5. 【題組 1 背景描述如附圖】系統弱點掃描後的修補處理方式， 下列何者是「不」可以接受補償措施的替代方案？
(A) 工具誤判的風險，須予以審查確認並由主管核可
(B) 目前更新系統需要長期計畫，故風險先予以接受
(C) 因系統老舊風險無法修補，但已將對外連線皆予以 關閉，無其他風險漏洞
(D) 優先安排時間予以更新作業系統，並事前測試確認

答案：登入後查看
統計： A(10), B(451), C(127), D(7), E(0) #3102136

詳解 (共 1 筆)

#6316632
**答案：(B) 目前更新系統需要長期計畫，故風險先予以接受**
---
### 各選項解釋：
1. **(A) 工具誤判的風險，須予以審查確認並由主管核可**  
   **可以接受**。弱點掃描工具可能產生誤判（False Positive），此時需由技術人員審查確認漏洞是否存在。若確認是誤判，經主管批准後可排除風險，屬合理的風險管理流程。
2. **(B) 目前更新系統需要長期計畫，故風險先予以接受**  
   **不可接受**。單純以「長期計畫」為由直接接受風險，並未實施任何 **補償措施**（如加強監控、限制存取權限、部署防火牆規則等）。根據資安標準，風險接受需基於 **正式評估**（如風險等級分析、成本效益考量）並搭配臨時防護，而非無條件推遲修補。
3. **(C) 因系統老舊風險無法修補，但已將對外連線皆予以關閉，無其他風險漏洞**  
   **可以接受**。若系統無法修補（如停產的舊版系統），但透過 **隔離網路**（關閉對外連線）限制攻擊面，屬於有效的補償措施。需確保內部網路無其他潛在攻擊路徑，並持續監控隔離環境。
4. **(D) 優先安排時間予以更新作業系統，並事前測試確認**  
   **可以接受**。主動修補漏洞是資安最佳實踐，尤其針對高風險弱點。事前測試可避免更新後系統異常，屬標準且正當的處理程序。
---
### 關鍵差異：
- **風險接受（Risk Acceptance）** 需經過正式評估（如風險等級、業務影響分析），而非僅以「需要長期計畫」為由。  
- **補償措施（Compensating Control）** 需實際降低風險（如選項 C 的隔離），而非單純延後修補（如選項 B）。  
選項 **(B)** 未採取任何緩解手段，僅推遲修補，違反資安治理原則，因此是「不可接受」的替代方案。
0
0