https://newera17031.activehosted.com/index.php?action=social&chash=19de10adbaa1b2ee13f77f679fa1483a.2906&nosocial=1
https://newera17031.activehosted.com/index.php?action=social&chash=19de10adbaa1b2ee13f77f679fa1483a.2906&nosocial=1

觀點

人員、稽核、制度 南亞科資安工作點線面一體成型

2008 / 05 / 15
編輯部
人員、稽核、制度 南亞科資安工作點線面一體成型

做為半導體科技廠商,看南亞科技如何從人員、稽核、制度各方面,確保公司和技術合作對象的商業機密安全!

南亞科技為國內高科技半導體產業研發、設計、製造和銷售的科技大廠。商業機密、高科技產品研發資料的保護和企業生存、商譽干係重大,而系統是否能夠正常運作更是和企業產能和獲利損失息息相關。南亞科技從多年的經驗學習中,逐步的建立起健全的資安架構,或許可以做為組織在推動資安工作的參考。
南亞科技自動化資訊處副處長陳寬宏對於資訊安全工作的推動,以及資安訊息、新知的瞭解一向不落人後。他表示,南亞科技的資訊安全工作,可以從幾個面向來看,那就是「人員管理」、「稽核落實」、「制度建立」,由點到面構成目前南亞科技的資安體系。

資安長穿針引線 串起資安溝通橋樑
做資安工作的從業人員,總是喜歡提到資安工作的三項組合要素,「人」、「技術」和「流程」,其中「人」可以說是最不確定的一項因素。而如何在組織內做好向上、對下和平行的溝通,更考驗著資安從業人員,尤其是組織內資安領導者的智慧。
陳寬宏說,向上溝通要能夠把握住每一次向高層決策者說明機會,目的就是要不斷提醒,讓他們知道資安是什麼。因為資安的範疇是既深且廣,不像他們所想像的只是電腦中毒、資料外洩等顯而易見的事件而已,而是要能夠將如何確保資訊資產做到符合機密性、完整性、可靠性的要求,一一向他們說明。雖說是簡單的一句話,但卻包含了資訊資產鑑定、風險評估、資料防護制度和系統規劃、備援、災難復原機制等專業。資安C.I.A.所討論的是什麼?該如何做到?都必須透過決策者能夠理解的語言將資訊確實的傳達給他們。
另一方面,資安工作的成效到底做到那些也必須讓決策者看到!從到底做了那些和資安相關的系統建置?目的及效果如何?如果能以一些實際的案例做說明,想必能讓決策者瞭解到資安工作的重要性,並喚醒他們的關切。資安工作不像一些系統建置可以立即看到成效,更要利用機會適時的突顯,讓他們看到資安團隊的表現,而給予更大的支持。
而在跨部門的溝通上,剛開始的確是有一些困難。但在兩年多前,南亞科技開始施行定期的資安月會,使得情況有很大的改觀。透過資安月會,做到了資安觀念的建立,對共識的達成也更有效率,意見回饋和疑慮化解也都能獲得通暢的管道。對於定期召開的資安月會,陳寬宏認為這是南亞科技內對資安工作推展上,非常重要的雙向橋樑!透過資安月會,相關的制度和訊息也可以被確實的逐層宣導到各單位。
而在一些影響層面較大的專案或重大措施中,IT部門也必須帶頭起示範作用,對可能遭遇到的問題,先行瞭解、化解,用專業說服讓其他各部門接受,而不致有太大反彈。
對於資安人員的挑選,除了技術專業能力之外,對公司的文化、制度也要有相當程度的瞭解,另外對品德和道德的要求更是必備要件。資安工作吃力不討好,做為資安人員更要有接受挑戰的強烈意願。目前南亞科技的資安單位仍附屬於IT部門下,結合了系統開發、網路管理以及跨IT領域的人才加入,初期將由IT部門提供支援,並建立起相關的系統和制度。長期的規劃則是要將其獨立出來,從一個制高點的位置,以公平客觀的角度來盱衡企業整體的資安規劃,扭轉企業內部對於資安是IT所應負責的想法,跳脫以IT為本位的思考模式,提供一個更全面的企業資安藍圖。
聞過忽憚改 正面態度看待稽核
而對於南亞科技這樣的上市公司,不時要面對來自公司內外單位的稽核,該用什麼樣的態度來看待稽核?陳寬宏所持的想法,就是展開雙手歡迎的正面態度,更希望稽核單位能夠儘量找出缺失,並且聆聽他們的建議。陳寬宏將稽核人員當成是能夠幫助企業正面改善的幫手,而不是來找麻煩。陳寬宏認為企業花錢找來業界頗負盛名的會計公司來做稽核,目的無非就是要借重他們所累積的豐富經驗、專業和旁觀者清的客觀角度,對企業做出正面積極的助益。
稽核事前的準備工作也不可馬虎,否則稽核工作將只會流於形式。也就是說,許多資安制度應該是早早就落實在日常的工作中。在南亞科技中,稽核工作分成多個層次,首先是部門自主稽核的形式,在每月、每季定期檢視資安工作的執行狀況,這也是資安工作得以落實的最基本步驟;其次,就是公司內部單位的稽核以及來自於和ISO標準有關的品保單位檢核,最後就是外部稽核單位。透過分層、分散的工作準備,在企業內部逐步形成良好的文化和制度。
除了對稽核所採取的正面態度,南亞科技也為稽核工作提供了資訊化的工具,將資料系統化,直接透過電腦、網路即可進行稽核工作,不需要另外再為稽核工作的準備投入人力和時間,因而增加人員的負擔。而稽核準備工作的資訊化另一項好處,就是能即時發現缺失,並檢視資安制度是否有被落實,更能確保稽核資料的真實性!如此在面對各個不同的稽核形式或單位時都無需畏懼,亦不必刻意的如臨大敵般的準備。
流程改善制度化
資訊系統在南亞科技的核心業務中扮演著非常吃重的角色,涵蓋的範圍包括了生產製造、研發及行銷的支援。半導體製造強調一貫作業的全自動化、講求精密,這部份也是南亞科技資訊投入的核心。研發部份則有電腦輔助設計(CAD)的專責部門,IT部門除了協助為其建立聯繫,也負責其安全防護。行銷相關系統則是由集團所集中控管,針對南亞科技的需求部份則由IT協助建置。
南亞科技藉由IT白皮書的制定,定義IT三至五年的中長期方向和目標,做為IT的指導原則,並且在每年都會依科技進步、內部需求和外在環境的改變進行調整。在IT資訊系統的管理上,陳寬宏特別強調務實、合理化和追根究底,而這也是南亞科技企業所一貫追求的精神。對於主管們或其轄下的工程師的反映,必須不斷思考並提出質疑,才能真正解決問題,而不是只看到表面。資訊部門也不能陷入一個迷思,就是使用者所提出的需求都很重要,必須設法滿足他們。因為有時使用者的思考並不是很深入,所提出的要求是否合理恰當都要再評估,而不是一味的配合使用者對電腦化、資訊化的要求,這時候IT如何和使用者詳談,避免予人IT本位的思考方式,將變得格外重要,這時資訊部門也會邀請總經理室下的幕僚單位專案改案組,以一個公正客觀的角色來參與協調。透過更制度化的機制,讓南亞科技的資訊、資安流程改善更具效益!
陳寬宏表示,資訊部門在南亞科技中,目前仍是以後勤支援為主,但在現今IT Service不斷被提及,以及強調用IT Service做為提升企業競爭力的氣氛下,南亞科技也期待資訊部門能夠逐漸的轉型,從支援角色轉化到「Service Provider」。如何達到這樣的目標呢?陳寬宏笑著說,這的確是一個不簡單的任務,但是南亞科技仍然會有計畫的朝目標前進。南亞科技將以人資培訓為開端,對最基層的工程師到主管們施以訓練,使IT服務的觀念能夠被深植和認同,對未來的IT轉型厚植基礎和後盾。
全面性思考 確保資安滴水不漏
今日IT所面對的各項挑戰可說是不一而足。技術的日新月異是其中一項,陳寬宏以虛擬化為例,從幾年前技術觀念被提出到如今已趨於成熟,但是當企業試著要將其導入至組織中,對現有系統的衝擊、應該應用到那些系統、系統虛擬化後又該如何分工管理、該如何導入等都需要詳加評估,所影響的不僅是技術層面,更包含了管理層面的重新規劃。而像服務導向架構(SOA)也是一項新觀念,但是其時機點、成熟度如何、引進規模該多大等相關疑慮,都是企業在思考IT的下一步該如何走時,必須審慎面對的挑戰!
IT觀念進化則又是另一項挑戰,陳寬宏以系統開發為例,早期的系統開發是以儘速滿足使用者需求為優先,但是現今網路服務日益盛行,對開發人員在系統測試、品質要求和安全控管的教育上,都需要資源的投入。
隨著資訊系統的日益擴增,資訊安全的議題也益形重要。陳寬宏是一位積極關心資安的資訊部門主管,從接觸資安議題兩年多來,深切的瞭解到當資訊系統一旦碰到資安風險的相對脆弱性。陳寬宏習慣以全面性的思考來看待資安問題,他並且以木桶理論來說明資訊安全,木桶是由一塊塊木板所箍製而成,如果要讓木桶能盛水,每一塊木板都必須是要完整的,否則水就會傾洩而出。
南亞科技也從過往的經驗中,讓高層深刻的體會到資安投資在企業經營管理中的必要性,以及資訊安全如何在企業更有效推動的重要,因此從組織、措施、制度、教育訓練等方式,不斷的喚起大家對資安的重視與瞭解。並且透過資安月會、資安委員會、高層主管的層層督導和訊息交換,以及資安顧問團隊的專業建議,持續強化資安架構!
對於資安工作推動,陳寬宏表示資安工作吃力不討好,但是如果真的有心,這是一項具有高度挑戰、成就的工作。從過程中可以學到技術,可以培養溝通協調、尋求支持和認同的技巧,並且體認到有所堅持的資安價值!