資安議題逐漸受到重視,但資安工作要如何進行?人才規畫與培訓如何做?仍然令人頭痛,特別是在資安人才方面,不論大型企業、中型企業與一人資安等環境,都有各自不同的需求,也許需要一個更明確的方法論來幫助企業。

關於資安人才的培育,是近年政府與企業都關心的議題。在2016年底,向來以資通訊科系作為號召的國立交通大學,已經扮演拋磚引玉的角色,成立了針對資安在職人員的培訓管道「亥客書院」,在上週舉行的第14屆臺灣駭客年會社群場上,於週六早上的一場議程中,他們的教學發展組組長的張智凱博士,也從這一年半的資安實務教育經驗,提出他們的看法與具體建議。

企業常問,一家企業必須具備什麼樣的資安人才?乍看之下,這是一個很大的題目,不過他們這次提供了一個系統性的方法,讓企業能夠更容易去落實,那就是從規畫企業專屬職能地圖做起,再據此規畫人才需求。

至於企業要如何畫出資安職能地圖,張智凱也說明了具體的分類方式,就是從「工作性質」與「資安領域」來畫分類型。

前者的項目,包括了制度設計、系統設計與實做、營運維護與滲透測試,而後者包含威脅情資、資料保護、認證及稽核,以及可靠性與可用性。

如此一來,將可基於「工作性質」與「資安領域」兩個維度,以縱軸與橫軸的排列組合方式,將資安職能進一步切分為16種面向。不過他也補充,這是一種範例的分法,但重點是要讓企業能夠自行定義清楚。

在這樣的資安職能畫分下,對於不同規模、性質的公司,初估所需之資安人才,他們也有提供簡單又務實的建議。

例如,大型公司必須設立資安長辦公室,負責工作性質中的制度設計。並可依據資安領域的4個項目,成立專責的工作團隊,例如雲端儲存公司,就必需要有資料保護,以及負責可靠性可用性的團隊,其他較不核心的技術和工作,像是威脅情資分析或滲透測試的部分,就可以考慮委外執行。

中型企業最好也要設立資安長辦公室,或可由資訊長兼任,並下設一級資安部門,負責主導制度設計。不像大型公司的建議,是從資安領域的項目來成立團隊,中型公司主要從工作性質項目的角度出發。像是建立營運維護團隊,而系統設計與實做、滲透測試的部分,也可以考慮委外來執行。

在大型企業與中型企業之外,張智凱提到還有很多公司是一人資安的狀況,對此,他建議延攬較具資安視野的人才,負責規畫與營運的部分,其餘技術項目就是靠委外來幫助。

透過資安職能地圖盤點資安人才培訓的面向

進一步來看,企業該如何幫助內部資安人才的培訓?在此之前,先要瞭解資安培訓方向的分類,也就是學程。

張智凱再次從資安職能地圖談起,因為這也是能用來盤點資安培訓方向的工具。他表示,在他們的教育經驗中,可利用資安職能地圖畫分出5種學程:例如涵蓋制度設計項目的「管理法律專業學程」、關於威脅情資項目的「事故回應與處理學程」,以及滲透測試項目的「滲透測試學程」,另外還有兩個維度交錯而成的「網路與系統安控學程」,及「可靠性系統學程」。

以產業現況而言,一般產業可能缺乏專職資安人員,現有資訊人員也可能缺乏資安相關基礎底子,因為在他們的訓練過程中,沒有人告訴他們資安是件重要的事。另一方面,高層缺乏資安思維,更是讓員工不容易說服高層,畢竟資安領域的投資不容易看到的具體效益,沒有事情才表示有效。因此,他們也針對高階主管、資安人員與一般IT人員,提供資安課程規畫的建議。

首先,不要以為老闆就不用上課!其實老闆的資安教育更不能等。對於高階主管規畫的課程來說,他建議,必須要學習風險控管,其次是資安政策制訂。在他們的經驗中,很多老闆上完課其實就開竅了,接著讓員工也來上課。在他的經驗中,很多老闆不是不願意,只是沒有人告訴他資安很重要。

另外,針對資安人員的資安培訓,像是威脅管理營運相關單位,主要可從學習事件回應與處理方面的學程開始,深入一點就是營運維護方面的數位鑑識概念實做、網路流量分析與檢測,以及惡意程式檢測實務。

至於一般IT人員的資安培訓,由於沒有太多資安方面的基礎,因此從資安概念與資安新知開始學習,會更貼切一些,並要重視職務相關的單科,因為太深的內容不見得是他們需要的。因此,簡單一點,例如要讓寫軟體的人知道程式安全與系統滲透測試的事情,讓網頁開發的人,知道網頁安全開發與網頁滲透測試。目的是要讓他們有概念,才能在寫程式時更懂得要注意。

另外,張智凱也分享了,過去一年半亥客學院的相關開課統計資訊,例如,在修課學員的產業統計上,以金融會計、網通產業、法人和公部門三種產業最多,但其他產業的比例則相差懸殊。

至於不同課程的修課人次統計上,最受歡迎的是網頁滲透測試,其次為故應變與鑑識、系統滲透測試、程式安全、行動安全與虛擬化資安技術。

在資安人才規畫與培訓之外,張智凱也提到,駭客、學術與產業界雖存在著資安落差,但也都在資安領域努力,儘管彼此心態、目標可能存在很大差異,但也能形成一個互利的循環系統。而亥客書院也期望利用學術界的長處,扮演駭客界與產業界的橋樑,以協助縮短資安落差。


熱門新聞

Advertisement