從CISM看香港資訊安全事故管理：預防、應對與恢復
資訊安全事故管理的重要性
在數位化浪潮席捲全球的今天，資訊安全事故已成為企業營運中不可忽視的重大威脅。對於香港這個國際金融與商業中心而言，資訊系統的穩定與安全更是維繫經濟命脈的基石。一次嚴重的資料外洩、勒索軟體攻擊或服務中斷，不僅可能導致直接的財務損失，更會嚴重損害企業聲譽、流失客戶信任，甚至面臨法律訴訟與巨額罰款。根據香港生產力促進局早前發佈的資訊安全調查，超過半數的受訪香港企業在過去一年曾遭遇資訊安全事件，其中以網絡釣魚和惡意軟體攻擊最為常見，凸顯了風險的普遍性與迫切性。
資訊安全事故管理並非單指事件發生後的滅火行動，而是一個涵蓋預防、偵測、應對與恢復的完整循環流程。其核心目標在於將事故對業務的衝擊降至最低，並從中學習以強化未來的防禦韌性。一個有效的管理體系應能迅速識別事故、控制損害範圍、根除威脅源頭，並讓業務活動在最短時間內恢復正常。對於香港企業而言，除了全球共通的網絡威脅外，還需特別留意一些地域性風險，例如針對金融科技（FinTech）與跨境電商的高針對性詐騙、因應本地法規（如《個人資料（私隱）條例》）的合規性挑戰，以及利用粵語或本地文化背景設計的社交工程攻擊。因此，建立一套符合國際標準且因地制宜的事故管理框架，是企業管理層必須正視的戰略議題。
CISM框架下的資訊安全事故管理
國際資訊系統安全認證聯盟（ISC)²所推出的「認證資訊安全經理」（Certified Information Security Manager, CISM）認證，為企業資訊安全治理提供了權威的知識體系。其四大領域中的「資訊安全事故管理」領域，正是指導企業建立系統化應對機制的藍圖。透過CISM的框架，企業可以將零散的安全措施整合為一個連貫、可衡量且持續改進的管理體系。
在事故預防層面，CISM強調風險導向的思維。企業應依據CISM的指引，定期進行風險評估與業務影響分析，識別關鍵資產與潛在威脅。這不僅包括部署防火牆、入侵偵測系統等技術控制措施，更涵蓋制定明確的安全政策、對員工進行持續的意識培訓，以及建立有效的變更管理流程。預防的目標是降低事故發生的可能性，而這需要技術、流程與人員三方面的緊密配合。有志於深化雲端安全專業的管理者，亦可考慮進修相關的CCSP 課程，將雲環境的特殊風險納入整體預防策略之中。
當事故不可避免地發生時，CISM框架指導企業如何進行有效應對。關鍵在於事先制定並定期演練「事故應變計畫」。該計畫應明確定義事故分級標準、啟動流程、應變小組的組成與職責，以及內外部溝通策略。在應對過程中，首要任務是遏制事故擴散，例如隔離受感染的系統，同時進行取證分析以了解攻擊途徑與範圍。快速、冷靜且有序的應對，能有效防止「小事故」演變成「大災難」。
事故恢復階段，目標是使業務運作回歸正軌並實施改進。這不僅是技術上的復原，如從備份還原資料，更重要的是進行徹底的事後檢討。企業需分析事故的根本原因，評估應變計畫的執行成效，並據此修補安全漏洞、更新政策與流程。CISM強調「從恢復中學習」，將經驗轉化為更強大的防禦能力，形成安全管理閉環，從而防止類似事故再次發生。
香港地區的資訊安全事故應對資源
香港企業在構建自身事故應變能力時，並非孤軍作戰。本地擁有多個重要的官方與行業資源可供協作。首屈一指的機構是隸屬於香港生產力促進局的「香港電腦保安事故協調中心」（HKCERT）。HKCERT作為本地的資訊安全事故應變協調樞紐，主要職責包括：
- 接收及處理本地企業與市民的資訊安全事故報告。
- 發佈本地資訊安全威脅警報與防護建議。
- 協調跨機構的事故應對工作，特別是大規模的網絡攻擊事件。
- 推動資訊安全意識普及與能力建設。
除了HKCERT，香港警務處的網絡安全及科技罪案調查科，以及政府資訊科技總監辦公室（OGCIO），也在不同層面提供指導與執法支持。在商業市場層面，香港擁有眾多國際與本地資訊安全服務提供商，提供從安全評估、監控、應變到復原的全方位服務。這些服務商通常擁有國際認可的專家團隊，能夠為企業提供即時的外部支援。
企業應如何與這些資源合作？首先，應主動將HKCERT等機構納入企業的應變計畫聯絡清單，並關注其發佈的警報。在發生重大或難以處理的事故時，應勇於向HKCERT報告並尋求協調協助。其次，在選擇安全服務提供商時，應考量其是否擁有如CISM香港認證專家這類具備國際視野與管理思維的人才，以確保服務不僅是技術性的，更能與企業的管理目標結合。建立這些外部合作關係，等於為企業的資訊安全架構增加了重要的預警與支援網絡。
案例分析：香港企業如何應用CISM進行事故管理
以下透過一個虛擬但基於常見情境編寫的案例，說明CISM框架的實際應用價值。某家香港中型零售企業「優選零售」，其線上商城遭遇了勒索軟體攻擊，導致客戶訂單資料庫被加密，網站服務中斷。
事故應對過程與CISM實踐
攻擊發生後，優選零售立即啟動了依據CISM原則制定的應變計畫。應變小組迅速行動：IT團隊首先隔離受感染伺服器，防止橫向移動；溝通團隊則按照預先準備的模板，向內部管理層及外部客戶發出服務中斷通知，管理預期。同時，企業聯繫了其合作的本地安全服務商進行取證，並向HKCERT通報了此次攻擊。由於事前有進行業務影響分析，管理層清楚知道訂單系統的恢復優先級最高。在確認備份資料未受感染後，團隊啟動了災難復原程序。
挑戰與解決方案
本次應對面臨的主要挑戰是：1) 員工初期恐慌，溝通混亂；2) 復原時間目標（RTO）壓力巨大。解決方案是：嚴格遵循應變計畫中的角色分工，由指定發言人統一對外溝通；同時，因平時有進行恢復演練，技術團隊能按既定步驟高效執行復原，最終在12小時內恢復了核心服務。事後檢討發現，攻擊是通過一名員工點擊釣魚郵件附件所致，暴露出安全培訓的不足。
經驗學習與體系強化
根據CISM「從恢復中學習」的精神，優選零售進行了全面檢討：
- 技術層面：加強了端點防護，並實施了更嚴格的網路分段。
- 流程層面：強化了郵件過濾規則，並修訂了備份驗證流程。
- 人員層面：啟動了更頻密、更具針對性的釣魚演練與安全意識培訓。
此外，公司決定資助資訊安全主管攻讀CISM香港認證，並鼓勵IT項目經理參與PMP考試，將專案管理的最佳實踐融入安全改善專案的執行中，確保改進措施能按時、按質完成。這個案例顯示，將CISM框架從理論落實為具體行動，能顯著提升企業從危機中復原並變得更強韌的能力。
總結
綜上所述，在網絡威脅日益複雜的環境下，CISM香港認證所蘊含的資訊安全事故管理知識體系，為香港企業提供了一套經過驗證的、系統化的防護與應變指南。它不僅著眼於技術解決方案，更強調從治理、風險與合規的戰略高度構建企業的整體安全韌性。無論是透過內部培養還是引進外部擁有CISM資質的人才，企業都能更有效地整合預防、應對與恢復流程，將安全從成本中心轉化為保障業務連續性的核心競爭力。
我們呼籲香港企業的管理層，應高度重視資訊安全事故管理的實踐，並積極考慮將CISM認證納入企業安全人才發展的藍圖。同時，企業亦可結合其他專業認證如CCSP 課程（針對雲安全）與PMP考試（針對專案管理），打造一支既懂安全治理又擅長執行的複合型團隊。唯有主動投資於系統化的安全能力建設，企業才能在充滿不確定性的數位時代中穩健前行，保護來之不易的商譽與客戶信任，確保香港國際商業樞紐的地位長久穩固。
