安全趨勢 -...

2

►  IT安全趨勢 ► 資訊安全⾵風險分析 ► ⾵風險回應與管理

網路安全⾵風險報告   ⽤用⼾戶端軟體太多沒更新，導致眾多安全問題(Client-

side software that remains unpatched) ◦ 更新⽤用⼾戶端軟體的頻率應該⽐比更新作業系統的頻率⾼高⼀一倍

  60%攻擊是針對網站⽽而來 ◦ 透過網站的攻擊，包含SQL Injection與XSS跨網站腳本

指令攻擊可以輕易地獲取很⼤大的成效

資料來源: SANS 2009網路⾵風險報告

3

趨勢科技「2013資安關鍵⼗十⼤大預測」1/2 1.  惡意與⾼高⾵風險的Android App程式數量在2013年將突破

百萬。惡意與⾼高⾵風險的Android App在2013年當中將攀升四倍。

2.  APT攻擊廣度以及深度持續擴⼤大成為企業資安防禦重點。 3.  網路犯罪者將⼤大量濫⽤用正當的雲端服務。 4.  資安威脅將出現在令⼈人意想不到的地⽅方。個⼈人電腦、平

板電腦或智慧型⼿手機等，其他具備網際網路連線能⼒力的裝置(如連網電視) 。

5.  消費者將使⽤用多種運算平台和裝置，⽽而保護這些裝置將變得複雜⼜又困難。

Android 惡意程式碼驚⼈人的成⻑⾧長

4

趨勢科技「2013資安關鍵⼗十⼤大預測」2/2 6.  以政治為動機的電⼦子化攻擊將變得更具破壞性。 7.  不論是否使⽤用雲端儲存，資料外洩依然是2013年的威脅之⼀一。 8.  解決全球網路犯罪問題的⼒力量⾄至少需要⼆二年以上的時間來完成

全⾯面部署。⼤大部分的⼯工業化國家⾄至少必須等到2015年之後才能有效地強制執⾏行網路犯罪防治法律。企業仍必須在⾃自⼰己的IT基礎架構上採取更主動的預防措施，對於⾼高⾵風險的企業來說，威脅情報將成為標準防禦的重要⼀一環。

9.  傳統的惡意程式威脅將緩慢演進，全新的威脅只是少數，⽽而攻擊的部署⽅方式將⽇日趨精密，不同網路犯罪地下團體之間的彼此合作也將更加普遍。

10.  ⾮非洲將成為網路犯罪者新的避⾵風港。執法不嚴格的地區，向來就是網路犯罪的溫。

卡巴斯基實驗室 (Kaspersky Lab) 2013 v 重⼤大基礎結構 – Flame、Gauss 和 miniFlame。v 利⽤用套件 – 網路罪犯的精選武器。v ⺫⽬目標式攻擊 – 企圖蒐集智慧財產。v DNS Changer – 利⽤用詭計使消費者誤以為⾃自⼰己是在合法網站上。v 殭屍網路 – 尋找較⼩小型且較難偵測出來的殭屍網路。v 模組化 – 駭客將他們⾃自⼰己的外掛程式新增到網⾴頁瀏覽器中。v ⾏行動裝置攻擊 – Zitmo 和 Spitmo 仍然是最熱⾨門的⼿手機惡意程式碼。v ⾮非法憑證 – 由駭客⾃自⾏行建⽴立憑證。v NFC 惡意程式碼 – NFC 的⼿手機付款系統。v 利⽤用分享做為誘餌 – 由您的「朋友」推薦且附帶問卷調查的影⽚片。v 線上隱私權 – 您個⼈人資料的價值不斐。v HTML5 - 將程式與瀏覽器加以整合，以利於罪犯使⽤用。v 未註冊的市場 – 在未註冊的市場設定⾮非法網站。

5

Gartner 2013 資訊安全⼗十⼤大趨勢 v Network security/security markets v Data security v Security monitoring v Consumerization/mobility v Identity and access management v Cloud security v Business continuity and disaster recovery v Privacy v Information governance and IT security v Security program maturity

  資料來源: Gartner's Top 10 IT Security Trends for 2013


6

⾵風險是甚麼

⾵風險的定義 u  國際標準組織(ISO)的定義

“The chance of something happening that will have an impact upon objectives.”

對於⺫⽬目標會產⽣生影響的事件所發⽣生的機會

u  英國會計師協會的定義 “…risk is inherent in business. Although the nature and extent may differ, risk is as applicable to a small retailer as it is to a multinational conglomerate. A company takes risks to pursue opportunities to earn returns for its owners; striking a balance between risk and return is key to maximizing shareholder wealth.”

在企業內⾵風險是⽣生⽽而俱來的，雖然這些⾵風險的性質或範圍可能不同，但無論對⼩小企業或跨國性⼤大企業⽽而⾔言，同樣都有⾵風險。公司有可能為追求獲利的機會⽽而承擔較⼤大的⾵風險，因此在⾵風險與報酬間取得平衡是極⼤大化股東利潤的關鍵

豐⽥田事件啟⽰示錄

7

⾵風險是甚麼

因此… ◦ ⾵風險是未來的不確定事件，該事

件會影響組織⺫⽬目標的達成，包括策略、作業、財務或其他⺫⽬目標。 ◦ 所有的投資都有⾵風險  不⼀一定賺得到您所想賺的錢  ⼀一定會有達不到的機會 ◦ ⾵風險越⾼高報酬越⾼高  損失的可能性很⼤大

Marsh Report 2008

14

⾵風險的型態 Ø  恐怖主義與犯罪活動 Ø  原油與天然氣的取得 Ø  能源價格的波動 Ø  公共建設發展的緩慢 Ø  政策⾵風險 Ø  天然災害的⾵風險 Ø  ⾼高品質勞動⼒力的取得與保持 Ø  疾病的流⾏行 Ø  營運環境的衝擊 Ø  ⾦金融⾵風險 Ø  供應鏈的⾵風險 Ø  國際化的增加 ( 合夥/合資) Ø  全球經濟⾵風險

8

⾵風險的本質

  不確定性(Uncertainty)：與預期不符 ex.顧客之信任與否

  危險(Hazard)：不利事件之發⽣生 ex.營運中斷

  機會(Opportunity) 之開發與利⽤用 ex.新科技之使⽤用

⾵風險的起因

戰爭危機

產業標準

併購競爭壓⼒力

產品與市場之更新

科技之進步

經濟/政治之改變國際化

改變

9

⾵風險的種類

營運風險

管理風險

策略風險

組織風險

科技風險

資源風險

管理階層對於⾵風險看法之轉變過去… • ⾵風險監督是內部稽核之責任 • ⾵風險只是須加以控管之負

⾯面因素 • ⾵風險管理係依組織架構執⾏行 • ⾵風險管理係較低階層之責任 • ⾵風險衡量係主觀的 • 未結構化及分歧的⾵風險管

理功能

現在… •  ⾵風險監督是管理當局之責任 •  危機即是轉機 •  ⾵風險管理是整合性且適⽤用

於企業整體 •  ⾵風險管理係為⾼高階層及各

執⾏行單位之責任 •  以數量化衡量⾵風險 •  ⾵風險管理機制建置於各企

業管理系統上

10

⾵風險的管控 l  組織須藉著經營⺫⽬目標之達成⽅方能成功 l  ⽽而⺫⽬目標之達成端賴有效之⾵風險管理 l  所以，有效之⾵風險管理是確保組織成功之關鍵因素

•  ⺫⽬目標 : 與創造組織價值相關之⺫⽬目標 •  ⾵風險 : 無法達成⺫⽬目標之因素 •  控制 : 降低⾵風險之⽅方法 •  ⼀一致性 : 確認⺫⽬目標、⾵風險及因應

控制之⼀一致性

⾵風險評估與管理主要因素

威脅

安全措施

安全需求

資產

價值

脆弱性

資料來源:ISO/IEC 13335

⾵風險

11


22

資訊安全⾵風險管理(ISO 27005)   ⾵風險是可被辨識的。   根據企業⾵風險發⽣生的可能機率與導致結果設定⾵風險的評

估的標的。   ⾵風險發⽣生可能性與導致結果是可以溝通與被了解的。   建⽴立⾵風險處理的優先處理次序。   企業經營者參予⾵風險管理決策制定並且持續關注。   建⽴立有效率的監督與檢視⾵風險處理的制度。   ⾵風險與⾵風險管理過程是被檢視與規律的檢查。   新的資訊被擷取作為精進⾵風險管理的⽅方法。   管理者與員⼯工要被訓練有關於⾵風險與發⽣生後的⾏行動。

12

資訊安全⾵風險管理流程

計畫 (建⽴立ISMS)

建⽴立Content ⾵風險評估⾵風險處理計畫⾵風險接受點。

執⾏行 (實作與操作ISMS）

⾵風險處理計畫實施

檢查 (監控與審查ISMS）

持續監測控制與觀測⾵風險

⾏行動 (維護與改進ISMS

維持與持續改進資訊安全⾵風險管理過程。

資料來源: ISO/IEC FDIS 27005

ISO/IEC 27005⾵風險管理過程

⾵風險監視與審查

⾵風險溝通

⾵風險評鑑

建⽴立(Establish Context)

⾵風險辨識

⾵風險估計

⾵風險評估

⾵風險處理

⾵風險分析

⾵風險評鑑結果是否接受

⾵風險承受點

⾵風險承受是

否

否

是

13

25

⾵風險處理選擇

降低⾵風險

⾵風險評估結果

⾵風險決定點

⾵風險決定點

⾵風險保留⾵風險避免⾵風險轉移

殘餘⾵風險

⾵風險處理活動

Risk decision point 1

Risk decision point 2

資訊安全⾵風險管理六⼤大盲點   1：太依賴歷史資料   2：只著重狹隘的指標   3：忽略可知的⾵風險   4：忽略隱藏的⾵風險   5：溝通不良   6：未即時管理

14

如何提⾼高⾵風險管理的效⽤用   1.別害怕未知 ◦  (1)避免：避免涉⼊入於⾵風險之中，例如：使⽤用正版軟體，

防⽌止侵犯智慧財產權。 ◦  (2)轉移：將⾵風險轉嫁於其它組織。例如：⽕火災保險。 ◦  (3)降低：藉由實施⾵風險管理措施來降低事件發⽣生的機率

或傷害。例如：安裝防毒軟體和防⽕火牆來抵禦電腦病毒與駭客⼊入侵。 ◦  (4)接受：有些⾵風險因為發⽣生機率極低，⽽而變得無關緊要

，組織因此接受它；   2.發展營運持續計畫

► 資訊安全⾵風險管理

課程⼤大綱

► 營運持續運作管理

15

► 營運持續管理系統(BCMS)的⺫⽬目的與效益 ► BCM流程與活動 ► 辨識威脅與衝擊

30

鑑往知來

16

31

我們⾯面臨的環境

32

17

BS25999

 BS 25999-Ⅰ對企業營運持續管理的界定為：

「⼀一個整體營運管理流程，能夠鑑別組織的潛在威脅、以及當威脅對營運可能造成影響時，提供⼀一個可⽤用於建構組織復原能力的框架，以協助組織做出有效的回應，來保護股東權益、組織聲譽與品牌價值等⺫⽬目的」

34

BS 25999 營運持續性管理

u 為了保證業務正常有效地運作，將危機或災難帶來的影響較低到最⼩小或是維持在⼀一個可接受的⽔水平上⽽而建⽴立的⼀一種⾵風險管理體系。

u 針對會造成業務中斷的各種可能，進⾏行必要的預防與改善措施，以確保達成預先設定之關鍵營運⺫⽬目標。

u 提供⼀一個回復組織能⼒力的演練架構，以確保其關鍵產品或服務能在發⽣生危機或災難時持續提供如預期的服務⽔水準；

u 提供⼀一個防⽌止業務中斷的管理能⼒力並保護組織的聲譽與品牌。

18

35

35

英國國家標準 (BS)，分為兩份標準   BS 25999-1:2006作業要點 (導⼊入參

考) ◦  Code of practice for business

continuity management

◦  Published 28 November 2006

  BS 25999-2:2007要求事項 (驗證規範) ◦  Specifications

◦  Published 20 Nov. 2007

35

BS 25999 (BCMS)營運持續性管理系統

36

BS 25999

  如同 ISO 27001 及 ISO 20000 ⼀一般，是以下列三者為主要考量：

◦ ⾵風險的⼤大⼩小

◦ 發⽣生的機率

◦ 對營運可能的衝擊

19

Disaster Recovery Planning

Business Continuity Planning

Alternative Planning / Plan B

Fallback Plans , Contingency

Plans

Organization wide Contingency Plans

Holistic Contingency Plans

Business Continuity Management

IT or Technical Contingency Plans

38

Why BCMS ?   將營運崩潰的可能性極⼩小化   迅速回復⾄至正常的業務運作   保護組織的價值與聲譽   使滿⾜足下列要求 ◦  對股東的承諾 ◦  政府與⽴立法機關的要求 ◦  法律契約的承諾 ◦  道德與社會責任

  實現最佳實務   減低保險的負擔.

20

39

導⼊入益處 1)  能事先鑑別營運中斷所帶來的衝擊； 2)  能針對業務中斷採取有效的回應以最⼩小化對組織的

衝擊； 3)  強化對未投保保險部分的⾵風險管理能⼒力； 4)  ⿎鼓勵跨團隊的協同⼯工作； 5)  經由流程的演練展現值得信賴的緊急應變處置； 6)  增強組織的聲譽； 7)  取得競爭優勢。

Marsh Report 2008

40

⾵風險的型態 Ø  恐怖主義與犯罪活動 Ø  原油與天然氣的取得 Ø  能源價格的波動 Ø  公共建設發展的緩慢 Ø  政策⾵風險 Ø  天然災害的⾵風險 Ø  ⾼高品質勞動⼒力的取得與保持 Ø  疾病的流⾏行 Ø  營運環境的衝擊 Ø  ⾦金融⾵風險 Ø  供應鏈的⾵風險 Ø  國際化的增加 ( 合夥/合資) Ø  全球經濟⾵風險

21


BCMS 概念圖

Recovery Continuity

Preparedness/ prevention

Emergency response

22

營運持續管理⽣生命週期模型

營運持續管理是⼀一個週期性持續不斷演進之流程

►  營運持續管理的⽣生命週期

營運持續管理構成要件 (⼀一)

瞭解業務主要是要透過營運衝擊分析去區分關鍵活動 (Mission Critical Activity, MCA)、瞭解其運作所需要的內外在資源、MCA 的致命點以及其可能遭遇的內外在衝擊。


23

營運持續管理構成要件 (⼆二)

建⽴立營運持續管理策略例如說決定採取哪種 BCM 策略模型：   Active/Backup (Active/Standby)–

主要是有⼀一個備份的點在運⾏行

  Active/ Active – 有⼀一個以上的點同時運⾏行，除了單⼀一⼀一點發⽣生問題可以⽤用其它點以外，也可以利⽤用這樣的架構來做負載平衡

  Alternate site – 讓既有的其它 Site 在意外時暫時負擔其它 site 的功能( 交替)。

  Contingency – 替代⽅方案


營運持續管理構成要件 (三)

發展與實施營運持續管理計劃

⼀一般營運持續管理計劃會包括：

  對策   時間⺫⽬目標 (如 RTO 與 RPO)   所需採取的任務以及其步驟或程序

  執⾏行的團隊


24

營運持續管理構成要件 (四)

建⽴立與落實營運持續管理⽂文化透過教育訓練等動作達成


營運持續管理構成要件 (五)

營運持續管理測試、維護與稽核確認其有效性


25


認識關鍵營運服務關鍵營運流程的鑑別對於BCM能否達成營運⺫⽬目標⾮非常重要。   關鍵營運流程的相關⽀支援項⺫⽬目包括：

•  human resources; ⼈人力資源； •  suppliers (internal or external service providers); 供應商（內部或

外部服務提供者） •  customers or clients; 客⼾戶或委託⼈人 •  facilities; 設施 •  functions; 功能 •  processes; 程序 •  materials; 材料 •  technology; 技術 •  telecommunications; 通訊 •  data (all formats and media). 資料（所有形式與媒體）

26

營運衝擊分析之⺫⽬目的 ◦ 區分出影響組織存續的關鍵營運及其所需之相關資源與

可能遭遇的威脅，以便擬定備援計劃與策略，進⽽而發展營運持續計劃 (BCP)

◦ 評估威脅發⽣生的可能性與對營運存續所造成的衝擊

◦ 瞭解可能的衝擊，當資源有限時，依照衝擊評估的結果，決定資源分配的優先順序

►  營運衝擊分析之⺫⽬目的

營運衝擊分析 BIA同時會考慮/ 鑑別:   營收損失, 成本增加,商譽損害, 競爭優勢損失…   損害程度之等級(degree of damage or loss)   最低營運程度(minimum acceptable level)所需之員⼯工,技能,設施及服務

(staffing, skills, facilities and services)

  復原(Recover)⾄至最低營運程度(minimum acceptable level)所需之員⼯工,技能,設施及服務(staffing, skills, facilities and services)所需之時間

  完全復原⾄至要求⽔水準(required business processes)所需之員⼯工,技能,設施及服務(staffing, skills, facilities and services)所需之時間

上述考慮將促使組織預先部署所需之機制.(依成本及效益考量)

27

營運衝擊分析應包含之要項 ◦ 組織⺫⽬目標

◦ 獲得營運復原的時間需求 (如⺫⽬目標回復時間) ◦ 關鍵營運衡量或評選⽅方法

◦ 關鍵營運與營運中斷影響

◦ 關鍵營運執⾏行所需之最⼩小資源

◦ 關鍵營運中斷時之⺫⽬目標回復時間(Recovery Time Objective, RTO)

◦ 關鍵營運主要可能會⾯面臨之⾵風險

►  營運衝擊分析應包含之要項

瞭解關鍵營運流程、該營運中斷之影響，以及該營運⺫⽬目前所採⽤用備援等持續運作措施上的狀況

瞭解各關鍵營運所需之最⼩小復原時間及其營運持

續運作需求

對關鍵營運的主要威脅及其影響

進⾏行分析

針對主要營運項

⺫⽬目進⾏行分析，並考量組織運作⺫⽬目標，以找出

關鍵營運

⾸首先對組織的營運做⼀一個由外⽽而內瞭解，以便找出組織的主要的

營運項⺫⽬目

營運衝擊分析流程

►  營運衝擊分析流程

28

關鍵營運識別

是

無營運持續運作主導性﹝不列為關鍵營運﹞

營運持續運作需求⾼高 ﹝列為關鍵營運﹞

營運持續運作需求低

營運持續運作需求⾼高 ﹝列為關鍵營運﹞

營運持續運作需求中等

低或中否⾼高⾼高

( 沒有它就無法運作 )

中

低 ( 沒有它會對效率造成影響 )

( 不會有什麼影響 )


關鍵營運流程及中斷影響分析 ◦ 營運之相關系統流程訪談  系統運作會經過哪些必要的資訊設備  系統運作會需要哪些必要的⼈人員  系統運作會經過哪些必要的軟體或資料 ◦ 服務中斷需求了解  影響項⺫⽬目，如：公司形象、客⼾戶信賴度、績效/政策達成度  時間，如：1 天、1 週、1 個月 ◦ ⺫⽬目前所採⽤用之備援措施


29

關鍵營運運作需求分析

◦ 營運相關資源

 ⼈人⼒力  硬體

◦ ⺫⽬目標回復時間 (Recovery Time Objective, RTO)

 關鍵營運 (或其替代營運) 必需要能夠恢復提供的時間


關鍵營運運作需求分析 (cont.) 決定關鍵的恢復時間點之分析圖


恢復 /

影響的成本

恢復時間

恢復的成本影響的成本 (損失)

30

衝擊分析 ◦ 主要考量威脅項⺫⽬目，如：  炸彈  通訊/網路失效  地震  ⽕火災  ⽔水災  罷⼯工 (或⼈人員突然離職)  ⼈人為惡意破壞 (含遺失/偷竊) ◦ 營運中斷⾵風險 = 弱點 v.s 威脅


範例 : 營運衝擊分析表


CriticalProcesses

Or Functions

DependentProcesses

DependentResource

AcceptableDown Time

RTO(Recovery

TimeObjective)

Strategyfor

Continuity ofBusiness

31

BCP營運持續管理框架(⼀一) n 應確保所有計畫前後⼀一致(單⼀一框架)，及測試和維護的優先順序

n 應清楚說明啟動的條件，及每個⼈人的權責， n 應適當修正既有的緊急程序(如疏散計畫或備援作業)。

BCP營運持續管理框架(⼆二) BCP框架應考慮以下內容： a)  計畫啟動條件（評鑑辦法、應參與⼈人員等） b)   緊急程序：在危急事件發⽣生後，應採取那些行動，應包括公共關係管理的

安排，及與適當有關機關（如警察、消防單位和當地政府）保持有效的聯繫。 c)  備援程序：應把重要營運服務搬到其他臨時地點，在要求時間內復原營運

作業。 d)   復原程序：應採取那些行動以復原正常營運作業。 e)  維護時間表：應指定如何及何時測試該計畫，以說明及維護該計畫的程序 f)   認知及教育訓練：旨在讓參與者瞭解營運持續過程，確保該作過程持續有效； g)   職責說明：說明由誰負責執行計畫的那個部分，必要時應指定代理⼈人。

Ø 每個計畫都應有專⼈人負責 Ø 緊急程序、⼈人⼯工備援計畫及復原計畫都應由相關營運作業的擁有者

負責。

32

►  營運持續管理框架規劃

計劃流程

BCP 維護

►  BCP維護

營運的瞭解與營運持續運作

規劃

營運持續運作計劃之撰寫

營運持續運作計劃之測試

營運持續運作計劃之執⾏行

33

BCP 重新檢視及評估 ◦ 定期：BCP組之應定期(每年)於⾼高階審查會議中重新檢

視及評估 BCP ⼀一次 ◦ 不定期 (重⼤大事件發⽣生時，如下狀況) ：  新的組織營運策略  採購新的設備，或是更新作業系統。  使⽤用新的問題偵測及控制技術(例如⽕火災偵測)  使⽤用新的環境控制技術  ⼈人員及組織上的調整變動  單位及⼈人員地址及電話號碼的異動  契約當事者或是供應商的調整變動  營運流程的變動，新建或是撤銷作業流程。  實務作業的變更  法規上的變更

►  BCP維護

66

BS 25999 應備⽂文件 1.  導⼊入範圍內之主要產品/服務

及其⺫⽬目標 2.  營運持續要求 3.  利害關係⼈人清單 4.  營運持續性管理政策 5.  ⾓角⾊色與權責 6.  職能與訓練 7.  營運衝擊分析 (BIA) 8.  最遲可忍受之中斷時間

(MTPD)與⺫⽬目標回復時間(RTO) 9.  ⾵風險評鑑 (RA) 10.  ⾵風險可接受等級

11.  決定⾵風險處置的選項 12.  營運持續策略 13.  危機處置框架 14.  營運持續計畫 (BCPs) 15.  意外管理計畫 (IMPs) 16.  規劃與演練記錄 17.  內部稽核 18.  BCMS管理審查 19.  矯正與預防措施 20.  持續改善記錄 21.  BCM相關程序書與記錄

34

漢昕科技資訊安全顧問處

安全趨勢 -...

Documents