每日一題 高考資通安全類科─資通安全管理（20241225）

 每日一題 高考資通安全類科─資通安全管理（20241225）

題目： 請說明資通安全風險管理的步驟，並舉例說明如何進行風險評估和處理。

解答：

資通安全風險管理的步驟一般包含以下五個方面：

●資產盤點： 找出組織中所有重要的資訊資產，例如硬體、軟體、資料、人員和服務。

●鑑別資產價值： 評估每個資訊資產的價值，包含機密性、完整性和可用性。

●威脅弱點分析： 分析可能威脅資訊資產的各種威脅和弱點。

●評估風險值： 根據資產價值、威脅和弱點，計算每個資訊資產的風險值。

●可接受風險值： 決定組織可以接受的風險程度，並制定相應的風險處理方案。

風險評估舉例：

假設我們要評估公司官網資料庫的風險。

1。資產盤點： 公司官網資料庫屬於「資料」類別的資訊資產。

2.鑑別資產價值：

○機密性：資料庫包含客戶的個人隱私資訊，機密性評為「機密」，價值為 4。

○完整性：資料庫的資料需要保持準確和一致，完整性評為「極高」，價值為 4。

○可用性：官網需要 24 小時提供服務，資料庫的可用性評為「極高」，價值為 4。

3.威脅弱點分析： 資料庫可能面臨的威脅包含駭客入侵、系統漏洞和員工疏忽等。

4.評估風險值： 假設資料庫遭受駭客入侵的可能性評為「中」，等級為 3，則根據事件風險權值對照表，風險值為 36，風險等級為「中」。

風險處理：

針對「中」等級的風險，可以採取以下措施：

●緩解： 安裝防火牆、入侵偵測系統和防毒軟體，並定期更新系統和軟體，修補漏洞。

●轉移： 購買網路安全保險，將部分風險轉移給保險公司。

總結：

資通安全風險管理是一個持續的過程，需要定期進行風險評估和處理，並根據實際情況調整風險管理策略。