居安思危,未雨綢繆
從境管當機事件 談資安風險管理(上)

2009-02-09
意外事件的發生,往往令人措手不及,如果又缺少了適當的應變方法,一團混亂的結果更會造成危機的擴大。因此,最好的做法就是在事前設想可能的風險,並採取適當的措施來將衝擊降至最低,本文用簡單的範例,來協助你了解風險管理的過程。
在上個月初,桃園機場的境管電腦發生了當機事件,使得證照查驗工作必須採用人工方式進行,造成入出境的旅客大排長龍而抱怨連連。以往雖然也有類似情況發生,所幸資訊人員都能在很短的時間內搶修完成,讓服務可以迅速地恢復運作。但是,此次當機事件卻牽連甚廣,使得整個境管電腦系統停擺長達三十六個小時,更讓八名受到列管的人士得以入出境闖關成功。  

此次當機事件,根據官方的聲明指出,主要發生原因是硬體過於老舊,導致硬碟與主機板發生故障,進而使得境管系統停擺。但是,在事件引起軒然大波之後,各家媒體和網友卻抱持著不同的看法,歸結起來大致可分為以下幾項原因:
1. 硬體設備老舊未更新
2. 相關人員應變力不足
3. 備援與復原機制不足
4. 缺少標準處理作業流程  

個人認為這次事件的發生,絕不只是單一的因素所造成,因此可以從很多角度來予以探討,包括從系統開發與運作流程、備援作業程序、IT服務管理和營運持續管理等,但因缺少相關直接證據,在此我們不去探討事件背後的真相,而是要來思考以上各個層面,都必須考慮到的一個重點,那就是所謂的風險管理。  

風險管理基本概念  

風險是什麼?簡單的說,就是不想要發生的事件,當它發生時所造成的影響程度,跟發生的可能性之組合。舉例而言,像是每年大概會發生兩次,當颱風來襲時會使住家所在的區域停電;或是一年左右可能會發生一次,因為路上的釘子刺破了輪胎,造成車子無法繼續行駛,這些都是生活中存在的風險。若以IT的例子而言,常見的風險則有:每年大約發生一次,因硬碟故障造成檔案損毀;或是電腦病毒造成作業系統無法開機,每年至少發生二次以上等。  

風險的存在與否,主要是視資產所處的環境及活動,要去考量它的嚴重性以及發生的機率,像以上這些事件所產生的風險,都會造成一些問題發生,假如沒有適當的因應做法,可能會讓事態擴大而產生更大的衝擊,所以若想要避免或是降低更多問題的產生,就必須要採取一些對應的風險控制措施,而這也就是風險管理過程中重要的工作之一。  

風險管理的過程  

風險管理的第一步,就是要先了解會產生風險的對象到底是誰?對企業而言,風險來自於有價值的資產,所以必須識別企業內的重要資產有哪些,還有其所面臨的威脅與弱點是什麼,以便鑑別出各項風險組合。  

以這次當機事件為例,它的資產至少包括系統維護人員、運行系統的電腦主機、系統應用程式、儲存設備、備援系統等,可能的威脅包括像是設備自然損耗和人員作業疏失,弱點則可能有維護支援服務不足、人員缺乏訓練、缺少應變程序等,如果這些資產的威脅和弱點同時發生的話,就會影響到所提供服務的正常運作。  

關於風險管理的過程,基本上可分為識別資產、風險分析、風險評估和風險處理四個步驟來進行,以下是各項步驟的說明。  

識別資產  

在資訊安全的範圍裡,我們所要探討的資產以資訊資產為主,也就是和資訊有關且彼此影響的事物。資產的種類通常可分為:
●人員:和資訊作業有關的人員,例如管理階層人員、系統開發人員、系統維護人員、資訊處理人員、網管人員等。
●文件:可分為紙本文件和電子文件,例如系統文件、使用手冊、網路拓撲圖、各式表單、合約、日誌、客戶資料等。
●軟體:資訊系統運作所需的軟體,包括作業系統、資料庫、一般應用軟體、防毒軟體、內部開發的應用軟體等。
●硬體:指存放、處理或支援資訊系統運作的硬體設備,例如個人電腦主機、伺服器、筆記型電腦、路由器、交換器、不斷電系統等。
●實體環境:指處理資訊所在的地點及建築物,例如機房、網管中心、備援中心、資訊作業中心等。
●網路:指對外連結或區域互動的網路,例如ADSL網路、光纖網路、數據專線、無線網路等。
●資料:指存放在儲存媒體如硬碟、磁帶、光碟等的數位資料。

風險分析  

在識別和資訊有關的資產並進行分類之後,接下來就要分析這些資產所面臨的威脅與弱點。所謂威脅是指會對資產造成損害的事物,分為自然因素與人為因素,自然因素是指來自於天災或是設備的自然損耗,人為因素則包括有意破壞和無意的疏忽,目前常見的威脅包括:火災、水災、颱風、地震、電力中斷、駭客入侵、內部人員不當操作、人員惡意竊取、人員惡意破壞等。  

至於弱點則是指存在於資訊資產本身,容易被威脅利用而造成損害的地方,弱點本身並不會造成資產的損失,必須要伴隨威脅一併發生,才會產生資安風險。在資訊系統中常見的弱點有:作業系統未更新、病毒碼過期、缺少身份驗證、缺少存取權限控管、使用未加密的網路、人員缺少訓練、設備缺少維護等。  

風險評估  

在識別資產所面臨的威脅與弱點之後,接下來就要進行風險評估,也就是計算出風險值,並依照風險值的高低來加以排序。當然,風險高的項目,一定要優先處理。  

關於風險的計算方式有很多種,礙於篇幅無法做詳盡的說明,在此僅提出一個最簡便的方法,可做為風險評估時的參考,應用時可依所處環境與管理要求來自行定義評價方式,本方法的計算公式如下:  

風險 = 資產價值 x 威脅機率 x 弱點等級  

關於資產價值可參考表1的說明,分別依照資產的機密性、完整性與可用性的要求來給予評價,再取其平均值或最大值;至於威脅發生的可能性,可以「每年發生一次」、「半年發生一次」、「每季發生一次」、「每月發生一次以上」,分別給予1~4的評價;弱點等級,則可以區分為「很難被利用」、「難以被利用」、「容易被利用」、「很容易被利用」,同樣給予1~4的評價。

完成資產、威脅與弱點評價之後,就可計算出各項資產現有的風險值,並可依風險值的高低,賦予風險等級,例如風險等級A為48~64、風險等級B為32~47、風險等級C為16~31、風險等級D為1~15,最後企業可決定能接受的風險等級,假設為D的話,那麼只要是屬於風險等級ABC的資產,就是我們必須要去做風險處理的對象。表2是一個虛擬範例,僅供參考。

結論  

風險管理是一個持續性的過程,舉凡企業內部的組織變更、作業流程改變、資訊資產的變更,或是有重大的資安事件發生之後,都必須要重新進行風險分析和風險評估,以期能夠識別新的風險,才可及早採取適當的風險控制措施,降低可能的資安事件發生,下一次將為你說明風險處理的相關做法。


追蹤我們Featrue us

本站使用cookie及相關技術分析來改善使用者體驗。瞭解更多

我知道了!