1.
風險評鑑計畫表
風險評鑑最終產出為下表 3風險評估表（Excel格式檔案如附件三），本章係說明風險評估表編製細節：
|
風險評估表
|
機密等級： ■密 □內部使用 □一般
|
||||||||
|
紀錄編號：
|
填表日期： 年 月 日
|
||||||||
|
資產編號
|
資產群組名稱
|
資產類別
|
資產價值
|
事件(威脅)
|
事件發生可能性(弱點)
|
影響性等級
(0~4) |
可能性等級
(0~4) |
風險值
|
風險值
|
|
HW-00001
~
HW00499
|
空氣品質感測器─SAN01
|
硬體
|
4
|
自然災害
|
物聯網系統停止運行
|
4
|
4
|
64
|
高
|
|
PN-00001
|
資安承辦人
|
人員
|
4
|
意外的錯誤操作
|
物聯網系統停止運行
|
2
|
1
|
8
|
低
|
|
|
|
|
|
|
|
|
|
|
|
1.1.
資產編號、資產群組名稱、資產類別、資產價值
同前章盤點結果，僅將資產編號以範圍列示，資產名稱以群組方式（如空氣品質感測器─SAN-01型）列示。
1.2.
事件（威脅）、事件發生可能性（弱點）
組織每天都在管理風險評估以識別資訊資產風險、實現業務目標。於民生公共物聯網領域，這些事件（威脅）參考如下列：
一、構成物聯網系統的資訊系統、網路和設備的品質、設定和實體環境。
二、支援性公共服務（像是電力或通訊）的持續供應。
三、自然災害。
四、惡意行為的個人。
五、意外的錯誤操作。
六、有弱點的物聯網資訊系統、網路和設備等。
民生公共物聯網領域可能的事件發生可能性（弱點）參考如下列：
一、物聯網系統停止運行。
二、外部實體系統受到攻擊。
三、該組織遭受商業損失。
四、該組織遭受聲譽損害。
五、由於組件的攻擊，外部實體的系統操作受到影響。
六、由於需依賴組織的系統操作，使外部實體的系統操作受到連帶影響。
1.3.
影響性等級(0~4)、可能性等級(0~4)
影響性是事件發生後的影響程度；可能性是最近會發生的機率大小，以最近一段期間是否曾經發生做為計算的方式。
表
4資訊安全事件影響性等級表
|
類別
|
等級
|
分類說明
|
|
極低
|
1
|
對於業務執行沒有影響
可以立即完成復原
若持續發生且次數頻繁，對業務執行可能
帶來潛在風險
|
|
低
|
2
|
對於整體業務執行影響不大
造成的損失可能僅影響單一業務或系統
損失可能影響僅個人或少數幾人
|
|
中
|
3
|
造成的損失可能影響多種業務或數個系統
損失可能影響多個部門
|
|
高
|
4
|
對於整體業務執行造成損害
事件處理不當可能對本署形象造成損害
造成的損害可能影響系統或相關服務停頓
或癱瘓，業務無法運作
其他公務機關對本署失去信心
|
表
5資訊安全事件發生可能性等級表
|
類別
|
等級
|
分類說明
|
|
極低
|
1
|
不曾發生或依經驗判定幾乎不會發生者。
|
|
低
|
2
|
3 年內曾經或可能發生者。
|
|
中
|
3
|
1 年內曾經或可能發生者。
|
|
高
|
4
|
1 季內曾經或可能發生者。
|
例如，前述的某型號空氣品質感測器，傳輸空氣品質資料如受到天然災害影響而中斷，可能對環保署形象造成傷害，故會將影響性分數評為4分（此處僅為舉例，實際分數仍依各縣市環保局判斷為準）。而過去一季曾經發生，可能會再重複發生，故會將發生可能性分數評為4分。
1.4.
風險值
資產價值、事件影響性等級、發生可能性的數值都確定後，即可參見下表 6進行風險值的計算，例如盤點人員資產，其資產價值為4，意外的錯誤操作影響性等級為2，發生可能性為1，則查表知風險權值為8。
|
資產價值為1
|
事件影響性等級
|
|||
|
發生可能性
|
1
|
2
|
3
|
4
|
|
1
|
1
|
2
|
3
|
4
|
|
2
|
2
|
4
|
2
|
4
|
|
3
|
3
|
6
|
9
|
12
|
|
4
|
4
|
8
|
12
|
16
|
|
資產價值為2
|
事件影響性等級
|
|||
|
發生可能性
|
1
|
2
|
3
|
4
|
|
1
|
2
|
4
|
6
|
8
|
|
2
|
4
|
8
|
12
|
16
|
|
3
|
6
|
12
|
18
|
24
|
|
4
|
8
|
16
|
24
|
32
|
|
資產價值為2
|
事件影響性等級
|
|||
|
發生可能性
|
1
|
2
|
3
|
4
|
|
1
|
3
|
6
|
9
|
12
|
|
2
|
6
|
12
|
6
|
12
|
|
3
|
9
|
18
|
27
|
36
|
|
4
|
12
|
24
|
36
|
48
|
|
資產價值為4
|
事件影響性等級
|
|||
|
發生可能性
|
1
|
2
|
3
|
4
|
|
1
|
4
|
8
|
12
|
16
|
|
2
|
8
|
16
|
8
|
16
|
|
3
|
12
|
24
|
36
|
48
|
|
4
|
16
|
32
|
48
|
64
|
承上，範例中空氣品質感測器風險權值為64；人員風險權值為8，則參見下表 7，可知其風險分別為高、極低。
|
風險
|
等級
|
風險值
|
|
極低
|
1
|
1~9
|
|
低
|
2
|
12~18
|
|
中
|
3
|
24~27
|
|
高
|
4
|
32~64
|
