實踐 SSDLC 與《資通安全稽核計畫及稽核作業》⏳


  1. 說明
    1. 稽核準則
  2. 稽核辦理方式
    1. 資料庫安全檢測
    2. 組態設定安全檢測 GCB
    3. 核心資通系統安全檢測
    4. 實地稽核技術面重點
  3. SSDLC
  4. 相關連結

logo

說明

稽核準則

資通安全管理法及其子法
國家資通安全發展方案(110年至113年)
資訊安全管理系統國家標準 CNS 27001:2014
資訊安全管理系統國際標準 ISO 27001:2013
服務管理系統國際標準 ISO 20000-1:2018
受稽機關之資通安全維護計畫

稽核辦理方式

包含機關自評、技術檢測與實地稽核。

資料庫安全檢測

受稽核對象以核心系統資料庫為主。

透過訪談及實際檢視方式,抽測 10 項資料庫安全檢測項目,包含特權帳號管理、資料加密、備份保護、弱點管理、存取授權、稽核紀錄及委外管理等安全機制,確認資料庫安全管理與防護狀
況。

資通安全稽核計畫

資料庫版本
資料庫類型:正式、備援
資料庫作業系統版本
資料庫是否含有個資:特種、一般
資料庫架構:資料庫伺服器中的各資料庫用途
官方預設帳號:sa
是否停用或變更官方預設帳號:yes
啟用帳號鎖定次數:否 (SQL Server 無此功能)
啟用「密碼複雜度」原則:It depends
啟用「最小密碼長度」原則:It depends
啟用「密碼最常有效期限」原則:否
資料保護機制:資料庫加密、資料庫欄位加密
採用第三方加解密:第三方工具名稱
資料庫備份週期:It depends
資料庫備份執行方式:完整、差異、交易紀錄、增量
資料庫備份儲存方式:本地、異地
資料庫備份保護方式:備份檔案加密、硬體加密、實體保護
資料庫備份回復測試:測試頻率
資料庫伺服器弱點掃描:掃描頻率、執行廠商、掃描工具
資料庫伺服器弱點修補
資料庫伺服器安全性更新:派送或管理者手動更新、更新頻率
限制資料庫伺服器服務埠:1433
限制遠端存取 IP 來源:
限制遠端存取帳號:資料庫管理者帳號
資料庫帳號權限最小化:是
資料庫資料傳輸安全機制:TLS 1.2
啟用資料庫帳號變更稽核:針對資料庫帳號變更紀錄、DCL Trigger
啟用資料庫存取稽核:登出及登入行為
啟用資料庫結構變更稽核:DDL Trigger
建立稽核紀錄備份週期:
稽核紀錄備份儲存方式:本機、異地備份
設定校時主機:校時主機 IP
定期分析稽核紀錄:頻率、分析工具

組態設定安全檢測 GCB

針對已公告之政府組態基準 (GCB) 項目進行抽測。

資通安全稽核計畫

需要導入組態設定的設備數量 (SQL Server, IIS)
導入進度:測試中、部分導入以及預訂導入完成時間
導入方式:逐台設定或其他
例外管理項目

政府組態基準 | nccst.gov

核心資通系統安全檢測

受稽核的核心資通系統:機關自行擇選提報 3 個具資料庫之核心資通系統;以近 2 年新建置之重要系統為優先,原則 2 年內已提報過之系統不重複提報。

針對核心資通系統進行內網滲透測試,包括檢測資通系統之權限存取、應用程式及系統弱點、系統通訊保護等項目,若資通系統使用單一簽入進行權限管控,則亦納入檢測範圍。

依據系統等級(普、中、高),針對核心資通系統之存取控制、識別與鑑別、系統與服務獲得、系統與資訊完整性及系統與通訊保護等控制措施進行檢測,並檢視源碼掃描、弱點掃描及滲透測試等檢測報告及修補紀錄,以及安全需求檢核結果。

資通安全稽核計畫

系統性質:本地端程式、正式網站、測試網站、正式備援網站
系統網址
系統主機開放埠口以及開放原因
多重因素認證
用戶端限制條件:作業系統、瀏覽器、加入網域、元件、讀卡機、自然人憑證
預設密碼登入,應於登入後要求立即變更
身分驗證相關資訊不以明文傳輸
帳戶鎖定機制:登入失敗 X 次後,鎖定 15 分鐘以上
密碼複雜度要求
密碼變更不可與過去 3 次歷程相同
系統主動遮蔽鑑別過程中的資訊
發生錯誤時,顯示檢端錯誤訊息及代碼
執行弱點掃描,提供檢測報告與修補紀錄
執行源碼檢測,提供檢測報告與修補紀錄
執行滲透測試,提供檢測報告與修補紀錄
部署環境安全性更新、弱點修補、關閉埠必要服務與埠口
存取控制採最小權限原則
身分驗證防範自動化程式登入
密碼重設機制,確認身分後以一次性及時限性 Token 實作
使用者輸入資料合法性,於伺服器端檢查
系統閒置 X 分鐘,自動將使用者登出
系統採用加密機制、防止未授權資訊揭露
使用公開、國際機構驗證且未遭破解之演算法
加密金鑰及憑證應定期更換

實地稽核技術面重點

資通安全防護及控制措施:確認安全性檢測及資通安全健診實施情形、政府組態基準/資通安全弱點通報機制/端點偵測及應變機制/資通安全防護實施情形、電子資料(含防疫個資)安全管理機制、網路規劃及管理、電腦機房及重要區域管理、資料處理、儲存及傳輸安全、電子資料相關設備管理、行動裝置安全、軟體使用安全、網路即時通訊安全及電子郵件安全等。

資通系統發展及維護安全:確認資通系統之防護需求、SSDLC 各個階段之安全檢核,包括系統需求、設計、開發、測試、驗收時應注意之安全措施、資通系統之變更管制程序等。

資通安全事件通報應變及情資評估因應:確認情資分享機制、資通安全威脅偵測管理機制實施情形、資通系統及相關設備監控事件日誌管理、資安事件通報及應變作業規範及落實、資安事件改善措施之有效性、資通安全演練作業實施情形。

資通安全稽核計畫

SSDLC

SSDLC 附表十《資通系統防護基準修正規定》DSCS 的精華湯 🥣

實踐 SSDLC 深入附表十《資通系統防護基準修正規定》DSCS 的饗宴 🍱

相關連結

試行 資通系統籌獲各階段資安強化措施

111年資通安全稽核計畫及稽核作業資料來源