ISO/IEC 27001 ISO 20000 ISO 22301 BS 65000 勒索軟體 DDos

強化組織「資訊韌性」 從容應變IT風險危機

2017-04-07
在資訊時代瞬息萬變的局勢下,組織要如何才能夠永續經營?一旦面臨困難挑戰,發展組織韌性(Organizational Resilience)將會是危機中的逆轉關鍵,所謂的韌性是指組織能夠預測、準備和應對可能突發的營運危機,擁有充份的能力可以因應變化,最後得以持續生存並且繁榮興盛。
今年農曆春節結束後開工的第一週,台灣有十家以上的證券業者遭遇了勒索式的網路阻斷服務攻擊,巨大的攻擊流量對於資訊系統的運作造成了重大的影響,同時也考驗了組織面對外來威脅的應變機制和能力。根據BSI英國標準協會過去對於資訊部門主管所做的調查結果指出,有九成以上的受訪者坦言,其組織曾經遭遇過來自網路的攻擊,更有五成的受訪者表示因為駭客試圖入侵或是惡意程式的潛伏運作,而使組織蒙受經營上的損失。

無論是大企業或是小公司,當面對來自四面八方的網路攻擊,或是潛藏在組織中伺機發作的惡意軟體,具備足夠的資訊韌性將是必要的生存要素之一,有韌性的組織可以藉由更好的供應商和產品工具的協助,建立標準化且迅速的事件回應處理流程,加上擁有足夠資安意識和應變能力的專業人員,能夠協助組織克服危機帶來的考驗,也就是說,具備資訊韌性除了可以確保業務的持續運作,更可同時維護重要資訊的安全。

有關組織韌性的國際標準

BS 65000是BSI在2014年底所發布的英國國家標準,它是有關組織韌性的最佳實務指引,目前正在發展中的ISO 22316更以它為本,將初稿內容公開以徵詢各方意見,未來即將成為正式的國際標準。BS 65000除了針對韌性的本質給予清楚的描述,也提到了發展組織韌性的方法,也就是透過整合現有的作業流程,讓複雜的組織運作能夠透過協同運作的方式,建立組織因應各項問題的能力。

▲ 資訊韌性是因應未來挑戰的重要一環。

根據經濟學人的研究指出,組織韌性已是現代企業邁向成功的驅動力,它主要包括了以下三大領域:

‧營運韌性(Operational Resilience)︰聚焦於提升組織的營運能力,強化產品、服務與流程的績效和永續性,進一步防範組織在財務與聲譽方面受到損害。

‧資訊韌性(Information Resilience)︰管理組織的實體與數位資訊,強調資訊的生命週期管理,從資訊的產生到終止,讓各方的利害關係人都能安全且有效率地取得、儲存及使用資訊。

‧供應鏈韌性(Supply Chain Resilience)︰它是量化與緩和供應鏈風險的能力,包含了採購、製造、運輸、銷售的生命週期,以適當的管理機制將供應鏈中斷的衝擊減至最小,並且保護組織免於財務和聲譽的損害。

發展資訊韌性的四大基礎

在現今的資訊時代,組織需要有足夠的能力去保護敏感資訊,也需要被客戶信賴。隨著資訊化的腳步愈來愈快,組織也面臨了伴隨而來的各種安全威脅,像是資訊詐騙、商業間諜及惡意破壞等。如今,大部份的威脅已不是來自於外部,而是來自於內部缺少適當的安全控制措施,並且也包括使用新興科技的雲端服務,還有委外的商業資訊和個人資料處理,也擴大了可能的安全議題。

▲ 組織韌性所包括的三大領域。

對組織而言,為了獲得利害關係人像是客戶的信任,導入有效的資訊安全管理(ISMS)體系已是強化資訊韌性的必要做法,而且還要讓它進一步融入於組織的文化之中,以支持在各個層級的內部營運和商務運作。基本上,在資訊從產生到終止的生命週期中,一個有韌性的組織必須考量從實體面、數位面來管理所擁有的資訊,並且在流程面採取資安內化的角度,讓資訊能夠安全且有效率地被蒐集、存取和利用。

對於想要強化資訊韌性的組織,以下四個層面將是必要的發展基礎:

1. 管理和保護資訊:首先組織必須了解需要妥善保護的資訊有哪些,這部分可以藉由盤點關鍵的營運流程和相關的資訊資產來進行。另外,對於資訊本身的生命週期,包括創建、處理、儲存、傳輸及銷毀的過程,也需要清楚地識別其作業方式和保留記錄。對組織而言,管制資訊的出入口是第一道防線,若能及時實施適當的存取控制,就可以大幅降低資訊外洩的風險。

2. 防護資訊基礎設施:組織內部與資訊處理相關的基礎設施,除了包括所在場域維持運作所需的基本公共服務,例如網路、電力、水力等,也涵蓋了自行管理的資訊設備、電腦機房和資料中心。換句話說,實體安全的控制是防護基礎設施重要的一環,無論是位於場所內或場所外的資訊設備,都需要事先評估無法運作時的風險。因此,組織需要制定對應的備援機制和營運持續計畫,同時還要安排定期的演練,確認相關計畫在災難發生時的可行性。

3. 強化信任和聲譽:組織想要長期的生存發展,並不是單靠本身的力量即可達成,尤其是許多的資訊服務與資源,可能來自於協力的廠商業者,因此,除了要主動強化彼此的信任合作關係,打造可信賴的資訊服務,還要去維持良好的供應商關係,進一步強化組織聲譽以成為重要供應鏈中的一環,以便讓業務得以長期的擴展。

4. 確保法令法規的遵循:對於組織來說,要求遵循適用的法令法規已是必要的責任和義務,隨著組織規模的擴大和資訊服務的無遠弗屆,除了了解當地的法令法規要求,更需要進一步了解業務範圍內的各國法規,否則一旦適法性受到質疑,伴隨而來的法律議題將會危及組織的生存發展,所以組織也需要有法規專業人才的協助,確保法令法規的遵循要求。

結合管理系統以提升資訊韌性

為了強化組織韌性,結合受到全球認可與導入,並且適用於各種產業與規模的管理系統標準,已是形塑組織內部文化與建構資訊韌性的最佳方法,以下是與提升資訊韌性密切相關的管理系統標準,可以作為組織的參考。

▲ 韌性是決定組織未來的生存關鍵。

ISO/IEC 27001資訊安全管理系統

ISO/IEC 27001是受到業界廣泛認可的資安管理標準,它定義了資訊安全管理系統(ISMS)的基本要求,這項標準的設計是確保有充分、適當的安全控制措施,協助組織保護其重要的資訊資產。導入ISO/IEC 27001可增強包括客戶在內的利害相關人各方的信心,它適合於全球任何規模和行業的組織,尤其適合於影響關鍵業務及特別需要安全保護的組織資訊。

ISO 20000 IT服務管理系統

資訊科技已是支持組織日常營運的重要支柱,不管員工位於何處或負責何種業務,任何規模的組織都需要仰賴有效的IT服務管理,以達成服務績效和營運要求。IT服務除了具有成本效益之外,還必須達成可靠性、一致性及有效性,無論是管理企業內部的IT服務,或是針對提供IT服務的委外服務業者,ISO 20000都能協助組織達成以上目標,並且可以因應不同產業的快速變化,提升資訊技術基礎架構(ITIL)來滿足業務所需。

ISO 22301營運持續管理系統

對於可能造成營運中斷的風險,ISO 22301提供了正式的營運持續管理架構,藉由營運衝擊分析來協助組織發展出營運持續計畫,以便在發生重大衝擊事件期間和之後還能夠持續地營運。若組織能有效遵循所制訂的營運持續計畫,將可減少中斷事故所造成的衝擊和影響,確保組織有能力快速恢復正常營運,並持續提供客戶所需的服務及產品。

ISO 31000風險管理標準

組織若採取有效的風險管理策略,可以幫助在事前進行危機分析和風險評估。因此,參考ISO 31000標準所提供全面性的原則和準則,能夠協助組織鑑別所面臨的風險。此一標準適用於大部分的業務營運活動,不論是公務機關或私人企業,都能藉由標準指引來建立風險管理機制,針對可能的風險進行評估,並且針對不可接受的風險進行風險處理。

強化資訊韌性 迎向未來挑戰

依據經濟學人智庫(The Economist Intelligence)針對全球411位企業高階主管的調查指出,有八成以上的受訪者認為韌性是組織營運發展的關鍵要素,並且是業務長期發展的必要條件,但是目前僅有三成的組織已實施相關的做法,因此相當需要實務上的指引和協助。 在資訊變動快速的年代,面對未來許多不可知的風險,組織可藉由發展資訊韌性,仔細地審視在整個資訊生命週期之中,包括產品、人員、流程存在著哪些可能的風險,再透過管理系統的導入與相互合作,落實風險管理並強化日常維運的基礎,正所謂「適者生存」,組織唯有具備了強健的韌性體魄,才有充分能力因應未來更多的挑戰。

<本文作者:花俊傑,現為bsi英國標準協會客戶經理,擁有BS 10012和ISO/IEC 27001、27017、27018、29100等主導稽核員資格,自詡為資安傳教士,樂於分享資安心得。>


追蹤我們Featrue us

本站使用cookie及相關技術分析來改善使用者體驗。瞭解更多

我知道了!