過半企業砸大錢買資安設備，專家示警：高層資安管理參與不足才是危機|數位時代 BusinessNext

過半企業砸大錢買資安設備，專家示警：高層資安管理參與不足才是危機

隨著資安攻擊事件越來越普遍，企業對於資安的管理機制越發重要。根據趨勢科技報告發現，企業雖然願意砸大錢買資安設備，但高階管理層對資安管理參與度更重要。

網路資安趨勢變化快，企業高層往往跟不上

趨勢科技委託研調單位Sapio Research 訪問了來自 26 個國家、員工人數超過 250 名的企業，共 5,321名IT 與業務決策者。過去兩年企業面對大量的駭客攻擊，在受訪的IT及業務決策者當中有超過 90% 表示對勒索病毒的攻擊特別憂心。

即便大家都知道資安很重要，但調查顯示，僅約半數 (57%) 的 IT 團隊會至少每周一次和高階管理層開會討論網路資安的風險。趨勢科技執行長陳怡樺表示：「儘管有越來越多高階經理意識到他們有責任了解企業的資安狀況，但卻經常跟不上網路資安情勢的快速演變。」顯示企業 IT 領導人必須設法與董事會溝通，以大眾可以理解的方式，讓他們知道企業正面臨哪些風險。

過去有企業宣稱自己的資安做得很好，但多半抱持「花錢消災」的心態。有42%受訪者表示公司花最多預算在防範網路攻擊以降低企業風險，甚至高於一些常見的企業專案支出如：數位轉型 (36%) 和人員轉型 (27%)。更有將近一半 (49%) 的受訪者表示，公司最近曾經增加投資來降低勒索病毒攻擊與資安事件發生的風險。

雖然企業願意砸大錢購買資安設備，但高階管理層對資安管理參與度仍不足。報告提到， 全球僅46%受訪者認為公司內部充分了解「網路資安風險」與「網路資安風險管理」的概念，台灣在這方面的數字表現更低於全球，僅有41% 。

企業在資安防護上除了要抵擋外部的駭客攻擊，公司內部員工的資安意識、有無遵守資安規範也很重要，才能在資安防護上做到對內、對外的保護滴水不漏。

誰該扛下管理資安風險的責任？調查顯示：執行長

對於多數的IT人員來說，希望培養「資安從設計階段就開始」的企業文化，全球更有77%受訪者，希望企業內部有更多人願意承擔管理網路資安風險的責任。

到底誰該負起這個責任？全球大多數的受訪者 (38%) 認為「執行長」最應該負起責任，其次是公司IT團隊 (35%) 、資安長 (28%)；在台灣，多數受訪者 (38%) 則點名「資安長」是最應該負起責任的角色，其餘則認為是IT團隊（34%）、執行長（32%）。雖然報告並未解釋為何有這樣的差異，但可以推估國外企業在設立資安長的趨勢跑得較快。

另一份勤業眾信聯合會計師事務所發布的「2021年網路資安大調查」發現，美國資安長直接向企業CEO報告的情況，從2019年的32%提升到2021年的42%，全球平均統計結果約33%，都反應公司高階主管對於資安的重視。

不論是全球或地域性的結果，都點出了企業高階管理層、IT團隊與資安長對公司資安治理應合作與參與的重要性。

責任編輯：侯品如

全球最佳！中國附醫積極打造安全智慧醫院，亮眼表現獲 HIMSS肯定

中國醫藥大學附設醫院以雲端服務跟巨量數據分析為底層，推出安全的商業分析與人工智慧應用以實踐智慧醫院，該舉不僅大幅提升醫護服務品質，更獲得國際大獎肯定。

為提供以病患為核心的醫療照護服務，中國醫藥大學附設醫院（以下簡稱中國附醫）早在數年前就展開智慧醫院布局，並獲得國內外獎項肯定、創下許多台灣第一。舉例來說，中國附醫不僅連續完成美國醫療資訊與管理系統學會（HIMSS）的 INFRAM Stage7認證、EMRAM Stage7認證、AMAM Stage6認證並獲得亞洲首座HIMSS Davies Award of Excellence大獎，更進一步獲得HIMSS「數位健康指標（Digital Health Indication，DHI）」全球最高成績殊榮。

中國附醫是如何辦到的？

中國醫藥大學附設醫院資訊副院長陳俊良面帶微笑的說：「在蔡長海董事長以及周德陽院長高瞻遠矚領導下，我們早在2021年就擘劃清楚的智慧醫療藍圖，還有專職單位負責各項工作，此外，還可以彈性因應業務需求敏捷展開跨部門合作。」舉例來說，在數據管理與應用這個領域，資訊室負責臨床醫療數據資料的蒐集，大數據中心則肩負巨量數據挖掘與應用，至於人工智慧中心則是將人工智慧技術應用到智慧醫療各個領域的關鍵推手。「在實踐智慧醫院這個旅程中，資訊室肩負數據治理重責，必須從（醫護）需求面、（數據）來源面、（安全/隱私）技術面等構面進行規劃與啟動相關實務。」

從身分驗證管理到內部通訊，自由系統助中國附醫深化安全防護力

為發揮醫療數據的最大價值，中國附醫尤其重視資訊安全防禦，陳俊良表示：「第一前提是合規、因應資安法優化系統、數據、裝置設備與人員的安全性。」具體作法有二：首先是因應資安法以縱深防禦的方式持續強化對私有雲環境與設備的安全管理；其次是加強整體資安可視性與自由系統合作，由其協助導入微軟各項的解決方案，並提供資安監測與即時異常通報等服務，讓中國附醫可以更具效率與效能的方式過濾與發現異常事件。

中國醫藥大學附設醫院資訊室系統維護組組長李祥民進一步解釋：「資安威脅無所不在，過去幾年，勒索軟體威脅更是防不勝防，為了解決這個問題，光是保護數據資料還不夠，必須從身份、裝置、帳戶等多元角度切入，因此，微軟在2021年開始提供資安解決方案時，我們就開始評估有能力解決問題的廠商，決定合作廠商的原因有三：首先是原廠推薦，由原廠的角度評估廠商有解決問題的能力，其次是自由系統展現出的專業技術與符合客戶需求的服務；最後，同時也是最重要的是，他們可以提供即時監測並提供通報服務，極大程度緩解中國附醫在資安人力與能力的欠缺，讓我們可以更好的落實安全防護。」

因此，中國附醫順利在2022年導入微軟資安解決方案，而這，不僅提升了中國附醫的資安防護能力，例如分別在2022年跟2023年預先偵測異常事件並成功防堵來自外部的安全攻擊，也讓資訊同仁可以專注在核心業務上，極大化資訊與數據價值。良好的合作體驗也讓雙方合作關係進一步擴展到應用程式端的安全防護，例如，將地面郵件系統搬遷到微軟的雲端服務，藉此降低Email Server的維運成本與損壞風險，同時，優化帳戶登入管理等。

陳俊良表示：「過去幾年，資安威脅不減反增，但是，透過縱深防禦的強化並且經由合作廠商加強即時監控與協助行政通報等服務，我們可以逐步優化資訊安全防護能量，並成功讓異常事件的發生頻率下降，而這，也是中國附醫可以順利獲得HIMSS的INFRAM Stage7跟EMRAM Stage7等認證的關鍵原因之一，為此，後續將持續與合作夥伴共同努力、與時俱進的深化安全防護能力。」

透過雲端身分驗證落實Single Sign On以提升縱深防禦能力

除了導入資安與雲端郵件之外，李祥民表示，中國附醫更於日前將雲端身分驗證跟院內簽核系統的登入機制彙整在一起，以優化登入安全。「接下來，我們會與自由系統合作，重新盤點、評估有哪些院級服務適合以Microsoft Azure AD進行單一登入與多因素驗證，藉此提升安全防護機制。」

自由系統業務經理許廷輔表示，資訊安全不可能一步到位，相反的，需要長期、動態的進行調整與優化，因此，需要組織上下齊心、一同落實安全防禦。「從2021年至今，我們發現，中國附醫不僅重視資訊安全，更身體力行、彈性敏捷的因應潛在威脅做出調整、改變，這是很難能可貴的地方，為進一步擴大成效，自由系統將針對中國附醫在（數據）資料安全與雲端服務等策略提供更多適合中國附醫的產品及服務。」

「智慧醫療、智慧醫院涉及的面向既廣且深，不可能單憑己力完成，需要專業的外部夥伴提供最佳支援與服務，我們很開心可以有自由系統這樣的夥伴，期待未來有更多合作火花，讓中國附醫可以一步一腳印的建構與完善安全智慧醫院布局。」關於中國附醫與自由系統的未來合作，陳俊良如是總結。