網路安全標準

**網路安全標準**（Cybersecurity standards）是已用文件方式發佈，為了保護使用者或組織之電腦網路環境而訂定的技術。此處的「環境」包括使用者本身、網路，或是會直接或間接連接網路的設備、所有軟體、程序、儲存或是傳輸的資訊、應用程式、服務以及系統。

網路安全標準的主要目的是降低風險，包括預防及緩解網絡攻擊。這些發佈的資料中包括了許多工具、策略、安全概念、安全保障、指引、風險管理工具、行動、訓練、最佳實務、確保以及技術。

## 歷史

網路安全標準在數十年前即已存在，是由使用者以及網路供應商在許多國內或跨國論壇合作，列出必要的能力、策略以及實務，許多是 1990 年代史丹佛大學信息安全與政策研究聯盟的工作中出現的。

2016 年美國安全框架導入研究指出，受訪的組織中，有 70% 認為 NIST 網絡安全框架是資訊科技電腦安全中最受歡迎的最佳實務，但也有許多受訪者表示這需要相當大金額的投資。執法者面對跨國界網路滲透活動的執法，對抗暗網的國際犯罪行為的舉動，產生了複雜的執法權問題，有些甚至到現在都還無解。各國執法部門為了對抗跨國界網路滲透活動，以及國際執法機關之間的緊張關係，也會讓網路安全標準可以繼續的改善。

## 國際標準

以下章節列出一些常用的國際標準。

### ISO/IEC 27001 及 27002

ISO/IEC 27001 是 ISO/IEC 27000 系列的一部份，是資訊安全管理系統（ISMS）標準，最新版是在 2013 年 10 月由國際標準化組織（ISO）及國際電工委員會（IEC）發佈。其全名是《資訊科技 — 安全技術 — 資訊安全管理系統 — 要求》（Information technology — Security techniques — Information security management systems — Requirements）。

ISO/IEC 27001 正式的說明一個以明確的管理控制方式加入資訊安全的管理系統。

ISO/IEC 27002 主要整合了 BS 7799 良好安全管理實務標準的第一部份。BS 7799 的最新版本是 BS 7799-3。有時會用 ISO/IEC 27002 來指稱 ISO 17799 或 BS 7799 第 1 部份，有時則指第 1 部份以及第 7 部份。BS 7799 第 1 部份提供了網路安全管理的良好實務指引，而 BS 7799 第 2 部份以及 ISO/IEC 27001 是規範性的，提供認證的框架。ISO/IEC 27002 是網路安全的高階指引。針對要取得 ISO/IEC 27001 認證的單位而言，最適合做為說明用的指引。認證取得後，可以維持三年。依稽核單位的不同，三年內可能不用再稽核，也可能需要有期中的稽核。

ISO/IEC 27001（ISMS）取代了 BS 7799 第 2 部份，但若組織在 BS 7799 第 2 部份的基礎上工作，法規有向後相容，讓正在取得 BS 7799 第 2 部份的組織可以比較容易轉換到 ISO/IEC 27001 的認證流程。也有轉換用的稽核，讓取得 BS 7799 第 2 部份認證的組織可以轉換為 ISO/IEC 27001 的認證。ISO/IEC 27002 提供資訊安全系統的最佳實務，包括資訊安全管理系統（ISMS）的初始、實現以及維護。其中提到了資訊安全系統需實現 ISO/IEC 27002 的控制目標（controls objectives）。若沒有 ISO/IEC 27001，ISO/IEC 27002 的控制目標無法達到效果。ISO/IEC 27002 的控制目標，整合在在 ISO 27001 的附錄 A 中。

ISO/IEC 21827（SSE-CMM – ISO/IEC 21827）是依系統資安工程能力成熟度模型（SSE-CMM）為基礎的國際標準，也可以量測 ISO 控制目標的成熟度，

### ISO 15408

此一標準的全名是《資訊技術安全評估共同準則》（Common Criteria for Information Technology Security Evaluation），簡稱為 Common Criteria，是電腦安全認證的標準。可以讓不同的軟體及硬體產品進行整合，以安全的方式進行測試。

### IEC 62443

IEC 62443 網路安全標準是依 IEC 標準產生流程所訂定的，而 ANSI/ISA-62443 提案是提交給美國的委員會並且進行審核，也在委員會中提出意見。IEC 62443 中的許多委員會會審核修訂意見，也會在委員會中討論，若大家同意即進行更改。IEC 委員會中的許多成員也是 ISA S99 委員會的成員。迄今為止，已經使用了 ANSI/ISA 62443 原始文件的基礎概念。

這些標準會由許多不同產業的從業人員使用，以此來設計和評估自動化系統，以提高網絡安全性。許多標準已用在個人、工程流程、產生以及系統網路安全驗證計劃（cybersecurity certification programs，也稱為合格評定計劃，conformity assessment program）中。

ISA-62443 的標準及技術報告會分為四類，分別是通則（General）、政策及流程（Policies and Procedures）、系統（System）及元件（Component）。

1. 第一層（最上層）是一般性或是基礎的資訊，例如概念、模型及術語，也包括描述 IACS 安全矩陣及安全生命週期的工作成果。
2. 第二層的工作成員是針對資產所有者。其中提到有關創建及維持有效 IACS 安全計劃的許多不同層面。
3. 第三層包括了控制系統安全整合的系統設計指引以及要求的相關文件。其中的核心是 zone 及 conduit design model。
4. 第四層包括了有關特定控制系統產品的產品開發以及技術需求。主要是針對控制產品的供應商，不過也可以供整合者及資產所有者使用，以建構其安全性產品。

#### ANSI/ISA 62443（舊名稱為 ISA-99）

ANSI/ISA 62443 是一系列有關實現安全工業自動化控制系統（IACS）的標準、技術報告及相關資料。

這些文件由是國際自動化學會（ISA）所寫，以美國國家標準協會（ANSI）文件公開發佈，因此最早稱為 ANSI/ISA-99 或 ISA99 標準。在 2010 年時，重新編號為 ANSI/ISA-62443 標準。

ISA99 仍然是 ISA 工業自動化及控制系統安全委員會（Industrial Automation and Control System Security Committee）的名稱。2002 年起，此委員會在針對 IACS 安全性主題，訂定一系列的標準以及技術報告。這些文件會由國際自動化學會核可，最後以 ANSI 文件發行。這些文件也會提交給 IEC，依循 IEC 的標準開發程序，這些會是 IEC62443 國際標準的輸入。

### ISO/SAE 21434

ISO/SAE 21434《道路車輛－網路安全工程》（Road vehicles - Cybersecurity engineering）是國際標準化組織（ISO）和國際汽車工程師學會（SAE）工作組聯合開發的新型網路安全標準，是依道路車輛的開發週期進行網路安全的措施。其國際標準草案（Draft international standard、DIS）階段已在 2019 年 12 月期滿，最終標準計劃在 2020 年 11 月發佈。

此一標準和目前正在發展的歐洲聯盟網路安全法規有關。為了和歐盟協調，聯合國歐洲經濟委員會（UNECE）的世界車輛法規協調論壇（WP.29）已在 2020 年 6 月發佈網路安全管理系統（UNECE R 155，CSMS）的規範，相關認證是型式認可的強制條件之一。ISO/SAE 21434 是汽車開發的技術標準，可以證明符合 R155 的規範。

## 各國標準

### NERC

NERC（北美電力可靠性公司）在 2003 年建立了電力產業的資訊安全標準，是最早期的相關標準，稱為 NERC CSS（北美電力可靠性公司網路安全標準）。在網路安全標準指引之後，NERC 在這些要求上持續的改進及強化。目前最廣為使用的現代 NERC 安全標準是 NERC 1300，是由 NERC 1200 修改及更新後的內容。NERC 1300 的最新版本稱為 CIP-002-3 至 CIP-009-3（CIP 為關鍵基礎設備保護的簡稱）。這些標準的目的是要保護大宗電力系統，NERC 也有在其他領域訂定標準。大宗電力系統標準提供網路安全的管理，也有工業程序上的最佳實務[2]。

### NIST

隸屬於美國商務部的國家標準技術研究院 (NIST) 負責制定與資訊安全相關的標準與規範。

* NIST 網絡安全框架（NIST CSF）此框架是根據 NIST SP800-53，並以事件風險為基礎發展而成。提供美國政府關鍵基礎設施與一套具成本效益、靈活配置，可循序漸進建立網路安全的控制措施，並針對可能面臨的威脅提前制定應變計劃。此框架的組成有 3 元素、4 要素及 5 項持續活動 (識別、保護、偵測、回應、復原)，提供了網路安全成果的高層級分類，以及評估及管理成果的方法論。其目的是要幫助提供關鍵基礎建設的私營部門，提供相關保護的指引，也有針對隱私權及公民自由的保護。
* Special publication 800-12 是電腦安全以及控制領域的簡介，其中也強調資訊安全控制的重要性，以及其實施方式。最早此文件是要給美國聯邦政府使用，但在大部份的實務上，這份文件也可以幫助私營部門。其中內容是特別針對聯邦政府中負責敏感系統的人員[3]。
* Special publication 800-14 敘述常用的安全原則。提供了在電腦安全政策中需導入事項的高層次敘述。其中敘述了要提昇安全性，需進行的事務，也說明要如何建立新的安全實務。這份文件中有 8 個原則以及 14 個實務[4]。
* Special publication 800-26 提供有關 IT 安全管理的建議。後來被 NIST SP 800-53 第三版取代。此份文件強調自我評估以及風險評估的重要性[5]。
* Special publication 800-37 是在 2010 年所更新，敘述一種新的風險評估方式：《應用風險管理框架到聯邦資訊系統的指引》（Guide for Applying the Risk Management Framework to Federal Information Systems）。
* Special publication 800-53 第五版，《資訊系統及組織的安全及個人資料控管》（Security and Privacy Controls for Information Systems and Organizations），此文件是在 2020 年 9 月發佈，在 22020 年 12 月 10 日更新，較第四版的變更處可參考 MITRE 所整理的比較表 （頁面存檔備份，存於網際網路檔案館）。NIST 的特別出版品 SP800-53 旨在依公法 (P.L.) 107-347 的美國聯邦資訊安全管理法 (FISMA) 界定其法定責任。美國聯邦資訊安全管理法屬於聯邦法律，規定美國政府機關須訂立及審查能夠優先落實資訊安全且適用於各機關的實務規範，並據此進行通報；NIST 800-53 則明定了聯邦政府和重要基礎架構所需的安全性和隱私權管理具體規範。
* Special publication 800-63-3，《數位身份認證指引》（Digital Identity Guidelines），在 2017 年 6 月發佈，在 2017 年 12 月 1 日更新。其中有實行數位身份認證的指引，包括用戶的身份證明（identity proofing）、登記以及認證[6]。
* Special Publication 800-82 第二版，《工業控制系統資訊安全指引》（Guide to Industrial Control System (ICS) Security），在 2015 年 5 月改版，其中敘述如何讓不同種類的工業控制系統免於網路攻擊，也同時考慮工業控制系統的性能、可靠度以及安全需求[7]。

## 相關條目

* 網路安全
* 201 CMR 17.00（麻省個人資訊保護標準）
* BS 7799
* 首席資安技術長
* Common Criteria
* 計算機安全
* 控制系統安全性
* Cyber Essentials（英國政府標準）
* FIPS 140
* 信息安全
* 信息安全指標
* 信息保障
* IASME
* ISO/IEC 27002
* 聯邦信息安全辦公室
* 元證書工作組
* 北美電力可靠性公司（NERC）
* 國家標準技術研究所（NIST）
* 開放信息安全成熟度模型
* 支付卡行業數據安全標準（PCI DSS）
* 隱私工程
* 良好實踐標準
* 語義服務型架構（SSOA）

## 腳註

## 參考資料

1. **^** Department of Homeland Security, A Comparison of Cyber Security Standards Developed by the Oil and Gas Segment. (November 5, 2004)
2. **^** Guttman, M., Swanson, M., National Institute of Standards and Technology; Technology Administration; U.S. Department of Commerce., Generally Accepted Principles and Practices for Securing Information Technology Systems (800-14). (September 1996)
3. **^** National Institute of Standards and Technology; Technology Administration; U.S. Department of Commerce., An Introduction to Computer Security: The NIST Handbook, Special Publication 800-12.
4. **^** Swanson, M., National Institute of Standards and Technology; Technology Administration; U.S. Department of Commerce., Security Self-Assessment Guide for Information Technology Systems (800-26).
5. **^** Grassi, P.; Garcia, M.; Fenton, J.;National Institute of Standards and Technology; U.S. Department of Commerce., Digital Identity Guidelines (800-63-3).
6. **^** Stouffer, K.; Pillitteri, V.; Lightman, S.; Abrams, M.; Hahn, A.; National Institute of Standards and Technology; U.S. Department of Commerce., Guide to Industrial Control Systems (ICS) Security (800-82).
7. **^** The North American Electric Reliability Council (NERC). http://www.nerc.com （頁面存檔備份，存於網際網路檔案館）. Retrieved November 12, 2005.
8. **^** Federal Financial Institutions Examination Council (FFIEC). https://www.ffiec.gov （頁面存檔備份，存於網際網路檔案館）. Retrieved April 18, 2018.

## 外部連結

* ISA99 Committee home page （頁面存檔備份，存於網際網路檔案館）
* NERC Standards (see CIP 002-009)
* Securing Cyberspace-Media （頁面存檔備份，存於網際網路檔案館）
* Presentation by Professor William Sanders, University of Illinois
* Global Cybersecurity Policy Conference
* A 10 Minute Guide to the NIST Cybersecurity Framework （頁面存檔備份，存於網際網路檔案館）
* Federal Financial Institutions Examination Council's (FFIEC) Web Site （頁面存檔備份，存於網際網路檔案館）