資訊安全風險評鑑驗證系統

A Risk Assessment Verification System on Information Security

10.6188/JEB.2005.7(4).06

廖鴻圖(Horng-Twu Liaw)；范修維(Shiou-Wei Fan)；邱孟佑(Meng-Yu Chiu)；蕭麗齡(Li-Lin Hsiao)；瞿鴻斌(Chiu-Hung Bin)

風險評鑑 ； 資訊安全 ； 事件管理 ； Risk Assessment ； Information Security ； Event Management

電子商務學報

7卷4期（2005 / 12 / 01）

395 - 414

繁體中文

在資訊科技應用普及的時代，由於對資訊與網路的高度依賴與企業營運不可中斷要求下，資訊安全觀念截然成形。在企業組織導入資訊安全管理系統後，是否真如預期能達到安全效益，保護我們企業組織資訊系統安全？當組織面對資訊資產的風險需要採取對策時，如何取得編制預算上的依據進而調整適當投資成本，準確的投資在控管要點上，提供最好的資訊安全投資報酬率？ 企業可藉由資訊安全風險評鑑的方法論，找出組織營運流程中每項資訊資產的風險。定量風險評估是以量化數據評估資訊安全事件發生的頻率與發生後的影響，因此定量化風險評估提供企業有效率的方法，適當地將資源分配給需要控管的資產。目前台灣對於類似的定量風險評估並不多，大部份也都採取猜測或估計等主觀性的方法，憑著個人經驗或知識來判斷資訊資產的安全與風險，無法客觀上的評估與結果。 本研究提出之資訊安全風險評鑑驗證系統，建構在資訊安全資訊管理系統上，開發強化模組補強資訊安全資訊管理系統在資產價值評鑑與風險控管成效分析不足的部份，提供風險評鑑時客觀的量化數據資訊。本系統利用歷史趨勢分析與稽核軌跡分析，檢視風險管理改善計畫執行之改善成效，提供企業在評估風險控制關鍵點與控管成效的衡量指標，協助管理高層準確檢視資訊安全系統執行效益，達到全量化的風險評鑒。

The proposed paper builds an enhance module for providing objective quantification information into the risk assessment process to supply the shortage of information asset valuation and risk management analysis in the information security management system. Besides, our system evaluates critical control point and key performance factor to assist manager accurately understand the benefit of information security system and achieves the total quantification risk assessment.

1. Joel Snyder、李慶發(2004)。利用安全資訊管理工具整治資安洪流。資安人雜誌，14，38-48。
2. The Security Risk Management Guide
3. Nessus Open Source Vulnerability Scanner Project
4. OpenNMS Home
5. Open Source Security information Management
6. Shon Harris(2003).Security Management Practices.CISSP All-in-One Exam Guide.
7. The Open Source Network Intrusion Detection System
8. 陳俊彥(2003)。國立台灣科技大學資訊管理學系。
9. 曾宇瑞(2000)。國立中央大學資訊管理學系。
10. 經濟部標準檢驗局(2002)。CNS 17800資訊技術－資訊安全管理系統規範。
11. 路克(2004)。資安人的救星SEM。資安人雜誌，13，94-97。
12. 劉永禮(2001)。元智大學工業工程與管理學系。
13. 樊國楨(2002)。資通安全專輯之五：資訊安全風險管理導引。

1. 陳志誠、許派立、林淑瓊、李興漢(2009)。資訊資產分類與風險評鑑之研究—以銀行業為例。資訊管理學報，16(3)，55-84。
2. 廖岳祥、許家凱(2008)。應用能力成熟度整合模式改善資訊安全管理。品質學報，15(3)，223-232。
3. 劉仲矩、黃金榜(2008)。網路人際衝突成因與性別差異之研究。電子商務學報，10(1)，113-137。
4. 盧正宗、祝道松(2010)。會計師網站認證標章對網路消費者產品評價之影響。電子商務學報，12(4)，621-660。
5. 盧正宗、祝道松、徐雅培(2007)。制度型信任機制與知覺風險影響網路消費者購物意圖之研究—以Yahoo！奇摩購物為例。電子商務學報，9(2)，291-320。