Embedded Files
資訊資產盤點
資訊資產盤點
ISMS-B-003 資訊資產管理作業程序 (👈點擊瀏覽及下載ISMS文件)
名詞定義
4.1 資訊資產權責單位：
對該項資訊資產具有判斷資產價值、決定存取權限或新增、刪除、修改權限之單位，同時也是資訊資產的擁有單位。
4.2 資訊資產保管單位：
依據權責單位之需求標準，執行資訊資產日常保護、異動與維護之執行單位。
4.3 資訊資產使用單位：
因業務需求，經授權可直接或間接使用該資訊資產之單位。
本圖引用自資安驗證中心
資訊資產分類
人員類(People, PE)：正式聘用人員、約聘人員、工讀生、臨時工作人員訪客、委外維護人員、委外保全人員、包商或供應商
文件類(Document, DC)：以紙本或其他電子 形式存在之文書資料、報表等相關資訊，如：網路架構圖、系統文件、使用手冊、操作或支援程序、緊急應變計畫、公文、合約、報表、報告、通訊錄、表單...等
軟體類(Software, SW)：應用軟體、系統軟體、開發工具、套裝軟體、防火牆軟體、防毒軟體、驗證軟體、資料庫管理軟體(DBMS) 、加密軟體、文件管理系統、內部開發程、內部發展系統...等
通訊類(Communication, CM)：提供資訊傳輸、交換之線路或服務，網路服務(ISP)、電話服務(PBX) 、傳真服務(FAX)...等
硬體類(Hardware, HW)：網路設備橋接器、集線器、路由器、網路交換器、電話自動交換機、防火牆、視訊會議設備、傳真機、手機、電腦設備伺服器、主機、個人電腦、筆記型電腦、工作站、印表機、不斷電系統、機櫃...等
資料類(Data, DA)：儲存於硬碟、磁帶、USB隨身碟等儲存媒介之數位資訊。
環境類(Environment, EV)：相關基礎設施及服務，包含辦公室實體、機房實體、一般公用設施水電、空調、照明、消防設施...等
本圖引用自資安驗證中心
名詞定義2
4.2.4 機密性(Confidentiality)：
確保僅授權人員可存取資訊。
4.2.5 完整性(Integrity)：
確保資訊與處理方法的正確性與完整性。
4.2.6 可用性(Availability)：
確保經授權的使用者在需要時可以取得資訊及相關資產。
5.3.2.4 資訊資產價值之決定，依據資訊資產之機密性、完整性及可用性評估後，取三者之最大值為資訊資產價值。
資訊資產機密等級
5.2.2 資訊資產使用與管理應依其機密等級，參考下表處理原則辦理。不同機密等級之資訊資產合併使用或處理時，以其中最高之等級為機密等級。
5.2.3 資訊資產之機密等級應定期審核，視實際需要予以調整。
資訊資產盤點常見問題 (👈點擊前往瞭解Q&A)
資訊資產風險評鑑
資訊資產風險評鑑
ISMS-B-004 風險評鑑與管理作業程序 (👈點擊瀏覽及下載ISMS文件)
名詞定義
1、可接受風險值：各類資訊資產之最低風險容忍度。
2、殘餘風險 (Residual Risk)：在採用相關控制措施之後剩餘的風險。
3、威脅 (Threat)：可能對系統或組織造成傷害之意外事件。
4、弱點 (Vulnerability)：因資訊資產本身狀況或所處環境之下，可能受到威脅利用而造成資產受到損害之因子。
5、風險 (Risk)：可能對團體或組織的資產發生損失或傷害的潛在威脅，通常利用弱點所產生之影響及發生可能性來衡量。
風險評鑑流程
5.1.1 將各資訊資產依所屬資產類別，參考下表說明，列出其「威脅-弱點」事件，製作「威脅及弱點評估表」。
5.1.2 評估「威脅-弱點」事件之機率等級
5.1.3 評估「威脅-弱點」事件之損害等級
5.1.5 風險值的計算：評估事件發生機率及影響程度後，計算出風險值。
風險值 = [ 資訊資產價值 × 機率等級 × 損害等級 ]
5.1.6 確認風險評估結果
經完成鑑別資產及其相關風險，並產出「威脅及弱點評估表」後，彙整相關綜合風險值，產出「風險評鑑報告」，
提供資訊安全小組作為風險管理之依據。
5.1.7 選擇控制措施
5.1.7.1 資訊安全小組應檢視「風險評鑑報告」及「威脅及弱點評估表」。
5.1.7.2 若風險值超出可接受風險值之資訊資產，應參考ISO 27001附錄A.選擇適當之控管措施，產出「風險改善計畫表」及「適用性聲明書」，
說明風險控管措施之執行辦法。
5.1.7.3 「風險改善計畫表」應陳報資訊安全委員會開會審核，並列入追蹤管理程序。
5.1.7.4 風險改善狀況的後續追蹤
5.1.7.4.1 對風險改善計畫應彙整控管，持續追蹤以確保改善完成。
5.1.7.4.2 應於各風險改善措施完成後，進行風險再評估，以確保相關改善措施的有效性。
5.1.8 覆核
5.1.8.1 監控
控制措施的實施必須建立相對應的指標或紀錄，以反映出控制措施實施的狀況及成效，便於管理階層及相關人員做定期或不定期審視。
5.1.8.2 持續改善
為保持本風險評鑑方法之有效性與適用性，資訊安全小組得定期檢討可接受風險值與威脅及弱點評估表之項目，以確保資訊資產受到適當保護。
5.1.8.3 風險重新評鑑
5.1.8.3.1 每年應至少執行 1 次風險評鑑。
5.1.8.3.2 新增系統、系統有重大異動或作業環境改變時，應不定期執行風險評估。
高風險項目
凡風險值大於16之項目均為高風險事項，須執行風險改善。風險值小於等於16之項目，視為可接受風險。
Page updated
Report abuse