英特爾透過IT風險評估，節省1,800萬美元不必要的IT支出，也透過COILS模型做風險評估，並聘用行銷專才設計員工IT訓練計畫，讓員工參與率從25％提升到98％，用數據證明成效。(文/記者 黃彥棻)

英特爾資安風險長Jackee Ireland表示：落實風險評估則讓英特爾避免1,800萬美元的浪費。
身為全球處理器、晶片組龍頭廠商的英特爾（Intel），在面對全球將近9萬名員工的管理時，如何透過有效的風險評估，降低可能的潛在IT風險？

英特爾資安風險長Jackee Ireland在接受本刊專訪時表示，英特爾從2001年全球紅色風暴（Code Red）爆發後，理解到資安計畫的重要性，進而透過妥善的IT風險評估，像是COILS模型的標準作業程序分析風險，或是藉由風險評估，讓英特爾節省了1,800萬美元。不僅如此，英特爾甚至是以行銷觀點設計IT內部員工訓練課程。

iThome問（以下簡稱問）：對英特爾而言，資訊安全的定義是什麼？
Jackee Ireland答（以下簡稱答）：英特爾認為資訊安全的定義，就是讓英特爾保持在合法的狀態下，要注重像是資訊的保密性（Confidentiality）、完整性（Integrity）和可用性（Availability）。而在資安投資上，則採用智慧型的成本控管（Smart Cost Control），而不是無上限的一直花錢做資安。

問：英特爾如何量化IT投資報酬率（ROI）？
答：英特爾有一套IT投資的報酬率公式，主要是財務部門利用該公式計算所謂的投資報酬率。這種計算ROI的公式，在每一間公司都有所不同。IT投資的確很難透過一套公式量化，但英特爾會從風險評估的觀點來量化投資報酬率。

英特爾先找到一些風險等級高的風險評估項目，透過內部稽核確認後，若為高風險、必須立即處理的A級風險項目，包括CIO和底下的IT部門工作人員，都會清楚得知這是企業應該關注的焦點。除了立即的應變措施外，在下一期預算編列時，也會確認這些關注項目是否明列在IT預算項目中。

另外，若有看到一些已經不需要持續關注的議題，也不會為了申請IT預算而保留該項目。長久以來，英特爾對於IT投資是採取誠實、信任的開放態度，久而久之，只要建立一個大家信任的口碑後，相關主管也會相信IT部門會把錢花在刀口上。

問：IT投資已經很難量化了，那資安投資能量化嗎？
答：資安投資很難評估ROI，但對英特爾而言，資安的風險就如同買保險，採取有備無患的態度，主動預防、做反應，不是被動等到事情發生才去補救。

另外也會以法規遵循的概念和其他部門溝通。若有其他部門質疑某些資安或風險評估的措施或政策時，法規就是一個最好的驅動力。

建立誠實守法的企業文化，法規遵循是必要措施。至於其他不涉及法規遵循的項目，則必須採用主動式預防的管理態度，降低各種可能的風險。

問：英特爾何時開始重視資安投資？
答：對英特爾而言，從失敗中學習也是很好的經驗。真正讓英特爾資深管理階層意識到，的確要思考資安、風險評估的關鍵，就是2001年在全球發生大規模病毒爆發的紅色警戒（Code Red ）。

當年英特爾在財務上並未因而有太大的損失，但在營運上還是受到部分影響。這件事給英特爾的啟發就是，原來英特爾並沒有很好的資安計畫以因應類似的資安意外事件。紅色警戒發生後，從災害復原（DR）角度來看，英特爾做得很好；但若從事先預防的觀點來看，紅色警戒真的讓英特爾上了一課。

此外，讓英特爾意識到資安重要性的另一個關鍵因素，就是微軟作業系統頻繁的修補漏洞。這迫使英特爾必須衡量，在微軟1周1次甚至2次頻繁的修補漏洞下，如何在不影響到所有人工作的情況下修補漏洞。這也讓英特爾意識到：一定要有妥善的資安應變計畫。

問：既然如此，英特爾如何做漏洞修補？
答：英特爾有一個快速風險評估小組（Rapid Risk Assessment Team，RRAT），這個團隊的人數很少，主要是定期監看修補程式（Patch）是否造成問題；該小組會檢視修補程式的弱點和風險評估，判斷該修補程式的重要性，是否必須立即處理，或者是等到微軟定期修補即可。若是緊急修補的程式，英特爾會立即將修補程式派送到每一個使用者電腦上，否則，就等到員工連網時再進行程式修補即可。

除了RRAT小組外，在英特爾負責資訊安全工作的員工大約300人，其中60人是負責資安政策的相關評估，其餘240人就是做所謂的漏洞修補管理（Patch Management）。漏洞修補管理在其他公司都歸為資安或風控部門，但對英特爾而言，漏洞修補與企業營運息息相關，因為漏洞修補管理是一個一直持續不斷的過程。

問：英特爾如何讓員工對IT風險有共識？
答：英特爾主要是透過內部教育訓練的方式，讓公司高層理解到，資安投資和風險評估是合理且必要的。英特爾透過全球員工的年度IT訓練課程，凝聚員工對IT風險的共識，提升員工對於資安和風險控管的訓練和認知。

結合公司內部教育訓練來做，經費不高但成效顯著。就英特爾整體營收而言， IT支出大約是3.2％，其中教育訓練課程不到1％，平均2∼3年期間資安投資金額約25萬美元（約新臺幣800萬元）。

從各種統計數據顯示，當多數員工上過這樣的教育訓練課程後，員工對於風險控管和資安政策的遵循、認識和意識提升上，都有很大的幫助，甚至會有員工主動提報系統弱點和哪裡有駭客入侵跡象。

英特爾透過這樣的數據呈現並證明IT教育訓練有效，且告知管理階層這樣的IT投資是合理的。

問：這個IT訓練課程怎麼設計的？
答：英特爾全球9萬名員工，每年都要上這樣的IT訓練課程。為了讓這個訓練課程能夠獲得實質的成效，英特爾找了一個具有行銷背景、而非IT背景的人，從終端使用者角度設計IT訓練課程。透過行銷手法，員工IT訓練課程的參與率也從以往的25％提升到98％。

英特爾也派團隊到中國、馬來西亞等地實地訪談，調查當地員工所認知的安全意涵。中國、馬來西亞員工會認為，安全就是家人、金錢、朋友，但美國員工認為的安全意涵則代表槍枝、鐵窗。因應不同地區對安全概念想法不同，透過行銷手法所設計的IT訓練課程，就可以對不同地區的員工，正確地溝通英特爾所認為的安全想法。

問：英特爾是否有一套風險評估的標準作業程序（SOP）？
答：英特爾有一套風險評估的工具，例如Intel RAP Lite就是英特爾在使用的風險評估系統，其中就包括英特爾風險評估標準的作業程序。很多英特爾的事業體，包括IT專案經理或軟體開發團隊，最常使用COILS模型做風險評估。

COILS模型包含Corporate（公司）、Operation（運作）、Information Security（資訊安全）、Legal（法令規章）和Strategy（營運策略）等內涵做為風險評估的模型，也就是說，當公司進行風險評估時，都必須把公司、運作、資訊安全、法令規章和營運策略，納入風險評估的一環，不能有所疏漏。若是新產品的評估，則採用對產品風險弱點的測試方式。

問：英特爾如何規畫自家的風險評估？
答：首先是做完整的資安研究。不論是ISO 27001，SAS-70、美國資安管理委員會或者是ISACA（美國電腦稽核協會）等相關的資安課程或認證，甚至是Forrester、Gartner等研究成果。先做過一輪的研究之後，才能進一步規畫適合英特爾的風險規畫。

現在做資安研究比以前更容易，只需要善用Google搜尋引擎，很多資安研究資料不需要從零開始。

問：風險評估第一步是研究，然後呢？
答：做完資安研究後，就從中挑選適合公司有用的部分，接下來把這些整理出來的計畫往上提報。不論上層主管是資訊長或其他公司的高階主管，一定要取得高階主管對風險評估計畫的支持。有了高階主管的支持，公司才會跟著這個資安計畫走。

很多IT作法可以由下而上，但資安一定得從上而下。千萬不要想從基層往上推廣這個資安計畫，是不會有效的，從上而下是最好、最有效的。

問：IT風險評估可以為企業帶來何種好處？
答：不做IT風險評估，就不會知道風險在哪裡。
如果只以一般的風險控管或資安的概念作管控，而沒有確實做到風險評估，可能會錯失很多特定的風險。

因為風險管理是一個過程，必須從業務流程來看風險評估。風險評估對企業最大的好處在於：幫忙找出之前沒有看到的風險所在，並找出現在的作法和實際的風險落差在哪裡？如此一來，透過風險管理就可以為企業增加合法性。

問：英特爾從IT風險評估獲得哪些效益？
答：對英特爾而言，有一套既定的風險管理的程序，風險評估的目的可以減少企業不必要的IT花費，例如避免被罰款之類。由於風險管理是標準化的程序，雖然不能為公司帶來獲利或進帳，卻可以幫助公司減少不必要的支出。

英特爾最近發生的例子，就是透過風險評估避免高達1,800萬美元的不必要花費。英特爾有一個OP團隊，他們非常在意禽流感的問題，擔心禽流感一旦蔓延，在中國的英特爾員工都必須從家裡連網回公司工作。為了應付這樣的突發狀況，英特爾勢必得增設大量的備援伺服器，初步估計，光是採購這些備援伺服器至少需要花費1,700∼1,800萬美元。而這些花費只是第一步，一旦增設備援伺服器，這些備援伺服器的數量也會隨著員工數量的增加而增購，花費只會比1,800萬美元更高。

當時的英特爾高層主管被說服，增購這些備援伺服器是必要的。但是，透過英特爾風險評估機制發現，禽流感不會一下子就蔓延到全中國，也不會造成所有的員工都必需在家中工作的情況。所以，這筆備援伺服器的採購就沒有必要。因為英特爾有風險評估的機制，雖然這筆預算原本已經編列了，但後來評估這是不必要的開支，也就幫英特爾省了1,800萬美元。

問：在風險評估模型中，IT部門該扮演什麼角色？
答：最完美、最理想的狀況，就是IT部門不需要舉辦任何課程、研討會，員工就會知道怎麼做風險控管。

但這是很難實現的夢，因為有時候請員工做IT風險的自我評量時，員工知道一旦評估出來是高風險，就必須配合更嚴格的控管手段。
所以，員工自評往往會主動降低應有的風險性。為了杜絕這種員工主動降低風險的作為，IT部門在風險評估的過程中，還是得扮演一個促進者的角色，去評估真正的風險層級為何，避免使用者低估風險。

問：風險評估和IT治理之間的關係為何？
答：風險評估與管理是英特爾IT治理的一個部分，若沒有風險管理，就意味著英特爾並沒有遵循公司應有的IT治理模式。

英特爾要做IT治理的主要原因就是為了要遵守沙賓法案（SOX），必須對財務做很高的控制。不論是ISACA（美國電腦稽核協會）制訂的COBIT，或者是ISO 27001，都讓企業容易遵循沙賓法案。英特爾的很多客戶會要求英特爾必須符合COBIT標準，就是希望英特爾符合沙賓法案並做到IT治理。

問：英特爾如何做到IT治理？
答：對英特爾而言，最好的IT治理方式就是讓員工了解所有的IT政策、限制與發展空間，必須讓員工清楚了解這些道德規範、法律遵循，並知道如果沒有遵守這些規範，甚至因為沒有遵守這些規範對英特爾造成損失的話，都可能因此被開除或有牢獄之災。

英特爾一方面把遊戲規則講清楚，一方面也信任員工，給員工空間發揮創造力。這就是IT治理模式的好處。IT治理是公司治理的一部分，從董事會層級下來，公司治理會有很多道德操守的規範，COBIT提供一個決策、控制的架構、模式，但必須在公司治理（COSA）的規範下運作。因為沒有好的公司治理（COSA），就不會有好的IT治理（COBIT）。

問：據你的觀察，臺灣IT主管在管理上，近年來是否有轉變？
答：從很多經驗來看，亞洲或是臺灣CIO都很了解控制、控管，這也反應公司治理的面向。在亞洲地區多採用IT控管、封鎖的手法，包括臺灣IT主管在內，提到IT治理時，多會採用封鎖的策略、作法，採用完全控管措施。若從此推論，這些IT主管對於IT治理、風險控管具有足夠的知識，但卻不知道該如何稍微鬆手，做開放式的控管。

臺灣IT主管近年來也有一些改變，從以往只關注技術問題，像是如何設置防火牆，轉變成從策略面來思考IT的價值與位置。臺灣IT主管的思維改變方式也和美國IT主管一樣，慢慢從技術的層面轉變到公司營運的策略層面，這是一種思想和作法更為成熟的作法。文?

3