企業級風險評估精髓

2. 現況評估與分析

絕大部份的企業，均已實施一些資訊安全的措施與技術。然而，目前所缺乏的是具備一套有系統的方法，以便了解本身的資安缺失，以及現有的資安措施與技術是否能提供足夠的防禦保障。是以現況的評估與分析極為重要，顧問可以藉由訪談、檔案收集、實地勘查等不同手法，收集企業目前的實施狀況資訊，除了可以經過分析藉以了解目前的資安狀況之外，更可以了解企業文化，未來在修訂資安措施或引進新的資安技術時，即可配合企業的文化拟定确實可行的方案。

3. 資訊資産清單

實施資訊安全，乃是為了保障公司資訊資産的安全。是以，了解公司擁有哪些資訊資産，是當務之急。各機關應列出其負責與保有的資訊資産清單，并評估其受到損害時對企業所造成的損失及影響，即可了解各項資訊資産對公司的重要性。是以，除了列出清單之外，針對每項資産，亦應進行風險評估，以了解這些資訊資産可能面臨的問題，以及問題發生時，對公司的傷害程度。

風險評估乃是根據資産的價值，該資産所面臨的威脅與弱點，計算出可能造成的影響。根據風險評估的結果，再針對無法接受的風險拟定對策，并考慮選擇的對策所需的成本及可帶來的效益，讓風險值成為公司可以接受的程度，即可避免資訊安全的事件造成企業極大的損失。