觀點

教你處理資安事件-3 ERS常見迷思之不能戳的秘密

2012 / 07 / 10
路飛
教你處理資安事件-3 ERS常見迷思之不能戳的秘密

有人說資安事件都沒有表面宣稱的這麼簡單,近年來資安事件的頻率似乎已經麻醉了企業的反應神經,不管是大還是小事件,最終都是以大事化小、小事一樁不足掛齒來收尾。我們來看看在ERS裡常發生哪些迷思。

迷思一:事件範圍與深度的認知

針對一樁事件,第一個步驟就是針對事件範圍應釐清,但是在這裡常見的問題就是頭痛醫頭腳痛醫腳,不夠全面。這樣事件範圍與深度的認知就已經與現實狀況不符,scope不對,也就導致最後處理結果的不完整,甚至是誤判形勢。

到底是什麼原因會有這樣的迷思發生呢?大概可以分為自發性的與非自發性兩大類,前者是單位內的負責人(這裡包含事件負責人、高層決策者或專案承辦人),對於事件本身的態度就「不想」太大張旗鼓,給一個交代收尾即可,另一面是來自於承接的廠商,礙於人員經驗、價格、時間,及甲方的壓力與不情願、不積極配合下所產生的自發性將範圍限縮。

範圍即決定了結果。另一種非自發性的因素,則是肇因於不同事件類型的特殊性質,因為處理過程中的方向錯誤,所造成的事件範圍定義落差。也有可能是因為參與處理之人員經驗與知識範疇不足的問題,這個跟另外一個ERS專業人員養成的迷思有很大的關係。

因為範圍與深度的認知不足及不一致,針對事件的處理就很難全面評估,至少範圍要抓對就是一個必要的能力。至於為什麼要全面來看,這樣就犯了廠商業務的大忌,時程及預算超支導致專案延宕付款延後,尤其ERS的利潤總是沒有比賣設備好,多半是做順水人情「撒畢思」(Service)。結果就是同一環境下事件再犯率、重犯率提高。另外,既然甲方都已經決定一個不合邏輯與事實的範圍,那ERS團隊又何必去戳破呢?

不能戳的秘密:碰過一些顧問的策略便是如此有商業頭腦,因為這樣下一季還有業績、總是會發生,留一些之後還會生意可做,或是賣一些設備方案進去。這樣的顧問或業務通常都吃得肥滋滋的口袋滿滿(不能戳的秘密不針對個人,上述是形容收入非個人)。  

迷思二:如何選擇ERS團隊

好在這個問題現在比較少會遇到,目前較大的ERS服務幾乎都是綁在SOC年約中,就不必在事件最危急的時候還要開一個團隊評選會議,這是不合乎邏輯的迷思。若非常駐的團隊,對於環境內的熟悉度亦需要時間來熟悉,這是事件處理時間的浪費,因此採用年約與保險式的購買ERS服務會是一個重要的市場趨勢 。但是問題就在於,綁在其他資訊或資安專案中,ERS的單位成本是被低估與忽略的,甚至就是便宜的買菜送蔥價或等同免費。

若把時間拉回到可以選擇ERS團隊時,通常會有幾個錯誤的認知,第一個,團隊專案經驗洋洋灑灑很多頁,但是當初處理這些專案的人員其實早就不在公司或團隊內,因此團隊經驗不代表目前可執行能力。再者,資安事件處理通常不能條列出專案經驗,否則保密的要求與NDA(Non-disclosure agreement)精神就蕩然無存。

其二,人員的背景是否涵蓋企業資訊環境所需的處理能力?即便是有取得相關證照,還是必須多方詢問以往的客戶評語,以作為重要參考。幸好證照的迷思在台灣市場似乎不會太嚴重,多注意即是。

第三,喜歡先來個POC(驗證),但最後還是以價格取勝。採用模擬驗證方式是好事,但是回歸於現實面,即便驗證勝出,最後價格仍然是決定要素,導致了慣性以低價取得專案的市場機制。  

迷思三: 甲方自己

甲方也就是客戶,在發生資安事件時會進入一個進退兩難的狀態,一則是要儘速先滅火把問題解決,另外在腦中的聲音則是找到問題會不會是自己管轄的問題?就陷入天人交戰的兩難中。最好的狀況是,負責資安與負責IT架構、負責應用程式的是不同的人員,而且資安事件處理要有最高層級的支持背書,相信決策者都是以把事情處理完整為目的,找出問題以後不要再犯。

不管因為IT部門做得好還是做壞了,都是責任,所以在配合處理時,要不要配合查?會是一個成敗的關鍵因素之一,這也是最常遇到的-「不清楚、不配合、不是責任範圍」的迷思。此外,常常有個狀況是平常已經有所謂的資安顧問與團隊的服務,或是已經導入ISO 27001等ISMS或PIMS國際資安認證,卻還是出事,尤其是經常上榜的就是會一再出事。這也已經是很普遍的迷思之一,管理程序的安全、認證的背書不表示實質的安全,只是陷入假安全的迷思症候中。

迷思四:資安顧問都可以做事件處理

資安這個領域是非常有趣也相當特殊。人員的養成途徑分成幾類,顧問型、實作安全測試、安全研究等,每種類型所需要的能力、背景、經歷各有所不同。在人力不足的關係下,以上類型通常都是通用型且互相兼顧,所以導入ISMS的顧問也可以做事件處理?滲透測試專家也可以做事件處理?更不用說是負責銷售的工程師也可以做?基本上,這是陷入一個「全才」的迷思。 簡單來說,就是叫醫生或電力設備專家去當消防員的意思。資安事件的處理需要廣泛的平台知識與經驗累積,但是沒有人一開始就是如同要當消防員或急救員的角度出發,來做事件處理經驗的培養。一個資安事件處理團隊,還是要具備有第一線的消防、急救人員,後面則是救人、診斷原因的醫生團隊。而第一線的處理判斷,則會影響現場火勢是否蔓延?是否可以迅速處理,又可以確保範圍最小化的關鍵。

因此,並不是人人都有功練或是可以當食神,那都是電影裡面演的,同樣的資安事件處理團隊並不是上述人員均可勝任。一個ERS人員養成,最重要的是背景知識與經驗累積,不同的事件類型需要不同的專才,甚至可以請求外部專家或客戶公司內的負責人員協助,總不可能人人都會AS/400或各種程式語言吧?再加上需要的腳力、體力、腦力與財力(設備),其實一個ERS團隊的成本所費不貲,真正能經營這樣團隊的大概也只有大型資安廠商可以做到。另外,ERS有時也會有「外國的月亮比較圓」的迷思。大多會被國外要求指名特定廠商,但是價格差異下要花更高的價格,而國外的資安顧問非常講究程序,但真正厲害的人,卻不會出來做這種不合經濟效益與興趣的工作,結果是遠水救不了近火,還不如找知名的會計師事務所來做。只是,要慎選,知名不代表什麼都行。

ERS團隊的養成過程通常是採取留好幾手的師徒制,所以一個團隊有沒有作業程序,有沒有定期研討或是專案後的檢討會議,通常就是經驗能否傳承的關鍵,說穿了,有時候工具比人好用、遠水救不了近火,企業也可以思索是否建立自己的ERS團隊,招募設立緊急救援團隊,至少招募條件中可以包含經驗、證照、一定的資訊科技背景、是否寫過軟體程式、管過IT網路設備,以上條件都是包含但不限於。

如果擋不了 更要沉著應戰

在今年RSA資安大會中,FBI的羅伯特.米勒說了一段話,沒有任何公司可以阻止這些駭客,不管是五百大企業還是鄰家的電腦。「將來只會有兩種公司:一種是被駭過的,一種是將要被駭的。而兩者的共同下場,就是再次被入侵。」。一語道破對企業對於ERS的需求趨勢,所以可以備而不用,但不能不防陷入上述迷思之中。
最後,提供幾項評量項目,可以看看是否對於破除迷思有幫助:
- ERS專有職務的建立。 
- 證照與能力的等值性。 
- 至少全面最大化設定範圍,勿草草了事或僅就報價範圍檢查處理。 
- 價格決定處理高人力密集的服務品質? 
- 團隊組成的能力經驗與真正第一線帶隊者。 
- 不願聲張低調處理是王道,但是對內、對事應該要做到完整處理。 
- 事件應追根究柢與驗證修補結果。 
- IT通常肩負非常多的職務,也會有利益衝突的狀況,應降低這種可能。 
- 處理後的教訓學習與經驗傳承。