管理資訊系統(MIS)

繼上次我們談論完「風險管理架構與理論基礎」後，本篇把重點放在較為生硬一點的風險管理方法。管理的方法百百種，針對幾種比較常見的方法做簡單的敘述。雖然以往考題有考過風險管理方法的流程，但是大部分在理解這些方法時，主要是需要把他們當作工具，當考到該如何做風險控管時，這些都是大家可以拿來當作思考途徑的利器。

1. 定性風險分析
   是一種非數值化的風險評估方法，通常用於初步評估風險的可能性和影響。主要目的是了解風險的性質和特徵，並提供風險控制的優先順序。常見的方法有：
   1. 風險矩陣：風險矩陣將風險的可能性和影響程度繪製在一個矩陣圖中，通常橫軸表示風險的可能性（從低到高），縱軸表示風險的影響程度（從低到高）。每個風險都根據其可能性和影響程度進行分類，從而判斷其處理優先順序。風險矩陣的結果有助於企業識別最迫切需要處理的風險。
   2. 專家評估法：通過專家訪談、問卷調查等方式收集對風險的看法，利用專家的經驗來評估風險。


2. 定量風險分析
   是一種數據驅動的分析方法，使用數學模型和統計數據對風險進行具體的量化評估。常見的工具有：
   1. 模擬分析（如蒙地卡羅模擬）：透過建立模型，模擬不同風險事件發生的多種情境，並根據機率分佈進行大量的隨機模擬，計算風險對企業的可能影響。蒙地卡羅模擬可以幫助企業量化風險並估算其財務損失、時間延遲等。
   2. 敏感度分析：通過調整風險因素的變量來評估變化對結果的影響程度，有助於理解哪些風險因素對整體風險有最大影響。

定性與定量風險分析的組合有助於企業全方位評估風險，並做出有根據的風險管理決策。

1. ISO 31000：風險管理標準
   ISO 31000 是國際標準化組織（ISO）制定的風險管理標準，為組織提供了風險管理的原則、框架和過程。其核心包括：
   1. 風險識別：識別所有可能影響目標達成的風險。
   2. 風險評估：分析風險的可能性和影響，並決定風險的優先順序。
   3. 風險處理：選擇適當的風險應對策略（如風險回避、減少、轉移或接受）。
   4. 監控與回顧：定期評估風險管理過程的有效性，並根據情況做出調整。


2. COBIT（Control Objectives for Information and Related Technologies）
   COBIT 是由 ISACA 提供的一個資訊科技治理和風險管理框架，主要針對IT環境中的風險管理，對企業的資訊科技治理提供指導。COBIT的核心目標是確保IT系統的安全性、可靠性和有效性。COBIT 強調：
   1. IT治理：強調如何在IT層級上管理風險，並確保IT系統與業務目標的一致性。
   2. 內部控制：建立有效的控制措施來減少風險，並確保系統的可靠運行。
   3. 績效管理：衡量和評估IT管理過程，確保資源得到最有效的利用。


3. NIST（National Institute of Standards and Technology）標準
   NIST 提供了多個與資訊安全、風險管理相關的標準，其內容涵蓋：
   1. 風險管理過程：強調對資安風險的識別、評估、應對、監控等過程。
   2. 資安控制：NIST 提供了對資訊系統的安全控制建議，這些控制措施包括身份認證、存取控制、加密技術等。

資安風險管理主要著眼於保護組織的資訊系統免受外部和內部的攻擊，確保敏感資料的安全性、機密性和可用性。常見的資安管理措施包括：

1. 身份認證
   確認用戶是否有權訪問系統或資料的技術。常見的身份認證方法包括：
   1. 密碼：最基本的身份認證方式，但單獨使用易被破解，通常需要配合其他措施。
   2. 多因素認證（MFA）：通過要求用戶提供兩個或更多證據（如密碼加上指紋、OTP等）來進行身份驗證，增加安全性。
   3. 生物識別：如指紋、臉部識別、虹膜掃描等技術，用於提供更高安全性。


2. 存取控制
   指對資源（如文件、資料庫、應用程式）的訪問權限進行管理。常見的存取控制方法有：
   1. 基於角色的存取控制（RBAC）：根據用戶的角色來決定其可以訪問的資源範圍。
   2. 基於屬性的存取控制（ABAC）：根據用戶的屬性（如部門、職位等）來授予存取權限。
   3. 強制性存取控制（MAC）：基於事先定義的規則，對用戶的訪問進行嚴格限制，通常應用於高安全性環境。


3. 加密技術
   用於保護敏感數據的傳輸和儲存，防止未授權的存取。常見的加密方法包括：
   1. 對稱式加密：使用相同的密鑰進行數據加密和解密，常用於大量數據的加密處理（如AES加密）。
   2. 非對稱式加密：使用一對公鑰和私鑰進行加密和解密，常用於確保通信安全（如RSA加密）。
   3. 雜湊演算法：將資料轉換為固定長度的哈希值，常用於驗證資料的完整性（如SHA-256）。

這些技術和措施組合使用，有助於防範資安風險，保護敏感資訊，並確保企業營運的安全性。

風險管理方法和工具的應用能夠幫助企業有效識別、評估和控制風險，並依據國際標準框架（如ISO 31000、COBIT、NIST）進行風險治理，同時針對資安風險進行嚴密的控制和防範，確保企業的資產和資訊安全。