114 高普考高考三級 資通安全 資通安全法令與規範 考古題詳解

核心觀念

本題考《資通安全情資分享辦法》第四條的「不得分享情形」，以及第五條、第八條的分享與接收安全維護要求。答題時要分清楚兩件事：第四條規範哪些情資內容不能分享；第五條與第八條則規範分享前及接收後如何保護情資。

以下以命題當年（民國 114 年）法規為準。該辦法於民國 115 年修正，故本題仍依 114 年版本作答。

解題方法

依「限制分享的內容 → 例外情形 → 部分分享 → 安全維護」的順序整理條文，可完整涵蓋題目所問。法規並未要求含有不得分享內容的情資一律整份不得分享；只要能區隔內容，仍可分享其他部分。

不得分享的情況

依《資通安全情資分享辦法》第四條，情資有下列情形之一者，不得分享：

1. 涉及營業秘密或經營事業資訊，且公開或提供會侵害權益或正當利益：包括涉及個人、法人或團體營業上秘密，或與其經營事業有關的資訊；如公開或提供將侵害公務機關、個人、法人或團體的權利或其他正當利益，即不得分享。

但有下列情形之一者，不受此限制：

• 法規另有規定；
• 對公益有必要；
• 為保護人民生命、身體、健康有必要；
• 經當事人同意。

2. 其他依法應保密或限制、禁止公開的情形：情資如依其他法規規定應秘密，或其公開受限制、禁止，即不得分享。

3. 部分分享原則：情資若只有部分內容屬於不得分享範圍，得只分享其餘部分。實務上應先辨識並適當區隔受保護內容，避免隨情資一併外洩。

分享安全措施

核心觀念

本題考查公務機關發生資通安全事件後，從事件判定、限時通報、損害控制、調查改善到追蹤結案的法定流程。法源主要為《資通安全管理法》第 17 條及命題當年適用的《資通安全事件通報及應變辦法》。

資通安全事件分為第一級至第四級。判定時應考量受影響資訊或系統的性質、損害程度，以及核心業務是否受影響；等級愈高，事件影響通常愈嚴重。通報內容包括發生機關、發生或知悉時間、事件狀況、等級評估、已採取的因應措施及外部支援需求等。

解題方法：依事件處理時序作答

一、發現事件並判定等級

機關發現資通系統、服務或網路發生異常，且符合資安事件通報門檻時，應依機關訂定的內部程序通報通報窗口，評估事件影響範圍、損害程度及機關因應能力，並判定事件等級。

等級判斷重點包括資訊或系統是否屬核心業務、是否涉及一般公務機密或國家機密、資料遭洩漏或竄改的程度，以及系統中斷是否超過可容忍中斷時間。

二、於知悉後一小時內完成通報

公務機關知悉資通安全事件後，應於一小時內依主管機關指定方式及對象辦理通報。通報應載明事件狀況、等級評估、已採取措施及是否需要外部支援等資訊。

若事件等級後續變更，應依規定續行通報。若因故無法使用指定通報方式，仍須於同一時限內以其他適當方式通報，並註明無法依指定方式通報的原因；障礙排除後，應再依指定方式補行通報。

三、受通報機關審核事件等級

受通報機關接獲通報後，依事件等級在法定時限內審核，並得依審核結果變更等級。命題當年適用的辦法規定，第一級或第二級事件於接獲後 8 小時內完成審核；第三級或第四級事件於接獲後 2 小時內完成審核。

四、採取應變、控制損害並復原

核心觀念

業務持續運作管理（Business Continuity Management, BCM）的目的，是在重大中斷或災害發生時，維持機關核心業務運作，並使中斷的業務與資訊服務依優先順序復原。管理程序涵蓋事前規劃、事件應變、業務持續與復原，以及事後檢討改善；不能只把它理解成備份資料或災害復原。

法規基準：以命題當年（民國 114 年）法規為準。《資通安全管理法施行細則》第 6 條要求資通安全維護計畫納入核心業務、核心資通系統、風險評估、防護措施，以及資安事件通報、應變與演練等事項；《資通安全責任等級分級辦法》則依機關責任等級規範應辦理的資安防護措施。法規著重計畫與管理要求，具體管理程序可依業務持續管理及資訊安全管理制度的作法展開。

解題方法：依管理生命週期說明步驟

答題時，可依「先辨識業務與中斷影響、再訂復原策略與計畫、接著演練並持續改善」的順序，說明下列步驟：

1. 訂定政策、範圍與權責 確認管理範圍、目標及適用單位，取得高階管理階層支持，指定負責人員與應變小組，並明定通報、決策及資源調度權責。

2. 辨識核心業務及相依資源 盤點核心業務、核心資通系統、資料、設備、人員、場地、網路、供應商及外部服務，釐清業務運作所依賴的資源與相依關係。

3. 進行業務衝擊分析與風險評估 分析中斷對民眾服務、法定職責、財務及機關運作的影響，辨識可能的中斷情境，並依影響程度排列復原優先順序。應明定可容忍的中斷時間、復原時間目標（RTO）及復原點目標（RPO），作為策略與復原計畫的依據。

核心觀念

本題考的是資安事件的跡證保全：蒐集到的日誌、系統資料與設備，必須能供後續根因分析、鑑識調查及責任釐清使用。保存的關鍵在於維持資料的完整性、真實性、可追溯性與可讀取性，並留下足以說明證據從何處取得、由誰處理及如何保存的紀錄。

以命題當年（民國 114 年）法規為準，《資通安全管理法》及《資通安全事件通報及應變辦法》要求機關建立事件應變及相關紀錄保全機制；公務機關實務可依《各機關資通安全事件通報及應變處理作業程序》的跡證保存原則辦理。題目未限定機關類型，以下以政府機關常見作法說明。

解題方法：依事件發生前、蒐集時、保存後分段作答

一、事前建立保存機制

• 依資通安全責任等級與系統重要性，訂定日誌記錄項目、時間週期、保存期限、備份方式及調閱權限。
• 保存可能與事件相關的系統、網路及安全設備紀錄，例如作業系統、網站、應用程式、登入、資料庫、防火牆、入侵偵測或防禦設備、資安監控及防毒設備日誌。
• 定期將日誌備份至與原稽核系統不同的實體或獨立環境，降低攻擊者刪除或竄改原始紀錄後無從查證的風險。
• 在委外契約中明定事件相關日誌、稽核紀錄及其他跡證的保存、備份與提供方式。

二、事件發生時先控制影響，再保全跡證

1. 記錄現場狀況：記錄事件發現時間、設備與系統狀態、網路連線、相關人員及已採取的處置；必要時拍照或錄影。
2. 隔離受害環境：依事件情況採設備關機、網路中斷或隔離、關閉服務、限制連線與權限等措施，降低攻擊擴散。處置方式與時間均應記錄。
3. 保存易消失資料：若設備仍在運作，且事件情況與專業人力允許，應評估先擷取記憶體、執行程序、網路連線等揮發性資料，再處理設備或儲存媒體，避免關機後資料消失。
4. 保留原始設備或製作備份：盡可能保留受害系統、儲存媒體或虛擬機映像檔。若必須重建系統，應先備份受害儲存媒介；