---
# System prepended metadata

title: 01. 安全與風險管理 (Security and Risk Management)
tags: [113資安通識]

---

# 01. 安全與風險管理 (Security and Risk Management)
## 目錄
#### D01. 安全與風險管理 (Security and Risk Management)
https://hackmd.io/@BfgmCkJITrihco_NQZv8Ug/SyUCA52Q1g
#### D02. 資產安全 (Asset Security)
https://hackmd.io/@BfgmCkJITrihco_NQZv8Ug/S1hWZj2mJg
#### D03. 安全架構與工程設計 (Security Architecture and Engineering)
https://hackmd.io/@BfgmCkJITrihco_NQZv8Ug/SkS-mo37Jx
#### D04. 通訊與網路安全 (Communication and Network Security)
https://hackmd.io/@BfgmCkJITrihco_NQZv8Ug/H11AHs3mye
#### WebSecurity.pdf (整合投影片)
https://hackmd.io/@BfgmCkJITrihco_NQZv8Ug/S1M0wsn7yl
#### Appendix C. Blockchain
https://hackmd.io/@BfgmCkJITrihco_NQZv8Ug/ByupFs3Xyx
## **1.1 安全的定義**
- **安全 (Safety)**：保護個人、財產或資訊免受意外傷害。
- **保安 (Security)**：防止惡意行為（如駭客攻擊）。
- **保證 (Assurance)**：確保系統或資訊按照預期正常運作。

## **1.2 資安基本原則 (Security Fundamentals)**

### **1. CIA 三元組 (CIA Triad)**
- **機密性 (Confidentiality)**：  
  確保資訊僅授權人員可存取（例如加密、訪問控制、資料分類）。
  + 因需可知（Need To Know)
  + 最小權限原則（principle of least privilege)
- **完整性 (Integrity)**：  
  確保資訊正確且未被未授權人員修改（例如資料驗證、檢查碼）。
- **可用性 (Availability)**：  
  確保授權人員在需要時可存取資訊（例如備份、災難恢復）。可用性的威脅包含自然和人為災難。
  

### **2. 三A原則 (Triple-A)**
- **認證 (Authentication)**：確認用戶身份。
- **授權 (Authorization)**：授權用戶存取特定資源。
- **課責 (Accounting)**：記錄用戶的活動，以便審計與識別可疑行為。（who/what/when/how long)

### **3. 保證方法 (Assurance Methods)**
+ **安全測試**：這涉及模擬對系統的攻擊以識別漏洞和弱點。 滲透測試和漏洞掃描就是例子。
+ **安全審查和審計**：這涉及對系統的安全控制和程序進行系統評估，以找出差距並確保符合標準。
+ **安全監控**

## **1.3 風險管理過程 (Risk Management Process)**

1. **風險識別 (Risk Identification)**：  
   識別威脅與漏洞（例如駭客、弱密碼）。
2. **風險評估 (Risk Assessment)**：  
   分析風險的可能性與影響。
3. **風險應對 (Risk Response)**
   - **避免 (Avoidance)**：消除風險。
   - **減輕 (Mitigation)**：降低風險的可能性或影響。
   - **轉移 (Transfer)**：將風險轉移給第三方（如網路保險）。
   - **接受 (Acceptance)**：接受低風險。
4. **風險減輕 (Risk Mitigation)**：  
   實施控制措施（例如防火牆、入侵檢測系統）。
   
+ **成本效益分析**：權衡安全控製成本（財務、營運）與效益（降低風險、提高安全性），力求在安全有效性與可負擔性之間取得平衡。

+ **定量風險分析**
   ![2BC7D6FF-38A1-4B46-86E2-B609D3672891](https://hackmd.io/_uploads/ByjpqyxE1l.jpg)

## **1.4 資安治理 (Security Governance)**
- **政策 (Policies)**：高階指導方針，描述資安原則與期望。
- **標準 (Standards)**：具體技術要求（如密碼強度、加密算法）。
- **程序 (Procedures)**：具體的實施步驟。
- **方針 (Guidelines)**：達成資安目標的建議做法。

:::info

### 深度防禦 (Defense in Depth)
深度防禦是一種分層的安全策略，通過在不同層級（如物理層、網絡層、應用層、數據層）實施多種控制措施來增強系統安全。可以將其想像成一個具有**多層結構的洋蔥**，即使攻破一層，也無法保證完全訪問整個系統。
- **物理層 (Physical)**：例如門禁卡、安全攝像頭等。
- **網絡層 (Network)**：例如防火牆、網絡分段等。
- **應用層 (Application)**：例如應用程序防火牆（WAF）、身份驗證機制等。
-  **數據層 (Data)**：例如數據加密、訪問控制列表（ACL）等。
:::

### 資訊安全官的職責 (The Responsibilities of the Information Security Officer)

1. **究責 (Accountability)**  
   負責確保所有資安策略與措施的落實，對結果負最終責任。
2. **法律責任 (Liability)**  
   確保組織遵守相關法律法規，避免因不合規而引發法律後果。
3. **義務性責任 (Obligation)**  
   制定資安相關的政策與規範，確保所有人員履行其責任。
4. **執行責任 (Responsibility)**  
   確保資安措施的執行與有效性，並領導相關計劃的實施。

## 1.5 法律、法規與倫理 (Legal, Regulations, and Ethics)

### 1. 安全法律與法規 (Security Laws and Regulations)  

  - **GDPR (General Data Protection Regulation)** 一般數據保護條例  
  - **HIPAA (Health Insurance Portability and Accountability Act)** 健康保險可攜性與責任法案  
  - **PCI DSS (Payment Card Industry Data Security Standard)** 支付卡產業數據安全標準  

### 2. 道德規範 (Code of Ethics)
  - 保密性 (Confidentiality)  
  - 誠信 (Integrity)  
  - 安全性 (Security)  
  - 專業性 (Professionalism)  
  
::: info
**(ISC)² 道德規範**  
1. 保護社會、公共利益和基礎設施。  
2. 行為光明磊落、公正負責。  
3. 為雇主提供勤奮且有能力的服務。  
4. 推進並保護資安專業的發展。
:::
### 3. OECD 隱私保護指導原則 (OECD Privacy Guidelines)  
1. **有限度搜集原則 (Collection Limitation Principle)**  
僅以合法和公平的方式搜集個人數據，且用途應明確、具體、合法。
1. **數據品質原則 (Data Quality Principle)**  
    確保數據準確、完整、相關，且不誤導用於指定用途。
1. **特定目的原則 (Purpose Specification Principle)**  
    在收集數據前，應明確說明其用途。
1. **有限度使用原則 (Use Limitation Principle)**  
    僅能基於已明確指定且合法的目的處理個人數據。
1. **保護原則 (Security Safeguards Principle)**  
    採取合理的安全措施，保護個人數據免受丟失、未授權訪問、洩露、篡改或銷毀的風險。
6. **開放性原則 (Openness Principle)**  
    對數據收集的做法保持透明。
1. **個人參與原則 (Individual Participation Principle)**  
    賦予個人訪問與更正自身數據的權利，並在特定情況下反對其數據被處理的權利。
1. **責任原則 (Accountability Principle)**  
    數據控制者應對遵守隱私指導原則負責。


## 1.6 營運持續與災難復原 (Business Continuity and Disaster Recovery, BC/DR)


### **1. 營運持續計畫的建立 (BC Program Initiation and Management)**  

1. **獲得高層管理的支持 (Obtain Senior Management Support)**  
   確保計劃得到組織領導的認可與資源支持。  
2. **定義項目範圍與目標 (Define Project Scope and Objectives)**  
   確認計劃的覆蓋範圍與期望達成的成果。  
3. **資源估算 (Estimate Project Resources)**  
   計算成功執行計劃所需的人力和財力資源。  
4. **確定時間表與交付成果 (Define Timeline and Major Deliverables)**  
   制定項目時間計劃與主要成果的里程碑。

###  **2. 營運持續計畫的核心元素**  
#### 1. 營運影響分析 (Business Impact Analysis, ==BIA==)  
   - 辨識關鍵營運功能與數據。  
   - 評估中斷對營運的影響，幫助資源分配與恢復優先級的決策。  

#### 2.  **營運持續計畫 (Business Continuity Plan, ==BCP==)**  
   目的是將停機時間降至最低，恢復正常營運的策略，包含： 
- 操作程序 (Procedures)  
- 溝通計劃 (Communication Plans)  
- 資源分配 (Resource Allocation)  
   

#### 3. **復原目標 (Recovery Objectives)**  
   - **復原時間目標 (Recovery Time Objective, ==RTO==)**：業務功能恢復所需的最長時間。  
   - **復原點目標 (Recovery Point Objective, ==RPO==)**：數據允許丟失的最大時間範圍。
![E6BBDD36-12DB-424E-B513-99E95302EC71](https://hackmd.io/_uploads/HkYd8tGEyl.jpg)

## 1.7 人員安全政策 (Personnel Security Policies)

### **1. 雇用審查 (Employment Screening)**  

   審查內容包括**推薦人查詢 (Reference Check)**、**背景調查 (Background Check)**、**學歷證明 (Diploma Verification)**、**專業證書 (Certification)**  


### **2. 雇用政策 (Employment Policy)**  
1. **行為準則 (Code of Conduct)**  
1. **利益衝突政策 (Conflict of Interest Policy)**  
1. **禮品管理政策 (Gift-Handling Policy)**  
1. **倫理協議 (Ethics Agreements)**  
1. **職務輪調 (Job Rotation)**  
1. **職責分離 (Separation of Duties)**  
1. **知情需求 (Need to Know)**  
1. **強制休假 (Mandatory Vacation)**  

### **3. 第三方管理 (Third-Party Control)**  
涉及供應商、顧問、承包商的管理措施，包括**監控 (Monitoring)** 、 **保密協議 (Non-Disclosure Agreement, NDA)**  

### **4. 隱私 (Privacy)**  
1. **責任不可外包 (Responsibility Cannot Be Outsourced)**  
職責可外包，但究責仍由組織負責。  
2. **隱私期望 (Expectation of Privacy)**  
所有個人對其個資擁有合理的隱私期望。
  ---
## **選擇題**

1. **哪一項是 CIA 三元組的核心要素？**  
   - A. 認證 (Authentication)  
   - B. 可用性 (Availability)  
   - C. 記錄 (Accounting)  
   - D. 備份 (Backup)  
   **答案：B**

2. **風險管理中，將風險轉移至第三方的策略稱為？**  
   - A. 避免 (Avoidance)  
   - B. 減輕 (Mitigation)  
   - C. 轉移 (Transfer)  
   - D. 接受 (Acceptance)  
   **答案：C**

3. **什麼是防止資安事件發生的控制措施？**  
   - A. 偵測性控制 (Detective Controls)  
   - B. 矯正性控制 (Corrective Controls)  
   - C. 預防性控制 (Preventive Controls)  
   - D. 回復性控制 (Recovery Controls)  
   **答案：C**

4. **在資安治理中，哪一項負責具體的技術要求？**  
   - A. 政策 (Policies)  
   - B. 程序 (Procedures)  
   - C. 標準 (Standards)  
   - D. 方針 (Guidelines)  
   **答案：C**

5. **下列何者是資安治理的最佳實踐之一？**  
   - A. 單一防禦層級  
   - B. 深度防禦 (Defense in Depth)  
   - C. 僅靠外部資安審核  
   - D. 無需資安政策  
   **答案：B**
   
## **填空題**

1. **CIA 三元組中的“C”代表________，確保資訊僅授權人員可存取。**  
   **答案：機密性 (Confidentiality)**

2. **________ 是資安治理中，為具體技術要求提供指導的文件。**  
   **答案：標準 (Standards)**

3. **在風險管理中，________ 是降低風險發生可能性或影響的策略。**  
   **答案：減輕 (Mitigation)**