建構可依組織狀態調整的風險管理方法與系統之研究

行政院國家科學委員會專題研究計畫 成果報告

建構可依組織狀態調整的風險管理方法與系統之研究 研究成果報告(精簡版)

計 畫 類 別 ： 個別型

計 畫 編 號 ： NSC 98-2221-E-011-093-

執 行 期 間 ： 98 年 08 月 01 日至 99 年 10 月 31 日 執 行 單 位 ： 國立臺灣科技大學資訊管理系

計 畫 主 持 人 ： 查士朝

計畫參與人員： 碩士班研究生-兼任助理人員：林珮妤 碩士班研究生-兼任助理人員：俞柏丞 碩士班研究生-兼任助理人員：林宸竹 博士班研究生-兼任助理人員：傅雅萍

報 告 附 件 ： 出席國際會議研究心得報告及發表論文

處 理 方 式 ： 本計畫可公開查詢

中 華 民 國 99 年 12 月 18 日

(一) 研究目的

近年來，企業紛紛建立資訊安全風險管理制度，一方面來說，資訊安全風險 管理程序是許多資訊安全管理制度標準當中不可或缺的一環，像是  ISO 27001 [1] 

當中即要求企業或組織在建立資訊安全管理制度時，應該先要建立風險評估方法，

並且對於企業的資訊安全風險進行評估，而採用合適的方法去因應這些風險，並 且確保這些因應措施的有效性。在像是我國政府要求政府單位要依循  ISO 27001  建立資訊安全管理制度的同時，許多單位已經開始建立風險管理制度。而在另一 方面，資訊安全風險管理提供一套系統化的方法，讓企業或組織可以識別可能發 生的資訊安全風險，評估這些風險的強度，並採用最有成本效率的方法去因應這 些風險。也因此，即便沒有法規的要求，許多企業或組織也紛紛開始建立其風險 管理制度。 

然而，就風險管理程序或方法來說，近年來有相當多風險管理程序或方法的 出現，也有一些學者開始建立比較標準  [2][3][4]。以便企業或組織能夠在一個統 一的基準下，去選擇所需要的風險管理方法或工具  [5]。而在另一個方面，企業 在成長的過程中，也有可能會需要調整自己的風險管理方法，使其更能夠滿足自 身的需求。 

        從另一個角度來看，有關資訊安全風險的研究，也從最早一般採用針對資安 事件評估其年期望損失的概念  [6]，到實作上因為資料取得困難因此多半採用定 性或半定量的風險評估方法[7][8]。而近年來隨著一些研究單位開始收集到一些 資訊安全事件的統計資料，而又有許多研究開始發展定量風險評估及風險值運用 的作法  [9]。基本上，風險是對於企業未來所可能發生意外事件的預測與推估，

因此，當有越來越多的意外事件歷史資料可取得時，就能夠對於風險評估的結果 有更多的回饋，而可進一步調整風險評估方法而讓企業或組織能夠更精準的掌控 到所面對的風險。因此，對於一個企業在導入風險管理制度時，可能正如近年風 險管理研究的發展趨勢一般，可能一開始因為資料不足，只能採用比較不精確的 方法，但是隨著資料的累積，往往能夠將風險管理方法進行調整。 

        就目前的資訊安全風險管理研究而言，多半沒有考慮到企業或組織未來風險 管理方法調整的情況。而造成企業或組織有需要調整風險管理方法時，發現不知 道該怎麼做調整、擔心調整以後過去的資料無法使用，或是可能會需要投入很多 的成本將過去資料作轉換的情況。有鑑於此，本計畫提出一個考量組織未來會調 整風險管理方法的作法，而讓企業或組織在調整風險管理方法時，仍然能夠運用 到過去累積的資料。 

(二) 研究方法

圖  1.  本計畫所採用之研究方法   

        圖  1  顯示本計畫所採用的研究方法，本計畫的著眼在於能夠產出一套能夠 因應各種不同資訊安全風險管理方法需求的方法與系統，因此首先須要了解目前 的風險管理方法  (A)，如  (3.1)  節所述，本計畫探討近年來資訊安全風險管理之 重要論文與研究方法，而分別去界定其共通的資料  (B)  與功能需求  (C)。並進一 步定義基礎的資料類別  (E)  與功能規格  (F)。而在另一方面，為了要有更具體驗 證結果，也會訪談風險管理需求  (D)，並且選擇示範情境  (G)。 

        而在系統的實作上，我們實作了核心的類別與介面，並且只需要透過外掛的 方式，就可以套用不同的方法。而目前分別是實作了基線法  (供教育部  RFID  校 園安全計畫情境)  與定性風險評估方法  (供勁承經管科技顧問有限公司、惟新科 技股份有限公司、以及財團法人國家資訊基礎建設發展協會依其需求調整使用)  的風險評估工具  (H)。而目前已在  RFID  應用系統的風險評估上，撰寫國際期刊 (投稿審查中)與會議論文(已接受) (J)。另外，也透過在合作企業的試用，去對系

統去

(三

(3.1         料庫 Scie (SSC Proc 有 2 論文 成長  

        圖  方法 全風 年來 對於

去進行調整

三) 文獻探

1)  資訊安全

  若以  ”Inf 庫做主題式 ence Citatio CI)、Confer ceedings Ci 289 篇符合 文可能尚未 長之趨勢。

  而透過將 2，我們可以 法為主，並且 風險。而此時 來有關於如 於企業或組

整，以便能夠

探討

全風險管理近

formation se 式的搜尋，其 n Index Exp rence Proce

tation Index 合條件之文獻 未建入索引庫

圖

將上述論文的 以發現對於 且從之前比 時風險分析 如何用更精確 組織的影響。

夠取得回饋

近年研究趨

ecurity”與 其期間設為 panded (SCI edings Citat x‐ Social Sci 獻，其各年 庫外，近年來

圖  2.  風險管

的引用與被 於資訊安全風 比較偏重於網 析的主流是以

確的量化模 乃至於更進

饋。 

趨勢 

“risk”  為關 為 1999 年至

‐EXPANDED tion Index‐

ience & Hum 年份發表的篇 來有關於資

管理期刊論

被引用關係進 風險管理的 網路等技術 以定性分析 模型去衡量風 進一步的被

關鍵字，對 至 2009 年，

D)、Social S Science (CP manities (C 篇數如圖 2 資訊安全風險

論文數走勢圖

進行主要路 的研究，在 術上的安全議 析方法為主

風險，而能夠 被運用來做為

WOS (Web 其涵蓋的期 Sciences Cita

PCI‐S)及 Con PCI‐SSH)。搜

。由此可知 險管理之期

圖 

路徑分析，其 1990  年代 議題，到開

。而隨著資 夠更具體的 為尋找最佳

b of Science 期刊皆屬於

ation Index  nference  搜尋結果總 知，除  2009 期刊論文有逐

其結果可呈現 代是以定性研 開始討論人為

資料的累積 的呈現資安事 佳資訊安全控

)  資 於

總共 9  年 逐漸

現如 研究 為安

，近 事件 控制

措施 法的 進行  

  (3.

      式 一 資 協 一       (St 計 業 步

施對策的投 的時候，不會 行整合運用

.2)  新巴賽爾

    在資訊安 式，正可做為 一步強化及穩 資本之計算與 協定) [10]。而 一個基礎。 

    巴塞爾 2 tandardized 計算金融機構 業毛利  (僅取 步考量到業務

投資評估  [9]

會被原先採 用。 

圖 2.  資

爾作業風險

安全領域之 為設計依組 穩定金融體 與自有資本 而作業風險

2 協定建議 d Approach) 構的風險。

取營業毛率大 務別的差異

]。而本計畫 採用的方法所

資訊安全風

險管理 

之外的金融領 組織資源累積 體系，巴塞爾 本標準之國際 險，是提供銀

議可以採用基 )，或進階衡 首先，就基 大於零的年 異，而將業務

畫的產出，

所綁死，而

風險管理的主

領域，巴賽爾 積而調整風 爾銀行監理 際通則：修 銀行或金融

基本指標法 衡量法  (Ad 基本指標法 年度)  之平均

務分成三類

可提供企業 而能將採用不

主要路徑分

爾  2 協定中 風險管理制度 理委員會於 修正版架構

融機構據以計

法  (Basic Ind vanced Me 法來說，主要

均值乘以  1 類，而對不同

業在使用不 不同風險評

分析  [9] 

中對於作業 度方法的參 2004  年提 (也就是俗稱 計算自身最

icator Appr asurement  要是以金融

15%。而標準 同的類別，

不同風險評估 評估方法的資

業風險的計算 參考。為了更 提出了銀行自 稱的新巴賽 最低資本要求

roach)、標準 Approach)  融機構前三年 標準法，則進

可以採用不 估方 資料

算方 更進 自有 賽爾

求的

準法  來 年營 進一

不同

的比率  (12%、15%，或  18%)，來計算風險值。就基本指標法或標準法來說，

計算的基礎是來巴塞爾銀行監理委員會所定義出來的規則。而就進階衡量法來 說，各組織可以依照本身所建立的損失資料，而採用如內部衡量法(Internal  Measurement Approach)  或損失分配法(Loss Distribution Approach)，去預估各業 務在不同類別損失事件上的風險值  [11]。 

        這樣的作法其實是可供借鏡的：金融機構一開始，可以先使用基本指標法來 做衡量作業風險。而在將本身業務分類調整成為巴塞爾 2 協定的八大業務分類  (或是將本身業務與該分類對應)，則可進一步轉到標準法，而對不同業務類別有 不同的考量。之後，如果累積了足夠的資料  (必須累積三到五年的損失資料)，則 可以依本身的損失資料採用進階衡量法的方式去做精確的預估。然而，巴賽爾  2  協定是針對金融業的風險管理規範，本計畫則著重在如何能夠提供一個架構與工 具，來讓企業或組織當要依這樣的精神調整本身的風險管理方法時，能夠事半功 倍。 

(3.3)  資訊安全風險評鑑的主要作法   

        資訊安全風險管理，主要是要識別出對管理標的可能發生的意外事件，並依 照該事件發生之損失與機率，去採用最具有成本效益的方式，去控管這些事件。

而風險管理，就可以分成風險識別、風險評估、風險處理，以及風險監控  [7][12]。

本計畫著重在風險的識別和評估上。而從文獻中可以發現，風險識別主要可以分 為基準法、風險樣板、腦力激盪，與歷史資料等： 

        首先，基準法是藉由和已經建立的一套標準做比較  [13]，而如果沒有做到 就代表有風險。ISO 27001  會需要依照  ISO 27002  的  133  項控制措施，評估是 否適用以及執行情況，就是基準法的精神；而風險樣板的方式，則是使用者依照 過去所提供的風險類型為基礎去評估，像是  OCTAVE [14]  就提供了威脅樹，要求 分別考慮人員經由網路或實體，因為故意或非故意，或是因為軟體缺陷、惡意程 式、系統損毀或是硬體缺陷，而造成資產的資訊洩漏、竄改、資料損毀，或服務 中斷，作為使用者評估風險的基礎，或是關鍵資產發生供電等問題；腦力激盪法 主要是提供一套系統化的方式，讓組織的成員可以識別出風險，舉例來說，CORAS  提供了用  UML  為基礎的方法，以便於組織的成員可以進行腦力激盪；也有像是  Hoo  使用  CSI/FBI  安全調查的常見資訊安全風險  [16]，以作為風險識別與分析 的參考。 

        在風險辨識後，接下來就要進行風險值的評估，過去一般會將是否有一個量 化的數值而基本上分為定性與定量的作法。而更進一步探究其作法，可以分為成 熟度等級或檢查表、經驗法則，與歷史資料等方式。成熟度等級或檢查表方法通

常會依據基準法所辨識之結果，而去評估與基準或特定控制項目的差異或是成熟 度。像是  [17]  就是使用  ISO 17799  的控制項目去比對組織目前的資安狀況，而 給與一個分數。而目前一般風險評估通常採用經驗法則的方式，也就是由有經驗 的人員或專家去進行評估，像是  ISO 27005 [1]  當中，即舉出許多依照經驗去評 估可能發生意外事件之機率與損失的方式。最後，歷史資料方法使用過去風險發 生的歷史資料去進行評估，像是  [16]  就使用  CSI/FBI  報告所累積的歷史資料，

去計算出資安事件的發生機率與損失。 

        事實上，就一個組織開始要導入資訊安全風險管理制度時，最容易上手的就 是使用基準法，並運用檢查表去評估差異；而樣板法或腦力激盪法，提供了一個 系統化的方法來找出風險，但若缺乏歷史資料，就只能如目前大部分的企業一般，

只能使用經驗法則來評估風險；歷史資料法雖然能夠更加客觀的評估風險，避免 人為疏失的可能，然而因為企業會視資安資料為機密，歷史資料往往很難取得，

像  CSI/FBI  的調查，在  2000  年以後就不再公布最終統計資料外的細項，因此，

企業常會需要去自行累積這些資料。而本計畫正可提供一個風險管理的框架，讓 企業或組織能夠在這個框架底下，先依自己能力採用最適當的方法，之後再逐步 調整。 

(四) 結果與討論

      在企業或組織轉換風險評鑑方法的過程中，這會牽涉到兩個問題：(1)  如何 利用風險資料來做風險的分析；(2)  所使用的工具或方法要能夠考量到這樣的切 換。就前者來說，因為目前尚未有足夠的資料可做分析，因此目前以後者的問題 為思考的焦點。過去的風險評鑑資料應該要能夠保留，以便未來能夠檢視，而本 計畫所提出支援組織隨資料累積而調整風險評鑑方法之技術，即考慮到： 

 能夠切換不同種類的風險識別與評估方法 

 在切換的過程中，能夠保留過去的評鑑資料，以做為未來的參考 

 考慮到系統的延展性，可以很容易地抽換不同模組   

而會使用兩層式的架構來達到這樣的目的： 

 在資料層定義風險評鑑所需要的基本資料 

 在流程層定義基本的元件   

        就資料層部分，首先要定義風險評鑑的共通或基本資料類型，此處我們使用 

COSO ERM  標準  [18]  對於風險的概念，該標準的目的之一，是要能夠管控企業 所會面對的各種風險，因此，正好可用來做為描述不同種類風險的框架。首先，

在  COSO ERM  標準當中，風險的概念是跟隨著目標，也就是將可能影響到目標 達成的意外事件視為風險。因此，如圖  3  所示，本計畫首先定義目標，而目標 本身會有些對應的指標，以表示目標的具體衡量方式，像是系統中斷次數在三次 以下等。因此，會針對目標去設定衡量目標達成情況的「指標」，而指標的呈現 就是針對該目標在特定指標上的「衡量結果」。一個風險本身就會是會對目標造 成「預期影響」的「可能發生之意外事件」。而一次「風險評鑑」的活動，就是 要識別出這些可能發生之意外事件，並且估計其預期影響。從而採用相對應的「風 險處理」，去控制這些風險。除此之外，為了能夠驗證風險評鑑的結果，也會需 要連結到實際發生的「意外事件」，並看這些意外事件所造成的影響。 

  圖  3.  基礎資料類型 

        圖  4  與圖  5  分別為將這樣的基礎資料結構套用在基準法結合成熟度等級 與資產導向風險評鑑方法上。首先，如果採用基準法，則目標就是要達成在基準 法所列出的「控制目標」，這些目標可能會分屬不同的「控制領域」。而對這些控 制目標來說，都有所謂的「成熟度等級」達成要求。如果一個企業沒辦法達到這 些控制目標或是符合成熟度等級的要求，這中間的差異，就是企業或組織的風 險。 

        如圖  5  所示，一般資產導向的作法會依照「資訊資產」，而由資訊資產的類 別，去建立一些「威脅樣板」與「弱點樣板」。乃至於提供「建議的控制措施」。

而也有可能將很多個資訊資產建立一個「資產群組」來進行評鑑，以簡化評鑑程 序。而依照各資產，就可依其類別，比對相關的樣板，而找出當威脅利用到弱點 時所可能發生的「潛在安全意外」。而從另一個方面來看，資訊安全的目標是要 確保組織資訊資產的「機密性」、「完整性」，與「可用性」。而其風險，就是從這 些潛在安全意外當中，去找出對機密性、完整性、可用性的「預期衝擊」。 

圖 4.  基準法結合成熟度等級的資料類型   

圖  5.  資產導向風險評估方法資料類型   

        圖  6  顯示系統的主要功能與流程，這主要可以分為「系統管理」與「風險 管理」兩大類。在系統管理部分，首先是要設定所要使用風險管理相關功能的模 組，並且可以調整使用者的版面。除此之外，也可以設定與管理使用者的身分及 認證資訊，並且設定與管理使用者的權限，以便能夠對於使用者進行認證與存取 控制。 

        而就風險管理方面，主要是依照  ISO 27005  等風險管理方法，去釐清主要 的資訊安全風險管理程序，而讓使用者可進行以下的操作： 

 風險評鑑：這主要發生在  (a)  企業或組織例行性評鑑對於目前資安風險的掌 控；(b)  企業或組織定期或不定期執行風險評鑑。而可系統提供企業一個介 面，可以透過前述的設定方式，去選擇要採用的風險評鑑方式。 

 風險處理：對於風險評鑑的結果，企業或組織可以依照目前所選定的介面，

設定要如何進行處理。 

 風險現況：企業或組織可以瀏覽以目前所選定的方法所評鑑出之風險狀態。 

 風險檢視：除了瞭解風險現在的狀況外，也可以對於過去的風險評鑑的結果 進行檢視，以便能夠對於前次風險評鑑的結果進行瀏覽與追蹤。 

 風險追蹤：讓稽核或相關人員瀏覽先前的風險處理方式，並且對於這些處理 方式進行追蹤。 

 損失資料：能夠讓企業或組織輸入其損失資料，以便能夠與風險評鑑之結果 進行比對。 

 風險指標：將企業的目標具體化為量測數值，已編能夠呈現風險管理之成 果。 

圖  6.  系統的主要功能與流程   

        為了呈現這樣的效果，本計畫除了建置核心模組外，也分別提供了兩個模組：

首先，本計畫結合基準法的風險辨識結合檢查表的方法，而讓使用者以評估是否 有做到特定控制措施來作為風險  (如圖  7)，此系統被運用在  RFID  校園安全計畫；

而圖  8  則是先依照資產類別建立風險樣版後，用定性法分別針對機密性、完整 性，與可用性喪失的風險進行評估，此系統除了置於  OpenFoundry  作為開放式 原始碼軟體之外，也提供如被勁承經管科技顧問有限公司、惟新科技股份有限公 司、以及財團法人國家資訊基礎建設發展協會等企業採用，並已簽暑合作意向 書。 

(五 [1] 

[2] 

[3] 

[4] 

五) 參考文

ISO/IEC (20 security m Standard  Anderson A

the Sevent

Gap. In Pro National C Garrabrant Evaluation

Proceeding

圖 7

圖 8.

文獻

005) Informa anagement

AM (1991) C

th Internatio

oceedings o

s WM, Ellis   Method fo

gs of the 6th

Society Pre

. 基準法結

風險樣板結

ation techn t systems ‐ r

Comparing r

onal Confer

sk Analysis 

of the 1986 N

ecurity Cent AW, Hoffm or Risk Mana

h Annual Co

結合檢查表的  

結合定性法

ology ‐ secu requiremen

risk analysis

rence on Info

and Compu

National Co

an L J, Kam agement M

omputer Se

‐257. 

的風險評估

法評估方法之

urity techni nts. ISO/IEC 

s methodolo

formation Se

uter Security

omputer Sec

el M. (1990 Methodologi

curity Appli

  估實作

之實作

ques ‐ infor 27001:2005

ogies. In Pro

ecurity (IFIP

y: Bridging t

curity Confe

0). CERTS: A  es and Tool

ications Con

rmation  5 Internatio

oceedings o P/Sec’91). 

the Cultura

erence, 

Comparativ ls. In 

nference. IE

of 

l 

ve 

EE 

[5] Vorster A, Labuschagne L (2005). A Framework for comparing different 

information security risk analysis methodologies. In Proceedings of the SAICIT. 

[6] U.S. Department of Commerce (1979) Guidelines for automatic data processing  risk analysis. FIPS Publications 65 

[7] ISO/IEC (2008) Information technology ‐ security techniques ‐ information  security management systems ‐ Information security risk management. ISO/IEC  27005:2008 International Standard. 

[8] Cha SC, Juo PW, Liu LT, Chen WN (2008) RiskPatrol: A risk management system  considering the integration risk management with business continuity processes, 

In Proceedings of IEEE International Conference on Intelligence and Security  Informatics (ISI 2008), pp. 17‐20 June, pp:110 ‐ 115. 

[9]  林珮妤，依引文關係來作為技術發展趨勢分析之方法  ─  以資安風險管理研 究為例，碩士學位論文，民國九十九年。 

[10] Basel Committee on Banking Supervision (2004) Basel II: International  Convergence of Capital Measurement and Capital Standards: a Revised  Framework. http://www.bis.org/publ/bcbs107.htm. 

[11]  資誠企業管理顧問有限公司  (2007).  銀行風險管理實務範本─作業風險管 理分論及案例彙編. 

http://www.ba.org.tw/Basel/Risk/final/%E4%BD%9C%E6%A5%AD%E9%A2%A8%

E9%9A 

%AA%E7%AE%A1%E7%90%86%E5%88%86%E8%AB%96%E5%8F%8A%E6%A1%8 8%E4%BE%8B%E5%BD%99%E7%B7%A8.pdf 

[12] Whitman ME, Mattord HJ (2007) Management of Information Security, 2nd  edition. Course Technology 

[13] ISO/IEC (1998) Information technology ‐ security techniques ‐ management of  information and communications technology security ‐ part 3: Techniques for the  management of IT security. ISO/IEC TR 13335‐ 3 Tecnhical Report. 

[14] Alberts CJ, Dorofee A (2002) Managing Information Security Risks: The OCTAVE  Approach. USA: Addison‐Wesley Longman Publishing Co., Inc, Boston. 

[15] Lund MS, Braber F, Stølen K, Vraalsen F (2004) A UML profile for the 

identification and analysis of security risks during structured brainstormings. 

SINTEF report. 

[16] Hoo KJS (2000) How much is enough: a risk management approach to computer  security. Ph.D. dissertation, Stanford University 

[17] Karabacaka B, Sogukpinarb I (2006) A quantitative method for ISO 17799 gap  analysis. Computers & Security, vol 25, no 6, pp 413‐419.   

[18] The Committee of Sponsoring Organizations of the Treadway Commission (COSO)  (2004) Enterprise risk management ‐ integrated framework. COSO Publications 

計畫







        先，

以及 因為 製化  

畫結果自評

  本計畫之

一篇國內 技術創新 一篇國際 (該會議之 一篇國際 Informatio

而產出的 就定性風險 及財團法人 為都是採用 化。由此可

評

之產出，作為

內會議論文：

新應用研討會 際會議論文：

之接受率為  際期刊論文

on Privacy, S

的相關系統，

險管理上，被 人國家資訊基 用本系統的可 可見在理論於

圖

為本實驗室

：已被接受 會。 

：於  2010  11%) (圖  9

：該會議論 Security and

，也快速的被 被勁承經管 基礎建設發 可調整式模 於實務上，

圖 9. PASSA

室風險管理系

，預計於  2

年  8  月於 9)。 

論文被接受邀 d Integrity

被當作核心 管科技顧問有 發展協會等企 模型，因此可

本計畫皆有

AT 2010 會

系統之核心

2010/12/24

於美國發表在

邀請轉投至 期刊  (圖 

心模組，而被 有限公司、惟 企業採用，並 可以很容易的

有相當不錯

會議之接受率

心，其研究產

4  發表於  2

在  IEEE PAS

至  Internatio 10)。 

被應用在不 惟新科技股

並已簽暑合 的去依企業 錯之成果。 

率

產出如下：

2010  資訊安

SSAT 2010  會

onal Journal

不同的地方 股份有限公司

合作意向書 業的需求而做

安全

會議 

l of 

。首 司、

，而 做客

圖 10. 論文邀邀請

1

國科會補助專題研究計畫項下出席國際學術會議心得報告

日期： 年 月 日

一、參加會議經過

這次參與 IEEE International Conference on Privacy, Security, Risk and Trust (PASSAT-2010)這個 會議.，主要是報告「On Generating RFID Privacy Policies in Consideration of Openness and

Enforcement 」的論文，per，同一期間舉辦的還有另一個 IEEE 研討會：IEEE International Conference on Social Computing(SocialCom 2010)，這 2 個主要的會議，各包含了 4 個子會議，分別陳述如下。

1. IEEE International Conference on Social Computing 2010 (SocialCom 2010) 包括 4 個子會議

 Symposium on Social Intelligence and Networking (SIN 2010)

 Symposium on Social Computing Applications (SCA 2010)

 Workshop on Finding Synergies Between Texts and Networks (SBTN 2010)

 Workshop on Computational Modeling and Discovery in Social Systems (CMDSS 2010)

2. IEEE International Conference on Privacy, Security, Risk and Trust 2010 (PASSAT 2010) 包括 4 個子會議

 Symposium on Secure Computing (SecureCom 2010)

 Symposium on Privacy and Security Applications (PSA 2010)

 Workshop on Privacy Aspects of Social Web and Cloud Computing (PASWeb 2010)

 Workshop on Mission Assurance: Tools, Techniques, and Methodologies (MATTM 2010)

這是一個為期三天 (8 月 20 日到 8 月 22 日)的大型研討會，會議在 Holiday Inn Hotel & Suite 計畫編號 NSC－98-2221-E-011-093

計畫名稱 建構可依組織狀態調整的風險管理方法與系統之研究 出國人員

姓名 ^傅雅萍

服務機構 及職稱

台科大資管系博士生

會議時間 2010 年 8 月 20 日至

2010 年 8 月 22 日 會議地點 Minneapolis, Minnesota, USA.

會議名稱

(中文) 第二屆國際隱私、安全、風險，與信任研討會

(英文) The Second IEEE International Conference on Privacy, Security, Risk and Trust (PASSAT-2010)

發表論文 題目

(中文) 考量資訊公開與落實的隱私權政策撰寫方法

(英文) On Generating RFID Privacy Policies in Consideration of Openness and Enforcement

2

Minneapolis Airport 這間飯店舉行，會議論文的接受率為 11%，由接受率就可以知道能夠被獲選發 表是一件非常困難的事。此次報告的日期是 8 月 21 日，在這期間也聽了其他與會者的報告，在 8 月 20 日聽了第一場 Keynote Speech，主要的 Speaker 是 Dr. Latanya Sweeney，她講的題目是 Trustworthy paradigms for the nationwide health information network，作者主要說明美國恢復再投資 法案，從 2009 年到 2015 年之間的目標是建立一個全國健康資訊網路，除了提供許多政策關注外，

也提供了大量的資金支援，但目前最大的問題在於缺乏如何保護隱私權。作者於這篇論文中介紹 網路資訊創新的範例，提出建立全國性健康資訊網路的方法，同時也提出了最大限度的保障個人 隱私的的方法。然後在 8 月 21 日 聽了一個大陸留美博士班的學生報告的論文，作者報告的題目 是 The Design and Enforcement of A Rule-based Constraint Policy Language for Service Composition，

主要在說明以 IT 服務供應在網路上而言，服務組合是一種新的有效以及具成本效益的範例。組織 為了安全且有效地將服務部署在一個或在多個領域，必須依法律規定執行服務質量（QoS）的要求 隱私和安全政策。作者提出了以 rule-based 的約束政策語言可以用來建立在 graph-based 服務組合 模型上。

從研討會上聽了與會者的報告，可以瞭解其他學者的研究內容及研究的主題與方向，藉而思 考可以延伸的題目。這次在研討會當中也與這幾個大陸的留學生聊了一些未來的出路，他們來自 大陸不同省份，有來自北京，有來自上海，他們雖然在美國讀博士班，但他們最後還是希望回到 中國去，我好奇的問了為什麼不想留在美國找工作呢，他們的回答是，中國大陸才是他們的家，

他們覺得要在美國生存不容易，尤其他們有些都已結婚了，他們覺得還是回大陸好。

接著，輪到自己報告的時候，我記得報完了，有一個大陸人在美國大學當教授的學者，同時，

當天他也是某個子會議的主持人，他問了我一個問題，他問說是不是全台灣的校園都已使用 RFID 技術實施點名制度了，我回答並沒有全部都是，目前只先找了幾間特殊學校來做實驗，尚在實驗 階段而已，後來在台下閒聊時，該教授跟我說他認識前台科大的校長，是有把我嚇到了。因為他 記住的那位校長，是很多很多屆以前的校長了，記憶真好啊。

二、與會心得

這次參與國際研討會地點在美國的 Minnesota，從台灣出發到目的地共轉了 3 班飛機，搭機及 轉機(包括在機場等待轉機的時間)，共花了近兩天的時間才到 Minnesota，這是第一次自己一個人 跑那麼遠的地方，時差方面是還好啦，睡個半天就調回來，所受影響不大。

在報告完之後，我有利用時間跑去 Minnesota 大學走一走，看看美國名校的校園環境長怎樣，

Minnesota 大學有兩個校區，校園面積都很大，由於八月份他們也放暑假了，所以校園沒什麼人在，

走著走著，剛好看到工程學院的學生在辦研討會，因此我好奇的走向前去看了一下他們的議程，他 們和我聊了一下，知道我從台灣來的，他們學生很熱情的請我吃擺放在會場外的點心，真是熱心啊，

後來他們有帶我去參觀他們學校販賣有該校 mark 的紀念品店，看了他們的紀念品店，發現他們真是 利害，連衣服和馬克杯都可以印上校園英文字，並且販賣，真是有商業頭腦啊，不過我後來想了想，

如果用在台灣而言，大概會花錢去買有印學校 mark 的衣服和杯子的人很少吧。

總體而言，這次參加研討會，除了訓練自己英文簡報的能力，也可以瞭解來自不同國家的與

3

會者所做的研究成果，獲益良多。

三、攜回資料名稱及內容

PASSAT-2010 研討會論文集光碟乙片

國科會補助計畫衍生研發成果推廣資料表

日期:2010/12/18

國科會補助計畫

計畫名稱: 建構可依組織狀態調整的風險管理方法與系統之研究 計畫主持人: 查士朝

計畫編號: 98-2221-E-011-093- 學門領域: 資訊安全

無研發成果推廣資料

98 年度專題研究計畫研究成果彙整表

計畫主持人：查士朝 計畫編號：98-2221-E-011-093- 計畫名稱：建構可依組織狀態調整的風險管理方法與系統之研究

量化

成果項目 ^{實際已達成}

數（被接受 或已發表）

預期總達成 數(含實際已

達成數)

本計畫實 際貢獻百

分比

單位

備註（質 化 說 明 ： 如 數 個 計 畫 共 同 成 果 、 成 果 列 為 該 期 刊 之 封 面 故 事 ...等）

期刊論文 0 0 100%

研究報告/技術報告 0 0 100%

研討會論文 1 1 100%

論文著作 篇

專書 0 0 100%

申請中件數 0 0 100%

專利 已獲得件數 0 0 100% 件

件數 0 0 100% 件

技術移轉

權利金 0 0 100% 千元

碩士生 3 3 100%

博士生 1 1 100%

博士後研究員 0 0 100%

國內

參與計畫人力

（本國籍）

專任助理 0 0 100%

人次

期刊論文 1 1 100%

研究報告/技術報告 0 0 100%

研討會論文 1 1 100%

篇 為 與 NSC 98-2218-E-011-019 之共同產出 (該計 畫未編國際研討會 預算)

論文著作

專書 0 0 100% 章/本

申請中件數 0 0 100%

專利 已獲得件數 0 0 100% 件

件數 0 0 100% 件

技術移轉

權利金 0 0 100% 千元

碩士生 0 0 100%

博士生 0 0 100%

博士後研究員 0 0 100%

國外

參與計畫人力

（外國籍）

專任助理 0 0 100%

人次

其他成果 (無法以量化表達之成 果如辦理學術活動、獲 得獎項、重要國際合 作、研究成果國際影響 力及其他協助產業技 術發展之具體效益事 項等，請以文字敘述填 列。)

無

成果項目 量化 名稱或內容性質簡述

測驗工具(含質性與量性) 0

課程/模組 0

電腦及網路系統或工具 0

教材 0

舉辦之活動/競賽 0

研討會/工作坊 0

電子報、網站 0

科 教 處 計 畫 加 填 項

目 計畫成果推廣之參與（閱聽）人數 0

國科會補助專題研究計畫成果報告自評表

請就研究內容與原計畫相符程度、達成預期目標情況、研究成果之學術或應用價 值（簡要敘述成果所代表之意義、價值、影響或進一步發展之可能性）、是否適 合在學術期刊發表或申請專利、主要發現或其他有關價值等，作一綜合評估。

1. 請就研究內容與原計畫相符程度、達成預期目標情況作一綜合評估

■達成目標

□未達成目標（請說明，以 100 字為限）

□實驗失敗

□因故實驗中斷

□其他原因 說明：

2. 研究成果在學術期刊發表或申請專利等情形：

論文：■已發表 □未發表之文稿 □撰寫中 □無 專利：□已獲得 □申請中 ■無

技轉：□已技轉 ■洽談中 □無 其他：（以 100 字為限）

3. 請依學術成就、技術創新、社會影響等方面，評估研究成果之學術或應用價 值（簡要敘述成果所代表之意義、價值、影響或進一步發展之可能性）（以 500 字為限）

學術成就：

本計畫之產出，作為本實驗室風險管理系統之核心，其研究產出如下：

-一篇國內會議論文：已被接受，於 2010/12/24 發表於 2010 資訊安全技術創新應用研 討會。

-一篇國際會議論文：於 2010 年 8 月於美國發表在 IEEE PASSAT 2010 會議 (該會議之 接受率為 11%)

- 一 篇 國 際 期 刊 論 文 ： 該 會 議 論 文 被 接 受 邀 請 轉 投 至 International Journal of Information Privacy, Security and Integrity 期刊。

社會影響與創新：

產出的相關系統，也快速的被當作核心模組，而被應用在不同的地方。首先，就定性 風險管理上，被勁承經管科技顧問有限公司、惟新科技股份有限公司、以及財團法人國家 資訊基礎建設發展協會等企業採用，並已簽暑合作意向書，而因為都是採用本系統的可調 整式模型，因此可以很容易的去依企業的需求而做客製化。由此可見在理論於實務上，本 計畫皆有相當不錯之成果。