1、28-1企業資訊系統-第六章第一篇第一篇n第一章：資訊系統的挑戰與契機n第二章：資訊系統的策略性角色n第三章：資訊系統對組織與企業流程之影響n第四章：資訊科技與管理決策n第五章：資訊社會議題：資訊倫理n第六章：資訊安全管理第六章：資訊安全管理28-2企業資訊系統-第六章本章大綱本章大綱n前言n企業安全管理與企業策略n風險評估與資訊安全政策的制定n防駭入侵n防毒要領n備份與復原n結論28-3企業資訊系統-第六章前言前言n資訊安全管理的重要性n民國九十年五月二十一日n東方科學園區大火n民國九十年九月十七日n納莉風災重創北台灣n美國911事件28-4企業資訊系統-第六章企業安全管理與企業策略企業安全
2、管理與企業策略n資訊安全管理的目的n保障企業資訊系統的正常運作n保護企業的專屬資訊的機密性及完整性n資訊安全規劃的目的n尋求資訊安全資源的最適組合(portfolio)n達成企業資訊安全策略的目標n找出企業可以接受的資訊風險水準，並尋求適當的安全管理對策28-5企業資訊系統-第六章企業資訊安全管理的現況企業資訊安全管理的現況n資訊主管常面對IS上線時限的壓力n需在資訊安全的控管上作出妥協n企業資訊安全控管措施無法確切落實n使用者部門的阻力nIT人員需扮演救火隊，卻力不從心n有效的資訊安全控管n需結合資訊部門及使用者跨部門間的配合n如何喚起企業高階主管對資訊安全議題的重視?28-6企業資訊系統-
3、第六章企業資訊安全政策與企業策略企業資訊安全政策與企業策略的整合規劃的整合規劃n企業資訊安全管理的目的n取捨成本效益及風險，建立適當的資訊安全水準n如何決定企業的資訊安全水準？n依本身所處的產業特性n企業經營環境所可能面對的資訊安全風險n資訊安全事故的可能損失n企業的風險策略n應與企業策略相互配合28-7企業資訊系統-第六章企業資訊安全水準的策略規劃企業資訊安全水準的策略規劃首要任務：了解企業的資訊安全水準選擇28-8企業資訊系統-第六章企業資訊安全與企業競爭定位的整合企業資訊安全與企業競爭定位的整合n企業的資訊安全管理n消極：資訊保護活動n積極：與資訊搜集、資訊管理、及資訊傳輸甚至資訊阻礙的
4、可能性相結合n現代企業的資訊安全n可由消極的保護到以安全來建立策略競爭優勢的積極思考28-9企業資訊系統-第六章風險評估與資訊安全政策的制定風險評估與資訊安全政策的制定(1/2)n企業資訊安全政策n企業如何規範其敏感資訊的管理、保護和散佈的一組規則及實務n其目的是在維持企業資訊系統的正常運作及保護資訊資產的價值n其常見的形式依企業管理活動的層級，可分為下列三種n政策(policy)：策略目的及原則n標準(standard)：具體目標n程序(procedure)：政策的具體執行規範28-10企業資訊系統-第六章風險評估與資訊安全政策的制定風險評估與資訊安全政策的制定(2/2)n制定策略性資訊安全
5、政策的經驗法則n最易入侵法則：平均安全取決於最弱的環節n適當防護法則：錯失與資產價值對稱n有效對應法則：有效、易用、適切n風險n即威脅(threats)、弱點(vulnerability)及資產價值(assets value)的總合n或指：威脅真正發生的機率n風險評估方程式n相對風險(R)=資產價值(A) * 威脅(T) * 弱點(V)28-11企業資訊系統-第六章資訊安全風險分析步驟資訊安全風險分析步驟n資訊資產識別n找出企業重要的資訊資產並區分其重要程度n資訊安全風險分析n設法了解資訊資產可能面對的安全威脅及可能的損失n威脅對策矩陣分析n找出減少資訊安全弱點的方法，並分析其可行性及成本效益
6、n殘餘風險處理n對於未能有效降低的風險，採取最後的補救措施28-12企業資訊系統-第六章資訊資產識別資訊資產識別n企業的資訊資產價值即指企業使用資訊資產所可能產生的利益n如何評估資訊資產的價值？n資訊系統的重要性n企業對資訊系統的依賴程度n資訊的敏感程度28-13企業資訊系統-第六章資訊安全風險分析資訊安全風險分析(1/4)n步驟一：找出影響資訊安全的潛在威脅n步驟二：進行威脅發生機率估計n步驟三：量化估計資訊威脅的可能損失28-14企業資訊系統-第六章資訊安全風險分析資訊安全風險分析(2/4)n企業資訊安全威脅的來源與原因n內部威脅n外部威脅n非人為n人為n故意n非故意28-15企業資訊系統
7、-第六章資訊安全風險分析資訊安全風險分析(3/4)n影響資訊安全的潛在威脅n實體威脅(physical threats)n未經授權的實體或電子式存取(unauthorized physical or electronic access)n經過授權的實體或電子式的存取(authorized physical or electronic access)n分析潛在威脅的可能衝擊28-16企業資訊系統-第六章資訊安全風險分析資訊安全風險分析(4/4)n威脅發生機率的評估參考資料來源n由一般母體觀察所得的機率n由特定系統觀察所得的機率n專家依經驗法則所做的估計n量化估計資訊威脅的可能損失n損失估計的三種
8、不同層次n立即的經濟衝擊n短期的經濟衝擊n長期的經濟衝擊28-17企業資訊系統-第六章威脅對策矩陣分析威脅對策矩陣分析(1/2)依不同威脅的特性採取階段性對策28-18企業資訊系統-第六章威脅對策矩陣分析威脅對策矩陣分析(2/2)n資訊安全威脅控制矩陣分析n技術可行性與成本效益分析n透過適當對策，排除或降低威脅發生機率，或者是減少威脅發生的損失28-19企業資訊系統-第六章殘餘風險處理殘餘風險處理n殘餘風險處理n列示殘餘風險清單n殘餘風險的處置n殘餘風險的處理策略n風險自承n風險轉嫁28-20企業資訊系統-第六章防駭入侵防駭入侵n駭客入侵已成為常態n防駭入侵大多著眼技術手段，缺少策略思考n防範
9、之道n策略層次n管理層次n技術層次28-21企業資訊系統-第六章策略層次的防駭入侵之道策略層次的防駭入侵之道n知己知彼n隨時掌握網路駭客的最新動態n多層次的安全防範以及控管機制n專人負責系統安全的維護n全方位的保全公司28-22企業資訊系統-第六章管理層次的防駭入侵之道管理層次的防駭入侵之道n強化系統遠端登入的控管n系統實體設備的安全防護n離職員工的管理與追蹤n來自企業內部的安全威脅n落實教育訓練提高員工危機意識n對委外系統的管理n企業資訊系統要定期進行安全防護檢測n系統資料定期備分，以防不時之需28-23企業資訊系統-第六章技術層次的防駭入侵之道技術層次的防駭入侵之道n建立企業內網路對外的安
10、全防護關卡n關閉未使用的服務並檢測系統內所有的網路通訊協定n記錄並檢視曾被防火牆拒絕存取的連線記錄並追蹤了解n安裝系統廠商提供的修正版及更新程式n善用駭客攻防的工具28-24企業資訊系統-第六章防毒要領防毒要領n病毒已經成為嚴重災難n防毒軟體與防火牆為主要抗毒技術n策略層次的防毒要領：企業防毒策略的制定n管理層次的防毒要領n技術層次的防毒要領28-25企業資訊系統-第六章備份與復原備份與復原n災害復原計畫的目的n規劃企業在面對災害發生時，如何維持營運所需的資訊服務反應行動n災害復原計畫的組成n緊急應變計畫n備份計畫n復原計畫n測試計畫28-26企業資訊系統-第六章企業災害復原規劃的策略決策企業
11、災害復原規劃的策略決策n策略決策的層級n依資訊資產重要程度的差異，決定備份策略決策n策略層級的規劃n復原計畫規劃的重要在於排定危機發生時復原工作的優先順序n管理層次的工作n以劇景(scenario)分析的方式產生復原計畫n執行面n平時的演練與檢討28-27企業資訊系統-第六章資料備份的目的與重要性資料備份的目的與重要性n異地備份已成為標準程序之一n資料備份作業的重點nWhat:那些資料應該進行備份？nHow:以何種方式進行備份？nWhen:是以即時或是以批次的方式來進行備份？多久做一次？nWhere:異地備份方案的地點如何選擇？n其次，得規範備份作業機制與版本管制28-28企業資訊系統-第六章結論結論n對企業資訊安全管理的建議n高階管理者的重視與支持n資訊系統稽核的概念n擺脫技術層次的框架n許多資訊安全受損案例均源自於內部管理不良n委外企業資訊安全防護的另一種解決方案
