首頁 / 高考三級 資通安全考古題 / 民國115年 高考三級 資通安全 資通安全管理 民國115年 高考三級 資通安全 資通安全管理考古題
民國115年 高考三級 資通安全 資通安全管理收錄考選部官方試題，共 4 題可線上瀏覽，考選部未公告本科目答案。
題目與答案
一個資訊安全中心為有效落實資安管理，確保資訊及網路系統能有效運
作並維護其機密性、完整性與可用性，會導入PDCA 管理循環機制。請
針對PDCA 的四個階段，分別詳述各階段的定義與作為。（20 分）
參考解答（AI 生成，非官方） 一、PDCA 循環的定位與精神：Plan-Do-Check-Act（規劃—執行—查核—行動）源自戴明循環（Deming Cycle），是 ISO/IEC 27001 資訊安全管理系統（Information Security Management System, ISMS）的核心運作架構。資訊安全中心透過此一架構，將資安政策、風險管理與控制措施串連為持續改善（continual improvement）的閉環，確保機密性（Confidentiality）、完整性（Integrity）與可用性（Availability）三大目標能長期維持，並隨環境與威脅變化動態調整。 二、Plan（規劃）：定義為建立資安政策、目標、流程與風險處理方案的階段。主要作為包括：界定 ISMS 範圍與利害關係人需求；執行資產盤點與分類分級；進行風險評鑑（risk assessment），分析威脅、脆弱度、發生可能性與衝擊程度；決定風險處理方式（降低、接受、轉移、避免）；選定控制措施並產出適用性聲明（Statement of Applicability, SoA）；配置資源、訂定績效指標（KPI）、時程與權責分工。 三、Do（執行）：定義為依規劃內容落實控制措施與作業程序的階段。具體作為包括：推動資安意識與教育訓練；實施身分驗證與存取控制、權限最小化；執行資料備份與復原、日誌留存與安全監控（SOC）；落實變更管理、委外與供應鏈安全管理；建立資安事件通報與應變程序；並將作業過程完整文件化與留存紀錄，以作為後續查核證據。 四、Check（查核）：定義為驗證控制措施是否被落實、是否有效的階段。作為包括：辦理內部稽核與自我檢查；執行弱點掃描與滲透測試；量測 KPI 與資安關鍵指標；統計資安事件件數、處理時效與趨勢；檢視不符合事項與矯正措施執行情形；並於管理審查前彙整績效報告，作為高階管理者判斷資源投入與調整方向的依據。 五、Act（行動）：定義為針對查核發現採取改善作為，使系統回到更佳狀態的階段。作為包括：就不符合事項進行根因分析（root cause analysis），訂定矯正與預防措施並追蹤至結案；更新風險評鑑結果、控制措施與相關文件；調整政策、目標與資源配置；透過管理審查（management review）取得高階管理承諾，並將改善結果回饋至下一循環的規劃階段，形成持續改善的正向循環。
資料備份與復原管理之目的，在於確保資料於遭受誤刪、硬體故障、勒
索軟體或災害時，能於可接受時間內恢復。請詳述資料備份與復原的六
個具體作為。（30 分）
參考解答（AI 生成，非官方） 一、訂定備份政策與復原目標：應先由管理階層核定備份與復原政策，明確規範備份範圍、權責分工、保存期限與銷毀方式。同時針對各項業務與資料訂定復原點目標（Recovery Point Objective, RPO）與復原時間目標（Recovery Time Objective, RTO），並依業務衝擊分析（Business Impact Analysis, BIA）結果決定資源優先順序，避免所有系統一視同仁而排擠有限資源。 二、資料分類分級與備份範圍界定：依資料之機密性、完整性、可用性與法規要求進行分類分級，區分核心業務資料、一般營運資料與公開資料，據以決定備份頻率、保存份數與媒體等級。同時應建立資料清單與系統關聯圖，確保資料庫、設定檔、應用程式、虛擬機映像與雲端服務資料均納入備份範圍，避免漏備而形成復原缺口。 三、採行適當備份方式與頻率：依資料變動特性搭配完整備份（full backup）、增量備份（incremental backup）與差異備份（differential backup），兼顧備份窗口、儲存容量與還原速度。實務上可採 3-2-1 原則，即至少三份資料、存放於兩種不同媒體、其中一份異地存放；並應依 RPO 決定備份排程，重要系統可採近即時或持續資料保護（Continuous Data Protection, CDP）。 四、強化備份媒體保護與異地存放：備份媒體應落實實體與邏輯隔離，採異地或雲端存放以避免單一災害同時損毀生產資料與備份；針對勒索軟體威脅，應建置離線備份、不可變備份（immutable backup）與空氣間隙（air gap）機制，並嚴格控管備份系統的帳號權限、加密傳輸與儲存、金鑰管理，防止攻擊者取得備份控制權後連備份一併加密或刪除。 五、定期執行復原測試與演練：備份若未經驗證即不具可信度，應定期抽樣還原單一檔案、資料庫與整機系統，驗證備份完整性與可用性，並記錄還原時間是否符合 RTO。另應每年辦理災害復原演練（disaster recovery drill）與桌上模擬演練，測試異地切換、通報聯繫與人員代理機制，演練後提出缺失改善報告並追蹤至結案。 六、監控、紀錄與持續改善：應監控備份工作的成功率、耗時、容量成長與失敗告警，異常時即時通知權責人員處理；完整留存備份與還原紀錄、媒體異動紀錄及演練報告，並納入內部稽核與管理審查項目。透過定期檢視 RPO、RTO 達成情形與新興威脅變化，滾動調整備份策略，使備份與復原管理成為可驗證、可持續改善的作業循環。
請回答以下針對資通安全管理制度中有關稽核的問題：
（每小題10 分，共30 分）
何謂內部稽核？其目的為何？
何謂外部稽核？其目的為何？
內部稽核與外部稽核的差異何在？
參考解答（AI 生成，非官方） 一、內部稽核的定義：內部稽核（internal audit）係由組織內部人員或編制內之稽核單位，依預先核定之稽核計畫、稽核準則與程序，對資訊安全管理系統之政策、程序、控制措施及執行紀錄進行獨立、系統化之查證活動。其本質為第一方稽核，屬組織自我管理機制的一環，稽核人員應受適當訓練並具備專業能力，且不得稽核自身承辦之業務，以維持客觀性。 二、內部稽核的目的：主要在確認資安管理制度與控制措施是否符合既定政策、法規與標準要求（符合性），並驗證其是否確實有效運作（有效性）；及早發現潛在缺失與風險，作為矯正與預防措施之輸入；提供高階管理者客觀資訊以支持管理審查與資源配置決策；並透過常態化查核，培養全員資安紀律，形成持續改善的基礎。 三、外部稽核的定義與目的：外部稽核（external audit）係由組織外部之獨立機構或第三方驗證單位所執行，包括驗證機構之驗證稽核、主管機關依資通安全管理法所為之查核，以及客戶或供應鏈要求之第二方稽核。其目的在取得具公信力之第三方確信，證明組織資安管理符合國際標準或法令要求，提升客戶與社會信任，並藉由外部專業視角發現內部習以為常而忽略的盲點。 四、兩者的差異比較：可從五個層面區分。主體上，內部稽核由組織自身人員執行，外部稽核由獨立第三方或主管機關執行；目的上，前者重在自我改善與符合內部政策，後者重在取得驗證、確信與法定遵循；独立性上，外部稽核獨立性較高；頻率與範圍上，內部稽核可常態、全面且深入作業細節，外部稽核多為定期、抽樣式查核；結果處理上，內部缺失多以矯正措施改善，外部缺失則可能導致驗證不通過或受主管機關裁罰。 五、實務運作建議：兩者並非替代而是互補關係。組織宜先以內部稽核完成自我診斷與缺失改善，再接受外部稽核驗證，可提高通過率並降低突發缺失風險；並應建立缺失追蹤機制，將外部稽核發現回饋至內部稽核計畫與風險評鑑，形成內外結合的雙層查核體系。惟須注意稽核僅能提供合理保證（reasonable assurance），無法完全免除殘餘風險。
資安事件分級係指組織依事件嚴重程度、影響範圍及損害程度，將資安
事件區分為不同等級。請詳細回答以下問題：
說明資安事件分級之目的。（10 分）
說明資安事件分級之判斷依據。（10 分）
參考解答（AI 生成，非官方） 一、資安事件分級的意義：資安事件分級係組織依事件之嚴重程度、影響範圍與損害程度，將事件區分為不同等級之管理作為。其概念在於將有限之應變資源，依風險高低進行差異化配置，使重大事件能優先獲得人力、技術與管理階層關注，避免輕重不分、資源錯置，並使通報、應變、復原與對外說明具備一致之判準。 二、分級之目的：其一，建立共通語言與判準，使各單位對事件嚴重性有相同認知，減少通報落差；其二，據以啟動相對應之應變層級、通報對象與時限，確保重大事件即時上報主管機關與高階管理者；其三，合理配置應變資源與排定處理優先順序；其四，作為統計分析、趨勢監控與控制措施改善之基礎；其五，滿足法令與契約之通報義務，降低法律與商譽風險。 三、判斷依據：主要包括下列構面。影響構面：對機密性、完整性、可用性之衝擊程度，是否涉及敏感個資、營業秘密或核心業務；範圍構面：受影響之系統數、使用者人數、服務中斷時間與是否跨機關或跨區域擴散；損害構面：直接財務損失、營運中斷成本、法規裁罰與商譽損害；此外亦考量是否為惡意攻擊、是否已遭駭客潛伏、是否可自行控制，以及有無媒體與社會關注等質性因素。 四、分級作業與實務配套：實務上多將事件區分為第一級至第四級（或稱一般、輕微、重大、緊急），等級越高者通報時限越短、應變層級越高，並須於規定期限內完成通報、控制、復原與結案；組織應訂定分級表與判定流程圖，明定各級之通報對象、時限、應變小組啟動條件與對外發言機制，並保留判定理由之紀錄以供查考。 五、限制與建議：分級判斷常面臨資訊不足、初期誤判與人為低報之風險，恐延誤應變時機。建議建立「從嚴認定、事後調整」原則，初判不確定時先以較高等級啟動應變，待情勢明朗後再行調降；並透過定期演練、案例回顧與跨單位聯席會議校準判準，將分級結果回饋至風險評鑑與控制措施，使分級機制持續精進。