ISO 27001 架構下的漏洞管理：如何全面保障企業基礎設施安全

資訊安全面臨哪些威脅與風險？

在 ISO 27001 的語境下，漏洞管理主要針對技術層面的漏洞。這些漏洞若未妥善處置，極易演變為對企業或機構 IT 安全的嚴重威脅，常見類型包括：

• 勒索軟件（Ransomware）：透過加密數據載體以勒索贖金，甚至藉此竊取並威脅公開敏感數據。
• 遠端存取木馬（RAT）：未經授權取得網絡的遠端控制權限。
• 網絡釣魚（Phishing）与垃圾電郵（SPAM）：透過電郵誘導致使系統控制權失守。近年黑客常用的偽裝手段，是利用歐盟《一般數據保護條例》（GDPR）合規審核為藉口，發送電郵要求收件人點擊連結以「核實客戶數據」；寄件者往往偽裝成銀行甚至 PayPal 等知名平台。
• DDoS 攻擊／殭屍網絡（Botnets）：發射海量數據封包癱瘓系統，嚴重破壞系統的可用性與完整性。
• 國家級網絡恐怖分子、駭客激進分子、犯罪集團及內部內鬼：帶來多元化且複雜的立體化威脅。
• 欠缺或不完善的維運流程：為黑客入侵提供可乘之機。

要識別因上述威脅所產生的漏洞與安全死角，企業必須依照 ISO 27001 進行全面的保護需求評估，進而建立系統化的漏洞管理機制，透過持續性的漏洞評估（Continuous Vulnerability Assessment）確保 IT 基礎設施的安全。

ISO/IEC 27001:2022《資訊安全、網絡安全与私隱保護 – 資訊安全管理體系 – 要求》

最新版 ISO 標準已於 2022 年 10 月 25 日修訂並正式發布。

流程欠妥——資訊安全的重大威脅？

如果企業缺乏一套系統化的日誌數據分析流程、無法即時掌握技術漏洞，且未對 IT 系統進行深度檢視，便根本無法開展客觀貼實的風險評估。此外，缺乏或不完善的流程，亦無法讓企業建立符合 ISO 27001 要求的「風險接受標準」或精準判定「风险等級」。

其必然結果是：企業的 IT 安全及整體資訊安全風險將無法被準確評估，在管理層面只能被迫將風險視為最高級別來處理。

ISO 27001 語境下的漏洞管理：全方位保障基礎設施安全

保障 IT 基礎設施安全的一項極具實效的措施，正是對潛在漏洞與安全死角進行系統化管理。這包括定期、系統化且透過網絡控管的方式，對所有系統進行技術漏洞掃描與滲透測試（Penetration Testing）。所有被識別出的漏洞，均須依照 ISO 27001 的規範妥善記錄於資訊安全管理體系（ISMS）中。

同等重要的是，企業必須精準定義對 IT 安全及整體資訊安全所構成的威脅。在此過程中，技術漏洞須依照其嚴重程度（CVSS 評分）排列優先次序，並最終予以修復。依照 ISO 27001 漏洞管理的要求，對修復後殘餘技術漏洞進行剩餘風險評估，並最終由管理層進行風險接受，亦是不可或缺的環節。

在評估漏洞嚴重程度時，企業可採用業界通用的通用漏洞評分系統（CVSS）。該系統透過基準指標（Base Score Metrics）計算出 0 到 10 分的綜合分值，主要考量問題包括：攻擊者需要多「接近」受漏洞影響的系統（攻擊途徑 Attack Vector）？攻擊者發動攻擊的難易度如何（攻擊複雜度 Attack Complexity）？利用該漏洞需要甚麼級別的存取權限（所需特權 Privileges Required）？是否需要第三方配合，例如誘騙使用者點擊連結（使用者互動 User Interaction）？機密性是否遭受破壞（機密性影響 Confidentiality Impact）？

您可於美國國家標準技術研究所（NIST）官方網站找到便利的 CVSS 計算器。

企業如何防範技術漏洞威脅？

以防範惡意軟體為例，企業可透過導入防禦、偵測与數據安全措施，並結合員工安全意識培訓，構建預防性防線。具體而言，在 ISO 27001 漏洞管理的框架下，若要防止技術漏洞被黑客利用，企業必須：

• 即時獲取所使用資訊系統的最新技術漏洞情報；
• 客觀評估自身系統的受威脅程度（Vulnerability）；以及
• 迅速採取消除風險的適當措施。

上述目標可透過安裝安全補丁（修補程式管理 Patch Management）、隔離受威脅的 IT 系統，或在必要時直接關閉系統來達成。此外，企業亦必須制定並嚴格執行關於使用者安裝軟體的權限指引。

漏洞管理與 ISO 27001 安全概念的關鍵考量

在認證審核過程中，審核員可能會針對以下問題進行深入了解，建議企業在準備階段預先審視：

• 貴公司是否已針對技術漏洞的處置與監控，確立明確的角色與權責劃分？
• 貴公司是否已建立多元且可靠的情報來源，以即時獲知最新的技術漏洞資訊？
• 當接獲漏洞通知或發現新漏洞時，是否訂有明確的回應與修復時限？
• 貴公司是否已針對漏洞對企業資產造成的影響，完成客觀的風險評估？
• 貴公司是否已全面掌握現有的技術漏洞狀況？

若您希望深入了解德國在網絡空間所面臨的整體威脅形勢，可於德國國家資訊安全辦公室（BSI）官網（https://www.bsi.bund.de）下載英文版的《2019 年 IT 安全狀況報告》。

ISO 27001 漏洞管理：總結分析

在 ISO 27001 的架構下，漏洞管理是一項必須定期執行的持續性流程。ISO 27001 要求審核與評估的結果必須具備「有效性（Valid）」。這意味著，單次進行的漏洞掃描与風險評估，其效力僅停留在執行的特定時間點；一旦日後進行了軟體更新或網絡拓撲結構變更，都可能衍生出全新的漏洞。因此，單次掃描結果在日後的審核（如重新認證）中將不再被視為有效證明。

漏洞掃描的結果僅在執行當下有效。因此，企業的核心任務在於：建立持續跟蹤、驗證及定期重複執行漏洞管理的機制，並將相關數據即時反饋至資訊安全管理體系中，以維持防線的動態安全。

DQS：以品質創造卓越價值

我們將自己定位為客戶至關重要的戰略夥伴，在平等互信的基礎上攜手合作，為企業創造可持續的卓越價值。我們的目標是透過最精簡高效的流程、高度的履約時效与可靠性，為企業的商業成功注入具備實質附加價值的推動力。

我們的核心專長在於執行認證審核與專業評估。這使 DQS 成為全球領先的驗證機構之一，並始終以在可靠性、品質及客戶導向方面樹立業界新標竿為己任。