民國115年 高考三級 資訊處理 資通網路與安全
第3題
當代組織面臨的營運威脅日益複雜，從勒索軟體癱瘓機房到新興供應鏈 中斷風險，皆可能對組織造成無法估計的損失。營運持續管理（Business Continuity…
題目
當代組織面臨的營運威脅日益複雜，從勒索軟體癱瘓機房到新興供應鏈 中斷風險，皆可能對組織造成無法估計的損失。營運持續管理（Business Continuity Management, BCM）已成為企業與政府機構建構「數位韌性」 的核心管理機制，旨在確保關鍵商務功能在遭受重大衝擊時仍能維持底 線運作。組織在建構完整的BCM 計畫前，必須透過「風險評估（Risk Assessment, RA）」來掌握潛在威脅。請詳細列舉出風險評估流程中的五 個核心執行步驟，並逐一扼要闡述各步驟的主要工作目標為何？（10 分）
參考解答（AI 生成，非官方）
- 一、界定範圍與資產盤點：依 ISO 22301／31000 確認 BCM 涵蓋的組織、地點、關鍵業務流程與資訊系統，建立資產清冊，標示相依關係、擁有者及最大可容忍中斷時間（MTPD），作為風險評估基礎。
- 二、威脅與弱點識別：蒐集天然災害、網路攻擊、勒索軟體、供應鏈斷料、人員疏失與設備故障等威脅，盤點流程、人員、技術與實體環境的弱點，建立「資產—威脅—弱點」對應，避免漏項。
- 三、現有控制與暴露分析：檢視預防、偵測、回應及備援控制是否設計有效且實際運作，評估控制失效後的暴露程度與剩餘風險，找出防護落差，而非假設有控制就沒有風險。
- 四、可能性與衝擊分析：以歷史資料、威脅情資、情境推演與專家判斷評估發生可能性；從財務、營運、法規、聲譽及人員安全衡量衝擊，可用定性矩陣或定量年化損失期望值（ALE）。
- 五、風險評量與排序：以「可能性×衝擊」計算風險值，對照風險容忍度分級，排出處理優先順序，決定降低、轉移、避免或接受，並登錄風險、設定 KRI、定期複評與演練。
AI 依官方試題文字產生的參考解答，非考選部公告答案，內容僅供備考參考。