先看資產，再談控制
系統、資料和外判方未界定清楚，控制措施就容易停留在政策文字，難以判斷實際風險。
SRAA 安全風險評估及審核
資訊系統安全風險審計
建立資安風險決策圖，掌握審查、投標與治理主動權
- 客戶安全問卷、政府項目、供應商審查、集團要求或年度資安檢查前，先界定系統、資料及第三方風險。
- 資產清單、系統邊界、威脅弱點、現有控制、剩餘風險、改善次序及管理層摘要一次成稿。
- CISA、CISM、CISSP、ISO 27001 或資安治理背景顧問跟進範圍、訪談、報告版本、排期及費用邊界。
什麼是 SRAA 安全風險評估及審核？
SRAA 先盤點企業有哪些系統、資產、資料和第三方，再判斷威脅、弱點、現有控制和剩餘風險。它不是單純掃漏洞，而是把技術暴露、管理流程、供應商依賴和業務影響放在同一張風險圖上。
企業面對客戶、政府項目、集團管理層或供應商審查時，SRAA 報告能交代風險來源、控制狀態、改善責任和後續追蹤安排。
剩餘風險要有人接
每個風險都要有等級、處理方式、責任人和時間表，管理層才有依據批資源、排優先次序。
資安治理背景下的 SRAA 交付
不只填一張風險表
資產、系統、資料、供應商、漏洞和現有控制會連成風險脈絡，報告能直接支援審查和內部決策。
風險判斷有技術依據
CISA、CISM、CISSP、ISO 27001 或資訊安全治理背景人員參與，按資料敏感度、外部暴露、供應商依賴和控制成熟度排序。
改善責任清楚落地
高風險系統、敏感資料、外部暴露面和第三方依賴會列明責任人、完成期限、處理方式和後續版本。
審查資料一次對齊
SRAA 結果銜接 ISO 27001、ISO 27701、PIA、漏洞評估及客戶安全問卷，PM 跟進訪談節點、報告版本、改善排期和費用邊界。
SRAA 對企業的實質效益
SRAA 讓資訊安全不再只停留在「感覺有風險」。企業能清楚看見哪個系統風險最高、哪項控制不足、誰負責改善，以及哪些內容適合提交給客戶或管理層。
管理層能決策
報告把風險等級、業務影響、現有控制和改善建議放在一起，便於批資源、排優先次序。
對外審查有依據
客戶、政府項目、集團或供應商審查查問安全狀態時，有風險登記、控制說明和改善紀錄可提交。
技術改善有方向
權限、備份、日誌、漏洞、供應商和資料保護問題分清高低次序，IT 團隊不用平均用力。
長期治理有底稿
SRAA 可成為年度安全審查、ISO 27001 風險評估、供應鏈安全管理和事故後檢討的基礎。
適合哪些企業與場景
系統越多、外判越多、客戶安全審查越頻密，SRAA 越應提前處理。等到標書、問卷或事故後才盤點，時間壓力和資料缺口都會放大。
場景 01要交安全問卷
客戶、集團或供應商平台要求提交資產、控制、風險及改善狀態。
場景 02有政府或大型企業項目
投標、登記或項目啟動前，要交代資訊系統安全風險和控制措施。
場景 03系統與供應商分散
雲端、外判、API、第三方平台和內部系統責任界線不清。
場景 04準備資安認證
把風險評估接入 ISO 27001、ISO 27701、PIA 或年度資安治理。
SRAA 的核心風險與審核重點
SRAA 要把資產、威脅、弱點、控制和剩餘風險連起來。只列控制清單不夠，還要判斷控制是否真正降低風險。
資產及系統邊界
列明系統、資料、伺服器、雲端、第三方服務、業務流程和資料流向。
威脅及弱點
分析未授權存取、資料外洩、服務中斷、惡意程式、設定錯誤和供應商風險。
現有控制
檢查存取控制、備份、監控、加密、日誌、漏洞修補和事件應變安排。
剩餘風險及改善
評估控制後仍存在的風險，列明接受、降低、轉移或避免的處理方式。
SRAA 服務內容
服務會按企業系統現況和審查用途，安排資料盤點、訪談、風險分析、報告版本和後續改善追蹤。
- 界定系統、資產、資料類型、第三方和業務流程範圍。
- 收集政策、流程、架構、權限、備份、日誌和供應商資料。
- 評估威脅、弱點、現有控制、剩餘風險和改善優先次序。
- 形成風險登記冊、管理層摘要、改善建議和版本紀錄。
- 銜接漏洞評估、PIA、ISO 27001、ISO 27701 或客戶安全問卷。
- 跟進改善狀態、責任人、期限和後續年度更新。
SRAA 安全風險評估及審核步驟
範圍界定
確認評估系統、資料、業務流程、第三方和實際提交用途。
資產及控制盤點
建立資產清單、系統架構、現有政策、技術控制和供應商資料。
威脅及弱點分析
分析攻擊、操作失誤、外判依賴、資料外洩和服務中斷風險。
風險評級
按可能性、影響、現有控制和剩餘風險排出優先次序。
報告及改善建議
輸出管理層摘要、風險登記冊和可執行改善清單。
跟進及更新
回看改善狀態，更新風險版本和後續審查資料。
常見的準備文件與紀錄
SRAA 資料要支持風險判斷，重點在資產、資料流、控制、供應商和改善證據。
資產清單
系統、伺服器、雲端服務、資料庫、API、網站和重要設備。
系統及資料流程
資料在哪裡收集、儲存、處理、傳輸，以及由誰存取。
控制措施資料
存取控制、備份、加密、日誌、監控、漏洞修補和事件應變。
第三方及供應商資料
外判服務、雲端平台、資料處理方、合約和安全責任。
風險及改善紀錄
風險等級、處理方式、責任人、期限、完成狀態和版本紀錄。
常見問題
SRAA 和漏洞評估有甚麼分別？
漏洞評估偏向技術暴露點；SRAA 同時審視資產、控制、流程、供應商、業務影響和剩餘風險。
SRAA 安全風險評估要看所有系統嗎？
不一定。可按客戶要求、政府項目、核心業務或高風險系統先界定範圍。
SRAA 報告適合交給管理層嗎？
適合。報告會包含管理層摘要、風險等級、業務影響、改善建議和責任分工。
SRAA 能銜接 ISO 27001 嗎？
能。SRAA 的資產、風險和控制資料，可作為 ISO 27001 風險評估、SoA 和改善計劃的基礎。
做 SRAA 要 IT 部門參與嗎？
要有 IT 或系統負責人配合，提供系統、權限、備份、日誌、漏洞和供應商資料。
沒有完整資產清單能開始嗎？
能。可先從訪談、現有系統資料和主要供應商開始盤點，資產清單本身也是交付成果。
SRAA 會提出改善方案嗎？
會列出改善建議、優先次序、責任人和期限；具體技術修改由企業 IT 或系統供應商執行。
SRAA 和 PIA 能一起做嗎？
能。涉及個人資料的系統，SRAA 和 PIA 適合一起梳理資料流、控制措施和私隱風險。
SRAA 多久更新一次？
重大系統變更、供應商變更、安全事故後，或年度安全審查前都應更新。
SRAA 費用怎樣計算？
按系統數量、資料複雜度、訪談範圍、是否銜接漏洞評估或 PIA，以及報告深度報價。
先看清風險，再決定資安資源怎樣投。
提交系統、資產、客戶要求或政府項目資料，我們先判斷 SRAA 範圍、資料清單、報告深度和改善路線。