【臺灣企業資安急先鋒經驗談】勤業眾信自建CSIRT且與國際資安組織接軌

勤業眾信深耕資安風險與數位鑑識領域，除了有全臺灣繼調查局之後、也是民間第一間通過國際標準ISO 17025的資安鑑識實驗室外，日前納入防範舞弊調查的專業人員，組成臺灣勤業眾信的電腦資安事件應變團隊（CSIRT），更於今年五月，繼行政院技服中心、國網中心TWCSIRT、TWCERT/CC、臺灣趨勢科技之後，正式加入跨國的資安應變與安全組織FIRST（Forum of Incident Response and Security Teams），臺灣勤業眾信也是臺灣第五間加入FIRST的組織、第二間民間企業。

為了加入FIRST這樣的跨國資安應變與安全組織，臺灣勤業眾信風險諮詢服務協理陳威棋表示，該公司CSIRT團隊光是為了優化所有的內部流程和作業程序，就花三個月以上的時間，正式準備也有差不多歷經半年的時間，就是希望透過加入這樣國際組織的契機，磨練臺灣勤業眾信CSIRT團隊包括資安工具應用能力、資安事件處理能力和以及優化資安事件處理流程和更新所有SOP。

臺灣已有銀行業和保險業，評估自建CSIRT團隊的可行性

陳威棋指出，該公司的CSIRT團隊前身其實就是從2012年開始打造的數位鑑識團隊，逐步累積資安事件處理和資安鑑識的能力後，直到2014年正式成立資安鑑識實驗室後，整個團隊的雛形更為完整，之後再加入預防商業舞弊的工作職掌，正式成立勤業眾信CSIRT團隊。

臺灣勤業眾信CSIRT團隊的建置方向，除了協助客戶端的資安和舞弊事件的調查外，也會協助客戶自行建置相關的CSIRT團隊。陳威棋表示，目前臺灣已經有少數的金融業者和保險業者，跟他們詢問自行建置CSIRT團隊的可行性評估，雖然目前臺灣並不像日本，有一股企業自建CSIRT的風潮和趨勢，但他認為，從產業的實際需求加上未來立法通過的資安管理法的規範，都有助於鼓勵企業成立類似的資安應變小組。

臺灣的銀行業者雖然剛開始在試探自行建置CSIRT團隊的水溫而已，但陳威棋援引外商銀行業者的實例發現，當企業內部有CSIRT團隊時，就可以在第一時間確認，企業內部是否有發生資安事件，以及確認資安事件波及的範圍有多大。「CSIRT團隊的存在，就是企業有無處理資安事件能量的展現。」他說。

但目前來看，陳威棋認為，多數臺灣的銀行業者則是傾向，先把兼任的資安人力找出來，確認資安人力的任務職掌中，除了肩負通報的任務之外，是否已經包含資安事件應變處理的任務在內。

「因為，只有內部的人才能真正了解爆發的資安事件，對企業營運流程造成的真實衝擊和影響。」他說，但實際上，許多金融業面臨的資安問題在於，很多Web服務其實是行銷單位管而不是資訊或資安部門管；資訊部門平常不會看Web，認為有WAF擋住就安全了；有些主機代管業者的應用程式語法並不安全，但企業主因為不知道該如何要求委外廠商。凡此種種，都讓企業自建CSIRT團隊有必要性。

資安人才難尋，是臺灣企業自建CSIRT團隊的大難題

陳威棋認為，有五種企業是願意投資在打造CSIRT團隊上，第一種是企業文化本身就是將資安視為營運重點的企業；第二種就是曾經爆發過類似資安事件的企業，迄今仍心有餘悸；第三種是看到其他同業曾經爆發嚴重的資安事件，引以為鑑的企業；第四種則是有法規遵循要求的企業；以及第五種是希望透過定期演練，提升企業整體資安意識的企業。

但他也觀察到，這些CSIRT團隊成員都必須要先受過相關的訓練，專業資安人才也帶來比較高的建置成本，因此，「如何事先確定有適合加入CSIRT團隊的成員，往往才是企業能否自建CSIRT團隊的關鍵之一。」他說，其他要成功自建CSIRT團隊的關鍵則包括：如何定調相關的應變機制與SOP；制定相關的規則，並且分析面對資安事件時，團隊可以怎麼做，且針對實務經驗做分享；最後，就是CSIRT團隊如何有效產生並應用相關的資安威脅情資。