觀點

借鏡日本:數位轉型,資安長也要轉型

2022 / 03 / 30
編輯部
借鏡日本:數位轉型,資安長也要轉型
微軟於今年開始每季分享Cyber Signal Report,在首季報告中揭露去年僅僅11月至12月,企業就遭受到8,300萬次攻擊,駭客入侵企業取得身份識別及橫向攻擊,已成為攻擊新標的,更凸顯出企業身份識別安全的重要性。

台灣微軟 Microsoft 365 事業部副總經理朱以方表示:「企業只要部署基本的網路安全,即可防範98%資安攻擊。這些防護包括執行多因素驗證、保持系統最新版本與落實安全性更新、執行最小存取權限原則及進行資料保護等。」

DX with Security 數位轉型和資安要同步

同樣是製造大國的日本,數位轉型的同時,對於網路安全也是高度重視。 JCIC (Japan Cybersecurity Innovation Committee日本網路安全創新委員會) 主席梶浦敏範先生分享日本政府的資安戰略。

「日本政府提出針對全體人員資訊安全對應(cybersecurity for all),包含推動數位轉型、資安議題、安全保障計畫等,以及最重要的資安意識養成。另有針對企業經營資安的手冊,以簡而易懂的案例方式向企業說明資安的重要性,以及如何部署資安。」

日本政府鼓勵企業,數位轉型和資安要同步進行。數位轉型過程中,數據持續發展新的應用方式,就會有資安風險出現,資安長的角色和職責也從守備擴展到商業模式上,企業若將數位轉型視為獲利來源,資安即為必要之投資。

此外,日本產業成立『供應鏈網路安全聯盟』,聯盟核心成員超過180個組織,目的是提升中小企業資安意識,並讓他們和大型企業交流討論。
 JCIC 日本網路安全創新委員會主席梶浦敏範先生(右上) 、微軟亞洲首席資安官花村実(左上)、台灣微軟 Microsoft 365 事業部副總經理朱以方(左下)

CISO資安長的轉變

台灣上市櫃公司被要求依據營運規模,配置一定比例的資安人員。梶浦敏範表示,日本政府並沒有強制規定企業要設立資安長,但是目前多半的大型日商皆設有相關的職位以促進企業的資安防禦。

數位轉型時代下,梶浦敏範提出資安長「2.0版」。

「『1.0版資安長』以防禦為導向,找出資安風險、制定資安計畫、對應資安事件,以及對外的資安報告等,現在資安長『2.0版』,是攻擊型的資安長,主要接觸和業務有關,與事業核心有關,幫助經營者與顧客、市場及股東說明資安投資、預測資安風險,改革並引導企業資安方針。」

微軟亞洲首席資安官花村実則認為資安長和資安團隊,會隨著經營者的決策與企業文化,而提升其權限和成熟度,當資安長能以業務和戰略為導向,將能有效抑止企業面臨資安風險。

朱以方提醒資安防護不只是CISO/CIO的工作,而是每位員工的責任。「資安防護最大的敵人為人,企業除了技術政策的制定,培養內部人員的資安素養更是當務之急。」
數位轉型時代下,梶浦敏範提出資安長「2.0版」。

資安要聯盟聯防

在過去的一年,網路犯罪經濟蓬勃發展。如全新的勒索軟體模式已擴大成企業型規模,結合攻擊技術和勒索商業模式,人為操作的勒索軟體改變了資安動向,若企業忽視勒索軟體的風險,將面臨組織潰散與營運損失的修復成本。

微軟認為透明度和訊息共享對於保護生態系統至關重要,資安人員需要對他們正在防禦的威脅,隨時取得多樣化和及時的洞察。因此,資安訊息的透明與共享顯得更為重要。

除大型企業外,中小企業也須關注資安。然而在資源有限的情況下,中小企業如何作資安?花村実建議中小企業可以關注雲端平台部署資安解決方案。

「透過可信賴的雲端平台,能有效節省龐大的人力、硬體投資與維護成本,且能確保隨時擁有最新的資安防護版本。」微軟在5年前即擴大資安相關投資至200億美元,結合人員、流程和技術,透過持續監控數百萬網路活動記錄、安全事件訊息,更新使用者行為分析,即時檢測並統計異常,幫助識別潛在的危害發生。

因應年初金管會公布強化上市櫃公司對資安防護,要求台灣上市櫃公司設立資安長與資安專責團隊,台灣微軟在4月將為企業啟動 CISO Salon 計劃,讓企業的資安團隊藉由此平台齊聚學習、交流與分享,內容涵蓋技術法規、市場趨勢,及人才培育。隨著台灣微軟資料中心落地,企業擁抱雲端、數位轉型之際,更應該擁有最新的資安技術與團隊,提升台灣產業對抗資安攻擊。