民國99年 乙級專案 電腦軟體應用乙級 學科
第53題
企業的可接受風險等級如何決定最恰當?
題目
企業的可接受風險等級如何決定最恰當?
- (1) 由評鑑的同仁決定
- (2) 由臨時開會決定
- (3) 由資安公司的資安顧問建議決定
- (4) 事先定義好準則,由管理階層裁定
官方答案
(4) 事先定義好準則,由管理階層裁定
解析
企業的可接受風險等級（Risk Appetite）應由管理階層依據事先定義好的準則來裁定，這是資訊安全管理系統（如 ISO 27001）中的基本要求。風險評鑑的結果須提交給高層管理者和決策單位，由其在既定政策與準則下做出最終裁決，以確保風險承擔與企業營運目標一致。選項 1 由評鑑同仁決定缺乏決策權限；選項 2 臨時開會缺乏制度性；選項 3 外部顧問僅能提供建議，最終決定權仍應在內部管理階層。
AI 參考解析（推得答案已與官方答案比對一致），非官方公告內容，僅供備考參考。