資訊安全風險評鑑驗證系統

A Risk Assessment Verification System on Information Security

廖鴻圖(Horng-Twu Liaw) ； 范修維(Shiou-Wei Fan) ； 邱孟佑(Meng-Yu Chiu) ； 蕭麗齡(Li-Lin Hsiao) ； 瞿鴻斌(Chiu-Hung Bin)

《電子商務學報》 7卷4期 (2005/12) Pp. 395-414

https://doi.org/10.6188/JEB.2005.7(4).06

摘要

在資訊科技應用普及的時代，由於對資訊與網路的高度依賴與企業營運不可中斷要求下，資訊安全觀念截然成形。在企業組織導入資訊安全管理系統後，是否真如預期能達到安全效益，保護我們企業組織資訊系統安全？當組織面對資訊資產的風險需要採取對策時，如何取得編制預算上的依據進而調整適當投資成本，準確的投資在控管要點上，提供最好的資訊安全投資報酬率？
企業可藉由資訊安全風險評鑑的方法論，找出組織營運流程中每項資訊資產的風險。定量風險評估是以量化數據評估資訊安全事件發生的頻率與發生後的影響，因此定量化風險評估提供企業有效率的方法，適當地將資源分配給需要控管的資產。目前台灣對於類似的定量風險評估並不多，大部份也都採取猜測或估計等主觀性的方法，憑著個人經驗或知識來判斷資訊資產的安全與風險，無法客觀上的評估與結果。
本研究提出之資訊安全風險評鑑驗證系統，建構在資訊安全資訊管理系統上，開發強化模組補強資訊安全資訊管理系統在資產價值評鑑與風險控管成效分析不足的部份，提供風險評鑑時客觀的量化數據資訊。本系統利用歷史趨勢分析與稽核軌跡分析，檢視風險管理改善計畫執行之改善成效，提供企業在評估風險控制關鍵點與控管成效的衡量指標，協助管理高層準確檢視資訊安全系統執行效益，達到全量化的風險評鑒。

關鍵字

風險評鑑 ； 資訊安全 ； 事件管理

並列摘要

The proposed paper builds an enhance module for providing objective quantification information into the risk assessment process to supply the shortage of information asset valuation and risk management analysis in the information security management system. Besides, our system evaluates critical control point and key performance factor to assist manager accurately understand the benefit of information security system and achieves the total quantification risk assessment.

並列關鍵字

Risk Assessment ； Information Security ； Event Management

參考文獻

Joel Snyder、李慶發(2004)。利用安全資訊管理工具整治資安洪流。資安人雜誌。14，38-48。

路克(2004)。資安人的救星SEM。資安人雜誌。13，94-97。

陳俊彥(2003)。以量化軟體度量指標支援CMMI模式的導入與評鑑。國立台灣科技大學資訊管理學系。

曾宇瑞(2000)。網路安全縱深防禦機制之研究。國立中央大學資訊管理學系。

劉永禮(2001)。以BS7799資訊安全管理規範建構組織資訊安全風險管理模式之研究。元智大學工業工程與管理學系。