114 高普考高考三級 資通安全 資通安全管理 考古題詳解

核心觀念

數位韌性是組織在遭遇天然災害、設備故障、網路攻擊或供應鏈中斷時，仍能維持關鍵服務，並在事故發生後迅速復原、調整及持續改善的能力。它涵蓋事故前的預防與準備、事故中的應變與服務維持，以及事故後的復原與學習。

本題重點是說明如何把「資安防護」與「營運持續」整合起來。資安防護著重降低事故發生機率；韌性則進一步要求事故發生後，組織仍能維持重要服務，並在可接受時間內恢復。可用下列生命週期組織作答：

1. 預防與準備：辨識風險、降低弱點、預先建立復原能力。
2. 偵測與應變：及早發現事故、控制影響、維持必要服務。
3. 復原與改善：恢復系統與資料，並依事故經驗修正制度。

可參考 ISO 22301 營運持續管理、ISO/IEC 27001 資訊安全管理，以及 NIST 資安框架與系統應變復原指引的精神。涉及我國法規時，以命題當年（民國 114 年）法規為準；本題未指定特定法條，作答核心在於說明管理與技術措施。

解題方法

採「治理與風險辨識 → 預防與架構設計 → 偵測應變 → 復原與持續改善」的順序，並將措施連結至服務中斷前、中、後。如此可避免只列備份或防火牆等單一技術，卻未說明如何維持關鍵服務。

一、治理、盤點與風險評估

• 建立權責與政策：由管理階層負責推動，指定資安、資訊、業務及營運持續窗口，明定事件通報、決策、資源調度與復原責任。
• 盤點重要資產與服務：列出資訊系統、資料、網路、雲端服務、設備、人員及外部供應商，並辨識其相依關係。
• 執行風險評估與營運衝擊分析（BIA）：分析威脅、弱點、發生可能性及影響，找出中斷後果最嚴重的服務，據以訂定保護與復原優先順序。
• 設定復原目標：
• 復原時間目標（RTO）：服務中斷後，必須在多久內恢復。
• 復原點目標（RPO）：可容忍回復到多早以前的資料狀態，也就是可接受的資料損失範圍。

例如，RTO 為 4 小時、RPO 為 15 分鐘，表示服務須於 4 小時內恢復，資料回復點與事故發生時的差距不得超過 15 分鐘。

• 建立計畫：制定營運持續計畫（BCP）、資訊系統災害復原計畫（DRP）及資安事件應變計畫，並確保計畫內容、聯絡名單與系統資訊定期更新。

二、降低事故發生機率與擴大範圍

• 落實基本資安控制：執行弱點管理、修補與組態管理，部署端點防護、網路防護、郵件防護及惡意程式防護。
• 強化身分與存取管理：依最小權限原則授權，對管理者及遠端存取實施多因素驗證，定期檢視帳號與權限，並妥善保護特權帳號。
• 分層與分區防護：依系統重要性區隔網路與權限，限制不必要的連線；避免單一帳號或設備遭入侵後，即可橫向控制整個環境。
• 採用安全設計與變更管理：系統建置及更新時納入安全需求、測試及核准流程；重要設定、程式與資料保留可用的版本或組態紀錄。
• 管理第三方與供應鏈風險：評估雲端服務、委外廠商及關鍵供應商的資安與持續營運能力，約定事件通知、服務水準、資料保護及復原責任，並準備替代方案。
• 建立人員安全意識：定期辦理資安教育與釣魚郵件演練，讓人員了解通報管道及事故時應採取的行動。

三、設計可維持服務的系統架構

核心觀念

本題考查零信任架構（Zero Trust Architecture, ZTA）的設計原則，以及為落實「不因網路位置而預設信任」所需的資安防護機制。傳統邊界式防護常將內網視為可信區域；但在雲端、遠距辦公、行動裝置與供應鏈連線普及後，網路邊界難以明確界定，設備即使已連入內網，也不能因此獲得持續且廣泛的信任。

零信任的核心原則是「永不信任、持續驗證」（Never Trust, Always Verify）：每次存取都應依身分、裝置狀態、資源敏感度與當下風險進行驗證及授權，並將權限限制在完成工作所需的範圍內。

解題方法

作答時可依「保護對象、存取主體、存取政策、執行與監控」來整理，說明零信任不是單一產品，而是由身分驗證、裝置安全、網路隔離、資料保護、存取控制及持續監控等機制協同組成。重點在於交代各機制如何共同達成逐次驗證、最小權限與持續評估。

建置零信任架構涉及的資安防護機制

一、資產與資源盤點

盤點使用者、終端裝置、應用程式、伺服器、資料及服務，辨識其所有者、用途、位置與重要性。依資料敏感度及業務影響進行分類，明確界定需要保護的資源，才能設定適當的存取政策與防護強度。

二、身分識別與強化驗證

建立集中且可信的身分管理機制，為員工、管理者、服務帳號及外部合作方配置可識別的身分。存取時採多因素驗證（MFA），並依風險採用無密碼驗證、憑證或生物特徵等方式。對高權限帳號應加強驗證及管理，避免只靠密碼或網路位置判斷使用者可信。

三、裝置安全狀態驗證

除驗證使用者外，也要確認裝置是否符合組織安全政策，例如是否為受管理裝置、作業系統與修補程式是否更新、端點防護是否啟用、是否有越獄或惡意程式跡象。裝置不合規或風險過高時，可拒絕存取、限制可用資源，或要求修復後重新驗證。

四、最小權限與動態存取控制

依使用者身分、角色、裝置安全狀態、資源敏感度、連線情境及威脅資訊，動態決定是否准許存取。可採角色或屬性為基礎的存取控制（RBAC／ABAC），並落實最小權限、職務分離及限時授權。

核心觀念

本題考查 NIST《Cybersecurity Framework 2.0》（CSF 2.0）的核心功能，以及新增「治理」後，組織如何以風險管理方式規劃、執行與改善資安工作。

CSF 2.0 的核心（CSF Core）以六項功能組織資安成果：治理（Govern）、識別（Identify）、保護（Protect）、偵測（Detect）、應變（Respond）、復原（Recover）。各功能是資安成果的最高層級分類，彼此相互配合，並非只能依序執行的線性流程。

其中，治理是 CSF 2.0 新增的核心功能，用來建立組織的資安風險策略、管理期望與政策，並監督其落實情形；它也將資安風險管理連結到組織整體風險管理與決策。

解題方法

先掌握 CSF 2.0 六項核心功能，再逐項說明其管理目的與實務內容。作答時可依「治理與風險掌握、預防與監控、事件處理與營運恢復」的脈絡整理，並指出六項功能共同構成資安風險管理的完整觀點。

六項核心功能

1. 治理（Govern, GV） 建立、溝通並監督組織的資安風險管理策略、期望與政策。實務上包括理解組織情境與利害關係人需求、建立資安策略、界定角色責任與權限、制定政策、監督資安風險管理，以及管理網路安全供應鏈風險。治理提供其他五項功能的方向與優先順序，並使資安工作配合組織任務及整體風險管理。

2. 識別（Identify, ID） 了解組織目前面臨的資安風險。實務上包括盤點資料、硬體、軟體、系統、服務、人員與供應商等資產，掌握資產重要性、脆弱性與相依關係，評估威脅及風險，據以決定資安工作的優先順序。

3. 保護（Protect, PR） 建立適當的防護措施，降低資安事件發生或造成損害的可能性。

核心觀念

資訊資產風險評估的目的，是找出組織的重要資訊與資通系統面臨哪些威脅、脆弱性及可能衝擊，據以判斷風險高低，並決定適當的處理措施。評估的對象不只有設備，也包括資料、軟體、網路、服務、人員及作業場所等。

依《資通安全管理法施行細則》第 6 條，資通安全維護計畫應包括資通系統及資訊之盤點，並標示核心資通系統及相關資產，以及資通安全風險評估。以下所述法規及作業要求，以命題當年（民國 114 年）為準。

風險評估常以風險分析與風險評估兩部分進行：前者辨識、分析風險；後者將分析結果與組織的風險準則比較，決定優先處理對象及可接受程度。常見的半定量計分方式為：

各機關採用的評分尺度、公式及風險門檻可能不同，應依其風險評估程序與維護計畫辦理。分數是排序與管理決策的工具，不能取代對業務衝擊及法令要求的判斷。

解題方法：依序完成風險評估

一、界定評估範圍與準則

先確認評估範圍，例如機關整體、特定業務流程、核心資通系統或某一系統的開發、運作與維護範圍，並界定系統邊界、內外部介面、使用者及委外服務。

同時訂定評估準則，包括資產價值尺度、威脅可能性與脆弱性等級、風險接受門檻、風險處理期限及核准層級。準則一致，評估結果才可比較與追蹤。

二、盤點資訊資產並指定權責

依業務流程及系統架構盤點資產，建立資訊及資通系統資產清冊。常見類別如下：

• 資料與資訊：個人資料、業務資料、系統設定、備份檔。
• 軟體與系統：應用程式、作業系統、資料庫、資通系統。
• 硬體與網路：伺服器、個人電腦、網路設備、儲存設備。
• 人員與服務：系統管理者、承辦人、委外維運、雲端服務。
• 實體環境：機房、電力、空調、通訊線路。

清冊應記錄資產名稱、類別、位置或系統、管理或擁有者、用途、重要性、相依關係及適用的安全要求。明確指定資產負責人，才能取得正確資訊並由權責人確認評估結果；另應標示核心資通系統及其相關資產。

三、評定資產價值與安全需求

依資產遭受損害時對機關及民眾造成的影響，評定機密性（Confidentiality）、完整性（Integrity）及可用性（Availability），簡稱 CIA。可採低、中、高或數值尺度，並說明各級判準。

• 機密性：未授權揭露是否造成個資外洩、法令違反或業務損害。
• 完整性：未授權竄改、毀損或錯誤資料是否影響決策與服務。
• 可用性：系統或資料中斷多久會造成重大業務衝擊。

常見作法是以 CIA 三者最高值作為資產價值，例如 $V_A=\max(C,I,A)$；機關如採其他核定方法，則依其程序計算。評定時須考量資料敏感度、服務重要性、停機容忍時間、法令義務及資產相依性，不宜只以採購價格判斷。

四、辨識威脅與脆弱性