資安管理 on 資安見聞錄

[分享] ISO 27001:2022 新增的控制措施 (2)

Sun, 24 Aug 2025 13:50:00 +0000

上一篇文章已說明了「A.5.7 威脅情資」的管控重點，接下來跟各位分享在ISO 27001:2022「A.5 組織控制措施」方面，其他兩個控制措施的重點要求。

ISO 27001:2022 分別在附錄A的四個控制領域 (組織、人員、實體、技術)，增加了11個新的控制措施，在「A.5 組織控制措施」方面，包括了「A.5.7 威脅情資 (Threat intelligence)」、「A.5.23 使用雲端服務之資訊安全 (Information security for use of cloud services)」、「A.5.30 營運持續之ICT備妥性 (Information and Communications Technology readiness for business continuity)」等三項，接下來說明其它兩項的重點要求。

A.5.23 使用雲端服務之資訊安全

目前已經有愈來愈多的組織，使用了由外部提供的公有雲服務，例如：微軟的 M365、Google的Workspace、AWS EC2 等。有些組織認為，只要利用既有的委外廠商管理作業規範，同樣也能管理這些雲端服務業者來達到資訊安全的要求，但是卻忽略了雲端服務的特性和傳統的委外服務有著很大的差異性，組織既有對於委外廠商的資安要求，恐怕無法完全適用於雲端服務業者。

因此，在 ISO 27001:2022 附錄A，增加了使用雲端服務之資訊安全的控制措施，要求「應依組織之資訊安全要求事項，建立獲取、使用、管理及退出雲端服務的過程」。在這個要求之中，對於雲端服務的資安要求涵蓋了三個層面，我們可以分別從雲端服務使用的前 (獲取)、中 (使用、管理)、後 (退出) 三個階段，考量實施以下的管控機制。

使用雲端服務之前 (獲取)：組織需要考量如何評選一家安全可靠的服務業者，可能的條件包括了業者是否有通過雲端安全相關標準的驗證 (ISO 27017, 27018, CSA STAR)、業者是否主動揭露雲端安全和隱私保護的機制，以及在服務等級協議 (SLA) 或合約之中，所承諾要達成的安全事項，是否滿足組織本身的要求。
使用雲端服務期間 (使用、管理)：為了有效管理組織內部雲端服務的使用者，必須建立雲端服務的使用政策或程序，並且針對負責管理雲端服務的單位 (通常是IT部門) 或是具有特權的服務管理者 (Administrator)，需要確認和審查使用雲端服務有關的安全控管機制 (例如：帳號與權限、日誌功能、資料加密等) 是否落實。
終止使用雲端服務 (退出): 組織應考量若有一天要終止雲端服務的使用，或是要轉換使用不同的雲端服務業者時，確認雲端服務上的資料是否能夠取回的方式 (最好事先明訂在合約或協議中)，同時也要確認業者移除所租用的服務或刪除儲存資料的機制 (了解刪除方式和所需時間)。

A.5.30 營運持續之ICT備妥性

對組織而言，營運持續管理 (Business Continuity Management, BCM) 是一個很大的議題，這個控制措施雖然是新增加的，但其實在舊版的 ISO 27001:2013 中，就已經有對於營運持續的資安要求，也就是把營運持續的考量，限縮在資安的層面。如果想要了解有關組織整體的營運持續管理，可以進一步參考它對應的國際標準 ISO 22301。

在這項控制措施的內容方面，它要求「應依營運持續目標及 ICT (Information and Communication Technology) 持續之要求事項，規劃、實作、維護及測試ICT備妥性」，也就是更明確的把對營運持續的要求，聚焦在資通訊技術相關的裝置和設施，組織必須考量由於ICT造成營運中斷的可能性，提前做好準備。

所以在實施方面，組織可以透過進行營運衝擊分析 (Business Impact Analysis, BIA) 來決定有哪些重要的業務活動，需要依靠哪些關鍵的ICT資源來支持業務活動的持續運作，並針對將服務恢復至可正常提供水準的時間要求，訂出恢復的時間目標 (Recovery Time Objective, RTO)。

如果服務還涉及了資訊處理活動，也要依據組織可承受遺失資料的損失程度，訂出資料回復的時間點目標 (Recovery Point Objective, RPO)，並採取對應的備份機制，例如：組織能承受的資料遺失只有一天，那麼就至少必須每24小時進行一次資料備份。當然，除了備份之外，也要定期進行備份資料的回復測試，確認備份檔案的有效性。

完成以上活動之後，組織還需要針對各個可能造成營運中斷的情境，建立完整的營運持續計畫 (Business Continuity Plan, BCP)，將回復ICT相關活動的作業流程、操作步驟、人員職掌等描述清楚，並且安排定期實施BCP演練，確認有能力滿足所訂定的RTO和RPO，並根據演練過程中所獲得的經驗來持續改善，達成組織營運持續的目標。

(待續…)

[分享] ISO 27001:2022 新增的控制措施 (1)

Mon, 18 Aug 2025 15:21:00 +0000

本週在成功大學擔任 ISO 27001 Lead Auditor 主導稽核員的課程講師，有學員詢問 ISO 27001:2022 的標準，最晚在什麼時候一定要完成轉版稽核？以及新版增加的11項控制措施，實施方面的重點和要求是什麼？我想透過以下一系列的文章來和大家分享。

ISO 27001:2022 的轉版要求：ISO 27001:2022 標準正式發布於2022年10月，ISO組織給予持有舊版證書的組織有三年的轉換期，也就是說，所有ISO 27001:2013的證書必須要在2025年10月31日之前完成轉版稽核，否則舊版的證書就會到期或撤銷，因此，還沒有完成轉換的組織目前已剩下不到3個月的時間了，請務必要在截止期限完成才行。

ISO 27001:2022 新增的控制措施：對於想要轉換到新版證書的組織而言，最想了解的就是新版和舊版的主要改變是什麼？基本上，新版標準在管理制度方面的要求，除了新增加一個全新的條款「6.3 變更之規劃」之外 (可參考這篇文章)，最大的改變就是控制措施從原本14個控制領域調整為4個 (組織、人員、實體、技術)，控制措施的數量也整併減少為93個，但是其中卻增加了11個新的控制措施，所以接下來的文章，就逐一來說明這11個控制措施的實施重點和要求。

A.5.7 威脅情資 (Threat intelligence)

針對這個控制措施，首先我們需要先定義什麼叫做「情資」？透過以下 CREST - What is Cyber Threat Intelligence and how is it used? 這份指南所提出的，它會經過「蒐集、處理、分析」三個階段。

Source: CREST

以產生網路威脅情資為例，一開始需要蒐集的是原始資料 (Data)，可能的來源像是網路設備或防火牆所記錄的IP位址或日誌，再將這些資料導入日誌平台或透過工具進行處理，就能得到一些可疑的活動資訊 (Information)。最後，再經由適當的關聯分析和歸納，匯聚成為管理階層可以判斷做出進一步行動的決策依據，這就是所謂的情資 (Intelligence)。

如果參考ISO 27002控制措施的實務指引，它還提到了威脅情資可以分為三個層面，提供和分享給管理階層來進行評估，分述如下：

策略面 (Strategic)：分析威脅屬於哪一種攻擊類型？組織可依據自己的現況來建立類型 (例如主機、網路、實體、人員類)，或是參考SANS定義的三種情資類型 (內部、外部、社群或特定產業)。
營運面 (Operational)：分析威脅的攻擊目標主要針對哪些資訊系統？或是可能影響到內部什麼樣的資訊 (例如研發資料、客戶資料、交易資料)？
戰術面 (Tactical)：分析威脅所涉及攻擊者的方法，包括其採用的工具、技術、社交工程手法等。

在了解以上的情資定義和分層評估以做出決策行動之後，我們回頭來看看標準中針對這個控制措施的要求 -「應蒐集並分析與資訊安全威脅相關之資訊，以產生威脅情資。」

所以在實施方面，依據這項要求，組織必須建立威脅情資蒐集的來源，以及處理和分析的過程，並且可透過分層的方式，讓管理階層能易於掌握和理解情資的重要性，以做出決策和採取適當的行動，這樣才能讓組織真正具備預防、偵測及回應威脅的能力。

(待續…)

[分享] 製造業的資安管理重點

Thu, 17 Jul 2025 07:13:00 +0000

上週到新竹某個高科技製造業公司，擔任 ISO 27001 Lead Auditor 的課程講師，現場有參與課程的學員問到，對高科技製造業者來說，需要考量的資安管理重點是什麼？

一般來說，高科技製造業的資安管理，至少需要涵蓋以下三個層面：

1. 生產製造：建立機台相關控制系統的存取控制、網路管理及端點裝置防護的流程；

2. 內部系統：實施基礎設施的實體安全管理、強化內部系統安全 (ex. MES, ERP) 及資料保護的控制措施；

3. 外部服務：針對供應商和供應鍊的安全管理，以及使用外部提供的新興科技服務 (ex. Cloud, AI) 的管控機制。

另外，除了定期實施一般人員的資安訓練，防範社交工程和釣魚郵件的威脅，強化最高管理階層的資安認知也是必要的工作，唯有最高管理階層具備資安風險管理的觀念，才有辦法帶領組織和員工落實資訊安全的要求。

[專欄] 確保資訊安全管理持續有效 - 為升級ISO 27001新版標準做好準備

Wed, 10 Dec 2014 13:38:00 +0000

國際知名的資訊安全管理標準ISO 27001，已經在2013年底正式更新了內容，如果您所屬的組織過去已經導入了2005年的標準，現在也應該要為符合最新的標準要求而做好準備，以確保資訊安全管理制度能夠持續有效地運作實施。

隨著時間的改變，資訊安全的問題也變得更加地多樣化，舉例來說，在五年以前，行動化裝置和雲端服務的安全可能都不會是大家注目的焦點，但時至今日，這些資安風險已成為企業組織不得不去面對的重要課題。

在資訊安全的領域，除了駭客攻防的技術之外，資安管理機制也是必要的措施，而國際標準ISO 27001一向是公認最佳的資安實務參考，隨著不同資安風險的出現，國際標準內容的更新有其必要性，同時也可以讓組織能夠持續地因應新的資安問題，以便採取適當的安全控制措施。

了解新舊版本的主要差異

新版ISO 27001標準的內容有著很大的轉變，在架構方面，它採用了管理系統標準可以通用的Annex SL格式，能夠讓導入許多標準(如ISO 9001、ISO 14000、ISO 22301等)的組織在需要整合時，變得更加地容易進行。另外，在所使用的專業術語上，也做了許多的重新定義與安排，讓組織能夠更清楚標準提到的重點與要求。

在內容方面，新版標準的本文內容從舊版的8個章節擴展成為10個章節，在附錄A的控制措施方面，也從11個增加到14個控制領域，但是控制措施經過重新的編排與合併之後，反而從133個減為114個控制措施，對組織來說，新版也可以選用附錄A以外的其他資安控制做法。

至於在實施範圍方面，舊版主要考慮的是業務性質、組織大小、所在位置與資產技術，新版則是從內外部議題和利害關係人的需求與期望出發，在了解組織的背景與運作型態之後，再由管理層來決定其適用的範圍，同時也更加強調應為資訊安全設定明確的目標，並且實施監控和採取適合的量測指標，以確保安全控制的有效性。

新版標準條文的重點提醒

第0~3章簡介、範圍、引用標準及用語釋義
新版標準在這部份，大幅刪減了舊版所提及的內容，並且捨去了過去所強調的PDCA模式，但這並非是認為PDCA已經不重要，而是將重點放在持續改進的要求，若是為了達成此一目標，PDCA仍然是可以運用的方法，但並非是唯一的做法，組織可以依需求自行來選擇。在範圍方面，新版強調第4章到第10章的任何要求都是不能被排除的，否則就無法宣稱已經符合了ISO 27001標準的要求。至於引用標準及用語定義的解釋方面，新版ISO 27001就不再贅述了，而是請讀者參考ISO 27000的標準內容，對於新版增加的專業用語，它也都有詳細的解說。

第4章組織背景
在第4章的組織背景方面，「4.1 了解組織和其背景」的條款中要求，應先了解組織的現況和來自於內外部的期望與需求，然後再去決定ISMS實施的範圍，再建立起實施ISMS的計畫。在這一章節中，新版特別增加了「4.2 了解利害關係人的需求與期望」，所謂的利害關係人包括了內部要求、外部合作夥伴、客戶的期望及法令法規的要求等。

在「4.3 決定ISMS的範圍」中，新版要求必須識別組織內相關的活動，還有委任給第三方來執行的活動，針對所有可能影響達成ISMS預期結果的內外部議題，還可以再參考ISO 31000有關組織內外部的各項活動指引，來決定組織對於資訊安全的要求與適用範圍。

至於ISMS的導入方面，新版「4.4 資訊安全管理系統」將整個管理循環的過程，從建立、實施、運作、監控、審查、維持及改進，改變成為建立、實施、維持和持續改進ISMS，更為簡要符合標準的要求。

第5章領導力
對組織管理階層而言，在新版「5.1 領導力與承諾」條款中，要求必須要有效地展現其領導力和承諾，並且提供ISMS所需要的資源。在「5.2 政策」中則要求應建立符合組織策略發展方向的資訊安全政策，同時也要負責溝通管理ISMS的重要性，確認相關的控制實施皆符合了ISMS的要求，以達成組織預期的結果，最後並可督促組織持續地改進。

在「5.3 組織的角色、責任和授權」方面，管理層需要明確地指派和資訊安全有關的人員角色、執掌與責任，確認相關的工作符合標準的要求，並且回報ISMS的實施績效給更高的管理階層。

第6章計畫
在「6.1 因應風險與機會的行動」方面，需要參考4.1和4.2的結果，思考對於組織可能存在的風險和機會，以便制定出適合組織的風險因應做法。在新版的風險評鑑中，已不再要求必須要先識別出資產及其具有的弱點與威脅，才能找出所面臨的風險，換句話說，組織可以自己選擇風險評鑑的方式，並且參考ISO 31000的風險管理原則與指南，定義出風險擁有者可接受的風險準則。

「6.2 資訊安全目標與計畫」提到，ISMS的目標應與組織的策略發展方向相結合，要求必須在組織相關的功能和層級中建立資訊安全的目標。在這裡的功能，指的是組織內部的運作功能，層級則是指管理的層級，應具體地說明由何人負責、需要哪些資源、在預計的哪個時間達成了什麼工作，最後再針對成果來進行評估。

第7章支援
在支援方面，組織需要決定並提供ISMS所需要的資源(7.1)，以便建立、實施、維持和持續改進資訊安全管理。針對與ISMS有關的人員，需要決定其應具備的能力(7.2)，建立詳細的訓練計畫，讓所有人員都可獲得所需的專業知識。針對一般的人員，則必須讓其具有足夠的認知(7.3)，包括了解組織的資訊安全政策、明白其貢獻對於組織所帶來的好處，以及不遵守資訊安全要求可能造成的後果。

至於在溝通(7.4)方面，組織應確保內外部的溝通順暢，定義何人、何時、何地，所進行溝通的流程與內容。在「7.5 文件化資訊」的要求方面，這是新版增加的一個新用詞，主要是用來取代舊版中所提到的「文件」與「記錄」。在標準條款中若提及了文件化資訊，就表示相關的運作都應建立、保存及更新所需的文件與記錄。

第8章運作
「8.1 運作計畫與控制」，主要是強調組織應針對「6.1 因應風險與機會的行動」的結果，採取必要的行動並且保留文件化資訊，以確保運作已獲得有效的控制。新版在這裡特別強調，組織應確保外包的流程與作業，都已獲得有效的決定與控管。

「8.2 資安風險評鑑」，要求組織應依照所設定的期間和方法來實施，尤其是當組織有重大的改變時，資安風險評鑑也要重新執行，以確保相關的風險被識別並獲得控制。「8.3 資安風險處理」是要求組織必須落實風險處理計劃，並且保留相關實施之後的文件化資訊，記錄風險處理後的結果。

第9章績效評估
在「9.1 監控、量測、分析和評估」的條款中，新版標準要求應評估資訊安全的績效和ISMS的有效性，評估的方式包括了決定哪些流程和事項需要被監控與量測、採取什麼分析與評估的方法、在什麼時間由誰來進行，以及最後的結果分析等。對組織來說，建議可採取循序漸進的方式來進行，著重在與資訊安全目標有關的事項，而不是要求一次到位的全面監控，要注意的是過程中仍要保留相關的文件化資訊。

「9.2 內部稽核」與「9.3 管理審查」與舊版的要求大致是相同的，組織應建立稽核計畫，並且依照計畫的內容與期間來實施。在管理審查方面，新版不再強調特定的審查輸入與輸出事項，而是關注在內外部的期許與要求是否能被實現、重視資安績效的回饋，以及持續改進的機會。

第10章改善
在新版標準中，已不再如舊版強調應採取預防措施，而是將之溶入在了解組織背景和風險管理的過程中。在「10.1 不符合事項與矯正行動」方面，新版要求需要針對不符合事項採取適當的矯正行動，並且處理其產生的結果。同時也要消除不符合事項的原因，以及判斷是否還有類似的不符合事項存在。至於「10.2 持續改進」，則簡單明瞭地要求組織應持續改進ISMS的適用性、正確性及有效性。

因應新版標準必須做出的改變

根據經濟部標準檢驗局的標準轉換說明提到，從2014年10月1日起，驗證機構就不能再核發ISO 27001的2005年版證書，而所有已取得舊版證書的組織，也必須在2015年9月30日前完成轉版，也就是說只剩下不到一年的時間來完成更新並轉換為新的標準。

對尚未導入ISO 27001的組織而言，直接採用新的標準內容，並且依照其要求來實施是最好的方式。但對於需要轉換新版的組織來說，則需要先進行新舊版的差異評估，才能找出需要修改的內容與方向。基本上，有關ISMS政策、風險評鑑與風險處理、適用性聲明書、內外部的溝通、新版增加的控制措施等，這些都是需要一一檢視的重點，建議應及早著手準備，以便讓組織的資訊安全管理更加完備。(本文刊載於2014年6月號網管人雜誌)

[專欄] 捍衛網路安全 - 美國白宮網路安全框架 (NIST Cybersecurity Framework) 導覽

Sun, 16 Nov 2014 13:18:00 +0000

對於政府單位或民間企業而言，面對日益增加且來自世界各地的網路攻擊事件，如果沒有一套有效的因應方案，重則會對國家經濟與民生問題造成嚴重打擊，輕則會對企業生產營運產生不必要的損失與影響。

在2014年2月，美國政府正式提出了一項可強化資訊安全的網路安全框架 (NIST Cybersecurity Framework)，它主要是來自於2013年美國總統歐巴馬所頒佈的總統執行命令，要求必須著手改善有關網路安全的重要基礎設施。這項框架不但透過了政府部門與民間產業的攜手合作，利用一年的時間來彼此交流各項最佳實務，更結合了國際上有關資訊安全的標準與作法，除了可以協助已導入其他標準的組織最佳化其安全實務之外，更可提供缺少安全計畫的企業，一項可以完整實施的參考藍圖。

網路安全框架是一項自願性的參與計畫，主要是希望美國聯邦機構和地方政府，同時也包括電力、運輸等重要的基礎產業，能夠強化自身的網路安全，以避免受到來自網路的重大威脅，並且結合了業界標準與最佳實務，幫助企業組織能夠有效地管理網路安全風險。此一框架並非要取代組織中現有的資訊安全與風險管理架構，而是希望能夠與現有的流程結合並互補，以便組織能夠持續地改善以達到更高的安全目標。

網路安全框架的架構與組成

網路安全框架主要有三項組成的元件，分別說明如下：

框架核心(Framework Core)：針對關鍵基礎設施共通的安全問題，它具有一系列的網路安全活動和參考實施作法，網路安全活動可區分為五個功能，分別是識別(Identify)、保護(Protect)、偵測(Detect)、回應(Respond)、及復原(Recover)，能夠協助組織管理安全風險，並提供高層良好的視野。在每個功能之中，又可以向下展開為各項活動分類，例如在保護功能中，就包括了存取控制(Access Control)、認知與訓練(Awareness and Training)、資料安全(Data Security)、資訊保護流程與程序(Information Protection Processes and Procedures)、維護(Maintenance)及保護的技術(Protective Technology)六項分類。在每項分類中，又可更細分出各項可採行的資安措施與安全活動，以便落實在關鍵的基礎設施之中，同時還提供了許多參考資訊，可以對應到國際共通的標準與指引。
組織側寫(Profiles)：透過組織側寫能夠描繪出組織的網路安全活動，使其和本身的業務營運要求、風險容忍度、所需要的資源能夠趨於一致。企業也能夠藉由此一組織側寫來了解其網路安全的現況、支援活動的優先順序，以及達到目標理想狀況所需要採取的措施。透過現況與目標理想狀況的比較，就可以進行差異分析，使組織可以決定改善安全現況所需的資源與實施順序。
實施層級(Tiers)：實施層級為組織提供了一種途徑，能夠檢視其網路風險的方法和流程，實施層級的範圍從部份實施(Tier 1)、察覺風險(Tier 2)、察覺風險且重複評估(Tier 3)，到完全適合並實施(Tier 4)共區分為四個等級。藉由檢視實施層級來嚴格地描述網路安全的風險管理，了解安全工作是否依據了業務需求，並且已經整合至組織整體的風險管理實務之中。

網路安全框架核心組成 (資料來源：Cybersecurity Framework)

實施與建立網路安全框架

對企業組織而言，想要建立並實施網路安全框架，由上而下至少需要經過最高管理層、業務流程層和實施運作層等三個階層的互相合作。一開始，最高管理層需要與業務流程層的相關人員進行溝通，以確認任務的優先順序、風險偏好及所需的預算。業務流程層再依據最高管理層的決定，進行組織框架的側寫，將現況與目標理想的差距告知實施運作層，實施運作層的相關人員則可藉此來訂定行動計畫，針對所有風險來源的資產、威脅與弱點，實施所需要的改變與控制措施，並將實行的結果回報給業務流程層，業務流程層再將實施之後的變化與可能仍未消除的風險向最高管理層報告，以便制定下一階段的風險管理要求與決定。

組織的資訊與決策流程概念 (資料來源：Cybersecurity Framework)

因此，組織在制定一項新的網路安全計畫或是針對現有的計畫進行改善時，建議可以參考以下的步驟來進行，並且還需要重複地實施以不斷地改善強化組織的資訊安全。

步驟一：決定優先順序與範圍組織應了解其業務目標和最高管理層對於風險管理的期待，藉此才能夠制定因應資訊安全的策略和決定實施的範圍。在決定範圍時，需要考量的是有哪些資產和資訊系統是和業務流程有關的，在導入網路安全框架與實施計畫時，也可因應不同業務流程的需要與風險的高低，決定所需要採取的整體做法與個別的控制措施。

步驟二：確認目標與方向一旦組織依據其業務流程決定了網路安全實施計畫的範圍之後，組織就可以識別其相關的資產和系統、法律法規的要求及整體的風險管理做法。接下來即可針對這些資產和系統，識別其可能存在的威脅與弱點，以確認實施計畫的目標與方向。

步驟三：建立組織現況的側寫組織可以參考網路安全框架核心中所明列的安全活動，以及每個活動中的功能和分類，來剖析組織目前的安全現況。

步驟四：實施風險評鑑組織可以藉由整體風險管理過程的引導，針對業務運作的環境進行分析，以了解資安事件發生的可能性和其可能帶來的衝擊，在這個過程中必須充分考量風險中的各項威脅與弱點資料，才可促進組織對於資安事件的可能性與衝擊能夠有充分的掌握。

步驟五：建立理想目標的側寫組織同樣可以參考網路安全框架核心中的安全活動，以及每個活動中的功能和分類，來建立理想的安全狀態與目標，藉由與組織現況的側寫的相互比較，就可以了解其中差距，以便採取必要的改善行動。除了參照網路安全框架之外，組織也可以考量來自外部利害關係人如客戶、商業夥伴對於資訊安全的期望，將其一併納入未來的目標之中。

步驟六：針對差距進行分析及確認優先順序組織針對現況和理想目標進行比較之後，即可得知其安全差距，為了消除安全差距，接下來就是要制定一項可行的行動計畫，在計畫之中，必須針對成本、效益以及達成的風險結果進行分析，以便決定行動的優先順序和所需要的資源，同時也可藉此一計畫讓管理階層明白相關的安全活動，以獲得有效改善與達到目標的各項支持。

步驟七：實施行動計畫一旦建立行動計畫之後，就需要依據其內容來逐步實施，在過程之中，除了可參考網路安全框架核心中所明列的安全活動和分類之外，組織也能決定還需要搭配哪些國際標準、安全準則和最佳實務做法，以便符合其實際的需要並且達到更好的效果。最後，針對行動計畫的實施過程，還必須持續地加以監控，以確認達成預期的目標。

如何因應日新月異的安全風險

透過以上的實施步驟，組織就可以依據其需要，不斷地重複進行分析與改善其資訊安全，在這個過程中，最高管理層所關注的是組織的整體風險，業務流程層則關注與其有關的關鍵基礎設施，再交由實施運作層的人員來執行改善的行動計畫。基本上，無論組織的規模大小與風險等級，只要運用此一網路安全框架就可以改善資訊安全的現況，並且能夠管理關鍵基礎設施所面臨的安全風險，更由於此一網路安全框架參考了國際認可的安全標準，因此也同樣適用於美國以外的其他地區，可成為一項國際通用的安全準則。

對組織而言，今日的資安風險是多變且多樣化存在的，並沒有一項單一的作法，可以因應所有的安全問題，因此，組織必須持續地以文件化和風險管理方式來更新改善，以確保關鍵基礎設施可能面臨的各項新的風險，都能夠即時動態地被有效管理因應，以降低對組織可能造成的損失與衝擊。如果您的組織還缺少一套足以因應網路風險的管理作法，網路安全框架是相當適合用來作為改善資訊安全的基礎藍圖。(本文刊載於2014年4月號網管人雜誌)

[觀點] 談醫療資訊的安全防護

Thu, 27 May 2010 07:52:00 +0000

對於現今的醫療業者而言，資訊系統的應用已扮演了非常重要的角色，除了能提供有效率與高品質的醫療服務之外，也提供了更多生命安全的保障，因此，如何確保醫療資訊的安全，已成為醫療業者無法忽視的重要課題。

在2009年3月，香港聯合醫院一位醫師，遺失了存有47名病患個人資料的隨身碟，引起了相關單位的重視；2009年5月，美國加洲柏克萊醫療中心的資料庫，遭到駭客入侵，竊取了相當於身分證字號的社會安全卡號和健保資訊，估計有近16萬人受到影響；2009年11月，台大醫院發生了近年來第2次的電腦當機事件，造成掛號、病歷查詢和領藥系統的失效，影響上千名病患的就醫權益，幸好未造成延誤就醫而影響生命安全的事件發生。

今日醫療業者所面臨的挑戰，包括了就醫品質、病患照護、病患安全及法規要求等各個層面，而透過了醫療資訊科技的運用，可有效協助業者因應各項問題，像是就醫資訊提供、網路掛號、遠端醫療、電子病歷等，除了可以降低醫療疏失的發生機率，也能同時降低營運的成本，並提升民眾就醫時的滿意度。

近年來，隨著醫療資訊安全和個人隱私的保障要求，行政院衛生署在2003年6月啟用了醫事憑證IC卡，藉由其提供的資料加密和簽章機制，可確保醫療資訊的機密性、完整性和不可否認性，避免醫療資訊遭受不當的竄改和偽冒。

另外，在政府對於電子病歷的強力推動之下，在已制定的「醫療機構電子病歷製作及管理辦法」中，亦明定電子病歷僅能開放給經過認證與授權的人員使用，對於資料的內容只能以附加方式處理，而不得任意直接修改或刪除已確認之病歷資料，同時也必須結合電子簽章之技術，以達到可確認原製作之醫療單位與醫事人員的身分，供後續的追蹤查核之用。

醫療資訊安全的目標

資訊科技的應用如同水能載舟、亦能覆舟一般，如果資訊的傳遞未受到良好的防護，或是忽略了處理資訊等相關系統的可用性，就可能導致一連串的問題發生，其中，尤以醫療資訊的外洩影響層面最廣，目前，一般民眾的醫療資訊內容包括：

基本資料 - 包括姓名、性別、出生日期、身分證字號、通訊地址、電話、病歷號碼等。
就醫記錄 - 看診科別、掛號日期、診治醫生等。
醫囑事項 - 診斷記錄、用藥明細、病況摘要、治療方式等。
檢驗報告 - 檢查項目與報告、病理檢驗報告等。
護理記錄 - 住院記錄、給藥過程記錄等。

目前，大多數的醫療院所仍以紙本方式保存醫療資訊居多，而未來隨著電子病歷的推動，一旦資訊轉變成為電子化的狀態，就會具備更容易傳遞、複製、修改等電子化資料的特性，所以如何去確保資訊的安全就顯得更加重要，相信沒有一個人會願意自己的醫療資訊被任意查閱且曝光。

因此，對於醫療業者而言，保護醫療資訊安全的主要目標就是為了：

保護病患醫療資訊 - 醫療資訊為重要的個人隱私，如果遭到不當洩漏，除了會影響病患的身心、名譽和權益之外，更有可能為其家屬造成傷害，因此必須加以妥善的保護。
減少醫療過程疏失 - 醫療資訊的正確與完整性，涉及病患的生命安全，如果醫療資訊受到不當竄改，或是因人為疏失造成資訊錯誤，將會導致像是用藥失誤、診斷錯誤等重大醫療事件發生，所以唯有確保醫療資訊的安全，才能適供適當且正確的醫療服務。
確保醫療服務持續提供 - 持續為民眾提供適當的醫療服務，是穩定國家與社會發展的重要力量，如果醫療服務因為資訊系統受到資安事件的影響而停擺，可能會引發社會大眾的恐慌，進而引發更多的社會問題，因此應由政府予以監督及協助。

醫療資訊的安全原則

就個人的觀察，針對醫療業的資安威脅來源，和多數的組織並無太多的差異，主要仍是來自於天災、人為與技術失效的事故。在天災方面，由於醫療院所負有眾多生命的安全保證，因此在火災、風災、地震方面多半已有良好的應對措施，需要加強的是人員的訓練與定期的災難演練。

至於人為事故方面，因為醫療業需要保護的資訊本身，比一般企業的資訊來得敏感，因此需要所有醫護人員都具備基本的資安意識，以保障病患的醫療隱私，所以在作業程序上，可依照衛生署「醫療資訊安全與隱私保護指導綱領草案」中的指導原則來進行，簡要說明如下：

最小需求與合理範圍之最大安全原則 – 若醫療機構或醫事人員需要蒐集、使用或揭露病患的醫療資訊時，醫事人員必須盡可能地降低其範圍，也就是說，只收集必要且合理的資訊即可，並且必須盡最大努力去保護醫療資訊的安全。
直接取得和不可揭露原則 – 醫療機構或醫事人員需要蒐集醫療資訊時，必須直接向病患或法定代理人詢問，避免由他人轉述病患的隱私。若未經病患的同意，也不得洩露和個人有關的醫療資訊。
尊重及告知原則 – 醫療機構或醫事人員必須獲得病人或其法定代理人的同意，在自願的情形下才可蒐集、使用或揭露其醫療資訊。
公平正義原則 – 病患的醫療資訊不可透過非法或不公正的方式蒐集、使用或揭露。
符合法令法規原則 – 醫療機構或醫事人員對於醫療資訊的使用，必須要符合現行法令的要求，以避免觸犯法規。
病患權利和公共利益保障原則 – 病患對於存放在醫療機構的個人醫療資訊享有一定之權利，醫療機構或醫事人員使用醫療資訊時，應以保障生命權和公共利益為原則。

醫療業的資安防護策略

根據過往的經驗，醫療資訊可能面臨的資安威脅，主要包括了未經授權的非法存取、網路連線中斷、系統當機、惡意程式感染等，因此在基礎的防護作法方面，建議採取以下的控制措施：

建置安全的網路 - 部署防火牆和入侵偵測系統，內部進行網段區隔等。
保護醫療資訊傳輸 – 遠端醫療資訊的傳送，應透過VPN加密方式進行，若提供醫事人員無線網路的使用，也應啟動WPA加密機制等。
弱點管理機制 – 針對醫事人員使用之個人電腦，應透過中央控管之防毒系統，統一派送更新病毒碼，針對作業系統所發布的弱點，也應及時或定期更新，以避免讓惡意人士有入侵的可趁之機。
身分認證機制 – 可利用醫事人員憑證或自行建置之身分認證系統，進行醫療資訊的存取控制。
監督審查與事件管理 – 進行日誌(Log)集中保存，並且檢視追蹤可疑的事件。

至於整體的資安防護策略，目前已有醫療院所導入ISO 27001資訊安全管理系統，這是相當值得鼓勵的地方，顯示醫療院所的管理階層，已經體認到資訊安全對於營運的重要性。因此在管理方面，除了可藉重ISO 27001的控制要求，最重要的是醫療業者需要自行評估目前所面臨的風險為何，必須要將重點放在保護每天產生與傳遞的醫療資訊上。舉例來說，如果醫療院所還是以傳統的紙本病歷居多，那麼在病歷室的門禁管理、病歷查詢的權限控管、病歷資料的傳遞儲存與銷毀等方面，就會是資安管理的重點。

其次，則是思考如何避免因為資訊系統的故障等資安事件的發生，所導致的醫療服務與營運中斷，換句話說，對於資安事件的應變與危機處理，如果能夠及早準備並定期進行演練，將可大幅減少醫療服務中斷對於民眾和醫療院所的衝擊，對管理階層來說，其效益除了能降低營運損失，更可維護醫院聲譽。

最後，雖然國內仍缺少如美國保障醫療隱私的HIPAA(Health Insurance Portability and Accountability Act)法案，但未來必須符合資訊相關法令法規的要求(例如個人資料保護法)，將會是醫療業者應盡的責任。如果能夠及早從管理制度開始著手，透過醫療資訊標準作業流程的建立，讓醫事人員皆能體認保護醫療資訊安全的重要，相信就能為民眾帶來更完善的醫療品質，以及更讓人安心的就醫服務，也不愧對濟世救人的天職。(本文刊載於2010年3月號網管人雜誌)

[專題] 資訊安全管理導入實務(五) - 管理階層之承諾與責任

Wed, 17 Mar 2010 03:46:00 +0000

有一些企業與組織，原本興致勃勃想要推動資訊安全管理制度，期望能夠在日常的運作中，避免產生高度的資訊安全風險，進而造成企業資產的損失。但是到了最後，卻往往功虧一簣，主要原因就是管理階層的參與度不足，無法在關鍵時刻發揮起領導決策的效用。

在「解碼郭台銘語錄」一書中，鴻海集團董事長郭台銘有這麼一句名言：「沒有管理，只有責任；管理可以訓練，領導沒法訓練。」他認為管理階層一定要在「油鍋裡炸過」，要能夠自己做出決策，以親身經驗才能去領導別人，否則即使有多麼完善的制度或法令去規範也沒用，因為下面的人並不會依照方向和時間來往前走。郭董事長的觀點，一語道破了在資訊安全管理制度之中成敗興廢的關鍵因素，也就是管理階層的親身參與和支持。

企業與組織若想建立一個有效且持續運作的資安管理制度，從一開始的規劃討論與專案啟動，到建立制度並且實施之後的管理審查階段，這些都仰賴管理階層的領導與決策能力，如果管理階層只是像沾沾醫油一樣，那麼這個管理制度註定是會失敗的。

也正因為如此，在ISO 27001標準中的第五章，規範的就是管理階層責任與應有的作為，而第七章則是要求管理階層必須依照所規劃的時程，定期審查組織的ISMS是否如預期般的有效運作，並且要確保可持續地適用於組織現況，同時每一次的審查結果都必須要留下文件化的記錄，以做為日後進行改善之用。

管理階層的承諾

為了要確保管理制度的有效性，ISO 27001標準中要求管理階層必須提供對於ISMS的建立、實施與運作、監督與審查、維持與改進的各項承諾證據，因此，管理階層應有的作為至少包括了：

為組織建立一份資訊安全政策，內容應說明為了達到資訊安全所採取之各項行動，必須依據何種準則或規範來進行。在政策中也需要說明如何去評估組織的資安風險，有哪些必須要遵守的法令法規和合約要求，以及管理階層的責任為何。

制定組織的資訊安全目標，確認達到各項目標的計畫和實施方式，並建立和資訊安全有關的各種角色與責任。例如確保內部員工、外部承包商和第三方的使用者，皆能明瞭其安全責任並符合要求，以降低可能的資訊安全風險。

對內對外傳達所建立的資訊安全政策、目標及法律所規範的組織責任，宣示維護資訊安全的決心，並要求不斷地持續改善可能的資安風險。

提供建立與維持資訊安全管理制度持續運作所需的資源，包括人力、物力和財力等。

在風險評鑑完成之後，決定組織所面臨的資安風險接受準則，要求對於具高風險之資產進行妥善處理，並決定最後可接受的剩餘風險等級。

確保組織依照既定的規劃時程進行內部稽核，依據內部稽核的結果要求進行矯正預防措施，並且實施管理階層審查。

提供運作所需資源

企業或組織欲導入資訊安全管理制度，目前普遍的作法是尋求外部顧問的協助導入，在評估各項文件與實施運作均符合ISO 27001標準的要求之後，再進一步請第三方驗證公司進行稽核，以便取得國際認可的ISO 27001認證。因此，在導入之前，所需成本的預算編列將是第一要務，組織應考慮營運規模的大小、導入的範圍和預計完成的時間來予以評估，而這些也都需要管理階層的參與和核准。

此外，在ISMS的建立、實施與運作、監督與審查、維持與改進的過程中，管理階層的責任是要確保各項資訊安全的作業程序，能夠符合組織營運的要求。換句話說，如果因為資訊安全的考量，所實行的控制措施已妨礙到日常業務的進行，那麼管理階層就必須適時的作出反應，或進行作業程序上的調整。

當然，在導入的過程中，很可能會識別出組織以往未曾發覺的資安風險，這時候進行風險的控管是必要的，而所使用的方式可能是從管理制度面來著手，擬定相關的作業程序，或是透過技術面的管控，藉由購置資安設備來到抵禦資安威脅。這些控制措施的實施是否正確且適當，也需要管理階層定期加以關切，以督導相關人員進行維護與改進。

確保資安認知能力

根據個人的觀察，目前企業或組織中最缺乏的就是熟悉資訊安全的人才，一旦管理階層決定要導入資訊安全管理制度，即刻面臨到的問題就是該由誰來負責執行？雖然我們可以仰賴外部顧問的協助，但若內部人員缺少維護與運作的能力，當合約期滿之後，很可能就會讓整個制度趨於荒廢。

因此，在組成跨部門的資安小組之前，管理階層要決定的就是執行相關工作的人員，到底需要具備什麼樣的能力？最簡單的方法，就是將人員送去參加ISO 27001的各項訓練課程，或是直接聘僱已參與ISO 27001相關課程並通過考試的人員，協助ISMS工作的推動。

為了確保ISMS相關人員的技能，管理階層需要決定教育訓練的實施計畫，並針對不同的角色人員，提供不同的訓練課程。例如主管人員安排參與定期的主管人員資安訓練；一般人員需參與一般人員的資訊安全認知課程；技術人員則參加相關設備的操作訓練或是和駭客攻防有關的技術課程。

當然，這些措施是否有效，也需要管理階層的長期關注，藉由定期審查人員維持教育訓練的記錄，或是已取得之技術證照，可確保所有人員皆認知其負責資安工作的重要性，以及具備所需要之專業技能。

進行管理階層審查

ISO 27001標準中要求，管理階層必須定期審查組織運作中的ISMS，以確保其持續的適用性與有效性。在實務上的做法是至少一年一次定期性的召開管理階層審查會議，根據ISMS運作時所產出的文件記錄，由參與的主管來評鑑ISMS的改善機會和方向。在管理審查程序上，標準要求必須要有9項審查輸入和5項審查輸出，分別說明如下：

審查輸入包括─
(1) 來自於內部和外部稽核的結果記錄
(2) 利害相關團體像是股東、客戶、供應商的意見或所提出之問題
(3) 是否有可以改善資訊安全的產品、技術或作業程序
(4) 已實施的資訊安全控制措施的現況
(5) 各項資訊安全控制措施有效性量測的結果
(6) 先前風險評鑑中尚未處理或忽略的資安風險
(7) 是否有任何影響ISMS運作的因素，例如技術或業務項目變更
(8) 上一次管理階層審查決議需跟進改善的措施
(9) 來自各個階層的管理建議

審查輸出包括─
(1) 如何進行ISMS的有效性改進
(2) 如何更新風險評鑑與進行風險處理
(3) 如何針對影響ISMS運作的因素，進行必要的修正
(4) 適當回應所需的資源需求
(5) 如何改進控制措施的有效性及量測

持續改進管理制度

以上談的都是有關管理階層應有的作為與責任，也反映了管理制度並不只是由高層頒布一些準則規範，就強制要求下面來遵守執行，而是需要由上至下，不斷地溝通討論，實施之後再加以檢討改進。透過這一系列的文章，雖然無法完整敘述整個資訊安全管理制度的全貌，但至少點出了其中的核心價值，希望透過標準這麼好的一項工具，可以讓我們依循並掌握住資安管理的重點。

相信大家都聽過「預防勝於治療」這句話，對於現今事事講究效益與成本的企業而言，能夠預防可能發生的資安風險，絕對比資安問題發生之後，處理與矯正的措施更具成本效益。所以在標準本文的第八章，要求的是ISMS的持續改進與矯正預防措施，提醒我們不要以為進行了風險評鑑，就已經掌握各項可能的風險，而是要不斷地依據組織的運作狀況，注意是否有新的威脅出現，或是因業務變更而產生新的風險，然後及早地加以預防。

萬一真的不幸還是發生資安事件了，也請務必謹記「亡羊補牢」這句話，要積極找出事件發生的根本原因，然後盡快把洞填補起來，以避免問題的再度發生。最後，回應上一期文章提到該由誰來負責進行追蹤確認的改善行動呢？答案當然就是懂得資訊安全，日後必定會晉升管理階層的您。(本文刊載於2009年11月號網管人雜誌)

[專題] 資訊安全管理導入實務(四) - ISMS內部稽核規劃與實施

Tue, 16 Mar 2010 10:25:00 +0000

在了解ISMS的文件化要求之後，接下來要談的就是在管理制度中不可或缺的重要工作，也就是在ISO 27001本文第六章所要求的ISMS內部稽核，在整個稽核過程中，從擬定稽核計畫開始直到稽核結束，事實上，也同樣可以運用PDCA原則來進行。

在您的企業或組織中，好不容易獲得了高階主管的支持，組成了跨部門的資安小組，並依據ISO 27001標準的要求，擬定出資安政策與各項作業規範，建立了文件化的資訊安全管理制度，並要求同仁們配合遵照實施，耗費了這麼多人力物力，突然有一天老闆詢問我們的資安到底做得好不好時，您要如何去展現或證明資訊安全管理制度已被有效地運作與維持呢？

正所謂「口說無憑」，因此您勢必得要拿出些「證據」才行。在資訊安全管理制度中，如果想要判定組織內的資安控制目標、資安控制措施以及實施的過程，是否符合ISO 27001標準的要求，並且如預期般地持續運作與有效維持，那麼定期的執行ISMS內部稽核，並留下相關的稽核報告和記錄，將會是最好的證明方法。

擬定稽核計畫

如果您想要順利完成ISMS內部稽核，以展現出這些日子來資安管理的成效，其實可以秉持之前所提到的PDCA模式來進行。還記得先前提到PDCA是指「計畫—執行—檢核—行動」的過程，因此我們在一開始的稽核計劃階段，首先要確認的是稽核準則和稽核範圍，也就是先去了解我們的稽核依據是什麼，還有稽核範圍到底適不適合。

舉例來說，若是我們實施的是ISO 27001標準的資安稽核，那稽核的依據就是ISO 27001本文和附錄A5~A15控制措施，如果接受驗證的範圍是資訊部門和其負責的機房維運流程，那麼其他和此一維運流程無關的單位，既使發現了不符合標準要求的事項，也不應將它列為此次稽核發現的缺失。

在稽核計畫階段，負責的主導稽核員還需要準備稽核行程表和檢查清單，也要召開稽核前的工作會議，向稽核團隊說明查核的標準、當天的行程及稽核方法。稽核行程表說明了當天的實施流程，因此必須事先傳送給受稽單位並請其確認，而檢查清單則是供稽核小組確認稽核計劃是否有遺漏的地方，通常在檢查清單中的項目至少會包括：
 受稽單位連絡人的姓名、電話
 稽核當天所需的引導人員數量
 稽核當天可作為稽核小組使用的會議室
 受稽單位是否對於稽核人員有健康或特別要求
 稽核時是否需要穿著或配掛特殊裝備
 稽核時需要遵守的現場安全規定
 稽核人員需要簽署的保密切結書

至於內部稽核的實施頻率，一般而言一年執行兩次是適當的，組織也可依照本身業務形態的重要性，來決定是否需要增加稽核的次數，但要注意的是實施頻率若過於頻繁，可能會造成相關業務人員作業的負擔與困擾，因此這點也要審慎加以評估。

建立稽核團隊

實施稽核同樣需要耗費一些人力、物力資源，其中挑選出適當的稽核團隊是成功的必要條件。在挑選人員時我們應事先了解其具有的專業技能，例如應選擇具有網路規劃和防火牆專長的人員去稽查網路的存取安全控制，或是派出熟悉環境安控的人員去稽核實體安全的防護。換句話說，如果稽核人員本身不了解受稽單位的作業事項，很可能會無法察覺潛在的一些不符合標準要求的項目。

此外，有一種狀況是務必要避免的，那就是稽核人員不應當稽核和其本身有關的工作，像是負責網路防火牆管理的人員去負責稽查網路存取安全，那麼這種「球員兼裁判」的行為，將無法達到所設定的稽核目標，同時也使稽核工作失去意義。

所以，一旦建立了稽核團隊之後，在稽核計畫階段就需要收集受稽單位的相關資訊以了解其作業型態，因此和受稽單位保持密切的溝通，提早確認執行稽核的時間，並告知需要準備的事項，這也是稽核團隊應盡的責任，這樣才可以確保稽核過程能夠順暢進行。

執行實地稽核

至於稽核的方法，通常包括了「文件審查」與「實地訪談」，在文件審查階段，主要是了解組織的ISMS相關文件，是否符合ISO 27001標準的文件化要求，並確認管理制度的運作過程中有留下各項記錄，以證明ISMS被有效的實施與進行。

而實地訪談的目的，則是確認相關作業人員，已清楚了解組織的資訊安全政策與目標，並按照所要求的作業規範來執行。對稽核人員來說，稽核的過程就是要能夠去取得「客觀性證據」，也就是依據稽核準則，透過實地訪談觀察到相關的人、事、時、地、物，透過多方面的證據收集，以支持其稽核的發現。

因此，對稽核人員而言，稽核技巧的鍛鍊非常重要，除了本身需要具備客觀性，避免僅從單一事項主觀地去判定問題之外，稽核人員詢問問題的方式也會決定其所收集到證據的完整。以下是稽核人員可運用的實務技巧：

詢問開放性問題：所謂的開放性問題是指讓受稽人員可明確回答和人、事、時、地、物有關的資訊，例如詢問資訊人員對於使用者的通行碼的安全控制措施有哪些？使用者的存取權限要如何進行申請？多久會進行一次審查？也就是說，稽核人員在訪談時應避免詢問「Yes or No」的問題，像是詢問「是否針對使用者的通行碼進行控管？」「有沒有針對使用者存取權限進行審查？」若是皆採用以上封閉性的問法，所得到的答案往往無法進一步提供更多資訊，也會使稽核人員落入難以判定的情況。
自行決定抽查樣本：稽核人員在審查相關文件記錄時，要堅持獨立性原則，例如在審查機房人員進出記錄時，應自行決定要抽查的日期，而不是僅參考受稽人員所主動提供的記錄，更不應受到言語左右而忽略應審查的項目，務必要按照事前所擬定的稽核計畫確實的來執行。
多方收集客觀證據：稽核人員應避免排斥或否定受稽人員的答案，應該多方抽樣或觀察以收集更多的證據。一般而言，受稽單位所提供的相關記錄應至少要有3個月，稽核人員可從不同的時間點或是透過不同的受訪者，來獲得可供判斷的有效資訊。
發展出稽核軌跡：稽核人員在執行稽核的過程中，所獲得的各項證據都必須要留下記錄，也就是在稽核工作底稿中，需要記載所審查的文件名稱、版本，同時包括訪談對象的職稱、回答的內容等，以作為前後比對與確認證據的關聯性之用，此一記錄更可作為稽查不同項目時，發現潛在因果關係的參考。
良好的時間管理：稽核的時間是事先排定的，也就是在執行稽核的當天必須按照表定行程來進行，如果時間沒有妥善掌握好的話，將會影響到接下來的稽核項目，很可能就會遺漏應稽查的事項而損及稽核報告的有效性。萬一發生時間延誤的情況，應盡快向稽核團隊尋求支援，以避免引發負面的連鎖效應。

追蹤確認改善

一開始我們即提到，內部稽核可秉持之前所提到的PDCA模式來進行，顯而易見的我們知道在稽核計畫階段是P、實地執行稽核是D，那麼C和A呢？兩者當然也不能遺漏掉，在這裡的C是指在稽核結束之後，當天會連同受稽單位舉行稽核結束會議，在會議中主導稽核員必須報告當天的稽核發現，並說明是否有未達標準要求的不符合事項，同時請受稽單位進行確認，如果對於不符合事項有任何意見，受稽單位也可當場提出討論，會後的決議結果將會作成正式的稽核報告。

所以，稽核工作到此就順利完成了嗎？當然不是，如果在稽核過程中發現了不符合事項，依據ISO 27001標準的要求，還必須進行follow-up活動，也就是受稽單位必須採行改善措施，以使造成不符合事項的原因消失。內部稽核的A即是指最後還要進行追蹤確認的改善行動，這樣才可使組織的資訊安全管理制度更臻至完善。那麼到底該由誰來負起整個改善行動之責呢？且聽下回分解。(本文刊載於2009年10月號網管人雜誌)

[專題] 資訊安全管理導入實務(三) - ISO 27001的文件化要求

Wed, 24 Feb 2010 05:49:00 +0000

在上一篇，已說明了ISO 27001標準中有關「實施與運作ISMS」、「監督與審查ISMS」，以及「維持與改進ISMS」的作法，並且提到People(人員)、Process(流程)和Product(產品)是資訊安全管理的基礎，如果要將此三者在組織中予以串聯落實，那麼撰寫明確並可供參考的文件就顯得十分重要。

在ISO 27001標準中，開宗明義即提到它的適用範圍涵蓋了各種形式的組織，包括商業團體、政府單位和非營利機構等，標準中規定應在組織整體的營運活動和其所面臨的各種風險中，建立、實施與運作、監督與審查、維持與改進「已文件化」的資訊安全管理系統要求。有關ISO 27001標準的文件化要求，主要是在4.3條文中說明，其所謂的文件化，除了政策的宣示、制訂作業程序規範及表單之外，還包括了管理階層針對資訊安全相關活動，進行各項決策所產生的記錄。

標準要求留下記錄的目的，是為了確保組織所實施的各項資安控制措施，都可以進行追溯，以便了解管理階層是在什麼時間點做出什麼樣的決定。因此，管理階層的各項決策記錄，應該是會不斷重覆產生的，透過這些決策記錄，就可以顯現出管理階層的作為，是不是依據風險評鑑的結果作出適當的風險處理，而不是僅憑個人臆測所作出的指示行動，也更能了解其資安作為是否符合組織的資訊安全政策，並且和組織的整體風險具有明確的關聯性。

ISO 27001要求的文件

組織在導入ISO 27001標準的過程中，需要產出的文件至少包括：

資訊安全政策：在標準本文的4.2.1(b)中提到，組織應依其營運型態、所在位置、資產及技術等各項特性，來制定其ISMS政策，在政策中需要陳述確保資訊安全的目的為何，以及有關資訊安全的行動準則與目標。一般而言，資訊安全的目標不會脫離確保資訊的機密性、完整性和可用性，但是為達到以上的資訊安全目標，在資安政策中應定義出可量化的指標，例如可歸責於資訊單位的駭客入侵和資料外洩事件，經外部通知後尚未處理的事件目標值為0；或是重要應用系統的可用率應高於99%等。另外，組織應考量本身適用的法令法規要求，以及合約規範的內容，在資安政策中說明應有的資訊安全義務，還有管理階層本身應盡的責任，使其在執行管理工作時能有明確的依據。

支援ISMS的各項程序書：為了符合ISO 27001的要求，組織需要加強資訊安全的控管，也就必須建立起各種不同的標準作業程序。常見的作業程序有資訊資產管理程序、網路安全管理程序、資訊存取控制程序、實體安全管理程序、資訊安全事件管理程序和資訊作業委外管理程序等。

風險評鑑方法論：關於風險評鑑的方法，通常會寫在風險評鑑與管理程序之中，說明組織是如何去識別威脅與弱點所產生的風險，以及風險值的評價與計算方式，並定義出可接受的風險等級。風險評鑑方法最重要的就是必須能夠產生可比較和可重複的結果，也就是說，同樣的風險評鑑方法應該能反覆實施，而其所產生的結果可以用來相互比較，以了解組織前後所面臨的風險現況。

風險評鑑報告：在風險評鑑報告中，必須記載此次風險評鑑的範圍和執行風險評鑑的時間，並且說明風險評鑑作業的執行方式與流程，若是首次執行風險評鑑作業，一開始需進行的是資訊資產的識別與盤點，若是重新進行風險評鑑的話，則是要確認組織是否有新增或是異動的資產，並給予適當的資產價值。至於風險的分析，則是要確認是否有新的威脅與弱點產生，並且判斷每一項資訊資產中，威脅利用弱點而產生風險的可能性。最後則是要說明本次風險評鑑的結果，有哪些資訊資產的風險值在可接受的風險之上，以列表方式把它呈現出來。

風險處理計劃：根據風險評鑑報告的結果，組織必須針對風險過高的資訊資產，決定所要採取的風險處理方式。一般而言，最常採取的作法就是降低風險，因此需要提出改善的作為或是控制方法。在風險處理計畫中，除了說明以上的處理方式外，最重要的是要指定一位負責人或負責單位，並註明預定完成處理的日期，以及預期將獲得的改善效益，也就是說明將如何去降低資訊資產的風險值。

控制措施的有效性量測：組織所採取用來降低風險的控制措施是否有效，不是自己說了就算數，而是必須有一套客觀的量測方法，以證明所面臨的風險已經被有效的控制住。針對有效性量測，在ISO 27001標準中著墨的並不多，它提到組織需要確保有效規劃、運作和控制其安全過程，並描述如何去量測控制措施的有效性。在4.2.3條文中則指出，量測控制措施的有效性，目的就是要能證明組織已符合ISMS的各項要求，因此，組織所選擇採用的控制措施，每一項都要說明其量測的方法和量測的指標，並且記錄其量測的結果，以便稽核人員在審查時能夠一目瞭然，判斷選擇用來降低風險的控制措施是否適當。

適用性聲明書：適用性聲明是用來陳述在資訊安全管理的過程中，組織依據風險評鑑的結果，決定選擇適用或不適用的ISO 27001附錄A控制措施。ISO 27001標準中所提到的133項資訊安全控制措施，並非每一項都要求強制實行，而是可依照組織實際的運作狀況和評鑑後的風險來自行決定。只不過，如果控制措施適用的話，必須指出其參考的文件為何，不適用的話，則要說明其理由。舉例來說，例如A.9.1.2實體進入控制措施，其採用的理由是為了確保只有經過授權的人，才能進入如機房等敏感實體區域，所以制訂了人員出入管制規範，而這項控制措施所參考的文件，則是實體安全管理程序和機房管理作業要點，讓相關人員可依照文件中的要求規範來遵照執行。

文件管制防護與作法

在ISO 27001標準中的各項作業程序文件，可說是整個資訊安全管理制度運作的骨架，因此在4.3.2文件管制的條文中，提到這些所需的文件應受到適當的保護與管制，其要求的作法如下：

在文件發行之前，必須要有管理階層的核准，以確保文件內容的正確與適用性。
如果因組織變動或作業流程的更改，在必要的時候，ISMS文件可以進行修訂與內容更新，但是必須經過管理階層的重新審查與核准後，才可頒布使用。
文件如果經過變更或修訂，應該採取適當的標示，例如註明文件名稱、文件編號與版次，並且在變更記錄中記載修訂的內容摘要、頁數、發布日期、修訂日期及修訂人員。
文件必須確保其內容易於識別和閱讀，並且要讓需要使用的人員能夠隨時取得，使用到最新版本的文件。
文件的分發必須進行管制，依照不同文件的敏感等級，提供給授權的人員使用，並且依照其所要求的資料交換作法，進行傳送和儲存。
文件若需要作廢時，應依據作廢流程確實執行，以避免作廢的文件遭到誤用，在特定的情況下，如果需要保留作廢的文件，也應該要有清楚的標示。

記錄管理要求與維持

除了各項文件需要受到適當控管之外，在ISO 27001標準4.3.3記錄管制的條文中，要求各項記錄應加以保護與管制，尤其是在法律或合約中有明訂要求保存的，更應該要有良好的控管。因此，在ISMS運作的過程中，所產生的各項活動記錄，也應該要被適當的保存，以作為管理制度有效運作的證據。所謂的記錄，包括像是機房人員的進出記錄、敏感資訊的存取記錄和資訊安全稽核報告等，都應保持容易閱讀、識別和檢索，並有適當的儲存方法與保存期限，而無論是文件或是記錄，都可採取紙本或電子形式，儲存於受到良好防護的實體，例如檔案室或硬碟、磁帶之中。

至於本文一開始所提到的「已文件化」程序，乃是指組織有一建立、文件化、實作和維持的程序，因此針對各項ISMS需要的文件與運作記錄，每個組織可能會有不同的文件化程度，但是在文件與記錄的管制要求上，兩者並無差別。所以，組織若想要維持一個有效且持續運作的資訊安全管理制度，那麼在文件與記錄的管理方面，勢必得要建立起符合標準要求的作業規範。(本文刊載於2009年9月號網管人雜誌)

[專題] 資訊安全管理導入實務(二) - 實施與維護資訊安全管理系統

Mon, 08 Feb 2010 14:03:00 +0000

在上一篇，介紹了目前廣泛被認可的資訊安全管理標準ISO 27001，可以作為企業建立資訊安全管理制度(ISMS)的參考規範，並且說明了支持管理制度運作的PDCA架構和「建立ISMS」條文的內涵，本篇將繼續說明標準中有關「實施與運作ISMS」、「監督與審查ISMS」，以及「維持與改進ISMS」的作法。

資訊安全是一個管理過程，在建立資安管理制度的過程中，主要會牽涉到三個P，分別是People (人員)、Process (流程)和Product (產品)，而在此三者之中，又以人員可說是管理制度成敗的首要關鍵。因此，在企業建立資安管理制度的初期，要如何找到對的人來執行，也就是如何成立一個資安管理推動小組，驅動企業成員的參與，將是首要的任務，接下來才是去思考如何建立起安全的作業流程，然後在作業流程的各個階段，導入適當的資安技術產品，以作為資訊安全的控制措施。

就目前個人所觀察到的現況，大多數企業對於資訊安全的管理，主要仍是落在導入產品的這一部份，所採取的作法也偏重在頭痛醫頭、腳痛醫腳，缺少一個有效完善的資安對應策略。相關人員對於資訊安全的概念，也是來自於銷售資安產品的廠商，往往會受限於只從技術的觀點出發，而忽略了管理的要求，以為添購了市面上最流行的產品之後，就可以解決所面臨的資安問題，但是事實上，資料外洩或是不當的入侵事件，在企業內仍舊是層出不窮。

實施與運作資安管理制度

在上回所談到建立ISMS的過程中，我們必須界定能夠識別企業風險的風險評鑑方法，並且運用此一方法去識別企業各項具有價值的資產，評估資產本身所具有的弱點，以及所面臨的威脅是否會利用這些弱點，可能對企業造成機密性、完整性和可用性的衝擊，然後再針對分析和評估各項風險的結果，依據所計算出的風險值大小和風險等級，決定要如何進行風險處理，也就是要選擇實施哪些資安控管措施。至於這些控管措施的作法，可能是透過建立標準作業流程來因應，或是添購產品以技術方法加以解決。

在ISO 27001標準4.2.2「實施與運作ISMS」條文中提到，我們要去建立一個風險處理計畫，評估企業現有的環境、資源和責任，然後制定出風險處理的優先次序。在風險處理計畫中，人員的調派和責任的配置相當重要，針對各項想要處理的風險，我們必須指定一位負責人，並說明要採取何種方式去降低此項風險及處理時間，如果是導入產品，就要擬定導入產品的時程，以及預估其可達到的控制成效。

其中特別要注意的是，在產品還無法負起資安防護的工作之前，必須選擇短期的對應措施。舉例來說，若企業所分析出的風險是敏感作業區域缺少門禁管制，採取的風險處理方法為添購門禁刷卡系統，但是預估要三個月才能建置完成，那麼在這三個月之內，缺少門禁管制的風險依舊是存在的，我們必須要實施短期的控制措施，先行控制這項風險，具體作法像是可調派警衛執行定點監控，檢查出入人員識別證等，以避免可能的資安事件發生。

到了運作ISMS的階段，企業必須要能確保所選擇的控制措施是有效的，換句話說，可以透過量測的方式，來評估控制方法的有效性。俗話說：「預防勝於治療」，所以在量測指標的設定上，我們應以設定偵測性指標為主，而避免把發生資安事故的次數作為量測的指標。例如在資料安全性的量測方面，我們可以用人員違反作業規範的次數來進行評量，而不是以發生資料外洩事件的件數作為量測的指標。

監督與審查資安管理制度

為了確保資安管理制度能夠有效運作，企業必須要有適當的監督方法，像是剛才提到可以設定量測性指標作為控制措施是否有效的衡量依據，因此，若想要去進行量測，就要事先擬定出可行的監督審查程序。在ISO 27001標準4.2.3的條文中提到，我們要能立即識別出可能危害資訊安全的事故發生，也要能夠判定所選擇的控制措施，都能如預期般地順暢運作執行。所以針對每項控制措施，就要在監督程序書中說明我們多久會進行一次有效性量測？如何去判定此項控制措施是否有效？多久會進行一次管理階層的審查？並且還要將安全稽核、發生的資安事故、有效性量測的結果，以及利害關係人所提出的建議，一併納入考量。

對企業而言，想要了解制度是否有效的執行，最常採取的作法就是定期實施內部稽核。所謂的內部稽核是指由企業內獨立的公正單位，像是稽核室人員，依照企業本身所遵守的標準、制度和法規，事先擬定查核項目，然後進行實地訪查和抽樣，以了解管理制度是否如文件中制定的要求來進行。在稽核的過程中，若有各項符合或不符合事項的發現，都要留下包括人、時、地、事、物的完整記錄，以作為未來管理階層審查時的輸入參考，藉此才能提出未來的改善目標和計畫。

維持與改進資安管理制度

企業透過定期實施的資安稽核，就可以了解目前資安管理制度的執行現況，從中發現人員、作業流程和產品技術是否有不足或是需要加強改進的地方。因此，在標準4.2.4「維持與改進ISMS」條文中提到，企業需要定期實施各項ISMS之改進，並依據所發現的不符合事項，進行適當的矯正和預防措施，像是作業文件的修訂、實施人員的教育訓練、加強技術性的弱點防護等，目的就是要達到預期的改善目標，並且確認各項資安控管措施是有效的，才能將可能的資安風險降至最低。

在ISO 27001標準的4.2條文之中，關於建立ISMS的篇幅較大，敘述也較為詳盡，這部份是企業一開始最用心且投入較多的地方，反觀維持與改進ISMS的內容，它說明應執行的事項並不多，也是整個管理制度中，很容易忽視或執行不夠徹底的地方。記得在西遊記裡有句諺語說：「起頭容易結梢難」，意思是指事情的開頭容易，但是要有令人滿意的結果卻很難。所以在此要提醒各位，可別忘了要確保資安管理制度可以有效地運作，就必須要持續PDCA的管理模式，例如維持與改進ISMS是屬於A的階段，若是沒有確實的執行，要再次銜接到下一循環的P就會有困難，可能會導致整個管理制度難以持續有效地運作下去。

熟悉標準將可事半功倍

所謂的管理制度，往往是說來容易做來難，以ISO 27001為例，在這薄薄數十頁的標準內容中，其實有著相當博大精深的內涵，要能夠完全理解它並不容易，但參照標準的好處是，可以快速地掌握各項資安管理制度的重點，然後再依據組織的現況和資源來予以彈性的運用。

至於本文一開始提到的三個P，則是執行資安管理的基礎，同時三者也是不可偏廢的，換句話說，想要只依靠單一要素來達到有效的資安管理，可說是難上加難，唯有融合專家智慧所凝聚出的標準規範，再讓上述三者能夠相輔相成，這樣才可達到事半功倍的效果，對於有心想落實資訊安全的企業，標準才會變身成為一項切實可用的神兵利器，而不只是所謂的紙上談兵，下一篇，將會說明ISO 27001針對管理制度的各項文件化要求。(本文刊載於2009年8月號網管人雜誌)

[專題] 資訊安全管理導入實務(一) - ISO 27001資訊安全管理系統簡介

Mon, 01 Feb 2010 03:01:00 +0000

推動資訊安全工作，主要涵蓋的層面包括人員、作業流程和資訊技術，要如何將此三者串連起來，最好的方式就是建置一套適合組織的資訊安全管理制度。目前，實務上最好的參考指引就是國際資訊安全管理標準ISO 27000系列的規範，接下來的文章，將會說明如何協助組織導入符合標準要求的資訊安全管理制度。

一談到資訊安全，大多數人的直覺反應就是在抵擋駭客入侵，但事實上，這只是其中的一小部分而已。過去，許多企業組織對於資訊安全的投入，主要都是著重在技術面的資安基礎建設，例如建置網路防火牆、防毒軟體和入侵偵測系統等，希望藉由安裝資安軟、硬體設備來加強網路安全，以抵擋來自企業外部的各種資訊安全威脅。

可是，僅僅做好網路安全防護，並無法有效地解決各種資訊安全問題的發生，因為還有兩項大原則必須要同時兼顧到，那就是人員與作業流程。因此，確保組織資訊安全的最佳方式是從管理層面來著手，藉由建立一套完整的資訊安全管理系統(Information Security Management Systems, ISMS)，才能有效防範資訊安全事件的發生，但是資訊人員們可千萬別誤會，這裡的「系統」指的並不是架設一台伺服器或是開發某個應用系統，它背後代表的意義，其實是要建立可以持續運作的資訊安全管理制度。

資訊安全管理標準簡介

目前，ISO 27000系列是國際上受到認可的資訊安全管理標準，其中在2005年通過的ISO 27001標準，它是規範建立、實施資訊安全管理系統的方式，以及落實文件化的要求，可以確保資訊安全管理制度，在組織內部能夠有效的運作，同時它也可以作為資訊安全管理系統的驗證標準。截至2009年6月為止，在全球已經有超過5600個組織通過驗證，台灣也有321個組織(包括公民營單位)取得ISO 27001證書，僅次於日本、印度、英國，位居全球第4位。

至於ISO 27002則是資訊安全管理作業要點，內容涵蓋了11個章節以及133個安全控制措施，提供很多實務上能夠運用的做法，可作為建立一個標準的資訊安全管理系統的參考。如果管理人員想要協助組織建立資訊安全管理制度，卻不知應該要如何著手時，就可以參照這個標準的內容來進行。

在ISO 27001標準中的要求，都是屬於一般性且可廣泛應用的，也就是說，它適用於任何型式的組織，而不受限於規模大小和營業性質。因此，只要是有心想要加強資訊安全的企業或政府單位，都可以藉由參考ISO 27001中的規範，自行選擇符合組織需求的資訊安全控制措施，來達成一定水準的資安防護能力。

管理制度的運作架構

在資訊安全管理系統的運作上，ISO 27001要求組織應該要在整體業務活動與其所面臨的風險之下，建立、實施、運作、監控、審查，並且維持和改進一個已經有文件化的管理制度，如果要確保它可長可久，就必須要運用PDCA(Plan-Do-Check-Act)過程導向模式，作為整體管理制度運作的基礎。

所謂的PDCA是指「計劃-執行-檢核-行動」的過程，在一開始的計劃階段，組織必須要建立符合營運目標的ISMS政策，它定義了組織實施ISMS的範圍，並說明資訊安全的目標、需要透過哪些指標去衡量成效，以及管理階層應該擔負的責任。因此，資訊安全政策也可視為管理階層對於資訊安全的宣誓與支持，唯有如此，到了執行的階段，我們才可依照此一政策來逐步推動各項資安的控制措施，並且建立相關的作業程序。

在依照計劃並且執行之後，要如何得知實施的成效呢？這時候就要進入檢核的階段，針對ISMS政策、控制目標及實行的過程，依照政策中所設定的指標去分析、評量實施的成果與績效，然後再將此一結果回報給管理階層作為審查之用。最後，再依據審查的結果，若是發現執行過程中有一些不符合的事項，就要透過實際行動來進行改善，也就是採取相對應的矯正和預防措施，來持續改進ISMS的整體運作。

ISO 27001標準條文內容

ISO 27001標準條文一共分為8個章節以及附錄，其中第1到3章，說明了ISMS的適用範圍、所引用的其他標準，以及相關名詞的解釋。ISO 27001條文的重點主要是落在第4到8章和附錄A，分別是「資訊安全管理系統」、「管理階層責任」、「ISMS內部稽核」、「ISMS之管理階層審查」、「ISMS之改進」，以及附錄A的控制目標與控制措施。其中特別要注意的，就是在這5個章節之中，涵蓋了資訊安全管理制度的建立運作與文件記錄管制、風險評鑑、管理責任、內部稽核和持續改善等要求，如果組織有任何一項不符合，就表示此一管理制度是無效的，也就無法通過ISO 27001標準的驗證，所以務必要了解條款背後所代表的執行意義。

為了滿足以上所提到的PDCA架構，在ISO 27001標準條文中，也是基於此一運作模式來設計，以第4章為例，4.2.1是「建立ISMS」、4.2.2為「實施與運作ISMS」、4.2.3是「監督與審查ISMS」、4.2.4則是「維持與改進ISMS」，剛好就對應了從計畫建立(P)、實施運作(D)、監督審查(C)及維持改善(A)的四個循環過程，換句話說，只要組織能夠持續PDCA的管理模式，就可以確保資訊安全管理制度可以有效地運作。

以下就先簡要說明4.2.1「建立ISMS」條文的內涵：

定義ISMS範圍 - 在此條文中，要求組織首先要依據營運、組織、所在位置、資產和技術等特性，定義出資訊安全應受到適當控管的範圍。我們可以依照組織本身的特性，以部門、系統、業務項目或實體環境來定義所要實施控管的範圍，舉銀行業為例，我們可以選擇銀行資訊部門作為導入ISMS的範圍，也可以將信用卡這項業務服務相關的部門、人員、流程或是信用卡服務中心所在地點作為實施範圍。在實務上，當組織在定義範圍的時候，請僅記一項原則，就是務必要把核心的業務納進來，因為別忘了我們一開始即提到，資訊安全的目標要與營運目標一致，如果不針對主要業務來進行資安控管，實施起來就不具有意義了。
界定ISMS政策 - 在制定政策的時候，我們需要考量組織營運與相關法規的要求，還有合約中所制定的資訊安全責任，例如法律要求必須要保障個人隱私、保護重大營運資訊，或是合約中要求必須保護客戶資料等，這些都是我們設定資安目標時的重要依據與參考。另外，在ISMS政策中，我們也要建立可以用來評估風險的準則，並且要能符合組織的整體風險管理策略。
界定風險評鑑作法 - 風險評鑑有各種不同的方法論，讀者可參閱網管人二月和三月號中有關資安風險管理的說明，自行發展出可以識別組織風險的方法，並定出風險可以接受的等級。標準之中對於風險評鑑方法的要求，在於風險評鑑後所產出的結果，必須是可比較且可再產生的，換句話說，風險評鑑的方法，必須能夠重複使用，而且在不同時期進行的風險評鑑，其結果皆可用來相互比較分析，以作為風險處理與改善的方向。
管理階層審查 - 標準中提到在風險處理之後，所殘留下來的剩餘風險，必須要取得管理階層的授權與核可，整個風險處理過程才算完成。
擬定適用性聲明書 - 所謂的適用性聲明是指針對資安風險所選擇的控制目標與措施，組織必須要說明其選擇的理由，另外，在標準中所排除的控制項目，也必須要提出合理的解釋。適用性聲明的主要目的，是為了要確保不會有存在於組織中的資安風險，受到忽略而缺少適當的控管。

資訊安全是一個管理過程

資訊安全是一個管理過程，而不是一項技術導入過程，在ISO 27002標準中提到，「資訊安全是為了有效保護資訊不會受到各種威脅，實施各項適當的控制措施，以使企業能夠持續營運，將可能受到的損失降至最低，並獲得最大商機。」所以，維護資訊安全並不單只是資訊人員的責任，而是必須提高層級由企業組織的管理階層做出承諾，要求成為所有人員必須遵守的規範，也唯有人員都具備了資訊安全的警覺與防護意識，才能降低資安事件發生的可能。(本文刊載於2009年7月號網管人雜誌)

舊留言存檔

以下留言轉存自原 Blogger 網站，僅供存檔，無法回覆。

Dr security（2010-02-07）

您好，很喜歡您整理的資料，我個人是在安全監控業服務的(包括ip cam)，剛成立一個BLOG，有興趣的話，可以前來指導一下，謝謝。 http://securitypro-anny.blogspot.com

傑克小花（2010-02-07）

您好，謝謝您的回應，安全監控也是資安的重要一環，您能在Blog上分享寶貴的經驗那真是太好了呢，也希望日後能與您多交流喔~

阿樹（2012-06-21）

最近看資策會好像有開ISO27005 RA 的認証課。不知道這個認証。是否有考的必要性呢?

傑克小花（2012-06-21）

Hi 阿樹, 如果您的工作是和資安與風險管理有關，那麼 ISO 27005是一個蠻好的參考標準，它可以協助您進行資安的風險評鑑和風險處理，對於風險管理的全貌也會有更完整的認知喔~

[觀點] 綠色資安新主張節能省碳愛地球

Wed, 20 Jan 2010 05:52:00 +0000

繼「Green IT」之後，「Green Security」是一項更新的議題，許多企業已經藉由建置綠色機房來降低營運成本，並且贏得環保的好名聲。事實上，資安工作同樣也能幫助環境綠化，也能為環保盡一份心力。

在電影「不願面對的真相」中，美國前副總統高爾用他的熱忱，不斷在世界各地到處奔走，希望透過最簡單易懂的演講，提醒世人注意今日全球暖化的現象，已經是一個不亞於恐怖行動的全球性危機，如果沒有及早因應的話，將會帶來一連串的災難，更會威脅到地球所有生物的生存。他更提醒各國政府必須要有所作為，同時強調「這是道德問題，而不是政治議題」。

過去，許多人對於環境保護的議題，往往都視而不見，可能的原因是由於它並沒有立即性的危害，所以一旦大家體會不到，就不太會想要去重視它。但是現在隨著冬天不冷、夏天超熱，全球的平均氣溫正以有史以來最快的速度不斷升高，暴風雨和颶風的威力也變得愈來愈強，大自然已經用它的種種現象，不斷向人類來反映，如果再不珍惜地球這個共有的環境，人類最終將會自取滅亡。

正視全球暖化危機

根據科學家的預測，如果沒有降低溫室氣體的排放量，全球暖化的程度仍會繼續惡化，在本世紀末平均氣溫將會再上升3到9度，一旦溫度上升造成冰山融解，許多臨海的國家恐怕會遭到海水吞噬，而台灣正是處於這種處境的高危險群。

在英國和歐洲，已經有許多商品會在上面標示它在製造、生產及運送過程中，所產生的溫室氣體數量，稱之為碳足跡(Carbon footprint)。碳足跡的多寡，可以用來計算人類在日常生活之中，各項活動對於環境所造成的影響，所以具有環保意識的政府和企業會鼓勵民眾，盡量選購低碳足跡的商品，以減少二氧化碳氣體的排放量。

另外，歐盟委員會也要求各成員國需制定「限用有害物質(RoHS)」的法規，來限制在電子產品中使用鉛或其他有害物質，以維護環境的安全與人類的健康，同時更促進報廢電子產品的回收處理，也要讓它合乎環保的要求。

或許我們並不是所謂的環保人士，但身為資訊人員的我們，還是可以有些行動與作為，來協助拯救我們共有的地球。像是近來熱門的「Green IT」，就是透過省電型的伺服器、刀鋒伺服器、虛擬化主機、電源和空調管理，來打造出一個節能的「綠色機房」，盡可能的降低運作時的能源消耗。

打造企業綠色資安

而資安工作呢？有沒有可能在落實資安的同時，同時也能為綠色環保盡一些心力？事實上，在國外已有一些資安專家，提出了所謂「Green Security」的概念，提醒企業在執行資安工作時，也能同時做好環保的工作。

目前，資訊安全已是現今企業重要的工作之一，為了確保內部重要資訊像是商業機密、客戶資料、財務報告等，不會遭到未經授權的存取與洩露，企業往往建置了資訊控管的辦法，從一開始的資料分級分類、資料的存取流程，到資料的歸檔和最後的廢棄銷毀，這一連串的資訊處理過程，又可稱之為資訊生命週期(Information lifecycle)。

無論資訊存在的形式是紙本或電子檔，不同的資料類別皆有不同的處置方式，如果是事涉敏感的資料，一旦走到最後一步需要銷毀時，那麼就一定要採取安全的方法來加以處理，以免洩露了不當訊息。

如果想要為環保盡一分心力，則可以融合資安與環保的做法來執行，例如可以透過網路加密通道，進行遠端系統的維護，並且建置安全的視訊會議，以減少人員的出差，節省交通工具的油耗與廢氣排放。另外，以下還有結合資安概念的一些應用，可提供給有心執行的企業作為參考。

正確使用列印設備 - 減少紙張浪費，避免資料外洩
企業對於廢棄紙本資料的處理，一般都會使用碎紙機，碎完之後的紙屑，可採取外包處理，藉由合格的廠商與安全的作業流程，將機密資料予以銷毀。不過，為了環保，應盡可能減少列印量，例如可透過列印程序的管控，要求人員必須輸入密碼後才可列印，將可避免不小心列印出來之後，未經銷毀程序而導致資料外洩。

另外，企業若是導入了資訊安全管理制度，將會增加許多政策、作業程序與工作表單，如果還是採取傳統紙本方式控管，將會消耗大量的紙張，建議企業可以進行文件的電子化管理，以節省紙張的浪費。

下班後要求電腦關機 - 減少電力損耗，避免駭客入侵
桌上型電腦的耗電量較高，如果使用者貪圖一時方便在下班之後仍開著，將造成無謂的電力損耗，目前，透過一些工具軟體的幫助，可以偵測出在下班之後依舊開著的電腦。

事實上，除了省電之外，許多企業為了資安的理由，都會強制要求使用者的電腦進行系統更新，一般的作法是透過登入Windows網域時，以Script方式彈跳訊息來通知使用者，或是透過群組原則的設定，讓使用者登入之後，就立即進行系統更新。如果使用者的電腦一直開著，很可能因為長期沒有登入，系統未更新修補程式，而產生資安上面的漏洞，很容易就會成為駭客或惡意程式入侵的對象。

資訊設備回收再利用 - 減少環境污染，兼顧資料安全
在電腦零組件中，含有一些重金屬物質，若隨意棄置將會造成環境上的污染，因此企業應經過適當的報廢程序，將舊電腦回收再利用。但是基於資安的理由，在儲存媒體上的處理應注意小心，像是曾經存放過敏感資料的硬碟，應予以重覆抹寫或消磁處理，或者也可針對硬碟進行實體破壞之後，再予以回收。

採購符合環保節能的設備 - 降低能源消耗，易於風險管理
從資安的觀點而言，在企業中有一些服務是需要全天候運作的，像是垃圾郵件過濾系統、防火牆、防毒牆、入侵偵測系統等。如果在效能上可以符合企業需求的話，以虛擬伺服器來替代實體的伺服器，改為採取虛擬化方式來運作，將可大幅減少能源的消耗。另外，建議企業應採購符合環保標章的設備，以電腦螢幕來說，應選擇具有環保標章或符合TCO、能源之星的產品，而網路設備，也應採購符合RoHS(有害物質限用)標準的產品。

至於這些設備的採購，可以併入一般資安法規的符合性稽查之中，藉由審查硬體設備是否合乎環保法規的標準，可確保只有環保產品才會受到企業採用，而且一旦所有設備都經過了審查，並且留下了文件化的記錄，將可確保企業不會使用一些具有潛在弱點的設備，進而導致資安上的風險。

環境保護，人人有責

藉由以上方法的運用，除了可讓企業降低日常營運可能面臨的資安風險之外，更可同時達到環保的功效，透過將環保要求與企業政策及作業流程相結合，將可減少不必要的能源損失，並且減輕對地球的危害。

所以，在不影響企業營運之前提下，能夠多為環保盡一份心，事實上也是盡到了社會責任，建議企業應仔細思考應該如何做好「綠色資安」工作，為後代子孫保留更多自然資源與美好環境。(本文刊載於2009年4月號網管人雜誌)

[觀點] 回顧過去，展望未來 - 資安工作重點提醒

Mon, 28 Dec 2009 02:37:00 +0000

面對全球不景氣的年代，隨著新的一年開始，究竟資安工作該如何加以落實與推動，將是一個值得重新思考的問題，尤其是在缺錢又缺人的情況下，企業該如何維持資訊安全的水準，同時達到預先設定的目標，本文所提出的建議可作為參考。

2008年底的金融海嘯，嚴重打擊了世界各國的經濟發展，也連帶使得台灣的失業人口數，因此一舉而突破了五十萬人，到底哪些企業在這一波海嘯中受害最深呢？從媒體的報導中看來，高科技製造業與金融產業應該佔了排行榜中的前二名，而無薪假的實施，更是這些科技新貴萬萬沒有想到的景況。不過，卻有一則新聞是讓人感到欣慰的，那就是在資訊安全方面，受創很深的金融業並沒有因此而減緩腳步，根據資策會MIC的調查指出，「強化資訊安全能力」仍是2009年金融業最重要的投資項目，而另外三項重點工作，包括「法規遵循需求」，「強化災難備援能力」、「提升風險控管能力」，事實上也都和資訊安全工作息息相關。

資安威脅的趨勢發展

個人認為，今日資訊部門有一項重要的任務，就是要確保企業發展必要的關鍵業務，能夠藉由資訊系統的協助而順暢運作，換句話說，如何去確保資訊系統的可用性，即是資訊安全重要的工作之一。因此，回顧過去的資安趨勢發展，可看出資訊安全已從風險管理的角度，演變成為在資安事件發生時，如何使企業能夠持續營運，這也代表著資訊安全、風險控管與災難備援，已具有密不可分的關係。

舉例來說，以往企業透過了風險管理的過程，即可鑑別出資訊安全方面可能的威脅與弱點，然後就能導入適當的控制措施，以降低所面臨的資安風險。可是，若萬一還是不幸發生了資安事件，那麼需要思考的角度就必須轉換成為如何在災難發生前，事先擬好各項應對的劇本，以便一旦災難真的發生時，就可以照著劇本的步驟來進行緊急應變，確保能夠在最短的時間內，盡快恢復企業的正常營運，並將對業務活動可能造成的營運衝擊傷害降至最低。

根據個人的觀察，病毒、蠕蟲與木馬等惡意程式，仍是讓目前大多數企業感到最為頭痛的資安威脅，尤其當惡意程式開始肆虐的時候，不只將造成企業的生產力降低，同時也讓資訊與網管人員疲於奔命，更嚴重的甚至會導致企業業務停擺，或是造成機敏資訊的外洩，這些都會是企業難以忍受的狀況，也應該列為優先預防及因應的目標。

資料與網站安全仍受關注

在新的一年，除了惡意程式之外，資料安全與網站安全也仍是資安的兩大主要議題。所謂的資料安全包括像是內部非法存取，行動裝置失竊和儲存媒體遺失等；而網站安全則包括網站主機系統強化、應用程式漏洞修補、網頁應用層防火牆部署等相關工作。

所以，針對資料安全我們該如何來因應呢，首先企業要識別的就是有哪些資料是需要受保護的？接著是這些資料究竟存放在哪裡？還有誰是資料的擁有者和使用者？唯有了解資料的所在位置與從屬的對應關係，我們才能進一步決定，應該要選擇何種控管措施。例如針對檔案伺服器，我們可以進行存取權限的審查與控管，而針對儲存資料的媒體如磁帶等，我們可以選擇以加密的方式來進行資料的保護，當它需要運送至異地存放時，也要選擇適當的保全方法。因此，建議大家可先從管理面的角度來出發思考，再根據本身實際的需求考量，就可以幫助我們更容易判斷應該導入哪一種資安控制技術。

除了確保資料安全無虞之外，截至目前為止，每天仍有許多網站不斷受到駭客入侵，當正牌網站被植入了惡意連結之後，同時也轉變成為危害一般民眾的幫兇。較令人憂心的是，對於有些企業或組織來說，網站遭到入侵仍是漠不關心的一件小事，即使得知自家的網站已被成功入侵，管理人員也不願或沒有採取任何的修補措施。因此，一般使用者必須要尋求自保之道，例如像是更新作業系統的修補檔、安裝最新的防毒軟體和病毒碼、安裝反間諜軟體等，這些已是使用者必要的基本配備，而留意已遭入侵的網站資料，避免連上這些已經淪陷的網站，也是降低感染惡意程式的好做法。

但是對於企業而言，資安人員除了協助使用者採行以上這些措施，還有一項技術是可以考慮導入的，那就是建置具備網頁過濾功能的Gateway端設備，此一裝置除了可阻擋內部使用者連線至惡意網址之外，對於釣魚網站的預防和非正當網頁的瀏覽，以及像是即時通訊軟體的傳送檔案管制，都可以收到不錯的管理效用，也能為資料內容安全做了一層更深的把關。

資安工作的重點提醒

以上的觀察與建議，除了提供給資安相關人員作為參考之外，還有幾項重點工作的提醒，也是未來可以規劃及運作的方向，分別說明如下：

進行資安解決方案的整合 - 為了確保資料不會遭到外洩，透過資安方案的整合，可以從端點安全開始，即針對重要的使用者電腦進行檔案加密，同時進行週邊設備控管；如果使用者經常需要存取內部的應用系統，可再藉由網路存取控管機制，當電腦一連接到網路，就馬上對它進行身份認證及系統安全掃瞄，在確認使用者電腦所安裝的軟體都已經更新，並且符合所設定資安政策的要求之後，才允許它連上企業內部網路。
資安管理仍是一帖良方 - 據了解，政府相關的B級單位，最遲須在2009年底通過ISO27001驗證，因此導入有效的資訊安全管理系統(ISMS)，已是刻不容緩的工作。個人建議既然要做，就不可將拿到證書當作唯一目的，應該要抱著加強單位資安的心態來進行，因此在導入範圍的選擇上面，千萬不可避重就輕，仍要以關鍵的營運或服務系統為對象。
加強資安專才訓練 - 政府及民間企業的資安人力不足，仍是一項迫切需要改善的問題，根據資策會MIC在「台灣金融業資安投資現況與展望」調查報告中指出，以台灣的金融業為例，平均每一名資安人力，就需要負責221.4台電腦的資安工作，而1000人以上之金融業，每名資安人力更需要負責高達560.4位的員工。在這麼繁重的工作底下，非常需要專業的資安人員，並且要授權讓他們運用適當的工具，才能達到事半功倍的管理功效。
注意個資法的動態 - 未來一旦您所處的行業納入了新修正個人資料保護法中的規範，也就表示盡力保護儲存於企業中的個人資料，已是法律要求的必要做法。因此，企業若還是輕忽了個人資料的機密性，而將個人資料輕易地洩露出去，就必須接受法律所規範的罰則制裁，所以建議資安相關人員，請務必以「個人資料保護法」去Google一下，應該可獲得蠻多的資訊，可作為日後因應的參考。

隨著大環境的景氣不佳，許多企業單位皆進行組織整併或人事凍結，原來事多人少的資安工作，在此時此刻更顯得雪上加霜，不過，資安工作是一個持續性的過程，即使在景氣不佳的時候，其實也正是可以進行內部反省與檢討的時刻，因為既然花錢的事不太好說服老闆進行，但是檢討資安政策、落實資安規範、進行員工資安教育訓練，卻正是最好的運作時機，而所有資安工作的推動，仍有賴所有相關人員的共同努力，就讓我們彼此互相打氣加油！(本文刊載於2009年1月號網管人雜誌)

[專題] 資訊安全委外服務之分析探討

Tue, 08 Dec 2009 06:29:00 +0000

資訊安全的重要性，在今日的企業中佔有舉足輕重的地位，無論是市場情報收集、產品研發資訊、業務交易與財務資訊，對於企業的營運都是重要的關鍵因素之一。根據資策會MIC的調查指出，層出不窮的資料外洩事件，使得企業必須強化對於法規的遵循意識，也使得對於敏感資訊的管理，受到更嚴格的要求，因為一旦企業重要的資訊遭到不當洩露，不僅會直接影響企業的聲譽，很可能對於企業的經營與市場造成重大的影響。

目前不只是大型企業，包括中小型企業對於資訊安全與營運的重視度也不斷提升，如何去確保資訊的安全，已成為管理階層必須要去重視的課題。只是，資訊安全牽涉的層面很廣，不管是從管理面來建立資訊安全管理制度，到技術面的防禦機制與控制措施部署，都需要專業且專責的人才來協助，由於企業目前仍普遍缺乏資安專業人才來規劃執行各項資安工作，所以若把資安工作委由專業的資安服務廠商來協助，將是企業兼顧成本與效益的良好選擇。

資安委外服務的發展趨勢

根據資策會MIC的研究顯示，全球的資安市場以每年平均15%的速度穩定成長，其中資訊安全服務的市佔率已逐年增加，預計在2009年將會突破五成。以日本為例，目前由資安委外服務業者所提供的服務已非常地多樣化，包括了防火牆代管的應用管理服務、代管入侵偵測系統的不當存取監視服務，以及防毒軟體的病毒監視服務等。

現今企業所面臨的安全威脅日益複雜，加上政府對於資訊安全的要求，以及與民間業者共同合作的努力推廣，使得整個資安市場的熱度持續加溫，尤其是大型企業隨著經營規模與事業版圖的擴大，更要受到國外標準法規的要求規範。因此，針對資訊安全的實施運作更有迫切性需求，要如何進行適當的資源分配與管理，就需要專業的資訊安全業者來予以協助。

近年來，「資安即服務(Security-as-a-Service)」的風潮也開始興起，Gartner於2007年11月的研究指出，預估一直到2012年為止，全球Security-as-a-Service的市場規模，平均每年將有30%的高成長率。而Security-as-a-Service本身的優勢即在於能夠節省成本，並且加速建置的時程，因此對於需要對抗混合式資安威脅的企業，剛好能夠提供即時的協助，並且簡化整個資安產品購買、安裝、建置與管理的流程。

資安委外服務的範疇

一般而言，資訊系統相關的工作範圍很廣，並非所有工作都可採取委外方式來進行。基本上，大多數和資訊有關的委外工作都會傾向於非核心和非關鍵的系統為主，因此，在資訊安全委外方面，可能的項目包括：

產品建置維護服務 - 針對企業所購置的資安設備，像是防火牆、防毒牆、入侵偵測與入侵防禦系統等，由產品供應商依照購買時的合約規範，提供各項售後服務，即使在保固期滿之後，仍可繼續與服務廠商簽署定期維護合約，以維持資安產品的各項功能都可正常運作。

資安顧問服務 - 主要針對資訊安全管理方面，提供專業的顧問諮詢服務，例如資安法規遵循問題、ISO 27001資訊安全管理系統標準導入，以及員工的資安教育訓練等。

資安事件監控 - 藉由服務業者所建置的資訊安全監控中心，可即時收集企業端的各項資安設備所產生的記錄檔，並且監控系統與網路上的各種活動，來提供異常事件診斷服務和資安事故應變處理，並定期產生各項安全統計報告，以協助企業內的管理人員來維持網路的正常運作，確保資訊的安全。

所以，從技術面的資安基礎建設的建置維護、產品的組態設定與參數調整、系統安全性監控、資安事件的處理與清除復原等，到管理面的資安政策諮詢、資安管理系統(ISMS)導入和資安教育訓練等，這些都包括在資安委外的服務範圍之內。

資安委外服務應注意事項

根據政府的資訊作業委外安全參考指引中指出，「針對各項委外作業，應建立事前規劃、事中招標和事後執行維運機制，將相關的規劃服務納入合約中，以確保各項服務之延續。而且為了提高資訊安全服務品質，應該將資訊安全計劃列為委外的必要工作項目，並且要求廠商必須依照主管機關所訂定的標準或規範來執行，提出可行的建議方案，才可確保委外作業的安全。」

此外，在進行資訊安全委外服務時，必須要求承包廠商遵守相關的法令規定，像是針對個人資料的部份，若涉及資料外洩等違法事件時，需依個人資料保護法中的相關法令來處理。換句話說，當企業與委外服務業者簽訂合約時，就應該在合約中註明，承包商在處理各項企業敏感資訊時，必須負有保護資料安全的責任與義務，若違反合約中所註明的各項要求，相關人員要負責相關的損害賠償及法律責任。

當企業在評選資安服務業者時，也要針對業者的各項專業資格進行審查，例如要求參與資安委外服務專案的相關人員，必須具備國際認可的資安專業證照如資訊系統安全專家認證(CISSP)，或是要求業者本身需通過ISO 27001資訊安全管理系統的驗證。另外，在資安委外時亦可要求承包廠商不得再將專案外包，以避免來自其他無法控管的專案風險。

簽署資安服務水準協定

基本上，針對委外服務業者的服務品質，企業想要提出各項要求與規範，就需要有文件化的明確說明與指標，才能確保委外服務業者能夠提供一定的服務水準，而這部份就牽涉到要如何去建立一個雙方共同認可，並且可接受的服務水準協定(Service-Level Agreement；SLA)。因此，針對資安的委外服務規範，可以參考以下要點來作為執行時的依據，例如：

服務時間
事件回應速度
系統可用率
異常事件處理程序
稽核作業

所謂的服務水準協定，即是指企業與委外服務業者彼此所認可的規範，其目的在於清楚描述委外服務業者所能提供的各項服務和企業所能接受的服務期望，所以它牽涉的範圍其實相當的廣泛，包括委外服務業者的工作責任、必要的保密安全機制、到場支援服務的時間，以及若業者造反服務水準之後所該採取的罰則等，另外可能還會有雙方個別的特殊約定，這些都需要包括在彼此所簽署的服務水準協定之中。

以網站弱點掃瞄服務為例，在服務水準協定中，即可明確要求每季必須執行一次稽核掃瞄，由服務業者至企業內部或外部針對網站伺服器進行弱點偵測，在掃瞄完成之後，再由擁有資安認證的專業人員進行報告解讀，說明目前網站應用系統所存在的弱點等級，並提出建議及改善的方法。另外，若企業或委外服務業者任何一方想要提出終止服務時，應依照合約的規範，將後續工作移交給企業本身，或是交接給後續承包廠商，這些也都務必要求在一定的期限內，以順利完成移轉或中止動作。

如何評估資安服務廠商

隨著駭客攻擊的手法日新月異，企業該如何去維護本身的資訊安全，確保企業的永續經營，都不斷地考驗著管理者的決心，為了降低企業的營運成本並提高效率，選擇將資訊安全交由專業的委外廠商協助，藉助外部專家的專業能力與資源，不失為一種提升應變能力的管理辦法。不過，要如何去選擇資安委外服務廠商，建議必須考量到以下幾個重點：

市場口碑 - 資安委外服務是一項長期互相配合的工作，因此選擇資安委外服務廠商時，務必選擇在市場上具一定的口碑名聲，擁有專業的人才與技術團隊，才可確保所提供的服務品質。
專業認證 - 選擇資安委外服務業者，應選擇通過政府認可或國際標準如ISO 27001驗證通過的公司，才能有效確保在資外服務作業時的資訊保密相關工作。
技術完整 - 資安工作層面廣泛，更牽涉到一定的專業技術，以及所採用的工具產品，企業可要求相關的資安產品均為知名品牌，並且要求服務業者需出示產品的原廠許可，或要求技術人員具備原廠所頒發的專業證照。

資安服務業者的機會與挑戰

依據個人的觀察，台灣的資安委外服務市場雖然一直存在，但卻沒有呈現大幅度的成長，推測其可能原因在於市場的實際需求並沒有很迫切，尤其是缺少國內相關資安法規的要求。尤其對業者而言，除了建置資訊安全監控中心(SOC)，提供資安事件管理服務外，其他的資安服務並沒有一個很完整的方案。

不過，資安服務仍然存在著可運作的機會，首先，許多國內的中小型企業，在資安人力方面嚴重不足，加上資訊安全涵蓋的層面非常廣，從管理制度的建置到技術面的佈署支援，單一企業組織很難完全靠一己之力來完成，勢必要尋求資安服務業者的協助。其次，目前許多企業對於資訊安全應變能力仍然不夠，尤其是在事件處理方面，會是資安服務業者能夠施力的地方，像是目前的SOC資安監控服務，在找出可疑事件的人、時、地、事之後，後續事件處理該交由「誰來做」、「怎麼做」，是否有完善的事件處理流程或是標準作業程序(SOP)，將是未來資安服務業者可以思考的方向。

至於資安服務業者所面臨的挑戰，主要有以下三個：

第一，企業對於服務業者的信任度不足，一旦資安服務牽涉到企業的業務關鍵活動，在委外方面就會有很多層層的考量與要求，這方面需要花很多時間來協調溝通，讓企業能夠認同並對業者產生信任，才能夠接受所提供的服務。

第二，所謂的服務品質本身不易量測，雖然彼此可以簽署服務水準協定，依照協定的內容來執行，但是委外服務的品質，也牽涉到業者願意且能夠付出的人力物力成本，因此如何去量測有效的服務品質，提出適當的證明，將會是業者的一大挑戰。

第三，服務有價的觀念不足，也是推展資安委外服務的一大障礙。根據個人的觀察與經驗，目前在台灣市場，多半企業比較能夠接受的模式還是以購買資安產品附加資安服務的方式，比較不會考慮純粹購買所謂的「專業資安服務」；但是在國外，對於付費接受專業服務的觀念卻是相當普遍，這是國內外存在的一個很大差異性，更是資安服務的業者會碰到的實際問題，這方面可能還有待時間來蘊釀，才能進一步讓企業能夠認同服務價值並接受服務。

制定法規以推動資安委外服務

資安是需要長期推動的一項工作，個人認為法令的制定與相關產業規範要求，以及資安種子人才的培育，對於資安服務產業的發展將會有更好的影響。舉例來說，國外有許多像是沙賓法案、GLBA法案、HIPPA法案等法令，除了要求金融、政府、醫療和一般企業要更加重視資訊的安全之外，也間接促進了資安服務業者在法規遵循的技術能力改進和服務專業度，所以也才會有整個資安市場被重視的變化，進而帶動資安產業的蓬勃發展，只要政府推動適合國內的資安法規，業者便可依照法令規範來建立服務的SOP，推展各項協助企業的資安服務。

此外，對一個產業或企業而言，人才、技術與資金是推動資訊安全不可或缺的要素。目前，資安人才的獲得是一個很大的問題，像是國內各大專院校幾乎沒有和資訊安全相關的科系，即使有相關的資安學程，這些人員在畢業之後，還是需要2~3年實際的市場經驗才會逐漸成熟，如果一般的資訊人員甚至是資訊主管都沒有資安觀念的話，台灣的資安市場要發展也很困難，所以提升整體的資安意識也是目前迫不及待的重要工作。

最後，呼籲政府單位應該結合民間資安業者的力量，以有計畫的組織、具體扶植資安業者的作為，以及共同舉辦一些大型的資安宣導活動等，來引起社會大眾的重視與注意，企業才能選擇國內真正專業和成熟的資安業者，一起來為資訊安全工作努力推動和發聲，如此也可間接提升台灣在國際社會的資安貢獻度與國家競爭力。(本文刊載於2008工商時報電子資訊工業年鑑)

<參考資料>

資策會資訊市場情報中心─資訊安全市場發展趨勢前瞻
政府資訊作業委外安全參考指引

[新聞] 制訂社交媒體資安政策的小提醒

Tue, 27 Oct 2009 07:28:00 +0000

因為近來熱門的「偷菜」活動，使得Facebook成為當紅的網站，也成為眾多企業老闆們頭痛的問題。

Facebook在國外原以社交功能著稱，但在台灣卻因「開心農場」這個熱門的小遊戲，而讓許多上班族無心於工作，每天只擔心自己的農地收成不佳，或是會不會經常遭到小偷光顧。

除了造成員工生產力下降的問題之外，從資安的角度而言，Facebook的確也存在著一些安全上的風險，像是個人或商業資訊外洩、社交工程詐騙、電腦感染惡意程式等，這其實也是同類型社交網站，包括Twitter、Linked In等都會共同面臨的風險。

根據市場調查公司IAN最近的一項調查指出，在2008年只有10%以下的公司，對於社交媒體制訂了使用政策，到了2009年，則有34%已制訂並實施了社交媒體使用政策。

對此，IAN的CEO Jack Phillips認為，這時候正是資安人員應該要重視此項問題的契機，同時他也提供了以下建議：

不必再從頭開始 - 資訊科技變化太快，若只針對現今的技術來制訂政策，那麼改天若又出現其他的媒體，則又要從頭開始，所以應該要利用它來檢視現有的政策是否適當。
運用社交媒體使用政策來提高資安意識 - 資安人員可藉此來重新聚焦資安與風險管理，使員工了解這項問題的嚴重性。
運用社交媒體來增加企業資安的正面形象 - 大多數的組織對於新媒體的反應就是阻擋，但其實社交媒體對於業務、行銷、人事等皆具有不同的意義，企業一開始可藉由監控與觀察來取代全面性的封鎖。
為下一階段做好準備 - 社交媒體平台來來去去，若為了它就全盤翻新現有的政策，似乎有點不太實際，因此需要更仔細的考量。例如許多時候員工在網路上會搞不清楚公私之間的分際，因此教育員工不要把公司相關資訊放在Facebook上，會是較具彈性的作法。

[新聞連結] 4 Tips for Writing a Great Social Media Security Policy

[新聞] 社交網路安全的7宗罪

Mon, 26 Oct 2009 07:53:00 +0000

CSO資深編輯Bill的這篇文章，一針見血地提到了網友們在使用社交網路媒體(例如Facebook、Myspace、LinkedIn、Twitter等)最容易犯的錯誤，值得大家參考。

過度分享公司訊息 - 一旦你在社交網路上清楚地描述了公司目前的動態，很可能不自覺地就洩露了公司的商業機密，例如某種新藥即將研發成功、新的產品設計款式將上市等，這些訊息很可能會讓市場上的競爭對手，藉此來進一步盜取商業機密或破壞商機。
公私不分 - 如果你的Facebook上有商業上的合作夥伴，也有私底下的豬朋酒友，那麼在上面所分享呈現的資訊，可能就會造成一些問題。例如當合作夥伴或是老闆發現你酒後發瘋或經常惡搞朋友的照片，或許就不太會考慮將重要的案子交給你來執行。
發表憤怒的言詞 - 如果你的商業夥伴、老闆、老婆都能看到你的Facebook，那麼當你生氣時在上面發表文章，要按下「送出」前請務必小心，免得怒火有天會回過頭來燒傷了自己。
以為朋友數量最多的最贏 - 有些社交網路會鼓勵你廣邀更多人來加入你的人際網路，連結的人愈多看似最受歡迎且無傷大雅，不過一旦要是不小心引狼入室，像是詐欺師、恐怖分子、身分竊賊等都變成你的朋友，恐怕就會造成一些不必要的麻煩和困擾。
使用懶人密碼 - 很多人在不同的社交網站和工作時都使用同一組密碼，如果不小心因為網站本身的弱點或個人密碼強度不足遭到破解，那麼其他的網站或工作權限也就會跟著淪陷。
喜愛任意點選連結 - 在社交網路上常常會接到朋友的邀請，只要你點選一下就能接受或連結至不同的網頁。請務必小心有些惡意人士可輕易偽造看似來自朋友的邀請，如果你不加思索就一一點選了，很快地電腦就會感染惡意程式和病毒，成為別人操控的玩具。
損人又害己 - 以上的各項罪刑很可能都會連結至這一項，因為只要一個不小心，就會連帶地讓親朋好友跟著一起受害。例如在社交網站上揭露過多親朋好友的資訊，像是生日、職業、收入、年齡、住址等，很可能就會讓你的親友成為歹徒冒用身分或綁架的對象。

[新聞連結] Seven Deadly Sins of Social Networking Security