面對 2020，先幫您分析資安長過去最擔心什麼！

作者：William“Bill”Malik（趨勢科技 CISA 基礎架構策略副總）

我們最近在喬治亞州的亞特蘭大與十數位資深 IT 安全主管進行了一次寶貴的談話。我很榮幸地參與他們對最感困擾事情的討論。底下是一些他們所關心的事情。

許多公司的商業環境面臨著巨大的變化，有三分之一的公司認為高速收購成為一種風險來源。

收購導致資訊安全資源被大量地消耗。首先，IT 安全部門必須在實際收購前參與盡職調查（due diligence）階段。InfoSec 團隊必須在巨大的時間壓力及 NDA 條款的嚴格約束下驗證目標環境 IT 基礎架構的完整性。必須對基本程序的可信賴性、支援團隊的能力、資金和人員配備的適當性、政策和教育訓練的有效性，目標公司根據任務變更所做出安全技術判斷的適用性及關鍵訊息的可存取性做出評估。對於受監管產業，收購方必須審查過去的認證、稽核發現和建議以及早期的安全事件，包括如何處理這些事件及組織如何有效地將經驗教訓整合進最新的業務運作模式。一些與會者報告在過去兩年或更長時間內每六週會進行一次收購。這樣快速的步調要求高效的流程成熟度和團隊成員間的開放溝通，以及充分的信任。

有些資訊長報告了平衡管理團隊所必要知道跟讓團隊專注在關鍵活動的管理期望間所面臨的挑戰。對於董事會和最高管理層來說，IT 仍是個熱門話題，而 IT 安全是已知的漏洞。這讓有些組織開始對 IT 安全團隊進行微觀管理。