113 一般警察特考三等 警察資訊管理人員 網路安全與資訊倫理 考古題詳解

核心觀念

本題考查 112 年 9 月 25 日公告的「各類資訊（服務）採購之共通性資通安全基本要求參考一覽表」，重點是把雲端服務的安全要求分成供應商、產品、日誌、資料及存取控制五個面向，並說明機關如何在採購及履約管理中確認廠商符合要求。

雲端服務可包含 SaaS、PaaS 或 IaaS；實際適用項目及要求強度，應依服務類型、機關資通安全責任等級、系統防護需求及個案風險納入採購文件與契約。表列符號中，「●」為建議辦理，「◎」為經機關評估個案有必要時辦理。

以命題當年（民國 113 年）法規及參考一覽表為準。

解題方法

依題目列出的五個項目逐項整理表列要求。回答時除了寫出控制措施，也要交代其目的：供應商安全著重廠商資格與管理制度；產品安全著重服務所使用的資通訊產品；日誌確保事後可追查；資料安全管控資料所在地及防護；存取控制則確保只有適當身分與權限者能使用服務。

各項安全要求

1. 供應商安全

• 廠商應具備完善的資通安全管理措施，或通過 CNS 27001、ISO 27001 等資訊安全管理系統標準驗證，或提出具有同等以上效果的系統或標準佐證。
• 提供服務涉及個人資料時，應依個案納入隱私資訊管理要求，例如 CNS 27701、ISO 27701 或同等標準。
• 廠商不得為大陸地區廠商；涉及國家安全等事項時，機關得依規定限制第三地區含陸資成分廠商參與。
• 機關應確認廠商及其受託服務管理能力，並將必要的資安要求與佐證文件納入採購及履約管理。

2. 產品安全

• 廠商提供雲端服務所使用的資通訊產品，包含軟體、硬體及服務，應符合機關的資安要求，不得使用大陸廠牌產品。
• 機關應確認服務所使用產品及相關元件的安全性；若服務提供行動應用程式，應依表列要求辦理相應的 App 資安檢測或標章要求。
• 對雲端服務或其應用程式涉及的弱點，應依服務類型落實檢視、更新及修補，並提供必要的佐證資料。

3. 事件日誌保存與可歸責性

核心觀念

SQL 注入（SQL Injection）是指攻擊者將特製的輸入資料送入應用程式，使資料庫系統把原本應視為「資料」的內容，當成 SQL 指令的一部分解析與執行。根本原因通常是程式以字串串接方式組成 SQL，未正確區分指令與使用者輸入。

例如，登入程式原本要依帳號及密碼查詢資料：

SELECT * FROM users
WHERE username = '使用者輸入帳號'
 AND password = '使用者輸入密碼';

若輸入值直接串接進查詢字串，攻擊者便可能改變條件或查詢結構，使資料庫執行非預期的操作。

解題方法

作答時先說明「輸入內容改變 SQL 語法結構」的原理，再用一個具體查詢展示注入字串如何改變查詢條件，最後分別列出對資料機密性、完整性與系統可用性的影響，並提出對應的防護措施。這種答法能完整涵蓋題目要求的原理、實例、影響及防範。

1. SQL 注入攻擊及其原理（5 分）

程式將使用者輸入直接嵌入 SQL 字串時，若輸入含有引號、註解符號或 SQL 關鍵字，可能提早結束原有字串、增添條件或改變語句結構。資料庫解析完成後，便可能依被竄改的 SQL 執行查詢或更新等操作。

注入成立的關鍵，是應用程式未把使用者輸入當作純資料處理，而讓它影響 SQL 指令的語法與語意。

2. 注入字串造成查詢語法不當執行的例子（5 分）

假設登入程式以字串串接方式建立下列查詢：

SELECT * FROM users
WHERE username = '使用者輸入'
 AND password = '使用者輸入';

攻擊者在帳號欄輸入：

' OR '1'='1' -- 

若程式未妥善處理輸入，查詢可能成為：

SELECT * FROM users
WHERE username = '' OR '1'='1' -- '
 AND password = '輸入的密碼';

其中 '1'='1' 是恆為真的條件；-- 在常見 SQL 語法中可用來註解該行後續內容。若資料庫與程式的解析條件符合此例，密碼條件便不再參與查詢，可能使登入判斷遭到繞過。

核心觀念

本題考查「政府機關（構）資安事件數位證據保全標準作業程序」的五個保全階段：識別、蒐集、擷取、封緘、運送。作業全程的核心是維持證據的完整性、一致性及可追溯性，避免數位資料因操作、關機、運送或交接而遭到改變、滅失或質疑。

程序參考 ISO/IEC 27037。程序所稱「揮發性資料」，是拔除電源或關機後即會消逝的資料；「邏輯性資料」，是目前作業系統檔案系統可存取的檔案資料；「證據監管鏈」，則是記錄證據從識別、蒐集、擷取、封緘到運送各階段的保管與交接情形。以命題當年（民國 113 年）適用程序為準。

解題方法與各階段作業重點

依照程序的作業順序逐項作答，並將每一階段的目的與具體作為配對：先保護現場、確認標的，再蒐集設備或媒體，接著擷取易失與可存取資料，然後封緘，最後依監管鏈運送。

一、數位證據識別

識別階段著重維護現場、判斷相關標的及留下現況紀錄。

• 要求在場人員停止操作；若設備已開機，原則上不關機，以免改變證據原始狀態或使揮發性資料消失。特殊狀況則依現場情形審酌。
• 維持現場秩序，隔離設備與在場人員，限制未獲授權者進出，減少人為干預。
• 判斷與案情相關的數位證物，例如電腦、周邊設備、可攜式媒體、網路設備及其他可能儲存數位資料的裝置。
• 非必要不觸碰或移動證物。由記錄人員拍照、錄影或以其他方式記錄現場；照片應呈現設備所在位置及外觀，例如電腦主機正面、側面、背面，筆電各面，以及儲存媒體擺放位置與外觀。

二、電腦設備或儲存媒體蒐集

蒐集階段要依設備狀態與服務需求，決定封緘整機、取出媒體，或在監督下轉錄資料。

• 設備可關機時，原則上封緘完整電腦設備，供上級機關或鑑識單位後續處理。
• 確有拆卸儲存媒體必要時，應全程錄影；以拍照記錄者，應呈現拆卸前的線材連接、拆卸後的線材狀態及媒體取出情形。
• 若有外接式儲存媒體，應辨識並依需要封緘、運送。
• 伺服主機無法中斷服務時，應在上級機關或鑑識單位監督下，以嚴謹方式轉錄資料。
• 拍照記錄儲存媒體廠牌、型號、序號、容量等資訊，並填寫電腦設備或儲存媒體蒐集工作表。

三、揮發性與邏輯性資料擷取

擷取階段要依事件類型與現場狀況決定資料項目及順序，並兼顧易失性與操作影響。

• 設備處於開機狀態時，應評估是否先擷取揮發性資料，以保存關機後會消失的資訊。

一、核心觀念

本題考查網路犯罪的辨識、預防宣導及受害後的應變。作答時可分別從「交易財產安全」與「性隱私及未成年人保護」切入：先舉出具體犯罪樣態，再說明如何辨識、預防，最後交代證據保全與通報處理。

涉及法規者，以下均以命題當年（民國 113 年）法規為準。相關法規包括《刑法》詐欺罪及散布猥褻物品罪、《兒童及少年性剝削防制條例》與《性侵害犯罪防治法》等。

二、解題方法與作答架構

每類犯罪各舉三例，宜選擇彼此有區別、足以呈現不同犯罪手法的案例。宣導教育則分別扣合風險：網路拍賣著重查證賣家、使用安全交易機制及不受誘導匯款；網路色情著重性影像的同意與隱私、保護未成年人及辨識網路誘騙。受害處置以「停止損害、保存證據、迅速通報」為主軸。

三、網路拍賣犯罪樣態（每例 2 分，共 6 分）

1. 假網拍、收款不出貨：歹徒刊登不存在或無權出售的商品，以低於市價或限量為誘因，收取貨款後失聯，構成常見的網路交易詐欺。

2. 假買家詐騙賣家：假買家傳送偽造的付款通知，或假冒平台客服，謊稱賣家未開通金流、需解除分期付款或完成認證，誘騙賣家操作網路銀行、提供驗證碼或匯款。

3. 三方詐欺或利用人頭帳戶交易：詐騙者同時欺騙買方及賣方，使買方將款項匯入第三人的帳戶，再由詐騙者取得商品或款項。被冒用帳戶的賣家可能遭列為警示帳戶，買方則可能匯款後未收到商品。

四、網路色情犯罪樣態（每例 2 分，共 6 分）

1. 散布或販賣猥褻色情內容：透過網站、社群或通訊軟體傳送、公開展示或販售猥褻影像、影片；散布猥褻物品涉及《刑法》相關規定。

2. 兒童及少年性影像或性剝削：誘騙、脅迫或利用兒童及少年製作、拍攝、傳送性影像，或在網路上刊登性交易資訊、媒介性交易。此類行為涉及《兒童及少年性剝削防制條例》，應以兒少保護為優先。

3. 未經同意散布私密影像或以影像恐嚇勒索：取得他人裸露或性影像後，未經同意公開、轉傳，或以散布影像相威脅，要求金錢、性行為或其他利益。應依個案情節適用相關刑事法規；影像遭散布不代表被害人同意公開或須自行承擔責任。

五、正確認知及宣導教育（每類 4 分，共 8 分）

（一）網路拍賣犯罪

• 選擇有交易保障的平台及付款方式：優先使用平台提供的下單、付款及申訴機制，避免被引導至私下交易或陌生連結。
• 查證商品與交易對象：確認賣家評價、帳號資訊、商品照片及價格是否合理；遇到遠低於市價、限時搶購、要求先匯款等情形，應提高警覺。
• 不依陌生客服指示操作金融服務：平台不會要求提供網銀密碼、簡訊驗證碼或操作 ATM 來解除分期、認證金流或收取款項；遇到此類說法應停止操作並透過官方管道查證。