• 沒有找到結果。

中 華 大 學

N/A
N/A
Protected

Academic year: 2022

Share "中 華 大 學"

Copied!
78
0
0

加載中.... (立即查看全文)

全文

(1)

中 華 大 學 碩 士 論 文

企業導入虛擬化之資訊安全風險項目研究

The Research on Performance Evaluation of Enterprise Information Security Risk Items

with Virtualization

系 所 別: 資訊管理學系碩士班 學號姓名: E09610008 葉謦瑞 指導教授: 張文智 教授

中 華 民 國 103 年 2 月

(2)

I

摘要

本研究主要是針對企業導入虛擬化之資訊安全風險項目進行研究,因為資訊 系統早已成為各國企業在市場上競爭的利器,愈能完備資訊安全管理的工作,愈 能在戰場上取得勝利。然而存在各種企業中的伺服主機及核心網路設備等等,若 有資訊安全方面的損失必定超過企業所能承受的程度,同時更可能危及企業的生 存發展,所以企業在資訊安全的維護方面是相當重要的工作。

因此,本研究進行虛擬化對資訊安全的影響研究,做相關問題之探討,以確 認虛擬化中存在的問題及處理方式,同時了解虛擬化可能導致資訊安全的影響效 果。本研究採用層級分析法進行問題之探討,先整理各學者對於企業導入虛擬化 之資訊安全風險項目的構面及細項,接著再訪問企業界及學者等專家以建立初步 構面及資安項目,再於確認專家問卷內容後進行專家意見權重分析。本研究希望 所得到的構面及資安項目之權重,對於企業導入虛擬化之資訊安全風險項目的建 立能有幫助,經過研究分析後,本研究認為企業導入虛擬化之資訊安全風險項目 可有效幫助企業導入虛擬化的環境,對企業提升競爭力具有積極的效益,也能對 於相關問題進行有效的解決。

關鍵詞:虛擬化、資訊安全、績效評估、層級分析法

(3)

II

Abstract

The st ud y focus ed on ent erpri se p roj ect i nform ation s ecurit y risk it ems with vi rtualization, because the i nformati on s ys t em has already becom e a nati onal ent erpris e competitive weapon i n the m arketpl ace, t he m ore

com prehensive i nformation s ecurit y m anagem ent can work, m ore abl e t o win on the battl efi el d. However, there are various enterpris e server host and core net work equipm ent, et c. If the l oss of inform ation s ecurit y must exceed the level of the ent erpris e can bear, but als o could endanger the survival and devel opm ent of ent erpris es , s o that enterprises i n t he maint enance of inform ations ecurit y i s a ver y im portant j ob.

Therefore, thi s st ud y investi gated on the i mpact of vi rtualiz ati on s ecurit y, and expl ore related i ssues do t o confi rm virt ual izati on probl ems and treatm ent, and to underst and the im pact of vi rtualiz ation s ecurit y could lead t o results . This stud y i nvesti gat es t he iss ue using anal yti cal hierarch y process , coll ecting inform ation s ecurit y risk it ems with vi rtualization from s chol ars, bus iness comm unit y, academi cs and ot her expert s to est ablis h t he initi al dim ensi ons and wei ght ed inform ation s ecuri t y project s anal ysis . A s et of wei ght ed i nform ati on securit y ri sk i tem s are propos ed to help enterpris es to obt ain a helpful

est abli shm ent of ent erpri se inform ation s ecurit y ris k it ems wi th vi rtualiz ation in the real worl d. Aft er res earch and anal ysis, t his stud y s ugges ts that

com panies im porting the inform ation securit y ri sks of vi rtualiz ation proj ects can effectivel y help ent erpris es t o introduce virt ualized envi ronm ents in t he ir com panies, enhance the competiti veness of ent erpris es has positive benefits , but als o for iss ues relat ed t o effective sol utions.

Ke ywords: Vi rtualiz ation 、Ent erpri se Information Securit y Ris k It em、

Perform ance Eval uat ion 、AHP Method

(4)

III

致謝

本論文得以順利的完成,首先當然要感謝辛苦的指導教授張文智老師,在我就讀 碩士專班的兩年期間,在學術研究上給予的細心指導。其次要感謝口試委員王德華老 師、林曉雯老師所提供的寶貴意見與耐心指導,使本論文更趨於完善。

還要感謝我公司的老闆及同事,在我就學這段時間所給予的支持與協助;此外也 要感謝協助我完成問卷調查的許多在業界的前輩及朋友,感謝您們的協助,才能讓我順 利完成論文。

最後要感謝的是最辛苦的家人,在我就學期間給我精神上的鼓勵與支援,僅將本 論文獻給我最愛的家人,並與大家共同分享這份喜悅與榮耀。

中華大學資訊管理研究所 中華民國 一零三 年二月

(5)

IV

目錄

摘要 ... I Abstract ... II 致謝 ... III 目錄 ... IV 表目錄 ... VI 圖目錄 ... VII

第一章緒論 ... 1

第一節 研究背景 ... 1

第二節 研究動機 ... 3

第三節 研究問題與目的 ... 5

第四節 研究流程 ... 6

第二章文獻探討 ... 7

第一節 虛擬化之定義... 7

第二節 全虛擬化 ... 9

第三節 半虛擬化 ... 11

第四節 硬體輔助虛擬化 ... 12

第五節 資訊安全 ... 14

第六節 ISO/IEC 27001 規範內容 ... 18

第三章研究方法 ... 25

第一節研究架構圖 ... 27

第二節層級分析法 ... 29

第三節 初步評估指標建構 ... 31

(6)

V

第四節 層級分析法之指標建構步驟 ... 33

第五節 前測專家訪談結果 ... 36

第四章資料分析結果 ... 39

第一節 研究樣本之結構 ... 39

第二節 第二階段專家諮詢問卷結果分析 ... 42

第三節 相關權重之重點整理 ... 52

第五章結論與建議 ... 53

第一節 研究結論 ... 53

第二節 研究建議 ... 54

參考文獻 ... 55

附錄一 紙本問卷 ... 60

附錄二 紙本問卷 ... 65

(7)

VI

表目錄

表 2-1 資訊安全定義 ... 16

表 2-2 ISO/IEC 27001 演進歷程 ... 18

表 3-1 初步資訊安全風險項目彙整表 ... 31

表 3-2 初步評估指標明細 ... 32

表 3-3 AHP 評估尺度意義及說明表 ... 34

表 3-4 隨機指標(R.I.)值 ... 35

表 3-5 前測資訊安全風險構面及項目適合度分析結果 ... 37

表 3-5 前測資訊安全風險構面及項目適合度分析結果(續) ... 38

表 4-1 專家問卷樣本描述表 ... 40

表 4-1 專家問卷樣本描述表(續) ... 41

表 4-2 資訊安全風險構面及項目適合度分析結果 ... 43

表 4-2 資訊安全風險構面及項目適合度分析結果(續) ... 44

表 4-3 各構面之權重值 ... 47

表 4-4 評估構面及其細項指標之權重值 ... 50

表 4-4 評估構面及其細項指標之權重值(續) ... 51

(8)

VII

圖目錄

圖 1-1 研究流程圖 ... 6

圖 2-1 Ring 特權等級示意圖 ... 9

圖 2-2 全虛擬化模型 ... 10

圖 2-3 半虛擬化模型 ... 11

圖 2-4 VirtualBox, KVM 以及 VMWare ESXi 的虛擬化模式 ... 12

圖 2-5 Hypervisor type I 及 Hypervisor type II 的虛擬化模式 ... 13

圖 2-6 ISO/IEC 27005 與 18045 之風險管理過程 ... 15

圖 2-7 符合 ISMS 之 PDCA 過程 ... 20

圖 3-1 研究架構圖 ... 27

(9)

1

第一章緒論

第一節 研究背景

從電腦的發明、網路的興起到工商業的應用,資訊科技及網路通訊的發達可 視為人類文明的重大推動力量。早期的文書溝通方式,雖然有文字記錄可查證資 料;然而,卻耗費相當龐大的人力、物力和存放空間維護珍貴文書資料,而且資 料保存的安全性也需要財務的支援,在現今以成本考量為導向的潮流下,已不符 企業所需。

電腦剛出現的 1970 年代,早期企業仍然仰賴大量人工方式處理資料登錄及 數據統計的作業;1980 年代才有生產物料需求規劃 (Material Requirement Planning, MRP) 及製造資源規劃系統 (Manufacturing Resource Planning, MRP II) 導入製造業 中,此時電腦的效率仍差強人意主要擔任的是資源分配之輔助角色,但隨著資訊 化硬體設備的改良,軟體的效能也有所增長;到了 1990 年代開始有了大量的企 業資源規劃系統 (Enterprise Resource Pplanning, ERP) 才有較具現代化的資訊處理 規模,演進到現今的商業智慧 (Business Intelligence, BI) 的興起,資訊科技擺脫了 被動的角色進而變成管理者重要的決策建議者。而相對於過去,資料處理上的質 與量明顯的可看出與過去的作業方式截然不同,也因此資料儲存管理的相關問題 格外顯得重要。

在資訊設備日新月異的進展下,資料的保存已由實體設備的更新及維護轉變 成為虛擬化的型態。Goldberg (1974) 指出虛擬機器 (Virtual Machine) 最早在西元 1960 年代即已出現,目的是為了能在當時高價位的資訊設備中,能相容於早期的 軟體版本,可視為資料處理的彈性運用方式。虛擬化能有效避免企業過多的資訊 設備投資,也可以解決資源的閒置問題及提升資料使用的效率。相對的,虛擬化 也存在一些問題,例如資料顯示問題、計算能力優劣問題、網路存取效率問題及 真實情況的模擬應用。意外,各國對於資訊安全的維護工作,因為牽涉國家安全 層級,多年來都一直持續地加緊進行著;同樣的,在現代化國際企業中,除了成 本降低之外,有關產品研發、生產方面的資訊安全更關係到企業的競爭優勢,也 就是說過去的價格戰已蛻變成為資訊戰,沒有資訊安全則企業將無法在市場上生

(10)

2 存下來。

綜上所述,在現今工商業社會中,為了能夠應付瞬息萬變的市場競爭壓力,

如何進行企業虛擬化並使其效率達到最高且又能兼顧資訊安全的要求已成為企業 最重視的相關事務。

(11)

3

第二節 研究動機

近年來,企業不但推動決策層級扁平化,以期縮短決策與執行的垂直差距,

而且在資訊存取方式,也逐漸重視使用資料的便捷性及效率性,虛擬化就是解決 長期以來資料處理效率不彰的有效因應方式,若能了解企業如何進行虛擬化,且 從中獲取寶貴的經驗,相信對於提升企業資訊管理及資訊安全績效,具有正面的 意義。

而常見的伺服器虛擬化技術(Server Virtualization)的興起,企業不但擁有一些 成本節省、管理集中、效能提升和長期穩定的經營等優點,而且大幅提升伺服器 的利用率與投資報酬率,並幫助企業採用伺服器虛擬化技術成為一個熱門趨勢。

然而,導入伺服器虛擬化技術對現行資訊系統環境仍有負面的效應,如何因應伺 服器虛擬化技術所帶來各項效益與問題,不再只是單純的技術問題,已演變成為 企業需要去面對的管理問題,是研究者的研究動機。資訊安全是使資訊系統不受 各種廣泛的威脅之保護,以確保營運的永續經營,同時促使營運風險降至最低。

此外,採用伺服器虛擬化技術後,會造成和現行資訊系統安全防護之間的落差,

為求有效率地讓企業順利地導入虛擬化技術對企業資訊安全之影響項目,本研究 透過相關文獻來檢視企業導入虛擬化之相關資訊安全風險項目研究和資訊安全資 料之內容,建立出五個資訊安全風險構面和向下延伸出的三十四個項目,再藉由 專家訪談方式整理出具有影響性之構面及項目。本研究透過專家問卷實行第二回 合的專家問卷調查,以評估各風險項目之重要性及相對的權重值,最後根據第二 次問卷分析的結果,提出企業導入虛擬化之資訊安全風險項目,提供企業導入虛 擬化技術後,在進行風險評估時的參考依據。

隨著資訊安全的意識日漸茁壯,且越來越受到政府單位和企業組織的重視。

台灣在民國 93 年政府鑑於資訊安全的重要性,開始推動 BS 7799 的認證活動,

依據 94 年 7 月 20 日「國家資通安全會報」第 15 次工作小組會議,明確的規範 各政府機關(構)資訊安全責任等級分級作業流程,特別訂定「政府機關(構)

資訊安全責任等級分級作業施行計畫」,政府體系中的國土安全、金融服務、能 源設施、供水系統、電信郵政、交通運輸、及醫療保健等,均屬 A 級單位,在第 二期會報內 通過資訊安全管理系統認證 如此透過有效的資訊安全管理,來防止 資訊受到潛在威脅的破壞,進而全面提升國家資通安全防護水準。而財政部也於

(12)

4

100 年底修正公佈之「公開發行公司建立內部控制制度處理準則」,其中即有資 通安全檢查之控制規定,將使得上櫃上市公司相較於政府單位積極的推動資訊安 全管理系統和取得資訊安全考量依據 ISO 17799/BS7799/CNS17799 執行資通安全 檢查控制 (財政部,2013)。

然而,有別於政府單位積極的推動資訊安全管理系統和取得資訊安全國際標 準認證的態度,民間企業反而沒有相對的熱衷程度。經濟部 (2013) 指出國內目前 取得 ISO 27001 資安認證的組織單位約有 321 間(至 98 年 06 月止)僅次於日 本、印度和英國,位居全球第四位,但政府機構就占了總數的八成之多,在缺乏 法令規章的約束且無立即實質效益的回饋下,企業對於資安認證的取得則顯得興 趣缺缺。因此台灣取得 ISO 27001 資安認證的企業雖不少,但是大多數組織都僅 以電腦機房、資訊單位或核心系統作為認證範圍,而並非以全組織為認證範圍進 行驗證。但是全組織為範圍導入資訊安全管理系統並且取得認證所需投入的資金 及成本,會因組織規模之大小而有高低之別,且成本是以倍數來計算的;因此,

若沒有經濟的效益,組織並不太願意主動進行此認證方式。所以大多數組織考量 有限的經費、人力及時間壓力下,仍採取局部驗證的方式來進行。

因為資訊系統早已成為各國企業在市場上競爭的利器,愈能完備資訊安全管 理的工作,愈能在戰場上取得勝利。然而存在各種企業中的伺服主機及核心網路 設備等等,若有資訊安全方面的損失必定超過企業所能承受的程度,同時更可能 危及企業的生存發展,所以企業在資訊安全的維護方面是相當重要的工作。

因此,本研究進行虛擬化對資訊安全的影響研究,做相關問題之探討,以確 認虛擬化中存在的問題及處理方式,同時了解虛擬化可能導致資訊安全的影響效 果。企業對虛擬化有深入的認識,加上資訊安全對企業提供一定的競爭保障,也 能對於相關問題進行有效的解決,成為本文研究的主要動機。

(13)

5

第三節 研究問題與目的

基於上述研究背景與動機,進行企業導入虛擬化之資訊安全風險項目研究之 研究。本研究收集相關資料做為研究問題來源,並且深入探討企業導入虛擬化之 資訊安全風險項目的影響性。

本研究的具體目的如下︰

1. 虛擬化及資訊安全定義為何。

2. 探討企業如何導入虛擬化。

3. 探討企業導入虛擬化之資訊安全風險項目。

4. 對於企業導入虛擬化之資訊安全風險項目提出建議。

(14)

6

第四節 研究流程

本研究首先透過收集國內外學者過去的文獻資料,獲得初步的研究主題與 方向,進而確定研究之目的。再對相關文獻進行蒐集、整理與探討,進而確立 研究架構與探討主題。其次尋找顯著例子,經由專家訪談方式整理出企業導入 虛擬化之資訊安全風險項目並進行深入探討,對於重要關鍵因素也能更加地了 解,繼而提出結論與建議。詳細研究流程如圖1-1所示。

圖 1-1 : 研究流程圖 確認研究主題與

研究方向

研究背景、動機 與目的的形成

蒐集、整理與文 獻探討

企業導入虛擬化之 資訊安全風險項目

研究

分析企業導入虛 擬化對資訊安全

影響

提出結論與建議

(15)

7

第二章文獻探討

第一節 虛擬化之定義

張旭 (2010) 認為虛擬化 (Virtualization) 是個廣義的技術概念,係指個別裝 置、伺服器、作業系統、應用程式,也可以是虛擬化的網路。楊博鑑 (2012) 指出 由於 IBM 在西元 1950 年代為解決資源匱乏問題,最早提出虛擬化的概念,隨著 資訊技術日益成熟,過多的資源供應反而面臨閒置問題。針對資源未能有效使用 的閒置問題,解決資源閒置問題便成為虛擬化的重要目標了。本研究探討之虛擬 化係指伺服器虛擬化 (Server Virtualization) ,也稱之為平台虛擬化 (Platform Virtualization) 或硬體虛擬化 (Hardware Virtualization)。伺服器虛擬化是指使用軟 體技術對實質的主機硬體隱藏終端使用者 (End User) 或是作業系統,進而設置一 個或一個以上的抽象硬體平台,而這些硬體平台也可以彈性配置的,使得作業系 統就像是真的安裝在一般硬體上一樣。虛擬化的用意在於讓各種相異的作業系統 (例如 OS X, Windows, Linux,…等等) 可以同時在同一台實體主機上同時能運作,

且兼顧獨立性像是運作在不同的實體主機一樣 (Golden and Scheffy, 2008)。關於提 供 建 置 及 管 理 虛 擬 化 環 境 的 軟 體 一 般 稱 為 hypervisor ( 又 名 Virtual Machine Monitor, VMM),根據企業的虛擬化方案形式,hypervisor 可分成三種解決方案大 致為:全虛擬化 (Full Virtualization)、半虛擬化 (Paravirtualization)及硬體輔助虛擬 化 (Hardware-Assisted Virtualization)。

根據 IDC 線上調查結果顯示,66%台灣受訪企業表示其虛擬化佔實體伺服器 比例介於 20%到 25%,不到 1 成虛擬化比例高於 25%,相較之下,亞太區有 4 成 虛擬化介於 20%到 25%,超過 3 成虛擬化比例高於 25%。在 IDC 公佈亞太地企業 資料中心調查報告,在企業資料中心虛擬化方面,台灣約有超過 6 成受訪企業比 例不到 3 成,低於亞太地區平均水準。這份調查是以線上問卷方式訪問企業 IT 部 門主管,調查統計結果顯示,亞太地區企業資料中心虛擬化佔實體伺服器的比 例,有 41% 受訪企業比例介於 20%到 25%,超過 3 成虛擬化比例超過 25%,另

(16)

8

外有 3 成企業沒有計劃虛擬化。若就台灣企業調查結果來看,66%受訪企業虛擬 化比例介於 20%到 25%,只有不到 1 成受訪企業虛擬化比例高於 25%,25%受訪 企業表示沒有考慮投資虛擬化 (iThome Online,2013)。

因為台灣市場虛擬化推動的瓶頸和企業規模、產業屬性相關性頗高,而且台 灣中小型企業佔大多數,對虛擬化投資相對比大型企業來的偏低。至於製造業為 主的產業,除了少數具規模業者願持續虛擬化部署外,多半仍處於評估考量階 段。企業資料量成長與負載增加對 IT 系統營運帶來挑戰。資料中心用電增加也是 企業關注的焦點。亞太區約 2 成企業感受到資料中心用電成本顯著增加,其餘 8 成未有明顯感受。台灣情況則恰恰相反,近 8 成企業明顯感受到用電成本增加,

遠高於亞太地區受訪企業感受。IDC 認為,台灣企業對電力成本增加感受高於亞 太地區反映出國內資料中心空間有限的困境。企業因應業務需求擴充系統時,面 臨機房空間限制的窘境,採用高密度設備、虛擬化已成為必要,但在設備密度增 加、運算增加下,未來對電力需求將明顯成長。至於非結構化資料量增加,導致 企業資料量快速成長,有 76%亞太企業表示感受到內部影音等資料儲存需求快速 增加,其他 24%表示已控制資料成長狀況;台灣企業方面比例和亞太地區相近,

77% 感受 到資 料量 快速 成長 , 23% 表 示 妥善控制 資料成 長 (iThome Online , 2013)。

(17)

9

第二節 全虛擬化

為了指令運作的保護,在傳統的 x86 處理器架構下,針對指令分成了四種權 限級別並按照高低順序排列,分別為 Ring 0、Ring 1、Ring 2 及 Ring 3。一般而 言,作業系統的核心 (kernel) 及驅動 (driver) 方面常常利用 Ring 0 的權限範圍,至 於 一 般 的 應 用 程 式 (application) 方 面 大 多 限 制 在 Ring 3 的 權 限 範 圍 內 (http://en.wikipedia.org/wiki/Ring_(computer_security))。

圖 2-1 : Ring 特權等級示意圖

資料來源:本研究整理

一般而言,大多數的作業系統僅會用到兩個等級,即 Ring 0 和 Ring 3(係指 會用到兩種等級的作業系統者,應該主要會用到 Ring 0 及 Ring 3)。其中 Ring 0

(又稱第 0 級)代表權力最大的等級,至於 Ring 3(又稱第 3 級)則是權力最小 的等級。在大多數的狀況下,系統核心會在 ring 0 中執行,至於應用程式則會在 Ring 3 中執行。事實上,為符合企業的特殊需求時,也能夠將權力的使用界定在 Ring 0 與 Ring 3 之間的 Ring 1 和 Ring 2 等級的。著名的例子有在微核心(micro

Ring3:

Applications Ring2:

Device drivers Ring1:

Device drivers Ring0:

Kernel

(18)

10

kernel)的系統中,微核心雖然設定在 Ring 0 中執行,但是卻允許在 Ring 1(或 Ring 2)中執行系統服務。此外,在常見的情形中,權力較低的程式不具有存取 權力較高的程式或資料的特權。然而,有時候即使是權力較高的程式,仍不允許 直接執行權力較低的程式的特權;除了特例外,原則上必須由 call gate 進行呼叫 程序。

相較於把作業系統核心置於 Ring 0 權限層級的作法,全虛擬化的方式是以 hypervisor 作為替代方案,被虛擬化的客作業系統 (guest operating system, Guest OS) 核心對 Ring 0 級別的指令採用需由 hypervisor 進行監督管控。其中,全虛擬 化會使用 binary translation 的技術方式,把客作業系統中屬於直接存取硬體 Ring 0 等級的指令交由 Hypervisor 執行轉換作業,接著向硬體送出請求指示。

Hypervisor 此時會虛擬出所有的硬體元件,而同時間的客作業系統猶如面對一部 真實主機一樣,產生很高的運作獨立性。然而 binary translation 的技術可能降低 虛擬機器 (Virtual Machine, VM) 的效能

(http://en.wikipedia.org/wiki/X86_virtualization)。代表性的全虛擬化方案為

VMWare Workstation, VMWare Workstation 的特點在於採用應用程式的角色寄宿 在主作業系統 (Host Operating System, Host OS) 上面並提供虛擬化的服務。全虛擬 化模型 (Abramson et al., 2006),如圖 2-2 所示。

圖 2-2 : 全虛擬化模型

資料來源:本研究整理 Guest OS

Hypervisor Host OS Hardware

Guest OS … Guest OS

(19)

11

第三節 半虛擬化

一般而言,半虛擬化又可稱為平行虛擬化。相對於全虛擬化方式,半虛擬化 其實不會虛擬化所有的硬體設備,其中較著名的方案就是 Xen。常見的 Xen 當 中,存在著一個特別的主作業系統稱之為 Dom0,常見的 Dom0 會平行執行在於 其它的客作業系統 DomU 中,而 Dom0 一般會採用原生作業系統 (Native

Operation System) 的方式驅動及管理硬體設備。DomU 對於硬體裝置之存取作業 仍會藉由 Hypervisor 呼叫 Dom0 來共同協助完成所有要求。一般而言,客作業系 統對 Hypervisor 發送的呼叫被稱為 Hypercall,為使客作業系統能轉變原本直接向 硬體發送指令改成向 Hypervisor 提出 Hypercall 的呼叫,有必要針對客作業系統的 核心執行修改作業,對於某些非開放源碼之作業系統較不易採用

(http://en.wikipedia.org/wiki/Xen)。因為全虛擬化要把虛擬機器的指令進行 binary translation 的程序,所以半虛擬化將虛擬機器藉由 Dom0 的方式來呼叫硬體裝置,

Dom0 猶如交通警察管理每個虛擬機器針對實體資源的存取作業,即使虛擬機器 的效能可見到明顯的提升,惟硬體的驅動鎖定在 Dom0 中,而且虛擬機器上作業 系統的核心仍然要透過特殊修改程序才行。因此,虛擬機器的獨立性方面相對於 全虛擬化是較低的。半虛擬化模型如圖 2-3 所示。

圖 2-3 : 半虛擬化模型

資料來源:本研究整理 Modified

Host OS

Dom0

Modified Host OS

Dom1

Modified Host OS

Dom2

Modified Host OS

DomU Driver+Hypervisor

Hardware

(20)

12

第四節 硬體輔助虛擬化

在西元 2005 到 2006 年之間,處理器大廠 Intel 和 AMD 特別針對處理器的硬 體架構做某些方面的修改,其中增加了虛擬化的相關指令集 (Instruction Set),同 時也在硬體上提供了虛擬化的相關支援,因此技術名稱分別訂為 Intel VT-x 和 AMD-V (http://en.wikipedia.org/wiki/X86_virtualization)。具體而言,硬體輔助虛擬 化係為解決硬體的作業系統核心無法置於處理器 Ring 0 權限等級的問題,值得一 提的是 Hypervisor 和虛擬的作業系統核心都並存於 Ring 0 之中,hypervisor 主要 用來自動獲取需要處理的虛擬作業系統所發出的請求指令,再將之直接轉給硬體 處理,不必透過全虛擬化中的 binary translation 或是半虛擬化中 Hypercall 的操作 方式,因此在處理效率上具有優勢。硬體輔助虛擬化方式事實上已消除全虛擬化 與半虛擬化之間的差別,尤其是在硬體輔助之基礎上,全虛擬化或半虛擬化方案 的虛擬機器皆具備高效能與高獨立性的優點。著名的硬體輔助虛擬化的方案計有 VirtualBox 、 VMWare ESXi 和 開 放 原 始 碼 的 KVM (Kernel-Based Virtual Machine)。其中,VirtualBox 係類似應用程式在主作業系統中提供虛擬化服務;

而 KVM 同樣也需要在主作業系統中,經系統核心方式提供虛擬化服務;至於 VMWare ESXi 則等同專門提供虛擬化服務的簡單型之作業系統,係直接安裝於實 體機器上。本研究茲將三者的模式列出如圖 2-4 所示。

圖 2-4 : VirtualBox、 KVM以及VMWare ESXi的虛擬化模式

資料來源:本研究整理

Guest OS

Guest

OSGuest OS VirtualBox

Host OS Hardware

Guest OS

Guest

OSGuest OS KVM

Host OS

Ho Hardware

Guest OS

Guest

OSGuest OS

VMWare ESXi

Hardware

(21)

13

謝宗哲 (2011) 認為虛擬化是抽象的概念,大多數文獻的解釋只涵蓋數種與系 統整合和管理相關理論所定義出來的一個名詞。而最早虛擬化一詞是出現於 1940 年代,當時 IBM 公司為了讓使用者能充分地利用昂貴的大型主機資源,於是發明 了虛擬化技術,透過了這種技術允許用戶在同一台主機上執行多個作業系統,事 實上在不同的層次間的轉解譯,亦無法避免對效能上的影響,但隨著虛擬化技術 的發展,效能的損耗是越來越低的 (胡志凱,2010)。近幾年來,虛擬化技術越來 越受到重視,企業紛紛導入虛擬化技術,以期讓實體主機資源更有效率的被利 用,進而減少硬體設備的數量,來達到節能減碳、降低營運成本的目的。除此之 外,Rodríguez-Haro et al. (2012) 也指出 Hypervisor 可以分成 Hypervisor type I 及 Hypervisor type II 兩種,前者係直接在硬體執行並管控所有的虛擬機器,例如 VMware ESX, Hyper-V 及 Xen;而後者則主要在主作業系統中運作並且支援主虛 擬機器,例如 VMware Server 及 VirtualBox,兩者的模式如圖 2-5 所示。

Hypervisor type I Hypervisor type II 圖 2-5 : Hypervisor type I 及 Hypervisor type II的虛擬化模式

資料來源:本研究整理 VM VM VM

VMM Hardware

VM VM VM

Host OS Hardware

VMM

(22)

14

第五節 資訊安全

一般而言,資訊安全的定義就是保護任何與電腦相關事物之安全,資訊是指 將眾多資訊藉由整理或分析的過程,使其成為有意義之內容,具有價值及重要性 之資訊也將成為決策制訂之參考依據 (葉乃菁與李順仁,2004)。根據 ISO/IEC 27002 對資訊的定義是,資訊是一種資產,如同企業其他重要有形資產,對企業 而 言 是 不 可 或 缺 的 , 因 此 需 要 妥 善 保 護 ( 引 自 http://en.wikipedia.org/wiki/ISO/IEC_27002, 2013)。

關於資訊安全的定義,最早由 IBM (1984) 公布之 IBM Data Security Support Programs 提到對資訊資產有意或意外的情形下,未經授權的公開、修改、破壞或 使之失誤等等行為的保護。資訊安全成為重要議題,近年來使用的企業也隨之注 意相關問題。至於 ISO/IEC 27001:2005 文件則指出資訊安全係保存資訊的機密 性、完整性及可用性;此外,亦能涉及如鑑別性、可歸責性、不可否認性及可靠 度等性質 (引自 http://www.iso.org/iso/catalogue_detail?csnumber=42103, 2013)。若 以資訊安全的範圍區分,Schneider and Therkalsen (1990) 指出資訊安全所能考慮 的範圍包括電腦軟硬體、網路、環境的安全技術方面、人員的教育訓練與操作安 全觀念的養成,是屬於「技術」與「人」兩方面的因素。Loch et al. (1992) 指出資 訊安全包括電腦設備、機動及系統和資訊的安全。且隨著資訊科技的發展推廣,

企業針對資訊科技的應用層面慢慢地從資訊部門擴展至使用者端。

黃亮宇 (1992) 指出實體安全、資料安全、程式安全與系統安全等四類安全並 非獨立存在,而是必須在整體資訊安全中相輔相成的。資訊安全等層級牽涉廣 泛,從早期的機房設備到近期的網路通訊都涵蓋在裡面,甚至影響企業生存發 展。資料、資訊和軟體已經成為企業總體上無價的資產,基本上,它們已經成為 企業的命脈,若受到危害,可能將會扼殺整個企業 (Basie von Solms & Rossouw von Solms, 2005)。

資訊安全係在處理電腦系統的使用者之非授權行為的預防與發現(Gollmann, 1999)。任何資訊安全政策之廣義目標,必需能保護儲存於資訊系統中資料之機 密 性 ( confidentiality ) 、 完 整 性 (integrity) 與 可 用 性 (availability) , 即 所 謂

(23)

15

「C.I.A.」(Smith, 1989;Schultz 等, 2001;ISO/IEC 17799, 2000;Chapman &

Zwicky, 1995;鄭信一,1999)

1. 機密性 (confidentiality): 係指資料或資訊在授權的時間、有授權的行為下,

公開傳給授權人員、物件及過程運用。

2. 完整性 (integrity): 係指資料或資訊系統確保其精確性及完全性。

3. 可用性 (availability): 係指資料、資訊和資訊系統在需要用的時間裡都能使用 和存取。

有關資訊安全風險控管要求,資訊安全風險管理 (ISO 27005) 在 ISMS 的目標 在於:「確保資訊資源之合法存取,在所有可能遭受資訊攻擊的階段,提供完 整、未中斷之資訊系統運作,其控管流程圖如圖 2-6 所示。

圖 2-6 : ISO/IEC 27005 與 18045 之風險管理過程

資料來源: BSI, ISO/IEC 27005:2008

(24)

16

彭文良 (2009) 指出資訊的定義是使用電腦系統處理、經由網路傳送、或儲存 的資料,稱之為資訊。可看出資訊的定義由電腦週邊設備擴展到網路或雲端儲存 的資料皆屬之,資料的妥善保存於是成為重要議題。關於資訊安全的定義,學者 多有不同的見解,大多定義為有形或無形的資訊是資產的一種,資訊安全分為 1.

硬體安全,包括電腦硬體環境控制、機動管理、硬體設備使用安全、2.軟體安 全,包括系統安全、應用程式安全及個人資料安全、3.個人安全,包括人身安 全、個人隱私安全及網路通訊安全 (許又云,2009),舉凡資訊資產、實體資產、

軟體資產、服務資產、文件、人員、機關形象與榮譽等等皆是;安全則是利用主 動或被動的各種方法,來保護或保存一個環境,使其活動的進行不受干擾(彭文 良,2009)。綜上所述,資訊安全相關定義如表 2-1 所示。

表 2-1 : 資訊安全定義

學者 年代 定 義

IBM 1984 對資訊資產有意或意外的情況下,未經授權的公開、修改、

破壞或使之失效等行為的防護。

黃亮宇 1992

把管理程序和安全防護技術應用於電腦的硬體、軟體和數據 (或資料),以確保儲存中或傳遞中的數據或資訊免於他人有意 或無意的讀取、刪除或修改。

劉國昌 1995

電腦安全的保護範圍包括:機房、電腦主機、終端機、電腦網 路線、軟體與資訊等有形或無形的電腦相關事務,良好的安 全措施維護了這些資料的機密性、正確性、可用性及完整 性。

Hutt 1995 資訊安全的威脅分為:潛在的威脅、實體災難、裝備故障、軟 體故障、人為錯誤、資料的濫(誤)用及資料遺失等威脅。

賴溪松、

韓亮、張 真誠

1995 一般而言,資訊安全則是要達到資訊正確性、資訊適宜性及 資訊可使用性。

Parker 1997

資訊安全就是對於個人或組織在使用,所有關於口語的、印 製的及自動化紀錄等的保護以及保護資訊的產生、處理過 程、傳遞、儲存使用、展示及控制等來源。

Finne 2000 為降低資訊風險所進行等各種量測方法。

李順仁 2002 資訊安全,是一種管理而非技術。

(25)

17

資料來源:本研究整理 ISO 27001 2006 保存資訊的機密性、完整性及可用性;此外,涉及如鑑別

性、可歸責性、不可否認性及可靠度等性質。

周宣光 2007

資訊安全是指用來防止非法存取、竄改、偷竊和對資訊系統 造成傷害的一些政策、程序和方法,藉由一些技術和工具來 保護硬體、軟體、通訊網路和資料以提升資料的安全性。

林宏昇 2008

保證各種型式之文件及資訊、軟硬體設備、系統、人員的資 訊資產之弱點不暴露在危險中,避免遭受外來威脅,使各項 資訊資產符合機密性、完整性及可用性等資安要求。

徐弘昌 2009

資訊安全是使資訊不受各種廣泛的威脅之保護,以降低營運 風險,確保營運的持續性,進而得到豐厚的投資報酬率及商 機。資訊安全經由實作一套適當的控制措施達成,包括政 策、過程、程序、組織結構及軟硬體功能,必要時必須建 立、實作、監視、審查與改進這些控制措施,以確保達成組 織的特定安全與營運目標。

張正宏 2012

資訊安全是為了預防天災或是人為刻意或無心破壞,以保護 系統和資料的產生、儲存、使用、傳送、展示及控制等用 途,進而達成防止未經授權的存取或更改與保障合法使用者 可用性的目的。此外,資訊安全的範圍而同時涵蓋技術層面 和管理層面,兩者缺一不可。

(26)

18

第六節 ISO/IEC 27001規範內容

ISO/IEC 27001 規範係指一個管理系統用來將資訊安全建立在明確的管控 中。作為一個正式的規範意謂提供指令作為明確的必要條件。若組織宣告採用 ISO/IEC 27001 可 視 為 正 式 接 受 審 核 及 遵 守 標 準 的 認 證 ( 引 自 https://en.wikipedia.org/wiki/ISO/IEC_27001)。ISO/IEC 27001 提供模範以建立、實 施、操作、監控、審查、維護及改善資訊安全管理系統 (information security management system, ISMS) 而準備,且 ISMS 之採用必須是組織的策略性決策 (練 兆欽,2010)。

有關 ISO/IEC 27001 規範的演進歷程,說明如表 2-2 所示。

表 2-2 : ISO/IEC 27001 演進歷程

年代 事件

1990 世界經濟合作暨開發組織 (OECD, 2002) 之資訊、電腦與通訊政策組織 於當年開始草擬「資訊系統安全指導綱要」。

1992 OECD 於當年 11 月 26 日正式通過「資訊系統安全指導綱要」。

1993 英國之工業與貿易部頒布「資訊安全管理實務準則」。

1995

英國訂定「資訊安全管理實務準則」之國家標準 BS 7799 第一部分,並 提交國際標準組織(International Organization for Standardization ,簡稱 ISO)成為 ISO DIS14980。

1996 BS 7799(Part Ι)提交國際標準組織(ISO)審議,惟當時並沒有通過成為 ISO 標準之要求。

1998 英國公布 BS 7799(Part-2) 「資訊安全管理規範」並為資訊安全管理認證 之依據。

2000 增修後之 7799(Part-1)於 2000 年 12 月 1 日通過 ISO 審議,成為 ISO/IEC 17799 國際標準。

2002

2002 年 12 月 5 日 ISO 未通過 7799(Part-2)審議,我國經濟部標準檢驗局 分別基於 ISO/IEC 17799 與 BS 7799 -2,發布國家標準 CNS 17799 及 CNS 17800。

(27)

19 2005

2005 年 6 月 15 日,ISO/IEC 17799:2005(E)正式發行。ISO 於 ISO/IEC 17799:2005(E)之前言敘明於 2007 年將發行 ISMS 的 27000 標準系列。

ISO/IEC 17799:2005(E)將由 ISO/IEC 27000 系列取代。

2005 年 10 月 15 日 ISO/ IEC 27001 與 ISO/ IEC 27002 正式發行。

資料來源:本研究整理

至於維護資訊安全三項重要目標包括機密性、完整性及可用性,分別說明如 下:

1. 機密性 (confidentiality): 係指資料或資訊在授權的時間、有授權的行為下,

公開傳給授權人員、物件及過程運用。

2. 完整性 (integrity): 係指資料或資訊系統確保其精確性及完全性。

3. 可用性 (availability): 係指資料、資訊和資訊系統在需要用的時間裡都能使用 和存取。

ISO/IEC 27001 規範的精神在於採用第三方驗證 ISMS 的 ISO 國際標準,此國 際標準則建立在一系列的規劃-執行-檢查-行動 (plan-do-check-act) 循環以持續改善 流程 (OECD, 2002),如圖 2-7 所示。

(28)

20

圖 2-7 符合ISMS之PDCA過程

資料來源:本研究整理 PDCA 在資訊安全管理系統中所代表的含義如下:

1. Plan-計畫(建立 ISMS):規劃並制定完善的 ISMS,包括:資訊安全政 策、目標、風險控管流程及相關安全控制程序。此階段組織應執行:

(1) 依據營運、組織、其所在位置、資產及技術等特性,並納入該範圍 內所有排除項目的細節和衡量理由,來界定資訊安全管理系統之範圍 及諸邊界(Scope)。

(2) 依據營運、組織、其所在位置、資產及技術等特性,制定資訊安全 管理系統政策。

(3) 制定組織的風險評鑑作法及分析與評估各項風險。

(4)選擇各項風險之處理的控制目標及其對應之控制措施。

2. Do-執行(實施與操作 ISMS)將 ISMS 的內容加以實做與執行。此階段 利害相

關人員

資訊安 全要求 與期望

資訊安 全要求 及期望

利害相 關人員

管理資訊 安全

受管理 的資訊 安全

建立 ISMS

實作和運 作 ISMS

監視和審 查 ISMS

維持和改 進 ISMS

規劃

執行 行動

檢查

(29)

21 組織應執行:

(1)為管理資訊安全風險,建構一套風險處理計畫,以識別適當管理措 施、資源、責任及優先順序。

(2)實作風險處理計畫,以達成所識別的各項控制目標,其中包括賦予資 金的考量以及角色與責任的配置。

(3)實作所選擇的控制措施,以符合控制目標。

(4)界定如何量測控制措施的有效性,並規定如何使用這些量測方法去評 鑑控制措施的有效性,以產生可比較的結果。

(5)針對資訊安全管理措施進行教育訓練。

(6)管理資訊安全管理系統之運作與資源。

3. Check-檢查(監控與審查 ISMS):持續追蹤 ISMS 執行狀況,利用適當 的測量方法來評估績效,並將結果彙整、進行討論。此階段組織應執行:

(1)執行監視與審查程序。

(2)定期審查資訊安全管理系統的有效性。

(3)依規劃的期間內施行資訊安全管理系統組織內部稽核。

(4)定期執行資訊安全管理系統之管理階層審查,以確保其範圍

(Scope)維持適當。並將稽核、審查活動的發現事證,更新於安全計畫 中。

4. Action-行動(維持和改進 ISMS):基於 ISMS 內部稽核與管理階層的審 查結果進行相關的矯正處理與預防措施,以達成 ISMS 的持續改進。此階段 組織應執行:

(1)實作已識別的資訊安全管理系統各項應改進事項。

(30)

22

(2)對於已發生的資安事件,適當採取矯正與預防措施。並運用從其他組 織及由組織本身的資安經驗中學得的教訓。

(3)以適切於組織現況的方式,與所有利害相關者就各項控制措施與改進 進行溝通、協調。

(4)確保各項改進措施達到其預期目標。

若現存之問題仍無法妥善解決或未來新增的議題,將透過再次的 PDCA 持續 循環模式來達成預定目標。

在 ISO/IEC 27001:2005 中有針對整個資訊安全管理系統的建立和管理、實施 與操作、監控及審查、維持與改進各個階段皆提出詳細的實施要項及完整敘述。

企業遵循 ISO/IEC 27001「資訊安全管理規範」內所要求的一切事項去建置 符合組織的資訊安全管理系統,從訂定範圍、制定政策、風險控管、作業程序標 準化、事故管理、擬定營運持續計畫及適用性聲明書等。但是為了加以證明企業 的資訊安全管理系統的建置是有效的,符合法令規章及主管機關的要求,或是讓 商業合作夥作與客戶能感到信任,往往都需要經由第三方認證機構(如:BSI、

SGS)的稽核 驗證通過後 然後取得具有公信力的國際發證單位、,(如:英國 UKAS)所頒發的「ISO/IEC 27001 資訊安全管理系統驗證」證書,如此才能證明 企業的資訊安全管理系統的有效性。

企業的資訊安全管理系統建構完成後,欲取得認證的大致程序計有審核評 估、註冊申請、預評(選擇性)、書面審查、現場稽核,最後即完成認證等步 驟。認證有效期限為 3 年,期間需配合部份階段的持續評鑑以確保證書的有效 性。當證書期限到期時,企業需再一次完整地接受正式的稽核活動,以延續證書 的有效性,具體步驟說明如下。

1. 建立架構

根據「資訊安全管理規範」建立符合企業需求之資訊安全架構。

(31)

23 2. 審核評估

經由委託的第三方機構審查相關資料,評估進行驗證所需人力、時間、成本 及進度安排。

3. 註冊申請

若企業同意認證機構提供之報價資料,則由企業提出一份正式認證申請函。

4. 書面審查

認證機構在所規劃的時間內執行書面審查,內容包括:認證範圍、資訊安全 政策、風險審查、適用性聲明及相關文件。

5. 現場稽核

當認證機構完成書面審查後,安排時間至企業進行現場稽核,於稽核結束後 再行提出是否核發認證之聲明。

6. 完成認證

完成各階段查核後再由認證機關發出正式認證證書,證書有限期間為 3 年,

期間需配合追蹤審核以確保證書的有效性。當有效期限當期時需透過正式的審核 活動進行驗證並延續證書之有效性。

此外,國際間還有 BS7799 標準也廣泛地涵蓋了大部份資訊安全的議題,可 適用於各種產業與組織,原僅為英國國家標準,後來已被多個國家採用成為國家 標準,如澳洲、紐西蘭、巴西、捷克、芬蘭、冰島、挪威和台灣等。

在西元 2000 年時,國際標準組織(International Organization for

Standardization,簡稱 ISO)為提供一套能讓全球遵循的資訊安全管理標準,便將 BS7799-1 制定成為國際標準 ISO/IEC 17799:2000。但隨著資訊科技的進步,資安 環境的改變,國際標準組織為了因應新的資訊科技技術和網際網路的發展,將 ISO/IEC 17799:2000 的整體架構、適用範圍、控制措施的分類與從屬關係進行適

(32)

24

當的修改條款用字與詞意,以確保依然能符合各產業和各組織所要求資安標準的 適用性,故國際標準組織於 2005 年 6 月發行其改版的 ISO/IEC 17799:2005,並且 敘明於 2007 年將發行資訊安全管理系統 (Information Security Management System, 簡稱 ISMS)的 27000 標準系列,ISO/IEC 17799:2005 將由 ISO/IEC27002 取代。

同年,BS 7799-2 也正式成為 ISO/IEC 27001:2005 之國際標準。

(33)

25

第三章研究方法

早年各大企業的電腦運算架構都依靠大型主機 (Mainframe) 為主,隨著個人 電腦與網通技術的進步,大型主機時代沿用的集中式運算環境也發生革命性的改 變,而個人電腦普及後,逐漸浮現主從式 (Client/Server) 與伺服器運算 (Server- based computing) 等不同電腦系統運算系統。此外,用戶的終端硬體設備,也由個 人電腦取代了 Terminal Console,優點在於分散處理的效能較佳,同時企業可以 解決效能問題;雖然處理效能問題得到解決方案,但也造成間諜病毒程式防護、

資料安全管理、軟硬體資產的維護、應用程式更新維護和用戶不當操作等新奇的 資安問題。

這些新的資安問題都對 IT 建置及管理上導致更多的成本浪費和額外的資訊 系統控管人力。由於網路連線時,伺服端無法確保使用端環境安全,往往造成資 安問題;而在人力缺乏和維護資訊設備龐雜環境中,資訊管理部門常常在規劃資 訊系統平台時,會面臨到的難題包括資訊系統運作完善,且藉由新式的資訊系統 架構來提昇資訊安全等等。所以本研究方法即希望以資安專家提供相關因素並探 討企業虛擬化環境導入企業後之資訊安全風險之關鍵項目,期能提供相關企業在 未來執行資訊平台建置之具體建議。

王振鴻 (2009) 的研究認為資訊科技的進步,企業組織 e 化的程度普遍性提高 不少,資訊系統早已取代大量的人工作業,成為大多數企業營運的重要基礎設 備。資訊系統普及的應用,讓企業組織開始重視資訊資產的保護,如何確保其資 訊系統與資產的機密性、完整性和可用性,避免受到外來的攻擊與內部的破壞,

加強風險控管,降低資安事件之發生,是近幾年來企業界鎖定的議題。ISO 27001 是國際標準組織早在 2005 年正式公布,也是現今國際社會最多企業組織所認同 並採用的資安管理標準,透過持續循環的管理機制,協助組織制定資安政策、執 行資產鑑別、進行風險管理,達到組織資安控管之目標。該研究利用深入訪談與 問卷調查之方式,針對四間全組織導入資訊安全管理系統(Information Security Management System, ISMS)並取得認證之個案進行探討,歸納出欲進行全組織導

(34)

26

入時的評估要點、關鍵成功因素、遭遇到的困難與導入後所獲的效益,作為後續 其它企業組織之參考依據,以便能夠快速、順利的成功導入 ISMS。一般來說,

質化研究的樣本數相對較少且主觀性較高,在推論整體產業上會有偏誤情形發 生。

黃育民 (2010) 指出近年來伺服器虛擬化技術(Server Virtualization)的風潮不斷 的延燒,為企業帶來成本節省、管理集中、效能提升與營運連續等優點,大幅提 昇伺服器的利用率與投資報酬率,促使企業採用伺服器虛擬化技術成為一個熱門 趨勢。事實上,導入伺服器虛擬化技術對現行資訊系統環境也會產生某些負面影 響,如何因應伺服器虛擬化技術所帶來各項效益與問題,不再只是單純的技術問 題,已演變成為企業需要去面對的管理問題。

資訊安全是使資訊系統不受各種廣泛的威脅之保護,以確保營運持續性,並 將營運風險至最低。採用伺服器虛擬化技術後將導致與現行資訊系統安全防護產 生落差,為求有效率地掌握導入伺服器虛擬化技術對企業資訊安全之影響項目,

該研究透過相關文獻來檢視伺服器虛擬化技術與資訊安全資料之內容,分析出五 個資訊安全威脅項目及延伸出三十四個影響因素。再藉由透過專家訪談分析出影 響因素的弱點項目,並藉由所得到之弱點項目再歸納出風險構面及項目,再以形 成修正式德菲法 (Modified Delphi Method) 問卷問題,最後透過修正式德菲法施于 二回合的問卷調查,評估各風險項目之適切性,最後根據二次問卷分析的結果,

提出伺服器虛擬化技術風險檢查表,提供企業導入伺服器虛擬化技術後進行風險 評估之參考。大抵而言,量化數據較能客觀呈現整體的面貌,惟仍應注意偏誤問 題。

本研究考量質化研究的主觀性特點及樣本代表性問題,因此本研究選擇採 用層級分析法進行問題之探討,先整理各學者對於企業導入虛擬化之資訊 安全風險項目的構面及細項,接著再訪問企業界及學者等專家以建立初步 構面及資安項目,再於確認專家問卷內容後進行專家意見權重分析。本研 究希望所得到的構面及資安項目之權重,對於企業導入虛擬化之資訊安全 風險項目的建立能有幫助。

(35)

27

第一節研究架構圖

圖 3-1 : 研究架構圖

資訊安全企業

初步評估模型建構

資深經理人或主管 專家問卷

資深經理人或主管

及相關人員

AHP 問卷

資訊安全風險項目確立 整理資訊安全評估指標 項目

(36)

28

一般研究方法分為定量及定性研究法。定量方法具有事先設立的問題假設、

明確的操作性定義及科學化的驗證步驟,以量表評分的統計量來支持或不支持假 設的推論方法得到結論,具有可量化、可重覆操作及簡要表達研究成果的優點。

量化研究重點在於事件的觀察、資料的收集及電腦統計資料分析,問題還可按照 研究者的興趣、價值觀問題、社會科學領域中重要的議題來設定主題,在訂完研 究主題後,接著擬定研究架構、研究問題及研究假設,針對關鍵地方予以說明概 念性定義及操作型定義。

本研究主要考量現行特定組織之資訊系統在人力有限的環境下,如何在導入 虛擬化環境建構資訊安全風險之關鍵項目以利建立一套更穩定及安全的資訊作業 平台。針對相關企業組織內資深的資訊管理人員進行深度訪談,並觀察現行機房 的運作模式,以歸納、分析導入虛擬化環境的決定性關鍵因素,再運用 AHP 層 級分析法,探討在導入虛擬化環境的關鍵考量因素,期能做為相關企業後續建置 資訊系統平台的參考。本研究之架構如圖3-1所示。

(37)

29

第二節層級分析法

層級分析法 (AHP) 是一套多目標決策方法,為Thomas L. Satty (1987) 所提 出,可用以處理必須兼顧量化 (quantitative) 和質化 (qualitative) 條件的多規範問 題,主要應用於不確定情況下且具有多重評估準則的決策問題上。

原則上,AHP法是將複雜且非結構的情況分解成數個主要成份,再將這些成 份或變數轉為層級結構,然後依照變數間的相關重要性參酌受試者主觀判斷所給 予的數值,綜合這些判斷結果以決定哪一個變數有最高優先權 (余舜基,1997)。

其中每個問題的對應變數都要給予一個數值,以幫助決策者思考並獲得分析結 論。

本研究針對擁有資深資安工作經驗的經理人或專業人士為訪談對象,進行前 測問卷調查,因此有關專家取樣需要具備足夠的代表性。本問卷發放方式為親自 訪談,為使填寫人員能安心作答,本問卷採不記名方式;發放問卷之前,先以電 話徵詢受訪談人意願,並告知大致訪談內容,再約定時間親自面對面訪談;或事 先約定以電子郵件傳送,再以電話訪談方式進行,預計發放前測問卷15份。由於 問卷採用二點量表方式呈現,針對指標之適合性:請專家判斷「適合」與「不適 合」兩個選項。除此之外,各指標皆設有修正意見欄及建議指標欄,讓受訪的專 家們表達意見,作為指標修正的參考。對於專家問卷調查結果所採取篩選的方 式,凡是填答「適合」之相對次數在90%以上者,予以留用,在70%至90%之間 且專家有修正意見者,才納入合併或修正考慮,未達90%且專家無任何修正意見 者,則予以刪除,藉此確立最後層級架構。

鄧振源及曾國雄(1989)研究指出,層級分析法發展的目的就是將複雜的問題 系統化,由不同的層面給予層級分解,並透過量化的判斷,尋找脈絡,加以匯整 綜合評估後,以提供決策者充分的資訊,並作出最適當的決策與方案,同時降低 錯誤決策的風險。根據鄧振源及曾國雄(1989)滙整出Saaty看法之後,列出關於層 級分析法之九大項假設。

(38)

30

(1) 每一個系統都可以分解成許多種類(Classes)或成份(Components),並形成 有如網路般的層級架構。

(2) 在層級架構中,每一層級的要素皆假設具獨立性(Independence)。

(3) 每一層級內的要素,可以用上一層級內某些或所有要素作為評估準則,並 進行評估。

(4) 在比較評估時,可將原本絕對數值尺度轉變為比例尺度(Ratio Scale)。

(5) 各層級要素進行成對比較後,可以使用正倒值矩陣 (Positive Reciprocal Matrix)來處理。

(6) 偏好關係滿足遞移性(Transitivity):不僅優劣關係滿足遞移性(A優於B優 於C,則A優於C),同時強度關係也滿足遞移性(A優於B計有2倍,B優於 C3倍,則A優於C6倍)。

(7) 完全遞移性不容易,因此容許不具遞移性的情形存在,但需經過測試其一 致性(Consistency)。

(8) 要素的優勢程度需透過加權法則(Weighting Principle)求得。

(9) 不論優勢程度高低與否、程度大小如何,任何要素出現在層級架構中,皆 視為與全部評估架構相關。

另外,應用AHP方法的前提,係將評比方案所根據的要素(準則)相互比較後 的重要程度,均給予各不同等級的數值,以進行一連串的數值運算,求出最終具 參考的數值。

(39)

31

第三節 初步評估指標建構

本研究考量資訊安全的技術層次和安全維護等重要特質,收集國內外相關學 者的文獻,以設備環境安全、企業永續經營、資安規範、組織內部管理、通訊與 作業管理等等,分為五個指標構面,接著整理各構面相關的特點,再歸納於相關 的學者或標準整理成相關明細如表 3-1 所示。

表 3-1 : 初步資訊安全風險項目彙整表

項次 構面 資訊安全風險項目 相關學者

1 設備環 境安全

系統 實體 環境 之保 護措 施

威脅 弱點 分析

實體 資產 保護 與管 理

資訊 資產 管理 清冊

除錯 程序 規劃

設備 維護 標準 作業

進出 存取 權限 管理

IBM(1984)、黃亮 宇(1992)、張正宏 (2012)

2 企業永 續經營

持續 經營 計劃

備援 和恢 復規 劃

定期 風險 評鑑 作業

故障 排除 程序

事件 記錄 後之 追蹤 改善

定期 測試 之落 實

企業 資安 形象

ISO 27001(2006)、

徐弘昌(2009)、張 正宏(2012)

3 資安 規範

持續 辦理 矯正 與預 防措 施

定期 進行 內部 稽核 活動

保留 稽核 軌跡

遵循 國際 規範

遵循 內部 規範

資安 管控 流程 計劃

IBM(1984)、ISO 27001(2006)、周宣 光(2007)

4 組織內 部管理

安全 政策 的有 效性

建立 緊急 聯繫 機制

高階 主管 資訊 安全 認知

資安 人員 的專 業性

員工 教育 訓練

資安 員工 忠誠 度

資安 系統 的穩 定程 度

高階 主管 支持

Parker(1997)、李順 仁(2002)、張正宏 (2012)

5

通訊與 作業管 理

第三 方的 服務 管理

網路 傳輸 管理

備援 機制

通訊 安全 作業

CA 認證 與憑 證管 理

資訊 備份 作業

賴溪松、韓亮、張 真誠(1995)、林宏 昇(2008)

資料來源:本研究整理

(40)

32

本研究再依各構面及重要的特徵項目,再予以分別進行整理成相關明細如表 3-2 所示。

表 3-2 : 初步評估指標明細 指

標 設備環境安全 企業永續經營 資安規範 組織內部管理 通訊與作業管理 1 系統實體環境

之保護措施 持續經營計劃 持續辦理矯正 與預防措施

安全政策的有 效性

第三方的服務管 理

2 威脅弱點分析 備援和恢復規劃 定期進行內部 稽核活動

建立緊急聯繫

機制 網路傳輸管理

3 實體資產保護 與管理

定期風險評鑑作

業 保留稽核軌跡 高階主管資訊

安全認知 備援機制

4 資訊資產管理

清冊 故障排除程序 遵循國際規範 資安人員的專

業性 通訊安全作業

5 除錯程序規劃 事件記錄後

之追蹤改善 遵循內部規範 員工教育訓練 CA 認證與憑證 管理 6 設備維護標準

作業 定期測試之落實 資安管控流程 計劃

資安員工忠誠

度 資訊備份作業

7 進出存取權限

管理 企業資安形象 資安系統的穩

定程度

8 高階主管支持

資料來源:本研究整理

(41)

33

第四節 層級分析法之指標建構步驟

本研究運用層級分析法以設備環境安全、企業永續經營、資安規範、組織內 部管理及通訊與作業管理等五個指標構面,按照下列步驟計算構面及題項之相對 重要性權重,再將結果整理成為企業導入虛擬化之資訊安全風險項目,建構步驟 如下各點所示。

1.問題界定

利用群體決策法,如腦力激盪法、德菲法 (Delphi Method) 或視訊會議等方 法,將欲考量的重要因素依次列出,經由歸納整理和系統化等方式劃分為初步的 層級形式。至於層級數多寡,因為考慮決策者在面臨複雜的問題時,無法同時處 理七個以上的要素,而為了計算層級要素便利起見,建議最佳要素值為七個以 內。除此之外,相同層級的要素與要素間要具獨立性,否則必須加以合併。層級 程序法係採用分解(Decomposition) 原則針對複雜的決策問題進行處理,首先將問 題 由 最 上 層 的 決 策 目 標 (Objective) 解 構 成 決 策 標 準 (Criteria) 、 決 策 子 標 準 (Subcriteria) 及最下層的可行方案 (Alternatives),形成一個層級結構。目的為釐清 所欲決策之問題,以進行層級結構之構建。

2.建立層級架構,進行對偶評估及矩陣建立

經由腦力激盪方式,將複雜問題系統化,由不同層面給予層級分解,再將評 估標的、指標與標準結構化。將上一層級之某一要素作為評估基準,與其下一層 級之子要素進行要素間重要性的成對比較 (Pair-Wise Comparison),再採用名目尺 度 (Nominal Scale),設定其相對重要性的比值 (Ratio),最後進行問卷的填寫。由 於採用成對比較矩陣的方式,下方之三角形與上三角形互為倒數,所以僅需比較 n(n-1)/2 次,即可求出全部之答案。

層級架構建立後,接下來開始進行評估層級要素,由於每一層級的任意兩個 要素均向上一層的要素當作評估準則 用來判斷這兩個要素對上一層要素的重要,

性。AHP 法評估尺度的劃分總共分成五個等級,依序分別為同等重要、稍重要、

(42)

34

頗重要、很重要與絕對重要等,並編列名目尺度 1、3、5、7、9 衡量值;以及四 項介於五個基本尺度之間 2、4、6、8 衡量值。有關各尺度所代表的定義及說明 如表 3-3 所示。

表 3-3 : AHP 評估尺度意義及說明表

評估尺度 定義 說明

1 同等重要(Equal Importance) 兩比較方案的貢獻 程度具同等重要性

3 稍重要(Weak Importance) 經驗與判斷稍微傾 向喜好某一方案

5 頗重要(Essential Importance) 經驗與判斷強烈傾 向喜好某一方案

7 很重要(Very Strong Importance) 實際顯示非常強烈 傾向喜好某一方案

9 絕對重要(Absolute Importance) 有足夠證據肯定絕 對喜好某一方案 2,4,6,8

相鄰尺度之中間值(Intemediate Importance)

需要折衷值時

資料來源:鄧振源、曾國雄(1989) 3.計算層級之權重

將已完成之層級結構轉成問卷方式,進行問卷設計與調查,藉以調查決策者 對各項評估準則之權重偏好。此時利用特徵值 (Right Eigenvector) 法,將上述步 驟所算出來的相對重要比值代入矩陣,計算初期最大特徵向量 λmax (Maximal or Principle Eigenvalue)亦即主特徵向量,將主特徵向量標準化 (Normalization) 後,

即代表各要素權重的優勢向量 (Priority Vector)。

(1) 一致性指標(Consistency Index, C.I.):C.I. = (λmax-n)/(n-1),其中,n 為層 級因素個數,λmax 為決策者所建立比較矩陣之特徵值。若 C.I. ≦ 0.1,表示決策

(43)

35

者在建立成對比較矩陣時,此成對比較矩陣的一致度視為滿意。

(2) 隨機指標(Random Index, R.I.):此值可藉由查表方式(如表 3-4),獲得隨機 性。

表 3-4 : 隨機指標(R.I.)值 層級因素總

2 3 4 5 6 7 8 9 10

R.I.值 0 0.58 0.9 1.12 1.24 1.32 1.41 1.45 1.49 資料來源:鄧振雄、曾國雄(1989) (3) 一致性比率(Consistency Ratio, C.R.):C.R. = (C.I.)/(R.I.),若 C.R. ≦ 0.1,

代表決策者在建立成對比較矩陣時,對於各要素權重判斷的偏差程度尚在可以接 受的範圍內,視為具有一致性。

4.檢定層級一致性

若每個成對比較矩陣的一致性符合標準後,還需要檢定整個層級結構的一致 性。若整個層級結構的一致性程度不符合要求,則層級的要素關聯性可能出現問 題,必須重新進行要素和關聯分析。

5.選擇替代方案

若整個層級通過一致性檢定,則可求出替代方案的優先向量。如果只有一位 決策者時,只需求取替代方案的綜合評估值即可;若決策者來自兩人以上的群體 時,則必須分別計算每一決策成員的綜合評估值,最後使用加權平均法,求取綜 合評估值,再決定替代方案的優先順序。若最終目的只為建立權重體系時,則可 免去上述步驟。

問卷中將各評估項目以名目尺度做簡明的對偶比對,將名目尺度以絶強(9:

1)、極強(7:1)、頗強(5:1)、稍強(3:1)、相等(1:1)、稍弱(1:3)、頗弱(1:

5)、極弱(1:7)、絶弱(1:9)等劃分成九級,以提高研究效度。

(44)

36 6.權重值分析

經由專家訪談及層級分析法 (AHP)進行權重值分析,可依照電腦運算成對比 較之優劣順序,再按照題項的排序整理成為本研究所欲探討的企業導入虛擬化之 資訊安全風險項目。

第五 節前測專家訪談結果

由於問卷採用二點量表方式呈現,針對指標適合性:請專家判斷「適合」與

「不適合」兩個選項。除此之外,各指標皆設有修正意見欄及建議指標欄,讓受 訪的專家們表達意見,作為指標修正的參考。本研究之前測找 15 位專家問卷調 查結果所採取篩選的方式,凡是填答「適合」之相對次數在 90%以上者,予以留 用,90%以下納入合併或修正參考;考量到 90%以下納入合併或修正會造成指標 篩選標準不明確,且加入過多研究者的主觀判斷,因此本研究修正為比例在 70%

至 90%且專家有修正意見者,才納入合併或修正考慮;未達 90%且專家無任何修 正意見者,則予以刪除,藉此確立初步層級架構。如表 3-5所示:

(45)

37

表 3-5 : 前測資訊安全風險構面及項目適合度分析結果

構面 適合度(%) 指標 適合度(%)

設備環境安全

93

系統實體環境之保護措施 93

威脅弱點分析 93

實體資產保護與管理 100 資訊資產管理清冊 100

除錯程序規劃 93

設備維護標準作業 100

進出存取權限管理 93

企業永續經營 93

持續經營計劃 93

備援和恢復規劃 100

定期風險評鑑作業 93

故障排除程序 100

事件記錄後之追蹤改善 93

定期測試之落實 100

企業資安形象 100

資安規範 93

持續辦理矯正與預防措施 100 定期進行內部稽核活動 93

保留稽核軌跡 100

遵循國際規範 100

遵循內部規範 93

資安管控流程計劃 100 資料來源:本研究整理

(46)

38

表 3-5 : 前測資訊安全風險構面及項目適合度分析結果(續)

組織內部管理 93

安全政策的有效性 93

建立緊急聯繫機制 100 高階主管資訊安全認知 100 資安人員的專業性 100

員工教育訓練 93

資安員工忠誠度 93

資安系統的穩定程度 93

高階主管支持 93

通訊與作業管理 93

第三方的服務管理 100

網路傳輸管理 93

備援機制 100

通訊安全作業 93

CA 認證與憑證管理 100

資訊備份作業 93

資料來源:本研究整理

(47)

39

第四章資料分析結果

第一節 研究樣本之結構

第二階段的專家問卷,依工作屬性區分為資深資安工作經驗的經理人或專業 人士兩種領域為主,專家背景從天下雜誌所調查的一千大企業中挑選出來,計有 台積電-竹科,中科及南科、聯電、聯發科、奇美電、旺宏、華邦、聯詠、創意電 子、友達光電、宏達電,政府單位的工研院、交通部高速鐵路局及學術單位的虎 尾科技大學和台灣科技大學等等,本研究針對每一工作領域遴選具有五到二十年 不等的工作經驗之經理人或專業人士為訪談對象,進行專家問卷調查,因此,有 關專家取樣應已具足夠的代表性。本問卷發放方式有二:一為親自訪談,一為電 子郵件,為使填寫人員能安心作答,本問卷採不記名方式處理。發送問卷之前,

先以電話徵詢受訪談人意願,並告知大致訪談內容,再約定時間親自面對面訪 談;或事先約定以電子郵件傳送,再以電話訪談方式進行,共發放專家問卷 200 份,回收問卷 186 份,扣除無效問卷之後的回收率為 93%,研究樣本基本資料如 表 4-1 所示。

(48)

40

表 4-1 : 專家問卷樣本描述表

項目 類別 次數 百分比(%)

性別 男 158 84.9

女 28 15.1

年齡階層

20-29 歲 33 17.7

30-39 歲 137 73.7

40-49 歲 16 8.6

工作的屬性

資安擔當者 148 79.6

資安經理人 20 10.8

其它 18 9.7

職稱

科長 1 0.5

經理 15 8.1

副理 37 19.9

主任 7 3.8

課長 2 1.1

組長 2 1.1

主任工程師 5 2.7

高級工程師 1 0.5

資深工程師 49 26.3

系統工程師 11 5.9

工程師 15 8.1

專員 10 5.4

助理工程師 5 2.7

業務協理 1 0.5

業務經理 8 4.3

業務專員 6 3.2

業務 1 0.5

專案經理 2 1.1

專案業務 2 1.1

專案工程師 3 1.6

助理教授 1 0.5

系統管理師 1 0.5

未填 1 0.5

資料來源:本研究整理

參考文獻

相關文件

‡網路作業系統( network operating system). ‡網路作業系統( network

Our current solution, called “Iterative Earliest Deadline First+Best Fit” (IEDF+BF), includes three steps: First, estimate the number of high frequency cores; second, schedule

虛擬線上投籃比賽 MVPA60 VIRTUAL SHOOT 替代學界比賽..

• 活動內容包括:專題展覽(網 上虛擬版) 、教學簡報、教 學工作紙(中國文化線上體驗 習作Google Form) 、紀念禮

智慧型手機的 Android

定期更新作業系統 定期更新作業系統,修 正系統漏洞,避免受到

地方觀光文化產業,係以地方特色作為「地方行銷」的賣點,各國基於觀光

由於 Android 作業系統的開放性和可移植性,它可以被用在大部分電子產品 上,Android 作業系統大多搭載在使用了 ARM 架構的硬體設備上使裝置更加省電