風險管理 on 資安見聞錄

[新知] ISO 42001 - 人工智能管理系統 (AIMS) 的國際標準即將誕生

Mon, 13 Nov 2023 15:17:00 +0000

隨著AI (人工智能) 技術的快速發展，對於許多業者基於AI所提供的產品或服務，許多人也擔心新科技的應用可能會對人類的生活產生負面的影響，因此，如何讓AI科技的發展能夠趨於正途，成為了一個值得關注的議題。

目前人工智能管理系統 Artificial intelligence Management system (AIMS) 的國際標準「ISO 42001」，已經進入到最後草稿版本的審查階段，預計將在2023年12月正式公布。

# 更新: ISO 42001標準已於2023-12-18正式發布了~~

ISO 42001的AIMS和ISO 27001的ISMS一樣，同樣要求組織從「風險」的角度，評估提供AI的產品或服務，可能面臨的品質、安全、隱私、公平性、可靠性和透明度等議題所帶來的風險，進而實施對應的管控措施。

ISO 42001標準的內容，主要分為兩個部份，第一部份是本文第4章至第10章的內容，和ISO 27001資訊安全管理系統 (ISMS)一樣，遵循了ISO組織所定義的高階結構 (Annex SL)，主要是說明如何建立、實施、維持與持續改善組織的人工智能管理系統 (AIMS)，它能夠幫助組織以負責任的態度去開發或使用AI，並且達成法規的要求，同時也可滿足社會與眾多關注方的期望。

4 組織全景

4.1 了解組織及其全景

4.2 了解關注方的需要與期望

4.3 決定AI管理系統的範圍

4.4 AI管理系統

5 領導作為

5.1 領導與承諾

5.2 AI政策

5.3 角色、責任與權限

6 規劃

6.1 因應風險與機會之行動

6.1.1 一般要求

6.1.2 AI風險評鑑

6.1.3 AI風險處理

6.1.4 AI系統衝擊分析

6.2 AI目標與達成之規劃

6.3 變更之規劃

7 支援

7.1 資源

7.2 能力

7.3 認知

7.4 溝通

7.5 文件化資訊

8 運作

8.1 運作規劃與控制

8.2 AI風險評鑑

8.3 AI風險處理

8.4 AI系統衝擊分析

9 績效評估

9.1 監督、量測、分析及評估

9.2 內部稽核

9.3 管理審查

10 改善

10.1 持續改善

10.2 不符合事項與矯正措施

至於ISO 42001標準的第二部份，則包括了以下四個附錄的內容：

附錄A是參考之控制目標與控制措施，以表格說明了附錄B.2至B.10的控制措施要求。

附錄B是AI控制措施的實施指引 (內容有點像是ISO 27002，它是控制措施的參考書)

B.1 一般說明

B.2 AI相關之政策

B.3 內部組織

B.4 AI系統之資源

B.5 AI系統之衝擊分析

B.6 AI系統生命週期

B.7 AI系統之資料

B.8 關注方之資訊

B.9 AI系統之使用

B.10 第三方與顧客關係

附錄C是可能的AI相關組織目標與風險來源

C.1 一般說明

C.2 目標

C.3 風險來源

附錄D是使用AI管理系統涉及的領域或行業

D.1 一般說明

D.2 AI管理系統與其他管理系統標準之整合

[觀點] 從境管當機事件談資安風險管理(下)

Wed, 13 Jan 2010 02:34:00 +0000

上一次我們談到了風險管理的基本概念和過程，藉由識別資產的價值，並進行可能存在的威脅與弱點分析，以便計算出所面臨的風險值。在了解企業現有的資安風險之後，接下來將說明應對風險的處理方法。

在生活之中，每個人遇到意外的發生，都會有不同的應對方法。舉例來說，如果你的錢包掉了，除了現金沒了之外，錢包內的信用卡、身份證件也跟著一併遺失，這時候你會怎麼辦？相信大多數人的做法是，趕快打電話給銀行，先暫停信用卡的使用，然後登報將身份證件聲明作廢，重新到相關單位申請新的證件。那麼損失的現金呢？我想大概就只能摸摸鼻子，當作破財消災了。

不過，錢包就只會掉這一次嗎？如果萬一下次又掉了，或是被小偷扒走，那麼就只能再重頭來過，又心痛一次嗎？面對這種會造成財物損失的風險，難道沒有比較好的應對方法？事實上辦法是有的，而且還有很多種，端看你如何選擇。

像是有人會在錢包裡不放證件，或是不帶現金，只放一張額度最低的信用卡或提款卡；有人甚至出門不帶皮夾，而把現金放在口袋，證件放在另一邊，來避免雞蛋放在同一籠子裡的風險；還有比較極端的是，有人乾脆身上就不帶錢包了，反正和親友出去，若需花費，則請他人先代為付帳，日後再還即可。

風險處理的原則

以上提到的種種作法，其實目的只有一個，就是去「降低你不想要的事件發生的可能性，以及萬一它真的不幸發生了，如何將可能造成的損失減至最低」，而這也就是風險處理的基本原則。所以在生活之中，我們可能會直接選擇自己簡單易用，或是自認為有效的方法，不過，若是回歸到企業要處理資安的風險，還有幾項重點是必須要去考量的。

首先要考量的就是，採用這些風險處理的方法，必須要評估所耗費的成本是否合理，並且能夠讓企業老闆接受。記得某位資安的前輩曾叮嚀：「千萬不要花五塊錢，去保護只有三塊錢價值的東西，這往往只會吃力不討好。」

所以，若是為了防護某項價值並不高的資訊，而大肆添購眾多資安設備，要求做到高可用性，甚至於還做了異地備援，這樣的用心，恐怕只會被當成濫用企業資源而已，想必是一點功勞都沒有。

再來，請考量風險處理的作法是否會引起其他更大的風險。例如，企業為防止員工設定太過簡單的懶人密碼，使得駭客能夠輕易破解而竊取企業資訊，所以要求員工必須每個月更改一次密碼，長度必須英文數字大小寫混合十二碼以上，並且前十次不能相同。

上述這種作法，雖然可大幅提升密碼被破解的困難度，但相對的也會造成員工不容易去記憶密碼的困擾，而且如此一來，員工就很可能會將每次變更後的密碼寫下，甚至於可能直接就以便利貼貼在螢幕或鍵盤旁邊，這樣反而讓經過座位的所有人都可看到密碼，造成更大的風險。

所以，企業在要求做好資訊安全的同時，也務必去思考可能因為人性所產生的問題，千萬別忘了資安工作，其實大多時候都是在處理「人」的工作。

最後，應適時地評估風險處理作法的有效性。所謂有效性的評估，對管理人員來說是有難度的，因此，建議可採取適當的稽核方法，以確認相關人員是否依照企業制定的政策、流程、作業標準來執行工作，並且在稽核的過程中，以相關記錄的抽查並配合口頭的詢問，來確認工作人員是否達到「說、寫、做」一致。

以防火牆稽核而言，可以檢視其防火牆政策設置是否適當、政策的變更是否經過授權、如何進行政策變更、變更之後是否留下記錄等等；另外，也可詢問防火牆管理人員，是否定期審查設備所產生的Log檔，以及發生異常事件時，要如何進行處理與通報。至於稽核的執行，可由內部的稽核人員，或是委由外部的資安專家來進行，建議每季或每半年執行一次，並且召開管理審查會議，以檢討是否有缺失，以及如何進行維護與改進。

風險處理的方法

至於風險處理的過程，基本上可分為避免風險、降低風險、轉移風險和接受風險四個方向來進行，以下為各項方法的簡要說明。

避免風險
在資訊安全的範圍裡，想要完全避免所有風險是很困難的。以境管局提供的服務為例，它必須要透過資訊系統和網路連線來進行，因此，資訊系統本身即有其作業上的風險，像是硬體設備損壞、人員操作失誤、軟體臭蟲等等，而網路連線亦存在包括網路連線中斷、駭客入侵攻擊等風險，所以若想要完全避免風險，除非捨棄資訊系統與網路的使用，但如此一來，恐怕就只能以人工來處理，但可別忘了，人工處理除了沒有效率之外，同樣也有其作業風險。

降低風險
正因為風險很難完全加以避免，所以管理人員通常可運用的就是降低風險的作法，也就是選擇適當的資安控制措施。例如企業擔心病毒入侵，所以會在電腦中安裝防毒軟體，這是一種降低病毒爆發風險的控制措施；境管局擔心系統會因硬體損壞而失效，所以建置了備援系統，希望在系統失效時，能接替原系統來執行工作，這也是一種降低風險的控制措施。只是這些控制措施是否合宜，能否有效降低所面臨的風險，必須參考剛才已提過的風險處理原則。

轉移風險
有一些風險，像是地震、火災和水災，它發生的機會可能不多，但是一旦發生時卻會造成嚴重的傷害，雖然平常也可採取降低風險的作法，但是往往花費很高，效果也不顯著，這時候，建議最好的處理方法就是轉移風險。舉例來說，企業若將最重要的營運資訊，放置在公司內部的機房，雖然機房已針對地震、火災和水災，作了適當的規劃防護，但是依然難防大樓遭到火災的侵襲，因此，若能再加保火險，即可補償災害發生時造成的損失。另外，若資料可委外備份到專業的資料中心，藉由資料中心提供更完善的防護，來確保資訊存放的安全，這也是轉移風險的另一種應對之道。

接受風險
如果有些風險所造成的損失不大，對企業營運的影響也很低，那麼與其花費金錢購置資安設備來加以防護，不如選擇接受風險，其實也是可以採行的辦法。當然，每個企業對於風險的接受度不同，這就有賴於先前是否做好風險的分析與評估，在事先計算出各項資產的風險值，即可依據各項風險等級來判斷是否為可接受的風險。在此還要提醒大家，接受風險不代表就不必去管它了，可別忽略了風險的高低，有可能隨著外在環境或人為因素而變動，因此仍要定期的審查，尤其是針對資產價值較高，造成企業衝擊較大的項目。

總結

以上針對資安風險管理，僅以簡單淺顯的例子來予以介紹，希望透過識別資產、風險分析、風險評估與風險處理的過程，以達到管理風險的目的。事實上，風險管理在各個產業都有很多不同的應用，若是針對資訊安全與IT系統，建議你可以進一步參考由美國國家標準和技術研究院(NIST)所發布的「SP800-30 Risk Management Guide for Information Technology Systems」，或是最新發布的「ISO/IEC 27005:2008資訊安全風險管理」國際標準，對於風險管理在IT的應用都有很深的著墨，建議你不妨有空仔細研讀。

最後，個人還想藉此強調一個觀念，就是資訊安全絕不只是架構防火牆、安裝防毒軟體，或是以技術對抗駭客入侵而已，其實它更像是一個全面的管理過程，在這個過程之中，將會牽涉到企業流程、組織管理、作業程序等等，所以資訊安全不會只是一個人或一群人的工作，而是企業由上到下都必須有共同的認知來確切執行，這樣才能確保企業不會因發生資訊安全事件，而導致營運中斷或聲譽受損，才有實現企業永續經營的一天。(本文刊載於2009年3月號網管人雜誌)

[觀點] 從境管當機事件談資安風險管理(上)

Tue, 29 Dec 2009 10:58:00 +0000

意外事件的發生，往往令人措手不及，如果又缺少適當的應變方法，一團混亂的結果更會造成危機的擴大。因此，最好的做法就是在事前設想可能的風險，並採取適當的控制措施來將衝擊降至最低，本文用簡單的範例說明，來協助你了解風險管理的過程。

在2009年年初，桃園機場的境管電腦發生了當機事件，使得證照查驗工作必須採用人工方式進行，造成入出境的旅客大排長龍而抱怨連連。以往雖然也有類似情況發生，所幸資訊人員都能在很短的時間內搶修完成，讓服務可以迅速地恢復運作。但是，此次當機事件卻牽連甚廣，使得整個境管電腦系統停擺長達36個小時，更讓8名受到列管的人士得以入出境闖關成功。

此次當機事件，根據官方的聲明指出，主要發生原因是由於硬體過於老舊，導致硬碟與主機板發生故障，進而使得境管系統停擺。但是，在事件引起軒然大波之後，各家媒體和網友卻抱持著不同的看法，歸結起來大致可分為以下幾項原因：

硬體設備老舊未更新
相關人員應變力不足
備援與復原機制不足
缺少標準處理作業流程

個人認為這次事件的發生，不會只是由單一的因素所造成，因此可以從很多角度來予以探討，包括從系統開發與運作流程、備援作業程序、IT服務管理和營運持續管理等，但因缺少了相關直接證據，在此我們不去探討事件背後的真相如何，而是要來思考以上各個層面，都必須要考慮到的一個重點，那就是所謂的「風險管理」。

風險管理基本概念

風險是什麼？簡單的說，就是「你不想要發生的事件，當它發生的可能性和所造成的影響程度之組合。」舉生活中的風險為例，像是每年可能會發生兩次，當颱風來襲時會使住家所在的區域停電；或是一年左右會發生一次，因為路上的釘子刺破了輪胎，造成車子無法繼續行駛。若是以IT的例子來說，常見的風險則有每年大約發生一次，因為硬碟故障而造成檔案損毀；或是每半年可能發生一次電腦病毒造成系統當機等。

風險的存在與否，主要是視資產所處的環境及活動，要去考量它的嚴重性以及發生的機率，像以上這些事件所產生的風險，都會造成一些問題發生，假如沒有適當的因應作法，可能會讓事態擴大而產生更大的衝擊，所以若想要避免或是降低更多問題的產生，就必須要採取一些對應的風險控制措施，而這也就是風險管理過程中重要的工作之一。

風險管理的過程

風險管理的第一步，就是要先了解會產生風險的對象到底是誰？對企業而言，「風險來自於有價值的資產，所以必須要去識別企業內的重要資產有哪些，還有其所面臨的威脅與弱點是什麼，以便鑑別出各項風險組合。」

以這次當機事件為例，它的資產至少包括了系統維護人員、運行系統的電腦主機、系統應用程式、儲存設備、備援系統等；可能的威脅則包括像是設備自然損耗和人員作業疏失；弱點則可能有維護支援服務不足、人員缺乏訓練、缺少應變程序等，如果以上這些資產的威脅和弱點同時發生的話，就會影響到所提供服務的正常運作。

因此，在了解風險的組成至少包括資產、威脅和弱點等三項要素之後，關於風險管理的過程，則可分為「識別資產」、「風險分析」、「風險評估」和「風險處理」等四個步驟來進行，以下是各項步驟的簡要說明。

識別資產
在資訊安全的範圍裡，我們所要探討的資產以資訊資產為主，也就是和資訊有關且彼此影響的事物。資產的種類通常可分為：

人員 - 可分為內部和資訊作業有關的人員，例如管理階層人員、系統開發人員、系統維護人員、資訊處理人員、網管人員等；或是外部的約聘人員和承包商。
文件 - 可分為紙本文件和電子文件，例如系統文件、使用手冊、網路拓樸圖、各式表單、合約、日誌、客戶資料等。
軟體 - 資訊系統運作所需的套裝軟體，包括作業系統、資料庫、一般應用軟體、防毒軟體等，或是內部自行開發的應用軟體等。
硬體 - 指存放、處理或支援資訊系統運作的硬體設備，例如個人電腦主機、伺服器、筆記型電腦、路由器、交換器、不斷電系統等。
實體環境 - 指處理資訊所在的地點及建築物，例如機房、網管中心、備援中心、資訊作業中心等。
服務 - 指對外連結或區域互動的網路，例如ADSL網路、光纖網路、數據專線、無線網路等；或是電力、水力等公共支援服務。

風險分析
在識別和資訊有關的資產並進行分類之後，接下來就要分析這些資產所面臨的威脅與弱點。所謂威脅是指會對資產造成損害的事物，可分為自然因素與人為因素。自然因素是指來自於天災或是設備的自然損耗，人為因素則包括有意破壞和無意的作業疏忽，目前常見的威脅包括：火災、水災、颱風、地震、電力中斷、駭客入侵、內部人員不當操作、人員惡意竊取、人員惡意破壞等。

至於弱點則是指存在於資訊資產本身，容易被威脅利用而造成損害的地方，要注意的是，「弱點本身並不會直接造成資產的損失，必須要伴隨著威脅一併發生，才會產生資安風險。」目前在資訊系統中常見的弱點有：作業系統未更新、病毒碼過期、缺少身份驗證、缺少存取權限控管、使用未加密的網路、人員缺少訓練、設備缺少維護等。

風險評估
在一一識別出資產所面臨的威脅與弱點之後，接下來就要進行風險評估，也就是計算出風險值，並依照風險值的高低來加以排序。當然，風險高的項目，一定是要優先去處理的。

至於風險的計算方式有很多種，礙於篇幅無法做詳盡的說明，在此僅提出一個最簡便的方法，可做為風險評估時的參考，應用時可依所處環境與管理要求來自行定義評價方式，本方法的計算公式如下：

風險 = 資產價值 x 威脅機率 x 弱點等級

關於資產價值可參考表一的說明，可分別依照資產的機密性、完整性與可用性的要求來給予評價，再取其平均值或是最大值；至於威脅發生的可能性，可用「每年發生一次」、「半年發生一次」、「每季發生一次」、「每月發生一次以上」等類別，分別給予1~4的評價；而弱點的等級，則可以區分為「很難被利用」、「難以被利用」、「容易被利用」、「很容易被利用」，同樣給予1~4的評價。

表一：資產評價說明

評價	機密性	完整性	可用性
1	公開，可對外界公布	資訊被竄改後對資產無害	資訊需要使用時，在24小時內需提供
2	一般，公司內部使用	資訊被竄改後對資產輕微損害	資訊需要使用時，在8小時內需提供
3	敏感，相關職務需要才能得知	資訊被竄改後對資產中度損害	資訊需要使用時，在4小時內需提供
4	機密，僅少數特定人士得知	資訊被竄改後對資產嚴重損害	資訊需要使用時，在2小時內需提供

在完成了資產、威脅與弱點評價之後，就可計算出各項資產現有的風險值，並可依風險值的高低，賦予風險等級，例如風險等級A為48~64、風險等級B為32~47、風險等級C為16~31、風險等級D為1~15。最後，企業的管理階層則要決定能夠接受的風險等級，假設為D的話，那麼只要是屬於風險等級ABC的資產，都是我們必須要去做風險處理的對象。表二是一個虛擬範例，僅供參考。

表二：各項資產之風險等級

資產類別	資產名稱	威脅項目	弱點項目	資產價值	威脅機率	弱點等級	風險值	風險等級
人員	資料備份人員	作業疏失	訓練不足	4	2	4	32	B
軟體	網站伺服器	駭客攻擊	未更新修補檔	3	4	4	48	A
硬體	網域伺服器	硬體故障	監控不周	3	2	3	18	C
---	---	---	---	--	--	--	--	--

小結

風險管理是一個持續性的過程，舉凡企業內部的組織變更、作業流程改變、資訊資產的變更，或是有重大的資安事件發生之後，都必須要重新進行風險分析和風險評估，以期能夠識別新的風險，才可及早採取適當的風險控制措施，降低可能的資安事件發生，下一次將會為你說明風險處理的相關做法。(本文刊載於2009年2月號網管人雜誌)