風險登記冊與剩餘風險是甚麼？

先分清三個風險狀態

NISTIR 8286A Rev. 1 把網絡安全風險登記冊視為支援企業風險管理的重要資訊工具，並列出風險描述、類別、可能性、影響、暴露程度、回應、擁有人及狀態等示例欄位。企業可按治理需要增減欄位，但定義及評分尺度必須一致。

建議欄位與使用方法

由識別到關閉的流程

1. 建立可驗證情境：由網絡安全風險評估或事件、稽核、漏洞及變更流程建立項目。
2. 指定風險擁有人：由能承擔相關業務後果的人員確認風險及處置方向。
3. 評估固有風險：按統一可能性與影響尺度評分，保存來源及假設。
4. 選擇風險回應：可按環境採取降低、避免、轉移／分擔或接受；寫明每項控制、期限與負責人。
5. 驗證控制：以技術測試及營運證據確認控制已正確部署並持續運作。
6. 評估剩餘風險：重新使用同一尺度評分，交由具相應權限的人員批准、要求再處置或設定監察。

剩餘風險接受不是行政簽名

接受決定應說明接受範圍、有效期、理由、補償控制、監察指標及重開條件。若資產重要性、外部暴露、威脅情報、供應商支援或控制成效改變，原有接受決定可能已不再適用。技術團隊可以提出證據和建議，但不應代替有業務責任的人員承擔後果。

「完成修補」也不必然等於零風險。例如一個公開服務完成版本更新後，仍可能面對憑證盜用、錯誤設定或阻斷服務。登記冊應記錄哪些風險已降低、哪些仍存在，以及它們是否落在企業已批准的風險承受範圍內。

權威資料與主張對應

• NISTIR 8286A Rev. 1 — Identifying and Estimating Cybersecurity Risk for Enterprise Risk Management：支持網絡安全風險登記冊的用途、風險情境、估算及示例欄位。
• NIST SP 800-39 — Managing Information Security Risk：支持跨組織層級的風險回應、監察、責任及持續管理。
• NIST SP 800-30 Rev. 1：支持可能性、影響、風險判斷及評估維護。

文件中的登記冊範例不是強制通用模板。企業須按自身治理架構、法律及合約要求，定義風險承受度、批准權限及保存期限。

常見問題

延伸閱讀