歡迎來到資訊風險與數據品質管理！

你好！歡迎來到 FRM Part II 課程中最實用且相關的章節之一。在當今的數位時代，銀行不只是在「處理」金錢，它們更是在處理資訊。你可以把資訊想像成現代金融機構的命脈。如果這些資訊外洩、損壞或僅僅是出錯，銀行可能會面臨巨額罰款、聲譽掃地，甚至面臨倒閉的風險。

在本章中，我們將探討如何識別、評估和管理與資訊相關的風險，並確保所使用的數據具備最高品質。如果一開始覺得內容有點艱深，別擔心，我們會將其拆解成簡單易懂的片段，並配合大量現實生活中的案例來進行說明！

1. 資訊風險 vs. IT 風險：有什麼區別？

這兩個概念常被混淆，但對於 FRM 考試來說，你必須搞清楚它們之間的區別。

IT 風險指的是「水管系統」。它關注的是硬體、軟體和網路。如果伺服器當機或路由器故障，這就是 IT 風險。

資訊風險則是關於流經管道的「水」。它是指內容本身受到威脅。即使你的電腦（IT）運作完美，但如果員工不小心將客戶密碼清單電郵給陌生人，這就屬於資訊風險事件。

比喻：想像一家圖書館。IT 風險是天花板漏水或書架倒塌的風險。而資訊風險則是有人潛入並篡改書籍中的文字，或竊取書中秘密故事的風險。

關鍵總結：IT 風險關注的是系統；資訊風險關注的是數據及其所承載的價值。

2. 資訊安全的核心：CIA 三要素

在資訊風險的世界裡，一切都圍繞著三個主要目標，也就是著名的 CIA 三要素。這可不是指那些秘密特工喔！它代表的是：

1. 機密性 (Confidentiality)：確保敏感資訊僅能由獲授權的人士存取。
範例：你的銀行結餘應該只讓你和銀行職員看見，而不是你的鄰居。

2. 完整性 (Integrity)：確保資訊準確、完整，且未經篡改。
範例：如果你存入 100 元，系統不應該因為故障或駭客攻擊而突然顯示為 10 元。

3. 可用性 (Availability)：確保資訊和系統在需要時隨時可用。
範例：當你在超市嘗試使用扣賬卡（Debit Card）付款時，銀行的系統必須「在線」以授權交易。

快速回顧：
• 機密性 = 保密性
• 完整性 = 準確性
• 可用性 = 存取性

3. 理解數據生命週期

資訊並非憑空出現並永久存在；它擁有一個生命週期。管理風險意味著要在每個階段監控數據：

階段 1：生成/建立：數據進入系統（例如：客戶填寫貸款申請表）。
階段 2：儲存：數據保存在資料庫或雲端資料夾中。
階段 3：使用：數據用於決策（例如：信貸官員審核貸款申請）。
階段 4：共享/傳輸：數據在系統之間傳輸或發送給第三方。
階段 5：歸檔：因法規要求，數據被移至長期儲存空間。
階段 6：銷毀：當不再需要時，數據被永久刪除。

常見錯誤：許多企業會忽略銷毀階段。永遠保留舊的敏感數據是一個巨大的風險，因為一旦發生駭客攻擊，那些被「遺忘」的數據仍可能被盜！

4. 數據品質維度

高品質的數據對於準確的風險報告（想想 BCBS 239）至關重要。為了衡量品質，我們需要觀察幾個「維度」。以下是你必須掌握的重點：

• 準確性 (Accuracy)：數據是否正確反映了現實情況？（利率真的是 5% 嗎？）
• 完整性 (Completeness)：是否遺漏了任何關鍵數據？（我們是否擁有 100% 客戶的地址？）
• 一致性 (Consistency)：不同系統之間的數據是否匹配？（CRM 系統中的「客戶姓名」與會計系統中的「客戶姓名」是否一致？）
• 及時性 (Timeliness)：數據是否為最新？（三天的股票價格對於今天的交易來說毫無用處。）
• 有效性 (Validity)：數據是否符合要求的格式？（電話號碼欄位應該包含數字，而不是字母。）

你知道嗎？糟糕的數據品質通常被稱為「GIGO」—— 垃圾進，垃圾出 (Garbage In, Garbage Out)。如果輸入的數據是錯誤的，即使是最複雜的風險價值 (VaR) 模型也會給你一個危險的答案。

5. 管理資訊風險

銀行實際上是如何管理這些風險的？這需要遵循一套結構化的流程：

步驟 1：治理

這涉及到「誰負責」。銀行應設有資訊長 (CIO) 或資訊安全長 (CISO)。此外，還應有數據負責人 (Data Owners)（負責特定數據集的業務部門主管）。

步驟 2：風險識別與評估

銀行必須識別其「皇冠上的寶石」（最敏感的數據）位於何處，以及它們面臨什麼威脅（例如：駭客、內部威脅或自然災害）。

步驟 3：實施控制措施

控制措施是用來保護數據的「盾牌」。它們可以分為：
• 預防性：在洩漏發生前阻止它（例如：密碼、加密）。
• 偵測性：在洩漏發生時即時察覺（例如：入侵警報）。
• 矯正性：在洩漏後進行修復（例如：備份/災難復原）。

關鍵總結：風險管理不是一個一次性的項目；它是一個不斷檢查和改進的循環。

6. 總結與最後小貼士

最後總結一下，請記住資訊風險是作業風險 (Operational Risk) 的一個子集。它涵蓋了對 CIA 三要素（機密性、完整性、可用性）的保護，並且需要高品質的數據品質才能有效運作。

考試貼士：如果題目問到銀行在危機期間未能準確報告風險敞口，請尋找與數據完整性或及時性相關的答案。如果題目是關於客戶姓名外洩的駭客事件，答案很可能是違反了機密性。

如果覺得很複雜，不用擔心！只需記住圖書館的比喻：建築物是 IT，而書中的故事則是資訊。保持「水」（數據）乾淨，並確保「管道」（IT）強健，銀行就能具備韌性！

快速回顧清單：
• 資訊風險與 IT 風險的區別？（水與管道）
• CIA 三要素是什麼？（機密性、完整性、可用性）
• 數據品質的維度？（準確性、完整性、一致性等）
• 數據生命週期？（從建立到銷毀）