Share via

IO 功能： 安全性程序 - 標準化至合理化層級

  • 發行項
本頁內容

簡介 簡介
需求： 雙重要素使用者驗證、採購新軟體的標準安全性審查，以及資料分類程序 需求： 雙重要素使用者驗證、採購新軟體的標準安全性審查，以及資料分類程序

簡介

安全性程序是基礎結構最佳化的關鍵元素，而基礎結構最佳化模型所強調的所有程序及技術，其設計準則必須包含安全性。下表列出在安全性程序中移至合理化層級的高層級挑戰、適用解決方案，以及優點。

挑戰

解決方案

優點

業務挑戰

缺乏一致的風險評估程序

雖有事件回應計畫，但未充分列入正式記錄

僅使用標準的身份保護技術

IT 挑戰

電腦的安全性有限

未將所有網路連線 IT 資產的安全性更新程序列入正式記錄

專案

繼續最佳化深度防禦安全性原則

開發及實作雙重要素身分識別與存取管理原則

開發程序以管理對所有取得或開發的軟體安全性需求進行的測試  

建立標準且可重複使用的程序以分類機密資料

業務效益

問題與事件減少，剩餘發生的案例也加快解決

不分裝置類型，提高資訊安全性和識別保護有助於避免企業遭到威脅

IT 優勢

自動化服務與工具可釋出資源，以便實作新服務或最佳化現有服務

主動的 IT 作業可提早解決問題，避免降低使用者生產力

最佳化的合理化層級要求貴組織具備已定義的程序，以進行風險管理、事件管理與回應，及應用程式測試。

需求： 雙重要素使用者驗證、採購新軟體的標準安全性審查，以及資料分類程序

對象

如果您目前沒有安全性原則、風險評估、事件回應和資料安全性的規劃，請閱讀本章節。

概觀

大部分組織都知道保護資料和資源，避免因遭竊、人為或電腦錯誤、惡意或任何其他事件造成遺失或損壞的重要性。您可以採取步驟以減少資料遺失或損壞的機會。您也可以建立原則和程序，以回應並盡可能降低資料遺失或毀損對您的 IT 環境所造成的影響。本指南中的合理化層級與核心基礎結構最佳化線上自我評估 (英文) 的內容稍有差異，著重在下列主題： 雙重要素使用者驗證、新資產的標準安全性審查，以及資料分類程序。

階段 1： 評估

「評估」階段應判斷適合貴組織的安全性需求，以及目前已具備哪些程序。不同公司或組織的安全性需求可能非常不同，必須視其規模、產業或領域，或地方法律及法規而定。收集組織的需求將有助於您定義適當的安全性程序。

階段 2： 識別

在「識別」階段，貴組織需檢視目前採用的工具和程序，並判斷貴組織的安全性需求為何。在這個階段，除了正在使用或可供使用的技術元件外，您還要收集目前非強制或已強制的安全性原則。視您所在的地區或產業之法律或法規而定，您也可能需收集其他外部法規遵循需求。

階段 3： 評估與規劃

移至最佳化的合理化層級之「評估與規劃」階段，其所強調的是改善特定區域。

雙重要素驗證

單一機密 (如密碼) 可能是有效的安全控管機制。由十個字元以上的隨機字母、數字及特殊字元組成的長密碼可能很難破解。不幸的是，使用者無法牢牢記住這種類型的密碼，其中部分的原因可能要歸因於人類的先天限制。

雙重要素驗證系統要求提供第二個機密，以克服單一機密驗證的問題。雙重要素驗證使用下列項目的組合：

  • 使用者擁有的物品，如硬體權杖或智慧卡。

  • 使用者知道的資訊，例如個人識別碼 (PIN)。

智慧卡及其關聯的 PIN 是一種愈來愈普遍的雙重要素驗證形式，不僅可靠，且兼具成本效益。若設置適當的控管機制，使用者就必須擁有智慧卡並知道 PIN 才能存取網路資源。要求雙重要素驗證可大幅減少組織網路遭未經授權人士存取的可能性。

智慧卡在兩種情況下可提供極為有效的安全性控制： 保護系統管理員帳戶及保護遠端存取。本指南將著重於這兩種情況，將其視為優先建置智慧卡的區塊。

因為系統管理員層級帳戶擁有廣泛的使用者權限，一旦任何這類帳戶遭到入侵，便可能讓入侵者取得所有網路資源的存取權限。妥善保護系統管理員層級存取權限極為重要，因為網域系統管理員層級的帳戶認證資訊遭竊將會危及網域或甚至整個樹系及其他任何信任樹系的完整性。雙重要素驗證是系統管理員驗證的必要條件。

企業組織若為必須透過遠端連線存取網路資源的使用者建置智慧卡，便能提供額外一層重要的安全措施。雙重要素驗證對遠端使用者尤其重要，因為不可能針對遠端連線提供任何形式的實體存取控制。包含智慧卡的雙重要素驗證可提升透過虛擬私人網路 (VPN) 連結的遠端使用者驗證程序的安全性。

如需雙重要素驗證的詳細資訊，請造訪 https://www.microsoft.com/technet/security/guidance/networksecurity/securesmartcards/default.mspx (英文)。

採購新軟體的標準安全性審查

在合理化層級，組織所採購的軟體一律必須遵循具備標準安全性審查的計畫。有關對 IT 系統執行安全性審查的最佳作法程序概述請見 ISO/IEC 17799:2005 資訊技術 -- 安全性技術 -- Code of Practice for Information Security Management (資訊安全管理作業規範) (英文) 標準。ISO/IEC 17799:2005 訂定了資訊系統採購、開發與維護的準則和一般原則，包括：

  • 資訊系統的安全性需求。

  • 應用程式系統中的正確處理程序。

  • 密碼編譯控制。

  • 系統檔案的安全性。

  • 開發與支援程序的安全性。

  • 技術弱點管理。

如需關於標準與取得說明文件的詳細資訊，請造訪 ISO/IEC 17799:2005 資訊技術 -- 安全性技術 -- Code of Practice for Information Security Management (資訊安全管理作業規範) (英文) 網站。

資料分類程序

資料分類與保護是關於如何對系統或傳輸中的資料套用安全性分類層級。此解決方案類別也處理在為靜止或傳輸中的資料提供機密性和完整性等方面的資料保護作業。密碼編譯解決方案是企業組織用於提供資料保護最常見的方法。

法規遵循的影響

資料分類對法規遵循來說非常重要，因為能讓使用者知道什麼層級指出資料的相對重要性、必須如何處理資料，和必須如何保護和處置資料。高、中，和低是指出資料對企業相對影響的一般資料分類範例。軍事分類系統的最高機密、機密、保密，和未分類可能也適用於某些組織。

所有法規遵循準則都要求機密資訊無論靜止或傳輸中，都必須實施檔案保護和加密。法規遵循程序會產生大量的機密資料，主要使用非結構化應用程式，例如 Microsoft Office Word 和 Office Excel 檔案。這種法規遵循資料的控制與保護非常的重要，因為其中含有組織已知弱點的完整細節。

Microsoft 資源

Microsoft 針對資料分類與資料保護提供了許多資源。例如，結合運用了延伸 Microsoft Office 2003 應用程式和 Microsoft Internet Explorer 中之 Windows Rights Management Services 的資料版權管理 (IRM)，以及 Windows Rights Management Services (RMS) 技術，協助您為組織內的資料進行分類與保護。RMS 套用加密型的原則導向保護功能，隨著資訊而存在。

其他資料保護技術解決方案的範例還包括：網際網路通訊協定安全性 (IPsec) 和加密檔案系統 (EFS)。IPsec 提供 IP 流量的資料完整性與加密功能，EFS 則為 Microsoft Windows 2000 Server、Windows XP Professional 和 Windows Server 2003 檔案系統中所儲存的檔案加密。Microsoft 為這些資料分類與保護解決方案提供了下列指引：

階段 4： 部署

在「部署」階段實作經過評估和核可的安全性程序改善措施。執行可用性測試是很重要的，因為這些測試是關於加強安全性原則和定期演習，以確保資料程序具備效率。

詳細資訊

如需開發安全性作業和程序標準的詳細資訊，請造訪 Microsoft TechNet 上的安全性指引入口網站：https://www.microsoft.com/technet/security/guidance (英文)。

檢查點： 雙重要素使用者驗證、採購新軟體的標準安全性審查，以及資料分類程序

需求

 

開發及實作雙重要素身分識別與存取管理原則。

 

開發程序以管理對所有取得或開發的軟體安全性需求進行的測試。  

 

建立標準且可重複使用的程序以分類機密資料。

如果您已經完成上列步驟，則貴組織就已達到「雙重要素使用者驗證、採購新軟體的標準安全性審查，以及資料分類程序」合理化層級的最低要求。

建議您遵循 Microsoft TechNet 資訊安全中心中說明的其他安全性程序最佳作法。

移至下一個自我評估問題。