資安事件總是讓人措手不及，企業該如何建立一套完善資訊安全架構？

根據資訊安全品牌 Sophos 2020 年一份調查，2019 年有 51% 的公司遭受到資料攻擊；更有 73% 的公司資料被駭客加密後進一步威脅勒索。近年資安風險越來越多，除了層出不窮的勒索軟體，駭客更透過釣魚網站、弱密碼暴力破解等方式，獲取珍貴的資訊。

突如其來的資安事件總是讓人措手不及，對於資訊安全預防的概念，應該就像對抗疾病一樣預防勝於治療，平時就應該做好相關配套措施。尤其比起個人資料，企業資料的重要性更高，想像你是一名企業 MIS，主管交付給你的任務，是回頭審視企業的資訊安全架構是否足夠穩固時，你該從何開始做起呢？

Synology 建議，企業可以依據 NIST 的網路安全框架（Cybersecurity Framework，CSF），採取「辨識」、「保護」、「偵測」、「回應」、「復原」這五大步驟，為企業資訊安全做把關。

第一個步驟「辨識」，強調的是企業對於組織內部的資產是否具備足夠的了解，以便在資訊安全事件發生的當下就能掌握事件影響範圍並即時處置。重點是第一時間要知道「你有沒有受到影響？」以及「受影響到什麼程度？」

舉例來說，若是今天新聞上出現了某個針對伺服器的勒索軟體，或是某個廠商在某個年份生產的某款晶片出了問題。在公司裡，老闆第一個問題一定都是：「那我們有沒有受到影響？」如果這時候企業的資產清單是未知的，就很難在第一時間做出適當的處置。

因此，企業 IT 平時就需要進行內部資產的全面性盤點，包括各種服務所在的伺服器，電腦、虛擬機等，以及員工使用的裝置如電腦、手機等；除了實體資產外，也得掌握組織內部通訊的方式跟資料流經途徑，並確實盤點會使用到哪些外部服務，例如 Gmail 或 AWS 等，釐清這些企業用的服務是否有潛在風險。

盤點後便能掌握企業有哪些資產、哪些服務，接下來就可以著手進行事前的風險評估，以及擬定相對應的回應計畫。例如，一間企業都會有許多關鍵系統，如 ERP 、 CRM 、出糧系統等，將這些服務依關鍵程度來分類，考量的因素包括服務的可用性、使用次數，哪些系統的掌握度比較高，以及易修補的程度等，將這些因素綜合評估，決定遇到問題時修補的優先順序以及修補方式。

在第二個步驟「保護」中，要進行的是規劃並實作企業的保護架構。而根據 IT 專業媒體的企業資訊安全風險調查，近六成企業的資安風險來自員工疏忽、欠缺資安意識。因此，除了建立基本的網路安全設定如區域網路切割，虛擬區域網路，防火牆設定外，建議掌握零信任概念（Zero Trust）建置內部的權限控管。

事實上，零信任是業界正在普遍提倡的概念，不會預設該名使用者是值得信任的並給予相關權限，而是以最高的標準進行持續的驗證與審核。建議企業強化身分認證機制，控管帳號權限以確保架構安全，尤其是擁有高權限的帳號管理。

此外，這個階段也應針對 第一步：辨識 盤點的重要營運資料，規劃並執行完整備份保護策略，如果是 IT 預算或管理人力不足的中小企業，更應留意備份方案是否可一次適用各平台，實作上則可善用自動化排程備份，避免因人為疏忽導致備份任務未能正常運行，同時也減輕 IT 管理負擔，有多餘時間規劃同事資訊安全意識教育專案。

延伸了解：NAS 一體機備份方案，如何幫企業實現多平台資料保護，並省下 50% 備份成本

第三個步驟「偵測」，企業對外應定期注意系統、瀏覽器以及其它常用程式是否更新至最新版本，並確實修補已知弱點，以達完整保護，同時應掌握所有服務流量狀態；並使用防毒軟體等系統安全工具即時偵測及對抗惡意威脅，強化安全保護。此外，也應預先確認如遇資訊安全事件發生，是否能在事件發生時立即偵測到安全風險。以企業重要的稽核日誌為例，這些 log 平時是否有受到管控，有異常登入或是有資安疑慮時會通知誰，如何通知，都必須事前安排好，確保資安事件發生要通知、通知要有人看，以及看到了要處理。

為確保意外發生時可即時做出適當處置，平時應確保相關廠商的聯繫窗口名單，例如：儲存設備供應商、防毒軟體供應商、品牌公關窗口或法律顧問等。延續第一個步驟「盤點」的基礎，企業可以事先建立與供應鏈的溝通管道，預先確認事件發生時的最短可支援時間，如果真的不幸受到影響，就可以在第一時間討論如何修補，或是找到緩解方式。

此外，組織內部的溝通是否順暢，以及是否有在事前預先擬定回應的流程也十分重要。畢竟資訊安全事件發生時，絕大部分的企業都是手忙腳亂，因此平時就得訂定計畫，包括事件當下資訊團隊如何在最短時間內判定嚴重程度、著手修補，企業應如何組成臨時的決策單位，會涉及哪些跨部門合作，或是以及處理層級必須上至哪裡，哪些事件需要由 C Level 的人主導等。

延伸閱讀：以 Synology 應變 Zerologon 經驗為例，看企業應如何應對資訊安全事件

第五個步驟「回復」除了延續上一步，事件發生後如何復原與修補的計劃外，也包含了賽後檢討這一塊，當企業啟動預定的回應計劃時，務必留意設定目標達成比例，檢視流程設定是否過於理想而難以實作，持續性改善計劃流程，並確保相關人員資訊更新。此外，也建議企業能持續留意業界最新的資訊安全趨勢與新聞，確保整體架構能夠與時並進。

歡迎索取企業資安檢核表：https://sy.to/zsfin