搜索
資訊安全管理来自資訊安全管理委辦單位：教育部顧問室資通安全聯盟執行單位：淡江大學資訊管理學系資訊安全管理来自：通信與作業管理資訊安全管理来自本模組目的在於學習通信與作業管理相關之實實要點，包括：作業之程序與責任、第三方服務交付管理、系統規劃與驗收、防範惡意碼與行動碼、資訊備份、網路安全管理、媒體的處置、資訊交換、電子商務服務及監視等。2.本模組的重點是瞭解日常資訊處理之通信與作業管理的10個單元與其實施要點，包括：作業之程序與責任、第三方服務交付管理、系統規劃與驗收、防範惡意碼與行動碼、資訊備份、網路安全管理、媒體的處置、資訊交換、電子商務服務及監視等，以確保正確與安全地處理資訊。資訊安全管理来自：通信與作業管理•Module10-1：通信與作業•Module10-2：實施要點•Module10-3：作業之程序與責任•Module10-4：第三方服務交付管理•Module10-5：系統規劃與驗收•Module10-6：防範惡意碼與行動碼•Module10-7：資訊備份•Module10-8：網路安全管理•Module10-9：媒體的處置資訊安全管理来自•Module10-10：資訊交換•Module10-11：電子商務服務•Module10-12：監視•參考文獻•習題資訊安全管理来自：通信與作業資訊安全管理来自：通信與作業•資訊處理內涵牽涉廣泛，包括人員、資訊本身、資訊處理流程及資訊處理設施之操作等。•本Module分成包括：作業之程序與責任、第三方服務交付管理、系統規劃與驗收、防範惡意碼與行動碼、資訊備份、網路安全管理、媒體的處置、資訊交換、電子商務服務及監視等10個單元，說明日常資訊處理之通信與作業管理，以確保正確與安全地處理資訊。Module10-1資訊安全管理来自作業之程序與責任•為能確保正確與安全地操作資訊處理設施，主要的工作內涵包括制定適當的作業程序、對所有資訊處理設施規範管理和作業的責任與程序、實施職務區隔，以降低疏忽誤用系統的風險或蓄意破壞系統的風險。Module10-1資訊安全管理来自第三方服務交付管理•組織委由第三方服務之活動與日俱增，組織應妥善管理第三方服務之資訊安全及服務交付等級。•其內涵包括確保第三方交付之服務內容與協議一致、查核並監視交付協議的符合性及各項交付變更管理，以確保其交付之服務符合第三方服務交付協議的所有要求。Module10-1資訊安全管理来自系統規劃與驗收•許多系統失效的資安事故係導因於系統效能及容量不足。•為使系統失效的風險最小化，組織應預先規劃與準備，確保足夠的容量和資源，以達成所要求的系統效能。•其工作內涵包括對未來的容量需求先預作規劃，以降低系統超載的風險。對新系統的驗收及正式使用之前，應建立、記錄和測試其操作要求。Module10-1資訊安全管理来自防範惡意碼與行動碼•惡意碼與未經授權之行動碼，已對組織資安造成極大威脅與困擾，故組織應對軟體與資訊的完整性進行保護，以防止、偵測及移除惡意碼與控制行動碼。•其工作內涵包括如何對軟體與資訊處理設施採取保護之預防措施。Module10-1資訊安全管理来自•如何有效偵測惡意碼與未經授權行動碼的植入。•如何有效的移除電腦病毒、蠕蟲、特洛伊木馬及邏輯炸彈。•如何讓使用者認知惡意碼的危險等。Module10-1資訊安全管理来自備份•資料與軟體系統的備份可有效維持資訊及資訊處理設施的完整性與可用性。•組織應依其備份政策與策略，建立例行備份程序及備份資料複本，並進行恢復（Restoration）演練，以確保組織具備及時的復原能力。Module10-1資訊安全管理来自網路安全管理•網路功能無遠弗屆，但也形成資訊超越組織邊界的管理風險。組織應確保網路內資訊與支援性基礎建設受到保護。•網路的安全管理包括：保護資料流、監控網路行為、保護支援性基礎建設及遵循法律等，需要採取各種網路安全控制措施，以保護透過公眾網路傳送的敏感資訊。Module10-1資訊安全管理来自媒體的處置•組織重要資訊需要透過媒體儲存及傳遞處理時，為防止資訊及資產被未經授權的揭露、修改、移除或破壞，以及營運活動的中斷，組織應對媒體的處置加以控制與實體保護。•媒體儲存及傳遞處理之保護措施可包括：建立適切的媒體及資訊處理設施操作程序，以防止文件、可移除式媒體、電腦媒體（例如：磁帶、磁碟）、資訊及系統文件，被未經授權的揭露、修改、移除及破壞等。Module10-1資訊安全管理来自資訊交換•基於資訊交換及分享的情況日益普遍，故組織應確保組織與任何外部個體所交換之資訊與軟體的安全。•資訊交換之控制措施包括：組織應建立資訊和軟體交換政策。任何資訊交換除應基於此交換政策外，尚需依交換協議進行。•且遵循所有相關法律建立相關作業程序與標準，以保護資訊與相關實體媒體。Module10-1資訊安全管理来自電子商務服務•組織營運若有使用電子商務服務，應確保電子商務服務及使用的安全性。•電子商務服務之控制措施包括：確保提供安全的電子商務服務（包括線上交易）環境、保護電子商務資訊及經由公眾系統發行之資訊的完整性與可用性，以避免包括不完整傳輸、詐欺行為、爭議、未經授權的揭露與修改等。Module10-1資訊安全管理来自監視•為確保組織資訊存取活動符合安全要求，可透過監視措施來偵測未經授權的資訊處理活動。•監視之控制措施包括：監視系統使用狀況、記錄資訊安全事故、操作日誌與失誤記錄以識別資訊系統問題、遵循所有適用的相關法律要求、檢核組織各種安全控制措施的有效性等，以確保一切活動符合組織的存取政策要求。Module10-1資訊安全管理来自：實施要點資訊安全管理来自：實施要點•處理資訊之通信與作業管理之實施要點，將詳述於Module10-3至Module10-12，目標在確保組織正確與安全地處理資訊。Module10-2資訊安全管理来自：作業之程序與責任資訊安全管理来自：作業之程序與責任一、文件化作業程序二、變更管理三、職務的區隔四、開發、測試及運作設施的區隔Module10-3資訊安全管理来自一、文件化作業程序•將處理資訊和通信設施相關系統活動的作業程序加以文件化，是確保人員完整正確操作的重要措施。•組織應確保相關作業程序已建立（例如：電腦開機與關機程序、備份程序、設備維護程序、媒體處置程序、電腦機房與電子郵件管理程序、緊急安全程序等）。•經管理階層核准之正式作業程序文件，應讓有需要的使用者可隨時取得，其文件變更須由管理階層授權。Module10-3資訊安全管理来自•各項作業程序應包含詳細作業內容，可包括：–資訊的處理與處置（ProcessingandHandling）程序。–備份作業程序。–排程作業程序，包括不同系統間的相互依存性（Interdependency）、最早開始的工作時間和最後完成的工作時間。–工作執行錯誤或其他異常情況的處置程序。Module10-3-一資訊安全管理来自–當產生運作或技術事件時的支援聯絡點。–處置特殊狀況和媒體的安全處理程序（例如：錯誤報表之報廢程序、燒錄失敗光碟之報廢程序）。–系統失效時的重新啟動和復原程序。–稽核紀錄和系統日誌資訊的管理方式。Module10-3-一資訊安全管理来自二、變更管理•任何系統之運作和應用軟體的變更，均可能造成組織營運的中斷或損害。•由於資訊處理設施和系統變更的控制不足，是系統或安全失效的常見原因，故對於資訊處理設施與系統的作業變更，應有嚴格的變更管理控制。Module10-3資訊安全管理来自•變更管理之控制措施，可以考慮下列要點：–建立正式的變更管理責任與程序，以確保所有設備、軟體或程序的變更符合要求。–重大變更之識別與記錄。–變更之規劃與測試程序，包括評估變更成本（額外的訓練、使用版權成本、支援維護及管理經常費用，及新的硬體成本）、測試方式（系統變更或更新可能會比現有版本導致更多的脆弱性和不穩定性）。Module10-3-二資訊安全管理来自–變更之風險評鑑，包括安全衝擊。例如：運作環境的變更，特別是系統由開發階段移轉至運作階段（正式環境），可能對應用系統的可靠度造成衝擊。建議只有在充分的營運系統風險增加之時才進行變更。–變更之核准程序。–變更細節之相關人員通報。–變更之稽核日誌。–變更失敗之中止和復原程序與責任。Module10-3-二資訊安全管理来自三、職務的區隔•為降低組織資產遭未經授權修改或誤用之機會，組織應將人員工作職務與責任加以區隔。•職務區隔是降低意外或蓄意之系統誤用風險的一種方法。Module10-3資訊安全管理来自•職務區隔之控制措施，可以考慮下列要點：–審查現有職務流程：•注意有無人員可以未經授權或未受偵測的存取、修改或使用資產。–區隔事件啟動與授權程序。Module10-3-三資訊安全管理来自–防止串通行為：•小規模的組織可能較難以達成，但應儘可能依防止串通原則實施。–加強監控管理：•是職務區隔的輔助作法，例如：重要活動的監視、獨立的安全稽核、保留稽核紀錄及管理監督等。Module10-3-三資訊安全管理来自四、開發、測試及運作設施的區隔•不當的開發與測試活動，可能會引起嚴重的作業問題。•為降低系統和營運資料未經授權存取或意外變更的風險。軟體應分隔開發、測試及運作。Module10-3資訊安全管理来自•分隔開發、測試及運作之設施控制措施，可以考慮下列要點：–建立上線程序：定義軟體由開發移轉到正式運作狀態的規則。–分隔電腦系統：軟體之開發和運作，應在不同的系統或電腦處理器上運轉，並位於不同的網域或目錄。–系統存放限制：正式運作之系統環境，不可存放編譯器（Compiler）、編輯器（Editor）和其他開發工具或系統公用程式。Module10-3-四資訊安全管理来自中国