112 高普考高考二級 資訊處理 資訊管理與資通安全研究 考古題詳解
第 一 題24 分
「行政院及所屬機關（構）使用生成式 AI 參考指引」，其中第三點：「製作機密文書應由業務承辦人親自撰寫，禁止使用生成式 AI。」
請就資安保密、責任歸屬、技術風險、法律合規等面向，說明應如此限制的原因。
登入後即可作答並保存紀錄。
核心觀念
本題考查公務機關使用生成式 AI 時的機密維護、資訊安全、行政責任與法令遵循。題目引述「行政院及所屬機關（構）使用生成式 AI 參考指引」第三點，明定製作機密文書須由業務承辦人親自撰寫，禁止使用生成式 AI。以命題當年（民國 112 年）法規為準。
機密文書的內容一旦交由外部或未經核准的 AI 服務處理，即使只是請 AI 潤飾文字，也可能使機密資訊離開機關可控的環境。因此，這項限制不是只在規範「誰負責寫作」，也涉及資訊處理過程中的保密與責任控制。
解題方法
可從四個面向說明：機密資料是否外洩、誰對文書內容負責、AI 技術有哪些不可控風險、使用行為是否符合保密及個資等法令要求。回答時須連結「機密文書」的敏感性與生成式 AI 的服務特性，說明為何即使有人事後審閱，也不足以取代禁止使用的要求。
資安保密
生成式 AI 服務可能透過網路傳輸使用者輸入的提示詞、附件或上下文；機關若使用外部服務，通常無法完全掌握資料的儲存位置、保存期間、存取權限及刪除狀況。將機密文書內容貼入提示詞、上傳附件或提供足以還原內容的摘要，都可能造成機密資料外流。
即使業者承諾不將資料用於模型訓練，也不能因此推定資料已符合機關機密維護要求。服務端的紀錄、權限管理、備份、境外處理與資安事件處置，仍可能超出機關的控制範圍。機密文書由承辦人於受管制的機關環境內親自撰寫，才能維持資料的可控性與最小揭露原則。
責任歸屬與行政問責
公務文書代表機關處理公務，承辦人須對內容的正確性、完整性及適法性負責。生成式 AI 不具備公務員身分，也不能承擔行政責任；即使 AI 產生錯誤內容，仍須由機關及承辦人負責查證、修正及說明。
第 二 題24 分
「零信任架構」（Zero Trust Architecture）是一種概念，請用最簡單白話的方式或比喻描述這個概念究竟是什麼？
實施重點有身分鑑別、設備鑑別及信任推斷三大關鍵技術，請加以說明。
登入後即可作答並保存紀錄。
核心觀念
本題考查零信任架構（Zero Trust Architecture, ZTA）的基本精神，以及三項實施重點：身分鑑別、設備鑑別與信任推斷。
零信任的核心是：不因使用者已連上內部網路，或曾經通過一次驗證，就預設其可信；每次存取都要依身分、設備狀態與情境重新評估，並只授予完成工作所需的權限。
白話比喻：傳統作法像是「進了公司大門，就能在內部自由走動」；零信任則像進入每個房間都要確認身分、檢查通行證與當下狀況，只能進入獲准的房間。即使人在公司內網，也不代表自動可信。
解題方法
作答時先說明「不因網路位置而信任、每次存取都驗證」的核心，再依題目指定的三項技術分別說明。每項都交代「要確認什麼」及「如何影響存取決策」，即可完整回答。
一、身分鑑別
確認提出存取要求的是誰，並驗證其身分是否可信。常見方式包括帳號密碼、多因素驗證（MFA）、憑證或單一登入（SSO）。
身分鑑別不只在登入時進行；遇到高敏感度資源、異常登入地點或風險升高時，也可要求重新驗證。驗證結果會影響使用者能否存取，以及可取得哪些權限。
二、設備鑑別
確認使用者用來連線的裝置是否為已知、受管理且符合安全政策的設備。檢查項目可包括設備識別資訊、作業系統與修補狀態、防毒或端點防護是否啟用，以及設備是否遭破解或感染惡意程
第 三 題28 分
容器和虛擬主機是兩種不同的虛擬化技術，請說明它們在運作上的隔離程度、資源需求、啟動速度、部署管理等差異。
登入後即可作答並保存紀錄。
核心觀念
本題考查容器（Container）與虛擬主機（Virtual Machine, VM）的虛擬化架構，以及兩者在隔離、資源使用、啟動速度與部署管理上的差異。
虛擬主機透過虛擬機器監視器（Hypervisor）模擬硬體，讓每部 VM 執行自己的作業系統核心。容器則使用作業系統層級虛擬化，由主機作業系統核心提供隔離機制，多個容器共用同一個核心，但各自具有獨立的程序、檔案系統與網路等執行環境。
解題方法
依序比較「隔離層次、資源開銷、啟動速度、部署管理」四個面向。作答時先指出兩者架構差異，再說明架構如何影響效能與管理方式，即可完整回答題意。
| 比較面向 | 容器 | 虛擬主機 |
|---|---|---|
| 隔離程度 | 以作業系統層級隔離，容器共用主機核心。隔離通常弱於 VM；若核心遭攻破，可能影響同一主機上的其他容器。 | 以 Hypervisor 隔離硬體資源，各 VM 有自己的作業系統核心，隔離程度通常較高，適合需要較強安全邊界或執行不同作業系統的情境。 |
| 資源需求 | 不需為每個容器額外執行完整作業系統，通常較輕量，記憶體、儲存空間與 CPU 開銷較低，同一主機可執行較多個實例。 | 每部 VM 都需配置並執行完整作業系統，通常較耗用記憶體與儲存空間，虛擬化開銷也較高。 |
| 啟動速度 | 啟動容器通常只需建立隔離的程序與執行環境，速度快，適合快速擴縮與頻繁部署。 |
第 四 題24 分
請分別針對機密性、完整性、可用性，舉例說明有哪些惡意行為或攻擊會造成這三類危害。
登入後即可作答並保存紀錄。
核心觀念
本題考查資訊安全的 CIA 三要素：機密性（Confidentiality）、完整性（Integrity）與可用性（Availability）。判斷攻擊類型時，重點是看它主要破壞了資訊或系統的哪種安全性：
- 機密性：資訊只讓經授權的人員或系統讀取，避免未授權揭露。
- 完整性：資訊與系統資料維持正確、完整，避免未授權或不當的新增、修改、刪除。
- 可用性：經授權的使用者能在需要時使用資訊與服務，避免服務中斷或資源無法取得。
同一種攻擊也可能同時危害兩種以上要素，應依其主要造成的影響分類。
解題方法
作答時，先確認各要素所保護的目標，再以「攻擊造成什麼結果」舉例：
- 若攻擊使未授權者看見、取得或洩漏資料，屬於機密性危害。
- 若攻擊使資料或系統遭到竄改、偽造、破壞或刪除，屬於完整性危害。
- 若攻擊使使用者無法登入、讀取資料或使用服務，屬於可用性危害。
各類危害與攻擊例子
一、機密性（Confidentiality）
機密性關注資訊是否遭未授權讀取或揭露。例如：
- 竊聽或封包側錄：攻擊者在網路傳輸過程中攔截未加密的帳號、密碼或訊息。
- 釣魚與憑證竊取：誘騙使用者輸入帳密，再以被竊得的身分登入並讀取機密資料。
- 資料外洩：入侵者竊取客戶個資、考生資料或機關內部文件並外傳。
- 間諜軟體或鍵盤側錄程式：暗中記錄使用者輸入的資料，回傳給攻擊者。
- 未授權存取：攻擊者利用弱密碼、漏洞或權限設定錯誤，讀取原本無權存取的檔案。
二、完整性（Integrity）
完整性關注資料是否保持正確、完整且未遭未授權變更。例如：