資安事件應變與組織

業務用電腦的防毒軟體顯示「偵測到惡意軟體」的警告，動作也變得不穩定。使用者應最先採取的行動為下列何者？

1. 刪除防毒軟體的偵測紀錄與警告日誌，使警告不再顯示
2. 拔除網路線、關閉無線區域網路等，使電腦與網路隔離
3. 長按電源鍵，立即關閉電源並使其停止運作
4. 自行上網搜尋清除工具，下載並執行，自力清除

對於疑似遭惡意軟體感染的終端，規定不關閉電源、僅與網路隔離，其理由下列何者最適切？

1. 為保留記憶體上資料或通訊狀態等一旦關閉電源便會消失的揮發性資訊，以供查明原因
2. 因為關閉電源會使硬碟上所有檔案遭到加密
3. 因為關閉電源會使防毒軟體的病毒碼被初始化
4. 因為關閉電源會成為訊號，使惡意軟體自動擴散至公司內部網路

關於JIS Q 27000中資訊安全事件與資訊安全事故關係的說明，下列何者最適切？

1. 事故是指日常發生的輕微事情，其中損害金額龐大、須向經營階層報告者才特別稱為事件加以區別
2. 事件僅指因組織外部攻擊而發生的事情，事故僅指因內部人員違反規定而發生的事情
3. 事件與事故意義相同，僅是撰寫報告時稱呼不同而已
4. 事件表示與安全相關之事情的發生，其中有較高可能危及事業經營並威脅資訊安全者即為事故

依一般順序排列事故因應各階段，下列何者正確？

1. 分析・調查 → 偵測・受理 → 報告 → 初步處置（分級處置）→ 再發防止 → 圍堵・復原
2. 偵測・受理 → 分析・調查 → 再發防止 → 初步處置（分級處置）→ 圍堵・復原 → 報告
3. 偵測・受理 → 初步處置（分級處置）→ 分析・調查 → 圍堵・復原 → 報告 → 再發防止
4. 初步處置（分級處置）→ 偵測・受理 → 圍堵・復原 → 再發防止 → 分析・調查 → 報告

誤開啟冒充交易對象的郵件附件檔案，開啟後雖然當下沒有任何異狀，仍感到不安。此員工應最先採取的行動為下列何者？

1. 為確認是否確實為可疑郵件，寄信詢問寄件位址，並等待回覆
2. 為求保險，再次開啟該附件檔案，親自仔細確認內容直到最後有無異常
3. 使終端與網路隔離，並立即向上級與資訊安全負責人（CSIRT）報告
4. 開啟附件檔案後既然沒有發生任何事，先觀察一陣子，出現異常後再向窗口報告

關於事故因應中分級處置（triage）的說明，下列何者最適切？

1. 在短時間內估算受理案件的影響範圍與緊急程度，決定因應的優先順序與負責人
2. 花費時間查明事故的根本原因，決定並實施永久性的再發防止對策
3. 請使用部門的承辦人逐一確認復原後業務是否恢復正常狀態
4. 以雜湊值確認蒐集到的證據途中未遭竄改，並加以記錄

發現附有顧客名冊的郵件因收件人選錯而寄送給公司外部的其他公司。應最先採取的行動為下列何者？

1. 自行致電對方說明情況，一旦對方承諾刪除，此事便不特別向公司內部報告
2. 記錄事實（收件人・寄送時間・附件內容）後，立即向上級與資訊安全負責人報告
3. 從自己的寄件備份匣刪除該封郵件，使公司內部完全不留下寄送紀錄
4. 為避免造成顧客困擾，在告知上級之前，先打電話向所有顧客逐一致歉

關於事故管理與問題管理差異的說明，下列何者最適切？

1. 事故管理以查明根本原因與再發防止為目的，問題管理以套用暫行迴避方案為目的
2. 事故管理以服務的早期復原為目的，問題管理以查明根本原因與再發防止為目的
3. 事故管理由經營階層負責，問題管理由使用部門負責，是負責人的差異
4. 事故管理僅處理資訊安全相關案件，問題管理僅處理系統故障，是處理對象上的差異

發現外出時遺失了儲存顧客資訊的貸與筆記型電腦。此員工應最先採取的行動為下列何者？

1. 因仍有找到的可能，當天先自行尋找，到隔天早上仍未找到才報告
2. 記下發現遺失的時間與狀況，立即聯絡上級與資訊安全負責人
3. 先向最近的警察局申報遺失，僅在公司內部最終未能尋獲時才報告
4. 由個人自行判斷聯絡顧客，優先告知資訊可能外洩

檢查伺服器日誌的承辦人，發現深夜以管理者帳號多次嘗試登入、且有一次成功的紀錄。應最先採取的行動為下列何者？

1. 姑且先將伺服器初始化，從備份還原後照常繼續業務
2. 保全（保存以避免遭覆寫）該相關日誌後，向CSIRT與上級報告
3. 因容易造成混淆，刪除該相關日誌的行數以利整理
4. 自行連線至疑似攻擊來源的IP位址，調查對方系統並準備反擊

關於數位鑑識中證據保全的進行方式，下列何者最適切？

1. 先刪除妨礙分析的不必要檔案，縮小對象範圍後再製作複本
2. 直接操作對象磁碟的原本進行分析，僅取出必要檔案後保存
3. 因調查耗時，由承辦人輪替、不留紀錄地進行作業
4. 製作對象磁碟的複本，以雜湊值證明其同一性後，針對複本進行分析

公司內部設置的CSIRT之職責，下列何者最適切？

1. 以單一窗口受理事故通報，進行分級處置與決定因應方針，並負責公司內外的聯絡・協調
2. 稽核自家資訊系統，以獨立立場向經營者提出稽核報告書，並提出改善建議
3. 承接資訊系統的開發，一貫負責安全功能的設計與實作，直到導入後的維護為止
4. 全天監控員工的出勤狀況，對違反工作規則者處以懲戒

關於CSIRT與SOC職責差異的說明，下列何者最適切？

1. SOC僅負責事故發生後的復原作業，CSIRT僅負責平時對日誌或警示的全天監控、不參與因應協調
2. SOC負責向經營階層報告及公關應對，CSIRT僅負責設備的設定變更
3. SOC透過對日誌或警示的全天監控偵測・分析攻擊徵兆，CSIRT則針對已偵測到的案件決定因應方針並進行公司內外的協調
4. SOC因應自家提供產品的脆弱性，CSIRT僅負責公司外部的詢問窗口

關於PSIRT的說明，下列何者最適切？

1. 全天候24小時監控自家公司內部網路與伺服器，及早偵測通訊異常的團隊
2. 由同業各會員企業匯集威脅資訊、分析後於會員企業間廣泛共享的組織
3. 受理自家提供之產品或服務的脆弱性資訊，並負責提供修正版與告知顧客的團隊
4. 制定政府整體網路安全戰略，訂定並公布各府省應遵守之統一基準的組織

受理事故通報、進行相關人員間的協調與海外CSIRT的合作，並發布警示的國內組織為下列何者？

1. ISMS-AC
2. NISC
3. 個人資訊保護委員會
4. JPCERT/CC

關於J-CRAT活動的說明，下列何者最適切？

1. 彙整脆弱性因應資訊，於入口網站向使用者公布
2. 受理疑似遭受標的式攻擊之組織的諮詢，協助防止損害擴大並及早因應
3. 認定資訊安全管理系統的認證機構
4. 將參與組織提供的標的式攻擊資訊匿名化後共享，促使其他組織及早察覺

發現自家公司使用的軟體產品存在尚未公開的脆弱性。依資訊安全早期預警夥伴關係，下列何種處理方式最適切？

1. 為確認是否真能加以利用，在其他公司公開的同款產品伺服器上進行嘗試
2. 向IPA通報脆弱性相關資訊，等待JPCERT/CC與開發者協調並公布
3. 若對自家公司無影響，便不告知任何人，僅在公司內部完成因應後結束
4. 為讓使用者知悉危險，立即在社群媒體公開脆弱性詳情與重現步驟

關於SIEM的說明，下列何者最適切？

1. 集中彙整各種設備與軟體的日誌，透過關聯分析偵測單一日誌難以察覺的攻擊徵兆
2. 將通訊內容加密，即使在路徑上遭竊聽也無法讀取內容的機制
3. 事先將重要資料複製至遠端據點，使災害發生時業務也能在短時間內重新開始並持續運作的機制
4. 強制對終端使用者套用定期變更密碼、禁止與其他服務重複使用密碼的機制

關於為因應資訊安全事故所做的桌上演練（table-top exercise）的說明，下列何者最適切？

1. 實際停止系統運作，於正式環境依程序進行復原作業，並測量記錄所需時間的訓練
2. 向使用者一齊發送訓練用郵件，分別統計開啟人數與向窗口通報人數的訓練形式
3. 以紙上方式呈現預想的受害情境，相關人員聚集追蹤判斷與聯絡的流程，藉此找出程序上的疏漏
4. 由外部專家實際發動攻擊，測試是否能入侵系統，並回報結果的檢查形式

業務部門承辦人發現含有顧客個人資料的檔案可能已外洩至外部。此承辦人應最先採取的行動為下列何者？

1. 依公司內部規定的報告路徑，立即向個人資料保護管理者或資訊安全負責人報告
2. 僅由自己部門進行調查，直到確定已外洩的階段才首次向公司內部報告
3. 由於是否外洩尚未確定，逐一向可能受影響的顧客詢問確認
4. 以承辦人個人名義直接致電個人資訊保護委員會說明情況，接受其指示後才向公司內部上級報告

關於個人資料外洩等事件向個人資訊保護委員會報告的敘述，下列何者最適切？

1. 初步通報應於得知事態後儘速進行，確定通報原則上須於30日內（若屬有不正目的之虞的事態則為60日內）進行
2. 在調查結束、原因與影響範圍確定之前，初步通報與確定通報皆無須進行，待確定後再一併報告一次即可
3. 報告僅接受書面形式，須於得知事態之日起3個月內提交予個人資訊保護委員會
4. 初步通報與確定通報並無區別，只須在得知事態之日起1年內一併報告一次

在個人資料外洩等事件中，下列何者不屬於須向個人資訊保護委員會報告的義務對象？

1. 含信用卡號的個人資料外洩，有因不當使用而造成財產損害之虞的事態
2. 因外部未經授權存取，導致持有的個人資料有遭外洩之虞的事態
3. 含有員工病歷等須特別留意個人資訊的個人資料外洩至外部的事態
4. 誤將僅限公司內部的產品開發資料寄送至外部，但其中不含個人資料的事態

關於個人資料外洩等發生時對本人通知的敘述，下列何者最適切？

1. 對本人的通知終究只是努力目標，只要公司內部規定事先決定不通知，即可連公布或設置詢問窗口都一概省略
2. 依事態狀況儘速通知，若因不知聯絡方式等原因難以通知，可採取公布或設置詢問窗口等替代措施
3. 對本人的通知，須等到向個人資訊保護委員會提交確定通報並獲確認後才可進行
4. 只要在期限內向個人資訊保護委員會報告，即一律不需要通知本人

關於系統稽核人員獨立性的敘述，下列何者最適切？

1. 稽核人員須自行實施所指出事項的改善作業，並自行確認其結果
2. 稽核人員不得稽核自己曾參與設計・開發・運用的資訊系統
3. 稽核人員可以作為受稽核部門的一員負責日常業務，同時稽核該部門
4. 稽核人員須獨立於經營者之外，不得將稽核報告書提交經營者

關於系統稽核進行方式的敘述，下列何者最適切？

1. 因重視稽核人員的心證，省略蒐集稽核軌跡等客觀證據的作業
2. 先進行本調查蒐集事實，再依內容事後製作稽核計畫與稽核程序
3. 稽核報告書提交經營者的時點稽核即告完結，因此省略事後確認所指出事項是否已改善的後續追蹤
4. 制定稽核計畫，以初步調查掌握概況後進行本調查，經評估・結論後提交報告書，其後以後續追蹤確認改善狀況