什麼是網路安全性風險評估?

完整的網路安全性風險評估會從技術基礎結構到人為因素，評估組織安全性態勢的多個層面。這可讓組織系統化地識別風險，並制定有針對性的緩解策略。

網路安全性風險評估的核心元素

結構完善的風險評估包含幾個必要步驟:

1. 定義範圍

網路安全性風險評估從定義範圍開始。這表示要明確找出組織中要評估的部分，無論是特定事業部門、應用程式，還是整個企業 IT 環境。清楚的範圍可避免遺漏，並有助於維持聚焦。應包含:
 

• 實體基礎結構，例如伺服器、桌上型電腦、行動裝置和 IoT 端點。
• 軟體系統，例如內部工具、雲端平台、第三方應用程式和資料庫。
• 網路層，包括網路區隔、遠端存取和對外服務。
• 使用者、包括員工、承包商和廠商的角色、存取層級，以及其數位活動。
   

2. 識別資產

在定義好範圍後，下一步就是識別資產。這表示要盤點範圍內所有支援業務營運的有價值項目。資產包含:
 

• 實體硬體，例如膝上型電腦、伺服器、路由器和儲存裝置。
• 軟體系統，例如作業系統、企業營運應用程式、安全性工具和自訂程式碼。
• 網路基礎結構，包括無線存取點、VPN、防火牆和 DNS 系統。
• 人員，例如員工、系統管理員、第三方使用者，以及其相關的識別與存取認證。
   

每項資產都應根據其對業務的重要性進行分類。

3. 找出威脅

威脅是任何可能利用系統、網路、應用程式或流程中的弱點而造成損害的事件、行為者或狀況。它就是風險案例中 "可能出錯的部分"。

威脅可以是:

• 刻意的行為，例如網路犯罪分子發動 網路釣魚 攻擊，或內部人員濫用自身存取權限。
• 意外的行為，例如防火牆設定錯誤，或員工將敏感性資料傳送給錯誤的人。
• 環境因素，例如火災、洪水或停電，導致營運中斷或設備損壞。

其可鎖定硬體 (例如偷走膝上型電腦)、軟體 (例如利用應用程式中的弱點)、網路 (例如攔截未加密流量) 或人員 (例如誘騙使用者分享密碼)。

4. 評估弱點

弱點是系統、應用程式、流程或人類行為中的缺失，威脅可加以利用來造成損害或未授權的結果。它就是風險案例中 "可能出錯的方式"。

弱點可能以多種方式出現:
 

• 硬體。未加密的膝上型電腦、過時的韌體，或未受保護的連接埠。
• 軟體。未修補的應用程式、預設認證，或不安全的程式碼。
• 網路。開啟的連接埠、加密不足或網路區隔不佳。
• 人為因素。重複使用的密碼、缺乏訓練，或過多的存取權限。
   

弱點不一定會直接導致事件發生，但當它與相關威脅結合時，就會打開風險的大門。例如，執行過時軟體的 Web 伺服器容易受到攻擊。如果威脅行為者掃描該弱點並加以利用，組織可能會面臨 資料外洩。

5. 評估現有控制措施

一旦辨識出威脅與弱點，就該評估目前採取了哪些控制措施來降低這些風險。控制措施大致分為三種類型:
 

• 防護。例如防火牆、防毒軟體和多重要素驗證。
• 偵測。包括入侵偵測系統和安全性資訊與事件管理 (SIEM) 工具。
• 矯正。例如備份和災難復原計劃。
   

評估下列範圍的涵蓋度很重要:
 

• 硬體。是否有實體安全性措施，例如門禁卡存取、裝置加密或安全處置程序?
• 軟體。是否已實作修補程式管理和安全開發做法?
• 網路。您是否正在區隔流量、適當地記錄，並使用 TLS 進行加密通訊?
• 人員。員工是否接受過網路釣魚意識訓練? 存取原則是否遵循最低權限原則?
   

這項評估能讓您了解目前防禦措施的有效性，以及還存在的缺口。

6. 識別可能性與影響

針對每個已識別的風險案例，請評估:
 

• 可能性。在目前控制措施下，該威脅可能性有多少?
• 影響。如果它成功，會發生什麼事——財務損失、資料曝光、停機?
   

請考量業務中斷、法規罰款、商譽損害和營運成本。例如，硬體或網路故障可能造成大範圍中斷，而網路釣魚攻擊可能因憑證遭入侵而導致資料遺失。

7. 計算風險

現在，請結合可能性和影響，以判斷每個案例的風險評等。

例如:

風險案例	可能性	影響	風險等級
過時伺服器上的勒索軟體	高	高	重大
設定錯誤的防火牆規則	中	中	中度
繞過篩選條件的網路釣魚電子郵件	高	低	中度

這有助於判斷哪些問題需要優先處理，哪些屬於可接受或可容忍的範圍。

8. 建議緩解措施

針對每一項高風險或重大風險，建議可降低風險的作法。建議可能包括:
 

• 硬體。強制使用加密儲存、安全開機設定，並鎖定未使用的連接埠。
• 軟體。在開發流程中實作定期修補，並使用程式碼掃描工具。
• 網路。導入網路區隔並部署入侵防護系統。
• 人員。加強網路安全性意識訓練，並落實更嚴格的存取控制與身分識別驗證。
   

建議應在風險降低、成本、複雜度與對使用性的影響之間取得平衡。

9. 記錄和報告

完整的風險評估應清楚記錄，並與不同層級的專案關係人共用。報告通常會包含給主管的高階摘要、給 IT 和安全性團隊的詳細技術發現，以及優先處理事項。熱度圖、架構圖和資料表等視覺化元素，常有助於更有效地傳達複雜風險。文件應包含資產清單、已識別的威脅與弱點、目前的控制措施、風險評等，以及建議的緩解措施。報告也應明確指出每項行動的負責人，以及後續評估的規劃時間。透明度和清楚的說明有助於爭取支持，並讓各團隊目標一致。

10. 審查並重複執行

風險評估不是一次做完就結束，而是持續進行的循環。技術持續演進，業務流程不斷變動，新的威脅也會持續出現。以下是一些建議，可幫助您保持韌性並做好準備。
 

• 排程定期評估 (每季、每年，或在重大變更後進行)。
• 凡是可行之處都自動化 (持續弱點掃描、端點監控)。
• 隨著新風險出現，請調整您的控制措施，特別是在遠端工作、供應鏈相依性或生成式 AI 工具方面。

網路安全性風險評估的強度，取決於背後的流程。遵循最佳做法有助於確保評估有效、可重複，並且符合業務優先順序。

先從明確目標開始

在開始之前，先定義評估應達成的目標很重要。這可能表示要找出關鍵資產和潛在威脅、符合合規性要求、降低事件發生的可能性，或是為未來的安全性投資提供依據。先設定清楚的目標，有助於確保評估在整個流程中都保持聚焦、相關且可執行。

讓適當的專案關係人參與

風險評估不只是 IT 工作，它也需要整個組織提供意見。安全性和 IT 團隊提供技術專業知識，而法務和合規性團隊則提供法規風險方面的指導。營運和人力資源部門可以指出流程和人員方面的疑慮，而主管階層則負責確保與業務目標一致。納入多元觀點有助於確保評估涵蓋各種風險，從軟體設定錯誤到人為行為都包含在內。

決定採用內部或外部評估

執行風險評估沒有一種放諸四海皆準的最佳方式。內部評估通常更符合成本效益，也能善用組織內部知識，但可能會忽略盲點，或缺少專門工具。外部評估能帶來全新且不偏頗的觀點，以及更深入的專業知識，不過成本可能較高，而且執行評估的人通常對內部系統較不熟悉。許多組織會選擇混合式方法: 由內部團隊進行定期審查，再視需要或在合規性要求下，請外部專家進行更深入的檢查。

選擇適當的風險處理策略

一旦確認風險，組織就需要決定因應方式。如果某些風險落在公司的容忍範圍內，就可以予以接受。也可以完全避免這些風險，例如移除引入風險的系統或活動。風險也可以轉移給第三方，例如透過保險或合約協議。最常見的做法是透過套用控制措施，降低風險發生的可能性或影響，使其達到可接受的程度。適合的策略取決於業務目標、風險承受度，以及可用資源。

記錄所有項目

維持準確的文件記錄，對短期和長期成功都至關重要。這有助於組織遵循產業法規、隨時間追蹤變更和趨勢，並更快做出更有依據的決策。良好的文件記錄也能簡化稽核、讓安全性審查更容易，並在團隊或系統變動時維持連續性。

根據結果採取行動

風險評估的價值，取決於如何運用結果。應先處理高風險弱點，且修正步驟應與更廣泛的安全性目標一致。為每項行動指派負責人、追蹤進度，並定期重新評估，確保改善能持續下去。將這些發現視為持續流程的一部分，而不是一次性的作業，並把後續執行納入您的安全性文化。

以適當頻率進行評估

技術發展很快，威脅活動也是如此。這表示風險評估不應一年只做一次，尤其是在高風險環境中。金融和醫療保健等產業通常會每季或每半年重新評估。規模較小的企業則可能每年評估一次，或在重大基礎結構變更後進行。雲端優先或快速成長的公司，可能需要更頻繁地評估，才能跟上不斷變動的攻擊面。在併購、入侵事件或法規更新等重大事件後，重新評估也很重要。

為了領先因應新興威脅，並將網路安全性納入整體業務決策之中，應將定期的網路安全性風險評估納入您的安全性作業。有幾種解決方案可協助您建立有效的流程。安全性資訊與事件管理 (SIEM) 解決方案，例如 Microsoft Sentinel，可協助關聯事件、識別異常，並以內建分析與 威脅情報 來排序警示優先順序。延伸偵測與回應 (XDR) 解決方案可深入掌握端點、身分識別、電子郵件和雲端應用程式中的潛在攻擊路徑。將 SIEM 和 XDR 整合為 單一統一的安全性作業解決方案，可協助防禦人員檢視整個數位資產中的風險，並更快採取協同一致的動作。適用於網路安全性的 AI 解決方案，例如 Microsoft Security Copilot，可解讀各種訊號，進而提供深入解析並建議後續動作。