民國115年 普通考試 資訊處理 資通網路與安全概要
第3題
某政府機關正著手依據國際標準建立資訊安全管理系統（ISMS），以強 化機關整體的資安防護。在推動過程中，必須落實風險評鑑與規範遵循。 在資安風險處理（Risk…
題目
某政府機關正著手依據國際標準建立資訊安全管理系統（ISMS），以強 化機關整體的資安防護。在推動過程中，必須落實風險評鑑與規範遵循。 在資安風險處理（Risk Treatment）階段，組織通常有「風險降低 （Mitigation）」、「風險迴避（Avoidance）」、「風險轉移（Transfer）」與 「風險保持/接受（Retention/Acceptance）」四種對策。請詳述這四種對策 的定義，並各舉一個資安實務上的應用範例。（20 分）
參考解答（AI 生成，非官方）
- 一、風險處理的定位：依 ISO/IEC 27001（對應 CNS 27001）與資通安全管理法精神，風險評鑑完成後須決定風險處理方式，使殘餘風險降至組織可接受水準，並經權責主管核可、留存紀錄。四種對策可單獨或組合使用，並非互斥。
- 二、風險降低（Mitigation）：指採取控制措施以降低威脅發生機率或衝擊程度。例如在邊界部署防火牆與入侵偵測防禦系統（IDS/IPS）、定期修補漏洞、對資料加密與異地備份，使攻擊難以成功或損失可控。
- 三、風險迴避（Avoidance）：指停止或不做會產生該風險的活動，徹底移除風險來源。例如關閉主機上非必要的服務與埠口、禁止公務電腦使用未經管制的隨身碟、不蒐集或儲存非必要之個人資料，從根本避免風險發生。
- 四、風險轉移（Transfer）：指將風險造成損失的財務責任移轉給第三方，風險本身仍存在。例如投保資安保險、將監控委外給 SOC（Security Operation Center，安全監控中心）、採用雲端服務並於合約與服務水準協議（SLA）中明訂責任分攤。
- 五、風險保持／接受（Retention/Acceptance）：指經評估後認為處理成本高於可能損失，或殘餘風險已低於可接受水準，而決定承受。例如已實體隔離的老舊系統、低價值資料的輕微風險；須做成風險接受紀錄、載明理由與期限，並定期重新檢視。
AI 依官方試題文字產生的參考解答，非考選部公告答案，內容僅供備考參考。