IO 功能： 安全性程序 - 基本至標準化層級

本頁內容

簡介
需求： 安全性原則、風險評估、事件回應和資料安全性
檢查點： 安全性原則、風險評估、事件回應和資料安全性

簡介

安全性程序是基礎結構最佳化的關鍵元素，而基礎結構最佳化模型所強調的所有程序及技術，其設計準則必須包含安全性。下表列出在安全性程序中移至標準化層級的高層級挑戰、適用解決方案，以及優點。

最佳化的標準化層級要求貴組織具備已定義的程序，以進行風險管理、事件管理與回應，及應用程式測試。

需求： 安全性原則、風險評估、事件回應和資料安全性

對象

如果您目前沒有安全性原則、風險評估、事件回應和資料安全性的規劃，請閱讀本章節。

概觀

大部分組織都知道保護資料和資源，避免因遭竊、人為或電腦錯誤、惡意或任何其他事件造成遺失或損壞的重要性。您可以採取步驟以減少資料遺失或損壞的機會。您也可以建立原則和程序，以回應並盡可能降低資料遺失或毀損對您的 IT 環境所造成的影響。

階段 1： 評估

「評估階段」應判斷適合貴組織的安全性需求，以及目前已具備哪些程序。不同公司或組織的安全性需求可能非常不同，必須視其規模、產業或領域，地方法律或法規而定。收集組織的需求將有助於您定義適當的安全性程序。

階段 2： 識別

在「識別階段」，貴組織需檢視目前採用的工具和程序，並判斷貴組織的安全性需求為何。在這個階段，除了正在使用或可供使用的技術元件外，您還要收集目前非強制或已強制的安全性原則。視您所在的地區或產業之法律或法規而定，您也可能需收集其他外部法規遵循需求。

階段 3： 評估與規劃

移至最佳化的標準化層級之「評估與規劃」階段，其所強調的是改善特定區域。

安全性原則

若要建立有效的安全性原則與控制，您必須判斷電腦系統中的弱點並檢視保護這些弱點的安全性原則及控制項。檢視的範圍應包括缺乏原則的領域，並檢查目前的原則。這些領域其中包括：

• 實體電腦安全性原則，如實體存取控制。

• 網路安全性原則 (例如電子郵件和網際網路原則)。

• 資料安全性原則 (存取控制及完整性控制)。

• 緊急應變及災害復原計劃與測試。

• 電腦安全性認知及訓練。

• 電腦安全性管理及協調原則。

• 採購的軟體遵循要求。

貴組織應有專員負責審核及維護安全性原則，以及設定組織的安全性策略。

如需開發安全性原則的詳細資訊，請至 https://www.microsoft.com/technet/security/bestprac/bpent/sec1/secstrat.mspx (英文)。

風險評估

正式的安全性風險管理程序，可讓企業在已知且可以接受的企業風險範圍內，以最具成本效益的方式運作。正式的安全性風險管理程序，也可提供組織一致、清楚的方法，以組織和排列有限資源的優先順序以管理風險。當您實作了符合成本效益的控制措施，且將風險降低至可接受的程度時，就會意識到實施安全性風險管理的好處。

排列優先順序或評估風險的方法很多，但大部分都是以下列其中一種方法，或兩種的組合為基礎：

• 量化風險評估  

• 質化風險評估

量化風險評估

在量化風險評估中，您要評估每一個企業資產的實際價值，也就是以更換資產的成本、喪失生產力的成本、品牌聲譽的成本，以及其他直接和間接企業價值。您可以從這項分析衍生出下列項目：

• 資產的指定貨幣值。

• 完整的重大威脅清單。

• 各項威脅發生的可能性。

• 12 個月中各項威脅對公司可能造成的損失。

• 建議的防範措施、控制及行動。

質化風險評估

進行質化風險評估時，通常採用問卷調查和組織中不同部門成員參與的合作研討會二者相結合的方法，例如資訊安全專家、資訊技術經理和技術人員、企業資產擁有者和使用者，以及資深經理。

在研討會期間，參與者將識別資產並評估其相對價值。接下來他們會嘗試找出每項資產可能面臨的威脅，然後設想這些威脅在未來可能會惡意探索哪些類型的弱點。資訊安全專家和系統管理員通常會提出降低風險的控制方法供小組考量，並告知每項控制的大約成本。

最後，這些結果將呈報給管理階層供其在進行成本效益分析時參考。

如需這些風險評估方法的詳細資訊，請至 https://www.microsoft.com/technet/security/guidance/complianceandpolicies/secrisk/srsgch01.mspx (英文)。

事件回應

當安全性事件發生時，許多 IT 專業人員覺得他們唯一能夠做的就是儘快控制局勢、瞭解發生的問題，並且修復受影響的系統。部分專家可能會嘗試找出根本原因，但在極度的資源限制下，這似乎是望不可及的事情。雖然這種被動的方法可以是有效的策略，但在被動的方法中加入一些規定有助於各種類型的組織更加善用資源。貴組織可以利用適當的規劃，主動解決違反安全性的問題。

被動的方法

您必須解決每一個安全性事件，以減少對組織和資料的影響。下列步驟可協助您迅速而有效的管理安全性事件。

1. 保障人員生命和人身安全。
   如果受影響的電腦控制極為重要的設備，則關閉這些電腦並不是最好的作法。

2. 控制損害範圍。
   請立即保護重要的資料、軟體和硬體。隔離受影響的電腦和伺服器可能導致運算服務中斷，但維持系統運作卻可能導致損害擴大。您必須自行判斷。具備風險評估原則可讓您輕鬆作出決策。

3. 評估損害情形。
   立即在所有遭受攻擊的伺服器上進行硬碟複製，並妥善保存以備日後作為法證鑑定之用。然後評估損害情形。您應在控制局勢並備份硬碟之後，儘快開始判斷攻擊造成的損害程度。

4. 判斷損害原因。
   為查明攻擊的來源，您必須瞭解攻擊行動所針對之資源，以及哪些弱點遭到惡意探索以存取或中斷服務。檢查直接受影響的系統，以及流量的路由目標網路裝置上的系統設定、修補程式等級、系統記錄、稽核記錄以及稽核追蹤等資料。

5. 修復損害的部分。
   在大多數狀況下，儘快修復損害以恢復正常營運，同時復原攻擊時遺失的資料，是非常重要的。組織的業務持續性計畫及程序應包含還原策略。

6. 檢討回應和更新原則。
   完成存檔與復原階段後，應該徹底檢視執行的程序。與您的小組一起判斷順利執行的步驟，以及出了哪些錯誤。

主動的方法

主動式安全性風險管理比被動式方法具有更多優點。您可以一開始就將發生問題的可能性降到最低，而不是等著問題發生，然後在事後回應。您可以制定計畫，透過實作可降低因惡意軟體、攻擊者或意外誤用而導致弱點遭到惡意探索的風險控制，來保護組織內部的重要資產。

有效的主動式方法可以協助組織大幅減少未來安全性事件發生的次數，但是這類問題很可能不會完全消失。因此，組織應該持續改進事件回應程序，同時建立長遠的主動式方法。

在開發回應計劃時，您必須解決被動及主動的情形。之前所列的被動步驟必須配合主動的規劃。在準備主動的方法時，需要處理的主要範圍包括：

• 識別企業資產。

• 判斷針對資產的攻擊會對組織造成哪些損害。

• 識別攻擊可能惡意探索的安全性弱點。

• 判斷如何實作適當的控制來將遭受攻擊的風險降至最低。

資料安全性

IT 部門最重要的工作之一，就是確保公司資料的安全性。有幾個步驟可以將資料安全性移至標準化層級。

• 您應該在所有電腦上實作防毒控制。(請參閱本指南稍早的＜適用於桌上型電腦的防毒軟體＞一節)。

• 貴組織需要建立一致的原則，以分類敏感性資料。

• 您需要一致的程序以識別會洩露敏感性企業資料的安全性問題和威脅。

如需資料安全性的詳細資訊，請至 https://www.microsoft.com/technet/security/bestprac/bpent/sec3/datasec.mspx (英文)。

階段 4： 部署

在「部署階段」實作經過評估及核准的安全性程序改善措施。執行可用性測試是很重要的，因為這些測試是關於加強安全性原則和定期演習，以確保資料程序具備效率。

詳細資訊

如需開發事件回應計劃的詳細資訊，請至 https://www.microsoft.com/technet/security/guidance/disasterrecovery/responding_sec_incidents.mspx (英文)。

檢查點： 安全性原則、風險評估、事件回應和資料安全性

如果您已經完成上列步驟，則貴組織就已達到「安全性原則、風險評估、事件回應和資料安全性」標準化層級的最低要求。

建議您遵循 Microsoft TechNet 資訊安全中心中說明的其他安全性程序最佳作法。

移至下一個自我評估問題。