华琪软通国内电话信息领域中的领跑者
设为首页 | 加入收藏 | 联系我们
你所在的位置: 首页 > 公司新闻
华琪软通HaKey SoftComm

公司新闻

台湾许多政府部门的A级单位都必须取得一张国际资安认证ISO 27001,不论是2005年版的11个资安控管领域、133项控制措施,或者是2013年改版后的14个资安控管领域(新增加密及供应链关系管理)、113个控制措施,这些单位都通过ISO 27001一套完善的P(规划)D(执行)C(稽核)A(矫正)流程,不仅提高组织法规遵循的能力,彻底的落实也有助于减少资安事件、提升IT效能和组织竞争力。

  现任台湾BSI标准验证公司总经理蒲树盛,是资安及稽核业界领导风险管理的资深专家,对于ISO 27001在台湾普及化的过程,更是重要推手之一,而他也将于4月初,在iThome举办的台湾资讯安全大会中担任讲者。

  蒲树盛专长个资管理、资安管理、营运持续管理、业务流程管理和质量管理等领域,并长期担任政府和企业教育训练讲师与谘询顾问,他认为,当有8成以上企业都担心面对网络攻击和IT服务中断的风险时,若能够参考适当的国际标准并落实在组织的流程环节中,都有助于强化企业防御能力和竞争力。以下为书面采访内容:

  企业若要做到持续营运,面临哪些重要的风险呢?

  综合世界经济论坛(WEF)2015 Global Risk Report及英国标准协会(BSI)与英国营运持续学会(BCI)最新的2015研究报告的结果,全球企业近年来都共同面临3个重要的企业风险,包括网络攻击(Cyber Attack)、无完善计划的IT及通讯中断(Unplanned IT and Telecom Outages)和资料外泄(Data Breach)。

  若以英国营运持续组织一年一度、针对全球760个企业于组织做的地平线扫瞄报告(BCI Horizon Scan)为例,准备方面进行评估,发现超过8成(82%)的营运持续专业管理人都对网络攻击事件心怀恐惧,也有8成(81%)担心缺乏完善计划的IT及通讯中断;也有75%担心如索尼影业(Sony Pictures)在2014年发生的资料外泄事件。

  另外,根据「2014 Ponemon 网络犯罪的代价」报告更指出,平均全球每家公司花在防范网络犯罪上的年度成本为760万美金,且每年以超过1成(10.4%)的成长率持续增加。

  对企业而言,又该如何克服持续营运所面临的风险?

  组织面对上述企业常见风险时,千万不能心存侥幸或过度自信,除了要确实意识到这些威胁外,利用营运冲击分析(Business Impact Analysis,BIA)的手法鉴别出哪些事组织中的关键系统及关键业务流程,也必须正确定义最大可容忍中断时间,整备预防中断及紧急应变所需资源,建立营运持续计划(BCP)程序,落实演练,防患于未然。

  以高科技制造业为主的台湾产业,持续营运思维如何落实相关在供应链管理呢?

  从食安、工安及国际客户的要求趋势来看,供应链管理已是企业必须认真面对的课题。台湾企业若要开始建立供应链管理制度,可以从下面3个步骤进行。

  首先,必须了解客户及法令要求,例如,电子业有EICC要求,国际知名品牌客户(苹果Apple、耐吉Nike及沃尔玛Walmart等),都有各自不同的特定规范。

  其次,要鉴别企业目前符合客户和法令的状况为何,除了可以采行自我评估外,也可以委托专业第三方机构进行差异分析,确实了解目前的不符合及弱点状况,寻求改善机会。

  最后,必须通过建立制度以提升竞争力,避免头痛医头的单点改善模式,建立可长可久的管理制度,就可以参考采用ISO国际通用标准,并运用PDCA流程,建立所需要的制度。

  既有的资安、风险或是持续营运相关等国际标准,对组织又有何帮助呢?

  国际标准制定了产品或服务对环境、安全或健康等层面的最低需求,而且通过这样的国际标准,可以在全世界范围内统一使用。

  因此,对组织而言,不论是资安、风险或者是持续营运相关的国际标准,首先强调的都是组织管理团队的正确认知,管理阶层具备好的领导力(Leadership),就可以从策略面、管理面及技术面进行思考及整备;再者,因为组织资源有限,组织必须有策略的分派任务以免浪费资源,就必须先做到鉴别组织内风险优先顺序。

  第三,国际标准要能够落实,所有人员必须善尽本分、遵守规定,当责(Accountability)很重要,否则就会形成资安漏洞。最后,科技日新月异,风险与科技进步总是伴随发生,唯有时时掌握新知,持续关切科技风险,才能够及时对应、寻求相对安全能力。

  2015年最严重的资安威胁为何?

  科技的进步带来风险的增加,无疑地,IOT、BYOD、Cloud Computing及Big Data等应用,将是未来资安最大挑战且包罗万象。

  和其他国家对于资安防御的能力,台湾的评分为何?

  以国家投入资源及成效综观,在资源严重不足,只能凭借相关单位及供应商惨澹经营,我国的资安防御属于中上程度,实属不易。

  但反观美国政府在2015年政府预算项目中,光是网络安全(Cyber Security)这个项目中,政府投资就已经超过160亿美金,创下空前纪录,但台湾的资讯及资安预算,仍相对落后于美、中、日、韩等国。真的要落实资安防护,政府如何在既有的资源调度上,能够落实资安防护的提升,是政府的一大考验。