民國115年 高考三級 資通安全 資通安全管理
第1題
一個資訊安全中心為有效落實資安管理，確保資訊及網路系統能有效運 作並維護其機密性、完整性與可用性，會導入PDCA 管理循環機制。請 針對PDCA 的四個階段，分…
題目
一個資訊安全中心為有效落實資安管理，確保資訊及網路系統能有效運 作並維護其機密性、完整性與可用性，會導入PDCA 管理循環機制。請 針對PDCA 的四個階段，分別詳述各階段的定義與作為。（20 分）
參考解答（AI 生成，非官方）
- 一、PDCA 循環的定位與精神：Plan-Do-Check-Act（規劃—執行—查核—行動）源自戴明循環（Deming Cycle），是 ISO/IEC 27001 資訊安全管理系統（Information Security Management System, ISMS）的核心運作架構。資訊安全中心透過此一架構，將資安政策、風險管理與控制措施串連為持續改善（continual improvement）的閉環，確保機密性（Confidentiality）、完整性（Integrity）與可用性（Availability）三大目標能長期維持，並隨環境與威脅變化動態調整。
- 二、Plan（規劃）：定義為建立資安政策、目標、流程與風險處理方案的階段。主要作為包括：界定 ISMS 範圍與利害關係人需求；執行資產盤點與分類分級；進行風險評鑑（risk assessment），分析威脅、脆弱度、發生可能性與衝擊程度；決定風險處理方式（降低、接受、轉移、避免）；選定控制措施並產出適用性聲明（Statement of Applicability, SoA）；配置資源、訂定績效指標（KPI）、時程與權責分工。
- 三、Do（執行）：定義為依規劃內容落實控制措施與作業程序的階段。具體作為包括：推動資安意識與教育訓練；實施身分驗證與存取控制、權限最小化；執行資料備份與復原、日誌留存與安全監控（SOC）；落實變更管理、委外與供應鏈安全管理；建立資安事件通報與應變程序；並將作業過程完整文件化與留存紀錄，以作為後續查核證據。
- 四、Check（查核）：定義為驗證控制措施是否被落實、是否有效的階段。作為包括：辦理內部稽核與自我檢查；執行弱點掃描與滲透測試；量測 KPI 與資安關鍵指標；統計資安事件件數、處理時效與趨勢；檢視不符合事項與矯正措施執行情形；並於管理審查前彙整績效報告，作為高階管理者判斷資源投入與調整方向的依據。
- 五、Act（行動）：定義為針對查核發現採取改善作為，使系統回到更佳狀態的階段。作為包括：就不符合事項進行根因分析（root cause analysis），訂定矯正與預防措施並追蹤至結案；更新風險評鑑結果、控制措施與相關文件；調整政策、目標與資源配置；透過管理審查（management review）取得高階管理承諾，並將改善結果回饋至下一循環的規劃階段，形成持續改善的正向循環。
AI 依官方試題文字產生的參考解答，非考選部公告答案，內容僅供備考參考。