首頁 > 資安知識庫 > 駭客攻防與惡意程式威脅 > 駭客技術與新興威脅

Cyber security猶如打仗,不是輸就是贏

作者:侍家驊 -2017 / 06 / 05 列印 加入我的最愛 分享 將這篇文章分享到 Plurk 噗浪

前陣子與一位資深安全官碰頭,他有超過20多年的企業安全管理專業經驗,歷練過國內外大型企業在台最高的安全主官之職位,從他最近訴說著對於台灣資安發展過程現象中的觀察,我再次聽到許多深入的見解。如今,我整理出精華片段與大家共享。

在這一個多小時的對話中,其中最精闢的內容則是他對於Cyber security 防禦觀念的定義。

他以白話詮釋了安全工作的難處:
『資源有限 vs 老闆欲望無限、主管機關要求無限、外界變化無限』

以下我則列出三個問題,以直接問答(Q&A)的方式分享給您們。

【問題一】
Q:Cyber security 與Information security有何不同?

A:可分以下三點來談:
第一、Cyber security 是對抗cyber crime(網路犯罪)、對抗惡意攻擊;Information Security範圍較廣泛且重點在於預防,防天災與防人禍,是屬軟性的規勸與引導。
第二、Cyber security是 defense(防禦)猶如打仗,這不是僅僅法令遵循,而是必須全力將資源集中在必要的工作內容上,效率的發揮或成果是所有工作的核心,屬剛性,硬碰硬的行為。
第三、Information Security是建立基礎,但缺乏明顯的專注方向與範圍;cyber security則是APPRR( Asset, Prevent, Protect, Response, Recover),非咬文嚼字、紙上作業,而是需要會打仗的人。

意即Cyber security勢必要與企業組織相關業務更為緊密結合,並統籌有限資源及擬定明確方向,就像打仗般目標明確。因此,如何掌握必要的技術與資源,將是負責企業組織安全的人員無法迴避的課題。

 【問題二】
Q:如何看待即將通過的今年四月份行政院資通安全處所提出的「資通安全管理法」?

A:長遠是好的,但實務上對安全從業人員而言,多了更多的paperwork(文書工作)。安全實作人員與法律人員彼此積累長存著想法上的基本差異,將會是一個未來可留意的。實作的安全人員,側重在「目的解釋」;反之,法律人員則側重「文意解釋」,逐字解讀法條,但這樣可能反而容易忽略真正重點。因為,法條通常用字精簡,如果主管機關能多解釋條文,如此,才能導向正確工作方向。或是透由公會來解釋或建立行業標準,這些都可以為法條帶來實質的引導作用。 畢竟法律的精神是看目的,而非條文本身。

除了法條之外,另一個值得關注的重點,在於主管機關可以培養、訓練出 夠專業的稽核官員,無論平時的查核或是出事後的檢查,稽核官員都可以協助企業或單位,做出正確的回應與恰當的補強措施。

【問題三】
Q:最近金融業內部建立資訊安全官(CISO)的職務有增加的傾向,企業提出了一個疑惑,如何面試CISO?

A:我認為CISO的職責是:
1. 在企業組織內建立管理架構,包括管理制度、作業流程。
2. 在企業組織內塑造安全文化。
3. 其本身需具備鑑識風險的能力。
4. 其本身需具備提出solution(解決方案)的能力。

對於成立一個專責部門來說,一樣也需要視階段性而有所不同的規劃。首先必須要先確立,安全是CEO的責任,安全人員是協助CEO搞定相關工作及問題。如果各階層、各部門都重視安全,也許就不需要一位專責CISO。但是,多半長見的是企業內部資安工作不成熟時,先集中任務交給一位CISO,經過一段時間的內化後,再分散多一些資安工作出去;然後再集中、再分散,如此持續調整與修正直到各部門對資安工作都已熟練,CISO便回歸到上述四大重點之職責。

以上,三個問題則是歷經一個多小時與他的對話內容,從這裡我深切感受到,無論是老闆欲望無限、主管機關要求無限、外界環境變化無限,當任職為企業組織單位中一位專業的安全人員,對於資源有限的認清、掌握與運用是要帶著具有Cyber security的防禦,做戰的精神力來迎戰,我們大家共勉之。


推薦此文章
4
人推薦此新聞
我要回應此文章
您的姓名:
回應內容:
  輸入圖片數字

你或許會對這些文章有興趣…