BSI揭露2019下半年最新国际资安动态，资安与隐私保护成全球企业永续经营评比要点
随着网络攻击风险威胁不断，对于台湾企业和组织而言，导入资安标准来落实资安，已经是管理面不可或缺的一大关键。在今年的英国标准协会（BSI）举办的国际资安标准年会上，他们揭露了2019年的国际资安现况观察，以及资安隐私标准的新趋势。
网络安全与隐私保护成企业永续经营指标之一
近年来，资安对于企业经营的重要性，不言而喻。在这次国际标准年会上，BSI台湾总经理蒲树盛指出，资安已成为企业永续经营重要指标，根据道琼永续指数（DJSI）年度调查，对于资安与隐私保护的更加重视，就可以看出端倪。
道琼永续指数是什么？它是个永续经营的投资评比指标，由美国道琼指数公司与瑞士资产管理公司RobecoSAM合作，每年在全球挑选3,500家企业参加评选，透过经济、社会、环境这3大面向的问卷评比，检视企业经营体质，今年台湾有99家被邀请，最终共有23家企业入选，比去年多了2家。
与往年不同的是，蒲树盛指出，在今年道琼永续指数的问卷中，有一半以上的问题，是聚焦在资讯安全与个资隐私，值得企业持续关切。
事实上，这已经是我们第三次听到蒲树盛，提到道琼永续指数与网络安全的关系，在9月我们进行NIST网络安全框架（CSF）报导的专访，以及以NIST CSF为主题的CyberSec 101研讨会上，他都强调了此事的重要性。
对于今年问卷增加网络安全和系统稳定性，以及隐私保护两个题组。例如，公司对于IT系统故障与资安事件，是否能够做出适当反应；以及公司在隐私政策的覆盖范围，并确保政策上具备有效实施的机制。BSI台湾分公司首席运营官谢君豪在后续的议程中，也提出说明。他认为，这样的态势其实相当合理，因为，若是企业的资安跟隐私保护做得不好，其实也就代表，企业无法善尽自己该做的责任，而这在整体经济面上，可能会带来冲击。
无论如何，对于道琼永续指数的评比，台湾企业可视为自我体检与衡量时的高标准。而从BSI的说明中，我们了解到，评比机构对资安管理与隐私保护的重视程度，将变得明确。
对于道琼永续指数（DJSI）年度调查，BSI指出今年最大的变化，就是在于资安与网络安全和系统稳定性，以及隐私保护两个题组。（摄影／罗正汉）
ISO/IEC 27001仍是基础，并可透过NIST CSF强化
在这次大会中，另一个值得关注的焦点，是未来国际资安标准的走向。BSI也趁此机会，说明近期值得关注的各项趋势，组织若要考量如何提升资安治理时，将可作为参考。
对于在国际网络安全标准的发展趋势，谢君豪分析了相关现况。他先从世界经济论坛（WEF）全球风险报告，从当中揭露的资安威胁谈起－－网络攻击的威胁持续处于严峻的态势，在国际三大区域东亚与太平洋、欧洲与北美，网络攻击都是排在第一或第二。同时，在国际资安标准方面，近年在大数据、区块链、物联网、医疗装置、自驾车与网络的安全方面，都出现许多正在制定的标准及指引，像是与大数据安全的ISO/IEC 27045，区块链隐私与PII保护的ISO/DTR 23244，以及物联网安全与隐私的ISO/IEC 27030等，然而，当中多属于参考性质，不能验证。
以现况而言，在网络安全与隐私保护方面，仍是企业主要关注面向。首先，在网络安全的管理优化上，谢君豪鼓励企业，以ISO/IEC 27001安控措施作为基础，并可参考NIST网络安全框架的要求，进行整体性优化，从识别、保护、侦测、回应与复原5大面向，做好必要的控管，下一步，再以提升资安治理成熟度为方向。
而在做完NIST CSF之后，下一步，他认为资安保险ISO/IEC 27012的指引，将很有帮助，若企业要透过买保险来降低风险，当中提供了相当多实用的建议，即便产险公司要设计资安保险也能从中参考。不过，谢君豪也指出，资安保险在台湾受重视程度不足，因为国内企业资安事件发生时，不论在是通报主管机关、告知客户的落实，以及提供赔偿服务方面，都与国外有很大差距。
以ISO 27001而言，它是目前国际公认的资讯安全管理体系，能让组织建立完整的管理制度，并从风险的角度实施所需的控制措施。对于已经导入像是ISO 27001的组织，能在借由NIST网络安全框架的控制类别，与成熟度评估的方式，进一步强化网络安全。（摄影／罗正汉）
今年资安标准新焦点是ISO/IEC 27701
关于隐私保护方面，蒲树盛表示，现在全球132个国家有隐私保护法案，因此几乎主要国家都有相关法案，以法律遵循的角度来看，企业势必都要遵守，但是，要用哪一项标准来涵盖这些法遵事项？今年新推出的ISO/IEC 27701，着重隐私资讯管理，就是焦点。
对于隐私保护标准的导入，谢君豪也具体说明。他指出，BS 10012最新版是最具参考的指标，原因在于，该标准针对搜集、处理、利用方面，都有完整的保护，最符合GDPR的精神。若是企业觉得不足，他也建议可以参考其他的标准，包括针对资通讯系统隐私权框架保护的ISO/IEC 29100，以及ISO/IEC 27000系列，其中ISO/IEC 27701是重点。
根据谢君豪的说明，ISO/IEC 27701是ISO/IEC 27001，以及ISO/IEC 27002的扩展，并加上ISO/IEC 29100所设计出来的，能对应一些国际标准与指引。他强调，这项标准整合了参考用的内容，以及验证用的要求，因此可以被验证。
企业若要快速找出导入ISO/IEC 27701的重点，谢君豪建议，应研究其中的附录A与附录B，可作为企业在依循时的关键，这里分别针对PII控制者与处理者，说明特定控制目标及控制措施。
他并说明，如果组织已经导入ISO/IEC 27001，后续再做必要强化时，会比较容易，因此，他分析了若要进一步做ISO/IEC 27701的导入或验证时，必须关注的重点。例如，在ISO/IEC 27701的5.2与5.4条款中，就针对隐私保护管理有订定额外要求，将可对应到ISO/IEC 27001的第4与第6条款；而在ISO/IEC 27701的第6.2到第6.13与第6.15条款中，已经有订定额外的指引建议，可对应到ISO/IEC 27002中的第5到第16与第18条款。
另外，谢君豪也补充两个建议，是关于导入ISO/IEC 27701时的注意事项，首先他说，若企业没有BS 10012的基础，在搜集、处理、利用这一块，可能会相对辛苦，其次，他认为如果企业本身ISO/IEC 27001的范围太小，这时也应认知到一件事，应把认证范围扩大。
对于国际资安标准在隐私保护的发展，BSI台湾分公司首席运营官谢君豪看好BS 10012，因为对于搜集、处理、利用具有优势，而今年新的ISO/IEC 27701标准也是重点，结合了参考与验证要求。（摄影／罗正汉）
呼吁企业进行资安标准验证时，应符合目的与使用
对于国内企业与组织的资安管理现况，BSI认为，还有不少挑战需要克服。从他们的观察中，可以看出不少问题。例如，今年是台湾资安管理法施行第一年，但蒲树盛表示，他拜访客户时，仍有组织高层不知资安法规定，例如，A级单位要有4个专职资安人力；而知道这件事的单位，却面临找不到足够人力的困难。也因此，资安人才在市场上非常缺乏，所以，他也鼓励年轻的人朝资安领域精进。
在资安标准的落实方面，谢君豪也不断强调，资安不是有做就好，这只是最低基本要求，要做到真的符合“目的”与符合“使用”。
例如，企业在导入资安标准并验证时，有的在第一年会先从研发部门做起，因为他们认为这是公司的命脉，而资讯单位是配合研发，因此要先知道研发的需求，他认为这是很好的观念。而不该像一些企业是为了验证而验证，只以一个机房或小系统为范围，而拿到证书，就满足形式上的要求。
其实，上述的问题已经持续了许多年。为何仍无法改善？谢君豪表示，现在台湾企业时常是直接决定，只验资讯系统或核心系统，但其实这已经落入画地自限的状况，因此，他提出建议，企业应从了解所面临的内外部议题，来订定适切的推动范围，他并强调，“实施范围”不一定要等同于“验证范围”，接下来，并透过风险评鉴，来订定强化方向及优先级。
谢君豪指出，知道风险在哪里很重要，像是企业必须思考，自身在2020年的前十大资安风险为何？他认为，企业要制作出自己的风险地图，透过国际的标准，或是适切的方法论，至少将企业最关键的10个风险鉴别出来，并透过图表呈现各风险严重性，让老板能一看就懂，才能有效推动，从策略、管理与技术等多个层面并进，以有效管控风险。
