以決策樹模型分析機房資訊安全之風險

Quantify Risk in Computer Room Information Security: A Decision-Tree Model Analysis

柯彥睿(Yen-Jui Ko)

指導教授 ： 陳勁甫

元智大學/資訊學院/資訊管理學系/碩士(2008年)

摘要

由於網際網路的發達使得資訊安全的議題越來越受到重視，資訊安全的風險管理亦倍受關注，藉由資訊風險評估可以讓我們暸解整體資安的風險，並提出相關的因應措施，以期能將殘餘風險降至最低。目前多數的安全風險研究多以非量化屬性來呈現風險的嚴重度，在此我們以決策樹安全指標量化模型，搭配量化的統計資料及質性問卷調查來計算風險。一般的質性研究雖然比較容易實施，但不容易得到一個可以一般化(Generalized)的結果，例如風險常分為：低、中、高，三個等級，此結果往往過於主觀，且沒有真正的風險數據，使用機率的量化模組來評估風險，能讓結果更為客觀。
在實務上很多量化的統計數值不易取得，而質化資料又過於主觀，因此本研究選擇了混合模型來計算風險，量化資料(Quantitative Data)由系統統計值或國家行政單位得知，如內政部消防署火災統計表，質化資料(Qualitative Data)則使用問卷量表取得組織中專家的意見，評估完後再加上與驗證組織人員的訪談，確認這些風險是否存在。驗證後發現，殘餘風險的數值可讓資訊部門管理者知道目前最迫切需要注意、改善的風險。

關鍵字

資訊安全 ； 風險管理 ； 風險評估

並列摘要

Because of the Internet technology arise, the issues of information security become more and more important each day, bring risk assessment in practice to help enterprise examine overall information risk, and then take action to be the countermeasure, expect to reduce the residual risk in risk management. Many security risk templates adopt nonquantitative attributes to express risk, in this study using the decision-tree model to quantify risk with both quantitative (Statistical report) and qualitative (Self-Administered questionnaire) data. Although qualitative approach is easier to implement, it will difficult to trace a generalized results which is subjective and lake of actual figures.
Purely quantitative data depend on statistical reports or logs, those data is limited, we employ the hybrid decision-tree model to quantify the risk of computer room security. After the empirical study and verify the residual risk with evaluators, we found those residual risk can effective help business to understand and reduce their risk.

並列關鍵字

information security ； risk management ； risk assessment

參考文獻

1.史振忠(2005)，資訊安全風險評估與管理之研究，中原大學資訊管理研究所碩士論文。

7.許派立(2007)，資訊資產分類與風險評鑑之研究 – 以金融業者為例，大同大學資訊經營研究所碩士論文。

8.劉永禮(2002)，以BS7799資訊安全管理規範建構組織資訊安全風險管理模式之研究，元智大學工業工程與管理研究所碩士論文。

11.鄧家駒(2002)，風險管理，台北：華泰文化事業公司。

1.Guan, Bao-Chyuan, Chi-Chun Lo, Ping Wang and Jaw-Shi Hwang (2003), “Evaluation of information security related risks of an organization-The application of multi-criteria decision-making method”, IEEE 37th International Carnahan Conference on Security Technology (ICCST), pp.163-175.