1. 四個詞分別在問什麼？
- Asset（資產）：什麼對我們有價值、需要保護？不只電腦，也包括資料、服務及支援工作的資源。NIST：Asset
- Threat（威脅）：什麼情況或事件可能造成損害？例如未授權存取、誤刪資料或設備故障，不一定是駭客攻擊。NIST：Threat
- Vulnerability（弱點）：系統、流程或控制措施有哪些不足，可能被利用或觸發？例如錯誤權限、未修補軟體或缺乏必要覆核。NIST：Vulnerability
- Risk（風險）：在具體情境下，可能造成多大的損害？通常要同時考慮發生可能性與影響程度。NIST：Risk
威脅來源也要和事件區分：惡意人士是來源，未授權讀取資料則是可能發生的事件。
2. 什麼時候用？
盤點系統、安排修補、審查共享權限，或決定先投入哪項防護時，都需要這四個概念。
先說清楚系統範圍、資料用途、正常使用者與評估期間。相同的弱點，放在公開教材區與私人作答區，可能造成不同損害。風險不是只看弱點數量，也不能直接把掃描器的嚴重程度當成組織的實際風險。
3. 接續 CIA：Northstar 教材平台
以下是虛構的紙上情境，沒有操作真實平台。
Northstar 保存學生的私人作答。原本只有學生本人與授課教師可以閱讀，但資料夾誤設為「任何取得連結的人都能讀」。
- 資產：私人作答資料。
- 威脅事件：未獲授權的人取得連結並讀取作答。
- 弱點：共享權限超出原定使用範圍。
- 可能影響：作答內容外洩，損害機密性與學生隱私。
- 風險評估：連結多容易流出、誰可能取得、資料多敏感，以及既有控制是否有效。
「權限設錯」可以是已確認的弱點；「有人已經偷看」需要存取紀錄等其他證據，不能直接畫上等號。
4. 如何選擇防護？
先修正共享範圍，再用授權的測試身分確認：不應閱讀的人確實被拒絕，學生與教師仍能完成必要工作。也可縮減不必要保存的資料，並檢查適當的存取日誌。
不同措施可能降低事件發生的可能性，或減少發生後的損害。「可能性 × 影響」可以協助思考，但不是永遠精確的乘法答案；評估仍要交代尺度、證據與不確定性。
5. 怎麼判讀證據？
分開記錄：
- 觀察：目前權限設定允許哪些身分？
- 推論：這種設定可能造成什麼損害？
- 驗證：指定時間與測試條件下，哪些存取成功或遭拒？
修正後可能仍有其他風險，例如資料先前已被複製。控制措施實施後剩下的風險，稱為 Residual Risk（殘餘風險）；不能只因設定已改，就宣稱風險歸零。
小檢核
小檢核：私人作答資料夾被誤設成任何取得連結的人都能閱讀，但目前沒有找到陌生人的存取紀錄。
請指出一項資產、一項弱點、一個可能的威脅事件。現在能不能直接說「資料已被竊取」？為什麼？
概念 Q&A
待補：收到相關問題後，會整理為匿名教學版。