CCM on 資安見聞錄

[新知] 雲端安全聯盟正式發佈CCM和CAIQ v.3.0.1

Fri, 18 Jul 2014 04:37:00 +0000

雲端安全聯盟(CSA)已正式發佈更新版本的 Cloud Controls Matrix (CCM) 和 Consensus Assessments Initiative Questionnaire (CAIQ) v.3.0.1，有興趣的朋友可以自行至CSA的網站下載這兩項文件。

CCM v.3.0.1 - https://cloudsecurityalliance.org/download/cloud-controls-matrix-v3-0-1/

CAIQ v.3.0.1 - https://cloudsecurityalliance.org/download/consensus-assessments-initiative-questionnaire-v3-0-1/

新版的雲端控制矩陣CCM提供了雲端服務供應商基本的安全原則，可以協助業者自行評估所面臨的雲端風險，在CCM v.3.0.1中包括了16項安全領域和基本的安全控制措施，並且可以和業界與國際標準相互參照，以減少稽核時的重覆性與複雜性。

不同於v.3.0的新版主要更新重點如下：

新版CCM更新為16項安全領域，並且對應至常見的其他標準，如AICPA 2014 TSC, COBIT 5.0, ISO/IEC 27001:2013等。

新版CCM整合了重覆的控制措施，從舊版v.3.0的136個減少至133個，同時重新改寫了控制措施內容，讓目的更清楚，並且可以滿足STAR認證的要求。

新版的CAIQ則提供了更簡要清楚的問題內容，並且對應至CCM和雲端運算安全指南v3.0的內容，讓雲端服務供應商可以更容易地進行自我評估，以滿足客戶的期待與要求。

[專欄] 雲端控制矩陣安全措施簡介(八) - 強化雲端安全架構從底層打好強健基礎

Wed, 09 Jul 2014 13:50:00 +0000

上一篇我們說明了在雲端控制矩陣之中，有關發行安全管理和災難回復能力之要求，本期將說明有關雲端安全控制要求的最後一項-安全架構之內容。

在雲端控制矩陣中的第十一項是針對安全架構的要求，希望藉由強化底層的網路基礎設施與應用程式，以減少營運時可能面臨的安全風險。以下將說明安全架構中的15個控制措施，以及可對應參考的ISO 27001標準與實務建議。

SA-01 客戶存取之要求
這項控制措施是要求在賦予客戶存取資料、系統、資產之前，所有已識別出與存取有關的安全、合約、法規之要求，應該被處理和達成。

在ISO 27001標準附錄「A.6.1.2資訊安全協調工作」中提到，組織之中的資訊安全，不會只是單一部門的工作，除了資訊單位之外，可能也需要人力資源、總務、行政、業務、稽核、法務等部門人員的參與，才能達成組織所設定資訊安全的目標，所以資訊安全的相關活動，需要由不同部門的代表協調，才能順利地執行。此外，「A.6.2.2處理客戶事務的安全說明」也要求，在賦予客戶存取組織資訊的權限之前，應考量到各項資訊安全要求，例如對於提供服務的內容描述，以及客戶應有的安全責任與要求等。

SA-02 使用者身分憑證
這項控制措施要求組織所提供的雲端服務，對於應用程式、資料庫、伺服器及網路的使用者身分憑證與密碼管理，需要滿足以下的最低要求：

在密碼重設之前，進行使用者身分確認。
如果密碼是由非使用者重設(如系統管理員)，在第一次使用時必須要求使用者立即更改。 3. 對終止職務的使用者，應及時地取消其存取權限。
至少每90天移除及停用閒置的使用者帳號。
應採取唯一的使用者識別帳戶，禁止帳號密碼的共享使用。
密碼過期週期為90天。
密碼最小長度不得低於7碼。
應使用混合數字與符號的強健密碼。
重新設定密碼時，不得與最近四次使用過的相同。
密碼經重試6次錯誤之後，即鎖定帳號。
帳號鎖定最少期間為30分鐘，或是直到管理者解鎖為止。
使用者閒置15分鐘之後，應要求必須重新輸入密碼才可繼續使用。
特權使者者的存取與活動記錄必須被保存。

有關使用者身分管理之要求，還可以參考ISO 27001附錄「A.11.2.3 使用者密碼管理」，要求使用者密碼的配置，需要有正式的管理流程來進行控制，也就是說在配置的過程中必須實施所需的安全要求。

SA-03 資料安全
這項控制措施是要求組織的資料在不同系統、途徑及第三方的交換過程中，必須建立確保資料安全與完整性的政策和程序，以便遵守法律法規與合約的要求，同時避免資料受到不當的揭露、竄改與銷毀。

對此，可以參考ISO 27001附錄「A.10.8.1 資訊交換政策和程序」，要求組織的資訊交換，都需要依照所定義的管道和方式來進行。為了確保資料安全，也可依照「A.12.5.4 資料外洩」之要求，在系統上線前進行系統掃描，確認是否有不當的訊息外送或開放的傳輸埠，另外也要監測系統資源的使用與網路活動，以防範資料洩漏的事件發生。

SA-04 應用程式安全
這項控制措施是要求應用程式需依照業界認可的安全標準如OWASP來進行開發，並且合乎適用的法規與商業要求。針對應用程式安全，在ISO 27001附錄「A.12.6.1技術脆弱性控制」中提到，因為資訊系統本身並非十全十美，也就需要定期或及時地加以修補，這項控制措施要求組織應及時取得和弱點有關的資訊，並採取對應的行動來降低因已被公布的安全弱點，而遭受到不必要的攻擊。

SA-05 資料完整性
這項控制措施是針對資料的輸入與輸出，對應用程式介面和資料庫實施完整性檢查，以避免資料受到手動或系統執行錯誤所造成的問題。對此，可參照「A.12.2.1 輸入資料確認」之要求，針對所輸入的資料，在內容上面可加以限制，例如價格欄位只允許輸入數字、身分證字號只允許輸入10個字元等，透過對於數值的範圍、資料完整性、資料量及有效字元等的偵測，可避免像是資料隱碼（SQL Injection）或緩衝區溢位（Buffer Overflow）等常見的攻擊。

SA-06 生產與非生產環境
這項控制措施是要求生產與非生產的環境應被區隔，以保護資產不會受到未經授權的存取與變更。在實施方面，可參照ISO 27001附錄「A.10.1.4 開發、測試與運作環境的區隔」，要求組織針對應用程式的開發，勢必要備妥開發流程、測試和上線運作的程序文件。同時，所使用的資訊軟硬體設備，也要加以適當的區隔，不可在同一個環境上進行，也不將資訊存放在相同的儲存媒體中。

SA-07 遠端使用者之多因素認證
在雲端服務之中，使用者的身分可決定其使用的服務內容，因此在身分驗證方面，這項控制要求所有遠端存取的使用者，都必須使用多因素認證，包括像是登入管理介面、創建金鑰、存取多個使用者帳號、防火牆設置及遠端存取等。

在實施方面，可參照ISO 27001附錄「A.11.4.2 外部連線的使用者鑑別」，要求當使用者從外部網路連回使用相關服務時，需要採用適當的鑑別方法，確認使用者的身分以便進行存取控管。目前最常見的作法是採用VPN方式，以使用者帳號、密碼和Token進行身分驗證，在建立安全加密的通道之後，才允許其使用網路服務。

SA-08 網路安全
這個控制措施是要求針對信任與非信任區域的網路，應該被設計為可限制彼此的連結，並以文件化方式記錄所有服務的用途和被允許使用的網路協定與連接埠，也包括了針對不足之處所實施的補償性措施。另外，在網路架構圖上面，應清楚定義高風險的環境和資料流經之處，以降低可能違反法規之衝擊。

對此，可參考ISO 27001附錄「A.11.4.1 網路服務的使用政策」之內容，要求組織制訂有關網路服務和使用的安全政策，規範使用者只能存取已獲得授權的服務，並且在政策中說明像是有哪些網路服務是允許使用者來存取的、申請使用和授權的程序、可允許存取的方式，以及所採取保護網路連線和服務的安全管理機制等。

SA-09 環境區隔
這個控制措施要求系統和網路環境必須使用防火牆進行區隔，以確保能夠遵守以下的要求。 1. 業務與客戶之要求
2. 安全要求
3. 法律、法規與合約之要求
4. 生產與非生產環境區隔之要求
5. 敏感資料之保護與隔離要求

針對網路的安全管理，可參考ISO 27001附錄「A.10.6.1 網路控制措施」的內容，利用資安設備像是防火牆、入侵偵測系統、VPN等，以保護網路連線服務不會受到惡意的入侵和存取。對於敏感性資料，則可以依據「A.11.6.2 敏感性系統隔離」來要求敏感性系統需要有專屬的作業環境，以避免其他未經授權的人員可以操作使用。

SA-10 無線安全
這個控制措施要求對於無線網路的安全，應建立相關的政策與程序，並實施以下的安全防護作法：

部署邊界防火牆來限制未經授權的網路流量。
啟用安全的組態配置如加密與身分驗證措施，修改廠商預設的加密密碼和SNMP等設定。
只限經過授權的人才可使用無線網路。
有能力偵測偽冒的無線基地台，並且能夠及時的阻斷連線。

對於網路服務的安全，可依照「A.10.6.2 網路服務的安全」之要求，識別無線服務所屬的安全等級，以便採取對應的控管方法，包括制定申請使用程序、可連線的方式、身分識別方法及所採取的加密措施等。

SA-11 分享的網路
在組織之中，隨著規模的擴大以及資訊服務的增加，網路環境也顯得愈來愈複雜，若沒有實施良好的管理，資訊的傳遞、儲存、使用可能會危及本身的機密性、完整性和可用性。因此，這個控制措施要求使用分享的網路基礎設施時，應依據安全政策、程序和標準的要求，只限於已取得授權的人員。對於和外部單位分享的網路，應以文件化方式規劃所需的補償性控制措施，使其和組織本身的網路能有所區隔。

至於文件化的政策方面，可參考ISO 27001附錄「A.11.1.1 存取控制政策」，依照營運相關的存取安全要求來建立文件化的存取控制政策，藉此明確地說明每位使用者和使用群組如何配置所需擁有的存取權限。另外，針對網路的隔離，「A.11.4.5 網路區隔」提到的作法是可採取虛擬網段（VLAN）的方式，透過網路交換器、路由器、防火牆等設備，依照不同網域的安全要求來加以分割，以確保網路流量的區隔和安全邊界的劃分。

SA-12 時間同步
為了確保日誌記錄的有效性，正確的時間設定是非常重要的一環，唯有各項系統的時間維持一致，才能去作分析與追蹤。這個控制措施是要求組織中所有與雲端服務有關的系統，必須使用來自可信賴的資源，並且定義所在的安全區域，以便同步整合所有系統的時間。

對此，可參考ISO 27001附錄「A.10.10.6 鐘訊同步」，採行實務上最簡單的方法，也就是使用NTP的通訊協定與國際標準時間或當地標準時間伺服器來進行同步對時，確保使用了共同的時間來源。

SA-13 設備識別
這個控制措施要求對於提供雲端服務的各項設備，必須要有能力可以彼此自動地識別與連結，對於已知所在地點的設備，可透過地理位置感知技術，以強化連結時的安全驗證。

在ISO 27001附錄「A.11.4.3 網路設備鑑別」中提到，組織若想限制來自特定地點或設備的網路連線，最好是採取自動設備的識別方法，以鑑別連線的設備是合法且經過授權的裝置。實務上最容易採取的方式，是識別網路設備的MAC Address和網路IP，尤其是目前普遍使用的無線網路，相關行動設備皆建議採取此種方式來進行識別，若再配合使用者的身分鑑別，則可以大幅提高其安全性，避免受到惡意人士採用偽冒身分的攻擊。

SA-14 稽核記錄與入侵偵測
這個控制措施是要求包括特權使用者的存取行為、已授權與未授權的存取要求、系統例外和資安事件等，應依據所制定的政策要求來加以記錄。稽核記錄應當每日進行檢視，並且部署檔案完整性檢測和入侵偵測系統，以確保能夠即時地監控並分析事故發生的原因。有關稽核記錄的實體與邏輯存取，也只限於經過授權的人員才可進行。

在ISO 27001附錄「A.10.10.1 稽核存錄」中提到，無論是資訊系統、資安設備、資料庫或應用程式等，每天都可能會產生大量的系統日誌（log），這項控制措施的目的，就是要保留使用者的活動記錄、異常事件的告警等，以便可以用來找出事件可能的發生原因，甚至還原事件發生的過程。所以在實務方面，建議日誌記錄必須要保存適當的一段時間，至於應該保留的事項包括：

事件發生的日期、時間。
所使用的帳號和使用行為如登入和登出等。
系統存取成功或失敗的記錄。
系統組態的變更項目和範圍。
系統工具程式的使用情況。
所存取的檔案類型和方式。
網路IP和使用的通訊協定。
系統異常事件的告警等。

SA-15 行動碼
行動碼是指可以跨越不同平台設備使用的程式，像是ActiveX、Java、Flash等，這個控制措施是要求行動碼在安裝、使用和配置之前，應先取得管理者的授權，並且確保將根據既定的安全政策來執行，也就是必須能夠防止未經授權的行動碼的使用。對此，可參考ISO 27001附錄「A.10.4.2對抗行動碼的控制措施」之要求，實務上最常使用的管制方式是提高瀏覽器的安全等級，以避免使用者有能力直接執行有害的惡意程式。

總結

雲端服務牽涉到基礎設施的維護、系統的穩定及資料的安全等，對雲端服務供應商而言，要如何展現有效的安全管理並取得使用者的信任，往往是決定服務好壞的關鍵要素。雖然目前仍缺少一個雲端安全的國際標準，但透過雲端安全聯盟的努力與推廣，包括所提出的雲端安全關鍵指南、雲端控制矩陣和STAR認證等，也已受到業界的肯定。因此，如果能夠實施其所建議的各項要求，相比之下，更能夠具體地說明服務供應商對資訊安全的重視與決心，也能夠為廣大的使用者提供更安全的雲端服務。(本文刊載於2014年2月號網管人雜誌)

[專欄] 雲端控制矩陣安全措施簡介(七) - 留心發行管理安全要求災難復原計畫更不可少

Sun, 11 May 2014 23:35:00 +0000

上一篇說明了在雲端控制矩陣之中，有關法律議題與營運作業時應實施的安全要求，並且要從整體雲端服務的角度來評估可能的風險，本期將說明有關發行安全管理和災難回復能力之要求。

在雲端控制矩陣中的第九項是有關發行管理的要求，它是針對雲端服務的營運中，評估是否存在相關的變更管理流程與機制，一旦與雲端服務有關的事項有所變動時，服務供應商必須要有能力識別並且實施計畫性的更動，同時也要評估發生災難時可能帶來的衝擊，以及擬定必要的復原程序。以下將說明發行管理中的5個控制措施，以及所對應ISO 27001的標準內容與實務建議。

發行管理之安全要求

RM-01 新開發與取得要求
這項控制措施是要求對於新的應用程式、系統、資料庫、基礎建設、服務、操作和設施的開發或取得，必須建立管理授權的相關政策和程序，也就是在一開始評估與規劃時，即考量所需的安全要求。在ISO 27001標準中，可參照「A.12.1.1安全要求分析與規格」之要求，了解新的資訊系統對組織整體營運的重要性為何？評估系統萬一失效或受到入侵時可能產生的安全風險？所需要的資安防護層面有哪些？如果系統本身無法達到所需的安全強度，是否可尋求其他的配套措施來降低風險？

另外，在「A.6.1.4資訊處理設施的授權過程」中提到，組織大都會採購資訊相關設備，並且給予員工在作業時使用，為了確認這些新設施能夠符合資訊安全的要求，因此有關資訊設備的使用，必須先取得管理階層的核准，換句話說，組織應明訂此一授權程序和流程，才可確保符合了資安政策的要求。

RM-02 生產之變更
如果組織所提供的雲端服務，需要進行與生產環境有關的變更，變更的項目一般包括了軟體和硬體，像是應用程式、系統、資料庫、網路裝置等，可能變更的內容則涵蓋了安裝修補程式(patches and service pack)和其他的更新與修改，因此這項控制措施要求在變更進行之前要先獲得主管授權，採取文件化方式的流程並且進行測試。

有關的生產變更之要求，可以參考「A.10.1.2 變更管理」，以確保和資訊處理設施與系統有關的變更事項，都能夠受到妥善的管理控制。實務方面，除了所有的變更內容務必要取得主管的授權之外，特別要注意的是務必保存相關的變更記錄，包括作業核准的程序、重大變更事項的識別和記錄、變更規劃與測試計劃，以及在變更失敗時，如何中止並進行復原的程序等。

此外，在「A.12.5.1 變更控制程序」中也提到，針對資訊系統的變更，需要制訂正式的變更程序才可進行，也就是說重點在於整個過程都需要有適當的監控，因此最好的作法是有文件化的變更作業程序，同時依據之前A.10.1.2變更管理的相關要求來實施。

RM-03 品質測試
這項控制措施是要求組織中所有的軟體開發，都必須建立系統化的監督和評估計畫，以確保達到品質標準的要求。針對資訊系統的更新和版本變更，都要以文件化方式進行，在系統開發和被採用之前，也都要事先進行安全測試。管理階層需要有足夠的能力來監督品質測試的過程，以確認符合當初的開發目的，並且在釋出上線之前解決可能發生的問題。

對此，可以參考「A.10.1.4 開發、測試與運作環境的區隔」之要求，也就是應分隔在開發、測試和運作所使用的資訊設施，以避免因設備的誤用或資訊的不當修改，而產生不必要的風險。在實務方面，針對應用程式的開發，務必要備妥開發流程、測試和上線運作的程序文件，同時，所使用的資訊軟硬體設備，也要加以適當的區隔，不在同一個環境上進行，也不將資訊存放在相同的儲存媒體中。特別是要避免使用正式的上線環境和營運資料進行測試，以免影響日常的營運。

在系統完成更新之後，可依照「A.12.5.2 作業系統變更後的應用程式技術審查」之要求來進行審查測試，以確認不會影響到組織的作業或其他關鍵系統。換句話說，只要有系統進行了變更作業，就要對應到後續的技術審查過程，而且所有更新作業與運作情況，都需要留下適當的記錄才行。

RM-04 外包之開發
這項控制措施是要求針對所有外包軟體之開發，必須建立系統化的監控與評估計畫，以確保符合品質標準之要求，同時所有外包的軟體開發，都應受到組織的管控和安全要求，包括了開發環境需經過合格人士的獨立審查，開發人員需接受安全認證訓練，以及進行原始碼的檢測等。至於相關的安全認證則要符合ISO 17024之認證規範，或是符合當地法定認可機構所頒發的執照與認證。

針對此項安全要求，在「A.12.5.5 委外的軟體開發」中提到，服務供應商若選擇委外廠商來進行軟體開發，就必須要加以適當的監督，確認其遵守了組織的安全政策，這部份同時可參照「A.10.2第三方服務交付管理」的要求，實務上更建議組織應將安全要求明列在所簽訂的委外合約之中。

RM-05 未授權的軟體安裝
這項控制措施是要求應建立政策和程序，並且實施相關作法來限制未授權的軟體安全。對此，可參照「A.10.4.1 對抗惡意碼的控制措施」之要求，制定正式政策來規範使用者不可任意自網路上下載安裝未經授權的軟體，並實施教育訓練讓使用者有足夠的認知，以避免來自網路和電子郵件等惡意程式的入侵。同時也可依據「A.11.6.1 資訊存取限制」之要求，遵守所制定的存取控制政策，確保只有符合擁有存取權限的人員才可存取系統。

災難回復之安全要求

雲端服務的運作，除了必要的安全管控措施之外，還需要更進一步思考可能發生的潛在危機和災難，藉此來提早防範於未然。在雲端控制矩陣之中，對於雲端服務的災難復原事項，也提出了以下8個的安全控制要求。

RS-01 災難復原之管理計畫
在實務方面，有關業務持續與災難復原的政策、流程和程序，應依據組織的業務、法令法規及合約的要求來制訂完成，將預期到的可能災難風險，降低至可接受的水準，並透過預防與復原的措施，減少災難對於組織的衝擊與影響。組織的復原管理計畫，應與組織業務所有相關人員進行溝通，並且發佈給這些人員，將它存放在災難發生時易於被取得的地方。

在標準方面，可以參照ISO 27001附錄「A.14.1.1 將資訊安全納入業務持續管理流程」，要求組織依照業務所需的資安要求，發展和維持整體的業務持續管理流程，也就是需要去識別和業務有關的關鍵活動，以及支持這些關鍵活動所需的資產，例如人員、場地、資訊、技術、供應商、利害關係人等，組織必須充分地了解這些資產所需的安全要求，以及這些資產可能引起營運中斷的風險，評估其可能造成的衝擊，然後再選擇適當的控制措施。

RS-02 衝擊分析
對於可能造成組織營運中斷的風險，必須以文件化方式來定義其可能的衝擊，這項控制措施提到的相關作法包括了：

識別關鍵產品與服務
識別支持關鍵活動所需的作業流程、應用程式、業務夥伴及第三方的服務供應商。
了解對關鍵產品與服務的威脅
對於計畫或非計畫中的中斷事件，依時間變化決定其對組織的衝擊影響。
建立最大可容忍的中斷時間(MTPD)
建立復原的優先順序
建立回復關鍵產品與服務的目標時間(RTO)
評估復原活動的所需資源

針對這項控制要求，可參照「A.14.1.2 業務持續與風險評鑑」，要求組織必須識別可能導致營運中斷的事件，研判其可能發生的機率，評估可能造成損害的等級，以及對組織的衝擊和影響。一般而言，由資安事件引發的系統錯誤、設備失效、天然災害等問題，多數能夠藉由風險評鑑加以識別，並且依其損壞程度和復原時程，判斷如何恢復至正常運作的水準。

所以在進行規劃時，建議最好由業務活動和資源的擁有者來參與，才能完整的識別出正常營運所需的資源、可容忍的中斷時間及復原的順序，如此也才能識別出各項風險，進而決定組織業務持續管理的整體作法，避免落入過度偏重在添購資訊設備的備援情境中。

RS-03 業務持續計畫
這個控制措施是要求雲端服務供應商，必須建立業務持續計畫的框架，並以文件化方式確保和組織的資訊安全要求維持一致。

業務持續計畫的內容包括了：

定義目標和範圍，並與相關附屬要求保持一致
讓需要使用的人容易理解並取得
指定負責人以便進行更新、審查及核可
定義溝通的管道、人員角色與責任
詳細描述復原程序、人工作業方式與所需的資訊

對此，可參考「A.14.1.3 發展與實作包括資訊安全的持續計畫」之內容，要求針對各項可能造成營運中斷的風險，建立對應之維持或恢復運作的計畫，以確保在一定時間內達到資訊可用的要求等級。所以，建議組織在規劃時需考量可以接受的服務中斷時間，還有可供使用的人力、物力等各項資源。

另外，「A.14.1.4 業務持續計畫框架」中也提到，業務持續計畫需要確保一致性，也就是實施時務必要依照組織的整體作法，例如在每一份計畫中都會涵蓋特定的計畫擁有人、聯絡清單、啟動條件、緊急程序等，這些就是所謂的框架，依照這些項目來建立各項業務持續計畫的內容，同時明訂測試與維護的優先順序。

RS-04 業務持續之測試
這個控制措施要求業務持續計畫必須在規劃時，或是組織與環境有重大變更時需進行測試，以確保計劃的有效性。在實務方面，可以依據「A.14.1.5 業務持續計畫的測試、維護及重新評鑑」，要求所有的業務持續計畫，都需要定期測試與更新，以確保計畫內容與作法，符合當下的真實環境。因為對組織而言，或許無法同時完整測試所有計畫，但應規劃其測試時程和方法，再視情況選擇採取紙本演練、狀況模擬、技術測試或完整演練等，確保在災難發生時，能夠依照預先設想的步驟來執行，以達成業務持續的目標。

RS-05 環境的風險
這個控制措施是要求自然發生的災難或是蓄意的攻擊，都應該要進行事先的預測、規劃及實施對應的控制措施，對此，可參考「A.9.1.4 保護來自外部與環境的威脅」中提到，利用適當的實體防護，以降低外在的環境威脅，如火災、地震、水災等的侵襲影響。

RS-06 設備之所在地
這個控制措施是要求為了減少來自環境的威脅，以及未經授權存取的風險，針對設備的所在地需要實施控管，並且在合理的距離之外設置備援設備。針對設備的問題，在「A.9.2.1 設備的設置與保護」中提到，資訊相關設備應適當地進行安置、保護及監控，以降低環境威脅所造成的損害，或是受到未經授權的存取。舉例來說，像是電子產品須要受到良好的環境溫溼度監控；操作資訊系統時，應有適當的遮蔽來避免敏感資訊的外洩，例如機房就最好不要採用完全透明的玻璃作為隔間來使用。

RS-07 設備電力之失效
這個控制措施是要求對於設備運作所需的公用服務，例如電力失效和網路中斷等，需要採取安全防護和備援設施。對此，可參考「A.9.2.2 支援的公用事物」之要求，在機房部署不斷電系統。但要注意的是，若面臨長時間的電力中斷，不斷電系統應確保足以循序地將重要主機進行關機，若要確保能夠持續運作，則要考量是否有獨立的備援電力供應站，或是使用燃油發電機來運作，而除了電力之外，電信與網路系統也要有備援，以確保在中斷期間的通訊能夠正常運作。

RS-08 電力與通訊
這個控制措施是要求針對通訊線路和電力纜線應提供適當的保護，避免其受損而導致服務中斷，並且要設計替代的線路或取得其他的電力來源。對於電力與通訊的問題，在「A.9.2.3 佈線的安全」中提到，傳送資料與電力的纜線應有適當的標示、固定及保護，建議設於地下或其他已受到適當防護的管道，尤其要避免經過公共區域。另外，電力與網路線也要作適當的阻隔，以避免相互干擾而造成資料傳輸的問題，以上這些都是實務方面可以因應的參考做法。(本文刊載於2014年1月號網管人雜誌)

[專欄] 雲端控制矩陣安全措施簡介(六) - 注意法律與作業管理風險管理是重要關鍵

Sun, 04 May 2014 14:50:00 +0000

上一篇，我們說明了雲端控制矩陣中，關於資安事故回應處理、網路安全控制，以及行動裝置與原始碼存取之管控，本期將繼續說明在雲端控制矩陣中，有關法律議題與營運作業時應實施的風險管理。

在雲端控制矩陣中的第六項是有關法律的議題，主要是針對雲端服務中的人員與服務內容，希望藉由書面協議的正式簽署，確保雲端服務能夠符合組織的安全要求。以下將說明法律議題中的2個控制措施，以及對應ISO 27001的標準內容與實務建議。

因應雲端服務法律議題

LG-01 保密協議
對雲端服務供應商而言，為客戶所提供的各項雲端服務，資訊安全肯定是客戶會關注的重要問題，尤其是服務內容所涵蓋的項目，若是包括了重要資料的儲存和處理，那麼可能接觸到這些資料的人員，就需要擁有足夠的安全意識與技能，才可妥善地確保資料的安全。

這項控制措施是要求針對組織中需要受到保護的，或是與營運相關的資訊，應該被識別並採取文件化的記錄，同時也要求相關人員必須簽署保密協議，並且定期地進行審查。針對保密協議的簽署，在ISO 27001標準中，可參照「A.6.1.5機密性協議」之要求，對於敏感性的職務工作，可以由法務部門會同人事部門，制訂保密政策和程序，據此要求人員簽署保密協議。但協議內容必須能夠反映內部資安政策的要求，因此也要配合定期審查對各項資訊保護的要求，再將其更新至保密協議的內容之中。

LG-02 第三方協議
如果所提供的雲端服務，需要依靠第三方所提供的資源或技術協助，那麼與第三方所協議的相關內容，就會直接或間接地影響雲端服務供應商的營運。因此，有關資訊的處理、存取、傳輸、儲存，以及資產和服務的管理與終止等，在協議內容中就要包括資訊安全要求與資訊的完整性控制，以避免資訊受到不當的揭露、竄改及損毀。

對此，可以參考ISO 27001附錄「A.6.2.3 第三方協議中的安全說明」之要求，也就是在與第三方所簽定的協議與合約之中，必須明訂組織的資訊安全要求、應遵守的相關法規，以及在違反時應負的法律責任等。

規畫進行雲端作業管理

雲端服務的運作，有賴組織中各個階層人員的參與，包括由管理階層來制訂相關政策與程序，透過雲端服務小組的協同運作，技術人員規劃資源運用與設備的維護等，這些都需要有效的作業辦法，才能滿足客戶的需求，並且達到營運的目標。在雲端控制矩陣之中，對於雲端服務的作業管理，也提出了以下幾項的控制要求。

OP-01 作業管理之政策
實務方面，在雲端服務尚未運作之前，管理階層應會同人事部門，針對雲端服務所需的作業人員，定義其工作角色與執掌，並且確認此項工作所需的專業技能、工作經驗與人格特質，以便招募所須的作業人員。

在標準方面，可以參照ISO 27001附錄5.1所提到的兩項控制措施，如A.5.1.1要求資訊安全政策應經由管理階層的核准，並且公布傳達讓所有員工和相關的內外部團體知道，實作方面，在這份資訊安全政策中，除了傳達管理階層對於資訊安全的支持，確保資訊安全與組織營運目標的一致性之外，也需要說明資安的重要性與實施範圍，以及相關人員的職責。A.5.1.2則是要求資訊安全政策若發生重大變更時，也需要進行審查，以確保內容持續地適用充分和有效，因此這份政策，必須配合雲端服務的環境、業務型態、法律合約要求和技術更新等事項，進行持續的修訂與發行。

OP-02 作業管理之文件化要求
在作業管理中，所謂的標準作業程序(SOP)，是指有正式的文件化記錄，並且經過管理階層審查核可的內容，才能用於實際的作業環境。所以在雲端服務之中，有關系統組態、安裝與操作，還有所包括的安全功能與管理員的操作指引、系統架構圖等相關文件，都應採取文件化方式建立起來，並且交付給已被授權的作業人員，根據此一標準作業程序來進行各項工作。

針對這項要求，可參照ISO 27001附錄「A.10.1.1文件化作業程序」，只要是與資訊系統活動和作業有關的程序，包括通訊設施的使用、電腦開機與關機、備份方式、資訊設備維護、資訊儲存媒體使用和機房作業管理等，都以文件化方式來呈現，並且讓相關人員在需要的時候即可馬上取得，以便遵照其要求的標準作業程序來進行。

OP-03 容量與資源之規劃
這個控制措施是要求針對各項資源的可用性、品質及所需的容量，依照法規、合約與業務要求來實施規劃與量測，同時也要考量有足夠的能力，因應未來服務系統可能過載的風險。對此，在ISO 27001附錄「A.10.3.1 容量管理」中提到，管理人員需要預作規劃準備，評估未來可能成長的資料量，來添購所需的儲存媒體和設備，以避免因為容量不足的問題而導致系統服務的中斷。

OP-04 設備裝置維護
這個控制措施要求雲端服務供應商對於設備裝置的維護，需要建立政策與程序，以確保各項服務作業的持續與可用性。在實務方面，可以依據ISO 27001附錄「A.9.2.4 設備維護」，要求相關的資訊設備應定期自行維護或尋求廠商協助，相關的維護也需要留下適當的紀錄，以便定期地進行追蹤查核。而實施維護的外部人員，應該事先經過申請與核准，在實際作業時也要有適當的人員來陪同。

有效落實雲端風險管理

在ISO國際標準之中，計劃(Plan)、實施(Do)、監督(Check)、改善(Act)是確保持續營運與降低可能風險的最佳實務架構。因此，組織在管理有關雲端服務的工作時，若能秉持PDCA的精神，並且融入在各項作業程序之中，就能夠降低風險並且讓服務品質更加地精進。在雲端控制矩陣中對於風險管理，也提出了以下五個重要的控制要求。

RI-01 風險管理之計畫
對於雲端服務可能隱含的風險，組織應發展或維持一個風險管理的框架，讓風險可被降低至可接受的水準。對於此項要求，可參考ISO 27001本文4.2.1所提到，依據組織營運、組織、所在位置、資產和技術等特性，定義出資訊安全應受到適當控管的範圍，例如可以部門、系統、業務項目或實體環境來定義所要實施風險控管的範圍，並且建立所需的風險處理計畫。

RI-02 風險管理之評鑑
針對與組織營運有關的風險，這項控制措施要求應至少每年一次進行正式的風險評鑑，以質化或量化的方式，識別所有可能發生和造成業務衝擊的風險。組織可以透過稽核的結果、威脅與弱點分析，以及法規的要求等，建立風險管理的全貌，掌控組織可能隱含或殘餘的風險。

在實務方面，建議參照ISO 27001本文4.2的條款內容，界定組織的風險評鑑作法，並定義風險可以接受的等級。在標準之中對風險評鑑方法的要求，在於風險評鑑後所產出的結果，必須是可比較且可再產生的，換句話說，風險評鑑的方法，必須能夠重複地使用，尤其是在不同時期所進行的風險評鑑，其結果都可用來進行相互分析比較，作為未來風險處理與改善的參考。

RI-03 風險管理之消除與接受
一般來說，風險評鑑的過程是從識別可能的風險開始，再依據其發生的可能性與衝擊，計算出風險值並賦予其適合的風險等級，最後選擇可實施的風險控制措施，以降低風險至可以接受的水準。這項雲端控制即是要求所有風險都需要控制至可接受的程度，而可接受的風險水準，則是基於合理的時間處理與管理階層的核可。對此，ISO 27001本文的4.2條款提到，在完成了風險處理之後，所殘留下來的剩餘風險，都必須要取得管理階層的授權與核可，整個的風險處理過程才算完成。

RI-04 風險管理之業務與政策改變衝擊
雲端服務供應商在完成了風險評鑑之後，風險評鑑的結果應該要更新至安全政策、程序與相關的控制措施，以確保其持續的有效。在ISO 27001方面，此項控制可參照ISO 27001本文的4.2.1條款，在制定政策的時候，就需要考量營運與相關法規的要求，還有合約中所制定的資訊安全責任，像是法律要求必須要保障個人隱私、保護重大營運資訊，或是合約中要求必須保護客戶資料等，這些都是設定資安目標時的重要依據與參考。

因此，定期實施的風險評鑑，可為組織政策的修訂與更新，提供了一個有效的輸入來源，也就是說，依據風險評鑑的結果，可以進一步更新政策要求，以確保各項風險受到了良好的管理。

RI-05 風險管理之第三方存取
在雲端服務中有關第三方的存取行為，是一項明顯可識別的風險來源，在雲端控制矩陣裡，要求所有存取組織資訊系統與資料的行為，都應該被識別監控，同時評估若有不適當的存取時，可能帶來的業務風險與衝擊。換句話說，在提供這些服務供第三方存取之前，就要優先實施補償性的控制措施，以降低存取行為的安全風險。

在ISO 27001方面，可以參考附錄「A.6.2.1與外部團體相關的風險之識別」，要求透過風險評鑑的過程，找出外部團體對組織資訊的處理和使用時，可能存在的資訊安全風險，像是可存取的資訊類型、人員的識別與授權是否適當等。另外，也可參考「A.8.3.3 移除存取權限」，要求所有員工、承包商和第三方使用者，對於資訊、資訊處理設施的存取權限，應在聘僱、合約或協議終止時移除，或依變更進行調整。

最後，還可依據「「A.11.1.1 存取控制政策」，基於營運相關的存取安全要求和使用者可能接觸資訊的安全等級，以文件化的存取控制政策，說明如何去配置其存取權限，並以組織整體的營運風險作為優先考量。(本文刊載於2013年12月號網管人雜誌)

[專欄] 雲端控制矩陣安全措施簡介(五) - 小心處理資安事故管理與技術雙管齊下

Sun, 06 Apr 2014 11:12:00 +0000

上一期，我們說明了雲端控制矩陣中，關於資安教育訓練、管理者與使用者安全責任、加密與金鑰管理，以及漏洞修補和防範惡意程式等控制措施，本期將繼續說明在資安管理控制項目中，剩下的各項安全要求。

在雲端控制矩陣中的第五項「資訊安全」，它是整體雲端服務的管理重點，一共包含了34個控制措施，以下將說明第22至34個控制措施的要求，以及其所對應的ISO 27001標準內容和實務建議。

IS-22 資安事故管理
對組織而言，面臨和資訊安全有關的事故時，勢必要有適當的應變處理方法，這項控制措施即是要求與資安相關的事件，應建立政策和作業程序，並且進行分類和及時因應，以建立起完整的事故管理機制。

如果組織已導入ISO 27001標準，則可參照「A.13.1.1 資訊安全事件通報」之要求，建立正式的資安事件通報程序，以便相關人員能透過適當的管道，快速將資安事件回報給管理人員，以便及時因應與指示處理。通常一個完整的通報程序，包括要指定一個正式的聯絡人和代理人，並提供文件化的資安事件通報程序和表單，讓相關人員能夠依照事件通報指示，記錄和事件有關的重要細節，例如發生的時間、地點、系統錯誤訊息、監控指數，以及其他主觀判定異常的行為，以作為事件處理的依據參考。

IS-23 資安事故通報
一旦資安事件發生的時候，到底該由誰來負責通報？應該如何進行呢？其實這都有賴於事前建立完整的做法，在雲端服務中，這項控制措施要求針對合約承包商、員工和第三方的使用者，需要讓他們了解應即時通報安全事件的責任，並且要透過預設的溝通管道，符合法令、法規及合約的要求。

因此，組織需要建立適當的責任區分和作業程序，才能夠迅速有效地回應資安事件，對此，可參考ISO 27001附錄「A.13.2.1責任與程序」之要求，針對事件區分不同的等級型式，分別建立不同的因應辦法，例如針對單機的電腦中毒，就會有其需要通報的內容說明和處置，而針對來自網路的阻絕服務攻擊，在通報層級和處置方面，則會有顯著的不同。

IS-24 事故回應與法律準備
如果資安事故涉及到法律問題，組織就必須採取相關的法律行動，證明自己並無故意過失，或是對於惡意行為準備進行損害求償。在事故的後續處理方面，這個控制措施是要求針對可能採取的法律行動，應該要有適當的鑑識流程以保全證據，確認證據的蒐集、保存、報告皆能支持所採取的法律行動。

實務方面，可以參照ISO 27001附錄「A.13.2.3 證據的蒐集」的做法，針對資安事故過程進行蒐集、保存和提交相關的證據，以符合法庭在審判時的佐證要求。基本上，數位證據的蒐集是相當專業且不易進行的，因為數位證據本身很容易受到破壞和竄改，進而損及到證據應具有的證明力和證據力，所以可能需要委由刑事鑑識單位或合格的民間業者來進行。

IS-25 事故回應方法
這個控制措施是要求針對資安事故的類型、數量和損失，應建立可實施與監控的作法。針對這項要求，可參照ISO 27001附錄「A.13.2.2 從資訊安全事故中學習」，避免資安事故的效應擴大，在事先採取監督機制，監控資安事故的過程和所造成的衝擊，作為因應未來事故的依據參考。

IS-26 合理使用
這個控制措施是要求針對資訊資產的合理使用，應建立相關的政策和作業程序。對此，可參照ISO 27001附錄「A.7.1.3 可被接受使用的資產」之要求，對於和資訊處理設施有關的所有資產，其可被接受使用的方式規則，都應被識別、文件化和實施，並制訂相關的規範，例如網路和電子郵件的使用辦法、行動裝置的使用規定，以及USB隨身碟的申請與使用作業辦法等。

IS-27 資產歸還
這個控制措施要求組織在人員的異動和聘雇關係終止時，應事先定義適當的期間之內，要求員工、合約承包商和第三方使用者歸還因工作所持有的各項資產。在實務方面，可以依據ISO 27001附錄「A.8.3.2 資產歸還」，針對應歸還的資產，以清單檢核的方式來確認人員已歸還像是組織的門禁卡、電腦設備、軟體、作業手冊等，如果人員是使用自己的設備進行作業，也要確保其所儲存的資料已經交回，並且執行資料的清除。

IS-28 電子商務交易
如果雲端服務牽涉到電子商務的交易行為，這項控制措施要求針對經過公眾網路的交易資料，必須實施適當的加密防護，以避免資料受到未經授權的修改或揭露，防止詐騙事件的發生。

對於此項要求，可依據ISO 27001附錄「A.10.9.1 電子商務」，保護所有透過公眾網路所進行的電子商務活動，在實務方面，可以採用強健的身分驗證機制如雙因素認證，以及導入網站身分識別標章，讓消費者能夠清楚地識別。至於交易過程中所產生的資料，包括訂單、付款資訊、寄送地址等，這些客戶資料的存取方面也要有完整的授權流程，以避免資料受到不當的存取與利用。最後在網路傳輸方面，則可參考「A.10.9.2 線上交易」之要求，在連線過程中採用SSL加密機制或其他的加密通訊管道，要求使用安全的通訊協定，以避免交易資訊可能受到來自其他公眾網路的不當存取。

IS-29 稽核工具之存取
對於可使用在組織資訊系統的稽核工具，這項控制措施要求應有適當的限制和區隔，以避免系統存錄資料(log)受到不當的損害和濫用。

在實務方面，建議參照ISO 27001附錄的「A.15.3.2 資訊系統稽核工具的保護」，要求所有系統所使用的稽核工具，都必須要有適當的保護，以避免濫用或受到破解的情況發生。針對組織負責資訊系統稽核的人員，也必須要求具有獨立性，使用的工具也要和開發或運作中的系統分開，並且實施權限控管，必要時甚至可先從運作中的系統移除，以避免受到誤用。

IS-30 診斷與組態埠之存取
現今的資訊設備或系統，大都需要廠商提供定期的支援與維護，因此許多網路設備和電腦主機，都能設定組態埠並提供遠端診斷服務，如果其開放的組態埠沒有實施任何安全防護，就容易受到外來的入侵和未授權的存取。

為了防止系統診斷和組態埠受到不當利用，這個控制措施要求應限制只有經過授權的個人和應用程式，才能進行存取。實務方面可參考ISO 27001附錄「A.11.4.4 遠端診斷與組態埠保護」之要求，在設備方面採取上鎖和移除等方式進行，若是邏輯上的存取使用，則可透過文件化的作業程序，要求事先申請並確認身分之後才開放使用，而在診斷完成時，也應及時關閉相關的組態埠和服務。

IS-31 網路與基礎建設服務
針對網路和基礎建設服務方面，無論是自營或外包，這個控制措施要求包括安全控制、容量與服務等級，以及業務和客戶之需要，都要有清楚的文件化服務等級協議。

在ISO 27001方面，此項控制可參照附錄「A.6.2.3 第三方協議中的安全說明」，也就是在與第三方所簽定的協議與合約之中，必須明訂組織的資訊安全要求、應遵守的相關法規，以及違反時應負的法律責任等；也可參考「A.10.6.2 網路服務的安全」的內容，要求相關網路服務都需要識別其安全等級、使用程序及管理要求，包括了申請使用程序、連線方式、身分識別及所採取的加密措施等。

IS-32 可攜式與行動裝置
隨著可攜式與行動裝置使用的普及，也成為雲端資安的隱憂之一，這項控制措施是針對常見的設備包括筆記型電腦、行動電話、PDA等，以及高風險的資訊設備，都需要建立政策與作業程序，嚴格限制其有能力存取組織的敏感性資料。

在ISO 27001方面，可以參考附錄「A.11.7.1 行動運算與通訊」的要求，針對行動運算設施採取適當的安全控管，例如筆記型電腦等行動裝置採取硬碟加密，並避免留置在無人看管的地點。實務方面，雲端服務供應商也可明文禁止這一類的行動裝置可直接連接或存取與雲端有關的服務，以降低不必要的風險。

IS-33 原始碼存取之限制
對雲端服務供應商而言，應用程式或雲端資源原始碼的重要性無庸置疑，因此需要嚴格的限制原始碼的存取行為，這個控制措施是要求應限制只有職務上需要，並且已經過授權的人員才可進行，同時對於其申請存取的原因、方式和所存取的原始碼版本，都必須留下完整的記錄。

在ISO 27001方面，可以參照附錄「A.12.4.3 程式原始碼的存取控制」，針對原始碼所儲存的特定地點，建議做法包括了建立存取作業程序、設定存取權限、定期評估存放環境的安全等，即使是程式開發人員本身需要取得程式原始碼，也應事先經過授權，依照作業程序並保存相關記錄才可進行。

IS-34 工具程式之存取
針對系統的工具程式，這個控制措施要求可能越過系統、網路、物件及虛擬主機的控制行為，應該都要受到限制。對此，可參照ISO 27001附錄「A.11.5.4 系統公用程式的使用」，要求嚴格限制能夠跨越系統和既有應用服務等公用程式的使用。實務方面的建議是直接在使用者的電腦上移除這些工具，如果是系統管理人員，也需要經過授權才可使用工具程式，並且保留相關的變更記錄。

資安管理是雲端控制的基本功

在規劃有關資訊安全管理的策略時，經常會提到一個俗稱為「PPT」的思考架構，它是指人員（People）、流程（Process）和技術（Technology），也就是說在資安管理的要求方面，基本上皆會涵蓋此三個層面，包括需要依照組織營運目標與資訊安全政策，透過教育訓練來讓所有員工了解並落實其應有的安全責任；依照各單位業務屬性不同，訂立各項安全的作業流程，並留下相關的作業記錄；以及透過各項資安技術的協助，來偵測防禦可能來自內部與外部的各項威脅。

即使如今組織已採取了先進的雲端服務，這些基本的控制要求仍是不可或缺的，因為面對可能來自於內部與外部的各項風險，唯有審慎評估並提高警覺，才能夠防範於未然。換句話說，組織需要事先練好了基本功，擁有了良好的體質，才能夠有效因應各項資安事件的發生，這一點請組織管理階層務必牢記在心。(本文刊載於2013年11月號網管人雜誌)

[專欄] 雲端控制矩陣安全措施簡介(四) - 資訊安全管理與控制措施(2)

Tue, 21 Jan 2014 14:28:00 +0000

上一次，我們說明了雲端控制矩陣中針對資訊安全管理與控制的要求，並且解說了對應至ISO 27001的各項安全措施，由於此一項目所包含的控制措施內容較多，所以將分成三篇文章來說明介紹，本文將繼續解說在雲端控制矩陣中，有關資安管理控制的各項要求。

在雲端控制矩陣中的第五項「資訊安全」，它是整體雲端服務的管理重點，一共包含了34個控制措施。在這些控制措施之中，從高階管理階層的要求開始，同時也兼顧了技術面的安全要求，因此它能夠協助組織建立整體的資安管理架構，以強化所提供雲端服務的資訊安全，以下將說明第11至21個控制措施的要求和所對應ISO 27001標準的內容。

IS-11 資安教育訓練與宣導
從實務上來看，資訊安全的重點之一是要確保所有相關人員，都已具備足夠的安全知識來對抗可能的威脅，這個控制措施就是要求雲端服務應針對所有合約承包商、第三方的使用者和本身的員工，建立一項資訊安全教育訓練與宣導的計劃，尤其是針對有能力存取組織資料的人員，應要求其接受必要的安全訓練，並且定期地更新組織或職務有關的政策、程序及作業流程。

如果組織已導入ISO 27001標準，則可參照本文「5.2.2 訓練、認知及能力」之要求，確保和雲端服務有關的所有人員，都能接受適當的訓練以具備勝任其職務的必要能力，同時也要維持各項和教育訓練有關的記錄。另外，在附錄「A.8.2.2 資訊安全認知、教育與訓練」也提到，組織應定期依照員工所擔負的不同職務，實施一般性或專業的資訊安全教育訓練，協助員工能夠針對可能的資安事件作出適當反應，並且可採取問卷或考試評量方式，以確認教育訓練的有效性。

IS-12 業界知識與基準評價
雲端服務是一項新興的熱門產業，許多有關資訊安全的做法，不見得在所有的組織都已一一地實踐，因此，有效取得業界相關的安全訊息就顯得十分重要。這個控制措施即是要求組織應透過業者之間的從業關係、專業的安全論壇，或是有許多專家參與的協會，取得業界有關雲端安全的知識與評價方式，確保雲端服務能夠滿足業界的基準與使用者的期待。

在實務方面，建議組織可以加入業界的雲端產業聯盟，並且選派適合的人員參與定期舉辦的研討會活動。在ISO 27001則可參考附錄「A.6.1.7 與特殊利害相關團體的連繫」之要求，由於資訊安全的技術日新月異，所以組織需要經常聽取專家的意見，或是參與專業論壇以取得更新的資訊，盡可能與各種和資訊安全有關的利害團體、專家協會等，保持適當的連繫管道。

IS-13 資訊安全角色與責任
不同的雲端服務，將會有不同的人員牽涉其中，這個控制措施是要求包括合約承包商、員工及第三方的使用者，都要採取文件化方式，記錄和其相關的資訊資產和安全要求。在「ISO 27001本文5.1 (c)」中提到，管理階層應承諾建立資訊安全之各種角色與責任，另外，也可參考附錄「A.6.1.3資訊安全責任的配置」，管理階層需要指定各部門主管和個人的安全責任，並且界定各項資產的保護與作業流程，唯有執掌角色的定義清楚，才能夠履行所賦予的各項任務。

還有附錄「A.8.1.1 角色與責任」中也要求以書面的方式，說明新進人員的資訊安全責任，例如告知所需遵守的組織資訊安全政策、個人資料保護法、智慧財產權等相關規範，以及資安事件發生時的通報方式等。

IS-14 管理階層之監督
針對管理階層的責任，部門主管或經理對於所負責區域有關的安全政策、作業程序及標準要求，應負起宣導和要求共同遵守的責任。針對這項要求，ISO 27001本文「5.2.2 訓練、認知及能力」中提到，組織應確保被指定責任的管理人員，有能力去要求、評估工作人員足以履行其職務相關的各項工作，同時也要維持教育訓練、技能資格等之記錄。另外，附錄「A.8.2.1 管理階層責任」也提到，應要求員工、承包商和第三方使用者，依照組織所建立的政策和程序來履行安全事項。

在實務方面，也可參照「A.11.2.4 使用者存取權限的審查」，要求管理階層定期地針對使用者的存取權限進行正式的審查，因此，建議在存取控制政策中即明訂組織將定期（例如三個月或半年一次）在人員的職務變更之後，實施權限審查與重新配置，以維持對於資訊和系統服務存取的有效控制。

IS-15 資訊安全之權責區分
這個控制措施是要求在安全政策、流程及作業程序中，應納入實施和確保適當的職責區分要求，如果在某些情況中存在使用者角色的利益衝突，就必須要實施相關的技術控制，以消除組織的資訊資產，可能受到未經授權的更改與誤用濫用的風險。

在ISO 27001方面，可參照「A.10.1.3 職務區隔」之要求，避免某些工作職務皆由同一個人來進行(例如會計和出納)，以確保不會有人可以一手遮天，有能力侵佔款項後同時竄改紀錄。在實務方面，如果公司規模不大且人員數量不多，可能很難作到完全的職務劃分，這時候可以選擇其他的配套方法，像是妥善保存作業活動上的監視紀錄，以及經常實施獨立的安全稽核，並且配合實施人員的教育訓練等，盡可能的來降低資訊安全風險。

IS-16 資訊安全之使用者責任
除了管理階層的監督與要求之外，使用者也有其應盡的安全責任，在這個控制措施中提到，應該讓使用者意識並察覺其應有的安全責任，包括了遵守適用的法令法律與工作規定，維持一個安全的工作環境，以及離開工作區域時應妥善保護所持有的資訊資產。

在實務方面，可以參考ISO 27001附錄「A.11.3.1 密碼的使用」，要求使用者一旦獲得其系統使用的帳號密碼，在使用方面就必須按照組織要求的安全規定，像是避免使用不安全的懶人密碼，選用一定長度以上、大小寫數字混合的嚴謹密碼，並要求定期進行密碼的變更。

IS-17 資訊安全之工作區域
一般而言，工作區域屬於所有員工都要負起共同安全責任的地方，這項控制措施要求保護工作區域中可見並包含敏感資料的文件，以及所使用的資訊系統在閒置或未使用時應登出，並且也要明訂相關的安全政策與作業程序。對於此項要求，可依據ISO 27001附錄「A.9.1.5 在安全區域工作」，對於組織所劃分出的安全區域，制訂所需的安全工作規則，並對員工提供適當的說明，依職務了解其可以進行的相關活動。

此外，對於需要使用的無人看管設備，可依照「A.11.3.2 無人看管的使用者設備」來要求實施適當的保護，例如一些公共區域使用的電腦，在一定閒置時間或結束使用時會強制終止其現有連線，或是設定有密碼保護的螢幕保護程式，以避免受到未經授權的使用。

IS-18 資訊安全之加密
在雲端服務之中，資料本身的安全防護是無法忽視的重點，這個控制措施是要求對於儲存在資訊設備或媒體中的資料(例如檔案伺服器和行動裝置)，以及跨越不同系統或公用網路的資料傳輸時，必須依照訂定的安全政策與作業程序來實施加密。

對此，可參照ISO 27001的「A.10.8.3運送中的實體媒體」，要求對於含有敏感資訊的媒體，在進行運送時需要依照安全程序來進行，例如確認運送人員的身分、保留運送過程的紀錄、使用安全的運送方式等。另外，也可參照「A.10.9.2 線上交易」，在網路連線過程中採用SSL加密機制或其他的加密通訊管道，必須使用安全的通訊協定，以避免所傳輸的資訊會受到來自其他公眾網路的存取。

至於加密的政策方面，可參考「A.12.3.1 使用加密控制措施的政策」，針對與營運或是個人隱私有關的敏感資訊，依照組織的風險評鑑結果，制訂統一的加密政策，說明將會採取何種加密技術或控制方法來保護這些資訊。例如包括智慧型手機等行動裝置，或是可移除式的媒體像是行動硬碟、隨身碟等，針對這些設備的使用、授權方式及加密作法，都應該在相關政策或作業程序中加以說明。

IS-19 加密之金鑰管理
為了確保組織的加密機制能有效落實，這個控制措施是要求建立金鑰管理的相關政策和作業程序，實務方面可參考ISO 27001附錄「A.10.7.3資訊處置程序」，要求在組織之中，只要是和營運活動相關或敏感性的資訊需要處理，就應該建立其處理和儲存程序，以確保資訊不會受到不當的揭露和誤用。

另外，也可參照附錄「A.12.3.2 金鑰管理」，要求在金鑰管理的生命周期中，從金鑰產生、分派、儲存、更新、廢止到銷毀等，都要有完整的作業程序作為基礎，同時，只要是和金鑰有關的作業活動，都需要保留完整的記錄，以便進行後續的安全稽核。

IS-20 弱點與漏洞修補管理
針對應用系統和網路設備可能的安全弱點，這個控制措施要求應基於風險管理的作法，定期地評估並且及時地採取修補行動，以降低可能的安全風險，相關的實施作法，也應明訂在安全政策和作業程序之中。

在ISO 27001方面，可以參照「A.12.6.1技術脆弱性控制」的內容，要求組織能夠及時取得和弱點有關的資訊，並採取對應行動來降低因被公開的安全弱點而遭受到不必要的攻擊。實務的作法為建立一份完整的資訊資產清冊，詳細記載應用系統和網路設備的相關資訊，例如版本、廠商、部署狀態、負責人員等，並與廠商保持溝通連繫，以掌握可能的安全風險與現況。至於在作業程序方面，可參考「A.12.5.1 變更控制程序」，針對資訊系統的變更，必須制訂正式的變更程序才可進行，並且要求整個修補的過程，都需要有適當的監控並且留下記錄。

IS-21 防毒程式與惡意軟體
針對常見的病毒事件，這個控制措施是要求必須確保所有的防毒程式，都有能力去偵測、移除、保護未知的惡意攻擊，並且需要在每12個小時內，更新防毒程式的病毒碼。

在ISO 27001方面，則可參照「A.10.4.1 對抗惡意碼的控制措施」，在系統上安裝防毒軟體並定期地更新病毒碼，以確保防毒軟體能夠有效運作。此外，在政策方面，可要求使用者不可任意自網路下載未經授權的軟體並進行安裝，也要實施教育訓練讓使用者有足夠的安全認知，降低來自網路和電子郵件等惡意程式的入侵風險。(本文刊載於2013年10月號網管人雜誌)

[專欄] 雲端控制矩陣安全措施簡介(三) - 資訊安全管理與控制措施 (1)

Sun, 15 Dec 2013 13:46:00 +0000

上一次介紹了雲端控制矩陣針對設備場所與人力資源的要求，並一一說明了其對應ISO 27001的安全控制措施，接下來將繼續說明在雲端控制矩陣中，第五項控制區域有關資訊安全的各項要求。

在雲端控制矩陣之中，擁有最多項控制要求的控制區域，無庸置疑的就是第五項「資訊安全」，在這裡一共包含了34個控制措施。在這些控制措施之中，從高階管理階層的要求開始，一路走到了技術面的安全要求，基本上已涵蓋了組織整體的資訊安全管理架構，分別說明如下。

IS-01 資訊安全管理計畫
這個控制措施是要求針對資產的保護，必須防止未經授權的存取、揭露、修改、銷毀，以避免資料的外洩與誤用。因此，組織在經過管理階層的核可之後，需要建立一項資訊安全管理計畫(ISMP)，實施的範圍包括了管理面、技術面和實體環境面的安全措施，計畫的內容也應與組織的業務直接相關，它包括但不限於如風險管理、安全政策、組織資訊安全、資產管理、人力資源安全、實體與環境安全、通訊與作業管理、存取控制，以及資訊系統取得、開發與維護等。

如果雲端服務供應商已導入ISO 27001標準，則可參照本文「4.2 建立與管理ISMS」之要求，將雲端服務一併納入至ISMS的範圍之內，至於可參考的控制措施，則包括了「A.6.1.1–A.6.1.8」等，主要是針對內部組織來建立相關的資訊安全角色與責任。

IS-02 管理階層支持與涉入
這個控制措施是要求管理階層和直屬主管，應透過清楚且文件化的指示和承諾，明確地指派任務，並且確認任務執行後的情況，採取正式的行動來展現對於資訊安全的支持。在實務方面，有關資訊安全政策的更新，都應該要經過管理階層的簽署同意，並且分發告知所有的員工，員工則必須清楚地知悉之後來共同遵守。

另外，也可參照ISO 27001的本文「5. 管理階層責任」，以及附錄「A.6.1.1管理階層對資訊安全的承諾」中所提到，管理階層的支持是資訊安全管理制度能有效運作的重要關鍵因素，因此這項控制措施強調管理階層應該要在組織中，明確地指派並確認人員的安全責任，主動地支持各項安全工作，並提供所需要的資源。

IS-03 資訊安全政策
這個控制措施是要求管理階層應核可一份正式的資訊安全政策，並且發佈給全體員工、合約承包商和相關的外部夥伴知悉。在這份資安政策中，應建立明確的組織方向，並且和產業所適用的法令法規、業界的最佳實務相結合，同時資安政策也需要被組織的管理策略與領導計畫，以及明確定義人員角色的資安計畫所支持。

實務方面，可依據ISO 27001附錄「A.5.1.1資訊安全政策文件」，要求資訊安全政策應經由管理階層的核准，並且公布傳達給所有員工和相關的內外部團體知道。在這份資訊安全政策中，主要是傳達管理階層對於資訊安全的支持，確保資訊安全與組織營運目標的一致性，同時說明資訊安全的重要性、實施範圍、要求與目標，以及相關人員的職責。其中關於目標的部份，最好以量化的方式說明，例如為確保相關資安措施符合法令與法規的要求，組織每年應至少實施兩次的資訊安全內部稽核。

IS-04 資訊安全基準線之要求
在這個控制措施中提到，資訊安全之基本要求應被建立，並且實施在應用程式、資料庫系統、網路基礎設施的設計與部署，同時也要求資訊的處理必須遵守政策、標準和適用的法規要求。資訊安全基準線要求和法規遵循，至少每年一次需要進行重新評估，此外，在組織有重大變更時也應該要重新審查。

針對這項要求，可參照ISO 27001「A.12.1.1安全要求分析與規格」，要求在一開始評估規劃資訊系統時，就要將安全項目納入其中，除了從管理面進行風險分析之外，在技術面需要考量的項目包括系統是否具有可自動運作的控制措施，能夠偵測出系統的異常情況，或是具有輔助性的人工控管方法，可進行參數的調整來增加安全的強度。以及也可參照「A.15.2.2 技術遵循性查核」，要求定期採取技術性方式來查核各項資訊系統，例如組織可以使用自動化工具，針對網站進行弱點掃描，或採取手動方式，針對系統進行滲透測試，再提出網站的安全改善報告。特別要注意的是所有技術性的查核過程，都務必要事先取得授權，並且在適當的監督和記錄下，由專業人士來實施，以避免引起其他不必要的問題。

IS-05 資訊安全政策之復審
這個控制措施是要求管理階層應當在計畫的期間之內，或是當組織有變動時，重新審查資訊安全政策，以確保其持續的正確與有效。在實務方面，資安政策的復審期限應以不超過一年為限，並且在遇有重大事件或組織變動時，也需要額外進行重新審查。

在ISO 27001方面，可以參照「A.5.1.2 資訊安全政策之審查」之要求，若發生重大變更時，需要進行資訊安全政策的審查，以確保內容持續地適用且充分有效。這也就是說，資訊安全政策不單單只是一份宣示性的文件，而是必須配合組織環境、業務型態、法律合約要求和技術更新等事項，進行持續的修訂與發行，因此這一項控制措施的重點在於，組織可能會對政策內容進行修改，但也不要忘了更改內容之後，需要重新取得管理階層的核准，並且留下相關的審查記錄才行。

IS-06 資訊安全政策之執行
針對違反資訊安全政策和程序的員工，應建立正式的懲戒或獎懲政策，同時也必須在政策和程序中陳述說明，讓員工能夠知曉若違反規定時，可能會面臨的懲處行動。

實務方面，如果發現了不當的行為，就要引發後續的調查行動，若發現屬實則要給予相關人員適當的懲處，在嚴重時甚至可終止工作合約，並交由人力資源部門進行後續的協調傳達。若是依據ISO 27001之要求，則可參考「A.8.2.3 懲處過程」中提到對違反安全的員工，應有正式的懲處過程。這項控制措施的重點，在於組織是否公布懲處的程序與方式，是否以正確、公平的方式蒐集客觀的證據，以證明員工違反安全規範，對於嚴重的不當行為，也可允許管理人員解除其職務，或要求其離開辦公作業場所。

IS-07 使用者存取政策
針對應用程式、資料庫、網路基礎設施的正常權限與特殊權限的指派，應建立文件化、經核可後實施的存取政策和程序，並且與商業、安全、法規遵循及服務等級協議(SLA)之要求維持一致。一般而言，存取政策是廣泛安全政策中的一部份，對於資產的存取應基於僅知原則(need to know)和最小權限原則，並且實施基於角色的存取控制作法，尤其對於實體存取與邏輯上的控制，也需要保持一致。

對於此項要求，可參考ISO 27001中的「A.11.1.1 存取控制政策」要求，依照營運相關的存取安全要求，建立文件化的存取控制政策，並且在這項政策中明確說明每位使用者和使用群組，應該要如何去配置其應有的存取權限。而這些存取權限的考量，則可能來自於本身的職位高低或所接觸資訊的安全等級，以及對組織整體的營運風險考量。

基本上，在組織之中的存取控制措施，將會牽涉整個存取授權的流程，包括如何提出授權的請求、如何審查並賦予權限，以及不需使用時的權限如何移除等。因此在實務方面，我們建立存取控制規則時，必須掌握一個原則，那就是「除非允許，否則一律禁止」，這項原則可以應用在實體環境的門禁管制，或是邏輯上的防火牆存取規則，這樣將可大幅降低不當的存取設定可能帶來的風險。

IS-08 使用者存取限制與授權
這個控制措施是要求對於擁有正常或特殊權限的使用者，在存取應用程式、系統、資料庫、網路配置和敏感資料時，相關功能必須要加以限制，並且事先取得管理階層的授權。對此，可參照ISO 27001的「A.11.2.1 使用者註冊」，要求所有的使用者在獲得存取資訊的權限之前，必須經過正式的使用者註冊程序，換句話說，若不再需要存取資訊時，也必須經過適當的註銷程序，撤銷其所具有的存取權限。在實務方面，最常見的作法是讓使用者透過表單流程來進行申請，在通過審查核可之後，賦予其一個唯一的識別帳號(User ID)，藉此來管控並留下使用者存取資訊的記錄。

另外，也可參照「A.11.2.2 特權管理」，針對如系統開發人員和系統管理人員等，這些擁有和一般使用者不同的特殊權限人員，要求必須限制和控管特權的配置與使用，實務上最簡單的作法就是特權申請需要經過管理階層的授權，並且留下相關記錄。另外，特權的使用也要明訂相關的作業辦法，使用的過程也要保存其系統記錄(log)。

IS-09 使用者存取之撤銷
這個控制措施是要求需要依照員工、合約承包商、客戶、商業夥伴和第三方的情況，及時地解除、撤銷或修改使用者有能力存取組織的系統、資產和資料。所有的變更都必須包含在員工的職務、合約或協議的終止，以及員工聘雇的更動或轉職時的流程進行。

對此，可參照ISO 27001的「A.8.3.3 移除存取權限」控制措施，針對人員的轉調、離職或合約終止，需要確保其使用資訊系統的存取權限已進行適當變更，實務上建議在人員離職日起即暫時凍結使用者帳號，等待確認相關資訊與權限已移轉完成之後，再將其帳號和權限移除。

IS-10 使用者存取之審查
這個控制措施是要求所有的使用者權限，都要在所規劃的一定期限內，由管理階層進行審查。對於違反存取規定的情況，也要依照文件化的存取控制政策和程序，進行後續的矯正行動。

在ISO 27001方面，則可參照「A.11.2.4 使用者存取權限的審查」的作法，要求管理階層需要定期針對使用者的存取權限進行正式的審查，因此實務方面建議在存取控制政策中即納入組織將定期(例如三個月或半年一次)在使用者的職務變更之後，實施權限審查與重新配置，以維持對資訊和系統服務存取的有效性控制。(本文刊載於2013年9月號網管人雜誌)

[專欄] 雲端控制矩陣安全措施簡介(二) - 評估設備場所與人力資源安全

Sat, 16 Nov 2013 01:29:00 +0000

上一次我們介紹了雲端控制矩陣(CCM)針對法規遵循與資料治理的要求，並一一說明了對應的安全控制措施，接下來將繼續說明控制區域中的第三項設備場所安全，以及第四項人力資源安全的各項控制做法。

對雲端服務供應商而言，如果已經導入並取得了ISO 27001資訊安全管理系統的認證，那麼將相關的資訊安全控制要求，也涵蓋到所提供的雲端服務範圍之內，將是組織最容易強化雲端安全的做法。

目前，在雲端控制矩陣中的每一項控制措施，都可直接對應至ISO 27001的標準，因此建議組織將ISO 27001標準的實務做法，回應至雲端開放認證架構的第二層要求，在未來若想要通過第三方的獨立稽核時，就可達到事半功倍的效果。

設備場所安全之控制措施

雲端控制矩陣的第三項控制區域是有關設備與場所安全的要求，它一共包括了8個控制措施，分別說明如下。

FS-01 設備場所安全政策
這個控制措施是要求對於辦公室環境、資訊設施及安全區域，必須建立相關的安全政策與作業程序，以維護這些設備場所的安全。實務上可行的做法是對於場所的進出都要有適當的管控，例如必須使用門禁卡，要求所有訪客必須登記並配載識別證才可進出等。

如果雲端服務供應商已導入ISO 27001標準，則可參照「A.5.1.1安全政策」的要求，說明資訊安全的重要性與實施場所範圍，經由管理階層核准之後，公布傳達給所有員工和相關人員；並依據「A.9.1.3保護辦公室、房間和設施安全」的控制措施，對於重要的資訊處理設備，應避免放在公眾可觸及的地方；或參照「A.9.1.5在安全區域工作」的要求，制訂在安全區域內的工作規則，例如除非經過授權，才可在安全區域使用照相機、錄音錄影等設備，尤其敏感區域可視需要禁止攜入可拍照的手機，並對員工提供適當的說明。

FS-02 設備場所安全之使用者存取
這個控制措施是要求針對資訊資產的實體存取，應依相關人員的職務和支援上的需要，進行適當的限制。實務上建議的做法，可依據人員的職務賦予所需的最小權限，限制只有必要的人員才可進入安全區域，並且實施多因素的身分驗證機制。

另外，也可參照ISO 27001標準「A.9.1.1實體安全邊界」的要求，藉由圍牆、門禁刷卡系統、或是大門設置接待人員，來保護區域內資訊與資訊處理設備的安全；或依據「A.9.1.2實體進入控制」，當訪客要進入辦公處所時，應該在接待櫃台進行登記，並記錄進入和離開的日期和時間，同時也要求其配戴訪客識別證，即使是在同一棟大樓裡活動，樓層入口也應有適當的管制，像是刷卡才可進入。若要進入資訊機房，更必須要事先獲得授權且有人員陪同，告知並要求其遵守有關資訊安全的規定。

FS-03 設備場所安全之存取點控制
這個控制措施是要求實體環境的安全邊界，必須要有清楚的劃分，並且針對敏感資料和資訊系統實施安全的保護。

實務方面，建議雲端服務供應商可以對關鍵的資訊系統，包括從進入時的門禁管制，到存取系統時的多因素身分認證(以帳號密碼並搭配如指紋等生物辨識方式)，實施多重的存取控制。或是依據ISO 27001附錄「A.9.1.1實體安全邊界」的要求，在劃分公共區域與安全區域時，依照所評估的風險等級來決定所實施的控制措施，例如內部專用的會議室與提供給訪客的休息區，在控管的程度一定有所不同，不一定都要強制採刷卡方式才能進入；而辦公區域的大門，一般都會設有門鎖，或是經過保全人員確認身分之後才可通行；公共進出的通道則要採取明顯的標示說明，針對無人的區域則設置防盜系統或監視器等。

FS-04 設備場所安全之安全區域授權
這個控制措施是要求針對場所的入口和出口，必須限制只有經過授權的人員才可進出，並且具備安全的監控措施。建議雲端服務供應商可以配合FS-03的要求來一併進行，也可參照FS-02中所提到的ISO 27001標準「A.9.1.2實體進入控制」，在所有的進出管道，進行人員身分的確認。

FS-05 設備場所安全之未授權人員入口
這個控制措施是要求對於雲端服務區域中，所有未授權人員可能進出的管道，需要實施安全監控，如果可能的話，針對資料儲存設備與處理的設施，也要進行隔離和限制，以避免不當的資料遺失或外洩。

在實務方面，除了同樣可以依照FS-03的控制要求來進行之外，也可依據ISO 27001標準的「A.9.1.6 公眾存取、遞送和裝貨區域」，要求辦公處所若需要收發或裝卸物品，則設置收發室櫃台來統一收件，不讓外部人員可未經控管就能直接進入，若相關物品卸載之後需要移至使用的地點，也可設置廠商設備的檢查區及裝卸區，經過適當的檢查之後才放行。

FS-06 設備場所安全之外地授權
為了確保在組織之外的場所，相關的軟硬體設備和儲存的資料也能獲得安全保護，這個控制措施要求當設備和資料需要移至外地時，必須事先獲得管理階層的授權。實務方面，在FS-01的設備場所安全政策中，就要定義包括設備和資料移轉，以及資產變更管理的要求。

若依據ISO 27001標準，則可參考「A.9.2.7資產的調動」要求，在資產的使用與調度方面，所有的資訊設備、軟體，相關物品的攜出和攜入都需要事先授權；以及參照「A.10.1.2 變更管理」，除了所有變更事項都要取得主管的授權之外，特別要注意的是務必保存相關的變更紀錄，包括作業核准的程序、重大變更事項的識別和紀錄、變更規劃與測試計畫，以及萬一在變更不成功時，如何中止並進行復原的程序等。

FS-07 設備場所安全之外地設備
針對位於組織外的場所和設備，這個控制措施要求必須要有相關的政策，並且規範資產的使用、維護和安全處置的程序，以確保相關設備的安全。對於此項要求，可依據ISO 27001標準中的「A.9.2.5 場所外設備安全」，要求組織的資訊設備，在攜出辦公場所外使用時，應注意其在不同場所可以面臨的威脅與安全風險。例如筆記型電腦在外部使用時，小心可能遭竊的問題，避免留置在遠離視線可及之處，在技術方面也可使用硬碟加密，以強化敏感資訊的安全。

另外，目前普遍使用的智慧型手機、USB隨身碟等，也要訂立相關的使用辦法，並訓練員工能夠理解並遵守，以避免不當的資料遺失或外洩。對於設備的處置，則可參照「A.9.2.6 設備安全的處置和再利用」，要求資訊處理設備在轉移給其他單位或重新交由其他員工使用時，所儲存的資料和安裝的應用軟體都要清除。針對要汰換的硬碟等儲存設備，如果曾經存放過敏感資料，建議採取實體破壞的方式，以避免資料可能再次被還原。

FS-08 設備場所安全之資產管理
針對重要的資產，這個控制措施要求應建立文件化的資產清單，並且指定資產的擁有者。對此，可參照ISO 27001標準「A.7.1.1 資產清冊」的要求，清查盤點和雲端服務有關的資產，實務方面在進行盤點時，建議事先設定資產的類別，例如區分為資訊類（電子檔、紙本）、人員類（內部、外部）、軟體類（套裝、自行開發）、實體類（電腦設備、辦公處所）、服務類（電力、網路）等，仔細清查每一筆資產的型式、位置、數量、擁有者、使用者、保管者和營運價值，最後彙整成一份組織的資產清冊，並依據「A.7.1.2 資產的擁有權」的要求，指定實際上能夠控制資產的處理、發展、使用和安全的個人或部門作為擁有者，要求負起資產的保管責任。

人力資源安全之控制措施

對公有雲端服務的使用者來說，雲端服務就是一項委外服務，也就是必須將組織的資料或應用系統架構在雲端服務供應商所提供的環境之中，因此有一項風險會來自於服務供應商的人員，因為具備了存取或接觸資料的管理權限，如果沒有實施適當的安全控制，就可能危害到重要資料的安全。

在雲端控制矩陣的第四項控制區域，主要就是針對雲端服務供應商的員工和利害關係人，要求實施必要的安全管控，以確保雲端服務的安全，在此共有3個控制措施，分別說明如下。

HR-01 人力資源安全之背景審查
這個控制措施是要求依照當地的法令和合約要求，針對包括雲端服務供應商的應徵者、合作夥伴與相關的第三方人員，依據其可能接觸機密資料的比例、業務要求及可接受的風險等級，進行適當的背景查核。

建議雲端服務供應商可參照ISO 27001標準的「A.8.1.2篩選」控制措施，針對這項要求制定人員篩選的作業程序，說明將由何人、何時、何種方式來進行查核確認的工作。在進行背景審查時，則務必徵求應徵者本人的同意，並遵守個人資料保護法及隱私權的要求，再針對像是人員的學經歷資料、專業資格及信用記錄等進行查核。

HR-02人力資源安全之聘僱協議
這個控制措施是要求在賦予人員對於場所設施、系統或資料的實體或邏輯上的存取權限之前，必須簽署與聘僱關係或服務合約相關的協議和使用條款。在實務方面，雲端服務供應商可以在聘僱合約中加入保密協議的要求，並且對人員實施基礎的資訊安全意識的教育訓練，再依照其職務角色或可接觸的機密等級，個別實施必要的安全訓練。

針對保密協議，則可參照ISO 27001標準「A.6.1.5 機密性協議」的作法，定期地識別並審查對各項資訊保護的要求，評估協議的內容是否適當，再將它納入需要簽署的保密協議之中。至於聘僱合約則可依據「A.8.1.3 聘僱條款與條件」，事先擬定必要的資訊安全條款與保密切結書等文件，並向相關人員說明，取得其同意和簽署之後，才可授權讓其存取組織的資料和使用資訊處理設施。

HR-03人力資源安全之聘僱終止
這個控制措施是要求針對員工的聘僱終止或聘僱程序的異動，應指派相關人員的角色與責任，保持良好的溝通並且留下文件化的記錄。在實務方面，一旦雲端服務供應商有人員職務終止的情況，就必須依照人力資源政策中的相關流程來進行，至於在客戶方面，則由其對自己所創建的使用者帳戶負責管理。

在ISO 27001標準中，可依照「A.8.3.1 終止責任」的做法，針對人員的轉調或離職，指定專責的單位和人員來處理，一般而言，可藉由人力資源部門來進行相關人員的終止程序，以確認符合了聘僱條件與合約的要求。(本文刊載於2013年8月號網管人雜誌)

[專欄] 自我評估雲端服務安全 - 雲端控制矩陣安全措施簡介(一)

Mon, 11 Nov 2013 12:24:00 +0000

如果您想要了解雲端服務供應商的安全水準，藉由雲端安全聯盟所提出的雲端開放認證架構(OCF)，可以作為在選擇服務廠商時的參考，因此這對於廠商而言，確實了解雲端控制矩陣(CCM)的要求，並且回應已實施的安全控制措施，就顯得十分重要。

上一期我們介紹了雲端安全開放認證架構(Open Certification Framework；OCF)，它是一個可以用來評估雲端服務供應商的安全認證標準，在其所要求的三層式架構中，第一步就是要自我描述各項針對雲端服務的安全要求和因應措施，然後將它傳送到CSA的註冊管理單位(STAR Registry)進行審查，在此一層次中，除了使用自我評估問卷(Consensus Assessments Initiative Questionnaire；CAIQ)之外，直接採用雲端控制矩陣(Cloud Controls Matrix；CCM)所要求的安全控制，更可為第二層需要面對的外部稽核，預先做好準備。

雲端控制矩陣是雲端安全聯盟設計作為評估雲端安全的基礎，也是建議雲端服務供應商可以採用的最佳實務作法，它可歸納為十一項控制區域(Control Area)共98個控制措施，並且也能對應到其他的標準法規要求，包括COBIT 4.1、HIPPA/HITECH Act、ISO 27001、NIST SP800-53、FedRAMP、PCI DSS v2.0、AICPA Trust Service Criteria等，導入雲端控制矩陣的目的，就是希望能夠幫助需要遵守許多不同法規的廠商，減輕必須重複實施的相關工作。

對雲端服務供應商而言，若想要符合雲端安全開放認證架構，就必須在CAIQ問卷或雲端控制矩陣的控制區域中，一一具體回應填寫已實施的作法與現況，所以接下來一系列的文章，將會解說雲端控制矩陣中所要求的控制區域，並且搭配ISO 27001標準的實務做法，以協助您能夠有效回應雲端開放認證架構之要求。

法規遵循之控制措施

雲端控制矩陣的第一項控制區域是有關法規遵循的要求，它一共包括了6個控制措施，分別說明如下。

CO-01 稽核計劃
這個控制措施是要求專注在資料複製、存取和儲存邊界限制等相關的稽核計劃、活動和實施項目，應被設計用來降低業務流程中可能發生中斷的風險，因此這些稽核活動必須要提前規畫，並且獲得利害關係人的同意。對此，實務上可回應的做法為經由內部稽核或資安小組來擬定每年需要實施的稽核計劃，呈交給管理階層審查以獲得同意，然後定期實施並產出稽核報告，再針對不符合事項進行追蹤改善，以降低可能的資料安全風險。

如果雲端服務供應商已導入ISO 27001標準，則可參照本文的「4.2.3 監督與審查」所要求，將利害關係人的建議納入定期審查，以及依所規劃時間來實施內部稽核等作法，作為此控制要求的回應內容。

CO-02 獨立稽核
這個控制措施是要求至少每年一次或定期進行獨立審查和評鑑(例如內稽/外稽、驗證、弱點和滲透測試)，以確保符合了相關政策、程序、標準和適用的法規要求。實務建議的做法為可參照ISO 27001標準的要求，定期進行內部稽核，並由獨立的外部驗證公司進行審查，或是由外部定期進行弱點掃瞄或滲透測試，實施技術性的獨立查核。

CO-03 第三方稽核
這個控制措施是要求第三方服務供應商，在資訊安全、機密性、服務定義和交付協議及合約中，展現出已遵守相關的法規，同時第三方的報告、記錄和服務，也應當接受定期的稽核與審查，以確保符合服務交付協議所要求的法規遵循。

在實務方面，建議雲端服務供應商可以在與第三方的合約中，明確要求有權定期實施第三方的稽核，或是依據ISO 27001附錄「A.6.2.3第三方協議中的安全說明」，也就是在與第三方所簽定的協議與合約之中，明訂組織的資訊安全要求、應遵守的相關法規，以及違反時需要負起的法律責任等。

CO-04 合約與授權之維護
這個控制措施是要求應按照組織業務和客戶需求，符合相關法律、法規和合約規定，並與當地的政府機關保持聯繫；另外，針對資料、應用程式、基礎設施和硬體，必須確立其適用的法律和管轄權。建議雲端服務供應商可以指定特定人員作為法律問題和執法當局的聯絡窗口，並且與法律顧問、特定廠商、技術論壇等人員保持聯繫，以便必要時可請求其提供支援。

對此，也可參照ISO 27001標準「A.6.1.6與權責機關的聯繫做法」，擬定適當的作業程序，說明何種事件需要由何人進行通報，包括了哪些需要連繫的權責機關，以及參考「A.6.1.7與特殊利害相關團體的連繫」，平時就要與各種團體、專家協會等保持適當的連繫管道。

CO-05 資訊系統法規對照
這個控制措施是要求法律、法規和合約之要求，在所有資訊系統的元件中都應定義清楚，而組織用來符合已知的要求和新的命令的方法，也應被明確地定義、文件化及更新。這裡所提到的資訊系統的元件，可能包括了資料、物件、應用程式、基礎設施和硬體等，每個元件都可能會被分配到其適用的法律和管轄權，以便與法規進行對照。

在實務做法上，建議雲端服務供應商可以在服務描述中，說明本身所適用的法令和所屬的管轄區域，並且定期審查是否有新的法令或更新的要求。在ISO 27001標準方面，則可參照包括：「A.15.1.1識別適用的法條」，將適用的法律識別出來，並在內部的管理程序中，清楚明訂其要求；「A.15.1.3組織記錄的保護」，評估究竟有哪些記錄需要留存，需要採取什麼樣的安全措施，考量如何記錄、存在地點、存放型式、加密方式和存取權限等；「A.15.1.4個人資訊的資料保護與隱私」，依照個資法對於個資蒐集、處理和利用的要求，在作業辦法中加入符合法律的措施；「A.15.1.6加密控制措施的規定」，確認在資料保護上所使用的加密機制，已遵守當地國家法令的要求，並了解這些可實施加密的設備，是否會有進出口的限制。

CO-06 智慧財產權
為了保護智慧財產權，這個控制措施要求必須建立和實施相關的政策、流程和程序，並且透過法律管轄權和合約限制，以保障組織專有軟體的使用。在實務方面，可宣導並要求所有員工必須遵守智慧財產權法，同時確認所有的軟體均有合法的授權。

依據ISO 27001標準，則可參照「A.15.1.2智慧財產權」，要求組織必須確保所使用的資料和軟體，不會涉及違反智慧財產權的法律要求，並建立適切的管理程序。舉例來說，組織可在管理程序中明訂購置軟體的方式和原則，說明為尊重智慧財產權，內部一律使用合法授權的軟體，並嚴禁非法下載音樂、影片和未授權的軟體，同時也為合法軟體建立一份軟體清單，並且定期清查以避免違法的情事發生。

資料治理之控制措施

雲端控制矩陣的第二項控制區域，主要是針對雲端服務供應商所擁有的資料，要求建立相關的政策和作業程序，以確保雲端資料的安全，在此一共有8個控制措施，分別說明如下。

DG-01 擁有權和管理職責
這個控制措施是要求所有的資料都應被指派定義、記錄和溝通其管理職責。實務上最簡單的做法，就是建立一份資訊資產清冊，註明資料所在的位置、安全等級和擁有者，然後定期的重新檢查更新。

雲端服務供應商也可參照ISO 27001標準中包括：「A.6.1.3資訊安全責任的配置」，由管理階層指定各部門主管和個人的安全責任，並且界定各項資產的保護與作業流程；「A.7.1.2 資產的擁有權」，在資產清冊中，為每筆資訊資產指定其擁有者，這裡所謂的擁有者，並不是指對於資產本身擁有財產權，而是指實際上能夠控制資產的處理、發展、使用和安全，也就是對資產負有管理職責的個人或部門。

DG-02 分級分類
這個控制措施是要求針對資料本身和物件中所包含的資料，應基於資料類型、司法管轄權、所在地法律、合約要求、價值、對組織的敏感性和重要性，以及第三方對於資料的保存與防止未經授權的揭露責任，指定其安全等級。

在實務方面，雲端服務供應商可以自行定義其資料分級分類的做法，或是參照ISO 27001標準「A.7.2.1 分類指引」，將資料依照其對組織的價值、法律要求、敏感性和重要性進行分類，但是，建議資訊的分類不宜過多，以避免太過複雜而造成各業務單位實施的困擾。

DG-03 處理/標示/安全政策
這個控制措施是要求針對資料本身和物件中所包含的資料，應建立標示、處理和安全的政策和程序，必須對於保有資料的容器實施標示的繼承機制。建議實務作法為進行資料分級和標示，撰寫所需的安全指引手冊，或是參照ISO 27001「A.7.2.2 資訊標示和處理」，發展和定義組織的資訊處理標示和分類方法，例如在文件上面可標示其所屬的機密等級，或是標示在電子資料的meta-data之中。

DG-04 保留政策
這個控制措施是要求應建立資料保留和儲存的政策和程序，並且實施備份和備援機制，以確保符合管理、法律、合約或業務的要求，針對備份還原的測試，也必須依所規劃的時間來實施。在實務方面，除了建立備份政策和程序之外，雲端服務供應商可採取異地備援和持續同步備份等方式，以確保所儲存的資料安全，也可參照ISO 27001標準「A.10.5.1 資訊備份」，針對資料本身不同的屬性，定義出不同的備份方式如完整備份、增量備份、差異備份等，並且考量實施備份的頻率，像是每年、每月、每週、每日等，以確保資料擁有多重的防護。

DG-05 安全處置
這個控制措施是要求為達成安全處置和徹底移除儲存媒體中曾存放的資料，必須建立相關的政策、程序和做法，確保資料不會被以其他方式復原回來。在實務方面，對於不再使用的儲存媒體，可採取實體破壞方式，使其不可能被還原回來，處置的過程也要妥善地加以記錄保存。

至於需要再使用的儲存媒體，則可參照ISO 27001標準「A.9.2.6 設備安全的處置和再利用」，要求資訊處理設備在轉移給其他單位或重新交由其他人使用時，具有版權的軟體需要重新整理移除，所儲存的資料也要一併清除；針對需要進行報廢的設備，則依據「A.10.7.2 媒體的報廢」要求，需要依照一定的安全程序進行報廢，以確保資料不會被復原。

DG-06 非生產環境資料
這個控制措施是要求生產環境中的資料不應被同步複製或使用在非生產環境之中，實務方面建議應嚴格禁止非公開的客戶資料，從生產環境中移到非生產區域，除非是已獲得客戶同意或在法務部門指導下才可進行。

針對應用程式的開發，則可參照ISO 27001標準「A.10.1.4 開發、測試與運作環境的區隔」，備妥開發流程、測試和上線運作的程序文件，同時，所使用的資訊軟硬體設備，也要加以適當的區隔，不將資訊存放在相同的儲存媒體中；若要進行測試，則依據「A.12.4.2 系統測試資料的保護」要求，在測試時注意所使用的資料是否已經過授權取得，剔除或替代資料中敏感性的內容，並在測試完成之後，徹底將資料從系統中清除。

DG-07 資訊洩漏
這個控制措施是要求必須實施安全做法以避免資訊外洩，實務上可採取嚴格的身分驗證與授權(IAM)，以及導入防範資料外洩方案(DLP)來進行，針對資訊系統本身，則可參照ISO 27001標準「A.12.5.4 資料外洩」的要求，在系統上線前進行系統掃描，確認是否有不當的訊息外送或開放的傳輸埠，另外也要監測系統資源的使用與網路活動，以防範資料洩漏的事件發生。

DG-08 風險評鑑
這個控制措施是要求風險評鑑必須配合資料治理的要求來定期實施，包括針對敏感資料儲存與傳輸的教育訓練、遵守所定義的資料保留期限和處置要求，以及針對資料分級分類以防止受到未經授權的存取和遺失損毀等。實務方面，建議參照ISO 27001標準本文中「4.2.1 (c)界定組織的風險評鑑作法、(d)識別各項風險」之要求來進行，以及「4.2.3 (d)依照已規劃的期間，審查風險評鑑的結果，並且審查剩餘風險的等級與已識別的可接受風險」。(本文刊載於2013年7月號網管人雜誌)

[新知] 雲端安全開放認證架構 (OCF) 與雲端控制矩陣 (CCM)

Sat, 29 Jun 2013 04:59:00 +0000

面對如雨後春筍般出現的雲端服務，身為想要採用雲端服務的消費者，到底該如何選擇一個可靠安全的雲端服務供應商？

而身為雲端服務供應商的您，如何自我評估現有的雲端安全現況，並且展現積極有效的管理作為，來贏得消費者的信任？

對此，由CSA所推動的雲端安全開放認證架構（Open Certification Framework；OCF），並且使用雲端控制矩陣 (CCM)作為服務供應商評估安全成熟度的工具，為目前實務上的最佳參考，如果您想了解更多的訊息，請參考以下這篇文章。

http://www.netadmin.com.tw/article_content.aspx?sn=1306130001