民國115年 高考三級 資通安全 資通安全管理
第3題
請回答以下針對資通安全管理制度中有關稽核的問題： （每小題10 分，共30 分） 何謂內部稽核？其目的為何？ 何謂外部稽核？其目的為何？ 內部稽核與外部稽核的差…
題目
請回答以下針對資通安全管理制度中有關稽核的問題： （每小題10 分，共30 分） 何謂內部稽核？其目的為何？ 何謂外部稽核？其目的為何？ 內部稽核與外部稽核的差異何在？
參考解答（AI 生成，非官方）
- 一、內部稽核的定義：內部稽核（internal audit）係由組織內部人員或編制內之稽核單位，依預先核定之稽核計畫、稽核準則與程序，對資訊安全管理系統之政策、程序、控制措施及執行紀錄進行獨立、系統化之查證活動。其本質為第一方稽核，屬組織自我管理機制的一環，稽核人員應受適當訓練並具備專業能力，且不得稽核自身承辦之業務，以維持客觀性。
- 二、內部稽核的目的：主要在確認資安管理制度與控制措施是否符合既定政策、法規與標準要求（符合性），並驗證其是否確實有效運作（有效性）；及早發現潛在缺失與風險，作為矯正與預防措施之輸入；提供高階管理者客觀資訊以支持管理審查與資源配置決策；並透過常態化查核，培養全員資安紀律，形成持續改善的基礎。
- 三、外部稽核的定義與目的：外部稽核（external audit）係由組織外部之獨立機構或第三方驗證單位所執行，包括驗證機構之驗證稽核、主管機關依資通安全管理法所為之查核，以及客戶或供應鏈要求之第二方稽核。其目的在取得具公信力之第三方確信，證明組織資安管理符合國際標準或法令要求，提升客戶與社會信任，並藉由外部專業視角發現內部習以為常而忽略的盲點。
- 四、兩者的差異比較：可從五個層面區分。主體上，內部稽核由組織自身人員執行，外部稽核由獨立第三方或主管機關執行；目的上，前者重在自我改善與符合內部政策，後者重在取得驗證、確信與法定遵循；独立性上，外部稽核獨立性較高；頻率與範圍上，內部稽核可常態、全面且深入作業細節，外部稽核多為定期、抽樣式查核；結果處理上，內部缺失多以矯正措施改善，外部缺失則可能導致驗證不通過或受主管機關裁罰。
- 五、實務運作建議：兩者並非替代而是互補關係。組織宜先以內部稽核完成自我診斷與缺失改善，再接受外部稽核驗證，可提高通過率並降低突發缺失風險；並應建立缺失追蹤機制，將外部稽核發現回饋至內部稽核計畫與風險評鑑，形成內外結合的雙層查核體系。惟須注意稽核僅能提供合理保證（reasonable assurance），無法完全免除殘餘風險。
AI 依官方試題文字產生的參考解答，非考選部公告答案，內容僅供備考參考。