DigitalResilience 06

企業上雲浪潮持續推進,自臺灣金融業開放上雲,金融大型龍頭為首帶動更多業者上雲,及跨國公有雲業者因應需求符合更多臺灣法規規範、在臺灣建置雲端資料中心等,都加速企業轉型上雲,越來越多企業從輕度上雲趨向積極擁抱雲端,採用多雲混合雲架構更成企業新主流,同時,雲端資料保存的安全與風險抵禦韌性,成為企業上雲需一併思慮的課題。

從111年12月金管會發布的「金融資安行動方案2.0」,即可見在「金融資安行動方案」主要績效指標(如設置資安長、導入國際資安標準、辦理資安攻防演練與競賽、建立金融資安事件應變體系等項)逐步達成後,為因應業務發展與科技進步,持續提升金融機構資安防護能量,擴大導入國際資安管理標準及建置資安監控機制等措施,新列內文的要點三「精實金融韌性」中,便有提及「為因應重大資安事件、天然災害等風險,及考量該等風險對民生之衝擊性,爰研議並鼓勵重要金融機構強化重要核心資料保全機制(包含核心資料檔案、資料庫加密與分持,備份儲存於第三地或雲端等機制),以強化備份及復原機制,提升數位韌性。」

然而,過去對於重要資料,除了定期備份與異地備援外,對於新型態的雲端服務並沒有太多著墨,如要達成要點中「深化核心資料保全及營運持續演練」的企業數位韌性強化目標,就必須考量雲端的資料保存機制與風險的分散。

因應雲端資料防護機制的強化,考量大型災禍的緊急狀態下,關鍵民生系統的功能及資料如何不致因境內資料備援、備份失效而服務癱瘓。數位發展部也啟動了一個四年期的計畫,目的在於強化公務機關資料的安全。計畫的核心是「加密分持」及「跨境備援」技術,透過先將檔案加密處理,再拆分處理置於多個公有雲服務的儲存空間(建議三個以上),以免在單一雲端儲存空間發生災害或攻擊時,造成重要資料的損失。

當面臨跨區域重大災害或緊急事件以致資料中心無法運作時,採用跨境公有雲,或具備跨境能力的境內雲備份,便可突破地理位置限制,達成大型災禍應變,維持服務持續的數位韌性。

在企業採用雲端服務已相當普遍的現今,基於災害及緊急應變的服務韌性提升,企業要導入加密分持系統時,建議需考量以下幾項功能:

  1. 服務商是否已提供多個雲端儲存空間,不需另外採購公有雲空間?
  2. 是否可提供詳細的上傳/下載稽核紀錄?
  3. 是否完善加密的公鑰和私鑰的安全保護機制?

除了考量上述幾項功能外,還要定期安排檔案復原演練,確保在緊急情況發生時,可以正常復原檔案。

cde 1

  • 以Acer eDC為客戶提供加密分持的服務為例,可彈性備份重要資料至多個雲端服務商,相關資料可參考eDC加密分持雲端服務