資安活動 on 資安見聞錄

[活動] Info Security 2014 第十三屆亞太資訊安全論壇

Sat, 15 Mar 2014 06:40:00 +0000

由資安人雜誌所主辦的資安年度盛會又來囉~ 以下是由資安人雜誌所提供的活動訊息，歡迎有興趣的朋友們一起來參加喔。

Info Security 2014 第十三屆亞太資訊安全論壇

有50場演講課程讓您親身體驗及簡易明瞭多元化的未來趨勢。高度能量的資安場合，讓您全面吸取最為豐富及精華的經驗與知識。同時現場教室外還有30家以上專業資安廠商為您示範產品的應用及說明。

歡迎免費報名參加，讓自己充電及吸取最先進的資安新知及新技術。

活動時間: 2014年3月19日(三) ~ 21日(五)
活動地點: 台北世貿南港展覽館 5樓
報名網址: http://www.secutechinfosecurity.com/14/tw/seminar_register.aspx?ff=5

活動洽詢：02-2659-9080 分機667 潘小姐
主辦單位: 資安人雜誌敬邀

[新知] ISO 27001:2013 國際標準草案(DIS)版

Wed, 20 Mar 2013 13:58:00 +0000

為了因應ISO 27001在今年即將改版，BSI英國標準協會今天舉辦了ISO 27001國際標準草案版(Draft International Standard, DIS)的說明會，會中說明了幾個改版之後的方向，可做為已經導入或是即將導入ISO 27001的單位做為參考。

標準架構的改變

ISO 27001將採用標準化的ISO Annex SL架構，這個架構已經率先使用在先前已公布的ISO 22301(BCMS)身上，這種作法的好處，在於可解決以往各項標準章節內容不一的問題，未來組織若是需要整合各項管理標準的話，實施起來會更加地容易。

採用Annex SL架構的新版ISO 27001共有10章，同樣維持著PDCA的循環概念如下：
0 Introduction
1 Scope
2 Normative references
3 Terms and definitions
4 Context of the organization (Plan)
5 Leadership (Plan)
6 Planning (Plan)
7 Support (Plan)
8 Operation (Do)
9 Performance evaluation (Check)
10 Improvement (Act)

標準內容的重點

其中第3章的名詞解釋，在新版標準中已不再提供，而是以參照方式直接對應到ISO 27000的內容，由ISO 27000來解說整個ISMS標準家族和名詞定義。其他各章的重點，說明如下：

在第4章的組織方面，要求先了解組織的現況和來自於內外部的期許與需求，然後再去決定ISMS實施的範圍，建立起實施ISMS的計畫。

在第5章領導統御方面，需要獲得管理階層對於實施ISMS的承諾，確保ISMS與組織整體的管理流程是一致的，並且提供所需要的支持。在制定資訊安全政策時，必須清楚的定義各項目標，採用5W1H、可持續可量測的方式，以符合資訊安全的要求。對於和資訊安全有關的組織，必須定義清楚各項角色的權責，並能明確地指派和溝通。

在第6章的計畫方面，組織要依據第4章的組織現況和需求，並參考ISO 31000來進行資訊安全風險的評鑑與處理，建立可達成的資訊安全目標和計畫。

在第7章的支援方面，需要決定並提供所需要的資源，建立詳細的訓練計畫，確保內外部的溝通順暢，並且建立保存相關的文件化資訊(舊版的文件與記錄已統稱為文件化資訊)。

在第8章的運作方面，需依照所計畫的內容實施控制措施，並且執行資安風險評鑑和風險處理。

在第9章的績效評估方面，需要持續地進行量測、監控與分析，定期地實施內部稽核，並且召開管理審查會議。

在第10章的改善方面，針對不符合的事項需要實施改善行動，並且確保它不會再重覆發生(舊版中要求的預防措施已被移除了)，最後是和所有的管理制度一樣，都要依照PDCA不斷地來持續改進。

控制措施的差異

新舊版在附錄A控制方面的差異在於，控制項目由11項增加為14項，其中有舊版的一項被區分為二，另外也加入了兩個全新的項目。控制措施總數則由133個減少至113個，主要是合併了許多舊有的控制措施，並且加入了如行動裝置政策等多個新的控制措施。

A.5 Security Policies
A.6 Organization of information security
A.7 Human resource security
A.8 Asset management
A.9 Access control
A.10 Cryptography (新增)
A.11 Physical and environmental security
A.12 Operations security (由舊版A.10 獨立出來)
A.13 Communications security (由舊版A.10 分開獨立出來)
A.14 System acquisition, development and maintenance
A.15 Supplier relationships (新增)
A.16 Information security incident management
A.17 Information security aspects of business continuity management
A.18 Compliance

因為附錄A的控制項目與控制措施都已作了修改，所以ISO 27002勢必也會跟著一起改版，目前新版ISO 27001:2013預計將會在10月19日正式公布，且讓我們拭目以待。

[資料來源] BSI國際標準草案說明會 (2013-03-20)

[活動] 終結個資外洩之亂研討會

Fri, 29 Jul 2011 02:57:00 +0000

個人認為，參加研討會活動是獲得資訊和認識朋友最快的方法，雖然許多研討會為了能夠順利舉辦，往往需要廠商的協力贊助，所以在內容上面，免不了也會加入相關產品的介紹。不過，為了吸引參加者，研討會也會邀請一些業界的先進，來分享其個人專業或經驗上的知識與心得。

由網路資訊將於8月4日(四)所舉辦的「終結個資外洩之亂」研討會，上午邀請了BSI英國標準協會的Peter老師作為開場，談到和個資保護有關的法規，相信業界沒有人會比Peter老師更加地了解，每次聽他的課，也一定會有相當多的收穫。

至於下午的議題，則請到了律師和技服中心的長官，針對法律層面和技術防範手法，提出了一些分析和因應之道，建議有空的朋友們，不妨抽空前往聆聽。

另外，受到網路資訊主編的邀請，個人在活動網站上也分享了有關存取控制和漏洞修補的兩篇文章，一併提供給大家作為參考。

資安文章分享：
http://prj.networkmagazine.com.tw/110801/author/hwajuinjay/
研討會報名：
http://event.networkmagazine.com.tw/event/2011/08/04/