歡迎登入資安人
若您還不是會員,請點選下方加入會員
忘記密碼
加入資安人會員
登入
新聞
觀點
專題
解決方案
活動
訂閱電子報
資安人粉絲團
聯絡我們
關於我們
合作詢問
隱私權政策
香港商法蘭克福展覽有限公司台灣傳媒分公司
110 台北市信義區市民大道六段288號8F
886-2-8729-1099
新聞
觀點
專題
解決方案
活動
訂閱電子報
登入
登入
訂閱電子報
新聞
觀點
專題
解決方案
活動
觀點
您現在位置 : 首頁 >
觀點
委外查核案 –希望這僅是個案
2015 / 05 / 25
編輯部
一大清早在混沌模式下進入公司,還沒有回神過來就接到高階主管秘書的電話,說要找個時間談談之前的一件委外查核案,心中覺得百般納悶,什麼時候公司開始這麼重視資安,連不屬於督導管轄的高階主管都開始有興趣,反正再多的猜測,還不如坦然面對,就這樣進入了主管辦公室。
「你之前有去查過某某公司,還有出了一份查核報告?」
「對啊,那是我們年度抽核的委外廠商,今年度我們對這家公司進行實際查核,在查核完後就產生了這份報告。」
「那你報告中是不是有說到另外一家A廠商也有缺失?」
「另外一家廠商? 這不是我查核的範圍,我沒有寫這條缺失。唯一有可能的,其中有一項查核發現,是這家委外廠商對於委外開發程式的廠商,沒有依合約要求,提供原始碼檢測的報告,並且有發現程式開發廠商,沒有完整的測試紀錄,這才有可能提到其他廠商,但我不確認是不是就是A廠商,這可能要回去後看了資料才知道。」
「應該就是這一項,你知不知道你不應該寫這一條?」
「這是委外廠商沒有做好管控,我不清楚為什麼這條不能列出?」
「你知道嗎,A廠商是我們其中一位大股東投資的,在你的查核報告出來後,我們的委外廠商就拿了你的查核報告,要求A公司針對合約中所列的項目,逐條實行,並且要補相關的資料。這也就算了,還依照合約對A廠商進行懲處。這件事情不曉得怎麼在業界傳開了,A公司另外一個案子就沒拿到,後來才弄清楚原來是我們出的報告,大股東就非常不高興,認為我們在拆他的台,現在要我們針對這件事情進行補救。」
「我的查核報告上又沒有提到A公司的名子,要如何補救?」
「這我就不知道了,看是不是再出一份報告,然後把這條拿掉,或是說你誤查,其實A公司都有依照合約執行,反正就是要幫A公司解套,免得同樣的狀況下次再發生。」
第一次寫查核報告寫得如此心灰意冷,我只知道在查核過程中,針對查核範圍內所觀察到事項記錄在報告中,怎麼知道背後那些權利分配與關係。更何況被發現到沒有做的地方,如果是我,應該趕快去思考解決方案,並且避免再次發生,怎麼會只想到透過高階的關係,去把自己的缺失給掩蓋掉,甚至於將毫不相關的事件一併牽扯進來?反正千錯萬錯都是別人的錯,要不就是要求太多,要不就是環境不適用,只要沒出事都好說。如果大家都是這種心態,那遲早有一天會出大事。我現在也只能希望這僅是個案,只是我不知道要如何收拾這個善後。
稽核
資安人員
最新活動
2025.02.19
2025資安365年會
2025.02.11
【2025 叡揚資安趨勢講堂】
2025.02.15
2025年ipas資訊安全工程師(初級/中級)-能力培訓班
看更多活動
大家都在看
Cloudflare CDN漏洞恐洩露用戶位置資訊
思科修補Meeting Management重大權限漏洞,可導致遠端提權攻擊
美國制裁中國資安公司涉及「鹽颱風」駭客集團入侵事件
Cloudflare緩解史上最大規模5.6Tbps DDoS攻擊,台灣是攻擊熱區
Sophos : 新俄羅斯攻擊行動濫用 Microsoft Teams 、遠端管理工具竊取資料與勒索軟體攻擊
資安人科技網
文章推薦
鎖定華語使用者!假Chrome下載網站散布ValleyRAT木馬程式
Microsoft Outlook發現嚴重RCE漏洞,已遭駭客利用攻擊
駭客利用 SimpleHelp RMM 漏洞發動持續性攻擊與勒索軟體入侵