iPas_資訊安全規劃實務_中級_歷屆考題
使用說明：
1.作答題組題請搜尋題組編號來搜尋各年度題目按順序作答(例如：108 年 _ 題組 1)
2.複選沒全對算錯
題組內容：共199題(108年-40題、109年-39題、110年-40題、111年-40題、112年-40題)

參考資料：北科大資財系魏銪志PTT 「iPAS 歷年考題」、Google網路搜尋歷屆試題
Made by：保三-T0ny
Email *
110 年 _ 題組 4
D 公司主要業務為提供客戶雲端存儲服務，基於對客戶的保障，已通過ISO/IEC 27001 驗證，並訂定資安政策及資安目標，其中一項資安目標為提供客戶存儲服務系統，中斷服務不可超過 4 小時，因此相關系統及環境皆依此標準建置。
2020 年初，因疫情影響，公司評估此為重大事件，發現先前制定的分艙分流計畫不足以因應現況，故決議導入居家辦公系統，以便在公司受到疫情影響無法進入公司辦公時，能有效維運存儲服務系統，不中斷對客戶的服務，並於同年 4 月完成系統建置，讓系統維運及公司人員可透過此系統進入公司內網進行工作並對客戶提供服務。
因 D 公司因應得宜，受到某重要客戶青睞，於 2020 年 6 月與該重要客戶簽約提供資料存儲服務，合約中載明系統中斷不可超過 1 小時，公司評估未來營運成長需求，決定對提供客戶存儲服務之系統，設置異地備援之存儲服務系統，且主機房存儲服務系統中斷時，可自動切換至異地存儲服務系統，以避免區域性災難與滿足客戶要求。
---
(題組題 4-3，單選題) 題組背景描述如附圖。若 D 公司決定要符合合約所述的系統維運規格，下列哪些備援模式及敘述為較可行之方案：
1. Cold Site（冷備援）
2. Warm Site（暖備援）
3. Hot Site（熱備援）
4. 異地備援系統設置於隔壁棟大樓
5. 異地備援系統設於與公司所在地不同縣市
---
教材內容： 資訊安全管理系統 _ 資訊安全管理系統建置實務與法規遵循 P.260 *
1 point
112 年第 1 次 _ 題組 4
A 公司年初導入 ISO 27001 資訊安全管理制度，並參考 ISO 31000 風險架構制度訂定風險管理辦法及相關程序。公司亦順利於年底取得驗證通過，驗證過程稽核員於風險管理過程出具一項次要缺失，主因為 A公司於年度風險評鑑過程，風險項目量化數值計算錯誤，但不影響風險排序以及後續選擇風險進行回應之作業。
---
(題組題 4-1，單選題) 背景描述如附圖。ISO 31000 風險管理架構所述簡要列示如後：
1. 風險回應、
2. 建立全景、
3. 風險分析及評估、
4. 風險辨識，以及貫穿於整個風險管理流程之｢監督與覆核」、｢溝通及協商」。
請問上述 1 4 項風險管理流程的正確順序為下列何項？
---
教材內容： 風險管理實務 _ 風險分析與評估 P.264 *
1 point
110 年 _ 題組 2
實務上，資訊安全架構規劃並不侷限在網路（Network Security）與端點（End Point）的安全架構，亦包含實體安全（Physical Security）架構、軟體開發（Software Development）安全架構、服務（Service）環境安全架構、以及專案資訊系統（Information System）安全架構、資訊安全制度（含維運作業）架構…等若您為 IC 設計公司的資安工程師，負責端點（End Point）安全架構，舉凡 PC、Laptop、Printer、Server、FAX、Copy Machine、Smartphone 等都是端點及其附屬周邊（USB、Bluetooth、紅外線）都有控管記錄或禁用。

公司已嚴格控管網路、電子郵件發送、禁止攜入手機、儲存裝置與Wi-Fi，印表機等輸出裝置都有備份紀錄外且採用金屬保密紙，無法連接外部網路，外接儲存裝置與讀卡機也禁用，出入口亦都有金屬探測門檢查，全公司電腦採用 Windows OS，因為 IC 設計仍會用命令列介面（Command-Line Interface, CLI）形式操作第三方客戶提供的Linux 開發板，但卻出現公司研發機密資料外洩給競爭對手事件，請就上述情境回答下列問題。
---
 (題組題 2-2，單選題) 題組背景描述如附圖。承上題，您在資料外洩事件後進行資安事件鑑識工作，透過公司已安裝本機型的資料外洩防護（Data Loss Prevention, DLP）系統，發現外洩的研發檔案、端點電腦的檔案之人為操作皆有管控並留下紀錄，對於檔案及目錄的新增、開啟、刪除、更名、列印甚至權限變更亦都有啟用管控機制、稽核紀錄，未見到任何寫出到 USB 與外接儲存裝置的軌跡紀錄。請問下列哪些可能是您沒顧慮到而導致資料外洩到競爭對手公司的原因？
---
教材內容： 資訊安全管理系統 _ 資訊管理實務：存取控制、縱深防禦、職務區隔 (SOD) P.48 *
1 point
(單選題) 某中小企業資訊部門之業務執掌包含程式開發、程式上線、應用程式管理以及資料庫管理等，該公司因故必須縮減資訊部門人力，若您是該企業之資訊部門主管，下列何種處理較無法降低資安風險的發生？
---
111-9
教材內容： 資訊安全管理系統 _ 資訊管理實務：風險處理實務 P.311 *
1 point
110 年 _ 題組 5
A 公司為先進資通訊產品代工製造商，為台灣股票公開發行公司，接受美國知名大廠 B 公司委託代為生產 B 公司所研發與設計商品，為了保護 B 公司的產品設計的機密與安全，A 公司在與 B 公司的製造的合約中，有嚴格的保密條款要求不得以任何型式洩露 B 公司的任何有關他們設計的產品資訊。A 公司也向 B 公司宣稱所有 B 公司委託生產製造的生產線皆採用獨立的生產線及網路實體隔離不與 Internet 連接（如下圖）。
B 公司生產環境的廠區 24 小時全面監控 IPCam 將錄影資訊留存於 A公司的 DVR 伺服器中，保存 6 個月之久，所有的管理帳中集中於 AAA伺服器中，由專人管理，絕對安全可靠。
此外，為方便管理 B 公司產線共用 A 公司的製造執行系統 MES（Manufacturing Execution System），提供自動化的製造排程與即時的圖表式看板供產線管理人員及 B 公司相關人員即時監控實際的生產狀況，如有任何異常立即排除。
---
 (題組題 5-3，複選題) 題組背景描述如附圖。關於本題組的敘述與網路架構圖進行資訊安全風險的評估，下列敘述哪些較為正確？
---
教材內容： 資訊安全管理系統 _ 資訊管理實務：存取控制、縱深防禦、職務區隔 (SOD) P.238 *
1 point
Captionless Image
Required
(單選題) 下列何者「不」屬於主動式攻擊（Active Attack)?
---
111-4
 *
1 point
108 年 _ 題組 4
-----
ABC 公司為了提高資安防護，全公司通過 ISO/IEC27001 驗證，並「每半年」安排一次後續稽核，以確保證書的有效性。此次外部稽核派了稽核員Kelly 負責執行三天的稽核，受稽的資訊單位主管 Tim 拿出一份資料表，其中部分資料如下：
--------------
(題組題 4-1，單選題) 上述情境中，根據 Tim 提供的網路架構圖，ABC 公司將網頁伺服器主機，放於DMZ（Demilitarized Zone）區，資料庫主機放於內網的伺服主機網段（Server Farm），員工電腦使用獨立辦公室網段，上述網段皆透過核心交換器連接，下列何項資產編號的最大可承受中斷時間（Maximum Tolerable Period of Disruption, MTPD）最可能評估錯誤？
---
教材內容： 資訊安全管理系統 _ 安全架構規劃實務 P.287 *
1 point
Captionless Image
(單選題) 進行網路架構設計時，下列敘述何者「不」正確？
---
109-7
 *
1 point
110 年 _ 題組 5
A 公司為先進資通訊產品代工製造商，為台灣股票公開發行公司，接受美國知名大廠 B 公司委託代為生產 B 公司所研發與設計商品，為了保護 B 公司的產品設計的機密與安全，A 公司在與 B 公司的製造的合約中，有嚴格的保密條款要求不得以任何型式洩露 B 公司的任何有關他們設計的產品資訊。A 公司也向 B 公司宣稱所有 B 公司委託生產製造的生產線皆採用獨立的生產線及網路實體隔離不與 Internet 連接（如下圖）。
B 公司生產環境的廠區 24 小時全面監控 IPCam 將錄影資訊留存於 A公司的 DVR 伺服器中，保存 6 個月之久，所有的管理帳中集中於 AAA伺服器中，由專人管理，絕對安全可靠。
此外，為方便管理 B 公司產線共用 A 公司的製造執行系統 MES（Manufacturing Execution System），提供自動化的製造排程與即時的圖表式看板供產線管理人員及 B 公司相關人員即時監控實際的生產狀況，如有任何異常立即排除。
---
(題組題 5-1，單選題) 題組背景描述如附圖。某日 A 公司員工發現收到附圖的電子郵件勒索信，請問 A 公司是受到下列何組織/集團的加密勒索？
---
教材內容： 資訊安全管理系統 _ 資訊管理實務：存取控制、縱深防禦、職務區隔 (SOD) P.?? *
1 point
Captionless Image
111 年 _ 題組 1
---
(題組題 1-3，單選題) 外部供應商與供應鏈進到公司，進行系統建置與維護，常常需要使用自行攜帶的設備與軟硬體裝置，你身為該公司的資安管理人員，依據 ISO27001 制度的外部供應商管理，下列敘述何者「不」正確？
---
教材內容： 資訊安全管理系統 _ISO27001 P.12 *
1 point
112 年第 1 次 _ 題組 3
某醫療機構日前發生多起駭客入侵事件，經查發現其行動式醫療車及行動加護病房的雲端即時監護系統皆遭到駭客入侵，駭客並且透過遠端設定改變點滴流速超出原本設定的 50 倍。為了解決行動式醫療設備及雲端監護系統的安全，該機構規劃導入零信任架構（Zero Trust Architecture）強化存取控制，解決行動式醫療車及行動加護病房的雲端即時監護系統。
---
 (題組題 3-2，單選題) 背景描述如附圖。請問在建置行動式醫療車及行動加護病房的雲端即時監護系統的零信任，下列何者「不」是零信任（Zero Trust）架構的原則?
---
教材內容： 資訊安全管理實務 _ 進階存取控制零信任架構 P.152 *
1 point
(複選題) 下列何者「不」是用來在建置資訊安全管理系統時，透過量化資安目標來協助組織瞭解是否落實所訂定之資安政策的做法？
---
109-17
教材內容： 資訊安全管理系統 _ 資訊安全管理系統建置實務與法規遵循 P.25 *
1 point
Required
112 年第 1 次 _ 題組 2
某公司資訊系統管理人員發現該公司 SQL Server 有些異常現象發生，經檢視相關 SQL Server 之紀錄檔之後，並未發現足以支撐該管理人員對此異常現象發生原因之推論，惟該管理人員可以判斷的是，這個異常現象應該是人為的因素比較大，因此，管理人員為了確認 SQL Server 異常現象的發生是其所判斷的「人為因素」所產生。
---
(題組題 2-1，單選題) 背景描述如附圖。此因素仍然可能持續發生，下列何項措施較有助於釐清以下議題?
---
教材內容： 資訊安全管理系統 _ 資訊管理實務：存取控制、縱深防禦、職務區隔 (SOD) P.150 *
1 point
(單選題) 規劃縱深防禦（Defense in Depth）時，我們常會採用多種不同面向的管控措施（Controls），下列何者屬於預防性存取管控措施（Preventative Access Control）？

108 年 _ 第 5 題
教材內容： 資訊安全管理系統 _ 資安管理實務 P.173 *
1 point
109 年 _ 題組 4
近來有愈來愈多公司更積極擁抱新興科技，期望透過更大量的科技應用，提升公司整體營運能力，也希望從中找到新的商機，強化公司競爭力。A 公司為著名電商公司，同時十分注重資訊安全，去年已完成全公司 ISO/IEC27001 導入與驗證，今年為強化公司競爭力，決議將公司主要電商網站由 IDC 機房移入雲端，同時相關辦公自動化服務（Office Automation, OA）也積極使用雲端 Solution。
根據上列資訊，請回答下列問題：
---
(題組題 4-2，單選題) 題組背景描述如附圖。因應資通系統使用雲服務，資通系統開始面臨新的風險，請問下列何種風險與資通系統在雲端環境的關聯度最高？
---
教材內容： 資訊安全管理系統 _ 安全架構規劃實務 P.260 *
1 point
 (單選題) 關於安全架構規劃實務，下列敘述何者「不」正確？
---
108 年 _ 第 7 題
教材內容： 資訊安全管理系統 _ 安全架構規劃實務 P.260
 *
1 point
111 年 _ 題組 1
---
(題組題 1-2，單選題) 若外部供應商攜入電腦，卻無法透過自帶智慧手機上網，且有使用網際網路需求，身為資安人員，需要對網路架構進行安全規劃，下列敘述何者正確？
---
教材內容： 資訊安全管理系統 _ 資訊管理實務：存取控制、縱深防禦、職務區隔 (SOD) P.150 *
1 point
109 年 _ 題組 1
某公司的資安人員依據公司設備狀況規劃以下網路架構設計圖：
---
(題組題 1-2，單選題) 題組背景描述如附圖。承上題，若要進行網路架構改善，可採取下列何種強化措施？
---
教材內容： 資訊安全管理系統 _ 安全架構規劃實務 P.254
 *
1 point
Captionless Image
111 年 _ 題組 3
常青公司主要的營運系統建置於北部的舊有廠房內，包含 2 百萬元的伺服器主機、儲存媒體、網路設備及先前採購的 8 百萬元可重覆安裝資訊系統軟體，提供公司辦公室、原廠房以及合作的供應商相關營運作業管理，因原有廠區周邊環境設施不夠完善，最近 5 年因為颱風與豪雨，已經造成 3 次系統運作中斷和 1 次淹水損壞所有資訊系統設備；公司於南科建置的新廠將在年底落成，總經理要求資訊部門主管開始著手規劃未來長期業務持續管理 (Business Continuity Management, BCM），並且評估未來如果再發生障礙時，復原時間目標（Recovery Time Objective, RTO）不大於四小時的可行方案。
---
(題組題 3-2，單選題) 題組背景描述如附圖。針對近年來的系統服務障礙記錄，原廠房資訊系統的預期年度損失（Annual Loss Expectancy, ALE）為多少?
---
教材內容： 資訊安全管理系統 _ 營運衝擊分析 P.291
 *
1 point
(單選題) 實施風險控制措施（Risk Control）的目的為下列何
者？
---
110-12
教材內容： 風險管理實務 _ 風險分析與評估 P.269 *
1 point
(單選題) 資訊單位導入新企業資源規劃系統（ERP System）進行系統安全評估時，應評估下列哪些項目？
1. 系統安全性評估
2. 容量管制評估
3. 實體環境安全
4. 使用者功能性需求評估
---
111-12
教材內容： 資訊安全管理系統 _ 資訊安全管理系統建置實務與法規遵循 P.223 *
1 point
110 年 _ 題組 1
A 集團是全球知名飯店集團，目前在全球超過 120 個國家，擁有約 6千家旅館，旅館遍及亞洲、美洲、歐洲等地，並於 2016 年收購位於美國紐約的 BB 酒店。在 2018 年，BB 酒店房務系統遭駭客入侵造成 3億多筆個資，已知外洩資料中，包含客戶的姓名、通訊地址、電話號碼、電子信箱、護照號碼、出生日期、性別等資料。經查發現，這並不是 BB 酒店第一次遭駭客入侵而外洩客戶資料，早在 2014 年，BB 酒店就曾發生過客戶個資外洩事件。
---
(題組題 1-4，單選題) 題組背景描述如附圖。A 集團在事前投保網通保險（Cyber Insurance），可使損失有效降低，關於網通保險，下列敘述何者「不」正確？
---

 *
1 point
(單選題) 某公司新增了一業務型態，員工（20 員，每員配置筆電乙部以及隨身硬碟乙顆）必須至客戶端長期駐點處理有關受託業務，並於客戶端透過網際網路連線回公司內部網路處裡公司相關業務，為了降低此一新增業務型態所衍伸出來的資安風險，該公司正評估採取有效的控制措施來降低此風險，請問下列控制措施何項較無法降低此風險？
---
112-17
教材內容： 資訊安全管理系統 _ 資訊管理實務：存取控制、縱深防禦、職務區隔 (SOD) P.238 *
1 point
112 年第 1 次 _ 題組 5
風險管理是資訊安全的核心，對於風險的識別、策略面對於風險的危險的計算均來自於有效的風險管理。您是一位資訊安全管理人員，公司的資訊資產無論是管理、技術或營運都須由你來進行規畫，你發現由人事單位所執行的 EIP(Enterprise Information Portal) 開發一案，承辦廠商
無法提出任何技術性檢測報告，上線進入測試階段時，你發現該站台上有非常嚴重的 SQL Injection、XSS、CSRF…等網站應用程式弱點，你試圖要透過合約中規範開發廠商基於安全性問題，必須提供無償 20%程式碼修改的服務。
但基於你於此類技術性風險識別後，發現此類問題為非常低級錯誤，但在現在階段進行修補曠日廢時，而 CEO 要求你針對此類風險進行評估，必須避免重複花費，且可接受採用現有公司防護資訊設備進行保護。經過盤點，你基於一個月內能進行降低風險的解決方案包含：
1. 將該 EIP 納入網站應用程式防火牆保護，可提供 60% 的防護效益
2. 要求乙方應對安全性問題提出改善計劃，但需三個月的時間
3. 另外尋求外包資源針對發現的資安問題進行修補，需額外花費超過本案 50% 的金額
4. 透過 MSSP Managed Security Service Provider）提供監控 EIP 服務即早預警入侵事件，需額外花費本案 25% 的費用
5. 設定網站伺服器平台提供過濾 URI Uniform Resource Identifier）字串功能，可提供 85% 的防護效益
---
(題組題 5-3，單選題)
題組背景描述如附圖。CEO 所要求的風險處理原則，是在選擇控制措施前必須先考量到成本效益 (Cost Effective) 因此第一步就是金錢利益分析（Cost/Benefit Analysis），計算出保護措施的總價值，這類的風險處理稱之為降低風險。請問下列何項降低風險的敘述最為適當？
---
教材內容： 風險管理實務 _ 風險分析與評估 P.264
 *
1 point
109 年 _ 題組 1
某公司的資安人員依據公司設備狀況規劃以下網路架構設計圖：
---
(題組題 1-4，單選題) 題組背景描述如附圖。若要設定防火牆內對外的連線，僅開放對外的服務及網頁瀏覽，下列何者正確？
---
教材內容：No
 *
1 point
Captionless Image
(單選題) 在進行職務規劃時，下列何種情境宜優先考量是否有職務區隔（Segregation Of Duties, SOD）之設計？
---
108 年 _ 第 4 題
教材內容： 資訊安全管理系統 _ 資安管理實務 P.150
 *
1 point
110 年 _ 題組 3
C 公司已投入電子商務 2 年，雖然疾情對既有傳統商務有些微影響，但是整體電子商務營運仍持續成長，並且已達到必須增建機房設施與系統容量之際，身為資訊部門的主管，您必須要在擴充資訊系統之際，同時規劃兼顧提昇系統資訊安全的任務，請就上述情境回答下列問題。
---
(題組題 3-3，複選題) 題組背景描述如附圖。依據行政院技術服務中心 109 年第 4 季資通安全技術報告，統計分析現況資安威脅發現，以「非法入侵」（占 56.39%）類型為主，排除綜合類型「其他」外，其次分別為「設備問題」（占 12.78%）」與「網頁攻擊（占 6.77%）」為主要通報類型。請問下列哪些作為可以大幅減少 C 公司電子商務的資安威脅？
---
教材內容： 資訊安全管理系統 _ 資訊管理實務：存取控制、縱深防禦、職務區隔 (SOD) P.36 *
1 point
Required
112 年第 1 次 _ 題組 5
風險管理是資訊安全的核心，對於風險的識別、策略面對於風險的危險的計算均來自於有效的風險管理。您是一位資訊安全管理人員，公司的資訊資產無論是管理、技術或營運都須由你來進行規畫，你發現由人事單位所執行的 EIP(Enterprise Information Portal) 開發一案，承辦廠商
無法提出任何技術性檢測報告，上線進入測試階段時，你發現該站台上有非常嚴重的 SQL Injection、XSS、CSRF…等網站應用程式弱點，你試圖要透過合約中規範開發廠商基於安全性問題，必須提供無償 20%程式碼修改的服務。
但基於你於此類技術性風險識別後，發現此類問題為非常低級錯誤，但在現在階段進行修補曠日廢時，而 CEO 要求你針對此類風險進行評估，必須避免重複花費，且可接受採用現有公司防護資訊設備進行保護。經過盤點，你基於一個月內能進行降低風險的解決方案包含：
1. 將該 EIP 納入網站應用程式防火牆保護，可提供 60% 的防護效益
2. 要求乙方應對安全性問題提出改善計劃，但需三個月的時間
3. 另外尋求外包資源針對發現的資安問題進行修補，需額外花費超過本案 50% 的金額
4. 透過 MSSP Managed Security Service Provider）提供監控 EIP 服務即早預警入侵事件，需額外花費本案 25% 的費用
5. 設定網站伺服器平台提供過濾 URI Uniform Resource Identifier）字串功能，可提供 85% 的防護效益
---
(題組題 5-4，複選題) 題組背景描述如附圖。因人事單位發包的員工入口網弱點事件，發現公司內部的系統發包規範未有一個有效的管理規範，以導致本項問題，在公司組織內無設置CIO/CISO 及資安專責人員的制度，造成資訊安全問題層出不窮，因此公司決定要導入資訊安全管理系統制度進行管理，目前已完成資訊資產盤點，透過內部議題討論後發現，除了無資安專責人員以外，亦無有效管控資安風險的資訊資產。請問下列哪些可以有效的提升這些資訊軟體取得之前的安全強度？
---
教材內容： 風險管理實務 _ 風險分析與評估 P.264
 *
1 point
Required
112 年第 1 次 _ 題組 2
某公司資訊系統管理人員發現該公司 SQL Server 有些異常現象發生，經檢視相關 SQL Server 之紀錄檔之後，並未發現足以支撐該管理人員對此異常現象發生原因之推論，惟該管理人員可以判斷的是，這個異常現象應該是人為的因素比較大，因此，管理人員為了確認 SQL Server 異常現象的發生是其所判斷的「人為因素」所產生。
---
(題組題 2-3，單選題)
題組背景描述如附圖。當管理人員分析網路封包發現來自於外部的 IP 位址在深夜的時候連接至該公司的內部網路並進入該SQL Server 下了一些破壞性的 Command，因此，就將先前封存的網路封包帶至公司附近的警察局進行報案，而受理的警察在第二天就將案發當天深夜從外部 IP 位址連接至該公司內部網路 SQL Server 進行破壞的案件當事人找到，並確認了案件當事人為該公司最近離職的 MIS 經理。請問對於警察為什麼可以在短短的時間內就可以找到案件當事人的敘述，下列何者最「不」可能？
---
教材內容： 資訊安全管理系統 _ 資訊管理實務：存取控制、縱深防禦、職務區隔 (SOD) P.238 *
1 point
112 年第 1 次 _ 題組 3
某醫療機構日前發生多起駭客入侵事件，經查發現其行動式醫療車及行動加護病房的雲端即時監護系統皆遭到駭客入侵，駭客並且透過遠端設定改變點滴流速超出原本設定的 50 倍。為了解決行動式醫療設備及雲端監護系統的安全，該機構規劃導入零信任架構（Zero Trust Architecture）強化存取控制，解決行動式醫療車及行動加護病房的雲端即時監護系統。
---
 (題組題 3-3，單選題)
題組背景描述如附圖。關於建置行動式醫療車及行動加護病房雲端即時監護系統的零信任架構與角色敘述，下列何者錯誤？
---
教材內容： 資訊安全管理實務 _ 進階存取控制零信任架構 P.152 *
1 point
112 年第 1 次 _ 題組 2
某公司資訊系統管理人員發現該公司 SQL Server 有些異常現象發生，經檢視相關 SQL Server 之紀錄檔之後，並未發現足以支撐該管理人員對此異常現象發生原因之推論，惟該管理人員可以判斷的是，這個異常現象應該是人為的因素比較大，因此，管理人員為了確認 SQL Server 異常現象的發生是其所判斷的「人為因素」所產生。
---
(題組題 2-4，複選題) 題組背景描述如附圖。公司高層因為此一資安事件進行了事後的檢討，要求必須降低此一資安事件發生之風險，以防止類似案再次發生，請問下列哪些是正確的控制措施？
---
教材內容： 資訊安全管理系統 _ 資訊管理實務：存取控制、縱深防禦、職務區隔 (SOD) P.238 *
1 point
Required
(單選題) 關於資訊安全事故管理，下列敘述何者「不」正確？
---
110-3
教材內容： 資訊安全管理系統 _ 資訊安全管理系統建置實務與法規遵循 P.25 *
1 point
110 年 _ 題組 2
實務上，資訊安全架構規劃並不侷限在網路（Network Security）與端點（End Point）的安全架構，亦包含實體安全（Physical Security）架構、軟體開發（Software Development）安全架構、服務（Service）環境安全架構、以及專案資訊系統（Information System）安全架構、資訊安全制度（含維運作業）架構…等若您為 IC 設計公司的資安工程師，負責端點（End Point）安全架構，舉凡 PC、Laptop、Printer、Server、FAX、Copy Machine、Smartphone 等都是端點及其附屬周邊（USB、Bluetooth、紅外線）都有控管記錄或禁用。
公司已嚴格控管網路、電子郵件發送、禁止攜入手機、儲存裝置與Wi-Fi，印表機等輸出裝置都有備份紀錄外且採用金屬保密紙，無法連接外部網路，外接儲存裝置與讀卡機也禁用，出入口亦都有金屬探測門檢查，全公司電腦採用 Windows OS，因為 IC 設計仍會用命令列介面（Command-Line Interface, CLI）形式操作第三方客戶提供的Linux 開發板，但卻出現公司研發機密資料外洩給競爭對手事件，請就上述情境回答下列問題。
---
(題組題 2-4，單選題) 題組背景描述如附圖。承上題，該資訊系統已經上線進入維運階段，通常需求建議書（Request for Proposal, RFP）會要求該專案保有 10%～15% 新功能擴充設計的條款，以滿足該資訊系統對外服務實際需要。維運階段必須有一個功能版本與上線系統功能一致的測試系統網站，來驗證維運時期的新增程式功能。軟體開發工程師必須將新開發程式放上該測試網站，提供政府一級單位（甲方）進行驗證，驗證通過後更新到正式系統。當您在面對維運階段的資訊安全制度（含維運作業）架構時，下列敘述何者正確？
---
教材內容： 資訊安全管理系統 _ 資訊安全管理系統建置實務與法規遵循 P.48 *
1 point
(單選題) 下列何者最能說明系統角色權限存取控制（Role-Based Access Control, RBAC）？
---
110-01
教材內容： 資訊安全管理系統 _ 資訊管理實務：存取控制、縱深防禦、職務區隔 (SOD) P.143 *
1 point
(單選題) 某公司 EIP 系統，建立在 ESXi5.0 虛擬環境中，EIP虛擬機硬碟容量 500GB，已經使用 200GB，近期實體硬體主機發生不定時重新開機，屬舊型主機，面板看出燈號已經亮起，卻無相關資訊，最後發現 RAID 卡電池膨脹故障，關於風險處理程序與分析，下列敘述何者較「不」適當？
---
108 年 _ 第 10 題
教材內容：無，實務應變題
 *
1 point
111 年 _ 題組 5
下圖為密碼學中常見的一種加密系統，請根據圖中資訊回答下列問題：
---
(題組題 5-3，單選題) 題組背景描述如附圖。在步驟 3. 之中，接收者應使用何種 Key 來進行解密以獲得共享金鑰
（symmetric key)?
---
教材內容： 資訊安全管理系統 _ 資訊管理實務：密碼學 P.197 *
1 point
Captionless Image
110 年 _ 題組 4
D 公司主要業務為提供客戶雲端存儲服務，基於對客戶的保障，已通過ISO/IEC 27001 驗證，並訂定資安政策及資安目標，其中一項資安目標為提供客戶存儲服務系統，中斷服務不可超過 4 小時，因此相關系統及環境皆依此標準建置。
2020 年初，因疫情影響，公司評估此為重大事件，發現先前制定的分艙分流計畫不足以因應現況，故決議導入居家辦公系統，以便在公司受到疫情影響無法進入公司辦公時，能有效維運存儲服務系統，不中斷對客戶的服務，並於同年 4 月完成系統建置，讓系統維運及公司人員可透過此系統進入公司內網進行工作並對客戶提供服務。
因 D 公司因應得宜，受到某重要客戶青睞，於 2020 年 6 月與該重要客戶簽約提供資料存儲服務，合約中載明系統中斷不可超過 1 小時，公司評估未來營運成長需求，決定對提供客戶存儲服務之系統，設置異地備援之存儲服務系統，且主機房存儲服務系統中斷時，可自動切換至異地存儲服務系統，以避免區域性災難與滿足客戶要求。
---
(題組題 4-2，單選題) 題組背景描述如附圖。資訊單位負責導入居家辦公系統，進行系統安全評估時，評估考量項目應包括下列哪些評估事項：
1. 功能性需求評估
2. 供應商評估
3. 系統安全性評估
4. 容量管制評估
---
教材內容： 資訊安全管理系統 _ 資訊安全管理系統建置實務與法規遵循 P.223 *
1 point
111 年 _ 題組 1
---
(題組題 1-4，複選題) 許多大型敏感的產業，嚴格限制外部供應商與供應鏈攜帶智慧型手機進入公司，下列嚴格限制的理由哪些正確？
---
教材內容： 資訊安全管理系統 _ 資訊管理實務：存取控制、縱深防禦、職務區隔 (SOD) P.150 *
1 point
Required
108 年 _ 題組 3
-----
超能力公司於年初通過全公司 ISO/IEC27001 驗證，其中關於系統維運部分的相關政策，要求重要系統中斷時間不得超過 2 小時，所有重要系統及其相關支援環境皆依此標準建立。
超能力公司年中接獲開心買公司重要訂單，由公司負責提供環境建立並維護開心買公司網路訂購系統，並於合約要求該網路訂購系統若因該公司之問題中斷超過 3 分鐘，超能力公司需賠償開心買公司。
超能力公司據此將該系統判定為重要系統，並於既有重要系統支援環境導入此新架設的購物系統，並為該系統在原機房建立備援機制。
--------------
(題組題 3-3，單選題) 上述情境中，關於超能力公司決定要符合合約所述的系統維運規格，下列何種備援模式最為適合？
---
教材內容： 資訊安全管理系統 _ 資安管理實務 P.175 *
1 point
109 年 _ 題組 5
近ABC 公司導入 ISO/IEC27001 資訊安全管理系統，並透過第三方稽核單位執行部分單位驗證。內部公告且遵循之資安事件（故）通報與處理規範如下：
---
(題組題 5-2，單選題) 題組背景描述如附圖。ABC 公司其內部專責資安團隊對日誌進行關聯分析後，已有跡證顯示部分內部伺服器遭受駭客接管且取得系統管理者權限，下列敘述何者「最」正確？
---
教材內容： 資訊安全管理系統 _ 資訊安全管理系統建置實務與法規遵循 P.123
此題為送分題(詳細等級均有變更 請參考講義中最新版) *
1 point
Captionless Image
110 年 _ 題組 1
A 集團是全球知名飯店集團，目前在全球超過 120 個國家，擁有約 6千家旅館，旅館遍及亞洲、美洲、歐洲等地，並於 2016 年收購位於美國紐約的 BB 酒店。在 2018 年，BB 酒店房務系統遭駭客入侵造成 3億多筆個資，已知外洩資料中，包含客戶的姓名、通訊地址、電話號碼、電子信箱、護照號碼、出生日期、性別等資料。經查發現，這並不是 BB 酒店第一次遭駭客入侵而外洩客戶資料，早在 2014 年，BB 酒店就曾發生過客戶個資外洩事件。
---
(題組題 1-2，單選題) 題組背景描述如附圖。A 集團在併購前BB 酒店前未確認 BB 酒店於 2014 年已發生過訂房系統個資外洩，請問 A 集團可能違反下列何種原則？
---
教材內容： 資訊安全管理系統 _ 資訊安全管理系統建置實務與法規遵循 P.48 *
1 point

108 年 _ 題組 5
-----
醫療設備大廠 XYZ 出產的兩款醫療設備，區域醫院 QAZ 為了即時取得醫療資訊，透過網路方式使用這兩款設備，安全廠商 ABC 在區域醫院QAZ 的安全測試時發現嚴重漏洞，可讓連上同一網路的攻擊者遠端變更系統設定，包括：藥劑、氣體、關閉警鈴和機器數值。但是 XYZ 強調這兩款設備並沒有網路連線能力，僅提供序列埠及 USB 認為漏洞並非出在機器本身，並未發布修補程式。安全廠商 ABC 聲稱雖然這兩款醫療設備本身沒有連網能力，但的確可由 TCP/IP 網路進行連線並下達指令。
--------------
(題組題 5-3，單選題) 上述情境中，醫療設備大廠 XYZ 應該為這個問題負整體責任嗎？
---
教材內容： 無

 *
1 point
108 年 _ 題組 4
-----
ABC 公司為了提高資安防護，全公司通過 ISO/IEC27001 驗證，並「每半年」安排一次後續稽核，以確保證書的有效性。此次外部稽核派了稽核員Kelly 負責執行三天的稽核，受稽的資訊單位主管 Tim 拿出一份資料表，其中部分資料如下：
--------------
(題組題 4-2，單選題) 上述情境中，
Kelly：請問貴公司，在風險評鑑的過程中，若發現有高於可接受風險等級（Acceptable Risk Level）的項目，接下來會怎麼處理?
Tim：我們會提出風險處理計劃，執行處理計畫後，再進行風險再評鑑（Re-Assessment），看是否有把風險降到可接受風險等級以下。
關於 Tim 的回答，下列敘述何者正確？
---
教材內容： 風險管理實務 _ 風險分析與評估 P.311 *
1 point
Captionless Image
110 年 _ 題組 2
實務上，資訊安全架構規劃並不侷限在網路（Network Security）與端點（End Point）的安全架構，亦包含實體安全（Physical Security）架構、軟體開發（Software Development）安全架構、服務（Service）環境安全架構、以及專案資訊系統（Information System）安全架構、資訊安全制度（含維運作業）架構…等若您為 IC 設計公司的資安工程師，負責端點（End Point）安全架構，舉凡 PC、Laptop、Printer、Server、FAX、Copy Machine、Smartphone 等都是端點及其附屬周邊（USB、Bluetooth、紅外線）都有控管記錄或禁用。

公司已嚴格控管網路、電子郵件發送、禁止攜入手機、儲存裝置與Wi-Fi，印表機等輸出裝置都有備份紀錄外且採用金屬保密紙，無法連接外部網路，外接儲存裝置與讀卡機也禁用，出入口亦都有金屬探測門檢查，全公司電腦採用 Windows OS，因為 IC 設計仍會用命令列介面（Command-Line Interface, CLI）形式操作第三方客戶提供的Linux 開發板，但卻出現公司研發機密資料外洩給競爭對手事件，請就上述情境回答下列問題。
---
(題組題 2-3，單選題) 題組背景描述如附圖。若您於事件結束後，轉換工作擔任某系統整合商（System Integration, SI）資安工程師，近期公司承接政府一級單位某資訊系統建置案，政府一級單位皆通過 ISO/IEC27001 認證，並在需求建議書（Request for Proposal, RFP）文件中要求：.
(1) 在系統上線前與保固期間該專案軟體必須每季通過 OWASPTop 10 安全檢測
(2) 相關程式源碼必須通過白箱檢測
(3) 系統上線前應修補與提出對應防護機制，來完成硬體、作業系統、Web Service（如：IIS7, Tomcat,WebLogic）漏洞
(4) 上線後還需經過第三方滲透測試。
若您要進行安全技術作業來滿足上述軟體開發安全架構、服務環境安全架構需求，下列敘述何者「不」正確？
---
教材內容： 風險管理實務 _ 風險處理實務 P.48 *
1 point
 (單選題) 關於監控中心（Security Operations Center, SOC）的發展與建置規劃，下列敘述何者「不」正確？
---
110-8
教材內容： None *
1 point
110 年 _ 題組 1
A 集團是全球知名飯店集團，目前在全球超過 120 個國家，擁有約 6千家旅館，旅館遍及亞洲、美洲、歐洲等地，並於 2016 年收購位於美國紐約的 BB 酒店。在 2018 年，BB 酒店房務系統遭駭客入侵造成 3億多筆個資，已知外洩資料中，包含客戶的姓名、通訊地址、電話號碼、電子信箱、護照號碼、出生日期、性別等資料。經查發現，這並不是 BB 酒店第一次遭駭客入侵而外洩客戶資料，早在 2014 年，BB 酒店就曾發生過客戶個資外洩事件。
---
(題組題 1-3，單選題) 題組背景描述如附圖。BB 酒店洩漏的個資還包含客戶信用卡資訊，根據發卡銀行要求，下列何種個人資訊最不應被儲存？
---

 *
1 point
(單選題) 關於資訊安全模型（Security Models）中的強制存取控制（Mandatory Access  Control,MAC），下列敘述何者「不」正確？
---
109-8
教材內容： 資訊安全管理系統 _ 資安管理實務 P.143 *
1 point
(單選題)AAA 公司網站常受駭客入侵，網站風險問題一直居高不下，關於降低網站風險問題處理實務，下列做法何者較為正確？
---
111-13
教材內容： 資訊安全管理系統 _ 資訊管理實務：存取控制、縱深防禦、職務區隔 (SOD) P.150 *
1 point
108 年 _ 題組 1
-----
某上櫃企業已通過 ISO/IEC27001 認證，於某上班日發現公司半數同仁AD 帳號遭到鎖定，無法使用 AD 帳號密碼登入電腦系統。MIS 進行AD 解鎖後，同仁隨即再次被鎖定無法登入，慌亂初期 MIS 採取區域性斷網，依然無效。
隨即分析 AD 主機事件記錄，發現都是 Exchange Server 所造成，進一步分析防火牆記錄，發現大量外部 access OWA 的 443Port 登入失敗，有多個來源遠端攻擊者裝置嘗試入侵 Web Mail 系統失敗，類似「DDoS」與「密碼暴力攻擊」。
MIS 採取緊急應變措施，阻斷相關攻擊者裝置 IP。可是每隔一段時間會自動換成其他國家地區 IP 持續入侵攻擊，MIS 進一步將境外非台 IP全面禁止，以短暫維持運作。但相關攻擊來源竟轉換台灣地區 IP。MIS進一步採取關閉用外部開放使用 Exchange OWA 服務，要求公司外部活動人員須以 VPN 方式，建立裝置放行白名單方式，進行 Exchange郵件登入作業。而 VPN 依群組方式申請建立不同放行權限，非全面開放。
並對來自台灣的攻擊裝置主機，進行反查，確認其管理公司以及人員，進行對主管機關進行資安通報，聯繫該攻擊方 IP 公司進行相關處理。該公司隨即停用該主機，重新安裝，中斷 C&C 在台灣中繼站，國外攻擊者 IP，則以E-mail 通知，並於事件發生期間，全面中斷境外相關連線，直到改善為止。
--------------
(題組題 1-1，單選題) 上述情境中，關於事件發生當下之敘述，下列何者正確，且符合 ISO/IEC27001 相關制度？
---
教材內容： 資訊安全管理系統 _ 資訊安全管理系統建置實務與法規遵循 P.106 *
1 point
(單選題) 關於風險分析與評估之敘述，下列何者錯誤？
---
112-26
教材內容： 風險管理實務 _ 風險分析與評估 P.264 *
1 point
108 年 _ 題組 2
-----
A 公司為一中小型 3C 電器設備販售商，服務客群除國內之外（總公司），觸角亦已開拓至歐洲（分公司），目前以O2O（OnlineToOffline）營銷模式進行商品販售。
為刺激商品販售動能，該公司於每季均提供會員參加抽獎活動，依據抽獎結果以電子郵件方式通知中獎之會員，並將所獲獎品寄送至會員指定之地址。
另該公司為強化各業務活動之效能，因此採購了一批相關軟、硬體設備（軟、硬體設備資料詳如附錄一），以滿足公司自動化與資訊化的作業需求 。
（附錄一）
I 軟體明細:
。i 作業系統
。 ii 伺服器軟體
。 iii 資料庫軟體
。 iv 防毒軟體
。 v 客製化 ERP 系統
II 硬體明細:
。 i 行政電腦硬體
。 ii 伺服器硬體
--------------
(題組題 2-2，單選題) 上述情境中，關於該公司為避免個資外洩之風險發生，公司高層指派有關部門之同仁針對前述要求進行之處理，下列敘述何者較「不」正確？
---
教材內容： 無 *
1 point
108 年 _ 題組 1
 -----
某上櫃企業已通過 ISO/IEC27001 認證，於某上班日發現公司半數同仁AD 帳號遭到鎖定，無法使用 AD 帳號密碼登入電腦系統。MIS 進行AD 解鎖後，同仁隨即再次被鎖定無法登入，慌亂初期 MIS 採取區域性斷網，依然無效。
隨即分析 AD 主機事件記錄，發現都是 Exchange Server 所造成，進一步分析防火牆記錄，發現大量外部 access OWA 的 443Port 登入失敗，有多個來源遠端攻擊者裝置嘗試入侵 Web Mail 系統失敗，類似「DDoS」與「密碼暴力攻擊」。
MIS 採取緊急應變措施，阻斷相關攻擊者裝置 IP。可是每隔一段時間會自動換成其他國家地區 IP 持續入侵攻擊，MIS 進一步將境外非台 IP全面禁止，以短暫維持運作。但相關攻擊來源竟轉換台灣地區 IP。MIS進一步採取關閉用外部開放使用 Exchange OWA 服務，要求公司外部活動人員須以 VPN 方式，建立裝置放行白名單方式，進行 Exchange郵件登入作業。而 VPN 依群組方式申請建立不同放行權限，非全面開放。
並對來自台灣的攻擊裝置主機，進行反查，確認其管理公司以及人員，進行對主管機關進行資安通報，聯繫該攻擊方 IP 公司進行相關處理。該公司隨即停用該主機，重新安裝，中斷 C&C 在台灣中繼站，國外攻擊者 IP，則以E-mail 通知，並於事件發生期間，全面中斷境外相關連線，直到改善為止。
--------------
(題組題 1-3，單選題) 上述情境中，可通報下列何種單位較為合宜？
---
教材內容： 資訊安全管理系統 _ 資訊安全管理系統建置實務與法規遵循 P.102 *
1 point
(複選題) 關於風險分析及風險評估議題的敘述，下列哪些正確?
---
112-28
教材內容： 風險管理實務 _ 風險分析與評估 P.264 *
1 point
Required
111 年 _ 題組 3
常青公司主要的營運系統建置於北部的舊有廠房內，包含 2 百萬元的伺服器主機、儲存媒體、網路設備及先前採購的 8 百萬元可重覆安裝資訊系統軟體，提供公司辦公室、原廠房以及合作的供應商相關營運作業管理，因原有廠區周邊環境設施不夠完善，最近 5 年因為颱風與豪雨，已經造成 3 次系統運作中斷和 1 次淹水損壞所有資訊系統設備；公司於南科建置的新廠將在年底落成，總經理要求資訊部門主管開始著手規劃未來長期業務持續管理 (Business Continuity Management, BCM），並且評估未來如果再發生障礙時，復原時間目標（Recovery Time Objective, RTO）不大於四小時的可行方案。
---
(題組題 3-3，單選題) 題組背景描述如附圖。為了符合公司持續營業的需求，在本次業務持續管理中將考量增建異地備援的需求，以解決先經歷長時間營運中斷的窘境，針對評估小組提出的以下方案，請問在不考量建置成本的情況下，下列何者為最佳選擇？
---
教材內容： 資訊安全管理系統 _ 替代場地選擇 P.250
 *
1 point
(單選題) 關於風險接受（Risk Acceptance），下列敘述何者「不」正確？
---
110-11
教材內容： 風險管理實務 _ 風險分析與評估 P.269 *
1 point

108 年 _ 題組 5
-----
醫療設備大廠 XYZ 出產的兩款醫療設備，區域醫院 QAZ 為了即時取得醫療資訊，透過網路方式使用這兩款設備，安全廠商 ABC 在區域醫院QAZ 的安全測試時發現嚴重漏洞，可讓連上同一網路的攻擊者遠端變更系統設定，包括：藥劑、氣體、關閉警鈴和機器數值。但是 XYZ 強調這兩款設備並沒有網路連線能力，僅提供序列埠及 USB 認為漏洞並非出在機器本身，並未發布修補程式。安全廠商 ABC 聲稱雖然這兩款醫療設備本身沒有連網能力，但的確可由 TCP/IP 網路進行連線並下達指令。
--------------
(題組題 5-4，單選題) 上述情境中，依據我國《資通安全責任分
級辦法》，醫院 QAZ 應屬於下列資通安全責任分級的哪一級？
---
教材內容：  資訊安全管理系統 _ 資訊安全管理系統建置實務與法規遵循 P.106

 *
1 point
109 年 _ 題組 3
為因應 2019 冠狀病毒疾病疫情，中央防疫中心也提升至一級開設，對此，金管會表示，國內銀行業也積極因應，目前已有 13 家銀行採取異地辦公，A 銀行決定將資訊部門的系統管理人員及其代理人分別安排在不同的辦公地點辦公。
根據上列資訊，請回答下列問題：
---
(題組題 3-2，單選題) 題組背景描述如附圖。關於 A 銀行異地辦公地點的考量及選擇，下列敘述何者較「不」正確？
---
教材內容： 資訊安全管理系統 _ 資安管理實務 P.283 *
1 point
(單選題)「依據我國《資通安全管理法施行細則》條文中規定，下列何者「不」是資通安全維護計畫應（或強制要求）包括的事項？
---
111-11
教材內容： 資訊安全管理系統 _ 資訊安全管理系統建置實務與法規遵循 P.106 *
1 point
(複選題) 某政府一級單位官網，交付政府維運機房代管，要求服務層級協議（Service Level Agreement, SLA）99.99% 服務水平，監測發現該政府官網，固定在每週週一，半夜 12:00 會自動停止服務 30 分鐘。該事件已經持續半年之久，因發生在半夜不易被人員發現。半年後才因民眾發現告知該單位有此問題，風險問題排除過程中：
(1)IIS Web Server 都服務正常；
(2)MS-SQL 資料庫服務也正常；
(3) 防火牆也未變動其政策；
(4) 檢查相關排程程有每月一次定期備份檔案到 D 磁碟某目錄；
(5) 在檔案異動上發現有多了一個 Lcx.exe 惡意程序放在 Web Root 目錄；
若您是該單位 IT 系統維運工程師，若從上述情境選擇合宜的風險處置措施，下列敘述哪些較佳？
---
108 年 _ 第 20 題
教材內容： 風險管理實務 _ 風險處理實務 P.311
 *
1 point
Required
109 年 _ 題組 5
近ABC 公司導入 ISO/IEC27001 資訊安全管理系統，並透過第三方稽核單位執行部分單位驗證。內部公告且遵循之資安事件（故）通報與處理規範如下：
---
(題組題 5-3，單選題) 題組背景描述如附圖。ABC 公司已於規範之時間內進行資料採證、分析、弱點修正與資料還原後，目前服務已恢復正常運作，下列敘述何者正確？
---
教材內容： 資訊安全管理系統 _ 資訊安全管理系統建置實務與法規遵循 P.293 *
1 point
Captionless Image
(單選題) 網站遭遇入侵行為時，關於採取之風險應變處置及改善，下列敘述何者較「不」適當？
---
110-14
教材內容： 資訊安全管理系統 _ 資訊管理實務：存取控制、縱深防禦、職務區隔 (SOD) P.48 *
1 point
(單選題) 在進行營運衝擊分析（Business Impact Analysis, BIA）時，下列三項評估的先後順序為何？
1 產品與服務（Products and services）
2 流程（Processes）
3 活動（Activities）
---
109-13
教材內容： 風險管理實務 _ 風險分析與評估 P.283 *
1 point
(單選題) 如附圖所示，關於營運持續管理（Business ContinuityManagement System, BCMS）的執行項目排序，下列何者較正確？
1 建立營運持續策略（Business Continuity Strategy, BCS）
2 撰寫緊急應變計畫（Emergency Plan）
3 撰寫營運持續計畫（Business Continuity Planning, BCP）
4 營運持續計畫演練（Business Continuity Planning Exercise）
5 執行營運衝擊分析（Business Impact Analysis, BIA）
---
109-12
教材內容： 資訊安全管理系統 _ 資訊安全管理系統建置實務與法規遵循 P.297 *
1 point

108 年 _ 題組 4
-----
ABC 公司為了提高資安防護，全公司通過 ISO/IEC27001 驗證，並「每半年」安排一次後續稽核，以確保證書的有效性。此次外部稽核派了稽核員Kelly 負責執行三天的稽核，受稽的資訊單位主管 Tim 拿出一份資料表，其中部分資料如下：
--------------
(題組題 4-4，單選題) 上述情境中，Kelly：Tim，貴公司的風險管理與營運持續管理執行，似乎將兩個流程整併執行。Tim：是啊，因為這兩個流程，都需要識別重要的營運服務項目，也需要評鑑可用性的需求，加上營運衝
擊分析（Business Impact Analysis）與分析各種事件的風險評鑑（Risk Assessment）的關係也很密切，所以我們是合併在一起執行。
請問 Tim 所提到的
(I) 識別重要營運服務項目
(II) 營運衝擊分析
(III) 風險評鑑，最佳的執行順序為何？
---
教材內容： 資訊安全管理系統 _ 資訊安全管理系統建置實務與法規遵循 P.297

 *
1 point
Captionless Image
(複選題) 常見的資訊安全標準中，下列哪些標準可以為個人資訊保護或隱私資訊管理提供指引？
---
112-04
教材內容： 資訊安全管理系統 _ 資安與個資相關 ISO 標準 P.25 *
1 point
Required
109 年 _ 題組 2
某公司為一跨國企業，公司員工約10,000 人，所有員工皆配備一台筆記型電腦，身為資安專家的你，正在評估筆記型電腦的安全風險，並對公司高層提出建議。
目前已搜集到以下資訊：
每台筆記型電腦價值：30,000
筆記型電腦遺失，價值將 100%受損 ，  每年遺失數量 10 台
同時，資安專家已完成資料防護軟體評估，以避免筆記型電腦遺失時對公司造成的損失，產品生命週期為四年，廠商報價如下：
全硬碟加密軟體：500,000，使用期間每年維護費用：75,000
遠端資料清除工具：100,000，使用期間每年維護費用：20,000
根據上列資訊，請回答下列問題：
---
(題組題 2-4，單選題) 題組背景描述如附圖。根據分析結果，資安專家應對公司提出下列何種建議？
---
教材內容：No
 *
1 point
(單選題)「商業公司使用防毒和反垃圾郵件機制，以保護公司的電子郵件系統。」請問上述屬於下列何種風險處理對策？
---
111-7
教材內容： 資訊安全管理系統 _ 資訊管理實務：風險處理實務 P.311 *
1 point
(單選題) 關於區塊鏈（Block chain）技術，下列敘述何者「不」正確？
---
108 年 _ 第 6 題
教材內容： 資訊安全管理系統 _ 資安管理實務 P.217 、 資訊安全管理系統 _ 資安管理實務 P.73 *
1 point
(複選題) 某 AI 開發新創公司規劃在 Microsoft Azure 雲端建立「儲存體」存放公司資料，與美國分公司進行資料分享，希望依賴 Microsoft Azure 既有備份備援機制，並進行相關風險評估與技術應用需求，若從資訊安全管理系統評估提出適宜之備份方案，下列敘述哪些較佳？
---
108 年 _ 第 19 題

 *
1 point
Required
(複選題) 關於風險分析及風險評估議題的敘述，下列哪些正確?(單選題)ISO/IEC 27005 於 2022 年 10 月發布最新版本，該版本與 2008 年版本的差異之一為風險識別的方式，其中 2008 年版為：基於 ___ ；2022 年版增加了：基於 ___。
---
112-27
教材內容： 風險管理實務 _ 風險分析與評估 P.264 *
1 point
111 年 _ 題組 2
迪菲-赫爾曼密鑰交換（Diffie-Hellman Key Exchange, D-H）是一種金鑰交換方法，其能夠讓通訊雙方在公開通道上建立金鑰，並且使用該金鑰在後續的通訊中作為共同金鑰來加密訊息內容。若小美和小明想要使用這個演算法來建立一個共同金鑰以利後續的訊息交換，則他們所使用的計算過程及參數如下所示：
圖1
根據此式，小美和小明可以先各自選定私鑰 a 和 b，並搭配公開資訊 g與 p 來計算得到共同金鑰 K。假設小美為金鑰交換的發起端，則金鑰建立流程如下所示：
在步驟 5. 以後，雙方皆得到一個相同的金鑰 K 可作為後續訊息交換使用。
---
(題組題 2-2，單選題) 題組背景描述如附圖。此時若有第三人小華獲知了雙方於公開通道中的通訊內容，在私鑰沒有外洩並且通訊內容未遭受攻擊與竄改的情況下，關於三人可獲取的資訊，下列何者正確？
---
教材內容： 資訊安全管理系統 _ 資訊管理實務：密碼學 P.197 *
1 point
Captionless Image
112 年第 1 次 _ 題組 1
A 公司為某先進產品的製造商，該公司主要據點 B 與 C 分散在國內兩地，距離約 20 km，其主要客戶位於歐洲地區，該公司十分重視資訊安全及品質管理，先前已通過 ISO 9001、ISO 27001 及 ISO 27701 等相關標準的驗證。據點 B 主要主要包含的業務與技術服務部門，據點 C主要包含管理部門、資訊部門及相關研發、製造部門。
---
(題組題 1-1，單選題) 背景描述如附圖，該公司據點 B 與據點C 兩地的通訊，在成本考量下，最終分別租用業者 D 的網際網路接取服務，以連接網際網路（Internet）。近日業務部門的印表機突然印出紙本的勒索信，信中表示該公司的電腦已被駭客組織 E 入侵，需支付高額的金錢，否則將進一步把公司的電腦資料加密。經調查後發現，業務部門為了方便業務人員從公司外部直接列印資料，而私自將該部門的印表機設定使用公有 (IP Public Internet Protocol)，且部門中的其他電腦皆位於啟用(NAT Network Address Translation) 功能的防火牆後方，請問最有可能被入侵的網路節點？
---
教材內容： 資訊安全管理系統 _ 資訊管理實務：存取控制、縱深防禦、職務區隔 (SOD) P.150 *
1 point
112 年第 1 次 _ 題組 3
某醫療機構日前發生多起駭客入侵事件，經查發現其行動式醫療車及行動加護病房的雲端即時監護系統皆遭到駭客入侵，駭客並且透過遠端設定改變點滴流速超出原本設定的 50 倍。為了解決行動式醫療設備及雲端監護系統的安全，該機構規劃導入零信任架構（Zero Trust Architecture）強化存取控制，解決行動式醫療車及行動加護病房的雲端即時監護系統。
---
(題組題 3-1，單選題) 背景描述如附圖。請問該醫療機構導入零信任（Zero Trust）優先進行的工作為下列何項?
---
教材內容： 資訊安全管理實務 _ 進階存取控制零信任架構 P.152 *
1 point
110 年 _ 題組 3
C 公司已投入電子商務 2 年，雖然疾情對既有傳統商務有些微影響，但是整體電子商務營運仍持續成長，並且已達到必須增建機房設施與系統容量之際，身為資訊部門的主管，您必須要在擴充資訊系統之際，同時規劃兼顧提昇系統資訊安全的任務，請就上述情境回答下列問題。
---
(題組題 3-2，單選題) 題組背景描述如附圖。關於資訊安全管理系統 (Information Security Management System, ISMS) 提供的風險評鑑方法，藉由資產分類，並判斷其價值與重要性，作出弱點及威脅分析，進行風險分析、風險評估及風險處理的規劃流程，對 C 公司而言，在企業有限的資源下，下列何者在風險控管處理上較「不」適切？
---
教材內容： 風險管理實務 _ 風險分析與評估 P.269 *
1 point
(複選題) 關於系統存取控制管理規劃與執行，下列哪些項目適當可行？
---
111-17
教材內容： 資訊安全管理系統 _ 資訊管理實務：存取控制、縱深防禦、職務區隔 (SOD) P.150 *
1 point
Required
109 年 _ 題組 5
近ABC 公司導入 ISO/IEC27001 資訊安全管理系統，並透過第三方稽核單位執行部分單位驗證。內部公告且遵循之資安事件（故）通報與處理規範如下：
---
(題組題 5-4，複選題) 題組背景描述如附圖。若未來 ABC 公司新的核心系統屬於「資通安全管理法」所定義之特定非公務機關，其未涉及關鍵基礎設施維運之核心資通系統遭輕微竄改，下列敘述何者正確？
---

註記：本題應該第二級資通安全事件，應該 72 小時內完成復原作業，
所以題目送分！教材內容： 資訊安全管理系統 _ 資訊安全管理系統建置實務與法規遵循 P.123 *
1 point
Captionless Image
(單選題) 如附圖所示，若將風險情境分為四個象限，關於四個風險處理的選擇，下列何者敘述較適切？
---
110-13
教材內容： 風險管理實務 _ 風險分析與評估 P.269 *
1 point
Captionless Image
(單選題) 關於縱深防禦（Defense in Depth），下列敘述何者
「不」正確？
---
109-14
教材內容： 資訊安全管理系統 _ 資安管理實務 P.173 *
1 point
(單選題) 下列何者為使用自動化風險分析工具主要的原因？
---
111-8
教材內容： 資訊安全管理系統 _ 資訊管理實務：風險處理實務 P.311 *
1 point
109 年 _ 題組 2
某公司為一跨國企業，公司員工約10,000 人，所有員工皆配備一台筆記型電腦，身為資安專家的你，正在評估筆記型電腦的安全風險，並對公司高層提出建議。
目前已搜集到以下資訊：
每台筆記型電腦價值：30,000
筆記型電腦遺失，價值將 100%受損 ，  每年遺失數量 10 台
同時，資安專家已完成資料防護軟體評估，以避免筆記型電腦遺失時對公司造成的損失，產品生命週期為四年，廠商報價如下：
全硬碟加密軟體：500,000，使用期間每年維護費用：75,000
遠端資料清除工具：100,000，使用期間每年維護費用：20,000
根據上列資訊，請回答下列問題：
---
(題組題 2-3，單選題) 題組背景描述如附圖。正在評估的資料防護軟體，每年的年度花費為下列何者？
---
教材內容：No
 *
1 point
112 年第 1 次 _ 題組 4
A 公司年初導入 ISO 27001 資訊安全管理制度，並參考 ISO 31000 風險架構制度訂定風險管理辦法及相關程序。公司亦順利於年底取得驗證通過，驗證過程稽核員於風險管理過程出具一項次要缺失，主因為 A公司於年度風險評鑑過程，風險項目量化數值計算錯誤，但不影響風險排序以及後續選擇風險進行回應之作業。
---
(題組題 4-4，複選題) 題組背景描述如附圖。導入 ISO 27001後，A 公司評估資安市場商機龐大，擬開發以 AES 512 加密技術之資安產品，並將主要目標市場設定為：美國、中國、日本、韓國、台灣。公司已瞭解此為重大事項，要求風險部門啟動風險評估作業，下列哪些項目是風險評估過程應被關注的事項？
---
教材內容： 風險管理實務 _ 風險分析與評估 P.264 *
1 point
Required
112 年第 1 次 _ 題組 5
風險管理是資訊安全的核心，對於風險的識別、策略面對於風險的危險的計算均來自於有效的風險管理。您是一位資訊安全管理人員，公司的資訊資產無論是管理、技術或營運都須由你來進行規畫，你發現由人事單位所執行的 EIP(Enterprise Information Portal) 開發一案，承辦廠商
無法提出任何技術性檢測報告，上線進入測試階段時，你發現該站台上有非常嚴重的 SQL Injection、XSS、CSRF…等網站應用程式弱點，你試圖要透過合約中規範開發廠商基於安全性問題，必須提供無償 20%程式碼修改的服務。
但基於你於此類技術性風險識別後，發現此類問題為非常低級錯誤，但在現在階段進行修補曠日廢時，而 CEO 要求你針對此類風險進行評估，必須避免重複花費，且可接受採用現有公司防護資訊設備進行保護。經過盤點，你基於一個月內能進行降低風險的解決方案包含：
1. 將該 EIP 納入網站應用程式防火牆保護，可提供 60% 的防護效益
2. 要求乙方應對安全性問題提出改善計劃，但需三個月的時間
3. 另外尋求外包資源針對發現的資安問題進行修補，需額外花費超過本案 50% 的金額
4. 透過 MSSP Managed Security Service Provider）提供監控 EIP 服務即早預警入侵事件，需額外花費本案 25% 的費用
5. 設定網站伺服器平台提供過濾 URI Uniform Resource Identifier）字串功能，可提供 85% 的防護效益
---
(題組題 5-1，單選題) 背景描述如附圖。CEO 表示，現階段已經進入測試階段，無法提供更多的預算進行防護，乙方回覆修改程式碼需要至少三個月，且會超過 20% 的修改比例，CEO需要你規劃最佳成本效益 (Cost Effective），下列何項可以進行暫時性保護，並爭取廠商修復時間?
---
教材內容： 風險管理實務 _ 風險分析與評估 P.264
 *
1 point
110 年 _ 題組 1
A 集團是全球知名飯店集團，目前在全球超過 120 個國家，擁有約 6千家旅館，旅館遍及亞洲、美洲、歐洲等地，並於 2016 年收購位於美國紐約的 BB 酒店。在 2018 年，BB 酒店房務系統遭駭客入侵造成 3億多筆個資，已知外洩資料中，包含客戶的姓名、通訊地址、電話號碼、電子信箱、護照號碼、出生日期、性別等資料。經查發現，這並不是 BB 酒店第一次遭駭客入侵而外洩客戶資料，早在 2014 年，BB 酒店就曾發生過客戶個資外洩事件。
---
(題組題 1-1，單選題) 題組背景描述如附圖。請問 BB 酒店2018 年的資料外洩事件，是否會受歐盟依一般資料保護規範（General Data Protection Regulation, GDPR）裁罰？
---
教材內容： 資訊安全管理系統 _ 資訊安全管理系統建置實務與法規遵循 P.90 *
1 point
(單選題) 依據資通安全責任等級分級辦法，對於組織的資通安全責任等級共可區分為 A 級、B 級、C 級、D 級及 E 級，當組織業務涉及公務機關捐助或研發之敏感科學技術資訊之安全維護及管理事項之情形者，其資通安全責任等級應為下列何者？
---
110-7
教材內容： 資訊安全管理系統 _ 資訊安全管理系統建置實務與法規遵循 P.106 *
1 point
111 年 _ 題組 2
迪菲-赫爾曼密鑰交換（Diffie-Hellman Key Exchange, D-H）是一種金鑰交換方法，其能夠讓通訊雙方在公開通道上建立金鑰，並且使用該金鑰在後續的通訊中作為共同金鑰來加密訊息內容。若小美和小明想要使用這個演算法來建立一個共同金鑰以利後續的訊息交換，則他們所使用的計算過程及參數如下所示：
圖1
根據此式，小美和小明可以先各自選定私鑰 a 和 b，並搭配公開資訊 g與 p 來計算得到共同金鑰 K。假設小美為金鑰交換的發起端，則金鑰建立流程如下所示：
在步驟 5. 以後，雙方皆得到一個相同的金鑰 K 可作為後續訊息交換使用。
---
(題組題 2-4，複選題) 題組背景描述如附圖。小美和小明「無法」使用哪些方式來防止此類型的攻擊？
---
教材內容： 資訊安全管理系統 _ 資訊管理實務：密碼學 P.197 *
1 point
Captionless Image
Required
(單選題) 某公司員工數約 5,000 人，所有員工皆配備一台筆記型電腦，每台筆記型電腦價值：30,000 元，若筆記型電腦遺失，價值將 100% 受損，今年公司遺失數量 5 台筆電，請問年度損失期望值（Annualized Loss Expectancy）為下列何者？
---
110-15
 *
1 point
(複選題) 關於 NIST SP 800-207 零信任架構（Zero Trust
Architecture, ZTA）的邏輯元件敘述，下列哪些正確？
---
112-20
教材內容： 資訊安全管理實務 _ 進階存取控制零信任架構 P.152 *
1 point
Required
110 年 _ 題組 3
C 公司已投入電子商務 2 年，雖然疾情對既有傳統商務有些微影響，但是整體電子商務營運仍持續成長，並且已達到必須增建機房設施與系統容量之際，身為資訊部門的主管，您必須要在擴充資訊系統之際，同時規劃兼顧提昇系統資訊安全的任務，請就上述情境回答下列問題。
---
(題組題 3-4，單選題) 題組背景描述如附圖。營運持續管理的資訊安全構面在於防治營運活動的中斷，保護重要營運過程不受重大資訊系統失效或災害的影響，並確保及時的回復，關於營運持續，下列敘述何者較「不」正確？
---
教材內容： 資訊安全管理系統 _ 資訊安全管理系統建置實務與法規遵循 P.175 *
1 point
108 年 _ 題組 2
-----
A 公司為一中小型 3C 電器設備販售商，服務客群除國內之外（總公司），觸角亦已開拓至歐洲（分公司），目前以O2O（OnlineToOffline）營銷模式進行商品販售。
為刺激商品販售動能，該公司於每季均提供會員參加抽獎活動，依據抽獎結果以電子郵件方式通知中獎之會員，並將所獲獎品寄送至會員指定之地址。
另該公司為強化各業務活動之效能，因此採購了一批相關軟、硬體設備（軟、硬體設備資料詳如附錄一），以滿足公司自動化與資訊化的作業需求 。
（附錄一）
I 軟體明細:
。i 作業系統
。 ii 伺服器軟體
。 iii 資料庫軟體
。 iv 防毒軟體
。 v 客製化 ERP 系統
II 硬體明細:
。 i 行政電腦硬體
。 ii 伺服器硬體
--------------
(題組題 2-3，單選題) 上述情境中，關於該公司為強化各業務活動之效能所採購之軟體，下列何者於上線前必須進行原始碼檢測？
---
教材內容： 無 *
1 point
110 年 _ 題組 5
A 公司為先進資通訊產品代工製造商，為台灣股票公開發行公司，接受美國知名大廠 B 公司委託代為生產 B 公司所研發與設計商品，為了保護 B 公司的產品設計的機密與安全，A 公司在與 B 公司的製造的合約中，有嚴格的保密條款要求不得以任何型式洩露 B 公司的任何有關他們設計的產品資訊。A 公司也向 B 公司宣稱所有 B 公司委託生產製造的生產線皆採用獨立的生產線及網路實體隔離不與 Internet 連接（如下圖）。
B 公司生產環境的廠區 24 小時全面監控 IPCam 將錄影資訊留存於 A公司的 DVR 伺服器中，保存 6 個月之久，所有的管理帳中集中於 AAA伺服器中，由專人管理，絕對安全可靠。
此外，為方便管理 B 公司產線共用 A 公司的製造執行系統 MES（Manufacturing Execution System），提供自動化的製造排程與即時的圖表式看板供產線管理人員及 B 公司相關人員即時監控實際的生產狀況，如有任何異常立即排除。
---
(題組題 5-2，單選題) 題組背景描述如附圖。承上題，依據「臺灣證券交易所股份有限公司對有價證券上市公司重大訊息之查證暨公開處理程序」新修訂的條文，第四條第一項第二十六款所述「發生災難、集體抗議、罷工、環境污染、資通安全事件或其他重大情事...」的規定，下列敘述何者較為正確？
---
教材內容： 資訊安全管理系統 _ 資訊安全管理系統建置實務與法規遵循 P.106 *
1 point
Captionless Image
(複選題) 從 ISO 27001:2022 附錄 A「參考控制目標及控制措施」中，下列哪些是「實體控制措施」相關的規範或控制措施？
---
112-12
教材內容： 資訊安全管理系統 _ 資安與個資相關 ISO 標準 P.25
請參考 CNSOnline 內的 CNS27001:2023 附錄 A
https://www.cnsonline.com.tw *
1 point
Required
(單選題) 關於風險處理的敘述，下列何者錯誤？
---
112-33
教材內容： 資訊安全管理系統 _ 資訊管理實務：風險處理實務 P.311 *
1 point
109 年 _ 題組 3
為因應 2019 冠狀病毒疾病疫情，中央防疫中心也提升至一級開設，對此，金管會表示，國內銀行業也積極因應，目前已有 13 家銀行採取異地辦公，A 銀行決定將資訊部門的系統管理人員及其代理人分別安排在不同的辦公地點辦公。
根據上列資訊，請回答下列問題：
---
(題組題 3-1，單選題) 題組背景描述如附圖。請問該異地辦公的規劃與營運持續管理有下列何種關聯？
---
教材內容： 資訊安全管理系統 _ 資安管理實務 P.293 *
1 point
108 年 _ 題組 3
-----
超能力公司於年初通過全公司 ISO/IEC27001 驗證，其中關於系統維運部分的相關政策，要求重要系統中斷時間不得超過 2 小時，所有重要系統及其相關支援環境皆依此標準建立。
超能力公司年中接獲開心買公司重要訂單，由公司負責提供環境建立並維護開心買公司網路訂購系統，並於合約要求該網路訂購系統若因該公司之問題中斷超過 3 分鐘，超能力公司需賠償開心買公司。
超能力公司據此將該系統判定為重要系統，並於既有重要系統支援環境導入此新架設的購物系統，並為該系統在原機房建立備援機制。
--------------
(題組題 3-4，單選題) 上述情境中，若超能力公司位於台北市，為降低因地震、颱風等災害造成資訊系統停止運作之風險，公司擬設置第二備援機房，下列何縣市之降低風險效果最差？
---
教材內容： 資訊安全管理系統 _ 資安管理實務 P.175 *
1 point
110 年 _ 題組 4
D 公司主要業務為提供客戶雲端存儲服務，基於對客戶的保障，已通過ISO/IEC 27001 驗證，並訂定資安政策及資安目標，其中一項資安目標為提供客戶存儲服務系統，中斷服務不可超過 4 小時，因此相關系統及環境皆依此標準建置。
2020 年初，因疫情影響，公司評估此為重大事件，發現先前制定的分艙分流計畫不足以因應現況，故決議導入居家辦公系統，以便在公司受到疫情影響無法進入公司辦公時，能有效維運存儲服務系統，不中斷對客戶的服務，並於同年 4 月完成系統建置，讓系統維運及公司人員可透過此系統進入公司內網進行工作並對客戶提供服務。
因 D 公司因應得宜，受到某重要客戶青睞，於 2020 年 6 月與該重要客戶簽約提供資料存儲服務，合約中載明系統中斷不可超過 1 小時，公司評估未來營運成長需求，決定對提供客戶存儲服務之系統，設置異地備援之存儲服務系統，且主機房存儲服務系統中斷時，可自動切換至異地存儲服務系統，以避免區域性災難與滿足客戶要求。
---
(題組題 4-1，複選題) 題組背景描述如附圖。D 公司因疫情影響，決議導入居家辦公系統，依據 ISO/IEC 27001 之規範，下列哪些行為是 D 公司應進行之事項？
---
教材內容： 資訊安全管理系統 _ 安全架構規劃實務 P.25 *
1 point
Required
109 年 _ 題組 3
為因應 2019 冠狀病毒疾病疫情，中央防疫中心也提升至一級開設，對此，金管會表示，國內銀行業也積極因應，目前已有 13 家銀行採取異地辦公，A 銀行決定將資訊部門的系統管理人員及其代理人分別安排在不同的辦公地點辦公。
根據上列資訊，請回答下列問題：
---
(題組題 3-3，單選題) 題組背景描述如附圖。除了異地辦公地點的選擇外，下列何項亦可增加疫情發生時的營運持續能力？
---
教材內容： 資訊安全管理系統 _ 資安管理實務 P.184 *
1 point
111 年 _ 題組 4
A 企業為台灣 50 大之企業之一，且為股票上市企業，實收資本額達新台幣 150 億元，主要營業項目為電商相關，該公司最近發現客服中心收到多筆客訴，內容主要都為消費者在公司電商網站購物後，就接到詐騙電話，電話中明確指出受駭者的消費明細，並誆稱要辦理退費，導引消費者去 ATM 操作，導致受駭者金錢損失。
---
(題組題 4-4，複選題) 題組背景描述如附圖。A 企業在此一事件發生後，未發佈任何公開聲明，僅維持與受駭之消費者進行後續糾紛處理，但受駭消費者透訴媒體，以致眾媒體已大幅報導、相關檢警調單位亦已主動介入偵辦，另由於未有專屬之資安部門與人員編制，A 企業計畫於民國 112 年 1 月 1 日、成立專門之資安單位，編制 4 人，最高資安主管為協理，直接向資訊副總經理負責。綜上所述，請問該公司可能違反下列哪些法令法規的要求？
---
教材內容： 資訊安全管理系統 _ 資訊管理實務：存取控制、縱深防禦、職務區隔 (SOD) P.238 *
1 point
Required
(複選題)「某政府一級單位官網，交付政府維運機房代管，要求服務層級協議 (Service Level Agreement, SLA) 99.999% 服務水平，監測發現該政府官網，固定在每週日，半夜 12:00 會自動停止服務 30 分鐘。該事件已經持續半年才被發現，在風險問題排除過程中：
(1) IIS Web Server 都服務正常
(2) MS-SQL
資料庫服務也正常
(3) 防火牆也未變動其政策
(4) 檢查相關排程有每月一次定期備份檔案到 D 磁碟某目錄
(5) 在檔案異動上發現有多了一個 Lcx.exe 惡意程序放在 Web Root 目錄。」
下列哪些選項屬於合適的風險處置措施？
---
111-20
教材內容： 資訊安全管理系統 _ 資訊管理實務：風險處理實務 P.311 *
1 point
Required
 (單選題) 某台灣公司，業務市場及銷售據點分布在臺、美兩地，在建置資安系統時，應優先考量附圖哪些法規事項？
1 歐盟支付服務指令第 2 版（The  Second Payment Services Directive, PSD2）
2 臺灣-資通安全管理法
3 美國-CCPA（California Consumer  Privacy Act）
4 臺灣-營業秘密法
5 香港-CFI（Cybersecurity  Fortification Initiative）
---
109-1
教材內容： 資訊安全管理系統 _ 資訊安全管理系統建置實務與法規遵循 P.102 *
1 point
(單選題)公司在招募新員工時，若打算在網頁上公布錄取榜單，下列敘述何者「不」正確？
---
108 年 _ 第 2 題
教材內容： 資訊安全管理系統 _ 資訊安全管理系統建置實務與法規遵循 P.78 *
1 point
(單選題) 下列何項安全實作原則是為了預防僅因個人行為而造成可能的舞弊情形發生？
---
111-5
教材內容： 資訊安全管理系統 _ 資訊管理實務：存取控制、縱深防禦、職務區隔 (SOD) P.150 *
1 point
109 年 _ 題組 4
近來有愈來愈多公司更積極擁抱新興科技，期望透過更大量的科技應用，提升公司整體營運能力，也希望從中找到新的商機，強化公司競爭力。A 公司為著名電商公司，同時十分注重資訊安全，去年已完成全公司 ISO/IEC27001 導入與驗證，今年為強化公司競爭力，決議將公司主要電商網站由 IDC 機房移入雲端，同時相關辦公自動化服務（Office Automation, OA）也積極使用雲端 Solution。
根據上列資訊，請回答下列問題：
---
(題組題 4-1，單選題) 題組背景描述如附圖。就 ISO/IEC27001而言，若考量公司重要服務（電商網站）由地端移入雲端一事，下列敘述何者較適當？
---
教材內容： 資訊安全管理系統 _ 安全架構規劃實務 P.260 *
1 point
(單選題) 關於風險管理步驟由先至後，下列排序何者正確？
(1)全景建立
(2)風險處理
(3)風險識別
(4)監控風險處理
(5)風險評估
---
111-14
教材內容： 資訊安全管理系統 _ 資訊管理實務：風險處理實務 P.311 *
1 point
(單選題) 依據民國 110 年 12 月發布的《公開發行公司建立內部控制制度處理準則》第九條之一第二項規定，以及金融監督管理委員會 110 年 12 月 28 日金管證審字第 11003656544 號函釋，上市（櫃）公司實收資本額達新台幣 100 億元以上時，應於民國 111 年 12 月 31 日前，完成哪些資訊安全單位及人員的設置？
1. 資訊安全長；
2. 資安專責單位；
3. 資安專責人員 (至少 3 名
4. 資安專責人員 (至少 2 名)
5. 資安專責單位主管 *
1 point
(單選題)「某網站伺服器經常有大量的使用者來進行異動，且常會定義不同的使用者身份，例如會員、非會員或系統管理者。」關於網站存取控制模型之選擇，下列何者管理效率較高?
---
111-15
教材內容： 資訊安全管理系統 _ 資訊管理實務：存取控制、縱深防禦、職務區隔 (SOD) P.150 *
1 point
(單選題) 關於網站應用程式防護，下列敘述何者正確？
---
109-15
 *
1 point
112 年第 1 次 _ 題組 1
A 公司為某先進產品的製造商，該公司主要據點 B 與 C 分散在國內兩地，距離約 20 km，其主要客戶位於歐洲地區，該公司十分重視資訊安全及品質管理，先前已通過 ISO 9001、ISO 27001 及 ISO 27701 等相關標準的驗證。據點 B 主要主要包含的業務與技術服務部門，據點 C主要包含管理部門、資訊部門及相關研發、製造部門。
---
(題組題 1-2，單選題) 題組背景描述如附圖。為符合業務部門員工從公司外部列印資料的需求，下列何種解決方案，可以不需在印表機設定公有 IP (Public Internet Protocol) 的前提下達成此需求?
---
教材內容： 資訊安全管理系統 _ 資訊管理實務：存取控制、縱深防禦、職務區隔 (SOD) P.150 *
1 point
(複選題) 關於資產威脅實施風險處理流程，下列哪些為風險分擔（Risk Sharing）的方法？
---
110-19
教材內容： 風險管理實務 _ 風險處理實務 P.173 *
1 point
Required
112 年第 1 次 _ 題組 2
某公司資訊系統管理人員發現該公司 SQL Server 有些異常現象發生，經檢視相關 SQL Server 之紀錄檔之後，並未發現足以支撐該管理人員對此異常現象發生原因之推論，惟該管理人員可以判斷的是，這個異常現象應該是人為的因素比較大，因此，管理人員為了確認 SQL Server 異常現象的發生是其所判斷的「人為因素」所產生。
---
(題組題 2-2，單選題) 題組背景描述如附圖。該管理人員安裝網路封包側錄器後，對該 SQL Server 持續側錄了一整晚的網路封包，隔天進公司針對所側錄下來的網路封包進行分析，發現在網路封包內容顯示了有一個來自 210.34.17.8 的 IP 位址在深夜的時候連接至公司內部該資料庫主機 TCP 3389 埠以及 TCP 1433 埠）。請問下列敘述何者較為適當?
---
教材內容： 資訊安全管理系統 _ 資訊管理實務：存取控制、縱深防禦、職務區隔 (SOD) P.150 *
1 point
(單選題) 下列選項何者作為金鑰分配（Key Distribution) 的安全性較佳?
---
111-3
教材內容： 資訊安全管理系統 _ 資訊管理實務：密碼學 P.197 *
1 point
(複選題) 某公司共有 500 名員工，在疫情期間啟用遠距在家上班的應變計畫，關於遠距上班，下列敘述哪些較正確？
---
110-18
教材內容： 資訊安全管理系統 _ 資訊管理實務：存取控制、縱深防禦、職務區隔 (SOD) P.150 *
1 point
Required
(單選題) 機房區域屬於防範基本設備操作直接存取的重要防護區域，下列敘述何者「不」正確？
---
111-6
教材內容： 資訊安全管理系統 _ 資訊管理實務：存取控制、縱深防禦、職務區隔 (SOD) P.302 *
1 point
(單選題) 某公司在每週星期日凌晨 1 點執行完整備份（Full Backup），每日凌晨 1 點執行增量備份（Incremental Backup），每日備份資料分存放於不同磁帶。若此系統在星期三的下午 2 點發生嚴重損毀（Crash），資訊人員執行資料回復，需使用多少個磁帶的資料？
---
109-4
教材內容： 資訊安全管理系統 _ 安全架構規劃實務 P.245 *
1 point
108 年 _ 題組 3
-----
超能力公司於年初通過全公司 ISO/IEC27001 驗證，其中關於系統維運部分的相關政策，要求重要系統中斷時間不得超過 2 小時，所有重要系統及其相關支援環境皆依此標準建立。
超能力公司年中接獲開心買公司重要訂單，由公司負責提供環境建立並維護開心買公司網路訂購系統，並於合約要求該網路訂購系統若因該公司之問題中斷超過 3 分鐘，超能力公司需賠償開心買公司。
超能力公司據此將該系統判定為重要系統，並於既有重要系統支援環境導入此新架設的購物系統，並為該系統在原機房建立備援機制。
--------------
(題組題 3-2，單選題) 上述情境中，關於超能力公司依完整評估後決定的備援模式，若從公司管理決策階層的角度來看，下列敘述何者最適當？
---
教材內容： 資訊安全管理系統 _ 資安管理實務 P.175 *
1 point
(單選題)M 公司引進最新的科技，大幅度的改善公司重要的資訊系統，雖然功能相同，但效能更快與使用更便利。若從資安的角度來看，下列敘述何者較佳？
---
108 年 _ 第 12 題
教材內容： 風險管理實務 _ 風險分析與評估 P.311 *
1 point

108 年 _ 題組 5
-----
醫療設備大廠 XYZ 出產的兩款醫療設備，區域醫院 QAZ 為了即時取得醫療資訊，透過網路方式使用這兩款設備，安全廠商 ABC 在區域醫院QAZ 的安全測試時發現嚴重漏洞，可讓連上同一網路的攻擊者遠端變更系統設定，包括：藥劑、氣體、關閉警鈴和機器數值。但是 XYZ 強調這兩款設備並沒有網路連線能力，僅提供序列埠及 USB 認為漏洞並非出在機器本身，並未發布修補程式。安全廠商 ABC 聲稱雖然這兩款醫療設備本身沒有連網能力，但的確可由 TCP/IP 網路進行連線並下達指令。
--------------
(題組題 5-1，單選題) 上述情境中，主要是運用下列何種設備，使醫院得以利用 TCP/IP 網路連線到 XYZ 公司生產的兩款醫療設備？
---
教材內容： 無

 *
1 point
(複選題) 某公司從事國際型科技大廠組裝代工業務，在合作業務上，嚴禁將未上市產品資訊外洩，包含：未上市產品間諜照、設計圖…等，相關資訊檔案讀取使用僅限制公司少數高階技術人員可以讀取，不能外洩到公司以外其他地方使用。關於上述狀況，下列風險管理敘述何者正確？
---
109-16
教材內容： 風險管理實務 _ 風險處理實務 P.173 *
1 point
Required
(複選題) 關於資訊安全管理系統在決定驗證範圍時，須包含下列哪些考量議題？
---
111-19
教材內容： 資訊安全管理系統 _ 資安管理系統建置實務 P.10 *
1 point
Required
111 年 _ 題組 4
A 企業為台灣 50 大之企業之一，且為股票上市企業，實收資本額達新台幣 150 億元，主要營業項目為電商相關，該公司最近發現客服中心收到多筆客訴，內容主要都為消費者在公司電商網站購物後，就接到詐騙電話，電話中明確指出受駭者的消費明細，並誆稱要辦理退費，導引消費者去 ATM 操作，導致受駭者金錢損失。
---
 (題組題 4-2，單選題) 題組背景描述如附圖。針對駭客可能是利用偷來的消費者資訊或密碼試圖登入網路服務的這一種攻擊，下列何者防護措施「無法」有效防範此攻擊？
---
教材內容： 資訊安全管理系統 _ 資訊管理實務：存取控制、縱深防禦、職務區隔 (SOD) P.150 *
1 point
(單選題)M 公司位於 Q 大樓一樓，每年的颱風季節，網管人員很擔心相關設備因淹水而損壞，經反映問題給高階主管後，管理階層決定購買相關保險以因應相關的風險。請問上述案例是風險處理中的何種選項？
---
108 年 _ 第 15 題
教材內容： 風險管理實務 _ 風險處理實務 P.311 *
1 point
(單選題) 下列何者可被用來確認資料的完整性（Integrity）?
---
109-9
教材內容： 資訊安全管理系統 _ 資安管理實務 P.203 *
1 point
(單選題) 關於 NIST SP 800-207 零信任架構（Zero Trust Architecture, ZTA）的基本規則敘述，下列何項錯誤?
---
112-19
教材內容： 資訊安全管理實務 _ 進階存取控制零信任架構 P.152 *
1 point
112 年第 1 次 _ 題組 1
A 公司為某先進產品的製造商，該公司主要據點 B 與 C 分散在國內兩地，距離約 20 km，其主要客戶位於歐洲地區，該公司十分重視資訊安全及品質管理，先前已通過 ISO 9001、ISO 27001 及 ISO 27701 等相關標準的驗證。據點 B 主要主要包含的業務與技術服務部門，據點 C主要包含管理部門、資訊部門及相關研發、製造部門。
---
(題組題 1-3，單選題)
題組背景描述如附圖。因該公司是某先進產品的製造商，若要進一步強化該公司製造場域部分的資訊安全(Operational Technology)，宜再導入下列何種標準驗證較為合適？
---
教材內容： 資訊安全管理系統 _ 資安與個資相關 ISO 標準 P.25 *
1 point
(單選題) 一個通過 ISO 27001:2013 驗證的組織，在內部稽核活動中，發現已離職員工的帳號仍沒有停用，且進一步追查存取紀錄時，發現其在離職後，仍有登入存取部門共用資料夾的行為。請問對於該組織上述的狀況，下列何項敘述最為合適？
---
112-10
教材內容： 資訊安全管理系統 _ 資訊管理實務：存取控制、縱深防禦、職務區隔 (SOD) P.150 *
1 point
(單選題)「M 公司的資訊系統，每週均有進行系統與資料備份，且有異地備份，而近期公司增加了新多重加密機制，讓資料安全可以進一步確保。然近期進行系統之復原測試時，發現復原作業時間共需要 6 小時，與公司的規定 4 小時，明顯不符。」關於上述案例中，「不」符合下列何者要求?
---
111-2
教材內容： 資訊安全管理系統 _ 資安管理實務 P.293 *
1 point
(單選題)ISO/IEC 27002 於 2022 年 2 月發布最新版本，該版本與 2013 年版本的差異之一，是增加控制措施的屬性標籤，其中一項是「類別」，共有預防、偵測與矯正等 3 項，請問系統資料備份比較偏向下列哪一類型？
---
112-35
教材內容： 資訊安全管理系統 _ 資安與個資相關 ISO 標準 P.25 *
1 point
112 年第 1 次 _ 題組 3
某醫療機構日前發生多起駭客入侵事件，經查發現其行動式醫療車及行動加護病房的雲端即時監護系統皆遭到駭客入侵，駭客並且透過遠端設定改變點滴流速超出原本設定的 50 倍。為了解決行動式醫療設備及雲端監護系統的安全，該機構規劃導入零信任架構（Zero Trust Architecture）強化存取控制，解決行動式醫療車及行動加護病房的雲端即時監護系統。
---
 (題組題 3-4，複選題) 背景描述如附圖。導入零信任架構時，可能面臨的威脅挑戰有下列哪些？
---
教材內容： 資訊安全管理實務 _ 進階存取控制零信任架構 P.152 *
1 point
Required

108 年 _ 題組 5
-----
醫療設備大廠 XYZ 出產的兩款醫療設備，區域醫院 QAZ 為了即時取得醫療資訊，透過網路方式使用這兩款設備，安全廠商 ABC 在區域醫院QAZ 的安全測試時發現嚴重漏洞，可讓連上同一網路的攻擊者遠端變更系統設定，包括：藥劑、氣體、關閉警鈴和機器數值。但是 XYZ 強調這兩款設備並沒有網路連線能力，僅提供序列埠及 USB 認為漏洞並非出在機器本身，並未發布修補程式。安全廠商 ABC 聲稱雖然這兩款醫療設備本身沒有連網能力，但的確可由 TCP/IP 網路進行連線並下達指令。
--------------
(題組題 5-2，單選題) 上述情境中，若您是資訊安全顧問，您認為應如何改善整體事件的安全性？
---
教材內容： 資訊安全管理系統 _ 資安管理實務 P.238

 *
1 point
108 年 _ 題組 3
-----
超能力公司於年初通過全公司 ISO/IEC27001 驗證，其中關於系統維運部分的相關政策，要求重要系統中斷時間不得超過 2 小時，所有重要系統及其相關支援環境皆依此標準建立。
超能力公司年中接獲開心買公司重要訂單，由公司負責提供環境建立並維護開心買公司網路訂購系統，並於合約要求該網路訂購系統若因該公司之問題中斷超過 3 分鐘，超能力公司需賠償開心買公司。
超能力公司據此將該系統判定為重要系統，並於既有重要系統支援環境導入此新架設的購物系統，並為該系統在原機房建立備援機制。
--------------
(題組題 3-1，複選題) 上述情境中，關於超能力公司將接獲開心買公司訂單並導入新系統視為重大事件，依據 ISO/IEC27001之規範，下列哪些是超能力公司應進行之事項？
---
教材內容： 資訊安全管理系統 _ 資安管理實務 P.25 *
1 point
Required
109 年 _ 題組 4
近來有愈來愈多公司更積極擁抱新興科技，期望透過更大量的科技應用，提升公司整體營運能力，也希望從中找到新的商機，強化公司競爭力。A 公司為著名電商公司，同時十分注重資訊安全，去年已完成全公司 ISO/IEC27001 導入與驗證，今年為強化公司競爭力，決議將公司主要電商網站由 IDC 機房移入雲端，同時相關辦公自動化服務（Office Automation, OA）也積極使用雲端 Solution。
根據上列資訊，請回答下列問題：
---
(題組題 4-4，複選題) 題組背景描述如附圖。電商平台移至雲端後，相關系統維運作業也因應調整，請問下列敘述何者具有潛在資安合規風險？
---
教材內容： 資訊安全管理系統 _ 安全架構規劃實務 P.260 *
1 point
Required
111 年 _ 題組 2
迪菲-赫爾曼密鑰交換（Diffie-Hellman Key Exchange, D-H）是一種金鑰交換方法，其能夠讓通訊雙方在公開通道上建立金鑰，並且使用該金鑰在後續的通訊中作為共同金鑰來加密訊息內容。若小美和小明想要使用這個演算法來建立一個共同金鑰以利後續的訊息交換，則他們所使用的計算過程及參數如下所示：
圖1
根據此式，小美和小明可以先各自選定私鑰 a 和 b，並搭配公開資訊 g與 p 來計算得到共同金鑰 K。假設小美為金鑰交換的發起端，則金鑰建立流程如下所示：
在步驟 5. 以後，雙方皆得到一個相同的金鑰 K 可作為後續訊息交換使用。
---
(題組題 2-3，單選題) 題組背景描述如附圖。若小華想要得知共同金鑰 K，請問他可以透過下列何種攻擊方式得知？
---
教材內容： 資訊安全管理系統 _ 資訊管理實務：密碼學 P.197 *
1 point
Captionless Image
(複選題) 下列哪些是進行營運衝擊分析（Business Impact Analysis, BIA）時需考量的因素？
---
109-20
教材內容： 風險管理實務 _ 風險分析與評估 P.283 *
1 point
Required
(單選題) 某公司新網頁資訊系統上線，內含客戶相關資料，經
資安風險分析，有帳號暴力破解風險，再經後續的安全測試，
發現帳戶登錄機制可容許一直重複嘗試登入，關於上述狀況，
下列何者作法最「不」適當？
---
109-5
教材內容： 風險管理實務 _ 風險分析與評估 P.148 *
1 point
(複選題) 某公司規劃成立新的國際數據資訊中心（International Data Corporation, IDC），委請外包廠商針對風險評估與分析結果提出建議調整方案，關於外包廠商提出之建議，下列敘述哪些較「不」合適？
---
110-20
 *
1 point
Required
(單選題)X 公司為在中華民國註冊登記之公司，該公司將於
2023 年導入資安管理制度並預計於 2024 年第一季通過國際資安驗證，請問下列何項制度最適合 X 公司做為導入資訊安全管理制度依循之參考？
---
112-1
教材內容： 資訊安全管理系統 _ 資安與個資相關 ISO 標準 P.25 *
1 point
(單選題) 某公司在員工個人電腦登入後會強制跳出提醒訊息：「請遵守本公司資訊安全規範，避免機敏資料外洩」，此提醒屬於下列何種控制措施？
---
109-11
教材內容： 風險管理實務 _ P.302 *
1 point
112 年第 1 次 _ 題組 5
風險管理是資訊安全的核心，對於風險的識別、策略面對於風險的危險的計算均來自於有效的風險管理。您是一位資訊安全管理人員，公司的資訊資產無論是管理、技術或營運都須由你來進行規畫，你發現由人事單位所執行的 EIP(Enterprise Information Portal) 開發一案，承辦廠商
無法提出任何技術性檢測報告，上線進入測試階段時，你發現該站台上有非常嚴重的 SQL Injection、XSS、CSRF…等網站應用程式弱點，你試圖要透過合約中規範開發廠商基於安全性問題，必須提供無償 20%程式碼修改的服務。
但基於你於此類技術性風險識別後，發現此類問題為非常低級錯誤，但在現在階段進行修補曠日廢時，而 CEO 要求你針對此類風險進行評估，必須避免重複花費，且可接受採用現有公司防護資訊設備進行保護。經過盤點，你基於一個月內能進行降低風險的解決方案包含：
1. 將該 EIP 納入網站應用程式防火牆保護，可提供 60% 的防護效益
2. 要求乙方應對安全性問題提出改善計劃，但需三個月的時間
3. 另外尋求外包資源針對發現的資安問題進行修補，需額外花費超過本案 50% 的金額
4. 透過 MSSP Managed Security Service Provider）提供監控 EIP 服務即早預警入侵事件，需額外花費本案 25% 的費用
5. 設定網站伺服器平台提供過濾 URI Uniform Resource Identifier）字串功能，可提供 85% 的防護效益
---
 (題組題 5-2，單選題) 題組背景描述如附圖。風險處理實務中，針對定量分析 (Quantitative)，可以計出精準的風險危害程度，計算出可被度量的數值，一般來說，它是金錢的單位，要計算出一年內單一風險因子對於資訊資產產生單一危害。經過評估，本項網站弱點資產價值為 120 萬元，已識別出有 3 個可利用的弱點，可取得網站上所有員工的個人資料，無論其弱點的多寡，其危害網站 40% 的價值，該 EIP 網站並未被公開於網路上，但在過去此類內部網站弱點被利用一年內約有 12% 的弱點被利用，請問其年損失期望計算下列何者正確？
---
教材內容： 風險管理實務 _ 風險分析與評估 P.264
 *
1 point
109 年 _ 題組 4
近來有愈來愈多公司更積極擁抱新興科技，期望透過更大量的科技應用，提升公司整體營運能力，也希望從中找到新的商機，強化公司競爭力。A 公司為著名電商公司，同時十分注重資訊安全，去年已完成全公司 ISO/IEC27001 導入與驗證，今年為強化公司競爭力，決議將公司主要電商網站由 IDC 機房移入雲端，同時相關辦公自動化服務（Office Automation, OA）也積極使用雲端 Solution。
根據上列資訊，請回答下列問題：
---
(題組題 4-3，單選題) 題組背景描述如附圖。A 公司某日收到上個月雲端平台的帳號，發現帳單費用爆增，經過清查後發現雲端平台存有不知名的挖礦程式正在執行，導致雲端使用費大增，請問下列何者最「不」可能是遭駭客植入挖礦程式的原因？
---
教材內容： 資訊安全管理系統 _ 安全架構規劃實務 P.260 *
1 point
(單選題) 在 ISO 系列的 ISMS 標準中，下列何者與電信產業資訊安全管理最有關聯？
---
112-2
教材內容： 資訊安全管理系統 _ 資安與個資相關 ISO 標準 P.25 *
1 point
 (單選題) 關於網路區隔，下列敘述何者較「不」可行？
---
108 年 _ 第 9 題
教材內容： 資訊安全管理系統 _ 安全架構規劃實務 P.238 *
1 point
 (單選題) 某公司在一次例行檢查中，資安管理人員發現一位員工正試圖使用透過手機網路連至外部網路下載軟體至其工作用筆記型電腦，此作法等於繞過公司防火牆，該員工解釋是為了安裝部門專案使用的 X 軟體，關於上述狀況，下列何種措施應優先進行？
---
109-10
 *
1 point
(單選題) 關於風險評估準則的敘述，下列何者錯誤？
---
112-34
教材內容： 風險管理實務 _ 風險分析與評估 P.264 *
1 point
(單選題) 某機敏單位遷移至公司大樓 23 樓辦公，23 樓只有該部門專用。若從實體安全規劃評估的角度來看，下列敘述何者風險較高？
---
108 年 _ 第 11 題
教材內容： 風險管理實務 _ 風險分析與評估 P.143 *
1 point
(單選題) 組織擬採取「存取控制」構面之控制措施確保組織所保有的資通系統之安全防護，請問關於控制措施的敘述，下列何項錯誤？
---
112-9
教材內容： 資訊安全管理系統 _ 資訊管理實務：存取控制、縱深防禦、職務區隔 (SOD) P.150 *
1 point
108 年 _ 題組 1
 -----
某上櫃企業已通過 ISO/IEC27001 認證，於某上班日發現公司半數同仁AD 帳號遭到鎖定，無法使用 AD 帳號密碼登入電腦系統。MIS 進行AD 解鎖後，同仁隨即再次被鎖定無法登入，慌亂初期 MIS 採取區域性斷網，依然無效。
隨即分析 AD 主機事件記錄，發現都是 Exchange Server 所造成，進一步分析防火牆記錄，發現大量外部 access OWA 的 443Port 登入失敗，有多個來源遠端攻擊者裝置嘗試入侵 Web Mail 系統失敗，類似「DDoS」與「密碼暴力攻擊」。
MIS 採取緊急應變措施，阻斷相關攻擊者裝置 IP。可是每隔一段時間會自動換成其他國家地區 IP 持續入侵攻擊，MIS 進一步將境外非台 IP全面禁止，以短暫維持運作。但相關攻擊來源竟轉換台灣地區 IP。MIS進一步採取關閉用外部開放使用 Exchange OWA 服務，要求公司外部活動人員須以 VPN 方式，建立裝置放行白名單方式，進行 Exchange郵件登入作業。而 VPN 依群組方式申請建立不同放行權限，非全面開放。
並對來自台灣的攻擊裝置主機，進行反查，確認其管理公司以及人員，進行對主管機關進行資安通報，聯繫該攻擊方 IP 公司進行相關處理。該公司隨即停用該主機，重新安裝，中斷 C&C 在台灣中繼站，國外攻擊者 IP，則以E-mail 通知，並於事件發生期間，全面中斷境外相關連線，直到改善為止。
--------------
(題組題 1-2，複選題) 上述情境中，關於問題事件分析、作業規範、以及防護手段，下列敘述哪些正確？
---
教材內容： 風險管理實務 _ 風險處理實務 P.106 *
1 point
Required
(單選題) 與資訊安全風險分析相關議題的敘述，下列何者錯誤？
---
112-25
教材內容： 風險管理實務 _ 風險分析與評估 P.264 *
1 point
111 年 _ 題組 5
下圖為密碼學中常見的一種加密系統，請根據圖中資訊回答下列問題：
---
(題組題 5-4，複選題) 題組背景描述如附圖。請問下列關於此種加密系統的敘述，哪些正確？
---
教材內容： 資訊安全管理系統 _ 資訊管理實務：密碼學 P.197 *
1 point
Captionless Image
Required
109 年 _ 題組 1
某公司的資安人員依據公司設備狀況規劃以下網路架構設計圖：
---
(題組題 1-3，單選題) 題組背景描述如附圖。承上題，在此架構下，下列何者「不」是定期需要執行的資安維運任務？
---
教材內容：No
 *
1 point
Captionless Image
111 年 _ 題組 5
下圖為密碼學中常見的一種加密系統，請根據圖中資訊回答下列問題：
---
(題組題 5-2，單選題) 題組背景描述如附圖。關於附圖中所標示的數字 1. 6. 之執行順序，下列排序何者最為合理？
---
教材內容： 資訊安全管理系統 _ 資訊管理實務：密碼學 P.197 *
1 point
Captionless Image
(單選題) 關於風險評鑑（Risk Assessment），下列敘述何者「不」正確？
---
110-9
教材內容： 風險管理實務 _ 風險分析與評估 P.269 *
1 point
108 年 _ 題組 2
-----
A 公司為一中小型 3C 電器設備販售商，服務客群除國內之外（總公司），觸角亦已開拓至歐洲（分公司），目前以O2O（OnlineToOffline）營銷模式進行商品販售。
為刺激商品販售動能，該公司於每季均提供會員參加抽獎活動，依據抽獎結果以電子郵件方式通知中獎之會員，並將所獲獎品寄送至會員指定之地址。
另該公司為強化各業務活動之效能，因此採購了一批相關軟、硬體設備（軟、硬體設備資料詳如附錄一），以滿足公司自動化與資訊化的作業需求 。
（附錄一）
I 軟體明細:
。i 作業系統
。 ii 伺服器軟體
。 iii 資料庫軟體
。 iv 防毒軟體
。 v 客製化 ERP 系統
II 硬體明細:
。 i 行政電腦硬體
。 ii 伺服器硬體
--------------
(題組題 2-1，複選題) 上述情境中，關於該公司法務部門新主管為讓公司有關會員的業務活動能符合法律要求，因此提出了幾個供執行業務活動之同仁參考運用的法律規範，下列敘述哪些較正確？
---
教材內容： 資訊安全管理系統 _ 資訊安全管理系統建置實務與法規遵循 P.90 *
1 point
Required
 (單選題) 在資訊安全模型（Security Models）中，關於自主存取控制（Discretionary Access Control, DAC），下列敘述何者「不」正確？
---
110-6
教材內容： 資訊安全管理系統 _ 資訊管理實務：存取控制、縱深防禦、職務區隔 (SOD) P.143 *
1 point
111 年 _ 題組 3
常青公司主要的營運系統建置於北部的舊有廠房內，包含 2 百萬元的伺服器主機、儲存媒體、網路設備及先前採購的 8 百萬元可重覆安裝資訊系統軟體，提供公司辦公室、原廠房以及合作的供應商相關營運作業管理，因原有廠區周邊環境設施不夠完善，最近 5 年因為颱風與豪雨，已經造成 3 次系統運作中斷和 1 次淹水損壞所有資訊系統設備；公司於南科建置的新廠將在年底落成，總經理要求資訊部門主管開始著手規劃未來長期業務持續管理 (Business Continuity Management, BCM），並且評估未來如果再發生障礙時，復原時間目標（Recovery Time Objective, RTO）不大於四小時的可行方案。
---
(題組題 3-4，複選題) 總經理要求增加評估雲端服務的備援方案，在目前運作順暢的作業流程下，將優先以使用既有穩定軟體系統為前題下，除了與原軟體廠商連繫確認其軟體系統支援主機虛擬化、可移植性與配合事項之外，參考 CNS19086 系列、CNS27018 以及 CNS27002 的相關安全規範，相較於一般先建異地備援方案，選用雲服務商（Cloud Service Provider, CSP）的雲端服務之時，必須考量下列哪些安全要素？
---
教材內容：教材內容： 資訊安全管理系統 _ 營運衝擊分析 P.280
 *
1 point
Required
110 年 _ 題組 4
D 公司主要業務為提供客戶雲端存儲服務，基於對客戶的保障，已通過ISO/IEC 27001 驗證，並訂定資安政策及資安目標，其中一項資安目標為提供客戶存儲服務系統，中斷服務不可超過 4 小時，因此相關系統及環境皆依此標準建置。
2020 年初，因疫情影響，公司評估此為重大事件，發現先前制定的分艙分流計畫不足以因應現況，故決議導入居家辦公系統，以便在公司受到疫情影響無法進入公司辦公時，能有效維運存儲服務系統，不中斷對客戶的服務，並於同年 4 月完成系統建置，讓系統維運及公司人員可透過此系統進入公司內網進行工作並對客戶提供服務。
因 D 公司因應得宜，受到某重要客戶青睞，於 2020 年 6 月與該重要客戶簽約提供資料存儲服務，合約中載明系統中斷不可超過 1 小時，公司評估未來營運成長需求，決定對提供客戶存儲服務之系統，設置異地備援之存儲服務系統，且主機房存儲服務系統中斷時，可自動切換至異地存儲服務系統，以避免區域性災難與滿足客戶要求。
---
(題組題 4-4，單選題) 題組背景描述如附圖。若建議異地備援機制後，仍因相關風險事件發生，D 公司進行居家辦公時，提供客戶之存儲服務系統仍出現中斷超過 1 小時的現象。請問造成上述中斷 1 小時的原因可能為下列何者？
1. 機房發生事故，機房內所有系統中斷超過 2 小時
2. 居家辦公系統未設置系統災害復原計畫，導致居家辦公系統
無法及時啟動異地備援機制
3. 主機房之存儲服務系統當機無法使用
4. 居家辦公系統及機房內之存儲服務系統同時中斷超過 2 小時
---
教材內容： 資訊安全管理系統 _ 資訊安全管理系統建置實務與法規遵循 P.175 *
1 point
(單選題) 關於資安工程師定期需要執行的資安維運任務，下列何者「不」正確？
---
109-2
 *
1 point
(單選題)OWASP Top 10:2021 所發布之 A04:2021-Insecure Design 主要是呈現出許多不同的弱點，代表著「缺乏或無效的控制設計」，試問下列對於預防 A04:2021-Insecure Design 發生的控制措施何者較「不」適當？
---
112-18
教材內容：請參考資訊安全防護實務的 OWASP 網頁風險 TOP10:
2021 *
1 point
(複選題) 根據 ISO/IEC 27001:2013，在資訊安全管理系統實施時，下列哪些是要求要留下文件化資訊紀錄的項目？
---
110-16
教材內容： 資訊安全管理系統 _ 資訊安全管理系統建置實務與法規遵循P.25 *
1 point
Required
(複選題) 關於風險處理相關議題的敘述，下列哪些正確？
---
112-36
教材內容： 資訊安全管理系統 _ 資訊管理實務：風險處理實務 P.311 *
1 point
Required
(單選題)某中央一級單位通過 ISO/IEC27001 認證，公務資訊中心位置在台北市中正區。另有對外 7x24x365 Web Based 便民資訊系統與資料庫，以虛擬機制建立在中和機房，關於資訊安全管理建置，下列敘述何者「不」正確？
----------
108 年 _ 第 1 題
教材內容： 資訊安全管理系統 _ 資訊安全管理系統建置實務與法規遵循 P.175 *
1 point
111 年 _ 題組 5
下圖為密碼學中常見的一種加密系統，請根據圖中資訊回答下列問題：
---
 (題組題 5-1，單選題) 題組背景描述如附圖。請問圖中所使用的架構是何種加密系統？
---
教材內容： 資訊安全管理系統 _ 資訊管理實務：密碼學 P.197 *
1 point
Captionless Image
(單選題) 下列何者「不」是提升服務可用性（Availability）的有效策略?
---
111-10
教材內容： 資訊安全管理系統 _ 資訊管理實務 P.129 *
1 point
111 年 _ 題組 4
A 企業為台灣 50 大之企業之一，且為股票上市企業，實收資本額達新台幣 150 億元，主要營業項目為電商相關，該公司最近發現客服中心收到多筆客訴，內容主要都為消費者在公司電商網站購物後，就接到詐騙電話，電話中明確指出受駭者的消費明細，並誆稱要辦理退費，導引消費者去 ATM 操作，導致受駭者金錢損失。
---
(題組題 4-1，單選題) 題組背景描述如附圖。A 企業的資訊人員收到客服中心反應後，分析已知受詐騙的消費者，研判駭客可能是利用偷來的消費者資訊或密碼試圖登入網路服務的一種攻擊，下列攻擊手法何者正確？
---
教材內容： 資訊安全管理系統 _ 資訊管理實務：存取控制、縱深防禦、職務區隔 (SOD) P.150 *
1 point
(單選題) 電子郵件常用的數位簽章（Digital Signature），其目的是保護下列哪些資訊安全要素？
---
110-4
教材內容： 資訊安全管理系統 _ 安全架構規劃實務 P.207 *
1 point
109 年 _ 題組 2
某公司為一跨國企業，公司員工約10,000 人，所有員工皆配備一台筆記型電腦，身為資安專家的你，正在評估筆記型電腦的安全風險，並對公司高層提出建議。
目前已搜集到以下資訊：
每台筆記型電腦價值：30,000
筆記型電腦遺失，價值將 100%受損 ， 每年遺失數量 10 台
同時，資安專家已完成資料防護軟體評估，以避免筆記型電腦遺失時對公司造成的損失，產品生命週期為四年，廠商報價如下：
全硬碟加密軟體：500,000，使用期間每年維護費用：75,000
遠端資料清除工具：100,000，使用期間每年維護費用：20,000
根據上列資訊，請回答下列問題：
---
(題組題 2-1，單選題) 題組背景描述如附圖。請問你正在進行的風險分析方法為下列何者？
---
教材內容： 風險管理實務 _ 風險分析與評估 P.269
 *
1 point
(複選題) 密碼學（Cryptography）除了機密性（Confidentiality）之外，還可以保護下列何者特性？
---
109-18
教材內容： 資訊安全管理系統 _ 安全架構規劃實務 P.197 *
1 point
Required
(單選題) 公司指派專人負責去回收櫃檯的新客戶個人資料表，裝箱並貼上封條後，再由該專人將這些資料開車運送到 3 公里之外的無人庫房存放，請問上述情境主要違反下列資訊安全管理的何項原則？
---
110-2
教材內容： 資訊安全管理系統 _ 資訊管理實務：存取控制、縱深防禦、職務區隔 (SOD) P.150 *
1 point
112 年第 1 次 _ 題組 4
A 公司年初導入 ISO 27001 資訊安全管理制度，並參考 ISO 31000 風險架構制度訂定風險管理辦法及相關程序。公司亦順利於年底取得驗證通過，驗證過程稽核員於風險管理過程出具一項次要缺失，主因為 A公司於年度風險評鑑過程，風險項目量化數值計算錯誤，但不影響風險排序以及後續選擇風險進行回應之作業。
---
(題組題 4-3，單選題)
題組背景描述如附圖。公司取得 ISO 27001 驗證不久之後，即因違反法令規定收到政府機關之處罰，且該項法令規定並未被公司所關注。請問依照前述之風險管理流程，此問題應該在下列何項階段即被關注？
---
教材內容： 風險管理實務 _ 風險分析與評估 P.264 *
1 point
112 年第 1 次 _ 題組 4
A 公司年初導入 ISO 27001 資訊安全管理制度，並參考 ISO 31000 風險架構制度訂定風險管理辦法及相關程序。公司亦順利於年底取得驗證通過，驗證過程稽核員於風險管理過程出具一項次要缺失，主因為 A公司於年度風險評鑑過程，風險項目量化數值計算錯誤，但不影響風險排序以及後續選擇風險進行回應之作業。
---
(題組題 4-2，單選題) 題組背景描述如附圖。請問 A 公司是否必須要重新進行年度風險評鑑作業，其原因為下列何項？
---
教材內容： 風險管理實務 _ 風險分析與評估 P.264 *
1 point
109 年 _ 題組 5
近ABC 公司導入 ISO/IEC27001 資訊安全管理系統，並透過第三方稽核單位執行部分單位驗證。內部公告且遵循之資安事件（故）通報與處理規範如下：
---
(題組題 5-1，單選題) 題組背景描述如附圖。ABC 公司網管人員於定期審查內部網域伺服器日誌時發現疑似未經授權存取，下列敘述何者正確？
---
教材內容： 資訊安全管理系統 _ 資訊安全管理系統建置實務與法規遵循 P.123 *
1 point
Captionless Image
(單選題) 在 ISO27000 系列標準中，下列何者為建置資訊安全管理系統的實作指引 (Information security management systems —Guidance)?
---
111-1
教材內容： 資訊安全管理系統 _ISMS 一般指導綱要之標準 P.13 *
1 point
108 年 _ 題組 4
-----
ABC 公司為了提高資安防護，全公司通過 ISO/IEC27001 驗證，並「每半年」安排一次後續稽核，以確保證書的有效性。此次外部稽核派了稽核員Kelly 負責執行三天的稽核，受稽的資訊單位主管 Tim 拿出一份資料表，其中部分資料如下：
--------------
(題組題 4-3，單選題) 上述情境中，Kelly 又接著問了下列的問題：請問風險處理，針對衝擊不高（Impact）、發生可能性高（Possibility）且超過可接受風險等級
的項目，你們會採取什麼風險處理的對策？
Tim 回答：我們會採取避免/規避（Avoid）的方式，不讓這個可能的項目發生。關於上述風險處理方式，下列敘述何者正確？
---
教材內容： 風險管理實務 _ 風險分析與評估 P.311 *
1 point
Captionless Image
(單選題) 某公司為網路電信商，其多年前研發的即時通軟體非常受歡迎，然而在面對歐盟通用資料保護規則（EU General Data Protection Regulation, GDPR）時，內部評估發現其現有系統架構無法符合 GDPR 的規範，且系統修改費用驚人，管理層最後決定停止歐洲的市場業務，關於上述狀況，屬於下列何種風險處理？
---
109-6
教材內容： 風險管理實務 _ 風險處理實務 P.311 *
1 point
 (單選題) 公司網站系統屬於公司門面，網站系統因對外服務，常常成為駭客入侵的首要目標，網站風險問題一直居高不下，就有效降低網站風險處理實務，下列敘述何者正確？
---
108 年 _ 第 13 題
教材內容： 資訊安全管理系統 _ 資安管理系統建置實務 P.36 *
1 point
110 年 _ 題組 2
實務上，資訊安全架構規劃並不侷限在網路（Network Security）與端點（End Point）的安全架構，亦包含實體安全（Physical Security）架構、軟體開發（Software Development）安全架構、服務（Service）環境安全架構、以及專案資訊系統（Information System）安全架構、資訊安全制度（含維運作業）架構…等若您為 IC 設計公司的資安工程師，負責端點（End Point）安全架構，舉凡 PC、Laptop、Printer、Server、FAX、Copy Machine、Smartphone 等都是端點及其附屬周邊（USB、Bluetooth、紅外線）都有控管記錄或禁用。

公司已嚴格控管網路、電子郵件發送、禁止攜入手機、儲存裝置與Wi-Fi，印表機等輸出裝置都有備份紀錄外且採用金屬保密紙，無法連接外部網路，外接儲存裝置與讀卡機也禁用，出入口亦都有金屬探測門檢查，全公司電腦採用 Windows OS，因為 IC 設計仍會用命令列介面（Command-Line Interface, CLI）形式操作第三方客戶提供的Linux 開發板，但卻出現公司研發機密資料外洩給競爭對手事件，請就上述情境回答下列問題。
---
(題組題 2-1，單選題) 題組背景描述如附圖。請問下列哪些可能是您沒顧慮到因而導致資料外洩的原因？
---

 *
1 point
112 年第 1 次 _ 題組 1
A 公司為某先進產品的製造商，該公司主要據點 B 與 C 分散在國內兩地，距離約 20 km，其主要客戶位於歐洲地區，該公司十分重視資訊安全及品質管理，先前已通過 ISO 9001、ISO 27001 及 ISO 27701 等相關標準的驗證。據點 B 主要主要包含的業務與技術服務部門，據點 C主要包含管理部門、資訊部門及相關研發、製造部門。
---
(題組題 1-4，複選題) 題組背景描述如附圖。公司希望其服務提供商，亦具備相關的工業控制系統資訊安全能力。從流程（Process）認證而言，可以進行下列哪兩種標準的認證？
---
教材內容： 資訊安全管理系統 _ 資安與個資相關 ISO 標準 P.25 *
1 point
Required
108 年 _ 題組 2
-----
A 公司為一中小型 3C 電器設備販售商，服務客群除國內之外（總公司），觸角亦已開拓至歐洲（分公司），目前以O2O（OnlineToOffline）營銷模式進行商品販售。
為刺激商品販售動能，該公司於每季均提供會員參加抽獎活動，依據抽獎結果以電子郵件方式通知中獎之會員，並將所獲獎品寄送至會員指定之地址。
另該公司為強化各業務活動之效能，因此採購了一批相關軟、硬體設備（軟、硬體設備資料詳如附錄一），以滿足公司自動化與資訊化的作業需求 。
（附錄一）
I 軟體明細:
。i 作業系統
。 ii 伺服器軟體
。 iii 資料庫軟體
。 iv 防毒軟體
。 v 客製化 ERP 系統
II 硬體明細:
。 i 行政電腦硬體
。 ii 伺服器硬體
--------------
(題組題 2-4，單選題) 承上題，若活動進行中，該公司資安人員發現資料庫遭駭客入侵之處理，下列敘述何者較正確？
---
教材內容： 資訊安全管理系統 _ 資訊安全管理系統建置實務與法規遵循 P.102 *
1 point
 (單選題) 依據我國《資通安全管理法施行細則》條文中規定，下列何者「不」是資通安全維護計畫應（強制要求）包括的事項？
---
108 年 _ 第 3 題
教材內容： 資訊安全管理系統 _ 資訊安全管理系統建置實務與法規遵循 P.110 *
1 point
 (複選題) 某中小企業資訊部門之業務執掌包含程式開發、程式上線、應用程式管理以及資料庫管理等，該公司因故必須縮減資訊部門人力，若您是該企業之資訊部門主管，下列哪些項目之處理較能降低資安風險的發生？
---
108 年 _ 第 17 題
教材內容： 資訊安全管理系統 _ 資安管理實務 P.148 *
1 point
Required
(複選題) 某台灣公司在法國設廠，且帶有業務銷售功能，關於GDPR 法遵要求，下列敘述哪些正確？
---
108 年 _ 第 18 題
教材內容： 資訊安全管理系統 _ 資訊安全管理系統建置實務與法規遵循 P.275 *
1 point
Required
(單選題) 在網站弱點檢測報告中，發現系統本身有存在 Path
Manipulation 問題，可以採取下列何種方案進行修補？
---
108 年 _ 第 14 題
教材內容：無 *
1 point
(單選題) 資訊單位負責導入新 ERP 資訊系統，進行系統安全評估時，評估考量項目應包括下列哪些項目？
1 系統安全性評估
2 容量管制評估
3 實體環境安全
4 使用者功能性需求評估
---
108 年 _ 第 8 題
教材內容： 資訊安全管理系統 _ 資訊安全管理系統建置實務與法規遵循 P.223 *
1 point
(複選題) 某公司正準備規劃其識別及存取管理（Identity and Access Management）機制，下列何者是可選擇的存取控制類型？
---
109-19
教材內容： 資訊安全管理系統 _ 資安管理實務 P.143 *
1 point
Required
(複選題) 關於著作權的說明，下列敘述哪些正確？
---
108 年 _ 第 16 題
教材內容： 資訊安全管理系統 _ 資訊安全管理系統建置實務與法規遵循 P.63 *
1 point
Required
(複選題)ISO/IEC 27001 中所採用的風險評鑑（Risk
Assessment) 主要包含下列哪些步驟？
---
111-16
教材內容： 資訊安全管理系統 _ 資訊安全風險評鑑 P.264 *
1 point
Required
109 年 _ 題組 2
某公司為一跨國企業，公司員工約10,000 人，所有員工皆配備一台筆記型電腦，身為資安專家的你，正在評估筆記型電腦的安全風險，並對公司高層提出建議。
目前已搜集到以下資訊：
每台筆記型電腦價值：30,000
筆記型電腦遺失，價值將 100%受損 ，  每年遺失數量 10 台
同時，資安專家已完成資料防護軟體評估，以避免筆記型電腦遺失時對公司造成的損失，產品生命週期為四年，廠商報價如下：
全硬碟加密軟體：500,000，使用期間每年維護費用：75,000
遠端資料清除工具：100,000，使用期間每年維護費用：20,000
根據上列資訊，請回答下列問題：
---
(題組題 2-2，單選題) 題組背景描述如附圖。公司筆記型電腦的
年度損失期望值（Annualized Loss Expectancy）為下列何者？
---
教材內容： 風險管理實務 _ 風險分析與評估 P.??
 *
1 point
110 年 _ 題組 5
A 公司為先進資通訊產品代工製造商，為台灣股票公開發行公司，接受美國知名大廠 B 公司委託代為生產 B 公司所研發與設計商品，為了保護 B 公司的產品設計的機密與安全，A 公司在與 B 公司的製造的合約中，有嚴格的保密條款要求不得以任何型式洩露 B 公司的任何有關他們設計的產品資訊。A 公司也向 B 公司宣稱所有 B 公司委託生產製造的生產線皆採用獨立的生產線及網路實體隔離不與 Internet 連接（如下圖）。
B 公司生產環境的廠區 24 小時全面監控 IPCam 將錄影資訊留存於 A公司的 DVR 伺服器中，保存 6 個月之久，所有的管理帳中集中於 AAA伺服器中，由專人管理，絕對安全可靠。
此外，為方便管理 B 公司產線共用 A 公司的製造執行系統 MES（Manufacturing Execution System），提供自動化的製造排程與即時的圖表式看板供產線管理人員及 B 公司相關人員即時監控實際的生產狀況，如有任何異常立即排除。
---
(題組題 5-4，單選題) 題組背景描述如附圖。若要強化 A 公司的工控製造資通安全管理，應導入下列何種標準較為合適？
---
教材內容： 資訊安全管理系統 _ 資訊安全管理系統建置實務與法規遵循 P.50 *
1 point
Captionless Image
(單選題) 在存取控制上，零信任（Zero Trust）是一個重要課題。關於零信任的敘述，下列何者較「不」適當?
---
112-11
教材內容： 資訊安全管理實務 _ 進階存取控制零信任架構 P.152 *
1 point
109 年 _ 題組 1
某公司的資安人員依據公司設備狀況規劃以下網路架構設計圖：
---
(題組題 1-1，複選題) 題組背景描述如附圖。請問該網路架構設計中，存在下列哪些問題？
---
教材內容： 資訊安全管理系統 _ 安全架構規劃實務 P.254
 *
1 point
Captionless Image
Required
(複選題) 關於多層次縱深防禦（Diversity and Defense-in-Depth），下列敘述哪些較正確？
---
110-17
教材內容： 資訊安全管理系統 _ 資訊管理實務：存取控制、縱深防禦、職務區隔 (SOD) P.173 *
1 point
Required
111 年 _ 題組 4
A 企業為台灣 50 大之企業之一，且為股票上市企業，實收資本額達新台幣 150 億元，主要營業項目為電商相關，該公司最近發現客服中心收到多筆客訴，內容主要都為消費者在公司電商網站購物後，就接到詐騙電話，電話中明確指出受駭者的消費明細，並誆稱要辦理退費，導引消費者去 ATM 操作，導致受駭者金錢損失。
---
(題組題 4-3，單選題)
題組背景描述如附圖。由於該電商系統係該公司委外開發及維運，因應此一風險，進行了以下五種措施，下列哪些措施屬於風險分擔（Risk Sharing) ?
（甲）  新增使用者登入簡訊驗證功能。
（乙）在公司官網公告此一資安情況並請使用者注意，以及公布專線客服電話協助消費者處理。
（丙）與保險公司投保資安保險，以減少公司損失。
（丁）請委外廠商進行系統健檢，結果發現該系統有二項嚴重漏洞未修補，該漏洞亦有可能造成系統密碼被竊，要求廠商立即修補完成。
（戊）調整與委外廠商的合約內容，新增若因系統設計維運不當，造成甲方（A 企業）的損失時，該損失皆須由委外廠商全額負擔。
---
教材內容： 資訊安全管理系統 _ 資訊管理實務：存取控制、縱深防禦、職務區隔 (SOD) P.238 *
1 point
111 年 _ 題組 1
---
(題組題 1-1，單選題) 若發現外部供應商偷偷攜帶隨身碟（USB Disk）進入公司使用，竊取公司內部資料並造成病毒蔓延，下列風險處理措施何者最「不」正確？
---
教材內容： 資訊安全管理系統 _ 資訊管理實務：風險處理實務 P.311 *
1 point
(單選題) 下列何者是進行定性（Qualitative）風險分析使用的方法？
---
110-10
教材內容： 風險管理實務 _ 風險分析與評估 P.269 *
1 point
(單選題) 若要設定防火牆內對外的連線，僅開放對外的服務及網頁瀏覽，下列敘述何者正確？
---
109-3
教材內容：請參考「資訊安全防護實務」、 資訊安全管理系統 _ 安全架構規劃實務 P.238 *
1 point
108 年 _ 題組 1
 -----
某上櫃企業已通過 ISO/IEC27001 認證，於某上班日發現公司半數同仁AD 帳號遭到鎖定，無法使用 AD 帳號密碼登入電腦系統。MIS 進行AD 解鎖後，同仁隨即再次被鎖定無法登入，慌亂初期 MIS 採取區域性斷網，依然無效。
隨即分析 AD 主機事件記錄，發現都是 Exchange Server 所造成，進一步分析防火牆記錄，發現大量外部 access OWA 的 443Port 登入失敗，有多個來源遠端攻擊者裝置嘗試入侵 Web Mail 系統失敗，類似「DDoS」與「密碼暴力攻擊」。
MIS 採取緊急應變措施，阻斷相關攻擊者裝置 IP。可是每隔一段時間會自動換成其他國家地區 IP 持續入侵攻擊，MIS 進一步將境外非台 IP全面禁止，以短暫維持運作。但相關攻擊來源竟轉換台灣地區 IP。MIS進一步採取關閉用外部開放使用 Exchange OWA 服務，要求公司外部活動人員須以 VPN 方式，建立裝置放行白名單方式，進行 Exchange郵件登入作業。而 VPN 依群組方式申請建立不同放行權限，非全面開放。
並對來自台灣的攻擊裝置主機，進行反查，確認其管理公司以及人員，進行對主管機關進行資安通報，聯繫該攻擊方 IP 公司進行相關處理。該公司隨即停用該主機，重新安裝，中斷 C&C 在台灣中繼站，國外攻擊者 IP，則以E-mail 通知，並於事件發生期間，全面中斷境外相關連線，直到改善為止。
--------------
(題組題 1-4，單選題) 上述情境中，關於 MIS 在完成事件處置過程中依據之 ISO/IEC27001 相關制度，下列敘述何者「不」正確？
---
教材內容： 資訊安全管理系統 _ 資訊安全管理系統建置實務與法規遵循 P.25 *
1 point
110 年 _ 題組 3
C 公司已投入電子商務 2 年，雖然疾情對既有傳統商務有些微影響，但是整體電子商務營運仍持續成長，並且已達到必須增建機房設施與系統容量之際，身為資訊部門的主管，您必須要在擴充資訊系統之際，同時規劃兼顧提昇系統資訊安全的任務，請就上述情境回答下列問題。
---
(題組題 3-1，單選題) 題組背景描述如附圖。關於 CNS 27001資訊安全管理系統與 CNS 27002 資訊安全控制措施作業規範，下列何者「不」是 C 公司啟動資訊安全管理系統最須優先處理的作業？
---
教材內容： 風險管理實務 _ 風險處理實務 P.25 *
1 point
111 年 _ 題組 3
常青公司主要的營運系統建置於北部的舊有廠房內，包含 2 百萬元的伺服器主機、儲存媒體、網路設備及先前採購的 8 百萬元可重覆安裝資訊系統軟體，提供公司辦公室、原廠房以及合作的供應商相關營運作業管理，因原有廠區周邊環境設施不夠完善，最近 5 年因為颱風與豪雨，已經造成 3 次系統運作中斷和 1 次淹水損壞所有資訊系統設備；公司於南科建置的新廠將在年底落成，總經理要求資訊部門主管開始著手規劃未來長期業務持續管理 (Business Continuity Management, BCM），並且評估未來如果再發生障礙時，復原時間目標（Recovery Time Objective, RTO）不大於四小時的可行方案。
---
(題組題 3-1，單選題) 題組背景描述如附圖。業務持續管理的一大重點是業務衝擊分析 (Business Impact Analysis, BIA），請問下列何者「並非」業務衝擊分析後能達成的目標？
---
教材內容： 資訊安全管理系統 _ 營運衝擊分析 P.280
 *
1 point
(複選題) 網路安全框架（Cybersecurity Framework, CSF）為美國國家標準暨技術研究院（National Institute of Standards and Technology, NIST）彙整後所提出，作為整體網路安全架構之規劃藍圖參考，請問該 CSF 之組成元素包含下列哪些項目？
---
111-18
教材內容： 資訊安全管理系統 _ 資訊管理實務：NIST Cybersecurity Framework(CSF) P.55 *
1 point
Required
(單選題) 下列何種組合「不」屬於多因子驗證（Multi-factor Authentication）？
---
110-5
教材內容： 資訊安全管理系統 _ 資訊管理實務：存取控制、縱深防禦、職務區隔 (SOD) P.135 *
1 point
111 年 _ 題組 2
迪菲-赫爾曼密鑰交換（Diffie-Hellman Key Exchange, D-H）是一種金鑰交換方法，其能夠讓通訊雙方在公開通道上建立金鑰，並且使用該金鑰在後續的通訊中作為共同金鑰來加密訊息內容。若小美和小明想要使用這個演算法來建立一個共同金鑰以利後續的訊息交換，則他們所使用的計算過程及參數如下所示：
圖1
根據此式，小美和小明可以先各自選定私鑰 a 和 b，並搭配公開資訊 g與 p 來計算得到共同金鑰 K。假設小美為金鑰交換的發起端，則金鑰建立流程如下所示：
在步驟 5. 以後，雙方皆得到一個相同的金鑰 K 可作為後續訊息交換使用。
---
(題組題 2-1，單選題) 題組背景描述如附圖。假設小美和小明協議使用 g=5 和 p=11 並且小美選定其私鑰為 a=3，小明選定其私鑰 b=4。請問經過雙方計算所得到的共同金鑰 K 值為何？
---
教材內容： 資訊安全管理系統 _ 資訊管理實務：密碼學 P.197 *
1 point
Captionless Image
A copy of your responses will be emailed to .
Submit
Clear form
This content is neither created nor endorsed by Google. - Terms of Service - Privacy Policy

Does this form look suspicious? Report

Google Forms