IT 安全 vs. 資訊安全：兩者有何分別？

IT 安全 vs. 資訊安全

資訊安全絕非僅限於 IT 安全，其視角貫穿整個企業的營運體系。畢竟，保護機密資訊的目的，不單是為了保障電子系統所處理的數據。資訊安全涵蓋了企業內部所有需要保護的資產，包括紙本等實體數據載體。

「『IT 安全』與『資訊安全』是兩個（目前）不能劃上等號的專業術語。」

資訊安全的核心保護目標

資訊安全的三大核心保護目標——機密性（Confidentiality）、可用性（Availability）與完整性（Integrity）——同樣適用於實體情境。例如一份裝有重要合約文件的信件，經由速遞員運送時，必須準時、可靠且完好無缺地送達收件人手中；這完全是實體運送過程，但同樣嚴格受制於三大保護目標。

同樣地，若一張印有機密資訊的紙張被隨手遺留在無人看管的辦公桌上，或放置在影印機內任人索取，就會面臨未授權存取的風險，這亦屬於資訊安全管控的範疇。

由此可見，資訊安全的涵蓋面比 IT 安全更為廣泛。相對而言，IT 安全「僅」聚焦於保護 IT 系統內的資訊。

IT 安全的官方定義

官方機構如何定義 IT 安全？根據德國國家資訊安全辦公室（BSI）的定義，IT 安全是指：

「透過適當措施，將使用資訊科技時因威脅及漏洞所引致的風險降低至可接受水平的狀態。因此，IT 安全即代表資訊與資訊科技的機密性、完整性及可用性均受到適當措施妥善保護的狀態。」

資訊安全 = IT 安全 + 擴展範疇

在日常營運中，有些人習慣使用「資訊安全 = IT 安全 + 數據保護」這個公式來理解，但這種算式化的表述過於簡化。

誠然，在歐盟《一般數據保護條例》（GDPR）下，數據保護的核心在於保障個人私隱。這要求個人數據處理者既要具備安全的 IT 系統，亦需建立安全的實體建築環境，以防止客戶數據紀錄遭實體入侵。然而，這個簡易公式卻忽略了不需要涉及個人私隱、但對企業至關重要的實體數據——例如企業的建築設計圖紙、核心工藝技術等。

因此，「資訊安全」包含了一系列超越純粹技術範疇、但始終涵蓋技術層面的基本準則。相較之下，在 IT 安全範疇內所採取的各項技術或組織性措施，都是在整體資訊安全的大框架下進行部署。常見範例包括：

• 保障硬件設備的供電穩定性
• 部署硬件過熱防範機制
• 執行病毒掃描與採用安全應用程式
• 規劃與管理資料夾權限結構
• 設定及定期更新防火牆防線
• 為員工提供資訊安全意識培訓等

顯而易見，電腦與 IT 系統本身若無資訊需要進行數碼處理或傳輸，硬件与軟體便失去價值。因此，保護 IT 的根源，依然是為了保障其所載負的資訊。

法定 IT 安全要求：以德國為例

在關鍵基礎設施（CRITIS）領域，IT 安全法例主要聚焦於涉及民生與經濟命脈的核心行業，例如電力、天然氣、水務供應、交通運輸、金融、食品及醫療健康等。

此類法規的核心目的，在於保護 IT 基礎設施免受網絡犯罪威脅，以維持 IT 系統的可用性與安全性；特別是當今高度數碼化控管的遠端遙測與控制系統，更需重點防護。

其核心保護目標包括（摘要）：

• 評估與考量 IT 安全風險
• 制定完善的 IT 安全概念規劃
• 建立緊急應變預案
• 部署整體安全預防措施
• 監控與管理網絡安全
• 採用密碼學加密技術等

ISO 27001——資訊安全的權威國際標準

ISO 27001 標準有何規範？作為全球公認的資訊安全管理體系（ISMS）權威標準，ISO/IEC 27001:2022（及其衍生標準 ISO 27019、ISO 27017 與 ISO 27701）的官方全名為：

《ISO/IEC 27001:2022 資訊安全、網絡安全与私隱保護 – 資訊安全管理體系 – 要求》

此重要標準的最新修訂版已於 2022 年 10 月 25 日發布。（舊版 ISO/IEC 27001:2013 的過渡期已於 2025 年 10 月結束）。

從標準名稱可清晰看出，IT 安全在當前及未來的資訊安全體系中佔據著舉足輕重的地位。然而，ISO 27001 所提出的管理要求，絕非僅單純針對數碼 IT 系統：

「在 ISO/IEC 27001 的條款中，『資訊』一詞贯穿始終，概無例外。」

原則上，標準在處理或保護資訊時，並不會對「實體/非數碼」或「數碼」形式做出本質上的區隔。

若想獲取更多資訊安全的專業知識或評估企業認證可行性，歡迎了解更多 ISO 27001 認證服務。

成功導入 ISMS 能為企業構建全方位的安全策略：涵蓋組織管理措施、具安全意識的人力資源管理、所部署 IT 架構的安全性，以及對各項法規要求的嚴格遵循。