資訊安全

資訊安全的3要素之中，作為機密性受損的事例最適當的是下列何者？

1. 因操作疏失，銷售資料的金額被改寫成錯誤的值
2. 因誤寄，顧客名冊寄到了無關的第三者手上
3. 因伺服器故障，業務系統有半天無法使用
4. 因程式的缺陷，處理結果每次變成不同的值

作為確保資訊安全中完整性的對策，最適當的是下列何者？

1. 以雜湊值定期確認網頁的內容有沒有被改寫
2. 把伺服器雙重化，故障時也能繼續處理
3. 把伺服器室上鎖，使外人不能進入
4. 把通訊加密，使第三者無法讀取內容

以提高可用性為主要目的的對策是下列何者？

1. 把伺服器雙重化，並設置不斷電系統（UPS）
2. 把重要文件保管在保險櫃並上鎖
3. 為檔案設定密碼，使其無法被打開
4. 為每位利用者分配ID，記錄操作日誌

關於資訊安全中不可否認性（否認防止）的說明，最適當的是下列何者？

1. 使需要時隨時都能利用資訊或系統
2. 使未獲允許的人無法閱覽資訊或帶出到外部
3. 使做了某行為的本人，事後無法主張自己沒有做過該行為
4. 保證資訊未被竄改、保持在最新且正確的內容

作為防備勒索軟體受害的對策，最有效的是下列何者？

1. 在寄出的電子郵件的簽名欄明記公司名稱與聯絡方式
2. 調弱無線LAN存取點的電波輸出、縮小涵蓋範圍
3. 定期變更利用者的密碼
4. 取得備份，並與網路切離保管

特洛伊木馬的特徵，最適當的是下列何者？

1. 透過網路單獨自我增殖，接連向其他設備擴散感染
2. 偽裝成有用的軟體使人安裝，在利用者未察覺下進行不正當的動作
3. 把感染設備的檔案加密，以解密作為交換要求金錢
4. 大量寄送電子郵件，使郵件伺服器停止

關於SQL注入（SQL injection）的說明，最適當的是下列何者？

1. 在網站的輸入欄輸入對資料庫的命令文，不正當取得或竄改資料的攻擊
2. 使用從其他網站外洩的ID與密碼的組合嘗試登入的攻擊
3. 在留言板等嵌入不正當的指令碼，使其在瀏覽者的瀏覽器上執行的攻擊
4. 從多數設備一齊送出大量通訊，使伺服器無法回應的攻擊

屬於社交工程（social engineering）的行為是下列何者？

1. 攔截無線LAN的電波，解讀通訊內容
2. 以暴力法逐一嘗試密碼，找出正確的組合
3. 假冒系統管理者打電話，從利用者口中套出密碼
4. 利用OS的漏洞，不正當取得管理者權限

關於零時差攻擊的說明，最適當的是下列何者？

1. 利用離職者的帳號仍殘留著，入侵公司內系統的攻擊
2. 瞄準剛開始上班的時段，送來大量通訊的攻擊
3. 濫用已過使用期限的數位憑證，把人誘導到假網站的攻擊
4. 在漏洞被公開之後到修補程式被提供之前的期間，攻擊該漏洞的攻擊

把構成風險評鑑（risk assessment）的三項作業，按實施順序排列的是下列何者？

1. 風險分析 → 風險識別 → 風險評價
2. 風險識別 → 風險分析 → 風險評價
3. 風險識別 → 風險評價 → 風險分析
4. 風險評價 → 風險分析 → 風險識別

為防備資訊系統故障造成的損害而投保網路保險。這相當於風險因應中的哪一種？

1. 風險迴避
2. 風險減輕
3. 風險保有
4. 風險轉嫁

把資訊安全政策以基本方針、對策基準、實施程序的3階層構成時，作為寫在實施程序的內容最適當的是下列何者？

1. 組織對資訊安全的想法與經營者的宣言
2. 備份用軟體的具體操作方法與執行時刻的程序
3. 作為應遵守的規則，密碼須為含英數字與符號的12字元以上的基準
4. 資訊安全委員會的設置與其職責的規定

關於ISMS（資訊安全管理系統）的說明，最適當的是下列何者？

1. 組織訂定方針、實施對策、檢查並改善，持續運轉PDCA的機制，要求事項規定於JIS Q 27001
2. 對個人資訊的處理適當的業者，允許其使用標章的制度
3. 24小時監視網路、偵測攻擊徵兆的專門組織
4. 組織內發生電腦安全事故時，從受理報告到原因調查、受害的圍堵、復原為止都負責的專門團隊

作為CSIRT的職責，最適當的是下列何者？

1. 擬定資訊系統的開發計畫，管理開發的進度與品質
2. 受理安全事故的報告，進行原因調查、受害的圍堵、復原、與相關單位的聯絡
3. 以獨立的立場稽核自家公司的會計處理與財務報表的內容是否適正
4. 審查業者是否具備適當處理個人資訊的體制，並授予認定標章

把對外公開的Web伺服器設置在DMZ的理由，最適當的是下列何者？

1. 因為能提高伺服器的處理速度、縮短回應時間
2. 因為即使公開伺服器被不正當入侵，也能防止公司內網路被直接入侵
3. 因為變得能自動取得公開伺服器的備份
4. 因為能抑制伺服器的耗電、削減營運費用

關於WAF（Web Application Firewall）的說明，最適當的是下列何者？

1. 檢查寄往Web應用程式的通訊內容，阻斷SQL注入等攻擊的機制
2. 把無線LAN的通訊加密、防止竊聽的機制
3. 在打開電子郵件附加的檔案之前，自動檢查是否含有病毒的機制
4. 使用利用者的指紋或虹膜確認本人的機制

在生物辨識中，把判定基準調嚴時，本人拒絕率（FRR）與他人接受率（FAR）的變化，適當的是下列何者？

1. FRR變低、FAR變高
2. FRR與FAR都變高
3. FRR變高、FAR變低
4. FRR與FAR都變低

屬於多因素認證的組合是下列何者？

1. 輸入密碼，加上輸入送到智慧型手機的一次性密碼
2. 輸入登入密碼，加上回答秘密問題
3. 輸入登入密碼，加上再輸入另一組密碼
4. 輸入利用者ID，加上輸入密碼

關於零信任（zero trust）想法的說明，最適當的是下列何者？

1. 以利用者的便利性為最優先，廢除密碼的有效期限與變更的義務
2. 不分公司內外一概不信任，每次存取都驗證利用者與終端，只給予必要最小限度的權限
3. 把來自公司內網路內側的通訊當作可信任者對待，其後的存取可以省略認證
4. 全面禁止與公司外的通訊，只在封閉的公司內網之中使用系統

資訊安全對策之中，被分類為實體對策的是下列何者？

1. 迅速套用Web伺服器的修補程式
2. 每天更新防毒軟體的病毒碼檔案
3. 對全體員工實施目標式攻擊郵件的演練
4. 在伺服器室的入口設置以IC卡進行的進出管制裝置

與共用金鑰加密方式相比時，公開金鑰加密方式的特徵最適當的是下列何者？

1. n人相互通訊時需要的金鑰總數為n(n-1)/2把
2. 用於加密的金鑰可以公開，因此不易發生把金鑰安全遞送的問題
3. 加密與解密使用相同的金鑰，因此金鑰的管理只需1把
4. 處理速度快，適合把大量資料整批加密

A想以公開金鑰加密方式，寄給B一封只有B能讀的電子郵件。A用於加密的金鑰是下列何者？

1. B的公開金鑰
2. A的公開金鑰
3. B的私密金鑰
4. A的私密金鑰

A要在文件附上數位簽章寄出。用於製作簽章的金鑰與其效果的組合，適當的是下列何者？

1. 使用A的私密金鑰，表明是A本人製作且沒有被竄改
2. 使用B的公開金鑰，使只有B能讀文件
3. 使用A的公開金鑰，把文件的內容保密
4. 使用B的私密金鑰，證明B收到的事實

從A收到附數位簽章文件的B，用於驗證簽章的金鑰是下列何者？

1. B的私密金鑰
2. A與B事前共享的共用金鑰
3. B的公開金鑰
4. A的公開金鑰

關於HTTPS通訊所用之伺服器數位憑證的說明，最適當的是下列何者？

1. 用於把利用者輸入的密碼寄放在憑證機構，請其代為確認
2. 用於把伺服器的私密金鑰本身，安全地散布給利用者的瀏覽器
3. 保證通訊資料不以共用金鑰加密方式、必定只以公開金鑰加密方式加密
4. 由憑證機構發行，保證伺服器的公開金鑰確實屬於該伺服器