企業防火牆設定與 ISO 27001 合規指南：區域劃分、預設拒絕及 NGFW 部署實務

在數碼轉型及混合辦公模式下，香港企業的網絡邊界變得前所未有地模糊。不少 IT 團隊在管理防火牆時常陷入兩難：規則設定過於寬鬆，內部資料庫極易成為勒索軟體的目標，導致 ISO 27001 等合規審核失敗；若規則設定過嚴，又會阻礙跨國客戶通訊與日常業務運作。本文將整理企業防火牆政策的核心設定原則，說明如何透過區域劃分、預設拒絕機制，以及規範化的營運治理流程，滿足資訊安全管理體系與 SRAA（保安風險評估及審計）的嚴格要求。

企業防火牆合規設定的兩大核心架構

要建立穩健且符合國際安全標準的網絡防線，企業在設定防火牆時，必須摒棄依賴單一設備放行所有流量的習慣，並落實以下兩大架構原則，這亦是通過 ISO 27001 內部審核及第三方正式審核的必備條件。

貫徹預設拒絕（Implicit Deny All）政策

許多中小企為求方便，會採用「預設放行」邏輯，只針對已知惡意 IP 進行阻擋。這種做法會令公司網絡暴露於未知的零日漏洞（未被發現的軟件安全缺陷）中。成熟的資訊安全架構要求底層必須設定為「預設拒絕」：所有未經明確授權的進出連線請求，系統一律自動攔截。IT 團隊需根據實際業務需求，逐一且針對性地開啟特定通道，從根本縮小受攻擊面。

實施邏輯區域劃分（Zone Segmentation）

在各項資訊保安標準中，將對外伺服器與內部員工電腦置於同一個平面網絡屬於極高危風險。管理員必須將網絡切分為多個獨立的邏輯安全域：

• Trust 區（內網）：安全級別最高。放置辦公室員工電腦及核心資料庫。預設允許區域內設備自由通訊，但對外存取需受政策管控。
• Untrust 區（外網）：安全級別最低。涵蓋公共互聯網，所有由此進入內網的流量必須經過最嚴格的深度檢測。
• DMZ 區（非軍事化隔離區）：安全級別中等。專門放置對外提供服務的系統（如官網伺服器、電郵伺服器）。容許外網進行有限度的端口（Port）連接，但極力限制 DMZ 主動向 Trust 內網發起連線，防止黑客以此為跳板進行橫向移動攻擊。

應對現代資訊保安審核的 NGFW 防禦要求

傳統的第一代包過濾防火牆（Packet Filtering）僅能檢視封包標頭的 IP 地址與連接埠，無法察覺隱藏在合法端口（如 HTTPS Port 443）背後的惡意代碼，難以滿足現代資訊保安的管理要求。

目前國際主流的下一代防火牆（NGFW），突破了單純看地址的限制。NGFW 具備應用層深度封包檢查（DPI）能力，能精確識別數千種應用程式的實際操作行為，並整合用戶身份驗證與雲端威脅情報。在應對複雜的網絡攻擊或準備 ISO/IEC 27001 認證時，企業必須利用 NGFW 的應用層控制功能，對高風險的外部網絡服務進行精確攔截與記錄。

主流防火牆廠商的存取控制邏輯差異比較

企業在替換設備或進行網絡架構變更時，IT 團隊必須清楚掌握不同廠商在預設存取控制邏輯上的根本差異，避免因設定誤區而產生保安漏洞。

避免審核缺失的防火牆日常政策治理機制

防火牆硬件上架只是資訊安全的第一步。在 ISO/IEC 27001 或任何第三方合規審查中，審核員（Auditor）著重檢查的是長期的政策治理（Policy Governance）機制。

確保規則次序（Rule Order）正確無誤

防火牆採用「由上至下」的比對邏輯。若清單頂部存在一條過於寬鬆的規則，下方精心編寫的阻擋條款將永遠無法生效。每次新增政策前，必須全面審視現有清單，防止出現規則覆蓋。

定期解決規則衰退（Rule Set Decay）

日積月累的冗餘規則會拖慢網絡效能並產生盲點。IT 團隊應建立定期的防火牆規則審查程序，清理超過 90 天未有流量匹配的廢棄條款，並將權限過大的規則重新縮窄。

落實例外審批與自動失效機制

當外判廠商或系統整合商需臨時連入內網時，必須遵守標準審批流程。技術人員在配置臨時通道時，應設定自動到期（Time-To-Live, TTL）機制，時間一到系統自動關閉通道，此流程紀錄亦是資訊安全審核的關鍵證據。

妥善保存系統日誌以備合規舉證

防火牆日誌必須即時備份至獨立的安全伺服器，並保留足夠期限。在發生保安事故或進行官方 SRAA 評估時，這些日誌是不可篡改的法定追溯證據。

防火牆設定失誤對 PDPO 及供應鏈審核的風險

在香港營運的企業，網絡安全政策直接牽涉法律合規與企業聲譽。

根據香港《個人資料（私隱）條例》（PDPO）保障資料第 4 原則，企業必須採取切實可行的步驟保障個人資料。若因防火牆未設 DMZ 隔離或過度開放端口而導致顧客資料外洩，私隱專員公署在進行 PIA（私隱影響評估）事後調查時，可判定企業未盡防衛責任，發出執行通知甚至進行刑事檢控。

同時，越來越多大型企業及政府部門在招標資格預審中，要求合作夥伴提供 ISO/IEC 27001 證書或專業的網絡安全漏洞掃描報告。若企業的網絡邊界不設防，將直接導致投標失敗，錯失進入跨國供應鏈的機會。

準備資訊安全管理體系審核的防火牆核對清單

為協助企業檢視現有網絡防護體質並準備合規審查，IT 管理者可運用以下清單進行實務評估：

1. 已釐清內部網絡設備 IP 分佈，並確實劃分為 Trust、Untrust 及 DMZ 區域。
2. 防火牆基礎政策已明確設定為預設拒絕（Implicit Deny All）。
3. 已建立每季或半年的定期審查機制，清理重複、失效或高風險的寬鬆規則。
4. 具備明文規定的例外審批流程，並全面採用具備自動到期機制的臨時存取配置。
5. 防火牆日誌已儲存於獨立伺服器，並符合至少 90 天以上的合規保留期限。
6. 內部終端設備已部署 EDR 或主機防火牆，與邊界 NGFW 互相配合防禦橫向移動。

建立長效資訊安全機制與預約網絡合規評估

防火牆的安全設定只是整體資訊安全管理體系（ISMS）的其中一環。要從根本保障企業數據安全並提升市場競爭力，企業需要一套涵蓋技術測試與管理制度的完整合規框架。

CertiSafe 作為立足香港的專業合規顧問及國際認證代理，擁有具備 CISA、CISM、CISSP 及 CEH 資格的資深資訊安全專家團隊。我們將技術風險評估與 ISO 管理體系認證深度結合，協助客戶滿足大型投標與監管機構的要求。

若您的企業正面對網絡架構擴展的合規挑戰，或準備申請國際安全認證，建議採取以下行動鞏固防線：

• 安排網絡安全漏洞掃描：由 CertiSafe 技術專家為您的網站、伺服器及外部網絡服務進行 OWASP 風險分析與常見漏洞識別。
• 預約 SRAA 資訊安全風險評估：針對您的防火牆配置、存取權限及系統架構進行全面獨立審核，提供詳細的改善路線圖。
• 啟動 ISO/IEC 27001 認證準備專案：透過我們連接國際認可的第三方認證機構，由專屬項目經理統籌從差距分析、內部審核到正式發證的完整週期。

歡迎聯絡 CertiSafe 的專業顧問團隊，評估現有網絡風險，並制定最符合您行業與預算的資訊安全合規方案。