112 鐵路人員升資考試員級晉高員級 技術類(選試資訊管理與資通安全) 資訊管理與資通安全 考古題詳解

核心觀念

本題考查零信任架構（Zero Trust Architecture, ZTA）與傳統「以網路邊界為中心」的資安管控方式有何差異。零信任的核心原則是不因使用者位於機關內網、曾經通過登入，或使用受信任的設備，就預設其可信；每次存取資源都要依身分、設備狀態與存取情境進行驗證及授權，並持續評估信任程度。

零信任並非單一產品，而是一套以資源保護為中心的架構與管控原則。NIST SP 800-207 將零信任架構作為規劃企業資安架構的原則；我國政府推動的零信任網路，則以身分鑑別、設備鑑別、信任推斷為三大核心機制。

解題方法

作答時可從「信任依據、存取控制、驗證方式、內部威脅與防護範圍」比較兩種架構。傳統架構主要先區分內外網，再依網路位置套用信任；零信任則把每次存取視為個別授權決策，並依當下條件持續驗證。

核心觀念

本題考查的是公有雲遷移的可行性與風險評估。決策不應只比較雲端服務的價格或效能，而要逐一檢視資訊系統的業務需求、資料敏感度、法規要求、資安風險、技術相容性、總持有成本及機關的管理能力。

公有雲由雲端服務提供者透過網路提供共用的運算資源；機關可以按需使用及擴充資源，但須與服務提供者分工負責管理與安全控制。服務模式（IaaS、PaaS、SaaS）不同，機關可管理的範圍也不同：一般而言，服務提供者管理得越多，機關自行維護的工作越少，但仍須確認資料、帳號、設定及使用方式等責任如何分配。

題目未指定特定系統或資料類型，因此應以「逐系統評估、符合機關任務與法規要求者才遷移」作答。涉及政府機關資通安全、個人資料或其他法規義務時，以命題當年（民國 112 年）法規為準。

解題方法

可用「業務效益、法規與資料、資安與營運、技術與成本、治理與退場」五個面向逐項分析。答題時先說明雲端是否適合，再列出判斷因素及其理由，最後提出整體評估結論。

一、業務需求與雲端效益

• 業務重要性與系統特性：判斷系統是否支援核心任務、是否須全天候運作、是否涉及高度關鍵或敏感業務；也要檢視系統規模、使用者數量、季節性尖峰及業務負載是否適合雲端。
• 擴充性與敏捷性：若使用量起伏大，雲端彈性調整運算與儲存資源的能力可能有助於因應尖峰或快速部署。
• 服務品質需求：確認回應時間、可用率、服務時段及故障復原時間能否符合業務要求。

二、資料、法規與管轄要求

• 資料分類與敏感程度：盤點個人資料、機敏資料、機關內部資料及公開資料，評估各類資料是否適合由外部服務商處理或儲存。
• 法規與政策遵循：確認資料蒐集、處理、利用、保存、調閱及刪除方式符合適用規定與機關政策，並釐清政府機關的資通安全責任。
• 資料所在地與管轄權：確認資料及備份存放的地區、可能適用的司法管轄、跨境傳輸安排，以及機關能否依規定取得或控制資料。
• 稽核與證據需求：確認機關能否取得足夠的稽核紀錄、服務商的安全控制證明，以及主管或稽核機關所需的查核配合。

三、資安與營運風險

• 責任分工與安全控制：釐清機關和服務商在身分與存取管理、網路防護、系統修補、資料加密、金鑰管理、日誌監控及事件通報等工作的責任。
• 威脅與風險評估：評估帳號遭竊、錯誤設定、資料外洩、服務中斷、內部人員濫用及供應鏈風險，並確認防護措施符合系統風險等級。
• 備援與災難復原：檢視備份位置、復原程序、復原時間目標（RTO）及復原點目標（RPO），並確認發生服務中斷時仍能維持必要業務。

核心觀念

本題考查軟體專案發生時程延遲時，如何採取時程壓縮與專案調整措施，使專案能在可接受的期限內完成。除題目已列出的加班、加點、加人外，常見作法包括：

• 快速跟進（Fast Tracking）：將原本需依序進行的工作改為部分重疊執行，例如在需求已確認的模組先行設計與開發，同時處理其他模組的需求細節。此法可縮短總工期，但會增加返工、整合及溝通風險。
• 關鍵路徑分析與資源重分配：重新檢視專案網路圖及關鍵路徑，把人力、設備與管理注意力優先投入關鍵路徑上的工作，並調整非關鍵工作順序，降低對關鍵工作的干擾。
• 縮減或分階段交付範圍：與業主確認核心需求，優先交付必要功能；非核心功能、低優先級需求及改善項目延後至後續版本，或另列後續階段完成。
• 調整工作方法與流程：簡化不必要的簽核、文件或交接程序，改善開發、測試、部署的自動化程度，減少等待與重工。
• 降低返工與缺陷成本：及早進行程式碼檢查、整合測試與風險檢查，集中處理會阻礙後續工作的缺陷，避免錯誤累積後造成更大延誤。
• 採購或委外支援：將界定清楚、可獨立驗收的工作委由外部廠商處理，或採購合適工具與服務；須評估交接、品質控管及整合所需時間。
• 重新估算與協商里程碑：依實際進度更新剩餘工作估算、風險與資源需求，與利害關係人協商交付順序、範圍或期限，形成可執行的修正基準。

核心觀念

本題考查「綠色運算（Green Computing）」：在資訊設備的設計、採購、建置、使用與汰除各階段，降低能源消耗、溫室氣體排放及電子廢棄物，同時維持必要的資訊服務品質與資安水準。機關可從機房設施、資訊設備、軟體與服務模式、採購管理及設備生命週期著手，形成完整的節能減碳措施。

衡量機房能源效率時，常用電力使用效率指標（Power Usage Effectiveness, PUE）：

PUE 越接近 1，代表冷卻、照明及電力轉換等非資訊設備耗能越少。它衡量的是設施能源效率，不等同於碳排量；要估算碳排，還須配合用電量及適用的電力排碳係數。

解題方法

題目要求說明如何讓機關機房及資訊軟硬體提供服務時減少碳排，宜依「機房設施、硬體設備、軟體與服務、管理採購、生命週期」分層作答。每一層都指出可執行措施及其節能原理，並兼顧服務可用性、效能與資訊安全。

參考作答

一、改善機房設施與能源管理

• 定期量測機房總用電、資訊設備用電、冷卻用電與 PUE，建立基準線及改善目標，依尖峰、離峰與季節變化追蹤成效。
• 改善氣流管理，例如採用冷熱通道分離、封閉通道、封堵機櫃空隙，避免冷熱空氣混流，降低空調負載。
• 依設備實際熱負載調整空調溫度、風量及運轉區域，採用高效率空調、變頻控制或適合場地條件的自然冷卻；避免過度冷卻。
• 提升供電效率，選用高效率不斷電系統（UPS）及電源設備，適當配置機櫃與供電容量，減少轉換損失。
• 對照明、空調及非必要設備採分區、排程或自動控制；設備維修或停機時，及時關閉不需運轉的電源。

二、提高硬體設備使用效率

• 盤點伺服器、儲存設備、網路設備與個人電腦的使用率及耗電量，淘汰老舊、低效率或長期閒置設備。
• 透過伺服器整併、虛擬化及容器化，將多個低使用率工作負載集中在較少的實體主機上，並依負載調整資源，減少設備數量與待機耗電。
• 啟用電源管理功能，例如閒置休眠、螢幕節電、處理器動態調頻，以及非服務時段關閉不需運作的設備；重要服務則須保留必要的可用性與備援能力。
• 採購時納入能源效率、待機功耗、維修年限及回收服務等條件，選擇符合需求且能源效率較佳的設備，避免只以最低購置價格決策。