資訊安全管理

資訊安全中所謂資訊資產的說明，下列何者最適切？

1. 僅指伺服器或個人電腦等資訊設備及其中儲存的電子資料，不含以紙本列印保管的文件。
2. 僅指已電子化的資料，排除紙本文件或僅承辦人知曉的程序與訣竅。
3. 廣泛包含資料、文件、設備、軟體，以及人所擁有的知識或企業信譽等對組織有價值之物。
4. 僅將可用金額估算價值者視為資訊資產，信譽或品牌等無法換算為金額者則排除於管理對象之外。

下列何者不適合記載於資訊資產清冊？

1. 資產名稱，以及該資產的管理責任者（負責人）姓名
2. 用於存取該資產之使用者密碼本身
3. 保管地點，以及所記錄媒體的種類
4. 資訊的機密程度，以及業務上重要程度的分類

將資訊分類為機密・公司內部秘密・公開等並加以標示，其主要目的為下列何者？

1. 使處理該資訊的人能判斷該資訊需要何種程度的保護。
2. 削減儲存資訊所需的磁碟容量，藉此壓低保管費用。
3. 將所有資訊加密，使分類與標示的作業本身變得不必要。
4. 使存取紀錄的取得與保存變得不必要。

資訊資產管理責任者（資產負責人）的職責，下列何者最適切？

1. 以第三方立場審查組織的ISMS，判斷是否可授予認證並提出報告。
2. 日常操作該資產，將資料輸入或更新等作業作為每日業務負責執行。
3. 決定該資產的分類，核准何人可獲得何種程度的存取權，並定期重新檢視。
4. 實際執行網路設備或伺服器的設定變更作業。

將公司內部使用的電腦內建硬碟委外業者處理。從防止資訊外洩的角度，下列何者最適切？

1. 將目標檔案放入資源回收桶並清空，確認畫面上顯示已刪除後，再交付業者。
2. 執行快速格式化，確認畫面上檔案已消失後，直接交付業者。
3. 僅挑選重要檔案刪除，其餘保持原狀後交付。
4. 以資料清除軟體進行覆寫清除或物理破壞，並以到場見證或取得清除證明的方式確認。

廢棄分類為公司內部秘密的紙本文件，下列何種方法最適切？

1. 撕成兩半後，作為資源回收垃圾一併排出。
2. 與一般垃圾混合排出，使外部不易發現。
3. 僅將標題部分塗黑後，直接排出。
4. 以碎紙機裁碎，或委外進行溶解處理。

定期進行資訊資產盤點的理由，下列何者最適切？

1. 進行降低資訊資產購入價格的交涉，藉此壓低設備採購或更新所需費用。
2. 消除清冊記載與實際資產之間的落差，使管理對策能無遺漏地被套用。
3. 使組織持有的資訊資產總數每年必定減少，藉此減輕管理上的負擔。
4. 掌握員工的出勤狀況，藉此重新檢討人員配置。

若將資訊生命週期理解為「建立→使用→保管→傳送→廢棄」，各階段最適切的管理對策為下列何者？

1. 若傳送採用公司內部郵務方式，可省略交接紀錄。
2. 保管中的資訊因存放於公司內部而安全，因此特別不需要設定存取權限。
3. 在建立階段不決定分類，直到廢棄時才一併決定分類與處理方式。
4. 保管時上鎖或加密，傳送時封緘並留下交接紀錄，廢棄時消除或物理破壞。

決定資訊分類等級時的思維，下列何者最適切？

1. 一律將電子檔案定為機密、紙本文件定為公司內部秘密，僅依所記錄的媒體決定。
2. 建立該資訊之部門人數愈多，分類等級愈高。
3. 除外洩時的影響外，也一併考量遭竄改時或無法使用時的影響來決定。
4. 資訊的分類一旦決定，即使日後內容或狀況改變，也不重新檢視、持續沿用。

將構成風險評鑑的三項活動，依實施順序排列，下列何者正確？

1. 風險評價 → 風險分析 → 風險識別
2. 風險識別 → 風險評價 → 風險分析
3. 風險識別 → 風險分析 → 風險評價
4. 風險分析 → 風險識別 → 風險評價

找出「伺服器機房位於1樓，若豪雨導致淹水，伺服器可能停止運作」這項事件並列入清單。此作業屬於風險評鑑中的哪項活動？

1. 風險因應
2. 風險接受
3. 風險識別
4. 風險評價

關於風險評鑑中風險評價的說明，下列何者最適切？

1. 將分析所得的風險大小與風險基準比較，決定是否須因應及優先順序。
2. 從資訊資產・威脅・脆弱性的組合，無遺漏地找出並描述組織中存在的風險。
3. 實際導入所選的管理對策，開始運用並使其落實。
4. 分別估算風險發生的可能性與影響程度，藉此算出風險的大小。

為因應資訊外洩發生時的損害賠償與調查費用，投保了網路保險。此風險因應屬於下列何種分類？

1. 風險迴避
2. 風險降低（減輕）
3. 風險接受（保有）
4. 風險移轉（共擔）

某事故發生1次會造成600萬日圓的損失，預估每2年發生1次。此事故的年度預期損失額（ALE）為多少？

1. 150萬日圓
2. 300萬日圓
3. 600萬日圓
4. 1,200萬日圓

某災害發生1次會造成4,000萬日圓的損失，預估發生機率為每年5%。此災害的年度預期損失額（ALE）為多少？

1. 800萬日圓
2. 200萬日圓
3. 4,000萬日圓
4. 400萬日圓

某風險發生1次會造成1,000萬日圓的損失，年發生率估計為0.4。若導入每年花費220萬日圓的對策，可使年發生率降至0.1。金額面的評估下列何者最適切？

1. 因對策使年度預期損失額由1,000萬日圓降至100萬日圓，削減額900萬日圓大幅高於費用，因此划算。
2. 因對策使年度預期損失額由400萬日圓降至100萬日圓，削減額200萬日圓低於費用220萬日圓，因此不划算。
3. 因對策使年度預期損失額由400萬日圓降至100萬日圓，削減額300萬日圓高於費用220萬日圓，因此划算。
4. 由於年發生率並未降為0，對策的效果無法以金額評估。

某網購事業雖大量處理個人資料，卻難以獲利，判斷一旦外洩其影響過大，因而從該事業本身撤出。此風險因應屬於下列何種分類？

1. 風險迴避
2. 風險移轉（共擔）
3. 風險接受（保有）
4. 風險降低（減輕）

針對惡意軟體感染的危險，導入防毒軟體、徹底執行作業系統更新，並對員工實施教育，藉此降低感染機率。此風險因應屬於下列何種分類？

1. 風險接受（保有）
2. 風險降低（減輕）
3. 風險迴避
4. 風險移轉（共擔）

對於公司內部布告欄的暫時停止，確認其對業務影響輕微、預估損失也在風險接受基準範圍內，並取得負責人核准後，決定不再採取額外對策。此風險因應屬於下列何種分類？

1. 風險移轉（共擔）
2. 風險迴避
3. 風險降低（減輕）
4. 風險接受（保有）

風險因應的分類與其具體例子的組合，下列何者不適切？

1. 風險接受－一旦發生將造成事業無法持續經營的損失，但因對策麻煩而什麼都不做。
2. 風險迴避－停止提供判斷為高風險的線上服務，並從該事業撤出。
3. 風險移轉－為因應資訊外洩而投保，讓保險公司負擔部分損失。
4. 風險降低－將重要資料加密，並定期備份保管於別處。

對於殘餘風險的處理方式，下列何者最適切？

1. 只要殘餘風險稍有殘留，風險因應即屬失敗，須重新處理直到完全不留殘餘為止。
2. 殘餘風險由現場承辦人每次自行判斷處理，並刻意不將判斷內容留下紀錄。
3. 只要實施風險因應，殘餘風險必定歸零，因此因應結束後無須再次確認內容並核准。
4. 是實施風險因應後仍殘留的風險，是否接受由經營層等負責任的立場者判斷並核准。

關於JIS Q 27001與JIS Q 27002關係的說明，下列何者最適切？

1. 兩者皆僅訂定用語定義的標準，不涉及要求事項。
2. 27001是實踐管理對策的規範，27002是訂定ISMS要求事項的基準。
3. 兩者皆為訂定ISMS要求事項的標準，內容相同。
4. 27001是訂定ISMS要求事項的認證基準，27002是實踐管理對策的規範。

某企業對外宣傳「本公司已取得JIS Q 27002認證」。此敘述的問題點，下列何者最適切？

1. 27002是實踐管理對策的規範，並非認證基準，ISMS認證是針對JIS Q 27001進行的。
2. 27002是說明用語定義與概要的標準，具體管理對策不在其範圍內。
3. 27002僅規範個人資料保護，因此不適用於處理資訊安全全面事項之一般企業的認證。
4. 27002雖為認證對象標準，但僅限官公廳或獨立行政法人可取得認證，民間企業不在取得對象之列。

記載於ISMS適用聲明書中的內容，下列何者最適切？

1. 所選定的管理對策及其選定理由、實施狀況，以及未採用管理對策的排除理由
2. 過去一年間發生的故障清單，以及各自復原所需時間彙整的紀錄表
3. 事故發生時寄送給顧客的道歉信文案，及其寄送對象的承辦人名單
4. 每位員工個人的人事考核結果，以及本人為下年度所設定的業務目標清單

在ISMS的PDCA循環中，內部稽核與管理階層審查定位於哪個階段？

1. Do（執行）
2. Check（查核）
3. Plan（規劃）
4. Act（處置・改善）

實施ISMS內部稽核時的注意事項，下列何者最適切？

1. 內部稽核是由外部認證機構進行，組織自身不會實施。
2. 內部稽核發現不符合事項時，不留紀錄，僅以口頭提醒了事。
3. 稽核員不稽核自己負責的業務，以確保客觀性與公正性選任。
4. 為維持稽核的客觀性，稽核員自行稽核並評估自己所負責的業務。

授予個人資料保護標章（隱私標章）時，審查是否符合的標準為下列何者？

1. ISO/IEC 27017
2. JIS Q 27001
3. JIS Q 15001
4. JIS Q 27002

關於ISO/IEC 27017與ISO/IEC 27701的說明組合，下列何者最適切？

1. 27017是雲端服務相關資訊安全管理對策的規範，27701是隱私資訊管理系統相關的標準。
2. 27017處理職業安全衛生，27701處理事業持續管理的要求事項。
3. 27017是處理工廠等使用的控制系統安全的標準，27701是訂定加密演算法標準與金鑰長度的標準。
4. 27017是品質管理系統相關標準，27701是環境管理系統相關標準，皆與資訊安全無關。

關於ISMS符合性評鑑制度的說明，下列何者最適切？

1. 組織自行檢視自家ISMS，並自行宣稱符合要求事項，即視為取得認證的制度。
2. 由第三方認證機構審查組織的ISMS是否符合JIS Q 27001要求事項，並予以認證的制度。
3. 由公家機關統一檢查組織所使用資訊系統的脆弱性，若無問題便公開保證其安全性的制度。
4. 一旦取得認證，其後便無須再接受審查即可持續有效的制度。

若將資訊安全政策以三層結構組成，由上位到下位的排列順序，下列何者最適切？

1. 對策基準 → 基本方針 → 實施程序
2. 實施程序 → 對策基準 → 基本方針
3. 基本方針 → 實施程序 → 對策基準
4. 基本方針 → 對策基準 → 實施程序

記載於資訊安全政策基本方針中的內容，下列何者最適切？

1. 各部門所使用電腦的資產編號，以及其設置地點與使用者清單
2. 防毒軟體的產品名稱，以及更新病毒碼畫面的具體操作步驟
3. 各伺服器所設定的防火牆通訊規則，以及允許使用的通訊埠編號清單
4. 從事資訊安全的目的、適用範圍、經營階層的責任與遵守義務

「業務使用的密碼須為12個字元以上，並包含英文大小寫、數字與符號」此項規定，屬於資訊安全政策三層結構中的哪一層？

1. 實施程序
2. 對策基準
3. 基本方針
4. 適用聲明書

資訊安全政策實施程序的特徵，下列何者最適切？

1. 因是揭示組織態度的文件，以對外公開為前提力求簡潔，省略具體設定值的記載。
2. 一旦訂定，即使更換系統也不得變更內容的文件。
3. 僅供經營階層參閱的文件，不發放給現場承辦人員，內容也維持保密狀態運用。
4. 說明具體操作方法與設定值、負責人與記錄留存方式，並隨系統變更頻繁修訂。

CISO的職責，下列何者最適切？

1. 作為顧客詢問的窗口，說明自家產品的使用方法與設定方式。
2. 負責各部門電腦的設置或網路配線等作業。
3. 統籌組織整體的資訊安全戰略與措施，並向經營階層報告。
4. 以第三方立場審查組織的ISMS，客觀判斷是否可授予認證。

因交易對象指定，須使用公司內部規定禁止使用的檔案共用服務。承辦人的因應方式，下列何者最適切？

1. 提出使用理由・對象資料・期間・替代管理對策，申請例外核准，取得負責人核准並留下紀錄後才使用。
2. 完全不告知交易對象，使用不在公司管理範圍內的私人雲端帳號來往業務資料。
3. 解讀為公司內部規定未涵蓋的狀況，由承辦人個人判斷直接開始使用，優先讓業務進行下去。
4. 認為交易對象的指示優先於公司內部規定，未取得負責人核准也未留紀錄便開始使用，事後僅口頭簡單報告。

關於網路安全經營指引的說明，下列何者最適切？

1. 面向資訊系統技術人員，詳細規定防火牆或伺服器具體設定值與作業程序的技術文件。
2. 揭示經營者應認知的3項原則，以及經營者應指示CISO等人員辦理的重要10項事項，是面向經營階層的指引。
3. 針對處理個人資料的業者，訂定應遵守義務內容及違反時應處法律罰則的法令。
4. 訂定欲取得ISMS認證之組織應滿足要求事項，作為第三方審查基準的國際標準。

關於資訊安全相關規定的宣導與重新檢視方式，下列何者最適切？

1. 透過到職教育或定期研習，依對象進行宣導，並在法規修正・導入新技術・組織變更・事故・稽核指出問題等時機重新檢視。
2. 若發生違規，即使是未宣導過的規定，也一律作為員工本人的責任處理，並省略對規定的重新檢視。
3. 規定一旦制定，即使有法規修正或組織變更，也不予修訂、維持原狀。
4. 只要將規定放在公司內部伺服器供任何人查閱即已足夠，特別不需要透過到職教育或研習再次宣導。

關於BCP與BCM關係的說明，下列何者最適切？

1. BCP是彙整供經營階層閱讀的文件，BCM是彙整供現場承辦人閱讀的文件，僅是依讀者不同而區分的文件種類。
2. BCP與BCM是意義相同的用語，兩者為同義詞。
3. BCP是訂定重要業務持續與復原方法的計畫本身，BCM則是制定該計畫並持續進行教育・訓練・檢查・重新檢視等管理活動的整體。
4. BCP是指日常資訊安全運用機制的整體，BCM則僅指其中設備設定或監控等技術性對策。

關於RTO與RPO的說明組合，下列何者最適切？

1. RTO是應回復至哪個時間點資料的目標，RPO是從故障發生到復原可容許花費的時間目標。
2. RTO與RPO皆表示復原後應使業務恢復至何種水準的目標，兩者並無差異。
3. RTO表示備份保存的世代數，RPO表示備份所用記錄媒體的種類，是一種指標。
4. RTO是從故障發生到復原可容許花費的時間目標，RPO是應回復至哪個時間點資料的目標。

某系統將RPO訂為4小時。為滿足此目標所需的運用方式，下列何者最適切？

1. 建立可在故障發生後4小時內復原系統的體制與程序，並定期實施復原演練
2. 至少每4小時取得一次備份，使故障時不致遺失4小時以前的資料。
3. 以復原後系統處理能力恢復至平時4分之1水準為目標，建立相應體制。
4. 準備4種備份媒體，並將各媒體分散保管於不同地點的運用方式。

事業持續計畫中規定「災害發生後，先以平時50%的處理能力重新開始受理訂單業務」。表示此目標的指標為下列何者？

1. BIA（事業影響分析）
2. RPO（目標復原時點）
3. RLO（目標復原水準）
4. RTO（目標復原時間）

事業影響分析（BIA）的目的，下列何者最適切？

1. 測量每位員工的工作量與作業時間，藉此謀求各部門人員配置的最適化。
2. 全面檢查資訊系統存在的脆弱性，釐清應修正之處與因應優先順序，事先擬定修正計畫。
3. 分析業務停止時影響的大小與時間範圍，釐清應優先復原的重要業務及其所依賴的資源。
4. 比較備份媒體的單價，選定最便宜的媒體以壓低費用。

週日取得完整備份，週一至週六每天取得增量備份。若週四夜間發生故障，還原所需的備份組合為下列何者？

1. 週日取得的完整備份，以及週四取得的增量備份，合計僅2份
2. 使用週一至週四全部的增量備份，不含週日的完整備份
3. 週日的完整備份，以及週一・週二・週三・週四全部的增量備份
4. 僅使用故障前一刻、也就是週四取得的增量備份，不使用更早之前的

週日取得完整備份，週一至週六每天取得差異備份。若週四夜間發生故障，還原所需的備份組合為下列何者？

1. 僅週四的差異備份
2. 週一至週四全部的差異備份
3. 週日的完整備份，以及週四的差異備份
4. 週日的完整備份，以及週一・週二・週三・週四全部的差異備份

關於備份的3-2-1原則，以及作為勒索軟體對策的保管方式說明，下列何者最適切？

1. 由3名承辦人雙重確認，經1名負責人核准後才取得，是一種程序上的參考。
2. 每天取得3次備份、保存2週份，滿1年後即予廢棄，是關於取得次數與保存期間的運用參考。
3. 包含原本在內共持有3份資料，儲存於2種媒體，其中1份另存於別處。同時取得後應斷開連線，以離線方式保管。
4. 以3種加密演算法進行二重加密，並將其金鑰集中於1處管理，是一種保管方式。