民國115年 高考三級 資通安全 資通安全法令與規範
第1題
開放資料（Open Data）是開放政府資料予政府跨部門間或是民間取用， 就博物館為例，申論如何運用資通安全事件通報應變及演練辦法（原稱： 資通安全事件通報及應…
題目
開放資料（Open Data）是開放政府資料予政府跨部門間或是民間取用， 就博物館為例，申論如何運用資通安全事件通報應變及演練辦法（原稱： 資通安全事件通報及應變辦法）和資通安全情資分享辦法，強化管理這 些文化開放資料平台之資通安全？（25 分）
參考解答（AI 生成，非官方）
- 一、博物館開放資料平台之風險特性與法制定位。博物館開放資料包含典藏後設資料、藏品圖像、3D 掃描模型、展演資訊與票務 API，並對外介接民間應用，屬於資通安全管理法第3條所稱的資通系統與資通服務。館所應依同法第10條訂定資通安全維護計畫，並依資通安全責任等級分級辦法評定等級（多為 B 級或 C 級），據此落實控制措施。開放資料的「可得性」與「安全性」本質上存在衝突，因此須先完成資料分級，再決定開放範圍與保護強度。
- 二、以通報應變及演練辦法建構事件處理閉環。依該辦法，機關知悉資安事件後，應依事件等級於規定期限內向資通安全網路通報應變平台通報，並完成應變、復原、調查與改善。對博物館可具體落實者包括：訂定涵蓋 API 濫用、大量爬取、網頁置換、資料遭竄改（data poisoning）等情境的應變程序書；建立二十四小時通報窗口與聯絡清單；每年辦理社交工程與資安事件演練，並將演練缺失納入追蹤至結案。
- 三、演練情境設計應扣合開放資料特性。演練宜設計「開放資料集遭未授權批次下載」、「去識別化不足導致個資重識別」、「第三方介接廠商帳號遭竊」等劇本，驗證偵測、通報、斷點與復原時效；並與業務持續運作計畫（BCP）結合，確認資料還原點目標（RPO）與還原時間目標（RTO）。演練後應產出改善清單、指派權責人員並定期複核，形成 PDCA 循環，避免演練流於形式。
- 四、以情資分享辦法強化事前預警。依資通安全管理法第12條及資通安全情資分享辦法，機關得蒐集、分析並分享資安情資，並應遵守去識別化、保密義務、分享對象限制與禁止再分享等規範。博物館可加入文化部所屬機關聯防群組，並與國家資通安全研究院、TWCERT/CC 情資網絡介接，將入侵指標（IOC）轉為防火牆與 WAF 規則、端點偵測規則，並結合資通安全弱點通報機制（VANS）優先修補對外暴露元件。
- 五、整合治理、限制與建議。建議設置資料治理與資安聯席機制，明定開放資料審查、去識別化（如 k-匿名、差分隱私）及 API 金鑰、速率限制、OAuth 授權等技術規範；委外廠商應納入契約資安條款與供應鏈管理。限制在於館所資安人力與預算有限、情資分享意願受聲譽顧慮影響、民間介接端不受資通安全法拘束；宜以共同供應契約、區域聯防與常態化教育訓練補強。
AI 依官方試題文字產生的參考解答，非考選部公告答案，內容僅供備考參考。