ISO 27001 資訊安全管理系統 雲端控制 法規遵循 災難復原 雲端安全

留心發行管理安全要求 災難復原計畫不可少

2014-01-07
上一期我們說明了在雲端控制矩陣之中,有關法律議題與營運作業時應實施的安全要求,並且要從整體雲端服務的角度來評估可能的風險,本期將說明有關發行安全管理和災難回復能力之要求。
在雲端控制矩陣中的第九項是有關發行管理的要求,它是針對雲端服務的營運中,評估是否存在相關的變更管理流程與機制。

發行管理之安全要求

一旦與雲端服務有關的營運事項有所變動時,服務供應商必須要有能力識別並且實施計畫性的更動,同時也要評估發生災難時可能帶來的衝擊,以及擬定必要的復原程序。

以下將說明發行管理中的5個控制措施,以及所對應ISO 27001的標準內容與實務建議。

RM-01 新開發與取得要求

這項控制措施是要求對於新的應用程式、系統、資料庫、基礎建設、服務、操作和設施的開發或取得,必須建立管理授權的相關政策和程序,也就是在一開始評估與規劃時,即考量所需的安全要求。

在ISO 27001的標準中,可以參照「A.12.1.1 安全要求分析與規格」之要求,了解新的資訊系統對組織整體營運的重要性為何?評估系統萬一失效或受到入侵時可能產生的安全風險?所需要的資安防護層面有哪些?如果系統本身無法達到所需的安全強度,是否可尋求其他的配套措施來降低風險?

另外,在「A.6.1.4 資訊處理設施的授權過程」中提到,組織大都會採購資訊相關設備,並且給予員工在作業時使用,為了確認這些新設施能夠符合資訊安全的要求,因此有關資訊設備的使用,必須先取得管理階層的核准,換句話說,組織應明訂此一授權程序和流程,才可確保符合了資安政策的要求。

RM-02 生產之變更

如果組織所提供的雲端服務,需要進行與生產環境有關的變更,變更的項目一般包括了軟體和硬體,像是應用程式、系統、資料庫、網路裝置等,可能變更的內容則涵蓋了安裝修補程式(patches and service pack)和其他的更新與修改,因此這項控制措施要求在變更進行之前要先獲得主管授權,採取文件化方式的流程並且進行測試。

有關的生產變更之要求,可以參考「A.10.1.2 變更管理」,以確保和資訊處理設施與系統有關的變更事項,都能夠受到妥善的管理控制。實務方面,除了所有的變更內容務必要取得主管的授權之外,特別要注意的是務必保存相關的變更記錄,包括作業核准的程序、重大變更事項的識別和記錄、變更規劃與測試計劃,以及在變更失敗時,如何中止並進行復原的程序等。

此外,在「A.12.5.1 變更控制程序」中也提到,針對資訊系統的變更,需要制訂正式的變更程序才可進行,也就是說重點在於整個過程都需要有適當的監控,因此最好的作法是有文件化的變更作業程序,同時依據之前A.10.1.2變更管理的相關要求來實施。

RM-03 品質測試

這項控制措施是要求組織中所有的軟體開發,都必須建立系統化的監督和評估計畫,以確保達到品質標準的要求。針對資訊系統的更新和版本變更,都要以文件化方式進行,在系統開發和被採用之前,也都要事先進行安全測試。管理階層需要有足夠的能力來監督品質測試的過程,以確認符合當初的開發目的,並且在釋出上線之前解決可能發生的問題。

對此,可以參考「A.10.1.4 開發、測試與運作環境的區隔」之要求,也就是應分隔在開發、測試和運作所使用的資訊設施,以避免因設備的誤用或資訊的不當修改,而產生不必要的風險。

在實務方面,針對應用程式的開發,務必要備妥開發流程、測試和上線運作的程序文件,同時,所使用的資訊軟硬體設備,也要加以適當的區隔,不在同一個環境上進行,也不將資訊存放在相同的儲存媒體中。特別是要避免使用正式的上線環境和營運資料進行測試,以免影響日常的營運。

在系統完成更新之後,可依照「A.12.5.2 作業系統變更後的應用程式技術審查」之要求來進行審查測試,以確認不會影響到組織的作業或其他關鍵系統。換句話說,只要有系統進行了變更作業,就要對應到後續的技術審查過程,而且所有更新作業與運作情況,都需要留下適當的記錄才行。

RM-04 外包之開發

這項控制措施是要求針對所有外包軟體之開發,必須建立系統化的監控與評估計畫,以確保符合品質標準之要求,同時所有外包的軟體開發,都應受到組織的管控和安全要求,包括了開發環境需經過合格人士的獨立審查,開發人員需接受安全認證訓練,以及進行原始碼的檢測等。至於相關的安全認證則要符合ISO 17024之認證規範,或是符合當地法定認可機構所頒發的執照與認證。

針對此項安全要求,在「A.12.5.5 委外的軟體開發」中提到,服務供應商若選擇委外廠商來進行軟體開發,就必須要加以適當的監督,確認其遵守了組織的安全政策,這部份同時可參照「A.10.2 第三方服務交付管理」的要求,實務上更建議組織應將安全要求明列在所簽訂的委外合約之中。


追蹤我們Featrue us

本站使用cookie及相關技術分析來改善使用者體驗。瞭解更多

我知道了!