2020資訊治理年會登場!SGS揭露第一手資安趨勢觀察

2020.12.09
2020資訊治理年會登場!SGS揭露第一手資安趨勢觀察
數位時代
相較歐洲國家每月僅數萬次的網路攻擊,台灣每月遭受高達三千萬次的攻擊位居全球的前段班。「2020資訊治理年會」最新的資安趨勢,協助台灣企業把關資訊安全。

今年已邁入第三屆由SGS舉辦的「2020資訊治理年會」。除了探討最新的資安趨勢,也表揚在資安治理上表現優秀的卓越夥伴。今年「資安管理卓越獎」由趨勢科技及凌群電腦獲得,「個資管理卓越獎」則由台灣人壽和中華電信客戶服務處拿下。

身為國際專業的驗證機構, SGS在台灣已深耕69年,資安驗證經驗豐富,通過SGS驗證ISO 27001的企業多達240家,總發證書超過430張,「SGS是獨立的第三方驗證機構,所頒發的獎項也具有公信力,」SGS台灣驗證及企業優化事業群資深營運總監鮑柏宇說。

SGS驗證及企業優化事業群 鮑柏宇 資深營運總監
數位時代

積極涵蓋驗證廣度,完整落實資安管理

今年四家獲獎企業各擅勝場。SGS驗證及企業優化事業群資訊治理部經理何星翰指出,趨勢科技以超越業界的標準要求自己,ISO 27001驗證範圍橫跨全球研發中心,在SGS的客戶裡,達到全球驗證範圍並不多見。趨勢科技更領先同業,今年底將透過SGS,申請日本特殊法規ISO 27014驗證,「這在台灣還沒有人申請過,顯示他們積極遵循各司法管轄區法規及新興國際標準的雄心。」

凌群電腦是首家獲SGS頒發獎項的SI業者,陸續通過ISO 27001、BS 10012與 ISO 20000等驗證,其中ISO 27001驗證範圍包括新成立的資訊安全監控中心及研發中心與技術中心等24個部門,驗證範圍幾乎涵蓋全公司。

相較其他電信公司客服處,中華電信的規模更大,即使全台有10多個據點,客服人數超過千人,但仍詳細落實個資保護要求,早在2013年便領先業界取得BS 10012個資保護驗證。台灣人壽則是國內第一家取得新版個資管理驗證的金融服務機構,管理階層致力於顧客服務與個資保護,所有分公司、區域中心、通訊處及電銷中心等全組織通過驗證,涵蓋範圍堪稱典範。

SGS驗證及企業優化事業群 何星翰 資訊治理部經理
數位時代

資安法上路牽動產業,資安力就是競爭力

SGS長期深耕資安領域,對趨勢變化敏銳。何星翰表示,以台灣來說,近年影響最大的就是去年上路的「資通安全管理法」。由於法規涵蓋層面比起國際標準更加具體且明確,SGS的客戶群近四成是公務機關,或適用資安法的特定非公務機關及公司,馬上面臨適法性的要求,資安稽核業務及責任更加吃重。

長期為企業提供資安稽核服務下,何星翰指出,許多公司對於資安認知程度,還停留在單一IT部門階段,沒有體認這是全公司的事,因此稽核時常看到骨幹網路管理有一定水準,但駭客卻可能從業務單位或其他非IT單位的電腦駭入,「所以只靠資訊單位推動ISMS,資安管理成效有限。。」

同時,有些公司在資安預算和資源的投入,還是相對不足,過於老舊或面臨EOS (End of Service) 的軟、硬體,都讓駭客有機可趁。而對公務機關來講,大多資訊業務委外處理,廠商良莠不齊加上內部人員的有限能力,也會影響資安保護,「這些都是一環扣一環,尤以資安意識的不足更成為資安管理流程上的漏洞。」

何星翰表示,SGS與企業是長期合作,當企業導入驗證後,每年仍會定期追查,在持續稽核過程中會清楚讓廠商知道不足與可補強之處,並透過SGS Academy管理學院的公開訓練課程,協助企業機關持續精進與學習改善。

資安法上路後,對稽核員也是挑戰,「稽核的深度跟廣度,都跟以往不同。」在既有國際標準的查核下,不僅要確認法規項目,同時也要掌握稽核時間與效率,因此SGS對稽核員的訓練也不同以往,何星翰透露,「內部調整大半年,不斷訓練檢討,為的就是找出兼具稽核深度及效率的作法,確認法遵成熟度。」同時,SGS也不斷擴編稽核團隊,目前內部具有ISO 27001稽核員資格的同仁逾20位,為業界最多,明年還將持續擴充以提升稽核能量。

鮑柏宇則以國際角度切入資安趨勢,因應聯合國永續發展委員會在全球大力推動17項「全球永續發展目標」(SDGs),其中包含全球供應鏈管理,從早期注重品質、交期,或生產製程,近年則慢慢擴展到ESG,在公司治理端,資安就是關鍵項目。由於駭客入侵手法層出不窮,也可能透過供應鏈的電腦系統駭入企業本身,「所以除了企業自己推動資安管理,也開始大力推動供應鏈遵循法規。」

台灣以代工起家,是許多國際大廠的重要供應鏈,未來資安力就是台廠在國際上的競爭力;同時,台灣廠商也有自己的供應鏈,加總的影響範圍,更凸顯資安管理議題的重要性。

資安深入各垂直領域,開放銀行成焦點

近來台灣另一個熱議話題則是「開放銀行」(Open Banking),今年又被稱為「開放銀行元年」,台灣對Open Banking採取三階段開放措施,第一階段「公開資料查詢(Open API)」已於去年上線,今年下半年則邁入第二階段「消費者資料查詢」,第三階段則為交易面資訊。

雖然開放長久深鎖的大數據,將可望為金融產業注入創新活水,但在開放同時,監管機關對於資訊安全更是嚴格要求,何星翰表示,目前台灣高度參考英國和新加坡的法規,期望與先進國家接軌,這些法規項目都需要專業第三方做定期查核。

SGS除了持續跟上法規要求,同時也會協助銀行或TSP(第三方服務業者),提出查核報告,協助企業客觀呈現資安管理之有效性。

資安是每個產業都會碰到的課題,「未來資安對應到各個垂直產業的應用同時也是趨勢」鮑柏宇說。除了銀行,車聯網、工業4.0等新科技也帶動汽車業和製造業的資安熱度,就連美國FDA也要求未來連網醫療器材需有資安管理。

企業想把關資安,就需要專業第三方稽核驗證。何星翰表示,SGS台灣的優勢在於獨立研發的能力,相較同業,SGS台灣更能針對新的驗證法規,獨立設計稽核流程,或是能在短時間內針對企業不同需求,設計客製化的查核方案,「所以我們不只是執行稽核,對於新標準的查核需求,或查核方案的彈性跟機動性,都領先同業。」

鮑柏宇更進一步指出,SGS服務項目多元,橫跨的產業寬度,「以全世界的驗證單位來說是最廣的。」SGS內部有許多產業專家,再加上集團的全球網絡連結,「我們提供的不只是單一驗證服務,而是一站式的解決方案。」資安議題持續火熱,不僅直接關係著企業的系統與資料安全,也是公司治理的競爭力根本,未來SGS將持續協助企業把關資訊安全,邁向永續經營。

每日精選科技圈重要消息