111 高普考普通考試 資訊處理 資訊管理與資通安全概要 考古題詳解

核心觀念

本題測驗「資訊管理（MIS）高階主管角色定位與組織分工」，主要涵蓋以下核心觀念：

1. 策略性資訊系統（SIS）與高階主管角色演進：現代組織中，資訊科技已從早期的「幕僚支援（Support）」升級為「引領策略（Strategic）」地位，因而衍生出專業分工的高階管理職位（C-Suite）。
2. 組織權責劃分與治理範疇：

• 資訊長（CIO）：側重「整體資訊架構規劃、數位轉型與企業策略對齊（Strategic Alignment）」。
• 知識長（CKO）：側重「組織智慧資本營運、隱性與顯性知識轉換（如 Nonaka 的 SECI 模型）及學習型組織建構」。
• 資訊安全長（CSIO／CISO）：側重「資通安全治理、風險管理、合規性與營運持續」。

3. 法源規範與政策依據：以命題當年（民國 111 年）法規為準，依我國《資通安全管理法》第 11 條規定，公務機關及特定非公務機關皆應置資通安全長，負責推動、督導資通安全相關事務，突顯了資安長在組織中的法定地位與實務重要性。

---

解題方法

本題屬於標準的「列舉比較型申論題」。作答時切忌混雜平鋪直敘，應採用「結構化對稱展開法」進行解題：

1. 分點立論，結構一致：針對題目要求的 CIO、CKO、CSIO 三大職位，均以「職位定位與工作性質」及「核心能力與所需經驗」兩大構面切入，呈現完整且均衡的邏輯架構。
2. 關鍵字精準切入：運用 MIS 專業術語（例如：策略對齊、企業架構 EA、SECI 模型、實踐社群 CoP、縱深防禦、風險評估 ISO 27001）來定義各角色。
3. 對比與綜整：文末以橫向比較彙總表作結，清楚區隔三者在「組織目標、核心管理資產、衡量指標」上的差異，讓閱卷委員能一目了然考生的觀念深度。

---

解題技巧

1. 職稱英文縮寫陷阱：題目所稱之 CSIO（Chief Security Information Officer），在業界與學界通稱為 CISO（Chief Information Security Officer）。作答時應註明此共通性，展示專業素養。
2. 層級定位勿降格：切勿將 CIO 寫成「系統工程師主管」、CKO 寫成「檔案管理員」、CSIO 寫成「防火牆維護者」。這三個職位皆為高階決策層級（CxO），必須著重於「策略規劃、制度建立、跨部門溝通、資源整合與風險治理」。
3. 公部門考題亮點：回答 CSIO 時，主動帶入我國《資通安全管理法》第 11 條之規定，能大幅提高論述的權威性與專業得分。

---

【答案】

擬答內容

在現代高度數位化與知識密集的情境下，資訊管理已由過去被動的技術支援角色，提升為驅動組織創新與維持競爭優勢的核心策略夥伴。組織內部相應演進出資訊長（CIO）、知識長（CKO）及資訊安全長（CSIO/CISO）等專業高階主管，其工作性質與能力要求分述如下：

---

一、資訊長（Chief Information Officer, CIO）

(一) 工作性質

1. 資訊與營運策略對齊（Strategic Alignment）：規劃組織整體的資通訊（ICT）藍圖，確保資訊科技投資與組織長遠發展目標完全契合。
2. 推動數位轉型與創新應用：評估新興科技（如雲端運算、人工智慧、巨量資料）之可行性，驅動內部營運流程重組（BPR）與商業模式革新。
3. 企業架構（Enterprise Architecture, EA）治理：主導企業系統架構、基礎設施建置、IT 專案預算編列與外包廠商生命週期管理。
4. 跨部門價值整合：扮演技術與業務部門之間的橋樑，消除組織「資訊孤島」，促進跨系統資料整合與共享。

(二) 所需具備的能力或經驗

1. 策略規劃與商業敏銳度：具備深厚的宏觀視野，能洞察產業趨勢並將業務需求轉化為具體的資訊實作計畫。
2. 大型專案與變革管理經驗：需具備主持組織級 ERP、雲端遷移或核心系統重構等大型專案管理能力（如 PMP 素養）與組織變革推動經驗。
3. 企業架構整合與技術洞察力：熟悉軟硬體系統架構演進，能有效平衡技術前瞻性與技術債控制。

核心觀念

本題評量專案管理（Project Management，依據 PMBOK 知識體系）中「專案範疇管理（Scope Management）」、「專案時程管理（Schedule Management）」與「專案資源／組織管理（Resource Management）」的核心工具與結構化分解技術。涉及的關鍵概念包含：

1. 工作分解結構（Work Breakdown Structure, WBS）：以「可交付成果（Deliverables）」為導向的階層式分解技術，定義專案的整體範疇，符合「100% 原則（100% Rule）」。
2. 組織分解結構（Organization Breakdown Structure, OBS）：依據執行組織的現有組織架構、部門或團隊所建立的階層結構，用以指明專案工作的組織責任單位。
3. 工作包（Work Package, WP）：WBS 的最底層單元，為成本、工期可獨立估算、控制與管理的最小範疇單位。
4. 工作項目（Activity）：為完成工作包而必須執行的具體行動（Action），是排程（Schedule）規劃、網圖繪製（如 PDM、CPM）的基本運作單元。
5. 整合工具：責任指派矩陣（Responsibility Assignment Matrix, RAM，如 RACI 矩陣），即 WBS 與 OBS 交叉產生的管理工具。

---

解題方法

本題為標準的觀念闡述與關係綜合題。答題切入點分為兩大主軸：

1. 分項精準定義：依照題意依序闡明四個名詞的本質、面向（產出導向、組織導向或行動導向）與管理目的。
2. 多維度關係串聯：避免僅各自分立說明，必須從兩個維度建立邏輯關聯：

• 垂直階層維度（範疇至時程之展開）：$\text{WBS} \rightarrow \text{工作包（WP）} \rightarrow \text{工作項目（Activity）}$，說明產出物如何逐層細化為具體排程作業。
• 水平交叉維度（範疇與組織之對映）：$\text{WBS（工作包）} \times \text{OBS（組織部門）} = \text{RAM（責任指派矩陣）}$，說明工作如何落實到具體負責單位與人員。

---

申論解析與結構對比

1. 各名詞核心內涵分析

• 工作分解結構（WBS）： 屬於「範疇基準（Scope Baseline）」的核心。其特點是以名詞、可交付成果為主體，由上而下逐層分解。其不可包含專案範疇之外的工作，亦不可遺漏任何專案必要工作（100% 原則）。
• 組織分解結構（OBS）： 屬於「組織架構」的展示。其外觀與傳統組織圖（Organization Chart）類似，但目的在於標記出「參與專案」的各個部門、小組或外部協力廠商，為專案活動提供資源提供者與責任歸屬對象。
• 工作包（Work Package）： 位於 WBS 的樹狀結構葉節點（最底層）。工作包的大小通常遵循「8/80 原則」（工時介於 8 小時至 80 小時之間），其產出明確，可被分派給單一專案經理或工作包負責人（Control Account Manager），便於實施實績價值管理（Earned Value Management, EVM）。
• 工作項目（Activity）： 不屬於 WBS 本身，而是時程管理中「定義活動（Define Activities）」過程的產物。工作項目以動詞帶名詞（例如「撰寫登入模組程式碼」、「執行單元測試」）呈現，具備明確的工期（Duration）、邏輯相依性（Precedence Relationship）及資源需求。

2. 四者相互關聯之矩陣與階層模型

• 階層衍生關係： $\text{WBS（整體範疇）} \xrightarrow{\text{階層分解}} \text{Work Package（最底層產出）} \xrightarrow{\text{進一步行動化分解}} \text{Activity（排程作業項目）}$
• 空間交會關係（RAM / RACI）： 將工作包（來自 WBS）置於縱軸，將組織單位（來自 OBS）置於橫軸，兩者交點即構成控制帳戶（Control Account）或責任指派單元（Work Authorization），從而明確指出「誰（OBS）負責完成什麼產出（WBS）」。

---

解題技巧

1. 避免「名詞與動詞」混淆的陷阱：

• WBS 與工作包（WP）聚焦於成果／產出物（Deliverables），命名習慣為名詞或受詞（例如「使用者驗證系統」）。
• 工作項目（Activity）聚焦於執行過程／行動（Actions），命名習慣為動詞加受詞（例如「開發資料庫介面」）。切勿將 Activity 視為 WBS 的一部分，Activity 是由 WP 額外展開而來的時程元素。

2. 拿分亮點：點出「責任指派矩陣（RAM）」與「控制帳戶（Control Account）」：

核心觀念

本題評量 IPv4 位址架構、子網路遮罩運算（Subnet Masking）以及網路管理之實務配置原則：

1. 子網路 ID（Subnet ID / Network Address）：代表特定子網路的識別位址。計算方式是將主機的「IP 位址」與「子網路遮罩」進行逐位元「邏輯且」（Bitwise AND）運算。在該子網路中，主機位元（Host bits）全為 $0$ 者即為子網路 ID，不可指派給單一主機設備。
2. 可用主機位址範圍（Usable Host IP Range）：介於子網路 ID 與廣播位址（Broadcast Address，主機位元全為 $1$）之間的所有合法 IP 位址。
3. 預設閘道器（Default Gateway）：當主機欲發送封包至非本地子網路（不同網段或網際網路）時，負責進行轉發的路由器或 Layer 3 交換器介面 IP。預設閘道器必須位於該主機所屬的同一子網段內，且必須為合法的可用主機 IP。在網路工程實務與管理慣例中，通常固定指派該子網路中的「第一個可用 IP 位址」或「最後一個可用 IP 位址」。

---

解題方法

（一）計算子網路 ID

利用 IP 位址與子網路遮罩進行 Bitwise AND 運算：

• 設備 IP 位址：$167.11.12.88$
• 子網路遮罩：$255.255.255.0$（即前綴長度 $/24$）

運算推導：

• 第一個位元組：$167 \text{ AND } 255 = 167$
• 第二個位元組：$11 \text{ AND } 255 = 11$
• 第三個位元組：$12 \text{ AND } 255 = 12$
• 第四個位元組：$88 \text{ AND } 0 = 0$

將二進位對齊驗證第四個位元組： $88_{(10)} = 01011000_{(2)}$ $0_{(10)} = 00000000_{(2)}$ $01011000_{(2)} \text{ AND } 00000000_{(2)} = 00000000_{(2)} = 0_{(10)}$

因此，此設備所屬之子網路 ID 為 $167.11.12.0$。

（二）推導常用的預設閘道器 IP 位址

1. 確認可用 IP 區間：

• 子網路遮罩為 $255.255.255.0$（$/24$），主機欄位佔 8 個位元。
• 總位址數為 $2^8 = 256$ 個（$167.11.12.0 \sim 167.11.12.255$）。
• 子網路 ID（主機位元全為 $0$）：$167.11.12.0$（不可作為主機或閘道器位址）。

核心觀念

本題評量資通安全管理中密碼學（Cryptography）的核心基礎知識與實務應用協定，涵蓋三大考點：

1. 古典密碼學分類機制：

• 取代法（Substitution Cipher）：明文字元被其他字元、數字或符號替換，字元本身的值改變，但位置不變。其數學形式常表示為對應映射或模運算，如單表取代 $C \equiv (P + k) \pmod{26}$。
• 換位法（Transposition/Permutation Cipher）：明文字元本身不變，僅依特定規則重新排列字元出現的順序（位置置換），如柵欄密碼（Rail Fence Cipher）、矩陣換位。

2. 現代密碼學二大體系之比較：

• 對稱式密碼系統（Symmetric Cryptosystem）：加密與解密使用相同（或可輕易推導）的金鑰。
• 非對稱式密碼系統（Asymmetric Cryptosystem）：使用成對的公開金鑰（Public Key）與私密金鑰（Private Key）。

3. 混合式密碼架構（Hybrid Cryptosystem）：

• 在網路傳輸安全協定（如 SSL/TLS）中，結合非對稱式加密（身分驗證、金鑰交換）與對稱式加密（高效率傳輸資料）之整合設計。

---

解題方法

1. 子題（一）切入點： 由凱薩密碼的運作原理著手。凱薩密碼是將英文字母表依固定位移量 $k$（經典為 $k=3$）進行對應替換。例如字母 $\text{A}$ 代換為 $\text{D}$、$\text{B}$ 代換為 $\text{E}$。明文字元本身的內容被改變，位置並未重新排序，故明確判定為「取代法」。

2. 子題（二）切入點： 採用「架構化對比」切入，從五大維度（金鑰本質、運算效能、金鑰管理與分發、安全防護功能、常見演算法）進行系統化比較，以表格搭配文字精準呈現兩者之優劣互補性。

3. 子題（三）切入點： 剖析 SSL/TLS 運作的兩個核心層級：

• 握手階段（Handshake Phase）：非對稱式演算法運算量極大，但具備公開金鑰可公開傳播之特點，適於配合數位憑證（X.509）驗證伺服器身分，並安全協商或交換一組暫時性的「工作階段金鑰（Session Key）」。
• 資料傳輸階段（Data Transfer Phase）：若全量通訊皆以非對稱式加密傳輸，將導致伺服器吞吐量崩潰；因此通訊內容改由協商出的工作階段金鑰，以高速的對稱式演算法進行加密。 因此，SSL 屬於「兩者都使用」的混合式加密架構。

---

選項分析

針對題目的分支判斷進行成因與正誤剖析：

（一）凱薩加密法之分類判斷

• 取代法（Substitution）【正確】：凱薩密碼的核心是字元替換映射，符合取代法的定義。
• 換位法（Transposition）【錯誤】：換位法不改變字元符號本身，僅打亂字元排列位置（例如將 $\text{HELLO}$ 重排為 $\text{LHOLE}$）；凱薩密碼改變了字元符號，故非換位法。

（三）SSL 安全協定之密鑰架構判斷

• 只利用對稱式密鑰方法【錯誤】：對稱式金鑰無法在事前無信任基礎的公開網際網路上安全分發金鑰，亦無法單靠對稱密碼驗證伺服器數位身分，容易遭遇中間人攻擊（MITM）。
• 只利用非對稱式密鑰方法【錯誤】：非對稱式加密（如 RSA、ECC）運算牽涉大數乘冪與模運算，處理效率比對稱式慢數百倍至千倍，若直接用於大量 HTTP 封包的即時加解密，會耗盡伺服器 CPU 運算資源並造成極高的傳輸延遲。
• 兩種方法都使用【正確】：透過非對稱加密解決「身分認證」與「金鑰分發」問題，再透過對稱加密解決「大資料量傳輸效能」問題，截長補短。

---

解題技巧

1. 申論拿分結構（名詞定義＋數學/運作原理＋結論）： 回答「凱薩密碼屬於哪一種」時，不可只寫分類名稱。標準滿分架構為：「所屬分類 $\to$ 原理說明（明文與密文對應關係） $\to$ 兩者差異對比」，展現觀念深度。
2. 金鑰管理複雜度公式是加分亮點： 比較對稱式與非對稱式時，寫出金鑰數量公式：

• 對稱式：$N$ 個使用者互通需 $\frac{N(N-1)}{2}$ 把金鑰，複雜度為 $O(N^2)$。
• 非對稱式：$N$ 個使用者只需 $2N$ 把金鑰，複雜度為 $O(N)$。

核心觀念

本題評量考生對於企業網路安全架構中「邊界防護設備（Perimeter Defense）」之運作原理、網路分段隔離策略，以及現代應用層防禦技術的掌握程度。核心概念涵蓋：

1. OSI 七層模型與防火牆過濾機制：第 3/4 層（網路層／傳輸層）之封包過濾與第 7 層（應用層）之代理機制在檢測深淺、效能開銷與安全性上的根本差異。
2. 網路安全區域化（Zone-based Security）與 DMZ 隔離：最低權限原則（Principle of Least Privilege）、縱深防禦（Defense-in-Depth）及防止攻擊者「橫向移動（Lateral Movement）」之網路拓撲設計。
3. 網頁應用程式防火牆（WAF）之防護範疇：針對 HTTP/HTTPS 協定內容之深度檢測（DPI）、OWASP Top 10 漏洞防禦、正／負向安全模型及虛擬修補（Virtual Patching）。

---

解題方法

本題為標準的觀念對比與系統架構型申論題，切入策略應條理分明、層次嚴謹：

• 第（一）子題：採用「運作原理 $\to$ 特性 $\to$ 優缺點對比」架構。點出兩者運作的 OSI 層次（L3/L4 vs. L7），並就檢驗依據（標頭 vs. 負載內容）、連線建立方式（端對端直接連線 vs. 雙向中繼代理）與系統開銷展開對照。
• 第（二）子題：從「風險暴露度」與「存取控制限制」雙向剖析。說明 Web 伺服器對外公開之不可避免性，若遭攻陷時如何藉由 DMZ 阻絕其向內部網路（Intranet）擴散，並條列三向式防火牆在「Internet $\leftrightarrow$ DMZ $\leftrightarrow$ LAN」的具體存取規則。
• 第（三）子題：扣合「應用層專屬防護」之定位，分別條列 WAF 的核心功能（針對 Web 攻擊之防禦、敏感資訊遮蔽、機器人緩解）與技術特性（語意解析、虛擬修補、雙重檢測模型）。

---

選項分析

本題為申論題型，無選擇題選項。考生作答時應以小標題引導論述，關鍵技術名詞（如 OSI 層級、狀態檢視、OWASP、橫向移動、虛擬修補等）務必精確標註，以展現專業度。

---

解題技巧

1. 掌握 OSI 層級關鍵維度：談論各類防火牆時，先定位其「運作層級」。封包過濾看 L3/L4 標頭，應用程式代理與 WAF 則深入 L7 酬載（Payload）。
2. DMZ 評分致勝字眼：閱卷老師最在意的採分點為「橫向移動（Lateral Movement）」、「單向限制（禁止 DMZ 主動發起對內網連線）」與「縱深防禦（Defense-in-Depth）」，務必明確列出。
3. 避免將 WAF 與傳統 L7 代理混為一談：WAF 專注於 Web 應用協定（HTTP/HTTPS）的攻擊特徵解析（如 SQL Injection、XSS），並具備語意解碼與虛擬修補能力，作答時須凸顯其針對 Web 應用的專門性。

---

【答案】

（一）封包過濾式與應用程式代理防火牆之特性與優缺點

1. 封包過濾式防火牆（Packet Filtering Firewall）

• 工作原理與特性：
• 主要運作於 OSI 模型的網路層（Layer 3）與傳輸層（Layer 4）。
• 依據管理者預先設定的存取控制清單（ACL），僅檢查封包的標頭（Header）資訊，包含：來源與目的 IP 位址、來源與目的 Port 埠號、協定類型（TCP/UDP/ICMP）及 TCP 旗標（如 SYN, ACK 等）。
• 封包通過時逐一進行規則比對，內部網路與外部主機之間維持直接的端對端（End-to-End）連線。
• 優點：
• 處理效能高、延遲極低：僅解析標頭欄位，運算資源消耗極小，具備高資料吞吐量。
• 對應用程式與使用者完全透明：使用者端與伺服器端無須安裝額外軟體或設定代理伺服器。
• 成本低且相容性高：多數路由器與作業系統核心皆內建支援，適用於大型網路的邊界第一道防線。
• 缺點：
• 無法檢查應用層內容（Payload-blind）：無法防禦隱藏於合法通訊埠（如 Port 80/443）內的應用層攻擊（例如 SQL Injection、XSS、惡意程式）。
• 無法防止 IP 偽冒與狀態偽造：傳統無狀態（Stateless）封包過濾無法追蹤連線交握歷程，容易遭受 IP 詐欺或特定 TCP 異常旗標攻擊（雖現代狀態檢視防火牆 Stateful Inspection 有所改善，但仍受限於 L4 範疇）。

2. 應用程式代理防火牆（Application Proxy Firewall）

• 工作原理與特性：
• 運作於 OSI 模型的應用層（Layer 7）。
• 扮演中繼站角色，終結客戶端連線並代為向目標伺服器發起新連線，在邏輯上完全阻斷內部網路與外部網路的直接網路連線。
• 能夠深入解構應用層協定（如 HTTP、FTP、SMTP、DNS），進行深層內容檢驗（Deep Packet Inspection, DPI）與使用者身分驗證。
• 優點：
• 安全性高與內容感知防護：可精確檢查應用層命令、網址、傳輸字元及附加檔案，有效阻擋非法指令與惡意酬載。
• 隱匿內部網路拓撲：外部主機僅能看到代理伺服器的連線資訊，內部網路之真實 IP 位址與架構完全被屏蔽。
• 具備完整的日誌與稽核能力：可記錄詳細的應用層連線行為（如 URL 存取記錄、傳送之檔案名稱與指令），便於資安事後鑑識。
• 缺點：
• 運算資源開銷巨大、傳輸延遲高：每個封包皆須重組、拆解至第七層分析後再重新封裝轉發，大幅佔用 CPU 與記憶體，吞吐量較低。