115 高普考高考三級 資通安全 資通安全管理 考古題詳解

核心觀念

本題考查資訊安全管理系統（Information Security Management System, ISMS）的 PDCA 管理循環，也就是「規劃（Plan）—執行（Do）—查核（Check）—改善（Act）」四階段。其目的在於透過持續循環的管理，建立、運作、監督及改善資安管理機制，使資訊與網路系統的機密性、完整性及可用性獲得維護。

PDCA 不是一次性的建置流程。查核所得的缺失與改善結果，會回饋到下一輪規劃，讓控制措施隨風險、組織環境及資安事件變化而調整。

解題方法

依 PDCA 四個英文字母的順序作答，並在每一階段交代兩件事：階段定義及具體作為。作為宜涵蓋政策與目標、風險評估與控制措施、日常執行、監督稽核、管理審查及矯正改善，使答案呈現完整的管理循環。

PDCA 四階段定義與作為

一、Plan：規劃

定義： 依組織任務、資訊資產及內外部環境，建立資安管理的方向、目標與執行方案，並決定如何處理資訊安全風險。

主要作為：

• 確認 ISMS 的適用範圍、管理責任及資安政策。
• 盤點資訊資產，辨識可能威脅與弱點，評估風險及其影響。
• 依風險評估結果訂定風險處理計畫，選擇適當的安全控制措施。
• 設定可衡量的資安目標、執行期程、所需資源與權責。
• 建立相關程序與計畫，例如存取控制、備份、事件通報、營運持續及教育訓練。

二、Do：執行

定義： 依規劃結果推動 ISMS，落實風險處理計畫與各項安全控制措施，使政策及程序進入日常作業。

主要作為：

• 配置人力、經費、設備與其他必要資源，並明定執行責任。
• 執行核准的安全控制措施，例如帳號權限管理、弱點修補、備份及實體安全管理。
• 辦理資安教育訓練與宣導，使相關人員了解自身責任及作業要求。
• 依程序監控系統，執行事件通報、應變與復原作業。

核心觀念

本題考查備份與復原管理如何同時達成「資料可恢復」與「服務可在可接受時間內恢復」。備份不是只把資料複製一份，還要規劃備份範圍、頻率、保存、隔離、驗證與復原演練。

可用兩項復原目標說明規劃基準：

• 復原時間目標（RTO）：服務中斷後，必須在多久內恢復。
• 復原點目標（RPO）：可接受的資料回復至多舊到什麼時間點，反映可容忍的資料損失量。

題目未指定適用法規或機關類型，以下以一般資通安全管理與營運持續原則作答。

解題方法

依「備份規劃、備份執行、備份保護、復原驗證」的完整生命週期，整理六項具體作為。每項都應兼顧制度、技術或實際操作，並說明其如何降低資料損失或縮短復原時間。

六個具體作為

一、訂定備份政策與復原目標

依資料重要性、系統服務需求及風險評估，界定備份範圍、責任人員、備份頻率、保存期限、保存位置及復原程序；並為重要系統訂定 RTO 與 RPO。RPO 用來推定備份頻率，RTO 則用來檢視備份媒體、設備與復原流程是否足以在期限內完成。

二、採取適當的備份方式與排程

依資料變動程度與復原需求，安排完整備份、增量備份或差異備份，並採取定期與必要時的即時備份。完整備份便於復原但耗用較多時間與空間；增量備份節省空間，復原時須依序套用多份備份；差異備份復原時通常只需完整備份及最近一份差異備份。排程應避免備份作業影響正式服務，並涵蓋資料庫、設定檔、系統映像及必要的金鑰或組態資訊。

三、保留多份備份並分散保存位置

依資料重要性及災害風險，保存多份備份，並將備份媒體或副本存放於不同設備、不同區域或異地，以降低單一硬體故障、火災、水災等事件同時摧毀原始資料與備份的風險。

（一）何謂內部稽核？其目的為何？

核心觀念

內部稽核是由機關或組織自行規劃並執行的系統性檢查，稽核人員可由內部指定，也可由組織委託外部專業人員協助；其稽核責任及改善責任仍由組織承擔。資安管理上的內部稽核，主要檢視資通安全政策、資通安全維護計畫、管理制度及相關控制措施是否符合要求，並確認是否落實且有效。

內部稽核不只是核對文件，也會依稽核範圍查驗紀錄、訪談人員、檢視控制措施運作情形，辨識缺失並追蹤改善。

解題方法

作答時可依「由誰發動、查核什麼、達成什麼目的」說明：

1. 發動者：受稽核組織本身。
2. 查核對象：組織內部的資安制度、計畫、流程及控制措施。
3. 主要目的：確認制度是否符合要求且有效執行，找出缺失與風險，促成改善。

目的

內部稽核的目的包括：

• 確認資安政策與維護計畫是否符合適用法令、規範及組織內部要求。
• 檢查資安控制措施是否適當設計、確實執行並持續有效。
• 及早發現制度缺失、執行落差及潛在風險。
• 提出改善建議並追蹤改善結果，作為管理階層檢討及持續精進的依據。

（二）何謂外部稽核？其目的為何？

核心觀念

外部稽核是由組織以外的主管機關、上級或監督機關、委託的第三方稽核機構，或其他具獨立性的外部人員，依稽核依據、範圍及基準，查核受稽核組織的資安管理制度或實施情形。

在公務機關及特定非公務機關的資安管理制度中，主管機關或依法收受資通安全維護計畫實施情形的機關，可依相關規定辦理稽核。稽核可能包括文件查閱、訪談、現地查核或其他適當方式；發現缺失時，受稽核機關須提出改善報告並依要求追蹤改善。

解題方法

同樣依「由誰發動、查核什麼、達成什麼目的」作答：

1. 發動者：受稽核組織以外的機關或獨立稽核者。
2. 查核對象：受稽核組織的制度、計畫、控制措施及實際執行情形。
3. 主要目的：以外部角度確認受稽核者是否符合要求，並促進監督、問責及改善。

目的

外部稽核的目的包括：

• 確認受稽核組織符合法令、主管機關要求、契約義務或其他適用標準。
• 以相對獨立的角度評估資安管理制度與控制措施的適當性及執行成效。
• 促使組織正視缺失、提出改善措施，並接受後續追蹤或監督。

核心觀念

本題考查資安事件「分級管理」：依事件對資訊、資通系統及機關業務造成的衝擊，區分事件等級，以決定通報、應變及復原的急迫性與強度。分級不是只看駭客手法或受影響設備數量，而要綜合判斷資訊重要性、洩漏或竄改程度、系統與業務影響，以及恢復時間。

以命題當年（民國 115 年）法規為準，主要依據為《資通安全管理法》及《資通安全事件通報應變及演練辦法》第 2 條、第 4 條。該辦法於民國 115 年 1 月 5 日修正發布，事件分為四級；本題所問目的與判斷依據，可由分級規定及各機關應訂定的事件分級作業內容整理作答。

解題方法

採「目的」與「依據」分開作答：

1. 目的說明分級能帶來哪些管理效果，例如設定應變優先順序、啟動通報及支援、控制損害、加速復原。
2. 依據按「資訊與系統的重要性、事件造成的損害、業務中斷與復原、事件影響範圍及機關處理能力」逐項檢視。

答題時可先概括分級原則，再舉出四級規範中的判斷項目，呈現對法規架構的掌握。

（一）資安事件分級之目的（10 分）

1. 決定處理優先順序與應變強度 依事件嚴重程度配置人力、技術及管理資源，使影響較大的事件優先獲得處理，避免重要業務或關鍵系統持續受損。

2. 啟動適當的通報、應變與指揮機制 分級可作為內部通報、主管機關通報、事件升級及應變小組啟動的依據，讓相關單位及早掌握狀況並協調處置。

3. 控制損害並降低擴大風險 對事件及早定級，有助於迅速採取隔離、阻斷、停用受影響服務、保存證據等措施，減少資訊外洩、資料遭竄改或服務中斷的範圍。

4. 安排復原與外部支援 依事件等級安排系統復原、鑑識調查及改善工作的急迫性；當機關本身處理能力不足時，可據以評估及提出外部支援需求。

5. 建立一致的管理尺度並利於監督檢討 統一分級有助於不同機關依相近標準描述事件、追蹤處理進度及檢討改善，也讓主管機關掌握資安事件狀況與資源需求。

（二）資安事件分級之判斷依據（10 分）

依《資通安全事件通報應變及演練辦法》第 2 條，資通安全事件分為四級，主要從下列面向判斷：