【从《传染病防治法》学防骇】授权企业制定资安防骇准则，资安演练落地是关键

台湾因应武汉肺炎的爆发，根据2019年6月19日修正通过的《传染病防治法》第17条规定，于1月20日正式成立“疫情指挥中心”，由卫福部部长陈时中担任指挥官，透过中央指挥各相关部会防控疫情，比起武汉于1月23日封城措施，台湾更早反应。

成立“疫情指挥中心”之际，也由行政院副院长陈其迈下达防疫指示，包括：落实国际机场、小三通港埠检疫措施；加强民众卫教宣导；确保防疫物资整备；医疗院所管制预备规划及演练。

《传染病防治法》是为了杜绝传染病发生、传染及蔓延而制定的法律，包括各种法定传染病的分级，各级疫情指挥中心的开设和结束，以及因应疫情，统筹各种资源、设备并整合相关人员、国军支援等，也在法规架构、医疗资材征收或加强生产、边境管制、研发快筛试剂、疫苗、资讯澄清、-宣导、驻外使领馆防疫，甚至是罚则，都依该法来赋予疫情指挥中心统一指挥的职掌。

也因为《传染病防治法》授权，才有一级、二级、三级指挥中心开设，也明定中央、地方-以及防疫所需相关组织的角色职掌，可作为遵循参考方向。

仿效《传染病防治法》授权精神，制定企业资安防骇准则

因为防疫有《传染病防治法》作为各种防疫措施的法源基础，也奠定疫情指挥中心各种防疫作为的合理性，而同样的作为，反映到-和企业资安防骇上，则可以有不同的展现。

例如，作为-和关键基础设施服务提供者的相关业者，可以参考于2019年1月1日正式施行的《资通安全管理法》，作为推动国家资通安全政策，加速建构国家资通安全环境，以保障国家安全，维护社会公共利益的参考基准。

如果将防疫作为类推到企业资安防骇，国际电脑稽核协会（ISACA）资讯风险治理咨询小组委员杨博裕表指出，企业可以仿效《传染病防治法》，在内部制定“企业资安政策”，或者是“资讯与网络安全事件应变手册”。

此外，为了增加组织资讯与网络安全治理韧性（恢复力），杨博裕认为，企业组织也应该超前部署，引进威胁导向（Threat Based）资讯与网络安全管理机制，透过风险评鉴，找出对组织威胁最大的资讯与网络威胁情境；再针对这些情境制订应变手册／锦囊妙计，以确保当事件发生时，相关人员可按表操课，完成停损与复原。

KPMG顾问服务部执行副总经理谢昀泽强调，企业平常要准备资安政策、程序与SOP等制度，也可针对企业各项资讯防治工作，进行系统性的规划与执行，特别是紧急事故发生时可参考。

谢昀泽认为，企业也可以参考《传染病防治法》的授权精神，作为资安防骇的参考准则。举例而言，像是日常的风险评鉴与处理计划，我们可以参考“预防接种”、“传染病预防”的内容；若是资安监控中心，则参照“流行疫情监视和通报”；如果是数位鉴识程序，则可以参考“疫情调查”和“检验”。

针对资安演练的规划，可以对照“疫情演习”、“分级动员”、“训练”；对于制定相关营运持续计划，则与防疫药品、器材、防护装备之储备的作法，有异曲同工之妙；至于制定紧急应变计划，作法则类似疫情爆发处理，以及居家隔离民众的步骤等。

KPMG顾问服务部执行副总经理谢昀泽表示，《传染病防治法》为-防疫作为提供授权基础，企业可仿效授权精神，制定企业资安政策及资安紧急应变计划为资安防护奠基。 （摄影／洪政伟）

落实法遵之余，更须进行演练

台湾安永咨询服务总经理张腾龙表示，-有法律授权的时候，对于紧急动员有帮助，例如，当-遇到重大的资安攻击时，不管是组织所需要的软件、硬件、离线作业需要新的设备，甚至是，盘点是否具有足够的生产能力时，如果有法律授权相关防骇规定，就可以动用国家资源力量对抗资安攻击。

不管是公务机关，或者是受《资通安全管理法》规范的特定非公务机关，依法行政是必然的作为，不过，资诚智能风险管理咨询公司执行董事张晋瑞表示，对企业而言，更大的挑战在于，企业资安政策如何运作授权？相关的管理阶控，以及二阶、三阶的资安管理细则，该如何制定并落实？

在此同时，当我们已制定资安事件紧急应变计划，一遇到突发状况，可紧急调整计划内容，同时也必须定期演练，才能验证相关的计划内容是否可落地。

举例而言，疫情期间有许多企业为了避免群聚感染，开始推动员工在家上班（WFH），但张晋瑞说，这是否也带来新的资安风险呢？员工是否已妥善设定笔电，以及应用程序的安全呢？当使用家用电脑远端登入企业系统时，是否已经落实控管包括VPN，以及RDP账号的风险呢？而且，许多人使用家用电脑的上网行为不佳，可能会不小心点选恶意程式、具有资安威胁的网站，因此，不管是施行远距IT或是家用IT，此时是否需要安装代理程式控管呢？

张晋瑞表示，从政策制定到实际演练，就是一种法规遵循的过程，如果无法合规，就应该要有后续的矫正措施。

从国家制定的法律到企业制定的资安政策，或是资安紧急应变计划等，杨博裕表示，每个人都必须知道，为什么要“重视资安”这件事情。他认为，在企业资安政策，以及相关资安紧急应变计划中的角色与职掌，只要能够清楚定义，随后，公司人员就是配合并落实公司的资安政策与标准，“毕竟，资安不是IT或资安部门的事情，而是全公司、每个人的事情。”他说。

 更多相关报导  从防疫学防骇