安全組態管理對資訊確保之形式面與實質面的影響

The Influences of Security Configuration Management on Information Assurance: The Symbolic and Substantive Perspectives

楊宸賓(Chen-Bin Yang)

指導教授 ： 孫嘉明

國立中正大學/管理學院/會計與資訊科技學系/碩士(2015年)

摘要

當今資訊科技快速發展，不但組織資訊系統環境日趨複雜，評估資訊科技風險也變得更加困難。雖有各種國際資訊安全標準相繼制訂推出，但對於參與資訊確保活動的人員而言，於評估資訊安全風險時，容易陷於法令遵循與規範標準的概念描述（形式面）與資訊產品設備實際的軟體設定配置間（實質面）的認知落差，而不易分析及評量現有設施資訊安全控制的有效性與對資訊確保的信心程度。
本研究探討安全組態管理機制對於資訊確保之形式面與實質面的影響，其是否有助於將複雜的資訊科技潛在威脅與風險因素，轉換為易於風險評鑑決策的資訊安全評量基準，進而提昇對於資訊確保的掌控信心程度？研究程序中，分別以深入訪談及量化問卷設計，針對三種不同類型（形式面、實質面、組態管理）的資訊安全查核項目，評估不同知識背景的資訊人員與稽核人員，對不同類型查核項目的風險評估結果與資訊確保信心程度是否存在差異？研究問題如下：
(一) 不同部門的人員對於資訊確保於形式面與實質面的認知差異為何？
(二) 安全組態管理可否影響資訊確保形式面與實質面之間的互動關係？
(三) 如何應用安全組態管理進行資訊確保之風險評鑑？
研究結果中發現：稽核人員與資訊人員之間的認知差異無顯著差異，表示在雙方容易接收不同構面的資訊安全知識，已逐漸縮短認知差異；但部分構面風險評估結果仍與安全組態標準之建議重要程度具有差異。進一步分析，發現安全組態管理資訊對於形式面與實質面的認知互動，在部分構面上顯著改變人員的認知判斷，顯示安全組態管理有助於對資訊安全查核項目的風險認知與執行查核上的溝通。另外，經由重要表現分析法則是有助於瞭解雙方在形式面、實質面與安全組態的風險認知與執行掌控程度的共同與差異之處。
關鍵詞：安全組態管理、資訊確保、資訊科技風險、風險評鑑

關鍵字

資訊科技風險 ； 資訊確保 ； 安全組態管理 ； 風險評鑑

並列摘要

With the rapid development in the IT industry, it has contributed to a more complicated environment for organizational information systems and also has made the risk assessment on information technology more difficult. Although there are all kinds of international information security standards available for professionals involved in information assurance to refer to, it is still difficult to analyze and assess the validity of the information security management and the confidence in the information assurance due to the gap between the theoretical information security standards and the software configuration setting in reality.
The study investigated how the security configuration management influenced the symbolic and substantive perspectives of the information assurance and whether it facilitates the risk assessment on information. The study employed the deep interview model and qualitative questionnaire to evaluate MIS and auditors of different backgrounds to probe how differently they react to the check-list items of information security. The research questions in the present study were addressed as follows:
1. How do MIS and auditors perceive differently to the gap between theory and reality when it comes to the information assurance?
2. Does the security configuration management influence the information assurance?
3. How does the security configuration management apply to the information risk assessment?
The study results showed no significant difference between MIS and auditors in their perceptions toward the information assurance. Furthermore, the information provided by security configuration management helps to bridge the gap between MIS and auditors. Both sides know better analysis of significant trends in the symbolic, substantive perspectives and security configuration and implementation of important points in common and differences through Importance-Performance Analysis.
Keyword：Security Configuration management、Information Assurance、Information Technology Risk、Risk Assessment

並列關鍵字

Information Technology Risk ； Information Assurance ； Security Configuration Management ； Risk Assessment

參考文獻

金融監督管理委員會 (2013)。公開發行公司建立內部控制制度處理準則。

萬文隆 (2004)。深度訪談在質性研究中的應用。生活科技教育月刊，37(4)， 17-23。

蕭瑞祥 (2005)。組織資訊安全認知評量與訓練。中華民國電腦稽核協會。

魏銪志 & 祝亞琪 (2012)。 資訊安全風險管理在實務面的挑戰。資訊安全通訊，18(4)，143-154。

Alsaleh, M. N., & Al-Shaer, E. (2011). SCAP Based Configuration Analytics for Comprehensive Compliance Checking. In Configuration Analytics And Automation (safeconfig), 2011 4th Symposium on (pp. 1-8). IEEE.