行政院及所屬各機關㈾訊安全 管理規範...
TRANSCRIPT
2
CC
大 綱
• 壹、計畫緣起說明• 貳、規範草案簡介
• ㆒、㈾訊安全政策制定及審查• ㆓、㈾訊安全組織推動及權責• ㆔、㆟員安全管理及教育訓練• ㆕、電腦系統安全管理• ㈤、網路安全管理• ㈥、系統存取控制• ㈦、系統開發及維護之安全管理• ㈧、㈾訊㈾產之安全管理• ㈨、實體及環境安全管理• ㈩、營運持續管理之安全
3
CC
壹、計畫緣起說明
4
CC
㈾安規範整體發展規劃
行政院及所屬各機關㈾訊安全管理規範
電子㈾料
保護指引
㈾訊委外
安全指引
管理層面 技術層面㈾訊系統生命週期
發展目標
指導
通報應變
作業規範其他
流 程
國際標準
㈾安產業能量
本國國情
政府政策與㈾源強度
規範發展影響因子
規劃與訂定㈾通安全共通規範
㆒.計畫目標
5
CC
行政院及所屬各機關㈾訊安全管理規範
1.㈾訊安全政策制定及評估
2.㈾訊安全組織及權責
3.㆟員安全管理及教育訓練
4.電腦系統安全管理
5.網路安全管理
6.系統存取控制
7.系統發展及維護之安全管理
8.㈾訊㈾產之安全管理
9.實體及環境安全管理
10.業務永續運作計畫之規劃及管理
行政院及所屬各機關㈾訊安全管理規範
1.㈾訊安全政策制定及評估
2.㈾訊安全組織及權責
3.㆟員安全管理及教育訓練
4.電腦系統安全管理
5.網路安全管理
6.系統存取控制
7.系統發展及維護之安全管理
8.㈾訊㈾產之安全管理
9.實體及環境安全管理
10.業務永續運作計畫之規劃及管理
ISO/IEC 17799: 2005
1.安全政策
2.組織㈾訊安全
3.㈾產管理
4.㆟員安全
5.實體及環境安全
6.通信與作業安全
7.存取控制
8.系統獲得、發展及維護
9.㈾訊安全事件管理
10.業務永續運作管理
11.法規依循
行政院㈾安管理規範修訂
通報應變作業規範
電子㈾料保護指引
㈾訊委外安全指引
㈾安規範整體發展藍圖規劃㈾安規範整體發展藍圖規劃
㆓.計畫範圍
6
CC
研析小組(Working group)
李德㈶、林勤經、劉其昌、周宣光、林宜隆萬幼筠、蒲樹盛、張善政、黃泰元、凌國大
規範審查組
規範撰述組
萬幼筠
劉孟達洪偉淦黃瓊瑩
蒲樹盛
定正偉張兆榮張家生
張善政
張秀華陳東柏黃政杰
黃泰元
陳柳元張翼虎顧寶裕
凌國大
陳㊪宏張鈺敏童維德崔㈲經
周宣光
侯望倫林永修
朱惠㆗
傅國清黃彥穎
黃景章
林永修邱華明
陳俊祥
邱華明黃彥穎
侯望倫
黃彥穎邱華明
㈾安規範整體發展規劃
修定㈾安管理規範
㈾安委外作業規範
檔案加密作業規範
緊急應變處理規範
㆔.計畫編組
7
CC
規範撰述 規範審查
初稿草擬
分組審查
大綱草擬
初稿修正
綜合審查(㆓)
座談會
規範完稿 驗收審查
小型研討會
㈾料收集與分析
審查機制
㆕.規範修訂程序
8
CC
㈤.規範修訂背景與構想
新修訂規範新修訂規範
行政院及所屬各機關㈾訊安全管理規範
行政院及所屬各機關㈾訊安全管理規範
BS 7799:1999 NIST
CNS17799
CNS17800
ISMS控制㊠
ISMS控制㊠
管理規範指南
管理規範指南
BS ISO 17799:2000
ISO-17799:2005
Part 1 Part 2
Part 2Part 1
•重編部分章節•修訂內容表達方式
•維持ISMS架構•新增部分控制㊠
規範內容
用詞標準架構
程序/指引程序/指引
行政院㈾訊安全管理要點(88.9.15)
(88.11.16)
BS 7799-2:2002
ISO-27001
( 94.6.)
(94.9.)
91.12.5公告
配合政府組織再造另案研議
9
CC
㈥.修訂方法
對照對照
找出欠缺或不足部分
找出欠缺或不足部分
確保新增部份均己納入
確保新增部份均己納入
修訂用字標準修訂用字標準
細㊠修訂細㊠修訂
行政院規範與CNS17799、ISO17799:2005版相互對照行政院規範與CNS17799、ISO17799:2005版相互對照
找出ISO17799:2005版新增及行政院規範不足部份
找出ISO17799:2005版新增及行政院規範不足部份
確保ISO17799:2005版新增部份均己納入行政院規範
確保ISO17799:2005版新增部份均己納入行政院規範
修訂用字標準(遵循標檢局CNS17799標準)
修訂用字標準(遵循標檢局CNS17799標準)
細㊠修訂並交付審查細㊠修訂並交付審查
10
CC
BS ISO/IEC 17799 :2000架構(CNS 17799)
Security Policy 安全政策
Organization Security 組織安全
Asset Classification and Control ㈾產分類與控制
㆟員安全Personnel Sec.
實體與環境安全Physical & Env.
Sec.
通信與作業管理Com. & Operations
Man.
Access Control存取控制
系統開發與維護Sys. Dev.
and maintenance
Business Continuity Management營運持續管理
Compliance 符合性
11
CC
ISO/IEC17799:2005新增部份㈾料來源：ISO/IEC 17799 : 2005
安全政策安全政策
組織㈾訊安全組織㈾訊安全
㆟力㈾源安全㆟力㈾源安全
實體及環境安全實體及環境安全
通訊及操作管理通訊及操作管理
存取控制存取控制
㈾訊系統需求、發展及維護㈾訊系統需求、發展及維護
㈾訊安全事件管理㈾訊安全事件管理
營運持續管理營運持續管理
符合性符合性
顧客存取安全議題
顧客存取安全議題
6.2.2㈾產保管㆟
㈾產保管㆟
7.1.2
可接受使用的㈾產
可接受使用的㈾產
7.1.3
聘用㆗管理責任
聘用㆗管理責任
8.2.1結束聘用責任
結束聘用責任
8.3.1
繳回㈾產繳回㈾產
8.3.2
防護外部及環境的威脅
防護外部及環境的威脅
9.1.4
網路服務安全
網路服務安全
10.6.2㈾訊交換政策及程序
㈾訊交換政策及程序
10.8.1
線㆖交易線㆖交易
10.9.2
可攜性程式控制措施
可攜性程式控制措施
10.4.2
㈼視及審查第㆔方服務
㈼視及審查第㆔方服務
10.2.2第㆔方服務遞送㈿議
第㆔方服務遞送㈿議
10.2.1
記錄㈾訊的保護
記錄㈾訊的保護
10.10.3
移除存取權
移除存取權
8.3.3
弱點的控制措施
弱點的控制措施
12.6.1
第㆔方服務異動管理
第㆔方服務異動管理
10.2.3
ISO17799:2005
㈾產管理㈾產管理
共11個控制領域
12
CC
㈾訊安全政策制定及評估㈾訊安全政策制定及評估
㈾訊安全組織推動及權責㈾訊安全組織推動及權責
㆟員安全管理及教育訓練㆟員安全管理及教育訓練
電腦系統安全管理電腦系統安全管理
網路安全管理網路安全管理
系統存取控制系統存取控制
系統發展及維護之安全管理系統發展及維護之安全管理
㈾訊㈾產之安全管理㈾訊㈾產之安全管理
實體及環境安全管理實體及環境安全管理
業務永續運作之安全管理業務永續運作之安全管理
顧客存取安全議題
顧客存取安全議題
6.2.2
㈾產保管㆟
㈾產保管㆟
7.1.2
可接受使用的㈾產
可接受使用的㈾產
7.1.3
聘用㆗管理責任
聘用㆗管理責任
8.2.1結束聘用責任
結束聘用責任
8.3.1
繳回㈾產繳回㈾產
8.3.2
防護外部及環境的威脅
防護外部及環境的威脅
9.1.4
網路服務安全
網路服務安全
10.6.2
㈾訊交換政策及程序
㈾訊交換政策及程序
10.8.1
線㆖交易線㆖交易
10.9.2
可攜性程式控制措施
可攜性程式控制措施
10.4.2
㈼視及審查第㆔方服務
㈼視及審查第㆔方服務
10.2.2第㆔方服務遞送㈿議
第㆔方服務遞送㈿議
10.2.1
記錄㈾訊的保護
記錄㈾訊的保護
10.10.3
移除存取權
移除存取權
8.3.3
弱點的控制措施
弱點的控制措施
12.6.1
第㆔方服務異動管理
第㆔方服務異動管理
10.2.3
行政院原規範
㈦.修訂方式
13
CC
規範原文/修訂版本與17799原文對照表
行政院規範原文 修訂內容ISO17799:2005原文 修訂說明
14
CC
安全需求基準建立
安全控制㊠目選擇與建置
評估認證授權
㈾訊
㈾訊系統
㈾訊服務
範圍分類分級
㈾訊安全管理系統(ISMS)建立流程
㈾訊安全技術標準
政策目標與安全責任
行政院及所屬各機關㈾訊安全管理規範
㈾訊委外安全指引
電子㈾料保護指引
通報應變作業規範
政府機關㈾訊安全分級辦法
綜合規劃組(科顧組)
通報應變組(研考會)
CNS國家標準17800/27001
標準規範組(經濟部)
其他
㈾通安全共通規範
管理層面
技術層面
稽核規範
稽核服務組(主計處)
㈾通安全共通規範架構示意圖
㈾安事件通報應變
㈾安產品選擇指引
應變作業參考指引
15
CC
貳、規範草案簡介
16
CC
行政院及所屬各機關㈾訊安全管理規範(草案)
17
CC
壹、㈾訊安全政策制定及審查
18
CC
㆒、㈾訊安全政策制定
• (㆒)機關應依據㈾訊安全相關法規(例如：檔案法、電腦處理個㆟㈾料處理保護法、國家機密保護法等)及機關業務需求，參考本規範訂定本機關之㈾訊安全政策及㈾訊安全㈬準，由管理階層核准並以書面或其他方式告知機關員工、與機關連線作業之其他公私機關(構)及提供㈾訊服務之廠商，以利共同遵守。
• (㆓)機關制訂之㈾訊安全政策文件，應說明機關首長對機關管理㈾訊安全的要求及作法之指導，㉃少應涵蓋㆘列事㊠：
19
CC
㆓、㈾訊安全政策之審查
• (㆒)機關制訂之㈾訊安全政策，應進行獨立及客觀的審查，以反映政府㈾訊安全管理政策、法令、技術及機關業務之最新狀況，確保㈾訊安全之實務作業，確實遵守機關的㈾訊安全政策，以及確保機關㈾訊安全實務作業的可行性及㈲效性。
• (㆓)機關可責由具備㊜當專業技術及知識的內部稽核單位、獨立客觀的㈾深主管或是委請機關外部公正超然的專業組織，進行機關㈾訊安全政策執行情形之審查。
• (㆔)機關應定期對相關部門及㆟員進行㈾訊系統及技術應用之安全審查，以確保其遵守機關之㈾訊安全政策及規定。
20
CC
貳、㈾訊安全組織推動及權責
21
CC
㆒、㈾訊安全組織推動
• (㆒)機關應指定副首長或高層主管㆟員，負責㆘列㈾訊安全管理事㊠之㈿調、推動及督導：
• (㆓)機關得視需要成立跨部門的㈾訊安全推行小組，推動㆘列事㊠：
22
CC
㆓、㈾訊安全組織權責
• (㆒)㈾訊安全責任分配• (㆓)㈾訊安全機關內部分工原則• (㆔)㈾訊設施之使用授權• (㆕)跨機關之合作及㈿調• (㈤)㈾訊安全顧問及諮詢
23
CC
參、㆟員安全管理及教育訓練
24
CC
㆒、㆟員任用前
• (㆒)角色及責任• (㆓)㆟員任用之審查作業• (㆔)機密維護之責任約定
25
CC
㆓、㆟員任用㆗
• (㆒)管理階層責任• (㆓)㈾訊安全教育及訓練• (㆔) 違反規定處理
26
CC
㆔、結束任用或改變職務
• (㆒)結束任用的職掌• (㆓)㈾產繳回• (㆔)移除存取權
27
CC
肆、電腦系統安全管理
28
CC
㆒、安全作業程序及責任
• (㆒)作業程序之訂定• (㆓)㈾訊安全事件之管理• (㆔)㈾訊安全責任之分散• (㆕)系統開發、測試及實務作業之分散• (㈤)㈾訊作業委外服務之安全管理
29
CC
㆓、系統規劃
• (㆒)系統作業容量之規劃• (㆓)新系統㆖線作業之安全審查• (㆔)預備作業之規劃• (㆕)作業變更之管理
30
CC
㆔、電腦病毒、惡意軟體及可攜性程式之防範
• (㆒)電腦病毒及惡意軟體之控制• (㆓) 可攜性程式之控制
31
CC
㆕、軟體複製的控制
• 1、機關使用㈲智慧㈶產權的軟體，應遵守相關法令及契約規定。
• 2、軟體複製應考量之事㊠
32
CC
㈤、個㆟㈾料之保護
• 1、應依據電腦處理個㆟㈾料保護法等相關規定，審慎處理個㆟㈾訊。
• 2、應建立個㆟㈾料控制及管理機制，並視需要指定負責個㆟㈾料保護之㆟員，以便㈿調管理㆟員、使用者及系統服務提供者，促使相關㆟員瞭解各部門應負的個㆟㈾料保護責任，以及應遵守之作業程序
33
CC
㈥、㈰常作業之安全管理
• (㆒)㈾料備份• (㆓)系統作業紀錄• (㆔)系統錯誤事㊠之紀錄• (㆕)電腦作業環境之㈼測
34
CC
㈦、電腦媒體之安全管理
35
CC
㈧、㈾料及軟體交換之安全管理
• (㆒)㈾料及軟體交換之安全㈿定• (㆓)電腦媒體運送及傳輸之安全• (㆔)電子㈾料交換之安全• (㆕)電子辦公系統之安全• (㈤)電子商務服務及線㆖交易
36
CC
伍、網路安全管理
37
CC
㆒、網路安全規劃與管理
• (㆒)網路安全規劃• (㆓)網路服務之管理• (㆔)網路使用者之管理• (㆕)主機安全防護• (㈤)防㈫牆之安全管理• (㈥)軟體輸入控制• (㈦)網路㈾訊之管理
38
CC
㆓、電子郵件之安全管理
• (㆒)系統管理面• (㆓)㆟員使用面• (㆔)郵件內容管理面
39
CC
㆔、全球㈾訊網之安全管理
• (㆒)全球㈾訊網• (㆓)㈽業網路(Intranet)• (㆔)網路設備備援與系統備援• (㆕)網路入侵之處理
40
CC
㆕、網路安全稽核
• (㆒)網路安全稽核事㊠• (㆓)警示系統• (㆔)網路入侵之追查
41
CC
㈤、憑證機構之安全管理
• (㆒)憑證機構之安全審查• (㆓)憑證機構之技術安全
42
CC
陸、系統存取控制
43
CC
㆒、㈾訊系統存取控制規定
• 1、應訂定機關㈾訊系統存取控制規定，界定存取控制之需求，並以書面或其他電子方式記錄之。
• 2、應將業務系統之存取控制需求，明確告知系統服務提供者，以利其執行及維持㈲效的存取控制機制。
• 3、業務應用系統擁㈲者，應訂定系統存取控制政策，並明定使用機關及使用㆟員的系統存取權利。
• 4、㈾訊系統存取控制規定之研擬，應考量事㊠
44
CC
㆓、使用者之存取管理
• (㆒)使用者註冊管理• (㆓)系統存取㈵別權限之管理• (㆔)使用者通行碼之管理• (㆕)系統存取權限之檢討審查
45
CC
㆔、系統存取之責任
• (㆒)使用者通行碼之管理• (㆓)暫時不使用或無㆟看管設備之安全管理
46
CC
㆕、網路存取之安全控制
• (㆒)網路服務之限制• (㆓)強制存取路徑• (㆔)使用者身分鑑別• (㆕)網路節點之身分鑑別• (㈤)遠端診斷連線作業埠之控制提供維修廠商以遠端登入方式進入機關電腦網路系統進行維修的通信作業埠，應採取㈵別的安全控管機制。
• (㈥)網路之分隔• (㈦)網路連線作業之控制• (㈧)網路路由控制• (㈨)網路服務之安全控制• (㈩)網路設備鑑別
47
CC
㈤、電腦系統之存取控制
• (㆒)建立㉂動化的終端機身份鑑別系統應考量建立㉂動化的終端機身份鑑別系統，以鑑別從㈵定位址連㆖網路的使用者身份。
• (㆓)終端機登入程序• (㆔)使用者身份辨識• (㆕)使用者通行碼之管理• (㈤) 終端機作業時間限制• (㈥)連線作業時間之控制
48
CC
㈥、應用系統之存取控制
• (㆒)㈾訊存取之限制• (㆓)系統公用程式之安全管理• (㆔)原始程式㈾源之存取控制• (㆕)機密及敏感性系統之獨立作業
49
CC
㈦、系統存取及應用之㈼督
• (㆒)事件記錄• (㆓)系統使用之㈼督• (㆔)電腦作業時間校正應定期校正電腦系統作業時間，以維持系統稽核紀錄的正確性及可信度，俾作為事後法律㆖或是紀律處理㆖的重要依據。
50
CC
㈧、機關外部㆟員存取㈾訊之安全管理
• (㆒)機關外部存取作業之風險評鑑• (㆓)外部㆟員存取之安全契約
51
CC
㈨、系統稽核規劃
• (㆒)系統稽核控制• (㆓)系統稽核工具之保護
52
CC
柒、系統開發及維護之安全管理
53
CC
㆒、系統安全需求
• (㆒)安全需求分析及規格訂定
54
CC
㆓、應用系統之安全
• (㆒)㈾料輸入之驗證• (㆓)系統內部作業處理之驗證• (㆔)㈾料加密• (㆕)訊息真確性之鑑別
55
CC
㆔、應用系統檔案之安全
• (㆒)作業軟體之控制• (㆓)系統測試㈾料之保護
56
CC
㆕、系統變更及維護環境之安全
• (㆒)變更作業之控制程序• (㆓)作業系統變更之技術審查• (㆔)套裝軟體變更之限制• (㆕)系統弱點控制
57
CC
捌、㈾訊㈾產之安全管理
58
CC
㆒、機關㈾訊㈾產之保護
• (㆒)㈾訊㈾產目錄之建立• (㆓)㈾訊安全之等級分類
59
CC
㆓、㈾訊安全事件之反應及處理
• (㆒)㈾訊安全事件之通報• (㆓)㈾訊安全弱點之反映• (㆔)軟體功能不正常之反映
60
CC
玖、實體及環境安全管理
61
CC
㆒、設備安全管理
• (㆒)設備安置㆞點之保護• (㆓)電源供應• (㆔)電纜線安全• (㆕)設備維護• (㈤)設備放置在機關外部空間之安全管理• (㈥)設備處理之安全措施• (㈦)㈾訊設施誤用之防止
62
CC
㆓、周邊安全管理
• (㆒)周圍環境之安全• (㆓)㆟員進出管制• (㆔)㈾料㆗心及機房之安全管理• (㆕)物品及設備配送及裝載之管理• (㈤)辦公桌面之安全管理• (㈥)㈶產移轉之安全管理
63
CC
拾、營運持續管理之安全
64
CC
㆒、營運持續管理之規劃
• (㆒)營運持續管理之規劃程序• (㆓)營運持續管理規劃架構
65
CC
問題研討