因應法規 資安監控中心增多

再過5個月，政府的A級單位就必須完成資安監控中心的建置工作。不少政府單位與民間企業，面臨諸如此類的法令規範，都在逐步增建資安監控中心（Security Operation Center，SOC）。而以往一直讓企業倍感困擾的抉擇問題：自行建置或全盤委外，則有了另一種兼顧的做法出現。

行政院研考會資訊管理處處長何全德表示，對於A級單位執行SOC以及取得相關資安認證，政府政策不會有所改變，在今年底之前，所有政府A級單位必須符合這些政策規範。

臺灣郵政是第一個完成資安監控中心委外的A級單位，臺灣郵政資訊處長呂平佑表示，公家機關的資訊人力普遍不足，藉由資安監控中心委外可以解決這個問題。過去2年來，臺灣郵政在落實每月完整的綜合評估報告和每半年的檢討會之下，已經循序漸進的改善臺灣郵政的資安環境。呂平佑說：「這兩年下來，駭客入侵成功的比例已經降到最低，這樣的成效驅使臺灣郵政持續進行資安監控委外。」

中華電信網際網路處指出，政府機關和金融業，採取全權委託SOC代管的比例有增高的趨勢，其他行業並不明顯。臺灣網威（Novell）總經理陳學智表示，高科技製造業為了要配合國外廠商，必須符合相關資安法規的規範──如美國的沙賓法案（Sarbans-Oxley Act），自年初開始，建置資安監控中心的數量逐漸在增加。

除了自建資安監控中心與採取委外服務，目前還有一種協同維運、分時代管的型態出現。陳學智表示，某些政府部門採取上班時間由IT部門自己監控，下班時間或假期，則委託SOC監控服務廠商負責。關貿網路營運服務部經理葉福基認為，協同維運、分時代管的資安監控模式，在資安事件處置的責任歸屬上容易有爭議。

宏碁eDC安全技術與管理處長顧寶裕認為：「未來，不論企業採取資安監控全盤委外代管或協同維運、分時代管的模式，在數量上都會遠超過企業自建資安監控中心。」他表示，資安監控人力的補充是長期營運的關鍵。企業稍加訓練網管人員，或可維持全天候第一線的資安事件監控與處理，但完整的SOC機制還必須包含位處第二線與第三線的資安事件分析、鑑識人員，然而企業普遍缺乏SOC服務廠商必備的此類資安專業人才。

「資安是信任的產業，」顧寶裕表示，只有在充分信任之下，企業才會願意將委外監控管理的權限範圍進一步擴大。他今年到美國考察發現，近7成大企業願意將資安監控的權限大幅委由SOC廠商處理，他說：「甚至SOC服務廠商還可以透過跳板主機，立即為代管企業處理資安事件。」文⊙黃彥棻