文╱何珮琪
當企業沒有能力或不想執行某些業務的時候，付錢請外界公司幫你執行或管理，這就是委外。也就是鼓勵企業將非核心、非專長的業務委由其他專業機構處理。這種做法不但可以降低風險，還能夠專心於本業，是相當成功的管理模式。尤其是資訊科技企業的全盤或局部委外，早已行之有年，如常被舉例的思科（Cisco），將生產、運輸、配銷委外，專心於品牌管理和網路設備的設計。而個人電腦的霸主戴爾（Dell），也將設計、製造、備料、甚至全球運籌等工作都交由海外廠商（例如台灣），自己只專責品牌行銷和訂單。
資安委外，時勢所趨
對企業而言，資訊或其他業務委外的好處已經被肯定，例如企業可以專注於本業；委由服務提供者可以得到最新的資訊和更專業的技術服務；得到全年無休的服務和受保證的服務品質；企業在可以降低總體擁有成本（TCO），如果自行建置則人力和設備和維運等會是固定成本，若是委外，則可以適時增減預算和服務需求，資金便可以靈活調度等等。對高科技大企業、金融業這類風險性偏高，組織龐大的公司來說，將資安工自己執行（in-house）可能比較符合經濟效益，但是對中型或小型企業來說，將這類需要7x24小時人力監控的工作委外就是非常合理的做法，一來可以省卻大筆的軟硬體基礎建置，二來可以省除人力及管控需要的高技術性教育訓練等等費用。
因此，資訊的委外已經是大勢所趨，根據IDC報告，在美國，資訊委外市場正逐年以10到12的百分比成長，到了2007年，美國企業的資訊服務市場中委外的比重將從2003年的5%提升到23%。
資訊委外不等於資安委外
一般資訊營運的委外服務項目主要包含：1. 資訊系統委外建置管理服務（IS outsourcing），2. 主機代管（Hosting Service），3. 網路代管委外（Network Management），4. 伺服器管理委外（Server Management），5. 應用程式的管理委外（application management）等服務。
其中，每一種服務都包含有安全層面的考量；如機房代管時的人員進出、身分確認等就屬於實體安全考量，而網路架構上的負載平衡和可用性，以及防火牆、病毒偵測等的系統設計也是資安的一環。但要釐清的是，資訊委外不全等於資安委外，兩者是有交集但並非重疊的關係。
可以說，和資訊安全相關的規劃、建置、管理等層面，就屬於資安委外的範疇，如資安建置的顧問服務、防火牆管控、防毒顧問服務、弱點掃描、入侵偵測、滲透測試、資安政策制定、SOC、以及資安教育訓練等等都是資安委外的服務。簡言之，資安委外的重點在於安全管理（Managed Security Service, MSS）。根據Gartner提出的委外建議（2003），安全管理包括以下內容：
1. 安全基礎建置元素的監控：防火牆管控分析、入侵偵測管理分析、病毒防護管理、企業營運計畫（BCP）、弱點評估、滲透測試、遠端監控、人力委派、虛擬私有網路（VPN）以及公開金鑰PKI的基礎建制等項目。
2. 安全基礎建置的持續微調（configuration）。
3. 安全漏洞的防護及修補以及意外復原。
企業將資安設備購置或租賃下來後，可以委由MSSP（Managed Security Service Provider）來以遠端控管方式監控，但器材可以建置在企業的用戶端，定期由專業技術人員到現場維護，或者不定期檢修和調整。
而在台灣和歐洲流行的資安標準ISO 17799認證，是國內資安委外服務中很重要的一環，並未包含在一般安全管理服務的範圍內。勤業眾信會計師事務所顧問萬幼筠表示，就他看到的國內委外情形，「大部分僅是資訊系統委外，裡面有安全考量，其次是資訊安全作業的委外。」因此國內的資安委外範圍內容更廣泛。
資安應尋求長期夥伴
資安的委外因為牽涉到更上層的安全政策和管理，因此在機密的防護、風險都相當高，通常不容易委外。「信任」，是資安委外的重要條件。在資安的三個基本目標：
Confidentiality（機密性），完整性（Integrity），有效性（Availability）中，資安委外的機密性是最重要的。資安委外更要注重委託的安全服務提供者MSSP的可信度。在國外的委外情形是將業務完全交由業者打理，但是國內因為對業者的信任度不夠，需求面還是停在部分委外或人力委派的方式。
一般資訊委外的案件可以用案件計，但是在資安的廠商或服務提供的業者，都最好能成為長期的合作夥伴（Long Term Partnership），提供一個穩定可靠的服務。
因為資安涉及的信任難以建立，資安不只是風險管理，更涉及到管理流程，管理流程要落實，必須生根成為企業文化的一環。因此一個能夠長期配合的委外業者，能夠更閑熟企業營運和文化，甚至還可以進一步提供建議，為企業主動評估投資獲利與風險，進而參與企業決策，承擔企業部分盈虧。
企業資安委外項目，仍重管理
在全球資訊科技的市場趨勢中，軟體與資訊服務產業，是未來的兩大明星產業，每年年成長率都在8%以上。而在資訊服務市場中，委外服務是未來三年最具成長空間的項目，特別是委外服務的全球分工模式，將會有爆發性的成長。
一般的MSSP合約中都包含安全的監控和分析，最常見的是防火牆和入侵偵測系統的微調和管理。至於入侵防護、弱點修補和意外復原，則需要企業內部資訊安全人員的參與，以及相關資訊部門的協助，因為這些部分也牽涉到企業內部的能力、人力和預算。
根據資策會的報告(《資訊安全市場發展現況與趨勢》, 2003)，2003年的國內資安產品與服務市場規模已達到70億元，並且需求由原先單純的產品轉向產品與服務並重。國內委外市場每年呈35%的年複合成長率，需求主要來自政府端，但是委外MSSP的素質、規劃和人員經驗因為需要長期的養成，還不足以供給需求。
大型企業的安全監控中心SOC建置的商機是委外業者競逐的目標，SOC的委外方式，通常是透過技術轉移來協助客戶建立SOC，並在完成後由客戶自行管理。這部分主要是以幾家大型系統整合業者為主，或主導或提供技術支援，還包含現場（on-site）的系統掃描、管理層面的安全諮詢等等。這些SI業者也兼有代理部分資安產品，如新光組合（CA）、精誠（Check Point）、立駭（N-Patrol, Check Point, NetScreen/ISS, Dragon IDS）、鈺松（Check Point, Cisco, NetScreen/ISS）、諮安（Symantec）、敦陽（Check Point, Site Gate, ISS, Veritas）等等。
另外在顧問服務業這邊，除了仍舊以四大會計師事務所勤業眾信(Deloitte)、資誠（PwC）、安侯健業（KPMG）、致遠安永（Ernst & Young）為首，許多大型的系統整合業者（SI）都挾其雄厚的技術能力、人力和國際資源積極介入這塊市場，如IBM、HP、EDS、Unisys等跨國公司都成立了服務事業群，在國外也有很豐富的承接委外經驗。如IBM的IGS（IBM Global Service），就包含三大部門：企業諮詢服務（BCS: Business Consulting Services），資訊技術服務（ITS：Information Technology Services），以及策略委外（Strategic Outsourcing），ITS之下又設了ISMS和安全和系統整合部門（SSMS）。HP的HPS服務事業群包含系統整合、客戶支援及委外服務等三大業務。其中委外的業務包含遊程管理、資料中心以及主機代管等業務。另外，產品業者及代理商也能提供相關諮詢服務。顧問的角色，主要是以內部稽核和流程的角度出發，為企業提供資訊安全政策建議、弱點評估、滲透測試、人力委派等等服務，基本上也以大型企業或政府為主要訴求目標。
另外，因為電子簽章法的正式施行，帶動PKI應用市場，因此也促進PKI相關基礎建置委外服務市場的成長。政府和金融業是主要的如加解密系統、數位簽章系統、等，也都是委外的重點。
資安委外需求項目分析
根據資策會MIC的委外調查報告（2003，六月）顯示，國內一千大企業中（大部分是中小型企業），只有三成（33%）願意將資訊安全委外，而其資安委外比例最高的前幾項服務分別是：一、入侵偵測系統監控與管理(53.00%)，二、資安政策制定（40%），三、弱點評估（40%），四、滲透測試（39%）以及防火牆的監控與管控（39%）。隨著行業別不同，各項需求間又有程度上的不同。
從一千大、製造業、服務業、金融業、一百大企業之間，我們歸整了六項主要的資安委外需求項目，依行業別表示如：IDS監控管理、資安政策制定防火牆監控管理、滲透測試、弱點評估及資安教育訓練等。此外的項目還有資安報表分析、遠端監控與安全警訊通報、虛擬私人網路（VPN）、資訊系統稽核、防毒軟體、安全事件回應調查與蒐證、公開金鑰基礎架構（PKI）、修補管理、網頁監控與即時復原、人力委派、網址過濾等等（以上項目依重要度排序），這些都是普遍常見的資安委外內容。
由資料可以看到，技術面的資安服務還是企業不分行業別普遍最需求的項目，像是入侵偵測系統的監控管理、防火牆的監管等等，因為企業缺乏這方面的管理能力，此外，它也需要警報的判讀能力、調校技術和經驗，以及7×24長時間的監看，對企業而言，人力、技術上的支出，都不如委外來得經濟。
IDS & 防火牆的監控管理
IDS的調整（configuration）是非常技術性的工作，需要專門人才。業者都會提供事件log報表，但光看厚厚的報表並不能分析出可能的攻擊行為類型。敦陽科技資訊安全事業處的葉肩宇協理表示，要將大量的事件通報（events）過濾出真正的事端（accidents），需要進行相互關聯事件（correlation）間的交叉比對，設條件分析，無法套用一定格式，必須經過微調。葉協理表示，這其中包含人的know-how、技術的know-how，A.I.的方式，甚至經驗和設定技術等等。需要技術專家與各項工具並結合實務經驗才能執行。因此，這部分業務的委外可以大幅降低企業自行訓練人員的負擔。
勤業眾信顧問萬幼筠表示，國外的委外是全盤委外，國內只是「託管」。國內委外比例最高的入侵偵測控管，是因為企業最大的問題在不會管理、不會判讀，就像買了一套愛國者飛彈而不會操縱，一旦警報出現就緊張。」調整IDS是高難度的技術，國外的管理方式是請專家為企業分析網路流量一個月，分析網路可能行為，才制定調整防火牆政策。萬幼筠提出，國內的防火牆建置量平均數相當高，但其監控管理的委外，其實是很少見的，尤其是金融業。「防火牆和IDS這兩項的委外，建置和維運都會是心頭之患。」因為防火牆的判讀非常困難，平均正確性98%已經很高了，目前國內的判讀只能做到避免假警報（false alarm, false negative），而更先進的入侵防護（IPS），還需要更多的客製化調整。防火牆和入侵偵測／入侵防護系統要委外，應考慮業者的設備是否合格、人員的安全相關證照、無犯罪紀錄、是否有7×24的三班制人員，雖有需求，各方面能達到水準的服務提供者卻並不多見。
弱點掃描與滲透測試
弱點掃描或弱點稽核，是系統整合業者的主要服務，主要是利用專業的掃描工具（scan tool）對企業的主機或網路安全進行掃描，找出主機、系統、網路服務的相關訊息和弱點。勤業萬幼筠顧問強調，資安建置應該有步驟進行，企業應該先有資安政策、控管測試、風險分析等，先作弱點掃描的體檢，進行過資訊安全系統的強化之後，才有作滲透測試的必要，因為滲透測試就是無所不用其極的攻陷企業的電腦系統，逕行測試必然會侵入成功，沒有太大意義。
弱點評估有如設定安全底限，之後再提出整體的安全評估以及強化的建議。而滲透測試是模擬駭客的思維和技術，從遠端侵入企業網路系統取得存取權限或機密。滲透測試能夠更深入地提高企業的網路強度，杜絕可能的入侵途徑。敦陽科技葉肩宇協理也指出，目前國內滲透測試真正能作到很精準的業者非常少，企業若有心執行，應該慎選業者。另外他也建議企業採用ERS（Emergency Response Service）服務，對單一或多部主機進行測試，可以在最短的時間內將這些威脅加以排除或封鎖圍堵，讓企業營運在最短的時間內復原，將資安風險所觸發的損失降至最低。
人力派遣與資安政策
人力的委外和資安政策的建議這部分，就是顧問服務業者的專長，如導入資安標準ISO 17799的輔導和後續的維護，都屬於人力委外的項目。其中資安管理系統(ISMS)的認證與顧問諮詢服務，是專業服務市場的主要推動力，也是企業和政府單位在資安服務部分的主要委外項目。普華資安（PwC）副總吳素環表示，顧問公司對人力的外派服務會較遲疑，因為風險較高。人員外派時的業務執行能力，公司也無法監控。
制定資安政策的需求很高，是因為很多風險都是出在政策不明產生的疏失，而並非產品的漏洞或人員的技術缺陷。在企業中可以配合各個安全需求不同的層級設定不同的安全政策，也可以依據風險評估的結果設定適合全公司的資安政策，如允許在公司電腦作一定程度的私人用途（收發郵件、瀏覽網頁）等，而過濾不當的使用方式。
教育訓練
教育訓練是企業委外中一個比例很高的項目，幾乎每個企業都有資訊相關建置和管理人員，如果企業自行建置防火牆等裝置，為了讓這套昂貴的裝備充分發揮作用，必須讓管理人員接受技術性課程訓練，如防毒、網管等等。委外能夠省掉這筆訓練經費，但是其他給非技術人員的資安相關的課程也有必要，如BS7799的風險評估管理、企業持續計劃（Business continuity Plan），資安管理ISMS給經理人或員工的課程，包括為導入BS7799的稽核員（Auditor）資格等課程等在政府端及企業界都有很大需求。
需求劇增，但牛肉在哪裡？
資訊系統委外雖是時代的趨勢，由於企業的疑慮較高，目前國內的資安委外市場多集中在政府端，尤其以SOC為主。企業先要有資訊的基礎建置，才會產生資安委外的需求。
許多政府單位的資訊人員均反應，目前市場的供需面都不成熟，無論是政府端或企業端的資訊建置情況看來，資訊的層級還落差很大，尤其在政府端，因為法令的缺失，資訊部門往往權限不高，預算偏低，因此，更依賴資安的委外，尤其需求一套整體的解決方案（total solution），而不只是一些軟硬體的產品或顧問的諮詢建議。
就這問題，敦陽科技葉肩宇協理表示，其實並沒有一種適用所有企業的整體解決方案，正常的建議應該是先由客戶訪談中瞭解其實際需求，再針對問題導入相關解決方案。目前的困難在於，資安廠商能夠針對此點進行「技術對答與建議」的人才較少，因此不能滿足需求，但是隨著技術提昇，業者也在積極加強結合這兩方面的能力。
凌群科技的朱保全顧問也表示，資安構面可大致區分為技術面及管理面，兩者需要相輔相成。通常SI有強大的技術卻少有顧問能力，四大會計師事務所有顧問能力卻少有技術整合實力，因此對客戶而言，若能夠找到兼顧技術與管理經驗的顧問，如系統整合業者除了產品之外，還能夠輔以顧問建議，充分做到管理與技術相結合的話，就更理想了。
但治本的方法還是應從政策面著手，在政府端儘速提出資訊政策白皮書，並成立資訊部來統籌全國資訊建置，編列固定預算，真正的資訊安全才能落實。
