[解答]資安稽核實務應用(113)－鹿先生的公務員終身學習解答

1. 資安稽核委員針對資通安全事件通報應變及情資評估因應進行稽核，其中需檢視收稽機關是否訂定資安事件通報作業規範，包含判定事件等級之流程及權責、事件影響及損害評估、內部通報流程、通知其他受影機關之方式、通報窗口及聯繫方式等，並規範於知悉資通安全事件後幾小時內進行通報？
1
2
8
16

2. A級公務機關資安稽核時針對資通安全維護計畫與實施情形之持續精進及績效管理機制需檢視內部資通安全稽核計畫書來確定底下哪一個規定？
是否完成每年二次內部資通安全稽核
是否完成每年一次內部資通安全稽核
是否完成每二年一次內部資通安全稽核
是否完成每四年一次內部資通安全稽核

3. 資通系統防護基準修正規定中關於營運持續計畫，底下哪項作法不符合規定？
系統備援措施在高與中等級需訂定資通系統從中斷後至重新恢復服務之可容忍時間要求
系統備份措施中高中普等級均需訂定系統可容忍資料損失之時間要求
系統備份措施中高與中等級需執行系統源碼與資料備份，普等級無要求
系統備份措施中高與中等級需應定期測試備份資訊，以驗證備份媒體之可靠性及資訊之完整性，普等級無要求

4. 針對資通安全維護計畫與實施情形之持續精進及績效管理機制的稽核上，受稽機關須知悉資通安全事件後，需於規定時間內完成損害控制或復原作業，並持續進行調查及處理，於1個月內送交調查、處理及改善報告，且落實執行。第三級資通安全事件須於幾小時內完成損害控制或復原作業？
1
8
36
72

5. 資安稽核的營運持續計畫內容檢視要點中包括備份之頻率應滿足哪一個要求？
RPO (Recovery Point Objective) 復原點目標
MTPD(Maximum Tolerable Period of Disruption)最大可容忍中斷時間
RTO (Recovery Time Objective) 最大可允許中斷時間
WRT(Work Recovery Time）工作恢復時間

6. 核心資通系統係指支持核心業務持續運作必要之系統，資通安全管理法施行細則第七條規範說明的核心業務，其範圍包含底下哪幾項？(複選)
公務機關依其組織法規，足認該業務為機關核心權責所在
公營事業及政府捐助之財團法人之主要服務或功能
各機關重要的財務與人事管理系統
各機關維運、提供關鍵基礎設施所必要之業務

7. 某機關為B級特定非公務機關，依照資通安全責任等級應辦事項規範，B級特定非公務機關須至少配置幾位資安人員？
資安專職4人
資安專責4人
資安專職2人
資安專責2人

8. 有關現行推動的資安職能訓練，下列敘述何者為非？
公務人員資安職能規劃，係針對公務人員所擔任之職務與負責任務，規劃其執行業務時應具備之資訊安全知識與技能
資安職能訓練依據不同職務與任務，規劃資安實務訓練課程、發展教材並建立資安能力之評量制度
資安稽核實務課程屬管理面課程，參加該有助於提升對於進階資安稽核實務能力
現行規範鼓勵資安人員充實技能專業，因此資安職能訓練發展規劃中，無需先取得核心課程「資通安全概論」職能證書，即可報名其他專業課程

9. 針對資通安全防護及控制措施的稽核項目中B級機關針對全部核心資通系統定期辦理弱點掃描的頻率至少需達到？
每年2次
每年1次
每2年1次
無此規定

10. 針對資通安全防護及控制措施的資安稽核上，依照規範那些級別的公務機關需完成政府組態基準導入作業？1.A 級 2.B級 3.C級 4.D 級 5.E 級
1
1,2
1,2,3
1,2,3,4,5

11. 針對資通安全防護及控制措施的資安稽核上，依照規範那些級別的公務機關需完成資通安全弱點通報系統(Vulnerability Analysis and Notice System)導入作業，並持續維運及依主管機關指定方式提交資訊資產盤點資料？1.A 級 2.B級 3.C級 4.D 級 5.E 級
1
1,2
1,2,3
1,2,3,4,5

12. 針對資通系統或服務委外辦理之管理措施資安稽核上，受託業務涉及國家機密者，執行受託業務之相關人員應接受哪一種查核，並依國家機密保護法之規定，管制其出境？
正確性
適任性
機密性
可用性

13. 甲君為B級特定非公務機關的資安人員，最近他考取經濟部 iPAS 資訊安全工程師中級能力鑑定證照。依照資通安全責任等級分級辦法規定特定非公務機關的資安專責人員至少需取得何種證照多少張並保持其有效性？
資通安全專業證照1張
資安職能訓練證書1張
資通安全專業證照及職能訓練證書各1張
資通安全專業證照及職能訓練證書各2張

14. 政府機關資安治理成熟度評估機制中將成熟度等級由低至高分為6個級別，其中可有效定義與部署標準化流程，使其成為常規作業為哪一等級？
Level 2管理型(Managed)
Level 3制度化型(Established)
Level 4可預測型(Predictable)
Level 5創新型(Innovating)

15. 針對資通安全事件通報應變的資安稽核項目上，依據法規要求知悉資通安全事件後，需於規定時間內完成損害控制或復原作業，並持續進行調查及處理，於1個月內送交調查、處理及改善報告，且落實執行。第一級或第二級事件需於多少小時內完成損害控制或復原作業？
1
2
36
72

16. 資通系統發展及維護安全的資安稽核項目中，資通系統防護基準事件日誌與可歸責性構面的紀錄事件項目，須檢視受稽機關所有普中高等級的資訊系統保留日誌至少幾個月？
一
二
三
六

17. 針對資通安全維護計畫與實施情形之持續精進及績效管理機制的稽核上，某A級機關須定期針對所屬/監督之公務機關辦理那些演練，且於演練完成後1個月內，送交執行情形及成果報告？(複選)
每半年規劃及辦理1次社交工程演練
每年規劃及辦理1次社交工程演練
每年規劃及辦理1次資安事件通報及應變演練
每二年規劃及辦理1次資安事件通報及應變演練