在當今高度互聯的數位環境中，企業 IT 系統已演變為錯綜複雜的生態系統，依賴多層級供應鏈與外部服務。2024 年 7 月，微軟因第三方軟體更新引發的全球大當機事件，正凸顯了這種複雜性所帶來的風險與挑戰。本文將深入剖析該事件的根本原因，並基於 ISO 27001:2022 標準，探討企業如何強化 IT 供應鏈管理，降低系統性風險，提升營運韌性。
營運持續性管理/變更管理/軟體安裝與更新管理/供應商管理/一次軟體更新癱瘓全球
事件回顧
2024年7月19日，微軟遭遇了一次嚴重的全球性服務中斷，影響時間長達48小時，造成約850萬台電腦受到影響。該事件被形容為「IT史上最慘重的當機」，對仰賴微軟服務的全球企業營運造成重大衝擊，影響範圍極其廣泛。
事件起因
此次當機並非起因於微軟本身系統漏洞，而是源於第三方安全公司CrowdStrike於2024年7月19日推送了一個旗下產品的軟體更新與Windows系統衝突，導致使用他們服務的電腦在安裝了出錯的更新檔之後不斷重啟。更嚴重的是，一旦電腦處於離線狀態，CrowdStrike便無法推送新的更新檔將系統修復，造成修復過程更加困難。
影響範圍
CrowdStrike 客戶橫跨多元產業，受影響裝置總數達 850 萬台。此次事件不僅癱瘓全球航空調度系統，也衝擊金融、零售、醫療、鐵路運輸、媒體、公部門與 911 緊急服務等多個關鍵基礎設施，突顯 IT 供應鏈單點故障所帶來的系統性風險。
顧問觀點：從 ISO 27001：2022 管理系統角度，可如何因應當機事件
可參考，但不限於參考下列條款：
A.5.30 應對持續營運之ICT完備性
針對此次事件，首先會想到的是營運中斷的管控措施，其目的是確保組織資訊和其他相關資產在中斷期間之可用性。而對於大部分受影響的企業來說，可能從來沒想到微軟作業系統會因此中斷，或進行營運衝擊分析時，此情境優先程度並不高。導致未能持續優化解決方案，最終造成中斷時間超出可接受範圍或無法提供最低服務水準。
建議定期重新評估營運衝擊分析（BIA）涵蓋範圍，將低機率但高衝擊的事件納入評估，持續精進業務持續計畫（BCP）並進行定期演練，以提升韌性應對能力。
A8.32 變更管理
變更管理是本次事件的另一個重點。制定變更管理流程，確保變更不會影響營運或資訊安全。
具體措施包括：
規劃和評估變更的潛在衝擊
實施分階段部署策略
變更測試與驗收
制定緊急備用程序
A.8.19 作業系統上之軟體安裝
軟體更新方面，CrowdStrike的使用者應在獨立環境中進行小規模測試，確認無誤後再進行全面更新，以避免大範圍影響。
A.5.20 供應商協議中之資訊安全要求
在雙方合約中載明事故管理的要求與程序，包含事故期間的通知與協作、資訊安全問題之聯繫人等。確保事故發生時，可釐清雙方責任，並在可接受的時間內完成緊急備用或災害復原等程序。
總結
微軟大當機警示：您的企業準備好了嗎？
這起全球 IT 災難再次敲響警鐘，提醒企業：在日益複雜的數位生態系統中，供應商風險管理至關重要。ISO 27001:2022 提供了關鍵框架，幫助企業強化變更管理與供應鏈安全，降低潛在風險。透過主動落實資安標準，企業不僅能預防類似災難，還能提升營運穩定性，在數位時代保持競爭優勢。現在，就是強化資安戰略的最佳時機！
COMMENTS