資訊安全｜ ISOIEC 27001 2022條文解析

近來由於資料庫軟體爆發重大安全漏洞，並演變出一種新的攻擊型態，導致全球已有大量受害案例傳出，資訊中心主任要求稽核人員針對全中心的相關資料庫軟體進行一次資安稽核。

資安稽核作業，大體可分為準備作業、前置作業、實施作業及檢討作業等4 階段，其中研擬年度稽核整體規劃、受稽機關、稽核委員建議名單及調修稽核項目等為哪一階段辦理事項?

稽核不能如”散彈打鳥”,稽核分為兩種手法:一是「橫向稽核手法」,如同樣的資安紀錄抽調多份來查核,另一是「縱向稽核手法」,以點→ 線→面:全面串連來稽核(路徑串連)。

廣義而言,所有對某項特定活動所進行之獨立調查均可稱為稽核。 而根據其性質不同,又可細分為財務報表稽核、作業稽核、遵行稽核等。

近來由於資料庫軟體爆發重大安全漏洞，並演變出一種新的攻擊型態，導致全球已有大量受害案例傳出，資訊中心主任要求稽核人員針對全中心的相關資料庫軟體進行一次資安稽核。

問：針對資通安全維護計畫與實施情形之持續精進及績效管理機制的稽核上，受稽機關須知悉資通安全事件後，需於規定時間內完成損害控制或復原作業，並持續進行調查及處理，於1個月內送交調查、處理及改善報告，且落實執行。