M01-07 · 風險管理、事件應變與法規標準

Risk Management · Incident Response · Laws & Standards

Module 01：Introduction to Ethical Hacking（道德駭客入門）

這是 CEH M01 的最後一個學習單元。我們要把前面六堂課的知識串起來，理解一個組織如何真正做好資訊安全。

一、先掌握全貌：資訊安全是一套持續運作的管理系統

本堂課最重要的結論：

資安不是發現漏洞就修補、出現警報就關閉，而是持續判斷風險、採取行動、驗證結果，並改善下一次的決策。

你可以先把整堂課想成三個問題：

補充查證：本表為了入門先從事前預防理解風險管理；事件處理中與事後仍要持續評估風險，不是等下一次事件才重新開始。NIST 事件應變

另外還有一個貫穿全程的觀念：

Continuous Improvement（持續改善）：利用每次檢查、演練與事件的經驗，改善未來的防護與管理。

以下用四張 SVG 圖解，逐步建立這些概念之間的關係。

SVG 圖解 ①｜資安管理的完整決策循環

開啟原圖，放大閱讀下載原始 SVG

請沿著圖中的箭頭閱讀：

風險管理 → 事件應變 → 改善治理 → 回到風險管理。

例如，一間醫院發現自己的病歷系統存在安全問題：

平常，資安團隊會評估病歷可能外洩的風險，並安排存取權限控管。某天，如果出現不正常的大量下載，資安團隊就必須調查，確認是否涉及未授權存取。

即使事件處理完畢，工作仍然沒有結束。

團隊還要追問：為什麼原本的權限控管沒有阻止這個問題？偵測機制是否太慢？是否應該修改制度？

這些答案又會影響下一輪的風險管理。

因此，資訊安全的終點不是「修好問題」，而是讓整個系統變得更可靠。

二、Risk Management：如何知道哪些漏洞最值得先修？

1. 先從四個重要名詞開始

假設你是一間醫院的資訊安全工程師。

你要記住其中的因果關係：

有弱點，不代表有人利用；有人利用，也不代表每次都造成相同程度的損失。

例如，你發現兩個資料夾的權限都設錯了。

第一個放的是公開活動海報，第二個放的是患者的私人病歷。

雖然技術上的設定錯誤相同，但是潛在損害差異很大。

這就是風險管理不能只看漏洞數量的原因。

SVG 圖解 ②｜風險評估矩陣與四種處置方法

開啟原圖，放大閱讀下載原始 SVG

2. 如何評估風險？

初學者可以先使用一個簡化模型：

Risk ≈ Likelihood × Impact

也就是：

風險 ≈ 發生可能性 × 影響程度

假設我們用 1～5 分評估兩個問題：

這個例子讓我們看到：

即使發生可能性相同，資料的重要程度不同，也會讓風險優先順序改變。

但請注意：這只是教學用的簡化評分方法，不是 NIST 規定所有組織都必須使用的公式。實務上還要考慮系統暴露程度、威脅能力、現有安全控制及評估的不確定性。

3. 發現風險後，只有「修補」這一種選擇嗎？

不是。

NIST 將風險回應整理成接受、避免、降低、分擔與移轉等方式。NIST Computer Security Resource Center

我們用醫院的例子來理解。

Mitigate（降低風險）

醫院發現病歷資料夾權限設錯，因此重新設定權限，增加多因素驗證（MFA），並監控異常下載。

這些措施可以降低風險，但不能保證風險完全消失。

Avoid（避免風險）

醫院原本計畫建立一個不必要的公開病歷下載功能。評估後發現風險過高，決定取消這項功能。

這樣可以避免該功能引入的特定風險，但代價是失去部分便利性。

Transfer／Share（移轉／分擔風險）

醫院購買資安保險，並與外部服務供應商約定事故責任分工。

這可以分擔部分經濟損失，但醫院仍然必須履行自己的資安與法定責任。

Accept（接受風險）

有一個內部舊系統暫時無法升級。經過評估，負責人決定在特定期限內接受其殘餘風險，並採取其他補償性控制措施。

但接受風險必須有適當授權與紀錄，且不能用來逃避法律義務。

4. Residual Risk（殘餘風險）是什麼？

假設醫院已經修正病歷資料夾權限。

現在未授權存取的可能性降低了。

然而，還有兩個問題：

第一，修正之前，是否已經有人下載過資料？

第二，現在的權限設定是否仍可能受到其他安全問題影響？

這些尚未消除的風險，就是殘餘風險。

補充查證：殘餘風險是採取控制後仍存在的風險。「先前是否已被下載」是待查證的事件事實；若已有副本流出，修正權限仍無法消除其後續被使用或散布的風險。NIST residual risk

CEH 考試記憶重點：

Vulnerability Severity（漏洞嚴重度）不等於 Risk Level（風險等級）；修補完成也不代表 Residual Risk（殘餘風險）為零。

三、Incident Response：看到資安警報，應該怎麼辦？

先記住一個重要觀念：

資安工程師的責任不是立刻認定有人入侵，而是根據證據判斷發生了什麼事，再採取適當措施。

1. Event、Alert、Incident 有什麼不同？

假設某個醫院員工帳號，在凌晨兩點下載了 500 份病歷。

這時候，我們要區分三個概念。

可能出現兩種情況。

情況 A：合法備份

經過調查，發現這個帳號是經過授權的備份服務帳號，每天凌晨都會執行備份。

因此，大量下載可能是正常工作。

情況 B：未授權存取

調查發現，下載者使用了已離職員工的帳號，而且該帳號不應該繼續擁有病歷存取權限。

這時就有充分理由啟動相應的資安事件處理程序。

注意：我們需要證據支持判斷，而不是依靠想像。

SVG 圖解 ③｜從告警到事件應變的完整流程

開啟原圖，放大閱讀下載原始 SVG

2. 如果確認發生資安事件，接下來呢？

最容易混淆的三個動作是：

Containment（圍堵）

目的是防止傷害繼續擴大。

例如：確認某帳號遭到入侵後，依事件處理程序限制該帳號存取病歷系統。

這個動作不一定能解決入侵的根本原因，但可以減少持續損害。

Eradication（根除）

目的是處理已確認的入侵原因或惡意項目。

例如：確認攻擊者利用尚未修補的系統弱點取得存取權限，便需要修補弱點、處理被入侵的帳號及其他受影響元件。

Recovery（復原）

目的是讓系統回到可靠、可正常使用的狀態。

例如：確認帳號權限已恢復正確，病歷系統可以正常提供服務，且沒有發現未解決的惡意活動。

這三個動作的差別，可以用火災來記憶：

重要取捨（Trade-off）

如果醫院的病歷系統遭到攻擊，立即關閉整套系統或許能阻止部分攻擊行為，但也可能讓急診醫師無法取得必要資訊。

因此，事件處理必須同時衡量：

安全風險、證據保全、服務可用性，以及病人的安全。

不是每次都應該直接關機、刪除檔案或全面中斷網路。

3. NIST SP 800-61 的新舊版本差異

這裡是 CEH 學習時需要特別留意的地方。

舊版 NIST SP 800-61 Rev. 2 常用四個階段說明事件應變：

Preparation → Detection & Analysis → Containment, Eradication & Recovery → Post-Incident Activity

這個模型仍然適合初學者理解事件處理的工作。

不過，NIST 已於 2025 年 4 月 3 日正式發布 SP 800-61 Rev. 3，取代 Rev. 2。

新版將事件應變整合進 NIST CSF 2.0：Govern、Identify、Protect 等活動提供平時的風險管理與準備；Detect、Respond、Recover 則構成新版事件應變生命週期的核心，並透過持續改善回饋組織。NIST Computer Security Resource Center

因此：

舊版四階段可以幫助理解工作流程；新版則更強調事件應變與整體風險管理的整合。

遇到 CEH 考題時，應辨認題目採用的模型與版本。

四、NIST CSF 2.0：如何用一張地圖管理整間公司的資安？

我們已經知道如何評估風險，也知道遇到事件時如何處理。

但如果你是醫院的資訊長，應該如何確認整個組織的資安管理是否完整？

這就是 NIST Cybersecurity Framework（CSF，資安框架）能發揮作用的地方。

SVG 圖解 ④｜NIST CSF 2.0 六大功能與法遵架構

開啟原圖，放大閱讀下載原始 SVG

1. 六大功能如何理解？

NIST CSF 2.0 於 2024 年發布，將 Govern 加入核心功能，從舊版五大功能擴充為六大功能。六個功能並不是必須依照順序完成的六個步驟，而是組織持續運作的資安管理面向。NIST

2. 為什麼 Govern 特別重要？

想像你是一間醫院的資安工程師。

你發現某個病歷系統有高風險弱點。

但是修補系統需要停機兩個小時，可能影響醫療服務。

這時候，單靠工程技術無法決定一切。

你還需要知道：

誰有權批准停機？哪些醫療服務不能中斷？是否有替代作業方式？誰負責接受修補前的風險？

這些都是 Govern（治理）必須處理的問題。

治理並不只是管理階層簽文件，而是建立清楚的責任、決策權限與監督機制。

五、法律、標準、框架：有什麼不同？

這是 CEH 很容易混淆的概念。

我們用醫院來理解四種不同的要求。

但這不是絕對互斥的分類。例如，原本屬於標準的要求，也可能因為法律、契約或採購條件而成為特定組織必須履行的義務。

1. ISO/IEC 27001 到底在驗證什麼？

ISO/IEC 27001:2022 是資訊安全管理系統（Information Security Management System，ISMS）的國際標準。

它關注的不是單一防火牆或單一軟體，而是組織有沒有建立、實施、維持及持續改善資訊安全管理制度。ISO

例如一家醫院可能需要證明自己有制度化地管理：

資產、資訊安全風險、人員責任、存取權限、事件處理，以及持續改善措施。

但要特別注意：

通過 ISO/IEC 27001 驗證，不等於每一套系統都沒有漏洞。

驗證有其適用範圍，而且管理制度有效運作，也不代表資安事件永遠不會發生。

2. PCI DSS 是什麼？

PCI DSS 全名為 Payment Card Industry Data Security Standard。

這是一套聚焦支付卡帳戶資料安全的產業標準。

例如醫院提供信用卡繳費功能，就可能需要評估相關支付系統與服務供應商的 PCI DSS 適用範圍。

它不只涉及直接儲存卡號的系統，也可能包含能影響持卡人資料環境安全的服務。PCI Security Standards Council

因此，不能只因為付款服務已委外，就直接假設醫院完全沒有相關責任。

3. 臺灣的資安法律呢？

以臺灣為例，可以先認識兩項法律。

《個人資料保護法》主要規範個人資料的蒐集、處理與利用，並涉及相關保護義務。值得注意的是，2025 年修正的部分條文有尚未生效的情況，必須依查詢時實際施行的條文判斷。National Legal Database

補充查證（2026-10-29）：全國法規資料庫仍標示部分修正條文尚未施行，應同時核對生效狀態與已施行條文。個人資料保護法

《資通安全管理法》則針對公務機關與法律規定的特定非公務機關建立相關資安管理要求，不能直接假設所有民間企業都屬於相同的適用範圍。law.moda.gov.tw

補充查證：2025-09-24 修正公布的資通安全管理法全文 35 條，已於 2025-12-01 施行；義務仍須依組織是否屬法定適用對象判定。數發部法規沿革

這裡最重要的學習觀念不是背誦所有法條，而是建立一套判斷方式：

先確認組織、資料、業務活動與所在地，再確認適用法律、契約、標準及通報義務。

六、Information Assurance：資訊保證是什麼？

在 M01-01，我們已經學過 CIA Triad：

Confidentiality（機密性）、Integrity（完整性）、Availability（可用性）。

Information Assurance（資訊保證）除了這些資訊安全目標，也涵蓋身分驗證（Authentication）與不可否認性（Non-repudiation）等概念。NIST Computer Security Resource Center

我們可以用電子病歷簽署來理解。

醫師簽署一份電子病歷時，系統可能需要確認使用者身分、確保內容沒有遭到未授權更改，並留下可以查核的簽署證據。

不可否認性不是指任何人都絕對無法否認自己的行為，而是指系統能提供適當的技術證據，協助確認行為或資料來源。

例如數位簽章可以用來驗證資料的完整性與簽署來源，但實際爭議仍需要考慮金鑰管理及其他證據。

七、完整實戰案例：Northstar 平台出現大量下載

假設你加入一家名為 Northstar 的公司，擔任初階資安工程師。

公司提供客戶儲存私人文件的服務。

某天上午，你收到以下告警：

帳號 user017 在十分鐘內下載了 450 份文件，超過平常的使用量。

這是虛構教學情境。

第一個問題：這是否已經構成資安事件？

現在還不能確定。

我們只知道系統觀察到大量下載，而且監控工具產生告警。

你需要調查這個帳號是否具有存取權限、下載內容為何，以及操作是否符合正常業務情況。

第二個問題：如何整理證據？

建議建立三欄紀錄。

這個方法的重要價值在於：

把事實、推測與決策分開，避免資安團隊在證據不足時過早下結論。

第三個問題：AI 可以提供什麼協助？

假設你使用 AI 協助整理事件資料。

AI 可以把不同來源的紀錄整理成時間線，協助比較異常行為，並摘要可能需要進一步查證的問題。

但不應該只因為 AI 回答「這是高風險事件」，就直接宣告資料外洩。

模型可能誤解時間、混淆不同帳號，甚至補出原始紀錄中不存在的細節。

因此，必須回查原始日誌，保留證據來源，並遵守組織對機敏資料與 AI 工具的使用規範。

第四個問題：事件處理完畢後呢？

假設最後證實某個離職員工的帳號沒有正確停用。

你修正了帳號權限，也確認不正常的存取行為已停止。

接下來還需要調查：

為什麼離職流程沒有停用帳號？其他離職帳號是否也存在類似問題？未來要如何自動檢查？

這些改善措施會重新進入風險管理流程。

從這裡就可以看出：

真正成熟的資安工作，不只是修好受影響的帳號，而是消除流程缺口，降低同類事件再次發生的可能性。

八、CEH M01-07 考前重點整理

這一課建議優先熟悉以下觀念：

星等是本課依基礎性、常見考題情境及跨章節重要性所做的教學排序，並非 EC-Council 公布的正式配分比例。

從整個 CEH M01 的角度，現在可以把已學過的內容串成一條完整主線：

CIA 安全目標 → 資產、威脅與弱點 → 合法授權 → 攻擊面 → 攻擊行為模型 → 安全控制 → 風險管理與事件應變。

這條主線就是你在後續 M02～M20 學習各種攻擊與防護技術時，可以反覆使用的概念地圖。

SVG 圖解下載

四張圖均為可縮放的 SVG 向量圖，適合放大閱讀、列印或匯入支援 SVG 的繪圖工具。

出版校訂：本次收到四張 SVG，請使用各圖下方的下載連結；主稿所述 ZIP 與 PNG 套件未提供，因此不列為可下載檔案。

九、理解檢核：用一個案例確認是否真的理解

請先不要查答案，試著用自己的話回答。

情境：

某醫院已通過 ISO/IEC 27001 相關驗證。

某天，醫院的資安系統發現一個帳號在凌晨大量下載患者病歷。

資訊主管說：

「我們已經通過 ISO/IEC 27001 驗證，所以應該不可能發生資安事件。把這個告警關閉就好了，不需要再調查。」

請回答以下四題：

1. 風險管理： 這個情境中的 Asset、Threat、Vulnerability、Risk 分別可能是什麼？哪些只是尚待查證的假設？

2. 事件應變： 為什麼不能只憑大量下載就宣告資料外洩？你會優先取得哪兩類證據？

3. 法律與標準： 為什麼醫院通過 ISO/IEC 27001 驗證，不代表一定沒有發生資安事件？是否需要通報，應如何判定？

4. NIST CSF： 如果最後確認是離職員工帳號未停用，你會如何運用 Identify、Protect、Detect、Respond、Recover 與 Govern，改善整個事件處理與管理制度？

這四題能檢查你是否已把 M01-07 的三個主要領域整合起來。 你回答後，我會逐題評估，指出已經理解的部分、推理上的缺口，以及 CEH 考題可能如何改變情境來測試相同觀念。

問題 1 參考解答｜風險管理：先把已知與假設分開

Asset 是病歷資料及相關服務。可能的 Threat 是未授權讀取；可能的 Vulnerability 是離職帳號未停用或權限過寬，但題目還沒有證實。Risk 是未授權存取造成隱私、服務及信任損害的可能性與影響。大量下載是觀察，不是直接證實弱點或外洩。

問題 2 參考解答｜事件應變：先查授權，再查實際活動

大量下載也可能是合法備份。優先核對兩類證據：一是帳號身分、權限與業務核准紀錄；二是原始存取／下載日誌（時間、來源、資料範圍與結果）。必要時依程序保全證據、採取比例適當的圍堵，不必等完全確定才處理合理懷疑。

問題 3 參考解答｜法律與標準：通過驗證不代表永遠安全

ISO/IEC 27001 驗證有特定範圍，關注管理制度，不能保證每個系統零漏洞。通報要依組織、資料、事件事實、適用法規與契約、法定門檻及期限判斷，由指定權責人員處理，不能單憑「有驗證」或「有告警」決定。

問題 4 參考解答｜CSF：不是只停用一個帳號

Identify 盤點資產與離職帳號；Protect 改善停權與最小權限；Detect 偵測異常下載；Respond 調查、圍堵與協調通報；Recover 驗證服務與資料可靠性；Govern 決定責任、風險接受與監督制度。這些面向會相互回饋，不是只能照順序做一次。

參考答案是補充教材，公布答案不代表讀者已作答或已理解。只在合法授權範圍內進行案例演練。