雲端安全 on 資安見聞錄

[新知] ISO/IEC 27018:2025 解析：改版重點與導入注意事項

Sun, 16 Aug 2026 22:25:26 +0800

在 2025 年 8 月，針對公有雲個人可識別資訊 (Personally Identifiable Information, PII) 處理者的保護指引標準 - ISO/IEC 27018 進行了第二次的改版，正式取代了先前的版本 (ISO/IEC 27018:2019)。

ISO/IEC 27018 標準改版的主要目的，就是要與 ISO/IEC 27002:2022 的控制措施對齊，因此在整體的章節結構方面，舊版的第 5~18 章 14 個領域，已更新為第 5~8 章和 4 大控制主題（組織／人員／實體／技術），讓已經導入實施 ISO/IEC 27001:2022 的組織，可以更容易地將既有的資安控制措施延伸至雲端服務，並且內容也新增了附錄 B，提供了與舊版控制措施的對照內容 (請參考圖1說明)。

圖1 改版性質：結構重寫，控制措施要求微調

一般控制措施實施指引的改變

ISO/IEC 27018 這次的改版，針對條款結構是整個重新編排，但控制措施要求的實質內容變動不大，在第 5～8 章中沒有新增任何全新的控制措施，至於 ISO/IEC 27002:2022 新增的 11 個控制措施，新版也沒有提供針對公有雲 PII 保護的實作指引，可以直接適用 ISO/IEC 27002:2022 的指引。

不過在新版中有兩個地方，將雲端服務提供者 (Cloud Service Provider, CSP) 的角色從原本的「請求／告知」，提升為要「提供雲端服務客戶 (Cloud Service Customer, CSC) 實施能力」，共通模式是 CSP 的查核標的由「文件上的告知」轉為「技術上可用的功能」，也就是往「責任要能被驗證」的方向調整，說明如下：

5.14 資訊傳送：舊版的指引是 CSP 宜請求 CSC 採取額外措施（例如加密），在新版中除了保留同樣內容之外，還要求 CSP 宜支援施行該等措施之技術能力，也就是雙方都要實施相關的控制措施。
8.24 密碼技術之使用：條款名稱的密碼技術 (cryptography) 對應的實作重點是加密與金鑰管理，舊版的指引是 CSP 宜就其能力提供資訊，協助 CSC 施行自有的加密保護措施；而新版則是明確提到 CSP 要協助 CSC 實施和管理自有的加密保護與過程，並明列包括金鑰保管庫 (vault)、金鑰管理服務 (KMS)、硬體安全模組 (HSM) 與雲端 HSM (cloud HSM) 等業界常見的做法。另一方面，舊版要求 CSP 揭露自身於何種情況使用密碼技術保護 PII，這項透明性要求在新版中已被移除。

此外，在舊版 6.1.1 所對應的新版 5.2 「資訊安全之角色及責任」的指引中，已將「宜指定聯絡窗口 (point of contact) 供 CSC 使用」改為「配置 PII 專責人員提供諮詢」，組織在進行改版時，也要注意這點並且做出適當的調整。

原附錄 A 控制措施的改變

在舊版標準之中，除了有來自 ISO/IEC 27002 所延伸補充的實作指引之外，在附錄 A 中還有引用來自 ISO/IEC 29100 隱私原則的 25 個擴充控制措施。在新版標準裡面，這些擴充控制措施都予以保留，但要注意的是有「A.11.9 授權使用者之記錄／A.11.10 使用者 ID 管理」的條款編號互換對調 (請參考圖2說明)，所以實務方面，在組織的適用性聲明中要記得進行調整。

至於其它的 23 條，多數逐字未變或只有措辭調整，附錄 A 對於隱私保護的核心承諾（如 A.3.2 禁止以客戶 PII 作行銷用途）也是繼續維持不變，新增要求只出現在附錄 A 兩處：

A.3.1 公有雲 PII 處理者之目的：CSP 自行決定處理 PII 的方法時，除了遵循 ISO/IEC 29100 隱私原則外，也要遵循「隱私設計 (privacy by design)」原則。
A.6.2 PII 揭露之記錄：CSP 除了要紀錄第三方「揭露之來源、權限來源」之外，還要記錄「揭露該 PII 之理由」，實作指引從兩項增加為三項。

圖2 附錄 A 條款編號互換的 2 條

本次改版特別需要注意的地方

首先，新版標準中有一個地方疑似編輯疏漏（以下為個人比對後的判讀，實際仍有待確認），在標準中提到舊版的「13.2.4 機密性或保密協議」已轉換至新版的「6.6 機密性或保密協議」，而 6.6 未提供 27018 專屬指引，僅要求參照附錄 A 條款，但所列參照的「A.10.1 PII 資料侵害之告知」應為「A.11.1 機密性或保密協議」才是正確的。

其次，改版影響較大的條款是舊版「16.1.1 資安事故管理的責任與程序」的轉變，在新版附錄 B 中有提到舊版 16.1.1 要對照的新版條款是「5.24 資訊安全事故管理規劃及準備」，但 5.24 於新版中並沒有補充任何 27018 專屬指引，所以實際要去看的條款應該是「5.26 對資訊安全事故之回應」。

依據先前的上課經驗，有學員提到依據條款的指引說明，針對廣播式攻擊、埠掃描、登入失敗、阻斷服務攻擊及封包側錄這一類的事件，是不是都不用去調查？但以風險的角度來看，實務上還是需要進一步的調查評估，才能判定是否造成了資料侵害。所以這次改版，對於需要觸發進一步資料侵害審查的事件做了調整 (請參考圖3說明)，明列為例外的事件從 5 類縮減為 1 類，實質擴大了應觸發資料侵害審查的事件範圍，所以組織在對應的事件調查程序文件中，可能也要做出對應的調整。

圖3 對資訊安全事故之回應指引的改變

結語

最後，針對轉版的時程與要求，ISO/IEC 27018:2025 雖然已經發布滿一年，但多數已同時導入 ISO/IEC 27017 的組織，會選擇等兩份標準一起轉版；由於新版 ISO/IEC 27017:2026 才在 2026 年 7 月發布，實際的轉版流程仍有待驗證公司確認，所以建議已經導入舊版標準的組織，可先依照圖4的五個步驟來做好準備。

圖4 ISO/IEC 27018:2025 轉版規劃五步驟

備註：本文由作者自行創作，內容有請 AI 幫忙校對和製圖

Source：ISO/IEC 27018:2019、ISO/IEC 27018:2025

[新知] ISO/IEC 27017:2026 已正式發布：改版重點與差異解析

Sun, 09 Aug 2026 10:28:34 +0000

隨著組織皆已轉換至 ISO/IEC 27001:2022 的資訊安全管理系統之後，來上課學員經常詢問「對應 ISO/IEC 27001:2022 附錄 A 控制措施的 ISO/IEC 27017，到底什麼時候才會改版？」

總算千呼萬喚始出來，國際標準化組織 (ISO) 已在 2026 年 7 月底正式發布新版雲端服務資安控制措施標準 - ISO/IEC 27017:2026。

這次改版的主要目的就是要與 ISO/IEC 27002:2022 的控制措施對齊，因此在整體的章節結構方面，舊版的第 5~18 章 14 個領域，已更新為第 5~8 章和 4 大控制主題（組織／人員／實體／技術），讓已經導入實施 ISO/IEC 27001:2022 的組織，可以更容易地將既有的資安控制措施延伸至雲端服務。當然，新版標準同樣適用包括公有雲與私有雲的雲端服務客戶 (CSC) 和雲端服務提供者 (CSP)。

原 CLD 擴充控制措施的改變

在舊版 2015 的標準中，除了補充 37 個來自 ISO/IEC 27002:2013 控制措施的雲端服務實施指引之外，還另行新增 7 項 CLD 控制措施，補強在原本 ISO/IEC 27002 中沒有的像是雲端運算環境中的角色與責任、虛擬化環境的安全及雲端服務的監控要求等。在新版 2026 版的控制措施之中，有 5 項 CLD 控制措施被取消並回歸到 ISO/IEC 27002:2022 已有的控制措施之中，有 2 項 CLD 控制措施則是繼續沿用並且更新控制措施的條款編號 (5.38 / 8.35)。

除此之外，在新版 2026 的標準還新增兩個全新 CLD 控制措施，分別為「5.39 雲端服務夥伴角色與責任之協議」、「8.36 雲端服務未經授權使用之偵測與防範」。

依過去稽核時的經驗，曾經有受查的組織是透過雲端服務的代理商來租用雲端服務，可是在它與代理商的合約裡，卻完全沒提到資安責任，只有一份簡易的費用報價單。5.39 主要就是為了因應在目前租用雲端服務的過程中，會有所謂的雲端服務夥伴 (CSN) 的角色，當透過這些服務代理商來使用雲端服務，同樣也需要釐清彼此的安全責任，而且最好透過合約的方式來明確規範雙方的角色與責任。至於 8.36 則是針對組織內部有眾多的雲端服務使用者 (CSU)，他們會在未經由資訊或資安單位的同意之下，擅自使用外部的雲端服務，對於這些所謂影子 IT (Shadow IT) 的風險，組織需要具備監控與防範的能力，這也是在舊版的標準中未曾涵蓋的部分。

一般控制措施新增的實施指引

在 ISO/IEC 27001:2022 附錄 A 新增的 11 項控制措施，新版 ISO/IEC 27017:2026 也跟上了這個腳步，除了大多數可以直接延伸既有的控制方式至雲端服務 (可參考 ISO/IEC 27002:2022)，所以沒有補充實施指引之外，有 6 項控制措施則是補充了雲端專屬指引 (請參考圖3說明) ，分別為：5.7 威脅情資、5.30 營運持續之 ICT 備妥性、8.9 組態管理、8.10 資訊刪除、8.11 資料遮蔽、8.16 監視活動。

其他部分則是在新版標準中，更明確定義了雲端服務客戶需要落實的責任，共通模式是由被動使用轉為主動查證，並且要留下文件化資訊紀錄像是：

● 5.16 身分管理 (舊版 9.2.1)：CSC 需查證 CSP 身分管理功能是否滿足要求

● 5.18 存取權限 (舊版 9.2.2)：CSC 需查證 CSP 存取權管理功能是否滿足要求

● 8.35 虛擬環境區隔 (舊版 CLD.9.5.1)：CSC 需界定租戶隔離的要求並查證 CSP 是否可以達成

另外，由於舊版的「9.1.2 存取網路及網路服務」在 ISO/IEC 27002:2022 中已併入「5.15 存取控制」，而 5.15 在 27017:2026 並沒有補充的雲端服務指引，所以它是這次改版後唯一消失的條款。

本次改版對 CSP 端影響最大的條款

在舊版 2015 的標準中，條款「18.1.1 適用法律法規和合約要求的識別」是要求以下三件事：

1. 雲端服務提供者宜告知雲端服務客戶其雲端服務適用的法律管轄範圍。

2. 雲端服務提供者宜明確自身相關的法律要求（例如，關於加密以保護個人識別資訊 (PII) 的規定），雲端服務提供者還宜在客戶要求時提供此資訊。

3. 雲端服務提供者宜向雲端服務客戶提供其當前遵守適用法律法規和合約要求的證明。

但在新版其所對應的條款「5.31 法律、法令、法規及契約要求事項」中，則是新增加了過去沒有的權責機關調查請求 (investigation request) 的完整處理要求事項指引，例如：

● CSP 宜執行法律評估，判定該機關就其請求是否具備適用且法律上有效之依據

● CSP 宜將調查請求告知受影響之 CSC，除非法律禁止或有違法跡象

● 僅於 CSP 之法律評估顯示存在適用且有效之法律依據後，方宜授予存取或揭露 CSC 資料

● 宜將程序文件化並實作，限制存取範圍僅限於因應該請求，而非預設可存取全體 CSC 之資料

針對這項要求，CSP 的資安管理單位將會需要與內部的法律專業人員 (法遵 / 法務部門)，研討實際可行的做法，並針對過程保存適當的文件化資訊。

結語

針對新舊版標準條款的差異，大家最想了解的就是在新版標準中，是否有提供完整的新舊版條款對照表？可惜的是在 ISO/IEC 27017:2026 的 Annex A 雖然有提供新舊版對照，但是卻省略了非雲端專屬控制措施的對應關係，原因是這部分已由 ISO/IEC 27002:2022 的 Table B.1／B.2 涵蓋。所以多數的條款是需要搭配 ISO/IEC 27002:2022 進行逐條人工比對的，這是另外比較花費工夫的地方。

最後，針對轉版的時程與要求 (可能會搭配 2025 年 8 月改版的 ISO/IEC 27018:2025 一起進行)，由於新版 ISO/IEC 27017:2026 標準才剛發佈，目前還有待驗證公司確認相關的流程，所以建議已經導入舊版標準的組織，可先依照圖4的步驟來做好準備。

備註：本文由作者自行創作，內容有請 AI 幫忙校對和製圖。
Source：ISO/IEC 27018:2019、ISO/IEC 27018:2025

[分享] 如何選擇適用的雲端安全標準

Sun, 20 Jul 2025 07:14:00 +0000

上一篇文章，分享了「導入雲端安全標準前應思考的三件事」，如果您已經確認組織所提供的服務，符合了雲端運算的五個基本特徵，並且歸納出是屬於哪一種部署模式和服務型式，也清楚了組織的角色是雲端服務顧客 (CSC) 或是雲端服務提供者 (CSP)，那接下您就可以參考這一篇文章，選用適合實施和進行驗證的雲端安全標準。

Source: BSI

可實施驗證的雲端安全標準

目前國際上認可和雲端安全有關，常見並且可以實施驗證的四個標準如下：

ISO/IEC 27001：它是適用於各行各業的資訊安全管理標準，可協助組織建立一個資訊安全管理系統 (ISMS)，藉由執行風險評鑑來選擇適當的控制措施，定義組織要達成的資安目標，再透過定期實施的內部稽核和管理審查，讓組織秉持PDCA的精神來持續改善資安，組織必須先通過ISO 27001驗證，這是獲得其他雲端安全標準證書的基本要求。
ISO/IEC 27017：它是基於ISO 27002，所延伸補充的雲端服務資訊安全控制措施的實作指引 (Code of practice for information security controls based on ISO/IEC 27002 for cloud services)，可適用於四種部署模式 (公有雲、私有雲、社群雲、混合雲) 和三種服務型式 (SaaS, PaaS, IaaS)，也同時適用雲端服務顧客 (CSC) 和雲端服務提供者 (CSP) 兩種角色。換句話說，它是目前適用性最廣泛的雲端安全標準。
CSA STAR：它是由雲端安全聯盟 (CSA)，所推出由產業認可的雲端安全標準，本身是基於由產業工作小組所聯合發展的雲端控制矩陣 (Cloud Control Matrix, CCM)，在實施之後，雲端服務提供者可藉由完成雲端安全自評表 (CAIQ)，或委由獨立公正的驗證單位像是BSI實施稽核，讓組織來展現已達成CSA STAR Level 1和Level 2的驗證。適用的對象，通常是以提供公有雲的三種服務型式為主的雲端服務提供者 (CSP) 。
ISO/IEC 27018：它是基於ISO 29100的隱私框架 (Privacy Framework) 和延伸補充自ISO 27002的控制措施，提供給PII處理者於公有雲環境，依據合約或協議處理個人可識別資訊 (PII) 時可遵循的實作指引 (Code of practice for protection of personally identifiable information (PII) in public clouds acting as PII processors)。這個標準是目前適用性範圍最小的，適用的對象包括提供公有雲的三種服務型式，但必須是PII處理者 (經由控制者委託處理PII) 的雲端服務提供者 (CSP)。

最簡單的評估和選擇方法

看了以上的說明，各位肯定還是眼花繚亂和一頭霧水，對吧？

別擔心，這裡介紹簡單選用的三個步驟 - 先釐清組織角色 (CSC or CSP)、確認服務類型 (SaaS, PaaS, IaaS)、選用部署模式 (公有雲、私有雲、社群雲、混合雲)，再依下列方法來選擇。

選擇一，無論您的組織是雲端服務顧客 (CSC) 或是雲端服務提供者 (CSP) ，使用或提供的是哪一種服務型式，也不管是哪一種部署模式，ISO 27017 肯定是最為適用的雲端安全標準。

選擇二，如果您的組織是雲端服務提供者 (CSP)，提供了任何一種的服務型式，通常部署的模式為公有雲 (Public Cloud) ，那麼選擇實施 CSA STAR 沒問題。

選擇三，如果您的組織是雲端服務提供者 (CSP)，在公有雲上提供了任何一種的服務型式，並且受到您的顧客委託 (有簽訂合約或協議)，使用雲服務來進行個資 (PII) 處理的活動，那麼您可以選擇實施ISO 27018來強化雲端服務的個資與隱私保護。

最後，再從組織角色方面，歸納出以下最簡單的判斷方式。

如果您是雲端服務顧客 (CSC)，只能驗證 ISO 27001 + ISO 27017。
如果您是雲端服務提供者 (CSP)，可以驗證 ISO 27001 + ISO 27017 + CSA STAR。
如果您是雲端服務提供者 (CSP)，並且也是公有雲的PII處理者，可以驗證 ISO 27001 + ISO 27017 + CSA STAR + ISO 27018。

[分享] 導入雲端標準前應思考的三件事

Sat, 19 Jul 2025 13:00:00 +0000

本週協助講授雲端服務資安管理主導稽核員的訓練課程，有學員詢問：「如果想要導入和驗證雲端服務的標準，那要如何確認自己是什麼樣的雲服務和適用哪一個國際標準？」

這是一個好問題，基本上，許多有興趣導入和實施雲標準的組織，最常見的情況就是不太清楚自己是真正的雲服務，還是只是傳統的網站服務，也不太知道自己是哪一種服務型式。

幸好，在雲端服務發展的初期，美國國家標準和技術研究院 (NIST) 就提出了雲端運算的定義 (NIST 800-145)，我個人喜歡把它稱之為「雲端運算的543」，組織可以利用它來評估自己是否有應用了雲端運算，而且是提供哪一類型的雲端服務。

Source: CSA Security Guidance

雲端標準導入第一步- 先確認自己是不是雲

關於雲端運算的543，其中5個基本特徵指的是:

廣泛的網路存取 (Broad network access)：所提供的服務支援各種用戶端設備，包括但不限於手機、筆記型電腦、平板電腦等，基本上只要此設備上面有瀏覽器，就可以透過網路來存取雲端服務。
快速且彈性的運作 (Rapid elasticity)：雲端服務的功能或資源可以快速且彈性的配置和調整，以租用IaaS的虛擬機器（VM）為例，租用雲端服務的顧客，可以依需求調整VM的數量，快速從10台擴展至50台，或是從50台減少至10台；若是SaaS的儲存服務，同樣也可以快速取得更多的儲存空間。在服務過程中，除了可自由手動配置之外，還可透過相關技術 (ex. API) 進行自動調整，如果口袋夠深，就可以實現在非常短時間內，獲得難以想像的運算能力，這是傳統IT架構比較難以達成的地方。
可量測的服務 (Measured service)：雲端服務是一種租賃的服務，雲端服務顧客（Cloud Service Customer, CSC）可以透過網路取得雲端服務提供者（Cloud Service Provider, CSP）所提供的各項運算資源 (例如：儲存、運算、頻寬、線上應用服務的帳戶等)，通常可採用按次付費或按使用資源收費的方式。所以對雲端服務提供者而言，就必須提供透明化的方式，並且有能力可以監控、控制和提供報表，讓雲端服務顧客可以清楚掌握目前資源使用的情況，以及需要付出的費用。
隨需的自助化服務 (On-demand self-service)：雲端服務可以讓顧客就像吃自助餐一樣，依照自己的喜好和需求來配置雲端運算的能力和資源，不需要透過雲端服務提供者的人工介入，包括申請、使用、配置功能和資源，都可以透過業者的雲端服務入口網站來達成。
資源池的調配 (Resource pooling)：由於雲端服務提供給為數眾多的顧客來使用，所以會形成一種共用資源的多租戶模式 (multi-tenant model)，為了要達成上面提到的快速且彈性的擴充和運作，對於雲端服務提供者來說，就必須要有能力匯整和調配包括實體和虛擬化的資源 (例如處理器、記憶體、儲存空間及網路頻寬)，快速地提供給需要的顧客，或是由不使用的顧客端進行回收。這些資源池可能位於世界各地，讓租用服務的顧客可以快速取用，業者也可順利的回收匯整。

對有意導入和驗證雲標準的組織，第一步就是要確認自己提供或使用的服務，是否運用了雲端運算，能夠符合雲端服務的5個基本特徵。

舉例來說，如果組織提供的服務是一個官方網站，它使用了一台實體的主機 (Windows Server + IIS)，放在自己的機房，設定開放對外的網路 (TCP 80, 443 port)，提供了組織簡介和產品資訊等內容，也開放給使用者可加入網站會員，申請帳號並利用它來登入網站使用電子報的訂閱和取消功能。

雖然它可滿足了一項雲端運算的特徵 (廣泛的網路存取)，但在其他4項特徵方面如果都沒有相關的功能和機制，只能說它其實還是傳統的網站服務，並不是所謂的雲端服務，也不太適用雲端服務的標準。

當然，目前NIST並沒有定義雲端服務需要完全滿足以上5個特徵，但若只是符合其中一項或二項，然後就認為自己是雲端服務的提供者，那實在是有點牽強。既然本質上不是雲端服務，又要強求去實施雲端服務相關的控制措施，恐怕很多的控制措施都很難展現和達成，也是浪費了組織的時間和人力成本。

但是，官方網站真的不能適用和驗證雲端服務的標準嗎？

有一種情況是可以實現的，就是組織同樣提供官網和會員的網站服務，但不是放在自家建置的環境，而是租用了其他業者的雲端服務，例如跟AWS, Azure, GCP租用虛擬主機，在上面運行所提供的網站服務。

這時候，藉由租用符合雲端運算5個基本特徵的雲端服務提供者的資源，就可以對外宣稱自己的網站服務是運用了雲端運算的服務，只不過組織的角色，並不會因此就直接變成雲端服務提供者，組織本身其實是雲端服務顧客的角色。

如果組織的目的是為了強化內部使用雲端服務的資訊安全，那就可以導入和驗證適用顧客的雲端標準 (ISO 27017) 了。

雲端標準導入第二步- 提供什麼類型的雲服務

關於雲端運算的543，剩下的4和3指的是：

4種部署模式：公有雲 (開放給大眾使用)、私有雲 (限單一組織使用)、社群雲 (具有共同目標的族群)、混合雲 (使用兩種以上部署模式)
3種服務型式： SaaS 軟體即服務 (ex. M365, Dropbox)、PaaS 平台即服務 (ex. 開發環境或容器運作平台)、IaaS 基礎設施即服務 (ex. VM)

若是確認了自己的服務已具備雲端運算的基本特徵，接下來請問問自己，採用的部署模式是什麼？所提供的是哪一類型的雲服務。

雲端標準導入第三步- 釐清自己的角色

如果您的組織和Microsoft、Google、Amazon一樣，提供各式各樣的雲服務給大家使用，並且滿足雲端服務的5大特徵，您就是「雲端服務提供者 (Cloud Service Provider, CSP)」。

如果您的組織單純只是使用現有的雲服務，例如：M365, GCP, AWS EC2等，那您就是「雲端服務顧客 (Cloud Service Customer, CSC)」。

如果您的組織像是儲存服務的業者Dropbox，在底層的儲存空間租用了AWS S3服務 (IaaS)，並且利用它來打造成為自己的檔案儲存應用服務 (SaaS)，此應用服務也藉由自己提供的機制符合了雲端運算的五大特徵，那麼您就是同時兼具了雲端服務顧客 (面對AWS)，同時也是雲端服務提供者 (面對Dropbox顧客)的角色。

最後，如果您已完全清楚了以上三件事，下一篇文章將告訴您如何選擇適用的雲端服務國際標準。

[證照] 通過CCSK v5考試

Thu, 05 Jun 2025 15:07:00 +0000

趁著最近在講授ISO 27017和ISO 27018課程的空檔，總算把先前花了錢購買了考試代幣，但是拖了很久沒動的CCSK v5考試給完成了。

跟我上一次考的CCSK v3相比，CCSK v5的考試總算是對考生比較友善了，題目內容不長且難易適中，只要閱讀和利用CSA提供可免費下載的「CCSK Offical Study Guide」，應該就能順利通過考試，當然比較保險的話，把「Security Guidance (對岸有簡體中文版可下載)」也看過一遍，對於整體的雲端安全觀念會更加完整。

對於考試有興趣的夥伴們，可直接到CSA官網下載「CCSK v5 Prep Kit」，裡面提供很豐富的資訊 (包括上面提到的 Offical Study Guide 和 Security Guidance)，以下則是利用AI彙整的考試說明，請參考。

CCSK 考試注意事項

• 考試形式：考試是線上進行的開卷考試 (Open book)。

• 考試結構：考試包含 60 題多重選擇題，每個題目都是單選題，這些問題是從題庫中隨機選取的，因此每次考試的問題不一定相同。

• 時間限制：CCSK v5 考試的時間限制為 120 分鐘，考生可以先註記困難的題目，最後再回頭作答。

• 通過分數：考試的最低通過分數是 80%。

• 考試次數與代幣費用 (Standard Exam Token)：一個標準考試代幣的費用是 $445 美元，包含最多 2 次考試機會，如果你在第一次嘗試時失敗了，沒有強制規定需要等待多久才能參加第二次考試，但建議在失敗後花時間重新學習一下不熟的知識領域。

• 考試時間與地點：考試不需預約特定的考試日期，因為是線上考試，可以隨時自行安排並使用自己的電腦，你也不需要到考試中心參加考試。

• 考試結果與檢討：考試結束之後，結果會立即知道，通過就可以取得電子版的證書。為了維護考試的完整性，考試平台不會提供你答錯的具體題目答案，但是，平台會顯示每個領域的題目數量，以及你在每個領域答對的數量，這有助於考生了解哪些知識領域需要加強學習。

[新知] 雲端運算關鍵領域安全指南更新為4.0版本

Mon, 07 Aug 2017 09:43:00 +0000

雲端安全聯盟(CSA)日前宣佈，雲端運算關鍵領域安全指南(Security Guidance for Critical Areas of Focus in Cloud Computing)已正式更新為4.0版本，其中有將近8成的內容進行了改寫，以便更貼近目前雲端安全實務上的需求。

同時，這份指引也整合雲端安全控制矩陣(CCM)和自我評估的問卷(CAIQ)，並且也涵蓋了軟體開發人員和IT維運人員溝通(DevOps)、物聯網(IoT)、行動化(Mobile)和大數據(big data)等熱門議題。

另外，雲端安全知識認證(CCSK)也即將更新為CCSK v4，考試內容有80%來自於新版的雲端運算關鍵領域安全指南4.0版，其他則參考CCM和ENISA的雲端運算風險評鑑報告(Cloud Computing Risk Assessment report)的內容。

新版CCSK的考試費用為395美元，預計將在2017年12月1日開始提供新版的考試。

雲端運算關鍵領域安全指南4.0版仍提供免費下載，更多資訊可參考以下連結:
https://cloudsecurityalliance.org/guidance/#_overview

舊留言存檔

以下留言轉存自原 Blogger 網站，僅供存檔，無法回覆。

匿名（2017-11-23）

請問~CCM~有文件可以下載嗎?

傑克小花（2017-11-27）

有的，CSA網站也有提供下載喔~

Kenji.C（2019-04-17）

請問CCM和ENISA的雲端運算風險評鑑報告有中文版嗎?

傑克小花（2019-04-26）

目前CCM和ENISA的風險白皮書好像只有英文版喔～

[專欄] 以ISO/IEC 27018 強化雲端上的個資安全

Mon, 10 Apr 2017 17:06:00 +0000

隨著個人資料保護法的實施和民眾對於個人隱私保護意識的增加，對於日漸普及的雲端服務，一旦包含了民眾的個人資料處理，對於資訊安全要求就顯得更加重要。對雲端服務提供商而言，如何讓雲端服務的客戶和其使用者，能夠信賴雲端服務的安全機制，並且願意使用雲端服務，透過取得國際標準的認證，將是一個最佳的展現方式。

由於科技的進步，傳統的商業模式和服務，時至今日已經逐漸轉型，透過高度資訊化和方便的網路連結，讓各項交易和服務能夠以更即時的方式來運作。目前，應用雲端運算的強大資源，資訊服務也能夠以更有效率且節約成本的方式，傳遞給不分國界的使用者。在使用雲端科技方面，關於服務本身的透明度與資料的安全性，已是受到普遍關注的議題。以公有雲的服務來說，某種程度上就是一種委外服務，就像傳統的金融服務一樣，民眾在考量是否要將貴重物品或金錢存放在某家銀行時，主要考量的要素就是銀行是不是值得讓人信賴。同理，雲端服務客戶在採用雲端服務時，也會關心自己重要且有價值的資訊，是否能夠獲得雲端服務提供商妥善且安全地處理。

目前，藉由與資訊安全標準ISO/IEC 27001的結合，ISO/IEC 27018提供了雲端服務提供商一個在處理個人可識別資訊(PII)時，可以參考的最佳實務指引。這本標準的重點在於協助公有雲服務提供商在扮演PII處理者時，有足夠能力去處理公有雲服務的資安議題，並且在能夠滿足客戶合約和法令法規的前提下，有效地因應雲端上個人資料保護的特定風險。

取得ISO/IEC 27018的必要條件

有鑑於ISO/IEC 27018對於個人資料保護之要求相當完備，並且需要由獨立的第三方實施現場查核，藉由稽核過程中所獲得的客觀證據，才可作為業者已經遵循實施此一國際標準的佐證，這已經是業界公認在雲端服務上保護個資的有效機制。

基本上，適用此一標準而可以進行驗證的組織，以雲端服務提供商為主，而且是提供了公有雲服務，其業務型態包括了個人資料的蒐集、處裡、利用或傳輸等。ISO/IEC 27018要求在服務使用者同意的情況下，針對個人資料生命週期的各個階段，都需要採取適當的保護措施。同時，雲端服務提供商也有義務，需要對雲端服務客戶說明如何確保資料的完整性和透明性等議題，並且尊重使用者對於其個人資料的主張權益。

對於雲端服務提供商來說，在導入ISO/IEC 27018之後，所產生的效益包括了：

增加使用者的信任：提供更強的安全保護機制，以確認雲端服務客戶和利害關係人的個人資料已經受到妥善的保護。
強化商業競爭力：比同業的競爭對手提供更高層次的個資保護措施。
保護品牌和商譽：降低因資安或資料外洩事件的發生，以保護組織的聲譽。
有效降低資安風險：藉由實施風險評鑑的過程來選擇適當的控制措施，可有效地管理可能的資安風險。
協助組織營運成長：對於跨國的企業或提供不同國家服務的雲端服務提供商，可以提供一個共同的規範準則，協助組織更容易地在世界各地提供公眾使用的雲端服務。

ISO/IEC 27018國際標準的架構

ISO/IEC 27018標準的內容主要由兩個部份組成，它分別參考了ISO/IEC 27001附錄A，也就是ISO/IEC 27002的16項控制措施，以及根據ISO/IEC 29100的11項隱私權框架原則所追加的25項控制措施。以下僅針對個資隱私保護原則的部份，做簡要的說明。

1. 同意及選擇：這項要求只有追加一個「A.1.1 有關個人資料當事人權利的合作義務」控制措施，主要是要求公有雲的個資處理者，應該要提供個資當事人能行使其個資權利的方式，包括有能力可存取、更正或刪除屬於他們的個人資料。

2. 目的適法性及規定：這項要求包括了「A.2.1 公有雲PII處理者的目的」和「A.2.2 公有雲PII處理者的商業使用」二個控制措施，主要是要求公有雲的個資處理者應該要基於合約的使用目的，不能以獨立於合約的其他任何目的來處理個人資料，除非以重新獲得當事人的同意。另外，在商業使用方面，在沒有獲得同意之前，不應將個人資料作為行銷和廣告的目的來使用，而且也不應該以此作為客戶接受此項服務的條件，換句話說，應給予雲端服務客戶可以自由選擇的權利。

3. 資料極小化：這項要求的控制措施是「A.4.1 暫時性檔案的安全刪除」，主要是針對在處理個資的過程中，可能會產生許多暫時性的檔案，像是個資編輯修改的記錄、存取的日誌記錄、修改的副本暫存檔等，由於內容也可能涉及個資，因此應在指定或所約定的期間內被刪除或銷毀。

4. 利用、持有及揭露限制：這項要求包括了「A.5.1 PII揭露的告知」和「A.5.2 PII揭露的紀錄」，主要是規範當公有雲的業者遇到來自執法單位的具有法律約束力的個資揭露要求時，需要按照合約所約定的程序和時間，通知受影響的雲端服務客戶，除非是受到法律或其他方式要求禁止通知。此外，對於第三方揭露個資時，需要明確地記錄對誰？在什麼時間？揭露了哪些資料？目前實務上，可以透過定期提供透明度報告來向客戶告知相關訊息。

5. 公開、透明及告知：這項要求的控制措施是「A.7.1 委外PII處理的揭露」，它規範了公有雲業者若是採用分包商來處理個資時，需要在採用之前向相關的雲端服務客戶說明採用的方式和委外的情況。

6. 可歸責性：這項要求的控制措施，包括了「A.9.1 通知涉及PII的洩漏」、「A.9.2 管理的安全政策及指引的保存期間」及「A.9.3 PII的返還、傳輸及汰除」，主要是要求公有雲業者在任何未經授權存取個資，或是發生個資遺失、洩露或竄改時，應及時地通知相關的雲端服務客戶。另外，業者還需要保存服務提供期間的安全政策和作業程序副本，並在定期地更新，而且需要說明有關個資的返還、傳輸及汰除的政策內容，讓雲端服務客戶可以了解其作業方式。

7. 資訊安全：在資訊安全的要求方面，所要求的控制措施是最多的，包括了「A.10.1 機密性或保密協議」、「A.10.2 建立實體資料的限制」、「A.10.3 資料還原的控制和記錄」、「A.10.4 保護離開場所的儲存媒體上的資料」、「A.10.5 未加密可攜式媒體和裝置的使用」、「A.10.6 PII透過公眾網路傳輸的加密」、「A.10.7 實體資料的安全汰除」、「A.10.8 獨特的使用者ID」、「A.10.9 經授權使用者的記錄」、「A.10.10 使用者ID管理」、「A.10.11 合約措施」、「A.10.12 委外PII處理」，以及「A.10.13 先前使用的資料儲存空間上的資料存取」。
首先是保密的要求，對於有能力可以存取個資的工作人員，需具有保密的義務；針對個資方面，如果創建產生可顯示個資的實體文件，則需要受到限制；當業者進行資料還原時，需要記錄還原過程的程序和記錄；含有個資的儲存媒體，如磁碟、磁帶、光碟等需離開組織場所時，要經過適當授權和保護，而未加密的儲存媒體或可攜式裝置原則上是不該被使用的，若是在不可避免的情況下，則需要留下記錄；在透過公眾網路傳輸個資時，資料在傳輸前需經過加密處理，實體資料若需要汰除，應採取安全的機制，像是交叉切割、焚燒或水銷等方式銷毀；業者內部需要存取個資的工作人員，都要使用唯一的識別帳號以適當的區隔和授權，並且記錄使用者的活動概況，如果是已停用或過期的帳號，則不應再指派給其他人員使用；在合約方面，應明確說明所採取的安全措施，以確保資料不會被目的以外的方式進行處理；需要進行分包處理時，也應明確說明相關的處理程序和個資保護責任；因為雲端服務共同資源的特性，若先前使用過的資料儲存空間，要重新分配給其他用戶時，也要確保先前儲存的資料是不可見的。

8. 隱私遵循：這項要求的控制措施，包括了「A.11.1 個人資料的地理位置」和「A.11.2 個人資料的預期目的地」，由於雲端服務跨國的特性，主要是規範業者需明確說明，個資可能會被儲存在哪些國家。另外，若是透過網路來傳輸個資，也需要採取適當控制措施來確保資料可到達其預定的目的地。

以標準做法和國際服務要求接軌

ISO/IEC 27018是全世界第一個針對雲端服務提供商如何在公有雲上保護個人資料的國際標準，已順利通過ISO/IEC 27018的雲端服務提供商，可以宣告基於此國際標準的要求，對於雲端服務上個人資料的蒐集、處裡、利用或傳輸等，已經受到適當有效的安全保護。目前，已經通過驗證的雲端服務提供商，包括了微軟的Azure和Office 365、Amazon的AWS、Google、Dropbox、Box.com、香港的Ribose、日本的HDE和TKC、韓國的NAVER Business Platform Corp.等業者，期許台灣的雲端服務提供商，也能參考此一國際標準的要求，及早取得證書來和國際業界接軌。
(本文刊載於2017年2月號網管人雜誌)

[專欄] 導入ISO/IEC 27017 擴展安全控制措施至雲端之上

Wed, 15 Feb 2017 10:41:00 +0000

雲端運算可無限擴展延伸的特性，已吸引了眾多組織的採納和運用，但是從資訊安全的角度來看，無論是大型的跨國企業像是Amazon和Google，或是單一國家或地區的中小型公司，包括雲端服務提供商和客戶雙方，都需要一套適合且有效的方式去管控基於雲端服務的資料和系統安全。

依據2016年11月由雲端安全聯盟和EY China所聯合發表針對金融服務產業的研究報告指出，百分之47.9的金融服務組織目前正在規劃和雲端有關的策略，但也有百分之54.2的組織指出，目前內部尚未針對雲端服務的資料安全定義需要遵循的法規。另外，百分之37.5的受訪者認為目前最大的雲端威脅，來自於管理階層缺少雲端安全管理的領導力，其主要原因是管理階層對於雲端安全的規範缺少了解和重視。

關於雲端服務的資安管理，除了可參考廣泛適用的ISO/IEC 27001標準之外，在國際標準方面，ISO/IEC 27017提供了ISO 27002與雲端相關的控制措施實施指引，更提供了針對雲端服務的額外安全控制措施。ISO/IEC 27017標準適用於所有類型和規模大小的組織，無論是自建的雲端服務或是透過購買所獲得的雲端服務，以及雲端服務提供商本身，皆可透過此一標準的指引，強化所提供或所使用的雲端服務的安全。

導入ISO/IEC 27017所帶來的優勢

根據研究調查指出，有五成的組織其實不太清楚他們所採用的雲端服務提供商，到底是如何去監控和保護其雲端上的相關資料。雲端服務某種程度上其實是一種委外關係，好的商業關係來自於所提供服務的透明性，讓兩造雙方有足夠的理解和信任，讓彼此能夠各取所需，而ISO/IEC 27017能夠幫助雙方清楚地定義雲端服務提供商和雲端服務客戶之間的責任，避免可能在服務過程中所產生的歧見，導致服務的窒礙難行。

一般而言，藉由導入ISO/IEC 27017標準，對於雲端服務提供商和使用服務的客戶所帶來的好處包括了：

增加客戶對服務的信任度：對客戶和利害關係人提供更多的保障，特別是針對資料的保護，雲端服務客戶可以要求雲端服務提供商提供安全功能及其說明，以確認是否符合使用者的安全需求與期望。

強化市場的競爭力：雲端服務提供商可針對雲端服務的資料安全，展現強而有力的控制措施。

保護品牌和商譽：降低可能因為使用雲端服務發生資料外洩事件，導致對於組織商譽的傷害和品牌的影響。

強化組織安全和減少風險：藉由使用雲端服務提供商所提供的安全功能，雲端服務客戶可以間接強化其系統或服務的安全性，並且確保所識別出來的風險，已經受到適當地管理，降低可能影響組織營運的衝擊。

擴展業務的商機：雲端服務並沒有疆域的限制，在全球的市場，雲端服務提供商都可藉此展現標準化的資安管控機制，以滿足不同國家的雲端服務客戶需求。

雲端服務專屬的控制措施

ISO/IEC 27017標準除了引用37個來自於ISO/IEC 27002的控制措施，並且還額外提供了7個專門針對雲端服務的安全控制措施，以下是這些專屬控制措施的簡要說明。

CLD.6.3.1 在雲端運算環境內共享的角色和責任
針對內部組織的管理，ISO/IEC 27017增加了「CLD.6.3.1 在雲端運算環境內共享的角色和責任」這項控制措施，主要是為了釐清在雲端服務中，雲端服務供應商和雲端服務客戶雙方的責任。在過去，對許多採用廠商所提供服務的客戶而言，往往會認為相關的安全責任，在支付了費用之後，應該都要由廠商來處理和負責。但事實上，由於雲端服務的共享特性，對於使用雲端服務的客戶而言，自己也具有一定的安全責任。

以這項控制措施為例，對於雲端服務提供商的要求為應透過書面化的協議方式，載明在提供服務的過程和雲端中，所參與的各方之角色與責任，包括了服務提供商、服務提供商所採用的軟硬體供應商，以及使用雲端服務之客戶等。同時，如果屬於跨國提供的雲端服務，也需要主動告知客戶有關其資料可能儲存的國家或地理位置。

站在雲端服務客戶的角度來看，雲端服務其實也是內部資訊服務的延伸，所以此一控制措施要求雲端服務客戶需要評估現有的資安政策和程序是否同樣可適用於雲端服務，同時還需要了解雲端服務提供商能提供的支援和連繫方式，並且識別和提供或使用雲端服務時有關的權責機關，像是目的事業主管機關或地方政府的主管單位等。

CLD.8.1.5 雲端服務客戶資產的移除
許多雲端服務的使用者擔心，一旦結束服務服務的合約之後，相關資料的歸屬該如何去認定？從標準的控制措施要求來看，在資產管理方面，服務提供商除了以資產清冊來載明雲端服務的客戶資料和透過雲端服務所獲取的資料外，也需要在服務協議中說明一旦合約中止時，客戶資產的返還和移除方式。相對地，雲端服務的客戶一開始也需要以文件化的方式，要求服務提供商敘述在終止服務時的作業流程，清楚了解有關資訊資產後續的處理方式。

CLD.9.5.1虛擬運算環境的區隔
在雲端服務的環境中，雲端服務提供商採用虛擬化技術，來達成快速且彈性的虛擬主機、應用程式、網路架構及儲存空間等服務，已是非常普遍的運作方式。在虛擬化的環境之中，雲端服務提供商有點類似房東的角色，所有的雲端客戶是以承租戶的方式來共享資源，因此在虛擬環境的配置和資料保護方面，這項控制措施的要求，目的是為了在多重租戶的環境中，適當區隔不同的雲端服務客戶所使用的資源，並且也要和雲端服務提供商本身的管理環境相互區隔，以達成彼此互不干擾，資料不會發生意外共享的情況，保護和區分客戶所使用的虛擬環境。

CLD.9.5.2 虛擬機器的強化
同樣和虛擬化技術的運用有關，這項控制措施是要求在設置虛擬主機時，雲端服務客戶和雲端服務提供商都應該確認所採用虛擬主機的安全性，透過實施適當的技術來強化所使用的虛擬機器的安全，其重點包括了評估需要使用的通訊埠、通訊協定及啟用的服務，以及虛擬主機本身是否具備防範惡意程式的軟體，並提供相關安全性事件和系統日誌記錄等，這些都可以強化虛擬主機運作時的安全。

CLD.12.1.5 管理者的操作安全
在雲端服務的運作程序和責任方面，為了建立雲端環境中可管理的機制，降低因運作或操作失誤所帶來的風險，這項控制措施要求雲端服務客戶需要了解在雲端環境中操作失效可能造成的影響，事先以文件化方式建立關鍵的操作程序，包括了如何安裝、變更和刪除虛擬機器，一旦不使用雲端服務時的中止程序，以及資料的備份和回存方式等。相對地對雲端服務提供商來說，就需要因應客戶的要求，適時且充分的提供有關雲端服務的操作和作業程序文件給客戶參考使用。

CLD.12.4.5 雲端服務的監視
為了強化服務的透明性，增加服務雙方的信任，這項控制措施要求雲端服務提供商需要提供日誌存錄的功能給客戶，讓客戶有能力監控其雲端服務的運作，包括了監視和偵測雲端服務是否會作為攻擊他人的平台，或是敏感資料可能從雲端服務上外洩，這項能力同時也需要考量到在共享的雲端環境中，應限制每個客戶只能存取其自身的雲端服務資訊，並提供客戶有關服務監視功能的操作程序文件。換句話說，雲端服務客戶也應該要求雲端服務提供商，提供所需的每一個雲端服務的監視功能資訊。

CLD.13.1.4 虛擬和實體網路安全管理的一致性
針對網路管理的安全要求，考量到雲端環境中大量運作虛擬化技術來架構所提供的應用服務，這項控制措施要求雲端服務提供商應以文件化方式來定義有關虛擬網路的安全政策，並且要和實體網路的安全管理維持一致性。這也就是說，服務提供商需要確認不管是採用了何種虛擬網路的技術，其網路組態和設定都需要與既定的資訊安全政策相符，才能有效管制雲端服務的網路安全。

將安全控制措施延伸至雲端

就個人訪談並稽核許多組織的經驗，有資訊人員相當熱烈擁抱雲端服務，但也有管理階層對於雲端服務還是一直裹足不前，事實上雲端服務本身並不是洪水猛獸，許多的安全風險不是來自於雲端服務本身，而是對於服務的不了解而無法採取適當的管理作為。在這種情況下，參考國際標準的管理要求就是最佳的實務做法，組織可以將現有的安全控管機制，逐步地延伸到雲端之上，讓雲端運算的技術和服務成為組織的助力，所以請試著往前走，從了解標準的內容開始，作為迎向雲端未來的第一步。
(本文刊載於2017年1月號網管人雜誌)

[專欄] 評估雲端服務安全性就從認識國際標準開始

Wed, 18 Jan 2017 16:06:00 +0000

隨著雲端服務的應用愈來愈普及，到底該如何評估雲端服務的安全性？這時服務提供商是否取得了相關的國際認證，就成為重要的參考指標。

時至今日，有許多的政府單位和企業組織已逐漸地採用各式各樣的雲端服務，例如：雲端上的郵件服務、儲存空間、應用軟體及虛擬主機等。在採用雲端服務的效益方面，對於使用雲端服務已經數年的組織而言，都相當地肯定雲端服務的確為組織強化了資訊服務可用性、降低了營運成本，以及帶來高度彈性可擴充的能力。

根據Crowd Research Partners最新發佈的2016雲端安全研究報告指出，在受訪者中有91%的組織對於雲端服務的安全性仍是相當關注的，也就是說，目前影響組織採用雲端服務主要障礙，還是來自於安全的疑慮、擔心資料遺失或外洩風險，以及需合乎相關法令法規的要求等。但對資訊人員而言，調查顯示最頭痛的問題則是如何確認雲端服務的安全政策與組織的要求一致、如何了解基礎設施的可見度，以及確保雲端服務能夠和既有的資安法規和標準要求接軌等三項議題。

事實上，雲端安全的相關議題的確突顯了現今的雲端服務，無論是站在使用者的角度要選擇安全可靠的服務提供商，或是站在服務提供商的角度來確保雲端服務的安全性，都迫切需要找到一個彼此認可且具有公正性、代表性的指標，才能作為評估的基礎，而參考雲端安全相關的國際標準，就成為一個最佳的解決方案。

選擇最適用的雲端國際標準目前和雲端安全有關的認證和國際標準主要有三個，分別是CSA STAR認證、ISO /IEC 27017和ISO/IEC 27018，以下分別簡要地說明標準的特性和其適用的驗證對象。

圖1 雲端安全三大國際標準之適用對象

CSA STAR
CSA STAR認證是在2013年底由雲端安全聯盟(CSA)和英國標準協會(BSI)，共同宣佈針對雲端服務提供商所實施的國際認證，這項認證是基於通過ISO/IEC 27001資訊安全管理系統(ISMS)的要求，並且再藉由實施雲端控制矩陣(CCM)的控制措施，以成熟度的方式來評估雲端服務提供商的安全水準，藉此來突顯組織可能需要持續改善的區域，並且確保標準的符合性，不會成為組織對於資安的最低要求。有關取得CSA STAR認證的必要條件和評估方式，可參考先前的「展現雲端服務的安全成熟度-及早取得STAR認證」一文。

ISO/IEC 27017
ISO/IEC 27017是由ISO組織在2015年12月15日正式公布的雲端安全國際標準，基本上它仍採用ISO/IEC 27001附錄A所要求的控制措施，不過針對雲端安全的部份，它也要求強化了對於雲端服務相關人員的職責區隔、虛擬環境的隔離、虛擬主機的強化、虛擬網路的管理，以及系統管理者的操作安全和雲端服務的監控機制等。

基本上，ISO/IEC 27017不是一個獨立可驗證的標準，而是必須以ISO/IEC 27001做為基礎，在雲端服務的範圍內先取得ISO/IEC 27001證書後，再經由第三方的稽核驗證來證明組織同樣也實施遵循了ISO/IEC 27017有關雲端安全的要求。

ISO/IEC 27017使用了延伸自ISO/IEC 27001的37個控制措施，並且再加上7個增項的控制措施，在標準中特別強調在雲端服務中，客戶和提供商各自需要負起的安全責任。以ISO/IEC 27001附錄A中「A.6.1.1 資訊安全之角色及責任」為例，在ISO/IEC 27017中針對雲端服務使用者的要求是「雲端服務客戶應以書面化的協議載明雙方於雲端運算環境內的資訊安全角色及責任，並且應識別和管理雲端服務提供商的客戶支援和關懷功能」。而針對雲端服務提供商方面，則是要求「雲端服務提供商應和雲端服務客戶、本身服務的提供商、和它的供應者以書面化的協議載明各自於雲端運算環境內的資訊安全角色及責任。」

另外，以「CLD 12.4.5 雲端服務的監視」增項的控制措施為例，對雲端服務使用者的要求是「雲端服務客戶應向雲端服務提供商要求每一個雲端服務的監視功能資訊」。而針對雲端服務提供商方面，則是要求「雲端服務提供商應提供日誌存錄的功能給客戶；應讓客戶能監視其雲端服務的運作，例如: 監視和偵測雲端服務是否作為攻擊他人的平台，或是敏感資料從雲端服務上外洩；適當的存取控制應保全監視功能的使用，讓每個客戶只能存取自身雲端服務的資訊；應提供雲端服務客戶服務監視功能的文件；監視應提供與A.12.4.1事件日誌一致的資訊和支持SLA條款。」

ISO/IEC 27018
ISO/IEC 27018是在2014年正式公佈，也是第一個為公有雲上的個人資料保護，所提供可驗證的國際標準，對服務提供商而言，可以作為雲端個資管理的作業規範，實施其所要求的控制措施，藉此消除使用者對雲端服務處理個資的不信任感，也可解決其所關切的個資保護相關議題。

ISO/IEC 27018採用了延伸自ISO/IEC 27001的16個控制措施，並且再加上25個延伸自ISO/IEC 29100隱私保護框架的控制措施，在標準中特別規範了在公有雲環境的個人可識別資訊的處理者，依據相關協議或合約要求處理個人資料時應遵循的作業要求。ISO/IEC 27018主要的目的就是為了要協助雲端服務使用者和提供商之間的協議契約化，要求服務提供商確實遵守法規和合約的要求，使雲端服務的相關事項更加透明，以達成公有雲上個資保護的目標。

ISO/IEC 27018本身的獨特性在於讓服務提供商在提供雲端服務前，就能夠在合約或協議中透明地呈現其所提供的雲端服務，有關個人資料保護的機制，例如：清楚說明處理個人資料的目的、個資留存的期間、委外作業處理的方式，以及所實施的隱私保護措施等。而在提供雲端服務的期間，也讓使用者有能力可控制自身的資料，同時依據合約要求不會將個資用於行銷用途，並且記錄任何對於使用者個人資料的異動，主動將這些異動資訊提供給使用者確認。萬一真的發生相關的資料外洩或需揭露資料給第三方時，提供及時通知的機制，並且記錄任何來自於主管機關或法院要求，依法定義務或責任需揭露的個人資料。

圖2 雲端安全國際標準驗證方案與準則

ISO/IEC 27001仍是雲端安全的基礎

目前，這三個雲端服務國際標準，驗證的前提是要先取得ISO/IEC 27001的認證，並且涵蓋所使用或所提供雲端服務的範圍。三個標準的主要差異在於，CSA STAR的驗證對象是雲端服務提供商，確認其有足夠的能力來管理雲端服務的資訊安全，而ISO/IEC 27017的驗證對象則不限，適用於各行各業包括雲端服務的使用者和提供商，都可以藉由導入這個標準的要求，來強化雲端服務的控制措施，達到風險管理的目標。最後，ISO/IEC 27018的驗證對象則是公有雲雲端服務的提供商，目的是要強化公有雲上的個人資料管理與隱私保護，以確保使用者利用雲端服務所處理的個人資料，都能獲得適當的安全控管。

所以，從雲端服務使用者的角度而言，除了自己可以導入ISO/IEC 27017雲端服務的安全控制措施之外，在選擇雲端服務提供商的時候，也可以將是否已取得CSA STAR、ISO/IEC 27017和ISO/IEC 27018認證的廠商，作為最佳的評選依據。而從雲端服務提供商的角度來看，主動積極地取得雲端服務國際標準的認證，對於取得使用者的信任，以及強化市場的競爭力，都會產生大大加分的效果，實務上也可以讓服務本身的資安管理機制正式和國際接軌，以滿足不同國家使用者的資安要求。
(本文刊載於2016年11月號網管人雜誌)

[新知] ISO 27017 雲端安全國際標準已正式發布

Thu, 17 Dec 2015 16:27:00 +0000

ISO 27017 (Code of practice for information security controls based on ISO/IEC 27002 for cloud services) 已正式由ISO組織在2015年12月15日公布。

ISO 27017基本上是採用ISO 27002的控制措施，不過針對雲端安全的部份，它也要求強化了對於雲端服務相關人員的職責區隔、虛擬環境的隔離、虛擬主機的強化和虛擬網路的管理，以及系統管理者的操作安全和雲端服務的監控機制等。

基本上，ISO 27017不是一個獨立可驗證的標準，而是必須以ISO 27001做為基礎，再經由第三方驗證來證明組織同樣也遵循了ISO 27017的要求。

目前，已率先取得ISO 27017證書的是Amazon，包括其位於世界各地的資料中心和所提供的30多項雲端服務，都在驗證評估的範圍內，可說是業界的榜樣了。

[專欄] 讓雲端服務安全維護透明化 - 建立隱私等級協議強化用戶信心與資料安全

Tue, 31 Mar 2015 15:16:00 +0000

隨著雲端服務已廣泛地受到個人和企業所使用，隱私維護與個人資料保護，更是用戶和雲端服務供應商，雙方都必須要重視的課題。對服務供應商來說，透過自我的安全評估並展現保護個人資料的決心，將有助於提升用戶的信心，也能強化市場的競爭力。

目前，許多人對於雲端服務仍裹足不前的原因，有很大的一部份是來自於信任的問題，一旦個人或企業將自己擁有的資料上傳至雲端服務之後，就會擔心資料內容是否可能會被竊取或外洩，進而造成企業重大的損失。尤其是如果資料內容包含了個人資料的話，萬一遭到不當的揭露與使用，更可能會違反法令法規的要求，除了會造成企業的聲譽受損，很可能還要面對法律的懲處與求償。

為了強化雲端服務用戶的信心，並且讓業者能夠主動的自我要求與評估，由雲端安全聯盟(CSA)所發佈的PLA隱私等級協議綱要(Privacy Level Agreement Outline)，雖然其主要目的是為了滿足歐盟(EU)對於隱私保護的要求，其實也非常適合作為雲端服務供應商在保護個人資料方面的參考。

基本上，PLA綱要對於個人資料的揭露、隱私維護、資料保護政策、個人資料的處理與儲存方式等，提供了一個良好的文件化架構，一旦服務供應商完成了這項協議，對於現有的用戶和未來的客戶，就可以根據其所展現的實務做法，評估是否可以滿足個資保護的要求，並且作為在評選服務供應商的重要依據。

建立隱私等級協議的目的

企業若採用了雲端服務，與業者的服務等級協議(SLA)往往是不可或缺的，而PLA即可作為雲端服務協議的一部分，更是服務供應商用來評估現有安全措施的一項工具，除了能夠自行檢測是否遵循了個資法規的要求，所展現的結果也能夠充分展現業者對於資料處理的透明性，以及對客戶資料保護所肩負的責任。

PLA的目標有二個，首先是提供了雲端服務用戶一項工具，可以用來評估雲端服務供應商是否信守承諾去保護個人資料；其次則是針對個資外洩可能造成的經濟損失和違反法規時所造成的影響，提供文件化的合約要求與約束。

在雲端安全聯盟所提出的綱要之中，主要宣示了以下幾個重點：

雲端用戶內部與外部的盡職調查評估(due diligence)
可上傳至雲端服務的個人資料類別
雲端資料處理的方式
資料所在位置、傳輸、保存、監控及安全措施
個人資料外洩時的通報
資料可移動性、移轉和傳輸的後端協助
可歸責性(Accountability)
依法實施的存取行動
補救與賠償

PLA的架構與綱要內容

在PLA隱私等級協議綱要中，一共包括了16項要點，雲端服務供應商可在此陳述其所採取的實務做法，透過自我揭露的方式，讓用戶可以得知有關隱私維護與個資保護的現況，確保得以遵守來自內部與外部法規的要求，以下為各項要點的簡要說明。

1. 識別雲端服務供應商的角色和資安隱私相關人員的聯絡方式
在此可說明雲端服務供應商的公司寶號、代表人和營業地點，以及在資料存取與處理過程中所扮演的角色，還有當用戶有資料安全和隱私相關問題時，提供能夠直接聯絡的管道與窗口，以顯示業者相當重視客戶有關安全的疑慮。

2. 客戶禁止在雲端上傳送和處理的個人資料類別
雲端服務供應商可在此說明用戶要求不能在雲端服務中處理的資料類型，常見的像是醫療資料、犯罪前科等特種個資，可能不太適合以公有雲方式來處理。

3. 在雲端上處理資料的方式
雲端服務供應商在其所提供的雲端服務中，隨著所扮演的角色不同，處理資料的方式也會不同，如果服務供應商是屬於資料處理者(processor)，就必須說明因應資料控管者(controller)所要求的資料處理作法有哪些，其中最重要的就是資料處理者不可任意變更資料處理的目的，同時也包括資料儲存的地點、類型、監控方式等。另外，還需要說明有關資料中心對於個人資料的處理方式、存放地點和備份還原機制，如果雲端服務供應商本身採取了外包商的其他服務(例如Dropbox的儲存空間採用的是Amazon S3儲存服務)，也就需要說明外包商在資料處理過程中涉入的程度、應負的安全責任及確保資料安全的作法。如果雲端服務還需要在用戶的電腦中，安裝附加程式如瀏覽器的plug-in等，也需要一併說明其目的和可能的影響。

4. 資料的傳輸
在此可說明資料在正常營運或是在緊急的情況之下，是否會進行跨境的傳輸與備份，如果跨境傳輸是受到法規限制的，也要說明法令的內容與限制的要求。以歐盟為例，如果資料需要傳輸到歐盟以外的國家如美國，就必須說明法律許可進行的方式，以及是否符合了美國的安全港(Safe Harbor)協議。

5. 資料的安全措施
此處可說明雲端服務供應商為了對抗可能發生的資安事件，例如非法的存取使用、資料的遺失與不當揭露等危害資料安全的情況，所採取的技術面和管理面的做法，確認是否可以達成以下的安全目標。

機密性：說明採取了哪些措施來維持機密性，例如在資料傳輸和閒置時實施加密，或是透過資安政策來宣告只有經過授權的員工才能存取資料，以及要求相關人員簽署保密協議，規範不得任意洩露所得知的機密訊息等。
完整性：描述如何確保資料內容的正確與完整，例如透過加密和電子簽章等機制，確認個人資料內容不會遭到竄改等。
可用性：說明資料的備份與備援機制，一旦資安事件發生時，能夠在多少的時間內回復原有的服務與資料。
隔離性：說明如何有效地控管與監督有權可存取個人資料的行為，例如在賦予角色與權限時，是否秉持了最小權限原則，並且定期的進行權限的檢視與審查等，以避免不當授權的情況發生。而針對雲端服務虛擬主機的使用，可說明如何透過hypervisor的運作與管理，確保在同一實體主機下的所有虛擬主機用戶，不會發生不當的資料存取行為。

此外，如果服務供應商還參考並實施了來自其他國際標準的控制措施，例如ISO 27001、CSA CCM等，也可以一併在此描述所實施的內容和範圍。

6. 監控
描述是否讓用戶有權可針對所上傳的個人資料實施監控，或是能夠定期地進行實地審查，如果服務供應商不允許的話，是否可以提供獨立第三方的監控報告，以及委由公正業者來實施安全稽核。另外，針對資料的存取行為，是否可以提供相關的記錄，以確保有能力可識別出未經授權的存取事件發生。

7. 第三方稽核
說明是否有第三方的獨立稽核報告可以提供給用戶，在報告中應呈現稽核的範圍、時間、頻率及發現等，由於報告中可能包括了服務供應商某些敏感的營運資訊，因此實務上通常也會要求索取稽核報告的用戶，必須要簽署保密協議，以避免營運資訊的不當洩露。此外，如果服務供應商允許用戶可挑選適合的稽核員來實施審查，也可以在此說明相關的作業程序和所需負擔的費用成本等事項。

8. 個資侵害事件的通報
說明萬一發生資安事件，造成個人資料受到不當的遺失、揭露、損毀，以及受到非法的存取與利用時，服務供應商所採取的因應措施與通報方式，特別要指出通報的時間與方式，以避免當事人受到更大的損害。

9. 資料可移動性、移轉和傳輸的後端協助
在此指出可移動資料的格式與關聯性，以及任何與移動的資料、應用程式、服務可能會產生的成本與費用。建議具體說明如何協助用戶，將資料移轉至新的服務業者或是內部的IT環境中，所需的作業方式及必須花費的成本。

10. 資料保存、歸還和刪除
描述雲端服務供應商的資料保存政策，以及當服務終止時，如何歸還或銷毀所保存的個人資料。

11. 可歸責性
描述雲端服務供應商有哪些安全政策和程序，能夠確保所提供的雲端服務已符合法令法規的要求，實務上的作法為保存和維護在資料處理過程中所產生的文件化資料，並且提供可信賴的監控方式和登入帳號的記錄。在此也可標示出服務供應商已取得的第三方驗證證書，說明其適用的範圍和有效期間。

12. 協同合作
說明雲端服務供應商將如何與客戶充分合作，以確保符合法令法規和資料保護的要求，以便取信於用戶，並且因應所屬的主管機關進行的審查。

13. 執行法律時的存取行為
說明如何因應執法單位的要求，對所管理的個人資料來提出適當的回應或揭露，同時也會對利害關係人及時發出通知，並且維持在犯罪調查過程中，需要保護的資料機密性。

14. 補救與賠償
說明如果違反了PLA，在發生資安事件時可以提供給用戶的補救與賠償措施，在雲端服務方面，可能的賠償內容包括了損害事項的回復、進行訴訟的花費，以及合約明訂的賠償金額等。

15. 抱怨與爭議的處理
在與個人資料有關的抱怨和爭議中，提供主要可以聯絡的窗口，說明其接受處理問題的方式、回應的時間等，以及可以提供協助的其他資料保護組織等。

16. 雲端服務供應商的保險政策
說明雲端服務供應商的網路保險政策，以及任何有關安全事件的保險事宜。

遵循法規是雲端服務的基本原則

對雲端服務供應商而言，無論提供的是軟體、開發或基礎設施的雲端服務，一旦以商業化的方式來進行，除了確認能夠滿足用戶的需求之外，遵守合約中明訂的安全規範，以及所在區域的法令法規，將是維運雲端服務的基本原則。

對用戶來說，如果需要上傳屬於個人資料的內容至雲端服務，由於受到個資法的規範約束，尤其要特別小心，除了確保必須符合個資蒐集、處理和利用的要求之外，針對服務供應商的安全審查也是不可或缺的，這時候如果有PLA作為一項隱私保護評估的依據，對業者和用戶雙方都可達到事半功倍的效果。(本文刊載於2014年7月號網管人雜誌)

[參考資料] CSA Privacy Level Agreement Outline

[專欄] 展現雲端服務的安全成熟度 - 及早取得STAR認證

Tue, 22 Jul 2014 03:26:00 +0000

對雲端服務供應商而言，如果想要展現出高度的資安管理成熟度，唯有藉由第三方獨立公正的稽核，並且進一步取得國際認可的認證，才是最佳的解決方案，除了可以強化本身的市場競爭力，也能夠滿足客戶對於資安的期盼與要求。

隨著雲端運算的蓬勃發展，許多企業紛紛採用了雲端服務，以便降低營運支出成本，或是達成過去缺少資源所能達到的目標。若是從企業高層的治理與管理角度來看，一旦企業導入了雲端服務，並且與本身的業務運作相互結合，那麼就必須評估這項服務，是否會對企業產生無法控制的風險，也就是說，企業需要考慮採用了雲端服務，如果發生了資訊安全的問題，是否將對企業造成衝擊與影響。

因此，選擇一個安全可靠且值得信賴的雲端服務供應商，就成為企業在採用雲端服務時，也能降低營運風險的必要做法。只是，面對市場上眾多的雲端服務業者，到底應該要如何挑選，才能找到品質與安全兼顧的良好夥伴，就成為企業在評估時的頭痛問題。幸好，在2013年年底，針對雲端服務供應商的安全要求，雲端安全聯盟(CSA)與英國標準協會(BSI)正式宣布推出STAR認證，這項認證結合了ISO 27001資訊安全管理系統標準的要求，並且藉由實施雲端控制矩陣(Cloud Control Matrix；CCM)，再以成熟度評估的方式來量測出雲端服務的安全水準。

取得STAR認證的必要條件

雲端安全聯盟指出，「STAR認證是以達成ISO 27001和雲端控制矩陣所列出的一系列準則作為基礎，此一矩陣共有11項控制領域，涵蓋了法規遵循、資料治理、設施及場所安全、人力資源安全、資訊安全、法令法規、營運管理、風險管理、發行管理、恢復能力及安全架構」。

對雲端服務供應商來說，如果想要取得STAR認證，需要具備以下三個條件：

已取得ISO 27001認證：ISO 27001主要是從資訊安全的角度出發，要求雲端服務供應商基於客戶的安全期許與要求，在所提供的雲端服務範圍內，導入系統化的資訊安全管理制度，業者必須要識別服務中所面臨的風險，實施適當的安全控制措施，以降低風險至可以接受的程度。因此，ISO 27001的認證範圍，也就不得小於STAR認證的範圍。
導入CCM的安全控制要求：CCM是針對雲端服務中的各項特定的重要領域，實施對應的安全控制措施，以便確保業者所提供的雲端服務已具備足夠的安全防護，降低資訊安全的風險。
達到成熟度評估的水準：業者必須申請由第三方獨立驗證機構來進行安全成熟度的評估，這項作法可以確保CCM並非只是最低的自我安全要求，而是能夠展現在各個雲端安全控制領域中，已有運行良好的管理活動，確保安全問題能夠持續地獲得關注和改善。

雲端安全成熟度評估的要素

雲端服務供應商如果想要通過STAR驗證，就必須在所有CCM要求的控制領域中，展現已經實施的安全作法與相關證據，若是組織對於自己的雲端安全管理有信心，接下來就可以申請實施獨立的第三方驗證，BSI將以管理成熟度評估方式，針對CCM的每一項控制領域來進行查驗，至於CCM的實務措施與做法，讀者可以參照先前一系列有關雲端控制矩陣之介紹文章。

基本上，在雲端控制矩陣的每一項的控制領域裡，稽核員都會分別依據以下五個管理要素來進行評分:

溝通和利害關係人的參與
政策、計劃、程序及系統化方法
技巧和專業能力
負責態度、領導能力和管理
監控與量測

換句話說，在每一個控制領域中，稽核員都會依照所實施的管理活動，在五個管理要素中給予1-15的評分，如果其中有一個管理要素獲得較低的分數，那麼這項控制領域就會以此最低的分數作為其總體獲得的評分。

以CCM v1.4來說，業者在11項的控制領域中，就會獲得11項1-15分不等的分數，而每一項分數都是取決於五個管理要素所獲得的評分結果。以「政策、計劃、程序及系統化方法」的管理要素為例，其評分所依據的準則如下。

無正式實施方法 (No Formal Approach) : 若只有很少的證據可顯示在營運和管理方面，已有相關的計畫、流程、政策及作業程序，將獲得1分；如果業者已實施了效果有限的作業流程，可獲得2分；在一些關鍵的區域中，作業流程已被實施和遵從，將可得到3分。

被動式實施方法 (Reactive Approach) : 若有一些證據顯示，某些員工對於關鍵區域的主要控制要求已經有所了解，將獲得4分；如果大多數的計畫、流程、政策及程序都已更新，可獲得5分；有證據顯示這些的計畫、流程、政策及程序已經被實施和遵從，將可得到6分。

主動式實施方法 (Proactive Approach) : 若業者已有廣泛的計畫、流程、政策及程序，並已涵蓋了大多數的控制和作業區域，將獲得7分；如果計畫、流程、政策及程序已被定期的檢視審查，可獲得8分；員工已熟知並且能找出對應的計畫、流程、政策及程序，將可得到9分。

持續改進實施方法 (Improvement-Based Approach) : 若有證據顯示相關的計畫、流程、政策及程序，已經涵蓋日常的作業和緊急應變措施，將獲得10分；如果針對營運活動可能的風險，對於相關計畫、流程、政策及程序已進行檢視審查，可獲得11分；員工能夠主動地涉入風險管理和風險消除，將可得到12分。

最佳化實施方法 (Optimising Approach) : 針對營運活動的改變，管理階層對於相關計畫、流程、政策及程序皆有強健的領導力和因應做法，將獲得13分；如果相關計畫、流程、政策及程序已與組織外的最佳實務做法進行比較，可獲得14分；相關的計畫、流程、政策及程序，皆能與營運願景維持一致，並且獲得了正面評價，將可得到15分。

最後，每一個控制領域的得分將會加以平均，若是平均得分低於3分，就無法獲得任何的獎牌；如果平均得分為3~6分，將可取得銅牌；平均得分為6~9分則為銀牌；如果達到9分以上，則可獲得金牌。一旦獲得了CSA STAR認證的獎牌，雲端服務供應商就可將它展現給客戶，以達到市場的競爭力並且建立正面形象。

合格稽核員以專業給出評分

對於STAR稽核員而言，雲端安全的成熟度評估不但考驗專業能力，更是一項實務挑戰，因此在能力要求方面，執行STAR驗證的稽核員在資訊安全領域，至少要有二年以上的工作經驗，並且要通過ISO 27001主導稽核員課程考試，或是已經被國際驗證機構認可為合格且具有經驗的ISO 27001稽核員，同時，也必須要完成由BSI和CSA共同開設的CCM訓練課程。

當業者在申請進行STAR驗證時，為了確保專業性和對組織的有效性，建議最好選擇已取得CCSK雲端安全知識認證的稽核員，這樣一來在實施評估時會更有利於專業評分的進行，因為執行STAR驗證的稽核員，除了要查核所有CCM要求的雲端安全控制領域，也要基於風險評鑑和來自內部與第三方的要求來進行評估，稽核員還需要依據管理成熟度的五個要素，對每個控制措施分別給出1~15的分數，並且查驗業者所提出對應的相關證據，這些都需要足夠的雲端安全知識才可有效進行。

此外要注意的是，在實施稽核的過程中，業者可能會質疑有些成熟度要素無法直接對應至明確的控制措施，例如資料治理領域中的「DG-06 非生產環境資料」，這個控制措施是要求生產環境中的資料不應被同步複製或使用在非生產環境之中，它與「負責態度、領導能力和管理」這一個成熟度要素，看起來似乎沒有直接的關聯。不過，事實上在進行查核的時候，稽核員會從整體的資料治理措施來進行評估，像是配合「DG-01 擁有權和管理職責」這個控制措施，先確認業者是否有足夠的證據來顯示所有資料都已被明確指派定義、記錄和溝通其管理職責，然後再給予DG-06這一個控制措施評分，這也就是表示，對雲端服務供應商來說，所有成熟度的要素都是無法忽略的，必須要力求完整呈現在每個控制措施中，才有機會取得高分。

及早取得認證以搶佔市場先機

雲端服務供應商如果想要及早取得STAR認證，必須先確認其所提供的雲端服務，已在ISO 27001認證的範圍之內，然後實施CCM的安全控制要求，以CCM v1.4而言，它涵蓋了11項控制領域，其中包括了98個安全控制措施，這些控制措施也都可以參照ISO 27001本文和附錄A的內容，彼此達到互補的功能。

目前，全球已經有三個組織順利取得了由BSI所頒發的STAR認證，分別是英國的惠普(HP)與脈動(Pulsant)，兩家皆取得了銀牌，在亞洲有一家是阿里雲，它獲得了第一面金牌。預計在2014年第二季之後，台灣也將會有業者來取得這項認證。未來，雲端服務供應商可藉由STAR認證來展現自己的安全成熟度，以贏得客戶的信心，而消費者也將多了一項管道，可以得知所選擇的雲端服務業者，是否有足夠的能量來確保所需的資訊安全，這對於雲端服務的長遠發展，可算是一項福音。(本文刊載於2014年3月號網管人雜誌)

[新知] 雲端安全聯盟正式發佈CCM和CAIQ v.3.0.1

Fri, 18 Jul 2014 04:37:00 +0000

雲端安全聯盟(CSA)已正式發佈更新版本的 Cloud Controls Matrix (CCM) 和 Consensus Assessments Initiative Questionnaire (CAIQ) v.3.0.1，有興趣的朋友可以自行至CSA的網站下載這兩項文件。

CCM v.3.0.1 - https://cloudsecurityalliance.org/download/cloud-controls-matrix-v3-0-1/

CAIQ v.3.0.1 - https://cloudsecurityalliance.org/download/consensus-assessments-initiative-questionnaire-v3-0-1/

新版的雲端控制矩陣CCM提供了雲端服務供應商基本的安全原則，可以協助業者自行評估所面臨的雲端風險，在CCM v.3.0.1中包括了16項安全領域和基本的安全控制措施，並且可以和業界與國際標準相互參照，以減少稽核時的重覆性與複雜性。

不同於v.3.0的新版主要更新重點如下：

新版CCM更新為16項安全領域，並且對應至常見的其他標準，如AICPA 2014 TSC, COBIT 5.0, ISO/IEC 27001:2013等。

新版CCM整合了重覆的控制措施，從舊版v.3.0的136個減少至133個，同時重新改寫了控制措施內容，讓目的更清楚，並且可以滿足STAR認證的要求。

新版的CAIQ則提供了更簡要清楚的問題內容，並且對應至CCM和雲端運算安全指南v3.0的內容，讓雲端服務供應商可以更容易地進行自我評估，以滿足客戶的期待與要求。

[專欄] 雲端控制矩陣安全措施簡介(八) - 強化雲端安全架構從底層打好強健基礎

Wed, 09 Jul 2014 13:50:00 +0000

上一篇我們說明了在雲端控制矩陣之中，有關發行安全管理和災難回復能力之要求，本期將說明有關雲端安全控制要求的最後一項-安全架構之內容。

在雲端控制矩陣中的第十一項是針對安全架構的要求，希望藉由強化底層的網路基礎設施與應用程式，以減少營運時可能面臨的安全風險。以下將說明安全架構中的15個控制措施，以及可對應參考的ISO 27001標準與實務建議。

SA-01 客戶存取之要求
這項控制措施是要求在賦予客戶存取資料、系統、資產之前，所有已識別出與存取有關的安全、合約、法規之要求，應該被處理和達成。

在ISO 27001標準附錄「A.6.1.2資訊安全協調工作」中提到，組織之中的資訊安全，不會只是單一部門的工作，除了資訊單位之外，可能也需要人力資源、總務、行政、業務、稽核、法務等部門人員的參與，才能達成組織所設定資訊安全的目標，所以資訊安全的相關活動，需要由不同部門的代表協調，才能順利地執行。此外，「A.6.2.2處理客戶事務的安全說明」也要求，在賦予客戶存取組織資訊的權限之前，應考量到各項資訊安全要求，例如對於提供服務的內容描述，以及客戶應有的安全責任與要求等。

SA-02 使用者身分憑證
這項控制措施要求組織所提供的雲端服務，對於應用程式、資料庫、伺服器及網路的使用者身分憑證與密碼管理，需要滿足以下的最低要求：

在密碼重設之前，進行使用者身分確認。
如果密碼是由非使用者重設(如系統管理員)，在第一次使用時必須要求使用者立即更改。 3. 對終止職務的使用者，應及時地取消其存取權限。
至少每90天移除及停用閒置的使用者帳號。
應採取唯一的使用者識別帳戶，禁止帳號密碼的共享使用。
密碼過期週期為90天。
密碼最小長度不得低於7碼。
應使用混合數字與符號的強健密碼。
重新設定密碼時，不得與最近四次使用過的相同。
密碼經重試6次錯誤之後，即鎖定帳號。
帳號鎖定最少期間為30分鐘，或是直到管理者解鎖為止。
使用者閒置15分鐘之後，應要求必須重新輸入密碼才可繼續使用。
特權使者者的存取與活動記錄必須被保存。

有關使用者身分管理之要求，還可以參考ISO 27001附錄「A.11.2.3 使用者密碼管理」，要求使用者密碼的配置，需要有正式的管理流程來進行控制，也就是說在配置的過程中必須實施所需的安全要求。

SA-03 資料安全
這項控制措施是要求組織的資料在不同系統、途徑及第三方的交換過程中，必須建立確保資料安全與完整性的政策和程序，以便遵守法律法規與合約的要求，同時避免資料受到不當的揭露、竄改與銷毀。

對此，可以參考ISO 27001附錄「A.10.8.1 資訊交換政策和程序」，要求組織的資訊交換，都需要依照所定義的管道和方式來進行。為了確保資料安全，也可依照「A.12.5.4 資料外洩」之要求，在系統上線前進行系統掃描，確認是否有不當的訊息外送或開放的傳輸埠，另外也要監測系統資源的使用與網路活動，以防範資料洩漏的事件發生。

SA-04 應用程式安全
這項控制措施是要求應用程式需依照業界認可的安全標準如OWASP來進行開發，並且合乎適用的法規與商業要求。針對應用程式安全，在ISO 27001附錄「A.12.6.1技術脆弱性控制」中提到，因為資訊系統本身並非十全十美，也就需要定期或及時地加以修補，這項控制措施要求組織應及時取得和弱點有關的資訊，並採取對應的行動來降低因已被公布的安全弱點，而遭受到不必要的攻擊。

SA-05 資料完整性
這項控制措施是針對資料的輸入與輸出，對應用程式介面和資料庫實施完整性檢查，以避免資料受到手動或系統執行錯誤所造成的問題。對此，可參照「A.12.2.1 輸入資料確認」之要求，針對所輸入的資料，在內容上面可加以限制，例如價格欄位只允許輸入數字、身分證字號只允許輸入10個字元等，透過對於數值的範圍、資料完整性、資料量及有效字元等的偵測，可避免像是資料隱碼（SQL Injection）或緩衝區溢位（Buffer Overflow）等常見的攻擊。

SA-06 生產與非生產環境
這項控制措施是要求生產與非生產的環境應被區隔，以保護資產不會受到未經授權的存取與變更。在實施方面，可參照ISO 27001附錄「A.10.1.4 開發、測試與運作環境的區隔」，要求組織針對應用程式的開發，勢必要備妥開發流程、測試和上線運作的程序文件。同時，所使用的資訊軟硬體設備，也要加以適當的區隔，不可在同一個環境上進行，也不將資訊存放在相同的儲存媒體中。

SA-07 遠端使用者之多因素認證
在雲端服務之中，使用者的身分可決定其使用的服務內容，因此在身分驗證方面，這項控制要求所有遠端存取的使用者，都必須使用多因素認證，包括像是登入管理介面、創建金鑰、存取多個使用者帳號、防火牆設置及遠端存取等。

在實施方面，可參照ISO 27001附錄「A.11.4.2 外部連線的使用者鑑別」，要求當使用者從外部網路連回使用相關服務時，需要採用適當的鑑別方法，確認使用者的身分以便進行存取控管。目前最常見的作法是採用VPN方式，以使用者帳號、密碼和Token進行身分驗證，在建立安全加密的通道之後，才允許其使用網路服務。

SA-08 網路安全
這個控制措施是要求針對信任與非信任區域的網路，應該被設計為可限制彼此的連結，並以文件化方式記錄所有服務的用途和被允許使用的網路協定與連接埠，也包括了針對不足之處所實施的補償性措施。另外，在網路架構圖上面，應清楚定義高風險的環境和資料流經之處，以降低可能違反法規之衝擊。

對此，可參考ISO 27001附錄「A.11.4.1 網路服務的使用政策」之內容，要求組織制訂有關網路服務和使用的安全政策，規範使用者只能存取已獲得授權的服務，並且在政策中說明像是有哪些網路服務是允許使用者來存取的、申請使用和授權的程序、可允許存取的方式，以及所採取保護網路連線和服務的安全管理機制等。

SA-09 環境區隔
這個控制措施要求系統和網路環境必須使用防火牆進行區隔，以確保能夠遵守以下的要求。 1. 業務與客戶之要求
2. 安全要求
3. 法律、法規與合約之要求
4. 生產與非生產環境區隔之要求
5. 敏感資料之保護與隔離要求

針對網路的安全管理，可參考ISO 27001附錄「A.10.6.1 網路控制措施」的內容，利用資安設備像是防火牆、入侵偵測系統、VPN等，以保護網路連線服務不會受到惡意的入侵和存取。對於敏感性資料，則可以依據「A.11.6.2 敏感性系統隔離」來要求敏感性系統需要有專屬的作業環境，以避免其他未經授權的人員可以操作使用。

SA-10 無線安全
這個控制措施要求對於無線網路的安全，應建立相關的政策與程序，並實施以下的安全防護作法：

部署邊界防火牆來限制未經授權的網路流量。
啟用安全的組態配置如加密與身分驗證措施，修改廠商預設的加密密碼和SNMP等設定。
只限經過授權的人才可使用無線網路。
有能力偵測偽冒的無線基地台，並且能夠及時的阻斷連線。

對於網路服務的安全，可依照「A.10.6.2 網路服務的安全」之要求，識別無線服務所屬的安全等級，以便採取對應的控管方法，包括制定申請使用程序、可連線的方式、身分識別方法及所採取的加密措施等。

SA-11 分享的網路
在組織之中，隨著規模的擴大以及資訊服務的增加，網路環境也顯得愈來愈複雜，若沒有實施良好的管理，資訊的傳遞、儲存、使用可能會危及本身的機密性、完整性和可用性。因此，這個控制措施要求使用分享的網路基礎設施時，應依據安全政策、程序和標準的要求，只限於已取得授權的人員。對於和外部單位分享的網路，應以文件化方式規劃所需的補償性控制措施，使其和組織本身的網路能有所區隔。

至於文件化的政策方面，可參考ISO 27001附錄「A.11.1.1 存取控制政策」，依照營運相關的存取安全要求來建立文件化的存取控制政策，藉此明確地說明每位使用者和使用群組如何配置所需擁有的存取權限。另外，針對網路的隔離，「A.11.4.5 網路區隔」提到的作法是可採取虛擬網段（VLAN）的方式，透過網路交換器、路由器、防火牆等設備，依照不同網域的安全要求來加以分割，以確保網路流量的區隔和安全邊界的劃分。

SA-12 時間同步
為了確保日誌記錄的有效性，正確的時間設定是非常重要的一環，唯有各項系統的時間維持一致，才能去作分析與追蹤。這個控制措施是要求組織中所有與雲端服務有關的系統，必須使用來自可信賴的資源，並且定義所在的安全區域，以便同步整合所有系統的時間。

對此，可參考ISO 27001附錄「A.10.10.6 鐘訊同步」，採行實務上最簡單的方法，也就是使用NTP的通訊協定與國際標準時間或當地標準時間伺服器來進行同步對時，確保使用了共同的時間來源。

SA-13 設備識別
這個控制措施要求對於提供雲端服務的各項設備，必須要有能力可以彼此自動地識別與連結，對於已知所在地點的設備，可透過地理位置感知技術，以強化連結時的安全驗證。

在ISO 27001附錄「A.11.4.3 網路設備鑑別」中提到，組織若想限制來自特定地點或設備的網路連線，最好是採取自動設備的識別方法，以鑑別連線的設備是合法且經過授權的裝置。實務上最容易採取的方式，是識別網路設備的MAC Address和網路IP，尤其是目前普遍使用的無線網路，相關行動設備皆建議採取此種方式來進行識別，若再配合使用者的身分鑑別，則可以大幅提高其安全性，避免受到惡意人士採用偽冒身分的攻擊。

SA-14 稽核記錄與入侵偵測
這個控制措施是要求包括特權使用者的存取行為、已授權與未授權的存取要求、系統例外和資安事件等，應依據所制定的政策要求來加以記錄。稽核記錄應當每日進行檢視，並且部署檔案完整性檢測和入侵偵測系統，以確保能夠即時地監控並分析事故發生的原因。有關稽核記錄的實體與邏輯存取，也只限於經過授權的人員才可進行。

在ISO 27001附錄「A.10.10.1 稽核存錄」中提到，無論是資訊系統、資安設備、資料庫或應用程式等，每天都可能會產生大量的系統日誌（log），這項控制措施的目的，就是要保留使用者的活動記錄、異常事件的告警等，以便可以用來找出事件可能的發生原因，甚至還原事件發生的過程。所以在實務方面，建議日誌記錄必須要保存適當的一段時間，至於應該保留的事項包括：

事件發生的日期、時間。
所使用的帳號和使用行為如登入和登出等。
系統存取成功或失敗的記錄。
系統組態的變更項目和範圍。
系統工具程式的使用情況。
所存取的檔案類型和方式。
網路IP和使用的通訊協定。
系統異常事件的告警等。

SA-15 行動碼
行動碼是指可以跨越不同平台設備使用的程式，像是ActiveX、Java、Flash等，這個控制措施是要求行動碼在安裝、使用和配置之前，應先取得管理者的授權，並且確保將根據既定的安全政策來執行，也就是必須能夠防止未經授權的行動碼的使用。對此，可參考ISO 27001附錄「A.10.4.2對抗行動碼的控制措施」之要求，實務上最常使用的管制方式是提高瀏覽器的安全等級，以避免使用者有能力直接執行有害的惡意程式。

總結

雲端服務牽涉到基礎設施的維護、系統的穩定及資料的安全等，對雲端服務供應商而言，要如何展現有效的安全管理並取得使用者的信任，往往是決定服務好壞的關鍵要素。雖然目前仍缺少一個雲端安全的國際標準，但透過雲端安全聯盟的努力與推廣，包括所提出的雲端安全關鍵指南、雲端控制矩陣和STAR認證等，也已受到業界的肯定。因此，如果能夠實施其所建議的各項要求，相比之下，更能夠具體地說明服務供應商對資訊安全的重視與決心，也能夠為廣大的使用者提供更安全的雲端服務。(本文刊載於2014年2月號網管人雜誌)

[專欄] 雲端控制矩陣安全措施簡介(七) - 留心發行管理安全要求災難復原計畫更不可少

Sun, 11 May 2014 23:35:00 +0000

上一篇說明了在雲端控制矩陣之中，有關法律議題與營運作業時應實施的安全要求，並且要從整體雲端服務的角度來評估可能的風險，本期將說明有關發行安全管理和災難回復能力之要求。

在雲端控制矩陣中的第九項是有關發行管理的要求，它是針對雲端服務的營運中，評估是否存在相關的變更管理流程與機制，一旦與雲端服務有關的事項有所變動時，服務供應商必須要有能力識別並且實施計畫性的更動，同時也要評估發生災難時可能帶來的衝擊，以及擬定必要的復原程序。以下將說明發行管理中的5個控制措施，以及所對應ISO 27001的標準內容與實務建議。

發行管理之安全要求

RM-01 新開發與取得要求
這項控制措施是要求對於新的應用程式、系統、資料庫、基礎建設、服務、操作和設施的開發或取得，必須建立管理授權的相關政策和程序，也就是在一開始評估與規劃時，即考量所需的安全要求。在ISO 27001標準中，可參照「A.12.1.1安全要求分析與規格」之要求，了解新的資訊系統對組織整體營運的重要性為何？評估系統萬一失效或受到入侵時可能產生的安全風險？所需要的資安防護層面有哪些？如果系統本身無法達到所需的安全強度，是否可尋求其他的配套措施來降低風險？

另外，在「A.6.1.4資訊處理設施的授權過程」中提到，組織大都會採購資訊相關設備，並且給予員工在作業時使用，為了確認這些新設施能夠符合資訊安全的要求，因此有關資訊設備的使用，必須先取得管理階層的核准，換句話說，組織應明訂此一授權程序和流程，才可確保符合了資安政策的要求。

RM-02 生產之變更
如果組織所提供的雲端服務，需要進行與生產環境有關的變更，變更的項目一般包括了軟體和硬體，像是應用程式、系統、資料庫、網路裝置等，可能變更的內容則涵蓋了安裝修補程式(patches and service pack)和其他的更新與修改，因此這項控制措施要求在變更進行之前要先獲得主管授權，採取文件化方式的流程並且進行測試。

有關的生產變更之要求，可以參考「A.10.1.2 變更管理」，以確保和資訊處理設施與系統有關的變更事項，都能夠受到妥善的管理控制。實務方面，除了所有的變更內容務必要取得主管的授權之外，特別要注意的是務必保存相關的變更記錄，包括作業核准的程序、重大變更事項的識別和記錄、變更規劃與測試計劃，以及在變更失敗時，如何中止並進行復原的程序等。

此外，在「A.12.5.1 變更控制程序」中也提到，針對資訊系統的變更，需要制訂正式的變更程序才可進行，也就是說重點在於整個過程都需要有適當的監控，因此最好的作法是有文件化的變更作業程序，同時依據之前A.10.1.2變更管理的相關要求來實施。

RM-03 品質測試
這項控制措施是要求組織中所有的軟體開發，都必須建立系統化的監督和評估計畫，以確保達到品質標準的要求。針對資訊系統的更新和版本變更，都要以文件化方式進行，在系統開發和被採用之前，也都要事先進行安全測試。管理階層需要有足夠的能力來監督品質測試的過程，以確認符合當初的開發目的，並且在釋出上線之前解決可能發生的問題。

對此，可以參考「A.10.1.4 開發、測試與運作環境的區隔」之要求，也就是應分隔在開發、測試和運作所使用的資訊設施，以避免因設備的誤用或資訊的不當修改，而產生不必要的風險。在實務方面，針對應用程式的開發，務必要備妥開發流程、測試和上線運作的程序文件，同時，所使用的資訊軟硬體設備，也要加以適當的區隔，不在同一個環境上進行，也不將資訊存放在相同的儲存媒體中。特別是要避免使用正式的上線環境和營運資料進行測試，以免影響日常的營運。

在系統完成更新之後，可依照「A.12.5.2 作業系統變更後的應用程式技術審查」之要求來進行審查測試，以確認不會影響到組織的作業或其他關鍵系統。換句話說，只要有系統進行了變更作業，就要對應到後續的技術審查過程，而且所有更新作業與運作情況，都需要留下適當的記錄才行。

RM-04 外包之開發
這項控制措施是要求針對所有外包軟體之開發，必須建立系統化的監控與評估計畫，以確保符合品質標準之要求，同時所有外包的軟體開發，都應受到組織的管控和安全要求，包括了開發環境需經過合格人士的獨立審查，開發人員需接受安全認證訓練，以及進行原始碼的檢測等。至於相關的安全認證則要符合ISO 17024之認證規範，或是符合當地法定認可機構所頒發的執照與認證。

針對此項安全要求，在「A.12.5.5 委外的軟體開發」中提到，服務供應商若選擇委外廠商來進行軟體開發，就必須要加以適當的監督，確認其遵守了組織的安全政策，這部份同時可參照「A.10.2第三方服務交付管理」的要求，實務上更建議組織應將安全要求明列在所簽訂的委外合約之中。

RM-05 未授權的軟體安裝
這項控制措施是要求應建立政策和程序，並且實施相關作法來限制未授權的軟體安全。對此，可參照「A.10.4.1 對抗惡意碼的控制措施」之要求，制定正式政策來規範使用者不可任意自網路上下載安裝未經授權的軟體，並實施教育訓練讓使用者有足夠的認知，以避免來自網路和電子郵件等惡意程式的入侵。同時也可依據「A.11.6.1 資訊存取限制」之要求，遵守所制定的存取控制政策，確保只有符合擁有存取權限的人員才可存取系統。

災難回復之安全要求

雲端服務的運作，除了必要的安全管控措施之外，還需要更進一步思考可能發生的潛在危機和災難，藉此來提早防範於未然。在雲端控制矩陣之中，對於雲端服務的災難復原事項，也提出了以下8個的安全控制要求。

RS-01 災難復原之管理計畫
在實務方面，有關業務持續與災難復原的政策、流程和程序，應依據組織的業務、法令法規及合約的要求來制訂完成，將預期到的可能災難風險，降低至可接受的水準，並透過預防與復原的措施，減少災難對於組織的衝擊與影響。組織的復原管理計畫，應與組織業務所有相關人員進行溝通，並且發佈給這些人員，將它存放在災難發生時易於被取得的地方。

在標準方面，可以參照ISO 27001附錄「A.14.1.1 將資訊安全納入業務持續管理流程」，要求組織依照業務所需的資安要求，發展和維持整體的業務持續管理流程，也就是需要去識別和業務有關的關鍵活動，以及支持這些關鍵活動所需的資產，例如人員、場地、資訊、技術、供應商、利害關係人等，組織必須充分地了解這些資產所需的安全要求，以及這些資產可能引起營運中斷的風險，評估其可能造成的衝擊，然後再選擇適當的控制措施。

RS-02 衝擊分析
對於可能造成組織營運中斷的風險，必須以文件化方式來定義其可能的衝擊，這項控制措施提到的相關作法包括了：

識別關鍵產品與服務
識別支持關鍵活動所需的作業流程、應用程式、業務夥伴及第三方的服務供應商。
了解對關鍵產品與服務的威脅
對於計畫或非計畫中的中斷事件，依時間變化決定其對組織的衝擊影響。
建立最大可容忍的中斷時間(MTPD)
建立復原的優先順序
建立回復關鍵產品與服務的目標時間(RTO)
評估復原活動的所需資源

針對這項控制要求，可參照「A.14.1.2 業務持續與風險評鑑」，要求組織必須識別可能導致營運中斷的事件，研判其可能發生的機率，評估可能造成損害的等級，以及對組織的衝擊和影響。一般而言，由資安事件引發的系統錯誤、設備失效、天然災害等問題，多數能夠藉由風險評鑑加以識別，並且依其損壞程度和復原時程，判斷如何恢復至正常運作的水準。

所以在進行規劃時，建議最好由業務活動和資源的擁有者來參與，才能完整的識別出正常營運所需的資源、可容忍的中斷時間及復原的順序，如此也才能識別出各項風險，進而決定組織業務持續管理的整體作法，避免落入過度偏重在添購資訊設備的備援情境中。

RS-03 業務持續計畫
這個控制措施是要求雲端服務供應商，必須建立業務持續計畫的框架，並以文件化方式確保和組織的資訊安全要求維持一致。

業務持續計畫的內容包括了：

定義目標和範圍，並與相關附屬要求保持一致
讓需要使用的人容易理解並取得
指定負責人以便進行更新、審查及核可
定義溝通的管道、人員角色與責任
詳細描述復原程序、人工作業方式與所需的資訊

對此，可參考「A.14.1.3 發展與實作包括資訊安全的持續計畫」之內容，要求針對各項可能造成營運中斷的風險，建立對應之維持或恢復運作的計畫，以確保在一定時間內達到資訊可用的要求等級。所以，建議組織在規劃時需考量可以接受的服務中斷時間，還有可供使用的人力、物力等各項資源。

另外，「A.14.1.4 業務持續計畫框架」中也提到，業務持續計畫需要確保一致性，也就是實施時務必要依照組織的整體作法，例如在每一份計畫中都會涵蓋特定的計畫擁有人、聯絡清單、啟動條件、緊急程序等，這些就是所謂的框架，依照這些項目來建立各項業務持續計畫的內容，同時明訂測試與維護的優先順序。

RS-04 業務持續之測試
這個控制措施要求業務持續計畫必須在規劃時，或是組織與環境有重大變更時需進行測試，以確保計劃的有效性。在實務方面，可以依據「A.14.1.5 業務持續計畫的測試、維護及重新評鑑」，要求所有的業務持續計畫，都需要定期測試與更新，以確保計畫內容與作法，符合當下的真實環境。因為對組織而言，或許無法同時完整測試所有計畫，但應規劃其測試時程和方法，再視情況選擇採取紙本演練、狀況模擬、技術測試或完整演練等，確保在災難發生時，能夠依照預先設想的步驟來執行，以達成業務持續的目標。

RS-05 環境的風險
這個控制措施是要求自然發生的災難或是蓄意的攻擊，都應該要進行事先的預測、規劃及實施對應的控制措施，對此，可參考「A.9.1.4 保護來自外部與環境的威脅」中提到，利用適當的實體防護，以降低外在的環境威脅，如火災、地震、水災等的侵襲影響。

RS-06 設備之所在地
這個控制措施是要求為了減少來自環境的威脅，以及未經授權存取的風險，針對設備的所在地需要實施控管，並且在合理的距離之外設置備援設備。針對設備的問題，在「A.9.2.1 設備的設置與保護」中提到，資訊相關設備應適當地進行安置、保護及監控，以降低環境威脅所造成的損害，或是受到未經授權的存取。舉例來說，像是電子產品須要受到良好的環境溫溼度監控；操作資訊系統時，應有適當的遮蔽來避免敏感資訊的外洩，例如機房就最好不要採用完全透明的玻璃作為隔間來使用。

RS-07 設備電力之失效
這個控制措施是要求對於設備運作所需的公用服務，例如電力失效和網路中斷等，需要採取安全防護和備援設施。對此，可參考「A.9.2.2 支援的公用事物」之要求，在機房部署不斷電系統。但要注意的是，若面臨長時間的電力中斷，不斷電系統應確保足以循序地將重要主機進行關機，若要確保能夠持續運作，則要考量是否有獨立的備援電力供應站，或是使用燃油發電機來運作，而除了電力之外，電信與網路系統也要有備援，以確保在中斷期間的通訊能夠正常運作。

RS-08 電力與通訊
這個控制措施是要求針對通訊線路和電力纜線應提供適當的保護，避免其受損而導致服務中斷，並且要設計替代的線路或取得其他的電力來源。對於電力與通訊的問題，在「A.9.2.3 佈線的安全」中提到，傳送資料與電力的纜線應有適當的標示、固定及保護，建議設於地下或其他已受到適當防護的管道，尤其要避免經過公共區域。另外，電力與網路線也要作適當的阻隔，以避免相互干擾而造成資料傳輸的問題，以上這些都是實務方面可以因應的參考做法。(本文刊載於2014年1月號網管人雜誌)

[專欄] 雲端控制矩陣安全措施簡介(六) - 注意法律與作業管理風險管理是重要關鍵

Sun, 04 May 2014 14:50:00 +0000

上一篇，我們說明了雲端控制矩陣中，關於資安事故回應處理、網路安全控制，以及行動裝置與原始碼存取之管控，本期將繼續說明在雲端控制矩陣中，有關法律議題與營運作業時應實施的風險管理。

在雲端控制矩陣中的第六項是有關法律的議題，主要是針對雲端服務中的人員與服務內容，希望藉由書面協議的正式簽署，確保雲端服務能夠符合組織的安全要求。以下將說明法律議題中的2個控制措施，以及對應ISO 27001的標準內容與實務建議。

因應雲端服務法律議題

LG-01 保密協議
對雲端服務供應商而言，為客戶所提供的各項雲端服務，資訊安全肯定是客戶會關注的重要問題，尤其是服務內容所涵蓋的項目，若是包括了重要資料的儲存和處理，那麼可能接觸到這些資料的人員，就需要擁有足夠的安全意識與技能，才可妥善地確保資料的安全。

這項控制措施是要求針對組織中需要受到保護的，或是與營運相關的資訊，應該被識別並採取文件化的記錄，同時也要求相關人員必須簽署保密協議，並且定期地進行審查。針對保密協議的簽署，在ISO 27001標準中，可參照「A.6.1.5機密性協議」之要求，對於敏感性的職務工作，可以由法務部門會同人事部門，制訂保密政策和程序，據此要求人員簽署保密協議。但協議內容必須能夠反映內部資安政策的要求，因此也要配合定期審查對各項資訊保護的要求，再將其更新至保密協議的內容之中。

LG-02 第三方協議
如果所提供的雲端服務，需要依靠第三方所提供的資源或技術協助，那麼與第三方所協議的相關內容，就會直接或間接地影響雲端服務供應商的營運。因此，有關資訊的處理、存取、傳輸、儲存，以及資產和服務的管理與終止等，在協議內容中就要包括資訊安全要求與資訊的完整性控制，以避免資訊受到不當的揭露、竄改及損毀。

對此，可以參考ISO 27001附錄「A.6.2.3 第三方協議中的安全說明」之要求，也就是在與第三方所簽定的協議與合約之中，必須明訂組織的資訊安全要求、應遵守的相關法規，以及在違反時應負的法律責任等。

規畫進行雲端作業管理

雲端服務的運作，有賴組織中各個階層人員的參與，包括由管理階層來制訂相關政策與程序，透過雲端服務小組的協同運作，技術人員規劃資源運用與設備的維護等，這些都需要有效的作業辦法，才能滿足客戶的需求，並且達到營運的目標。在雲端控制矩陣之中，對於雲端服務的作業管理，也提出了以下幾項的控制要求。

OP-01 作業管理之政策
實務方面，在雲端服務尚未運作之前，管理階層應會同人事部門，針對雲端服務所需的作業人員，定義其工作角色與執掌，並且確認此項工作所需的專業技能、工作經驗與人格特質，以便招募所須的作業人員。

在標準方面，可以參照ISO 27001附錄5.1所提到的兩項控制措施，如A.5.1.1要求資訊安全政策應經由管理階層的核准，並且公布傳達讓所有員工和相關的內外部團體知道，實作方面，在這份資訊安全政策中，除了傳達管理階層對於資訊安全的支持，確保資訊安全與組織營運目標的一致性之外，也需要說明資安的重要性與實施範圍，以及相關人員的職責。A.5.1.2則是要求資訊安全政策若發生重大變更時，也需要進行審查，以確保內容持續地適用充分和有效，因此這份政策，必須配合雲端服務的環境、業務型態、法律合約要求和技術更新等事項，進行持續的修訂與發行。

OP-02 作業管理之文件化要求
在作業管理中，所謂的標準作業程序(SOP)，是指有正式的文件化記錄，並且經過管理階層審查核可的內容，才能用於實際的作業環境。所以在雲端服務之中，有關系統組態、安裝與操作，還有所包括的安全功能與管理員的操作指引、系統架構圖等相關文件，都應採取文件化方式建立起來，並且交付給已被授權的作業人員，根據此一標準作業程序來進行各項工作。

針對這項要求，可參照ISO 27001附錄「A.10.1.1文件化作業程序」，只要是與資訊系統活動和作業有關的程序，包括通訊設施的使用、電腦開機與關機、備份方式、資訊設備維護、資訊儲存媒體使用和機房作業管理等，都以文件化方式來呈現，並且讓相關人員在需要的時候即可馬上取得，以便遵照其要求的標準作業程序來進行。

OP-03 容量與資源之規劃
這個控制措施是要求針對各項資源的可用性、品質及所需的容量，依照法規、合約與業務要求來實施規劃與量測，同時也要考量有足夠的能力，因應未來服務系統可能過載的風險。對此，在ISO 27001附錄「A.10.3.1 容量管理」中提到，管理人員需要預作規劃準備，評估未來可能成長的資料量，來添購所需的儲存媒體和設備，以避免因為容量不足的問題而導致系統服務的中斷。

OP-04 設備裝置維護
這個控制措施要求雲端服務供應商對於設備裝置的維護，需要建立政策與程序，以確保各項服務作業的持續與可用性。在實務方面，可以依據ISO 27001附錄「A.9.2.4 設備維護」，要求相關的資訊設備應定期自行維護或尋求廠商協助，相關的維護也需要留下適當的紀錄，以便定期地進行追蹤查核。而實施維護的外部人員，應該事先經過申請與核准，在實際作業時也要有適當的人員來陪同。

有效落實雲端風險管理

在ISO國際標準之中，計劃(Plan)、實施(Do)、監督(Check)、改善(Act)是確保持續營運與降低可能風險的最佳實務架構。因此，組織在管理有關雲端服務的工作時，若能秉持PDCA的精神，並且融入在各項作業程序之中，就能夠降低風險並且讓服務品質更加地精進。在雲端控制矩陣中對於風險管理，也提出了以下五個重要的控制要求。

RI-01 風險管理之計畫
對於雲端服務可能隱含的風險，組織應發展或維持一個風險管理的框架，讓風險可被降低至可接受的水準。對於此項要求，可參考ISO 27001本文4.2.1所提到，依據組織營運、組織、所在位置、資產和技術等特性，定義出資訊安全應受到適當控管的範圍，例如可以部門、系統、業務項目或實體環境來定義所要實施風險控管的範圍，並且建立所需的風險處理計畫。

RI-02 風險管理之評鑑
針對與組織營運有關的風險，這項控制措施要求應至少每年一次進行正式的風險評鑑，以質化或量化的方式，識別所有可能發生和造成業務衝擊的風險。組織可以透過稽核的結果、威脅與弱點分析，以及法規的要求等，建立風險管理的全貌，掌控組織可能隱含或殘餘的風險。

在實務方面，建議參照ISO 27001本文4.2的條款內容，界定組織的風險評鑑作法，並定義風險可以接受的等級。在標準之中對風險評鑑方法的要求，在於風險評鑑後所產出的結果，必須是可比較且可再產生的，換句話說，風險評鑑的方法，必須能夠重複地使用，尤其是在不同時期所進行的風險評鑑，其結果都可用來進行相互分析比較，作為未來風險處理與改善的參考。

RI-03 風險管理之消除與接受
一般來說，風險評鑑的過程是從識別可能的風險開始，再依據其發生的可能性與衝擊，計算出風險值並賦予其適合的風險等級，最後選擇可實施的風險控制措施，以降低風險至可以接受的水準。這項雲端控制即是要求所有風險都需要控制至可接受的程度，而可接受的風險水準，則是基於合理的時間處理與管理階層的核可。對此，ISO 27001本文的4.2條款提到，在完成了風險處理之後，所殘留下來的剩餘風險，都必須要取得管理階層的授權與核可，整個的風險處理過程才算完成。

RI-04 風險管理之業務與政策改變衝擊
雲端服務供應商在完成了風險評鑑之後，風險評鑑的結果應該要更新至安全政策、程序與相關的控制措施，以確保其持續的有效。在ISO 27001方面，此項控制可參照ISO 27001本文的4.2.1條款，在制定政策的時候，就需要考量營運與相關法規的要求，還有合約中所制定的資訊安全責任，像是法律要求必須要保障個人隱私、保護重大營運資訊，或是合約中要求必須保護客戶資料等，這些都是設定資安目標時的重要依據與參考。

因此，定期實施的風險評鑑，可為組織政策的修訂與更新，提供了一個有效的輸入來源，也就是說，依據風險評鑑的結果，可以進一步更新政策要求，以確保各項風險受到了良好的管理。

RI-05 風險管理之第三方存取
在雲端服務中有關第三方的存取行為，是一項明顯可識別的風險來源，在雲端控制矩陣裡，要求所有存取組織資訊系統與資料的行為，都應該被識別監控，同時評估若有不適當的存取時，可能帶來的業務風險與衝擊。換句話說，在提供這些服務供第三方存取之前，就要優先實施補償性的控制措施，以降低存取行為的安全風險。

在ISO 27001方面，可以參考附錄「A.6.2.1與外部團體相關的風險之識別」，要求透過風險評鑑的過程，找出外部團體對組織資訊的處理和使用時，可能存在的資訊安全風險，像是可存取的資訊類型、人員的識別與授權是否適當等。另外，也可參考「A.8.3.3 移除存取權限」，要求所有員工、承包商和第三方使用者，對於資訊、資訊處理設施的存取權限，應在聘僱、合約或協議終止時移除，或依變更進行調整。

最後，還可依據「「A.11.1.1 存取控制政策」，基於營運相關的存取安全要求和使用者可能接觸資訊的安全等級，以文件化的存取控制政策，說明如何去配置其存取權限，並以組織整體的營運風險作為優先考量。(本文刊載於2013年12月號網管人雜誌)

[專欄] 雲端控制矩陣安全措施簡介(五) - 小心處理資安事故管理與技術雙管齊下

Sun, 06 Apr 2014 11:12:00 +0000

上一期，我們說明了雲端控制矩陣中，關於資安教育訓練、管理者與使用者安全責任、加密與金鑰管理，以及漏洞修補和防範惡意程式等控制措施，本期將繼續說明在資安管理控制項目中，剩下的各項安全要求。

在雲端控制矩陣中的第五項「資訊安全」，它是整體雲端服務的管理重點，一共包含了34個控制措施，以下將說明第22至34個控制措施的要求，以及其所對應的ISO 27001標準內容和實務建議。

IS-22 資安事故管理
對組織而言，面臨和資訊安全有關的事故時，勢必要有適當的應變處理方法，這項控制措施即是要求與資安相關的事件，應建立政策和作業程序，並且進行分類和及時因應，以建立起完整的事故管理機制。

如果組織已導入ISO 27001標準，則可參照「A.13.1.1 資訊安全事件通報」之要求，建立正式的資安事件通報程序，以便相關人員能透過適當的管道，快速將資安事件回報給管理人員，以便及時因應與指示處理。通常一個完整的通報程序，包括要指定一個正式的聯絡人和代理人，並提供文件化的資安事件通報程序和表單，讓相關人員能夠依照事件通報指示，記錄和事件有關的重要細節，例如發生的時間、地點、系統錯誤訊息、監控指數，以及其他主觀判定異常的行為，以作為事件處理的依據參考。

IS-23 資安事故通報
一旦資安事件發生的時候，到底該由誰來負責通報？應該如何進行呢？其實這都有賴於事前建立完整的做法，在雲端服務中，這項控制措施要求針對合約承包商、員工和第三方的使用者，需要讓他們了解應即時通報安全事件的責任，並且要透過預設的溝通管道，符合法令、法規及合約的要求。

因此，組織需要建立適當的責任區分和作業程序，才能夠迅速有效地回應資安事件，對此，可參考ISO 27001附錄「A.13.2.1責任與程序」之要求，針對事件區分不同的等級型式，分別建立不同的因應辦法，例如針對單機的電腦中毒，就會有其需要通報的內容說明和處置，而針對來自網路的阻絕服務攻擊，在通報層級和處置方面，則會有顯著的不同。

IS-24 事故回應與法律準備
如果資安事故涉及到法律問題，組織就必須採取相關的法律行動，證明自己並無故意過失，或是對於惡意行為準備進行損害求償。在事故的後續處理方面，這個控制措施是要求針對可能採取的法律行動，應該要有適當的鑑識流程以保全證據，確認證據的蒐集、保存、報告皆能支持所採取的法律行動。

實務方面，可以參照ISO 27001附錄「A.13.2.3 證據的蒐集」的做法，針對資安事故過程進行蒐集、保存和提交相關的證據，以符合法庭在審判時的佐證要求。基本上，數位證據的蒐集是相當專業且不易進行的，因為數位證據本身很容易受到破壞和竄改，進而損及到證據應具有的證明力和證據力，所以可能需要委由刑事鑑識單位或合格的民間業者來進行。

IS-25 事故回應方法
這個控制措施是要求針對資安事故的類型、數量和損失，應建立可實施與監控的作法。針對這項要求，可參照ISO 27001附錄「A.13.2.2 從資訊安全事故中學習」，避免資安事故的效應擴大，在事先採取監督機制，監控資安事故的過程和所造成的衝擊，作為因應未來事故的依據參考。

IS-26 合理使用
這個控制措施是要求針對資訊資產的合理使用，應建立相關的政策和作業程序。對此，可參照ISO 27001附錄「A.7.1.3 可被接受使用的資產」之要求，對於和資訊處理設施有關的所有資產，其可被接受使用的方式規則，都應被識別、文件化和實施，並制訂相關的規範，例如網路和電子郵件的使用辦法、行動裝置的使用規定，以及USB隨身碟的申請與使用作業辦法等。

IS-27 資產歸還
這個控制措施要求組織在人員的異動和聘雇關係終止時，應事先定義適當的期間之內，要求員工、合約承包商和第三方使用者歸還因工作所持有的各項資產。在實務方面，可以依據ISO 27001附錄「A.8.3.2 資產歸還」，針對應歸還的資產，以清單檢核的方式來確認人員已歸還像是組織的門禁卡、電腦設備、軟體、作業手冊等，如果人員是使用自己的設備進行作業，也要確保其所儲存的資料已經交回，並且執行資料的清除。

IS-28 電子商務交易
如果雲端服務牽涉到電子商務的交易行為，這項控制措施要求針對經過公眾網路的交易資料，必須實施適當的加密防護，以避免資料受到未經授權的修改或揭露，防止詐騙事件的發生。

對於此項要求，可依據ISO 27001附錄「A.10.9.1 電子商務」，保護所有透過公眾網路所進行的電子商務活動，在實務方面，可以採用強健的身分驗證機制如雙因素認證，以及導入網站身分識別標章，讓消費者能夠清楚地識別。至於交易過程中所產生的資料，包括訂單、付款資訊、寄送地址等，這些客戶資料的存取方面也要有完整的授權流程，以避免資料受到不當的存取與利用。最後在網路傳輸方面，則可參考「A.10.9.2 線上交易」之要求，在連線過程中採用SSL加密機制或其他的加密通訊管道，要求使用安全的通訊協定，以避免交易資訊可能受到來自其他公眾網路的不當存取。

IS-29 稽核工具之存取
對於可使用在組織資訊系統的稽核工具，這項控制措施要求應有適當的限制和區隔，以避免系統存錄資料(log)受到不當的損害和濫用。

在實務方面，建議參照ISO 27001附錄的「A.15.3.2 資訊系統稽核工具的保護」，要求所有系統所使用的稽核工具，都必須要有適當的保護，以避免濫用或受到破解的情況發生。針對組織負責資訊系統稽核的人員，也必須要求具有獨立性，使用的工具也要和開發或運作中的系統分開，並且實施權限控管，必要時甚至可先從運作中的系統移除，以避免受到誤用。

IS-30 診斷與組態埠之存取
現今的資訊設備或系統，大都需要廠商提供定期的支援與維護，因此許多網路設備和電腦主機，都能設定組態埠並提供遠端診斷服務，如果其開放的組態埠沒有實施任何安全防護，就容易受到外來的入侵和未授權的存取。

為了防止系統診斷和組態埠受到不當利用，這個控制措施要求應限制只有經過授權的個人和應用程式，才能進行存取。實務方面可參考ISO 27001附錄「A.11.4.4 遠端診斷與組態埠保護」之要求，在設備方面採取上鎖和移除等方式進行，若是邏輯上的存取使用，則可透過文件化的作業程序，要求事先申請並確認身分之後才開放使用，而在診斷完成時，也應及時關閉相關的組態埠和服務。

IS-31 網路與基礎建設服務
針對網路和基礎建設服務方面，無論是自營或外包，這個控制措施要求包括安全控制、容量與服務等級，以及業務和客戶之需要，都要有清楚的文件化服務等級協議。

在ISO 27001方面，此項控制可參照附錄「A.6.2.3 第三方協議中的安全說明」，也就是在與第三方所簽定的協議與合約之中，必須明訂組織的資訊安全要求、應遵守的相關法規，以及違反時應負的法律責任等；也可參考「A.10.6.2 網路服務的安全」的內容，要求相關網路服務都需要識別其安全等級、使用程序及管理要求，包括了申請使用程序、連線方式、身分識別及所採取的加密措施等。

IS-32 可攜式與行動裝置
隨著可攜式與行動裝置使用的普及，也成為雲端資安的隱憂之一，這項控制措施是針對常見的設備包括筆記型電腦、行動電話、PDA等，以及高風險的資訊設備，都需要建立政策與作業程序，嚴格限制其有能力存取組織的敏感性資料。

在ISO 27001方面，可以參考附錄「A.11.7.1 行動運算與通訊」的要求，針對行動運算設施採取適當的安全控管，例如筆記型電腦等行動裝置採取硬碟加密，並避免留置在無人看管的地點。實務方面，雲端服務供應商也可明文禁止這一類的行動裝置可直接連接或存取與雲端有關的服務，以降低不必要的風險。

IS-33 原始碼存取之限制
對雲端服務供應商而言，應用程式或雲端資源原始碼的重要性無庸置疑，因此需要嚴格的限制原始碼的存取行為，這個控制措施是要求應限制只有職務上需要，並且已經過授權的人員才可進行，同時對於其申請存取的原因、方式和所存取的原始碼版本，都必須留下完整的記錄。

在ISO 27001方面，可以參照附錄「A.12.4.3 程式原始碼的存取控制」，針對原始碼所儲存的特定地點，建議做法包括了建立存取作業程序、設定存取權限、定期評估存放環境的安全等，即使是程式開發人員本身需要取得程式原始碼，也應事先經過授權，依照作業程序並保存相關記錄才可進行。

IS-34 工具程式之存取
針對系統的工具程式，這個控制措施要求可能越過系統、網路、物件及虛擬主機的控制行為，應該都要受到限制。對此，可參照ISO 27001附錄「A.11.5.4 系統公用程式的使用」，要求嚴格限制能夠跨越系統和既有應用服務等公用程式的使用。實務方面的建議是直接在使用者的電腦上移除這些工具，如果是系統管理人員，也需要經過授權才可使用工具程式，並且保留相關的變更記錄。

資安管理是雲端控制的基本功

在規劃有關資訊安全管理的策略時，經常會提到一個俗稱為「PPT」的思考架構，它是指人員（People）、流程（Process）和技術（Technology），也就是說在資安管理的要求方面，基本上皆會涵蓋此三個層面，包括需要依照組織營運目標與資訊安全政策，透過教育訓練來讓所有員工了解並落實其應有的安全責任；依照各單位業務屬性不同，訂立各項安全的作業流程，並留下相關的作業記錄；以及透過各項資安技術的協助，來偵測防禦可能來自內部與外部的各項威脅。

即使如今組織已採取了先進的雲端服務，這些基本的控制要求仍是不可或缺的，因為面對可能來自於內部與外部的各項風險，唯有審慎評估並提高警覺，才能夠防範於未然。換句話說，組織需要事先練好了基本功，擁有了良好的體質，才能夠有效因應各項資安事件的發生，這一點請組織管理階層務必牢記在心。(本文刊載於2013年11月號網管人雜誌)

[專欄] 雲端控制矩陣安全措施簡介(四) - 資訊安全管理與控制措施(2)

Tue, 21 Jan 2014 14:28:00 +0000

上一次，我們說明了雲端控制矩陣中針對資訊安全管理與控制的要求，並且解說了對應至ISO 27001的各項安全措施，由於此一項目所包含的控制措施內容較多，所以將分成三篇文章來說明介紹，本文將繼續解說在雲端控制矩陣中，有關資安管理控制的各項要求。

在雲端控制矩陣中的第五項「資訊安全」，它是整體雲端服務的管理重點，一共包含了34個控制措施。在這些控制措施之中，從高階管理階層的要求開始，同時也兼顧了技術面的安全要求，因此它能夠協助組織建立整體的資安管理架構，以強化所提供雲端服務的資訊安全，以下將說明第11至21個控制措施的要求和所對應ISO 27001標準的內容。

IS-11 資安教育訓練與宣導
從實務上來看，資訊安全的重點之一是要確保所有相關人員，都已具備足夠的安全知識來對抗可能的威脅，這個控制措施就是要求雲端服務應針對所有合約承包商、第三方的使用者和本身的員工，建立一項資訊安全教育訓練與宣導的計劃，尤其是針對有能力存取組織資料的人員，應要求其接受必要的安全訓練，並且定期地更新組織或職務有關的政策、程序及作業流程。

如果組織已導入ISO 27001標準，則可參照本文「5.2.2 訓練、認知及能力」之要求，確保和雲端服務有關的所有人員，都能接受適當的訓練以具備勝任其職務的必要能力，同時也要維持各項和教育訓練有關的記錄。另外，在附錄「A.8.2.2 資訊安全認知、教育與訓練」也提到，組織應定期依照員工所擔負的不同職務，實施一般性或專業的資訊安全教育訓練，協助員工能夠針對可能的資安事件作出適當反應，並且可採取問卷或考試評量方式，以確認教育訓練的有效性。

IS-12 業界知識與基準評價
雲端服務是一項新興的熱門產業，許多有關資訊安全的做法，不見得在所有的組織都已一一地實踐，因此，有效取得業界相關的安全訊息就顯得十分重要。這個控制措施即是要求組織應透過業者之間的從業關係、專業的安全論壇，或是有許多專家參與的協會，取得業界有關雲端安全的知識與評價方式，確保雲端服務能夠滿足業界的基準與使用者的期待。

在實務方面，建議組織可以加入業界的雲端產業聯盟，並且選派適合的人員參與定期舉辦的研討會活動。在ISO 27001則可參考附錄「A.6.1.7 與特殊利害相關團體的連繫」之要求，由於資訊安全的技術日新月異，所以組織需要經常聽取專家的意見，或是參與專業論壇以取得更新的資訊，盡可能與各種和資訊安全有關的利害團體、專家協會等，保持適當的連繫管道。

IS-13 資訊安全角色與責任
不同的雲端服務，將會有不同的人員牽涉其中，這個控制措施是要求包括合約承包商、員工及第三方的使用者，都要採取文件化方式，記錄和其相關的資訊資產和安全要求。在「ISO 27001本文5.1 (c)」中提到，管理階層應承諾建立資訊安全之各種角色與責任，另外，也可參考附錄「A.6.1.3資訊安全責任的配置」，管理階層需要指定各部門主管和個人的安全責任，並且界定各項資產的保護與作業流程，唯有執掌角色的定義清楚，才能夠履行所賦予的各項任務。

還有附錄「A.8.1.1 角色與責任」中也要求以書面的方式，說明新進人員的資訊安全責任，例如告知所需遵守的組織資訊安全政策、個人資料保護法、智慧財產權等相關規範，以及資安事件發生時的通報方式等。

IS-14 管理階層之監督
針對管理階層的責任，部門主管或經理對於所負責區域有關的安全政策、作業程序及標準要求，應負起宣導和要求共同遵守的責任。針對這項要求，ISO 27001本文「5.2.2 訓練、認知及能力」中提到，組織應確保被指定責任的管理人員，有能力去要求、評估工作人員足以履行其職務相關的各項工作，同時也要維持教育訓練、技能資格等之記錄。另外，附錄「A.8.2.1 管理階層責任」也提到，應要求員工、承包商和第三方使用者，依照組織所建立的政策和程序來履行安全事項。

在實務方面，也可參照「A.11.2.4 使用者存取權限的審查」，要求管理階層定期地針對使用者的存取權限進行正式的審查，因此，建議在存取控制政策中即明訂組織將定期（例如三個月或半年一次）在人員的職務變更之後，實施權限審查與重新配置，以維持對於資訊和系統服務存取的有效控制。

IS-15 資訊安全之權責區分
這個控制措施是要求在安全政策、流程及作業程序中，應納入實施和確保適當的職責區分要求，如果在某些情況中存在使用者角色的利益衝突，就必須要實施相關的技術控制，以消除組織的資訊資產，可能受到未經授權的更改與誤用濫用的風險。

在ISO 27001方面，可參照「A.10.1.3 職務區隔」之要求，避免某些工作職務皆由同一個人來進行(例如會計和出納)，以確保不會有人可以一手遮天，有能力侵佔款項後同時竄改紀錄。在實務方面，如果公司規模不大且人員數量不多，可能很難作到完全的職務劃分，這時候可以選擇其他的配套方法，像是妥善保存作業活動上的監視紀錄，以及經常實施獨立的安全稽核，並且配合實施人員的教育訓練等，盡可能的來降低資訊安全風險。

IS-16 資訊安全之使用者責任
除了管理階層的監督與要求之外，使用者也有其應盡的安全責任，在這個控制措施中提到，應該讓使用者意識並察覺其應有的安全責任，包括了遵守適用的法令法律與工作規定，維持一個安全的工作環境，以及離開工作區域時應妥善保護所持有的資訊資產。

在實務方面，可以參考ISO 27001附錄「A.11.3.1 密碼的使用」，要求使用者一旦獲得其系統使用的帳號密碼，在使用方面就必須按照組織要求的安全規定，像是避免使用不安全的懶人密碼，選用一定長度以上、大小寫數字混合的嚴謹密碼，並要求定期進行密碼的變更。

IS-17 資訊安全之工作區域
一般而言，工作區域屬於所有員工都要負起共同安全責任的地方，這項控制措施要求保護工作區域中可見並包含敏感資料的文件，以及所使用的資訊系統在閒置或未使用時應登出，並且也要明訂相關的安全政策與作業程序。對於此項要求，可依據ISO 27001附錄「A.9.1.5 在安全區域工作」，對於組織所劃分出的安全區域，制訂所需的安全工作規則，並對員工提供適當的說明，依職務了解其可以進行的相關活動。

此外，對於需要使用的無人看管設備，可依照「A.11.3.2 無人看管的使用者設備」來要求實施適當的保護，例如一些公共區域使用的電腦，在一定閒置時間或結束使用時會強制終止其現有連線，或是設定有密碼保護的螢幕保護程式，以避免受到未經授權的使用。

IS-18 資訊安全之加密
在雲端服務之中，資料本身的安全防護是無法忽視的重點，這個控制措施是要求對於儲存在資訊設備或媒體中的資料(例如檔案伺服器和行動裝置)，以及跨越不同系統或公用網路的資料傳輸時，必須依照訂定的安全政策與作業程序來實施加密。

對此，可參照ISO 27001的「A.10.8.3運送中的實體媒體」，要求對於含有敏感資訊的媒體，在進行運送時需要依照安全程序來進行，例如確認運送人員的身分、保留運送過程的紀錄、使用安全的運送方式等。另外，也可參照「A.10.9.2 線上交易」，在網路連線過程中採用SSL加密機制或其他的加密通訊管道，必須使用安全的通訊協定，以避免所傳輸的資訊會受到來自其他公眾網路的存取。

至於加密的政策方面，可參考「A.12.3.1 使用加密控制措施的政策」，針對與營運或是個人隱私有關的敏感資訊，依照組織的風險評鑑結果，制訂統一的加密政策，說明將會採取何種加密技術或控制方法來保護這些資訊。例如包括智慧型手機等行動裝置，或是可移除式的媒體像是行動硬碟、隨身碟等，針對這些設備的使用、授權方式及加密作法，都應該在相關政策或作業程序中加以說明。

IS-19 加密之金鑰管理
為了確保組織的加密機制能有效落實，這個控制措施是要求建立金鑰管理的相關政策和作業程序，實務方面可參考ISO 27001附錄「A.10.7.3資訊處置程序」，要求在組織之中，只要是和營運活動相關或敏感性的資訊需要處理，就應該建立其處理和儲存程序，以確保資訊不會受到不當的揭露和誤用。

另外，也可參照附錄「A.12.3.2 金鑰管理」，要求在金鑰管理的生命周期中，從金鑰產生、分派、儲存、更新、廢止到銷毀等，都要有完整的作業程序作為基礎，同時，只要是和金鑰有關的作業活動，都需要保留完整的記錄，以便進行後續的安全稽核。

IS-20 弱點與漏洞修補管理
針對應用系統和網路設備可能的安全弱點，這個控制措施要求應基於風險管理的作法，定期地評估並且及時地採取修補行動，以降低可能的安全風險，相關的實施作法，也應明訂在安全政策和作業程序之中。

在ISO 27001方面，可以參照「A.12.6.1技術脆弱性控制」的內容，要求組織能夠及時取得和弱點有關的資訊，並採取對應行動來降低因被公開的安全弱點而遭受到不必要的攻擊。實務的作法為建立一份完整的資訊資產清冊，詳細記載應用系統和網路設備的相關資訊，例如版本、廠商、部署狀態、負責人員等，並與廠商保持溝通連繫，以掌握可能的安全風險與現況。至於在作業程序方面，可參考「A.12.5.1 變更控制程序」，針對資訊系統的變更，必須制訂正式的變更程序才可進行，並且要求整個修補的過程，都需要有適當的監控並且留下記錄。

IS-21 防毒程式與惡意軟體
針對常見的病毒事件，這個控制措施是要求必須確保所有的防毒程式，都有能力去偵測、移除、保護未知的惡意攻擊，並且需要在每12個小時內，更新防毒程式的病毒碼。

在ISO 27001方面，則可參照「A.10.4.1 對抗惡意碼的控制措施」，在系統上安裝防毒軟體並定期地更新病毒碼，以確保防毒軟體能夠有效運作。此外，在政策方面，可要求使用者不可任意自網路下載未經授權的軟體並進行安裝，也要實施教育訓練讓使用者有足夠的安全認知，降低來自網路和電子郵件等惡意程式的入侵風險。(本文刊載於2013年10月號網管人雜誌)

[專欄] 雲端控制矩陣安全措施簡介(三) - 資訊安全管理與控制措施 (1)

Sun, 15 Dec 2013 13:46:00 +0000

上一次介紹了雲端控制矩陣針對設備場所與人力資源的要求，並一一說明了其對應ISO 27001的安全控制措施，接下來將繼續說明在雲端控制矩陣中，第五項控制區域有關資訊安全的各項要求。

在雲端控制矩陣之中，擁有最多項控制要求的控制區域，無庸置疑的就是第五項「資訊安全」，在這裡一共包含了34個控制措施。在這些控制措施之中，從高階管理階層的要求開始，一路走到了技術面的安全要求，基本上已涵蓋了組織整體的資訊安全管理架構，分別說明如下。

IS-01 資訊安全管理計畫
這個控制措施是要求針對資產的保護，必須防止未經授權的存取、揭露、修改、銷毀，以避免資料的外洩與誤用。因此，組織在經過管理階層的核可之後，需要建立一項資訊安全管理計畫(ISMP)，實施的範圍包括了管理面、技術面和實體環境面的安全措施，計畫的內容也應與組織的業務直接相關，它包括但不限於如風險管理、安全政策、組織資訊安全、資產管理、人力資源安全、實體與環境安全、通訊與作業管理、存取控制，以及資訊系統取得、開發與維護等。

如果雲端服務供應商已導入ISO 27001標準，則可參照本文「4.2 建立與管理ISMS」之要求，將雲端服務一併納入至ISMS的範圍之內，至於可參考的控制措施，則包括了「A.6.1.1–A.6.1.8」等，主要是針對內部組織來建立相關的資訊安全角色與責任。

IS-02 管理階層支持與涉入
這個控制措施是要求管理階層和直屬主管，應透過清楚且文件化的指示和承諾，明確地指派任務，並且確認任務執行後的情況，採取正式的行動來展現對於資訊安全的支持。在實務方面，有關資訊安全政策的更新，都應該要經過管理階層的簽署同意，並且分發告知所有的員工，員工則必須清楚地知悉之後來共同遵守。

另外，也可參照ISO 27001的本文「5. 管理階層責任」，以及附錄「A.6.1.1管理階層對資訊安全的承諾」中所提到，管理階層的支持是資訊安全管理制度能有效運作的重要關鍵因素，因此這項控制措施強調管理階層應該要在組織中，明確地指派並確認人員的安全責任，主動地支持各項安全工作，並提供所需要的資源。

IS-03 資訊安全政策
這個控制措施是要求管理階層應核可一份正式的資訊安全政策，並且發佈給全體員工、合約承包商和相關的外部夥伴知悉。在這份資安政策中，應建立明確的組織方向，並且和產業所適用的法令法規、業界的最佳實務相結合，同時資安政策也需要被組織的管理策略與領導計畫，以及明確定義人員角色的資安計畫所支持。

實務方面，可依據ISO 27001附錄「A.5.1.1資訊安全政策文件」，要求資訊安全政策應經由管理階層的核准，並且公布傳達給所有員工和相關的內外部團體知道。在這份資訊安全政策中，主要是傳達管理階層對於資訊安全的支持，確保資訊安全與組織營運目標的一致性，同時說明資訊安全的重要性、實施範圍、要求與目標，以及相關人員的職責。其中關於目標的部份，最好以量化的方式說明，例如為確保相關資安措施符合法令與法規的要求，組織每年應至少實施兩次的資訊安全內部稽核。

IS-04 資訊安全基準線之要求
在這個控制措施中提到，資訊安全之基本要求應被建立，並且實施在應用程式、資料庫系統、網路基礎設施的設計與部署，同時也要求資訊的處理必須遵守政策、標準和適用的法規要求。資訊安全基準線要求和法規遵循，至少每年一次需要進行重新評估，此外，在組織有重大變更時也應該要重新審查。

針對這項要求，可參照ISO 27001「A.12.1.1安全要求分析與規格」，要求在一開始評估規劃資訊系統時，就要將安全項目納入其中，除了從管理面進行風險分析之外，在技術面需要考量的項目包括系統是否具有可自動運作的控制措施，能夠偵測出系統的異常情況，或是具有輔助性的人工控管方法，可進行參數的調整來增加安全的強度。以及也可參照「A.15.2.2 技術遵循性查核」，要求定期採取技術性方式來查核各項資訊系統，例如組織可以使用自動化工具，針對網站進行弱點掃描，或採取手動方式，針對系統進行滲透測試，再提出網站的安全改善報告。特別要注意的是所有技術性的查核過程，都務必要事先取得授權，並且在適當的監督和記錄下，由專業人士來實施，以避免引起其他不必要的問題。

IS-05 資訊安全政策之復審
這個控制措施是要求管理階層應當在計畫的期間之內，或是當組織有變動時，重新審查資訊安全政策，以確保其持續的正確與有效。在實務方面，資安政策的復審期限應以不超過一年為限，並且在遇有重大事件或組織變動時，也需要額外進行重新審查。

在ISO 27001方面，可以參照「A.5.1.2 資訊安全政策之審查」之要求，若發生重大變更時，需要進行資訊安全政策的審查，以確保內容持續地適用且充分有效。這也就是說，資訊安全政策不單單只是一份宣示性的文件，而是必須配合組織環境、業務型態、法律合約要求和技術更新等事項，進行持續的修訂與發行，因此這一項控制措施的重點在於，組織可能會對政策內容進行修改，但也不要忘了更改內容之後，需要重新取得管理階層的核准，並且留下相關的審查記錄才行。

IS-06 資訊安全政策之執行
針對違反資訊安全政策和程序的員工，應建立正式的懲戒或獎懲政策，同時也必須在政策和程序中陳述說明，讓員工能夠知曉若違反規定時，可能會面臨的懲處行動。

實務方面，如果發現了不當的行為，就要引發後續的調查行動，若發現屬實則要給予相關人員適當的懲處，在嚴重時甚至可終止工作合約，並交由人力資源部門進行後續的協調傳達。若是依據ISO 27001之要求，則可參考「A.8.2.3 懲處過程」中提到對違反安全的員工，應有正式的懲處過程。這項控制措施的重點，在於組織是否公布懲處的程序與方式，是否以正確、公平的方式蒐集客觀的證據，以證明員工違反安全規範，對於嚴重的不當行為，也可允許管理人員解除其職務，或要求其離開辦公作業場所。

IS-07 使用者存取政策
針對應用程式、資料庫、網路基礎設施的正常權限與特殊權限的指派，應建立文件化、經核可後實施的存取政策和程序，並且與商業、安全、法規遵循及服務等級協議(SLA)之要求維持一致。一般而言，存取政策是廣泛安全政策中的一部份，對於資產的存取應基於僅知原則(need to know)和最小權限原則，並且實施基於角色的存取控制作法，尤其對於實體存取與邏輯上的控制，也需要保持一致。

對於此項要求，可參考ISO 27001中的「A.11.1.1 存取控制政策」要求，依照營運相關的存取安全要求，建立文件化的存取控制政策，並且在這項政策中明確說明每位使用者和使用群組，應該要如何去配置其應有的存取權限。而這些存取權限的考量，則可能來自於本身的職位高低或所接觸資訊的安全等級，以及對組織整體的營運風險考量。

基本上，在組織之中的存取控制措施，將會牽涉整個存取授權的流程，包括如何提出授權的請求、如何審查並賦予權限，以及不需使用時的權限如何移除等。因此在實務方面，我們建立存取控制規則時，必須掌握一個原則，那就是「除非允許，否則一律禁止」，這項原則可以應用在實體環境的門禁管制，或是邏輯上的防火牆存取規則，這樣將可大幅降低不當的存取設定可能帶來的風險。

IS-08 使用者存取限制與授權
這個控制措施是要求對於擁有正常或特殊權限的使用者，在存取應用程式、系統、資料庫、網路配置和敏感資料時，相關功能必須要加以限制，並且事先取得管理階層的授權。對此，可參照ISO 27001的「A.11.2.1 使用者註冊」，要求所有的使用者在獲得存取資訊的權限之前，必須經過正式的使用者註冊程序，換句話說，若不再需要存取資訊時，也必須經過適當的註銷程序，撤銷其所具有的存取權限。在實務方面，最常見的作法是讓使用者透過表單流程來進行申請，在通過審查核可之後，賦予其一個唯一的識別帳號(User ID)，藉此來管控並留下使用者存取資訊的記錄。

另外，也可參照「A.11.2.2 特權管理」，針對如系統開發人員和系統管理人員等，這些擁有和一般使用者不同的特殊權限人員，要求必須限制和控管特權的配置與使用，實務上最簡單的作法就是特權申請需要經過管理階層的授權，並且留下相關記錄。另外，特權的使用也要明訂相關的作業辦法，使用的過程也要保存其系統記錄(log)。

IS-09 使用者存取之撤銷
這個控制措施是要求需要依照員工、合約承包商、客戶、商業夥伴和第三方的情況，及時地解除、撤銷或修改使用者有能力存取組織的系統、資產和資料。所有的變更都必須包含在員工的職務、合約或協議的終止，以及員工聘雇的更動或轉職時的流程進行。

對此，可參照ISO 27001的「A.8.3.3 移除存取權限」控制措施，針對人員的轉調、離職或合約終止，需要確保其使用資訊系統的存取權限已進行適當變更，實務上建議在人員離職日起即暫時凍結使用者帳號，等待確認相關資訊與權限已移轉完成之後，再將其帳號和權限移除。

IS-10 使用者存取之審查
這個控制措施是要求所有的使用者權限，都要在所規劃的一定期限內，由管理階層進行審查。對於違反存取規定的情況，也要依照文件化的存取控制政策和程序，進行後續的矯正行動。

在ISO 27001方面，則可參照「A.11.2.4 使用者存取權限的審查」的作法，要求管理階層需要定期針對使用者的存取權限進行正式的審查，因此實務方面建議在存取控制政策中即納入組織將定期(例如三個月或半年一次)在使用者的職務變更之後，實施權限審查與重新配置，以維持對資訊和系統服務存取的有效性控制。(本文刊載於2013年9月號網管人雜誌)

[專欄] 雲端控制矩陣安全措施簡介(二) - 評估設備場所與人力資源安全

Sat, 16 Nov 2013 01:29:00 +0000

上一次我們介紹了雲端控制矩陣(CCM)針對法規遵循與資料治理的要求，並一一說明了對應的安全控制措施，接下來將繼續說明控制區域中的第三項設備場所安全，以及第四項人力資源安全的各項控制做法。

對雲端服務供應商而言，如果已經導入並取得了ISO 27001資訊安全管理系統的認證，那麼將相關的資訊安全控制要求，也涵蓋到所提供的雲端服務範圍之內，將是組織最容易強化雲端安全的做法。

目前，在雲端控制矩陣中的每一項控制措施，都可直接對應至ISO 27001的標準，因此建議組織將ISO 27001標準的實務做法，回應至雲端開放認證架構的第二層要求，在未來若想要通過第三方的獨立稽核時，就可達到事半功倍的效果。

設備場所安全之控制措施

雲端控制矩陣的第三項控制區域是有關設備與場所安全的要求，它一共包括了8個控制措施，分別說明如下。

FS-01 設備場所安全政策
這個控制措施是要求對於辦公室環境、資訊設施及安全區域，必須建立相關的安全政策與作業程序，以維護這些設備場所的安全。實務上可行的做法是對於場所的進出都要有適當的管控，例如必須使用門禁卡，要求所有訪客必須登記並配載識別證才可進出等。

如果雲端服務供應商已導入ISO 27001標準，則可參照「A.5.1.1安全政策」的要求，說明資訊安全的重要性與實施場所範圍，經由管理階層核准之後，公布傳達給所有員工和相關人員；並依據「A.9.1.3保護辦公室、房間和設施安全」的控制措施，對於重要的資訊處理設備，應避免放在公眾可觸及的地方；或參照「A.9.1.5在安全區域工作」的要求，制訂在安全區域內的工作規則，例如除非經過授權，才可在安全區域使用照相機、錄音錄影等設備，尤其敏感區域可視需要禁止攜入可拍照的手機，並對員工提供適當的說明。

FS-02 設備場所安全之使用者存取
這個控制措施是要求針對資訊資產的實體存取，應依相關人員的職務和支援上的需要，進行適當的限制。實務上建議的做法，可依據人員的職務賦予所需的最小權限，限制只有必要的人員才可進入安全區域，並且實施多因素的身分驗證機制。

另外，也可參照ISO 27001標準「A.9.1.1實體安全邊界」的要求，藉由圍牆、門禁刷卡系統、或是大門設置接待人員，來保護區域內資訊與資訊處理設備的安全；或依據「A.9.1.2實體進入控制」，當訪客要進入辦公處所時，應該在接待櫃台進行登記，並記錄進入和離開的日期和時間，同時也要求其配戴訪客識別證，即使是在同一棟大樓裡活動，樓層入口也應有適當的管制，像是刷卡才可進入。若要進入資訊機房，更必須要事先獲得授權且有人員陪同，告知並要求其遵守有關資訊安全的規定。

FS-03 設備場所安全之存取點控制
這個控制措施是要求實體環境的安全邊界，必須要有清楚的劃分，並且針對敏感資料和資訊系統實施安全的保護。

實務方面，建議雲端服務供應商可以對關鍵的資訊系統，包括從進入時的門禁管制，到存取系統時的多因素身分認證(以帳號密碼並搭配如指紋等生物辨識方式)，實施多重的存取控制。或是依據ISO 27001附錄「A.9.1.1實體安全邊界」的要求，在劃分公共區域與安全區域時，依照所評估的風險等級來決定所實施的控制措施，例如內部專用的會議室與提供給訪客的休息區，在控管的程度一定有所不同，不一定都要強制採刷卡方式才能進入；而辦公區域的大門，一般都會設有門鎖，或是經過保全人員確認身分之後才可通行；公共進出的通道則要採取明顯的標示說明，針對無人的區域則設置防盜系統或監視器等。

FS-04 設備場所安全之安全區域授權
這個控制措施是要求針對場所的入口和出口，必須限制只有經過授權的人員才可進出，並且具備安全的監控措施。建議雲端服務供應商可以配合FS-03的要求來一併進行，也可參照FS-02中所提到的ISO 27001標準「A.9.1.2實體進入控制」，在所有的進出管道，進行人員身分的確認。

FS-05 設備場所安全之未授權人員入口
這個控制措施是要求對於雲端服務區域中，所有未授權人員可能進出的管道，需要實施安全監控，如果可能的話，針對資料儲存設備與處理的設施，也要進行隔離和限制，以避免不當的資料遺失或外洩。

在實務方面，除了同樣可以依照FS-03的控制要求來進行之外，也可依據ISO 27001標準的「A.9.1.6 公眾存取、遞送和裝貨區域」，要求辦公處所若需要收發或裝卸物品，則設置收發室櫃台來統一收件，不讓外部人員可未經控管就能直接進入，若相關物品卸載之後需要移至使用的地點，也可設置廠商設備的檢查區及裝卸區，經過適當的檢查之後才放行。

FS-06 設備場所安全之外地授權
為了確保在組織之外的場所，相關的軟硬體設備和儲存的資料也能獲得安全保護，這個控制措施要求當設備和資料需要移至外地時，必須事先獲得管理階層的授權。實務方面，在FS-01的設備場所安全政策中，就要定義包括設備和資料移轉，以及資產變更管理的要求。

若依據ISO 27001標準，則可參考「A.9.2.7資產的調動」要求，在資產的使用與調度方面，所有的資訊設備、軟體，相關物品的攜出和攜入都需要事先授權；以及參照「A.10.1.2 變更管理」，除了所有變更事項都要取得主管的授權之外，特別要注意的是務必保存相關的變更紀錄，包括作業核准的程序、重大變更事項的識別和紀錄、變更規劃與測試計畫，以及萬一在變更不成功時，如何中止並進行復原的程序等。

FS-07 設備場所安全之外地設備
針對位於組織外的場所和設備，這個控制措施要求必須要有相關的政策，並且規範資產的使用、維護和安全處置的程序，以確保相關設備的安全。對於此項要求，可依據ISO 27001標準中的「A.9.2.5 場所外設備安全」，要求組織的資訊設備，在攜出辦公場所外使用時，應注意其在不同場所可以面臨的威脅與安全風險。例如筆記型電腦在外部使用時，小心可能遭竊的問題，避免留置在遠離視線可及之處，在技術方面也可使用硬碟加密，以強化敏感資訊的安全。

另外，目前普遍使用的智慧型手機、USB隨身碟等，也要訂立相關的使用辦法，並訓練員工能夠理解並遵守，以避免不當的資料遺失或外洩。對於設備的處置，則可參照「A.9.2.6 設備安全的處置和再利用」，要求資訊處理設備在轉移給其他單位或重新交由其他員工使用時，所儲存的資料和安裝的應用軟體都要清除。針對要汰換的硬碟等儲存設備，如果曾經存放過敏感資料，建議採取實體破壞的方式，以避免資料可能再次被還原。

FS-08 設備場所安全之資產管理
針對重要的資產，這個控制措施要求應建立文件化的資產清單，並且指定資產的擁有者。對此，可參照ISO 27001標準「A.7.1.1 資產清冊」的要求，清查盤點和雲端服務有關的資產，實務方面在進行盤點時，建議事先設定資產的類別，例如區分為資訊類（電子檔、紙本）、人員類（內部、外部）、軟體類（套裝、自行開發）、實體類（電腦設備、辦公處所）、服務類（電力、網路）等，仔細清查每一筆資產的型式、位置、數量、擁有者、使用者、保管者和營運價值，最後彙整成一份組織的資產清冊，並依據「A.7.1.2 資產的擁有權」的要求，指定實際上能夠控制資產的處理、發展、使用和安全的個人或部門作為擁有者，要求負起資產的保管責任。

人力資源安全之控制措施

對公有雲端服務的使用者來說，雲端服務就是一項委外服務，也就是必須將組織的資料或應用系統架構在雲端服務供應商所提供的環境之中，因此有一項風險會來自於服務供應商的人員，因為具備了存取或接觸資料的管理權限，如果沒有實施適當的安全控制，就可能危害到重要資料的安全。

在雲端控制矩陣的第四項控制區域，主要就是針對雲端服務供應商的員工和利害關係人，要求實施必要的安全管控，以確保雲端服務的安全，在此共有3個控制措施，分別說明如下。

HR-01 人力資源安全之背景審查
這個控制措施是要求依照當地的法令和合約要求，針對包括雲端服務供應商的應徵者、合作夥伴與相關的第三方人員，依據其可能接觸機密資料的比例、業務要求及可接受的風險等級，進行適當的背景查核。

建議雲端服務供應商可參照ISO 27001標準的「A.8.1.2篩選」控制措施，針對這項要求制定人員篩選的作業程序，說明將由何人、何時、何種方式來進行查核確認的工作。在進行背景審查時，則務必徵求應徵者本人的同意，並遵守個人資料保護法及隱私權的要求，再針對像是人員的學經歷資料、專業資格及信用記錄等進行查核。

HR-02人力資源安全之聘僱協議
這個控制措施是要求在賦予人員對於場所設施、系統或資料的實體或邏輯上的存取權限之前，必須簽署與聘僱關係或服務合約相關的協議和使用條款。在實務方面，雲端服務供應商可以在聘僱合約中加入保密協議的要求，並且對人員實施基礎的資訊安全意識的教育訓練，再依照其職務角色或可接觸的機密等級，個別實施必要的安全訓練。

針對保密協議，則可參照ISO 27001標準「A.6.1.5 機密性協議」的作法，定期地識別並審查對各項資訊保護的要求，評估協議的內容是否適當，再將它納入需要簽署的保密協議之中。至於聘僱合約則可依據「A.8.1.3 聘僱條款與條件」，事先擬定必要的資訊安全條款與保密切結書等文件，並向相關人員說明，取得其同意和簽署之後，才可授權讓其存取組織的資料和使用資訊處理設施。

HR-03人力資源安全之聘僱終止
這個控制措施是要求針對員工的聘僱終止或聘僱程序的異動，應指派相關人員的角色與責任，保持良好的溝通並且留下文件化的記錄。在實務方面，一旦雲端服務供應商有人員職務終止的情況，就必須依照人力資源政策中的相關流程來進行，至於在客戶方面，則由其對自己所創建的使用者帳戶負責管理。

在ISO 27001標準中，可依照「A.8.3.1 終止責任」的做法，針對人員的轉調或離職，指定專責的單位和人員來處理，一般而言，可藉由人力資源部門來進行相關人員的終止程序，以確認符合了聘僱條件與合約的要求。(本文刊載於2013年8月號網管人雜誌)

[活動] BSI年會 - 雲端安全STAR認證正式開跑

Tue, 12 Nov 2013 14:30:00 +0000

今天參加了連續第十年舉辦的英國標準協會(BSI)年會，現場依舊是人潮滿滿、座無虛席。本次年會的重點在於說明有關ISO 27001:2013的更新內容，以及BSI與雲端安全聯盟(CSA)所合作推動的STAR認證。

ISO 27001的更新，基本上和FDIS的內容差不多，所以我就不多說了，目前BSI也已經開始提供新版的訓練課程，至於轉版課程可能還要再等等。對我而言，最讓我感到有興趣的，其實是BSI對於雲端安全成熟度的評估方法，這將會決定想要取得STAR認證的雲端服務供應商，如何獲得其績效得分與獎牌。

關於STAR認證

在2013年9月25日，CSA和BSI正式宣布推出STAR認證(STAR Certification)，這項認證結合了ISO 27001管理系統標準的要求，藉由實施雲端控制矩陣(Cloud Control Matrix；CCM)，再以成熟度評估的方式來量測雲端服務的安全水準。

對雲端服務供應商來說，想要取得STAR認證，需要具備以下三個條件：
1. 已取得ISO 27001認證
2. 導入CCM的安全控制要求
3. 已達到成熟度評估的水準

因此，雲端服務供應商必須確認其所提供的雲端服務，已在ISO 27001認證的範圍之內，然後實施CCM的安全控制要求，以CCM v1.4而言，它涵蓋了法規遵循、資料治理、設施及場所安全、人力資源安全、資訊安全、法律議題、營運管理、風險管理、發行管理、回復能力和安全架構等11項控制領域，其中包括了98個安全控制措施，這些控制措施都可參照ISO 27001本文和附錄A的內容，彼此達到互補的功能。

關於雲端安全成熟度

如果組織對自己的雲端安全管理有信心，接下來就可以請BSI來實施獨立的第三方驗證，BSI將以成熟度評估方式，針對CCM的11項控制領域，分別依據以下五個管理能力來進行評分:

溝通和利害關係人的參與
政策、計劃、程序及系統化方法
技巧和專業能力
負責態度、領導能力和管理
監控與量測

針對每一個控制領域，BSI都會依據5個管理能力進行成熟度量測和評分，以「政策、計劃、程序及系統化方法」的管理能力為例，其評分的準則如下。

無正式實施方法(1-3分) : 指沒有證據顯示在營運和管理方面，針對服務的存取、身分識別、權限的指派已有相關的作業程序。

被動式實施方法(4-6分) : 指證據僅顯示在營運和作業流程方面，每當作業方式變更時，相關文件化的程序才會隨之改變。

主動式實施方法(7-9分) : 指組織已採取文件化的計畫方式，並涵蓋了所有控制領域。

持續改進實施方法(10-12分) : 指有證據顯示針對營運持續議題，以及可能的安全事件，加以識別並且實施了風險分析。

最佳化實施方法(13-15分) : 所有的政策、作業程序及計畫發展，皆與營運策略維持一致。

最後，每一個控制領域的得分會加以平均，若平均得分為3~6分，可取得銅牌；6~9分則為銀牌；9分以上則可獲得金牌。一旦獲得了STAR的獎牌，雲端服務供應商就可展現給客戶，以達到市場的區隔並建立口碑。

根據BSI表示，目前全球已有三個組織正式取得了STAR認證，英國兩家為惠普(HP)與脈動(Pulsant)，亞洲一家是阿里巴巴，三家都取得了銀牌。預計在2014年第二季，台灣預計也會有2~3家取得這項認證。所以，雲端服務供應商可藉由STAR認證來展現自己的安全成熟度，以贏得客戶的信心；而消費者也多了一項管道，可以得知所選擇的服務廠商，是否有足夠的能量來確保資訊安全，這對雙方來說的確是一項福音。

資料來源 : CSA官方網站、BSI英國標準協會

[專欄] 自我評估雲端服務安全 - 雲端控制矩陣安全措施簡介(一)

Mon, 11 Nov 2013 12:24:00 +0000

如果您想要了解雲端服務供應商的安全水準，藉由雲端安全聯盟所提出的雲端開放認證架構(OCF)，可以作為在選擇服務廠商時的參考，因此這對於廠商而言，確實了解雲端控制矩陣(CCM)的要求，並且回應已實施的安全控制措施，就顯得十分重要。

上一期我們介紹了雲端安全開放認證架構(Open Certification Framework；OCF)，它是一個可以用來評估雲端服務供應商的安全認證標準，在其所要求的三層式架構中，第一步就是要自我描述各項針對雲端服務的安全要求和因應措施，然後將它傳送到CSA的註冊管理單位(STAR Registry)進行審查，在此一層次中，除了使用自我評估問卷(Consensus Assessments Initiative Questionnaire；CAIQ)之外，直接採用雲端控制矩陣(Cloud Controls Matrix；CCM)所要求的安全控制，更可為第二層需要面對的外部稽核，預先做好準備。

雲端控制矩陣是雲端安全聯盟設計作為評估雲端安全的基礎，也是建議雲端服務供應商可以採用的最佳實務作法，它可歸納為十一項控制區域(Control Area)共98個控制措施，並且也能對應到其他的標準法規要求，包括COBIT 4.1、HIPPA/HITECH Act、ISO 27001、NIST SP800-53、FedRAMP、PCI DSS v2.0、AICPA Trust Service Criteria等，導入雲端控制矩陣的目的，就是希望能夠幫助需要遵守許多不同法規的廠商，減輕必須重複實施的相關工作。

對雲端服務供應商而言，若想要符合雲端安全開放認證架構，就必須在CAIQ問卷或雲端控制矩陣的控制區域中，一一具體回應填寫已實施的作法與現況，所以接下來一系列的文章，將會解說雲端控制矩陣中所要求的控制區域，並且搭配ISO 27001標準的實務做法，以協助您能夠有效回應雲端開放認證架構之要求。

法規遵循之控制措施

雲端控制矩陣的第一項控制區域是有關法規遵循的要求，它一共包括了6個控制措施，分別說明如下。

CO-01 稽核計劃
這個控制措施是要求專注在資料複製、存取和儲存邊界限制等相關的稽核計劃、活動和實施項目，應被設計用來降低業務流程中可能發生中斷的風險，因此這些稽核活動必須要提前規畫，並且獲得利害關係人的同意。對此，實務上可回應的做法為經由內部稽核或資安小組來擬定每年需要實施的稽核計劃，呈交給管理階層審查以獲得同意，然後定期實施並產出稽核報告，再針對不符合事項進行追蹤改善，以降低可能的資料安全風險。

如果雲端服務供應商已導入ISO 27001標準，則可參照本文的「4.2.3 監督與審查」所要求，將利害關係人的建議納入定期審查，以及依所規劃時間來實施內部稽核等作法，作為此控制要求的回應內容。

CO-02 獨立稽核
這個控制措施是要求至少每年一次或定期進行獨立審查和評鑑(例如內稽/外稽、驗證、弱點和滲透測試)，以確保符合了相關政策、程序、標準和適用的法規要求。實務建議的做法為可參照ISO 27001標準的要求，定期進行內部稽核，並由獨立的外部驗證公司進行審查，或是由外部定期進行弱點掃瞄或滲透測試，實施技術性的獨立查核。

CO-03 第三方稽核
這個控制措施是要求第三方服務供應商，在資訊安全、機密性、服務定義和交付協議及合約中，展現出已遵守相關的法規，同時第三方的報告、記錄和服務，也應當接受定期的稽核與審查，以確保符合服務交付協議所要求的法規遵循。

在實務方面，建議雲端服務供應商可以在與第三方的合約中，明確要求有權定期實施第三方的稽核，或是依據ISO 27001附錄「A.6.2.3第三方協議中的安全說明」，也就是在與第三方所簽定的協議與合約之中，明訂組織的資訊安全要求、應遵守的相關法規，以及違反時需要負起的法律責任等。

CO-04 合約與授權之維護
這個控制措施是要求應按照組織業務和客戶需求，符合相關法律、法規和合約規定，並與當地的政府機關保持聯繫；另外，針對資料、應用程式、基礎設施和硬體，必須確立其適用的法律和管轄權。建議雲端服務供應商可以指定特定人員作為法律問題和執法當局的聯絡窗口，並且與法律顧問、特定廠商、技術論壇等人員保持聯繫，以便必要時可請求其提供支援。

對此，也可參照ISO 27001標準「A.6.1.6與權責機關的聯繫做法」，擬定適當的作業程序，說明何種事件需要由何人進行通報，包括了哪些需要連繫的權責機關，以及參考「A.6.1.7與特殊利害相關團體的連繫」，平時就要與各種團體、專家協會等保持適當的連繫管道。

CO-05 資訊系統法規對照
這個控制措施是要求法律、法規和合約之要求，在所有資訊系統的元件中都應定義清楚，而組織用來符合已知的要求和新的命令的方法，也應被明確地定義、文件化及更新。這裡所提到的資訊系統的元件，可能包括了資料、物件、應用程式、基礎設施和硬體等，每個元件都可能會被分配到其適用的法律和管轄權，以便與法規進行對照。

在實務做法上，建議雲端服務供應商可以在服務描述中，說明本身所適用的法令和所屬的管轄區域，並且定期審查是否有新的法令或更新的要求。在ISO 27001標準方面，則可參照包括：「A.15.1.1識別適用的法條」，將適用的法律識別出來，並在內部的管理程序中，清楚明訂其要求；「A.15.1.3組織記錄的保護」，評估究竟有哪些記錄需要留存，需要採取什麼樣的安全措施，考量如何記錄、存在地點、存放型式、加密方式和存取權限等；「A.15.1.4個人資訊的資料保護與隱私」，依照個資法對於個資蒐集、處理和利用的要求，在作業辦法中加入符合法律的措施；「A.15.1.6加密控制措施的規定」，確認在資料保護上所使用的加密機制，已遵守當地國家法令的要求，並了解這些可實施加密的設備，是否會有進出口的限制。

CO-06 智慧財產權
為了保護智慧財產權，這個控制措施要求必須建立和實施相關的政策、流程和程序，並且透過法律管轄權和合約限制，以保障組織專有軟體的使用。在實務方面，可宣導並要求所有員工必須遵守智慧財產權法，同時確認所有的軟體均有合法的授權。

依據ISO 27001標準，則可參照「A.15.1.2智慧財產權」，要求組織必須確保所使用的資料和軟體，不會涉及違反智慧財產權的法律要求，並建立適切的管理程序。舉例來說，組織可在管理程序中明訂購置軟體的方式和原則，說明為尊重智慧財產權，內部一律使用合法授權的軟體，並嚴禁非法下載音樂、影片和未授權的軟體，同時也為合法軟體建立一份軟體清單，並且定期清查以避免違法的情事發生。

資料治理之控制措施

雲端控制矩陣的第二項控制區域，主要是針對雲端服務供應商所擁有的資料，要求建立相關的政策和作業程序，以確保雲端資料的安全，在此一共有8個控制措施，分別說明如下。

DG-01 擁有權和管理職責
這個控制措施是要求所有的資料都應被指派定義、記錄和溝通其管理職責。實務上最簡單的做法，就是建立一份資訊資產清冊，註明資料所在的位置、安全等級和擁有者，然後定期的重新檢查更新。

雲端服務供應商也可參照ISO 27001標準中包括：「A.6.1.3資訊安全責任的配置」，由管理階層指定各部門主管和個人的安全責任，並且界定各項資產的保護與作業流程；「A.7.1.2 資產的擁有權」，在資產清冊中，為每筆資訊資產指定其擁有者，這裡所謂的擁有者，並不是指對於資產本身擁有財產權，而是指實際上能夠控制資產的處理、發展、使用和安全，也就是對資產負有管理職責的個人或部門。

DG-02 分級分類
這個控制措施是要求針對資料本身和物件中所包含的資料，應基於資料類型、司法管轄權、所在地法律、合約要求、價值、對組織的敏感性和重要性，以及第三方對於資料的保存與防止未經授權的揭露責任，指定其安全等級。

在實務方面，雲端服務供應商可以自行定義其資料分級分類的做法，或是參照ISO 27001標準「A.7.2.1 分類指引」，將資料依照其對組織的價值、法律要求、敏感性和重要性進行分類，但是，建議資訊的分類不宜過多，以避免太過複雜而造成各業務單位實施的困擾。

DG-03 處理/標示/安全政策
這個控制措施是要求針對資料本身和物件中所包含的資料，應建立標示、處理和安全的政策和程序，必須對於保有資料的容器實施標示的繼承機制。建議實務作法為進行資料分級和標示，撰寫所需的安全指引手冊，或是參照ISO 27001「A.7.2.2 資訊標示和處理」，發展和定義組織的資訊處理標示和分類方法，例如在文件上面可標示其所屬的機密等級，或是標示在電子資料的meta-data之中。

DG-04 保留政策
這個控制措施是要求應建立資料保留和儲存的政策和程序，並且實施備份和備援機制，以確保符合管理、法律、合約或業務的要求，針對備份還原的測試，也必須依所規劃的時間來實施。在實務方面，除了建立備份政策和程序之外，雲端服務供應商可採取異地備援和持續同步備份等方式，以確保所儲存的資料安全，也可參照ISO 27001標準「A.10.5.1 資訊備份」，針對資料本身不同的屬性，定義出不同的備份方式如完整備份、增量備份、差異備份等，並且考量實施備份的頻率，像是每年、每月、每週、每日等，以確保資料擁有多重的防護。

DG-05 安全處置
這個控制措施是要求為達成安全處置和徹底移除儲存媒體中曾存放的資料，必須建立相關的政策、程序和做法，確保資料不會被以其他方式復原回來。在實務方面，對於不再使用的儲存媒體，可採取實體破壞方式，使其不可能被還原回來，處置的過程也要妥善地加以記錄保存。

至於需要再使用的儲存媒體，則可參照ISO 27001標準「A.9.2.6 設備安全的處置和再利用」，要求資訊處理設備在轉移給其他單位或重新交由其他人使用時，具有版權的軟體需要重新整理移除，所儲存的資料也要一併清除；針對需要進行報廢的設備，則依據「A.10.7.2 媒體的報廢」要求，需要依照一定的安全程序進行報廢，以確保資料不會被復原。

DG-06 非生產環境資料
這個控制措施是要求生產環境中的資料不應被同步複製或使用在非生產環境之中，實務方面建議應嚴格禁止非公開的客戶資料，從生產環境中移到非生產區域，除非是已獲得客戶同意或在法務部門指導下才可進行。

針對應用程式的開發，則可參照ISO 27001標準「A.10.1.4 開發、測試與運作環境的區隔」，備妥開發流程、測試和上線運作的程序文件，同時，所使用的資訊軟硬體設備，也要加以適當的區隔，不將資訊存放在相同的儲存媒體中；若要進行測試，則依據「A.12.4.2 系統測試資料的保護」要求，在測試時注意所使用的資料是否已經過授權取得，剔除或替代資料中敏感性的內容，並在測試完成之後，徹底將資料從系統中清除。

DG-07 資訊洩漏
這個控制措施是要求必須實施安全做法以避免資訊外洩，實務上可採取嚴格的身分驗證與授權(IAM)，以及導入防範資料外洩方案(DLP)來進行，針對資訊系統本身，則可參照ISO 27001標準「A.12.5.4 資料外洩」的要求，在系統上線前進行系統掃描，確認是否有不當的訊息外送或開放的傳輸埠，另外也要監測系統資源的使用與網路活動，以防範資料洩漏的事件發生。

DG-08 風險評鑑
這個控制措施是要求風險評鑑必須配合資料治理的要求來定期實施，包括針對敏感資料儲存與傳輸的教育訓練、遵守所定義的資料保留期限和處置要求，以及針對資料分級分類以防止受到未經授權的存取和遺失損毀等。實務方面，建議參照ISO 27001標準本文中「4.2.1 (c)界定組織的風險評鑑作法、(d)識別各項風險」之要求來進行，以及「4.2.3 (d)依照已規劃的期間，審查風險評鑑的結果，並且審查剩餘風險的等級與已識別的可接受風險」。(本文刊載於2013年7月號網管人雜誌)

[專欄] 評估雲端服務的安全性 - 雲端安全開放認證架構簡介

Thu, 12 Sep 2013 13:09:00 +0000

隨著雲端服務的迅速發展，無論是SaaS、PaaS、IaaS服務，各種雲端服務供應商都提供了消費者方便彈性、隨需可用的雲端服務，只是在眾多服務的背後，您是否了解廠商對於資安控管和安全責任的要求？是否可以安心地採用雲端服務呢？

面對如雨後春筍般出現的雲端服務，身為想要採用雲端服務的消費者，到底應該如何選擇一個可靠安全的雲端服務供應商？事實上並不容易。對消費者而言，公有的雲端服務，其實就是一種外包服務，消費者對於廠商的了解，可能來自於品牌印象、其他人的推薦，或是來自於媒體中刊登的廣告，對於價格或服務的內容，或許可以有所了解，但是對於廠商的資料保護能力、服務運作能力，以及資訊安全的管理要求和實施情況呢？或許心中仍然存在著許多的問號。

基本上，由於雲端服務本身有著跨越國境和許多用戶同時租用的特性，而且各項行業依照其產業所屬性質的不同，都有其所需要特別遵守的法律法規，再加上各個雲端服務供應商對於資安要求的程度不一，因此目前仍然缺乏一個統一的標準，也很難有一個容易實施的方法來進行安全性的評估。

雖然有些業者強調，已經導入了資訊安全管理標準ISO 27001的安全控管要求，但是其驗證的範圍是否包含了雲端服務？針對雲端服務實施了哪些安全的控制措施，整體的資訊安全水準如何？似乎缺少了一個更透明化的方式，可以讓廣大的消費者得知，並且可以作為選擇雲端服務供應商的參考。

雲端安全開放認證架構簡介

對於以上所提到種種與安全有關的問題，雲端安全聯盟(CSA)已認知到很難有一個單一的安全認證，就可以含括所有服務供應商的安全需求，但是業界又很確切需要有一種公開且可受公評的方式，讓服務供應商可以自我揭露其安全水準，同時也讓消費者獲得可以參考的依據。

因此，在2012年的雲端安全會議中，雲端安全聯盟基於各項受到產業認可的安全控制目標，提出了雲端安全開放認證架構(Open Certification Framework；OCF)，可用來作為評估雲端服務供應商的安全認證。OCF是基於雲端安全聯盟對於治理、風險和法規遵循(Governance, Risk and Compliance Stack)的研究專案，所發展出來的可信賴雲端服務認證安全架構，它能夠廣泛地支援多個層次且來自於不同供應商和消費者的安全需求。

雲端安全開放認證架構提供了一個可彈性應用的方案，透過三個漸進式的發展層次，從自我評估到外部評鑑的實施，最終的目標是希望能夠持續地監控，以確保各項安全控制措施的有效性，並且也能不斷地改善，以滿足使用者的安全需求。雲端安全聯盟指出，服務供應商藉由實現了雲端安全開放認證架構的安全控制，將可以達成以下目標：

讓雲端服務供應商可以因應各項產業標準和法規的要求，並且採取業界認同的雲端安全最佳實務，同時更期許經由政府機關的率先導入，為公眾使用的雲端服務，指出了一個明確可行的安全認證要求與方向。

提供了明確的安全指引和工具，像是整合了ISO 27001的雲端控制矩陣 (Cloud Controls Matrix；CCM)，讓雲端服務供應商更易於滿足多項標準的安全要求。CCM是雲端安全聯盟設計用來作為評估雲端安全的基礎，也是引導服務供應商採用業界的最佳實務作法，除了可以確保其雲端服務的安全，同時也能協助雲端服務的消費者，藉此來選擇符合其安全要求的雲端服務供應商。CCM的控制措施和CSA雲端安全關鍵指南中的13項安全領域要求是一致的，並且融合了其他業界常見的安全標準，例如 HITRUST CSF、ISO 27001/27002、ISACA COBIT、PCI、HIPAA和NIST等，也呼應了服務型組織對其內部稽核控制的安全要求，預期將可減少組織同時適用各項法規時，所需要面對的重覆稽核問題。

雲端安全開放認證架構可作為一項受到業界認可的體制，它能夠支援ISO標準、美國會計師協會(AICPA)和其他相關安全認證架構，簡化並減少需要重覆進行各項安全認證的要求。

開放認證架構的評鑑方式

雲端安全開放認證架構是一個三層式的架構，從它的底層出發愈往上走，就愈能透明化的展現雲端服務供應商的安全控管方式，並且讓消費者獲得更高的安全保證，評鑑的實施方式說明如下。

第一層STAR自我評鑑 (The STAR Self-Assessment)
在這一層次中，雲端服務供應商可以提交兩種類型的報告，一種是依據CSA STAR (Security, Trust & Assurance Registry；STAR)的自我評估問卷(Consensus Assessments Initiative Questionnaire；CAIQ)，描述各項已符合安全要求的作法與因應措施，然後將它傳送到CSA的註冊管理單位(STAR Registry)進行審查；另一種則是依據雲端控制矩陣中所要求的98項安全控制措施，逐條回答已經實施的作法與現況。

雲端服務供應商向STAR Registry所提交的自我評鑑報告，雲端安全聯盟會在其網站(https://cloudsecurityalliance.org/star/registry/)上提供已認可的註冊記錄，讓公眾可以直接查詢，這些記錄將可以協助雲端服務的消費者，了解並評估服務供應商的各項安全控制的作法，目前這項服務無論是註冊或查詢，都是可以免費進行的。

在這個評鑑階段中，由雲端安全聯盟所提供可免費下載的自我評估問卷(CAIQ)，提供了超過140項針對雲端服務供應商、消費者和雲端安全稽核人員可能想要了解的安全問題，服務供應商可以自行填答(Yes or No)並提出描述說明，透過自我揭露的各項安全作法，用來作為消費者在選擇雲端服務時，可評估安全風險的最佳參考資料。

服務供應商必須確保自我評鑑的更新週期，不得小於12個月，也就是說至少每年都需要重新自我評鑑一次，以確保各項安全控制措施的更新，能夠及時反應在評鑑的內容之中。如果沒有及時更新，雲端安全聯盟會將未更新的報告註記為不認同，如果超過一年六個月都還沒有更新的話，就會直接將這筆記錄從註冊資料庫中移除。

第二層 STAR認證-第三方獨立評鑑 (STAR Certification - Third Party Assessment)
在第二層的評鑑之中，雲端安全聯盟將會結合ISO 27001和雲端控制矩陣的安全控制措施要求，透過第三方驗證單位(目前配合的驗證單位是BSI英國標準協會)來實施獨立的安全查核，針對雲端系統的成熟度進行評分。這項安全查核將採用國際標準普遍應用的規劃、實施、檢查、改善行動(PDCA)原則，並依照雲端控制矩陣中對雲端系統的安全要求來進行，最後所獲得已量化的評分，即可作為管理階層進行評估改善的參考。

第三層基於認證的持續監控 (Continuous Monitoring based certification)
第三層是CSA STAR認證的延伸，目標是希望透過持續蒐集到的稽核證據，即時地監控雲端安全的控制，以期符合消費者的安全要求，此一階段的實施做法，目前則還在發展之中。

雲端安全開放認證的實施現況

目前，雲端安全開放認證架構仍處於先期的導入計畫階段，已經實施的是第一層的自我評鑑要求，已經獲得許多雲端服務供應商的響應參與。第二層的做法預計在2013年開始執行，至於第三層的持續監控要求，預計最晚會在2015年完成。

對雲端服務供應商而言，實施導入雲端安全開放認證架構的安全要求，不是為了追求另外一項認證，而是能夠具體的提供其雲端服務安全管理的證明，同時也確認自己有能力來因應可能發生的安全事件，能夠降低雲端服務的營運風險，建立消費者對於業者的信心。

至於對消費者來說，則是獲得了一個透明公開的管道，可以得知雲端服務供應商的安全管理要求與實際做法，評估是否與自身的安全需求能夠趨於一致，並且可以滿足組織的安全政策與要求。(本文刊載於2013年6月號網管人雜誌)

[新知] 雲端安全開放認證架構 (OCF) 與雲端控制矩陣 (CCM)

Sat, 29 Jun 2013 04:59:00 +0000

面對如雨後春筍般出現的雲端服務，身為想要採用雲端服務的消費者，到底該如何選擇一個可靠安全的雲端服務供應商？

而身為雲端服務供應商的您，如何自我評估現有的雲端安全現況，並且展現積極有效的管理作為，來贏得消費者的信任？

對此，由CSA所推動的雲端安全開放認證架構（Open Certification Framework；OCF），並且使用雲端控制矩陣 (CCM)作為服務供應商評估安全成熟度的工具，為目前實務上的最佳參考，如果您想了解更多的訊息，請參考以下這篇文章。

http://www.netadmin.com.tw/article_content.aspx?sn=1306130001

[觀點] 雲端運算安全入門(完) - 虛擬化安全與雲端資安服務

Wed, 27 Feb 2013 07:49:00 +0000

上一次我們探討了雲端服務的身分驗證，提到目前許多雲端服務綁定的都是使用者的帳號，如果沒有實施強健的安全機制，一旦帳號被挾持，就會產生嚴重的安全問題，本期將說明此系列文章的最後一個單元，說明雲端運算採用虛擬化技術的安全風險和透過雲端所提供的安全服務。

在雲端運算的領域之中，最早被許多人認為是一種雲端技術的就是虛擬化技術，但事實上在雲端運算還沒有成為熱門的話題之前，虛擬化就已經被運用在儲存系統中，而且進一步擴展到主機層的虛擬化及網路層的虛擬化。

對雲端運算的三種服務型式-SaaS、PaaS、IaaS而言，虛擬化目前已被廣泛的運用在IaaS服務之中，藉由虛擬主機(VM)的幫助，服務供應商提供了一個巨大的虛擬資源池(pool)，讓雲端運算可以快速且彈性的擴充，並且支援多租戶的方式，讓使用者可以採自助的方式，自由地調配所需的運算能力(包括CPU處理器、記憶體容量、儲存空間及虛擬主機的數量等)，同時虛擬主機也可作為提供SaaS、PaaS等服務的強大基礎。

虛擬化可能的安全風險

雖然虛擬化為服務供應商在基礎設施方面，降低了許多建置的成本，但是在方便快速的背後，虛擬化也隱含了許多資安方面的風險，目前最常被關注的就是虛擬化應用了Hypervisor作為了虛擬主機的管理層，一旦它被攻陷而被惡意人士操控時，就可能會影響所有在它之下的虛擬主機安全。

其次，虛擬主機作為多租戶方式提供給不同的使用者來操作，如何有效地區隔並控制在同一實體主機上的網路安全，避免彼此之間的干擾和刻意的攻擊，也是服務供應商的一大挑戰，而且在使用者租用完虛擬主機之後，如何確保曾經儲存過的資料會被徹底銷毀，除了技術面的保證之外，使用者對於服務供應商的執行過程和信任，至今仍然是一個容易受到質疑的問題。

至於在虛擬主機之間的網路流量方面，由於是在實體主機的背板上直接傳輸，傳統的網路安全設備如防火牆、入侵偵測系統等將無法偵測並阻擋可能的惡意行為，因此就必須採用同樣已虛擬化的防火牆、入侵偵測系統等，來監控虛擬主機之間的網路流量，另外，新一代的網路安全設備可透過API層和與Hypervisor管理層的結合，也能夠將實體的網路架構和虛擬化環境結合，同時來管控所有產生的網路流量。

採用虛擬化技術的安全建議

在雲端安全聯盟(CSA)所提出的雲端運算關鍵領域安全指南中，針對虛擬化技術所提供的安全建議，包括：

使用者應該識別服務供應商所採用的是何種虛擬化技術，並注意所公布關於虛擬化技術的安全漏洞和修補方式。另外，和傳統的作法一樣，使用者必須區隔測試用的虛擬主機和實際上線的虛擬主機，以避免可能的互相干擾和資料混用的問題。
使用者必須確保在每一台虛擬主機中，都具備所需的安全機制如防火牆、防毒軟體、入侵偵測系統等，除了供應商所提供的安全機制之外，也可以考慮採用第三方的安全服務，減少對供應商的依賴，強化所使用的虛擬主機安全。
注意虛擬主機映像檔(VM Image)的安全，如果含有惡意程式的虛擬主機被直接佈署到虛擬化環境之中，也就等於越過了外在的防禦，可以直接由內部發動攻擊。因此，未使用的虛擬主機映像檔，建議採取加密的方式，以避免受到不當的利用。
如果是含有敏感資訊並有高安全要求的虛擬主機，它的映像檔無論在關機或運作時都應該加密，雖然加密的作法可能會降低虛擬主機的效能，但為了安全性考量則是可以接受的。同時也要注意若對虛擬主機實施了Snapshot備份，是否會間接造成此一控制失效的問題，因為惡意人士也可能從備份的Snapshot中，提取出想要獲得的敏感資訊。
在虛擬主機尚未啟動之前，通常是處於關閉的狀態，換句話說，它無法即時地去更新作業系統的修補程式(patch)，以避免利用已被發現的安全漏洞來進行攻擊。因此，當這些虛擬主機被啟用之後，應該先進入一個隔離的區域，並且在更新完所有新增的修補程式之後，才能夠進入到正式的作業環境之中。

透過雲端實現的安全服務

雲端運算的興起，除了改變傳統的IT服務之外，對於強化資訊安全方面，也提供了許多貢獻，過去許多企業礙於人力、成本、效能或更新速度的問題，遲遲未能採用的資安防禦方式，藉由雲端安全服務(Security as a Service；SecaaS)的採用，可以降低企業在安全管理上的負擔，並且獲得更加充裕的安全技術支援，協助企業降低所面臨的資訊安全風險。

對企業來說，採用雲端安全服務的優勢是可以馬上獲得業界的最佳實務(best practice)和許多技術專家的支援，並且透過雲端可量測的服務與透明的報表，企業也可以清楚地了解資安方案對企業整體的效益。舉例來說，針對防毒服務，企業可依據實際的電腦數量和使用者人數的增長再來選購所需的服務；另外，軟硬體等安全設備維護與每天產生的日誌(Log)管理，都可藉由委外的資安服務來提供協助，降低企業內部自行營運的管理成本。

目前，業界所提供的雲端安全服務有：

身分識別(IAM)服務 – 透過雲端來進行使用者的身分驗證，並賦予使用者所需的存取權限，可以解決企業跨區域國界的驗證效能問題，並且可透過雲端服務來保存各項登入與存取記錄，甚至匯整到資安事件管理(SIEM)服務，以因應不當存取的資安事件，提供預防和處理的機制。

防資料外洩(DLP)服務 – 在防止資料外洩方面，佈署DLP方案是一種可以預防資料從各項傳輸管道不當洩露的控制措施，透過中央政策(Policy)的制訂，並在終端設備如筆記型電腦安裝代理軟體(Agent)，可以管制資料從各種週邊介面(如USB)傳遞的內容，如果內容違反了企業安全政策(例如含有個人資料或信用卡號)，則可即時地加以阻擋。

網站(Web)安全 – 企業可以將網頁瀏覽的流量導引至雲端服務之中，藉由服務供應商所提供的分析機制，可以阻擋不當的網頁瀏覽和惡意程式的下載。即使使用者已離開了企業內部，仍然可以透過雲端服務，讓使用者的網站瀏覽行為受到保護，甚至可進一步強化使用者在使用網站應用程式時的安全。

郵件(Email)安全 –可以避免使用者掉入垃圾郵件、詐騙郵件的陷阱，即時阻擋使用者打開惡意的郵件附檔，並且透過身分驗證機制、數位簽章和加密方式，來確保郵件內容的正確性與安全。

資安事件管理 – 藉由供應商所提供的資安事件管理平台(SIEM)，可以協助企業匯整所有的事件記錄，並提供關聯式分析來協助企業評估和預防可能的資安事件，並且協助進行處理。對於事件記錄的保存，能提供完整性的防護，以作為安全事件的調查和相關報告的證據。

營運持續與災難復原 – 透過雲端強大的運算能力與可彈性調配的資源，對於無法接受IT服務中斷的企業而言，可以透過雲端來達成應用程式與資料備援的目標，一旦事故發生而需要在另一個地點重啟服務，服務供應商可快速提供在不同地點的應用程式、資料存取和IT基礎設施所需要的各項資源。

盡可能識別並管理雲端風險

藉由雲端所提供的安全服務，雖然能為企業帶來許多優勢，但同樣地它也具備了雲端服務共同存在的弱點與風險，例如企業必須確保網路的暢通與安全的連線管道，才能放心的採用雲端安全服務；雲端安全服務同樣依賴服務供應商與使用者所簽訂的服務等級協議(SLA)規範，一旦協議內容不夠完善或是服務供應商無法達成使用者的要求，使用者同樣需要預先考慮雲端服務的可移植性和資料移轉的問題，這些都是所有雲端服務不可輕易忽視的重點。

最後要提醒大家，目前雲端服務仍在不斷演進與成長之中，雖然雲端運算安全指南已為我們點出了需要關切的安全問題，但是仍然有許多未知的安全風險可能產生，我們唯有持續並盡可能地意識到可能的風險，才有辦法去管理風險，並且將風險降到可以接受的程度。希望這一系列的文章，能夠給所有服務供應商和使用者作為參考，並且讓我們一起來共同努力，才能打造出更好的雲端運算環境，提供更加安全便利的各項雲端服務。(本文刊載於2012年12月號網管人雜誌)

[參考資料]
CSA：Security Guidance for Critical Areas of Focus in Cloud Computing

[證照] CCSK v3 考試正式上線

Tue, 26 Feb 2013 14:01:00 +0000

目前CSA網站已正式提供CCSK v3版本的考試，新舊版本考試的主要差異如下：

考試題目增加為60題，應考時間也增長為90分鐘。(v2.1的題目為50題，時間為60分鐘)
如果之前您就已經付費並取得舊版CCSK的考試許可，也可以直接使用它來參加新版的考試。
如果您之前都是以安全指南v2.1的內容來準備CCSK考試，在2013年12月31日之前還可以選擇參加舊版的考試。
對於已經通過考試並取得CCSK v2.1證書的人，並不需要參加新版考試來維持證書的有效性。在2013Q3，CSA將會提供一個免費的線上自我學習升級模組，讓所有取得CCSK的人都可以更新到v3版本。
從2013年5月開始，CCSK考試費用將調整為345美元(v2.1為295美元)，一樣擁有兩次的考試機會，如果您之前就已經付完費用，或是在5月1日前先付費取得了考試許可，它都不會過期並可在任何時間參加考試。(這也就是說想取得CCSK認證的朋友，可以趁還沒漲價之前，就趕快先去完成報名吧!)
如果想要準備CCSK v3考試，可以參考新版的考試準備指南：
https://cloudsecurityalliance.org/wp-content/uploads/2013/02/CCSK-Prep-Guide-V3.pdf

依據個人參加CCSK v3 beta版的考試經驗，新版本的考試依舊是有點難又不會太難，考題的問法和v2.1差不多，選項為多選一的方式，並搭配了幾題是非題(二選一)，也同樣需要答對80%以上考題才能過關。

至於在考試內容比例方面，v3的考試92%為安全指南的內容，8%為ENISA白皮書的內容，已經不考所謂的雲端運算常識題了。如果只研讀v2.1的安全指南內容就去應試v3，估計大概只能拿到70%的分數，所以未來勢必也要熟讀v3的安全指南內容，再加上ENISA的白皮書，才能順利通過新版的考試囉。

[資料來源]
https://cloudsecurityalliance.org/csa-news/ccsk-version-3-english-examination-is-now-available/

[觀點] 雲端運算安全入門(十二) - 雲端身分驗證與存取管理

Sun, 06 Jan 2013 14:35:00 +0000

上一次我們談到了雲端資料加密與金鑰管理的佈署重點，需要考量資料所在的位置及傳輸方式，作為選擇對應加密措施的基礎。至於在金鑰的管控方面，針對生命週期中的各個階段，金鑰本身同樣也需要實施適當的保護與備援機制，本文將說明有關雲端身分驗證與存取管理的重點。

在現今網路發達的資訊時代，每個人在每一天或多或少都會使用到各式各樣的資訊系統，像是使用電子郵件、瀏覽臉書，或是進行網路購物、線上拍賣，甚至是網路銀行等。基本上，每當使用者登入資訊系統，並且能夠存取資訊時，至少都會經過三個階段，首先是要確認使用者的身分，其次是系統會決定給予使用者的權限，最後則是留下驗證與授權的各項記錄，以確認是否符合相關政策與程序的要求。

在還沒有雲端服務之前，以上所提到的三個階段，幾乎都是在企業的內部環境中進行，由資訊部門自行來管控，並且互相協調網路、系統和使用的應用程式。但是隨著企業採用了雲端服務之後，這些作業方式就可能會跨出企業的邊界之外，改為由服務供應商來協助提供，而且隨著所採用的雲端服務模式與部署架構，有關身分驗證與存取管理的方式將變得複雜，同時也無法完全由企業內部的資訊部門來完全掌控。

提供身分驗證的安全機制

針對身分驗證與存取管理，業界普遍所提供的資安解決方案稱之為IAM(Identity and Access Management)，在IAM之中至少會有三個層面是必須重視的，分別為驗證(Authentication)、授權(Authorization)及稽核(Auditing)。

在驗證方面，一旦使用者要求登入資訊系統時，必須要確認使用者或是提出要求登入的另一系統或應用程式的身分，所以將會採取一個身分驗證的流程。目前，資訊系統用來驗證身分的方式，不外乎有以下三種：

你知(What you know) – 這是一種最常見，也是所有資訊系統幾乎都會內建的一種身分驗證方式，例如以使用者所知曉的帳號與密碼、約定的暗號及預先設好的問題答案等，這些都是可作為確認使用者身分的一種方式。
你有(What you have) – 藉由使用者持有獨一無二的物件，作為識別身分的憑據，常見的像是身分證(ID card)、提款卡、電子憑證等，作為佐證來判定使用者的合法身分。
你是(What you are) – 這是目前成本比較高昂，也是較難被破解的一種身分驗證方式，所採取的作法就是確認使用者的生物特徵，例如指紋、虹膜、視網膜、臉型、聲音、掌紋、指靜脈等。以上所提到的身分驗證方式，無論是哪一種都可以作為獨立的驗證方法，但是如果能夠同時採取兩種以上的驗證方式，其安全強度將遠遠高於只採取一種的作法，這也就是俗稱的多因素驗證方式，可以有效降低冒用他人身分的情況發生。

在通過驗證之後，並不代表使用者即可完全掌控系統，必須還要依照其身分來賦予適當的安全權限，在這裡有一項資安原則是必須要遵循的，稱之為最小權限原則(principle of least privilege)，也就是說對於使用者，只需要給予其作業所需的最小權限即可，而不是直接給予管理者或其他過大的權限。

無論使用者的身分是一般使用者或是系統管理者，在操作資訊系統的過程中，都必須要保留各項的記錄，以評估應如何適當控制其在合理的使用範圍內，並且可作為確認其是否遵守各項作業程序和政策要求，同時分析可能的安全事件，以降低系統所面臨的資安風險。

身分驗證的佈署方式

對傳統的資訊應用服務而言，在身分驗證方面採取的作法並不複雜，通常是在企業內部架設專屬的目務服務(Directory service)伺服器，並且設定各項存取政策(Policy)，讓各個用戶端設備及使用者，可以連接企業內部的目錄服務，並且可提供給各項應用服務來使用，以減少重覆登入的情況，同時也可串接多重的身分認證來源。

在這種架構之下，即使某些目錄服務有可能位於外部供應商所提供的伺服器中，但通常這是為了避免進行身分驗證時的效能問題，而將目錄服務同步至此一伺服器上，並非由外向內來進行覆寫，在風險方面仍是可以掌控的。換句話說，傳統作法的身分驗證機制，通常都是位於獨立的伺服器上，但是對雲端服務而言，身分驗證的方式卻可能會來自於不同的來源，所需要的授權流程也將改為必須依照供應商所制訂的方式來進行。

企業在採取雲端服務之前，對於身分驗證和存取管理，有以下幾個要素是必須要事先考量的：

身分供應方式 – 對於採用公有雲端服務的企業來說，創建新的使用者和回收已開設的帳號，將是必要的作業流程，所以了解服務供應商是如何提供所需的使用者帳號，以及如何刪除不再使用的帳號，就是必要的功課，這也將有助於企業分析如何將現有的使用者管理方式，進一步延伸至雲端服務之中。

身分驗證方式 – 一旦企業開始採用雲端服務，如何確保所採用的身分驗證機制具有足夠的安全強度，避免受到外來的破解入侵，將是不可輕忽的重點，因此了解雲端供應商的身分驗證方式，包括是否採取了多因素驗證或憑證管理，才可判斷此項雲端服務能否符合企業對於安全的信任和期望。

身分管理聯盟 – 在雲端服務之中，有所謂的身分供應商(IdP)是可以提供企業和服務供應商之間所需的身分管理服務，這時候，了解身分供應商與服務供應商彼此的合作關係，以及對於身分生命週期的管理就顯得相當重要，企業也勢必要了解這種作法，是否可以有效保護系統的安全性，以及確保資料的機密性與完整性。

身分驗證與存取管理的建議

在CSA的雲端運算關鍵指南中，對於身分驗證和存取管理，提出了以下建議，可作為企業在採用雲端服務時的評估基準與參考：

目前的雲端服務，藉由供應商所提供的身分驗證功能，可能無法完全滿足企業所需的功能要求，在這種情況之下，建議企業仍要避免採用獨特的身分連結與管理方式，否則將會增加身分管理的複雜性，以及未來無法易於遷移的問題。
採取業界標準的身分連結方式是最好的，像是目前廣泛運用的SPML模式，如果供應商支援此一服務供應標記語言，將會降低身分管理的獨特性，必要時企業也需要修改其身分授權的資料庫，以便延伸至雲端服務之中。
在身分證認方面，企業通常有兩種選擇，一種是採用企業認證，藉由身分驗證供應商所提供的服務，以聯盟方式來建立與雲端服務供應商的信任。另一種則是讓使用者以個人的名義，透過普遍應用的公有服務，像是Google、Yahoo、Windows live及Open ID等來建立可在多個網站使用的身分憑證。
如果企業使用的是IaaS的基礎服務，為了達成伺服器的管理要求，利用VPN來建立專屬通道，會是較為簡易的驗證方式，若是直接透過應用程式進行相互連結，那麼採用SSL的加密協定是必要的作法，應該確保應用程式在一開始設計時，即具備可接受此一形式的身分驗證。
隨著雲端服務愈來愈多，各項系統的身分驗證要求將形成企業運作的負擔，因此透過身分聯盟來減少登錄系統的要求是可行的作法，但要注意的是在不同的服務供應商之間，如何確保身分驗證的有效性，並提供所需的身分週期管理，將成為評估雲端服務供應商時的重要關鍵。

在雲端的環境之中，各項服務的應用都非常仰賴使用者的帳號和身分，一旦使用者的身分受到冒用或盜用，勢必對企業的營運和資訊安全會造成龐大衝擊，因此選擇具備一定強度以上的身分驗證方式，並事先了解可能面臨的安全風險，絕對是企業必要的功課之一，尤其是雲端服務很可能讓傳統的身分驗證變得更加複雜，並且產生以前所未知的資安風險，這是所有採取雲端服務的企業，務必要有的認知與挑戰。(本文刊載於2012年11月號網管人雜誌)

[參考資料]
CSA：Security Guidance for Critical Areas of Focus in Cloud Computing

[觀點] 雲端運算安全入門(十一) - 雲端資料加密與金鑰管理

Sat, 24 Nov 2012 02:44:00 +0000

上一次談到了雲端環境對應用程式部署的影響，我們需要考量資料控制、資源共享和法規問題所可能帶來的風險，更應確保一開始在軟體開發生命週期中，已將安全問題納入成為檢測的重點之一，本期我們將探討雲端資料加密與金鑰管理。

在雲端運算服務之中，若以公有雲為例，雲端資料的儲存基本上是以委外方式來進行，這意味著除了同一個儲存資源會由多個用戶來共享之外，系統管理人員也可能會擁有可存取資料的權限，因此，如何確保資料的機密性與完整性，這是在雲端安全中最常被提出來探討的問題。

相對於傳統的IT服務而言，企業資料皆是存放在內部並且透過內網來傳輸和交換，如果擔心資料可能外洩或受到不當的竄改，最簡單的方式就是採取加密機制。例如使用電子憑證或壓縮加密方式，針對檔案本身來進行加密；或者是針對網路傳輸的管道加密，像是採用VPN或SSL加密等，當然兩種方式也是可以同時使用的。

可是一旦轉換到雲端的環境之中，企業到底該如何來因應這樣的情況呢？一般而言，傳統的加密方式在雲端之上仍舊是可行的，只不過在應用的過程中可能會讓作業模式變得較為複雜，進而違背了當初選擇採用雲端服務可以簡化資訊服務的初衷，所以是否要採取加密的作法，往往會讓企業陷於兩難的思考。

評估資料轉移後的安全

針對重要的商業營運的機密性或是和個人有關的敏感性資料，我們實施安全管控的目的是希望能確保它的安全，因此可能會採用身分驗證、存取控制和資料加密等種種措施來加以防護。不過，當資料可能從原先受到良好控制的環境，移動到不同的儲存地點或儲存媒體時，必須注意到原有的安全機制是否仍然存在。

舉例來說，某些資料存放在內部檔案伺服器時，在存取時會受到帳號密碼和系統權限的控管，但是當這些資料備份到磁帶之後，原先的安全機制可能會無法生效，因此必須採用其他補償性的作法，包括檔案加密、可上鎖的容器、專人遞送等，都是可行的辦法之一。同理，一旦資料移轉到雲端環境之中，也千萬別忘了要採用對應的安全措施，以避免資料受到侵害事件的發生。

雲端加密的佈署重點

對許多的雲端服務供應商來說，為了提高用戶對於雲端服務的信心，同時也避免可能的資料外洩問題，在其所提供的服務中，資料加密往往會是標準的安全配備之一，只是對於雲端用戶來說，除了期待供應商能夠提供這樣的安全機制之外，為避免可能會有供應商的內部員工不當存取，以及確保未來資料可以徹底的銷毀，也會採用自我的加密方式，為資料安全提供更多一層的保障，同時也降低對於供應商的過多依賴。

目前，在雲端環境之中，企業需要考量的加密實施重點，大致有以下三個層面：

加密靜態存放的資料 – 對於採用雲端儲存的用戶，如果資料需要長期的存放，可在採取自行加密之後，再傳輸到服務供應商所提供的儲存環境，這樣的作法可以讓用戶管理加密的金鑰，在必要時再自行將資料加以解密。

加密動態傳輸的資料 – 一旦資料離開可自行控管的安全邊界，需要傳輸到服務供應商所提供的雲端環境之中，並且在供應商的網路進行傳輸時，必須要確保資料能受到妥善防護。所以在選擇服務供應商時，就要先了解其針對資料傳輸的實際作法，評估是否具備所需的安全強度，並且明訂在合約之中。

加密備份媒體的資料 – 資料的備份若是採用一般的備份媒體如磁帶、光碟等，服務供應商通常會提供相關的加密作法，但這也會需要用戶來自行驗證加密的可靠性，並且確認資料可以在解密之後完全復原。

萬一在雲端的環境之中，實施資料加密的方式是有困難的，而且可能會對用戶或服務供應商的營運流程造成干擾，其實還有一些替代性的作法。例如用戶可以依賴供應商所提供的整體安全機制，但是當發現傳輸至雲端的資料若含有敏感性內容時，可以利用自行建置的資安產品技術，在資料傳輸之前將它修改，並加入可追蹤的資料標記。另外，如果傳輸的是可識別至特定個人的資料，也可以預先將特定的欄位內容進行模糊化，例如姓名、身分證字號、信用卡號等，以避免違反了個資法規的要求。

金鑰管理的安全建議

在雲端環境之中，採用加密的好處是可以強化資料的存取安全，同時也能確保一旦資料需要徹底銷毀時，透過銷毀加密所使用的金鑰，讓資料不會殘存在服務供應商或是輕易地被還原。但是考量到雲端多租戶的特性，對於公有雲的服務，使用單一金鑰方式來加密所傳輸和儲存的資料是不被建議的，而且為了避免過度依賴供應商，建議由用戶自行來維護加密機制並進行金鑰管理，將是比較適合的安全作法。

基本上，雲端的金鑰管理方式，相較於傳統金鑰管理要求是相同的，其考量的重點包括了：

金鑰的儲存保護 – 金鑰的處理方式應如同其他敏感的資料，因此在傳輸、存放、備份時都需要受到妥善的防護，尤其是金鑰的儲存地點要避免和加密資料位於相同的儲存媒體，以避免連帶性的災難同時發生。

金鑰的存取控制 – 誰可以取得並使用金鑰，是金鑰存取控制實施的重點，為了限制只有特定的個體才可使用，因此強健的身分驗證機制和職務角色的分離，都可以預防發生不當的資料存取事件。

金鑰的備份還原 – 金鑰一旦遺失，也就意味著資料再也回不去了，所以針對經過加密的重要資料，必須建立其安全的金鑰備份機制，在管理的作法方面，可以參考一些國際的協議和標準，例如OASIS和IEEE1619.3等。

在CSA的雲端運算關鍵指南中，針對金鑰管理方面，也提出了以下可供參考的建議：

無論採取何種加密和解密的產品方案，都應採取業界認可的金鑰管理實務作法(best practice)，並確認其來源的可靠性，加密方式也要依循相關的行業要求與政府標準，避免採用老式的加密作法如DES等。
請建立一系列的權責區分運作方式，例如將雲端服務供應商和金鑰管理方式分開，並且了解供應商的人員管理是否實施了職責分離，以避免系統管理員權限過大。
如果金鑰管理的機制是由雲端服務供應商所提供的，必須要確保金鑰的產生、使用、儲存、備份、還原和銷毀等生命周期，已經有適當的定義並導入管理作法，並且也要了解供應商如何區隔與管理多租戶在金鑰方面的使用。
針對金鑰的註冊和使用流程應進行完整的測試，尤其當企業採用了DLP方案或檔案內容偵測系統時，應確認相關的加解密動作可以順利的進行。
建議可將加密機制與金鑰管理運作與企業的身分驗證機制相結合，將可獲得彈性化的運作，並且易於進行安全審查和稽核。
包括靜態、傳輸和備份的資料，都應該納入加密的考量，如果採用了IaaS服務，包括虛擬機器(VM)的加密機制，也必須事前進行評估和了解。

了解您的雲端安全責任

在雲端服務之中，藉由服務供應商所提供的操作介面，我們看似可針對所擁有的資料進行上傳、編輯、下載等，進行種種的管理，但事實上用戶對於資料的掌控是受到限制的，例如無法得知資料實際所在的位置、資料被備份存放的地點，以及資料是否已完全進行銷毀等。因此，若想要避免可能的資安問題，並非都只是將責任完全轉嫁給服務供應商，自己不需要採取任何的安全措施。

當然，安全控管的實施內容是取決於用戶如何看待其所存放的資料，從現階段來看，在雲端服務之中，資料加密和金鑰管理已是可用來保護資料的機制，至於該如何實施，這就牽涉到用戶本身的企業營運模式，也請您務必要將法規風險放在其中來加以審慎評估了。(本文刊載於2012年10月號網管人雜誌)

[參考資料]
CSA：Security Guidance for Critical Areas of Focus in Cloud Computing

[觀點] 雲端運算安全入門(十) - 雲端上的應用程式安全

Sun, 04 Nov 2012 13:11:00 +0000

上一次說明了資料中心的營運重點，包括如何更有效率地管理與因應雲端服務所衍生的彈性化需求，也提到了必須要求服務供應商在發生資安事故時進行通報，並依照事前所擬定的應變流程進行處理，同時也要保留相關的記錄作為事故檢討，本文將探討在雲端之上的應用程式安全。

資訊科技改變了世界，影響了所有人的生活，藉由資訊科技所提供的各項資訊服務，使得企業的經營運作更加地便利。對於傳統主從式架構(Client-Server)的應用服務而言，無論其資訊應用是檔案存取、電子郵件或是網頁瀏覽等，在程式的開發設計與維運方面，許多企業都累積了多年的經驗因而駕輕就熟，針對來自於軟體、作業系統、網路架構等可能產生的安全風險，隨著許多資安事件的發生，慢慢地也產生了安全意識與認知。

不過，隨著雲端運算的出現，當這些應用程式部署到雲端之中，無論採用的型式是軟體即服務(SaaS)、平台即服務(PaaS)或基礎架構即服務(IaaS)，依照其服務型式的不同，應用程式的安全管理卻變成了一大挑戰。其主要的原因是傳統的應用服務大都來自企業本身資訊部門，無論開發、部署、維運、事件處理，有任何問題都能找到對應的窗口與負責的人員，但是對公有雲的雲端服務而言，本質上就是一項委外服務，也就表示以往既有的安全管控作法，也就必須要延伸至服務供應商的領域之中。

雲端環境對應用程式的影響

隨著雲端運算的廣泛運用，一旦將應用服務移轉至雲端環境之中，部署至雲端的應用程式，就會與多種不同的系統之間彼此產生依賴關係，這對於應用程式的配置與部署將變得十分複雜，而且在管理的責任方面，甚至有可能因為應用服務的運作資源，分別屬於不同的服務供應商，當有問題發生時，也就需要花費更多心力在協調與溝通。

此外，如果使用服務供應商所提供的雲端開發工具，在應用程式開發過程中就會影響既有的軟體開發生命週期(SDLC)，包括了設計、開發、文件管理、品質管理、測試、上線、維運與除役等過程，這些與企業既有的作法可能會有明顯的不同，而且開發工具的提供是來自於服務供應商，因此工具的可用性與安全責任的歸屬，必須要在事前就進行討論並達成共識，以避免日後產生不必要的爭議。

更重要的是，傳統上像是由網站應用程式所提供的資訊應用服務，本身就面對了許多來自基礎設施、作業系統、應用程式本身、網路架構的弱點等，所衍生出的資訊安全問題，這些問題一旦未獲得適當的控制或解決，當它部署到雲端環境之中，這些安全弱點同樣是存在的，而且有可能引發來自外部眾多安全威脅的利用，所以就需要我們在安全方面實施有效的管理與更多的關注。

確保雲端應用程式的安全

無論是雲端服務供應商或是用戶，針對支持應用程式運作的系統和相關存取的資料，都必須事先了解其可能面臨的安全風險，一般而言，其主要的風險包括：

缺乏安全管理 - 管理階層沒有意識到雲端服務可能帶來的新風險，缺少安全政策可作為依據來實施管理和稽核，也沒有實施對應的安全措施。

資料難以控制 - 雲端的特徵是資源虛擬化，並同時提供給眾多的用戶來使用，雖然用戶看似可以管理雲端上的資料，但實際上卻難以得知資料的所在地，以及相關的存取與銷毀作法，這一切都需要依賴服務供應商來協助進行。

資源隔離問題 - 由於雲端的多租戶特性，可讓來自世界各地的用戶共享資源，一旦供應商無法有效隔離共用的資源，保持像是記憶體、儲存空間、網路傳輸的獨立性，就可能會導致資訊的機密性、完整性和可用性受到侵害。

法規遵循問題 - 雲端服務打破了疆界的限制，也面臨了不同區域和產業的法規要求，礙於雲端服務本身的透明度先天不足，如果缺乏後天有效的監控機制，服務供應商也無法提出相關的法規遵循保證，將使雲端服務面臨可能違反法規的問題。

為了因應雲端服務的安全風險，企業的管理階層需要及時提供雲端所需的各項資源，以確保有足夠的能量來因應可能發生的雲端安全問題，因此，若能在事前擬定一個應用程式安全確保計畫(Application Security Assurance Program)，將會是比較好的作法。

在這份計畫之中，至少需要涵蓋應用程式的設計、開發、部署、轉移與維護等過程，並且設定明確的目標與可量測的方式，以及如何實施與追蹤確認等，同時也要為應用程式設定所需的隱私與安全政策，以符合法令法規的要求。此外，應用程式在雲端上的相容性問題，也是不可忽視的重點，建議在程式開發的過程中，即確保使用業界認可或標準的工具與程式語言，以避免存在已久的安全弱點或相容性問題發生。

至於資料的存取安全問題，則應確認服務供應商提供了足夠強度的身分驗證機制，並且採用適當的隔離作法，在應用程式的組態與變更管理方面，除了建立標準的作業流程，更應保留和提供可稽核的各項日誌記錄。由於雲端服務在安全風險方面有繼承的特性，所以也要了解應用程式底下的開發平台運作、基礎設施的實體安全，尤其當這些服務是來自於服務供應商本身所倚賴的第三方供應商。

雲端應用程式的佈署建議

針對雲端應用程式的有效佈署，並且降低可能的安全風險，以下是來自雲端運算關鍵領域指南中所提供的實務建議：

傳統的應用程式開發流程強調軟體開發生命週期(SDLC)，即使到了雲端環境也仍然要繼續維持，在各項流程之中所設定的檢查點，需要納入資訊安全的要求，包括針對雲端安全威脅與弱點的評估、系統上線前的安全檢測等。
當應用程式之間的通訊必須跨越不同主機時，即使主機是位於同一個資料中心，或是以虛擬主機型式存在同一台實體主機上，也不要預先假設在彼此之間的通訊是安全的，安全通道的建立與加密機制的採用仍是必要的安全措施。
針對雲端應用程式的運作，需要了解其日誌(log)的產生與儲存方式，因為相關的系統訊息可能是敏感的，所以對於應用程式日誌和測試記錄，其儲存的地點與安全控管就顯得十分重要。
在考慮各項針對雲端的資安威脅時，除了來自外部的入侵行為之外，不要遺漏了內部管理可能的人員威脅，因此需要確保人員的「最小權限原則」與「職責區分」，避免權限過大或是集中在某一特定的人士手中。
評估合法用戶可能的非法入侵或濫用問題，建議可採取縱深防禦的方式，也就是在不同的階層實施安全管控，例如採取虛擬主機隔離、資料加密、金鑰管理等，並確認當系統發生錯誤時，預設應為禁止使用者和其應用程序來存取系統。
對於雲端應用程式的漏洞修補與安全檢測，應採用合適的工具與流程，事先評估漏洞修補的影響層面與必要性，將有助於萬一因修補而導致意外的資安事故時，可因應的處理方式與範圍。
用戶若是需要針對服務供應商所提供的應用程式、開發平台或基礎設施進行弱點評估或滲透測試時，務必事先取得供應商的同意或明訂於合約之中。由於雲端服務具有多租戶的特性，為避免無法分辨合法的測試或是實際攻擊行為，一般供應商都會限制評估測試的範圍，甚至也可能會拒絕此一要求，此時就應尋求其他的替代方案，例如由供應商定期自行測試，並且提供評估報告。
實施原始碼檢測(Code review)，定義所採取的作法和所依循的標準，評估常見的問題(如Buffer Overflows, SQL injection)，並進行動態的原始碼分析，以便在發現弱點時可以進行修補。此外，應避免在雲端主機上揭露過多的應用程式運作資訊，並對第三方所提供的程式庫(binary)進行弱點評估。

在雲端之上的應用程式，其牽涉的安全議題相當的廣泛，對企業而言，最簡單的方法還是回歸到在部署之前，即預先建立應用程式的安全確保計畫，以進行應用程式的風險評估，了解應用程式可能對企業產生的衝擊，以及是否可以有效採取對應的安全控制措施，作為判斷此應用程式是否適合部署至雲端之上的基礎。

其次，在應用程式運作的過程中，需要了解相關的組態變更管理與事件處理作法，並且要求定期實施測試、稽核或檢視其運作狀態。

最後，請用戶務必與服務供應商維持良好的溝通管道，以因應法規要求來獲得各項必要的協助與支援，這樣將可讓雲端服務成為企業營運的利器，不致於對營運反而產生不必要的風險。 (本文刊載於2012年9月號網管人雜誌)

[參考資料]
CSA：Security Guidance for Critical Areas of Focus in Cloud Computing

[觀點] 雲端運算安全入門(九) - 資料中心營運與事故回應處理

Mon, 29 Oct 2012 15:36:00 +0000

上一期說明了傳統的實體環境安全、營運持續計劃和災難復原，與雲端運算之間所具有的緊密關係，這些傳統的資安問題，仍然會深深地影響雲端服務的佈署與運作，接下來本期將要說明資料中心營運與資安事故的處理與因應事項。

在雲端服務還沒有成為熱門的議題之前，資料中心就已經存在IT的運作環境之中，因為資料中心可以提供共享的資源，包括伺服主機、儲存設備等，透過集中化的方式以達到更有效率的管理。但是傳統的資料中心，通常為了滿足擴充的需求，在設計架構上會特別提供超出水準之上的資源，一旦若是閒置而未充分地利用，相對地反而耗費了許多管理與能源消耗的成本。

隨著雲端服務的興起，資料中心的資源共享模式，正好滿足了雲端服務的主要特徵，因此資料中心的建置數量也隨之不斷地增長，以提供更多雲端服務所需要的運算資源，而且傳統閒置資源可能造成的浪費，也透過如虛擬化技術的運用，可以實施彈性且自由度高的擴充作法，以最佳化各項硬體設備與支援服務的使用。

評估資料中心的服務能量

對雲端服務的用戶而言，在一開始評估是否要採用雲端服務，並且選擇合適的服務供應商時，就應該將服務供應商是否有能力可提供所需的運算資源、可彈性地擴充調配，並具有足夠的成本價格競爭力納入考量。同時，更重要的是在提供雲端服務的過程中，是否有足夠的能力可以因應處理可能發生的資安問題，這包括了基礎設施與技術架構的設計、符合要求的服務持續性與可用性，以及在資安事故發生時的回應速度與處理的可靠性等。

事實上，在採用雲端服務之前，就要對資料中心進行有效的評估並不容易，因為這有賴於服務供應商願意配合的程度，以及用戶本身對於基礎設施與技術架構的理解能力。用戶除了可親自到場觀察資料中心的軟硬體設備之外，將各項服務水準指標呈現在服務等級協議(SLA)之中，並且獲得供應商的確認與回覆，通常也會是比較可行的作法。

另外，透過詢問相關的服務問題，也將有助於用戶進行事前評估，例如了解供應商是否依賴第三方提供服務運作所需的資源？當用戶需要擴充運算資源時，供應商如何進行動態的調整配置？一旦所租用的資源達到上限時，供應商如何即時地將更多資源不中斷地提供給用戶？請觀察服務供應商對這些問題的回應，是否可以滿足自己的規劃與需求。

選擇資料中心的評估建議

當用戶與雲端服務供應商簽訂合約時，在資料中心的運作方面，CSA的雲端運算關鍵領域指南，提出了以下建議可作為用戶的參考：

用戶必須評估服務供應商所提供的雲端運算服務，是否可滿足雲端運算的五大關鍵特徵，包括廣泛的網路存取方式、快速且彈性的架構、可量測的服務、按照需求自行調配、虛擬化的資源池等，以了解其基礎設施和技術架構，是否可達到服務等級協議的要求。
了解服務供應商如何進行資源的彈態調配以及主要來源，在服務等級協議之中清楚的設定各項服務指標，確保彼此在一個可量測的基礎之上來擬定合約內容。
了解服務供應商是否有持續改善或擴充資源的計劃，一旦服務供應商本身在政策、作業流程、應用工具的改變，都有可能對用戶所採用的服務造成影響，如果服務供應商承諾將會持續地優化其服務內容，這將會是服務供應商良好的市場競爭條件。
由於雲端服務的多租戶特性，請評估服務供應商在提供眾多客戶相同的服務時，在系統、網路、資料、人員和管理方面，是否能夠達到有效的隔離與職責區分，以避免不同用戶之間可能產生的干擾與影響。
對雲端服務供應商而言，提供技術服務的窗口或是服務台(helpdesk)，會是影響客戶觀感的重要項目，因此提供標準化的作業流程與工具，將能夠大幅提升問題處理的能力。對於用戶來說，如果服務供應商的服務支援方式與組織內部的IT服務方式相同，就能更有效地處理可能發生的事故或問題。
針對營運持續的問題，用戶應了解服務供應商的營運持續與災難復原計畫，評估其進行事故處理的方式，例如如何為系統更新修補程式，是否有既定的政策與流程？是否進行演練，以驗證各項計畫的有效性等。換個角度來看，用戶也應將採用雲端服務，在服務中斷時可能造成的影響與處理方法，納入本身的營運持續管理之中。

了解資安事故監控與通報

雲端運算服務的特色與傳統IT服務有著明顯的不同，它不再只是單一服務，提供給單一用戶來使用，因此只要有一些小小的變動，都有可能影響到眾多來自不同組織的的用戶，所以在資安事故的處理方面，更需要小心謹慎地來進行，而且為了滿足不同用戶的需求，更需要建立有效的應變機制才行。

在雲端的世界裡，資安事故的發生不可能百分之一百的避免，因此一定要有對應的處理方式，尤其是雲端服務牽涉到IT基礎的設施架構、應用程式部署的平台環境，以及應用程式本身的運作，其中只有要任一環節的疏忽，都可能對雲端服務造成重大的影響，例如造成不當的資料遺失或服務中斷等，這些都需要相關的知識與專業技術才能有效地避免。

用戶必須了解供應商如何去蒐集與雲端服務運作有關的資料，並且持續地進行分析判斷，一旦判定其為可能的事故，如何在最短的時間內，採用何種方式通報給用戶，同時進行事故的回應與處理。在雲端服務的環境之中，由於資料存放的位置難以掌握，因此在不同國家所發生的事故，所要遵循的法規和處理流程可能有所不同，是否有可能因為法律的調查要求，而間接影響到用戶所租用的雲端服務，建議在合約中要求供應商作出適當的說明，用戶再評估是否可接受此一風險。

未來，隨著個人資料保護法的實施，在資安事故的應變處理將產生更大的挑戰，如果某一資安事故中包含了個人資料的不當存取或遺失，那麼在處理過程中，如何依照法律的要求進行通報，並且有效地保護事故處理過程中有關的各項證據，是服務供應商需要妥善規劃的項目，這也是用戶在選擇採用服務供應商，評估是否使用雲端服務來處理與個人有關的資料時，不可忽略的重點之一。

資安事故應變處理的建議

在雲端服務的運作過程之中，難免都會遇到與資安相關的問題，如果沒有適當的因應作法，很可能就會演變成影響業務運作的重大事故，因此用戶在資安事故的預防溝通與服務供應商的應變處理作法，將會成為風險管理的重要關鍵，以下是雲端運算關鍵領域指南中所提供的實務建議：

無論採用的是哪一家服務供應商所提供的雲端服務，都必須事先了解其對於資安事件的監控方式與事故處理流程，用戶可要求服務供應商提供並說明其事故處理的應變計畫，以及應變計畫的測試與演練記錄。另外，在服務部署之前，更要清楚的定義哪些屬於一般的事件警示(例如系統效能不足)？哪些屬於需要進行立即處理的事故(例如資料損毀或遣失)？

在一個動態變動的雲端環境之中，對傳統的鑑識行為是一個很大的挑戰，包括設定事故調查的範圍、證據蒐集的方式、保留資料的完整性及確認符合證據力的鑑識過程等。因此在服務合約或服務等級協議中，必須清楚地明訂資安事故的因應處理事項，其中也應包括事故相關記錄的蒐集、檢驗、分析和鑑識報告。

當事故發生時，如何調閱及提供事故相關的記錄，對用戶來說是不可或缺的，因為在多租戶的使用環境中，如何分離出與事故有關的資料，並且不侵犯到其他用戶的隱私，在技術面與流程面都是供應商的一項考驗。另外，一旦事故是採取系統回復的方式來處理，那麼事故過程的日誌記錄是否能夠保留並提供調閱，也是需要事先確認的。不過，隨著虛擬化技術的應用，在某些層面上，系統的分析與監控是持續運行的，這將會縮短事故發現與回應的時間，而且相關的虛擬映像檔，也可以快速地轉移到其他地點進行保存和檢驗，這對於事故鑑識也會形成一大幫助。

雲端服務的用戶，對於供應商進行事故調查的參與可能非常有限，尤其是隨著所採用雲端服務的型式不同，針對事故鑑識調查的能力也會有著很大的差異。以IaaS服務來說，用戶可以在所租用的虛擬主機中，使用鑑識工具進行主機的事故調查，但是在基礎設施如網路、儲存設備的記錄調閱方面，就有賴於服務供應商的協助；至於PaaS和SaaS的調查，因為涵蓋了應用平台的API介面與應用程式的運作部署，相關的記錄更需要依賴服務供應商的大力支援，才有辦法判定可能的事故原因是位於哪一層面(例如有缺陷的API或應用程式的漏洞)，因此用戶與服務供應商更需要緊密的配合才行。

請事先了解有哪些服務運作記錄將會被留存和其所保存的期限，相關日誌記錄的範圍可能包括網路系統、安全設備、應用程式、系統管理員登入與存取、備份與還原、組態變更、系統效能、系統錯誤訊息等。同時，用戶也必須了解服務供應商是否有防止竄改的安全措施(例如加密)，以確保記錄的有效性。(本文刊載於2012年8月號網管人雜誌)

[參考資料]
CSA：Security Guidance for Critical Areas of Focus in Cloud Computing

[觀點] 雲端運算安全入門(八) - 傳統安全、營運持續與災難復原

Wed, 26 Sep 2012 15:11:00 +0000

上一篇我們說明了關於雲端服務的相互運作與可移植性，這是屬於雲端治理部分的最後一項安全領域，接下來將會解說雲端營運的部分，會牽涉到許多的技術性安全議題，這也是大多數組織較為重視的地方，和IT單位也會有更密切的關係。

在「傳統安全、營運持續和災難復原」的安全領域中，雲端服務的用戶和供應商必須了解傳統的資安問題，在轉移到雲端服務的架構之後，是否都有對應的控制措施，一旦組織轉而採用或是由資訊單位本身提供雲端服務之後，對於資訊安全的控管與營運持續的要求為何？如何進行災難復原？就成為不得不去面對的一大問題。

對公有雲而言，由於雲端運算是由外部第三方所提供的服務，隨著所採用的系統主機、網路設備、儲存空間、資料本身都委外來處理，因此進行安全風險評估時，就需要確認服務供應商是否皆採取了對應的控制措施，使系統和資料都能受到妥善的防護。

若是組織建置了私有雲的話，對提供服務的內部資訊單位而言，維護主機、網路和系統的安全，更是責無旁貸的責任，針對可能面臨的資安問題與預期的風險，勢必也要有因應的處理方式。

如果從雲端服務的型式來看，上層的服務若是由下層的服務來支持提供，那麼在評估安全時，就不能不去了解底下開發平台和基礎設施可能具有的安全風險。因為在雲端服務之中，SaaS會繼承PaaS、PaaS也會繼承IaaS服務可能具有的安全問題，所以位於上層的服務供應商所需要承擔的安全責任會更多，對於底層和基礎資訊設施有關的傳統安全問題，也就不可輕易地忽略。

落實人員管理與實體安全

面對傳統的資安問題，由於牽涉的層面較廣，因此採用深層防禦的策略，分層實施控制措施，將能夠有效地降低風險。以資料中心的管理為例，實體安全是資安防禦的第一線，控制措施至少包括了安全政策、門禁與人員管制、身分識別與授權、環境偵測與監控設備、機房管理辦法、緊急應變程序、人員教育訓練等。另外，還需要確認資料中心位置地點是否合適、考量自然災害發生的可能性，以及是否取得國際標準驗證如ISO 27001、ISO 20000等，這些都可作為落實有效管理的參考。

記得千萬不要忽視人的問題，對雲端服務供應商而言，即使佈署了各項技術性的安全措施，像是防火牆、入侵偵測系統、虛擬化安全、防毒軟體等，只要有人可以直接進行機房，直接操作系統或接觸到網路設備，就可以關閉電源重啟系統，也能夠破壞網路連線，所造成的影響與立即性的衝擊，可能遠高於駭客長時間不斷地試著入侵系統，所以更需要採取適當的控制措施。

針對人員安全管理，採用職責分離的方式和最小權限原則，可以避免權限過大的情況，舉例來說，一項重要的系統變更流程，最好可以設計需要兩位不同職務的人員才能完成，並且給予工作所需的權限即可，而不直接賦予過大的管理權限。同理，在應用程式管理方面，也要避免讓程式開發人員和應用系統營運人員屬於同一人，以避免可能的安全漏洞遭到掩蓋而受到惡意人士的利用。

此外，若是敏感性或權限較大的高風險工作，在人員到職前應做適當的背景查核，確認在過去並無不當的行為記錄；到職後要給予安全宣導訓練，說明各項的資訊安全規定，並要求簽署保密協定；萬一人員有異動時，也要依據離職流程確認職務的交接，進行系統權限的停用與轉移等。

營運持續與災難復原是一體二面

雲端運算若是採用服務的方式來提供，如何確保服務不會到資安事件的影響，能夠持續有效的運作，對服務供應商而言是不可缺少的工作。從資訊安全的角度來看，所有的工作幾乎都圍繞在機密性、完整性和可用性三個要素來進行，因此和服務供應商所簽定的合約或服務等級協議中，針對這三項要素就需要明確可量測的指標，才有辦法定義在何種狀況下造成所謂的服務中斷。

營運持續計劃的有效性在整體的營運持續管理中是最重要的一環，如何證明其有效性，就來自於營運持續計劃是否完整、是否符合現況，以及是否有足夠的資源可以順利實施。在之前的雲端治理與風險管理中曾經提到，服務供應商在營運持續計畫中至少要具體說明事故發生時的應對策略、處理流程、備援機制及災難復原計畫等內容。

在應對策略方面，包括了需要成立危機應變小組(Emergency Response Team；ERT)與事件處理小組(Incident Response Team)，清楚定義人員的職責與工作；在處理流程方面，至少需要涵蓋偵測、通報、判斷、處理與記錄五項流程；萬一災難已經造成損害，需要進行各項設施或資料復原時，就要依照當初風險評鑑的結果，針對系統風險等級所設定的優先順序，以及所要求的資料復原時間點(Recovery Point Objective)和復原目標時間(Recovery Time Objective)，依序來進行還原；在災難復原計畫中，也要說明在復原過程時所需要的基本安全控制，包括復原場所的安全、人員的安全職責等。

實務可行的作法與建議

在雲端安全聯盟(CSA)所提出的雲端運算關鍵領域安全指南中，針對傳統安全、營運持續與災難復原的建議，包括：

雲端服務供應商針對用戶所需的安全要求，應該建立一個安全基準，像是系統管理、實體環境安全、人員作業程序、事件處理等，在一開始提供服務時，若能制定較為嚴格的安全要求，長遠來看除了能夠確實符合客戶符求之外，也比較會符合成本效益。
雲端服務的用戶，應該盡可能的實際到場檢查雲端服務供應商的各項安全措施，檢查項目至少要涵蓋資訊基礎設施、實體安全、營運持續管理等，但礙於雲端服務多租戶的特性，傳統的一對一的系統稽核方式可能會難以進行，因此參考第三方的獨立稽核報告，或是與其他用戶一起進行查核，會是比較可行的做法。
在雲端服務之中，雲端服務供應商的內部人員是一項主要的風險因子，因此在安全管理要求方面，用戶應該確認是否有專業的資安管理人員(例如持有CISSP、CISM、CCSK等證照)，並且了解人員的職務運作和訓練情況，確認符合了職責分離與最小權限原則。
在營運持續方面，用戶應檢視合約或服務等級協議中有關營運持續的流程與要求，確認服務供應商所提供的營運持續計畫、災難復原計畫和演練記錄。如果供應商已獲得如BS 25999或ISO 22301的營運持續管理標準驗證，或是可證明其營運持續管理已遵循了以上標準，對用戶來說將會更有保障。
針對SaaS、PaaS、IaaS等不同的服務型式，需要了解並確認服務供應商和其本身與服務供應商的依存關係，以避免因為資安風險繼承的緣故，而導致用戶的權益受損。

隨著雲端服務的日漸普及，服務供應商將會面臨客戶的要求來進行稽核，或是需要提供客戶自我稽查或第三方查核的證據，因此需要保留的文件記錄，在傳統安全、營運持續與災難復原方面，至少包括了人員職務分配表、使用者權限管理和審查記錄、系統組態變更記錄、相關人員的保密協定、營運持續和災難復原計畫、稽核報告、預防或矯正行動計劃等，這些都是可作為已落實有效安全管理的證明。(本文刊載於2012年7月號網管人雜誌)

[參考資料] CSA：Security Guidance for Critical Areas of Focus in Cloud Computing

[觀點] 雲端運算安全入門(七) - 雲端資料可移植性與相互運作

Sun, 02 Sep 2012 15:06:00 +0000

上一篇文章我們提到，針對資料一旦存放至雲端之後，應該要考量的資料安全風險和所需的控制措施，本期將針對雲端治理的最後一個知識領域「可移植性與相互運作」，說明一旦需要更換雲端服務供應商時，實務上要注意的建議與做法。

隨著雲端運算服務的蓬勃發展，對組織而言，可供選擇的服務供應商也會愈來愈多，就像一般的委外服務一樣，不見得永遠都會是可合作的夥伴，在許多情況之下，我們可能會想要更換雲端服務供應商，例如：服務供應商所提供的服務，達不到企業所需的業務要求或服務水準，甚至是無端的暫停服務或服務中斷；或是合約期滿之後，服務商提高續約的服務價格，或是想要修改合約內容，造成雙方的歧見無法達成共識等。

因此，在一開始評估選擇雲端服務供應商時，資料是否可順利移轉到其他儲存設施或同類型的服務供應商，以及服務供應商是否能夠支援資料移轉的工作，就顯得十分重要，若是等到需要處理這些資料移轉工作時，才思考到相關的配套作法，往往是緩不濟急，尤其是若在當初的合約中，並未規範相關的事項，舊有的服務供應商又不願意提供所需的支援，可能就會引起更多的問題，更別提還需要維護資料本身的安全。

個人認為，這項問題屬於雲端服務中潛藏的風險之一，因為若服務的市場機制尚未成熟，並且缺乏共通性的移轉標準，其實很難找出一個適當的方法來因應，也無法去驗證服務商所提出的方法是否確實有效。所以從安全的角度來思考，除了倚賴服務商的支援之後，雲端服務使用者本身，也要思考是否能夠以自身的能力，來降低可能的風險。例如，透過自行進行資料與環境組態的備份、一開始即選擇相同服務的不同供應商作為備援，並自行測試資料的移轉機制等。

考慮更換服務商的安全風險

隨著所採用雲端服務模式不同，在考慮可移植性時，所需要關注的重點也有所不同，例如對屬於基礎建設服務(IaaS)的虛擬主機而言，需要重視的是可用性，也就是轉移到新的服務供應商之後，是否同樣具有主機組態的控制能力，讓原來的資料存取、儲存和應用都能順利運作。

對屬於應用程式開發平台的雲端服務(PaaS)，關注的焦點則在於新的服務供應商，所提供的開發環境是否有足夠的相容性，能夠大幅降低應用程式需要修改的情況，並且能夠提供同樣的安全機制，讓所開發的應用程式能夠繼續運作。至於對雲端軟體服務如雲端儲存應用(SaaS)而言，考量的並非是相容性的問題，因為很有可能會以新的應用程式來取代舊有的應用程式，所以重要的是存放在雲端的資料，是否仍舊具有足夠的安全機制如身分驗證、資料加密等，以確認這樣的轉移不會產生新的安全風險。

IaaS移轉的安全建議

在IaaS的環境中，如果考慮要將所組用的雲端主機，移植到新的服務供應商，要注意的是基礎設施的硬體和虛擬機器(VM)的轉移問題，首先要確定的是系統中所需要運用的基本需求是什麼？這就牽涉到轉移之後將要規劃採取什麼樣的系統，是否可能會藉此一併將系統升級，所以新的服務供應商所提供的包括中央處理器(CPU)的速度、記憶體大小、硬碟容量等，就可能會影響未來在上面運作的系統是否能夠順暢的運作。

接著需要了解的是網路安全的架構，因為移轉到新的服務供應商之後，他們的網路設備和API介面可能都會不同，所以需要事先確認其功能與連接方式如何運行，以確保所需的管理功能都可以使用。如果採用的是虛擬化技術，在移植到新的服務商供應商之前，應該先了解他們採取的是哪一種虛擬化技術，無論是VMware、Hyper-V或是其他技術等，以確保VM映像檔和Hypervisor管理介面皆可正常使用，在移轉之後也必須要求舊的服務供應商必須將VM映像檔安全地刪除。

PaaS移轉的安全建議

如果在一開始採用PasS服務時，所採用的就是標準化的開發工具、程式語言、API等組件，那麼在移轉時所要花費的力氣和遭遇的問題就會少掉很多，也比較不會出現相容性的問題。若是先前使用太多客製化的工具，那麼在移轉時所遇到的困難和花費，很可能會遠比繼續使用舊有的雲端服務來得高。

對PaaS服務來說，有很多的檢查事項需要事前釐清，包括：

了解舊有服務供應商所提供的控制功能有哪些，並且與新服務供應商一一來進行比較。
了解針對資料傳輸和備份還原，是否有工具來協助進行。
了解基礎服務像是監控、日誌服務、稽核等，在新的服務供應商方面如何運作。同樣的，也要了解新的服務供應商如何對產生的資料提供所需的安全保護。
進行移轉之前需要進行測試，以確保新的服務供應商所有的服務都能正常使用，因此擬訂一份測試計畫是必須的，在計畫中說明測試步驟和釐清相關責任歸屬，並且詳細記錄各個階段的測試結果，以文件化方式來留存。

SaaS移轉的安全建議

在SaaS環境中，大多數使用者採用的是瀏覽器介面，藉由服務供應商所提供的管理功能，來使用相關的應用服務，在這裡需要關注的地方毫無疑問就是資料本身，所以如何進行資料的存取和備份就是需要理解的重點。同樣的，隨著使用的時間的愈長，資料所累積的數量也會更多，如果現有的環境中可提供相關的工具，就可以利用它來進行轉移，而伴隨著服務的使用，過去所產生的日誌、存取記錄、metadata等資料，也需要與舊有的服務供應商來協調如何取得，並且要求在服務合約中止之後，確認已經安全的銷毀。

此外，無論任何的變動，都可能產生一定的營運風險，所以在過程中的文件化記錄，將可協助我們掌控各個階段的變動，因此進行測試是在雲端服務進行移轉時，絕對不可忽略的環節。

最後，決定更換雲端服務供應商，對舊有的合作夥伴而言，一定是不樂意見到的商業行為，因此不見得願意全力支援使用者的轉移計畫，所以若能在一開始與舊有服務供應商所簽訂的合約中，能明訂未來在移轉服務時，服務供應商應提供的協助與支援，將會是最好的辦法，而對於新的服務供應商來說，在移轉之前是否能夠提供測試環境和評估的相關作業程序，以確保安全性、相容性和可用性等種種問題，對使用者來說，將可減少在服務移轉時，所面臨的營運風險。(本文刊載於2012年6月號網管人雜誌)

[參考資料]
CSA：Security Guidance for Critical Areas of Focus in Cloud Computing

[觀點] 雲端運算安全入門(六) - 雲端資料安全防護與管理

Sun, 29 Jul 2012 23:50:00 +0000

對組織而言，雲端服務和傳統資訊服務的最大不同之處，在於資料的本身不再像以往可由組織內部的資訊人員來管理，而是完全交由外部的雲端服務供應商。雖然對於用戶來說，藉由服務供應商所提供的管理介面，仍然可以針對資料進行新增、刪除、修改等動作，但事實上這樣的控制程度是很低的，因為用戶完全不清楚資料實際位於何處，以及是否已經完整的進行備份。

雲端資料的安全挑戰

由於雲端的資料會受到來自許多不同用戶端設備的存取，所以在安全風險的思考方面，至少要考慮會有誰(人員、應用程式、系統)能存取這些資料？能夠透過什麼樣的方式(設備、管道)來進行存取？

舉例來說，隨著個人雲端化的時代來臨，許多組織員工為了使用的方便性，可能會將一些含有商業活動的敏感性資料，在未經授權的情況下就上傳到雲端，也沒有依照組織的安全政策，實施加密或存取控制等相關的安全保護措施。針對這種情況，建議可以透過一些資安技術的輔助，像是資料庫或檔案存取活動的監控，以及防止資料外洩防護(DLP)方案的佈署來提供一些協助。

目前，雲端安全聯盟認為和雲端資料有關的安全挑戰，大致可分為以下幾項：

資料本身的安全 – 在傳統的IT環境中，為了達到資料的安全，我們會依照資料的機密性、完整性、可用性、真實性、認證、授權和不可否認性等要素來進行風險的評估，並且採取對應的安全控制措施，這些安全要求到了雲端的時代，仍然是不可或缺的因應作法。

資料存放的位置 – 由於雲端運算的特徵之一為服務資源是透過集中化資源池的概念來提供，可以動態且彈性的調配用戶所需的資料儲存空間，因此用戶對於資料本身所在的位置是難以控制的。如果組織對於資料存放的位置有明確的要求，就需要在合約或服務等級協議中明訂清楚，讓服務供應商來保證資料和備份檔案都會存放在所要求的地理位置內。

資料的刪除與銷毀 – 一旦用戶終止與服務供應商的合約關係，如何確保曾經存放過的資料，已被徹底有效的刪除銷毀，在實務方面來說不太容易。除了要尋求一項可用的技術，能夠有效清除包括儲存空間或虛擬主機上所存放或運算過的資料之外，另外對於資料內容自行加密，或是要求服務供應商提出資料銷毀的切結保證，將會是比較可行的因應作法。

不同用戶資料的混合 – 由於雲端服務採用了虛擬化技術，在同一個實體主機或儲存設備空間，將會提供給多個不同用戶來租用，這也就表示在同一個位置裡，可能會同時存在著不同用戶的資料，對於這些敏感資訊要如何加以區隔，以避免混合之後產生不必要的風險，也被視為是一項安全挑戰。資料的備份與重建 – 用戶需要有一項清楚的認知，就是在所有的雲端服務中，不見得都會提供備份與資料重建的功能。換句話說，在採用服務之前，用戶必須確認供應商在資料備份方面的實際作法和流程，以避免資料不會受到意外的遺失、覆蓋和損毀，建議也要定期加以測試，確認資料可真正完整的復原。

法律所需的資料發現 – 一旦所採用的雲端服務牽涉到法律案件調查時，如何發現並提供法律訴訟所需的證據，就顯得十分重要。因此，想要確保供應商能夠提供或是用戶能夠發現所需的電子證據，在實務方面仍然存在著許多困難。資料的聚合和推理 – 如果將大量的資料集中在雲端之上存放，有一個風險為當資料內容可以匯整或相互關聯參照時，也可能洩露出敏感的資訊。舉例來說，像是個人資料的內容如果可以輕易進行交叉比對，那麼所反映出的資訊可能會識別出特定的個人，進而造成個人隱私的不當揭露，因此這個問題也要予以審慎評估。

資料安全生命週期

在雲端安全聯盟(CSA)所提出的雲端運算關鍵領域安全指南中，針對資料安全的維護，認為它與一般所談的資料生命週期有所不同，必須要配合資料安全的生命週期中的各個階段，實施對應的各項安全控制措施才行。所謂的資料安全生命週期，可分為以下六個階段：

產生(Create) – 資料一旦產生，首先要做的就是針對資料進行分級分類，最常見的安全分類是將資料區分為一般、內部使用、機密、極機密等，再分別對應到不同的存取控制和安全處理要求。
儲存(Store) – 在資料的儲存階段，需要針對資料實施存取控制，依照用戶所具有的身分來賦予適當的權限。另外，相關的控制措施還包括了資料加密、權限管理及資料內容的過濾等。
使用(Use) – 在資料使用階段，安全的控制措施包括了針對存取資料的活動進行監控，並且需要依照所定義的政策來使用，在這裡也同樣會實施權限的管理。如果資料將會提供給應用程式存取使用，那麼應用程式的安全防護也會是必要的措施。
分享(Share) –資料如果需要進行傳輸或資料交換，除了實施加密機制、存取控制和確保所使用的應用程式本身的安全之外，建議的控制措施還包括可針對資料所流經過的位置，例如存放的資料庫、行動裝置與儲存媒體、採用的網路通訊協定等層面來實施安全管制，以避免資料受到不當的外洩。
歸檔(Archive) – 如果資料需要進行長時間的備份歸檔時，要注意的是所使用的儲存媒體是否已經具有足夠的安全防護，包括了資料內容進行加密處理，針對儲存媒體所存放的環境和位置來實施有效的監控與防護，以落實有效的資產管理。
銷毀(Destroy) – 一旦資料確認不需要再使用，或是終止與雲端服務供應商的合約關係時，相關的資料就應該進行安全的銷毀，並且要偵測掃瞄是否可能有殘餘的資料，如果無法確保資料已經徹底刪除，那麼對資料內容進行高強度的加密，並且銷毀所使用的金鑰，也算是一種補償性的安全控制措施。

資訊傳輸與安全建議

如果組織對於資料傳輸有高度的安全性要求，雲端運算關鍵領域安全指南也給予我們的三項可行的建議作法。首先是可針對用戶端和應用程式來進行加密，如果資料存放在用戶端設備或透過應用程式傳輸之前，就能夠實施加密，資料安全將會獲得較多的保障。其次是針對網路連線的加密，可以透過硬體設備或軟體方式，建立所需的加密連線通道，常見的作法包括SSL、VPN、SSH等，確保在點對點之間已實施了安全防護。第三項作法是採用代理伺服器(Proxy-based)的加密方式，這對於一些較為老舊或缺少加密功能的應用程式來說，最大的好處是在傳輸資料之前，能夠將資料先傳輸到代理伺服器，再透過它來實施資料加密功能。

針對資料安全的防護與管理，傳統最基本的作法就是考量如何達到資料的機密性、完整性和可用性，這些在雲端時代仍然是可用的，只是如今一旦把資料放入到雲端之中，隨著佈署模式與服務型式的不同，將會衍生出其他的安全風險，並且也會遭遇到不同的挑戰，若仍然是完全依照傳統的資料保護作法來進行，很可能會水土不服而難以因應，所以這時候組織就需要採取更多角度的控制措施了。(本文刊載於2012年5月號網管人雜誌)

[參考資料]
CSA：Security Guidance for Critical Areas of Focus in Cloud Computing

[觀點] 雲端運算安全入門(五) - 雲端法規遵循與稽核建議

Wed, 20 Jun 2012 13:11:00 +0000

上次我們談到了雲端運算的法律問題與電子證據的採集提供，對大多數由第三方所提供並且跨越國界的雲端服務而言，法律議題將會是一大挑戰。

因此，為了符合法規的要求，實施稽核將是一項必要的做法，本期將探討雲端的法規遵循事項與安全稽核建議。

許多組織由於本身所處行業屬性或是國情不同，所面臨到的法規要求也有所不同，舉例來說，像是健康醫療產業和電子商務業者，雖然他們可能採用同一雲端供應商的服務，但是對於如何維持法規的符合性，其要求的重點就會有顯著的差異。一般而言，醫療業者較為著重的是個人資料的隱私維護，而電子商務業者強調的則是交易過程的資料安全，因此如何評估雲端服務供應商所能涵蓋的資安與法規要求，將會是一開始就需要協調溝通與相互理解的重點。

因此，用戶在採用雲端服務之前，就必須要先了解供應商所提供的雲端服務是否能夠實現符合法規的要求，以及是否可能產生無法接受的風險。例如在新版個人資料保護法中，醫療資訊的蒐集是受到限制的，如果透過雲端服務去蒐集民眾的醫療相關資訊，並且作為資訊交換平台再提供給第三方合作業者的查詢利用，很可能就會有違法之虞，這時候雲端服務就不該是組織應考量的實務作法。

另外，先前曾經提過在服務供應商和用戶之間，到底該如何區隔彼此在法律上的責任，可能是容易受到遺漏的地方，對服務供應商來說，這同時也牽涉到是否有能力可以提供用戶法規遵循的相關資料，包括了能夠展現法規要求的文件、作業流程和稽核證據，以及能否配合必要的定期稽核與實施方式等，這些都將會影響用戶採用雲端服務的意願。

盡早釐清法規遵循的要求

事實上，雲端服務所具有的彈性特徵，相對於組織對法規的遵循要求，兩者之間就有如是在頭尾開往不同方向的火車機車頭，如果一方面愈是保有彈性，也就表示另一頭的法規愈難予以規範實施，而彼此之間在拉扯時所產生的營運風險，就是組織必須及早加以因應的地方。

換句話說，如果組織對於法規遵循有著高度的要求，那麼尋找有共同想法的服務供應商，將可以有效避免彼此對於法規有著不同的期待與差異發生。目前，許多的國際標準都還沒有考量到雲端服務的適用性與要求，就以最普遍的資訊安全管理標準ISO 27001為例，條文中並沒有特別提到針對雲端服務的資安控制措施。不過，這並不表示雲端服務就不適用於來自ISO 27001的安全要求，而是需要服務供應商與用戶來協調彼此能夠認可的方式。

在CSA的雲端運算關鍵領域安全指南中，對於法規遵循的問題，建議應從以下三個面向來加以探討：

首先是站在「企業治理」的角度而言，法規遵循的要求可能來自於組織內部的政策與董事會決議，也涵括了外部的法律、工業標準與合約。因此需要確保組織的管理階層、利害關係人(如股東)及營運策略(包括政策指引和控制措施)，彼此之間能夠達到一致平衡，才足以為企業作出有效的決策，這也就表示雲端服務的採用，必須要符合企業營運成長與管理目標才行。
其次是站在「企業風險管理」的立場，必須基於組織的營運目標，採行一套切實可行並且能夠識別特定事件的風險評鑑方法，藉此來評估風險存在的可能性和對組織可能造成的衝擊，以便實施適當的監控與回應，保護並且創造利害關係人可獲致的最大效益。
最後則是理解「法規遵循與稽核要求」，要能夠有效識別與企業有關的法令、規範、社會責任、合約要求等，評估萬一無法符合以上的要求時，對企業可能產生的風險和造成損害的成本，以決定所需要採取的改善行動。

雲端服務稽核實施建議
除了從服務供應商和消費者角度來看法規遵循要求之外，雲端運算也為稽核人員出了一個頭痛的難題，首先會面臨的就是到底有哪些法規適用於雲端服務，其次則是受稽方或服務供應商到底要如何展現已經符合特定法規的要求。對雲端服務的安全管理而言，實施稽核是一項必要的作法，可以確認自己或服務供應商是否已符合內部與外部的各項要求。

針對雲端服務的安全稽核，雲端運算關鍵領域安全指南也提供了以下建議：

將實施稽核的權利納入合約之中，如果雲端服務供應商已取得相關的國際認證(如ISO 27001)，則認證的相關內容可作為替代實施的參考。
用戶應要求有權獲得稽核所需的相關資訊，包括了系統架構、Log、稽核報告等。
用戶可要求雲端供應商定期審查、更新、發佈和資訊安全有關的流程與文件，包括了弱點分析與風險處理的改善行動。
雲端服務供應商與用戶之間，彼此應同意採用共同的架構與標準，以確保在安全管理與控制上的要求能夠趨於一致。
用戶應選擇熟悉雲端服務的稽核人員，對許多稽核員來說，熟悉法規條款內容已是必要的專業之一，但是面對新興的雲端應用服務，稽核員對於雲端服務的特徵、佈署模式及服務型式，勢必也要有所了解才行。

討論合約內容以尋求共識
對服務供應商和用戶而言，如何在稽核過程中，準備法規所需且充足的資料，其實是相當困難的，這也就是說，事前了解雲端服務的特徵與架構，可以讓彼此雙方站在一個良好的溝通基礎上。如果雲端服務供應商，本身已經取得相關法規標準的認證，這將會是彼此合作的最佳證明；如果缺少了法規標準認證，服務供應商也能夠提出符合要求的證明，同樣可以作為替代性的因應參考。

如果組織在法規遵循方面有一定的要求，那麼在一開始和服務供應商討論合約內容時，就應該讓法規專家能夠及早介入，以確保合約內容能夠符合組織的期待與要求。例如在合約之中，納入有權針對服務供應商實施稽核的條款，說明供應商需要配合的實施範圍與工作內容，以及需要提供給稽核人員的審查資料等。

最後要提醒的是，在討論法規遵循時，千萬不要只侷限在雲端服務供應商和採用服務的組織本身，應該也要將供應商背後的供應商和使用組織服務的終端使用者也一併納入，如果服務供應商能夠將法規遵循完全落實在雲端服務合約之中，那這很可能就是解決法規問題的良方，更有可能是吸引眾多企業和政府單位，願意投入採納雲端服務的亮點之一。(本文刊載於2012年4月號網管人雜誌)

[參考資料]
CSA：Security Guidance for Critical Areas of Focus in Cloud Computing

[觀點] 雲端運算安全入門(四) - 法律問題與電子證據蒐集

Mon, 07 May 2012 14:41:00 +0000

上一次談到了雲端運算與組織的經營治理，也就是高階管理階層對於雲端安全問題應有的認知，以及因應雲端部署和第三方的管理建議，本文將探討和雲端運算有關的法律問題與證據蒐集，以及用戶和服務供應商如何因應安全事件的調查。

雲端運算的其中一項特徵是會將資源作動態的虛擬化分配，也就是說雲端資料的儲存位置將跨越國界，這對於許多雲端服務的用戶來說，可能會無法控制或是根本不清楚資料實際的存放地點。一旦企業選擇透過雲端運算，將商務或個人相關資料移轉到雲端之中，對於雲端服務可能面臨的法律議題，就必須要有所認知並了解所需的因應作法。

目前在各個國家，針對資料的存取和利用，特別是和隱私有關的個人資料，都有其法律規定與要求，例如在亞太地區，包括日本、澳洲、紐西蘭等國家，以及即將實施個人資料保護法的台灣，對於個人資料的保護與安全方面，都有需要遵守的規範，其中最值得作為參考的基礎，就是由經濟合作發展組織(OECD)，針對個人資料的限制蒐集、正確完整性、具明確目的、限制利用、安全保護、公開、個人參與及責任義務等，所提出的個人資料保護八大原則，以及亞太經濟合作論壇(APEC)所提出的隱私保護綱領。

在歐洲，則有歐洲經濟區(European Economic Area)的會員國依照歐盟在1995年公佈的資料保護指導綱要(Data Protection Directive)和2002年公佈的ePrivacy Directive，這些法規都有提到針對資料的安全要求和必須遵守的責任義務。

至於在美國，則有特定產業的相關法規，像是要求相關金融產業必須保障個人金融資訊隱私，確保資料的機密性、完整性，避免資訊遭到未經授權的存取與誤用的Gramm Leach Bliley Act(GLBA)法案；針對醫療產業，要求相關單位必須確保個人醫療資訊，實施良好的存取控制措施，保護資訊在傳輸過程中不會被竊取或竄改的HIPPA (Healthcare Information Portability and Accountability Act)法案；以及對信用卡和支付卡行業，要求必須實行嚴謹的網路安全措施，以保護信用卡持卡人資料安全的標準PCIDSS(Payment Card Industry Data Security Standard)。

以上提到的這些法規，都會對於在雲端上蒐集、處理和利用資料，以及將個人資料傳輸到雲端儲存服務中，產生需要注意的法律議題。

雲端運算的法律問題

對採用雲端服務的組織而言，一旦將資料傳輸到雲端之中，就必須要對相關的資料保護、安全管理、法律問題的責任歸屬定義清楚。尤其採用的是由第三方所提供的服務，那麼在合約之中，除了要求所需達到的服務等級水準之外，對於在資料處理、傳輸、儲存中所引發的問題，造成違反法令法律的事件時，彼此雙方的角色所應擔付的責任，最好是透過書面協議的方式，作為共同遵守的依據參考。

換句話說，在採用雲端服務之前，組織必須評估本身對於採用雲端服務，在資料安全上面的需求、限制和期望，才能藉此來選擇所需的雲端服務型式與佈署模式，特別是要事先了解本身行業相關法令的規定，像是對資料傳輸加密方式和儲存地點有所要求的話，就可以將它反映在與服務供應商所簽訂的服務合約之中。

關於合約的部份，許多服務供應商都會提供制式的合約給用戶進行審閱，但如果合約內容無法滿足用戶對於特定風險的要求，用戶就必須提出並考量是否需要實施額外的風險控制。舉例來說，如果用戶採用的是雲端客戶關係管理(CRM)服務，為了因應個資法的要求，如果在制式合約中並未明確定義相關內部人員的保密責任，或許就需要定義額外的個人責任義務聲明來要求相關人員簽署，同時也註明供應商必須負起連帶的損害賠償責任。

要提醒用戶要注意的是，採用雲端服務並非是一成不變的，為了因應業務環境的不同和新版法令法規的要求，用戶必須要負起對服務供應商的監督責任，應該找出適合自己行業的評估與監控方法，例如定期實施測試、稽核，甚至要求在特定期限屆滿之後，重新審查服務條款和合約內容，這些都是可以考量實施的作法。

因應法規的證據提供

如果您看過歐美的法律影集或電影的話，您會察覺到當發生法律訴訟時，光靠相關人等的證詞是不足的，必須配合在法庭上具有公信力的證據，對於訴訟成敗才能發揮關鍵性的影響。目前，除了在犯罪現場採集的實體證據之外，隨著資訊科技的發達，電子儲存資訊(Electronically stored information ; ESI)或數位證據(Digital evidence)用來作為呈堂證物，也成為因應資訊犯罪事件而受到矚目的焦點。

由於在雲端之上儲存了大量的電子或數位化資訊，如何因應法規要求加以採集(E-Discovery)，對雲端服務供應商和用戶來說都是一項不可忽視的問題，在雲端運算關鍵領域安全指南中，針對這個部份提出了以下的考量重點，簡要說明如下：

資料擁有者、託管者的責任釐清：當發生法律訴訟時，利害關係人有責任因應法律要求提供所需要的資訊，或是可主動提出以證明自己的清白。在雲端服務之中，雖然用戶是資料本身的擁有者，但可能是委託交由服務供應商來進行資料的管理，而且在服務運作的過程之中，針對資料的處理還會衍生出其他的相關電子資訊，例如資料存取的登入記錄、資料儲存備份記錄、系統運作的日誌等，這些資訊可能是用戶本身無法控管的。因此，若發生資料外洩事件時需要進行調查，那麼相關證據的提供絕非只是單方的責任，所以事前對資料管理責任的釐清就是必要的工作。
回應法律調查和法院傳票的過程：以發生資料外洩事件為例，調查單位除了瞭解用戶所存放的資料類型之外，也可能會調查是否和服務供應商的雲端環境與應用程式有關，因此可能會直接傳喚服務供應商提供所需的資訊，這部分有可能不需要用戶的同意下就可進行，因此用戶和服務供應商雙方對於法律調查的流程需要有事先的認知與共識。另外，用戶很可能希望供應商在接到需要配合法律調查的要求時，可以在盡快通知可能受到影響的用戶，並且提出解釋與說明，因此建議將通知流程也納入在服務等級協議之中。
數位證據的發現與搜索：如果組織使用的是完全自行管理的傳統資訊服務，一旦發生問題時，就可以很快的進行調查並且搜索保存可能的證據。但是，如果採用的是委外的雲端服務，用戶不見得有權限使用搜尋工具來取得所需的證據，若是需要服務供應商提供的話，就必須對進行的方式流程，以及可能產生的費用進行協商。
電子記錄與數位證據的保護：對雲端服務供應商而言，相關電子記錄依據雲端的服務與佈署模式可能會不同，但原則上仍會依照傳統的作法，像是保留相關日誌(log)的方式來進行。用戶需要評估對於這些電子記錄或未來可能成為證據的保護作法，是否足以符合行業法規和法律要求，尤其是電子記錄容易受到損毀、竄改與消除的特性，如何確保電子記錄可明確反映事件發生的原貌，以及在蒐集的過程中，是否依照標準程序來進行採集，並且可持續維持正確與完整，確保其可被法庭所採納等，這些針對電子記錄的保護機制與調閱作法，可能也是一開始在選擇服務供應商時就要評估的重點。
電子記錄的費用與保存：鑒於用戶可能會要求服務供應商保護相關的電子記錄，因此站在供應商的角度而言，定義所保存的資料範圍、期限及大量資料保存所產生的費用，就是需要思考的問題。如果無法達到用戶在服務協議中所要求的水準，那麼是否能夠提供其他的機制，像是讓用戶可自行下載保存電子記錄，可自行保管以作為事件調查與訴訟的參考。
電子記錄的蒐集與鑑識：雲端服務供應商可能會允許用戶自行蒐集其所需的必要記錄，這些也會明訂在服務等級協議之中，但由於提供給大量的用戶使用，因此就要考量相關記錄的存取方式與頻寬問題。例如供應商可以同意讓用戶存取過去三年的交易記錄，但是將會限制只能單次下載最近二個星期的資料。至於若是用戶為了採集證據，想要使用映像(bit by bit)數位鑑識作法，可能不見得會被供應商同意，因為它需要連結到特定的硬體設備，礙於雲端服務的多租戶特性，這種作法是否會對其他用戶造成衝擊，也都需要事先的溝通與協調。

及早因應法規的遵循要求

由於法規遵循的要求日漸受到重視，也為了因應新型態的雲端服務，許多法律與技術專家都提出了不同的因應作法，尤其針對採取由第三方提供的委外服務，在美國和歐盟的相關法規，都建議將法規遵循的要求與責任，延伸至服務供應商，並且要求在合約之中加以規範和限制。

但是，由於牽涉到儲存在雲端的資料會跨越國界的限制，以及各國對於隱私保障的法律要求有所不同，再加上雲端數位證據的搜索採證仍顯得困難重重，所以有關雲端服務和法律的問題仍會不斷地被提出討論，無論如何，這是一個無法避免的議題，建議雲端服務的供應商和用戶都要審慎面對才行。(本文刊載於2012年3月號網管人雜誌)

[參考資料]
CSA：Security Guidance for Critical Areas of Focus in Cloud Computing

[觀點] 雲端運算安全入門(三) - 雲端治理與風險管理

Wed, 11 Apr 2012 14:38:00 +0000

上一期提到了雲端運算的基礎架構，說明雲端運算的必要特徵、部署模式與服務型式，對服務提供商和使用者而言，有了一個可以共同探討的知識框架，對雲端服務應實施哪些資安控制也比較能夠達成共識，接下來將討論有關雲端治理與風險管理的重點。

雲端運算聯盟將雲端運算安全區分為三個部分，分別是雲端架構、雲端治理和雲端營運，在雲端架構的部分，主要針對雲端的五項必要的特徵、四種部署模式和三種服務型式作了說明，這些也可以作為在探討雲端安全時的共同基礎，在這之上來區分有關雲端服務提供商和使用者的安全責任，以及可能面臨的安全風險。

在雲端運算不同的服務型式之間，其安全風險彼此之間是有相互依賴性的，舉例來說，如果有一個雲端服務廠商所提供的服務內容為軟體服務(SaaS)，這項服務建置在某一個雲端開發平台之上(PaaS)，而開發平台背後也採用了另一家廠商的雲端基礎架構(IaaS)服務，此時，在安全風險方面的相關問題都會是繼承的。

也就是說，這一家雲端服務提供商，除了要維護應用程式的安全性和可用性之外，同時也要確保所使用的開發工具沒有安全漏洞，而且在運作過程中要確保運算、網路、儲存設施的安全，本身就必須要負起相對較多的安全責任。而使用軟體服務的使用者，則是要在服務水準、安全控制措施、法規遵循等，也要在合約之中明確要求，以釐清相關的管理責任。

雲端運算的安全措施

從資訊安全的角度出發，一個組織的安全程度是基於其對於風險的控制程度，以ISO 27001的資安控制項目而言，包括了資安組織、資安政策、資產管理、人員安全、實體安全、通訊與作業安全、存取控制及系統開發與維護等，這些與雲端運算也都脫離不了關係。主要原因是雲端運算採用的仍是傳統的IT技術，需要的仍是既有的網路、運算和儲存資源，換句話說，在雲端運算中的資安管理，和傳統的IT環境並沒有什麼不同，只是因為不同的部署模式和服務模式，使用者和服務提供商所需要承擔的風險程度將會不同，因此需要妥善評估和彼此有關的營運風險。

因此，為避免雲端運算服務可能產生更多的營運風險，並且達到妥善的企業治理，組織就一定要意識到可能發生的風險議題和管理責任。這些也都牽涉到企業內部是否已設計了適當的組織結構，透過風險管理的方式與作業流程，來降低所面臨的安全風險。甚至更進一步將風險管理的作法，擴展到已實施的所有業務之中，或是提供支援服務的第三方單位，並且持續地加以監控量測改進，以達到企業治理的整體效益。

雲端治理與管理建議

根據雲端運算關鍵領域安全指南，針對雲端治理和管理方面所提供的建議，以及實務上的考量重點，簡要說明與分析如下：

安全費用的投資：組織除了投資在私有的基礎運算架構和資源上面，若是採用了外包的雲端運算服務，必須考量到服務提供商的安全管理能力、應用程式運作環境的安全控制，以及稽核審查方式來加以評估，以確保各項的安全控管能夠滿足組織的需求。

資安與業務目標一致：無論採取了何種的雲端服務型式和部署模式，資訊安全的控管絕對不會只是單一方面的責任，必須透過不斷地協調溝通，配合彼此雙方的業務性質和需求，使相關的資安控制作法能夠與業務目標趨於一致，以避免採用雲端服務之後，忽略或遺漏了和業務有關的營運風險。

定義人員職責角色：基於不同的服務型式，人員介入與需要承擔的風險不同，對於服務角色的定義與人員的安全職責，在各自要求的服務範圍之內，必須要有仔細的陳述，這也就表示在問題發生時，人員可以按照既定的職責來實施對應的處理作法。例如在不同的部署模式方面，公有雲與私有雲的預期責任和要求肯定不同，最好是透過已完成的風險評估報告，來釐清使用者與供應商之間的不同要求、角色責任與期望。

治理架構與流程協調：組織若採用了雲端運算服務，可能會面臨不同的提供商，因此在服務的開發、設計與交付方式，也會有不同的需求與流程。因此，使用者與提供商在協同治理的架構和流程方面，可以依照彼此不同的需求，將它反映在服務等級協議(SLA)之中。在這份協議裡，記得要把安全部門納入，以評估各項的資安控制措施在雲端之中是可行的，並且將其考量與建議一併加入合約之中。

雲端遷移安全考量：如果組織是從舊有的IT環境之中，想要一步一步跨入到雲端之中，那麼在安全方面要如何考量呢？最好的方式是依照相關標準(例如ISO 27001)來建立量測指標，然後將它文件化並留存記錄，以因應稽核時的確認需求，提供已實施控制措施的相關證明。

資訊風險管理建議

之前曾經提到，雲端運算有一項重要特徵為「虛擬化的資源池」，它是為了支援眾多的使用者，所以將運算、儲存等相關資源集中在一起，再依照使用者的需求進行彈性化的調配。因此，也產生了另一個概念，稱之為「多租戶(Multi-Tenancy)」模式，對雲端服務提供商而言，所提供的雲端服務將面對無數來自不同地點、不同組織、不同用戶端的使用者，他們對於安全的強化、隔離、計費、管控和服務等級、資源需求各有不同，但這些資源都來自於同一家提供商，甚至可能是同一台實體主機、同一個儲存設備，如何強化其安全性，降低可能的風險，並且滿足客戶需求，就成為雲端服務的另一項挑戰。

由於雲端運算的隨需供應和多租戶特點，傳統所實施的資安稽核與風險評估方式可能就不太適用，或是需要進行一些調整。實施資安稽核時會牽涉到是否已在合約中註明相關的稽核權利，包括多久進行一次、稽核範圍、稽核方式、由誰來實施、需要提供哪些稽核日誌(log)等。

至於技術方面的評估，傳統的應用系統最常使用的方法就是進行弱點掃瞄或滲透測試，但是礙於雲端服務是同時提供給大量用戶，這些測試方法可能會影響到其他使用者的權益，因此服務提供商很可能會拒絕或限制其作法，那麼用戶就需要在合約中註明免責的條款，或是尋找替代的評估方法和符合評估需求的替代提供商。

在企業的風險管理方面，面對新型態的雲端服務，傳統的風險評鑑方法仍然是派得上用場的，在評估組織所使用或所提供的雲端服務風險時，需要識別和服務有關的各項資產，找出資產本身可能具有的弱點和來自外部的潛在威脅，然後分析風險和事件發生的可能性與衝擊，再賦予其風險的等級，最後，依據組織可用的資源和經由管理階層所核准的可接受風險等級，來實施對應的風險處理計劃。

一般而言，採用相關的資安控制措施來降低風險是顯而易見的作法，但是在風險管理的過程中，需要確保使用者和服務提供商，對於風險評鑑的作法是一致的，對於發生可能性與衝擊的定義也要相同，這樣在風險評鑑的結果和後續的風險處理上，才能夠達成共識。

第三方的管理建議

站在企業風險管理的角度，無論決定採用何種雲端服務、服務型式和部署模式，在過程之中，都應該要與組織既定的風險管理目標和業務目標一致。這也就是說，如果採用的是來自第三方所提供的服務，如果它不能滿足組織在風險管理的要求，或是採用一致的風險管理作法，組織就需要進一步評估本身是否有其他因應風險的能力。舉例來說，如果服務提供商無法同意由使用者進行對主機的滲透測試，或許使用者可接受由提供商提出的評估報告，或是自行對資料本身實施加密等補償性的控制措施，以降低可能的資訊安全風險。

因此，在第三方的管理建議方面，安全指南提到使用者應該將雲端服務和安全視為供應鍊的安全問題，這也就是說除了需要對服務提供商實施相關評估之外，對於其本身也依賴的資源供應商，也要有一定程度的了解，以避免一連串的事故連鎖反應，最後影響了自身的權益。那麼，對於服務提供商的評估內容有哪些呢？除了要求有文件化的記錄來展現提供商如何評估自己的風險，也包括其如何控制與及時處理可能的安全問題，以及如何定義與資訊安全相關的要求。

接著，使用者還需要了解服務提供商如何因應服務可能中斷的情況，這部分就包括其是否事先設想了可能導致服務失效的場景，並且提出對應的營運持續計畫(BCP)。在營運持續計畫中至少要具體說明事故發生時的應對策略、處理流程、備援機制及災難復原計畫等內容，並且了解這些計畫是否確實可行，同時符合組織對於風險管理的要求。換句話說，營運持續計畫的測試與演練結果，將會是在選擇雲端服務提供商的重要參考依據。

最後還要提醒使用者，在選擇雲端服務提供商時，除了考量服務價格及所需成本之外，提供商在市場上的知名度、財務情況、事件處理能力、以及支援其服務的背後供應商等都會是評估的重點，也千萬不要忘記去了解提供商的溝通管道與協助窗口是否順暢。因為雲端服務的特色是不需要倚賴供應商的介入，即可調配各項運算資源，可是一旦有問題或事故發生，若找不到相關的人員來及時處理，可能就會對組織造成更多的損害。(本文刊載於2012年2月號網管人雜誌)

[參考資料]
CSA：Security Guidance for Critical Areas of Focus in Cloud Computing

[觀點] 雲端運算安全入門(二) - 認識雲端運算架構與框架

Sun, 18 Mar 2012 15:19:00 +0000

安全問題普遍被認為是採用雲端服務的最大障礙，但事實上雲端並不會比現有的IT環境更加安全或不安全，所謂的安全強度是基於組織本身所能接受的風險程度，因此必須先了解雲端運算的架構，才能評估可能的風險，最後依此來決定是否採用雲端服務，或是要將何種資訊、流程或服務轉移到雲端之上。

依據個人的觀察，許多人只要一提到雲端運算相關的議題，大致上會有三種不同的看法。

首先是認為雲端將是未來的趨勢，企業必須盡早擁抱這項新技術，才能夠為產業創新，並且帶來更多獲益；其次則是認為雲端運算是舊酒裝新瓶，不過是廠商的行銷包裝手法，並沒有太多值得應用之處；最後一種看法是認為雲端服務就是要把資料和系統外包給別人處理，並且透過網際網路來存取，讓人感到很不安全，所以根本無意採用所謂的雲端服務。

目前，從不同的產業、技術和角度而言，各界對於雲端運算的解讀各不相同，姑且不論以上的觀點究竟誰對誰錯，個人認為在評斷雲端服務之前，一定要先問問自己，所認知的雲端運算到底是什麼？在雲端之上可以提供哪些服務？雲端應用了哪些技術架構？可能存在哪些安全風險？到底能夠為組織帶來什麼好處？

如果以上的問題，都已有了相當肯定的答案，同時也了解一旦雲端服務中斷而無法使用，或是資料受到未經授權的存取時，組織將受到什麼樣損害的話，相信接下來對於雲端運算所提出來的見解，都會是非常受用的。然而，若只是以偏蓋全的思考，以訛傳訛的用一個雲端卻各自表述的話，所得到的結果肯定是沒有交集，也會是沒有意義的論戰。所以，我們必須先找出一個共同的標杆，作為採用雲端運算和相關服務的評估基礎。

雲端運算的必要特徵

在雲端運算關鍵領域安全指南中，針對雲端運算的組成定義，採用的是美國國家標準技術研究院(NIST)的工作定義，它為雲端運算定義了五項必要的關鍵特徵、四種部署模式和三種服務型式，可作為在評估雲端運算安全時的一致性解釋與參考。

針對NIST定義的五項必要特徵，說明如下：

廣泛的網路存取方式 - 「如果沒有了網路，那就不會有雲端」這是廣泛受到認同的一句話，也就是說雲端服務的能力都是藉由網路來提供，因此在用戶端設備方面，必須支援廣泛的連結，包括目前流行的智慧型手機、平版電腦、筆記型電腦，甚至於可連網的家電等，都要可以享受到雲端服務的便捷。或許您會問，一旦原有的資料或系統轉移到雲端之後，那是不是就只能使用全新的服務，舊有的服務像是ERP、CRM和POS系統等該何去何從呢？新的雲端服務能夠與其他服務進行連結嗎？關於這點請不用擔心，這些都已有對應的解決方案，可以同時支援傳統服務或是其他嶄新的雲端服務。
快速且彈性的架構 – 雲端服務的特色之一，就是所有服務都可以按照自己的需要來隨時購買，例如著名的Amazon EC2(Amazon Elastic Compute Cloud)服務，它可以讓使用者依照需求來租用虛擬的主機，並且安裝執行任何想要的應用程式。這也就是說，使用者可以指定所需要的主機配備資源，包括了中央處理器、記憶體、硬碟容量等，再依照使用的時間來付費，並且可以隨時的創建或終止，這種能夠快速上線的服務，其背後可提供的資源是令人超乎想像的。
可量測的服務 – 因為服務有價，所以提供的資源必須是能夠量測的，目前最常見的方式，是可以依照中央處理器、儲存空間和網路頻寬來計費，雲端服務供應商可以提供透明化的資訊報表，讓使用者作為參考，同時也提供了各項監控的方式，讓使用者能夠合理評估，以便進行資源最佳化的使用。
按照需求自行調配 – 因為雲端運算具有了快速且彈性的架構，所以一切資源的使用都可按照使用者的需求來進行調配，同時最重要的一點是，過程中完全不需要等待雲端服務供應商的人員介入或協助，只要透過了網頁化的互動介面，所有的資源配置在彈指之間，即可自行調整完成。
虛擬化的資源池 – 雲端運算可以同時提供服務給大量的使用者，這也就表示雲端服務供應商需要有強大且充足的資源，才能應付來自世界各地眾多的使用需求。因此，雲端服務供應商會將所需的運算資源，包括了實體和虛擬，統統匯整到一個虛擬化的資源池之中，用戶需要多少資源，就撥出多少資源來供應。舉例來說，某用戶需要1TB的儲存空間，供應商可能從單一的實體硬碟，或是串接而成的陣列系統，從不同的地點透過網路來提供所需的容量，使用者並不需要知道資源實際的所在位置，即可順利的使用，並且可以再進行動態的擴充，這也是雲端運算的一項重要特徵。

雲端運算的部署模式

談到雲端運算，最為人所知的就是它的部署模式，這也是大家最常聽到的雲端名詞，包括了以下四種型態：

Public公有雲 – 所謂的公有雲，顧名思義就是所提供的是針對大眾的公開服務，像是主機運算、資料庫、資料儲存等服務，這朵雲會是由某個組織所擁有，依照資源的使用量和時間來對使用者進行計價。

Private私有雲 – 私有雲是相對於公有雲的一種佈建型態，主要是避免過度開放，以降低雲端服務提供給不同的使用者時，可能造成的安全問題。因此，它只會針對單一組織來提供服務，並且由該組織或委任的第三方來管理。私有雲是許多組織從現有的IT環境，邁向雲端的第一步，藉由去調配既有的IT設備，或是導入新的虛擬化技術，將可用的資源集中成為虛擬的資源池，再針對組織的使用者來提供服務，可充分利用雲端的彈性，同時藉由單純化的管理方式來降低風險。

Community社群雲 – 這朵雲是由許多個組織來一起共享，以支援特定的社群服務，例如目前由相關單位推動的醫療雲、教育雲等，以共同的訴求和具有相同使命的目的為號召，提供特定社群的雲端服務。這些雲端服務所需要的設備資源，可能會位於組織內部同一地點，或是委由外部單位來協助提供。

Hybrid混合雲 – 雲與雲之間雖然是獨立存在，但是彼此卻可以相互連結應用，對於一個組織同時採取了兩種以上不同的雲端服務型態，稱之為混合雲。例如企業可運用公有雲的運算資源，但是運算結果的資料儲存和分析歸檔，卻由內部的私有雲來協助完成，這種混合的型態，可以大幅增加應用服務的可移動性，同時降低企業完全採用公有雲的安全風險。

雲端運算的服務型式

至於雲端運算的服務型式，也是早期雲端運算在技術面最常討論的重點，NIST將所有雲端服務型式歸類為三種，簡稱為「SPI」型式，說明如下：

SaaS軟體即服務 – 使用者所採用的雲端服務，來自於雲端服務供應商的應用軟體，最著名的就是Google，包括了電子郵件、地圖、文件、協作平台等，使用者可以廣泛地利用各種可連網的裝置，透過瀏覽器或行動裝置上的App，即可使用其應用服務，軟體本身所運作的平台或底層的基礎設施，使用者完全不需要管理或參與，這對使用者來說，可以大幅降低系統管理、軟體授權、硬體設備等費用，雲端服務供應商則能夠有效控制軟體的使用、版本更新、安裝散布等問題。

PaaS平台即服務 – 使用者藉由雲端服務供應商所設置完成的開發平台，使用其所支援的程式語言和開發工具來進行軟體開發或測試，其優點是平台所需的硬體基礎設施，完全不需要使用者費心維護，只需要調配控制所在的主機組態即可，而且開發平台的使用可以依照實際的需求和時間來付費，同時可要求雲端服務供應商必須確保開發平台的可用性與穩定性，並且節省自行建置平台和開發工具的費用和人力、物力與時間成本。

IaaS基礎架構即服務 – 對使用者來說，若需要彈性的建置軟體開發或運算環境，基礎架構即服務會是最佳的選擇，因為雲端服務供應商只提供必要的基礎設施，像是網路、儲存空間、處理器等資源，其他的像是作業系統、套裝軟體、應用程式等，都可以完全交給使用者來自行掌控，所以它具有高度的可擴充性，但是相對的，使用者所需負擔的安全風險也會更高。

雲端運算服務的角色

在雲端運算服務之中，依照所扮演的角色不同，所關注的焦點也會不同，一般而言，雲端服務主要會有三種角色，第一種角色是使用者，其關注的重點在於如何評估一家可靠的雲端服務供應商來滿足所需的各項服務、如何去簽訂服務的使用合約以確保可能的安全問題受到妥善處理，以及如何維持一定的服務水準。第二種角色就是雲端服務供應商，依照所提供不同的服務型式，其關心的事項包括了如何建立必要的基礎設施(如硬體、軟體、虛擬化技術)、如何進行監控與管理來滿足服務水準要求、如何實施安全控制措施來降低安全風險、如何提供標準化作業平台和軟體等。最後一種角色則是雲端服務開發者，它的重點會放在如何挑選一個標準的開發環境、如何去創建雲端服務、如何遞送給使用者、如何進行分析與改善等。

所以在了解雲端運算最基本的五項關鍵特徵、四種部署模式和三種服務型式之後，接下來我們就可以從不同的角色來評估雲端服務所面臨的安全風險，進而提出可行的風險處理方法和應對之道。(本文刊載於2012年1月號網管人雜誌)

[參考資料]

CSA：Security Guidance for Critical Areas of Focus in Cloud Computing
Cloud Computing Use Case White Paper V4

[觀點] 雲端運算安全入門(一) - 您了解雲端之上的安全風險嗎？

Mon, 30 Jan 2012 14:35:00 +0000

雲端運算是目前最熱門的資訊科技應用之一，透過無遠弗屆的網路連結與運算資源，讓組織可以獲得過去需要耗費大量成本才能使用的服務。不過，新科技的應用總有其風險存在，想要降低可能的安全風險，就有賴於足夠的認知和正確的應對之道。

在幾年前談到雲端運算時，它還只是一個趨勢和概念，許多人對於雲端都有不同的解讀與說法，甚至有人認為它只是舊酒裝新瓶的商業炒作，會是另一個網際網路上的泡沫。但是，隨著今日Amazon、Salesforce所提供的商業應用已相當成熟，Google、Apple所提供的Google doc、iCloud等服務，更讓一般大眾都能享受到雲端科技所帶來的便利與創新，雲端應用已不再只是一項口號，而是真正地實現在我們的生活之中。

面對雲端運算和其衍生的各項創新服務，有些先知先覺的開創者已經品嘗到甜美的果實，後知後覺的採用者也因為前人的經驗累積，逐漸地跟上雲端的腳步，但也有人因為不了解雲端，只是道聽塗說而害怕可能的安全問題，一直裹足不前的結果，反正讓自己錯失了良機，同時也失去了產業競爭力，這是令人感到惋惜的地方。

當然，雲端的應用並非全然都是正面的好，站在使用者的角度，我們必須先了解雲端先天的限制與部署的架構，才能讓它的應用符合自身的需求，同時也要明瞭可能潛藏的安全風險，才能進一步有效地駕御它，使其成為營運發展的好幫手，所以接下來的一系列文章，將帶領大家來一窺雲端安全的全貌。

雲端風險來自於何處？

在過去的文章中曾經提到，雲端的風險主要來自於三個層面，分別是網路、資料與法規，而這些風險又會充分地反映在雲的架構、治理與營運之中，同時也千萬不要忘了，目前雲端仍架構在既有的資訊技術之上，這也就是說，傳統的資訊安全問題，在雲端之上依舊會存在，仍然需要我們審慎去處理應對，所以包括像是實體安全、網路安全、系統安全，一直到應用程式安全等，這些對應的安全控制措施都是不可缺少的。

為了對整體的雲端安全有所掌握，在2009年的RSA會議中，有數十家業者宣布共同組成了雲端安全聯盟(Cloud Security Alliance；CSA)，希望藉由業界的實務經驗與力量，來因應雲端應用可能面臨的安全問題，因此，雲端安全聯盟的主要任務，就是提供雲端應用的實務知識和訓練，以協助組織克服並有效降低在採用雲端服務時的風險，所以在2009年4月發布了第一版的雲端運算關鍵領域安全指南(Security Guidance for Critical Areas of Focus in Cloud Computing)，透過數十位橫跨美國、歐洲、亞太地區的專家學者，提供了務實詳盡的的觀點和建議，來幫助企業和組織在部署或採用雲端服務時，有足以參考的最佳實務依據。

除了雲端安全指南之外，為了培育更多業界的雲端安全人才，雲端安全聯盟在2010年6月推出了雲端安全認證計畫，並且設計了全世界第一張針對雲端安全的知識認證CCSK(Certificate of Cloud Security)，以便確保從事相關的雲端產業人員，具有足夠的認知來捍衛雲端的安全。

了解雲端應有的安全責任

隨著雲端服務的應用愈來愈多元，產業也在實務中經歷了更多安全議題的洗禮，在2011年11月，雲端安全聯盟正式發布更新的雲端運算關鍵領域安全指南v3.0，在這份指南之中，將雲端安全劃分為三大部分，並且涵蓋了14項安全領域：

第一部分：雲端架構(Cloud Architecture)
在這個部分，首先提到了第一項安全領域 -「D01雲端運算架構框架」，它是根據美國國家標準與技術研究所(NIST)所提出的雲端運算定義，說明了雲端運算所具有的五大必要特徵、3種服務型式及4種部署的模式，讓組織可以依照其所提供或採用的雲端服務，明瞭其安全責任和管理重點。

第二部分：雲端治理(Governing in the Cloud)
所謂的雲端治理，它關注在五項安全領域，包括「D02治理與企業風險管理」，要求組織必須具備評估雲端運算風險的能力，像是雲端服務供應商如何應對風險、組織保護敏感資訊的責任等；其次是「D03法律議題：合約與電子證據發現」，談到了在事故發生時，組識對於資料隱私、證據蒐集和法律相關的責任；再來是「D04法規遵循與稽核管理」，協助組織了解如何符合內部與業界法規的要求，以及實施安全稽核的重點；接下來是「D05資訊管理與資料安全」，組織必須依照機密性、完整性、可用性，以及資料的生命周期來實施對應的控制措施；最後一項為「D06相互運作與可移植性」，提到一旦雲端服務需要轉移或更換供應商時，如何確認供應商具備可執行運作的能力。

第三部分：雲端營運(Operating in the Cloud)
第三部分是雲端營運，牽涉到許多技術性的安全議題，也是大多數組織比較會重視的地方，它包括以下八項安全領域：

「D07傳統安全、營運持續和災難復原」- 組織需要了解傳統的安全問題是否已有妥善的處理，以及採用雲端服務之後，萬一發生事故，應如何確保既有的營運水準，並且具備災難復原程序。
「D08資料中心營運」- 要求事先評估雲端服務供應商和其資料中心的營運程序，以掌握可能的安全風險。
「D09事故回應」- 說明事故發生時，當下是否有緊急應變與處理的能力，並且能夠依照法規要求進行通報，以避免災情的擴大。
「D10應用程式安全」- 要求評估在雲端環境下運作的應用程式，是否含有可能的安全漏洞，以及既有的應用程式是否適合移至雲端運行。
「D11加密與金鑰管理」- 提到業界針對加密機制和金鑰管理的安全建議，還有要如何落實資料的存取保護。
「D12識別、權限與存取管理」- 談到了身分驗證與授權的重點性，如何在雲端上提供所需的身分供應與存取控制。
「D13虛擬化」- 著重在目前普遍應用在雲端的虛擬化技術，如何避免虛擬主機的安全風險，以及在虛擬化環境中的安全管理問題，提供了實務可行的建議。
「D14安全即服務」 - 安全即服務的重點在有別於如何確保在使用雲端服務時的安全，從另一個角度透過雲端服務來評估和強化系統和資料的安全。

如何因應雲端安全風險

針對雲端運算可能面臨的安全風險，雲端安全聯盟在「Top Threats to Cloud Computing」文件中識別了七項最常見的安全威脅：

濫用與非法使用–雲端運算提供了近乎無限的運算、網路與儲存資源，除了應用在正面的商業行為之外，也可能受到惡意人士的利用，作為像是破解密碼、阻斷服務攻擊、惡意程式主機、殭屍網路(Bonet)等的利器，大幅提升其非法活動的能力。
不安全的介面與APIs –雲端運算透過許多應用程式介面來提供服務，如果在身分驗證方面不夠嚴謹或是存在安全漏洞，可能就會造成使用時的安全問題。
惡意的內部員工–在雲端上可能存在大量的商業資料和重要的商務應用服務，一旦雲端服務供應商的內部員工有惡意存取或破壞的行為，就會造成組織重大的損失。
資源共享的技術問題–許多雲端服務是基於共同的軟硬體資源，提供給各來自不同組織的使用者，一旦某項資源受到損害(例如主機被滲透竊取資料)，即可能央及其他共用的使用者。
資料遺失或外洩–雲端服務供應商存放資料的地點(包括儲存設備和資料中心)，如果沒有實施良好的管控或備份機制，可能就會造成資料外洩或損毀。
帳號或服務被挾持–雲端供應商藉由使用帳號來提供各項服務，如果帳號安全機制遭到破解，或是帳號受到竊取利用，都會導致服務的失效。
未知的風險–雲端提供了創新服務，也就代表背後藏有許多未知的風險，即使在技術層面上已不斷的更新修補，管理機制也可能會有不足的地方，再加上資料隱私要求在各個國家皆不相同，資料安全與合法性仍需要持續的重視。

除了以上常見的安全威脅，在雲端服務之中，基於所扮演的角色不同，所考量的安全問題也不會相同。以服務的使用者來說，最關心的莫過於成本效益是否可達成既定的目標、使用方面是否能符合需求，以及是否具有安全的問題，而這些都會反應在其挑選雲端服務供應商的條件，以及未來所簽定的合約與服務水準協議(SLA)。

若是服務的供應商，所需要考量的安全層次就會多更多，例如從最底層的硬體建置和效能方面，是否足以應付雲端的大量存取使用；架構在硬體之上所使用的軟體虛擬化技術，是否可達成有效分配運算、網路、儲存等資源，以及虛擬映像檔的管理安全性；還有再往上到應用面的不同部署型式(私有雲、公有雲等)和服務型式(SaaS、PaaS、IaaS)的安全責任歸屬，加上管理方面的支援能力(如報表、帳務、容量管理、安全監控等)，這些都是在提供服務之前需要確認的事項。

所以，為了因應雲端的安全風險，組織務必要具備足夠的雲端運算安全認知才行，建議最可行的方式，就是先從國際認可的作法來著手，而雲端安全聯盟所提供的雲端運算關鍵領域安全指南，正是最佳的實務參考，這些擁有雲端安全知識的人員，未來還可進一步取得CCSK雲端安全知識認證，成為組織中重要的雲端運算安全人才，也才能更有效地推動各項雲端應用服務。(本文刊載於2011年12月號網管人雜誌)

[參考資料]

CSA：Security Guidance for Critical Areas of Focus in Cloud Computing

CSA：Top Threats to Cloud Computing

[新聞] 「Security Guidance for Critical Areas of Focus in Cloud Computing v3.0」已正式發布

Fri, 18 Nov 2011 00:31:00 +0000

CSA已正式發布了「Security Guidance for Critical Areas of Focus in Cloud Computing v3.0」，除了有部份內容經過改寫，特別強調「security、stability、privacy」這三點之外，新版大致上的架構仍是維持不變的，主要有更新的地方，包括新增加一個 Domain 14: Security as a Service，在Domain 3 和 Domain 5 的名稱也作了調整如下：

Domain 3: Legal Issues: Contracts and Electronic Discovery
Domain 5: Information Management and Data Security

目前，CCSK的考試仍維持在v2.1版的內容，所以如果您已準備好的話，進行考試還是沒問題的。至於未來考試會不會也配合更新，我想這是可預期的，若有任何更新的資訊，我會再提供給大家囉~

相關資訊請參閱CSA網站：
https://cloudsecurityalliance.org/research/initiatives/security-guidance/

[分析] 雲端運算的迷思 - IaaS的安全誰該負責？

Fri, 15 Jul 2011 06:02:00 +0000

許多客戶租用了雲端運算服務，就以為資安的問題，應該都由服務供應商來解決，並且負起相關的責任，但事實上，恐怕不是這麼一回事。

根據Amazon所發布的文件指出，對於其所提供服務的安全，Amazon皆有採取符合相關法規的安全措施(例如SAS 70、ISO 27001、PCI DSS等)，但是客戶也具有相對性的責任，必須自己注意控管安全上的問題。

或許您會問，有沒有搞錯？客戶花了錢租用服務，還要自己管好安全的問題？

事實上，如果雲端服務供應商所提供的服務模式是屬於IaaS(基礎架構即服務)，這其實是有一些道理的。讓我們先回頭來看到底什麼是IaaS？

根據NIST的定義，所謂的IaaS具有以下特徵：

用戶可使用的是雲端服務供應商所提供的處理、儲存、網路及其他基礎的運算資源
用戶可隨意部署和執行軟體，包括作業系統和應用程式
用戶不必管理或控制底層的雲端基礎設施，但是擁有對作業系統、儲存和部署應用程式的控制，以及管控有限制的網路組件(ex.主機防火牆等)

從以上特徵來看，若客戶能夠自行管控作業系統和應用程式部署，那麼和它有關的安全問題，實際上Amazon是管不到的，也就是說像是因為主機沒有上patch，或是所採用的應用程式本身有漏洞，而造成相關的資安事件，恐怕使用者端的責任會大一些。

Amazon在文件中指出，只要是將IT基礎架構搬移到Amazon所提供的環境，那麼客戶與Amazon之間就具有所謂的「責任分享模式(Shared Responsibilty model)」，也就是說，客戶也必須分擔從主機作業系統、應用程式、虛擬層的相關責任，尤其像是在虛擬環境中的guest OS的安全更新、其他相關的應用軟體，以及Amazon所提供的防火牆設定，客戶需要小心思考所採用的服務，其相對所具有的安全責任和法規問題。

若以生活中的狀況來舉例，我們可以把Amazon想成是一棟出租大樓的管理者，它將大樓中許許多多的辦公室出租給使用者，管理者主要是負責大樓結構是否堅固耐用，並提供基本的水電等基礎設施服務。管理者可以在租約中告知，使用者必須要負責自身辦公室的門禁安全，還有辦公室中的一切行為，必須要合乎法規的要求，不可從事違法的事項。

因此，如果有人常常離開辦公室忘了關門，或是有閒雜人等進出也不在意，結果發生了竊盜的事件，那麼責任應該要由誰來負責呢？

或許您還會問，那管理者都沒有任何責任嗎？其實還是有的，我們可以要求管理者在大樓走道間安裝監視器，並協助調閱出事當天的影像，不過，如果使用者還是輕忽安全的問題，那麼管理者的作為還是鞭長莫及的，所以，對於租用雲端服務可能面臨的安全問題和責任，請使用者務必要三思了。

<參考資料>

[證照] CCSK 雲端安全證照入手

Fri, 06 May 2011 08:59:00 +0000

之前介紹了全球第一張雲端安全知識認證CCSK，雖然它目前還不是一個相當知名的證照，但它的考試領域在雲端安全專業知識方面，可說是非常的實用。

雖然準備的時間不多，考試的費用也不便宜，但我還是努力地閱讀了考試建議的兩份參考資料，以及目前所有查得到關於雲端安全的資訊，順利地通過了考試。

關於考試的報考方式，可以到CCSK的網站上報名，在填完個人資料並以信用卡繳交考試費用(US$295)之後，就可以自行選擇何時要進行線上考試。

目前，考題皆為英文的選擇題，一共有50題，考試時間為1小時，隨時都可以在線上進行，但是一旦登入考試之後，時間就不能暫停，所以要選擇一段不會受到干擾的時間，直到考試完成為止。

在答完所有考題並送出答案之後，若答對80%以上的話，就恭禧您通過了考試，網站會直接提供電子版的CCSK 證書，也可以使用考試登記的email和證書編號，在網站上查詢證書的有效性。

如果您也想取得這張證照的話，上課會是最快熟悉考試領域知識的方式，但目前CCSK的認證課程，全球只有CSA在美國當地舉辦，課程主要是針對考試領域進行內容的重點回顧(review)，所以建議參加者最好具備了相關資安知識，包括資安基礎概念、防火牆、安全開發、加密和身分識別等，當然一般對雲端安全有興趣的人員，也是可以來參與。

未來，我希望能夠幫忙開課，也會撰寫應考的心得來協助有興趣的朋友們一起成為CCSK。

舊留言存檔

以下留言轉存自原 Blogger 網站，僅供存檔，無法回覆。

順（2011-07-10）

您好！是否可以請教您ccsk應考需要什麼教育背景或是先備知識？先謝謝您了!

傑克小花（2011-07-11）

Hello~感謝您的提問。關於CCSK考試，考生並不需要任何背景或工作經驗，所需的知識則主要來自於CSA所撰寫的雲端安全指引，以及ENISA的雲端運算白皮書，您只要熟悉以上的內容，再加上一些雲端應用的常識(例如google、amazon所提供的雲端服務)，就可以從容地應考了，祝您順利取得CCSK證照喔~加油!!

Alex Lai（2011-09-02）

請問一下是否有規定依定要上課才能考呢

傑克小花（2011-09-03）

Hi Alex, 並沒有規定一定要上課，才能參加考試喔~

Alex Lai（2011-09-06）

感謝您的回覆

Alex Lai（2011-09-13）

不好意思~再請教一下~您的意思是說這個考試是在線上考的,不需要去教育訓練機構考試嗎?在家裡也可以考??

傑克小花（2011-09-13）

Hi Alex, 是的，它是採線上考試，並不需要到特定的考試中心才能進行。

ihost（2011-12-02）

您好,請問現在外面要求的雲端工程師,除了這張CCSK證照以外,還要再考哪些證照呢?還有這張CCSK證照是只要了解那兩個電子檔和一些雲端應用的知識就可以應考了嗎?

傑克小花（2011-12-02）

Hi 您好, 如果您想擔任雲端工程師，要看您主要負責那個部分，例如系統、網路或程式開發，基本上它都有對應的一些證照可取得，像是微軟、Cisco、Java等，但證照並不代表一切，它只能說明個人已具備該領域的基礎知識，還需要不斷學習累積實力和經驗才行。至於CCSK考試所需的相關知識先前已提過，請您參考，並祝您順利通過考試喔~

ihost（2011-12-03）

謝謝!!

JJ（2012-05-07）

請教考題的形式內容可否舉例一下 , 那二份文件的文字敘述要 "背" 的很熟是嗎 ???

傑克小花（2012-05-07）

Hi JJ, CCSK主要考的是觀念，所以必須要熟讀考試所依據的兩份文件內容，並理解它所提到的安全風險與建議，若光靠用背的，可能很難通過考試喔~

阿樹（2012-06-20）

所以國內目前也沒有針對這部份有中文的考試導引是吧?

傑克小花（2012-06-20）

Hi 阿樹, CSA所提供的雲端運算關鍵領域安全指南v2.1是有簡體中文版的，但因為考試是英文試題，所以建議您還是要熟悉雲端運算相關的英文名詞，這樣在答題時會比較順暢一些喔~

froggiesong（2012-10-02）

老師您好：我是資安菜鳥，想請教，關於這個CCSK的考試，說是可以在任何有網路連線的電腦上考，這讓我極為驚訝。我知道資安很強調根據使用者的身分來進行Access Control,那考試的時候，CSA怎麼知道是我在考，還是我考一半的時候找人幫我考？還是根本就是請專家一直考？考一半這題不會，我查了資料，這樣OK嗎？如果自己在家裡考具有公信力，那PearsonVUE的考場是不是都可以省下來了？以上外行問題，懇請指教，感謝!!

傑克小花（2012-10-02）

Hello~您好~ 感謝您留下的意見，關於您提到的考試問題，回覆如下:

對老外來說，設計考試的目的是為了驗證您的學習成果，基本上也尊重每個人的誠信，所以他們相信您會遵守考試的規範。

個人猜測為了要推廣雲端證照，所以CSA選擇這種讓全球考生最容易應考的方式來進行。

考試的舞弊方式防不勝防，如果只是為了取得證照，而請人代考，自己根本沒學到考試所要求的知識領域，這樣拿到這張證照也沒有意義了。以上，希望有回答到您的回題囉~

匿名（2013-05-26）

老師您好：我今天也終於考過CCSK了真的謝謝老師當初上課的資料個人覺得滿有用的謝謝老師的幫助

傑克小花（2013-05-26）

Hi Jason, 很開心聽到這個好消息，你的成功來自於你的努力，也謝謝你和大家分享了考試心得喔〜

[證照] CCSK - 全球首張雲端安全知識認證簡介

Wed, 04 May 2011 09:04:00 +0000

隨著雲端運算技術和服務已成為全球各個產業的熱門應用，如何確保雲端運算的資訊安全，更是在提供或採用雲端服務時，最常被提出來討論的主要議題。

對此，從2008年開始醞釀，直到2009年的RSA會議中，由數十家業者共同組成了雲端安全聯盟(Cloud Security Alliance；CSA)，它是一個非營利性的組織，主要任務是在推廣雲端運算的安全應用實務，提供雲端運算一個安全的架構，同時也肩負了教育訓練工作，來協助組織強化各項雲端運算服務的安全。

在2010年6月，雲端安全聯盟正式宣布將提供產業有關使用者的雲端安全認證計畫，設計了全球第一個雲端安全認證「CCSK (Certificate of Cloud Security Knowledge)」，以確保來自各個領域的雲端運算相關工作者，擁有足以對抗雲端運算安全威脅的認知，以及所需的最佳實務來捍衛雲端安全。
註：以下內容已更新為CCSK v3

雲端安全聯盟開發了符合實務要求的「Security Guidance for Critical Areas of Focus in Cloud Computing」安全指引，以及參考歐洲網路與資訊安全局(ENISA)的「Cloud Computing: Benefits, Risks and Recommendations for Information Security」白皮書，讓這兩項文件成為CCSK認證的核心知識領域，應考人員必須熟悉並理解這些內容，才能夠順利通過考試。

雲端安全聯盟認為，個人擁有CCSK可展現充分的證明，已經具備關鍵的雲端安全知識，並成為獲得國際認可的專業雲端運算工作者。同時，CCSK認證也已獲得以下組織的支持，包括 Amazon, Accenture, Box, Citrix, Deloitte, eBay, Ernst & Young, Fujitsu, Google, Hitachi, HP, CA, Cisco, HCL Technologies, LogLogic, Intel, McAfee, Microsoft, Ping Identity, PWC, Novell, Qualys, Redhat, RSA(EMC), Sophos, Symantec, Trend Micro, VeriSign, Vmware, WhiteHat Security 等。

CCSK v3 目前採取線上考試，內容為60題選擇題，需答對80%以上才算合格，考試時間為90分鐘，考試費用$295美元(從2013年5月開始，CCSK考試費用將調整為345美元)，相關應考事項及所需知識可參考「CCSK Prepare Guide」之說明。

CCSK v3 考試的主要知識領域包括：

1. Security Guidance for Critical Areas of Focus in Cloud Computing, v3 (佔92%)

Domain 01 - 雲端計算架構框架
Domain 02 - 治理與企業風險管理
Domain 03 - 法律與電子證據發現
Domain 04 - 法規遵循與稽核
Domain 05 - 資訊生命周期管理
Domain 06 - 可移植性與相互運作
Domain 07 - 傳統安全、營運持續與災難復原
Domain 08 - 資料中心營運
Domain 09 - 事故回應
Domain 10 - 應用程式安全
Domain 11 - 加密與金鑰管理
Domain 12 - 身分識別與存取管理
Domain 13 - 虛擬化
Domain 14 - 安全即服務

2. ENISA Cloud Computing: Benefits, Risks and Recommendations for Information Security (佔8%)

Risks R.1 – R.35 and underlying vulnerabilities
Isolation failure
Economic Denial of Service
Licensing Risks
VM hopping
Data controller vs data processor definitions 等

[參考資料]

CERTIFICATE OF CLOUD SECURITY KNOWLEDGE：https://cloudsecurityalliance.org/education/ccsk/
CCSK v3 考試正式上線：http://jackforsec.blogspot.tw/2013/02/ccsk-v3.html

舊留言存檔

以下留言轉存自原 Blogger 網站，僅供存檔，無法回覆。

順（2011-12-20）

報告傑克小花老師，小弟也是您第一班ccsk的學生，不才的我，終於在上完課後的兩個月內通過考試，在此要特別感謝老師在上課的提點，但也想要分享一點點心得給未來想要通過ccsk的夥伴們。雖然，考試是採取在家線上考試，但真的要一次通過是非常不容易的。尤其是全英文的考試，光是要了解每一個問句的內容，就有困難。六十分鐘五十道題目，如果想靠即時翻譯，答案是不可行，而且你會來不及作答。如果想靠搜尋，答案還是不行，唯獨乖乖熟讀兩本教科書，並且摸熟資安與雲端相關專有名詞，才是正道，但是這樣可能還是會七十幾分飲恨，為獨熟讀再熟讀，幾乎是整本書都要背起來了。以上小小心得，敬請卓參。

傑克小花（2011-12-21）

Hello~順哥你好~ 首先恭禧你順利成為CCSK，看起來第一組真的很強，已經有兩位率先通過考試。其次是感謝您分享的心得，我想對於國人來說，英文往往是最大的障礙(老外故意整我們嘛~叫他們來考中文試試看~@_@)，加上線上考試還會有時間壓力，所以想要靠翻譯和搜尋，往往是緩不濟急。所以最好的方式還是要複習教材，確認已經了解雲端的相關名詞，再配合課堂上的重點提醒，這樣考試就會有勝算了(至於背書就不用啦，因為我自己都背不住~>_<~)。當然，講師也是需要改進的，所以下一班我會使用英文的講義，或許更可有效幫助大家來跨越英文考試的障礙。最後，希望之前的課程互動對你來說是有幫助的，再次恭禧你，並祝你聖誕快樂喔~

Charles（2012-07-30）

小花老師好，我是昨天結業的第二組學生，想請教您若要加入google CCSK group 系統會問我是第幾屆的學生，我不知道耶@@ 請問那個group是老師您創建的所以我送出您會知道囉

傑克小花（2012-07-30）

Hi Charles, 沒問題的，您直接申請加入就可以了，我會盡快幫您審核通過，非常歡迎您的參與喔~

[觀點] 雲端運算安全與風險

Thu, 25 Mar 2010 04:34:00 +0000

談到雲端運算，它究竟是一種「技術」或「概念」，到底是「產品」還是「服務」，在搜尋引擎上只要打入關鍵字，就可以看到許多不同的見解與想法。在此我們僅從資訊安全的角度，來探討雲端運算可能帶來的資安問題或風險，提供給資訊管理人員作為參考。

雲端運算(cloud computing)從2008年開始就是一個熱門的話題，對於雲端運算的應用，無論是應用程式服務、資安服務或資料儲存等，各家都有不同的說法與見解，但從資安的觀點來看，仍有一些地方值得企業審慎注意，以免落入新資訊科技運用的迷思。

首先，讓我們回憶一下，在還沒有所謂的雲端運算之前，企業對於資訊的處理與運作的方式是什麼？一般普遍性的作法是，企業需要自行添購或開發商務運作所需要的軟體和硬體，並且建置專屬的資訊機房和網路環境，然後由內部的資訊人員來執行維運等相關工作。

對大多數的企業而言，隨著營運規模的擴展，為了要增加資訊服務的穩定與效率，在資訊科技的費用支出相對也會節節升高，尤其是面對如今愈來愈複雜的網路環境與技術，再加上好的資訊人才難尋，和營運相關的資訊問題解決能力也需要時間培養，種種問題都讓企業主傷透腦筋，而「雲端運算」的出現，彷彿就像是在烏雲之中露出了一道曙光。

雲端運算的資安服務

究竟什麼是雲端運算，Gartner定義它是一種嶄新且具延展性的運算方法，可以將計算、儲存等資訊科技的運用，透過網路以服務方式提供給外部客戶使用。而維基百科則說，「雲端運算是一種基於網際網路的運算新方式，透過網際網路上的服務為個人和企業使用者提供所需即取的運算。」

目前，雲端運算具備三大運算架構與服務模式，包括了基礎架構即服務（Infrastructure as a Service，IaaS）、平台即服務（Platform as a Service，PaaS）及軟體即服務（Software as a Service，SaaS）等，當然還有人提供許多不同的服務。

各種雲端服務雖然眾說紛紜，但有三樣東西卻是它的必要組成，分別是：網路、運算、服務。換句話說，透過網路連線，由遠端所提供的強大運算和服務，讓企業可藉此改變以往的資訊處理方式，除了可提高作業效率，進而節省成本支出之外，同時更獲得資訊科技的創新應用。

對於資安廠商而言，除了銷售傳統的資安軟硬體設備，若是還能藉由雲端運算的協助加持，提供更多的資安加值應用服務，那是再好也不過了。根據個人的觀察，目前資安廠商運用雲端運算來提供的資安服務，大致有下列幾種：

病毒防護 – 讓防毒軟體的使用者，能夠即時回傳電腦上可疑的病毒相關資訊，就能在防毒業者的雲端上比對病毒特徵，不需要再等到防毒軟體更新病毒碼，就可有效防止病毒的感染。

網址過濾 – 面對日益增加的惡意網站，可協助企業透過雲端進行網址黑名單的比對，透過即時更新的惡意網頁資料庫，可以提高攔截的效率。

郵件過濾 – 配合傳統的垃圾郵件過濾機制，比對垃圾郵件如來源IP、信件標頭等資訊，同時也可結合防毒功能，即時掃瞄郵件的附件是否安全。

身分識別 – 企業可透過雲端進行使用者身分認證，作到單一登入功能，讓使用者可在任何地點登入使用各項應用服務，解決使用者的授權問題。

至於業者宣稱雲端運算可為企業帶來的好處，則有以下幾點：

降低營運成本 – 企業不需要再花錢去購買軟體和硬體，也不需要資訊人員來開發或維運所需的應用服務，只需透過租賃或使用者付費方式，大幅節省不必要的成本支出。
提高工作效率 – 隨著網路無所不在的連結性，無論工作者身在何處都可享有相同便捷的應用服務，而且藉由雲端強大的運算能力，可有效解決工作端運算效能不足的問題。
擴充未來應用 – 雲端運算可讓企業快速部署及應用新科技，無論是應用服務的升級或擴展，在短時間之內就可完成，不必擔心資源耗費的問題。

雲端運算可能的資安風險

根據市場調查機構Gartner的研究顯示，未來以雲端運算方式所提供的安全應用服務，將會對市場造成相當大的衝擊，預估在2013年會比目前再成長三倍。而趨勢科技的調查則指出，雖然業界看好雲端運算在資安上的應用，但是也有61%的企業受訪者表示，除非可以確定應用雲端運算不會產生重大的資安風險，否則目前仍不會急於導入雲端運算的相關應用服務。

從資訊安全的觀點來看，企業在運用新的資訊技術時，對於其隱含的資安風險，當然要做審慎的評估，而個人認為在採用雲端運算服務方面，至少有三個層面需要考量。

首先是網路層面，因為一旦商業運作需要仰賴雲端來進行，那麼網路頻寬的消耗，是否真如業者所言來的那麼節省？會不會拖累了原有網路服務的正常使用？這些都需要實地測試才可得知。另外，網路連線的穩定性也會比以往要求來的更高，因此在網路管理方面，原有的網路設備是否需要擴充？如何進行網路效能的最佳化調校？網路備援的方式？這些可能都會變成隱藏的成本支出。而網路傳輸的安全性當然也要涵蓋其中，若是有敏感資料需要傳輸，那麼是否有相對安全的加密機制和身分認證機制等，都是使用雲端服務時必需的要求。

其次是資料層面，企業要放置什麼資料在雲端上，將會決定所需的安全強度，在採用雲端資料服務的初期，建議企業先以非敏感性的資料為主，藉此來測試評估服務的安全性，而非一開始即將最重要的商業資訊，透過雲端方式來進行運算或儲存，以避免當資訊外洩時可能造成的衝擊。

最後是法規層面，企業要注意雲端服務廠商本身的安全是否值得信賴，是否有可供辨識的安全保證，例如取得政府的許可或國際標準ISO 27001的認證，因為這代表了雲端服務廠商在資料保護、實體安全、應用程式安全、系統可用性、漏洞管理、法規遵循方面是否有一套完善的管理制度，對於資訊安全可提供一定的保障。另外，萬一不幸發生資安問題，在責任歸屬與賠償機制上，就有賴於事先的合約或服務等級協議(SLA)，所以在一開始的服務簽定時，企業法務部門的參與協助也是十分重要。

評估企業整體的應用安全

事實上，雲端運算服務除了造福企業之外，對於惡意的駭客而言，也算是一大福音，因為這代表了許多企業更加依賴網路連線，會將重要的資訊透過網路傳輸，並且將商業資料儲存在企業環境之外，如果輕忽了可能的資安風險，就等於增加了駭客入侵的機會。

舉例來說，像是駭客可以利用雲端運算的強大能力來破解使用者帳號、密碼，竊取雲端所儲存的資訊；或是發動分散式阻斷網路攻擊(DDOS)，癱瘓雲端網路的運作，也就間接導致重要營運服務的停擺。另外，雲端資安服務機制的有效性，是否一如業者宣稱的可有效攔阻惡意程式入侵，是否會有潛藏的安全漏洞反而受到利用等，這些也都是未來需要關注的地方。

所以，企業在評估導入雲端運算的服務時，建議一開始先從非關鍵性的應用服務開始，而除了尋找可靠的雲端服務供應商之外，也要考慮有沒有其他的替代選擇。否則一旦企業所倚賴的雲端服務受到攻擊而停擺之後，將會對企業造成重大衝擊，例如關鍵資料無法存取、客戶資料外洩、防毒系統失效、惡意程式入侵等等，這些都有賴於事前整體的考量，絕非像是購置單一硬體和軟體一樣，只要輕鬆以對即可完成。(本文刊載於2009年12月號網管人雜誌)

雲端安全 on 資安見聞錄

[新知] ISO/IEC 27018:2025 解析：改版重點與導入注意事項

一般控制措施實施指引的改變

原附錄 A 控制措施的改變

本次改版特別需要注意的地方

結語

[新知] ISO/IEC 27017:2026 已正式發布：改版重點與差異解析

原 CLD 擴充控制措施的改變

一般控制措施新增的實施指引

本次改版對 CSP 端影響最大的條款

結語

[分享] 如何選擇適用的雲端安全標準

可實施驗證的雲端安全標準

最簡單的評估和選擇方法

[分享] 導入雲端標準前應思考的三件事

雲端標準導入第一步- 先確認自己是不是雲

雲端標準導入第二步- 提供什麼類型的雲服務

雲端標準導入第三步- 釐清自己的角色

[證照] 通過CCSK v5考試

CCSK 考試注意事項

[新知] 雲端運算關鍵領域安全指南更新為4.0版本

舊留言存檔

[專欄] 以ISO/IEC 27018 強化雲端上的個資安全

取得ISO/IEC 27018的必要條件

以標準做法和國際服務要求接軌

[專欄] 導入ISO/IEC 27017 擴展安全控制措施至雲端之上

將安全控制措施延伸至雲端

[專欄] 評估雲端服務安全性 就從認識國際標準開始

ISO/IEC 27001仍是雲端安全的基礎

[新知] ISO 27017 雲端安全國際標準已正式發布

[專欄] 讓雲端服務安全維護透明化 - 建立隱私等級協議 強化用戶信心與資料安全

遵循法規是雲端服務的基本原則

[專欄] 展現雲端服務的安全成熟度 - 及早取得STAR認證

取得STAR認證的必要條件

及早取得認證以搶佔市場先機

[新知] 雲端安全聯盟正式發佈CCM和CAIQ v.3.0.1

[專欄] 雲端控制矩陣安全措施簡介(八) - 強化雲端安全架構 從底層打好強健基礎

總結

[專欄] 雲端控制矩陣安全措施簡介(七) - 留心發行管理安全要求 災難復原計畫更不可少

災難回復之安全要求

[專欄] 雲端控制矩陣安全措施簡介(六) - 注意法律與作業管理 風險管理是重要關鍵

因應雲端服務法律議題

[專欄] 雲端控制矩陣安全措施簡介(五) - 小心處理資安事故 管理與技術雙管齊下

資安管理是雲端控制的基本功

[專欄] 雲端控制矩陣安全措施簡介(四) - 資訊安全管理與控制措施(2)

[專欄] 雲端控制矩陣安全措施簡介(三) - 資訊安全管理與控制措施 (1)

[專欄] 雲端控制矩陣安全措施簡介(二) - 評估設備場所與人力資源安全

設備場所安全之控制措施

人力資源安全之控制措施

[活動] BSI年會 - 雲端安全STAR認證正式開跑

關於STAR認證

關於雲端安全成熟度

[專欄] 自我評估雲端服務安全 - 雲端控制矩陣安全措施簡介(一)

法規遵循之控制措施

資料治理之控制措施

[專欄] 評估雲端服務的安全性 - 雲端安全開放認證架構簡介

雲端安全開放認證的實施現況

[新知] 雲端安全開放認證架構 (OCF) 與雲端控制矩陣 (CCM)

[觀點] 雲端運算安全入門(完) - 虛擬化安全與雲端資安服務

[證照] CCSK v3 考試正式上線

[觀點] 雲端運算安全入門(十二) - 雲端身分驗證與存取管理

[觀點] 雲端運算安全入門(十一) - 雲端資料加密與金鑰管理

評估資料轉移後的安全

了解您的雲端安全責任

[觀點] 雲端運算安全入門(十) - 雲端上的應用程式安全

[觀點] 雲端運算安全入門(九) - 資料中心營運與事故回應處理

選擇資料中心的評估建議

資安事故應變處理的建議

[觀點] 雲端運算安全入門(八) - 傳統安全、營運持續與災難復原

落實人員管理與實體安全

實務可行的作法與建議

[觀點] 雲端運算安全入門(七) - 雲端資料可移植性與相互運作

IaaS移轉的安全建議

PaaS移轉的安全建議

[觀點] 雲端運算安全入門(六) - 雲端資料安全防護與管理

雲端資料的安全挑戰

資料安全生命週期

資訊傳輸與安全建議

[觀點] 雲端運算安全入門(五) - 雲端法規遵循與稽核建議

盡早釐清法規遵循的要求

[專欄] 評估雲端服務安全性就從認識國際標準開始

[專欄] 讓雲端服務安全維護透明化 - 建立隱私等級協議強化用戶信心與資料安全

[專欄] 雲端控制矩陣安全措施簡介(八) - 強化雲端安全架構從底層打好強健基礎

[專欄] 雲端控制矩陣安全措施簡介(七) - 留心發行管理安全要求災難復原計畫更不可少

[專欄] 雲端控制矩陣安全措施簡介(六) - 注意法律與作業管理風險管理是重要關鍵

[專欄] 雲端控制矩陣安全措施簡介(五) - 小心處理資安事故管理與技術雙管齊下