複選題

32. 【題組 4】情境如附圖所示，配合本次大規模的組織調整與 AI 服務導入，資安團隊 必須向公司高階管理階層報告風險評鑑結果與對應的四種風險處置策略(風險規避、 風險轉移、風險降低、風險接受) 。關於這些策略在新架構環境下的實務應用，下列 哪些敘述是正確且合規的？(複選)
(A) 評估發現某項第三方 AI 數據分析工具存在無法修補且可能造成客戶個資外洩的 重大缺陷，因此取消導入該工具並改採其他合規方案，此作法屬於「風險規避」 的策略
(B) 實施網路設備的區域隔離與防護佈署後，AI 系統的預期年度損失由 300 萬元降 為 15 萬元，控制措施實施後仍然存在的風險，在管理上被稱為「剩餘風險」
(C) 為了降低核心資通系統遭受大規模網路流量攻擊(DDoS)導致電商服務中斷的 衝擊，團隊向保險公司投保了專門的資安險，這在風險管理上屬於「風險降低」
(D) 經高階管理階層針對某一低風險事件(如特定公開行銷網頁的輕微非預期變更) 核准採取「風險接受」策略，若持續維持既有控制措施並監控相關風險指標，該 項處置應歸類為「風險降低」，而非「風險接受」