數位信任新紀元 (上篇)

拓展網路安全，迎接社群數位化的新未來

Mark Brown, BSI 數位信任專家

身處在聯網密度快速擴展的世界，錯誤資訊、數位詐騙等新風險一一浮現，個人資料和數位安全間的界線日漸模糊，也威脅著組織和社會對數位化系統及技術的信任。

Mark Brown將在本文中探討以下議題：

• 加速數位轉型對組織和社會帶來的影響
• 目前社會正如何從技術的傳統挑戰和網路風險，逐漸步入更廣泛的商業和營運風險
• 比對及管控分散式數位供應鏈相關風險的挑戰
• 建立並傳遞數位信任，對數位經營者邁向成功之路和強化組織韌性是如何扮演關鍵角色

現況改變

過去 20 年來，我們對於數位系統的大量依賴，大幅改變了全球社會的運行方式。COVID-19 疫情更加速了產業的數位轉型，員工改成遠端或混合辦公模式，而促進此模式的平台、系統和裝置也隨之倍增。但社會邁向嶄新數位世界的步調卻絲毫未見緩和，網路犯罪的威脅也更甚以往，持續對全球企業組織造成數千萬甚至數億美元的損失。

近年來，網路安全威脅的頻率和複雜程度都在持續成長，惡意軟體攻擊爆增至3倍、勒索軟體攻擊也達到4倍多。負面影響不僅限於企業組織的財務損失和品牌商譽等衝擊，對交通基礎設施、資通訊系統、社會凝聚力和個人心理健康也可能造成損害。

這些重大的網路攻擊，如今已經超越了企業組織和社會能有效預防或能力範圍之外。事實上，他們在面臨這場網路犯罪海嘯，即便奮力狂奔也像是靜止不動一般。

這也引發了改變現況的原動力。過去組織通常採取網路安全和風險控管計劃，會將重點放在管理威脅和保護商業環境上（這種作法通常相當費力，且會減緩業務營運並阻礙創新和應變能力）。

然而，如今要在不斷變化的資訊技術環境中運作，組織和社會勢必都得提高敏捷性和適應性。尤其網路安全計劃實際上已經不再著重於試圖攔截針對您環境的每一次攻擊，而是進化其偵測和反應能力，以便維持並協助重要業務功能，同時保障營運持續不中斷。簡單來說，這就表示要開發一種能抗衡網路攻擊的方法，同時具備維持正常業務營運的能力。

議題從技術導向轉換至營運導向

將此議題從單純著重技術層面的影響，擴及到從更廣泛的業務和營運角度來檢視現況──關鍵在於教育組織（用戶）為何有其必要性。

許多企業組織都會提到數位長（Chief Digital Officer）或數據長（Chief Data Officer） 的重要性，然而他們所負責的事項早就存在我們業務系統多年。就像我們不會特別跟組織談論「電力長」（Chief Electricity Officer），因為電力對社會而言是系統性架構，每個人都能擁有。

在 BSI，我們預測未來 5 年內，將不再有人提及數位長或數據長，因為這些都將系統化，組織擁有這些角色都將是系統性且習以為常。

關鍵在於消除技術的神祕感，讓組織中所有階層的員工都能易於使用及理解。資訊長（CIO）或資安長（CISO）的角色在日後仍然非常重要，但我們眼前所見到的是營運長正逐漸演變成主要支柱以及重要決策者之一。

在嶄新的數位化社會中，當技術端出錯時，組織的營運將首當其衝。當營運失靈，也會瞬間為財務收益帶來重大影響，對大企業而言，損失可能是高達每小時數千萬美元。套用商業用語簡單來說，有關業務風險和業務營運，會是我們看到組織做出轉變的關鍵步驟。

給各部門長（CxO）的建議

在過去二、三十年來，組織大多將 IT 和網路安全視為成本支出而非戰略資產，也因此形成一種對技術和專業管理者不重視的文化。

這種普遍傳統的 IT 觀念，讓領導階層認為可將IT部門外包來節省開支，並提供如同組織內部IT部門與領導層緊密配合的優勢。然而，這會使業務與 IT之間脫節，因為技術專員通常會被單純視為替業務提供技術解決方案的員工，而不需真正了解這些解決方案如何能幫助業務。

另一方面，IT 所運作的流程對業務主管和董事會成員來說，不一定意味著什麼。但在現實世界中，並沒有所謂 IT 流程或資安流程這類東西存在，只有業務流程需要 IT 的支持以及資安保護。

例如當新進員工需要存取公司資料，或當他們升遷/離職時，其存取權限級別都需要加以改變，然而這些若沒有 IT人員的協助就無法完成。

身為財富雜誌全球前10大企業的資安長（CISO），我非常了解營運長（Chief

Operations Officer）扮演的角色，我熟知公司的商務運作方式及背後的核心業務。

我給資安長的建議是，若只讓自己的思維停留在技術層面或資訊長（CIO）的角色，是否還能在數位轉型下為公司業務帶來更廣的影響？

關鍵在於了解您的業務實際性質，及其存在的核心原因為何。我常常強調：「從來就沒有所謂的資安流程，更沒有所謂的 IT 流程。只有業務流程，唯有仰賴資安才能順利運作並獲得完善保護。」

對我來說，這才是 CISO 所扮演的關鍵角色。了解您正在協助的業務流程，以及若該業務流程出錯會發生的問題，然後就業務層面與 CEO 和業務主管探討可以提供的角色和協助，確實專注於會對公司業務帶來影響的衝擊。