歡迎來到 D 單元：網絡安全組織特性

你好！歡迎來到你 P3 課程大綱中最關鍵的課題之一。過去，各機構常將網絡安全視為完全委派給 IT 部門的技術問題。但在現代企業風險管理中，網絡安全被公認為一項整體的業務風險，受到組織架構設計、領導力、文化以及營運控制措施的管治。

為什麼這很重要？ 作為一名策略財務專業人士，你必須理解機構如何構建其管治、人力資本、第三方關係及內部控制，以抵禦網絡威脅並保護股東價值。

1. 管治、問責與領導力

一個具備網絡韌性的組織，始於強而有力的管治與明確的「高層基調」（Tone at the Top）。

董事會監管與高層基調

董事會最終對企業風險管理（包括網絡安全風險）負責。雖然董事不需要懂得編寫代碼的技術，但他們必須：
• 設定機構的網絡風險胃納（Cyber Risk Appetite）與風險容忍度界限。
• 確保為網絡安全計劃、技術與培訓分配足夠的資源。
• 樹立並傳達有關數據保護與數字資產的高標準誠信與道德價值觀。
• 要求執行管理層對制定和維持網絡安全風險管理計劃（CRMP）承擔責任。

類比：將董事會視為船長。他們不需要親自維修船隻引擎，但他們有責任確保航行安全、落實安全規程、提供充足資源，並確保船隻不會為了節省成本而駛入危險海域。

問責制與 CISO

成熟的組織架構會建立清晰明確的問責界線。許多機構會任命一名資訊安全總監（CISO）。CISO 充當技術安全營運與高層業務策略之間的橋樑，確保網絡安全風險能客觀地向執行領導層及董事會的風險委員會呈報。

聘用及培育合資格人才

網絡安全能力在很大程度上取決於勝任的人力資源。具備網絡韌性的組織特性包括：
• 審查與背景調查： 對處理敏感數據的員工及外判商進行背景調查。
• 聘用合資格員工： 招聘在安全架構和風險分析方面具備認證專業知識的人才。
• 持續培訓與發展： 讓網絡安全人員掌握最新演變的威脅途徑及法規責任。

2. 管理供應商與業務夥伴的網絡風險

現代企業高度依賴第三方，包括雲端服務供應商、軟件供應商、外判服務中心以及供應鏈合作夥伴。然而，將活動外判並不代表將風險外判。

第三方風險管理（TPRM）

機構必須識別、評估並管理因第三方連線與系統整合所引發的風險：
• 盡職審查與准入導入： 在簽約前評估潛在供應商的網絡安全控制措施及合規狀況。
• 合約責任與服務水平協議（SLA）： 將網絡安全標準、審計權條款、安全漏洞通報強制規定以及數據保護要求納入服務水平協議中。
• 最小權限原則（Principle of Least Privilege）： 嚴格限制供應商與合作夥伴的系統存取權限，僅開放其執行特定業務功能所需的部分。
• 持續監控： 定期審閱第三方審計報告（例如 SOC 2 或 ISO 27001 認證）並評估供應鏈的漏洞。

3. 傳達網絡安全目標與期望

健全的網絡安全框架需要持續向內部和外部用戶傳達目標、期望與責任。

內部用戶（員工與外判商）

• 傳達關於妥善保管密碼、憑證及敏感數據的明確期望。
• 定期開展安全意識培訓計劃，涵蓋常見的社交工程手法，例如網絡釣魚和冒充攻擊。
• 營造積極響應且具支持性的文化，鼓勵員工在不慎點擊惡意連結或懷疑出現漏洞時立即舉報，無須擔心受到處罰。

外部用戶（客戶、顧客與業務夥伴）

• 傳達使用門戶網站及客戶賬戶時的多重身分驗證（MFA）要求與安全互動程序。
• 發布清晰的私隱聲明與安全披露，說明如何處理和保護敏感數據。
• 為合作夥伴及安全研究人員建立正式、安全的渠道，以便舉報所發現的漏洞或事故。

4. 網絡安全政策與控制措施

組織管治是透過正式的公司政策以及針對漏洞設計的專項內部控制措施來具體執行的。

核心網絡安全政策

• 可接受使用政策（AUP）： 界定公司 IT 資產、個人自攜設備（BYOD）以及數字渠道的可接受使用規範。
• 存取控制政策： 管治用戶權限配置、多重身分驗證、強密碼以及基於角色的存取權限。
• 數據分類與處理政策： 對數據進行分類（例如：公開、內部、機密、受限），並確立加密、存儲和保留的規程。

預防性控制與偵測性控制

• 預防性控制： 旨在防止事故發生（例如：防火牆、靜態與傳輸中數據加密、多重身分驗證、IT 管理中的職責分離）。
• 偵測性控制： 旨在及時識別事件與漏洞（例如：自動化系統事件日誌記錄、入侵偵測系統、常規漏洞掃描、獨立安全評估）。

5. 網絡安全中的三道防線模型

CIMA 應用「三道防線」模型，為網絡風險提供結構化的保證：

第一道防線：營運管理與 IT 職能
負責日常的風險管理、維護安全配置、修補系統漏洞、實施防火牆規則以及執行營運安全控制措施。

第二道防線：風險管理與資訊安全合規
制定總體的網絡安全框架與政策、對照董事會的風險胃納監控風險敞口、追蹤法規合規情況，並對第一道防線的營運提供獨立質詢與制衡。

第三道防線：內部審計
就第一道防線控制措施及第二道防線管治的充分性與營運有效性，向董事會及審計委員會提供獨立、客觀的保證。

6. 總結與考試回顧

考試中應避免的常見錯誤：

• 將網絡風險僅視為 IT 問題： 網絡風險是企業層面的風險，由董事會和高層領導共同承擔。
• 忽視第三方風險： 安全漏洞往往源於擁有授權存取權限的外部供應商和供應鏈夥伴。
• 忽略人力資源控制： 有效的網絡安全需要勝任且經過嚴格審查的員工，以及持續的全體員工培訓，而不單單是技術軟件工具。

快速回顧：

• 高層基調： 董事會負責設定風險胃納、資源水平和道德期望。
• 人力資本： 嚴格審查、聘用合資格人才及持續培訓有助減少漏洞。
• 供應商管理： 嚴謹的盡職審查、SLA 和最小權限存取能有效管理供應鏈風險。
• 溝通： 安全期望必須主動傳達給內部及外部用戶。
• 政策與控制措施： 正式政策是預防性控制（阻止威脅）與偵測性控制（迅速發現威脅）的基石。
• 三道防線： 營運管理（第一道防線）、風險與合規（第二道防線）以及內部審計（第三道防線）。