資訊安全管理系統稽核初論：根基於資安健診與標準化

Abstract

隨著政府機關對資通安全的重視，我國整體資安防護體系之建立與資安防護能力之提升已見初步成效；今（2013）年行政院資通安全稽核作業計畫於2013年9月2日至10月31日，正式將「資安健診」的資訊安全技術項目控制措施之實作納入評分，開啟我國資訊安全管理系統（Information Security Management System，簡稱ISMS）稽核工作的新姿，並納入2013年12月15日「國家資通訊安全發展方案（102年至105年）」的「行動方案」之中。ISMS稽核遵循（ISO/IEC 27006）要求項目中之技術控制與系統測試已涵蓋前述「資安健診」的範疇，根基於此，本文期以中國大陸師法美國，所進行之資訊安全等級保護標準化作業與推動法規規範，闡述其運作過程、技術測評要求等；探討我國ISMS稽核工作項目中「系統測試」的全景，作為完善我國「資安健診」宜建立機制的參考。