[分享] ISO 27001:2022 新增的控制措施 (6)

上一篇文章說明了在 ISO 27001:2022 的附錄A中，有關技術面的「A.8.11 資料遮蔽」和「A.8.12 資料洩露預防」，接下來說明本系列最後3個控制措施，分別是「A.8.16 監視活動 (Monitoring activities)」、「A.8.23 網頁過濾 (Web filtering)」以及「A.8.28 安全程式設計 (Secure coding)」的要求和實施重點。

A.8.16 監視活動

這項控制措施的要求是「應監視網路、系統及應用之異常行為，並採取適切措施，以評估潛在資訊安全事故」。若是從要求內容來看，我們需要實施監控的項目至少包括了網路、系統和應用程式的異常行為，但要如何確認有異常行為的發生呢？其實我們需要事先定義正常的行為基準 (baseline)。

舉例來說，大多數的機房都會進行溫度異常的監視，那麼該如何得知溫度有異常呢？首先就先要定義溫度正常的範圍基準，假設基準要求溫度需要維持在攝氏25度以下，那麼只要監控時發現機房溫度超過25度的情況，我們就會定義它是一個異常的事件 (event)，在進行通報之後，就要依據「A.5.25 資訊安全事件之評鑑及決策」的控制措施，進行損害的評估。

如果確認這已經是一個造成損害的事故 (incident)，那就需要再進一步依據「A.5.26 對資訊安全事故之回應」的控制措施，進行資安事故的處理，盡快地降低事故範圍的擴大並減輕造成的損害。所以在監視活動的實施方面，通常還需要結合事件通報和事故處理的流程，才能讓整體的資安控制更完整。

A.8.23 網頁過濾

這項控制措施的要求是「應管理對外部網站之存取，以降低暴露於惡意內容」。顯而易見的，這項控制措施的目的就是要降低有愈來愈多的惡意程式，都是感染至含有惡意內容的網站之風險。

實務方面，首先要建立使用者的上網行為規則，讓使用者有能力認知並避免瀏覽高風險的網站，接著還需要搭配技術面的管控機制，例如透過閘道端 (Gateway) 的上網行為管理設備，藉由啟用內建的一些高風險網站群組，限制組織內可上網瀏覽的網站。如果缺少這類設備的支援，也可以直接在防火牆上設定阻擋惡意網站IP的黑名單，只是它經常需要手動且及時的更新，才能達成阻擋過濾的效果。

A.8.28 安全程式設計

這項控制措施的要求是「軟體開發應施行安全程式設計原則」，目的是要確保在撰寫程式的過程中，能夠降低軟體中存在資安弱點的數量。

在實施方面，除了要先依據「A.8.25 安全開發生命週期」的要求，建立安全開發軟體的各個階段和過程的安全規則之外，還可以特別針對撰寫程式的開發人員，製作並提供給開發人員一份安全開發指南 (coding guideline)，讓開發人員可以清楚知道撰寫程式的安全準則，避免使用有弱點的語法或引用了不安全的第三方和開放原始碼的元件，建立一套安全編碼的方法。

當然，在安全開發指南的文件中，請盡量以淺顯易懂的方式，像是列舉一些正確寫法或錯誤的範例，讓開發人員願意來閱讀和遵循，可以更容易避開一些常見的安全漏洞 (ex. SQL Injection)。

(本系列完)

[分享] ISO 27001:2022 新增的控制措施 (5)

上一篇文章說明了在 ISO 27001:2022的附錄A中，有關技術面的「A.8.9 組態管理」 和「A.8.10 資訊刪除」，接下來說明剩下的5個控制措施中，有關「A.8.11 資料遮蔽 (Data masking)」和「A.8.12 資料洩露預防 (Data leakage prevention)」的要求和實施重點。

A.8.11 資料遮蔽

這項控制措施的要求是「應使用資料遮蔽，依組織關於存取控制之主題特定政策及其他相關的主題特定政策，以及營運要求事項，並將適用法令納入考量」。一般來說，需要進行遮蔽的資料，大多都是與個人資料 (PII) 有關，但實務上只要是敏感性資訊，都可以考量採取不同的技術來隱藏不想讓人得知的資料內容。

目前，針對資料遮蔽最常採取的做法有以下幾種方式：

• 擬匿名化 (pseudonymization) : 這種方式又叫做「假名化」，也就是使用別名或暱稱來取代原本可直接識別的當事人資訊。例如組織內部以員工編號取代姓名，或是在網路公開的討論區或社群媒體使用暱稱來替代真實的姓名。
• 匿名化 (anonymization)：一般也稱之為「去識別化」，也就是採取不可逆轉的方式，讓資訊無法再直接或間接的識別到特定的當事人。例如有一筆記錄顯示王小明中午喜歡吃排骨便當，若將姓名取代成為王OO，並且不保留原始記錄的資料，也確認無法再用併湊或比對的方式知道，原來中午喜歡吃排骨便當的人就是王小明，即可達成不可逆的去識別化的結果。

另外，將資訊中的某些數值進行「替換 (replace)」也是常見的方法，例如將信用卡簽單中的卡號部份數值取代為「*」，但在實施時必須考量所採取資料遮蔽方法的強度，是否可達成不被反解或猜中的目的。以卡號遮蔽方式來說，目前業界主要是參照 PCIDSS 標準的要求，將16位數字的卡號僅顯示前6碼和後4碼的方式，也就是遮蔽中間6碼數字。

A.8.12 資料洩露預防

這項控制措施要求「應將資料洩露預防措施，套用至處理、儲存或傳輸敏感性資訊之系統、網路及所有其他裝置」。在實務方面，對於資安防禦者 (Blue team) 來說，防止資料洩露是件說來簡單，但實施起來極為挑戰的工作。以居家安全為例，出門前您必須確保家中每一扇大大小小門窗和進入管道都要上鎖，只要有一個地方遺漏了，入侵者就可能利用這個小地方入侵成功，而且即使已上鎖了，還要考量上鎖的強度，是否足以抵擋外力的破壞。

雖然要達成資料洩露預防是件不容易的事，但標準告訴我們可以從三個層面的預防角度出發，也就針對「處理」、「儲存」及「傳輸」的資料，對應採取防範的措施。

針對處理中的資料，大部份的組織都是透過資訊處理設施和端點裝置來進行，所以針對實體資料處理的埸域，像是辦公室、機房，都可以藉由ISO 27001 A.7 各項實體控制措施 (例如門禁、CCTV等) 來達成防護。針對使用者的端點裝置，也可利用 「A.8.1使用者端點裝置」 的控管要求，來防範資料的洩露。

至於儲存中的資料，組織需要透過資訊資產的盤點清查 (A.5.9 資訊及其他相關聯資產之清冊)，了解有哪些資料儲存的地點和方式，包括線上儲存的資料庫、NAS、雲端儲存空間等，到離線儲存的資料 (例如磁帶、光碟等儲存媒體)，再實施對應的保護機制 (例如存取權限、加密)。

而針對傳輸中的資料，則是要評估組織目前對內或對外，有哪些傳輸的管道和方式 (包括電子和實體傳輸)，再依據「A.5.14 資訊傳送」控制措施的要求，確保資訊傳送過程中的安全。

最後，資料洩露預防單靠管理程序和人力是難以達成的，組織還可以考量使用資料洩露預防相關技術工具，進一步強化以下三個階段的防護措施 - 識別 (發生前保護)、偵測 (發生中得知) 及矯正 (發生後阻擋)，才可以有足夠的能力達成資料洩露預防的目標。

(待續...)

[分享] ISO 27001:2022 新增的控制措施 (4)

在 ISO 27001:2022的附錄A中，一共有四個控制領域，分別是「組織、人員、實體和技術」，若是和舊版標準相比，在組織面新增了3個控制措施，在人員面沒有新增，在實體方面則新增了1個。

以上三個層面新增的控制措施重點和實施做法，在前三篇文章中都已分享，接下來將陸續說明在技術面新增的7個控制措施。

A.8.9 組態管理

組態管理 (Configuration management) 不是一個新的概念，早在以前曾經流行過的「ITIL」和 ISO 20000 標準中，針對IT服務的管理要求，組態管理就扮演了重要的角色。那到底什麼叫做組態？簡單白話的說法就是設定或配置，它可以用來確保和IT有關的服務能夠正常地運作。

在ISO 27001的組態管理控制措施中，要求「應建立、書面記錄、實作、監視並審查硬體、軟體、服務及網路之組態 (包括安全組態)」。所以在實施方面，組織就必須建立一個過程，以文件化的方式來管理包括硬體、軟體、服務及網路等四個層面有關安全的設定和配置。

對組織而言，基本上就是要先建立硬體、軟體、服務及網路組態的安全基準 (baseline) 或範本 (template)，這部份可以參考公開的指引 ，例如由資安院提供的政府組態基準 (GCB)，或是參考由IT供應商所提供的安全設定規範。

如果組織有資源，可以進一步考慮建立一個「組態管理資料庫 (Configuration Management Database, CMDB)」，藉此來管理所有和資安有關的硬體、軟體、服務及網路的基本組態，並且記錄異動後的組態設定，再搭配相關工具來達成組態的監視 (Monitor) 和審查 (Review)。

如果組織沒有足夠的資源，則可以結合既有的資訊資產管理過程，利用資產清冊來盤點和記錄有關硬體、軟體、服務及網路組態的安全設定，在建立基本的安全組態要求之後，後續再搭配變更管理的過程來實現組態管理和留存組態異動的記錄。

A.8.10 資訊刪除

接下來在技術面新增的三個控制措施 (A.8.10, A.8.11, A.8.12)，主要都和資訊隱私保護 (Privacy) 有關。

資訊刪除 (Information deletion) 的控制要求是「當於資訊系統、裝置或所有其他儲存媒體中之資訊不再屬必要時，應刪除之」，主要目的就是讓組織能避免因保留了不必要的敏感性資訊，遭到未經授權存取而影響了資訊的機密性。

不過，在實務方面常遇到的問題是，組織到底要如何去確認「資訊已不再屬必要？」個人鼓勵可以從以下兩個角度來評估資訊是否可以進行刪除。

• 資訊已過保留期限：這個做法的前提是組織必須清楚定義各項資訊的保留期限，尤其是針對許多以前認為要永久保存的資訊，應該考量法令法規的要求，或是業務上實際的需要，定出一個適當的保留期限，之後才能依據是否已過期了，進行資訊的刪除。
• 當初蒐集、處理及利用的目的已不存在：這類資訊主要是和個人資料有關，如果這些個人資料已經沒有當初蒐集時，告知當事人在蒐集之後和目的有關的活動，也沒有法規要求需要保留的必要性，組織就應該主動的進行刪除。

最後，組織在進行資訊刪除時，需要考量針對不同類型的資訊 (電子檔案或紙本文件) 所儲存的媒體 ，採取有效的刪除方法，並且記錄刪除的過程作為佐證的記錄。如果有委託供應商進行大批的資料銷毀，也要進行過程中的監督和確認，並保存適當的銷毀記錄。

(待續...)