【Yahoo論壇／林彥良】落實「遠距工作」防護SOP 資安監控零死角

作者為勤業眾信聯合會計師事務所風險諮詢服務副總經理

新型冠狀病毒（COVID-19）疫情持續擴大，最新企業報告顯示，超過八成的企業、九成的外資企業認同，提供員工彈性的工作方式是當務之急。企業藉由取消海外出差與大型活動、分區分批辦公、部分員工居家辦公等措施降低衝擊，不過，開放遠端連線將增加資料被竊取或被監視的風險。因此，企業建立「遠距工作」機制時，需強化「網路安全、設備監控、資料保護、平台機密性」資安防護，以兼備防範疫情與維持企業營運之目標。

「遠距工作」資安防護四大關鍵

避免群聚造成之高度傳染風險，遠距工作已是企業防疫的首選。不過，一般居家環境或臨時辦公場所的資安防護措施，無法與既有辦公場所之管控相提並論。所以，啟用遠距工作機制時應注意「網路環境安全、個人設備資安監控、外在設備資料保護、工作平台機密性」，以順利展開遠距工作確保資訊安全。

一、正視網路環境安全問題

政府單位與金融服務等產業，常因工作型態、資料保護、資安防護成本等考量，開放部份員工申請遠距工作。建議此類企業開放連線前，應完備「開啟外部網路連入稽核軌跡功能、依業務畫分連線網段、暫停或限制高網路流量、限制存取重要資料、嚴格授權」等安全機制。

二、強化個人設備資安監控

企業平時若未配置可攜式辦公設備給員工，面對緊急情況時需盤點設備是否充足，若設備不足，需短期開放員工透過自有設備進行連線；不過，須對非管控範圍內的設備進行安全檢核，並進行遠距工作行為監控，以避免成為駭客攻擊的破口。

三、提升外在設備資料保護

當員工將資料下載儲存在遠距工作時的設備，企業將無法控管資料被上傳到雲端或未加密儲存的狀況，建議企業應針對移動設備進行資安管控，降低資料未被及時刪除、設備遺失，所造成的資料或營業祕密外洩風險。

四、遠距工作平台機密保護

近來許多企業已導入行動辦公室、視訊會議或雲端平台等遠距工作方案，以因應團隊溝通、資料共享與雲端協作之需求，此時應加強身分驗證機制與確實保留資料存取軌跡，以確保遠距工作平台的機密性與可用性。

「遠距工作」企業應變管理新思維

面對全球防疫總動員，企業應就「技術、流程、人員」三面向優化應變管理思維，提升企業網路安全防護策略之綜效。

一、技術：強化網路監控機制

「防火牆」是企業規劃網路防護的第一關卡，除了設定裝置或IP限制，也應針對遠距工作的流量進行監控、攔截和分析；已建置虛擬專用網路（VPN）的企業，也應檢視是否須建立專有加密通道，並確認加密強度和憑證管理。然而，面對疫情企業的人手、資源等各項短缺，建議企業可透過短期外部服務能量（如：風險諮詢顧問）強化資安防護措施有效性。

二、流程：多層存取與緊急應變

存取權限設定愈寬鬆對員工便利程度愈大，但資料外洩的風險也隨之提升，建議應依據資料機敏等級與緊急程度建立多層次存取機制，並導入跳板機制（如：限制外部遠端連線僅限連入辦公室網段之中繼主機）與強化身份認證。同時，企業應預先規劃異常事件因應流程，並需強化對外與員工溝通，以兼顧企業營運和資安保護。

三、人員： 強化網路安全認知

災難事件發生時，不肖人士可能趁亂發起惡意攻擊，因此，緊急狀況中的安全認知宣導極為重要。企業應培養員工具備保護數據資產、辨識安全威脅和高風險行為的能力，而由於現今疫情在控制範圍未造成社區感染，企業應基於工作型態與風險胃納程度，準備好緊急應變措施，不建議大幅度變更架構。

面對網際無邊的時代，資安議題已然成為企業營運最重要的課題，近期防疫機制開啟遠距工作更加重了企業網路資訊安全的挑戰。

＿＿＿＿＿＿＿＿＿＿＿＿＿＿

【Yahoo論壇】係網友、專家的意見交流平台，文章僅反映作者意見，不代表Yahoo奇摩立場 >>> 投稿去