您的瀏覽器不支援JavaScript功能,若網頁功能無法正常使用時,請開啟瀏覽器JavaScript狀態
跳到主要內容區塊
:::

法規內容

法規名稱: 廢/停法務部及所屬機關資訊資產風險評鑑管理規範
公發布日: 民國 96 年 04 月 19 日
廢止日期:民國 102 年 08 月 07 日
法規體系: 法務部部內各單位 > 資訊處
立法理由:
法規功能按鈕區
一、目的
    為確保法務部(以下簡稱本部)及所屬機關執行資訊資產風險評估作
    業時,得以評估所有可能面臨之風險,並確保評估方法之一致性,特
    訂定本規範。
二、適用範圍
    本部及所屬機關資訊安全管理系統範圍內之所有相關資訊資產。
三、名詞定義
(一)弱點(Vulnerabilities)
      弱點為各項資訊資產本身所具有之特性,不因外在環境改變而有變
      化。某些資訊資產之弱點係由人為因素所造成,則必需依該項資訊
      資產之使用現況作客觀之判斷。威脅(Threats) 威脅係利用資訊
      資產之弱點造成傷害該項資訊資產或對該項資訊資產造成衝擊之事
      件、物件或行為。
(二)風險(Risks)
      威脅受到誘發而引起安全事件,並對資訊資產造成傷害的狀況。
四、風險評鑑作業
(一)適法性風險視為不可接受之高風險項目,應採行下列預防措施,不
      納入風險評鑑作業考量:
      1.鑑別適用法令法之清單。
      2.訂定資訊安全管理制度之規範文件時,應檢視並確保符合現行法
        令之需求。
      3.辦理資訊安全法令宣導。
(二)風險評鑑分為「營運衝擊分析」及「威脅與弱點分析」兩階段,分
      述如下:
      1.營運衝擊分析(Business Impact Analysis BIA,或稱為資產鑑
        價)
        由資訊資產管理人依機密性、完整性及可用性之量化標準,進行
        資訊資產評價;本部因考量適法性風險應視為不可接受之高風險
        項目,故於營運衝擊分析階段不再評估適法性衝擊。
      2.威脅與弱點分析(Threat and Vulnerability Assessment T&V
        )
     (1)資訊資產管理人依資訊資產所在環境及使用狀況,參考過去曾
          經發生之資訊安全事件,分別評定各資訊資產可能面臨之威脅
          、可能存在之弱點及可能遭受之風險狀況進行推論。
     (2)鑑別資訊資產之弱點時,應考慮現行之安全管控措施,如已適
          當保護該項資訊資產,則不列舉原有之脆弱點。
     (3)鑑別資訊資產所面臨之威脅時,應考慮該項威脅是否已受到控
          制,如該項威脅無法完全被控制或完全無法控制,則應列舉之
          。
     (4)根據所推論之弱點項目,列舉現行已採用之既有安全控制措施
          。
     (5)考量既有安全控制措施及過去所發生之機率,並評量風險發生
          對資訊資產可能影響之程度,計算出各個風險之風險值。
五、風險管理
(一)應將風險評估之結果提報單位主管審查,並將審查結果提報資通安
      全會報(資訊安全執行小組),以決定不可接受之風險等級。
(二)應將超過不可接受風險等級之風險項目,擬訂風險改善計畫。
(三)風險改善計畫應符合整體資訊安全目標。
(四)風險改善計畫執行結束後,應針對不可接受之風險重新評估殘餘風
      險是否均已降低至可接受風險值以下。
(五)風險改善計畫執行之成果應提報資通安全會報(資訊安全執行小組
      )之管理審查會議中進行確認。
六、風險改善
(一)可採用之風險改善方式包括:
      1.規避風險。
      2.降低風險發生機率。
      3.降低風險影響程度。
      4.轉移風險。
      5.接受風險。
(二)風險改善計畫之擬訂,應考量所需資源、優先順序、責任分配等因
      素,至少包含下列內容:
      1.風險項目。
      2.採取之控制方法。
      3.所需投入資源。
      4.相關負責人員。
      5.預估完成日期。
七、風險之再評估
(一)風險評鑑應每年進行全面評估。但組織政策、單位業務、資訊資產
      等發生重大變更時,應就該重大變更影響部份於 2  個月內進行再
      評估。
(二)再評估之因素:
      應識別下列狀況所可能帶來之風險:
      1.識別與外部團體有關之風險。
      2.當本部因作業需要,新增或變更開放授權外部團體存取本部資訊
        系統或本部所持有之業務資訊前,應進行評估及識別相關可能之
        風險。
      3.設備產生之風險:
     (1)設備應考量來自實體環境之風險,如資訊資產所在之實體環境
          發生變動時,應考量是否增加未經授權存取之機會。
     (2)設備如須於辦公處所以外之區域使用時,應考量可能遭受之風
          險。
      4.外部團體服務變更之風險:
        當外部團體服務合約、服務內容及服務人員發生變更時,應考量
        可能帶來之風險。
      5.資訊應用系統技術脆弱性之風險:
        應取得資訊應用系統技術脆弱性之及時資訊,並評估該脆弱性對
        現行資訊應用系統之影響,以控制可能產生之風險。
(三)當相關作業發生新增或變動時,應針對所涉及之資訊資產是否造成
      資產價值變動,以考量是否進行再評估。