資 訊 科 技 從 業 員 的 最 佳 作 業 實 務

一 個 機 構 可 以 將 其 資 訊 系 統 和 流 程 外 判 給 服 務 供 應 商 ， 但 是 沒 有 機 構 可 以 外 判 自 己 的 責 任 ， 尤 其 是 與 其 客 戶 間 的 法 律 責 任 。 在 外 判 時 ， 企 業 主 管 、 資 料 的 擁 有 者 和 終 端 用 戶 都 必 須 確 保 資 訊 安 全 。

• 如 果 外 判 服 務 會 涉 及 寄 存 資 訊 系 統 在 第 三 方 的 數 據 中 心 ， 機 構 必 須 先 對 寄 存 公 司 進 行 現 場 環 境 之 保 安 評 估 ， 然 後 才 可 作 出 是 否 採 用 其 外 判 服 務 的 最 後 決 定 。
  

• 如 果 客 戶 資 料 或 其 他 敏 感 資 料 會 被 傳 送 至 一 個 由 服 務 供 應 商 所 擁 有 的 伺 服 器 時 ，
  

  • 必 須 在 資 料 傳 輸 到 該 伺 服 器 之 前 ， 為 其 場 地 實 體 和 邏 輯 保 安 控 制 進 行 風 險 評 估 。
    

  • 服 務 供 應 商 應 為 機 構 設 立 一 個 獨 立 的 環 境 ， 用 以 分 隔 機 構 與 其 他 客 戶 的 資 料 。
    

  • 用 來 傳 輸 資 料 的 通 訊 路 徑 必 須 確 保 其 安 全 ； 敏 感 的 資 料 也 應 該 使 用 強 的 加 密 算 法 。
    

  • 當 伺 服 器 設 在 另 一 個 國 家 ， 因 不 同 的 司 法 制 度 所 造 成 的 影 響 也 應 加 以 考 量 評 估 。
    

• 因 為 服 務 供 應 商 的 工 作 人 員 在 執 行 外 判 服 務 時 ， 可 能 會 接 觸 到 機 構 的 內 部 資 料 ， 資 料 擁 有 者 必 須 要 知 道 資 料 儲 存 在 什 麼 地 方 ， 有 哪 些 人 會 接 觸 到 等 。
  

• 在 批 准 任 何 工 作 人 員 對 資 料 的 接 達 權 之 前 ， 必 須 要 充 分 了 解 為 何 需 要 接 達 ， 以 及 所 要 的 最 小 權 限 是 什 麼 。
  

• 並 應 定 期 進 行 帳 戶 及 接 達 權 限 的 審 查 ， 以 確 保 沒 有 授 予 過 大 的 接 達 權 限 。
  

• 也 應 對 審 計 追 蹤 作 出 定 期 查 核 檢 討 ， 以 確 保 沒 有 任 何 可 疑 的 活 動 （ 如 突 然 增 加 的 文 件 下 載 量 ） ， 因 為 這 可 能 是 反 映 違 反 保 安 的 徵 兆 。
  

• 亦 應 定 期 以 最 新 的 電 腦 病 毒 識 別 碼 及 其 偵 測 及 修 復 引 擎 ， 為 服 務 供 應 商 員 工 所 連 接 到 機 構 網 絡 的 電 腦 進 行 全 系 統 的 病 毒 掃 描 。