2022 年國際財務報導準則基金會（IFRS Foundation）成立國際永續準則理事會（International Sustainability Standards Board, ISSB），希望藉由制定全球一致適用的高品質永續揭露準則，滿足投資人及資本市場的永續資訊需求。
IFRS 永續揭露準則 S1 及 S2 草案於 2022 年 3 月 31 日發布，而國際「永續評比」已將新興科技所帶來的資訊安全與隱私保護納為永續揭露主題之一，以下我們就以資訊安全為例，介紹國際外法規、國際標準最新發展與因應，以作為企業未來因應 IFRS 永續揭露準則辦認重大永續相關風險與機會之參考。
Uber 到底發生什麼事
車輛共乘媒合平臺業者 Uber 於 2022 年 9 月 15 日遭到網路攻擊，年僅 18 歲的駭客向資訊安全人員及媒體表示，他先針對該公司員工進行社交工程攻擊，竊取相關帳號密碼後，透過 VPN 存取 Uber 的內部網路環境。
這名駭客聲稱能夠存取該公司的各種雲端管理平台，比如：AWS 控制臺、VMware vSphere/ESXi 虛擬機器與管理員帳號、Google Workspace 等，還貼出該公司使用的 AWS 及 Google Cloud Platform 內部系統管理畫面的截圖。駭客還修改公司的 OpenDNS 設定檔，竄改 Domain 與 IP 紀錄，引導員工使用內部網站時卻連上不雅的圖片網站。
後續從 Uber 正式對外公開的資料顯示，Uber 的 HackerOne 帳號也被入侵，意謂著駭客可以看到其它白帽駭客向平台提交所有有關 Uber 公司的資訊安全漏洞細節。而這次的攻擊行動就是宣稱曾駭入微軟、思科、三星及 Nvidia 的駭客組織 Lapsus$ 引起的。
Uber 遭受入侵後採取的處理步驟：一、暫時凍結系統權限並要求重設密碼；二、關閉受影響的內部網站；三、重新調整內部服務的金鑰，要求所有員工重新驗證；四、封鎖程式庫，以防竄改；五、內部增加監控機制，偵測任何可疑活動。
而 Uber 資訊安全事件可以看出幾項管理問題：
1.員工對於社交工程等駭客攻擊手段的認知不足。
2.公司未對員工用來存取公司資源的自攜設備，進行嚴謹的控管。
3.公司未對約聘員工或外部供應商帳號進行良好控管，導致駭客透過該帳號權限駭入公司內網。
4.內部網路共享上的不當配置，導致攻擊者在內部網路橫向移動，接管內部多個系統。
5.駭客取得嵌入 PowerShell 腳本的 PAM 帳號密碼資訊，獲得高階權限，造成特權存取平臺 Thycotic 的管理員帳號密碼外洩，進而遭到入侵。
近期國際標準 ISO27001 及台灣法規的發展
台灣資訊安全法規，除了 2021 年底發布的「上市上櫃公司資通安全管控指引」、SEMI 半導體產業資訊安全標準「SEMI E187」、資訊安全法持續優化的各項實施細則，而 2022 年 9 月新版的「中華民國證券商業同業公會新興科技資通安全自律規範」把新興科技從原本的雲端、社群媒體、行動裝置安全逐步擴展到物聯網設備安全、釣魚網站安全控管、電子式交易控管、深度偽造之防範。
在 2022 年 10 月 25 日正式發布的 ISO 27001:2022 中，除了針對本文微調，對齊其他 ISO 標準做滾動式修正。ISO 27001:2022 新版附錄 A 從原先的 114 個控制措施，改為4大控制主題（組織、人員、實體、技術控制），共計 93 項控制措施，其中新增 11 個控制措施、更新58個控制措施、整併 24 個控制措施。
企業永續與公司治理
各企業在諸多法令法規的要求下，無論是要滿足「上市上櫃公司資通安全管控指引」、上市公司若發生重大資安事件需發布重訊，還是因應供應鏈而來的資訊安全要求（SEMI E187、CMMC 2.0、IV&V等），若企業面對永續課程而要因應新科技所帶來的資安議題，還是讓投資人對公司 IFRS 永續揭露準則之回應，參考 NIST Cyber Security Framework、ISO 27001:2022 都是很合適的選擇，勤業眾信團隊相信企業可從審計與確信、風險管理、電腦審計、內部控制、到 ESG 永續發展等面向來因應現行環境對資訊安全的要求，促使企業在新興科技運用時能夠合規與精進。
