113 司法特考三等 檢察事務官類科電子資訊組 資通安全 考古題詳解
第 一 題25 分
資通安全管理法係於 108 年 1 月 1 日施行，並於 111 年 8 月 24 日配合數位發展部成立，行政院公告調整權責及管轄，請說明：
(一) 資通安全管理法之納管對象。
(二) 依據資通安全管理法第 7 條，主管機關應衡酌公務機關及特定非公務機關業務之重要性與機敏性、機關層級、保有或處理之資訊種類、數量、性質、資通系統之規模及性質等條件，訂定資通安全責任等級之分級。請由高至低列出資通安全責任等級。
(三) 依資通安全責任等級分級辦法，請列出資通安全責任等級最高者之認定原則至少 4 項（不含責任等級認定調整事項）。
登入後即可作答並保存紀錄。
核心觀念
本題考查《資通安全管理法》的納管對象，以及《資通安全責任等級分級辦法》的責任等級與 A 級認定原則。作答時應先區分「公務機關」與「特定非公務機關」，再依分級辦法第 2 條、第 4 條作答。
以下以命題當年（民國 113 年）法規為準。現行法規已修正，作答時仍應依題目指定年度適用版本。
解題方法與法規依據
（一）資通安全管理法的納管對象
依《資通安全管理法》第 3 條，納管對象分為 公務機關及特定非公務機關兩類：
- 公務機關：依法行使公權力的中央或地方機關（構）或行政法人，但不包括軍事機關及情報機關。
- 特定非公務機關：包括下列類型：
- 關鍵基礎設施提供者：維運或提供關鍵基礎設施全部或一部，經中央目的事業主管機關指定並報行政院核定者。
- 公營事業。
- 政府捐助之財團法人。
- 受政府控制之事業、團體或機構。
因此，不能只回答政府機關；符合上述法定類型的非公務組織，也屬資安法納管對象。
（二）資通安全責任等級
依《資通安全責任等級分級辦法》第 2 條，責任等級由高至低為：
等級是依機關業務的重要性、機敏性及資通系統等因素認定；若同時符合兩個以上等級的條件，列為其符合的最高等級。
（三）最高責任等級 A 級的認定原則
依命題當年《資通安全責任等級分級辦法》第 4 條，各機關符合下列任一情形，即屬 A 級。題目要求至少列出 4 項，完整列出如下：
第 二 題25 分
ISO/CNS 31000 係規定風險管理的指導綱要，幫助組織進行風險分析和風險評估。我國鑒於企業經營所面臨的風險日益複雜，為協助企業辨識可能之風險，亦訂定「上市上櫃公司風險管理實務守則」。
風險管理程序通常包含 5 個要素，即風險辨識、風險分析、風險評量、風險回應，及監督與審查機制 5 大要素。請依此 5 要素，就 ISO/CNS 27001 導入時之風險管理進行說明。
登入後即可作答並保存紀錄。
核心觀念
本題考查如何把 ISO/CNS 31000 的風險管理程序，應用到 ISO/CNS 27001 資訊安全管理系統（ISMS）導入。作答時依序說明五個要素：風險辨識、風險分析、風險評量、風險回應，以及監督與審查。
ISO/CNS 27001 的核心是依組織的情境與需求，系統化地管理資訊安全風險，維護資訊的機密性、完整性與可用性。風險評估包含風險辨識、分析及評量；風險回應則是選擇處理方式與控制措施，並持續監督其成效。
解題方法
先交代 ISMS 的範圍與評估準則，再依「找出風險—估算程度—決定優先順序—採取處理—追蹤改善」說明五個要素。每一階段都要連結資訊資產、威脅、弱點、可能後果及相關控制措施，避免只抄一般風險管理定義。
五項風險管理要素
一、風險辨識
先界定 ISMS 範圍、邊界、內外部情境及利害關係人需求，盤點範圍內的重要資訊資產與支援資源，例如個人資料、業務系統、伺服器、網路設備、雲端服務及人員。
接著辨識資產面臨的威脅與弱點，並描述可能發生的風險情境。例如：網路釣魚郵件利用員工辨識不足，使帳號遭竊，進而造成未經授權存取或個資外洩。辨識時應涵蓋資訊的機密性、完整性與可用性，也要考量委外廠商、供應鏈、法令遵循及營運持續等因素。
辨識結果應記錄風險情境、受影響資產、可能原因與後果，並指派適當的風險權責人。
二、風險分析
針對已辨識的風險，分析事件發生的可能性及其對組織的影響程度。影響評估可考量資料外洩、資料遭竄改、服務中斷、財務損失、法律責任、商譽受損及對業務的衝擊。
組織應先建立一致的分析尺度與方法，例如定性分級（低、中、高）或半定量評分。採量化或半定量方式時，可用下式表示概念：
分析時應考量既有控制措施的有效性，區分控制措施介入前的固有風險，以及控制措施介入後仍存在的剩餘風險。此公式是常見評估方法，評分尺度及計算方式應由組織依自身情況訂定，並一致適用。
三、風險評量
將分析所得的風險程度，與組織預先訂定的風險接受準則比較，判斷風險是否可接受，並據以排列處理優先順序。
第 三 題25 分
隨著新興科技的快速演進，各項聯網設備的普及，服務、網路、系統和資料等架構會是資安防護和資料保護的重要關鍵。請說明零信任架構的意涵，並簡要說明政府優先推動零信任架構的 3 大工作項目。
登入後即可作答並保存紀錄。
核心觀念
本題考查零信任架構（Zero Trust Architecture, ZTA）的基本理念，以及我國政府零信任機制的三大核心工作項目。
零信任的核心原則是「永不信任，持續驗證」：不因使用者位於機關內網、使用已知設備或曾經通過登入，就直接視為可信。每次存取服務、網路、系統或資料時，都應依身分、設備狀態及存取情境進行驗證與授權，並在連線期間持續評估風險，依最小權限原則只提供完成工作所需的存取範圍。
我國政府採用的零信任機制，以存取閘道控管資通系統存取，並以身分鑑別、設備鑑別、信任推斷作為三大核心工作項目。此題不涉及特定法條；作答時應以命題當年（民國 113 年）政府推動的零信任架構為準。
解題方法
作答可分成兩層：先說明零信任的安全思維，再逐項列出三大工作項目。說明工作項目時，交代每項要驗證或判斷的對象，以及它如何影響存取決策，就能呈現架構的完整性。
政府優先推動的三大工作項目
- 身分鑑別 確認存取者是誰，例如以多因子驗證等方式確認使用者身分。驗證結果應與其職務及業務需求連結，作為後續授權依據。
第 四 題25 分
請說明下列名詞。若原為縮寫或英文，請列示中英文全名：
(一) ISO 定義之開放式系統互聯參考模型。
(二) 多因子認證，並請舉例。
(三) EDR、MDR、XDR。
(四) 資通安全管理法定義之核心業務及核心資通系統。
(五) SQL Injection。
登入後即可作答並保存紀錄。
核心觀念
本題綜合考查網路分層模型、身分驗證、端點威脅偵測與應變服務、資通安全管理法上的法定名詞，以及資料庫安全。作答時應先寫出縮寫的中英文全名，再說明功能或法定內涵；涉及法律定義，以命題當年（民國 113 年）法規為準。
解題方法
名詞解釋題宜採「全名或定義 → 核心功能 → 例子或辨析」的順序。容易混淆的概念，應點出區別：OSI 是參考模型而非特定網路協定；MFA 著重不同驗證因素；EDR、MDR、XDR 分別著重端點偵測、受管理的偵測應變服務，以及跨資料來源的延伸偵測；核心業務與核心資通系統則是資通安全管理法上的相互關聯定義。
名詞說明
（一）ISO 定義之開放式系統互聯參考模型
開放式系統互聯參考模型（Open Systems Interconnection Reference Model，OSI 參考模型）是國際標準化組織（International Organization for Standardization，ISO）制定的網路通訊分層參考架構，用來描述不同系統間進行網路通訊時，各層所負責的功能。由下而上共七層：
- 實體層（Physical Layer）：傳送位元，規範媒介、訊號及介面。
- 資料連結層（Data Link Layer）：在相鄰節點間傳送資料框，處理媒體存取及錯誤偵測。
- 網路層（Network Layer）：負責邏輯位址與路由，例如 IP。
- 傳輸層（Transport Layer）：提供端點間傳輸，例如 TCP、UDP。
- 會議層（Session Layer）：建立、管理及結束通訊工作階段。
- 表示層（Presentation Layer）：處理資料格式、轉換、加密及壓縮。
- 應用層（Application Layer）：提供應用程式使用的網路服務，例如 HTTP、SMTP。
OSI 是分析及設計通訊功能的參考模型；實際網路協定不必完全按照七層逐一實作。
（二）多因子認證，並請舉例
多因子認證（Multi-Factor Authentication，MFA）是要求使用者提出兩種以上、且來自不同類別的身分驗證因素，以提高帳號遭冒用時的防護能力。常見因素包括：
- 所知之事：密碼、PIN 碼。
- 所有之物：手機、硬體安全金鑰、智慧卡。
- 所具有之特徵：指紋、臉部或虹膜等生物特徵。
例如，登入系統時先輸入密碼，再使用手機驗證器產生的一次性驗證碼，分別屬於「所知之事」與「所有之物」，構成多因子認證。密碼加上另一組密碼仍屬同一因素類別，不算真正的多因子認證。