持 續 監 控

商 業 環 境 是 不 斷 變 化 的 ， 科 技 亦 然 。 資 訊 保 安 的 技 術 ， 以 及 保 安 職 務 和 職 責 ， 可 能 都 會 隨 著 時 間 而 改 變 。 機 構 應 要 對 保 安 運 作 和 接 達 控 制 作 出 定 期 的 檢 討 。 在 外 判 合 約 開 始 前 ， 服 務 供 應 商 可 能 會 忽 略 了 某 些 外 判 運 作 上 的 一 些 細 節 ， 定 期 覆 檢 可 提 供 一 個 渠 道 讓 雙 方 互 相 評 估 服 務 ， 並 作 出 必 要 的 調 整 。

• 保 持 安 全 性 的 最 佳 做 法 ， 包 括 自 動 更 新 電 腦 病 毒 識 別 碼 、 定 期 檢 測 和 更 新 偵 測 及 修 復 引 擎 、 定 期 覆 檢 並 在 操 作 系 統 及 應 用 系 統 安 裝 最 新 的 保 安 修 補 程 式 或 修 復 程 式 ， 並 且 在 任 何 時 候 都 要 實 行 嚴 格 的 密 碼 政 策 。
  

• 在 某 些 情 況 ， 機 構 需 要 將 一 些 特 殊 權 限 帳 戶 （ 如 Windows伺 服 器 的 administrator管 理 員 帳 戶 或 Unix系 統 的 root帳 戶 ） 授 予 服 務 供 應 商 。 機 構 應 對 這 些 特 殊 權 限 帳 戶 的 活 動 進 行 監 察 、 記 錄 及 定 期 作 出 檢 討 ， 並 與 更 改 要 求 作 出 比 較 。
  

• 當 一 個 服 務 供 應 商 的 員 工 辭 職 或 離 開 後 ， 所 有 分 配 予 該 員 工 的 帳 戶 和 接 達 權 限 必 須 盡 早 予 以 撤 銷 或 收 回 。
  

• 為 了 確 保 有 效 及 全 面 地 進 行 檢 討 ， 機 構 須 保 存 ：
  

  • 一 份 載 有 服 務 內 所 有 的 伺 服 器 和 系 統 的 清 單 ， 以 及 那 些 系 統 會 儲 存 敏 感 或 個 人 資 料 。
    

  • 一 份 服 務 供 應 商 支 援 人 員 的 名 單 ， 包 括 授 予 的 用 戶 帳 戶 和 接 達 權 限 。
    

  • 一 份 已 移 交 給 服 務 供 應 商 的 資 料 （ 尤 其 是 敏 感 或 個 人 資 料 ） 之 清 單 。
    這 些 資 料 應 保 持 準 確 ， 並 不 斷 更 新 。 不 準 確 或 不 完 整 的 清 單 ， 可 能 是 外 判 服 務 管 理 上 發 生 問 題 的 徵 兆 之 一 。

• 故 應 該 定 期 進 行 審 核 ， 以 確 保 合 約 上 的 安 全 控 制 機 制 的 完 善 執 行 。