[求助]自己的資安部門or外包資安公司?(kai-yu)

分享至

榮譽勳章：

初學者

點數：0

2010-06-20 18:18:45

資安公司顧名思便是替客戶維護資訊安全的公司

不久前去參訪某資安公司時，該公司表示有許多有名的銀行業及政府機關都由他們維護資訊安全

網路資料的流通都經由另外一家公司做監測，這本身就是一種風險

為什麼大公司不成立自身的資訊安全部門而交由其他公司來對自己的網路做把關

這其中考量的主要原因為何?

回覆會員姓暱稱：Tsai-Yun
點數：250
等級：初學者

榮譽勳章：初學者
發文篇數：10
回文時間：2010-06-21 22:00:35

這個問題當天好像有提到過，我記得那位工程師的回答是說"還是必須考量到人員專業度的問題" 交由資安公司人員來負責，因為他們會比公司自己本身的工程師來的專業，原因是因為他們每天都會處理到不同的資安問題，所以對於問題的處理可以較迅速。另外就是設備的問題，公司是否有筆要花費高額的成本來購買這些設備？而且購買設備以後，公司的員工會不會操作也是另一個問題。

回覆會員暱稱：
點數：
等級：初學者

榮譽勳章：初學者
發文篇數：500
回文時間：2011-05-02 15:51:08

外包當然就是比較方便囉，只是比較無法完全的掌握公司狀況，而自見也不見得比較省經費

回覆會員暱稱：
點數：
等級：初學者

榮譽勳章：初學者
發文篇數：236
回文時間：2010-06-22 17:08:52

我們可以採取第三方存取控制措施，根據對第三方存取風險評估的結果，採取適宜的控制方法對其進行安全管制。組織根據企業運作的需要，可能把資訊系統、網路和（或）桌面系統的管理和控制的部分或全部進行外包（委外），例如，系統的維護外包。例如：BS7799標準的應用範圍* BS7799-l：1999〈資訊安全管理實施細則》是組織建立並實施資訊安全管理系統的一個指導性準則，主要目的是為組織實施有效的資訊安全管理所需的控制提供通用的最佳慣例。* BS7799-2：1999《資訊安全管理系統規範》規定了建立、實施和文件化資訊安全管理系統（ISMS）的要求，規定了根據組織的需要應實施安全控制的要求。此外，根據美國聯邦資訊安全管理法，每個聯邦機構必須建立一個以風險評估為基礎的資訊安全維護計畫，計畫內容須涉及風險評估與外包商管理二項重要工作之執行，而風險評估內容必須包含技術風險、管理風險及法律風險等層面之評估；外包商管理則須訂定明確之外包商管理程序與方法。檢視我國法制，台灣政府為建立安全與可信賴的網路環境，確保電子化政府與電子商務之行為模式能蓬勃發展，於是全面檢視現行法治環境，藉由新增或修訂法規之方式，健全我國網路發展環境。法務部乃著手研議網路犯罪條例，在現有之刑法中新增第36章電腦犯罪條文，並於民國92年頒布刑法修正案；同時陸續頒布電子簽章法與政府資訊公開法、修訂電腦處理個人資料保護法、研議新增濫發商業電子郵件管理條例等相關法案之推動。(Lin Mo-Li)

資料來源：
鄭進興，高雄第一科技大學資管系
劉建良，國家資通安全會報技術服務中心