資通安全管理　申論題歷屆試題與參考架構

一個資訊安全中心為有效落實資安管理，確保資訊及網路系統能有效運作並維護其機密性、完整性與可用性，會導入 PDCA 管理循環機制。請針對 PDCA 的四個階段，分別詳述各階段的定義與作為。（20 分）

（20 分）

資料備份與復原管理之目的，在於確保資料於遭受誤刪、硬體故障、勒索軟體或災害時，能於可接受時間內恢復。請詳述資料備份與復原的六個具體作為。（30 分）

（30 分）

請回答以下針對資通安全管理制度中有關稽核的問題：（每小題 10 分，共 30 分）

（一）何謂內部稽核？其目的為何？

（二）何謂外部稽核？其目的為何？

（三）內部稽核與外部稽核的差異何在？

（30 分）

資安事件分級係指組織依事件嚴重程度、影響範圍及損害程度，將資安事件區分為不同等級。請詳細回答以下問題：

（一）說明資安事件分級之目的。（10 分）

（二）說明資安事件分級之判斷依據。（10 分）

（20 分）

數位韌性（Digital Resilience）是指在面臨災難或資安威脅時，資通系統能夠快速恢復運作並保持服務的能力。請詳述實現數位韌性的具體做法。（25 分）

（25 分）

企業組織導入零信任架構（Zero Trust Architecture）的主要目的在於網際網路環境所造成的邊界狀態不明確而引發的系統信任問題。請詳述建置零信任架構涉及的資安防護機制。（25 分）

（25 分）

依據 2024 年美國國家標準及技術研究所（National Institute of Standards and Technology ， 簡 寫 NIST ） 公 布 的 新 版 資 安 框 架 （ Cybersecurity Framework 2.0），請詳述符合管理實務要求的資安框架應涵蓋那些核心功能。（25 分）

（25 分）

請詳述遂行資訊資產風險評估的具體做法。（25 分）

（25 分）

自然人憑證已使用多年，它讓民眾經由自己所屬的電腦就可以取得政府所提供的線上服務。請回答下列問題：

（一）自然人憑證具備那些功能？並且依所述功能列舉可用於公部門的線上便民服務。（12 分）

（二）自然人憑證運用那些機制或技術，以達到（一）所列的功能？（13 分）

（25 分）

請回答下列問題：

（一）區塊鏈的運作是如何達到不可竄改性、透明性以及安全性？（9 分）

（二）區塊鏈如何達到社會信任且可以自動化處理相關業務？（8 分）

（三）區塊鏈如何輔助無紙化公文之簽核作業？（8 分）

（25 分）

某部門規劃將官網設置在雲端，運用「基礎設施即服務」 （IaaS）的機制來建構網站，以改善服務品質。請回答下列問題：

（一）說明 DDoS（Distributed Denial of Service）的攻擊類型。（14 分）

（二）試擬定該官網系統的委外管理原則，以防範可能的 DDoS 攻擊。 （12 分）

（26 分）

勒索病毒攻擊往往造成正在使用的(a)文件無法正常開啟、(b)業務處理系統無法正常運作、(c)作業系統無法正常啟動、(d)網路服務伺服器無法正常提供服務。請回答下列問題：

（一）勒索病毒的攻擊原理為何？（6 分）

（二）依上述(a) ~ (d)分別分析可能的攻擊形式。（6 分）

（三）如何做好事前防備，以分別因應若(a) ~ (d)發生時，可以快速回復運作，（6 分）並分析這些防備機制的優缺點。（6 分）

（24 分）