資訊安全的風險管理

1. 建立全景(Context Establishment)：制定與組織有關的資訊安全風險管理基本規 則，內容必須持續符合 ISMS 的規範，詳細說明組織的資訊資產及精確定義組織的風險管理範圍與機制。

2. 風險評鑑(Risk Assessment)：針對已制定之組織風險管理機制，列出組織內資產的擁有人、資產置放的位置及資產的功能等，加入威脅事件的識別，列出所有可能遭受威脅事件的資產清單，並找出可能產生威脅事件的弱點，對這些弱點、脆弱性及威脅事件加入風險發生時的後果推論及判斷，並依序列出風險的等級及劃分可接受風險值的範圍，找出可能即時解決的方法，以降低風險發生時的危害狀況。

3. 風險處理(Risk Treatment)：依據風險評估所列風險等級的優先順序加以處理，處理的方法包括降低風險的產生及檢視組織內的活動項目，若活動易引起某些異常狀況而產生風險時，應加以避免或做風險的移轉，例如為活動項目加入保險機制，或者簽訂保障合約書，當風險產生時，可以申請理賠。

4. 風險接受(Risk Acceptance)：依據組織決策者劃分之可接受的風險，做定期的文件紀錄檢視，因風險的可接受度不是絕對的是或否，仍需依照風險事件發生時的情況做評估，對於某些不符合組織的正常風險的驗收標準（例如某些可接受風險的降低成本過高）等，必須列出接受此風險的理由。

5. 風險溝通(Risk Communication)：持續蒐集風險資訊，以獲得新的資訊安全知識，對組織的風險管理結果提供保證，並支持組織的決策，分享組織風險管理的結果。

6. 風險監控與審查(Risk Monitoring and Review)：組織目前所制定之風險管理制度並非固定不變，風險的發生會隨著外在環境因素而改變，隨時會因新的弱點及威脅事件的產生而有所更動，因此必須持續監控組織環境的異常現象，隨時掌握新的弱點及威脅事件，並且更新，以維持組織風險管理機制的正常運作，保護組織的資訊安全。

Reference

[1] 傅雅萍、樊國楨、楊中皇，ISO/IEC 27005 風險 管理標準整合 CORAS 之可行性研究：以電力 公司為例，2007。

行為經濟得重要理論

展望理論：投資者面對利得和損失的時候會有不同的態度。

•  原賦效果(Endowment Effect) Thaler(1980)提出

當你擁有某項物品時，你對該物品的評價會比沒有擁有時高出許多，又稱為安於現狀的偏誤 (Status Quo Bias) 

• 沈沒成本效果( Sunk Cost Effect)

當你支付入會費後，會增加使用的頻率。如 Costco。

•  保守偏誤

人們傾向堅持既定觀點，難於接受新想法或新作法，而導致反應不足。

• 過度自信

經常會過於相信自己，高估自己的知識與控制能力，低估風險。

• 代表性偏誤：

會已經驗法則或過去的刻板印象來處理。」

• 易獲性偏誤：

容易讓人聯想到的事件，會誤以為經常發生。

• 模糊性嫌惡：

對於不熟悉的事物有排斥現象。

• 定錨效應：(Anchor Effect)

過去發生的事件會成為今日的一個錨 (比較基準) 或bench mark。 

其他理論：

•  邊際效用，

指的是當消費者多消費一單位，他所得到的效用，例如某人吃個一顆蘋果，一開始覺得很好吃，但吃到第五顆時已經沒什麼感覺，也就是第一顆蘋果所帶來的邊際效用較高，隨著數量增加，邊際效用會開始遞減，如果某個人不斷吃蘋果吃到嘔吐，表示邊際效用已經遞減到成為負值。

• 比較優勢

某甲工廠生產棉花所需成本較乙工廠生產棉花低，但某乙工廠生產稻米成本較某甲工廠低，此時可稱某甲工廠在生產棉花上有「比較優勢」，某乙工廠在生產稻米上則有比較優勢，兩個工廠可以互相購買對方具有比較優勢的商品，來達到更低的成本。

• 規模經濟

規模經濟指的是生產越多商品，其成本越低，規模經濟追求的是量大，如同二十四小時運作的工廠一樣，如果工廠沒有運作，則有閒置成本，此時若拿來繼續生產商品，則可以省去工廠閒置成本，因此生產越多，單位成本跟著下降。

• 馬太效應

經濟學中的馬太效應，指的是「富有的人更富有，貧窮的人更貧窮。」也可以解釋為「強者愈強，弱者愈弱。」會有此現象的原因在於，富人因為有錢，所以更多資源讓自己更好，於是又讓自己更富有，窮人則因為沒有資源，缺少可以讓自己富有的條件，於是愈貧窮。

• 80/20法則

又稱「帕列托法則」，近十年又有人稱為80/20法則。常見的80/20法則的說法有如下幾項：
一、百分之八十的果來自於百分之二十的因
二、百分之八十的成果來自於百分之二十的精力與時間
三、百分之八十的公司利潤來自於百分之二十的產品與客戶
四、百分之八十的股票市場獲利來自於百分之二十的投資人與百分之二十的投資組合賺得 

衡量指標

• β (Beta) 值用來衡量標的(如 基金、或個股)的風險。

一般來說衡量基金和個股的風險會和一個標的來做比較，以個股而言，我們會和大盤作比較，那麼大盤的 Beta 值就是 1，而個股的 Beta 值可能是大於1、等於1或小於1。

Beta值(s、貝他值)用來衡量系統性風險、大盤連動性，也就是指數的波動幅度，Beta值越大、指數的波動性越大。

ex: 當 β = 0.8 時，代表著當大盤(比較標的)上漲 10%, 標的(個股)上漲 8%，

                                             當大盤(比較標的)下跌 10%, 標的(個股)下跌 8%。

• α (Alpha) 值用來衡量報酬率

α 是指標的(基金或個股)根據β系數所計算的預期報酬，與其實質報酬間的差距。
α (Alpha) 常被解釋為基金經理人為該基金所提供的附加價值，換句話說就是高於基金指標指數的多超額報酬率。如果一檔基金能提供超越其風險(Beta)所應有的報酬率，它的Alpha為正值；反之，該基金的Alpha則為負值。

α值>0：投資組合跑贏基準指數，獲得了超額報酬，數值越大漲幅越大。

α值=0：投資組合與基準指數差不多，獲得了適當報酬。

α值<0：投資組合跑輸基準指數，獲得了較少報酬，數值越小跌幅越大。

• Sharp 值用來衡量每單位風險所能換得的平均報酬率

Sharpe比例是採用標準差來計算基金的風險調整後的報酬。基金的Shapre值愈高，相對於風險的報酬愈佳。基金的標準差愈高，則所需的報酬要愈高才能取得較高的Sharpe比例。相反的，若基金的標準差值為一般，只需要較低的報酬即可取得較高的Sharpe值。

• R-Squared 用來衡量標的(基金) 和 比較基準間的相關性 

R 平方是衡量一只基金業績變化在多大程度上可以由基準指數的變動來解釋，以0 至100 計。數值越小，說明業績基準變化與基金表現的相關性越低。標普500指數基金與標普500指數的R平方為100，而一只貨幣市場基金與該指數的R平方為 0。

• Treynor  Ratio : 用來衡量超額報酬的無風險獲利比

Treynor Ratio 越高越好。
In other words, the Treynor ratio is a risk-adjusted measure of return based on systematic risk. It is similar to the Sharpe ratio, with the difference being that the Treynor ratio uses beta as the measurement of volatility.

風險的種類

• 系統性風險

系統性風險又稱為市場風險（Market Risk），是一種不可分散的風險，係無法透過多角化的投資組合而分散掉的風險。

1. 系統風險之所以無法分散或消除，主要是某些因素使得投資組合內的所有資產同漲同跌，無法相互抵銷風險。
2. 此類風險主要來自一些基本政治、經濟或政策等因素之影響，例如通貨膨脹、政局不安、經濟衰退、利率變動等，所有企業或投資案均會受其影響無法避免。這部分風險是由那些影響整個市場的風險所引起的，例如：戰爭、政權更迭、自然災害、經濟周期、通貨膨脹、能源危機和宏觀政策調整。  
3. 如果您想知道特定證券，基金或投資組合的系統風險程度，您可以查看其beta值，該度量標準衡量投資與整體市場的波動程度。 beta大於1意味著投資比市場具有更系統的風險，而小於1意味著系統風險低於市場。 等於1的beta意味著投資具有與市場相同的系統風險。 

• 非系統風險（Unsystematic Risk）

又稱為非市場風險（Nonmarket Risk），是一種可分散的風險，係可透過多角化的投資組合而分散掉的風險。

1. 此類風險主要來自產業、企業或投資個案等內部的特有風險，是由本身的商業活動和財務活動帶來的，例如罷工、法律訴訟、研究與開發、消費者需求改變、高階主管離職等

Assumption and Hypothesis 的不同

Assumption and Hypothesis

An assumption is a belief that forms one of the bases for the research. This belief is not to be tested or supported with empirical data. Very often belief is not stated in a research proposal.

假設是一個研究基礎的一個信念，這個信念不被測試或實驗資料所支持。很多時候這個信念不會出現在研究的提案中。

A hypothesis is a tentative answer to a research question.

假設是試探性的回答研究問題

Where can a hypothesis be derived from?

假設可能衍生自哪裡？

a. from the observation before the research is conducted. This is called inductive hypothesis

a. 從研究進行之前的觀察，這被稱為「歸納假說」( inductive hypothesis)。

b. from the theory. This is called deductive hypothesis.

b. 從理論而來，這被稱為演繹假說(deductive hypothesis)

It does not matter how you derive it, but it must: (a)  state relationship between variables, (b) be testable–remember the operational definition, (c) be consistent with the existing theory/knowledge, and (d) be simple and concise.

There are two types of hypothesis: research hypothesis and null hypothesis.

有兩種假說, 研究假說及虛無假說。

Research hypothesis. A research hypothesis is usually developed from experience, literature or theory, or combination of these. This is the expected relationship between variables.

研究假說經常從經驗、文獻、理論或這些得組合來發展。這是變數之間的預期關係。

Example:

Pak Sigit wants to research the relation between debating activities and argumentative writing skills. First of all, Pak Sigit believes (assumes) that in debating activities, students use their logical capacity to build an argument to support the topic of the debate. Similarly, in writing argumentative writing, students also need logical capacity to build arguments to support the topic of their writings. In short, Pak Sigit’s assumption is the skills obtained in debating capacities can be transfered into writing ability.

After reading and observing the phenomenon, he develops a research hypothesis, “there is a positive correlation between students’ debating activities and argumentative writing skills.” This kind of hypothesis is called directional hypothesis.

Another type of hypothesis is non-directional hypothesis. Example: there is a correlation between students’ debating activities and writing skills.

Null hypothesis. A null hypothesis is the one that states NO relationship between varibales. The function is to let the research test the hypothesis statistically.

Please make the null hypothesis of the above research hypothesis.

STEPS TO TEST THYPOTHESIS

1. Make the null hypothesis

2. select the suitable research method

3. do research and measure the result

4. analyze the data and test the hypothesis statistically

ASSIGNMENT:

Please write your research question, the research hypothesis and null hypothesis. Write them here as a comment to this post. Write also your class after your name at the end of the comment.

Reference:

Ary, Donald, et al. 2002. Introduction to Research in Education. Belmont: Wadswroth Group