掌握十大要素 成功建置Web安全專案

電子化企業時代，營運的成長深切仰賴成功且安全的商業交易，其中扮演關鍵角色的Web環境因涉及眾多聯外的客戶與夥伴，其安全性更是企業必須優先重視、不可迴避的議題。

為成功達到預定的安全目標，僅依賴技術是不夠的，其所需要的是一個嚴謹的流程控管。企業高階經營團隊也必須全力支持安全政策的制定和落實。本文將闡述如何有效建置Web安全專案的十大要素，讓企業擁抱一個周詳又安全的電子商業環境。
一、指派一個建置小組
在開始部署任何嚴謹新科技時，組織一支適當的建置團隊是件先決工作。由於Web應用系統涉及許多IT相關的準則，因此在一開始的規劃階段，便需周詳地把必要單位的人員挑選入列。此外，諸如行銷、訂單處理、製造和財務等部門也需要參與這個建置小組，因為他們終究是Web應用系統的商業使用者。小組內的部分組員可能不會擔任實際的工作，然而他們在部署架構、方法和進度表上，絕對有發言的權利。 雖然你可能會委外由其他廠商來執行這個專案，但仍應該一直「保有」一組內部團隊，協同委外部署業者共同推動建置專案。

二、確認小組成員 建置團隊中應包含幾個實際執行工作的組員，而必要的工作範圍包括：
*安全管理
*系統軟體
*Web應用軟體
*作業
*稽查
*商業使用者
*終端使用者
三、定義成員的角色和責任
在你敲定Web服務安全規畫與建置小組的成員後，下一步便是明確制定他們的職務功能。這種角色定義無關乎組員原本在公司內的權責，而是針對建置專案而特別考量和指派的。組員角色應包括：
*專案經理：負責整個專案的管理工作、成果、溝通和進度。
*安全管理員：負責檢視和批准任何與使用者身份(ID)和資源相關的設計、架構和命名標準。
*作業代表：負責Web安全應用系統的日常運作，主要是在硬體、軟體和用以維護服務等級之程序方面。
*網路和系統代表──負責維護Web安全應用系統環境的連接性。
*終端使用者聯絡人：在涉及介面決策或使用者認知議題時，反映終端使用者經驗的商業人員代表。
*業務代表：當貴公司利用電子交易來做服務或採購時，業務代表負責那些會影響終端使用者經驗的政策。
*管理階層：任何專案的成功通常都需要管理階層在每個階段或步驟的參與和批准。

四、制定一套安全政策
一開始便指派參與安全建置小組的人員可能會提出和建議Web環境的安全政策或安全目標文件。你可以沿用或借用公司大型主機或分散式環境的現有政策，因為絕大多數Web應用系統都有同樣的通用安全需求，例如身份驗證和使用授權等。

如果已有現成的安全政策或安全目標文件，那麼建置小組可直接利用這些文件；但如果這些文件尚未起草，建置小組正是做這件事的理想委員會，因為他們能夠考慮到每個相關領域所關切需求，同時發展符合企業所需的安全目標。如果每個領域代表都同意所設定的方向，便能促使組員的主動參與，讓建置流程更為順利，避免彼此之間耗時的意見協調工作。

在形成安全政策共識後，管理階層應當對全體員工發佈一項人事公告，並指派一名安全主管(或至少是安全管理員)。該名安全主管隨後要確認全體員工都充分瞭解必須遵守且不得違反的安全政策和程序。

五、闡明專案目標 在形成安全政策的過程中，你首先需要制定實際的政策任務或目標。例如，在建立Web環境的安全目標時，你應當考慮：
*保護企業智慧財產權
*保護個人資訊
*隔離客戶、夥伴、廠商或供應商的資訊
*金融交易的安全性 *所建立之web環境的隱含信任
*致力於提供愉快但安全的Web經驗 你的安全政策需要明確且務實，以便讓使用者容易理解公司的安全目標。這種政策也應當讓各種使用者(例如intranet、extranet和Internet使用者)易於存取而無需過度的搜尋；換言之，「無辜」將不能成為違反安全政策的藉口。
六、確認使用者的責任
由於未強制執行的安全政策形同無用，因此你應當在安全控制和紀律規範之間尋求最適當的平衡點。要對內部員工強制實施安全政策並不困難，因為他們理當遵循公司政策；但這對客戶、潛在客戶或商業夥伴而言卻非易事。因此，要明確制定安全控制政策、強制執行方法以及紀律規範便成為極其重要的事。
我們可用下列幾個要素來確認使用者的責任範疇：
*確認所有使用者都明瞭公司安全政策。
*讓使用者知道公司已制定一套強制執行措施。
*讓使用者知道違反安全政策的懲戒後果。
*定期審視安全政策，確認它們仍符合公司的商業目標。
*建置雙軌稽查措施：即時監督嚴重的安全違規行為，以及事後檢討的稽查報告。

七、建立一套建置計畫 當你建立起一套周詳的安全政策後，也為成功奠定基礎，再來便需要發展一份完整的建置計畫。即使你的安全方案可能涉及其他委外廠商，你仍需要擁有整套部署流程。此舉將確保你瞭解所部署的科技方案，並在需要時能做出重要的商業決策。

安全建置的規劃和排程有助於設定適當的方向，並維持建置工作按部就班。一份設計完善的建置計畫是你最重要的控制機制，它也造就建製專案成功的關鍵，其主要元素包括：
*組成一支優良的工作團隊
*制定專案範疇
*訂定實際可行的進度表
*執行一個小型的試用環境
*分階段建置
*舉行產品訓練 接下來，我們將說明一組典型的建置元素內容。
八、建置計畫的基本要素
下述工作都應當納入典型安全建置計畫之列。
*產品訓練：必須安排安全管理人員接受Web服務安全應用系統的訓練。
*安裝：由於安全產品的安裝作業涉及許多安裝地點的特定因素，因此當你在規劃安裝作業時，應當考慮採用分階段的方式以減少任何曝光。
*資源和使用者清單：建立清單這件事可能是整個建置過程中最耗時的工作之一，它要花費多少時間端視你要安裝多少使用者和資源。
*制定建置策略：每個組織可選擇不同的建置方式，採用不同選項和控制以因應不同設施之需。
*發展緊急和除錯程序：在發生不當使用或不當組態的問題之前，務必花時間擬定緊急處理程序；此舉將有助於大幅減少日後診斷和解決特定問題所耗費的時間。
*發展安全維護程序：當貴公司的環境(例如採用新的應用系統)有所變動時，便需要適時改變安全政策。儘可能在初期便建立維護程序，以從容應付後續的維護需求。
*測試：安排測試行動有助於確認Web服務安全軟體在建置功能表現方面，能一如安裝時所期望的。
*安全意識計畫：安全建置專案的健全和效能表現端視使用者的支持程度，而使用者是否接受適當的產品訓練則是展現支持的關鍵因素。
*後續評鑑：定期進行建置後的評鑑活動是必要的。

九、建構專案時間表
一份完整的建置進度表結合了一張工作清單(或流程表)和時間表，它們顯示出用以建置Web服務安全應用程式的所有必要工作。擬定這份工作清單讓你能決定哪些工作要相互依存，而且必須按部就班執行，哪些工作是獨立處理的。透過在展開建置之前先分析所有需求，你可以發現原先擺在較後段的工作，可能需要在前面階段就完成。

建置小組應草擬一份有彈性的時間表，想要預測實際的工作時間端賴你判斷工作規模的準確度。此外，你也必須允許不知情狀況的發生，例如不完全知道使用者數量和資源，而隱藏的工作可能在建置過程被忽略了。

如果真有可能，避免設定一個最後完工日期，直到清單和設計階段宣告完成──務必優先處理緊急需求，再進行其餘階段。如果一開始便審慎規劃和分析，再隨著專案管理人員對Web服務安全軟體、環境和安全管理功能越來越熟練，那麼整個建置專案將會進行順利且會加快完成。

十、完整的產品訓練
訓練有素的人員──懂得Web環境的動態特質，並瞭解產品的特點與功能──可能是貴公司圓滿完成Web服務安全建置專案的關鍵要素。因此，在整個部署進度表內安排產品訓練時間便相形重要。不同使用者需要不一樣的訓練型態與內容，從管理人員、應用程式開發人員到終端使用者的需求都不盡相同。在教育訓練方面的投資將可換取更高的營運效率、提升產品使用率，並降低不當管理或安全風險。

結語
對許多企業組織而言，Web服務安全是件重要的事，但它卻經常成為電子商業或電子商務計畫中被忽略的一環，而事實上它需要與其他要素一樣獲得同等的重視。藉由從高階主管到終端使用者審慎規畫和通力合作，Web服務安全勢將成為企業成長最重要的推手之一。

(本文作者現職為Computer Associates 行銷策略經理)