BS7799基礎下資訊安全架構之探討－以人壽保險業為例－

A Study of Information System Security Management Based on BS7799 Framework in Life Assurance Industry

陳鑫如(Hsin-Ju Chen)

指導教授 ： 皮世明

中原大學/商學院/資訊管理研究所/碩士(2005年)

https://doi.org/10.6840/cycu200500524

摘要

根據IDC研究報告，亞太地區的企業用戶對企業資訊安全的認知相當高，儘管IT預算緊縮，但用於安全性解決方案的比例仍有逐漸成長的趨勢。我國資訊安全市場，隨著國家資安工業快速發展，政府與民間企業對資訊安全也有了相當程度的認知與體認，資訊安全市場規模持續成長，MIC最新研究報告預估，國內資安市場規模將由2003年的新台幣73.2億元，成長到2006年的146.6億元，年複合成長率達26.2%。由不斷發生的資安事件看來，資訊安全(Information Security)確實值得企業重視的一環。 因此我們必須有一套安全管理機制可應用於企業中，提昇企業內部人員對資訊安全的重視及警覺度，以達到某種程度的資訊安全防護。
金融保險業對於客戶資料特別重視，客戶資料則是公司保貴的資產，面對不斷發生資安事件的環境，金融保險業對資訊安全管理的觀念特別容易接受及重視。過去有許多文獻則是專注在探討金融業的資訊安全尤其是以銀行業最多，對於人壽保險業則較少，但是隨著國人對於人壽保險的重視，保險業也因此蓬勃發展。當然在資訊安全方面的重視也隨之升高，因此也促使我對人壽保險業在資安管理上研究的動機。然而大企業在各方面的資源獲取相對地較中小企業容易，但這並不代表中小企業就不需要資訊安全管理，而且資訊安全管理並非重在技術而是著重於管理。
本研究擬以BS7799為資訊安全標準，瞭解人壽保險業資訊安全管理現況、實行時面臨的主要困難處及就人員、管理及政策三方面對其之影響。透過訪談結果分析人壽保險業大型企業與中小型企業對於資訊安全管理著重的控制要項之異同。

研究結果顯示：
一、人壽保險業大型企業在安全政策、安全組織、實體與環境安全管理、通訊與操作安全管及符合性方面都傾向較中小企業佳。
二、中小企業在資產分類與安全管制方面傾向較大型企業容易控管。
三、以BS7799十大管理領域控制要項達成之完整度來看，人壽保險業大型企業傾向比中小企業在資訊安全管理範圍上較完整。
四、人壽保險業大型企業在人員、資訊資產控管及存取控制方面較可能產生困難，而中小企業因人員、政策、技術及財力方面的限制對中小企業施行資訊安全管理有其困難處。
五、不論企業規模大小，高階主管都傾向注重資訊安全管理。
六、中小企業傾向開始注重資訊資產。

關鍵字

人壽保險 ； 資訊安全 ； 資訊安全管理系統

並列摘要

Base on IDC research reports , Asia Pacific Zone of enterprise are facing to think highly of Information Security. Even though reduce IT buget , but using in security solution cost is to grow up. Information Security market is base on security industry. The government and enterprise are accept that information security concept. The latest MIC research report to expect , internal information security market scope will group from 73.2 hundred million to 146.6 hundred million , group up rate is to reach 26.2%. In accordance with continuous information security incident , information security is really obtain enterprise to respect. For this reason , we must have security management control to apply in enterprise , to raise respect and alertness for enterprise internal people.
Life Assurance Industry especially respect to information security , customer privacy information is an enterprise assets. In fact , information security incident always happen. In the past , a lot of document is focus on banking , is more than life assurance industry.
The study is base on BS7799 to understand current information security management in life assurance、the hard to implement and focus on people、management、policy to effect information security management. Via interview to analyze control object difference between big business and small business.
The study to show:
1. Big business on security policy、security organization、physical and environment management、communication and operation management and compliance is better than small business.
2. Small business on assets control is better than big business.
3. Big business is fullness than small business base on BS779 10 control domains.
4. Small business on people、policy、technical and wealth is restrictions on information security management.
5. No matter , management level will be focus on information security management.
6. Small business on focus information assets control.

Key Word : Life Assurance、Information Security、Information Security Management System（ISMS）

並列關鍵字

Information Security ； Information Security Management System(ISMS) ； Life Assurance

參考文獻

3.王素彎，中華經濟研究院副研究員，國家政策論壇 中小企業的現況與未來，第一卷第七期，2001

5.王凱，資訊安全市場發展現況與趨勢，2003

26.黃俊英，行銷研究，華泰書局，1996

35.樊國楨，資訊及相關技術之控管目的與應用簡介，資訊安全通訊，第五卷，第三期，1-7頁，1999年

36.樊國楨，資訊安全工作初始方向芻議，資訊安全通訊，第六卷，第四期，1999年