108 高普考普通考試 資訊處理 資訊管理與資通安全概要 考古題詳解

核心觀念

本題測驗管理資訊系統（MIS）之基石觀念與資料治理（Data Governance）能力，涵蓋兩大核心主題：

1. DIKW 階層架構與資訊價值理論：釐清「資料（Data）」與「資訊（Information）」在抽象層級、結構性、脈絡關聯性及決策支援價值上的本質差異與轉換歷程。
2. 資料品質管理框架（Data Quality Framework）：依據國際主流標準（如 DAMA-DMBOK 與 ISO/IEC 25012），掌握衡量資料品質的核心維度（Dimensions），以及執行資料品質評估的實務程序與量化指標。

---

解題方法

本題採「先定義對比、後體系展開」的層次化結構作答：

1. 名詞定義與對比切入：

• 採「定義 $\rightarrow$ 轉換機制 $\rightarrow$ 比較表」三位一體手法。
• 明確指出資料是「未經加工的原始事實」，資訊是「經處理且具決策脈絡之成果」，並說明「輸入 $\rightarrow$ 處理（加值） $\rightarrow$ 輸出」的轉換歷程。

2. 資料品質評估切入：

• 題幹要求「如何評估」，切忌僅背誦名詞。必須區分為「評估構面（評什麼，What）」與「評估程序及方法（如何評，How）」。
• 構面以業界通用之六大關鍵品質維度（正確性、完整性、一致性、及時性、有效性、唯一性）切入，並給予具體量化公式與評估手法（如資料剖析 Data Profiling、規則檢核 Data Auditing）。

---

選項分析

本題為國家考試之申論題（非選擇題），無選項供選取。依閱卷評分標準，本題各子題的給分面向與答題權重分析如下：

• 面向一：資料與資訊之定義與差異（佔配分約 40%）
• 滿分要件：精確點出「脈絡（Context）」與「降低不確定性（Reducing Uncertainty）」是區分二者的核心關鍵，並附上比較對照。
• 失分缺失：僅以生活口語模糊帶過，未點出「未經處理」與「賦予意義」之學理定義，或忽略兩者轉換歷程。
• 面向二：資料品質之評估維度（佔配分約 35%）
• 滿分要件：列出至少 4 至 6 項具代表性的品質維度（如正確、完整、一致、時效等），並能清楚說明其意涵與量化方向。
• 失分缺失：維度列舉過少（如僅寫「準確度」一項），或各維度定義重疊混淆。
• 面向三：資料品質之實務評估程序（佔配分約 25%）
• 滿分要件：提出具體的評估實作步驟（定義指標 $\rightarrow$ 資料剖析 $\rightarrow$ 異常稽核 $\rightarrow$ 改善反饋）。
• 失分缺失：誤將「維度名稱」當成「評估方法」，未寫出具體如何執行評估，造成題意回答不完全。

---

解題技巧

1. 口訣記憶法： 資料品質核心六大維度速記口訣為「正、完、一、時、效、唯」（正確性、完整性、一致性、時效性、有效性、唯一性）。
2. 避開常見陷阱：

• 陷阱一（誤以為量多就是資訊）：海量數據若無組織、無解讀脈絡，本質仍是資料（甚至為資訊雜訊）。切記資訊的核心特徵是「具備行動與決策意義」。
• 陷阱二（只答構面、漏答程序）：題目問「如何評估」，包含靜態指標（Metrics）與動態評估流程（Process）。兩者並陳才能拿下該子題完整分數。

3. 版面排版原則：

• 善用大小標題與編號（一、（一）、1.、（1））。
• 資料與資訊的比較務必繪製精簡表格，閱卷委員可在數秒內掌握關鍵概念。

---

【答案】

一、資料（Data）與資訊（Information）之定義與關係

(一) 資料（Data）之定義

1. 定義：資料是指對客觀事物、事件或交易進行觀察、記錄所得的原始事實（Raw Facts）、數字、文字、符號或觀測值。
2. 特性：資料處於最底層、未經處理的原始狀態，通常缺乏特定脈絡（Context），本身無法直接反映具體意義，亦無法直接作為管理者制定決策的依據。
3. 範例：資料庫中記錄的一連串離散數值，例如「38.5」、「120」、「20190707」。

(二) 資訊（Information）之定義

1. 定義：資訊是將原始資料經過分類、彙整、運算、關聯化或結構化等特定程序處理後，賦予其特定脈絡與意義的成果。
2. 特性：資訊具備目的性、相關性與時效性，能夠降低決策者的「不確定性（Uncertainty）」，進而引導行動或輔助決策。

核心觀念

本題測驗資訊管理領域中「軟體授權與智慧財產權管理」之核心基礎，重點在於評量考生是否能精確釐清自由軟體（Free Software）​與開源軟體（Open Source Software, OSS）​在「發展緣起」、「哲學價值觀」、「授權機制」與「商業實踐」上的本質差異。

本題涉及之核心知識點包括：

1. 自由軟體基金會（FSF）​由理查・史托曼（Richard Stallman）提出的「四大基本自由」（Freedoms 0 to 3）與著佐權（Copyleft）理念。
2. 開放原始碼促進會（OSI）​依據布魯斯・佩倫斯（Bruce Perens）起草之《開放原始碼定義》（Open Source Definition, OSD）十項準則建立的實用主義架構。
3. 兩者在「倫理道德（社會運動）」與「工程實用（商業協作）」維度上的定位衝突與重疊（FOSS/FLOSS 概念）。

---

解題方法

本題為標準的「比較型申論題」，作答切入點應採「先分述定義與特性、後進行多維度矩陣對比」之三段式架構：

1. 第一部分：說明自由軟體。明確引出 FSF 及四大自由（以 0 至 3 標號條列），強調其「自由非免費（Free as in speech, not free beer）」與使用者基本權利保障的核心理念。
2. 第二部分：說明開源軟體。明確引出 OSI 與 OSD 核心規範，強調其源於實用主義、軟體工程品質（同儕審查機制）及對企業商業友善的特點。
3. 第三部分：跨維度差異比較。建立具備評分亮點的對照表，從「發起組織與代表人物」、「核心訴求／哲學觀」、「對專有軟體的態度」、「授權條款傾向（Copyleft vs. Permissive）」及「商業營運模式」等面向切入對比，最後點出兩者多數重疊但精神不同的辯證結論。

---

選項分析

本題為國家考試專業科目之申論題，非選擇題，故無個別選項之對錯辨析。評分重點完全取決於專有名詞之精確度、法理哲學概念之掌握度，以及條列架構之完整性。

---

解題技巧

1. 閱卷得分關鍵字：作答時必須明確寫出「FSF」、「四大自由（Freedom 0, 1, 2, 3）」、「Copyleft（著佐權）」、「OSI」、「Open Source Definition (OSD)」與「實用主義（Pragmatism）」。
2. 常見落入陷阱：

• 誤將 Free 視為「免費（Gratis）」：自由軟體強調的是「自由（Liberty）」，並未禁止商業收費。
• 誤以為兩者指涉完全不同的程式碼：事實上兩者幾乎涵蓋同一批軟體集合，差異在於「背後的價值觀與授權理念」。

3. 記憶口訣：

• 自由軟體記「道德人權、Copyleft、強傳染性（GPL）」。
• 開源軟體記「工程效率、商業相容、弱傳染或寬鬆授權（MIT/Apache/BSD）」。

---

【答案】

一、自由軟體（Free Software）之定義及特性

1. 定義： 自由軟體由理查・史托曼（Richard Stallman）於 1985 年創立之自由軟體基金會（Free Software Foundation, FSF）所推動。其本質是一場社會倫理與使用者權利運動，主張軟體使用者應享有掌控運算環境的權利。此處的「自由（Free）」指涉「言論自由（Free Speech）」，而非「免費啤酒（Free Beer）」。依 FSF 規範，一套軟體必須同時滿足四大基本自由，方能稱為自由軟體：

• 自由 0（運行自由）：出於任何目的運行該程式的自由。
• 自由 1（研究與修改自由）：研究該程式如何運作，並依個人需求修改它的自由；取得原始碼為其先決條件。
• 自由 2（重新散布自由）：重新散布副本以協助鄰人與社群的自由。
• 自由 3（散布修改版本自由）：將個人修改後的版本發布給大眾的自由，使全體社群受惠；

核心觀念

1. DDoS（分散式阻斷服務）攻擊類型與特徵：

• 容量／頻寬消耗型（L3/L4）：如 UDP Flood、NTP/DNS 反彈放大攻擊（Amplification Attack），利用巨量頻寬塞爆對外網路閘道。
• 狀態／連線耗盡型（L4）：如 TCP SYN Flood、ACK Flood，惡意耗盡伺服器或防火牆連線狀態表（State Table）。
• 應用層阻斷型（L7）：如 HTTP GET/POST Flood、Slowloris，消耗網站伺服器與資料庫之 CPU、記憶體與執行緒資源。

2. 資通安全事件應變生命週期（NIST SP 800-61 / ISO 27035）：

• 包含「偵測與分析」、「遏阻與緩解」、「根除與復原」、「事後檢討」四大標準階段。

3. 公務機關法定義務（以命題當年民國 108 年法規為準）：

• 依民國 108 年 1 月 1 日施行之《資通安全管理法》第 14 條及《資通安全事件通報及應變辦法》第 4 條、第 6 條：
• 公務機關發生資安事件時，應於知悉後 1 小時內向主管機關（民國 108 年時為行政院資通安全處，透過公務機關資通安全通報平台）完成通報。
• 需依損害程度進行事件等級判定（業務服務中斷通常屬 2 級或 3 級事件），並於法定時限內（2 級為 72 小時、3 級為 36 小時）完成損害控制與復原，1 個月內提交調查與改善報告。
• （現行法已修正：中央主政機關現已改隸為「數位發展部資通安全署」，但法定通報時限與處理精神維持不變。）

---

解題方法

本題為公職考試標準的「情境處置申論題」。面對機關遭受 DDoS 攻擊，作答切入點必須採取​「技術實務」與「行政合規」雙軌並行架構：

1. 區分內外層次：不能僅單純回答「修改伺服器設定」，因為當攻擊流量大於機關對外頻寬時，內部設備將完全癱瘓；必須結合上游網路業者（ISP）聯防。
2. 依時間軸展開：採用「即時偵測與判斷 $\to$ 法定通報與協調 $\to$ 實體阻斷與流量緩解 $\to$ 系統復原與後續檢討」四步驟，展現身為公務機關網管人員在技術與體制上的完整應變能力。

---

選項分析

本題為申論題，非選擇題。考生在申論鋪陳時應注意以下關鍵得分構面與常見盲點：

• 盲點一：僅著重本機主機防禦。若只回答「設定 iptables」或「重啟 Web 伺服器」，忽略了頻寬型攻擊發生在網路層，機關線路早已滿載，封包根本無法到達主機，直接扣分。
• 盲點二：遺漏法定義務與通報。身為政府機關網管人員，未提及《資通安全管理法》的事件分級、1 小時通報時限與通報窗口，即無法達到公職評分標準。
• 盲點三：未區分正常流量與攻擊流量。未提「確認是否為快閃人潮（Flash Crowd，如突發性政策宣布造成正常查詢暴增）」即盲目封鎖，屬於缺乏實務分析判斷之漏洞。

---

解題技巧

1. 答題口訣：【判、通、阻、復、檢】

• 判：研判攻擊型態與流量特徵，排除正常高乘載。
• 通：依《資通安全管理法》1 小時內向上通報，並啟動內部應變小組。
• 阻：聯繫 ISP 啟動流量清洗、邊界防禦與 L7 限制。
• 復：恢復受影響服務，驗證資料完整性。
• 檢：留存 Log 證據，提交改善報告並強化常態防護。

2. 層次排版原則：答案須條列標號，先寫大標題，內文結合具體技術名詞（如 SYN Cookie、BGP Flowspec、CDN、WAF），提升專業度與卷面吸睛度。

---

【答案】

身為機關網管監控人員，面對網站流量激增且服務受阻之疑似 DDoS 攻擊情境，應依據標準資安事件應變流程及相關法規，循序執行下列處置：

核心觀念 本題旨在評量考生對資通安全架構中「身份認證與電子文件防護技術」的掌握程度，核心在於辨析「廣義電子簽章」與「基於密碼學演算法之數位簽章（Digital Signature）」之技術內涵與法律位階。

1. 電子簽章法規依據：以命題當年（民國 108 年）法規為準，《電子簽章法》第 2 條第 2 款明定：「電子簽章指依附於電子文件並與其相關連，用以辨識及確認電子文件簽署人身分、資格及電子文件真偽者。」（註：現行法已於民國 113 年修正公布，明定電子簽章與數位簽章之功能等同原則並調和跨國效力，但解題仍以命題當年法規為準）。
2. 密碼學演算法技術基礎：題幹所指「經由密碼學演算法產生的電子簽章」，即技術上之「數位簽章（Digital Signature）」，運作基礎為單向雜湊函數（One-Way Hash Function）​與非對稱式密碼演算法（Asymmetric Cryptography，公鑰與私鑰機制）。
3. 資訊安全基本特性：評量對資訊安全核心屬性（Authentication、Data Integrity、Non-repudiation）在數位簽章架構下的成因與對應機制的理解。

---

解題方法 本題為標準的觀念剖析題，作答策略採「由廣至深、法理與技術並陳」：

1. 第一子題（電子簽章定義）：先給出資訊科學的廣義概念（任何能表明簽署人意願之電子形式標記），再引用台灣《電子簽章法》之法定狹義定義，凸顯公職考試所需的法規專業度。
2. 第二子題（密碼學演算法簽章之特性）：明確指出該技術即為「數位簽章」，透過私密金鑰加密雜湊值（Signature Generation）、公開金鑰解密比對（Signature Verification）之運作原理，嚴謹推導出「身份鑑別性」、「資料完整性」與「不可否認性」三大核心特性，並說明各特性在密碼學演算法上的實現原理。

---

選項分析 本題為申論問答題（非選擇題），無選項可供拆解。閱卷評分重點與子題配分切入點如下：

1. 電子簽章定義之評分標準：

• 僅回答「把簽名掃描成圖檔或在平板上簽名」：屬非專業回答，僅能得基礎分數。
• 同時掌握「技術廣義概念」與「電子簽章法法定要件（辨識身分、確認資格、防杜偽造）」，能獲滿分。

2. 特性推導之評分標準：

• 僅列出名詞（如：完整性、不可否認性）：僅得部分條列分數。
• 詳述密碼學原理（如：以私鑰加密雜湊值達成不可否認、Hash 一致性達成完整性），並明確辨析「機密性（Confidentiality）非數位簽章之本質特性」，為拿取頂尖分數之關鍵。

---

解題技巧

1. 觀念包含關係判斷： $\text{電子簽章（Electronic Signature）} \supseteq \text{數位簽章（Digital Signature）}$ 所有數位簽章都是電子簽章，但電子簽章不一定是數位簽章（如傳真簽名、電子郵件簽名檔、掃描圖檔等未經密碼學運算者，均屬一般電子簽章）。
2. 常見失分陷阱（機密性陷阱）： 許多考生會直覺背誦資安三要素「CIA」，而將「機密性（Confidentiality）」寫入數位簽章的特性中。數位簽章本身絕不提供機密性，因為簽署後的明文與簽章通常是一併公開傳輸的；若需要機密性，必須另外透過接收方的公開金鑰或對稱式金鑰將整份訊息加密（數位信封技術）。