ISO 27001 on 資安見聞錄

[分享] ISO 27001:2022 新增的控制措施 (6)

Fri, 12 Sep 2025 16:10:00 +0000

上一篇文章說明了在 ISO 27001:2022 的附錄A中，有關技術面的「A.8.11 資料遮蔽」和「A.8.12 資料洩露預防」，接下來說明本系列最後3個控制措施，分別是「A.8.16 監視活動 (Monitoring activities)」、「A.8.23 網頁過濾 (Web filtering)」以及「A.8.28 安全程式設計 (Secure coding)」的要求和實施重點。

A.8.16 監視活動

這項控制措施的要求是「應監視網路、系統及應用之異常行為，並採取適切措施，以評估潛在資訊安全事故」。若是從要求內容來看，我們需要實施監控的項目至少包括了網路、系統和應用程式的異常行為，但要如何確認有異常行為的發生呢？其實我們需要事先定義正常的行為基準 (baseline)。

舉例來說，大多數的機房都會進行溫度異常的監視，那麼該如何得知溫度有異常呢？首先就先要定義溫度正常的範圍基準，假設基準要求溫度需要維持在攝氏25度以下，那麼只要監控時發現機房溫度超過25度的情況，我們就會定義它是一個異常的事件 (event)，在進行通報之後，就要依據「A.5.25 資訊安全事件之評鑑及決策」的控制措施，進行損害的評估。

如果確認這已經是一個造成損害的事故 (incident)，那就需要再進一步依據「A.5.26 對資訊安全事故之回應」的控制措施，進行資安事故的處理，盡快地降低事故範圍的擴大並減輕造成的損害。所以在監視活動的實施方面，通常還需要結合事件通報和事故處理的流程，才能讓整體的資安控制更完整。

A.8.23 網頁過濾

這項控制措施的要求是「應管理對外部網站之存取，以降低暴露於惡意內容」。顯而易見的，這項控制措施的目的就是要降低有愈來愈多的惡意程式，都是感染至含有惡意內容的網站之風險。

實務方面，首先要建立使用者的上網行為規則，讓使用者有能力認知並避免瀏覽高風險的網站，接著還需要搭配技術面的管控機制，例如透過閘道端 (Gateway) 的上網行為管理設備，藉由啟用內建的一些高風險網站群組，限制組織內可上網瀏覽的網站。如果缺少這類設備的支援，也可以直接在防火牆上設定阻擋惡意網站IP的黑名單，只是它經常需要手動且及時的更新，才能達成阻擋過濾的效果。

A.8.28 安全程式設計

這項控制措施的要求是「軟體開發應施行安全程式設計原則」，目的是要確保在撰寫程式的過程中，能夠降低軟體中存在資安弱點的數量。

在實施方面，除了要先依據「A.8.25 安全開發生命週期」的要求，建立安全開發軟體的各個階段和過程的安全規則之外，還可以特別針對撰寫程式的開發人員，製作並提供給開發人員一份安全開發指南 (coding guideline)，讓開發人員可以清楚知道撰寫程式的安全準則，避免使用有弱點的語法或引用了不安全的第三方和開放原始碼的元件，建立一套安全編碼的方法。

當然，在安全開發指南的文件中，請盡量以淺顯易懂的方式，像是列舉一些正確寫法或錯誤的範例，讓開發人員願意來閱讀和遵循，可以更容易避開一些常見的安全漏洞 (ex. SQL Injection)。

(本系列完)

[分享] ISO 27001:2022 新增的控制措施 (5)

Tue, 09 Sep 2025 08:27:00 +0000

上一篇文章說明了在 ISO 27001:2022的附錄A中，有關技術面的「A.8.9 組態管理」和「A.8.10 資訊刪除」，接下來說明剩下的5個控制措施中，有關「A.8.11 資料遮蔽 (Data masking)」和「A.8.12 資料洩露預防 (Data leakage prevention)」的要求和實施重點。

A.8.11 資料遮蔽

這項控制措施的要求是「應使用資料遮蔽，依組織關於存取控制之主題特定政策及其他相關的主題特定政策，以及營運要求事項，並將適用法令納入考量」。一般來說，需要進行遮蔽的資料，大多都是與個人資料 (PII) 有關，但實務上只要是敏感性資訊，都可以考量採取不同的技術來隱藏不想讓人得知的資料內容。

目前，針對資料遮蔽最常採取的做法有以下幾種方式：

擬匿名化 (pseudonymization) : 這種方式又叫做「假名化」，也就是使用別名或暱稱來取代原本可直接識別的當事人資訊。例如組織內部以員工編號取代姓名，或是在網路公開的討論區或社群媒體使用暱稱來替代真實的姓名。
匿名化 (anonymization)：一般也稱之為「去識別化」，也就是採取不可逆轉的方式，讓資訊無法再直接或間接的識別到特定的當事人。例如有一筆記錄顯示王小明中午喜歡吃排骨便當，若將姓名取代成為王OO，並且不保留原始記錄的資料，也確認無法再用併湊或比對的方式知道，原來中午喜歡吃排骨便當的人就是王小明，即可達成不可逆的去識別化的結果。

另外，將資訊中的某些數值進行「替換 (replace)」也是常見的方法，例如將信用卡簽單中的卡號部份數值取代為「*」，但在實施時必須考量所採取資料遮蔽方法的強度，是否可達成不被反解或猜中的目的。以卡號遮蔽方式來說，目前業界主要是參照 PCIDSS 標準的要求，將16位數字的卡號僅顯示前6碼和後4碼的方式，也就是遮蔽中間6碼數字。

A.8.12 資料洩露預防

這項控制措施要求「應將資料洩露預防措施，套用至處理、儲存或傳輸敏感性資訊之系統、網路及所有其他裝置」。在實務方面，對於資安防禦者 (Blue team) 來說，防止資料洩露是件說來簡單，但實施起來極為挑戰的工作。以居家安全為例，出門前您必須確保家中每一扇大大小小門窗和進入管道都要上鎖，只要有一個地方遺漏了，入侵者就可能利用這個小地方入侵成功，而且即使已上鎖了，還要考量上鎖的強度，是否足以抵擋外力的破壞。

雖然要達成資料洩露預防是件不容易的事，但標準告訴我們可以從三個層面的預防角度出發，也就針對「處理」、「儲存」及「傳輸」的資料，對應採取防範的措施。

針對處理中的資料，大部份的組織都是透過資訊處理設施和端點裝置來進行，所以針對實體資料處理的埸域，像是辦公室、機房，都可以藉由ISO 27001 A.7 各項實體控制措施 (例如門禁、CCTV等) 來達成防護。針對使用者的端點裝置，也可利用「A.8.1使用者端點裝置」的控管要求，來防範資料的洩露。

至於儲存中的資料，組織需要透過資訊資產的盤點清查 (A.5.9 資訊及其他相關聯資產之清冊)，了解有哪些資料儲存的地點和方式，包括線上儲存的資料庫、NAS、雲端儲存空間等，到離線儲存的資料 (例如磁帶、光碟等儲存媒體)，再實施對應的保護機制 (例如存取權限、加密)。

而針對傳輸中的資料，則是要評估組織目前對內或對外，有哪些傳輸的管道和方式 (包括電子和實體傳輸)，再依據「A.5.14 資訊傳送」控制措施的要求，確保資訊傳送過程中的安全。

最後，資料洩露預防單靠管理程序和人力是難以達成的，組織還可以考量使用資料洩露預防相關技術工具，進一步強化以下三個階段的防護措施 - 識別 (發生前保護)、偵測 (發生中得知) 及矯正 (發生後阻擋)，才可以有足夠的能力達成資料洩露預防的目標。

(待續…)

[分享] ISO 27001:2022 新增的控制措施 (4)

Wed, 03 Sep 2025 14:03:00 +0000

在 ISO 27001:2022的附錄A中，一共有四個控制領域，分別是「組織、人員、實體和技術」，若是和舊版標準相比，在組織面新增了3個控制措施，在人員面沒有新增，在實體方面則新增了1個。

以上三個層面新增的控制措施重點和實施做法，在前三篇文章中都已分享，接下來將陸續說明在技術面新增的7個控制措施。

A.8.9 組態管理

組態管理 (Configuration management) 不是一個新的概念，早在以前曾經流行過的「ITIL」和 ISO 20000 標準中，針對IT服務的管理要求，組態管理就扮演了重要的角色。那到底什麼叫做組態？簡單白話的說法就是設定或配置，它可以用來確保和IT有關的服務能夠正常地運作。

在ISO 27001的組態管理控制措施中，要求「應建立、書面記錄、實作、監視並審查硬體、軟體、服務及網路之組態 (包括安全組態)」。所以在實施方面，組織就必須建立一個過程，以文件化的方式來管理包括硬體、軟體、服務及網路等四個層面有關安全的設定和配置。

對組織而言，基本上就是要先建立硬體、軟體、服務及網路組態的安全基準 (baseline) 或範本 (template)，這部份可以參考公開的指引，例如由資安院提供的政府組態基準 (GCB)，或是參考由IT供應商所提供的安全設定規範。

如果組織有資源，可以進一步考慮建立一個「組態管理資料庫 (Configuration Management Database, CMDB)」，藉此來管理所有和資安有關的硬體、軟體、服務及網路的基本組態，並且記錄異動後的組態設定，再搭配相關工具來達成組態的監視 (Monitor) 和審查 (Review)。

如果組織沒有足夠的資源，則可以結合既有的資訊資產管理過程，利用資產清冊來盤點和記錄有關硬體、軟體、服務及網路組態的安全設定，在建立基本的安全組態要求之後，後續再搭配變更管理的過程來實現組態管理和留存組態異動的記錄。

A.8.10 資訊刪除

接下來在技術面新增的三個控制措施 (A.8.10, A.8.11, A.8.12)，主要都和資訊隱私保護 (Privacy) 有關。

資訊刪除 (Information deletion) 的控制要求是「當於資訊系統、裝置或所有其他儲存媒體中之資訊不再屬必要時，應刪除之」，主要目的就是讓組織能避免因保留了不必要的敏感性資訊，遭到未經授權存取而影響了資訊的機密性。

不過，在實務方面常遇到的問題是，組織到底要如何去確認「資訊已不再屬必要？」個人鼓勵可以從以下兩個角度來評估資訊是否可以進行刪除。

資訊已過保留期限：這個做法的前提是組織必須清楚定義各項資訊的保留期限，尤其是針對許多以前認為要永久保存的資訊，應該考量法令法規的要求，或是業務上實際的需要，定出一個適當的保留期限，之後才能依據是否已過期了，進行資訊的刪除。
當初蒐集、處理及利用的目的已不存在：這類資訊主要是和個人資料有關，如果這些個人資料已經沒有當初蒐集時，告知當事人在蒐集之後和目的有關的活動，也沒有法規要求需要保留的必要性，組織就應該主動的進行刪除。

最後，組織在進行資訊刪除時，需要考量針對不同類型的資訊 (電子檔案或紙本文件) 所儲存的媒體，採取有效的刪除方法，並且記錄刪除的過程作為佐證的記錄。如果有委託供應商進行大批的資料銷毀，也要進行過程中的監督和確認，並保存適當的銷毀記錄。

(待續…)

[分享] ISO 27001:2022 新增的控制措施 (3)

Sun, 31 Aug 2025 13:55:00 +0000

針對ISO 27001:2022新增的11項控制措施，先前已經說明了3項，接下來說明第4項「A.7.4 實體安全監視 (Physical security monitoring)」的要求與實務做法。

A.7.4 實體安全監視

在新版 ISO 27001:2022 標準中對於實體安全監視的要求是「應持續監視場所，以防未經授權之實體進出」，最常見的管控機制就是建置影像監控系統 (CCTV) 了。

其實在舊版 ISO 27001:2013 的實體安全防護方面，針對管制區域像是機房和辦公室的出入口，安裝 CCTV 進行監控並留存影像，本來就是常見的實務做法，只是過往並沒有特別將這項控制措施獨立出來。

基本上，CCTV 只是實體安全監視的其中一項方法，其他可能的管控方式還包括了設置警衛、紅外線或壓力感測入侵警報器等，目的是要達成偵測並及時阻止未經授權的進出。

在新版 ISO 27001:2022 的要求中，針對這項控制措施的重點在於「持續」，所以必須要確保監視的時間和記錄的留存，是否可以滿足組織本身的要求。

最後，組織若要在特定的場所設置監視器，也要特別注意裝設監視器的位置，並依據相關法令法規的規定，千萬不要以監控之名而侵犯了他人的隱私。

(待續…)

[分享] ISO 27001:2022 新增的控制措施 (2)

Sun, 24 Aug 2025 13:50:00 +0000

上一篇文章已說明了「A.5.7 威脅情資」的管控重點，接下來跟各位分享在ISO 27001:2022「A.5 組織控制措施」方面，其他兩個控制措施的重點要求。

ISO 27001:2022 分別在附錄A的四個控制領域 (組織、人員、實體、技術)，增加了11個新的控制措施，在「A.5 組織控制措施」方面，包括了「A.5.7 威脅情資 (Threat intelligence)」、「A.5.23 使用雲端服務之資訊安全 (Information security for use of cloud services)」、「A.5.30 營運持續之ICT備妥性 (Information and Communications Technology readiness for business continuity)」等三項，接下來說明其它兩項的重點要求。

A.5.23 使用雲端服務之資訊安全

目前已經有愈來愈多的組織，使用了由外部提供的公有雲服務，例如：微軟的 M365、Google的Workspace、AWS EC2 等。有些組織認為，只要利用既有的委外廠商管理作業規範，同樣也能管理這些雲端服務業者來達到資訊安全的要求，但是卻忽略了雲端服務的特性和傳統的委外服務有著很大的差異性，組織既有對於委外廠商的資安要求，恐怕無法完全適用於雲端服務業者。

因此，在 ISO 27001:2022 附錄A，增加了使用雲端服務之資訊安全的控制措施，要求「應依組織之資訊安全要求事項，建立獲取、使用、管理及退出雲端服務的過程」。在這個要求之中，對於雲端服務的資安要求涵蓋了三個層面，我們可以分別從雲端服務使用的前 (獲取)、中 (使用、管理)、後 (退出) 三個階段，考量實施以下的管控機制。

使用雲端服務之前 (獲取)：組織需要考量如何評選一家安全可靠的服務業者，可能的條件包括了業者是否有通過雲端安全相關標準的驗證 (ISO 27017, 27018, CSA STAR)、業者是否主動揭露雲端安全和隱私保護的機制，以及在服務等級協議 (SLA) 或合約之中，所承諾要達成的安全事項，是否滿足組織本身的要求。
使用雲端服務期間 (使用、管理)：為了有效管理組織內部雲端服務的使用者，必須建立雲端服務的使用政策或程序，並且針對負責管理雲端服務的單位 (通常是IT部門) 或是具有特權的服務管理者 (Administrator)，需要確認和審查使用雲端服務有關的安全控管機制 (例如：帳號與權限、日誌功能、資料加密等) 是否落實。
終止使用雲端服務 (退出): 組織應考量若有一天要終止雲端服務的使用，或是要轉換使用不同的雲端服務業者時，確認雲端服務上的資料是否能夠取回的方式 (最好事先明訂在合約或協議中)，同時也要確認業者移除所租用的服務或刪除儲存資料的機制 (了解刪除方式和所需時間)。

A.5.30 營運持續之ICT備妥性

對組織而言，營運持續管理 (Business Continuity Management, BCM) 是一個很大的議題，這個控制措施雖然是新增加的，但其實在舊版的 ISO 27001:2013 中，就已經有對於營運持續的資安要求，也就是把營運持續的考量，限縮在資安的層面。如果想要了解有關組織整體的營運持續管理，可以進一步參考它對應的國際標準 ISO 22301。

在這項控制措施的內容方面，它要求「應依營運持續目標及 ICT (Information and Communication Technology) 持續之要求事項，規劃、實作、維護及測試ICT備妥性」，也就是更明確的把對營運持續的要求，聚焦在資通訊技術相關的裝置和設施，組織必須考量由於ICT造成營運中斷的可能性，提前做好準備。

所以在實施方面，組織可以透過進行營運衝擊分析 (Business Impact Analysis, BIA) 來決定有哪些重要的業務活動，需要依靠哪些關鍵的ICT資源來支持業務活動的持續運作，並針對將服務恢復至可正常提供水準的時間要求，訂出恢復的時間目標 (Recovery Time Objective, RTO)。

如果服務還涉及了資訊處理活動，也要依據組織可承受遺失資料的損失程度，訂出資料回復的時間點目標 (Recovery Point Objective, RPO)，並採取對應的備份機制，例如：組織能承受的資料遺失只有一天，那麼就至少必須每24小時進行一次資料備份。當然，除了備份之外，也要定期進行備份資料的回復測試，確認備份檔案的有效性。

完成以上活動之後，組織還需要針對各個可能造成營運中斷的情境，建立完整的營運持續計畫 (Business Continuity Plan, BCP)，將回復ICT相關活動的作業流程、操作步驟、人員職掌等描述清楚，並且安排定期實施BCP演練，確認有能力滿足所訂定的RTO和RPO，並根據演練過程中所獲得的經驗來持續改善，達成組織營運持續的目標。

(待續…)

[分享] ISO 27001:2022 新增的控制措施 (1)

Mon, 18 Aug 2025 15:21:00 +0000

本週在成功大學擔任 ISO 27001 Lead Auditor 主導稽核員的課程講師，有學員詢問 ISO 27001:2022 的標準，最晚在什麼時候一定要完成轉版稽核？以及新版增加的11項控制措施，實施方面的重點和要求是什麼？我想透過以下一系列的文章來和大家分享。

ISO 27001:2022 的轉版要求：ISO 27001:2022 標準正式發布於2022年10月，ISO組織給予持有舊版證書的組織有三年的轉換期，也就是說，所有ISO 27001:2013的證書必須要在2025年10月31日之前完成轉版稽核，否則舊版的證書就會到期或撤銷，因此，還沒有完成轉換的組織目前已剩下不到3個月的時間了，請務必要在截止期限完成才行。

ISO 27001:2022 新增的控制措施：對於想要轉換到新版證書的組織而言，最想了解的就是新版和舊版的主要改變是什麼？基本上，新版標準在管理制度方面的要求，除了新增加一個全新的條款「6.3 變更之規劃」之外 (可參考這篇文章)，最大的改變就是控制措施從原本14個控制領域調整為4個 (組織、人員、實體、技術)，控制措施的數量也整併減少為93個，但是其中卻增加了11個新的控制措施，所以接下來的文章，就逐一來說明這11個控制措施的實施重點和要求。

A.5.7 威脅情資 (Threat intelligence)

針對這個控制措施，首先我們需要先定義什麼叫做「情資」？透過以下 CREST - What is Cyber Threat Intelligence and how is it used? 這份指南所提出的，它會經過「蒐集、處理、分析」三個階段。

Source: CREST

以產生網路威脅情資為例，一開始需要蒐集的是原始資料 (Data)，可能的來源像是網路設備或防火牆所記錄的IP位址或日誌，再將這些資料導入日誌平台或透過工具進行處理，就能得到一些可疑的活動資訊 (Information)。最後，再經由適當的關聯分析和歸納，匯聚成為管理階層可以判斷做出進一步行動的決策依據，這就是所謂的情資 (Intelligence)。

如果參考ISO 27002控制措施的實務指引，它還提到了威脅情資可以分為三個層面，提供和分享給管理階層來進行評估，分述如下：

策略面 (Strategic)：分析威脅屬於哪一種攻擊類型？組織可依據自己的現況來建立類型 (例如主機、網路、實體、人員類)，或是參考SANS定義的三種情資類型 (內部、外部、社群或特定產業)。
營運面 (Operational)：分析威脅的攻擊目標主要針對哪些資訊系統？或是可能影響到內部什麼樣的資訊 (例如研發資料、客戶資料、交易資料)？
戰術面 (Tactical)：分析威脅所涉及攻擊者的方法，包括其採用的工具、技術、社交工程手法等。

在了解以上的情資定義和分層評估以做出決策行動之後，我們回頭來看看標準中針對這個控制措施的要求 -「應蒐集並分析與資訊安全威脅相關之資訊，以產生威脅情資。」

所以在實施方面，依據這項要求，組織必須建立威脅情資蒐集的來源，以及處理和分析的過程，並且可透過分層的方式，讓管理階層能易於掌握和理解情資的重要性，以做出決策和採取適當的行動，這樣才能讓組織真正具備預防、偵測及回應威脅的能力。

(待續…)

[分享] ISO 27001:2022 本文新增之條款

Wed, 15 Nov 2023 12:48:00 +0000

受到國際公認的新版ISO 27001:2022資訊安全管理系統 (ISMS) 國際標準，從2022年10月底正式公告發行之後，至今也已經屆滿一週年了，依據ISO組織的要求，所有取得舊版證書的組織，都必須要在三年的轉換期內 (2025年10月底前) 完成轉版稽核，以便持續維持證書的有效性，接下來跟大家分享新版和舊版中，主要條款內容的差異，希望能夠協助大家順利的完成轉版的工作。

在ISO 27001: 2022 標準本文中主要的改變，就是加入了一個全新的條款「6.3 變更之規劃」，要求「當組織決定需要對資訊安全管理系統變更時，應以規劃之方式執行變更」。在舊版標準中，提到跟變更有關的要求，應該就是「A.12.1.2 變更管理」的控制措施了，這個控制措施要求「應控制對影響資訊安全之組織、營運過程、資訊處理設施及系統的變更」。所以大到不管是組織的策略方向和營運過程的改變可能影響到資安，小至資訊系統和防火牆的設定異動調整，都需要備妥正式的管理責任及程序，以確保所有變更之控制皆符合要求，並留下適當的記錄。

不過在新版的標準中，跟組織ISMS有關的變更要求，已經把它歸屬在「6.3 變更之規劃」中了，至於舊版原本的「A.12.1.2 變更管理」控制措施，條款編號已經調整為「8.32 變更管理」，並且也將控制措施的要求，調整為「資訊處理設施及資訊系統之變更，應遵循變更管理程序」，也就是改變成為只針對資訊處理設施和資訊系統的變更管理要求了。

實務分享

至於在什麼樣的情況下，組織需要依照「6.3 變更之規劃」的要求來實施呢？

一般而言，通常是組織有重大的異動 (例如合併了另一家公司)，或是資訊相關作業活動有了重大的改變，ISMS管理制度可能就得因應來做調整，以下舉一個例子來說明。

舉例: 某組織選擇停止自建和維運現有的實體機房，改為採用三大公有雲所提供的 IaaS 服務，將資訊系統運作在租用的虛擬機器 (VM) 之上。此時，當組織決定採用由外部提供的雲端服務時，就需要考量 ISMS 體系面 (本文4-10章節) 的管理要求，以有計畫的方式做出ISMS的對應調整，並且留下適當的記錄，包括:

鑑別與雲端服務有關的內外部議題和關注方的期望與要求 (4.1, 4.2)。
資安政策中是否包括針對雲端安全的要求事項，以及持續改善的承諾 (5.2)。
針對使用的雲端服務進行風險評鑑和風險處理 (6.1, 8.2, 8.3)，選擇適當的控制措施 (A.5.23)。
考量針對雲端服務制訂相關的資訊安全目標，並且定期進行監督與量測 (6.2, 9.1)。
實施和雲端服務有關的專業與認知教育訓練 (7.2, 7.3)。
確保使用雲端服務的過程實施適切的控制，例如: 管理外部供應商 (8.1)。
針對使用的雲端服務進行內部稽核 (9.2)，管理審查時進行與雲端服務相關的反饋與改善 (9.3, 10)

查核重點

最後，組織在進行自我查核和檢視相關稽核證據時，可考量以下事項:

詢問組織如何決定需要變更資訊安全管理系統 (ISMS)，所採取的規劃方式是什麼？
詢問如何針對ISMS管理體系 (本文4-10) 做出因應的調整？
針對所做出的ISMS管理體系之調整，檢視對應的客觀證據有哪些？

[新知] ISO 27001:2022 新版資安管理系統 (ISMS) 國際標準正式發行

Tue, 25 Oct 2022 09:40:00 +0000

眾所矚目的ISO 27001:2022新版資安管理系統 (ISMS) 國際標準，終於在今日正式公布發行了，以下簡要地說明新版標準與舊版之間主要的差異:

1. ISO 27001:2022新版國際標準從原本的「資訊技術－安全技術－資訊安全管理系統－要求事項 (Information technology - Security techniques — Information security management systems — Requirements)，更名為「資訊安全、網路安全和隱私保護－資訊安全管理系統－要求事項 (Information security, cybersecurity and privacy protection — Information security management systems — Requirements)。

2. ISO 27001:2022新版國際標準的附錄A，採用了今年二月中已更新發行的ISO 27002:2022的四個控制領域 (組織、人員、實體、技術) 與93個控制措施。在舊版標準中所使用的控制目標 (Objective) 被移除了，改為以目的 (Purpose) 來取代，至於新增加的5個控制屬性 (five attribute)，則可由組織自行選用，並非強制要求。

3. ISO 27001:2022新版國際標準的內容文字，以文件 (document) 取代原先使用的國際標準 (International Standard)。

4. ISO 27001:2022新版國際標準在本文「4.4資訊安全管理系統」，要求定義建立、實作、維持及持續改善資訊安全管理系統所需的流程 (process)。

5. ISO 27001:2022新版國際標準更明確要求在組織內和資安有關的溝通角色。

6. ISO 27001:2022新版國際標準，微調了部份條款內容和編號，例如: 原先的「9.2 內部稽核」內容增加了「9.2.1 General 一般要求」和「9.2.2 Internal audit programme 內稽計畫」；「9.3管理審查」內容則增加了「9.3.1 General 一般要求」、「9.3.2 Management review inputs 管理審查輸入」及「9.3.3 Management review results 管理審查結果」。另外，原先舊版標準的「10 改善」，則是調整順序為「10.1 Continual improvement 持續改善」和「10.2 Nonconformity and corrective action 不符合項目及矯正措施」，僅將原先的編號對調但內容要求不變。

轉版時程與規劃安排

依據所得知的消息，自2022年11月1日起將會有3年的新舊版證書轉換期，所有的2013年舊版標準證書，預計將在2025年11月1日起失效。

目前已取得2013年舊版證書的組織，可以選擇在既定的後續審查 (CAV) 或三年重審 (RA) 時，同時進行轉版稽核，但要注意的是從2024年5月1日起，想要申請 ISO 27001 首次驗證 (IA) 或進行三年重審的組織，就不能選擇再採用2013年舊版標準來進行稽核了。

至於轉版的規劃，以下步驟可作為參考：

1. 取得新版的ISO 27001:2022國際標準，若有需要也可取得ISO 27002:2022國際標準，以便了解新版控制措施的實施指引。

2. 針對新版國際標準的要求，進行差異分析 (包括本文和附錄A) 和風險評鑑。

3. 針對ISMS管理體系和現有的控制措施，實施必要的改變和調整，並保留實施的文件化證據 (在轉版驗證時提供給稽核員看)。

4. 請務必更新適用性聲明書 (SOA) 以反映所實施新版國際標準的控制措施，並且說明適用和不適用的理由。

5. 主動與組織的驗證單位連繫，提早確認預計要進行轉版稽核的時間。

[專欄] 確保資訊安全管理持續有效 - 為升級ISO 27001新版標準做好準備

Wed, 10 Dec 2014 13:38:00 +0000

國際知名的資訊安全管理標準ISO 27001，已經在2013年底正式更新了內容，如果您所屬的組織過去已經導入了2005年的標準，現在也應該要為符合最新的標準要求而做好準備，以確保資訊安全管理制度能夠持續有效地運作實施。

隨著時間的改變，資訊安全的問題也變得更加地多樣化，舉例來說，在五年以前，行動化裝置和雲端服務的安全可能都不會是大家注目的焦點，但時至今日，這些資安風險已成為企業組織不得不去面對的重要課題。

在資訊安全的領域，除了駭客攻防的技術之外，資安管理機制也是必要的措施，而國際標準ISO 27001一向是公認最佳的資安實務參考，隨著不同資安風險的出現，國際標準內容的更新有其必要性，同時也可以讓組織能夠持續地因應新的資安問題，以便採取適當的安全控制措施。

了解新舊版本的主要差異

新版ISO 27001標準的內容有著很大的轉變，在架構方面，它採用了管理系統標準可以通用的Annex SL格式，能夠讓導入許多標準(如ISO 9001、ISO 14000、ISO 22301等)的組織在需要整合時，變得更加地容易進行。另外，在所使用的專業術語上，也做了許多的重新定義與安排，讓組織能夠更清楚標準提到的重點與要求。

在內容方面，新版標準的本文內容從舊版的8個章節擴展成為10個章節，在附錄A的控制措施方面，也從11個增加到14個控制領域，但是控制措施經過重新的編排與合併之後，反而從133個減為114個控制措施，對組織來說，新版也可以選用附錄A以外的其他資安控制做法。

至於在實施範圍方面，舊版主要考慮的是業務性質、組織大小、所在位置與資產技術，新版則是從內外部議題和利害關係人的需求與期望出發，在了解組織的背景與運作型態之後，再由管理層來決定其適用的範圍，同時也更加強調應為資訊安全設定明確的目標，並且實施監控和採取適合的量測指標，以確保安全控制的有效性。

新版標準條文的重點提醒

第0~3章簡介、範圍、引用標準及用語釋義
新版標準在這部份，大幅刪減了舊版所提及的內容，並且捨去了過去所強調的PDCA模式，但這並非是認為PDCA已經不重要，而是將重點放在持續改進的要求，若是為了達成此一目標，PDCA仍然是可以運用的方法，但並非是唯一的做法，組織可以依需求自行來選擇。在範圍方面，新版強調第4章到第10章的任何要求都是不能被排除的，否則就無法宣稱已經符合了ISO 27001標準的要求。至於引用標準及用語定義的解釋方面，新版ISO 27001就不再贅述了，而是請讀者參考ISO 27000的標準內容，對於新版增加的專業用語，它也都有詳細的解說。

第4章組織背景
在第4章的組織背景方面，「4.1 了解組織和其背景」的條款中要求，應先了解組織的現況和來自於內外部的期望與需求，然後再去決定ISMS實施的範圍，再建立起實施ISMS的計畫。在這一章節中，新版特別增加了「4.2 了解利害關係人的需求與期望」，所謂的利害關係人包括了內部要求、外部合作夥伴、客戶的期望及法令法規的要求等。

在「4.3 決定ISMS的範圍」中，新版要求必須識別組織內相關的活動，還有委任給第三方來執行的活動，針對所有可能影響達成ISMS預期結果的內外部議題，還可以再參考ISO 31000有關組織內外部的各項活動指引，來決定組織對於資訊安全的要求與適用範圍。

至於ISMS的導入方面，新版「4.4 資訊安全管理系統」將整個管理循環的過程，從建立、實施、運作、監控、審查、維持及改進，改變成為建立、實施、維持和持續改進ISMS，更為簡要符合標準的要求。

第5章領導力
對組織管理階層而言，在新版「5.1 領導力與承諾」條款中，要求必須要有效地展現其領導力和承諾，並且提供ISMS所需要的資源。在「5.2 政策」中則要求應建立符合組織策略發展方向的資訊安全政策，同時也要負責溝通管理ISMS的重要性，確認相關的控制實施皆符合了ISMS的要求，以達成組織預期的結果，最後並可督促組織持續地改進。

在「5.3 組織的角色、責任和授權」方面，管理層需要明確地指派和資訊安全有關的人員角色、執掌與責任，確認相關的工作符合標準的要求，並且回報ISMS的實施績效給更高的管理階層。

第6章計畫
在「6.1 因應風險與機會的行動」方面，需要參考4.1和4.2的結果，思考對於組織可能存在的風險和機會，以便制定出適合組織的風險因應做法。在新版的風險評鑑中，已不再要求必須要先識別出資產及其具有的弱點與威脅，才能找出所面臨的風險，換句話說，組織可以自己選擇風險評鑑的方式，並且參考ISO 31000的風險管理原則與指南，定義出風險擁有者可接受的風險準則。

「6.2 資訊安全目標與計畫」提到，ISMS的目標應與組織的策略發展方向相結合，要求必須在組織相關的功能和層級中建立資訊安全的目標。在這裡的功能，指的是組織內部的運作功能，層級則是指管理的層級，應具體地說明由何人負責、需要哪些資源、在預計的哪個時間達成了什麼工作，最後再針對成果來進行評估。

第7章支援
在支援方面，組織需要決定並提供ISMS所需要的資源(7.1)，以便建立、實施、維持和持續改進資訊安全管理。針對與ISMS有關的人員，需要決定其應具備的能力(7.2)，建立詳細的訓練計畫，讓所有人員都可獲得所需的專業知識。針對一般的人員，則必須讓其具有足夠的認知(7.3)，包括了解組織的資訊安全政策、明白其貢獻對於組織所帶來的好處，以及不遵守資訊安全要求可能造成的後果。

至於在溝通(7.4)方面，組織應確保內外部的溝通順暢，定義何人、何時、何地，所進行溝通的流程與內容。在「7.5 文件化資訊」的要求方面，這是新版增加的一個新用詞，主要是用來取代舊版中所提到的「文件」與「記錄」。在標準條款中若提及了文件化資訊，就表示相關的運作都應建立、保存及更新所需的文件與記錄。

第8章運作
「8.1 運作計畫與控制」，主要是強調組織應針對「6.1 因應風險與機會的行動」的結果，採取必要的行動並且保留文件化資訊，以確保運作已獲得有效的控制。新版在這裡特別強調，組織應確保外包的流程與作業，都已獲得有效的決定與控管。

「8.2 資安風險評鑑」，要求組織應依照所設定的期間和方法來實施，尤其是當組織有重大的改變時，資安風險評鑑也要重新執行，以確保相關的風險被識別並獲得控制。「8.3 資安風險處理」是要求組織必須落實風險處理計劃，並且保留相關實施之後的文件化資訊，記錄風險處理後的結果。

第9章績效評估
在「9.1 監控、量測、分析和評估」的條款中，新版標準要求應評估資訊安全的績效和ISMS的有效性，評估的方式包括了決定哪些流程和事項需要被監控與量測、採取什麼分析與評估的方法、在什麼時間由誰來進行，以及最後的結果分析等。對組織來說，建議可採取循序漸進的方式來進行，著重在與資訊安全目標有關的事項，而不是要求一次到位的全面監控，要注意的是過程中仍要保留相關的文件化資訊。

「9.2 內部稽核」與「9.3 管理審查」與舊版的要求大致是相同的，組織應建立稽核計畫，並且依照計畫的內容與期間來實施。在管理審查方面，新版不再強調特定的審查輸入與輸出事項，而是關注在內外部的期許與要求是否能被實現、重視資安績效的回饋，以及持續改進的機會。

第10章改善
在新版標準中，已不再如舊版強調應採取預防措施，而是將之溶入在了解組織背景和風險管理的過程中。在「10.1 不符合事項與矯正行動」方面，新版要求需要針對不符合事項採取適當的矯正行動，並且處理其產生的結果。同時也要消除不符合事項的原因，以及判斷是否還有類似的不符合事項存在。至於「10.2 持續改進」，則簡單明瞭地要求組織應持續改進ISMS的適用性、正確性及有效性。

因應新版標準必須做出的改變

根據經濟部標準檢驗局的標準轉換說明提到，從2014年10月1日起，驗證機構就不能再核發ISO 27001的2005年版證書，而所有已取得舊版證書的組織，也必須在2015年9月30日前完成轉版，也就是說只剩下不到一年的時間來完成更新並轉換為新的標準。

對尚未導入ISO 27001的組織而言，直接採用新的標準內容，並且依照其要求來實施是最好的方式。但對於需要轉換新版的組織來說，則需要先進行新舊版的差異評估，才能找出需要修改的內容與方向。基本上，有關ISMS政策、風險評鑑與風險處理、適用性聲明書、內外部的溝通、新版增加的控制措施等，這些都是需要一一檢視的重點，建議應及早著手準備，以便讓組織的資訊安全管理更加完備。(本文刊載於2014年6月號網管人雜誌)

[新知] ISO 27001:2013 國際標準草案(DIS)版

Wed, 20 Mar 2013 13:58:00 +0000

為了因應ISO 27001在今年即將改版，BSI英國標準協會今天舉辦了ISO 27001國際標準草案版(Draft International Standard, DIS)的說明會，會中說明了幾個改版之後的方向，可做為已經導入或是即將導入ISO 27001的單位做為參考。

標準架構的改變

ISO 27001將採用標準化的ISO Annex SL架構，這個架構已經率先使用在先前已公布的ISO 22301(BCMS)身上，這種作法的好處，在於可解決以往各項標準章節內容不一的問題，未來組織若是需要整合各項管理標準的話，實施起來會更加地容易。

採用Annex SL架構的新版ISO 27001共有10章，同樣維持著PDCA的循環概念如下：
0 Introduction
1 Scope
2 Normative references
3 Terms and definitions
4 Context of the organization (Plan)
5 Leadership (Plan)
6 Planning (Plan)
7 Support (Plan)
8 Operation (Do)
9 Performance evaluation (Check)
10 Improvement (Act)

標準內容的重點

其中第3章的名詞解釋，在新版標準中已不再提供，而是以參照方式直接對應到ISO 27000的內容，由ISO 27000來解說整個ISMS標準家族和名詞定義。其他各章的重點，說明如下：

在第4章的組織方面，要求先了解組織的現況和來自於內外部的期許與需求，然後再去決定ISMS實施的範圍，建立起實施ISMS的計畫。

在第5章領導統御方面，需要獲得管理階層對於實施ISMS的承諾，確保ISMS與組織整體的管理流程是一致的，並且提供所需要的支持。在制定資訊安全政策時，必須清楚的定義各項目標，採用5W1H、可持續可量測的方式，以符合資訊安全的要求。對於和資訊安全有關的組織，必須定義清楚各項角色的權責，並能明確地指派和溝通。

在第6章的計畫方面，組織要依據第4章的組織現況和需求，並參考ISO 31000來進行資訊安全風險的評鑑與處理，建立可達成的資訊安全目標和計畫。

在第7章的支援方面，需要決定並提供所需要的資源，建立詳細的訓練計畫，確保內外部的溝通順暢，並且建立保存相關的文件化資訊(舊版的文件與記錄已統稱為文件化資訊)。

在第8章的運作方面，需依照所計畫的內容實施控制措施，並且執行資安風險評鑑和風險處理。

在第9章的績效評估方面，需要持續地進行量測、監控與分析，定期地實施內部稽核，並且召開管理審查會議。

在第10章的改善方面，針對不符合的事項需要實施改善行動，並且確保它不會再重覆發生(舊版中要求的預防措施已被移除了)，最後是和所有的管理制度一樣，都要依照PDCA不斷地來持續改進。

控制措施的差異

新舊版在附錄A控制方面的差異在於，控制項目由11項增加為14項，其中有舊版的一項被區分為二，另外也加入了兩個全新的項目。控制措施總數則由133個減少至113個，主要是合併了許多舊有的控制措施，並且加入了如行動裝置政策等多個新的控制措施。

A.5 Security Policies
A.6 Organization of information security
A.7 Human resource security
A.8 Asset management
A.9 Access control
A.10 Cryptography (新增)
A.11 Physical and environmental security
A.12 Operations security (由舊版A.10 獨立出來)
A.13 Communications security (由舊版A.10 分開獨立出來)
A.14 System acquisition, development and maintenance
A.15 Supplier relationships (新增)
A.16 Information security incident management
A.17 Information security aspects of business continuity management
A.18 Compliance

因為附錄A的控制項目與控制措施都已作了修改，所以ISO 27002勢必也會跟著一起改版，目前新版ISO 27001:2013預計將會在10月19日正式公布，且讓我們拭目以待。

[資料來源] BSI國際標準草案說明會 (2013-03-20)

[觀點] 解析資訊安全控制措施(完) - 資訊安全與法規遵循

Tue, 10 Jan 2012 14:19:00 +0000

上一次我們談到ISO 27001中有關如何避免資安問題影響企業營運的要求，以及在發生資安事件之前，應如何建立相關的事件處理應變流程，本文將說明在標準附錄的最後一項，有關法規遵循的控制措施。

在過去，每當與企業管理階層談到資訊安全的議題時，通常被重視的程度，大都遠低於和業務活動相關的事項。探究其背後原因，乃是當資安事件發生時，主管人員皆認為其可能造成的衝擊並不大，採取方式也往往是由內部人員來自行處理。

不過，隨著組織在營運活動上，愈來愈倚靠資訊系統的運作，再加上資訊可被傳遞的管道愈來愈多，讓現今的資安問題變得更加複雜，一旦發生資料外洩事件，也容易受到媒體矚目，民眾所產生的不良觀感，將對組織的信譽造成傷害，加上當事人若受到實質損害時，也會訴諸法律來尋求必要的賠償。

此外，企業若發生商業機密的外洩，也必須要因應與客戶或供應商所簽訂的合約中，明訂需要負責或賠償的事項，所以對企業而言，重視資安問題並在營運過程中識別出需要遵守的法律、法規及合約的安全要求，將它落實在內部的政策與作業規範，將會是最好的做法，只要能及早未雨綢繆，就可避免因資安事件所造成的傷害與損失。

法規遵循與適法性要求

在ISO 27001附錄A.15中提到，法規遵循與安全政策必須能夠有效地實施，它包括了三個控制項目，首先「A.15.1遵循適法性要求」的目標，就是要讓組織避免違反任何法律、法規、合約、應盡義務及任何與安全有關的要求，也就是要降低組織不小心違反法律的風險。

組織想要確保不會發生違反法規的事件，最好的方法就是預先找出在法律和行業規範中必須要遵守的事項，然後融入相關的管理要求中加以實施。這裡一共有六項控制措施，分別說明如下：

A.15.1.1 識別適用的法條
這項控制措施是要求組織對於本身所適用，或是對資訊系統提出要求的相關法律、法規和合約，都必須要明確的識別並界定出來，採取文件化方式加以記錄，並且維持在最新的狀態。在實務方面，企業需要遵守和資安有關的法律，包括了刑法、著作權法和個人資料保護法等，除了要將適用的法律識別出來，最重要的是在內部的管理程序中，也要將這些要求作清楚的明訂與說明。

A.15.1.2 智慧財產權
這項控制措施是要求組織必須確保所使用的資料和軟體，不會涉及違反智慧財產權的法律要求，所以要建立適切的管理程序。以著作權和智慧財產權為例，組織可以在管理程序中明訂購置軟體的方式和原則，說明為了尊重智慧財產權，內部一律使用合法授權的軟體，並嚴禁非法下載音樂、影片和未授權的軟體，同時也要為合法軟體建立一份軟體清單，並且定期清查以避免違法情事發生。

A.15.1.3 組織記錄的保護
為了確保組織運作符合法律、法規及合約的要求，組織在必要時需要提出證明，這項控制措施就是要求組織應保護和法律及營運有關的記錄，避免其受到竄改、毀損和偽造，而失去足以作為證據的能力。在實務方面，組織需要評估究竟有哪些記錄需要留存，採取什麼樣的安全措施，考量到這些記錄如何產生、如何記錄、存在地點、存放型式、加密方式和存取權限等。一般而言，電磁記錄和紙本文件的保護方式是不同的，電磁記錄要注意加密方式和所選擇的儲存媒體，以便能妥善保存；若是文件的話，儲存地點的環境安控會是重點，同時也要賦予保存期限，期滿之後若不再需要這些記錄時，就可以選擇安全的作法來進行銷毀。

A.15.1.4 個人資訊的資料保護與隱私
隨著個人意識的高漲，以及個人資料保護法所賦予對於個人資料的自主控制權利，對於可識別出特定個人的資料，務必要妥善保護，因此這項控制措施要求組織必須依照法律規定，以確保個人隱私和個人資料保護。建議組織可從人員、流程、技術三個方向來進行，包括指定專人來負責個資管理、對員工實施教育訓練以了解個資保護的責任；流程方面則依照個資法對個資蒐集、處理和利用的要求，在作業辦法中加入符合法律的措施；至於技術面則依據個資存取、傳輸和儲存方式，實施技術控管和留下適當記錄，以便定期進行稽核，這部分還可配合「A.10.10.1稽核存錄」和「A.10.10.3日誌保護」的要求來進行。

A.15.1.5 防止資訊處理設施的誤用
組織必須防止使用者可能濫用各項資訊處理設施，實務上的作法為要求使用者需要進行申請流程和取得管理階層授權，才可使用資訊處理設施。針對含有敏感資料的設施，則可配合監視系統的使用，並且在一開始提示警告的訊息，讓使用者了解這些資訊處理設施皆屬於組織所有，使用過程也會實施監控記錄，除非已經獲得授權，否則不得有任何的資訊存取行為。

A.15.1.6 加密控制措施的規定
組織若在資料保護上使用加密控制措施，必須遵守當地國家法令的要求，同時了解這些可實施加密的設備，是否會有進出口的相關限制。如果加密技術有輸出至其他國家的需求時，也要事先徵詢法律專業人員的見解，以避免違反國家安全的事件發生。

安全政策與技術遵循

在「A.15.2安全政策與標準的遵循性和技術遵循性」項目中，目標是要確保資訊系統皆能符合組織安全政策的要求，因此需要進行定期審查和稽核，確認資訊系統符合安全實作標準和文件化的規範。在這個項目中一共有兩項控制措施，說明如下：

A.15.2.1 安全政策與標準的遵循性
對於已導入資訊安全管理系統的組織而言，需要依據資安政策與標準的要求，建立各項安全的作業程序，這項控制措施就是要求所有管理人員，必須要確保在其職責範圍之內，相關已頒布的安全作業程序都已正確的被執行，同時留有記錄可確認達成資安政策的目標。因此，管理人員需要定期審查這些程序實施的結果，若發現有任何不符合的情況發生，就需要判斷其原因，評估是否要採取相對應的矯正措施，以防止這些事件再次發生，同時也要向管理階層來回報。

A.15.2.2 技術遵循性查核
管理制度除了可進行定期審查和稽核之外，針對資訊系統也要查核是否符合安全標準的要求，這項控制措施即是要求定期採技術性方式來查核各項資訊系統，因此在實務上，建議由有經驗或持有專業認證的人員來進行。例如許多組織會使用自動化工具，針對網站進行弱點掃瞄，或是採取手動方式，針對系統進行滲透測試，再提出網站的安全改善報告。請記得所有技術性的查核過程，務必都要事先取得授權，並且在適當的監督和記錄下，由專業人士來實施，以避免引起其他不必要的問題。

資訊系統的稽核考量

ISO 27001附錄的最後一個控制項目是A.15.3「資訊系統稽核考量」，它的目標是要確保資訊系統在稽核的過程中，可以對組織產生最大效益，同時避免不必要的干擾與風險。在這個項目中包括二項控制措施，說明如下：

A.15.3.1 資訊系統稽核控制
針對資訊系統，組織將依據安全政策的要求，定期實施相關的稽核，但是這些稽核活動，可能也會引起其他的安全風險。這項控制措施要求資訊系統的稽核活動，必須要有嚴謹的規劃，以避免造成營運的中斷，因此在實施之前，我們必須考量所實施的範圍、所需要的資源及所採取的稽核手法。舉例來說，若是針對資料庫系統進行查核，則所使用的工具或指令，務必確保僅能針對資料本身進行唯讀存取，不會新增、刪除或修改資料的欄位屬性和內容；另外在實施之前，也務必取得管理階層的授權，在明定的時間和條件下進行，過程中也要留下記錄，以便在意外發生時採取應變作法。

A.15.3.2 資訊系統稽核工具的保護
組織在實施資訊系統稽核時所使用的工具，往往具有特殊的權限或敏感性，因此這項控制措施要求所有系統稽核工具，都必須要有適當的保護，以避免濫用或受到破解的情況發生。所以，負責資訊系統稽核的人員必須具有獨立性，使用的工具也要和開發或運作中的系統分開，並且實施權限控管，在必要時甚至可先從運作中的系統移除，以避免受到誤用。

資訊安全是一個管理流程

對許多未正視資安的組織而言，資訊安全仍停留在購置產品設備，防範網路入侵等技術性的問題上，卻忽略了組織最大的資安風險，往往是來自於人員的不當行為或疏失，才會導致資料外洩的事件發生，更忘了這些人為的問題，往往是所有最先進設備都難以阻擋的最大威脅來源。

所以，資訊安全絕對不是建置產品的過程，而是一項管理的流程，它透過標準的文件化要求，進行資訊安全的風險管理，配合實施適當的安全控制措施，就可以讓組織內在的體質變好，而不需要老是倚賴華麗的外套，來抵禦可能的病菌入侵。

個人希望透過這一系列的文章說明，讓您的組織可以透過持續不斷的計劃(P)、執行(D)、檢核(C)和改善行動(A)，將風險降至可接受的程度，確保各項營運活動無後顧之憂，為各位創造出最好的機會和最佳的工作效益。(本文刊載於2011年10月號網管人雜誌)

[觀點] 解析資訊安全控制措施(十) - 資安事故管理與營運持續

Sun, 08 Jan 2012 11:31:00 +0000

上一次我們談到了ISO 27001中有關資訊系統的安全規格要求，以及在系統開發時，如何導入適當的安全控制來降低系統的安全風險，本期將說明接下來的資安事故管理與營運持續的控制措施。

在資訊安全的世界裡，無法達到所謂百分之百的安全，能夠做到的只有相對的安全，這是組織務必要體認的實際情況，因此，難免會有一些資安事件，像是電腦中毒、駭客入侵、資料損毀等狀況發生。既然無法保證絕對不會發生資安事件，那麼在事件發生時，為了要降低可能的損害，就需要事先建立處理應變的方式，才能將衝擊降到最低，甚至還要進一步擬定營運持續計劃，以便在災害擴大時，仍能保持業務營運的正常水準。

資訊安全事故管理

在ISO 27001附錄A.13中提到的是資訊安全事故管理的資安要求，它有兩個控制項目，「A.13.1是通報資訊安全事件與弱點」，目標是要確保和資訊系統有關的資安事件與弱點，都擁有相對應的處理程序，並且能夠正確及時地被傳達通報。這也就是說，只要是和資訊系統有關的人員，包括系統管理者、供應商及使用者，都必須要了解這些不同種類事件和弱點的通報程序、聯絡方式和正確的聯絡窗口，這個項目具有兩項控制措施，說明如下：

A.13.1.1通報資訊安全事件
這項控制措施是要求組織建立正式的資安事件通報程序，以便相關人員能夠採用適切的管道，快速將資安事件回報給管理人員，以便及時來因應和處理。通常一個完整的通報程序，包括要指定一個正式的聯絡人和代理人，並提供文件化的資安事件通報程序和表單，讓通報人員能夠依照事件通報指示，記錄和事件有關的重要細節，像是發生的時間、地點、系統錯誤訊息、監控指數，以及其他主觀判定異常的行為，以作為事件處理的依據參考。

為了要讓人員熟悉資安事件通報的作業流程，建議組織應定期舉辦教育訓練，讓新進人員都能具備必要的認知，或是定期的實施事件模擬演練，以便在事件真正發生時不會因手忙腳亂而忽略了訊息通報。

A.13.1.2通報安全弱點
這項控制措施是在組織已建立了適切的通報程序之後，要求和資訊系統有關的人員、供應商和使用者，務必要遵守通報的要求，只要是發現或觀察到可疑的安全弱點，就需要將這些事件盡快告知管理人員，以避免進一步的損害發生。

至於在「A.13.2資訊安全事故與改進管理」的項目中，目標是要確保組織中具有一致的事件通報與處理程序，並且能夠持續地進行評估、監控，並且改善整體的安全事件管理，以達到事故管理的有效性。在這個項目中，一共有三項控制措施，分別說明如下：

A.13.2.1 責任與程序
在資安事件發生時，到底要由誰來負責通報？該如何進行呢？這些都有賴於事前建立完整的作法，因此，這項控制措施即是要求組織需要建立適當的責任區分和作業程序，才能夠迅速有效地回應資安事件。

所以在實務上，我們需要針對事件區分不同的等級或型式，才能夠分別建立不同的因應辦法，例如針對單機的電腦中毒，就會有其需要通報的內容說明和處置，而針對來自網路的阻絕服務攻擊，在通報層級和處置方面，也會有顯著的不同。至於整體的事故管理程序，建議還要包括事件的原因分析與鑑別、如何進行事件預防與矯正措施的規劃，以及是否需要蒐集相關證據，以便向主管機關進行通報，或是作為損害求償的證明。

A.13.2.2 從資訊安全事故中學習
所謂亡羊補牢尚未晚，一旦資安事件效應擴大，演變成為對於組織營運有害的事故，我們就必須要有足夠的資訊，針對事件發生的頻率、損害情形、營業損失，來選擇額外的控制措施，以防止事件的再次發生。這項控制措施即是要求組織應有適當的機制，評估和監控資安事故的過程以及所造成的衝擊，作為因應未來事件的依據參考。

A.13.2.3 證據的蒐集
如果資安事故涉及到法律問題，組織就必須採取相關的法律行動，證明自己並無故意過失，或是對於惡意行為進行損害求償。這項控制措施要求應針對資安事故本身，蒐集、保存和提交相關的證據，以符合法庭在審判時的佐證要求。在實務方面，數位證據的蒐集是相當專業且不易進行的，因為數位證據本身很容易受到破壞和竄改，進而損及到數位證據應有的證明力和證據力法則。

所謂證明力是指證據是否可明確反映事件發生的原貌，而證據力則是在蒐集的過程中，是否依照標準的程序來進行採集，並且可持續一致地維持證據的正確性和完整性，確保其品質可被法庭所採納。對組織來說，證據的來源通常有兩種型式，一種是紙本文件，它記錄事件的發生時間、地點和過程，這些原始文件必須要確保其不會遣失或受到竄改；另一種則是存在於資訊系統上的電磁記錄，需要透過鑑識人員使用相關的鑑識工具進行蒐集、檢驗、分析和報告，在這個過程中，需要依照法庭或業界認可的標準流程來進行，原始存有電磁記錄的媒體則必須受到妥善的保護，以避免損及證據應具有的兩項法則。

營運持續管理

組織想要作好資訊安全的目的，就是不希望資安事故的發生，影響到日常的業務營運，所以A.14營運持續管理的目標就是希望組織能夠未雨綢繆，事先擬定各項的應對策略，以避免營運中斷的情況發生。

營運持續策略的擬定，主要是透過營運衝擊分析來找出組織重要的業務關鍵活動，再透過針對關鍵活動的風險評鑑，評估可能的潛藏風險，並擬定出對應的營運持續計畫，藉由計劃的實現來達成營運持續的目標。

因此，A.14.1「營運持續管理的資訊安全層面」的控制目標，就是希望透過營運持續管理的流程，配合實施各項預防和復原措施，來對抗可能的營運中斷，確保重要的核心營運系統和業務流程，不會受到災害事故的影響而能夠持續進行，在這個項目中一共有五項控制措施，分別說明如下：

A.14.1.1 將資訊安全納入營運持續管理流程
這項控制措施要求組織需要依照業務所需的資安要求，發展和維持整體的營運持續管理流程，也就是需要識別和業務有關的關鍵活動，以及支持這些關鍵活動所需的資產，包括了人員、場地、資訊、技術、供應商、利害關係人等，組織必須充分地了解這些資產所需的安全要求，以及這些資產可能引起營運中斷的風險，評估其可能造成的衝擊，然後再選擇適當的控制措施。

舉例來說，像是火災可能對於營運場地包括機房和辦公室，造成營運中斷的衝擊，所以組織就需要配置消防系統，作為對抗火災的控制措施，如果認為此災害對於營運的衝擊過大，甚至可預備另外的營運據點，或進一步購買適當的保險，來降低整體的營運風險。

A.14.1.2 營運持續與風險評鑑
組織若已將資安納入營運持續過程的考量，接下來就要展開實際行動來找出可能造成營運中斷的風險，這項控制措施就是要求組織必須識別可能導致營運中斷的事件，研判其可能發生的機率，評估可能造成損害的等級，以及對組織的衝擊和影響。

一般而言，由資安事件引發的系統錯誤、設備失效、天然災害等問題，多數能夠藉由風險評鑑加以識別，並且依照其損壞程度和復原時程，判斷如何恢復其至正常運作的水準。因此在進行規劃時，建議最好由業務活動和資源的擁有者來參與，才能夠完整的識別出正常營運所需的資源、可允許的中斷時間及復原的順序，如此，也才有辦法識別出各項風險，進而決定組織營運持續管理的整體作法，避免落入過度偏重在添購資訊設備的備援情境中。

A.14.1.3 發展與實作包括資訊安全的持續計畫
組織應依據營運衝擊分析和風險評鑑的結果，來建立所需的營運持續計畫，這項控制措施就是要求針對各項可能造成營運中斷的風險，應該建立對應的維持或恢復運作的計畫，以確保在一定時間內達到資訊可用的要求等級。對此，建議組織在規劃時，需要考量可以接受的服務中斷時間，以及可使用的人力、物力等各項資源。

舉例來說，若組織針對主機損毀造成系統失效時，所採取的處理計畫為更換同一型號的主機，但系統可接受的服務中斷時間為三小時，組織在異地也備有同型的設備，但是光取得這些設備就需要耗費二小時以上，加上通知技術人員來協助更換和資料復原也至少需要一小時，所以雖然更換設備看來是可行的作法，但實際執行時卻無法滿足組織要求，因此這樣的營運持續計畫內容可能是失效的。

A.14.1.4 營運持續計畫框架
這項控制措施是要求營運持續計畫需要確保一致性，也就是在實施上務必要依照組織的整體作法，例如在每一份計畫中，都會涵蓋特定的計畫擁有人、聯絡清單、啟動條件、緊急程序等，這些就是所謂的框架，需要依照這些項目來建立各項營運持續計畫的內容，同時明訂測試與維護的優先順序。

A.14.1.5 營運持續計畫的測試、維護及重新評鑑
關於營運持續管理，實務方面需要注意的是，計畫本身的建立並不困難，重點在於如何維持計畫的有效性，因此這項控制措施要求所有的營運持續計畫，都需要定期的測試與更新，以確保計畫的內容與作法，符合當下真實的環境。

對組織而言，或許無法同時完整測試所有計畫，但應該要規劃其測試時程和方法，視情況選擇採取紙本演練、狀況模擬、技術測試及完整演練等，請務必明白計畫的目的只有一個，就是要確保在災難發生時，能夠依照預先設想的步驟來執行，以達到營運持續的目標。(本文刊載於2011年9月號網管人雜誌)

[參考資料]

ISO/IEC 27001:2005
ISO/IEC 27002:2005

[觀點] 解析資訊安全控制措施(九) - 資訊系統取得、開發與維護

Sat, 03 Dec 2011 01:40:00 +0000

上次談到了ISO 27001中有關網路、作業系統、應用系統的存取控制要求，藉由部署適當的控制措施，可降低組織的安全風險，接下來將說明標準中有關資訊系統取得、開發與維護的安全要求。

對大多數的組織而言，資訊系統的獲得有兩個來源，一個是由內部人員自行開發撰寫應用程式，另一個則是由外部廠商來協助開發或提供套裝軟體。不過，無論是採用委外服務或是自行開發，對於資訊系統所需的安全目標都是一致的，相關的安全控制目標與措施，可以參考ISO 27001附錄A.12「資訊系統取得、開發與維護」的內容，它主要有六個控制項目，依序說明如下。

資訊系統的安全要求

在A.12.1資訊系統的安全要求中，目標是要確保在導入資訊系統的時候，安全是其中必要的考量，它的控制措施為「A.12.1.1安全要求分析與規格」，主要是希望在一開始評估規劃資訊系統時，就要將安全項目納入其中，包括資訊系統對組織整體營運的重要性為何？是否評估此一系統失效或受到入侵時可能產生的安全風險？所需要的安全防護層面有哪些？如果系統本身無法達到所需的安全強度，是否可尋求其他的配套措施來降低風險？

除了管理面之外，在技術面需要考量的項目有，系統是否具有可自動運作的控制措施，能夠偵測出系統的異常情況；或是具有輔助性的人工控管方法，可進行參數的調整來增加安全的強度。還有系統是否採用了合乎業界標準的開發工具和流程(例如CMMI)，或是產品本身已通過安全標準(例如ISO 15408)的驗證與評估，這些也可納入採用資訊系統時的安全要求。

系統的正確處理與加密控制

在A.12.2應用系統的正確處理項目中，目標是要採取適當的控制措施，讓這些與營運有關或是處理重要資訊的系統，能夠確保所處理資料的正確性，同時避免受到未經授權的修改或濫用。它一共有四項控制措施，分別說明如下：

A.12.2.1 輸入資料確認
這項措施是要求針對所輸入的資料，系統能夠主夠地加以確認其適切性，以避免不當輸入所產生的風險。例如許多網站都提供了會員資料輸入或內容搜尋的功能，因此針對所輸入的資料，在內容上面可加以限制，像是價格欄位僅允許輸入數字、身分證字號只允許輸入10個字元等，透過對於數值的範圍、資料完整性、資料量及有效字元等的偵測，可避免像是資料隱碼(SQL injection)或緩衝區溢位(buffer overflow)等常見的攻擊。

A.12.2.2 內部處理的控制措施
針對不當的輸入，資訊系統需要有能力加以因應，像是資料檢核(validation check)的功能，應該要併入系統之中，以便主動地偵測和因應處理錯誤，或是蓄意的不當行為所引發的問題。所以程式本身需要考量設計相關的核對項目，包括像是批次處理的管控，可確保資料更新前的前後一致性；檔案總數的控制，核對資料完成之關聯檔案數值是否一致；進行程式運作程序的查核，在問題發生時可暫停下一步的處理等，這些都是實務可用的作法。

A.12.2.3 訊息完整性
要求針對所處理的資料，應實施確保訊息完整的控制措施，例如透過加密機制或雜湊涵數(hash)的應用，確保所處理資料的完整。

A.12.2.4 輸出資料確認
除了輸入資料的確認之外，輸出資料的確認也同樣重要，例如目前經常運用的地理位置查詢服務，若輸出的地址有誤，可能會讓人走到汽車不應走的鄉間小路而陷入困境，因此這項控制措施要求系統所輸出的資料必須加以確認，以符合實際可用的情況。

針對資訊加密的控管方面，在A.12.3「加密控制措施」的項目中，目標是要藉由加密方式，確保資訊不會受到未經授權的存取、竄改和干擾，也就是要達到機密性、完整性及可用性的要求，其控制措施說明如下：

A.12.3.1 使用加密控制措施的政策
針對和營運或是個人隱私有關的敏感資訊，組織應依照風險評鑑的結果，制訂統一的加密政策，說明要採取何種加密技術或控制方法來保護這些資訊。目前，許多組織都使用了筆記型電腦、智慧型手機等行動裝置，或是可移除式的媒體像是行動硬碟、隨身碟等，針對這些裝置的使用、授權方式及加密的作法，都應該在相關政策或作業程序中加以說明。

A.12.3.2 金鑰管理
對使用加密措施的組織而言，最重要的就是用來加密的金鑰該如何妥善的保存，因為一旦金鑰遺失或受到破壞，也代表資料可能無法繼續使用。因此，在金鑰管理的生命周期中，從金鑰產生、分派啟用、儲存、更新、廢止、封存和銷毀等，都要有完整的作業程序作為基礎，才能達到所謂的良好管理，另外千萬別忘記了，只要是和金鑰有關的作業活動，都要保留完整的記錄，以便進行後續的安全稽核。

系統檔案與開發過程安全

針對系統檔案安全的控管方面，A.12.4「系統檔案」的控制目標是要防止系統的檔案受到未經授權的存取或修改，它具有三項控制措施，分別說明如下：

A.12.4.1 作業軟體的控制
在作業系統上進行軟體安裝，應有相關的作業程序以便加以控制。在實務方面，使用者若未經過授權，應避免在作業系統上安裝應用軟體。特別要注意的是，許多作業系統的重大修補，像是版本升級或是Service pack的安裝，都要經過適當的測試，確保穩定度與相容性未受到影響，才可以實施更新，否則新版本的作業系統很可能因為不穩定或不熟悉操作，而導致其他的問題發生。

A.12.4.2 系統測試資料的保護
在系統進行運作測試時，應避免使用真實的個人資料或敏感資訊來進行，這已是老生常談的作法之一，這項控制措施即是要求需要小心選擇並且保護用來測試的資料，以避免資料的外洩。所以，在測試時要注意所使用的資料是否已經過授權取得，資料本身是否已剔除或替代敏感性的內容，在測試完成之後，是否已經徹底將資料從系統中清除。

A.12.4.3 程式原始碼的存取控制
程式原始碼的重要性，對資訊系統來說無庸置疑，因此原始碼的存取必須受到嚴格的管控。一般而言，原始碼會集中並儲存在特定地點(source libraries)，控制措施則包括了是否已建立作業程序、是否設定存取權限、是否保存在安全的環境等，即使是程式開發人員需要取得程式原始碼並進行更新，也要先經過授權，並依照作業程序才可進行。

在A.12.5「開發與支援過程的安全」控制項目中，目標是要能有效維持應用系統本身和所處理資訊的安全，其控制措施說明如下：

A.12.5.1 變更控制程序
針對資訊系統的變更，需要制訂正式的變更程序才可進行，也就是說，重點在於整個過程都需要有適當的監控，因此最好的作法是參照文件化的變更作業程序，同時依據之前A.10.1.2變更管理的相關要求來實施。

A.12.5.2 作業系統變更後的應用程式技術審查
在A.12.4.1曾提到作業系統軟體的更新不當，可能會引發安全問題，因此這項控制措施要求在變更之後，需要進行審查測試，以避免影響到組織作業或其他關鍵系統。換句話說，只要有系統進行變更作業，就要對應到後續的技術審查，所有更新作業與運作情況，都要留下適當的記錄才行。

A.12.5.3 套裝軟體變更的限制
組織若是使用廠商所提供的套裝軟體，這項控制措施建議應盡量避免相關套件的修改，所進行的變更活動也要加以嚴格管控。因此實務上若需要進行修改軟體套件，首先是要徵詢相關廠商的意見，並且評估變更之後的後續維護要如何進行，以避免產生安全漏洞。

A.12.5.4 資料外洩
許多資訊系統為了方便維護，開發者可能留下後門或隱密通道，這些可能會是資料外洩的管道之一，在實務上要完全加以防堵是非常困難的，比較可行的作法為在系統上線前進行系統掃瞄，確認是否有不當的訊息外送或開放的傳輸埠，另外也要監測系統資源的使用與網路活動，以防範資料洩漏的事件發生。

A.12.5.5 委外的軟體開發
組織若選擇委外廠商來進行軟體開發，就必須要加以適當的監督，確認遵守組織的安全政策要求，這部份可參照A.10.2第三方服務交付管理的要求來實施，實務上也建議組織將安全要求明列在所簽訂的委外合約之中。

在資訊系統取得、開發與維護的要求方面，最後一項控制項目為「A.12.6技術脆弱性管理」，它的控制措施是「A.12.6.1技術脆弱性控制」，因為資訊系統本身並非十全十美，需要定期或及時的加以修補，這項控制措施就是要求能夠及時取得和弱點有關的資訊，並採取對應的行動來降低因已公布的安全弱點，而遭受到不必要的攻擊。建議的適當作法為建立一份完整的資訊資產清冊，詳細記載系統的相關資訊，例如版本、廠商、部署狀態、負責人員等，並與廠商保持溝通連繫，以掌握系統的安全現況。(本文刊載於2011年8月號網管人雜誌)

[參考資料]

ISO/IEC 27001:2005
ISO/IEC 27002:2005

[觀點] 解析資訊安全控制措施(五) - 通訊與作業的安全管理(中)

Wed, 09 Nov 2011 13:24:00 +0000

之前已針對ISO 27001中有關通訊與作業安全的控制措施，談到了監控資訊作業的相關活動和第三方的服務管理，本篇將繼續說明在此控制項目中的其他要求，以及在實務方面可以應用的管控作法。
註：上篇及下篇請參考之前發佈的內容。

過去，只要談到資訊安全防護，大多數人員直接聯想到的就是網路安全，認為需要在組織中部署防火牆和入侵偵測系統等產品，以防止來自網路的入侵和攻擊。雖然，這樣的認知是有點偏於狹隘的，但也突顯出網路安全其實就是組織在資安方面最為關注的地方，也願意將可運用的資源投入在網路安全上。

不過，網路安全除了導入技術面的資安產品之外，最重要的還是需要配合管理面的要求來進行，原因是技術性的作法，通常是為了要在問題發生時進行損害防阻，避免資訊資產受到損失，而管理面則是為了要防範問題於未然，事先透過作業流程的監控與設計，來降低其中潛藏的資安風險，因此，兩者在強化資安防護方面，肯定是相輔相成且缺一不可的。

在ISO 27001附錄A.10中，提到的是「通訊與作業管理」的要求，之前已說明了A.10.1「作業程序與責任」和A.10.2「第三方服務交付管理」，接下來就繼續探討其他的控制項目。

系統的規劃與管理

在組織之中，有些資安事故的發生原因，是來自於許多系統的上線啟用，沒有事先作好良好的規劃與測試，導致影響系統的正常運作。因此，在A.10.3「系統規劃與驗收」的控制項目中，一共有兩項控制措施，要求系統需要預先作好規劃與準備，確保有足夠的容量與資源，可以讓系統正常的運作，目標是要盡可能使系統運作失常或錯誤的風險，降到最低的地步。依序說明如下：

A.10.3.1 容量管理
以硬體伺服器為例，幾乎都有提供管理介面可監看系統的運作情況，包括CPU、記憶體、網路流量、硬碟空間等。因此，管理人員需要預作規劃，評估未來可能成長的資料量，來添購所需的儲存媒體和設備，以避免因為容量不足的問題，導致系統服務的中斷。

A.10.3.2 系統驗收
組織在啟用新系統之前，需要明確界定其驗收準則，包括版本、啟動程序、復原措施、操作訓練等。在實務方面，每當有新的資訊系統要加入既有的環境時，管理人員需要先問問自己，對於安全的要求是什麼？有沒有可能會因為新系統的上線，而影響到原本的運作環境。舉例來說，像是建置了視訊會議和網路電話系統，會不會導致頻寬不足；加入了數位監視系統，存放大量影像檔案，有沒有可能會導致儲存空間不足，這些都需要事前進行完整的檢測和評估才行。

目前，對於資訊系統最常見的外來威脅，就是惡意碼和行動碼，所謂的惡意碼是指一些的惡意程式包括病毒、木馬、蠕蟲、間諜程式等，其主要的感染來源，來自於網路下載和行動裝置像是USB隨身碟的使用，所以我們需要一些適當的防護措施。

在A.10.4「防範惡意碼與行動碼」的控制項目中，包括了二項控制措施，目標是要確保軟體與資訊本身的完整性，避免受到惡意程式的感染，分別說明如下：

A.10.4.1 對抗惡意碼的控制措施
組織需要針對惡意碼實施偵測、預防和修復的控制措施，實務上最容易的作法，就是在系統上安裝防毒軟體，並定期更新病毒碼，以確保防毒軟體能夠有效運作。此外，在政策方面，可制定正式政策要求使用者不可任意自網路上下載未經授權的軟體並進行安裝，並實施教育訓練讓使用者有足夠的認知，可避免來自網路和電子郵件等惡意程式的入侵。

A.10.4.2 對抗行動碼的控制措施
除了惡意碼之外，行動碼也是另一項普遍的威脅，它是指可以跨不同平台設備使用的程式，像是ActiveX、Java、Flash等，實務上最常使用的管制方式是提高瀏覽器的安全等級，以避免使用者直接執行了有害的惡意程式。

隨著儲存設備的容量愈來愈大，有許多重要的資訊也會存放其中，一旦因為儲存設備的損毀，連帶也會使得上面的資料也消失無蹤，因此，事前的備份，將可確保資料的完整性與可用性。

在A.10.5「備份」的控制項目中，目標是要維持資訊和資訊處理設施的完整性和可用性，其控制措施包括：

A.10.5.1 資訊備份
通常，我們除了要備份一般的系統檔案和資料之外，許多的應用程式和軟體，也同樣需要進行備份，並且定期進行復原測試，以確保應用程式皆可正常執行。在實務方面，我們需要針對資料本身不同的屬性，定義出不同的備份方式，例如完整備份、增量備份、差異備份等，也需要考量備份的頻率，像是每年、每月、每週、每日等，確保資料有多重的防護。當然，若有足夠的資源，採取異地備份將使資料擁有更高的保障，但這時就要確認異地是否可實施同等級的資安控制措施。

網路服務的安全監控

許多組織除了應用網路在日常作業上，也提供了許多對外的網路服務，在資訊的傳遞方面，更需要去考慮相關的安全問題。在A.10.6「網路安全管理」的控制項目中，目標是要確保對於網路的應用與相關支援的基礎設備之保護，其控制措施說明如下：

A.10.6.1 網路控制措施
這裡的網路控制措施，是要確保所使用的系統和應用程式的安全，實務上使用的資安設備，包括了防火牆、入侵偵測系統、VPN等，以保護連線服務不會受到惡意的入侵和存取。

A.10.6.2 網路服務的安全
若組織使用了相關網路服務，就需要去識別它的安全等級、使用程序及管理要求，常見的服務像是email、FTP等，都需要識別其安全等級，以採取相對應的控管方法，包括申請使用程序、連線方式、身分識別及所採取的加密措施等。

只要是在上面可以記載、儲存資訊的物品，都可稱之為資訊媒體，包括了紙本的文件，電腦的硬體如磁碟、磁帶、光碟、隨身碟等，一旦這些媒體需要使用、傳遞、交換、汰除等，都需要適當的控管，以確保資訊不會受到未經授權的存取。

在A.10.7「媒體處置」的控制項目中，目標是要確保資訊媒體不會受到未經授權的揭露、竄改、移除及破壞，導致危害到組織業務活動的進行。它一共有四項控制措施，說明如下：

A.10.7.1 可移除式媒體的管理
若組織內部允許使用可移除式媒體，就需要訂立相關的管理辦法，例如如何申請使用、允許使用的設備類型、可使用的時間等。

A.10.7.2 媒體的報廢
當儲存過資料的媒體不再使用時，需要依照一定的安全程序進行報廢。例如紙本文件可以燒毀或碎毀，硬碟可使用消磁、低階格式化和實體破壞等方式，確保資料不會被復原。實務方面要提醒的是，報廢的過程都應保留文件記錄，以便進行追蹤確認。

A.10.7.3 資訊處置程序
在組織之中，只要有和營運活動相關或敏感性的資訊需要處理，就應該建立它的處理和儲存程序，以確保資訊不會受到不當的揭露和誤用。實務方面，應依照所定義的資訊等級和類別，實施對應的處理辦法。例如這些資料在傳輸時是否需要加密？郵遞時是否需指定專人來處理？

A.10.7.4 系統文件的安全
組織內部在和系統有關的說明文件上，可能會含有一些敏感的資訊，像是系統配置和連線使用的帳號密碼等，這些都需要受到適當的防護。

在組織內部之間，經常有很多資訊需要傳遞和交換，甚至和外部的商業夥伴或供應商，也會有資訊交換的情況發生，在A.10.8「資訊交換」的控制項目中，目標是要確保組織之間的資訊交換，都是基於正式的政策來進行，並且遵循相關的法律要求，其控制措施說明如下：

A.10.8.1 資訊交換政策和程序
組織的資訊交換，都需要依照所定義的管道和方式來進行，在實務方面，管理人員需要評估組織中有哪些資料可以進行交換？交換的方式和程序為何？如果是透過系統直接進行交換的話，如何進行適當的管控？建議透過文件化的方式，讓相關人員可以清楚的了解與遵循。

A.10.8.2 交換協議
組織若需要與外部單位交換資料，事前就應明定相關的交換協議，例如在資料交換協議中，清楚說明資料的交換處理方式，以及發生資安事件時，如何進行處置，責任如何歸屬等。

A.10.8.3 運送中的實體媒體
對於含有敏感資訊的媒體，在進行運送時需要依照安全程序來進行，例如運送人員的身分確認、運送過程的記錄、所使用的運送方式等。實務上要小心的是，快遞公司使用何種容器來運送，是否有可能會在運送途中造成資料毀損，應該在事前就進行確認。

A.10.8.4 電子傳訊
目前普遍使用的電子傳訊方式，像是電子郵件、即時通訊軟體等，組織應如何進行控管？控管的方式要回歸到風險評鑑的結果，依照其風險的高低來實施。

A.10.8.5 營運資訊系統
組織在資料交換的對象方面，若是營運資訊系統，該如何進行控制？如何識別？這些包括了行政系統、會計系統、ERP等，應正式制訂資訊交換的政策和程序。

資料交換的前提就是授權

組織在資訊傳遞和交換的控管重點在於，是否都制訂了相對應的安全政策和作業程序，從最普遍的電子郵件、資料備份、USB隨身碟的使用，到營運系統如ERP的資料交換等，只要牽涉到了資料交換，都要確認是否經過授權、傳輸管道是否安全，以及是否留下相關記錄，這些都是確保資訊安全的根本，下一期將會說明A.10其餘的控制項目。(本文刊載於2011年4月號網管人雜誌)

[參考資料]
1. ISO/IEC 27001:2005
2. ISO/IEC 27002:2005

[觀點] 解析資訊安全控制措施(八) - 存取控制的資安要求(下)

Thu, 20 Oct 2011 15:07:00 +0000

上一期談到了ISO 27001中有關存取控制的營運要求，組織需要建立存取控制的政策和使用者的存取管理，包括像是註冊要求、密碼管理和確保無人看管設備的安全責任等，接下來將說明和網路、作業系統、應用系統的存取控制要求。

在A.11「存取控制」的要求中，第四個控制項目為A.11.4「網路存取控制」，其目標是要確保組織所提供或使用的網路服務，避免受到任何未經授權的存取，因此需要採取一些控管作法，來確保網路本身和使用者在利用時，不會發生安全上的問題，危害到組織的整體營運。

網路存取控制的要求

在這個控制項目中，共有七項要求的控制措施，包括了需要制訂適當的網路服務政策、對使用者和相關設備能予以適當的鑑別，以及針對作業系統、應用系統和行動運算的存取，也能實施必要的安全管控，各項控制措施的重點和實務作法，說明如下：

A.11.4.1 網路服務的使用政策
這項控制措施是要求組織制訂一項有關網路服務和使用的政策，讓使用者只能使用已取得授權才可存取的服務，因此在這項政策中需要說明有哪些網路服務是允許使用者來存取的？申請使用和授權的程序為何？可允許使用和存取的方式？以及所採取保護網路連線和服務的安全管理機制。

舉例來說，某企業提供員工使用內部電子郵件的服務，所以在電子郵件的使用政策中，即說明了使用者可以透過其員工編號進行申請(線上或表單方式)，經主管核准之後即可使用Outlook等郵件應用程式來存取。若使用者需要透過外部網路來使用郵件服務的話，需要透過虛擬私有網路(VPN)，經過身分驗證之後，才可連結內部網路並存取郵件服務。

A.11.4.2 外部連線的使用者鑑別
這項控制措施是要求當使用者需要從外部網路連回使用相關服務時，需要採用適當的鑑別方法，確認使用者的身分以便進行存取控管。在實務方面，最常見的作法是採用VPN方式，以使用者帳號、密碼進行身分驗證之後，建立安全加密的通道，才允許其使用網路服務。

組織若允許使用者透過外部連線來存取內部的服務，也等於是對外開啟了一條通道，為了降低來自外部入侵的風險，同時強化網路連線的安全性，有些組織會配合使用Token、憑證或一次性密碼(OTP)，來進行身分識別，同時採取加密方式，確保連線過程不會受到外部的干擾和竊聽。

A.11.4.3 網路設備鑑別
組織若想要限制來自特定地點或設備的網路連線，最好的方式是採取自動設備的識別方法，以鑑別連線的設備是合法且經過授權的裝置。實務上最容易採取的方式，是識別網路設備的MAC address和網路IP，尤其是目前普遍使用的無線網路，相關行動設備皆建議採取此種方式來進行識別，若再配合使用者的身分鑑別，則可以大幅提高其安全性，避免受到惡意人士採用偽冒身分的攻擊。

A.11.4.4 遠端診斷與組態埠保護
現今組織的資訊設備或系統，大都需要支援廠商定期的協助與維護，因此許多網路設備和電腦主機，也都設定組態埠並提供遠端診斷服務，如果其開放的組態埠沒有實施任何安全防護，就容易受到外來的入侵和未授權的存取，所以這項控制措施就是要求針對提供遠端診斷和組態埠，實施適當的安全防護，在實體上面，可以採取上鎖和移除的方式來進行，若是邏輯上的話，則是透過作業程序，要求需要事先申請並確認身分之後，才可開放使用，在診斷完成之後，也可適時關閉相關的組態埠和服務。

A.11.4.5 網路區隔
在組織之中，隨著規模的擴大以及資訊服務的增加，網路環境也顯得愈來愈複雜，若沒有實施良好的管理，資訊的傳遞、儲存、使用可能會危及本身的機密性、完整性和可用性。因此，這項控制措施是要求將資訊服務、使用者群組所使用的網路，進行適當的區隔，以避免敏感性資訊受到不當的存取。

在實務方面，最常見的作法是採取虛擬網段(VLAN)的方式進行，透過網路交換器、路由器、防火牆等設備，依照不同網域的安全要求來加以分割，以確保網路流量的區隔和安全邊界的劃分。要注意的是，區隔應依照資訊的價值、機密等級和群組重要性來進行，以避免某一區域網路中斷時，對營運造成不必要的衝擊。

A.11.4.6 網路連線控制
對許多組織而言，若使用者無法上網的話，可能當天的業務營運就會受到影響；但有另一種觀點認為，若開放使用者任意上網的話，也會造成工作力的大幅降低。因此若撇開資安的問題不談，組織對於網路連線這件事，本來就該給予關注和管理，在本項控制措施中，提到針對跨越組織邊界和共享的網路，需要依照所制定的存取控制政策和營運要求，適當地限制使用者上網的能力。

在實務方面，可以採取閘道端(Gateway)的網路設備，來過濾使用者的網路流量，藉此來限制其可使用的網路服務，例如即時通訊、檔案傳輸(FTP)、遠端登入(Telnet)，以及近年來流行的P2P檔案分享等，以避免不必要的資安問題發生。

A.11.4.7 網路路由控制
網際網路的優勢在於其無遠弗屆的資訊傳遞，以及快速方便的連線傳輸，對一般使用者而言，在遠端的這朵雲中，資訊的傳輸路徑是開放且難以選擇的，也會有許多安全風險隱身其中。但對企業來說，為了確保資訊傳輸的安全，需要採取一些技術來進行強化，這項控制措施即是要求針對網路連線，需要實施適當的路徑選擇控制。在實務方面，可以透過NAT機制來限制電腦的連線與資訊流，也可採用代理伺服器(Proxy)來確認連線來源與目的的位址，藉此避免違反組織既定的安全存取政策。

作業系統的存取控制

針對作業系統安全控管方面，在A.11.5「作業系統存取控制」的控制項目中，目標是要防止作業系統受到未經授權的存取，在這個項目中共有六項控制措施，分別說明如下：

A.11.5.1 安全的登入程序
針對作業系統的使用，需要避免不必要的非法存取機會，因此這項控制措施是要求在登入的過程之中，只揭露和系統有關的最少資訊。實務方面，在登入畫面中，僅提示必要的登入訊息，不提供額外的像是預設帳號或密碼的提示。若登入錯誤，也不明確指出是哪一部分的資料錯誤，同時限制系統登入錯誤的次數，若超過的話，將予以延遲或鎖定登入帳號，並保留各項登入的記錄。

A.11.5.2 使用者識別與鑑別
在A.11.2.1中要求使用者需要正式註冊，並賦予其唯一的帳號識別碼(ID)，本項控制措施即是要求使用者只能使用其個人帳號，並採取鑑別技術以識別其符合所宣稱的身分，實務方面，也可透過使用者的識別碼來記錄或追蹤其相關的使用行為。

A.11.5.3 密碼管理系統
使用者若選擇了不夠強固的密碼，就容易受到外來的破解和冒用，這項控制措施是要求需透過系統來管理密碼，以符合嚴謹度的要求。舉例來說，在系統上可要求使用者必須使用一定長度(6碼)以上、英文大小寫與數字混合的密碼；在首次登入時，要求需要更改其臨時性或預設的密碼；在密碼使用一定時間(三個月)之後，要求使用者重新設定其密碼等。

A.11.5.4 系統公用程式的使用
作業系統除了可安裝應用軟體之外，本身也提供了許多公用程式如系統管理工具等，由於這些工具往往可更改系統的組態，產生資訊安全上的風險，所以這項控制措施要求嚴格限制能夠跨越系統和既有應用等公用程式的使用。實務上最好的作法是在一般使用者的電腦上移除這些工具，系統管理人員也需要經過授權才可使用公用程式，並且保留變更記錄。

A.11.5.5 會談期逾時
為了避免資訊系統受到不必要的冒用，以及來自網路阻斷服務的攻擊，這項控制措施要求在超過閒置的時間之後，關閉不動作的會談期(session)，建議的作法為在系統閒置一段時間之後，即自動清除螢幕內容，或是自動關閉應用程式或網路連線，尤其是來自外部的連線與服務要求。

A.11.5.6 連線時間的限制
對於高風險或是敏感性的系統，這項控制措施要求需要限制其可供連線的時間，以加強其安全性，例如有些組織會限制重要系統僅在上班時間開放服務。

應用系統存取與行動控管

在A.11.6「應用系統與資訊存取控制」的控制項目中，目標是要防止存在於應用系統中的資訊受到不當存取。在這個項目中共有二項控制措施，A.11.6.1「資訊存取限制」是要求需要依照所制定的存取控制政策，只有符合擁有存取權限的人員才可存取系統。A.11.6.2「敏感性系統隔離」則是要求敏感性的系統要有專屬的作業環境，以避免其他未經授權的人員可以操作使用。

在A.11.7「行動運算與遠距工作」的控制項目中，目標是要確保在組織以外，相對保護較弱的工作環境，其資安風險能夠受到適當的控管。在這個項目中共有二項控制措施，A.11.7.1「行動運算與通訊」是要求針對行動運算的設施要採取適當的安全控管，例如筆記型電腦等行動裝置採取加密機制，並避免留置在無人看管的地點。A.11.7.2「遠距工作」則是要求針對遠距工作，需要制訂相關政策、工作計劃和程序，例如需要考量遠地工作的實體安全、所使用網路的安全要求、是否安裝防毒軟體和防火牆等。

存取控制可降低資安風險

之前提到在規劃資訊安全管理的策略時，建議可依照「PPT」的思考架構來進行，對於網路、作業系統、應用系統的存取控制要求方面，同樣也是要涵蓋人員(People)、流程(Process)、技術(Technology)。對許多資訊人員而言，網路管理、作業系統及應用系統的維護，已是日常不可或缺的工作之一，而「存取控制」更是各項系統所必要的安全控制措施，希望透過連續二篇文章的說明，可協助您制訂組織的良好存取控制政策，並了解適當可行的存取控制方法。(本文刊載於2011年7月號網管人雜誌)

[參考資料]

ISO/IEC 27001:2005
ISO/IEC 27002:2005

舊留言存檔

以下留言轉存自原 Blogger 網站，僅供存檔，無法回覆。

Blogger（2011-11-09）

hi, 拜讀您一系列ISO 27001的法規介紹, 深入淺出的文字說明著實讓小弟獲益不少, 果然理論尚須佐以實務經驗, 不知道針對附錄A.10.3-A.10.8的控制要項, 您是否有意願補完呢? thx

傑克小花（2011-11-09）

Hello~您好~ 呵~感謝您的回覆，我還以為沒有人在看，所以不會被發現少了一篇，如果這些文章對您有幫助的話，我很樂意分享給您~

Blogger（2011-11-10）

您謙虛了！對自行準備證照的我們來說，文章中的 "目標要求" 與 "實務作法" 甚為重要，前者釐清相似性條文實則不同的ISMS要求內容，後者極具參考價值。如果可能，在您時間允許下，是否考慮將附錄A.12-A.15撰文分享呢，謝謝^^

Blogger（2011-11-10）

抱歉，想請教您，既然ISO 27001中的附錄A中的管制目標與控管項目被視為條文4.2.1(g)的一部分，實務上在執行主導稽核時，何種情況需具體寫出附錄A？可用4.2.1(g)一言以蔽之嗎？又是否針對稽核表的缺失等級或建議事項有所不同呢？謝謝您的答覆。

傑克小花（2011-11-10）

Hello~關於您提到的問題，回覆如下：

後續的內容我會陸續分享，您也可以直接參閱網管人雜誌的內容，這個月剛好就把A.15給講完了。

在稽核時，本文4~8章和附錄A的133項控制措施都是必要的審查項目，不過，附錄A的某些項目是可以排除的，但必須將原因寫在適用性聲明中。舉個例子，像A.10.9.2是線上交易的控制要求，如果貴公司並沒有提供線上交易服務的話，那麼就可以在適用性聲明中以未提供線上交易服務，作為不實施這項控制措施的理由囉~

[觀點] 解析資訊安全控制措施(七) - 存取控制的資安要求(上)

Fri, 09 Sep 2011 06:55:00 +0000

上一期談到了ISO 27001中有關通訊與作業管理的各項控制措施，接下來將說明附錄A.11存取控制的資安要求，包括了使用者的存取管理與應有的安全責任、網路與作業系統的存取控制，以及應用系統的存取控制等。

在協助組織規劃有關資訊安全管理的策略時，經常會提到一個俗稱為「PPT」的思考架構，它是指人員(People)、流程(Process)、技術(Technology)，也就是說在資安管理的要求方面，基本上會涵蓋此三個層面：包括需要依照組織營運目標與資訊安全政策，透過教育訓練來讓所有員工了解並落實其應有的安全責任；依照各單位業務屬性不同，訂立各項安全的作業流程，並留下相關的作業記錄；以及透過各項資安技術的協助，來偵測防禦可能來自內部與外部的各項威脅。

因此，針對資訊的存取控制方面，它也是一個很好的參考指標，像是在人員方面的存取控制要求，我們的思考重點在於如何確保資訊只能讓已經過授權的人員才可存取，如何讓人員了解並落實存取資訊時應盡的使用者責任；在流程方面，則是要確保所有的資訊存取，是否都是基於營運所需的安全要求，是否以文件化方式建立了各項和資訊存取有關的政策；至於在技術方面，針對網路、作業系統與應用系統，是否劃分了安全邊界，是否進行良好的使用者身分識別，並且賦予適當的連線控制，以上這些都是組織資安管理的重點。

存取控制要求的安全層面

關於存取控制的資安要求，包括了使用者存取管理與應負的安全責任、網路與作業系統的存取控制，以及應用系統的存取控制等，在ISO 27001附錄A.11「存取控制」中，一共有七個控制項目來說明其涵蓋的資安控制措施。

A.11.1「存取控制的營運要求」的目標，是要確保各項資訊的存取都能受到適當的控制，以避免濫用或外洩的事件發生。在A.11.1的條款中僅有一項名為「A.11.1.1 存取控制政策」，這項控制措施的目的是要依照營運相關的存取安全要求，建立文件化的存取控制政策，並且在這項政策中明確說明每位使用者和使用群組，應該要如何去配置其應有的存取權限，而這些存取權限的考量，則可能來自於本身的職位或所接觸資訊的安全等級，以及對組織整體的營運風險考量。

在組織之中的存取控制措施，將會牽涉其存取授權的流程，包括如何提出授權的請求、如何審查並賦予權限，以及不需使用時的權限如何移除等。在實務方面，我們在建立存取控制規則時，必須掌握一個原則，那就是「除非允許，否則一律禁止」，這項原則可應用在實體的敏感區域門禁管制，或是邏輯上的防火牆存取規則，將可大幅降低不當的存取設定可能帶來的資安風險。

使用者的安全責任與要求

在A.11.2「使用者存取管理」的控制項目中，目標是要防止未經授權而存取的情況發生，也就是要確保只有經過授權的人員才可以存取資訊。在這個項目中共有四項控制措施，分別說明如下：

A.11.2.1 使用者註冊
這項控制措施是要求所有的使用者在獲得存取資訊的權限之前，必須經過正式的使用者註冊程序，換句話說，若不再需要存取資訊時，也需要經過適當的註銷程序，撤銷其所具有的存取權限。在實務方面，最常見的作法是讓使用者透過表單流程來進行申請，通過審查核可之後，就會賦予其一個唯一的識別帳號(user ID)，藉此來管控並留下其存取資訊的記錄。在審核時要注意的是，所賦予的權限是否符合其職務角色，以避免違反職務區隔的要求，另外，若使用者的職務有所變動，則原先擁有的存取權限應予以凍結或移除，以避免權限過大的情況發生。

A.11.2.2 特權管理
許多組織都依賴資訊系統來維持日常的運作，在這些系統之中會有一些人配置了和一般使用者不同的特殊權限，像是系統開發人員和系統管理人員等，以因應系統的開發與維護。但是，這些特殊權限往往可以不受原本系統的限制與控管，所以在配置時更要小心注意，本項控制措施即是要求組織要限制和控管特權的配置與使用，實務上最簡單的作法就是特權的申請需要經過管理階層授權，並且留下相關記錄，另外，特權的使用也要明訂相關的作業辦法，使用的過程也要保存其系統記錄(log)。

A.11.2.3 使用者密碼管理
在A.11.2.1中提到使用者需要經過正式的註冊程序，才可獲得其專屬可識別的帳號，而搭配帳號所使用的密碼，也會是另一項管理的重點。本項控制措施要求使用者密碼的配置，需要有正式的管理流程來進行控制，也就是說在配置的過程中會有一些安全上的要求，例如有些組織可能會在聘僱時要求員工簽署保密協議，內容包括要求員工不得任意洩露個人的密碼。而在密碼配發過程中，組織應避免採用不安全的方式提供密碼(例如電話告知)，一開始所提供給員工使用的臨時密碼，也要強制其在第一次登入系統時就要馬上進行更改。

A.11.2.4 使用者存取權限的審查
使用者在獲得存取權限的配發之後，將不會是永久不變的，而會隨著其調職、升遷、離職等情況，其權限就需要進行適當的調整。本項控制措施要求管理階層需要定期地針對使用者的存取權限進行正式的審查，因此實務上建議在存取控制政策中即納入組織將定期(例如三個月或半年一次)在使用者的職務變更之後，實施權限審查與重新配置，以維持對於資訊和系統服務存取的有效控制。

一開始提到資訊與系統的存取控管，除了需要考量「流程」、「技術」之外，「人員」也是不可或缺的要素，尤其是目前許多資安事件的發生，多數原因是來自內部人員的控管不當，所以使用者方面的配合落實，將會是強化資訊安全的重要關鍵。在A.11.3「使用者責任」的控制項目中，目標是要防止未經授權的使用者，存取其不允許使用的資訊和資訊設施，以避免其受到損害。在這個項目中共有三項控制措施，分別說明如下：

A.11.3.1 密碼的使用
使用者一旦獲得其系統使用的帳號密碼，在使用方面就需要按照組織要求的安全規定，像是避免使用不安全的懶人密碼，而選用一定長度以上，大小寫數字混合的嚴謹密碼，以及密碼定期的加以變更等。此外，最重要的是使用者必須盡到保管密碼的責任，也就是維持密碼的機密性，要避免將它寫下並放置在桌面上，或是與其他人共用。因此，本項控制措施的重點就是要求使用者需依照安全的方式來選擇並使用其密碼。

A.11.3.2 無人看管的使用者設備
使用者在組織中所使用的資訊設備(例如所配發的個人電腦)，由於自己是資產的保管人，所以大都熟知其資產的保管責任，比較缺乏的是資產所含的資訊安全責任觀念，如果有些設備是屬於無人看管，那麼在安全上面就更容易為人所忽略。本項控制措施要求對於所使用的無人看管設備，也要實施適當的保護，例如一些公共使用的工作站電腦，在一定閒置時間或結束使用時會強制終止其現有連線(session)，或是設定有密碼保護的螢幕保護程式；在其設定的可用時間以外，則使用鑰匙鎖或放置在上鎖的地點，以避免其受到未經授權的使用。

A.11.3.3 桌面淨空與螢幕淨空政策
在辦公區域的使用者桌面上，最常見的資訊就是紙本的文件，以及儲存大量資料的可移除式媒體，如USB隨身碟和行動硬碟等。針對其所包含的敏感資訊，本項控制措施要求採取桌面淨空和螢幕淨空等安全政策，以降低資訊外洩的風險，因此，需要使用者的配合實施來強化其安全管控。舉例來說，像是在相關的作業辦法上明訂，使用者在離開座位時，需要將敏感資訊或儲存媒體收藏在上鎖的抽屜或櫃子等安全地點；暫時不使用個人電腦時，應登出系統或設置螢幕保護程式；若使用印表機列印敏感資訊時，應立即自印表機上方取走等，以上這些都是實務可行的作法。

人員、流程、技術缺一不可

存取控制一向是持續受到重視與討論的資安議題，但依據個人的觀察發現，許多組織在資訊存取控制的實施方面，著重的仍然是資安設備的部署，例如為了防止資料外洩，所以會添購DLP或端點安全等資安產品，利用其對於使用者週邊資料輸出設備的控制，像是禁止使用USB裝置和光碟機等設備，或是監看電子郵件和即時通訊的內容，來達到其所謂控制的目的。

事實上，這些技術方案沒有什麼不好，尤其是在目前資安人力的短缺之下，透過集中化管理技術的協助，可大幅降低資訊管理人員的負擔。只是，為了讓成本與效益最大化，我們可以換個角度來想，如果組織沒有配合明訂相關的資訊存取政策與作業辦法，以及配合使用者的教育訓練宣導等，若只是藉由單點的技術管控，往往很難發揮其應有的效果，更無法發揮技術管控背後的真正意義，因此「PPT」真的缺一不可，提供給各位管理人員作為參考。(本文刊載於2011年6月號網管人雜誌)

ISO/IEC 27001:2005
ISO/IEC 27002:2005

[觀點] 解析資訊安全控制措施(六) - 通訊與作業的安全管理(下)

Thu, 04 Aug 2011 03:21:00 +0000

上一期我們針對ISO 27001中有關系統規劃管理與網路服務的安全監控，談到了如何降低系統可能出錯的風險，以及網路服務與資訊媒體的控管要求，本期將說明電子商務的安全和系統監控的重要性。

隨著網路應用的蓬勃發展，電子商務已經是一種普遍的業務營運型態，尤其是線上購物更是百家爭鳴的市場，根據資策會的調查顯示，台灣在電子商務的B2C市場規模，在2009年即突破新台幣2000億元，預估至2015年台灣電子商務整體的市場規模將超過1兆元。

由於市場前景如此的樂觀，也讓主管機關相當地憂心，因為隨著資安問題所導致的個人資料外洩，使得網路詐騙的事件更加風行，所以經濟部也主動進行電子商務交易安全的相關計劃，希望藉由導入網路平台的安全機制、身分驗證、資料加密、安全付款和個資保護等控制措施，來強化電子商務活動的整體安全機制。

在ISO 27001附錄A.10「通訊與作業管理」的要求中，A.10.9「電子商務服務」的目標，就是要確保電子商務服務的安全性和使用方面的安全。A.10.10「監控」則是希望針對未經授權的資訊處理活動，能夠實施有效的偵測機制，以降低可能的資訊安全風險。

電子商務服務的安全與要求

許多導入ISO 27001資安管理標準的組織，因為本身並未提供網路交易(例如醫院和政府單位)，所以會將電子商務和線上交易的控制措施排除，但要提醒的是，雖然沒有交易的行為，但組織往往會在網路上提供與使用者互動或資料查詢的功能，因此也別忘了需要加強身分驗證與傳輸資料防護的機制。至於組織若是提供了電子商務服務，就必須要確保其交易過程的安全，並且實施適當的安全機制。在A.10.9條款中包括了三項控制措施，依序說明如下：

A.10.9.1 電子商務
這項控制措施的目的是要保護所有透過公眾網路，進行電子商務活動的相關資訊，都能受到適切的保護，以避免造成資料外洩、詐欺、交易契約爭議等事件的發生，在實務方面需要考量的重點有：

身分驗證機制 – 電子商務在進行交易時要如何適當鑑別使用者的身分與網站的真實性？在使用者方面，目前最常見的作法為採取會員機制，透過認證信或手機簡訊等方式來確認有效的申請，之後再憑會員帳號密碼來登入網站進行交易，有些網站甚至還提供Token，要求使用一次性密碼，以確保密碼不會受到盜用。至於網站本身則是可採取憑證方式，讓使用者能夠辨識其為合法的網站，或是導入網站身分識別標章讓消費者得以識別。

交易資料安全 – 組織必須確保在交易過程中，所產生的所有資料的機密性和完整性，包括訂單資訊、付款資訊、寄送地址等，對於客戶資料的存取方面也要有完整的授權流程，以避免資料受到不當的存取與利用。

付款資訊查證 – 若消費者可採取線上付款，組織應有適當的機制來進行確認，以避免詐欺行為的發生。目前在金流方面可結合第三方像是銀行或信用卡公司的支援，選擇最適合的方式來進行付款結算，並避免付款資訊的遺失和重複。

A.10.9.2 線上交易
這項控制措施是要確保交易雙方的通訊管道是安全的，防止因為不當的傳輸路徑、資訊受到未經授權的竄改、資訊受到不當的揭露和複製等情況發生。所以在線上交易方面，在連線過程中可採用SSL加密機制或其他的加密通訊管道，使用安全的通訊協定，以避免交易資訊會受到來自其他公眾網路的存取。

A.10.9.3 公眾可用的資訊
許多組織都擁有對外公開並且可傳遞訊息的網站，這些公用資訊(例如公司財務報告)雖然沒有機密性的問題，但是卻有完整性需要維持，以避免受到未經授權的修改，而影響組織營運和市場機制的運作。因此，組織提供給公眾可用的公開資訊，需要有適當的授權流程，資訊本身也要有適當防護以避免受到不當的竄改，同時也要符合當地法令法規的要求，像是和個人有關的敏感資訊，就不適合在公開的網站上公布。

資訊系統的監控與記錄

在A.10.10「監控」的控制項目中，目標是要確保組織中若是有未經授權的資訊處理行為，可以被有效的識別並記錄下來，尤其是可能造成資訊系統問題的資安事故，透過監控的過程，能夠掌握其所造成的衝擊和影響，以便快速進行因應。在這個項目中共有六項控制措施，分別說明如下：

A.10.10.1 稽核存錄
在組織之中，無論是資訊系統、資安設備、資料庫或應用程式等，每天都可能會產生大量的系統日誌(log)，這項控制措施的目的就是要保留使用者的活動記錄、異常事件的告警等，以便可以用來找出事件可能的發生原因，甚至還原事件發生的過程。所以相關的日誌記錄必須要保存適當的一段時間，至於應該保留的事項，建議包括：

事件發生的日期、時間。
所使用的帳號和使用行為如登入和登出等。
系統存取成功或失敗的記錄。
系統組態的變更項目和範圍。
系統工具程式的使用情況。
所存取的檔案類型和方式。
網路IP和使用的通訊協定。
系統異常事件的告警等。

A.10.10.2 監控系統的使用
組織若想要掌控資訊系統的運作，就必須要建立有效的監控程序，所以這項控制措施的目的就是要讓組織決定各項系統所要求的監控等級、明白需要監控哪些行為、是否定期進行系統日誌的審查等。監控的過程中，應確保相關活動符合法律的要求，同時注意不會侵犯到個人的隱私，建議實施監控的項目包括了系統的存取行為、系統管理維護的特權作業，以及系統所發出的告警等。

監控的實施也應考量到可用的資源，以避免影響系統的正常存取，並且是依照組織風險評鑑的結果，才來決定所實施監控的等級。實務方面最容易發生的是監控都落在和系統效能有關的項目，卻忽略了可能面臨的威脅，例如系統管理者的不當存取或錯誤操作，反而是受到遺漏的地方。

A.10.10.3 日誌資訊的保護
組織所保存的日誌資訊，未來可作為非法行為的調查，以及還原事件的全貌之用，因此，為了要確保相關記錄的完整性，就必須要防止它不會受到未經授權的存取和竄改。實務的上作法是可以將日誌傳送到另一台受到不同權限等級控管的儲存設備，並且進行加密或產生Hash碼，可在日後進行資訊完整性的比對，或是燒錄成光碟，存放在受到安全控管之處。

由於日誌可能會因為組織資訊系統過於龐大和複雜，導致有大量的資訊需要保存，同時在調閱審查方面也會產生困難，所以也可以選擇適當的工具或設備，來協助進行log的儲存、歸檔和關聯性比對。此外，傳輸和儲存日誌的設備也需要受到良好的防護，以避免儲存媒體受到竊取或損壞，同時日誌傳輸也應採取加密的管道進行。

A.10.10.4 管理者與操作者日誌
在日誌管理方面，許多組織會很積極地去記錄使用者的日常使用行為，深怕使用者的不當行為將會損害到資訊系統的運作，卻忘了往往擁有更大權限的管理人員，其不當的操作可能造成更大的危害。本項控制措施的目的，就是要確保包括管理者與操作者的活動，都需要留下適當的記錄，尤其是涉及資訊系統的組態變更、重要資訊的刪除與修改、網路安全設備的操作設定等。

A.10.10.5 失誤存錄
在10.10.2中提到由系統主動發出的告警，必須要有適當的記錄，目的就是希望所發現的異常情況，都需要採取對應的處理措施。所以只要是和系統通報有關的錯誤，都需要進行審查，以預防可能的重大問題發生，換句話說，若資訊設備含有錯誤告警的功能，若評估其不會影響系統的運作，就需要將它啟動才行。

A.10.10.6 鐘訊同步
為了確保日誌記錄的有效性，正確的時間設定是非常重要的一環，唯有各項系統的時間維持一致，才能去作分析與追蹤。所以這項控制措施要求，在組織中所有和資訊處理活動有關的資訊系統時間，都應該要維持一致，實務上可採行的最簡單方法，就是使用NTP的通訊協定和國際標準時間或當地的標準時間伺服器進行同步對時，確保有共同的準確時間來源。

總結

A.10「通訊與作業管理」是ISO 27001標準中擁有最多控制措施的項目，也就表示在資訊安全管理工作中，這是我們絕對無法忽視的地方，其重點包括了組織是否制訂了相關的作業流程與操作程序、第三方服務的管理、如何進行系統的規劃驗收、防範可能的惡意威脅、網路設施保護與服務安全、資訊的備份與交換，以及本文所提到的電子商務、系統監控和記錄留存，這些都是需要我們一一去檢視與管控的地方，希望連續三篇文章的簡要說明，可協助您了解組織有關通訊與作業的安全管理。(本文刊載於2011年5月號網管人雜誌)

<參考資料>

ISO/IEC 27001:2005
ISO/IEC 27002:2005

[觀點] 解析資訊安全控制措施(四) - 通訊與作業的安全管理(上)

Wed, 20 Jul 2011 01:18:00 +0000

上一次針對ISO 27001中有關實體安全的控制措施，說明了敏感的安全區域和資訊設備應實施適當的安全控管，以避免因為受到惡意人士的登堂入室，而造成資訊安全的危害，本文將繼續說明有關網路通訊與資訊系統營運的安全作業管理。

對現代的企業而言，資訊系統與網路連線已不只是企業的維運基礎架構之一，更有可能是業務營運的關鍵命脈，因此其重要性已不言而喻。不過，有許多的企業在網路通訊管理方面，主要著重的仍是在所謂的效能表現與流量管理，而忽略了來自網路惡意攻擊、相關人員在作業上的疏失，可能造成的資訊安全危害。

針對網路安全威脅，M86 Security Lab在2011年的威脅預測報告中指出，來自網路的惡意軟體，將會是主要的安全威脅，其中包括利用網頁的漏洞破壞網站、將惡意連結隱藏在垃圾郵件中、鎖定智慧型手機和行動裝置的攻擊、透過社交網路的陷阱，以及殭屍網路的盛行等，都是所有企業和組織應當要重視的資訊安全議題。

所以，回歸到基本面來看，如果想要有效地防禦以上種種威脅的入侵，最好的方式還是作好網路通訊與日常資訊作業的管理，才可將資安風險降至最低。

監控資訊處理的相關活動

在ISO 27001附錄A.10中，提到的是「通訊與作業管理」，其中有10項主要的控制項目與目標，這是在ISO 27001中擁有最多控制項目的類別，因此也突顯出通訊服務與資訊作業在資安的重要性，需要我們進行適當的安全管理。

首先來看A.10.1「作業程序與責任」的控制項目，它一共有四項控制措施，目標是要確保所有的資訊處理設施和人員的作業，都有相對應的作業程序，同時也要對工作進行適當的職務劃分，以降低因為人員的疏失或任意的操作，而造成資訊系統出錯的風險，依序分別說明如下：

A.10.1.1 文件化作業程序
ISO 27001要求與資訊系統活動和作業有關的程序，都需要將它文件化，這些文件包括了通訊設施的使用、電腦開機和關機程序、備份方式、資訊設備維護、資訊儲存媒體的使用和機房作業管理等。這一個控制措施的重點是要讓作業程序文件，能夠讓相關人員在需要的時候即可馬上取得，並遵照其要求的作業程序來進行。除了以上提到的作業活動之外，許多特定的資訊工作也會有作業程序的要求，例如資訊的存取方式、系統的作業排程、遇到困難作業時的人力支援、系統稽核記錄(log)的保存與管理等。在資訊安全管理制度中，這些文件都要視為組織中正式的文件，並依照內部所制訂的文件管理程序來控管，換句話說，若需要作內容的修訂與變更，則必須要取得管理階層的授權之後才可進行。

A.10.1.2 變更管理
隨著組織中愈來愈多資訊系統的建置與彼此相互連結，若對於系統的組態進行更動，往往會牽一髮而動全身，因此本項控制措施的目的就是要確保和資訊處理設施與系統有關的變更事項，都能夠受到妥善的管理控制。在實務方面，除了所有的變更事項務必要取得主管的授權之外，特別要注意的是務必保存相關的變更記錄，包括作業核准的程序、重大變更事項的識別和記錄、變更規劃與測試計劃，以及在變更不成功時，如何中止並進行復原的程序等。以作業系統的版本更新為例，如果這項變更是針對核心的應用系統，則有可能會影響到關鍵業務的營運，進而產生更高的資安風險，所以在事前就要有更多的測試與評估，以確保更新過程的順暢，也不會因為更新之後，反而產生更多的系統漏洞或造成系統不穩定。

A.10.1.3 職務區隔
俗話說的好，「管錢的不管帳、管帳的不管錢」，有些工作職務其實不適合由同一個人來進行，像是會計和出納，需要確保不會有一個人可以一手遮天，能夠侵佔款項後同時竄改記錄，導致神不知鬼不覺。在資訊作業方面也是同樣的道理，例如程式開發人員和上線人員、應用程式管理員和資料庫管理員，都不宜讓同一個人來擔任，以避免可能的營私舞弊情況發生。所以這項控制措施的目的是，針對工作職務和責任應予以清楚區隔，降低資訊受到未經授權的修改，以及資訊資產受到誤用或濫用的情況發生。雖然在實務方面，由於許多公司的規模不大，資訊人員的數量也不多，很難作到完全的職務劃分，這時候則可以選擇其他的配套方法，像是進行作業活動上的監視記錄，或是經常實施獨立的安全稽核，實施人員的教育訓練等，盡可能的來降低資安風險。

A.10.1.4 開發、測試與運作環境的區隔
組織除了使用套裝軟體或作業系統之外，也會有許多內部自行開發的應用程式，建議一開始從規劃、測試到正式上線，都要考量到可能的資安風險，並納入一些管控機制。所以這項控制措施是要求應分隔在開發、測試和運作所使用的資訊設施，以避免因設備的誤用或資訊的不當修改，而產生不必要的風險。在實務上，針對應用程式的開發，勢必要備妥開發流程、測試和上線運作的程序文件，同時，所使用的資訊軟硬體設備，也要加以適當的區隔，不在同一個環境上進行，也不將資訊存放在相同的儲存媒體中。基本上，正在開發中的應用程式通常是較不穩定的，若在正式的上線環境中作測試，甚至使用正式的營運資料，很可能會因系統的故障或錯誤，而影響到日常營運的進行，因此務必要避免這種情況的發生。

注意第三方委外服務的管理

目前，許多組織的資訊設備或資訊服務，需要仰賴外部廠商的協助與提供，因此如何去控制可能的資安風險，也是需要去注重的議題，ISO 27001附錄A.10.2即是有關第三方服務交付的管理，它的控制目標，是要能夠落實與維持事前與廠商所簽訂的服務協議，確保各項服務在交付時，其中的資訊安全要求能夠符合，以降低可能的風險。A.10.2一共有三項控制措施，分別說明如下：

A.10.2.1 服務交付
若需要使用第三方的服務時，該如何確保廠商能夠滿足內部的資安管理要求？最好的方式是在商談服務相關契約時，要求第三方簽署服務交付協議(SLA)，並按照其中的內容來履行。所以，這項控制措施要求在服務交付協議中，必須定義服務層級和交付方式，並確保相關的安全控制措施可由第三方來執行維持。舉例來說，若組織與某廠商簽訂了防毒服務，由第三方提供防毒軟體的安裝、更新、維護，以及中毒時的問題處理排除，在協議中就必須清楚定義安裝、更新和維護的方式為何？如何進行？在中毒時如何通知廠商？廠商所提供的支援方式？預計到場處理的時間？還有無法及時到場協助時的配套作法等，建議最好都明列清楚並獲得廠商的簽署同意。

A.10.2.2 第三方服務的監視與審查
若組織已經與第三方簽訂了服務交付協議，那要如何確保廠商將會按照其中的內容來確實執行呢？所以本項控制措施要求組織需要定期的監視和審查相關的作業記錄和交付報告，確保由第三方所提供的服務內容與所簽訂的協議一致。因此，組織可要求服務提供者指派一位負責人或聯絡窗口，針對所提供的服務產出書面報告，並且參與定期召開的工作會議，以確認所執行的服務項目和進度。另外，在服務提供過程中，若發生了安全事件或運作上的問題，也應追蹤確認問題的解決過程和所留存的記錄。在此特別要提醒的是，組織千萬不要以為若選擇採用了第三方服務，則所有的安全責任也都移轉到了廠商身上，忽略了本身要有的監督與管理責任。

A.10.2.3 第三方服務的變更管理
委由第三方所提供的服務，隨著組織的變動與成長，不太可能是一成不變的，所以在一段時間之後也會有變動的情況發生，本項控制措施即是要求當服務變更的時候，應該要重新考量其對於業務營運和組織本身，是否會產生新的風險。另外當組織的安全政策和實施新的資安控制措施時，是否能夠確保第三方也能夠即時的來因應和遵循。因此在實務上，若廠商針對所提供的服務內容，要求進行變更，像是採用了新的技術、新的工具、服務據點和服務時間的變動等，組織就需要重新評估這些變動是否會產生影響，並採取相對應的作法，可能的方式包括：需不需要更新作業程序？是否需要重新議定服務內容？是否要更新組織的安全政策等，這些都是在風險管理方面必須考量的重點。

資訊傳遞需要重視與風險評估

資訊系統的作業和資訊的傳遞交換，已是組織日常營運不可或缺的一環，因此無論是在作業程序、人員職責、系統開發測試或採用第三方服務等，其可能潛藏的資訊安全風險，都需要我們加以重視和評估，下一期將會繼續說明A.10的其他控制項目。(本文刊載於2011年3月號網管人雜誌)

<參考資料>

ISO/IEC 27001:2005
ISO/IEC 27002:2005

[觀點] 解析資訊安全控制措施(三) - 實體與環境安全

Fri, 03 Jun 2011 04:44:00 +0000

之前我們談到了在ISO 27001標準中11個控制領域，關於資產管理和人力資源安全的要求，本文將說明實體與環境安全的控制措施，以協助您掌握其重點並進行適當的控管，以降低組織所面臨的資訊安全風險。

資安業界有一句老話，「安全強度決定於最脆弱的一環」，許多組織對於資訊安全，往往重視的是網路和應用系統的安全和穩定，卻很容易忽略了實體環境的安全控制，而讓惡意人士長驅直入，藉由偷竊取得重要的機密資訊，或破壞資訊設備，使得組織花下重金的網路與系統安全防護百密一疏，造成營運上的衝擊與損失。

回顧以往發生的事件，在2008年時，宜蘭市在同一棟辦公大樓裡的三家保險公司，受到竊賊的侵入，除了造成一般財物損失之外，一共被偷走了二十幾台電腦，裡面存放著估計有上萬筆的保戶個人資料，恐怕已經外洩。2010年在彰化，同樣也是保險公司，一夜之間有四家公司被偷走了9台筆記型電腦，電腦硬碟裡所儲存的保戶個人資料一併不翼而飛，警方更懷疑可能有不法集團鎖定保險公司來下手，目的就是要竊取保險公司的客戶資料。

事實上，不只保險公司，在國內外包括醫院、學校、軍方都曾發生過遺失電腦或隨身碟等設備，造成大量資訊外洩的案例真的是不勝枚舉。對組織而言，隨著個人資料保護法已正式通過，未來在個人資料保護上也務必要更加小心，若是缺少適當的實體安全控管措施而導致個人資料外洩，將會面臨高額的賠償，甚至人員會受到刑責的懲罰。

識別敏感的安全區域

ISO 27001附錄A.9談到的是「實體與環境安全」，又區分為A.9.1安全區域和A.9.2設備安全二大類，在A.9.1中，其目標是要防止針對組織的實體環境和資訊，受到未經授權的存取、傷害與干擾，尤其是關鍵或敏感的資訊處理設備，應該存放在安全區域，識別其可能的安全風險之後，藉由定義安全的邊界、適當的阻隔和進出的控管實施安全的防護，確保不會受到未經授權的存取與損害。

A.9.1安全區域共有六項控制措施，分別說明如下：

A.9.1.1 實體安全邊界 – 實體安全邊界是指藉由圍牆、進出大門需要刷卡、或是大門設置接待人員，來保護區域內資訊與資訊處理設備的安全。因此，控管的重點在於，如何讓人可清楚分辨安全的區域與公共區域？所以在區分時，應依照所評估的風險等級來決定所實施的控制措施，例如內部使用的會議室與提供給訪客的休息區，控管的程度一定會不同，不一定都要採用刷卡方式才能進入。在辦公區域的大門，一般都會設有門鎖，或經過保全人員的身分確認才可通行，而公共進出的通道會有明顯的標示說明，在無人的區域則設置防盜系統或監視器等，這些都是可以採行的作法。

A.9.1.2 實體進入控制 – 指組織的安全區域中，所有的入口都應有適當的控制措施，確保只有經過授權的人員才可允許進入。一般而言，訪客要進入辦公處所，應該在接待櫃台進行登記，記錄進入和離開的日期和時間，並要求配戴訪客識別證，若是在同一棟大樓裡活動，樓層入口也應有適當的管制，像是刷卡才可進入。若是要進入機房，則需要事先獲得授權並有人員陪同，並告知相關的安全要求和注意事項。

A.9.1.3 保護辦公室、房間和設施安全 – 由於辦公處所屬於內部人員的活動區域，因此應符合相關的安全法規與衛生標準，對於重要的資訊處理設備，應避免放在公眾可觸及的地方，像是無線網路基地台等。另外，高階主管辦公室或敏感的資訊機房，也不應該過度標示，避免會引人注意。

A.9.1.4 保護來自外部與環境的威脅 – 這項控制措施的重點在於，利用適當的實體防護，以避免外在的環境威脅，如火災、地震、水災等，所以在辦公處所，要避免堆放易燃的物品，消防系統如滅火器等，應放置在容易取得的地點，並有清楚的標示。

A.9.1.5 在安全區域工作 – 對於組織所劃分出的安全區域，應制訂在安全區域內的工作規則，並對員工提供適當的說明，依職務所需了解其可以進行的相關活動，例如除非經過授權，才可在安全區域使用照相機、錄音錄影設備等，尤其敏感區域可視需要禁止攜入可拍照的手機等。

A.9.1.6 公眾存取、遞送和裝貨區域 – 辦公處所若需要收發或裝卸物品，需設置櫃台收發室來統一收件，不讓外部人員可未經控管而直接進入。相關物品卸載後若需移到使用的地點，也需要經過適當的檢查，例如機房外面可設置廠商設備的檢查區及裝卸區。

確保資訊設備的安全

A.9.2所要求的是設備安全，對組織而言，資產除了本身的購入成本外，最重要的是裡面含的資訊，其價值可能遠超過本身的財務價值，所以設備安全的目標就是要防範資產的遺失、受損、竊盜及危害，以避免造成組織營運活動的中斷，它一共有七項控制措施，說明如下：

A.9.2.1 設備的設置與保護 – 資訊相關設備，應適當地進行安置、保護、監控，以降低環境威脅所造成的損害，或是受到未經授權的存取。像是電子產品需要受到良好的環境溫溼度監控，避免在附近飲食等。在實務方面，操作資訊系統時，應有適當的遮蔽，避免敏感資訊的外洩，像是機房就最好不要採用完全透明的玻璃作為隔間來使用。

A.9.2.2 支援的公用事物 – 資訊設備依靠的就是電力，所以支援的水電、空調等也需要防護。通常我們在機房都會購置不斷電系統，但要注意的是，若面臨長時間的電力中斷，不斷電系統的應確保足以循序地將重要主機進行關機程序，若要確保能夠持續運作，則要考量是否有另外獨立的備援電力供應站，或是使用燃油發電機來運作。除了電力之外，電信與網路系統也要有備援，以確保在中斷期間的通訊能夠正常運作。

A.9.2.3 佈線的安全 – 指傳送資料與電力的纜線應有適當的標示、固定及保護，尤其要避免經過公共區域，設於地下或其他已受到適當防護的管道。另外，電力與網路線也應作適當的阻隔，以避免相互干擾，造成資料傳輸的問題。

A.9.2.4 設備維護 – 相關的資訊處理設備應定期自行維護或尋求廠商維護，尤其像是滅火氣體和不斷電系統的電池等，相關的維護都應確保留下適當的記錄，定期的進行追蹤查核，實施維護的外部人員，應事先經過申請核准，在作業時也應有適當的人員陪同進行。

A.9.2.5 場所外設備安全 – 組織的資訊設備，若需要攜出辦公場所外使用時，應注意其在不同場所可以面臨的威脅與安全風險。例如筆記型電腦在外部使用時，應注意可能遭竊的問題，避免留置在遠離視線可及之處，在技術方面也可使用硬碟加密，以強化敏感資訊的安全。另外，目前普遍使用的智慧型手機、USB隨身碟等，也應訂有相關的使用辦法，並要求員工務必能夠理解並遵守，以避免資料不當的外洩或遺失。

A.9.2.6 設備安全的處置和再利用 – 許多的資訊處理設備，在轉移給其他單位或重新交由其他員工使用時，有版權的應用軟體需要重新整理移除，儲存的資料也要清除。若是需要汰換的設備，對於硬碟等儲存設備，若是曾經存放過敏感資料的話，建議皆採取實體破壞的方式，以避免資料再次被還原。在實務方面，許多硬體設備最容易被忽略的是韌體中，可能也存有敏感的資訊，切記也要一併的進行清除，避免落入惡意人士的手中。

A.9.2.7 資產的調動 – 在資產的使用與調度方面，所有的資訊設備、軟體，相關物品的攜出和攜入都需要事先授權，所以在實務上，組織需要界定什麼時候需要授權，如何進行授權，即使像是設備從機房的A櫃移至B櫃，或從機房暫時搬出，都需要把相關的作業規則訂立清楚，向員工說明相關的作業注意事項，並留下過程的作業記錄。

切莫忽視實體安全的重要性

對企業而言，網路安全當然是非常重要的一環，但它絕對不是資訊安全的全部，許多時候，資訊安全最容易忽略的往往是我們最放心的地方，像是辦公環境和機房等。舉例來說，員工認為辦公處所都是內部人員，所以離開座位時，不會將敏感資料收到抽屜或檔案櫃中，卻忘記了送飲料來的小弟，有可能隨手就把文件或是桌上的隨身碟帶走。

所以，一旦有惡意的人士能夠輕易進行企業環境之中，除了偷竊筆記型電腦之外，要破壞主機、網路、儲存設備等，也是輕而易舉，所造成的損失可能也遠遠超過駭客從網路入侵系統所造成的危害，因此，企業若沒有針對天災和人禍，進行適當的安全防護，在遭遇資安事故時，業務營運將受到重大影響，請管理者務必要有所認知才行。(本文刊載於2011年2月號網管人雜誌)

[觀點] 解析資訊安全控制措施(二) - 資產管理與人力資源安全

Tue, 12 Apr 2011 10:50:00 +0000

上一次我們談到了在ISO 27001標準中，11個控制領域中的安全政策和資訊安全組織，本文將分析說明資產管理與人力資源安全中的要求，協助您選擇並實施適當的資訊安全控制措施，以降低可能的資訊安全風險。

在ISO 27001標準本文中的4.2.1提到，組織需要識別在ISMS範圍內的各項資產以及此項資產的擁有者，這個過程指的就是進行資產的有效管理。資產的識別與管理，是風險管理的第一步，目的是要找出組織中所有和資訊處理活動有關的人、事、物，以評估其可能的資訊安全風險。

在第5章的管理階層責任中，標準要求管理階層需要建立資訊安全的各種角色與責任，並且要確保組織中的所有人員，有能力去執行和資訊安全有關的各項工作，因此人力資源安全，也是資訊安全管理系統中不可或缺的一環。

在ISO 27001標準中，對於資產管理與人力資源要求，呈現在附錄A中的A.7和A.8，一般而言，和資產與人員有關的控制措施，通常很難將它排除，也就是說，這些都是組織在落實資訊安全管理時，必要的執行和控管項目，在執行標準的第三方稽核驗證時，也會是稽核員審查的重點項目之一。

A.7 資產管理

ISO 27001附錄A.7談到的是「資產管理」，又區分為A.7.1和A.7.2二大類，在A.7.1的資產責任中，需要識別所有的資產，並且指定負責的擁有者，其目標是要達成及維持組織資產有適當的保護，A.7.1共有三項控制措施，說明如下：

A.7.1.1 資產清冊 – 「所有的資產都應該被清楚的識別出來，製作成資產的清冊，並且進行維護。」在實作上，我們會針對ISMS範圍中的所有資產進行盤點，但是有哪些資產需要識別呢？最簡單的思考方式是，找出沒有它的話，業務就無法執行，也就是跟核心業務有關的資產。由於資產的數量不少，因此在盤點時，我們會事先設定資產的類別，例如可區分為資訊類(電子檔、紙本)、人員類(內部、外部)、軟體類(套裝、自行開發)、實體類(電腦設備、辦公處所)、服務類(電力、網路)等，仔細清查每一筆資產的型式、位置、數量、擁有者、使用者、保管者和營運價值，最後彙整成一份組織的資產清冊，要謹記的是，這份清冊不是財產的清冊，而且需要定時地加以更新。

A.7.1.2 資產的擁有權 – 「組織中和資訊處理設施有關的所有資訊和資產，都應指定其擁有者。」在資產清冊中，我們需要為每筆資產指定其擁有者，這裡所謂的擁有者，並不是指對於資產本身擁有其財產權，而是指實際上能夠控制資產的處理、發展、使用和安全，也就對資產負有管理職責的個人或部門，在指定時我們要考慮一些特別的清況，例如有些工作是委派他人進行，資產的使用與照顧是受託者，但最終的管理責任仍在委託者，所以資產風險不能光從委託者的情況來評估。另外，像是某些資訊系統集合了資產、軟體、硬體和不同人員，這時我們可以將它視為是一種服務資產，從這個角度來指定服務的擁有者，以及服務的使用者。

A.7.1.3 可被接受使用的資產 - 「和資訊處理設施有關的所有資訊和資產，其可被接受使用的方式規則，都應被識別、文件化和實施。」這項措施強調的是資產的使用，都需要制訂相關的規範，例如內部網路和電子郵件的使用辦法、行動裝置的使用注意事項，以及USB隨身碟的申請與使用作業辦法等。

A.7.2是資產分類，對組織而言，各種不同資訊所具有的敏感程度和重要性都不一樣，尤其是針對一些特殊的資訊，像是產品研發資料、客戶交易資料、個人資料等，可能需要更多額外的保護或處理，所以透過資產的分類，可以指定不同資訊等級所需要保護措施、優先順序，目標就是要確保資訊都已受到適當等級的保護，它有二項控制措施，說明如下：

A.7.2.1 分類指引 – 「資訊應依照其對組織的價值、法律要求、敏感性和重要性進行分類。」資產分類可以讓我們便於管理，針對不同資產類別採用不同的管理方式，在實務方面，建議資訊的分類不宜過多，以避免太過複雜而造成各營運單位實施的困擾，其保護等級可藉由分析資訊所具有的機密性、完整性和可用性來賦予。要提醒大家注意的是，有些資訊經過一定的時間之後，其敏感性和重要性會改變，例如企業的年報，在製作過程時需確保資訊的機密性，但在公布之後，要控制的可能是資訊的完整性和可用性，因此在保護上就需要作適當的調整。

A.7.2.2 資訊標示和處理 – 「依照組織所採用的分類方法，資訊標示和處理的適當程序應被發展出來並且實施。」通常我們在資產標示分類上，會採用貼上分類標籤的方式來進行，但要注意的是，有些電子檔案無法用實體的標籤來標示，所以在標示時需採取其他方式來進行，例如使用時會出現在螢幕上(pop-up)，或標示在資料的meta-data之中。

A.8 人力資源安全

附錄A.8是「人力資源安全」，分為A.8.1聘僱之前、A.8.2聘僱期間、A.8.3聘僱的終止或變更等三大類。標準中所指的聘僱包括了幾個不同的情況，像是短期和長期的聘僱、指派或變更職務的角色、合約的指派及所有這些安全事項的變更。A.8.1是希望所有的人員，能認知其職務角色應有的資訊安全責任，因此其控制目標是要確保員工、承包商和第三方使用者了解其責任，符合被指派的角色職務要求，以減少竊盜、詐欺和誤用設施的風險。A.8.1共有三項控制措施，說明如下：

A.8.1.1 角色與責任 - 「員工、承包商和第三方使用者的安全角色與責任，應依照組織的資訊安全政策予以定義和文件化。」簡單的說就是以書面的方式，說明新進人員的資訊安全責任，例如告知需遵守組織資訊安全政策、個人資料保護法、智慧財產權等相關的規範，以及資安事件發生的通報方式等。

A.8.1.2 篩選 - 「員工、承包商和第三方使用者的所有應徵者，都應依照相關的法律、規範、倫理，並且相稱於業務要求、可被存取的資訊等級與察覺到的風險，進行背景的查核確認。」實務上的作法為先制定篩選的作業程序，說明由何人、何種方式、何時來進行查核確認的工作。在進行時，則務必徵求應徵者同意，並遵守個人資料保護法及隱私權的要求，可針對其學經歷資料，專業資格、信用記錄等進行查核。

A.8.1.3 聘僱條款與條件 – 「作為合約義務的一部份，員工、承包商和第三方使用者應同意並簽署其合約的聘僱條款與條件，應清楚的陳述其和組織的資訊安全責任。」組織可擬定其資訊安全條款與保密切結書等相關文件，向相關人員說明，並取得其同意和簽署，才可讓其使用組織的資訊和資訊處理設施。

A.8.2在聘僱期間，是希望管理階層能有效管理人員的各項活動，以符合組織的安全要求，因此目標是確保所有的員工、承包商和第三方使用者能認知資訊安全威脅與關切事項，明白其責任與義務，並且在日常工作的過程中，有能力支持組織的安全政策，減少人為錯誤的風險。A.8.2共有三項控制措施，說明如下：

A.8.2.1管理階層責任 – 「管理階層應要求員工、承包商和第三方使用者，依照組織所建立的政策和程序實施安全事項。」在要求之前，管理階層應適當說明並協助人員了解資安作業規範，並採取激勵方式，讓員工願意並落實各項的要求。有時過於強制性的作法，反而會導致負面的衝擊發生。

A.8.2.2 資訊安全認知、教育與訓練 – 「組織所有的員工和相關的承包商與第三方使用者，應依其相關的工作職務，和組織定期更新的政策和程序，接受適當的認知訓練。」組織應定期並依照員工不同的職務，實施一般或專業的資訊安全教育訓練，以協助員工能針對資安事件作出適當的反應。在訓練的有效性方面，可使用問卷和評量進行量測，針對表現優良者給予適當的獎勵。

A.8.2.3 懲處過程 – 「對違反安全的員工，應有正式的懲處過程。」這項控制措施的重點在於，是否公布懲處的程序與方式，是否以正確、公平的方式，收集客觀的證據，以證明員工造反安全規範。對於嚴重的不當行為，也可允許管理人員解除其職務，或要求其離開辦公作業處所。

A.8.3聘僱的終止或變更，是希望聘僱能夠符合組織的內部管理方式，目標是要確保員工、承包商和第三方使用者，以適當的方式離開組織或變更聘僱事項。A.8.3有三項控制措施，說明如下：

A.8.3.1 終止責任 – 「執行聘僱終止或變更聘僱的責任，應被清楚的定義和指派。」針對人員的轉調或離職，內部需指定專責的單位來處理，一般而言，是由人力資源單位來負責相關的終止程序，確認其符合聘僱條件與合約的要求。

A.8.3.2 資產歸還 – 「所有員工、承包商和第三方使用者，在聘僱、合約或協議終止時，應歸還其持有的所有組織的資產。」資產的歸還通常會以清單檢核的方式來進行，確認人員已歸還組織的門禁卡、電腦設備、軟體、作業手冊等資產，若人員使用自己的設備，也應確保所儲存的資訊已移轉回組織，並進行清除。

A.8.3.3 移除存取權限 – 「所有員工、承包商和第三方使用者，對於資訊、資訊處理設施的存取權限，應在聘僱、合約或協議終止時移除，或依變更進行調整。」這是指人員的轉調或離職，需要確保其使用資訊系統的存取權限已進行適當變更，實務上建議在人員離職日起即暫時凍結使用者帳號，待確認相關資訊與權限已移轉完成之後，再將其帳號和權限移除。(本文刊載於2011年1月號網管人雜誌)

[參考資料]

ISO/IEC 27001:2005
ISO/IEC 27002:2005

[觀點] 解析資訊安全控制措施(一)-建立安全政策與資訊安全組織

Tue, 08 Mar 2011 09:46:00 +0000

除多組織為了強化資訊安全管理，因此選擇導入資訊安全管理系統(ISMS)，但是在整體的資訊安全框架之下，除了導入文件化的管理制度之外，還需要運用包括管理面和技術面的控制措施，才能有效防護資訊的安全，接下來一系列的文章，將說明ISO 27001標準中對於資安控制措施的要求，可協助您達成資訊安全的目標。

今日的組織在整體業務營運的過程中，資訊系統的有效運作，扮演了關鍵的角色，如果資訊的機密性、完整性受到不當的侵害，或是系統的可用性不足，連帶地將會影響組織的日常運作，甚至會造成不必要的損失。

因此，在資訊安全的領域之中，如何確保資訊的機密性、完整性和可用性已是最基本的要求，而且更將資訊視為是一種有價值的資產，如同組織其他的資產一樣，無論其存在的形式是什麼，都需要透過有效的控制措施進行控管，提供適當且足夠的防護。

實務可用的控制措施

到底什麼叫做控制措施(control)？在ISO 27002中對於它所下的定義為「包括政策、程序、指導綱要、實務或組織結構等的風險管理方法，其本質可為行政、技術、管理或法律」。簡單地說，它就是我們降低資訊安全風險的各種作法，其最終的目的就是要防止資安事件的發生。

在ISO 27001中的控制措施呈現在附錄A.5至A.15，包括了11個控制領域、39個控制目標和133項控制措施(如圖1)。這些控制措施被視為資訊安全實務上的最佳建議與指導，換句話說，透過實施這些控制措施，代表了組織對於資訊安全的風險控管，已具有一定的安全程度。若組織想要通過ISO 27001的第三方驗證，並且獲得國際認證組織所頒發的證書，那麼這133項的控制措施，除了有合理的排除原因之外，基本上都是需要去一一落實的。

如果組織並不以通過驗證為目標，依據ISO 27002的說明，大多數的組織通常需要採取的控制措施，至少包括了資訊安全政策文件、資訊安全責任的配置、資訊安全認知教育和訓練、應用系統的正確處理、技術方面脆弱性的管理、營運持續管理、資訊安全事故與改進的管理、個人資訊的資料保護與隱私、組織記錄的保護、智慧財產權的確保等。

了解組織的資安要求

對組織來說，不同的業務營運型態，對於資安都會有不同的考量與要求，例如對金融業者而言，客戶的交易資料會是首要確保的目標；對醫院而言，病患的就診記錄與醫療病歷，其重要性也遠超過其他的行政資料。

面對不同的資安考量與要求，所選擇的資安控制措施也會不同，因此在選擇之前，組織必須清楚地識別所需的各項安全要求是什麼，一般而言，安全要求的建立，主要來自於三個方向：

內部要求 – 由管理階層考量組織營運的策略與目標，並且藉由實施風險評鑑的過程，找出和營運有關的各項資產，然後識別出這些資產本身所具有的安全脆弱性與所面臨的可能威脅，再估計當威脅利用脆弱性，對組織造成損害的可能性與衝擊度，來決定需要針對哪些營運資產實施安全保護的要求。
外部要求 – 由組織的客戶、交易夥伴、供應商及相關利害關係人，針對組織的營運活動，提出其安全的要求，例如產品設計業者要求生產廠商，針對生產過程中和產品有關的重要資訊，必須確保其機密性。
法規要求 – 透過組織所屬的主管機關或所在區域國家的法律要求，必須實施適當的資訊控管，例如個人資料保護法針對個人隱私的保護要求。

在了解組織對於資訊安全的各項要求之後，我們就需要針對組織進行一次徹底的健康檢查，也就是透過實施風險評鑑的過程，來找出組織所面臨的資安風險，了解現況和理想的安全要求之間的落差。然後，才能選擇適當的安全控制措施，來協助我們達成這些可能來自內部、外部或法規的資訊安全要求。

A.5安全政策
ISO 27001附錄A.5是「安全政策」，在A.5.1的資訊安全政策中，其目標是要依照營運要求和相關的法律法規，提供管理階層對於資訊安全的指導與支持。

A5.1主要有兩項控制措施要求，A.5.1.1要求資訊安全政策應經由管理階層的核准，並且公布傳達讓所有員工和相關的內外部團體知道，實作方面，在這份資訊安全政策中，主要是要傳達管理階層對於資訊安全的支持，確保資訊安全與組織營運目標的一致性，並且說明資訊安全的重要性與實施範圍，以及相關人員的職責。

所以，在資訊安全政策中，至少需要說明組織的資訊安全定義、範圍、要求與目標，其中關於目標的部份，最好以量化的方式說明，例如：為確保同仁熟知資訊安全相關規定，故每人每年需要接受3個小時以上的資安教育訓練；為確保相關資安措施符合法令與法規的要求，組織每年應實施至少2次的資訊安全內部稽核。

A.5.1.2則是要求資訊安全政策若發生重大變更時，需要進行審查，以確保內容持續地適用、充分和有效。這也就是說，資訊安全政策不單單只是一份宣示性的文件，而是必須配合組織環境、業務型態、法律合約要求和技術更新等事項，進行持續的修訂與發行。因此這一項控制措施的重點就在於，許多組織可能會對政策內容進行修改，但是卻忽略了這些內容需要取得管理階層的核准，並且留下相關的審查記錄才行。

A.6資訊安全組織
附錄A.6是「資訊安全組織」，分為A.6.1內部組織和A.6.2外部團體，A.6.1的控制目標是希望在組織中建立資訊安全的相關責任與角色，協調安全工作的落實與執行，在這個控制目標之下，共有8項控制措施，分別說明如下：

A.6.1.1管理階層對資訊安全的承諾 – 有了管理階層的支持，是資訊安全管理制度能有效運作的重要關鍵要素，此控制措施強調管理階層應該在組織中，明確的指派並確認人員的安全責任，主動地支持各項安全工作，並提供所需要的資源。
A.6.1.2 資訊安全協調工作 – 在組織之中，資訊安全不會只是單一部門的工作，除了資訊單位之外，可能也需要人力資源、總務、行政、業務、稽核、法務等部門人員的參與，才能達成組織所設定資訊安全的目標，所以資訊安全的相關活動，需要不同部門的代表協調，才能順利地執行。
A.6.1.3 資訊安全責任的配置 – 管理階層需要指定各部門主管和個人的安全責任，並且界定各項資產的保護與作業流程，唯有執掌角色的定義清楚，才能夠履行所賦予的各項任務。
A.6.1.4 資訊處理設施的授權過程 – 所有的組織都會採購資訊相關設備，並且給予員工作業使用，但如何確認這些新設施符合資訊安全的要求？因此資訊設備的使用，必須要有管理階層的核准，組織應明訂此一程序流程，才可確保其符合資安政策的要求。
A.6.1.5 機密性協議 – 針對敏感性的工作，組織會要求人員簽署保密協議，但協議的內容是否適當？是否反映資安政策的要求？組織應該識別並定期審查對各項資訊保護的要求，再將其納入機密性協議的內容之中。
A.6.1.6 與權責機關的聯繫 – 當發生資安事件時，組織往往也需要外部單位的協助，因此需要擬定適當的程序，說明何種事件需要由何人進行通報和聯繫，需連繫的權責機關包括哪些？例如發生火警時，由誰負責與消防隊、電力、水力、電信和執法等單位連繫。
A.6.1.7 與特殊利害相關團體的連繫 – 資訊安全的技術日新月異，所以組織也經常需要聽取專家的意見，或參與專業的論壇以取得更新的資訊。此一控制措施就是要求應與各種利害團體、專家協會等保持適當的連繫管道。
A.6.1.8 資訊安全的獨立審查 – 組織在實施資訊安全管理的過程中，若對於資安政策、程序、控制目標和方法進行了顯著變更，此時就需要獨立公正的單位，針對變更的內容進行審查，目的是為了確保組織資安管理的適切性和有效性，避免球員兼裁判的嫌疑，所以這些審查需要由組織內部的稽核部門或具適當經驗的第三方單位來協助執行。

至於A.6.2外部團體的控制目標，是為了確保組織在與外部團體有相關的資訊存取、處理、交換時，能夠維持資訊的安全，因此，A.6.2.1的控制措施為與外部團體相關的風險之識別，需要透過風險評鑑的過程，找出外部團體對組織資訊的處理和使用時，可能存在的資訊安全風險，像是可存取的資訊類型、人員的識別與授權是否適當等。

A.6.2.2是處理客戶事務的安全說明，也就是在賦予了客戶存取組織資訊的權限之前，已考量到各項資訊安全要求，例如對於所提供服務的內容描述，以及客戶應有的安全責任與要求等。

A.6.2.3則是第三方協議中的安全說明，也就是在與第三方所簽定的協議與合約之中，必須明訂組織的資訊安全要求、應遵守的相關法規，以及違反時應負的法律責任等。(本文刊載於2010年12月號網管人雜誌)

[專題] 資訊安全管理導入實務(五) - 管理階層之承諾與責任

Wed, 17 Mar 2010 03:46:00 +0000

有一些企業與組織，原本興致勃勃想要推動資訊安全管理制度，期望能夠在日常的運作中，避免產生高度的資訊安全風險，進而造成企業資產的損失。但是到了最後，卻往往功虧一簣，主要原因就是管理階層的參與度不足，無法在關鍵時刻發揮起領導決策的效用。

在「解碼郭台銘語錄」一書中，鴻海集團董事長郭台銘有這麼一句名言：「沒有管理，只有責任；管理可以訓練，領導沒法訓練。」他認為管理階層一定要在「油鍋裡炸過」，要能夠自己做出決策，以親身經驗才能去領導別人，否則即使有多麼完善的制度或法令去規範也沒用，因為下面的人並不會依照方向和時間來往前走。郭董事長的觀點，一語道破了在資訊安全管理制度之中成敗興廢的關鍵因素，也就是管理階層的親身參與和支持。

企業與組織若想建立一個有效且持續運作的資安管理制度，從一開始的規劃討論與專案啟動，到建立制度並且實施之後的管理審查階段，這些都仰賴管理階層的領導與決策能力，如果管理階層只是像沾沾醫油一樣，那麼這個管理制度註定是會失敗的。

也正因為如此，在ISO 27001標準中的第五章，規範的就是管理階層責任與應有的作為，而第七章則是要求管理階層必須依照所規劃的時程，定期審查組織的ISMS是否如預期般的有效運作，並且要確保可持續地適用於組織現況，同時每一次的審查結果都必須要留下文件化的記錄，以做為日後進行改善之用。

管理階層的承諾

為了要確保管理制度的有效性，ISO 27001標準中要求管理階層必須提供對於ISMS的建立、實施與運作、監督與審查、維持與改進的各項承諾證據，因此，管理階層應有的作為至少包括了：

為組織建立一份資訊安全政策，內容應說明為了達到資訊安全所採取之各項行動，必須依據何種準則或規範來進行。在政策中也需要說明如何去評估組織的資安風險，有哪些必須要遵守的法令法規和合約要求，以及管理階層的責任為何。

制定組織的資訊安全目標，確認達到各項目標的計畫和實施方式，並建立和資訊安全有關的各種角色與責任。例如確保內部員工、外部承包商和第三方的使用者，皆能明瞭其安全責任並符合要求，以降低可能的資訊安全風險。

對內對外傳達所建立的資訊安全政策、目標及法律所規範的組織責任，宣示維護資訊安全的決心，並要求不斷地持續改善可能的資安風險。

提供建立與維持資訊安全管理制度持續運作所需的資源，包括人力、物力和財力等。

在風險評鑑完成之後，決定組織所面臨的資安風險接受準則，要求對於具高風險之資產進行妥善處理，並決定最後可接受的剩餘風險等級。

確保組織依照既定的規劃時程進行內部稽核，依據內部稽核的結果要求進行矯正預防措施，並且實施管理階層審查。

提供運作所需資源

企業或組織欲導入資訊安全管理制度，目前普遍的作法是尋求外部顧問的協助導入，在評估各項文件與實施運作均符合ISO 27001標準的要求之後，再進一步請第三方驗證公司進行稽核，以便取得國際認可的ISO 27001認證。因此，在導入之前，所需成本的預算編列將是第一要務，組織應考慮營運規模的大小、導入的範圍和預計完成的時間來予以評估，而這些也都需要管理階層的參與和核准。

此外，在ISMS的建立、實施與運作、監督與審查、維持與改進的過程中，管理階層的責任是要確保各項資訊安全的作業程序，能夠符合組織營運的要求。換句話說，如果因為資訊安全的考量，所實行的控制措施已妨礙到日常業務的進行，那麼管理階層就必須適時的作出反應，或進行作業程序上的調整。

當然，在導入的過程中，很可能會識別出組織以往未曾發覺的資安風險，這時候進行風險的控管是必要的，而所使用的方式可能是從管理制度面來著手，擬定相關的作業程序，或是透過技術面的管控，藉由購置資安設備來到抵禦資安威脅。這些控制措施的實施是否正確且適當，也需要管理階層定期加以關切，以督導相關人員進行維護與改進。

確保資安認知能力

根據個人的觀察，目前企業或組織中最缺乏的就是熟悉資訊安全的人才，一旦管理階層決定要導入資訊安全管理制度，即刻面臨到的問題就是該由誰來負責執行？雖然我們可以仰賴外部顧問的協助，但若內部人員缺少維護與運作的能力，當合約期滿之後，很可能就會讓整個制度趨於荒廢。

因此，在組成跨部門的資安小組之前，管理階層要決定的就是執行相關工作的人員，到底需要具備什麼樣的能力？最簡單的方法，就是將人員送去參加ISO 27001的各項訓練課程，或是直接聘僱已參與ISO 27001相關課程並通過考試的人員，協助ISMS工作的推動。

為了確保ISMS相關人員的技能，管理階層需要決定教育訓練的實施計畫，並針對不同的角色人員，提供不同的訓練課程。例如主管人員安排參與定期的主管人員資安訓練；一般人員需參與一般人員的資訊安全認知課程；技術人員則參加相關設備的操作訓練或是和駭客攻防有關的技術課程。

當然，這些措施是否有效，也需要管理階層的長期關注，藉由定期審查人員維持教育訓練的記錄，或是已取得之技術證照，可確保所有人員皆認知其負責資安工作的重要性，以及具備所需要之專業技能。

進行管理階層審查

ISO 27001標準中要求，管理階層必須定期審查組織運作中的ISMS，以確保其持續的適用性與有效性。在實務上的做法是至少一年一次定期性的召開管理階層審查會議，根據ISMS運作時所產出的文件記錄，由參與的主管來評鑑ISMS的改善機會和方向。在管理審查程序上，標準要求必須要有9項審查輸入和5項審查輸出，分別說明如下：

審查輸入包括─
(1) 來自於內部和外部稽核的結果記錄
(2) 利害相關團體像是股東、客戶、供應商的意見或所提出之問題
(3) 是否有可以改善資訊安全的產品、技術或作業程序
(4) 已實施的資訊安全控制措施的現況
(5) 各項資訊安全控制措施有效性量測的結果
(6) 先前風險評鑑中尚未處理或忽略的資安風險
(7) 是否有任何影響ISMS運作的因素，例如技術或業務項目變更
(8) 上一次管理階層審查決議需跟進改善的措施
(9) 來自各個階層的管理建議

審查輸出包括─
(1) 如何進行ISMS的有效性改進
(2) 如何更新風險評鑑與進行風險處理
(3) 如何針對影響ISMS運作的因素，進行必要的修正
(4) 適當回應所需的資源需求
(5) 如何改進控制措施的有效性及量測

持續改進管理制度

以上談的都是有關管理階層應有的作為與責任，也反映了管理制度並不只是由高層頒布一些準則規範，就強制要求下面來遵守執行，而是需要由上至下，不斷地溝通討論，實施之後再加以檢討改進。透過這一系列的文章，雖然無法完整敘述整個資訊安全管理制度的全貌，但至少點出了其中的核心價值，希望透過標準這麼好的一項工具，可以讓我們依循並掌握住資安管理的重點。

相信大家都聽過「預防勝於治療」這句話，對於現今事事講究效益與成本的企業而言，能夠預防可能發生的資安風險，絕對比資安問題發生之後，處理與矯正的措施更具成本效益。所以在標準本文的第八章，要求的是ISMS的持續改進與矯正預防措施，提醒我們不要以為進行了風險評鑑，就已經掌握各項可能的風險，而是要不斷地依據組織的運作狀況，注意是否有新的威脅出現，或是因業務變更而產生新的風險，然後及早地加以預防。

萬一真的不幸還是發生資安事件了，也請務必謹記「亡羊補牢」這句話，要積極找出事件發生的根本原因，然後盡快把洞填補起來，以避免問題的再度發生。最後，回應上一期文章提到該由誰來負責進行追蹤確認的改善行動呢？答案當然就是懂得資訊安全，日後必定會晉升管理階層的您。(本文刊載於2009年11月號網管人雜誌)

[專題] 資訊安全管理導入實務(四) - ISMS內部稽核規劃與實施

Tue, 16 Mar 2010 10:25:00 +0000

在了解ISMS的文件化要求之後，接下來要談的就是在管理制度中不可或缺的重要工作，也就是在ISO 27001本文第六章所要求的ISMS內部稽核，在整個稽核過程中，從擬定稽核計畫開始直到稽核結束，事實上，也同樣可以運用PDCA原則來進行。

在您的企業或組織中，好不容易獲得了高階主管的支持，組成了跨部門的資安小組，並依據ISO 27001標準的要求，擬定出資安政策與各項作業規範，建立了文件化的資訊安全管理制度，並要求同仁們配合遵照實施，耗費了這麼多人力物力，突然有一天老闆詢問我們的資安到底做得好不好時，您要如何去展現或證明資訊安全管理制度已被有效地運作與維持呢？

正所謂「口說無憑」，因此您勢必得要拿出些「證據」才行。在資訊安全管理制度中，如果想要判定組織內的資安控制目標、資安控制措施以及實施的過程，是否符合ISO 27001標準的要求，並且如預期般地持續運作與有效維持，那麼定期的執行ISMS內部稽核，並留下相關的稽核報告和記錄，將會是最好的證明方法。

擬定稽核計畫

如果您想要順利完成ISMS內部稽核，以展現出這些日子來資安管理的成效，其實可以秉持之前所提到的PDCA模式來進行。還記得先前提到PDCA是指「計畫—執行—檢核—行動」的過程，因此我們在一開始的稽核計劃階段，首先要確認的是稽核準則和稽核範圍，也就是先去了解我們的稽核依據是什麼，還有稽核範圍到底適不適合。

舉例來說，若是我們實施的是ISO 27001標準的資安稽核，那稽核的依據就是ISO 27001本文和附錄A5~A15控制措施，如果接受驗證的範圍是資訊部門和其負責的機房維運流程，那麼其他和此一維運流程無關的單位，既使發現了不符合標準要求的事項，也不應將它列為此次稽核發現的缺失。

在稽核計畫階段，負責的主導稽核員還需要準備稽核行程表和檢查清單，也要召開稽核前的工作會議，向稽核團隊說明查核的標準、當天的行程及稽核方法。稽核行程表說明了當天的實施流程，因此必須事先傳送給受稽單位並請其確認，而檢查清單則是供稽核小組確認稽核計劃是否有遺漏的地方，通常在檢查清單中的項目至少會包括：
 受稽單位連絡人的姓名、電話
 稽核當天所需的引導人員數量
 稽核當天可作為稽核小組使用的會議室
 受稽單位是否對於稽核人員有健康或特別要求
 稽核時是否需要穿著或配掛特殊裝備
 稽核時需要遵守的現場安全規定
 稽核人員需要簽署的保密切結書

至於內部稽核的實施頻率，一般而言一年執行兩次是適當的，組織也可依照本身業務形態的重要性，來決定是否需要增加稽核的次數，但要注意的是實施頻率若過於頻繁，可能會造成相關業務人員作業的負擔與困擾，因此這點也要審慎加以評估。

建立稽核團隊

實施稽核同樣需要耗費一些人力、物力資源，其中挑選出適當的稽核團隊是成功的必要條件。在挑選人員時我們應事先了解其具有的專業技能，例如應選擇具有網路規劃和防火牆專長的人員去稽查網路的存取安全控制，或是派出熟悉環境安控的人員去稽核實體安全的防護。換句話說，如果稽核人員本身不了解受稽單位的作業事項，很可能會無法察覺潛在的一些不符合標準要求的項目。

此外，有一種狀況是務必要避免的，那就是稽核人員不應當稽核和其本身有關的工作，像是負責網路防火牆管理的人員去負責稽查網路存取安全，那麼這種「球員兼裁判」的行為，將無法達到所設定的稽核目標，同時也使稽核工作失去意義。

所以，一旦建立了稽核團隊之後，在稽核計畫階段就需要收集受稽單位的相關資訊以了解其作業型態，因此和受稽單位保持密切的溝通，提早確認執行稽核的時間，並告知需要準備的事項，這也是稽核團隊應盡的責任，這樣才可以確保稽核過程能夠順暢進行。

執行實地稽核

至於稽核的方法，通常包括了「文件審查」與「實地訪談」，在文件審查階段，主要是了解組織的ISMS相關文件，是否符合ISO 27001標準的文件化要求，並確認管理制度的運作過程中有留下各項記錄，以證明ISMS被有效的實施與進行。

而實地訪談的目的，則是確認相關作業人員，已清楚了解組織的資訊安全政策與目標，並按照所要求的作業規範來執行。對稽核人員來說，稽核的過程就是要能夠去取得「客觀性證據」，也就是依據稽核準則，透過實地訪談觀察到相關的人、事、時、地、物，透過多方面的證據收集，以支持其稽核的發現。

因此，對稽核人員而言，稽核技巧的鍛鍊非常重要，除了本身需要具備客觀性，避免僅從單一事項主觀地去判定問題之外，稽核人員詢問問題的方式也會決定其所收集到證據的完整。以下是稽核人員可運用的實務技巧：

詢問開放性問題：所謂的開放性問題是指讓受稽人員可明確回答和人、事、時、地、物有關的資訊，例如詢問資訊人員對於使用者的通行碼的安全控制措施有哪些？使用者的存取權限要如何進行申請？多久會進行一次審查？也就是說，稽核人員在訪談時應避免詢問「Yes or No」的問題，像是詢問「是否針對使用者的通行碼進行控管？」「有沒有針對使用者存取權限進行審查？」若是皆採用以上封閉性的問法，所得到的答案往往無法進一步提供更多資訊，也會使稽核人員落入難以判定的情況。
自行決定抽查樣本：稽核人員在審查相關文件記錄時，要堅持獨立性原則，例如在審查機房人員進出記錄時，應自行決定要抽查的日期，而不是僅參考受稽人員所主動提供的記錄，更不應受到言語左右而忽略應審查的項目，務必要按照事前所擬定的稽核計畫確實的來執行。
多方收集客觀證據：稽核人員應避免排斥或否定受稽人員的答案，應該多方抽樣或觀察以收集更多的證據。一般而言，受稽單位所提供的相關記錄應至少要有3個月，稽核人員可從不同的時間點或是透過不同的受訪者，來獲得可供判斷的有效資訊。
發展出稽核軌跡：稽核人員在執行稽核的過程中，所獲得的各項證據都必須要留下記錄，也就是在稽核工作底稿中，需要記載所審查的文件名稱、版本，同時包括訪談對象的職稱、回答的內容等，以作為前後比對與確認證據的關聯性之用，此一記錄更可作為稽查不同項目時，發現潛在因果關係的參考。
良好的時間管理：稽核的時間是事先排定的，也就是在執行稽核的當天必須按照表定行程來進行，如果時間沒有妥善掌握好的話，將會影響到接下來的稽核項目，很可能就會遺漏應稽查的事項而損及稽核報告的有效性。萬一發生時間延誤的情況，應盡快向稽核團隊尋求支援，以避免引發負面的連鎖效應。

追蹤確認改善

一開始我們即提到，內部稽核可秉持之前所提到的PDCA模式來進行，顯而易見的我們知道在稽核計畫階段是P、實地執行稽核是D，那麼C和A呢？兩者當然也不能遺漏掉，在這裡的C是指在稽核結束之後，當天會連同受稽單位舉行稽核結束會議，在會議中主導稽核員必須報告當天的稽核發現，並說明是否有未達標準要求的不符合事項，同時請受稽單位進行確認，如果對於不符合事項有任何意見，受稽單位也可當場提出討論，會後的決議結果將會作成正式的稽核報告。

所以，稽核工作到此就順利完成了嗎？當然不是，如果在稽核過程中發現了不符合事項，依據ISO 27001標準的要求，還必須進行follow-up活動，也就是受稽單位必須採行改善措施，以使造成不符合事項的原因消失。內部稽核的A即是指最後還要進行追蹤確認的改善行動，這樣才可使組織的資訊安全管理制度更臻至完善。那麼到底該由誰來負起整個改善行動之責呢？且聽下回分解。(本文刊載於2009年10月號網管人雜誌)

[專題] 資訊安全管理導入實務(三) - ISO 27001的文件化要求

Wed, 24 Feb 2010 05:49:00 +0000

在上一篇，已說明了ISO 27001標準中有關「實施與運作ISMS」、「監督與審查ISMS」，以及「維持與改進ISMS」的作法，並且提到People(人員)、Process(流程)和Product(產品)是資訊安全管理的基礎，如果要將此三者在組織中予以串聯落實，那麼撰寫明確並可供參考的文件就顯得十分重要。

在ISO 27001標準中，開宗明義即提到它的適用範圍涵蓋了各種形式的組織，包括商業團體、政府單位和非營利機構等，標準中規定應在組織整體的營運活動和其所面臨的各種風險中，建立、實施與運作、監督與審查、維持與改進「已文件化」的資訊安全管理系統要求。有關ISO 27001標準的文件化要求，主要是在4.3條文中說明，其所謂的文件化，除了政策的宣示、制訂作業程序規範及表單之外，還包括了管理階層針對資訊安全相關活動，進行各項決策所產生的記錄。

標準要求留下記錄的目的，是為了確保組織所實施的各項資安控制措施，都可以進行追溯，以便了解管理階層是在什麼時間點做出什麼樣的決定。因此，管理階層的各項決策記錄，應該是會不斷重覆產生的，透過這些決策記錄，就可以顯現出管理階層的作為，是不是依據風險評鑑的結果作出適當的風險處理，而不是僅憑個人臆測所作出的指示行動，也更能了解其資安作為是否符合組織的資訊安全政策，並且和組織的整體風險具有明確的關聯性。

ISO 27001要求的文件

組織在導入ISO 27001標準的過程中，需要產出的文件至少包括：

資訊安全政策：在標準本文的4.2.1(b)中提到，組織應依其營運型態、所在位置、資產及技術等各項特性，來制定其ISMS政策，在政策中需要陳述確保資訊安全的目的為何，以及有關資訊安全的行動準則與目標。一般而言，資訊安全的目標不會脫離確保資訊的機密性、完整性和可用性，但是為達到以上的資訊安全目標，在資安政策中應定義出可量化的指標，例如可歸責於資訊單位的駭客入侵和資料外洩事件，經外部通知後尚未處理的事件目標值為0；或是重要應用系統的可用率應高於99%等。另外，組織應考量本身適用的法令法規要求，以及合約規範的內容，在資安政策中說明應有的資訊安全義務，還有管理階層本身應盡的責任，使其在執行管理工作時能有明確的依據。

支援ISMS的各項程序書：為了符合ISO 27001的要求，組織需要加強資訊安全的控管，也就必須建立起各種不同的標準作業程序。常見的作業程序有資訊資產管理程序、網路安全管理程序、資訊存取控制程序、實體安全管理程序、資訊安全事件管理程序和資訊作業委外管理程序等。

風險評鑑方法論：關於風險評鑑的方法，通常會寫在風險評鑑與管理程序之中，說明組織是如何去識別威脅與弱點所產生的風險，以及風險值的評價與計算方式，並定義出可接受的風險等級。風險評鑑方法最重要的就是必須能夠產生可比較和可重複的結果，也就是說，同樣的風險評鑑方法應該能反覆實施，而其所產生的結果可以用來相互比較，以了解組織前後所面臨的風險現況。

風險評鑑報告：在風險評鑑報告中，必須記載此次風險評鑑的範圍和執行風險評鑑的時間，並且說明風險評鑑作業的執行方式與流程，若是首次執行風險評鑑作業，一開始需進行的是資訊資產的識別與盤點，若是重新進行風險評鑑的話，則是要確認組織是否有新增或是異動的資產，並給予適當的資產價值。至於風險的分析，則是要確認是否有新的威脅與弱點產生，並且判斷每一項資訊資產中，威脅利用弱點而產生風險的可能性。最後則是要說明本次風險評鑑的結果，有哪些資訊資產的風險值在可接受的風險之上，以列表方式把它呈現出來。

風險處理計劃：根據風險評鑑報告的結果，組織必須針對風險過高的資訊資產，決定所要採取的風險處理方式。一般而言，最常採取的作法就是降低風險，因此需要提出改善的作為或是控制方法。在風險處理計畫中，除了說明以上的處理方式外，最重要的是要指定一位負責人或負責單位，並註明預定完成處理的日期，以及預期將獲得的改善效益，也就是說明將如何去降低資訊資產的風險值。

控制措施的有效性量測：組織所採取用來降低風險的控制措施是否有效，不是自己說了就算數，而是必須有一套客觀的量測方法，以證明所面臨的風險已經被有效的控制住。針對有效性量測，在ISO 27001標準中著墨的並不多，它提到組織需要確保有效規劃、運作和控制其安全過程，並描述如何去量測控制措施的有效性。在4.2.3條文中則指出，量測控制措施的有效性，目的就是要能證明組織已符合ISMS的各項要求，因此，組織所選擇採用的控制措施，每一項都要說明其量測的方法和量測的指標，並且記錄其量測的結果，以便稽核人員在審查時能夠一目瞭然，判斷選擇用來降低風險的控制措施是否適當。

適用性聲明書：適用性聲明是用來陳述在資訊安全管理的過程中，組織依據風險評鑑的結果，決定選擇適用或不適用的ISO 27001附錄A控制措施。ISO 27001標準中所提到的133項資訊安全控制措施，並非每一項都要求強制實行，而是可依照組織實際的運作狀況和評鑑後的風險來自行決定。只不過，如果控制措施適用的話，必須指出其參考的文件為何，不適用的話，則要說明其理由。舉例來說，例如A.9.1.2實體進入控制措施，其採用的理由是為了確保只有經過授權的人，才能進入如機房等敏感實體區域，所以制訂了人員出入管制規範，而這項控制措施所參考的文件，則是實體安全管理程序和機房管理作業要點，讓相關人員可依照文件中的要求規範來遵照執行。

文件管制防護與作法

在ISO 27001標準中的各項作業程序文件，可說是整個資訊安全管理制度運作的骨架，因此在4.3.2文件管制的條文中，提到這些所需的文件應受到適當的保護與管制，其要求的作法如下：

在文件發行之前，必須要有管理階層的核准，以確保文件內容的正確與適用性。
如果因組織變動或作業流程的更改，在必要的時候，ISMS文件可以進行修訂與內容更新，但是必須經過管理階層的重新審查與核准後，才可頒布使用。
文件如果經過變更或修訂，應該採取適當的標示，例如註明文件名稱、文件編號與版次，並且在變更記錄中記載修訂的內容摘要、頁數、發布日期、修訂日期及修訂人員。
文件必須確保其內容易於識別和閱讀，並且要讓需要使用的人員能夠隨時取得，使用到最新版本的文件。
文件的分發必須進行管制，依照不同文件的敏感等級，提供給授權的人員使用，並且依照其所要求的資料交換作法，進行傳送和儲存。
文件若需要作廢時，應依據作廢流程確實執行，以避免作廢的文件遭到誤用，在特定的情況下，如果需要保留作廢的文件，也應該要有清楚的標示。

記錄管理要求與維持

除了各項文件需要受到適當控管之外，在ISO 27001標準4.3.3記錄管制的條文中，要求各項記錄應加以保護與管制，尤其是在法律或合約中有明訂要求保存的，更應該要有良好的控管。因此，在ISMS運作的過程中，所產生的各項活動記錄，也應該要被適當的保存，以作為管理制度有效運作的證據。所謂的記錄，包括像是機房人員的進出記錄、敏感資訊的存取記錄和資訊安全稽核報告等，都應保持容易閱讀、識別和檢索，並有適當的儲存方法與保存期限，而無論是文件或是記錄，都可採取紙本或電子形式，儲存於受到良好防護的實體，例如檔案室或硬碟、磁帶之中。

至於本文一開始所提到的「已文件化」程序，乃是指組織有一建立、文件化、實作和維持的程序，因此針對各項ISMS需要的文件與運作記錄，每個組織可能會有不同的文件化程度，但是在文件與記錄的管制要求上，兩者並無差別。所以，組織若想要維持一個有效且持續運作的資訊安全管理制度，那麼在文件與記錄的管理方面，勢必得要建立起符合標準要求的作業規範。(本文刊載於2009年9月號網管人雜誌)

[專題] 資訊安全管理導入實務(二) - 實施與維護資訊安全管理系統

Mon, 08 Feb 2010 14:03:00 +0000

在上一篇，介紹了目前廣泛被認可的資訊安全管理標準ISO 27001，可以作為企業建立資訊安全管理制度(ISMS)的參考規範，並且說明了支持管理制度運作的PDCA架構和「建立ISMS」條文的內涵，本篇將繼續說明標準中有關「實施與運作ISMS」、「監督與審查ISMS」，以及「維持與改進ISMS」的作法。

資訊安全是一個管理過程，在建立資安管理制度的過程中，主要會牽涉到三個P，分別是People (人員)、Process (流程)和Product (產品)，而在此三者之中，又以人員可說是管理制度成敗的首要關鍵。因此，在企業建立資安管理制度的初期，要如何找到對的人來執行，也就是如何成立一個資安管理推動小組，驅動企業成員的參與，將是首要的任務，接下來才是去思考如何建立起安全的作業流程，然後在作業流程的各個階段，導入適當的資安技術產品，以作為資訊安全的控制措施。

就目前個人所觀察到的現況，大多數企業對於資訊安全的管理，主要仍是落在導入產品的這一部份，所採取的作法也偏重在頭痛醫頭、腳痛醫腳，缺少一個有效完善的資安對應策略。相關人員對於資訊安全的概念，也是來自於銷售資安產品的廠商，往往會受限於只從技術的觀點出發，而忽略了管理的要求，以為添購了市面上最流行的產品之後，就可以解決所面臨的資安問題，但是事實上，資料外洩或是不當的入侵事件，在企業內仍舊是層出不窮。

實施與運作資安管理制度

在上回所談到建立ISMS的過程中，我們必須界定能夠識別企業風險的風險評鑑方法，並且運用此一方法去識別企業各項具有價值的資產，評估資產本身所具有的弱點，以及所面臨的威脅是否會利用這些弱點，可能對企業造成機密性、完整性和可用性的衝擊，然後再針對分析和評估各項風險的結果，依據所計算出的風險值大小和風險等級，決定要如何進行風險處理，也就是要選擇實施哪些資安控管措施。至於這些控管措施的作法，可能是透過建立標準作業流程來因應，或是添購產品以技術方法加以解決。

在ISO 27001標準4.2.2「實施與運作ISMS」條文中提到，我們要去建立一個風險處理計畫，評估企業現有的環境、資源和責任，然後制定出風險處理的優先次序。在風險處理計畫中，人員的調派和責任的配置相當重要，針對各項想要處理的風險，我們必須指定一位負責人，並說明要採取何種方式去降低此項風險及處理時間，如果是導入產品，就要擬定導入產品的時程，以及預估其可達到的控制成效。

其中特別要注意的是，在產品還無法負起資安防護的工作之前，必須選擇短期的對應措施。舉例來說，若企業所分析出的風險是敏感作業區域缺少門禁管制，採取的風險處理方法為添購門禁刷卡系統，但是預估要三個月才能建置完成，那麼在這三個月之內，缺少門禁管制的風險依舊是存在的，我們必須要實施短期的控制措施，先行控制這項風險，具體作法像是可調派警衛執行定點監控，檢查出入人員識別證等，以避免可能的資安事件發生。

到了運作ISMS的階段，企業必須要能確保所選擇的控制措施是有效的，換句話說，可以透過量測的方式，來評估控制方法的有效性。俗話說：「預防勝於治療」，所以在量測指標的設定上，我們應以設定偵測性指標為主，而避免把發生資安事故的次數作為量測的指標。例如在資料安全性的量測方面，我們可以用人員違反作業規範的次數來進行評量，而不是以發生資料外洩事件的件數作為量測的指標。

監督與審查資安管理制度

為了確保資安管理制度能夠有效運作，企業必須要有適當的監督方法，像是剛才提到可以設定量測性指標作為控制措施是否有效的衡量依據，因此，若想要去進行量測，就要事先擬定出可行的監督審查程序。在ISO 27001標準4.2.3的條文中提到，我們要能立即識別出可能危害資訊安全的事故發生，也要能夠判定所選擇的控制措施，都能如預期般地順暢運作執行。所以針對每項控制措施，就要在監督程序書中說明我們多久會進行一次有效性量測？如何去判定此項控制措施是否有效？多久會進行一次管理階層的審查？並且還要將安全稽核、發生的資安事故、有效性量測的結果，以及利害關係人所提出的建議，一併納入考量。

對企業而言，想要了解制度是否有效的執行，最常採取的作法就是定期實施內部稽核。所謂的內部稽核是指由企業內獨立的公正單位，像是稽核室人員，依照企業本身所遵守的標準、制度和法規，事先擬定查核項目，然後進行實地訪查和抽樣，以了解管理制度是否如文件中制定的要求來進行。在稽核的過程中，若有各項符合或不符合事項的發現，都要留下包括人、時、地、事、物的完整記錄，以作為未來管理階層審查時的輸入參考，藉此才能提出未來的改善目標和計畫。

維持與改進資安管理制度

企業透過定期實施的資安稽核，就可以了解目前資安管理制度的執行現況，從中發現人員、作業流程和產品技術是否有不足或是需要加強改進的地方。因此，在標準4.2.4「維持與改進ISMS」條文中提到，企業需要定期實施各項ISMS之改進，並依據所發現的不符合事項，進行適當的矯正和預防措施，像是作業文件的修訂、實施人員的教育訓練、加強技術性的弱點防護等，目的就是要達到預期的改善目標，並且確認各項資安控管措施是有效的，才能將可能的資安風險降至最低。

在ISO 27001標準的4.2條文之中，關於建立ISMS的篇幅較大，敘述也較為詳盡，這部份是企業一開始最用心且投入較多的地方，反觀維持與改進ISMS的內容，它說明應執行的事項並不多，也是整個管理制度中，很容易忽視或執行不夠徹底的地方。記得在西遊記裡有句諺語說：「起頭容易結梢難」，意思是指事情的開頭容易，但是要有令人滿意的結果卻很難。所以在此要提醒各位，可別忘了要確保資安管理制度可以有效地運作，就必須要持續PDCA的管理模式，例如維持與改進ISMS是屬於A的階段，若是沒有確實的執行，要再次銜接到下一循環的P就會有困難，可能會導致整個管理制度難以持續有效地運作下去。

熟悉標準將可事半功倍

所謂的管理制度，往往是說來容易做來難，以ISO 27001為例，在這薄薄數十頁的標準內容中，其實有著相當博大精深的內涵，要能夠完全理解它並不容易，但參照標準的好處是，可以快速地掌握各項資安管理制度的重點，然後再依據組織的現況和資源來予以彈性的運用。

至於本文一開始提到的三個P，則是執行資安管理的基礎，同時三者也是不可偏廢的，換句話說，想要只依靠單一要素來達到有效的資安管理，可說是難上加難，唯有融合專家智慧所凝聚出的標準規範，再讓上述三者能夠相輔相成，這樣才可達到事半功倍的效果，對於有心想落實資訊安全的企業，標準才會變身成為一項切實可用的神兵利器，而不只是所謂的紙上談兵，下一篇，將會說明ISO 27001針對管理制度的各項文件化要求。(本文刊載於2009年8月號網管人雜誌)

[專題] 資訊安全管理導入實務(一) - ISO 27001資訊安全管理系統簡介

Mon, 01 Feb 2010 03:01:00 +0000

推動資訊安全工作，主要涵蓋的層面包括人員、作業流程和資訊技術，要如何將此三者串連起來，最好的方式就是建置一套適合組織的資訊安全管理制度。目前，實務上最好的參考指引就是國際資訊安全管理標準ISO 27000系列的規範，接下來的文章，將會說明如何協助組織導入符合標準要求的資訊安全管理制度。

一談到資訊安全，大多數人的直覺反應就是在抵擋駭客入侵，但事實上，這只是其中的一小部分而已。過去，許多企業組織對於資訊安全的投入，主要都是著重在技術面的資安基礎建設，例如建置網路防火牆、防毒軟體和入侵偵測系統等，希望藉由安裝資安軟、硬體設備來加強網路安全，以抵擋來自企業外部的各種資訊安全威脅。

可是，僅僅做好網路安全防護，並無法有效地解決各種資訊安全問題的發生，因為還有兩項大原則必須要同時兼顧到，那就是人員與作業流程。因此，確保組織資訊安全的最佳方式是從管理層面來著手，藉由建立一套完整的資訊安全管理系統(Information Security Management Systems, ISMS)，才能有效防範資訊安全事件的發生，但是資訊人員們可千萬別誤會，這裡的「系統」指的並不是架設一台伺服器或是開發某個應用系統，它背後代表的意義，其實是要建立可以持續運作的資訊安全管理制度。

資訊安全管理標準簡介

目前，ISO 27000系列是國際上受到認可的資訊安全管理標準，其中在2005年通過的ISO 27001標準，它是規範建立、實施資訊安全管理系統的方式，以及落實文件化的要求，可以確保資訊安全管理制度，在組織內部能夠有效的運作，同時它也可以作為資訊安全管理系統的驗證標準。截至2009年6月為止，在全球已經有超過5600個組織通過驗證，台灣也有321個組織(包括公民營單位)取得ISO 27001證書，僅次於日本、印度、英國，位居全球第4位。

至於ISO 27002則是資訊安全管理作業要點，內容涵蓋了11個章節以及133個安全控制措施，提供很多實務上能夠運用的做法，可作為建立一個標準的資訊安全管理系統的參考。如果管理人員想要協助組織建立資訊安全管理制度，卻不知應該要如何著手時，就可以參照這個標準的內容來進行。

在ISO 27001標準中的要求，都是屬於一般性且可廣泛應用的，也就是說，它適用於任何型式的組織，而不受限於規模大小和營業性質。因此，只要是有心想要加強資訊安全的企業或政府單位，都可以藉由參考ISO 27001中的規範，自行選擇符合組織需求的資訊安全控制措施，來達成一定水準的資安防護能力。

管理制度的運作架構

在資訊安全管理系統的運作上，ISO 27001要求組織應該要在整體業務活動與其所面臨的風險之下，建立、實施、運作、監控、審查，並且維持和改進一個已經有文件化的管理制度，如果要確保它可長可久，就必須要運用PDCA(Plan-Do-Check-Act)過程導向模式，作為整體管理制度運作的基礎。

所謂的PDCA是指「計劃-執行-檢核-行動」的過程，在一開始的計劃階段，組織必須要建立符合營運目標的ISMS政策，它定義了組織實施ISMS的範圍，並說明資訊安全的目標、需要透過哪些指標去衡量成效，以及管理階層應該擔負的責任。因此，資訊安全政策也可視為管理階層對於資訊安全的宣誓與支持，唯有如此，到了執行的階段，我們才可依照此一政策來逐步推動各項資安的控制措施，並且建立相關的作業程序。

在依照計劃並且執行之後，要如何得知實施的成效呢？這時候就要進入檢核的階段，針對ISMS政策、控制目標及實行的過程，依照政策中所設定的指標去分析、評量實施的成果與績效，然後再將此一結果回報給管理階層作為審查之用。最後，再依據審查的結果，若是發現執行過程中有一些不符合的事項，就要透過實際行動來進行改善，也就是採取相對應的矯正和預防措施，來持續改進ISMS的整體運作。

ISO 27001標準條文內容

ISO 27001標準條文一共分為8個章節以及附錄，其中第1到3章，說明了ISMS的適用範圍、所引用的其他標準，以及相關名詞的解釋。ISO 27001條文的重點主要是落在第4到8章和附錄A，分別是「資訊安全管理系統」、「管理階層責任」、「ISMS內部稽核」、「ISMS之管理階層審查」、「ISMS之改進」，以及附錄A的控制目標與控制措施。其中特別要注意的，就是在這5個章節之中，涵蓋了資訊安全管理制度的建立運作與文件記錄管制、風險評鑑、管理責任、內部稽核和持續改善等要求，如果組織有任何一項不符合，就表示此一管理制度是無效的，也就無法通過ISO 27001標準的驗證，所以務必要了解條款背後所代表的執行意義。

為了滿足以上所提到的PDCA架構，在ISO 27001標準條文中，也是基於此一運作模式來設計，以第4章為例，4.2.1是「建立ISMS」、4.2.2為「實施與運作ISMS」、4.2.3是「監督與審查ISMS」、4.2.4則是「維持與改進ISMS」，剛好就對應了從計畫建立(P)、實施運作(D)、監督審查(C)及維持改善(A)的四個循環過程，換句話說，只要組織能夠持續PDCA的管理模式，就可以確保資訊安全管理制度可以有效地運作。

以下就先簡要說明4.2.1「建立ISMS」條文的內涵：

定義ISMS範圍 - 在此條文中，要求組織首先要依據營運、組織、所在位置、資產和技術等特性，定義出資訊安全應受到適當控管的範圍。我們可以依照組織本身的特性，以部門、系統、業務項目或實體環境來定義所要實施控管的範圍，舉銀行業為例，我們可以選擇銀行資訊部門作為導入ISMS的範圍，也可以將信用卡這項業務服務相關的部門、人員、流程或是信用卡服務中心所在地點作為實施範圍。在實務上，當組織在定義範圍的時候，請僅記一項原則，就是務必要把核心的業務納進來，因為別忘了我們一開始即提到，資訊安全的目標要與營運目標一致，如果不針對主要業務來進行資安控管，實施起來就不具有意義了。
界定ISMS政策 - 在制定政策的時候，我們需要考量組織營運與相關法規的要求，還有合約中所制定的資訊安全責任，例如法律要求必須要保障個人隱私、保護重大營運資訊，或是合約中要求必須保護客戶資料等，這些都是我們設定資安目標時的重要依據與參考。另外，在ISMS政策中，我們也要建立可以用來評估風險的準則，並且要能符合組織的整體風險管理策略。
界定風險評鑑作法 - 風險評鑑有各種不同的方法論，讀者可參閱網管人二月和三月號中有關資安風險管理的說明，自行發展出可以識別組織風險的方法，並定出風險可以接受的等級。標準之中對於風險評鑑方法的要求，在於風險評鑑後所產出的結果，必須是可比較且可再產生的，換句話說，風險評鑑的方法，必須能夠重複使用，而且在不同時期進行的風險評鑑，其結果皆可用來相互比較分析，以作為風險處理與改善的方向。
管理階層審查 - 標準中提到在風險處理之後，所殘留下來的剩餘風險，必須要取得管理階層的授權與核可，整個風險處理過程才算完成。
擬定適用性聲明書 - 所謂的適用性聲明是指針對資安風險所選擇的控制目標與措施，組織必須要說明其選擇的理由，另外，在標準中所排除的控制項目，也必須要提出合理的解釋。適用性聲明的主要目的，是為了要確保不會有存在於組織中的資安風險，受到忽略而缺少適當的控管。

資訊安全是一個管理過程

資訊安全是一個管理過程，而不是一項技術導入過程，在ISO 27002標準中提到，「資訊安全是為了有效保護資訊不會受到各種威脅，實施各項適當的控制措施，以使企業能夠持續營運，將可能受到的損失降至最低，並獲得最大商機。」所以，維護資訊安全並不單只是資訊人員的責任，而是必須提高層級由企業組織的管理階層做出承諾，要求成為所有人員必須遵守的規範，也唯有人員都具備了資訊安全的警覺與防護意識，才能降低資安事件發生的可能。(本文刊載於2009年7月號網管人雜誌)

舊留言存檔

以下留言轉存自原 Blogger 網站，僅供存檔，無法回覆。

Dr security（2010-02-07）

您好，很喜歡您整理的資料，我個人是在安全監控業服務的(包括ip cam)，剛成立一個BLOG，有興趣的話，可以前來指導一下，謝謝。 http://securitypro-anny.blogspot.com

傑克小花（2010-02-07）

您好，謝謝您的回應，安全監控也是資安的重要一環，您能在Blog上分享寶貴的經驗那真是太好了呢，也希望日後能與您多交流喔~

阿樹（2012-06-21）

最近看資策會好像有開ISO27005 RA 的認証課。不知道這個認証。是否有考的必要性呢?

傑克小花（2012-06-21）

Hi 阿樹, 如果您的工作是和資安與風險管理有關，那麼 ISO 27005是一個蠻好的參考標準，它可以協助您進行資安的風險評鑑和風險處理，對於風險管理的全貌也會有更完整的認知喔~