[求助]資安控管的限度?(kai-yu)

分享至

榮譽勳章：

初學者

點數：0

2010-06-20 17:59:27

現在有不少大公司網路資訊安全的偵測是外包給其他資安公司

交由資安公司來偵測自己的公司的網路安全

像是是否有遭到外部或內部攻擊或竊取資料之類的

想請問，既然資安公司可以偵測攻擊，那是否同樣也有辦法擷取到公司的資料?

如果是這樣，其他公司怎麼能安心的交由資安公司來維護資訊安全?

回覆會員暱稱：
點數：
等級：初學者

榮譽勳章：初學者
發文篇數：73
回文時間：2010-06-22 13:30:08

這是第三方存取安全問題，也就是識別出第三方存取的風險。第三方存取是指除組織員工以外的其他組織或人員對組織資訊處理設施和資訊資產的存取，我們可以根據對第三方存取風險評估的結果，採取適宜的控制方法對其進行安全管制。例如：*BS7799-l：1999〈資訊安全管理實施細則》是組織建立並實施資訊安全管理系統的一個指導性準則，主要目的是為組織實施有效的資訊安全管理所需的控制提供通用的最佳慣例。*BS7799-2：1999《資訊安全管理系統規範》規定了建立、實施和文件化資訊安全管理系統（ISMS）的要求，規定了根據組織的需要應實施安全控制的要求。依照美國聯邦資訊安全管理法，每個聯邦機構必須建立一個以風險評估為基礎的資訊安全維護計畫，計畫內容須涉及風險評估與外包商管理二項重要工作之執行，而風險評估內容必須包含技術風險、管理風險及法律風險等層面之評估；外包商管理則須訂定明確之外包商管理程序與方法。若依照我國法制，法務部乃著手研議網路犯罪條例，在現有之刑法中新增第36章電腦犯罪條文，並於民國92年頒布刑法修正案；同時陸續頒布電子簽章法與政府資訊公開法、修訂電腦處理個人資料保護法、研議新增濫發商業電子郵件管理條例等相關法案之推動。但其實不論是外包或是自建，人是安全管理工作的「核心」。

資料來源：
劉建良，國家資通安全會報技術服務中心
鄭進興，高雄第一科技大學資管系