高考申論題
110年
[資訊處理] 資訊管理與資通安全
第 三 題
📖 題組：
四、請回答下列資訊系統風險評鑑相關問題：
四、請回答下列資訊系統風險評鑑相關問題：
📝 此題為申論題，共 3 小題
小題 (三)
請說明風險評估。（4 分）
思路引導 VIP
注意這題是「評估」（Evaluation），與前述的估計不同。評估是指將估計出的結果與「風險準則」對比，決定優先順序與對策。
小題 (一)
請說明風險識別及其步驟。（8 分）
思路引導 VIP
風險評鑑的第一步是找出哪裡有危險。考生應引用 ISO 27005 或 NIST SP 800-30 的框架。核心概念是「資產、威脅、弱點」的識別。
小題 (二)
請說明風險估計及其步驟。（8 分）
思路引導 VIP
識別完之後要給風險「打分數」。這涉及機率（Likelihood）與衝擊（Impact）。作答時應區分量化與質化分析方法。