Cybersecurity Framework 網際安全框架 資訊安全 網路安全 風險管理 資安

美國白宮推網際安全框架 指引企業組織資安實務

2014-04-18
網際安全框架主要是提供給美國聯邦機構和地方政府,同時也包括電力、運輸等重要的基礎產業,能夠強化自身的網路安全,以避免受到來自網路的重大威脅,並且結合了業界標準與最佳實務,幫助企業組織能夠有效地管理網際安全風險。


▲組織的資訊與決策流程概念。(資料來源:Cybersecurity Framework)

步驟一:決定優先順序與範圍

組織應了解其業務目標和最高管理層對於風險管理的期待,藉此才能夠制定因應資訊安全的策略和決定實施的範圍。在決定範圍時,需要考量的是有哪些資產和資訊系統是和業務流程有關的,在導入網際安全框架與實施計畫時,也可因應不同業務流程的需要與風險的高低,決定所需要採取的整體做法與個別的控制措施。

步驟二:確認目標與方向

一旦組織依據其業務流程決定了網際安全實施計畫的範圍之後,組織就可以識別其相關的資產和系統、法律法規的要求及整體的風險管理做法。接下來即可針對這些資產和系統,識別其可能存在的威脅與弱點,以確認實施計畫的目標與方向。

步驟三:建立組織現況的側寫

組織可以參考網際安全框架核心中所明列的安全活動,以及每個活動中的功能和分類,來剖析組織目前的安全現況。

步驟四:實施風險評鑑

組織可以藉由整體風險管理過程的引導,針對業務運作的環境進行分析,以了解資安事件發生的可能性和其可能帶來的衝擊,在這個過程中必須充分考量風險中的各項威脅與弱點資料,才可促進組織對於資安事件的可能性與衝擊能夠有充分的掌握。

步驟五:建立理想目標的側寫

組織同樣可以參考網際安全框架核心中的安全活動,以及每個活動中的功能和分類,來建立理想的安全狀態與目標,藉由與組織現況的側寫的相互比較,就可以了解其中差距,以便採取必要的改善行動。除了參照網際安全框架之外,組織也可以考量來自外部利害關係人如客戶、商業夥伴對於資訊安全的期望,將其一併納入未來的目標之中。

步驟六:針對差距進行分析及確認優先順序

組織針對現況和理想目標進行比較之後,即可得知其安全差距,為了消除安全差距,接下來就是要制定一項可行的行動計畫,在計畫之中,必須針對成本、效益以及達成的風險結果進行分析,以便決定行動的優先順序和所需要的資源,同時也可藉此一計畫讓管理階層明白相關的安全活動,以獲得有效改善與達到目標的各項支持。

步驟七:實施行動計畫

一旦建立行動計畫之後,就需要依據其內容來逐步實施,在過程之中,除了可參考網際安全框架核心中所明列的安全活動和分類之外,組織也能決定還需要搭配哪些國際標準、安全準則和最佳實務做法,以便符合其實際的需要並且達到更好的效果。最後,針對行動計畫的實施過程,還必須持續地加以監控,以確認達成預期的目標。

如何因應日新月異的安全風險

透過以上的實施步驟,組織就可以依據其需要,不斷地重複進行分析與改善其資訊安全,在這個過程中,最高管理層所關注的是組織的整體風險,業務流程層則關注與其有關的關鍵基礎設施,再交由實施運作層的人員來執行改善的行動計畫。基本上,無論組織的規模大小與風險等級,只要運用此一網際安全框架就可以改善資訊安全的現況,並且能夠管理關鍵基礎設施所面臨的安全風險,更由於此一網際安全框架參考了國際認可的安全標準,因此也同樣適用於美國以外的其他地區,可成為一項國際通用的安全準則。

對組織而言,今日的資安風險是多變並且多樣化存在的,並沒有一項單一的作法,可以因應所有的安全問題,因此,組織必須持續地以文件化和風險管理方式來更新改善,以確保關鍵基礎設施可能面臨的各項新的風險,都能夠即時動態地被有效管理因應,以降低對組織可能造成的損失與衝擊。如果你的組織還缺少一套足以因應網際風險的管理作法,網際安全框架是相當適合用來作為改善資訊安全的基礎藍圖。

<本文作者:花俊傑,曾任IT雜誌主編、資安顧問,擁有CISSP、CISA、CISM、CEH、CCSK、CIPP/IT、CIPM等國際認證,自詡為資安傳教士,樂於分享資安心得,讀者可透過jackforsec@gmail.com與之聯繫。>


追蹤我們Featrue us

本站使用cookie及相關技術分析來改善使用者體驗。瞭解更多

我知道了!