e等公務園+學習平臺
資安法遵查核重點—其他稽核重點(113)《解答》
01有關機關應訂定資通安全之績效評估方式(如績效指標等)，且定期監控、量測、分析及檢視，下列哪一項敘述是不正確的?
- A機關應訂定資通安全目標，設定量化與質性指標
- B機關應將績效評估方式及結果公開於網站上，以提高資通安全之透明度正解
- C機關訂定績效指標應考量其適切性及可行性
- D機關應定期及指派人員監控、量測、分析及檢視之績效評估方式，以確保有效的結果
02資通系統開發如委外辦理，應將系統發展生命週期( SSDLC) 各階段依等級將安全需求（含機密性、可用性、完整性）納入委外契約，是屬於下列SSDLC的哪一個階段?
- ASSDLC需求階段
- BSSDLC設計階段
- CSSDLC測試階段
- DSSDLC委外階段正解
03依資通安全責任等級分級辦法規定，A級公務機關應配置多少位資安人力?
- A4位專職人員正解
- B4位專責人員
- C2位專職人員
- D2位專責人員
04有關資通系統執行源碼掃描安全檢測，應在系統發展生命週期( SSDLC)的哪一個階段執行?
- ASSDLC開發階段正解
- BSSDLC設計階段
- CSSDLC測試階段
- DSSDLC委外階段
05依CNS 27002：2023之資訊安全控制措施標準，其開發、測試與運作環境之區隔，屬於下列哪一類別之控制措施?
- A技術控制措施正解
- B人員控制措施
- C實體控制措施
- D組織控制措施
06有關資通安全實地稽核項目，下列哪一項不屬於技術面的稽核項目?
- A資通安全事件通報應變及情資評估因應
- B資訊及資通系統盤點及風險評估正解
- C資通安全防護及控制措施
- D資通系統發展及維護安全
07依資通系統防護基準之事件日誌與可歸責，對日誌應進行存取控管，並有適當之保護控制措施，下列哪一項措施是不正確的?
- A對日誌之存取管理，僅限於有權限之使用者
- B日誌應運用雜湊或其他適當方式之完整性確保機制
- C定期備份日誌至原系統外之其他實體系統
- D日誌應以明文格式儲存，以利查閱正解
08依資通系統防護基準規定，機關應定期執行重要資料之備份作業，下列敘述何者是正確的?
- A普級資通系統應進行備份還原測試
- B中級資通系統應進行備份還原測試
- C高級資通系統應進行備份還原測試正解
- D普級應定期測試備份資訊，以驗證備份媒體之可靠性及資訊之完整性
09依資通安全事件通報及應變辦法規定，各機關於發現第2級資通安全事件後，必須在幾小時內完成損害控制或復原作業，並且要繼續進行事件的調查和處理?
- A24小時內
- B36小時內
- C48小時內
- D72小時正解
10有關資通安全威脅偵測管理(SOC)機制，下列哪一項內容不屬於其監控範圍?
- A端點偵測及應變機制之辦理內容
- B資通安全防護之辦理內容
- C資訊服務或應用程式紀錄
- D系統維護作業正解
11若公務機關向主管機關通報第3級資通安全事件時，則主管機關應於多少時限內完成審核?
- A1小時內
- B2小時內正解
- C3小時內
- D4小時內
12依資通安全管理法施行細則規定，機關應盤點資訊及資通系統，並標示核心資通系統及相關資產，下列哪一項敘述是不正確的?
- A資產盤點之範圍應為全機關
- B資產盤點應建立清冊
- C資產盤點應鑑別其資產價值
- D資產盤點應每2年檢視一次資通系統分級之妥適性正解
13有關資通系統上線前，下列哪一項不是安全性要求之測試項目?
- A機敏資料存取測試
- B系統效能測試正解
- C用戶輸入輸出之檢查過濾測試
- D用戶登入資訊檢核測試
14為避免公務及機敏資料遭不當竊取，導致機關機敏公務資訊外洩或造成國家資通安全危害風險，下列哪一項敘述是不正確的?
- A禁止使用及採購大陸製造的資通訊產品正解
- B禁止使用及採購大陸廠牌的資通訊產品
- C禁止使用及採購大陸廠牌的資通訊軟體
- D禁止使用及採購大陸廠牌的資通訊服務
15針對機關內部同仁及委外廠商進行遠端維護資通系統，應採「原則禁止、例外允許」方式辦理，並有適當之防護措施， 下列哪一項防護措施是不正確的?
- A開放遠端存取期間，原則以短天期為限，並建立異常行為管理機制
- B遠端存取期間，為方便廠商進行系統維護，原則以長天期為限，並可繼續使用遠端存取通道(如 VPN)登入密碼正解
- C依資通系統防護基準有關遠端存取相關規定辦理，並建立及落實管理機制
- D於結束遠端存取期間後，應確實關閉網路連線，並更換遠端存取通道(如 VPN)登入密碼
16有關資通安全情資分享辦法規定，下列哪一項敘述是不正確的?
- A公務機關應適時與主管機關進行情資分享
- B主管機關應適時與公務機關進行情資分享
- C特定非公務機關應適時與中央目的事業主管機關進行情資分享正解
- D中央目的事業主管機關應適時與其所管之特定非公務機關進行情資分享
17有關資通系統的弱點掃描及滲透測試，應在系統發展生命週期( SSDLC)的哪一個階段執行?
- ASSDLC需求階段
- BSSDLC設計階段
- CSSDLC測試階段正解
- DSSDLC委外階段
18機關如委外開發核心資通系統，對於系統之安全性檢測，下列哪一項作法是正確的?
- A委外廠商無須提供核心資通系統安全性檢測報告，委託機關應自行進行安全性檢測
- B委外廠商無須提供核心資通系統安全性檢測報告，委託機關應另行委託第三方進行安全性檢測
- C委外廠商須提供核心資通系統安全性檢測報告外，委託機關應自行或另行委託第三方進行安全性檢測正解
- D委外廠商須提供核心資通系統安全性檢測報告，委託機關無須再進行任何安全性檢測
19依資通安全事件通報及應變辦法規定，機關應多久辦理1次社交工程演練?
- A每半年辦理1次正解
- B每年辦理1次
- C每季辦理1次
- D每月辦理1次
20依資通安全事件通報及應變辦法規定，機關應多久辦理1次資通安全事件通報及應變演練？
- A每月辦理1次
- B每季辦理1次
- C每半年辦理1次
- D每年辦理1次正解