https://newera17031.activehosted.com/index.php?action=social&chash=ba1b3eba322eab5d895aa3023fe78b9c.2767&nosocial=1
https://newera17031.activehosted.com/index.php?action=social&chash=ba1b3eba322eab5d895aa3023fe78b9c.2767&nosocial=1

觀點

全國第一 一開始就涵蓋大範圍  入出境管理局導入BS7799

2005 / 05 / 06
卓長熹
全國第一 一開始就涵蓋大範圍  入出境管理局導入BS7799

肩負重責 義不容辭
政府機關目前有3,713個單位,資通安全會報依其重要性分成ABCD四個等級,各等級有不同的作業指標,其中A單位共計126個,從中再選出20個條件最為影響國家安全及與社會安定者訂為A+單位,入出境管理局即為其一。
入出境管理局資處中心副主任章毅昌笑說︰「92年初剛收到資通安全會報來文要導入BS7799時的心情,他看著10大項188條的規定也覺得很惶恐,很多問題一一浮出腦海,因為實體環境的部分已經在做了,但是對『人』的部分卻感到徬徨,也從《資安人》雜誌來參考別人的做法,後來決定找專業單位來規劃輔導。」
由於其輔導單位可以派人駐點輔導、協助文件處理等,提供適切的需求和協助,讓他們在決心導入資安後也更具信心去執行,於七個月內便正式取得BS7799國際安全管理系統認證,並取得5張資安管理稽核證照。

重要推手 章毅昌
境管局安全的重要性不言而喻,假設機場的電腦系統當機影響到通關,或通關系統遭破壞無法控管入出境,都可能對國家帶來無法衡量的危機。因此,境管局對安全的重視是必然的,事實上在還沒導入BS7799之前,平日就做好基本功、打下深厚基礎,這也是境管局能在短短七個月內就能通過這麼大的範圍的主要原因。
在境管局二十多年來的電腦化過程,基本功之所以做的好就不得不提到一位重要推手-資處中心的副主任章毅昌,章毅昌從年輕時就到境管局服務,從境管局對人名的分類都還採取人工方法時代,至今已有23餘年,他經歷了境管局電腦化三階段過程,對境管局的資安歷史再清楚不過,提供讀者相當實際做法分享。

自行培養人才 開發軟體
最早期,約民國70年時是用王安的2 bytes專屬系統;78年進入第二階段,改採3bytes專屬系統;第三階段起始於86年至92年,6年的時間內從專屬系統改成Unix 開放系統,包括中正機場一、二期、高雄機場、小港機場、台中港、花蓮港、麥寮港、金門、馬祖、水頭、福澳港等及海外30多個點,將海內外全面改成統一版本,並由系統組20幾人負責所有的軟體開發與維護。
基於境管局資料的重要性,自民國86年後,境管局除重要系統改採Unix開放系統外,並採用封閉網路;軟體的部分由於牽涉到國家安全與社會安定的考量,因此自行開發軟體。章毅昌談到,這個過程也是經歷非常艱辛的過程,由於專屬系統、開發系統的邏輯觀念和設計理念截然不同,對年輕時就一直專心於專屬系統程式撰寫的工程師來說,到了三、四十歲又要從新學習其實是滿痛苦的事,當時也有希望委外的抗議聲調,但是章毅昌談了一個『海上一塊浮木』的想法,「你再會游泳,假如沒有浮木可以抱,改天就可能面臨裁員的命運…」來勉勵同仁維持自己專長上的優勢;剛開始同仁也覺得很痛苦,但慢慢地看到自己成長的果實時就逐漸接受,從接受然後熟練、然後完成,這段歷程下了6年的功夫。
直到近兩年來,由於業務增加、人事政策是遇缺不補,加上政策是盡可能委外,所以逐漸將安全等級較低者(例如網路申辦業務)外包,約佔20%,但是重要的Unix系統,完全是局裡自己培養人才和開發、掌握,因此,從智慧財產與安全的角度來說,都很難被外界抄襲或入侵。章毅昌談到,以前澳洲和韓國的移民局也曾經來請教技術性問題,但他的觀念是,凡牽涉到資安和智慧財產的問題,即使利用高層壓力也都一律不給。

巨細靡遺的落實和堅持
從專屬系統轉換成開放系統後,更多的細節都需被徹底執行;像PC的USB、磁碟機一律是封死無法存取,並在主機機殼貼上封條,以防員工自己改裝;如要儲存就交由資料處理中心的工作人員來做,等於是所有入口都封死,完全杜絕『病從口入』的問題,所以當別的單位調過來的同仁,對這些不方便都抱怨連連、覺得境管局矯枉過正,但也只能『入境隨俗』,因為境管局寧可多負擔這個工作,也不願意去承擔可能的風險。 防火牆的部分,目前有兩層的防火牆、IDS、防毒中心系統的控管等投資;值得一提的是,編制3個人在負責控管幾十個Server,每天一早就先去檢視、下載更新軟體。 機房管理的部分,像基本的進出登記或是得標廠商需送一份參與者名冊至局裡,做身家調查,沒問題之後則需簽署保密切結書;如果機房的安全人員帶筆記型電腦進來作業,局裡的操作員都需陪同監看,並開單子紀錄其工作內容,這些都在導入前就做的很嚴謹。 Mail的部分,因為系統都是用Unix,所以中毒事件大都是發生在PC端。mail部分的控管分成內外網,mail是接在外網,內網屬Unix範圍,但是對使用者端的Word檔案是有可能被截取的,或是開啟不正常的mail而中毒;目前是透過兩層代理伺服器(proxy)防禦,雖然尚無被成功截取的事件,但是未來無法保證不發生,因此上級單位也要求境管局,將來必須做徹底的實體安全隔離。 導入BS7799十大項中,實體環境安全的部分是做的最徹底的。諸如局本部位居四樓的淹水考量、樓板強化厚度的防震考量、地下室的台電迴路今年也預計由一個再改善成2個迴路;假設迴路被挖斷,則有UPS的供電,時間是15~35分鐘,柴油的準備、發電機啟動系統、附近有加油站,並每月測試一次等嚴謹的做法和預備。章毅昌表示,境管局的機房是國內外相關單位眼中的模範機房,除了徹底落實安全做法外,一來也是因為境管局較早以前就爭取到預算,現在政府的預算縮減,別單位要做恐怕也不容易。

導入後最大的收穫是『人的管理』
章毅昌表示,導入BS7799最明顯的差異是在於人的管理。因為,以前這方面做的較不完整,大家憑『良心和信任』在處理事情,導入之後則將流程與細節導入『正規和系統化』;人員的管理從無章法到有一套法則去落實遵循,是導入BS7799最大的收穫。
帳號密碼管理更趨嚴格。以前員工的密碼管理是責任自負,導入後則強迫員工三個月內必須汰換『懶人密碼』(生日、身分證號碼等容易被聯想的相關數字),並遵循密碼更改的規範;螢幕密碼保護設定;所有的查詢動作皆有log紀錄管理,並且每星期列表呈與主管,產生嚇阻作用;文件書面化、標準程序化管理;資源存取需填表單控管等。
要改變二十多年來習慣,其實是非常不簡單的事情,導入的過程對員工來說,有非常多的不適應和反彈,觀念溝通和教育訓練是最辛苦的事,也是解決問題的不二法門。當問及如有高階主管抱怨不方便或不願意配合時如何解決?章毅昌簡單一句話:「拿公文給他看!」這是最簡單有用的方法,「畢竟安全與方便常常是互相衝突的,只能各退一步儘量抓到平衡點,畢竟辛苦的還是我們,慢慢的大家就會習慣了…。」再者,透過簡報對主管說明原由和必要性,以及上級單位的相關規定及懲處等,雙管齊下、軟硬兼施的去做觀念溝通,高階主管認同後由高階主管來宣導,以下相關單位的人員自然就容易跟進配合。

共諜案是個大轉折
除了不斷的教育訓練和宣導,一個實際發生的資安事件是最好的教材。章毅昌講了一個去年發生的頭條新聞,是關於軍事情報局退休人員,將法輪功資料及相關人的入出境資料販賣給中國的洩密案件,境管局內部員工盜用同事密碼涉案。當時引起非常大的騷動,無辜的同事身受其害,就是因為鄰座的同事利用她離座時使用其電腦從事資料搜尋。也是因為這個事件,日後同事之間變得更加謹慎,對資安的導入也更凝聚共識。 (註:詳細新聞可參見http://www.libertytimes.com.tw/ 2004/new/sep/15/today-t1.htm)
「資安事實上不只中國網軍或駭客的問題,也是內部人員管理問題。」章昌毅說到,「設備是基礎建設,但內部的管理機制是更重要的,否則制度訂的再好,人不去遵守,也是沒有用。」因為百分之七八十的資安事件都是來自於內賊,境管局在人的管理方面更強化了這部分的做法,例如,新進員工考試前報名時就做深度的安全調查、重要資料會做加密傳輸、代理人制度以及進出控管、監控系統數位化的配合等。
硬體的建置是錢可以解決的,最後的問題還是在於『人』。從輔導單位每天派4個人駐守輔導,並定期由長官或章毅昌主持會議,各組室派2位推薦人員全程參與教育訓練,海報張貼及廣播宣導等,人員從不耐煩到認同其重要性,並以境管局被列為20大的單位為榮,這是最大的轉變和收穫。

有政策作基礎再配合技術
談到境管局對資安防護的重視原由,章毅昌提到,如果要寫境管局的資安歷史,有位不可忽視的重要的人物-田彬副局長。田彬雖為政戰學校軍人出身,對資訊科技不熟悉,但安全的觀念卻很新,對國境安全的首要觀念就是『不能當機』,當初田彬契而不捨的爭取機房建置與備援的預算,打下硬體設施基礎。從田彬觀念與政策面的推動,傳承下來,加上章毅昌技術面的背景,境管局的資安工作可說是穩紮穩打。
在訪談過程中,章毅昌聊到自己年輕時還曾經許下『決不當公務員』的誓言,還以為入出境管理局是貿易公司,一場誤會的進來這個單位,當時章毅昌認為這個單位文化保守、阻力又很大,要電腦化是很具挑戰性的;一路走來,從頭到尾的參與和本身的用心和投入,整個入出境的管理系統可說是章毅昌的設計理念,對後來只能看到局部問題的新進同仁來說,都可以更有效率的提供建議和解決辦法,再加上長官的伯樂識馬以及工作上的成就感和榮譽感,章毅昌說:「雖然再回首已百年身,卻不曾感到後悔。」

未來規劃
異地備援
章毅昌表示,教育訓練的部分皆已依規定達成,唯異地備援的部分,目前台北局本部是在規劃進行中。異地備援有三個地點,入出境管理局本部、中正機場一、二期及高雄機場(基隆港及台中港是屬client端),其Server、Hard drive、UPS、迴路、冷氣機等都是兩套備援系統,唯屬local的異地備援機制;假設高雄機場兩套系統損毀,則備援至中正機場;假使中正機場的系統損毀,則備援至台北本部的機房。台北的機房目前是沒有異地備援的狀況,目前正在規劃,將以中正機場二期的現有設備來擴充作為備援地。
實體隔離
局裡預計6月底前完成實體隔離任務。理論上PC應該要每人兩套,內部的作業不上網,假如有使用internet的需求,則必須到另一台PC,但是這樣的預算過高。目前的規劃是,各個組室的共用區規劃4~5人使用一部PC和列表機,是可上網收mail的。
內網與外網間的資料交換需建置一個檔案夾,由使用者決定文件的重要性分為特急件、急件或一般等級,機密性文件則加密,儲存至此檔案夾後由操作員去執行下載抄錄的工作,例如特急件是隨時抄,急件是一小時抄一次,一般的文件則一天抄二至三次;操作員抄出來之後,交由使用者至共用區發送,發送完成就刪除。外來的mail亦是寄到一個檔案夾,經操作員掃毒後依重要性等級下載抄錄,再轉給收件者。這一個很複雜麻煩的程序,但章毅昌表示︰「安全與方便常常是互相衝突的,同時對我們的工作量平均會增加一、二個小時,但是我們還是堅持這樣做…。」
持續稽核與擴大認證範圍
章毅昌說到:「境管局20幾年來,即便是從民國86年導入開放系統後,未曾發生過重大資安事件,未來如何不敢講,但我們會更加的小心…。」除了持續推動內部稽核、對新舊員工做不同層次的教育訓練、繼續培育更多人才拿取認證之外,也計畫請示長官把範圍從局本部、中正機場一、二期和基隆港之外,再擴大到高雄及各服務處。

結語
提到可否給欲導入資安的單位一些建議,章毅昌說:「要導入BS7799也沒有別的竅門,就是資訊單位要有決心去做,然後找到長官的支持,花錢是必然的,如果一年無法做到,就逐步去規劃…。」