資安人雜誌 72 期 │ 2010 ( 11. 12. 月號 )

CMMI-ACQ 讓委外管理制度化---品質與安全兼顧
資安事件的發生,很多是因為當初系統委外時沒有做好管理工作,解決之道就是建立一套委外管理制度,控管委外開發流程,才能同時兼顧品質與安全。
 
第一篇:輕忽委外管理工作 小心埋下資安地雷

在專業分工、降低成本訴求下,愈來愈多企業接受資訊委外的作法,根據資策會 MIC 報告,資訊委外依據業務性質不同,可分成資訊科技管理委外 ( Information Technology Outsourcing, ITO ) 與企業流程管理委外 ( Business Process Outsourcing, BTO ) 兩種。

BPO 指的是企業將非核心的商業流程委外,例如:人力資源、客服中心、帳單列印等,至於 ITO 則是將與 IT 相關的業務委外,常見的 ITO 包括軟體租賃、應用系統開發設計、電腦設備維修管理、主機或郵件代管等項目

就目前應用狀況來看,企業對 IT 委外的接受度大於流程委外,而在所有 IT 委外項目中,以應用系統設計開發的委外最為普遍,委外過程中的專案管理也最為複雜,歷年來很多的資安事件,往往肇因於當初承辦委外專案時,採購者沒有評估得標廠商的技術能力、沒有控管委外開發流程、或是沒有審核廠商送交驗收的系統,導致資安風險一直潛藏在系統中,就像埋在地下未爆的地雷一樣,只要有人踩到就會爆發。

CMMI-ACQ 管理系統委外專案
究竟,企業該如何管理應用系統委外專案? 關鍵在於委外廠商從取得合約到完成系統間的流程管理,成大資訊工程系客座教授洪肇奎表示,一個好的委外專案,除了要有明確規格及優質廠商,企業本身也要進行全程的監控管理,不能只是驗收最後結果。然而,多數的應用系統委外專案卻不是如此,企業通常只做交貨驗收,沒有控管生產過程,或是專案進行中頻繁更動需求,進而增加委外廠商工作量、拉高成本、延宕交貨時間,甚至可能影響品質,導致委外專案很難如期、如質、如預算地完成。

面對資訊系統委外專案上的難題,SEI(卡內基美隆大學軟體工程學院 )在 2007 年 11 月公佈了 CMMI-ACQ 採購模式 ( CMMI-Acquisition Module ),這是一套適用於資訊採購的能力成熟度整合模式,協助有採購需求的企業提升委外專案品質,與過往眾人所熟知的CMMI標準不同。
早期的 CMMI 其實就是 CMMI-DEV 發展模式 ( CMMI-Development Module ),這是資服廠商用來提升產品開發能力的標準,台灣在 2005~2009 年間,共有 129 家企業通過 CMMI-DEV 認證,然而,只有資服廠商提升開發能力是不夠的,採購者在專案管理能力上的不足,反而增加資服廠商的作業負擔,無法發揮 CMMI-DEV 模式應有的價值,這也是 SEI 會推出 CMMI-ACQ 採購模式的原因,希望讓採購合約中的甲乙雙方能夠站在相同平台上,降低溝通難度,提昇委外專案如期、如質、如預算達成的機率。

相關精彩報導,盡在資安人雜誌第 72 期「 封面故事 」單元
s