WUSON常用的基本詞彙

資訊安全

資訊安全是一門【透過安全管制措施,保護資訊資產免於受到危害,以達到CIA的目標,進而支持組織的業務,以創造價值、實現組織的使命與願景】的一門學問。從資訊安全的定義可看出資安【有】三階目標,【不是】只有達到CIA這個【第】三階目標而已!資訊安全必須要達到以下三個階層的目標:

  • T3: CIA (資訊系統層級的機密性、完整性及可用性)
  • T2: 支持組織業務 (業務層級的產品及服務之持續交付與流程安全)
  • T1: 創造價值,實現組織的使命與願景 (組織層級的價值、聲譽及人身安全等)

目標與管理

目標始於渴望(desire)以及對末來的想像(vision),是對於想要的成果(desired outcome)的具體描述(statement)。目標可以拆解成具有上、下位關係的大目標(goal)與小目標(objective);換句話說,目標是有階層的。大目標是上位目標,通常範圍較大、時間較長;小目標是下位目標,範圍較小,時間也愈短。目標的設定(goal setting)必須符合SMART原則,也就是很具體(specific)、可衡量(measurable)、作得到(achievable)、玩真的(realistic),而且有時間限制(time-bound);其中頭尾最重要,也就是具體與時間。目標的內涵具體就容易衡量,有綁定時間才不會拖延(procrastination),才能促進行動(執行),往目標前進。執行的階段產出稱為績效(performance);換句話說,執行的績效就是可衡量的結果。

管理(management)是達成目標的一套有系統的方法;業界最常用的方法是PDCA (Plan-Do-Check-Act),即規劃、執行、查核與行動(改善)。有效的(effective)管理必須能達成目標,規劃(planning)的首要工作是確立目標,而規劃的結果是產出計畫書(plan),以指導活動的執行。計畫書由高階概念開始發展,再逐步發展配套的細部計畫。高階的計畫書又常稱為戰略計畫(strategic plan)或簡稱戰略(strategy);細部的計畫也常被稱為行動計畫(action plan或plan of action)或戰術(tactical plan或tactic)。空有計畫不足以達標,因為有許多影響目標達成的不確定因素存在;這些影響目標達成的不確定因素我們稱之為風險(risk)。

目標管理是運用系統化方法來達成目標的學問,至少包含了三個議題:戰略管理(strategy management)、風險管理(risk management)及問題解決(problem-solving)。

戰略與政策

戰略(strategy)是達成目標的高階方法或計畫。戰略計畫只有大綱標題,沒有細部內容,而且通常會取一個漂亮的口號或名稱,以利戰略的溝通。戰略指出了組織長期的發展方向(direction),是組織對未來的投資(investment),它包含了從現在走向未來的路線圖(roadmap)及里程碑(milestones),配置了這個過程所需的資源(resources),以及識別了相關的限制(constraints)。

根據ISO 14298:2021, 政策(policy)是高階主管的管理意圖(intentions and direction of an organization as formally expressed by its top management)。換句話說,政策是用來影響人的行為或管制實體活動的要求或規則,通常會被文件化(documentation);例如:Acceptable Use Policy (AUP), Privacy Policy, Access Control Policy, 或Password Policy等。高階主管制定完戰略後,必須透過政策指示來要求團隊來執行該戰略,並進一步發展配套的標準(standard)、程序(procedure)及指引(guideline)等,也就是所謂的政策框架(policy framework)。

實體與帳號

根據Google字典,實體(entity)是實際存在且可以維一識別的獨立個體 (a thing with distinct and independent existence)。一個實體的特質(quality)、特性(property)、特徵(characteristic)或特色(feature)等的描述稱為屬性(attribute)。用來唯一識別一個實體的屬性則稱為身份(Identity)。台灣是一個政治實體(在政治上實際存在的個體),但我們有許多不同的身份,例如:國名叫中華民國、參加奧運會則是叫中華台北、在WTO則叫作臺澎金馬個別關稅領域。台灣的正名運動,就是讓我們有一個一致、明確、可唯一識別的國家身份。在資訊或資安領域,所有軟硬體相關的東西(其至是使用者),都可以抽象地稱之為實體;UEBA (User and Entity Behavior Analysis)就是針對使用者與使用者以外的所有實體(東西)來進行分析,以察覺及偵測異常並強化安全性。帳號(account)則是為了方便管理實體的技術手段。

整體與個體

系統(system)是指為了達成特定目的而一起協同運作的一群元素的統稱。相對於系統強調整體,組成該系統的元素則是個體。不論是整體的系統或是個體的元素,它們都可稱為實體,都有唯一識別的身份。一個系統的組要元素及其關係我們稱之為架構(architecture);例如:企業架構、系統架構、網路架構、軟體架構、資料架構或觀念架構等。資訊系統是指將資料(data)進行處理,並轉換為有用的資訊(information)的系統;其常見的組成元素有資料、電腦系統、作業系統、應用軟體、網路、資料中心、人,以及業務流程等。

工程與專案

工程(engineering)的本質是作東西(acquire and develop),當作解決方案(solution)來解決利害關係人(stakeholder)的問題(problem)及滿足他們的需求(expectations, needs, and requirements);也就是運用專業知識把一個東西從無到有作出來,讓它上線、使用它、維運它,一直到它除役的整個生命週期都必須考慮到利害關係人的需求。系統安全工程特別強調發展一套系統必須在整個系統發展生命週期(SDLC, system development life cycle)的每一個階段的每一個活動,都必須考慮到利害關係人的安全需求(安全性)。一個系統的發展不可能一開始就鉅細靡遺,而是從主要的元素及其關係(架構)開始設計。所謂的設計(design)是指書面的解決方案。因此,一個安全的系統必須從生命週期(life cycle)及架構(architecture)的角度來思考安全性,也就是時時都安全、處處都安全的概念。

所有的工程案都是專案(project)。也就是透過一次性的專案投資(investment),來創造持續性(persistent)的價值(value)。所謂的專案都有開始、有結束、有產出,而且產出必須在範圍內(scope)、時間內(schedule)、成本內(cost),且兼顧品質(quality)。一個組織要作工程除了必須具備良好的專案管理能力外(又稱為技術管理能力),還必須具備卓越的技術能力;此外,面對眾多的工程案,一個組織必須具備的跨專案的資源管理能力(也稱為組織的專案致能能力),以及合約(取得及供應)管理能力(也稱為協議能力)。

充分與必要

事件(event)的發生有一定的條件與前提,以及因果關係(cause and effect)。好的事情發生,我們會探討成功因素(success factors);面對壞的事情,我們會追究根本原因(root cause)。然而,實務世界很難找到一組成功因素(充分, sufficient)可獲致必然成功的結果。也就是說,分析成功的個案、探究關鍵成功因素(CSF, critical success factor),並且仿效成功個案可以增加成功的機會,但並不一定能獲得同樣的成功。相反的,有些事情則是可預期的必然結果。例如,取得CISSP資格一定要(必要, necessary)通過CISSP考試;換句話說,沒有通過CISSP考試的人,我們可以確信他一定沒有CISSP資格。

References

Leave a Comment

Your email address will not be published. Required fields are marked *