企業IT調查報告：2010年企業資安設備應用狀況調查(2)　 電子製造業最重視離職員工帳號控管

7成5企業已制定資訊安全政策

企業資安往往並非單一面向問題，在添購設備之外也需訂定定期查核流程，並指派人員執行；甚至為解決特殊議題或推行需各單位配合政策，可能得由高層主管親身主導，而非交由IT人員負責。此次DIGITIMES企業IT針對企業內部資安政策及員工資安管理問題進行調查，希冀對目前台灣企業內部的資安政策及控管措施有進一步認識。而根據統計結果顯示，以金融保險業於制定資安政策的態度最積極，該類產業受訪者表示公司已施行的比例達100%；而在離職人員帳號控管 的方面，則以電子製造業最積極，該類產業受訪者表示公司已施行的比例為86.5%。

針對「企業目前制定的資訊安全規範」，本次調查共列出7個選項供使用者勾選作答，並且可複選。根據統計調查結果顯示，多數企業皆已制定「資訊安全政策」，該選項以75%的得票率奪下排名第1的位置；其次是「安全手冊及管理辦法」，有48.7%的企業已採取此措施。而特別責成專人負責的「專人稽核及風險控管」選項，則以35.3%的得票率排名第3。

此外，其餘得票率在1成以上的選項由高至低依序分別為：「委外業務防洩密合約」，得票率為25.7%；「資安文件定期通報」，得票率為12.9%；「資料加密或使用混碼機」，得票率為12.3%。而簽訂「資訊安全保險」者不多，只有3.1%。

若以產業別角度出發，挑選出樣本數量前6多的產業並觀察其制定的資訊安全規範後發現，以「金融及保險業」與「軟體？資訊服務」制定資訊安全政策最為積極，其施行比例分別為100%、92%。

此外，在制定「安全手冊及管理辦法」及「專人稽核及風險控管」方面，施行最普遍者仍舊為「金融及保險業」；但此2項措施行率次高者便不再是「軟體？資訊服務」而是「公家單位」；其於「安全手冊及管理辦法」的得票率為56.3%，於「專人稽核及風險控管」的得票率為43.8%。

為瞭解「企業定期執行的資訊安全作業」為何，本次調查共列出6個選項供使用者勾選作答。調查統計結果顯示排名第1者為「定期備份」，有高達95.8%的受訪者勾選此一項目；排名第2者為「存取權限管理」，勾選者佔整體樣本的73%，比例亦不低，顯示在資料外洩意外頻傳下，越來越多企業認同內部資料需有完善管控的觀念。排名第3者為「緊急回覆程序」，勾選的受訪者低於5成，只佔整體樣本的46.1%，幾乎只佔勾選「定期備份」受訪者的一半。這顯示了雖然多數受訪者認同備份需求，但對於備份回覆時間的要求較為寬鬆。

其餘得票率在5成以下的選項，由高至低分別為：「版本控管」，33.8%；「異動管理」，28.3%：「定期資安演練」，21.1%。

此處將以產業別為軸對此次調查結果進行交叉分析，並把觀察目標聚焦於樣本數量前6大的產業。根據調查結果顯示，在所有定期執行的資訊安全作業中，以「定期備份」被採納施行的比例最高。其中施行最普遍的產業為「金融保險業」，該類產業受訪者勾選此項目的比例為100%；而勾選比例次高的產業則是一般人印象中e化較為緩慢的「非電子製造業」，其受訪者勾選比例為98.1%；印象中e化較為積極的「電子製造業」反倒只排在第3位，其受訪者勾選比例為95.1%。

在「存取權限管理」部份，仍舊以「金融及保險業」施行最為積極，該類受訪者勾選比例也高達100%，為6大產業之最。而勾選比例次高者一樣是「非電子製造業」，有78.1%的該類受訪者勾選；接著才是「電子製造業」，有75.1%。

論及「企業針對員工的資安管理」，本次調查共列出5個常見項目供使用者勾選作答。據調查統計結果顯示，排名第1者為「離職人員帳號控管」，其得票率為70%；排名第2者為「定期更換使用者密碼」，有53.2%的受訪者勾選。由上述排名前2的選項顯示，目前企業對於員工的資安管理多聚焦於帳號管理部分。

而其餘得票率低於5成的選項，則由高至低依序排列如下：「資訊安全講習」，43.3%；「人員使用電腦軟體盤點」，39.7%；「相關法規講習」，14.1%。

若從產業別的角度觀察此次調查結果，並針對樣本數量前6大的產業進行交叉分析後發現，「離職人員帳號控管」與「定期更換使用者密碼」2者在6大產業中皆入選前3名，顯示各類產業皆對此2員工資安項目投以關愛眼神。

其中，「電子製造業」、「非電子製造業」、「服務業」、「軟體？資訊服務」中，皆以「離職人員帳號控管」為首要進行的員工的資安管理項目。其中特別是電子製造業，也許受到產業內離職員工洩密事件時有所聞的影響，該產業內施行離職人員帳號控管的比例為所有產業之最，多達86.5%。而「定期更換使用者密碼」在6大產業中雖只於「金融及保險業」拿下第1，但該措施在此類產業的落實程度頗高，產業內有高達93.8%的受訪者勾選。

此外，雖然基礎資安觀念頗為重要，但「資訊安全講習」獨獨在樣本數量前2大的「電子製造業」及「非電子製造業」中未能排入前3；顯示在這2個產業中還是以實際規範員工行為的措施為優先實行目標。