為大家簡介ISO/IEC 27005:2008(E)，這是屬於目前最新的。

(一) ISO/IEC 27005:2008(E) 風險管理概要

國際標準化組織與國際電工委員會於2008 年6 月15 日制定第一版ISO/IEC
27005:2008(E)標準，所屬的領域是Information Technology- Security Techniques-
Information Security Risk Management，主要係針對資訊安全規範風險管理的標
準，制訂單位是ISO 與IEC 之第一聯合技術委員會(ISO/IEC JTC1)的第27 資訊
技術分組委員會(SC27)，制定標準的參考文件是根據ISO/IEC 27001:2005、
ISO/IEC 27002:2005 及AS/NZS 4360。
ISO/IEC 27001:2005 主要在訂定組織在建置資訊安全管理系統(Information
Security Management System, ISMS)的規範及要求，例如，組織的ISMS 的設計及
實作所有項目必須符合ISO/IEC 27001:2005 的要求，包括資訊安全上的要求，並
提供已建置ISMS 的組織作為改進及維護的稽核依據。
ISO/IEC 27002:2005 主要是在規範組織內已建置完成的ISMS 之安全作業要
點，針對組織內負責建置、維護及管理ISMS 的人員提供一個標準作業規範之指
導綱要。
ISO/IEC 27005:2008(E)的制定係根基於ISMS 與ISO/IEC 27001:2005 及
ISO/IEC 27002:2005，其最大的差異在於加入風險管理及產生風險時的後果推
論。此國際標準主要在規範組織制定ISMS 時必須遵循風險管理的程序，以確保
當組織資訊資產遭受攻擊時，能夠即時維護資訊系統並保持系統正常運作及資訊
系統資料合法存取，此國際標準適用於所有類型的組織，如商業型的企業、政府
部門機構、非營利組織等，可幫助組織導入資訊科技的風險管理，有效解決資訊
安全方面的問題。

(二) ISO/IEC 27005:2008(E)風險管理程序
ISO/IEC 27005:2008(E)有六個風險管理的步驟，如圖1 所示(Andrukiewicz,
2008)，分別說明如下：

1. 建立全景(Context Establishment)：制定與組織有關的資訊安全風險管理基本規
則，內容必須持續符合ISMS 的規範，詳細說明組織的資訊資產及精確定義組織
的風險管理範圍與機制。
2. 風險評鑑(Risk Assessment)：針對已制定之組織風險管理機制，列出組織內資產的擁有人、資產置放的位置及資產的功能等，加入威脅事件的識別，列出所有
可能遭受威脅事件的資產清單，並找出可能產生威脅事件的弱點，對這些弱點、
脆弱性及威脅事件加入風險發生時的後果推論及判斷，並依序列出風險的等級及
劃分可接受風險值的範圍，找出可能即時解決的方法，以降低風險發生時的危害
狀況。

3. 風險處理(Risk Treatment)：依據風險評估所列風險等級的優先順序加以處理，
處理的方法包括降低風險的產生及檢視組織內的活動項目，若活動易引起某些異
常狀況而產生風險時，應加以避免或做風險的移轉，例如為活動項目加入保險機
制，或者簽訂保障合約書，當風險產生時，可以申請理賠。
4. 風險接受(Risk Acceptance)：依據組織決策者劃分之可接受的風險，做定期的
文件紀錄檢視，因風險的可接受度不是絕對的是或否，仍需依照風險事件發生時
的情況做評估，對於某些不符合組織的正常風險的驗收標準（例如某些可接受風
險的降低成本過高）等，必須列出接受此風險的理由。

5. 風險溝通(Risk Communication)：持續蒐集風險資訊，以獲得新的資訊安全知
識，對組織的風險管理結果提供保證，並支持組織的決策，分享組織風險管理的
結果。
6. 風險監控與審查(Risk Monitoring and Review)：組織目前所制定之風險管理制
度並非固定不變，風險的發生會隨著外在環境因素而改變，隨時會因新的弱點及
威脅事件的產生而有所更動，因此必須持續監控組織環境的異常現象，隨時掌握
新的弱點及威脅事件，並且更新，以維持組織風險管理機制的正常運作，保護組
織的資訊安全。

2