羅德興老師的教學歷程檔案 - 113-2 (2025) 資訊安全 - 參考資源 (認證與驗證)

企業資訊與管理系
助理教授/日導
羅德興

歷程檔案 Portfolio

參考資源 (認證與驗證)

Sec. 1
UPAS

(Resources: https://www.upas-corp.com/)

內網安控系統的先鋒

UPAS優倍司成立於1993年，為內網安控系統的開拓者與領導者，從研發IP管理與NAC網路存取控制系統產品開始，多年來在資訊安全及網路管理的領域深耕，協助客戶建立全方位內網安控系統，解決企業內網安全性與管理效率的問題。

獨立研發出擁有多國專利的IP/MAC管理核心技術—ARPScanner，十多年來不斷擴充其功能，建構出符合企業網路安全需求的完善系統，系統以高相容性、高智能化與高維持率等優勢獲得許多客戶信賴。持續研發與銷售長達近二十年，UPAS優倍司已經在市場上累積超過3000家客戶群的產品使用見證，客戶行業領域遍及政府單位、電子業、製造業、科技業、金融業、銀行業、證券業、醫療機構、學校單位等。

UPAS優倍司專注在資安技術的開發已有近二十年，擁有豐厚的技術資源與實務經驗，對資安趨勢與台灣資安法規的落地也有深刻的見解，是國內少數具備獨自研發能力及技術服務的團隊，我們了解不同產業對資安需求的眉角，可以針對客戶情境提出精準完整的解決方案。

金融

銀行等金融單位的資料安全攸關客戶身家財產，內部管理稍有不慎即可能影響系統運作，造成雙方損失，再加上愈趨嚴格的個人資料保護法規，金融單位符合更高規格的資安標準勢在必行。提供以下幾個重點應對方案：網路資源存取控制、網路活動日誌與數據軌跡、身分管理與資料存取等。

金管會檢查局稽核主要問題

・連線設備是誰？內網設備如何管理

・內部員工是否任意安裝不當軟體？如何處理

・有多少本機帳號登入內部電腦

・作業系統版本是否按時更新

・資料夾分享如何控管

・病毒碼與防毒軟體是否更新至最新版本

UPAS優倍司是具備獨自研發能力及技術服務的團隊，我們了解不同產業對資安需求的眉角，可以針對客戶情境提出精準完整的解決方案。針對金融業的問題，擁有以下幾個重點的應對方案。

網路資源存取控制

明訂網際網路作業相關管理辦法、作業規範及網路系統安全政策，例如：網路資源存取控制、使用者帳號維護、網路弱點掃描、漏洞修補、防毒軟體之使用管理、網際網路存取之限制，以作為網路維護作業之執行依據，並定期檢視修訂，以符合實際作業需求。

業務別項目編號：2.1.1

是否明訂網際網路作業相關管理辦法、作業規範及網路系統安全政策（如：防火牆原則、伺服器、網路資源存取控制、加密程序、使用者帳號維護、網路弱點掃描、漏洞修補、電子郵件及防毒軟體之使用管理、網際網路存取之限制）俾作為網路維護作業之執行依據，並定期檢視修訂，以符合實際作業需求。

・接入設備合規檢查
・非法外來設備控管
・自動化檢查IP、MAC、電腦名稱、 AD帳號、Switch、Port、GPO、OS補丁、病毒碼更新、應裝軟體、禁用軟體、漏洞檢查、惡意程式

IP/MAC管理模組

安全整合管理模組

補丁管理模組

網路活動日誌與數據軌跡

完整記錄網路活動日誌（Activity Logs）、稽核軌跡（Audit Trail）及異常進出紀錄，並留存至少6個月，以符合相關單位稽查標準，為了在資安事件發生時有完整紀錄可供追查，再建立警示機制與處理程序，定期檢討監控警示條件設定之妥適性。

業務別項目編號：2.1.6

網路活動日誌（Activity Logs）稽核軌跡（Audit Trail）及異常進出紀錄，是否完整留存，並建立警示機制與處理程序。是否建立機制定期檢討監控警示條件設定之妥適性。

・自動搜集ARP、SNMP、AD等即時上線訊息及歷史記錄
・自動記錄IP、MAC、電腦名稱、AD帳號、switch、port完整數據
・採用AES-256數據庫完整加密備份保存
・ 5年以上完整加密備份保存

IP/MAC管理模組

身分管理與資料存取

對行動碟、光碟、磁帶等移動式儲存媒體及筆記型電腦、平板電腦等可攜式設備，是否建立使用管理機制、留存完整稽核軌跡並落實執行。

業務別項目編號：3.2.5

對行動碟、光碟、磁帶等移動式儲存媒體及筆記型電腦、平板電腦等可攜式設備，是否建立使用管理機制、留存完整稽核軌跡並落實執行。

業務別項目編號：3.2.6

金融機構提供電子商務服務系統，需要採取下列資訊安全措施：
1. 使用者身分確認及保護機制。
2. 個人資料顯示之隱碼機制。
3. 網際網路傳輸之安全加密機制。
4. 應用系統於開發、上線、維護等各階段軟體驗證與確認程序。
5. 個人資料檔案及資料庫之存取控制與保護監控措施。
6. 防止外部網路入侵對策。
7. 非法或異常使用行為之監控與因應機制。

・非法設備將被自動阻斷
・網絡使用權限的獲取
・內外網使用權限的劃分
・強制設備遵循企業規範，使用AD帳號登入
・帳號使用紀錄的取得
・ BYOD與外接存取裝置的使用範圍限制

IP/MAC管理模組

身分驗證管理模組

資產管理模組

AD進階管理模組

Sec. 2
1.
(Sources: https://www.managertoday.com.tw/articles/view/64366)

【上雲後】委外查核4大重點持續管控上雲後的資料風險

2021/12/22

©經理人

金融業上雲後，在IT基礎架構改變的情況下，需要面對的風險也跟著不同，除了要調整資安防禦管理的架構和思維，
對於雲服務供應商所提供的服務，金融業者也要負起監督責任，掌握以下4大重點進行實地查核。

重點1》》事先註明在委外合約裡

在《金融機構作業委託他人處理內部作業制度及程序辦法》第19-1條裡，特別強調實地查核的重要性。KPMG安侯資訊科技諮詢服務協理郭宇帆指出，為了方便查核，也為了合規要求，金融業者在與雲服務供應商簽訂委外合約時，要特別載明在合約期間可以實地查核的權利，像微軟目前提供的雲端公版服務合約裡，就已經提到金融機構的查核權，這有利於金融業符合主管機關的監理要求。

不只是在服務合約事先載明金融機構的查核權，台灣微軟也提供相應的數位工具，協助金融業者落實從內部到外的稽核查核機制。台灣微軟專家技術部技術方案經理陳怡珺進一步指出，上雲後的資料風險主要來自兩個部份，一是雲服務業者是否會自行存取客戶資料，對此，微軟提供客戶加密箱模組，當微軟基於維護等需求需要存取客戶資料時，必須經過金融業者同意才可以，讓金融業者確信微軟不會隨便存取客尸資料，並可藉此稽核微軟。二是有存取權限的外部系統或內部人員，微軟提供完整的存取Log，每一次存取資料的行為都會留下紀錄，金融業可以針對使用者、期間或部門別去列出存取紀錄，更完整地符合內稽需求。

重點2》》不能將現成資料當做查核報告

而在實際查核時，金融機構可以先檢視雲服務供應商能否提供ISO 27001證照、系統與組織控制（SOC）報告等外部稽核查核資料。以微軟為例，與雲服務相關的ISO 27001、27018、27017等稽核報告，皆每年稽核一次，且會上傳至「微軟信任中心網站」，供金融機構自行下載。

當然，金融機構不能只看憑這些現成資料，就認為查核完畢，還是要根據查核內容進行實地查核。一來因為這些報告目前都還沒有被接受可以直接拿來做為查核報告，二來則為主管機關還是希望金融業者能夠落實查核作業，因此，勤業眾信風險諮詢服務協理廖柏侖強調，金融機構要訂出完整的查核內容，包括查核頻率、由誰來發動查核、誰有資格執行查核、查核的基準依據等。

重點3》》參考國際標準設計查核內容

KPMG

郭宇帆建議，金融業者可以根據相關的國際標準來設計查核內容，而目前台灣最多金融機構使用的查核標準就是，雲端安全聯盟（Cloud Security Alliance；CSA）所提出的雲端控制矩陣（Cloud Control Matrix；CCM），另外像ISO 27017或27018等國際標準亦有金融業者採用，但比例較低。

無論使用哪一種國際標準，最重要還是看金融業者需求和重視的查核項目，因此金融業者必須與管理顧問公司仔細溝通查核的基準和手法，再根據契約向雲服務供應商行使查核權，也因為已經載明在契約裡，所以雲服務業者不能拒絕，必須配合金融業者的要求，提供相關資料，管理顧問公司才能出具查核報告，當主管機關前來監理時，金融機構才能出具證明，證明自身有負擔一定程度的監督責任。

重點4》》攜手金控子公司進行聯合查核

廖柏侖認為，其實雲端和一般委外查核沒有不同，只是比較複雜，因為雲服務業者可能在境外，管制措施可能比較多，建議金融業者可以聯合金控集團的子公司一起查核，省時省力，又能建立集團內一致的查核標準。

勤業眾信風險諮詢服務資深執行副總經理林彥良認為，落實委外監督與管理責任，是金融業上雲的第三道防線，在這之前還需要做好基礎規劃和架構，建立起第一和第二道防線，才能完善上雲藍圖。

林彥良進一步說明，未來，金融業可能會有更多業務單位有上雲的需求，因此必須建立一套可以適用所有單位的準則，讓各個業務單位可以去參考，進而發展自己的上雲業務，而這時候就要思考三道防線的議題，第一道防線負責雲的基礎規劃，第二道防線則制定上雲的方案、作法、架構等面向，為上雲提供一個統一的標準，第三道防線則要執行稽核或查核的工作，而且要突破過往定時查核（用時間點去做查核）的機制，採用連續性及加強性的查核作業，才能更有效地控制風險。

在金融業上雲的過程中，實地查核是控制風險最重要的方式，也是主管機關最重視的環節，因為金融業者唯有親自到雲服務供應商的資料中心進行查核，才能確保雲服務供應商有落實自身所聲稱的資訊安全防禦機制，金融業者也才能放心將應用或資料服務放在雲端，進而拓展更多雲端應用，加速實現數位轉型的目標。

想瞭解更多金融上雲的資訊，歡迎下載微軟提供的「法規遵循檢核表」，詳列各項金融業者必須監管的問題，及因應該問題微軟所能提供的協助，俾使金融機構能夠更加完善上雲過程。

來源：https://www.managertoday.com.tw/articles/view/64366

©經理人

2.
從《資通安全管理法》看企業資安維護
https://www.sef.org.tw/files/13055/AB55AFE5-DC99-4E6C-9592-64A523D80CC8.pdf

《資安法》對機關資安維護有諸多項目要求，這些要求並非我國所獨具，例如美國國家標準與技術研究所 (National Institute of Standards and Technology, NIST) 也建議可以採用其推動之網路安全架構 (Cybersecurity Framework, CSF) 來進行資安維護。
細究 CSF 的識別、保護、偵測、回應、復原等五大功能架構與細部內容，可以發現其重視之面向與《資安法》的規定意旨，若合符節。

Sec. 3

為何「麻布記帳」不惜砸重本，
成為全台第1家通過 ISO 27001 認證的金融科技新創公司？

https://www.fintechspace.com.tw/zh-hant/activity/200324-moneybook/

全雲端式公司
全體動員 4 個月拿到認證
CP 值：合規、資安
可進一步申請 open banking

1.

麻布記帳 x ISO27001：從 Tech 到 FinTech 負責任創新【FTS數位講堂】

https://www.youtube.com/watch?v=cSqTqnxSByk

2.

麻布記帳 x ISO27001申請心法眉角大公開【FTS數位講堂】

(2020)
https://www.youtube.com/watch?v=sJhxbNrUch0

3.

新創團隊麻布記帳談金融科技未來規劃 x MoneyBook 社群平台經營心法【FTS數位講堂】

(2020)
https://www.youtube.com/watch?v=f0e_qcgkDyU

Sec. 4

新增十一大項控制項目，又要開始忙了!! 新版ISO資安規範到底有多麻煩?

(2022/03)
https://www.youtube.com/watch?v=i1_e6pwnqlE

Sec. 5

1.
ISMS導入步驟【ISO 27001 英特內課程】｜領導力企管

(2020/08)
https://www.youtube.com/watch?v=gUS2DIrHZX8

資安驗證機構：SGS, BSI, TUV
艾法諾(AFNOR)/ BSI/ SGS / RUV / TCIC

只要是ISO標準之驗證證書上，不但應該註明驗證範圍、日期、地址、及證書編號等可鑑別與追溯之資料外，
也必須同時有『認證委員會』、『驗證機構』及『被稽核單位』(也就是您的公司)共三者的名稱或標誌。

ISO 認證委員會網站

大部份的認證委員會均為國家級組織，多數的國家都只有一個認證委員會，
例如在台灣的財團法人全國認證基金會(TAF)、英國的UKAS、美國的RAB等等。
此外，通過認證委員會的ISO 證書，可以在該機構網站上查到，而不是驗證公司，
例如：TAF的ISO 9001證書，可前往財團法人全國認證基金會(TAF) 官網查循。

ISO 認證有口碑與品質的驗證機構

相對地，全球絕大多數的驗證機構皆為民間組織或企業，
例如：AFAQ、BSI、BV、TUV、SGS....等，
少數的例外，如台灣的標準檢驗局。
因為驗證機構為直接執行稽核的單位，故應具備公正獨立的特性。
所謂的『公正獨立』，至少應該在行政及財務上不受任何利害相關者影響，在國際間具有一定的知名度、口碑及公信力，內部己有完整且符合ISO 17021、ISO Guide 62或66的管理制度，且在各國均發出有一定數量的證書。
目前台灣有很多驗證機構，開立輔導顧問公司，等於是球員兼裁判，
這樣的ISO證書，您可以信賴嗎？
價格雖然便宜，但公信力及穩定性都不夠。

但由於驗證市場的存在，坊間也出現一些「以發證為目的」之驗證機構。
這些業者並非驗證機構直屬之公司或分公司，而是本地的公司向一些國外驗證機構取得授權後之加盟公司，
驗證的品質很差，很多國內機關根本都沒有落實與實行符合ISO 22000國際標準，竟然也可以拿到證書，
問題是：這樣的證書真的可以代表有效的食品安全管理嗎？
還有些不肖的驗證單位根本未通過任何認證委員會的考核，
或為了規避被認證委員會發現其不合規定之發證行為，
而刻意頒發只有驗證單位自己的標誌，而不含任何認證委員會標誌的證書。
拿到這樣『獨立』於規定之外的證書，絕非任何一個企業主或客戶所希望看到的。

如何判斷有國際公信力的 ISO 認證證書？

在正常的證書上，至少會有兩個不同的標誌(logo)。
一個屬於驗證機構(Certification Body)，
另一個則屬於申請認證國別之認證委員會(Accreditation Body)，
以及此證書可以在認證委員會，
例如在台灣的財團法人全國認證基金會(TAF)、英國的UKAS、美國的RAB等等官方公開網站查詢得到，
而不是在驗證機構私人的公司網站上查詢。
符合這些規則的證書，才是具備有國際公信力的證書，在ISO管理系統的品質上，才會有一定的保障。

導入步驟：

ps. 1
TAF也是臺灣唯一一家受標準法主管機關委託的認證機構（Accreditation Body，AB），
至於包括SGS、BSI等驗證公司，則是所謂的驗證機構（Certification Body，CB），多是私人單位。

根據 ISO/IEC 17000：2004，認證之定義
係「符合評鑑機構提出用以展現其執行特定符合性評鑑任務之能力的正式證明的相關第三人證明」。

歐盟制定了認證與驗證體系，事實上整個認證與驗證體系是目前歐盟重要的經濟基礎建設，而兩者之間存在關鍵差異：
根據 European Regulation (EC) No 765/2008，
「驗證」是指公正獨立之第三者驗證機構授與書面保證人員、產品、程序、或服務符合規定要求之過程或活動，此乃符合性評鑑（conformity assessment）之主要內涵；
「認證」則是權責機關為了制定特定標準，給予驗證機構的正式承認。

後者的特色是，「認證」是在法律架構之下運作的，是政府機關的作為，目的是為了制訂標準，其運作是非營利的，完全獨立於商業動機，因此不會與其他認證機構或符合性評鑑機構相競爭，
認證是獨立且公正的，並且不會參與符合性評鑑活動。

為了執行驗證，權責機關需要指定或認證實驗室（即第三方委託機構），分析官方管制行動採取到之樣本。

強制性產品檢驗領域中之符合性評鑑程序所涉及之組織，包含如試驗室、檢驗機構、驗證機構(Certification Body；以下簡稱 CB)等「符合性評鑑機構」（Conformity Assessment Body；以下簡稱 CAB）、認證機構、 CAB 指定權責機關與法規主管機關。而在規範與文件上又涉及雙方技術性法規、CAB 認可標準、測試報告與驗證證書（或稱符合性證書）四者（參見下圖 3）

(Sources: 我國參與亞太地區雙邊及多邊合作協定 TBT 議題談判有關符合性評鑑結果接受的作法分析及效益研究 p.49)

2.
局部還是全部導入？　端視單位願景及資源多寡

(https://www.digitimes.com.tw/tech/dt/n/shwnws.asp?cnlid=14&id=0000093215_A824T31FUJ22A2L40AN9W)
實踐ISMS可一點也不容易，單位究竟該「全方位導入」抑或「局部導入」？關於這點，建議單位視既有的資金與資源決定，因為要實踐ISMS，也就是導入ISO 27001，除了得成立專職的推動委員會外，還要進一步
規範資訊安全政策制定及評估、
組織的資訊安全與分工、
資產管理、
人力資源的安全、
實體與環境安全、
通訊與作業管理、
存取控制、
資訊系統取得、開發、維護、
資訊安全事故管理、
營運持續管理及遵循性等管理事項。

一般來說，B級學校單位都是從落實計算機中心的資訊安全管理開始，然後再視情況決定是否要導入。

「訣竅在於釐清單位的實際運行狀況以及 ISO 27001規範。」
靜宜大學計算機與通訊中心網路通訊組組長張鳳伶指出，
由於ISMS不是1套自動化系統工具，
而是以規定規章與制度等管理手段落實資安管控，
這意味著沒有一體適用的資訊安全管理規範，
儘管有範本可供參考，但每個單位仍然必須視實際運作狀況，規範相對應的管理規約。

王清德表示，由於ISO 27001的核心概念在於建立具備「規劃(Plan)」、「執行(Do)」、「檢查(Check)」及「行動改善(Action)」循環模式的資訊安全管理機制，以確保內部資訊系統的機密性、完整性及可用性，
不過，這種作業模式往往比單位現有的管理機制嚴謹，
在此狀況下，我們能否依照ISO 27001的要求，
規範兼具「便利與安全」的管理規章，十分重要，
因為，不符合實際運作方式的管理機制，不僅會導致相關人員的作業不便，也是促成管理規範與實際運作迥然不同的關鍵。

此外，為凝聚共識，以及確保相關同仁不會陷入為通過ISO 27001而進行ISO 27001認證的窘境，
從計算中心著手導入ISMS的靜宜大學與勤益科大的計算中心全體同仁，都是一同參與ISMS專案。
王清德指出，勤益科大也曾想過直接聘僱外部諮詢顧問協助制定資訊安全管理規範，
但基於「最清楚校務運作流程的是計算中心的同仁」，以及「執行ISMS的也是計算中心同仁」等2點，
最後，勤益科大僅聘僱顧問提供諮詢服務，管理規章與制度仍是透過計算中心的同仁相互討論而訂定的規範。

有效彙整與管控文書資料　讓ISO 27001認證更容易

王清德表示，對計算中心的同仁來說，無論是制定管理規約，或是編修相對應的管理文件，都是額外的工作項目，
而且，這類工作往往需要同仁在下班時間留下來一同討論，
不過，這是一個必要的過程，因為一起歷經這個過程，不僅可強化同仁們的資訊安全管理知識與經驗，亦可強化其在資訊安全的應變能力。

「在進行ISO27001認證之前，以編修文件最為困難，」
王清德指出，儘管文件的編修極耗費資訊資金與資源，但卻是不可不為的工作，
因為，資訊安全管理規範文件是認證單位進行稽核的準則，
因此，勤益科大計算中心的同仁，除了會在每個星期一次的資安會議中，
商討各項的管理規章與制度，亦會進一步審核相關人員是否已依照上週討論過的管理規約與制度，編修相對應的管理文件。

◎順利通過認證的小訣竅

•由上至下的支持與參與，這方面可透過宣導資訊安全的重要，
以及開設有助提升資訊安全認知等教育訓練課程的方式落實。
•輔導公司與認證公司必須不同。
•為確保順利通過認證，可在各階文件完成時，先透過內部稽核的方式進行預評。
•所有表單都必須清楚填寫，否則必須說明理由，例如完全沒有事件發生或其他因素。
•注意表單的關連性問題，例如備份時間與維修記錄卡時間是否相同，以及調閱監視系統記錄與主機房進入登記表人數是否吻合等。
•內部人員(含工讀生)及維護廠商(公司及個人)必須簽訂保密切結書。
•確實標示資訊資產，並落實分級保管。
•可透過系統工具，降低文管人員花費在處理內稽、外稽、文件審查與預評等作業項目的修正程序及規範，
例如個人化資安稽核清單與線上稽核，以及自動化適用性聲明書分析與產出等。

◎從BS7799到ISO 27001

•什麼是BS 7799？BS 7799是由英國標準協會(British Standards Institute；BSI)制定，
並於1995年頒布的資訊安全管理規範(Information Security Management Systems；ISMS)，
1家企業只要能夠做到BS 7799的要求，並通過獨立稽核機構的評鑑，便可獲頒BS7799資訊安全認證。

•什麼是ISO 27001和BS 7799差別在哪？

BS 7799 Part I在2000年被採納為ISO 17799:2000，並在2005年修成ISO 17799:2005，
ISO17799是資訊安全管理實施細則(Code of Practice for Information Security Management)；

BS7799 Part Ⅱ則在2005年正式通過成為ISO 27001國際標準，
並於2005年10月正式出版發行，
ISO 27001是1套完整的驗證標準，
詳細說明了建立、實施及維護資訊安全管理系統的要求，
指出實施機構應該遵循的風險評估標準。

]ISO27001:2005上課筆記及補充資料_1
https://dotblogs.com.tw/killysss/2011/05/10/24727

標準與參考的差別

標準：標題有Requirement或者Specification，內文有用shall

參考：標題有Guidance或者Code of practice，內文有用should

概述

ISO 27001是ISMS 系統驗證的判定標準

重於預防而非矯正措施

x 個控制領域,

y 個控制目標

z 項控制措施

ISO 27001“以風險為基礎”的方法論，定義政策，程序和適當的控制項目來管理風險，
本標準制定係為提供用以建立、實作、運作、監視、審查、維持及改進資訊安全管理系統(Information Security Management System)。

ISMS：全面管理系統之一部份，
依據企業風險導向用以建立、實作、運作、監視、審查、維持及改進資訊安全，
建立在【風險評鑑與管理】的基礎上。
有分為局部性及全公司性的檢驗，一般而言業務單位也要納入。

資訊安全(Information Security)：資訊就是一種資產，和其他重要的營運資產一樣有價值，因此需要持續給予妥善保護，這就是資訊安全，它包含技術面與管理面，需要通過實施一整套適當的控制措施才能實現，強調相對安全。

儲存與傳遞資訊：要了解才能制定政策，無論資訊的形式為何，以何種方式分享或儲存，均宜加以適當的保護，越傳統的傳輸方式要越注意安全。

過程導向(Process approach)：任何使用資源與管理以促成將輸入轉換為輸出的活動，稱為過程。

本標準採用PDCA(Plan-Do-Check-Act，規劃-執行-檢查-行動)過程模型

小PDCA：4.2.1→4.2.2→4.2.3→4.2.4

大PDCA：4→5→6、7→8

ISO27001:2005 章節說明

4.2.1

a.界定ISMS 的範圍及界限

b.界定ISMS 的政策

----------------------------------------------

c.界定組織的風險評鑑方法

d.識別各項風險

e.分析與評估各項風險

--------------------------------------------

(c-e 稱為風險評鑑)

-------------------------------------------------

f. 識別並評估風險處理的各項選項辦法

g.選擇控制目標及控制措施以處理風險

h.取得管理階層對殘餘風險的核準

-----------------------------------

(f-h 為風險處理)

i.取得管理階層實作及操作資訊安全管理系統的授權

j.擬一份適用性聲明

參考資料

ISO 27001:2005 主導稽核員課程

ISO27001:2005上課筆記及補充資料_2

風險分析

Asset & owener 資產及其擁有者

Asset Value 資產價值

Vulnerabilities 脆弱性

Threat 威脅

Probability/Likelihood 機率/可能性

Impacts/consequence 衝擊/後果

風險處理

採取降低風險的措施—採用適切的控制措施

若其明顯的符合組織政策與風險接受準則—接受它(剩餘風險)

迴避風險

轉移風險– 利用保險或其他方式處理

資訊資產六大類

軟體、硬體、人員、資料、文件、環境

資訊資產評估暨風險管理與風險評鑑教育訓練
(https://pims.ocu.edu.tw/ezfiles/47/1047/attach/43/pta_14382_1677305_10030.pdf)
TEJ 金融業作業風險資料庫模組說明
http://www.tej.com.tw/webtej/doc/woprisk.htm

資訊安全制度文件管理架構(4.3)

適用範圍

涵蓋所有型式的組織

營運：為組織存在目的所進行的核心活動

設計各種控制措施可以參照CNS27002

應用

要求一般性且適用於各組織，排除本標準第四到八節任何要求不被接受 (Q)

名詞解釋補充

資產：對於資訊安全有價值的

Two Main Security Questions:
1. Who are you?
2. What should you have access to?

機密性（confidentiality）：
不該看的人看不到。
使資訊不可用或不揭露給未經授權之個人、個體或者團體，保護資訊不被非法存取或揭露，先要做好資訊分級標示，分類後要標示等級。
(如 Hacker 洩漏你信用卡信息，就是機密性的問題)

完整性（Integrity）：
不該用的人不能用。
保護資產的準確度(accuracy)和完全性(completeness)的性質，確保資產能正常運作及資訊在任何階段沒有不適當的修改或損毀。
(如網頁被駭、Hacker 偽裝成你發送 e-mail ，就是完整性的問題)

可用性(Availability)：
不該停的人不能停。
經授權個體因應需求之可存取即可使用的及經授權的使用者能適時的存取所需資訊性質。
(如硬體故障，使得授權的使用者無法使用；Hacker 的 DoS 用虛假請求使網站超載，使其變慢，或其他人無法訪問，就是可用性的問題)

不可否認性( Non-repudiation ) ：防止存心不良的使用者否認其所做過的事，包括送出信件，接收文件，存取資料等。即交易的收發雙方無法否認執行過的交易。例如【數位簽章】就具備不可否認性。

身分鑑別( Authentication ) ：辨別資訊使用者的身份可記錄資訊是被誰使用過。
3 Types:
(1) What you know? (e.g. username, password,...)
(2) What you have? (真實 user 才有的秘密 token，e.g. 實體的鑰匙和鎖, ......)
(3) What you are? (you, e.g. 指紋識別、虹膜識別等生物認證......，具概率性，且如遭洩漏則無法 Reset)

例如帳號、身份字號、員工編號等。
So, 多重驗證重要的帳戶。

Cryptography: The Science of Making and Breaking Codes

https://www.youtube.com/watch?v=-yFZGF8FHSg

Cracking Enigma in 2021 - Computerphile
https://www.youtube.com/watch?v=RzWB5jL5RX0

存取權限控制( Authority ) ：依照職務或階級身份給予適當的權限。例如：銀行的櫃臺是不被允許進入保險櫃，僅有組長以上的權限才能進入。

Permissions or ACL (Access Control Lists)
Public, Secret, Top Secret
不應該向上閱讀 (Read Up)、不應該向下寫 (Write Down) < Bell-LaPadulla 模型
其他訪問控制模型，如 Chinese Wall Model, Biba Model

可歸責性( Accountability ) ：所有主要的資訊資產應有人負責，並指定資產的所有人負責保護，管理的記錄必須是可以追溯，用於敏感度很高的系統。

可靠度(Reliability)：資產多久不會損壞或遺失。

資訊安全事件：有攻擊資安的事件，強調通報。

資訊安全事件：對於資安有害的事件，強調處理。

One of the Holy Grails of system level security is a security Kernel or a trusted computing base:
A Minimal Set of Operating System Software that's close to provably secure.
正式驗證程式代碼 Indepedent Verification and Validation

Isolation (沙箱應用程序)

ISO 27001資訊安全管理系統的好處

資訊安全管理系統的運行及ISO 27001驗證能為企業帶來許多重要的策略與營運優勢

強化企業安全：

透過資訊安全管理系統的運行及ISO27001驗證程序，可減少企業網路的弱點，並提高企業的風險控管能力。

減少弱點意味著較少的安全漏洞，詐騙行為、財物風險與法律風險也會跟著減少，
當然網路的連續運作時間與顧客信心也會隨之提高

提高安全規劃效率：

ISO27001列舉了分屬於十項領域共133條控制項目及其控制細項目，將明確導引企業如何進行人力資源、法務與突發事件應變的規劃。這些針對資訊安全而提出的全面性詳細建議，可使得企業開始導入安全措施時，作到更完善、更容易管控且非常符合經濟效益。

提高安全管理成效：

企業將開始制定或重新檢視其資訊安全政策與程序。
與企業一般的安全計劃不同的是，ISO27001已證實是資訊安全的最佳實務準則法則，並且在實際商業資訊安全中測試過其成效。

持續保護：

企業經過驗證後，稽核機構的持續檢驗與ISO27001的持續更新，將確保企業隨時了解最新的弱點以及最佳的實務準則法則。

改善與供應商的合作關係：

為了讓企業網路受到更好的保護，同時又要能進行電子資料交換，企業可以資訊安全管理系統的運行及ISO27001驗證作為合作夥伴與供應商的安全要求。

安全的電子商務：

資訊安全管理系統的運行及ISO27001驗證等於是一個安全徽章，
無論是財務機構或電子商城，消費者都能輕易分辨出哪些是經過驗證值得信賴的電子商務公司。

提高顧客信心：

隨著顧客與廠商對網路安全漏洞愈來愈謹慎，他們也會開始尋求具體的安全保障，資訊安全管理系統的運行及ISO27001驗證能提供他們需要的信心。

降低法律風險：

企業透過資訊安全管理系統的運行及ISO27001驗證後，將可減少因為資訊安全突發事件而面臨的法律問題，因為法庭將會把企業符合ISO27001該項標準的事實，認定為企業已經做到足夠程度的安全防護。

ISO27001 實作

成立ISO27001 小組

界定公司ISMS 的範圍及界限

界定公司ISMS 的政策

清查資訊資產

針對資訊資產評定其風險值

選擇風險處理的方法

寫一份適用聲明書

成立資訊安全推動工作小組

資訊安全官

管理代表(簡稱“管代”)

資訊安全部主管

管理部

文件管理中心

稽核

ISO27001:2005上課筆記及補充資料_3

附錄A控制項目

11個控制領域

39個控制目標

A.05.1 資訊安全政策	依照營運要求及相關法律與法規，提供管理階層對資訊安全之指示與支持。
A.06.1 內部組織	於組織內管理資訊安全。
A.06.2 外部團體	維持外部團體所存取、處理、管理或與其通信之組織資訊與資訊處理設施的安全。
A.07.1 資產責任	達成及維持組織資產的適切保護。
A.07.2 資訊分類	確保資訊受到適切等級的保護。
A.08.1 聘僱之前	確保員工、承包者及第三方使用者了解其責任，並勝任其所被認定的角色，以降低竊盜、詐欺或設施誤用的風險。
A.08.2 聘僱期間	確保所有員工、承包者及第三方使用者認知資訊安全的威脅與關切事項、其基本責任與強制責任，並有能力在日常工作中支持組織安全政策與降低人為錯誤的風險。
A.08.3 聘僱的終止與變更	確保員工、承包者及第三方使用者以有條理的方式脫離組織或變更聘僱。
A.09.1 安全區域	防止組織場所與資訊遭未經授權的實體存取、損害及干擾。
A.09.2 設備安全	防止資產的遺失、損害、竊盜或破解，並防止組織活動的中斷。
A.10.01 作業之程序與責任	確保正確與安全地操作資訊處理設施。
A.10.02 第三方服務交付管理	實作與維持適切等級之資訊安全及服務交付，並能與第三方服務交付協議一致。
A.10.03 系統規劃與驗收	使系統失效的風險最小化。
A.10.04 防範惡意碼與行動碼	保護軟體與資訊的完整性。
A.10.05 備份	維持資訊及資訊處理設施的完整性與可用性。
A.10.06 網路安全管理	確保對網路內資訊與支援性基礎建設的保護。
A.10.07 媒體的處置	防止資產被未經授權的揭露、修改、移除或破壞、以及營運活動的中斷。
A.10.08 資訊交換	維護組織內及與任何外部個體所交換資訊與軟體的安全。
A.10.09 電子商務服務	確保電子商務服務的安全性及其安全的使用。
A.10.10 監視	偵測未經授權的資訊處理活動。
A.11.1 存取控制的營運要求	控制資訊的存取。
A.11.2 使用者存取管理	確保經授權使用者對資訊系統的存取與防止未經授權的存取。
A.11.3 使用者責任	防止未經授權的使用者存取資訊與資訊處理設施，以及使其遭受破壞或竊盜。
A.11.4 網路存取控制	防止網路服務遭未經授權的存取。
A.11.5 作業系統存取控制	防止作業系統遭未經授權的存取。
A.11.6 應用系統與資訊存取控制	防止應用系統中的資訊遭未經授權的存取。
A.11.7 行動計算與遠距工作	確保使用行動計算與遠距工作設施時之資訊安全。
A.12.1 資訊系統的安全要求	確保安全是整體資訊系統的一部分。
A.12.2 應用系統的正確處理	防止應用系統中資訊的錯誤、遺失、未經授權的修改或誤用。
A.12.3 密碼控制措施	藉由密碼方式以保護資訊的機密性、鑑別性與完整性。
A.12.4 系統檔案的安全	確保系統檔案的安全。
A.12.5 開發與支援過程的安全	維持應用系統軟體與資訊的安全。
A.12.6 技術脆弱性管理	降低因利用已公佈的技術脆弱性所導致的風險。
A.13.1 通報資訊安全事件與弱點	確保與資訊系統相關的資訊安全事件與弱點，被以能夠採取及時矯正措施的方式傳達。
A.13.2 資訊安全事故與改進的管理	確保採用一致與有效的作法於資訊安全事故的管理。
A.14.1 營運持續管理的資訊安全層面	為對抗營運活動中斷，保護重要營運過程不受重大資訊系統失效或災害的影響，並確保及時再續(resumption)
A.15.1 遵循適法性要求	避免違反任何法律、法令、法規或契約義務，以及任何安全要求。
A.15.2 安全政策與標準的遵循性以及技術遵循性	確保系統遵循組織的安全政策與標準。
A.15.3 資訊系統稽核考量	使資訊系統稽核過程的有效性最大化，並使其產生或受到之干擾降至最低。

關聯性

A.8.2.2資訊安全認知、教育及訓練

5.2.2 訓練、認知及能力

A.10.6.1 網路控制措施

A.11.4 網路存取控制

A.10.7.2 媒體的汰除

A.9.2.6 設備的安全汰除或再使用

A.11.3.3 桌面淨空與螢幕淨空政策

A.7.2.1 分類指導綱要

A.7.2.2 資訊標示與處置

A.12 資訊系統獲取、開發及維護

A.10.2.3 系統驗收

A.12.5.1 變更控制程序

A.10.1.2 變更管理

A.15.1.3 組織紀錄的保護

A.7 資產管理

A.15.2.2 技術遵循性查核

A.12.6 技術脆弱性管理

***
5.
企業網路安全設計與解決方案 McGraw-Hill 溫健碩 (2002)
Case

***
6.
(2006)
https://www.ithome.com.tw/tech/39553

整體安全的防護雖然聽起來很新穎，卻和我們所熟悉的資訊安全概念無太大衝突，許多專家們均強調要從企業的整體角度來看安全，而不是從單一觀點或項目來看防護是否做得夠徹底。

文/李宗翰 | 2006-09-25發表

企業資安防護
企業想作好資安，還是一句老話：要建立政策（Policy）和架構（Framework），整合人員、流程和技術等三方面的資源。假如企業對資訊安全完全沒有想法，每見到一種類型的產品就買一套，很可能到最後才發現和企業本身的防護需求會完全不能搭配。

新時代的資安挑戰
Symantec以「重建使用者對於線上安全互動行為的信心」為口號，認為由個人電腦做為基礎的Security 1.0，在Web 2.0時代該全面提升至端對端的安全（End-to-End Security）的Security 2.0。

資安大未來：用整體而非片面的態度去看待企業安全
由於企業在日常營運有不同優先順序、資產價值，要從整體來看，才知道那些是重心，那些可以延後處理，區分成不同重要等級，再按這些分類投入適當的資源去保護。企業資安防護

說到當今網際網路發展中最受眾人所矚目的辭彙，非「Web 2.0」莫屬，維基百科是這樣定義的：「一種以網際網路為基礎第二代的服務形態，讓人們用新的方式在線上協同運作和分享資訊」，例如社交網站、Wiki和民眾分類（folksonomies）。

隨著Web 2.0標記著網路新時代來臨，近年來開始有人跟進倡議Security 2.0，同樣想藉由創造流行語，為資訊安全宣示新的意義，不讓Web 2.0專美於前。

曾以Security 2.0為題發表看法的，可追溯至2005年四月號的CSO Magazine，由資深編輯Sarah D. Scalet撰寫以Constellation能源集團為研究對象所的案例分析，旨在討論實體安全（Physical Secuirty）結合資訊安全的導入應用；另一個場合是Symantec的技術長Mark F. Bregman，在Software 2006的研討會上，則從Web 2.0延伸，首度以公司立場拋出Security 2.0的話題。

整體安全防護的需求逐漸浮現
在Constellation能源集團內，他們透過專案的方式，將傳統的企業實體安全部門和資訊安全部門，整併為單一的安全作業中心（Security Operation Center），Sarah D. Scalet認為該案例在資訊安全的應用上呈現了整合（integration）和聚合（convergence）的特色，可稱之為整體安全（Holistic Security）。然而整體安全不是2006年才蹦出來的，早在三、四年前就有人在討論這種可能性。

以美國政府為例，國土安全部目前有一套邊界安全計畫（Border Security Initiative，America Shield Initiative前身），主要透過電子感應器與影音設備監視國家邊界，國土安全部可以監視與追蹤人員和物資活動。

整合資訊安全與實體安全，對所有企業、組織和使用者意義相當重大，目前已經有由CA發起的跨業別論壇「Open Security Exchange」，專門負責提供此種安全領域內的中立性的跨平臺規格和最佳實務指南。

除了Open Security Exchange 論壇，美國安全器材工會（ASIS）、資訊系統稽核與控制協會（ISACA）、資訊系統安全協會（ISSA）等三個組織也在2005年二月成立了企業安全風險管理聯盟（Alliance for Enterprise Security Risk Management，AESRM），以問卷調查企業的安全長(CSO)、資安長（CISO）和相關的資安專業人員，同年發表了「Convergence of Enterprise Security Organizations」報告，這些討論、結盟與調查的結果，關切整體安全標準發展的企業可以繼續注意他們的動向。

網管與資安人員之間的協同
Web 2.0不僅注重個人化，更強調協同運作，使用者如此，這個道理同樣適用於企業的管理，特別是安全性。

雖然實體安全的整合是意義重大且必要的作為，然而讓我們重新回歸到資訊/網路/網際網路安全的範疇，企業IT是否已經做到滴水不漏的安全？

不看實體安全，光看企業的資訊安全管理，恐怕問題比想像中還要棘手。許多大型企業的網路與安全部門是分開作業的，而且這兩個部門的工作經常互相衝突，網路部門認為安全部門的設施，讓網路架構變得很複雜而且拖垮傳輸速度，安全部門則認為網路部門的做法與安全要求背道而馳，Blue Coat技術長Alagu Periyannan提醒，導入安全性做法所涉及的社交與人際關係因素，重要性不亞於實體安全，他認為安全與應用加速需求，最終還是一併解決，克服掉傳統資安技術的傳輸與處理瓶頸，同時又能確保加速的是正常的網路應用流量。

以臺灣的企業環境來說，很多MIS人員較熟悉網路和系統管理的概念，但是對資訊安全大多沒有很完整的想法和規畫。

假如企業的IT人力充裕，管理網路、系統、安全的人都是分開的，然而問題在於安全系統只能透過特徵碼資料庫或既有規則，辨識非法存取行為，如果是太過新穎的威脅侵入手法，可能就得靠網管人員發現的異常現象協助判斷，例如異常網路流量、不正常的封包類型或大幅激增的設備處理量等，就有可能是攻擊或企圖損害系統的狀況。

台灣思科系統產品技術經理胡昌臺表示，只靠網管人員的觀察與經驗，無從完整判斷到底發生了什麼事，因此一些較進階的管理系統開始整合網路的拓樸架構，收集網路流量資訊和資安系統收集到的事件訊息，同時交錯分析資料，透過主控臺呈現與下達隔離指令，而這些儀表板和控制介面就是SOC或SIMS在做的事情。

小企業也必須重視整體安全
趨勢顯示著資訊安全與實體安全將日漸合併成整體安全，是否意味著只有大型企業集團因為環境較為複雜，或因為網路化、E化得很徹底，所以才需要這麼作呢？

其實不然，對中小企業而言，許多重要的資料交易行為，有時並未透過操作資訊系統的過程，儲存在後端資料庫，甚至不硬性規定強制員工上傳檔案，缺乏集中保管的機制，使得資料多半儲存在員工的個人電腦上，無形中增加許多實體安全的風險。例如缺乏磁碟陣列保護的員工電腦，一旦硬碟故障，損失將難以估計；此外，員工電腦暴露在辦公室的半開放式空間，安全性並不如長期實施人員管制的電腦機房（至少有兩重門禁）。

既有的資安防護觀念不可拋
整體安全的防護雖然聽起來很新穎，卻和我們所熟悉的資訊安全概念無太大衝突，許多專家們均強調要從企業的整體角度來看安全，而不是從單一觀點或項目來看防護是否做得夠徹底。

從存取控制的角度來看，實行多年的實體安全控管，可以作為資訊安全的絕佳對照。以出入每棟建築物或工業園區為例，當你進入時，得先通過員工身分驗證或登記為訪客才能進出，假如每個人通過後，都可以毫無阻礙地開啟這個區域裡面每一扇門，進入每間辦公室或場區，這樣的安全措施保護的範圍很有限。

企業普遍使用的網路防火牆也適用這個道理，只是在閘道端驗證和辨認網路流量，一旦進入內部網路後，卻什麼都管不到，其實並不合理。相對的，裝機率高、個人使用者最熟悉的防毒軟體來說，僅能保護主機本身，也很有限，雖然也有處理網路病毒的能力，但是卻無法及早主動在更上游的網路位置上將威脅直接攔截下來。不管是防火牆、防毒軟體或IDS/IPS、或新近具備防禦網路異常功能的交換器/路由器，可能就得花很多錢、部署更多的損害控制點予以攔截，以達到縱深防禦（Defense In Depth）的效果。

縱深防禦不只涵蓋資料、應用程式、主機、內部網路與各種邊界，也包括實體安全、政策和資安意識。資料來源：微軟

當企業花了大錢、也建置了設備，管理的負擔依然需要人去支撐、主導，因此更聰明的整合管理架構，以及網路設備與資安系統彼此協同運作的功能，加速攻擊反應速度，已經成為眾家IT廠商努力的目標。

規畫好政策與架構是整體安全防護的第一步
企業想作好資安，還是一句老話：要建立政策（Policy）和架構（Framework），整合人員、流程和技術等三方面的資源。假如企業對資訊安全完全沒有想法，也不仔細推估需求，一味地被IT廠商的行銷方案牽著鼻子走的話，每見到一種類型的產品就買一套，很可能到最後才發現和企業本身的防護需求會完全不能搭配。

首先你必須了解企業的資安防線該設在哪些位置？因為安全和方便性是需要權衡的，不能太安全，導致員工沒辦法做事，但也不能沒發生重大危安事件，就不去照料，假如這樣隨性，企業辛苦經營累積的一些商業智慧和商譽都將毀於一旦。

由於企業網路所包含的每項設備和元件都需要受到保護，但是應該根據重要性和價值，提供不同深度的防護。香港商第一線業務部副總裁張偉健說：「An army everywhere is an army nowhere.」，他認為用相同的態度保護企業所有的資產不切實際，也無法善用資源，而縱深防禦強調整體防護，注重專業分工和合作，不同層次之間還是可以互相合作，集合訊息和能力防禦攻擊。

如何評估電腦實體安全

由於各行各業的營運日漸重度仰賴電腦，然而想要讓系統停頓，不見得需要特殊的專業能力，只要用實體的方式破壞IT設備，即可對資訊安全造成威脅。除了人為的禍害，天災也是不能忽略的因素，實體安全的考量，即為了防止萬一。

McGraw-Hill公司建議以下幾種評估電腦實體安全的原則：
一、考慮建築物場所位置：
● 樓層是否遠離發電廠或變電所。
● 所處樓層是否不易遭受水患。
二、行政管理：
● 對進出主機房人員的管制方式及身份的限制方式。
● 廠商維護時陪伴人員的身份。
● 管理系統管理者密碼持有人。
● 資訊部門人員有意見時反應之管道是否順暢。
● 資訊部門成員離職時的處理程序。
● 資訊部門人員職務代理制度。
● 系統維護措施。
● IT資源的保險措施是否有明確制度規範。
三、系統管理及軟體安全：
● 作業系統是否有專人管理。
● 系統備份執行頻率。
● 對於電腦病毒如何處理。
四、電腦操作及資料安全：
● 對電腦設備操作訓練及資訊安全相關課程。
● 操作程序是否有說明文件。
● 操作人員、值班人員的配置。
● 檔案、磁碟、磁帶的報銷及銷售管制。
● 電腦系統各設備及通信網路設備的檢查測試。
● 對於使用之資源資訊的各級分類情形。

歷年來歐洲與北美的安全整合支出與預測新時代的資安挑戰

Web 2.0為網際網路重新啟動新的商機，網路公司的投資者更懂得要求網站必須要有實際業績支持，使得網路公司營運進入較完整、實際和健康的階段，然而網路威脅日漸增多，卻讓使用者不再信任網路，一些IT大廠已經開始注意到這種現象，而感到憂心忡忡。

為了替自家的整合式安全防護線上服務Norton 360（先前的代號是Genesis）暖身，Symantec以「重建使用者對於線上安全互動行為的信心」為口號，認為由個人電腦做為基礎的Security 1.0，在Web 2.0時代該全面提升至端對端的安全（End-to-End Security）的Security 2.0。

Security 2.0象徵IT轉變的時刻
賽門鐵克大中華區技術總監王岳忠表示，Security 2.0只是一個口號，它主要是象徵著整個IT環境正在巨變，因此資訊安全也必須因應，形成一個新的觀點和做法，這就是Security 2.0的由來。

綜觀IT發展史，從大型主機、主從式架構（Client-Server）到網際網路崛起至今，賽門鐵克認為，每當運算架構大幅更動時，從時間上都可以觀察出會有明顯的瞬間「大躍進」。支持Symantec這樣思考的證據何在？王岳忠說，從使用者/企業的期待、軟硬體技術提升、電腦硬體單位成本持續下降、業界發展的驅動力，或是經濟模式調整－從IT投資/GDP的CAGR複合成長比率，從這些蛛絲馬跡中都可以看出改變正在成形的跡象，Symantec預估2016年之前，這股躍升的動力就會出現，讓網際網路進入2.0。

軟硬體環境不斷演進、日益複雜化，引發變革
在Symantec的觀察中，IT技術的演進是持續、而且可以計量的，如同摩爾定律（Moore's Law）「同樣尺寸的IC晶片上可容納的電晶體數目，因製程技術的提升，約每隔18個月便會增加一倍」，因此晶片執行運算的速度加快，性能也將提升一倍，但成本還是維持相同。例如現在512MB的記憶體大約1260元，同樣的容量30年前卻要目前售價的一百萬倍才買得到。

過去系統虛擬化只能在大型企業、資料中心或專屬主機上應用，現在虛擬化可以更彈性，有些中型企業已經開始有能力建置虛擬化的整合環境。

桌上型電腦與筆記型電腦稱霸PC產業多年後，在一些企業裡面智慧型手機、PDA甚至直接取代筆記型電腦，除了能收發行動電子郵件外，業務員到客戶簡報時，檔案可以儲存到這些可攜型裝置，工作照樣進行。

除了高效能硬體容易取得，寬頻網路的無所不在、系統操作權力下放給使用者個人，以及全球化趨勢，這些都是推動變革的因素。

硬體成本下降，消弭集中化的必要性
除了處理器、記憶體，其他電腦周邊設備，也有類似的情形，硬體效能越來越好，價錢則越來越低，外型越來越小，處理能力與價格因素逐漸消失，不再受限於硬體很貴、體積龐大，所以需要將資源集中化，當各種硬體、技術日漸普及，運算平臺也將從大型主機下放成其他類型的小型運算設備，甚至擺脫系統的形式，演變成抽象的「服務」。

軟體服務化，使用更彈性
Web 2.0的話題開始興起後，軟體隨選服務（Software as a Service，SaaS）跟前述兩種辭彙也開始受到企業的關注。從最近電視上常出現的防毒防駭服務廣告「HiNet ADSL－守衛篇」，也可以看到資安軟體變成服務的趨勢，ADSL用戶能夠隨時租用與退租個人與企業防毒防駭軟體，不用一次性買斷，用一年後又得煩惱倒底該續約更新，還是換新版本。

除了SaaS，服務導向架構（Service-Oriented Architecture，SOA）也是目前企業資訊系統相當重視的架構變革，如果想要建構一個電子交易平臺，一開始會先基於服務與資訊分享的需求，去考量該搭配哪些硬體和系統，使用開放的標準，便於系統之間溝通。以往企業為了想要提供服務給顧客，就得不斷開發新的系統，然後這些系統之間各自為政，整合時又得費很多工夫。

程式開發標準開放化，委外引爆創新潮
各種程式開發除了走向標準化，許多程式開發工具都逐漸開放，連微軟也開始擁抱開放原始碼，想領導業界應用程式標準的技術，就必須更開放，讓所有開發人員都能很方便地取得、實作，才可能成為標準。

以往全球性的系統開發多半集中在美國或日本，近來這些地區的廠商紛紛將工作外包給印度或中國的軟體開發人員，當這些國家接到這麼多的外包工作後，會有很多機會累積創新的能力，未來新的想法和觀念不見得來自美國或歐洲、日本等先進國家，而可能是從亞太地區的印度、中國。

個人/消費端擁抱新科技，牽動企業IT
大部分技術改變都會從個人/消費端開頭，像PDA、數位相機、MP3隨身聽、照相手機、3G電話等新科技，通常都是由喜歡玩新奇物品的個人消費端率先接受，由於他們幾乎隨身攜帶這些新科技配備，於是又帶到公司內，和工作結合，對企業管理造成衝擊。這也是會發生革命的原因之一。

資料數位化，凸顯儲存與備份管理重要性
過去，企業大多把個人電腦當成終端機使用，處理的資料往往儲存在資料庫系統或檔案伺服器，留在個人電腦上的檔案副本搞丟了，還可以到伺服器上找回來，個人消費端儲存的資料也很有限，所有資料都在同一臺電腦上。

但是目前的資訊環境已經大不相同。首先，資料量非常大，卻分別儲存在不同的位置上，例如透過數位相機拍下來的照片，幾乎最後都會放在電腦上，因為方便、更隨心所欲，忘了好好分類，並整理燒錄成光碟；像隨身碟、MP3隨身聽（音樂）、手機（連絡人）、PDA（電子書、行事曆）裡面也存有不同形式的數位資料，雖然有人會記得資料定期同步到個人電腦上，但多數資料還是散落在各處，而且缺乏管理和備援機制的。

更多的資訊分享與協同運作，帶來身分危機
因為Web 2.0持續強調資訊分享與協同運作，加上人們繼續依賴網際網路，因此身分管理與隱私權保護將會成為當代資訊安全保護的當務之急。

不只是企業要注意B2B的線上交易安全，許多人也很熱中網路拍賣，或是使用線上金融服務下單購買股票或基金－越來越多生意透過網路這個平臺進行線上交易，許多人把平常上網的習慣和行為，上班時繼續帶到公司的網路環境上使用，王岳忠表示，Symantec認為下一步該保護的是「線上互動與交易」，所以如何防止網路詐騙行為、控管員工上網政策，都是企業必須關注的新焦點。

在既有的「資訊」保護上，Security 2.0時期不能讓資料隨意洩漏出去，而且要有完善的資訊歸檔機制，以及周邊設備政策遵循（Device Compliance），例如管制不當的USB設備存取，能分辨連接的設備是否具備讀或寫的能力，並予以一定的限制。

最底層的「基礎架構」保護更是Security 2.0的基本功，企業要用政策控管，並且面臨到更多的法規必須要遵循，甚至會接觸到用多少付多少的公用運算，服務須按照SLA的方式計價。

其實Security 2.0的主要目的，在於標定整體的資安防護需求和發展方向，想要落實，倒不一定都要靠資安產品，有些可以從基礎架構面來幫忙，類型上屬於網路設備或是系統備份還原解決方案。

靈活的網路應用，潛藏更重大的危機

當威脅造成的破壞規模增大，我們卻日益依賴網路，而新的網站應用程式和技術又讓安全變得更艱難，例如使用XML、SOAP、AJAX的動態網頁內容，替許多黑客和罪犯製造機會，研發出新類型的威脅。此外新的應用程式，設計得更靈活，無須透過任何足以辨識的通訊協定，即可利用各種能夠聯外的網路埠連上網際網路，例如Skype。另一方面SSL加密也替資安威脅和企圖規避企業資安政策的員工或侵入者，裹上看不透的新式「黑色外衣」，Blue Coat 技術長Alagu Periyannan認為這些因素組合起來，將劇烈地改變網際網路安全的景觀。

資安大未來：用整體而非片面的態度去看待企業安全

網際網路興起之後，還會出現那些變革？VoIP、Web 2.0、M化，這些都是改變，既然新的IT發展趨勢已經浮現，Security 2.0比起人人皆可言之成理的Web 2.0，雖然同樣空泛，然而大部分專家對今後該如何強化資訊安全，卻都抱持著相同的看法：用更整體的態度去看待資訊安全。

不只是靠防毒軟體、網路防火牆、IPS這些有形的防護設備，重點應針對保護對象的不同，提出適當的對策，同時從去和宏觀的視野看待整體安全。由於企業在日常營運有不同優先順序、資產價值，要從整體來看，才知道那些是重心，那些可以延後處理，區分成不同重要等級，再按這些分類投入適當的資源去保護。

以往企業非常依賴資訊系統，舉凡會計、財務、庫存管理等系統中所儲存的交易內容，最後都會納入資料庫內，成為具結構化的資料，員工操作的個人電腦只是用來提取公司資料或執行流程用的工具，但目前這種習慣已經有所鬆動。檔案的交換日漸頻繁，PDF、簡報、試算表等文件，除非透過文管系統集中上傳收納，或是利用自動轉檔匯入系統，否則不太可能任意存放在結構化的資料庫裡面，在有些情況下，檔案固然集中化保管了，但多少會發生內容多次修改，導致系統無法容納與記錄不同版本。整體而言，資訊系統內的資料是日益分散的、而且趨於非結構化，但重要性也非常高。

當原有的系統與結構化資料繼續運作、存在，但資料逐漸以非結構化的狀態呈現，不再是中央控管能夠管理的。

應用安全與資料保全的重要性將日漸提升
除了內容的離散和非結構化，網站服務的變化，讓我們體驗到更多的可能性，例如因為Web 2.0的緣故，我們現在可以透過RSS讓網站資訊得以動態的傳遞，Wiki也是協同作業非常重要的典範，系統可以允許使用者共同編輯和討論一份文件，量和質都會進步很快。應用程式勢必得允許更多的互動，如此一來，潛在的威脅也會增多，因為網頁內容假如只能瀏覽、不能修改、張貼，還算安全，假如內容可以任意輸入或刪除，風險和衝突就會增加。

企業提供這些多元的網路應用之餘，在此同時，行動工作者仍在持續增加，許多身處相同供應鍊的公司也透過網路彼此連接，再加上電子商務的普及，等於每一秒鐘都有很多重要的商業資料透過網路傳送，所有使用者也更加依賴網路服務品質和安全性，因此企業必須要確保資料庫與應用程式等元件合法、正當且安全地執行工作。

香港商第一線業務部副總裁張偉健認為，全球化經濟的重心將由製造業轉移到服務業，演化成知識經濟，企業的核心競爭力是智慧財產，因此資料的安全將會越來越重要。

對資安廠商而言，目前的一些產品其實已經開始回應這樣的趨勢了。國內負責郵件安全閘道設備的廠商不少，有些已經開始資訊生命週期（ILM）的概念，落實到郵件安全的產品整合上，整合郵件伺服器的過濾、郵件伺服器攻擊防護到郵件的歸檔備份（Archiving/Retention），在這些郵件安全設備中為了要因應企業帳號登入集中化管理的趨勢，所以多已具備LDAP帳號整合功能，能夠同步群組和權限的設定，達到單一登入整合的效果，企業IT部門在接手一套新的產品時，也不會因此得額外管理這套系統的使用者身分。網擎資訊執行副總經理廖長健表示，未來可能每套資安產品出貨後，權限設定與使用者帳號認證，可能透過高度的整合來搭配企業本身的目錄服務，不另行配置專屬的身分管理機制。

應用程式的安全威脅除了系統與程式本身的漏洞外，最常見的問題在於使用者的登入密碼不夠安全，很多人都用自己或親友的生日或有意義的辭彙作為密碼，使得這些密碼的安全性非常脆弱，因此採用動態密碼這類雙因素認證（Two-factor Authentication），已經成為大家都能接受的方案，因為既可以提升密碼安全性，同時又減低記憶密碼的負擔。

法規強制遵循，開始驅動企業正視資訊安全
應用程式的問題，還不止於此，其實還頗為複雜。廖長健以日本為例，一兩年前日本很少積極管制資訊安全，一般人連垃圾郵件都很少收到。一方面是因為日本人平時較少與外國人士互動，重視內部交流，同時也尊重別人，濫發垃圾信並不嚴重，此外，用平假名和片假名拼出來的郵件帳號名稱，用一般的字典攻擊法是很難猜得準的，然而這情況已經不這麼樂觀。

另一方面，2004年網路服務商Yahoo!BB發生員工擅自資料販賣客戶資料、2005年電信業者NTT DoCoMo也發生類似的資料外洩事件。2003年開始，因為P2P分享程式Winny的盛行，日本各大企業如日本雅虎、富士通及 NEC等，都陸續傳出因職員使用 Winny而導致員工與客戶個人資料外洩。Winny的威力讓日本海軍都深受其害，船艦追蹤紀錄及反潛海圖軟體因為軍艦上的幹部未經許可將機密資訊燒錄至光碟、攜回自宅後存於私人電腦中，結果因電腦中毒，使得機密資訊經由Winny外洩。

事實上，日本在2005年4月已經正式實行「個人情報保護法（JPIPA）」，明訂只要擁有5000筆以上個人資料的機構，須防範資料外洩。除了日本，其他的法規遵循要求，還包括針對金融業實施的新巴賽爾協定、美國沙賓法案（Sarbanes-Oxley）、美國金融服務法（Gramm-Leach-Bliley）、美國健康保險流通與責任法案（HIPAA）和美國證券交易委員會法案（SEC Rule 17A-4）等法規，為財務金融服務和醫療照護產業設定新的資料保留需求。

法規遵循的影響範圍不只該國，也涵蓋到其他國家的廠商。像蘋果電腦、Dell都會要求供應鏈內的所有上下游廠商提供很完整的訊息通聯記錄，這樣就可以在有官司訴訟的時候，在24小時或48小時內能夠提出相關佐證。這些工作都必須要在事前準備，等到事情發生後再備份就於事無補了，不只是過期的訊息需要保留，跟營運有關的文件包括所有的電子化資料和紙本資料都要被完整保存，如財務會計資料、Office文件。

臺灣有沒有可能推動資訊安全相關的法規遵循呢？受限於立法速度緩慢的先天障礙，促使企業更重視資訊安全的主要動力，透過政府強制規定的機會仍不明朗。但是新巴賽爾協定和美國沙賓法案都會在今明年開始透過法規，要求整個供應鏈上的公司必須執行訊息留存的工作。製造業一些公司已經開始注意法規遵循，甚至要求限時上線。開始注重訊息安全防護，雖然是為了做生意而不得不做，拒絕接受法規的管束，公司就無法具備在主要合作供應鏈上繼續供貨的資格。

國內外資安廠商其實都樂見企業受到法規遵循的要求，每年編出預算投入資訊安全，除了能協助積極改善資安，同時又能產生更多機會賣產品。然而光靠境外的法規遵循要求，並無法明顯擴大臺灣資安內需，對臺灣的資安廠商而言，還是要走出臺灣去發展，或是更深入地教育企業去思考該用那些方式，讓公司管理或風險控管做的更好，而不只是促銷產品或研發無法走上國際舞臺的產品。

以存取控制與協同防禦，強化端點安全
既然我們要以整體面來看資訊安全，因此理論上，每一個設備和應用程式的設計上，都應內建安全防護的機制，避免遭到濫用。

以網路設備來說，不論是路由器、交換器、網路電話、無線網路設備等都應該要具備安全功能，例如防護DoS攻擊和連線加密，語音與資料的通訊線路也應該透過VLAN區隔開來，避免遭到濫用。
以Cisco為例，他們過去幾年一直倡導「自我防禦網路（Self-Defending Network）」的概念，從三個面向來解決企業資安的問題：整合式的安全威脅解決方案（UTM）、協同式的防禦－網路存取許可控制（Network Admission Control，NAC）、自動調適型威脅防護（Adaptive Threat Defense）。

要針對網路安全做到整體資安防護，首先還是要能夠徹底了解各個網路區段的流量狀態是否有異常。資料來源：Cisco

網路存取控制
網路存取控制的主要目的在防止健康狀態不佳、抵抗力不足的設備登入內部網路，導致大規模的惡意程式感染與網路大塞車。Cisco經營至今，目前已經出現不少IT廠商與其結盟，或是乾脆自立門戶。例如Alcatel、Enterasys、Juniper、Nortel、Dlink、利基、正邦和合勤等網路/安全設備廠商，以及McAfee、Symantec、趨勢科技等以防毒軟體起家的安全廠商，連Microsoft也打算以Windows Vista和「Longhorn」 Server內建網路存取保護（Network Access Protection，NAP）都將加入協同防禦功能。

對於容易感染惡意程式的桌上型電腦或經常出入公司網路控管範圍的筆記型電腦，如果實施網路存取控制，硬體設備方面可包含路由器、交換器、無線網路設備、VPN和入侵防禦設備，軟體則涵蓋各種企業防毒軟體、弱點掃描軟體與漏洞修補軟體，並結合適當的身分認證機制，將安全狀態不合乎企業規範的電腦重導到特定網段隔離，或直接封鎖網路埠。等到裝上防毒軟體並更新病毒碼後，或套用作業系統漏洞修補程式後，乾淨且抵抗力充足的使用者電腦，才能登入企業內部網路。

從安全資訊管理系統邁入安全威脅管理系統
如果要想即時反應威脅，管理者本身也要有預警系統協助，比如說當敵機從幾百公里飛過來轟炸時，我們要能在雷達馬上發現，才能夠盡快發動防禦和疏散機制。對網路威脅預警系統來說，它的雷達就是網路設備和端點（End point）。假如沒有智慧型的管理系統主動收集各個節點所觀測到的設備訊息、事件和連線狀態，管理者沒辦法發現這些異常狀況；另一方面，假如這些網路節點分布不夠廣，同樣也找不到威脅的蹤跡。

過去網際網路上的重大威脅資訊，大多由資安廠商的預警系統發布，為了管理方便性與反應速度，安全管理中心（SOC）現在也由廠商端逐漸推廣到企業內部，由他們自行建立與維護。SOC系統可大到分析所有的網路事件，也可小一點只針對企業的需求分析即可。

國外資安服務供應商採用的做法，是把SOC系統建在企業內部，但是委外管理。例如管理設備設在企業端，在大型企業內，每天從防火牆送出來的記錄檔資料量可能多到用Giga來計算，這麼多的資料如果放在遠端的監控中心，為了要傳送這些資料，企業需要花錢投資高品質的線路；如果改放在企業內部就很容易收到資料，有問題的事件再送到遠端的管理中心由專人監控。

SOC如果想要整合安全事件，通常需要透過安全資訊管理系統（SIM）的彙整，隨著威脅即時反應的需求增高，為了提高網路的偵測能力以及整體分析呈現的速度，同時能夠主動制止威脅繼續擴散，安全威脅管理系統（STM）系統也開始應運而生。管理更簡化、更聰明、反應速度更快的解決方案即將出現
Security 2.0雖然強調整體安全，然而邊界（Perimeter）防禦還是有必要持續關注，然而只是過濾網路封包或偵測/防禦入侵行為，不再能滿足企業的需求。既有的資安產品，例如防毒、防垃圾郵件、防間諜程式、防網路釣魚詐騙、防火牆、IPS設備等，大多是辨識到已知的威脅才知道怎麼反應的解決方案。這跟疾病醫療很類似，當細菌、病毒將人體感染到一定症狀後，醫生要「望、問、聞、切」，再想該怎麼處理。

很多人希望網路與資安設備面對威脅時，可以更主動一點，在危機還沒大量出現前，可以提升防禦力，因為企業一旦因攻擊遭受破壞，也許要幾年下來才有辦法完全恢復商譽與客戶忠誠度。

假如一直處於被動挨打的狀態，反應速度再怎麼快，還是有空窗期，很多希望可以比較Intelligent，更主動去發現攻擊，所以會產生一些商機。希望這樣的設備更Intelligence，假設Windows Vista更聰明，能幫你自動畫圖，那就太好了。資安的量和質都是很寬的，比如說把封包減低，去特定網頁，可能會產生一百五十個封包，假如有一兩千人同時上線，一兩萬個封包該怎麼去檢視和管理，基本上已經超越一個人的能力了，一定要靠工具，但現在很多工具還是不夠聰明，還是希望可以透過AI去分析。這是廠商的角度。

香港商第一線業務部副總裁張偉健認為下一代的資安產品，重點在於如何利用資料庫和人工智慧的技術去研判威脅狀態。而達友科技的技術顧問林皇興認為事件記錄檔可以用資料採礦（Data Mining），分析出其中的意義，讓這些資安設備更「智慧化」，具備自動學習能力，越用越聰明，了解公司常態和異常的差別，解決傳統Rule-based－依照設定值才套用指定動作的被動反應。

任何系統都會有資料越來越多的問題，解決資訊搜尋的問題是簡化管理的一個切入點，當國際資安廠商進入大中華區，就會面臨到中文搜尋的問題，網擎資訊執行副總經理廖長健表示，未來所有與資安相關的異常的狀況例如警告或錯誤訊息，管理者如須透過資安系統檢索含大量內容的資料時，例如網頁、電子郵件、Office文件或機密資訊，能否具備快速反應的搜尋引擎是關鍵。

智慧化的功能既然需求殷切，可是真正應用在資安產品上卻很少見，原因在於企業擔心假如採購這些具備自動學習、搜尋的功能後，不切實際，甚至影響到效能和穩定性。目前企業對基礎建設相關的網路/資安產品的第一項要求就是穩定，其次才是好用，以及是否具備智慧型學習功能。

可用性與安全性不再難以兼顧，逐漸融為一體
從IT看整體安全不能只是看安全與否，其實也得注意網路、系統與服務的可用性（Availability）。保護得再周全，但是網路停擺、系統停機，損失還是很大。就像是企業的資產很安全、都沒有遭竊，但公司沒辦法正常營運下去，有再強、再聰明的安全機制，一樣缺乏對象可保護。

現在的IT技術能辨識的範圍和深度較全面，不像過去只能針對單點、單系統的重要主機，給予最高優先權加速，現在可以針對流量裡面的交易重要性來作排優先順序，使負載平衡更彈性、聰明；也許過去同時間內只能做一次交易，就可以同時負擔多個，從不同的路徑傳送，加密重要的交易，不僅保障與提升可用性，在判斷安全異常時也可以及時反應、發現，針對交易內的XML資料檢測異常的部分，假如再整合異常稽核機制的話，可以發揮不同的綜效。

針對這部份的需求，Cisco已經提出Application Networking Services的概念，其中應用程式導向網路（Application Oriented Network，AON），希望讓網路的運作能夠整合XML，簡化管理，同時更緊密連結商業流程、訂單處理、通知寄送、股票交易等商務資訊系統，例如控管傳輸優先順序和安全，讓網路來提供中介軟體（Middle-ware）的功能，融入商務流程的意函，用更有效的方式傳送資料，在Cisco部分路由器和交換器端均開始支援ANS能提供QoS控管和安全機制。

視訊設備與緊急通訊網路IP化，逐漸降低實體安全整合難度
根據Hurwitz & Associates研究公司在七月「The Convergence of Physical and IT Security」一文即指出，在所有IT領域中，目前能夠同時兼具網路、資安技術能力，並明確提出智慧化資訊網路願景的，只有Cisco一家。Cisco目前也在研發能夠整合實體安全的一些技術，例如與不同系統通訊，在既有的智慧型網路中整合光學感應器。

事實上Cisco在三月時，已購買一家視頻監控公司SyPixx Networks，跨入影像監視領域，Cisco可望擁有將舊的視訊監控系統連接到網際網路的能力。

實體安全同樣屬於整體安全的一環，即便是公共的消防通訊網路。Cisco認為影像閘道器（Video Gateway）和視訊控管系統等安全防護機制，已經逐漸轉換到IP網路環境上，這些視訊設備、門禁設備也可以作為整體安全感應器（Sensor），然後再將事件記錄整合到安全威脅管理系統，經過交叉分析，安全的控管即可以從網路延伸到實體安全上。

IT廠商目前除了將資料與語音、應用程式整合到網路內，整合數位監控的管理需求其實不算小，但以往很少視為企業資訊安全的一部分，從而整體看待。在美國，警察或公共消防的廣播網路，其實也已經產生整合到IP網路上的趨勢。如此一來，經過不同管道的溝通，不必重新換其他設備，讓單一通訊設備同時具備多重通訊的效果，就像現在VoIP把傳統電話和網路電話整合一樣，經過這樣的整併，安全性的要求就可以一起管制。

美、日、中三地的資訊安全現況

美、日、中三地的資訊安全現況
	美國	日本	中國
政策
資訊安全技術驅動力	市場導向	新的組織	中辦發[2003]27號文件
資訊安全法令	資訊安全法規	個人資料保護法案	金盾工程（Great FireWall）
基礎架構重視度	高度重視	只有少數計畫	－
研發
國家支出，每年百萬美元	~250	N/A	N/A
計畫名稱	國家科學基金會（NSF）Cyber Trust計畫	日本國家情報通訊研究機構（NICT）計畫	863計畫（高技術研究發展計畫）
優先發展領域	系統方法、安全的軟體開發、新式的安全網路、安全測試環境	密碼編譯程序與方法、應用程式漏洞、廣域監控、資安服務	中文基本軟體、資安硬體設備、PKI/WPKI、開放原碼安全軟體PKI, WPKIPKI, WPKI
技術
IPv6	由政府推動，須等到2008年	高度優先	高度優先
WLAN	RF感應器	低度優先	WAPI，中國自主的無線區域網路標準
其他
Common Criteria認證要求	只適用於國家安全	取得10%的認證	未接受
安全認證類型	Security metrics	P-mark, ISP-mark	47種國家標準
每年資安產品銷售金額，百萬美元	~5500	~2500	~500
從美、日、中三國的資安現況，我們可以看出資訊安全的重要性，日漸提升，然而重視程度還是低於國土安全。資料來源︰ITPS，2005

歷年來歐洲與北美的安全整合支出與預測
	2004	2005	2006	2007	2008
大規模的整合專案	19	68	175	382	856
實體/邏輯的存取控制專案	50	150	413	903	1,656
其他由IT與實體安全部門聯合參與的專案	13	45	118	246	406
公共事務（國界邊境控制整合系統、法規遵循專案）	410	820	1,899	4,202	8,003
小型專案（資料中心安全性、溝通安全性）	14	40	108	229	369
總計	506	1123	2713	5962	11290
單位：百萬美元。資料來源：Forrester Research. 2005年1月11日
政府與民間企業都逐漸了解安全整合（security convergence）是因應動態環境的必要策略，這方面的市場也快速成長，2005年初民間企業可望投資3億美元，2005年底公私部門總計預估可達11億美元。

Sec. 6
Cases

1. CB
https://www.tuvnord.com.tw/content/products/products_main.aspx?id=40

TUV NORD全方位資訊安全教育訓練規劃

組織管理面(ISMS)
基礎課程：	進階課程：
‧2 Days 資訊安全管理系統基礎課程 ‧2 Days 風險評鑑管理課程	‧2 Days高階稽核技巧(資訊安全管理系統稽核)訓練
‧2 Days 營運持續管理課程(BCM)	‧3 Days 德國ITBPM安全訓練課程
‧2 Days ISMS內部稽核員訓練課程
‧5 Days資訊安全管理系統建置實作課程
‧5 Days IRCA 資訊安全管理系統主導稽核員課程

資安模組安全面(Common Criteria, ISO 15408)
技術基礎課程：	技術進階課程：
‧2 Days共同準則基礎教育訓練課程	‧5 Days共同準則進階教育訓練課程
‧LAPP (Low Awareness PP)

電腦網路系統安全面(System)

技術課程：

‧3 Days網路安全規劃師國際認證課程

2. 輔導廠商
https://aifu.com.tw/AIFU_ActivitMsg.aspx

(1)
ISO 27001資訊安全管理系統建置、導入與驗證的程序：
簡報訪談：提供ISO 27001 ISMS導入規劃說明，瞭解客戶特性及導入範圍，並提供建議及解決方案。
建立標準：分析單位內、外部需求，進行險風險評鑑與資產盤點，據此建立資安政策、資安制度流程與所有文件（四階）。
落實執行：依據製定之資安行為規範及準則，落實資安標準作為，檢視執行過程中是否符合要求，並建立文件化資訊（規範、標準及證據）。
內部稽核：制度及標準建立之後，經過一段時間的運作，確定所有流程均已依照前述分析及規範執行，便可啟動內部稽核程序。
外部驗證：資安系統運作熟練，並完整保存文件（證據）、完成內部稽核後，機關便可委託驗證機構進行外部稽核審查驗證。
持續改善：資訊安全管理系統是一持續改善的運作機制，除了檢視運作是否落實外，隨著時間推演與新威脅及風險發生的可能，持續加以調整改善。

艾富資訊資通安全管理政策 [download]

(2)
ISO 27001驗證作業的流程

機關從對ISO 27001 ISMS的瞭解、導入及驗證大致如後述：
首先由輔導機構（例如本公司）協助機關、企業瞭解資訊安全管理系統的意義及重要性，並決定採用ISO 27001資訊安全管理框架。
其次（第二部份）輔導機構依據客戶自身的特性，全面檢視內、外部環境、風險（人員、設備、技術）及資安作為，
在ISO 27001資訊安全管理框架下，建立符合自身需要，且完整的資訊安全作業規範及標準（四階文件），落實於文件化資訊及持續改善的二大原則。

接著（第三部份）進入驗證作業階段，選擇TAF認可之驗證機構進行審查驗證，
在審查合格之後取得ISO 27001驗證合格證書。

最後（第四）進入持續改善的階段，執行年度複評與續評。

前段中第三部份的「選擇TAF認可之驗證機構進行審查驗證」程序大致如下：
選擇驗證機構：本公司配合各機關，客觀選擇TAF認可之標準驗證機構（名單），進行審查驗證與證書取得。註(1)BSMI提供之關於「TAF認可驗證機構名錄」。
驗證機構簽約：選定驗證機構後進行訪談及討論細節，並與驗證機構簽定ISO 27001驗證契約。
協調稽核日程：針對驗證範圍及內容，討論開始稽核日期、時間及稽核期程。
建置稽核小組：驗證機構成立稽核小組，排定計畫表，每次稽核作業，按日程及項目預做檢（查）核表。
執行現場稽核：實地至機關進行現場稽核，由起始會議開始，進入各分項檢驗及審查，透過訪談、觀察及檢視各種文件化資訊，取得合格證據。
提交結案報告：完成必要之現場稽核後（次數視檢驗規模而定），依據結果提交結案報告後進行審查報告。
取得合格證書：由驗證機構製作證書，填列證書編號，載明對象、內容及日期，寄發給受驗證機關。
年度複評續評：ISO 27001是一個資安持續改善的框架，新風險隨時會出現…，往後有年度複評及續評機制。

Sec. 66
References
1.
NCC-資訊安全管理系統研究計畫 (2011)

Sec. 7
ESG
1.

從ESG角度著手企業資安管理已成全球共識─從高階支持資安才能真正落實ESG

2022.02

https://www.bsigroup.com/zh-TW/blog/Cybersecurity-and-Information-Resilience-Blog/2022/esg-csir/
法規、客戶、自身要求，台灣推動資訊安全的三大趨動力

企業推動資安也需要進行資安策略的擬定，主要包括三個部分，
第一，建立資安策略的高度，而這也是最重要的，譬如設置資安長，成立資安執行委員會，這可以說是企業推行資安決心與共識的展現。
第二，訂定一系列的管理制度，
第三，投入資源在技術面的提升。

2.
bsi 的 ESG
https://www.bsigroup.com/zh-TW/blog/esg-blog/

Sec. 8
VALUE

1.
ISO 27001資訊安全管理系統對企業經營的價值 (下)
張錦清
https://www.google.com/url?sa=t&source=web&rct=j&url=https://www.tteia.org.tw/archive/files/2014_166_1.doc&ved=2ahUKEwjNr-3b-cz6AhWadd4KHRDVCl0QFnoECAwQAQ&usg=AOvVaw0FDB8guzEDoD0YiRd3haJB

2.

XREX取得ISO資安認證，114項標準全通過！為何要砸錢打造「護城河」？

https://www.bnext.com.tw/article/71240/-iso-ec-27001-

ISO27001包括14個主題、35個控制目標、114個控制要點，簡單分類可分為「策略面」、「管理面」兩個面向。XREX資安規劃師Helen Lai受訪表示，「策略面」是最複雜的，需要結合XREX內部的特定流程，以及ISO27001的標準規範，才能建立出屬於XREX的資訊安全管理系統。

這些過程非常細緻繁瑣，以「精準匡列範圍」來說，要從用戶資料傳入XREX平台開始，逐步檢視資料傳輸流程，才能盤點出完善資訊資產清單，才能進一步設計嚴格管制。

要通過這114項申請標準有其難度，Helen Lai表示，依據向相關單位打聽的資訊，第一次查核有一定機率會被要求改善，甚至不被發證要重新闖關。XREX能做到一次通過，內部在面對BSI委員（本次認證單位）查核前，就足足演練了3次，包含一次由外部顧問模擬委員查核、兩次情境模擬。

取得ISO/IEC 27001認證，一般情況下大約需要六個月時間，這次XREX團隊只花了5個月就完成。回顧這趟歷程，Helen Lai表示，這次導入ISO27001一共涉及客服、管理、法尊、資安、資訊等五個部門，需要配合不同單位的專業去說明流程，並實際演練多次，「要做到有效的跨部門溝通，是最困難的部分。」Helen Lai回憶。

取得ISO認證，差異、好處有哪些？

目前，沒有任何一個國家或司法管轄區，強制要求虛擬通貨業者取得這項ISO認證，對交易所來說，取得ISO認證與否，在實務上究竟有何差異？

事實上，每個交易所都有自己的資安機制，而通過國際標準系統性的驗證，代表是可以符合外部驗證，而非只是自己單方面認可。

Helen Lai表示，這次XREX通過ISO驗證，強化了資料的機密性、完整性及可用性管理，平台運作可以更安全穩定。具體來說，資安防護從惡意攻擊偵測、預防及復原控制措施都有規劃，XREX甚至有設定第三道防線（資安稽核單位），監控每一個措施是否都有確實執行並符合規範。

「資安是一層又一層堆疊出來的。」，雖然現在沒有前置規訂有關業者須通過ISO認證，Helen Lai認為，資安是所有加密貨幣業者，都必須要注重的領域，「雖然投入資源與時間成本很高，但也成為了（競爭）護城河。」無論是在提供用戶服務，或是與銀行合作及取得監管單位信任上，都會非常加分。

Sec. 9
Requirement

1.

Information Security requirement in Project Development Life Cycle

(2015)

Sec. 10
組織學習、BPR、OC

1.
根據組織學習觀點探討資訊安全管理系統導入--以公務單位為例
蕭光妤碩論 (2006)
https://ndltd.ncl.edu.tw/cgi-bin/gs32/gsweb.cgi/login?o=dnclcdr&s=id=%22094CGU00396049%22.&searchmode=basic
單位在導入過程中，經常遇到導入困難與適應不良等現象。這些現象包括了人員士氣受到打擊、業務執行效率低落、或者是敷衍應付的不良心態，導致政府規定導入驗證標準的美意大打折扣。因此，要了解導入單位的資訊安全管理水準是否確實提升，深入了解導入困難背後的現象、原因與解決方法，很可能比取得證照更為重要。
為了因應變遷快速的環境，組織必須提昇學習能力，才能面對各種挑戰與困難。因此，從組織學習觀點來探討BS7799的導入與執行，並且深入探索導入困難與組織學習的關係，成為本研究的研究目的；而在現有的文獻中，尚未出現相同的探討角度。為了深入挖掘取得BS7799認證單位所經歷過的困難點，本研究採取質性研究的方式，實地走訪四家已通過BS7799認證的公務單位，藉由訪談與資料研讀來瞭解這些單位的組織學習狀況、導入BS7799時曾經發生的困難點以及導入所產生的組織變革。本研究所蒐集到的原始資料，包含訪談錄音轉謄而成的逐字稿以及文件資料，經由「編碼」、「圖形化展示」、「關聯性分析」等步驟之後產生研究結論。
本研究發現，組織在導入BS7799時，可能會發生「時間不夠、人力不夠、工作量太大」、「BS7799或資安知識不足」、「與顧問溝通需要較長時間」、「員工配合度不夠」、「一般人員警覺性不夠」、「跨組別溝通困難」、「主管重視度不夠」、「預算不夠」、「執行人員權力不夠」等九個困難點。導入BS7799可能造成組織在「人員與角色」構面的明顯改變。另外，透過關聯性分析，我們建立出一些研究命題，確立了組織學習關鍵要素與導入困難點間的關聯性，也找出了組織學習關鍵要素與組織變革間的關聯性，並且針對將來要導入BS7799的組織提出一些具體的建議，例如：增加上級支持度、培養員工溝通協調的能力、舉辦相關競賽活動等方式，幫助資訊安全管理系統的導入。

2.

從資訊單位流程改造觀點探討導入ISO27001—以某商業銀行為例
張順程碩論 (2016)
http://tdr.lib.ntu.edu.tw/jspui/handle/123456789/76716
實務上為申請及維持ISO認證，公司需投入大量的人力及軟、硬體成本，但導入ISO27001過程「如何讓資訊單位及整體組織影響衝擊最小，績效表現最佳？」為本研究之動機。本研究的目的有三項：1、導入ISO27001後，安全控管流程的改變對資訊單位之影響為何。2、從訪談記錄中歸納分析導入ISO27001後，流程改造之成效為何。3、提升導入ISO27001整體組織績效表現的關鍵因子為何。
本研究採用深度訪談法，透過某商業銀行之實施過程，與參與人員進行訪談、觀察與分析其訪談結果，瞭解整個推導ISO27001流程改造前、後整個過程，分析流程改造後對績效的影響，找出提升績效表現的關鍵因子。歸納本研究之結果，主要發現個案資訊處流程改造重要的影響因子如下：
一、PDCA：組織的流程改造是無法一步到位，需不斷改善調整循序漸進。
二、80/20原則：本個案廣泛的運用此原則，針對欲改善之流程瓶頸點收集相關資訊，找出產生80%問題的核心原因，進行系統或流程的優化。
三、資源整合：統一硬體的規格、資料庫集中管理、與跨單位合作資源整合應用，解決環境、設備之差異化可能帶來的衍生問題。
四、垂直整合：上、下游的垂直整合，讓整體維運的優化更精進，流程設計更順暢，以自動化科技建置一條龍工作服務。
五、KPI：在流程改造過程中為使同仁對改造目標一致，設計之量化、質化KPI，能夠成為流程改造弱點的補強力道。
這些關鍵因子相互配合、支援讓資訊處策略推動發揮更好的成效。

Sec. 11

數位信任與資訊安全 Blog

https://www.bsigroup.com/zh-TW/blog/Cybersecurity-and-Information-Resilience-Blog/

11.1

資訊安全、網路安全與隱私保護的多重聯防，強化企業數位轉型與營運治理策略

11.2

你的資安幾分熟？從資安成熟走向資安治理

https://www.bsigroup.com/zh-TW/blog/Cybersecurity-and-Information-Resilience-Blog/2021/2021-infosec-standards-summit-post-info-security-maturity/
https://www.youtube.com/watch?v=taxbyo8lgUc

近年來主管機關已將資訊安全政策納入公司治理評鑑項目，上市(櫃)公司也開始著手將資訊安全的管理工作流程化，但資訊安全的議題不是單獨存在於組織的特定部門中，應該要藉由從組織上到下（Top-down approach）的方式擬定資安策略，縱向找出各層級業務與制度上的風險，利用指導與監督逐層向下要求。而由下到上（Bottom-up approach）進行透教育訓練，檢視管理制度排列出相關資安風險，再依據公司營運短中長期目標來解決這些議題。當組織受到網路攻擊事件，各部門都可能遭受攻擊，已見許多公司開始利用網路安全框架，將每個縱向管理做橫向連結，達妥善管制，讓資安治理達成公司治理的要求。

企業資安治理與成熟度評估運作架構

企業資安治理並不只是技術層面的管理，應關注五大重點：
1.策略校準（Strategic Alignment）
2.價值傳遞（Value Delivery）
3.風險管理有效性（Effective Risk Management）
4.資源管理（Resource Management）
5.績效衡量（Performance Measurement），

透過這五點來持續檢視資安治理工作，避免管理策略與經營策略脫鉤，確實呈現管理策略的價值，也能做到更好的風險管理與資源管理。

企業資安治理關注五大重點

至於是否有具體指標能呈現組織資安的成熟度與可持續投資回報（ROSI）？潘經理分享目前有許多單位在使用的 NIST Cybersecurity Framework（CSF）網路安全框架可整合具指標性的資安標準與規範：美國自 911 攻擊事件後，責成美國國家標準技術研究所進行研擬出一套務實的網路安全框架，盡可能與所有已存在的安全標準與機制整合，能夠做到前述的橫向連結的溝通，有效整合資源制定出資安防護策略。

NIST Cyber Security Framework 可整合具指標性的資安標準或規範

除了適用於政府單位，NIST CSF 還能夠被金融產業、製造業、能源業、健康照護及中小企業…等企業組織使用，也是供應鏈二者稽核常出現的依循要求，且與大家熟悉的 ISO 27000 系列標準的指引相似，例如：ISO/IEC TS 27110:2021 網路安全框架開發指南、ISO/IEC 27014:2020 資訊安全治理、ISO/IEC 27002 資訊安全管理實行細則，這讓 NIST CSF 能夠與組織內部的資安管理制度做整合，BSI 在進行驗證評估時就能夠透過雷達圖來展現出組織目前狀況、領先指標與落後指標。

Sec. 12
1.
SSDLC

[Day 28] 軟體開發安全 (Secure Software Development Life Cycle)

如何導入與建造？ (Building Blocks)

很多人夢寐以求安總下面這個程序，讓我來告訴您如何從無到有來建造安全軟體開發生命週期。「從零到一」是最困難的，因為「導入」新事物是一門藝術、一項工程，也就是說它存在「流程」及優先順序。先容我說句話，一個已經發布的「軟體開發生命週期」，是一切的基礎，所以如果您現在還沒有這個東西，請先回去發布好再來吧。

(★★★) 已發布的軟體開發生命週期 (Published SDLC)
(★★) 非功能性之安全需求管理 (Non Functional Requirements)
(★★) 安全自覺教育訓練 (Security Awareness Training)
(★★) 安全性風險管理 (Security Risk Management)
(★★) 卓越設計品保中心 (Center of Excellence)
(★) 安全編碼檢查清單 (Secure Coding checklist)
(★) 靜態分析 (Static Code Analysis)
(★) 動態分析 (Dynamic Code Analysis)

How You Should Approach the Secure Development Lifecycle

(2019)
https://www.dataversity.net/how-you-should-approach-the-secure-development-lifecycle/

re-development-lifecycle/

3.
SDLC & SSDLC

4.
MS SDL

Microsoft Security Development Lifecycle (SDL)

https://hwang.cisdept.cpp.edu/swanew/Text/SDLC-Microsoft-SDL.htm

Phrase One: Training

Practice #1: Core Security Training
- Stay informed about security basics and recent trends in security and privacy.
- Recommended Training

Phrase Two: Requirements

Practice #2: Establish Security and Privacy Requirements
- Identify key milestones and deliverables
- Assign security experts
- Define minimum security and privacy criteria for an application
- Deploying a security vulnerability/work item tracking system
Practice #3: Create Quality Gates/Bug Bars
- Define minimum acceptable levels of security and privacy quality
- Set a meaningful bug bar (i.e., severity thresholds of security vulnerabilities)
Practice #4: Perform Security and Privacy Risk Assessments
- Examine software design based on costs and regulatory requirements
- Identify need for threat modeling and security design reviews

Phase Three: Design

Practice #5: Establish Design Requirements
- Address security and privacy concerns early to minimize the risk of schedule disruptions and reduce a project's expense.
- Validate all design specifications against a functional specification
Practice #6: Perform Attack Surface Analysis/Reduction
- Thoroughly analyze overall attack surface
  - disable or restrict access to system services
  - apply the principle of least privilege
  - Employing layered defenses
Practice #7: Use Threat Modeling
- Identify need for threat modeling and security design reviews
- Apply a structured approach to threat scenarios to identify security vulnerabilities, determine risks from those threats, and establish appropriate mitigations.

Phase Five: Implementation

Practice #8: Use Approved Tools
- Publish a list of approved tools and associated security checks
- Keep the list regularly updated
Practice #9: Deprecate Unsafe Functions
- Analyze all project functions and APIs to ban unsafe ones
- Use newer compilers or code scanning tools to check code for functions on the banned list
- Replace the unsafe functions with safer alternatives
Practice #10: Perform Static Analysis
- Analyze the source code prior to compilation to ensure that secure coding policies are being followed

Phase Seven: Verification

Practice #11: Perform Dynamic Analysis
- Perform run-time verification of the software
- Check functionality using tools that monitor application behavior for memory corruption, user privilege issues, and other critical security problems.
Practice #12: Perform Fuzz Testing
- Induce program failure by deliberately introducing malformed or random data to the application
Practice #13: Conduct Attack Surface Review
- Review attack surface upon code completion
- Ensure that any new attack vectors created as a result of the changes have been reviewed and mitigated including threat models

Phase Six: Release

Practice #14: Create an Incident Response Plan
- Prepare an Incident Response Plan to address new threats that can emerge over time
  - identify appropriate security emergency contacts
  - establish security servicing plans for code inherited from other groups within the organization and for licensed third-party code
Practice #15: Conduct Final Security Review
- Review all security activities that were performed to ensure software release readiness.
- Eexamine threat models, tools outputs and performance against the quality gates and bug bars defined during the Requirements Phase
Practice #16: Certify Release and Archive
- Certify software prior to a release to ensure security and privacy requirements were met
- Archive all specifications, source code, binaries, private symbols, threat models, documentation, emergency response plans, and license and servicing terms for any third-party software.

Phase Seven: Response

Practice #17: Execute Incident Response Plan
- Implement the Incident Response Plan instituted in the Release phase
- Deliver security updates and authoritative security guidance

What are the Microsoft SDL practices?

The Security Development Lifecycle (SDL) consists of a set of practices that support security assurance and compliance requirements. The SDL helps developers build more secure software by reducing the number and severity of vulnerabilities in

https://www.microsoft.com/en-us/securityengineering/sdl/practices

Sec. 77
Practice

1.

《連網之影印機於ISO/IEC 27002:2022(E)的控制措施》及其實作

國內一A級機關因影印機入侵，損失慘重

HP提供之實作：

《一、BIOS自動檢測、保護與修復：主動偵測入侵威脅，以數位簽章確認BIOS代碼正確性。BIOS受感染時，可自動啟動備援BIOS將受感染的BIOS回復。

二、追蹤使用行為：避免未授權的存取與使用，事後亦可追溯還原事件。

三、多重硬體防盜鎖：針對硬碟、主機板、記憶體、事務機本體的多重硬體防盜機制，以及控制面板安全鎖定功能，每個環節都受到保護。

四、登入管理：採用智慧卡、員工感應卡或PIN碼等管理機制，管控列印行為。

五、網路安全：關閉無用的端口與協議，並確保設備受到防火牆保護。敏感文件應採取加密傳輸的安全列印方式。》

2.
以色列CyberGym公司攻防演練過程中之 4 種角色 •
(1) 紅隊(Red Team，攻擊員)：執行特定目標的攻擊，由來自以色列國防軍精英 8200 網路情報單位有經驗之攻擊及防禦駭客以及其他網路防禦組織的資安老手組成。其目標是在 Blue Team 防禦之技術環境中執行真實的網路攻擊，以挑戰受訓者。 •
(2) 藍隊(Blue Team，回應員)：防禦、偵測及回應特殊網路事件，由跨組織的技術與非技術人員組成，其目標是保護組織的關鍵資產，同時盡量減少損失。 •
(3) 白隊(White Team，引導員)：指派、評估與觀察，由以色列國家情報安全局(NISA) 退休之專業老手組成，在保護及控制重大網路威脅與攻擊關鍵基礎設施方面擁有多年經驗，其目標是管理培訓課程並協調藍隊以及紅隊。 •
(4) 灰隊(Grey Team，觀察員)：負責分析與深入鑑識檢查。

*資料來源：https://www.cybergymiec.com/(2022-09-12檢索)

3.
http://noc.twaren.net/~liangmc/nuk/nsm972/Lesson7.pdf

資安管理系統與文件體系 (p.13)

資訊安全管理制度之建置規劃 (p.19)

業務流程分析表 (p.22)

資安認知教育訓練規劃 –因人而異 (p.28)

4.
網管人 (2009)

資訊安全管理導入實務（一）
ISO 27001資訊安全管理系統簡介

https://www.netadmin.com.tw/netadmin/zh-tw/trend/E110D7B4BA46469987C7FB00D710147C

ISO 27000系列是國際上受到認可的資訊安全管理標準，
其中在2005年通過的ISO 27001標準，是規範建立、實施資訊安全管理系統的方式，以及落實文件化的要求，可以確保資訊安全管理制度，在組織內部能夠有效的運作，同時它也可以作為資訊安全管理系統的驗證標準。
截至2009年6月為止，在全球已經有超過5600個組織通過驗證，台灣也有321個組織（包括公民營單位）取得ISO 27001證書，僅次於日本、印度、英國，位居全球第4位。

至於ISO 27002則是資訊安全管理作業要點，內容涵蓋了11個章節以及133個安全控制措施，提供很多實務上能夠運用的做法，可作為建立一個標準的資訊安全管理系統的參考。

ISO 27001標準條文一共分為8個章節以及附錄，其中第1到3章，說明了ISMS的適用範圍、所引用的其他標準，以及相關名詞的解釋。ISO 27001條文的重點主要是落在第4到8章和附錄A，分別是「資訊安全管理系統」、「管理階層責任」、「ISMS內部稽核」、「ISMS之管理階層審查」、「ISMS之改進」，以及附錄A的控制目標與控制措施。

其中特別要注意的，就是在這5個章節之中，涵蓋了資訊安全管理制度的建立運作與文件記錄管制、風險評鑑、管理責任、內部稽核和持續改善等要求，如果組織有任何一項不符合，就表示此一管理制度是無效的，也就無法通過ISO 27001標準的驗證，所以務必要了解條款背後所代表的執行意義為何。

為了滿足以上所提到的PDCA架構，在ISO 27001標準條文中，也是基於此一運作模式來設計，以第4章為例，4.2.1是「建立ISMS」、4.2.2為「實施與運作ISMS」、4.2.3是「監督與審查ISMS」、4.2.4則是「維持與改進ISMS」，剛好就對應了從計畫建立（P）、實施運作（D）、監督審查（C）及維持改善（A）的四個循環過程，換句話說，只要組織能夠持續PDCA的管理模式，就可以確保資訊安全管理制度可以有效地運作。以下就先簡要說明4.2.1「建立ISMS」條文的內涵。

資訊安全管理導入實務（二）

實施與維護資訊安全管理系統
https://www.netadmin.com.tw/netadmin/zh-tw/trend/6EF4D61180E2418A8272AE563870F18F
上一期介紹了目前廣泛被認可的資訊安全管理標準ISO 27001，可以作為企業建立資訊安全管理制度（ISMS）的參考規範，並且說明了支持管理制度運作的PDCA架構和「建立ISMS」條文的內涵，

本期將繼續說明標準中有關「實施與運作ISMS」、「監督與審查ISMS」，以及「維持與改進ISMS」的作法。
資訊安全是一個管理過程，在建立資安管理制度的過程中，主要會牽涉到三個P，分別是People（人員）、Process（流程）和Product（產品），而在此三者之中，又以人員是管理制度成敗的首要關鍵。
因此，在企業建立資安管理制度的初期，要如何找到對的人來執行，也就是如何成立一個資安管理推動小組，驅動企業成員的參與，將是首要的任務，接下來才是去思考如何建立起安全的作業流程，然後在作業流程的各個階段，導入適當的資安技術產品，以作為資訊安全的控制措施。

資訊安全管理導入實務（三）
ISO 27001的文件化要求

https://www.netadmin.com.tw/netadmin/zh-tw/trend/DD147AC92C004526960FC8375AF5FA35

上一期說明了ISO 27001標準中有關「實施與運作ISMS」、「監督與審查ISMS」，以及「維持與改進ISMS」的作法，並且提到People（人員）、Process（流程）和Product（產品）是資訊安全管理的基礎，如果要將此三者在組織中予以串聯落實，那麼撰寫明確並可供參考的文件就顯得十分重要。

ISO 27001要求的文件

組織在導入ISO 27001標準的過程中，需要產出的文件包括資訊安全政策、支援ISMS的各項程序書、風險評鑑方法論、風險評鑑報告、風險處理計劃、控制措施的有效性量測以及適用性聲明書。

適用性聲明書
適用性聲明是用來陳述在資訊安全管理的過程中，組織依據風險評鑑的結果，決定選擇適用或不適用的ISO 27001附錄A控制措施。ISO 27001標準中所提到的133項資訊安全控制措施，並非每一項都要求強制實行，而是可依照組織實際的運作狀況和評鑑後的風險來自行決定。只不過，如果控制措施適用的話，必須指出其參考的文件為何，不適用的話，則要說明其理由。
舉例來說，例如A.9.1.2實體進入控制措施，其採用的理由是為了確保只有經過授權的人，才能進入如機房等敏感實體區域，所以制訂了人員出入管制規範，而這項控制措施所參考的文件，則是實體安全管理程序和機房管理作業要點，讓相關人員可依照文件中的要求規範來遵照執行。

資訊安全管理導入實務（四）
ISMS內部稽核規劃與實施
https://www.netadmin.com.tw/netadmin/zh-tw/trend/48398215082B42D3ACFE6AA7DEAB10A2

5.
ISMS內部稽核

5-1
ISMS內部稽核實務演練 (博創資訊)
https://cc.cpu.edu.tw/var/file/12/1012/attach/54/pta_21512_1910122_80952.pdf
一、稽核的定義與要求
二、稽核的種類
三、內部稽核流程
四、稽核前準備作業
五、稽核施行作業
六、矯正與跟催作業
七、內部稽核作業之重點整理

內部稽核Internal audit
組織應依已規劃的期間施行ISMS 內部稽核，以判定其ISMS 之控制目標、控制措施、過程及程序是否：
(a) 符合本標準及相關法律或法規的要求
(b) 符合所識別的資訊安全要求。
(c) 被有效的實作與維持。
(d) 如預期的履行。

外部稽核缺失之判別（Corrective Action Request） (?)
主要缺失（Major CAR） • 系統失效 • 次要缺失集中 • 客戶權益重大損失 • 前次次要缺失未結案
次要缺失（Minor CAR） • 偶發性 • 單一性 • 無心之過
觀察事項（Observation） • 潛在問題 • 時間點未到

5W2H（Who、When、What、Where、Why、How、How much）裡的
How是指How to do，
How much是指How much time(RTO)、How much money及How much Loss(RPO)

RTO and RPO in disaster recovery.
(https://forum.huawei.com/enterprise/en/rto-and-rpo-in-disaster-recovery/thread/622794-891)

RTO and RPO in disaster recovery. (2020)
RTO (recovery time objective) and RPO (recovery point objective) are two key metrics that organizations must consider in order to develop an appropriate disaster recovery plan that can maintain business continuity after an unexpected event.

Recovery time objective refers to the time required for the production system to recover from a disaster. A smaller RTO means a shorter service interruption.

Recovery point objective refers to the time when the data restored in the event of a disaster was backed up. It is used to measure the amount of data lost in a disaster. A smaller RPO means less data loss.

RPO and RTO

內部稽核十個執行步驟
1.看四週
2.簡單問
3.注意聽
4.用力寫
5.查文件
6.抽記錄
7.認結果
8.量實況
9.徵同意
10.下筆寫

5-2
附件五：資訊安全管理內部稽核表
[download]
https://ncclaw.ncc.gov.tw/Download.ashx?pfid=0000253592

6.

ISMS之驗證、稽核

(樊國楨，2003)

https://www.informationsecurity.com.tw/article/article_detail.aspx?aid=148

Sec. 99

縱深防禦
系統的形式，演變成抽象的「服務」。
SaaS，服務導向架構（Service-Oriented Architecture，SOA）

程式開發標準開放化，委外
BYOD
內網
網管
更多的資訊分享與協同運作，帶來身分危機
在既有的「資訊」保護上，Security 2.0時期不能讓資料隨意洩漏出去，而且要有完善的資訊歸檔機制，以及周邊設備政策遵循（Device Compliance），例如管制不當的USB設備存取，能分辨連接的設備是否具備讀或寫的能力，並予以一定的限制。
最底層的「基礎架構」保護更是Security 2.0的基本功，企業要用政策控管，並且面臨到更多的法規必須要遵循，甚至會接觸到用多少付多少的公用運算，服務須按照SLA的方式計價。

其實Security 2.0的主要目的，在於標定整體的資安防護需求和發展方向，想要落實，倒不一定都要靠資安產品，有些可以從基礎架構面來幫忙，類型上屬於網路設備或是系統備份還原解決方案。
靈活的網路應用，潛藏更重大的危機
以往企業非常依賴資訊系統，舉凡會計、財務、庫存管理等系統中所儲存的交易內容，最後都會納入資料庫內，成為具結構化的資料，員工操作的個人電腦只是用來提取公司資料或執行流程用的工具，但目前這種習慣已經有所鬆動。檔案的交換日漸頻繁，PDF、簡報、試算表等文件，除非透過文管系統集中上傳收納，或是利用自動轉檔匯入系統，否則不太可能任意存放在結構化的資料庫裡面，在有些情況下，檔案固然集中化保管了，但多少會發生內容多次修改，導致系統無法容納與記錄不同版本。整體而言，資訊系統內的資料是日益分散的、而且趨於非結構化，但重要性也非常高。

應用程式的安全威脅除了系統與程式本身的漏洞外，最常見的問題在於使用者的登入密碼不夠安全，很多人都用自己或親友的生日或有意義的辭彙作為密碼，使得這些密碼的安全性非常脆弱，因此採用動態密碼這類雙因素認證（Two-factor Authentication），已經成為大家都能接受的方案，因為既可以提升密碼安全性，同時又減低記憶密碼的負擔。

日本在2005年4月已經正式實行「個人情報保護法（JPIPA）」，明訂只要擁有5000筆以上個人資料的機構，須防範資料外洩。
除了日本，其他的法規遵循要求，還包括針對金融業實施的新巴賽爾協定、美國沙賓法案（Sarbanes-Oxley）、美國金融服務法（Gramm-Leach-Bliley）、美國健康保險流通與責任法案（HIPAA）和美國證券交易委員會法案（SEC Rule 17A-4）等法規，為財務金融服務和醫療照護產業設定新的資料保留需求。

法規遵循的影響範圍不只該國，也涵蓋到其他國家的廠商。
像蘋果電腦、Dell都會要求供應鏈內的所有上下游廠商提供很完整的訊息通聯記錄，這樣就可以在有官司訴訟的時候，在24小時或48小時內能夠提出相關佐證。
這些工作都必須要在事前準備，等到事情發生後再備份就於事無補了，
不只是過期的訊息需要保留，
跟營運有關的文件包括所有的電子化資料和紙本資料都要被完整保存，如財務會計資料、Office文件。

以存取控制與協同防禦，強化端點安全
既然我們要以整體面來看資訊安全，因此理論上，每一個設備和應用程式的設計上，都應內建安全防護的機制，避免遭到濫用。

以網路設備來說，不論是路由器、交換器、網路電話、無線網路設備等都應該要具備安全功能，
例如防護DoS攻擊和連線加密，語音與資料的通訊線路也應該透過VLAN區隔開來，避免遭到濫用。

以Cisco為例，他們過去幾年一直倡導「自我防禦網路（Self-Defending Network）」的概念，
從三個面向來解決企業資安的問題：
整合式的安全威脅解決方案（UTM）、
協同式的防禦－網路存取許可控制（Network Admission Control，NAC）、
自動調適型威脅防護（Adaptive Threat Defense）。

從安全資訊管理系統邁入安全威脅管理系統

安全管理中心（SOC）現在也由廠商端逐漸推廣到企業內部，由他們自行建立與維護。SOC系統可大到分析所有的網路事件，也可小一點只針對企業的需求分析即可。

SOC如果想要整合安全事件，通常需要透過安全資訊管理系統（SIM）的彙整，隨著威脅即時反應的需求增高，為了提高網路的偵測能力以及整體分析呈現的速度，同時能夠主動制止威脅繼續擴散，安全威脅管理系統（STM）系統也開始應運而生。管理更簡化、更聰明、反應速度更快的解決方案即將出現
Security 2.0雖然強調整體安全，然而邊界（Perimeter）防禦還是有必要持續關注，然而只是過濾網路封包或偵測/防禦入侵行為，不再能滿足企業的需求。既有的資安產品，例如防毒、防垃圾郵件、防間諜程式、防網路釣魚詐騙、防火牆、IPS設備等，大多是辨識到已知的威脅才知道怎麼反應的解決方案。這跟疾病醫療很類似，當細菌、病毒將人體感染到一定症狀後，醫生要「望、問、聞、切」，再想該怎麼處理。

現在的IT技術能辨識的範圍和深度較全面，不像過去只能針對單點、單系統的重要主機，給予最高優先權加速，現在可以針對流量裡面的交易重要性來作排優先順序，使負載平衡更彈性、聰明；也許過去同時間內只能做一次交易，就可以同時負擔多個，從不同的路徑傳送，加密重要的交易，不僅保障與提升可用性，在判斷安全異常時也可以及時反應、發現，針對交易內的XML資料檢測異常的部分，假如再整合異常稽核機制的話，可以發揮不同的綜效。

針對這部份的需求，Cisco已經提出Application Networking Services的概念，其中應用程式導向網路（Application Oriented Network，AON），希望讓網路的運作能夠整合XML，簡化管理，同時更緊密連結商業流程、訂單處理、通知寄送、股票交易等商務資訊系統，例如控管傳輸優先順序和安全，讓網路來提供中介軟體（Middle-ware）的功能，融入商務流程的意函，用更有效的方式傳送資料，在Cisco部分路由器和交換器端均開始支援ANS能提供QoS控管和安全機制。

7.
(1)

入門級新一代防火牆& 網路安全設備 - Fortinet

(2)

群暉科技Synology Incorporated

NAS

(3)

8.

資安趨勢及資安服務案例分享
(2020.09)
https://tnrc.edu.tw/var/file/81/1081/img/613/678348856.pdf

9.
行政院人事行政局「資訊安全管理系統」認證經驗分享
(2007)
https://www.dgbas.gov.tw/public/data/7121216243271.pdf
該局建置資訊安全管理系統(ISMS)相關工作依時程可歸納為以下十大工作重點，分別為：
一、管理階層訪談
二、ISMS 建置課程教育訓練
三、制度文件擬定審查
四、風險評鑑與管理
五、業務衝擊分析及業務持續管理
六、資通安全推動委員會
七、資通安全認知教育訓練
八、資通安全宣導網站
九、內部稽核
十、外部稽核評鑑

10.

如何整合ISMS與ITSMS
(2010)
https://www.mjib.gov.tw/FileUploads/eBooks/25051a8fde604e51852c1618ef5f3424/Section_file/1eb1372ee2064b979593fabc7da80c07.pdf

11.
Project Management (PM)

Redmine

(1)

Redmine的安裝及設定 (Bitnami)

https://ithelp.ithome.com.tw/articles/10289173?sc=rss.qu

(2)

Redime系統邏輯說明

https://ithelp.ithome.com.tw/articles/10289859

(3)

自行建立及維護表單

https://ithelp.ithome.com.tw/articles/10289889

(4)

專案版面的規劃

https://ithelp.ithome.com.tw/articles/10290131

(5~)
從MIS管理的角度設計各種管理上所需要的表單及管理機制

(Sources:

管理MIS的鳥事-使用Redmine 系列

(1~30)
https://ithelp.ithome.com.tw/users/20151950/ironman/5450

MIS鳥事及管理：中小企業MIS的鳥事及MIS部門管理的專案思維
Redmine：Redmine的介紹
日常管理：Redmine在MIS日常業務管理的應用
異常管理：Redmin在問題回報及處理的應用
變革管理：Redmine在MIS專案管理的應用
ISMS管理：Redmine在ISMS的應用
最後一篇總結回顧

6-1 (第 26 篇)

ISMS平台整體規劃

6-2 (第 27 篇)

ISMS文管中心

6-3 (第 28 篇)
ISMS表單紀錄的管理

(Ref)
https://www.jinnsblog.com/2021/08/redmine-must-know-setting-guide.html

Redmine 免費專案管理工具安裝教學

https://www.jinnsblog.com/2021/08/how-to-install-redmine-on-ubuntu.html

Redmine 新手入門必知的基本功能設定

https://www.jinnsblog.com/2021/08/redmine-must-know-setting-guide.html

ISMS平台整體規劃

https://ithelp.ithome.com.tw/articles/10297519

管理議題：

以資安業務來說，通常分為以下七大類：
(這是筆者自己的經驗分類，不是哪本教科書或哪家顧問公司的標準)

(一)ISMS：ISMS的資安管理系統業務，多數公司都是依照ISO27001的PDCA去設計工作，從關注者的議題調查，到資產盤風險評鑑等實作，到內部稽核、管理審查等每年固定必須執行的資安管理系統要求的工作。
(二)ISO27001：指的是第三方的驗證申請和驗證稽核。
(三)教育訓練：年度的資安宣導，以及給IT、資安人員上的資安專業課程安排
(四)BCP：營運持續演練的年度計畫實施
(五)User資安檢查：User端的電腦資安檢查
(六)健檢弱掃：就是資安檢測作業，以及相關弱點修補作業
(七)資安改善：列的年度資安改善計畫。可能是導入新系統加強資安防衛，或改善系統的效率使其更安全。

範例公司資安年度計畫

以下舉一個範例公司的例子，並擬定各類工作的預計日期：

此範為筆者依據多年的ISMS顧問輔導經驗，模擬一家規模約300人左右的製造業、MIS約10人、ISMS專責人員1位，且公司願意投資資安改善的中型製造業。
模擬企業，若有雷同存屬巧合(其實ISMS每家顧問的年度計劃都差不多，因為都是顧問公司教的，差別可能只有資安改善那一列的多寡和不同)

【年度資安計畫】

(一)ISMS
- 2022/08：關注方議題蒐集
- 2022/09-10：ISMS程序檢討及修訂
- 2022/10：召開資安委員會，報告ISMS實施狀況
- 2022/11：一般使用者帳號權限審查作業
- 2022/11：特權帳號審查作業
- 2022/11-12：資訊資產盤點
- 2022/12：風險評鑑作業
- 2022/12：風險評鑑報告及風險處理計畫
- 2023/01：資安實施狀況管理紀錄檢核
- 2023/01：ISMS有效性量測(年度KPI)
- 2023/01：內部稽核計畫發出
- 2023/01：資安實施狀況管理紀錄檢核
- 2023/02：ISMS內部稽核
- 2023/02：管審報告及外部稽核準備
- 2023/03：管理審查
(二)ISO27001
- 2022/10：跟驗證公司提出驗證申請或複查申請
- 2023/03：SGS驗證稽核
(三)教育訓練
- 2022/04：資訊人員專業課程教育訓練(1/2)
- 2022/05：資訊人員專業課程教育訓練(2/2)
- 2022/06：一般員工資安宣導(上半年)
- 2022/12：一般員工資安宣導(下半年)
(四)BCP
- 2022/05：營運持續演練(上半年)
- 2022/10：營運持續演練(下半年)
(五)User資安檢查
- 2022/06：個人電腦防護檢查(上半年)
- 2022/10：個人電腦防護檢查(下半年)
(六)健檢弱掃
- 2022/06：OT資安健診
- 2022/07：系統弱掃
- 2022/07：網站弱掃
- 2022/08：滲透弱掃
- 2022/07-08：系統弱點處理
- 2022/09：複掃及報告產出
(七)資安改善
- 2022/01-04：SFTP建置
- 2022/04-05：WSUS建置
- 2022/04-09：Mail Server改善計畫
- 2022/04-05：XX客戶資安要求改善計畫
- 2022/04-05：SEMI E187因應計畫
- 2022/03-05：OTP第一個IT內部應用完成(多因子認證)
- 2022/06-07：OPT VNP應用完成 (多因子認證)

管理資訊需求

【議題名稱】：資安年度工作計畫
【權限需求】：資安長、MIS群組
【適用場合】：ISMS整年度預計實施計畫
【追蹤標籤】：
- ISMS
- ISO27001
- 資安改善
- 教育訓練
- BCP
- User資安檢查
- 健檢弱掃
【欄位需求】：
- 使用系統標準欄位

專案設定

[設定]/[專案]-[公開]：請不勾選
[設定]/[成員]：請指定成員 (資安長+MIS群組)

資安工作計畫管理

完成專案設定，並將計畫逐筆輸入，並指定每項工作負責人。
指定完負責人送出後，[被分配者]和[監派員]會收到mail通知
此時[狀態]都是"新建"，屬於計畫【規劃階段】，要等負責人員開始更新資訊後，由PM針對資訊的正確性及即時性進行監督
(圖1、2、3、4)

7.
ISO 27001:2013 題庫

https://roddayeye.pixnet.net/blog/post/155381253-%E8%B3%87%E5%AE%89%E7%AE%A1%E7%90%86%E5%88%B6%E5%BA%A6%28isms%29%E6%A8%99%E6%BA%96%E2%94%80iso-iec-27001%EF%BC%9A2013%E4%BB%8B%E7%B4%B9

全部共 0則留言

登入帳號密碼代表遵守學術網路規範

文章分類 Labels

最新文章 Top10

中華科技大學數位化學習歷程 - 意見反應

參考資源 (認證與驗證)

內網安控系統的先鋒

業務別項目編號：2.1.1

業務別項目編號：2.1.6

業務別項目編號：3.2.5

業務別項目編號：3.2.6

為何「麻布記帳」不惜砸重本，成為全台第1家通過 ISO 27001 認證的金融科技新創公司？

麻布記帳 x ISO27001：從 Tech 到 FinTech 負責任創新【FTS數位講堂】

麻布記帳 x ISO27001申請心法眉角大公開【FTS數位講堂】

新創團隊麻布記帳 談金融科技未來規劃 x MoneyBook 社群平台經營心法【FTS數位講堂】

新增十一大項控制項目，又要開始忙了!! 新版ISO資安規範到底有多麻煩?

1. ISMS導入步驟【ISO 27001 英特內課程】｜領導力企管

Cryptography: The Science of Making and Breaking Codes

Cracking Enigma in 2021 - Computerphilehttps://www.youtube.com/watch?v=RzWB5jL5RX0

ISO27001:2005上課筆記及補充資料_3

治療資安憂鬱症的新配方：Security 2.0

https://www.bsigroup.com/zh-TW/blog/Cybersecurity-and-Information-Resilience-Blog/2022/esg-csir/法規、客戶、自身要求，台灣推動資訊安全的三大趨動力

XREX取得ISO資安認證，114項標準全通過！為何要砸錢打造「護城河」？

取得ISO認證，差異、好處有哪些？

Information Security requirement in Project Development Life Cycle

數位信任與資訊安全 Blog

資訊安全、網路安全與隱私保護的多重聯防，強化企業數位轉型與營運治理策略

你的資安幾分熟？從資安成熟走向資安治理

[Day 28] 軟體開發安全 (Secure Software Development Life Cycle)

如何導入與建造？ (Building Blocks)

How You Should Approach the Secure Development Lifecycle

Microsoft Security Development Lifecycle (SDL)

Phrase One: Training

Phrase Two: Requirements

Phase Three: Design

Phase Five: Implementation

Phase Seven: Verification

Phase Six: Release

Phase Seven: Response

What are the Microsoft SDL practices?

資訊安全管理導入實務（一）ISO 27001資訊安全管理系統簡介

資訊安全管理導入實務（二）

資訊安全管理導入實務（三）ISO 27001的文件化要求

ISMS之驗證、稽核

入門級新一代防火牆& 網路安全設備 - Fortinet(2)

群暉科技Synology Incorporated

防護機密資料外洩系統－精品X-FORT 3.9

Redmine

Redmine的安裝及設定 (Bitnami)

Redime系統邏輯說明

自行建立及維護表單

專案版面的規劃

管理MIS的鳥事-使用Redmine 系列

ISMS文管中心

Redmine 免費專案管理工具安裝教學

Redmine 新手入門必知的基本功能設定

ISMS平台整體規劃

管理議題：

範例公司資安年度計畫

【年度資安計畫】

管理資訊需求

專案設定

資安工作計畫管理

為何「麻布記帳」不惜砸重本，
成為全台第1家通過 ISO 27001 認證的金融科技新創公司？

新創團隊麻布記帳談金融科技未來規劃 x MoneyBook 社群平台經營心法【FTS數位講堂】

1.
ISMS導入步驟【ISO 27001 英特內課程】｜領導力企管

Cracking Enigma in 2021 - Computerphile
https://www.youtube.com/watch?v=RzWB5jL5RX0

https://www.bsigroup.com/zh-TW/blog/Cybersecurity-and-Information-Resilience-Blog/2022/esg-csir/
法規、客戶、自身要求，台灣推動資訊安全的三大趨動力

資訊安全管理導入實務（一）
ISO 27001資訊安全管理系統簡介

資訊安全管理導入實務（三）
ISO 27001的文件化要求

入門級新一代防火牆& 網路安全設備 - Fortinet

(2)