ISO 27005 資訊安全風險管理

ISO/IEC 27005是一項國際標準，為資訊安全風險管理提供指導方針與實作框架。它屬於ISO/IEC 27000標準系列的一部分，專門支援ISO/IEC 27001資訊安全管理系統（ISMS）中關於風險評鑑與處理的核心要求。與可供驗證的ISO 27001不同，ISO 27005本身並非驗證標準，而是方法論指南。其最新版本為ISO/IEC 27005:2022，定義了一個反覆循環的風險管理流程，包含：情境建立、風險評鑑（風險識別、風險分析、風險評估）、風險處理、風險接受、風險溝通與諮詢，以及風險監控與審查。此流程與美國國家標準暨技術研究院（NIST）發布的SP 800-30《資訊系統風險管理指南》概念一致，皆強調透過結構化方法，使組織能根據其風險偏好做出明智的決策，以保護其資訊資產的機密性、完整性與可用性。

企業應用ISO 27005的流程，通常遵循以下三大核心步驟： 1. **情境建立與風險評鑑**：首先，定義風險管理的範圍、邊界及風險評估準則（例如，衝擊與可能性的量化或質化標尺）。接著，系統性地識別組織的資訊資產、潛在威脅與既有脆弱性，並依據準則分析風險等級，最終評估哪些風險超出組織可接受的範圍，需優先處理。 2. **風險處理**：針對已評估出的高風險項目，根據ISO/IEC 27001附錄A的控制措施或其他框架，選擇適當的處理選項，如：風險規避（停止產生風險的活動）、風險轉移（如購買保險）、風險降低（導入安全控制措施）或風險接受（在符合政策下接受風險）。 3. **監控、審查與溝通**：持續監控風險處理計畫的有效性與殘餘風險等級，並定期審查整體風險管理流程，確保其能應對內外部環境變化。例如，一家台灣的金融科技公司，可利用此流程評估其雲端供應商的資安風險，導入多重要素驗證（MFA）與加密措施後，成功將資料外洩風險降低40%，並順利通過金融監督管理委員會的年度查核。

台灣企業導入ISO 27005時，普遍面臨以下三大挑戰： 1. **資源與專業知識不足**：特別是中小企業，常缺乏專職的資安風險管理人才與預算。對策是採取分階段導入，優先聚焦於核心業務相關的關鍵資訊資產，並可考慮委由外部專業顧問提供初期建置輔導與教育訓練，建立內部能力。 2. **風險評鑑的主觀性**：由於缺乏足夠的歷史數據，風險的「可能性」與「衝擊」評估容易流於主觀判斷，導致結果失真。對策是建立明確的半量化評分標準（例如，將衝擊等級1至5分別對應到具體的財務損失金額或營運中斷時間），並透過跨部門工作坊形式，匯集多元觀點以達成共識，降低單一判斷的偏誤。 3. **法規整合的複雜性**：需同時符合《個人資料保護法》、上市櫃公司《建立內部控制制度處理準則》及特定行業法規（如金融、醫療）的要求。對策是建立一個整合性的「法規遵循與控制措施對照表」，將ISO 27005的風險處理流程與各法規條文要求直接對應，確保在選擇控制措施時，能一併滿足合規義務。優先行動項目應是進行法規鑑別與差異分析。