[專題] 資訊安全管理導入實務(五) - 管理階層之承諾與責任

有一些企業與組織，原本興致勃勃想要推動資訊安全管理制度，期望能夠在日常的運作中，避免產生高度的資訊安全風險，進而造成企業資產的損失。但是到了最後，卻往往功虧一簣，主要原因就是管理階層的參與度不足，無法在關鍵時刻發揮起領導決策的效用。

在「解碼郭台銘語錄」一書中，鴻海集團董事長郭台銘有這麼一句名言：「沒有管理，只有責任；管理可以訓練，領導沒法訓練。」他認為管理階層一定要在「油鍋裡炸過」，要能夠自己做出決策，以親身經驗才能去領導別人，否則即使有多麼完善的制度或法令去規範也沒用，因為下面的人並不會依照方向和時間來往前走。郭董事長的觀點，一語道破了在資訊安全管理制度之中成敗興廢的關鍵因素，也就是管理階層的親身參與和支持。

企業與組織若想建立一個有效且持續運作的資安管理制度，從一開始的規劃討論與專案啟動，到建立制度並且實施之後的管理審查階段，這些都仰賴管理階層的領導與決策能力，如果管理階層只是像沾沾醫油一樣，那麼這個管理制度註定是會失敗的。

也正因為如此，在ISO 27001標準中的第五章，規範的就是管理階層責任與應有的作為，而第七章則是要求管理階層必須依照所規劃的時程，定期審查組織的ISMS是否如預期般的有效運作，並且要確保可持續地適用於組織現況，同時每一次的審查結果都必須要留下文件化的記錄，以做為日後進行改善之用。

管理階層的承諾

為了要確保管理制度的有效性，ISO 27001標準中要求管理階層必須提供對於ISMS的建立、實施與運作、監督與審查、維持與改進的各項承諾證據，因此，管理階層應有的作為至少包括了：

• 為組織建立一份資訊安全政策，內容應說明為了達到資訊安全所採取之各項行動，必須依據何種準則或規範來進行。在政策中也需要說明如何去評估組織的資安風險，有哪些必須要遵守的法令法規和合約要求，以及管理階層的責任為何。

• 制定組織的資訊安全目標，確認達到各項目標的計畫和實施方式，並建立和資訊安全有關的各種角色與責任。例如確保內部員工、外部承包商和第三方的使用者，皆能明瞭其安全責任並符合要求，以降低可能的資訊安全風險。

• 對內對外傳達所建立的資訊安全政策、目標及法律所規範的組織責任，宣示維護資訊安全的決心，並要求不斷地持續改善可能的資安風險。

• 提供建立與維持資訊安全管理制度持續運作所需的資源，包括人力、物力和財力等。

• 在風險評鑑完成之後，決定組織所面臨的資安風險接受準則，要求對於具高風險之資產進行妥善處理，並決定最後可接受的剩餘風險等級。

• 確保組織依照既定的規劃時程進行內部稽核，依據內部稽核的結果要求進行矯正預防措施，並且實施管理階層審查。

提供運作所需資源

企業或組織欲導入資訊安全管理制度，目前普遍的作法是尋求外部顧問的協助導入，在評估各項文件與實施運作均符合ISO 27001標準的要求之後，再進一步請第三方驗證公司進行稽核，以便取得國際認可的ISO 27001認證。因此，在導入之前，所需成本的預算編列將是第一要務，組織應考慮營運規模的大小、導入的範圍和預計完成的時間來予以評估，而這些也都需要管理階層的參與和核准。

此外，在ISMS的建立、實施與運作、監督與審查、維持與改進的過程中，管理階層的責任是要確保各項資訊安全的作業程序，能夠符合組織營運的要求。換句話說，如果因為資訊安全的考量，所實行的控制措施已妨礙到日常業務的進行，那麼管理階層就必須適時的作出反應，或進行作業程序上的調整。

當然，在導入的過程中，很可能會識別出組織以往未曾發覺的資安風險，這時候進行風險的控管是必要的，而所使用的方式可能是從管理制度面來著手，擬定相關的作業程序，或是透過技術面的管控，藉由購置資安設備來到抵禦資安威脅。這些控制措施的實施是否正確且適當，也需要管理階層定期加以關切，以督導相關人員進行維護與改進。

確保資安認知能力

根據個人的觀察，目前企業或組織中最缺乏的就是熟悉資訊安全的人才，一旦管理階層決定要導入資訊安全管理制度，即刻面臨到的問題就是該由誰來負責執行？雖然我們可以仰賴外部顧問的協助，但若內部人員缺少維護與運作的能力，當合約期滿之後，很可能就會讓整個制度趨於荒廢。

因此，在組成跨部門的資安小組之前，管理階層要決定的就是執行相關工作的人員，到底需要具備什麼樣的能力？最簡單的方法，就是將人員送去參加ISO 27001的各項訓練課程，或是直接聘僱已參與ISO 27001相關課程並通過考試的人員，協助ISMS工作的推動。

為了確保ISMS相關人員的技能，管理階層需要決定教育訓練的實施計畫，並針對不同的角色人員，提供不同的訓練課程。例如主管人員安排參與定期的主管人員資安訓練；一般人員需參與一般人員的資訊安全認知課程；技術人員則參加相關設備的操作訓練或是和駭客攻防有關的技術課程。

當然，這些措施是否有效，也需要管理階層的長期關注，藉由定期審查人員維持教育訓練的記錄，或是已取得之技術證照，可確保所有人員皆認知其負責資安工作的重要性，以及具備所需要之專業技能。

進行管理階層審查

ISO 27001標準中要求，管理階層必須定期審查組織運作中的ISMS，以確保其持續的適用性與有效性。在實務上的做法是至少一年一次定期性的召開管理階層審查會議，根據ISMS運作時所產出的文件記錄，由參與的主管來評鑑ISMS的改善機會和方向。在管理審查程序上，標準要求必須要有9項審查輸入和5項審查輸出，分別說明如下：

審查輸入包括─
(1) 來自於內部和外部稽核的結果記錄
(2) 利害相關團體像是股東、客戶、供應商的意見或所提出之問題
(3) 是否有可以改善資訊安全的產品、技術或作業程序
(4) 已實施的資訊安全控制措施的現況
(5) 各項資訊安全控制措施有效性量測的結果
(6) 先前風險評鑑中尚未處理或忽略的資安風險
(7) 是否有任何影響ISMS運作的因素，例如技術或業務項目變更
(8) 上一次管理階層審查決議需跟進改善的措施
(9) 來自各個階層的管理建議

審查輸出包括─
(1) 如何進行ISMS的有效性改進
(2) 如何更新風險評鑑與進行風險處理
(3) 如何針對影響ISMS運作的因素，進行必要的修正
(4) 適當回應所需的資源需求
(5) 如何改進控制措施的有效性及量測

持續改進管理制度

以上談的都是有關管理階層應有的作為與責任，也反映了管理制度並不只是由高層頒布一些準則規範，就強制要求下面來遵守執行，而是需要由上至下，不斷地溝通討論，實施之後再加以檢討改進。透過這一系列的文章，雖然無法完整敘述整個資訊安全管理制度的全貌，但至少點出了其中的核心價值，希望透過標準這麼好的一項工具，可以讓我們依循並掌握住資安管理的重點。

相信大家都聽過「預防勝於治療」這句話，對於現今事事講究效益與成本的企業而言，能夠預防可能發生的資安風險，絕對比資安問題發生之後，處理與矯正的措施更具成本效益。所以在標準本文的第八章，要求的是ISMS的持續改進與矯正預防措施，提醒我們不要以為進行了風險評鑑，就已經掌握各項可能的風險，而是要不斷地依據組織的運作狀況，注意是否有新的威脅出現，或是因業務變更而產生新的風險，然後及早地加以預防。

萬一真的不幸還是發生資安事件了，也請務必謹記「亡羊補牢」這句話，要積極找出事件發生的根本原因，然後盡快把洞填補起來，以避免問題的再度發生。最後，回應上一期文章提到該由誰來負責進行追蹤確認的改善行動呢？答案當然就是懂得資訊安全，日後必定會晉升管理階層的您。(本文刊載於2009年11月號網管人雜誌)

[專題] 資訊安全管理導入實務(四) - ISMS內部稽核規劃與實施

在了解ISMS的文件化要求之後，接下來要談的就是在管理制度中不可或缺的重要工作，也就是在ISO 27001本文第六章所要求的ISMS內部稽核，在整個稽核過程中，從擬定稽核計畫開始直到稽核結束，事實上，也同樣可以運用PDCA原則來進行。

在您的企業或組織中，好不容易獲得了高階主管的支持，組成了跨部門的資安小組，並依據ISO 27001標準的要求，擬定出資安政策與各項作業規範，建立了文件化的資訊安全管理制度，並要求同仁們配合遵照實施，耗費了這麼多人力物力，突然有一天老闆詢問我們的資安到底做得好不好時，您要如何去展現或證明資訊安全管理制度已被有效地運作與維持呢？

正所謂「口說無憑」，因此您勢必得要拿出些「證據」才行。在資訊安全管理制度中，如果想要判定組織內的資安控制目標、資安控制措施以及實施的過程，是否符合ISO 27001標準的要求，並且如預期般地持續運作與有效維持，那麼定期的執行ISMS內部稽核，並留下相關的稽核報告和記錄，將會是最好的證明方法。

擬定稽核計畫

如果您想要順利完成ISMS內部稽核，以展現出這些日子來資安管理的成效，其實可以秉持之前所提到的PDCA模式來進行。還記得先前提到PDCA是指「計畫—執行—檢核—行動」的過程，因此我們在一開始的稽核計劃階段，首先要確認的是稽核準則和稽核範圍，也就是先去了解我們的稽核依據是什麼，還有稽核範圍到底適不適合。

舉例來說，若是我們實施的是ISO 27001標準的資安稽核，那稽核的依據就是ISO 27001本文和附錄A5~A15控制措施，如果接受驗證的範圍是資訊部門和其負責的機房維運流程，那麼其他和此一維運流程無關的單位，既使發現了不符合標準要求的事項，也不應將它列為此次稽核發現的缺失。

在稽核計畫階段，負責的主導稽核員還需要準備稽核行程表和檢查清單，也要召開稽核前的工作會議，向稽核團隊說明查核的標準、當天的行程及稽核方法。稽核行程表說明了當天的實施流程，因此必須事先傳送給受稽單位並請其確認，而檢查清單則是供稽核小組確認稽核計劃是否有遺漏的地方，通常在檢查清單中的項目至少會包括：
 受稽單位連絡人的姓名、電話
 稽核當天所需的引導人員數量
 稽核當天可作為稽核小組使用的會議室
 受稽單位是否對於稽核人員有健康或特別要求
 稽核時是否需要穿著或配掛特殊裝備
 稽核時需要遵守的現場安全規定
 稽核人員需要簽署的保密切結書

至於內部稽核的實施頻率，一般而言一年執行兩次是適當的，組織也可依照本身業務形態的重要性，來決定是否需要增加稽核的次數，但要注意的是實施頻率若過於頻繁，可能會造成相關業務人員作業的負擔與困擾，因此這點也要審慎加以評估。

建立稽核團隊

實施稽核同樣需要耗費一些人力、物力資源，其中挑選出適當的稽核團隊是成功的必要條件。在挑選人員時我們應事先了解其具有的專業技能，例如應選擇具有網路規劃和防火牆專長的人員去稽查網路的存取安全控制，或是派出熟悉環境安控的人員去稽核實體安全的防護。換句話說，如果稽核人員本身不了解受稽單位的作業事項，很可能會無法察覺潛在的一些不符合標準要求的項目。

此外，有一種狀況是務必要避免的，那就是稽核人員不應當稽核和其本身有關的工作，像是負責網路防火牆管理的人員去負責稽查網路存取安全，那麼這種「球員兼裁判」的行為，將無法達到所設定的稽核目標，同時也使稽核工作失去意義。

所以，一旦建立了稽核團隊之後，在稽核計畫階段就需要收集受稽單位的相關資訊以了解其作業型態，因此和受稽單位保持密切的溝通，提早確認執行稽核的時間，並告知需要準備的事項，這也是稽核團隊應盡的責任，這樣才可以確保稽核過程能夠順暢進行。

執行實地稽核

至於稽核的方法，通常包括了「文件審查」與「實地訪談」，在文件審查階段，主要是了解組織的ISMS相關文件，是否符合ISO 27001標準的文件化要求，並確認管理制度的運作過程中有留下各項記錄，以證明ISMS被有效的實施與進行。

而實地訪談的目的，則是確認相關作業人員，已清楚了解組織的資訊安全政策與目標，並按照所要求的作業規範來執行。對稽核人員來說，稽核的過程就是要能夠去取得「客觀性證據」，也就是依據稽核準則，透過實地訪談觀察到相關的人、事、時、地、物，透過多方面的證據收集，以支持其稽核的發現。

因此，對稽核人員而言，稽核技巧的鍛鍊非常重要，除了本身需要具備客觀性，避免僅從單一事項主觀地去判定問題之外，稽核人員詢問問題的方式也會決定其所收集到證據的完整。以下是稽核人員可運用的實務技巧：

1. 詢問開放性問題：所謂的開放性問題是指讓受稽人員可明確回答和人、事、時、地、物有關的資訊，例如詢問資訊人員對於使用者的通行碼的安全控制措施有哪些？使用者的存取權限要如何進行申請？多久會進行一次審查？也就是說，稽核人員在訪談時應避免詢問「Yes or No」的問題，像是詢問「是否針對使用者的通行碼進行控管？」「有沒有針對使用者存取權限進行審查？」若是皆採用以上封閉性的問法，所得到的答案往往無法進一步提供更多資訊，也會使稽核人員落入難以判定的情況。
2. 自行決定抽查樣本：稽核人員在審查相關文件記錄時，要堅持獨立性原則，例如在審查機房人員進出記錄時，應自行決定要抽查的日期，而不是僅參考受稽人員所主動提供的記錄，更不應受到言語左右而忽略應審查的項目，務必要按照事前所擬定的稽核計畫確實的來執行。
3. 多方收集客觀證據：稽核人員應避免排斥或否定受稽人員的答案，應該多方抽樣或觀察以收集更多的證據。一般而言，受稽單位所提供的相關記錄應至少要有3個月，稽核人員可從不同的時間點或是透過不同的受訪者，來獲得可供判斷的有效資訊。
4. 發展出稽核軌跡：稽核人員在執行稽核的過程中，所獲得的各項證據都必須要留下記錄，也就是在稽核工作底稿中，需要記載所審查的文件名稱、版本，同時包括訪談對象的職稱、回答的內容等，以作為前後比對與確認證據的關聯性之用，此一記錄更可作為稽查不同項目時，發現潛在因果關係的參考。
5. 良好的時間管理：稽核的時間是事先排定的，也就是在執行稽核的當天必須按照表定行程來進行，如果時間沒有妥善掌握好的話，將會影響到接下來的稽核項目，很可能就會遺漏應稽查的事項而損及稽核報告的有效性。萬一發生時間延誤的情況，應盡快向稽核團隊尋求支援，以避免引發負面的連鎖效應。

追蹤確認改善

一開始我們即提到，內部稽核可秉持之前所提到的PDCA模式來進行，顯而易見的我們知道在稽核計畫階段是P、實地執行稽核是D，那麼C和A呢？兩者當然也不能遺漏掉，在這裡的C是指在稽核結束之後，當天會連同受稽單位舉行稽核結束會議，在會議中主導稽核員必須報告當天的稽核發現，並說明是否有未達標準要求的不符合事項，同時請受稽單位進行確認，如果對於不符合事項有任何意見，受稽單位也可當場提出討論，會後的決議結果將會作成正式的稽核報告。

所以，稽核工作到此就順利完成了嗎？當然不是，如果在稽核過程中發現了不符合事項，依據ISO 27001標準的要求，還必須進行follow-up活動，也就是受稽單位必須採行改善措施，以使造成不符合事項的原因消失。內部稽核的A即是指最後還要進行追蹤確認的改善行動，這樣才可使組織的資訊安全管理制度更臻至完善。那麼到底該由誰來負起整個改善行動之責呢？且聽下回分解。(本文刊載於2009年10月號網管人雜誌)

[專題] 資訊安全管理導入實務(三) - ISO 27001的文件化要求

在上一篇，已說明了ISO 27001標準中有關「實施與運作ISMS」、「監督與審查ISMS」，以及「維持與改進ISMS」的作法，並且提到People(人員)、Process(流程)和Product(產品)是資訊安全管理的基礎，如果要將此三者在組織中予以串聯落實，那麼撰寫明確並可供參考的文件就顯得十分重要。

在ISO 27001標準中，開宗明義即提到它的適用範圍涵蓋了各種形式的組織，包括商業團體、政府單位和非營利機構等，標準中規定應在組織整體的營運活動和其所面臨的各種風險中，建立、實施與運作、監督與審查、維持與改進「已文件化」的資訊安全管理系統要求。有關ISO 27001標準的文件化要求，主要是在4.3條文中說明，其所謂的文件化，除了政策的宣示、制訂作業程序規範及表單之外，還包括了管理階層針對資訊安全相關活動，進行各項決策所產生的記錄。

標準要求留下記錄的目的，是為了確保組織所實施的各項資安控制措施，都可以進行追溯，以便了解管理階層是在什麼時間點做出什麼樣的決定。因此，管理階層的各項決策記錄，應該是會不斷重覆產生的，透過這些決策記錄，就可以顯現出管理階層的作為，是不是依據風險評鑑的結果作出適當的風險處理，而不是僅憑個人臆測所作出的指示行動，也更能了解其資安作為是否符合組織的資訊安全政策，並且和組織的整體風險具有明確的關聯性。

ISO 27001要求的文件

組織在導入ISO 27001標準的過程中，需要產出的文件至少包括：

• 資訊安全政策：在標準本文的4.2.1(b)中提到，組織應依其營運型態、所在位置、資產及技術等各項特性，來制定其ISMS政策，在政策中需要陳述確保資訊安全的目的為何，以及有關資訊安全的行動準則與目標。一般而言，資訊安全的目標不會脫離確保資訊的機密性、完整性和可用性，但是為達到以上的資訊安全目標，在資安政策中應定義出可量化的指標，例如可歸責於資訊單位的駭客入侵和資料外洩事件，經外部通知後尚未處理的事件目標值為0；或是重要應用系統的可用率應高於99%等。另外，組織應考量本身適用的法令法規要求，以及合約規範的內容，在資安政策中說明應有的資訊安全義務，還有管理階層本身應盡的責任，使其在執行管理工作時能有明確的依據。

• 支援ISMS的各項程序書：為了符合ISO 27001的要求，組織需要加強資訊安全的控管，也就必須建立起各種不同的標準作業程序。常見的作業程序有資訊資產管理程序、網路安全管理程序、資訊存取控制程序、實體安全管理程序、資訊安全事件管理程序和資訊作業委外管理程序等。

• 風險評鑑方法論：關於風險評鑑的方法，通常會寫在風險評鑑與管理程序之中，說明組織是如何去識別威脅與弱點所產生的風險，以及風險值的評價與計算方式，並定義出可接受的風險等級。風險評鑑方法最重要的就是必須能夠產生可比較和可重複的結果，也就是說，同樣的風險評鑑方法應該能反覆實施，而其所產生的結果可以用來相互比較，以了解組織前後所面臨的風險現況。

• 風險評鑑報告：在風險評鑑報告中，必須記載此次風險評鑑的範圍和執行風險評鑑的時間，並且說明風險評鑑作業的執行方式與流程，若是首次執行風險評鑑作業，一開始需進行的是資訊資產的識別與盤點，若是重新進行風險評鑑的話，則是要確認組織是否有新增或是異動的資產，並給予適當的資產價值。至於風險的分析，則是要確認是否有新的威脅與弱點產生，並且判斷每一項資訊資產中，威脅利用弱點而產生風險的可能性。最後則是要說明本次風險評鑑的結果，有哪些資訊資產的風險值在可接受的風險之上，以列表方式把它呈現出來。

• 風險處理計劃：根據風險評鑑報告的結果，組織必須針對風險過高的資訊資產，決定所要採取的風險處理方式。一般而言，最常採取的作法就是降低風險，因此需要提出改善的作為或是控制方法。在風險處理計畫中，除了說明以上的處理方式外，最重要的是要指定一位負責人或負責單位，並註明預定完成處理的日期，以及預期將獲得的改善效益，也就是說明將如何去降低資訊資產的風險值。

• 控制措施的有效性量測：組織所採取用來降低風險的控制措施是否有效，不是自己說了就算數，而是必須有一套客觀的量測方法，以證明所面臨的風險已經被有效的控制住。針對有效性量測，在ISO 27001標準中著墨的並不多，它提到組織需要確保有效規劃、運作和控制其安全過程，並描述如何去量測控制措施的有效性。在4.2.3條文中則指出，量測控制措施的有效性，目的就是要能證明組織已符合ISMS的各項要求，因此，組織所選擇採用的控制措施，每一項都要說明其量測的方法和量測的指標，並且記錄其量測的結果，以便稽核人員在審查時能夠一目瞭然，判斷選擇用來降低風險的控制措施是否適當。

• 適用性聲明書：適用性聲明是用來陳述在資訊安全管理的過程中，組織依據風險評鑑的結果，決定選擇適用或不適用的ISO 27001附錄A控制措施。ISO 27001標準中所提到的133項資訊安全控制措施，並非每一項都要求強制實行，而是可依照組織實際的運作狀況和評鑑後的風險來自行決定。只不過，如果控制措施適用的話，必須指出其參考的文件為何，不適用的話，則要說明其理由。舉例來說，例如A.9.1.2實體進入控制措施，其採用的理由是為了確保只有經過授權的人，才能進入如機房等敏感實體區域，所以制訂了人員出入管制規範，而這項控制措施所參考的文件，則是實體安全管理程序和機房管理作業要點，讓相關人員可依照文件中的要求規範來遵照執行。

文件管制防護與作法

在ISO 27001標準中的各項作業程序文件，可說是整個資訊安全管理制度運作的骨架，因此在4.3.2文件管制的條文中，提到這些所需的文件應受到適當的保護與管制，其要求的作法如下：

1. 在文件發行之前，必須要有管理階層的核准，以確保文件內容的正確與適用性。
2. 如果因組織變動或作業流程的更改，在必要的時候，ISMS文件可以進行修訂與內容更新，但是必須經過管理階層的重新審查與核准後，才可頒布使用。
3. 文件如果經過變更或修訂，應該採取適當的標示，例如註明文件名稱、文件編號與版次，並且在變更記錄中記載修訂的內容摘要、頁數、發布日期、修訂日期及修訂人員。
4. 文件必須確保其內容易於識別和閱讀，並且要讓需要使用的人員能夠隨時取得，使用到最新版本的文件。
5. 文件的分發必須進行管制，依照不同文件的敏感等級，提供給授權的人員使用，並且依照其所要求的資料交換作法，進行傳送和儲存。
6. 文件若需要作廢時，應依據作廢流程確實執行，以避免作廢的文件遭到誤用，在特定的情況下，如果需要保留作廢的文件，也應該要有清楚的標示。

記錄管理要求與維持

除了各項文件需要受到適當控管之外，在ISO 27001標準4.3.3記錄管制的條文中，要求各項記錄應加以保護與管制，尤其是在法律或合約中有明訂要求保存的，更應該要有良好的控管。因此，在ISMS運作的過程中，所產生的各項活動記錄，也應該要被適當的保存，以作為管理制度有效運作的證據。所謂的記錄，包括像是機房人員的進出記錄、敏感資訊的存取記錄和資訊安全稽核報告等，都應保持容易閱讀、識別和檢索，並有適當的儲存方法與保存期限，而無論是文件或是記錄，都可採取紙本或電子形式，儲存於受到良好防護的實體，例如檔案室或硬碟、磁帶之中。

至於本文一開始所提到的「已文件化」程序，乃是指組織有一建立、文件化、實作和維持的程序，因此針對各項ISMS需要的文件與運作記錄，每個組織可能會有不同的文件化程度，但是在文件與記錄的管制要求上，兩者並無差別。所以，組織若想要維持一個有效且持續運作的資訊安全管理制度，那麼在文件與記錄的管理方面，勢必得要建立起符合標準要求的作業規範。(本文刊載於2009年9月號網管人雜誌)

[專題] 資訊安全管理導入實務(二) - 實施與維護資訊安全管理系統

在上一篇，介紹了目前廣泛被認可的資訊安全管理標準ISO 27001，可以作為企業建立資訊安全管理制度(ISMS)的參考規範，並且說明了支持管理制度運作的PDCA架構和「建立ISMS」條文的內涵，本篇將繼續說明標準中有關「實施與運作ISMS」、「監督與審查ISMS」，以及「維持與改進ISMS」的作法。

資訊安全是一個管理過程，在建立資安管理制度的過程中，主要會牽涉到三個P，分別是People (人員)、Process (流程)和Product (產品)，而在此三者之中，又以人員可說是管理制度成敗的首要關鍵。因此，在企業建立資安管理制度的初期，要如何找到對的人來執行，也就是如何成立一個資安管理推動小組，驅動企業成員的參與，將是首要的任務，接下來才是去思考如何建立起安全的作業流程，然後在作業流程的各個階段，導入適當的資安技術產品，以作為資訊安全的控制措施。

就目前個人所觀察到的現況，大多數企業對於資訊安全的管理，主要仍是落在導入產品的這一部份，所採取的作法也偏重在頭痛醫頭、腳痛醫腳，缺少一個有效完善的資安對應策略。相關人員對於資訊安全的概念，也是來自於銷售資安產品的廠商，往往會受限於只從技術的觀點出發，而忽略了管理的要求，以為添購了市面上最流行的產品之後，就可以解決所面臨的資安問題，但是事實上，資料外洩或是不當的入侵事件，在企業內仍舊是層出不窮。

實施與運作資安管理制度

在上回所談到建立ISMS的過程中，我們必須界定能夠識別企業風險的風險評鑑方法，並且運用此一方法去識別企業各項具有價值的資產，評估資產本身所具有的弱點，以及所面臨的威脅是否會利用這些弱點，可能對企業造成機密性、完整性和可用性的衝擊，然後再針對分析和評估各項風險的結果，依據所計算出的風險值大小和風險等級，決定要如何進行風險處理，也就是要選擇實施哪些資安控管措施。至於這些控管措施的作法，可能是透過建立標準作業流程來因應，或是添購產品以技術方法加以解決。

在ISO 27001標準4.2.2「實施與運作ISMS」條文中提到，我們要去建立一個風險處理計畫，評估企業現有的環境、資源和責任，然後制定出風險處理的優先次序。在風險處理計畫中，人員的調派和責任的配置相當重要，針對各項想要處理的風險，我們必須指定一位負責人，並說明要採取何種方式去降低此項風險及處理時間，如果是導入產品，就要擬定導入產品的時程，以及預估其可達到的控制成效。

其中特別要注意的是，在產品還無法負起資安防護的工作之前，必須選擇短期的對應措施。舉例來說，若企業所分析出的風險是敏感作業區域缺少門禁管制，採取的風險處理方法為添購門禁刷卡系統，但是預估要三個月才能建置完成，那麼在這三個月之內，缺少門禁管制的風險依舊是存在的，我們必須要實施短期的控制措施，先行控制這項風險，具體作法像是可調派警衛執行定點監控，檢查出入人員識別證等，以避免可能的資安事件發生。

到了運作ISMS的階段，企業必須要能確保所選擇的控制措施是有效的，換句話說，可以透過量測的方式，來評估控制方法的有效性。俗話說：「預防勝於治療」，所以在量測指標的設定上，我們應以設定偵測性指標為主，而避免把發生資安事故的次數作為量測的指標。例如在資料安全性的量測方面，我們可以用人員違反作業規範的次數來進行評量，而不是以發生資料外洩事件的件數作為量測的指標。

監督與審查資安管理制度

為了確保資安管理制度能夠有效運作，企業必須要有適當的監督方法，像是剛才提到可以設定量測性指標作為控制措施是否有效的衡量依據，因此，若想要去進行量測，就要事先擬定出可行的監督審查程序。在ISO 27001標準4.2.3的條文中提到，我們要能立即識別出可能危害資訊安全的事故發生，也要能夠判定所選擇的控制措施，都能如預期般地順暢運作執行。所以針對每項控制措施，就要在監督程序書中說明我們多久會進行一次有效性量測？如何去判定此項控制措施是否有效？多久會進行一次管理階層的審查？並且還要將安全稽核、發生的資安事故、有效性量測的結果，以及利害關係人所提出的建議，一併納入考量。

對企業而言，想要了解制度是否有效的執行，最常採取的作法就是定期實施內部稽核。所謂的內部稽核是指由企業內獨立的公正單位，像是稽核室人員，依照企業本身所遵守的標準、制度和法規，事先擬定查核項目，然後進行實地訪查和抽樣，以了解管理制度是否如文件中制定的要求來進行。在稽核的過程中，若有各項符合或不符合事項的發現，都要留下包括人、時、地、事、物的完整記錄，以作為未來管理階層審查時的輸入參考，藉此才能提出未來的改善目標和計畫。

維持與改進資安管理制度

企業透過定期實施的資安稽核，就可以了解目前資安管理制度的執行現況，從中發現人員、作業流程和產品技術是否有不足或是需要加強改進的地方。因此，在標準4.2.4「維持與改進ISMS」條文中提到，企業需要定期實施各項ISMS之改進，並依據所發現的不符合事項，進行適當的矯正和預防措施，像是作業文件的修訂、實施人員的教育訓練、加強技術性的弱點防護等，目的就是要達到預期的改善目標，並且確認各項資安控管措施是有效的，才能將可能的資安風險降至最低。

在ISO 27001標準的4.2條文之中，關於建立ISMS的篇幅較大，敘述也較為詳盡，這部份是企業一開始最用心且投入較多的地方，反觀維持與改進ISMS的內容，它說明應執行的事項並不多，也是整個管理制度中，很容易忽視或執行不夠徹底的地方。記得在西遊記裡有句諺語說：「起頭容易結梢難」，意思是指事情的開頭容易，但是要有令人滿意的結果卻很難。所以在此要提醒各位，可別忘了要確保資安管理制度可以有效地運作，就必須要持續PDCA的管理模式，例如維持與改進ISMS是屬於A的階段，若是沒有確實的執行，要再次銜接到下一循環的P就會有困難，可能會導致整個管理制度難以持續有效地運作下去。

熟悉標準將可事半功倍

所謂的管理制度，往往是說來容易做來難，以ISO 27001為例，在這薄薄數十頁的標準內容中，其實有著相當博大精深的內涵，要能夠完全理解它並不容易，但參照標準的好處是，可以快速地掌握各項資安管理制度的重點，然後再依據組織的現況和資源來予以彈性的運用。

至於本文一開始提到的三個P，則是執行資安管理的基礎，同時三者也是不可偏廢的，換句話說，想要只依靠單一要素來達到有效的資安管理，可說是難上加難，唯有融合專家智慧所凝聚出的標準規範，再讓上述三者能夠相輔相成，這樣才可達到事半功倍的效果，對於有心想落實資訊安全的企業，標準才會變身成為一項切實可用的神兵利器，而不只是所謂的紙上談兵，下一篇，將會說明ISO 27001針對管理制度的各項文件化要求。(本文刊載於2009年8月號網管人雜誌)

[專題] 資訊安全管理導入實務(一) - ISO 27001資訊安全管理系統簡介

推動資訊安全工作，主要涵蓋的層面包括人員、作業流程和資訊技術，要如何將此三者串連起來，最好的方式就是建置一套適合組織的資訊安全管理制度。目前，實務上最好的參考指引就是國際資訊安全管理標準ISO 27000系列的規範，接下來的文章，將會說明如何協助組織導入符合標準要求的資訊安全管理制度。

一談到資訊安全，大多數人的直覺反應就是在抵擋駭客入侵，但事實上，這只是其中的一小部分而已。過去，許多企業組織對於資訊安全的投入，主要都是著重在技術面的資安基礎建設，例如建置網路防火牆、防毒軟體和入侵偵測系統等，希望藉由安裝資安軟、硬體設備來加強網路安全，以抵擋來自企業外部的各種資訊安全威脅。

可是，僅僅做好網路安全防護，並無法有效地解決各種資訊安全問題的發生，因為還有兩項大原則必須要同時兼顧到，那就是人員與作業流程。因此，確保組織資訊安全的最佳方式是從管理層面來著手，藉由建立一套完整的資訊安全管理系統(Information Security Management Systems, ISMS)，才能有效防範資訊安全事件的發生，但是資訊人員們可千萬別誤會，這裡的「系統」指的並不是架設一台伺服器或是開發某個應用系統，它背後代表的意義，其實是要建立可以持續運作的資訊安全管理制度。

資訊安全管理標準簡介

目前，ISO 27000系列是國際上受到認可的資訊安全管理標準，其中在2005年通過的ISO 27001標準，它是規範建立、實施資訊安全管理系統的方式，以及落實文件化的要求，可以確保資訊安全管理制度，在組織內部能夠有效的運作，同時它也可以作為資訊安全管理系統的驗證標準。截至2009年6月為止，在全球已經有超過5600個組織通過驗證，台灣也有321個組織(包括公民營單位)取得ISO 27001證書，僅次於日本、印度、英國，位居全球第4位。

至於ISO 27002則是資訊安全管理作業要點，內容涵蓋了11個章節以及133個安全控制措施，提供很多實務上能夠運用的做法，可作為建立一個標準的資訊安全管理系統的參考。如果管理人員想要協助組織建立資訊安全管理制度，卻不知應該要如何著手時，就可以參照這個標準的內容來進行。

在ISO 27001標準中的要求，都是屬於一般性且可廣泛應用的，也就是說，它適用於任何型式的組織，而不受限於規模大小和營業性質。因此，只要是有心想要加強資訊安全的企業或政府單位，都可以藉由參考ISO 27001中的規範，自行選擇符合組織需求的資訊安全控制措施，來達成一定水準的資安防護能力。

管理制度的運作架構

在資訊安全管理系統的運作上，ISO 27001要求組織應該要在整體業務活動與其所面臨的風險之下，建立、實施、運作、監控、審查，並且維持和改進一個已經有文件化的管理制度，如果要確保它可長可久，就必須要運用PDCA(Plan-Do-Check-Act)過程導向模式，作為整體管理制度運作的基礎。

所謂的PDCA是指「計劃-執行-檢核-行動」的過程，在一開始的計劃階段，組織必須要建立符合營運目標的ISMS政策，它定義了組織實施ISMS的範圍，並說明資訊安全的目標、需要透過哪些指標去衡量成效，以及管理階層應該擔負的責任。因此，資訊安全政策也可視為管理階層對於資訊安全的宣誓與支持，唯有如此，到了執行的階段，我們才可依照此一政策來逐步推動各項資安的控制措施，並且建立相關的作業程序。

在依照計劃並且執行之後，要如何得知實施的成效呢？這時候就要進入檢核的階段，針對ISMS政策、控制目標及實行的過程，依照政策中所設定的指標去分析、評量實施的成果與績效，然後再將此一結果回報給管理階層作為審查之用。最後，再依據審查的結果，若是發現執行過程中有一些不符合的事項，就要透過實際行動來進行改善，也就是採取相對應的矯正和預防措施，來持續改進ISMS的整體運作。

ISO 27001標準條文內容

ISO 27001標準條文一共分為8個章節以及附錄，其中第1到3章，說明了ISMS的適用範圍、所引用的其他標準，以及相關名詞的解釋。ISO 27001條文的重點主要是落在第4到8章和附錄A，分別是「資訊安全管理系統」、「管理階層責任」、「ISMS內部稽核」、「ISMS之管理階層審查」、「ISMS之改進」，以及附錄A的控制目標與控制措施。其中特別要注意的，就是在這5個章節之中，涵蓋了資訊安全管理制度的建立運作與文件記錄管制、風險評鑑、管理責任、內部稽核和持續改善等要求，如果組織有任何一項不符合，就表示此一管理制度是無效的，也就無法通過ISO 27001標準的驗證，所以務必要了解條款背後所代表的執行意義。

為了滿足以上所提到的PDCA架構，在ISO 27001標準條文中，也是基於此一運作模式來設計，以第4章為例，4.2.1是「建立ISMS」、4.2.2為「實施與運作ISMS」、4.2.3是「監督與審查ISMS」、4.2.4則是「維持與改進ISMS」，剛好就對應了從計畫建立(P)、實施運作(D)、監督審查(C)及維持改善(A)的四個循環過程，換句話說，只要組織能夠持續PDCA的管理模式，就可以確保資訊安全管理制度可以有效地運作。

以下就先簡要說明4.2.1「建立ISMS」條文的內涵：

1. 定義ISMS範圍 - 在此條文中，要求組織首先要依據營運、組織、所在位置、資產和技術等特性，定義出資訊安全應受到適當控管的範圍。我們可以依照組織本身的特性，以部門、系統、業務項目或實體環境來定義所要實施控管的範圍，舉銀行業為例，我們可以選擇銀行資訊部門作為導入ISMS的範圍，也可以將信用卡這項業務服務相關的部門、人員、流程或是信用卡服務中心所在地點作為實施範圍。在實務上，當組織在定義範圍的時候，請僅記一項原則，就是務必要把核心的業務納進來，因為別忘了我們一開始即提到，資訊安全的目標要與營運目標一致，如果不針對主要業務來進行資安控管，實施起來就不具有意義了。
2. 界定ISMS政策 - 在制定政策的時候，我們需要考量組織營運與相關法規的要求，還有合約中所制定的資訊安全責任，例如法律要求必須要保障個人隱私、保護重大營運資訊，或是合約中要求必須保護客戶資料等，這些都是我們設定資安目標時的重要依據與參考。另外，在ISMS政策中，我們也要建立可以用來評估風險的準則，並且要能符合組織的整體風險管理策略。
3. 界定風險評鑑作法 - 風險評鑑有各種不同的方法論，讀者可參閱網管人二月和三月號中有關資安風險管理的說明，自行發展出可以識別組織風險的方法，並定出風險可以接受的等級。標準之中對於風險評鑑方法的要求，在於風險評鑑後所產出的結果，必須是可比較且可再產生的，換句話說，風險評鑑的方法，必須能夠重複使用，而且在不同時期進行的風險評鑑，其結果皆可用來相互比較分析，以作為風險處理與改善的方向。
4. 管理階層審查 - 標準中提到在風險處理之後，所殘留下來的剩餘風險，必須要取得管理階層的授權與核可，整個風險處理過程才算完成。
5. 擬定適用性聲明書 - 所謂的適用性聲明是指針對資安風險所選擇的控制目標與措施，組織必須要說明其選擇的理由，另外，在標準中所排除的控制項目，也必須要提出合理的解釋。適用性聲明的主要目的，是為了要確保不會有存在於組織中的資安風險，受到忽略而缺少適當的控管。

資訊安全是一個管理過程

資訊安全是一個管理過程，而不是一項技術導入過程，在ISO 27002標準中提到，「資訊安全是為了有效保護資訊不會受到各種威脅，實施各項適當的控制措施，以使企業能夠持續營運，將可能受到的損失降至最低，並獲得最大商機。」所以，維護資訊安全並不單只是資訊人員的責任，而是必須提高層級由企業組織的管理階層做出承諾，要求成為所有人員必須遵守的規範，也唯有人員都具備了資訊安全的警覺與防護意識，才能降低資安事件發生的可能。(本文刊載於2009年7月號網管人雜誌)