资讯系统风险评监介绍(下).PDFVIP

訊 系統風險評鑑 介紹(下) 財團法人資訊工業策進會 與行政院國家資通安全會報技術服務中心 專案諮詢 林子群 我國資訊 系統風險架 構中， 乃是根據 ISO/IEC27005標準之風險管理架構發 展而成 ，其作法可分 為 「高階風險評鑑作法 」、「詳細風險評鑑作法 」及「既有 風險評鑑作法」等 3種 ，在資訊系 統風險評鑑 介紹(上)說明了 「高階風險評鑑 作法」與 「既有風險評鑑 」，賡續將 介紹「詳細風險評鑑作法 」。 壹 、詳細風險評鑑作法 詳細風險評鑑作 法，藉由 系統化的方 式，找出資訊 系統中應該優 先處理的資 訊資產所 對應的風險 ，而施予適切的防護安控措施 ，以維持組織 持續運作無虞。 「詳細風險評鑑作法 」有兩項主要活動 ，分 為「風險分 析」與「風險評估 」， 其中「風險分 析」則可再細 分為「風險識 」與 「風險估計 」兩項步驟 ，最後 針對該資訊系 統的資訊資產分 產生相對風險評鑑風險等 級- 「普 、中、高 」，詳 見圖 1所 示。