4 通用風險對策矩陣(General Risk Treatment Matrix)

在計算機每項資產風險值後，必須決定各個重大性及可能性等及的資產的風險對策，因而作才從或有損失會計處理原則，類推出通用風險對策矩陣，作者依據經驗，將控制措施依效果區分為三大類：

--- 預防控制：人員執行作業後作業之前，必須先完成確保資產安全事件不會發生的控制程式，獲得核准後才能開始工作。
--- 一般控制：人員執行作業之前，無須完成確保資產安全事件不會發生的控制程式，但必須適時回報主管，或是留下記錄以供查核驗證。
--- 補償控制：以事後定期檢查的方式確認人沒是否依規定執行工作，或是透過教育訓練，增強人員的資訊保安認知。

接下來針對不同的風險值，訂定資訊資產控制程式，基本上區分成四種控制程式：

--- 預防控制：對於價值搞、風險發生可能性高的資產，應採取預防控制。
--- 一般控制：對於價值高、風險發生可能性為中等，或是價值中等而風險發生可能性高的資產，應採取一般控制措施。
--- 補償控制：對於價值高但是風險發生可能性為低，或是價值與風險發生可能性皆為中等，而風險發生可能性為高但是價值低的資產，可採取補償性控制措施。
--- 暫不控制：其他風險值的資產則可以暫不控制。

選擇控制

在得到各項資產風險值後，必須先決定每項資產應予控制的專案，再依據通用風險對策矩陣，決定每一個控制專案的方式以及必須達成的效果，因而如何選擇每項資產應彩的控制元件目，是資訊保安體系匯入另一個重要問題。

在作者的專案經驗中，發現BS7799同際標準所提供用來選擇控制的工具“Risk Analysis Tool,RA Tool”,在實務上可行性不高，因而作者依據RA Tool的邏輯，另外開發了一套工具軟體，稱之為“超簡單工具(Super Sample Tool,SST)”，透過此項工具，只要輸入各資產適用的弱點，威脅專案以及風險值，系統立即產生資產應採用的控制元件目以及控制程度（須達成效果的資料等）。

風險相應計劃與資訊保安標準、作業程式、窗體：

決定每項資產應採用的控制元件目以及控制程式後，企業必須參考資訊保安專定意見，制定詳細的資訊保安標準、各項作業程式以及窗體，在制定這些細項規則時，必須確定每個控制元件目皆達到風險對策矩陣中要求的控制程度，如果目前企業由於經營環境限制，無法達成控制程度，必須針對這些無法降低水平的風險專案，擬定改善計劃，即“風險相應對策(Risk Treatment plan)”,以便在可預期有未來將到可接愛水平，減少意外事件對企業造成的傷害。

資訊保安體系與運作

資訊保安體系在建立之後，必須持續維護運作，以確保效果，然而企業在建立專案結束之後，常常因為不知道該如何維護資訊保安體系，一段時間之後，資產安全體系去了原有效果，企業又回去高風險的經營環境，這此，作者設計出特有的“風險評估作業程式(Risk Evaluation Procedure,REP)”,協助企業建立資訊保安組織，加上風險分析技術移轉，進供資產安全體系動轉輔導以及定期檢查與意見提供等方法，協助資訊保安體系在企業內部真正落實。[@more@]

資訊化打造核心能力——談研發資訊保安（四）（轉）

相關文章