準法規中，以PCI-DSS標準和網頁安全最為相關，因為PCI-DSS除了具備廣泛的資訊安全要求之外，更可作為網站服務業者加強網頁安全的實施參考，其中尤以標準中的第4項與第6項要求，可用來檢驗並加強網頁安全。

在第4項要求中，PCI-DSS要求必須針對透過公共網路傳送的持卡人資料及敏感資料加密，以防止資料在傳輸的過程中被截取竊聽，因此，網站必須提供SSL/TLS或IPSec等安全傳輸協定，並且針對所傳輸的資料進行加密，在這裡所指的公共網路，範圍包括了網際網路Internet、WiFi無線網路、行動電話GSM系統與GPRS無線傳輸服務。

另外，在第6項「發展及維護安全系統和應用程式」要求中，PCI-DSS標準條文對於網頁安全還有以下的細項要求：

必須確保所有系統與軟體都已安裝了最新的安全更新程式，在軟體供應商發布了安全修補檔(Patch)之後，最遲必須在一個月內完成安裝各項更新。
業者必須建立一套流程來確認及發現安全弱點，例如接收軟體供應商最新的安全預警訊息，根據其所發布的弱點進行系統相關的更新，而此一流程需要有完整的文件記錄。
要求業者必須根據安全業界最佳實務，來發展應用系統安全開發流程，例如在開發流程中導入Security Development Life Cycle(SDLC)，以確保在應用程式開發過程之中，每個階段都能結合安全性的要求。
一旦系統或軟體的配置需要更改，所有變更必須要遵循變更管理流程，像是已獲得高層的授權、經過回復測試，並且有完整的過程記錄。
依據OWASP發展安全的網頁應用程式(Web Application)指引，必須確保應用程式碼沒有常見的安全弱點問題，像是無效輸入問題、跨網站腳本攻擊(XSS)、緩衝區溢位、SQL Injection資料隱碼攻擊、不當的錯誤訊息處理、DOS阻絕攻擊和不安全的系統配置等。
必須確保網頁應用服務足以防護已知的入侵或攻擊手法，例如通過滲透測試(黑箱測試)與原始碼審查(白箱測試)的驗證，以及在網路伺服器前安裝應用層防火牆(Application firewall)等。

企業必須建立資訊安全政策

除了以上針對網頁應用安全的要求之外，隨著新的弱點與攻擊手法不斷出現，PCI-DSS標準中也要求系統必須接受定期的安全測試，以確保安全性不會因為時間或是軟體變更的關係而受到影響，換句話說，針對網頁安全，至少每年都必須要執行一次滲透測試，以確保系統的安全無虞，而且也要部署常駐的關鍵檔案監控軟體，一旦發現網頁檔案遭到竄改更動，就能立即主動發出警訊通知，使相關管理人員可以在第一時間內進行處置，以避免重大資安事件的發生。

最後，無論是在PCI-DSS標準或是資訊安全管理系統的最佳實務ISO 27001標準中，都強調企業組織必須要建立一個資訊安全政策，只有透過管理高層的發布重視，讓所有員工了解資訊安全的重要性，以及必須承擔的保護責任，才能真正地落實資訊安全；也唯有妥善運作的安全團隊和明確的資訊安全責任定義，才能將企業組織可能面臨的營運風險降至最低，並且保障所有使用者的權益。(本文刊載於2007年iThome資安專刊)

[專題] 從ISO 27001談實體安全管理

Wed, 18 Nov 2009 03:43:00 +0000

許多企業在規劃如何去加強資訊安全時，首先想到的都是如何去防護網路安全，以為添購了防火牆、設置入侵偵測系統或是安裝防毒軟體等，就做好了資訊安全防護工作，不會受到駭客入侵而造成企業損失。但是，這樣真的就安全了嗎？我們不妨看看以下媒體所報導過的真實事件：

美國飛機製造商波音公司一部含有38萬名現職及退休員工的資料，因為員工一時疏忽放置在車上而遭竊；美國退伍軍人事務部，也因不小心遺失筆記型電腦，而造成2600萬退伍軍人資料的外洩。
美國大型家電連鎖商Circuit City，因信用卡公司不慎將含有持卡人資料的電腦磁帶當成垃圾丟棄，遺失了260萬名信用卡持卡人資料。
日本三井住友銀行倫敦分行，因數名竊賊假扮成清潔人員，而偷偷在處理國際轉帳事務的電腦內，安裝了鍵盤側錄程式，差點順利竊走4億美元的存款。
巴西中央銀行因竊賊花了三個月時間挖掘地道，而被搬走約21億台幣的現鈔，但是金庫內的攝影機與偵測器，卻完全沒有發揮任何作用。
今年3月美國國稅局存放納稅人資料的26個電腦磁帶，竟在市政府大樓內遺失。

從以上事件可以看出，因為設備的不當使用與人員的未經管制，加上實體環境缺乏防護管理，所造成的資安問題更加嚴重，值得所有組織與企業來予以警惕注意。

識別對實體與環境的威脅來源

如何去加強實體及環境的安全管理，已成為資訊安全工作中不可或缺的重要一環，除了防範經由網路滲透入侵的資安事件之外，天災與人禍更是我們需要去關切及預防的，此處所謂的天災，是指企業面對週遭環境的天然威脅，而人禍則是泛指因為人為管制的疏忽所造成的資訊安全危害。

因此，企業進行實體與環境安全的管理的目的，即是為了消除這兩項重大的威脅，並將可能發生危害的風險降至最低。從以上的角度來看，威脅又可概分為：

自然因素：指颱風、水災、火災、雷擊、地震等。
非自然因素：指電力、空調系統等。
人為因素：指偷竊、惡意破壞及門禁管制疏失等。

針對自然因素的預防，我們可以先從自然災害的威脅評估著手，像是調查所在區域的颱風、地震頻率，以及救援單位能夠及時到場協助的時間。另外，對於建築物本身的設計整建，是否使用防火建材、強化玻璃等，可以進一步要求對大樓結構進行強化，以抵擋自然災害的侵襲。

至於非自然因素的預防，主要是為了維持設備的正常運作，企業必須具備主要電力與備援電力獨立配電系統，另外像是針對突波與瞬間斷電的預防、總開關防護、發電機安置地點及供油儲存，也要有良好的規劃。在空調系統方面，在機房內需要有恆溫、恆濕的溫濕度控制與空氣濾清裝置，對於大樓出入風口也要有妥善保護。

最後在人員作業方面，具敏感性的職務在人員錄用前需進行的背景調查；重要處所進出必須做到人員識別與門禁管制；機房人員也須做好消防演練、疏散及消防設備的使用測試。

企業的實體與環境安全若沒有做好，所造成的損失有兩種，一種是資產設備的失竊或損毀，會造成直接的財務損失；另一種則是資訊資產的遺失，例如重要的設計資料、公司人事資料或是重要商業機密等，輕則使商譽受損，重則甚至造成整個企業營運的中斷。

ISO 27001的實體安全控制措施

在ISO 27001：2005的附錄A控制措施中，「A9實體與環境安全」項目清楚規範了實體與環境安全此一控制項目，可做為企業在進行實體與環境安全管理時的最佳參考。

在「A9.1安全區域」控制項目中，其目標即是為了防止企業或組織所在的場所，遭到未經授權的實體存取與侵害，而要求必須劃分安全的邊界，將關鍵或敏感的資訊置放於安全的區域，並且給予妥善的保護。

而「A9.2設備安全」，目標是防止因資產的遺失、損害或竊盜，而造成組織營運的中斷。本文則以ISO 27001的規範為基礎歸納出以下幾點，提供企業在執行實體及環境安全管理時的參考。

一、設定實體安全邊界 - 針對實體邊界的保護，必須依照週邊設施，根據其資產價值來決定保護措施的設置程度，以達到安全控管的目標，要注意的事項有：

建築物週圍可設立圍牆等人工屏障或實體隔離設施，並且加強燈光照明系統，另外還可設置重點監視設備或保全人員巡邏。
對於邊界進出口須設置警衛、檢查哨，並且進行人員及車輛進出管制，識別方式可採取識別證、磁卡、生物辨識(指紋、掌紋、虹膜、聲紋)等。在人員識別方面，需注意辨識準確度、速度及設置成本，必要時可採取人員陪同或搭配可錄音錄影之監視系統。
對於無人門窗應予以上鎖，無人區域與重要設施，宜定時派人巡邏，或安裝防盜與監視系統。

二、進出人員管制措施 - 在ISO 27001的「4.3.3紀錄管制」條款中要求，對於資訊安全管理的運作，所建立並維持的各項記錄，必須加以保護與管制，所以像是人員進出登記表，都必須妥善加以保存，建議可採取的人員管制措施如下：

來訪人員應要求出示身份識別，配載身分識別標示，並且記錄進出的日期與時間。
人員進出區域與動線需妥善規劃，來訪人員不應直接進入作業區域，若需進入作業管制區，須經由授權或專人陪同才能進入。
技術支援或維護服務人員，需事先取得授權才能進行作業，並視管理需要由專人陪同監督。
未經適當申請程序之人員，應禁止留在辦公室單獨作業。
調職與離職人員，禁止其進入原工作之區域。

三、設備安全管理 - 對於企業內所使用的相關資產設備，應放置在予以適當保護的地點，以避免因不安全的環境而造成設備本身的損壞，或是未經授權的存取使用。另外，攜出場外使用的設備，也應該實施管制與保護措施，需要注意的事項有：

存放或處理敏感性資料的設備，應放置在可以監控的地點，並且提供足夠的電源供應，如不斷電系統與防火、水災的保護，尤其是需要特別保護的設備，務必採取獨立區域與其他設備分開。另外，對於設備所使用的通訊線路，必須採取如隱藏或地下化的保護措施，以避免遭到資料截取與破壞。
設備的維護必須由授權的維護人員來進行，若是委由廠商維護，針對維修人員必須通過身份識別或是陪同進行。在維護的過程中，必須將所排除的錯誤或是變更進行完整記錄，若需送回廠商處維修時，也必須按照設備攜出之規定進行，設備攜回或送修，應清除內含所有的敏感性資料。
在敏感區域，所有未經授權之資訊設備，像是筆記型電腦、儲存設備、數位相機、照相手機等，皆不可攜入或攜出，需要攜入或攜出辦公室之設備則必須加以記錄檢查。
外勤人員所使用的筆記型電腦，必須安裝防毒或個人防火牆，並且提供適當的資料保護措施，像是設定開機密碼或硬碟及檔案加密，並且要求不可將設備置於可能發生偷竊之地點，像是汽車等。
企業內之無人設備(例如印表機、影印機、傳真機等)需有使用保護機制(如設置密碼)，所列印之資訊應要求立即從印表機上取走，敏感資訊則應採用受管制監控之設備來列印。
人員離開座位或是下班時間，應實施桌面淨空政策，將文件與儲存媒體置於上鎖之櫃子，電腦螢幕應啟用螢幕保護程式。
需要報廢與再使用之資訊設備，必須針對其內含之儲存媒體，進行如低階格式化的資料刪除與覆寫，以確保資料能完全清除，所列印出的敏感資訊，若不需保存或是印壞丟棄時，應按照規定之銷毀程序處理。

四、機房之安全管理 - 屬於企業核心運作之電腦機房，在設置時應考慮地點及建築防護是否足夠，以減少天災或人為因素所造成的安全威脅，其安全管理注意事項如下：

機房設置地點需考量天災發生頻率之問題，並且應避免鄰近火源、水源和交通頻繁之地點。
機房之安全設計需考慮採用如高架地板、隱藏佈線、地板承重度及排水、防火功能等。
機房應擁有獨立與備援之電力支援，對於重點設備應考慮優先供電設施及UPS不斷電系統。
機房內應裝置適當的煙霧偵測器、溫度感知器等火警設備，並且設置滅火器材(考量使用乾粉及在無人區域使用二氧化碳減火器)以防止火災的發生。
危險及易燃性之物品，絕對不可存放在機房中。
機房之位置，應該盡量避免過於明顯的標示，以避免成為侵入和攻擊的目標。
機房使用之備援設備，應存放一定之安全距離，以避免災害發生時一併遭到損毀。
機房人員應熟悉緊急應變程序，並且實施定期演練及測試；非機房人員需取得授權，並由相關人員陪同監控始可進入。
機房應具備門禁管制設備或上鎖，並視情況設置監視設備，人員出入需取得授權並登記日期時間。

小心實體安全的資安漏洞

其實，大多數企業皆重視的網路安全工作只是資訊安全的其中一環，而企業最容易輕忽的，卻是最基礎的資安防護工作，像是實體與環境的安全管理等。請試著想想，當惡意人士能夠輕易進入企業環境之中，將整台主機、儲存設備，甚至是員工的筆記型電腦偷走，此時企業所設置的網路安全設備將是無法發揮任何作用的，而且資料損毀或竊盜所造成的傷害與損失，很可能會遠大於經由網路入侵系統所造成的危害。所以，如果企業對於實體與環境沒有採行適當的防護管理，當遭遇所謂的天災或人為的惡意破壞，很可能會讓重要的營運資訊毀於一旦。

在ISO 27001中，已針對實體及環境的安全管理，提供了明確的指引與實作建議，可以避免關鍵設備或機密資訊受到不當的存取、損害與干擾，企業能夠藉由落實各項控制措施來降低可能發生的風險。另外，在難以避免的天災部份，建議還可透過保險或委外管理等風險轉移措施，為企業提供更深一層的保障。(本文刊載於2007年iThome資安專刊)

[觀點] 企業營運持續管理標準：BS 25999

Mon, 09 Nov 2009 04:54:00 +0000

隨著外在環境不斷變化與企業組織的擴張發展，在營運過程之中，來自於天然環境、競爭對手和市場變動所造成的影響，乃不可避免，企業到底該如何未雨綢繆，運用良好的治理與管理制度，來妥善處理這些衝擊改變，已成為企業高層與管理人員必須要學習的課題。

企業面臨危機而營運中斷的因素很多，除了天然災害如地震、颱風、火災等所引起的廣泛衝擊之外，因為設備故障如伺服器當機、硬碟資料損毀，以及蓄意行為如電腦病毒、駭客攻擊等所造成的營運風險也逐漸增加。

從IT層面來看，所謂的災難復原與備援系統的建置，若企業願意承擔起相關成本，技術上並非困難的事，難處在於管理階層究竟該如何進行規劃與組織人員訓練、評估何時該啟動災難復原程序、判斷作業程序是否合理，以及協調支援單位在一定時間內相互配合達成目標，最後形成一個企業營運持續管理(Business Continuity Management；BCM)系統，這些無一不是挑戰。

BS 25999的過去與現在

對於災害的應變與防護，國際上其實已有相關的計劃或標準，例如美國國家防火協會，即制訂了「災害/緊急管理與企業營運持續計劃」，作為發生災害時的緊急應變程序；加拿大也有「營運持續計劃指南」，確保企業的營運能在災害之後持續運作；新加坡「業務持續性與災害復原」標準SS507，更同時包含了IT災難復原和BCM兩項重要領域。

英國標準協會BSI過去也制訂「PAS56營運持續管理指導綱要」，作為企業在面臨營運中斷時，如何去維持關鍵企業營運的參考，目前則積極地推動更新的BS 25999作為營運持續管理系統的標準。

BS 25999標準分為兩個部份，BS 25999-1是作為參考手冊，已於2006年11月發佈，說明了營運持續管理的各項作業要點，包括建立程序、實作過程與指導原則，讓相關人員可以了解其實施方式，而BS 25999-2則是說明營運持續管理的要求，企業必須落實標準中的各項規範，通過稽核之後才能獲得BS 25999的認證，此標準於2007年11月底正式發佈。

BS25999提供了一個營運持續實施策略與框架，讓企業可以在重大事故之前，預先做好防範的準備措施，而在災難來臨時，也可以透過事先的妥善演練，來降低可能造成的營運損失，對於企業高層人員如執行長和董事會成員而言，具有BCM的策略規畫，可視為企業治理的重要任務之一，除了可以提升組織的應變與復原能力，更能滿足股東、上下游合作夥伴與客戶的要求。

BS 7799 VS. BS 25999

關於營運持續管理，在ISO 27001的前身BS 7799已有這個控制項目，說明企業需要識別關鍵的業務流程，進行風險評鑑以了解企業的弱點與潛在的威脅，再依照其重要性來排定復原的先後順序。BS 7799主要是從資訊安全的角度來看營運持續管理，提到企業營運持續計劃除了考量人員、資產與業務之外，其他相關設施只要牽涉到資訊的機密性、完整性與可用性，都要一併列入計劃之中，並且定期進行測試與改善。

BS 25999則是從整個企業經營角度來衡量，提到了更完整的營運持續管理生命週期(BCM Lifecycle)，包括了以下幾個階段：

了解企業的現況 - 由於企業的屬性與類型不同，所處的環境也有很大的差異，為了要評估在發生危機時可能面臨的衝擊，企業必須找出「什麼才是企業賴以維生的關鍵？」這有可能會是ERP、CRM，也可能會是Email或網路連線，因此必須透過「風險評鑑」和「營運衝擊分析」二種方式，來識別出面臨的威脅、弱點與風險值，估算可能造成的損失。另外最重要的，企業還必須要找出可接受的復原目標時間(Recovery Time Objective；RTO)，舉例來說，當一個人發生急性中風之後，若在三小時內沒有經過緊急搶救治療，就會造成難以挽回的遺憾，這是人人必須把握的黃金時間，所以如何在可容忍的營運中斷時間內進行應變，是企業要去審慎評估的。
制定BCM的策略 - 在了解企業的關鍵營運流程與可能會發生的災難之後，就可以根據企業的營運目標、資源與成本來制訂所要採取的因應策略，並且選擇能夠降低風險的措施。
發展與實施BCM回應 - 在此一階段中，企業必須要發展出一套營運持續計劃(BCP)，計劃中必須包括人員職責分配、教育訓練辦法、計劃啟動條件、緊急應變程序、備援機制、災難復原程序等。
演練、維護與審查 - 完成BCP之後，最重要的就是要進行測試與演練，確保計劃項目能夠一一順暢執行，在演練之後，還要針對有疏失的地方持續加以改進，以確保營運持續計劃能夠有效執行。
使BCM成為企業文化 - BCM是一個持續的管理、協調與監督過程，BS 25999標準中強調，必須要讓BCM深入成為企業文化中之一員，才能達到企業永續經營的目標。

BS 25999發揮的最大效益

或許有人認為自己在生活之中，不太可能會發生意外，每當身旁有人不斷提醒時，往往會認為是太過於「杞人憂天」，總覺得自己凡事皆能逢凶化吉。其實太過自信與缺少準備，往往使人們在面臨危機時手忙腳亂而造成更大傷害。

所謂「前事不忘，後事之師」，對於企業來說，以往無論是國外的911恐怖攻擊、倫敦地鐵爆炸、卡翠娜風災，國內的921大地震、東科大火、納莉風災、SARS等事件，許多的經驗都值得我們引以為戒，災害固然難以預防，但設備毀損、資料遺失，操作失誤所造成的損害，卻是企業可以事先規劃避免的。

BCM的基本精神就是要去「預料無法預料的事」，要將各種可能狀況的劇本預先準備好，確保意外或災難發生時，企業能夠依照事先擬定的因應方法，讓關鍵的商務活動不會因此中斷而造成龐大損失。但是，BCM的推動，準備條件除了人力、物力與經費之外，最重要的仍在於是否經過完整的測試與演練，能在時間內發揮預期的效用，這些都在在考驗著企業管理階層的遠見與決心。

所以，唯有透過不斷的沙盤推演，使相關人員確實熟悉各項應變作業流程，再經由模擬災難情況來實際演練，以評估計劃可行性，事後也務必進行檢討，針對不足之處予以修正，這樣才能發揮BCM的真正效益。(本文於2007年11月刊載於CNET網站)