資訊安全稽核

什麼是稽核？

資安稽核係評估組織為保護資訊資產所建立之控制措施是否存在且有效。其不限於技術性控制：政策、權限授予、供應商管理與事件應變等治理面向亦納入範圍。

為何要執行？

目的在於在事件發生前辨識攻擊面與控制缺口。

誰會委託？

客戶要求安全保證的科技公司
建立或維持 ISO/IEC 27001 的組織
關鍵基礎設施與受監管產業的企業
處理卡片資料的組織(PCI DSS 範圍內)
納入供應商安全評估範圍的公司

稽核準則

準則取決於採用的框架:ISO/IEC 27001 附錄 A 控制項、IEC 62443(工業用)、PCI DSS、NIST CSF 或 CIS Controls。在工業環境中直接套用資訊技術框架會得出錯誤結果;應選擇適合 OT(操作技術)的準則。

稽核範圍

資訊安全政策與治理架構
資產清冊與分類
風險評鑑流程與適用性宣告
身分與存取管理、特權帳號
網路區隔與邊界安全
端點防護與修補程式管理
加密技術與金鑰管理
日誌記錄、監控與偵測能力
備份與還原測試
安全軟體開發實務
供應商與雲端服務供應商安全
事件應變計畫與演練
營運持續與災難復原
意識培訓與人為因素

稽核流程

1選定適用準則確定稽核所依之標準、方案或法規；主題式稽核中，準則之選擇直接決定結果的意義。
2風險評估與範圍依組織之業務與所在地辨識風險領域，並據以規劃稽核人日。
3文件與紀錄審查審查政策、程序、許可、量測紀錄與既往稽核結果。
4現場稽核巡視相關區域，並執行與主題相應之量測、觀察與紀錄查核。
5員工訪談如主題有此需要，於獨立於管理階層之情形下與員工進行保密訪談，並將陳述與紀錄比對。
6法規遵循評估另行查核現行法規之遵循情形；法規不符合在任何方案中均屬最嚴重之發現類別。
7發現事項報告依嚴重程度將發現事項分級並彙整成報告。
8矯正措施與追蹤取得矯正措施計畫，並追蹤其於方案所定期限內結案。

發現事項

發現項依風險等級排定優先順序。可直接被利用的漏洞與缺失的政策檔案權重並不相同;報告中會明確區分這一點,並依風險建議修復順序。

稽核報告

稽核機構、稽核員與受稽方資訊
所適用之標準、方案或法規
稽核日期、期間與範圍
文件與紀錄審查之發現
現場觀察與量測結果
員工訪談之發現（如有進行）
法規遵循評估
發現事項、嚴重程度與證據
矯正措施計畫與期限

產出的界限

資訊安全稽核評估控制措施是否存在及其設計方式;並不保證每項控制措施在任何時刻都有效運作。稽核反映的是特定日期的狀況,而威脅環境持續變化。此外,稽核並非滲透測試:漏洞是否實際可被利用屬於另一項獨立的技術測試範疇。

認證資格

認證資格因稽核類型而異。作為管理系統驗證基礎之第三方稽核依 ISO/IEC 17021-1 執行，作為產品驗證基礎者依 ISO/IEC 17065 執行，此等範圍均受認證規範。第一方與第二方稽核，以及依方案擁有者自訂規則之稽核（如 SMETA、amfori BSCI），不屬認證驗證範圍；此類稽核依 ISO 19011 指引執行並產出報告。EUROLAB 持有依 ISO/IEC 17021-1 與 ISO/IEC 17065 之國際認可認證，由 IAF 多邊承認協議簽署機構核發；何種稽核可於認證範圍內提供，於報價階段以書面確認。

範圍與權限