為落實企業資安規畫,臺灣已有企業看重資安成熟度,例如國內封測大廠日月光投控就是例子,他們藉由導入NIST CSF資安框架,推動全面的網路安全規畫並定期改進。

過去企業組織推動落實資安,導入資訊安全管理制度已是常見的作法,但隨著資通訊科技發展,及資安威脅趨勢變化,除了內部資通安全稽核、相關資安演練,資安成熟度自評也是重要的概念。

特別是在這兩三年來,資安成熟度的概念已經越來越浮上檯面,在我們之前也介紹過的資安框架與標準中,其實就有資安成熟度的展現。例如,近年當紅的資安框架,就是由美國NIST推出的Cybersecurity Framework(CSF),最新為2018年推出的1.1版,供美國政府與民間企業能從五大面向,包括辨識、防護、偵測、應變到復原,評估自身防護程度與能力,而其核心精神,就是一個能夠持續運作的成熟度評估框架。

而由英國國家標準協會推出的BS 31111:2018,同樣強調掌握自我安全成熟度現況,能提供組織高層對風險決策方向,並強化對資安事件威脅的韌性。

還有像是,由澳洲政府發展出的網路攻擊減緩八大策略──ACSC Essential Eight,當中也定義了5個成熟度層級,要讓各組織在每種緩解策略中,都能達到安全基準,進而提升更高安全層級。

資安成熟度將在臺灣產業間發酵

資安成熟度的觀念,其實已經在臺灣慢慢成形,甚至變成2021年的焦點。

舉例來說,我國政府為落實資安,早已在持續推動這樣的概念。例如在7年前,國家資通安全發展就計畫輔導部分政府機關,試行導入資安治理成熟度評估模式,多年下來,推動規模已經越來越擴大,而在2020年的規畫中,已是推動所有A級政府機關,都落實資安治理成熟度自評,並達到成熟度第3級以上。

對於國內企業而言,也有一些公司公開表示他們重視這樣的概念。封測大廠日月光投控就是一例,他們在自家官網率先揭露了公司資安作為,強調注重資安成熟度評量,並指出他們是透過導入NIST CSF,作為落實企業資安規畫第一步,並定期制定改進計畫。國內電信龍頭中華電信也有行動,他們在官網揭露其資安與個資風險管理機制,是參考NIST CSF,並會衡量資安治理成熟度。

只是,現在仍有許多企業可能還不知該如何著手強化資安,亦沒有資安成熟度的概念。不過,近期我們看到國內已有政策要將此一概念,推動到國內各產業,尤其是製造業與金融業。

舉例來說,在2020年9月,經濟部工業局旗下工研院打造的資安整合服務平臺Secpaas,就推出「資安成熟度評級服務」,目的就是希望促進國內產業在強化資安時,可以藉此找到方向。

同時,金管會在2020年8月提出的金融資安行動方案,新增措施中也包括相關事項,例如,要研議訂定金融機構資安治理成熟度評估方法,並鼓勵金融機構辦理資安治理成熟度評估。

另外,除了上述政府機關與大型企業,對於國內普遍的中小企業而言,資安成熟度的概念同樣能帶來幫助。畢竟,資安重要性已不言而喻,當在擬定資安強化策略時,已有許多資安框架與標準可以參考,而資安成熟度是重要概念,讓企業能自評現況並設定目標,讓提升資安能夠有方向地持續精進。

成熟度模型應用於資安的面向廣

還有更多成熟度模型在不同資安面向的應用,也很值得關注。

例如,美國國防部對於競標承包商的管理,在2020年推出了網路安全成熟度模型認證── Cybersecurity Maturity Model Certification(CMMC),最大重點就是要求今後的承包商,須經由美國防部授權的第三方評估單位,取得專案相應等級的安全認證;還有像是微軟在談零信任時,不僅是從六大要項切入,包括身分、設備、應用程式、資料、基礎設施與網路,同時定義三個層級的成熟度等級,讓企業在建立零信任的管理機制上,能有階段性的安全改進目標。

另一方面,對於資安策略的規畫,在資安成熟度的概念之外,資安標準與框架的活用也成焦點。例如,近年Cyber Defense Matrix(CDM)正受到重視,在近年美國舉行的RSA大會上,都有分享這樣的議題,而在2020年,臺灣也提倡這樣的概念,包括戴夫寇爾執行長翁浩正、奧義智慧創辦人邱銘彰等,都在公開演講上說明CDM的好處,因為它是有助於剖繪企業防禦範圍的矩陣,而且搭配其他資安框架做到靈活應用後,同樣有助於擬定資安策略。

熱門新聞

Advertisement