112年 - 112-2 資訊安全工程師能力鑑定中級試題：資訊安全規劃實務#116084

1. 下列何項系統建置規劃並「不」是以可用性作為主要之考量基準？ (A) 建置伺服器負載平衡系統 (B) 重要資料導入高可用性（High Availability）系統 (C) 建置資料加密管理系統 (D) 使用針對重要系統建置即時備援機制

2. 下列何者「不」是 ISO/IEC 27001:2013 標準中「資訊安全風險評鑑」所要求組織應進行的事項？ (A) 建立風險接受準則 (B) 識別資訊安全風險 (C) 評估資訊安全風險 (D) 以最高標準處理資訊安全風險

3. 近年來，民間企業數位網通服務應用加驟，讓企業的資安單位從原本的支援角色轉變為重要的策略單位，而資訊安全「管理」更拉高至「治理」位階，下列哪一項可以作為企業治理資訊安全的框架及指引？ (A) ISO/IEC 27004 (B) ISO/IEC 27011 (C) ISO/IEC 27014 (D) ISO/IEC 27017

4. Z 公司為台灣上市櫃公司，主要營業項目 3C 消費性用品零售商並於實體店面及網路直接銷售給一般消費者，公司營運據點遍及歐洲及台灣。該公司並已通過 ISO 27001 驗證，請問下列哪些法規為該公司目前所必須遵守之法令規範？（複選） (A) 個人資料保護法（中華民國） (B) 上市上櫃公司資通安全管控指引（中華民國） (C) 資通安全管理法（中華民國） (D) 歐盟一般資料保護規則（General Data Protection Regulation，GDPR）

5. 情境如上述所示，請問廠商 A 在要符合廠商 B 合約要求的前提下，下列相關認證「不」是其需優先考慮具備的項目？ (A) ISO 9001 (B) ISO 14001 (C) ISO 27017 (D) BS 10012

6. 情境如上述所示，請問廠商 A 已於 2 年前取得 ISO 27001: 2013 的認證，在保持認證資格的前提下，請問下列措施何者「不」合適？ (A) 定期實施內部稽核 (B) 每 3 年更新證照 (C) 因應新版本 ISO 27001:2022 推出，規劃相關升級（轉版）事宜 (D) 於明年認證期滿後，再重新驗證

7. 情境如上述所示，請問廠商 A 在上個月進行例行的 ISO 27001 內部稽核時，發現員工缺乏對社交攻擊的認知，請問下列措施何者「不」合適？ (A) 「員工缺乏對社交攻擊的認知」為可接受之風險 (B) 進行相關員工教育訓練，讓員工了解社交攻擊 (C) 以模擬釣魚郵件對內部員工進行點擊測試用來評估教育訓練後的成效 (D) 重新評估「員工缺乏對社交攻擊的認知」可能產生的影響

8. 情境如上述所示，廠商 A 在規畫新的客戶資料系統時，基於資安及個資等法規、認證之要求，請問應採取下項那些措施？（複選） (A) 儘可能蒐集客戶所有的資料項目作為行銷使用 (B) 系統流程中納入取得當事人同意確認 (C) 僅蒐集必要的最小資料集合 (D) 提供當事人修正的管道

9. 如要實施多層次防禦，下列何種措施最為合適？ (A) 在個人電腦安裝防毒軟體 (B) 運用不同網路區段，隔離不同用途的設備，並分別進行相關流量過濾措施 (C) 依照各別使用者，建立各自的電腦帳號 (D) 於作業系統中啟用檔案存取記錄，保留資料存取的相關記錄

10. 關於身分識別與存取管理（Identity and Access Management， IAM）的敘述，下列何者正確？ (A) 管理網路防火牆的設定 (B) 控制使用者對系統或資源的存取權限 (C) 監控網路流量與入侵偵測 (D) 保護敏感資料的傳輸

11. 關於職務區隔（Segregation of Duties，SOD）的說明，下列何者正確？ (A) 可以促進內部員工合作和溝通 (B) 可以確保資訊系統的可用性 (C) 可以減少內部詐欺行為或誤用之風險 (D) 可以簡化組織的工作流程

12. 關於權限管理的說明，下列哪些正確？（複選） (A) 一旦使用者通過身份驗證後，系統會根據其授權層級與角色來分配相應的權限 (B) 可以確保每個使用者僅能存取其需要的資源或功能 (C) 能夠防止越權存取 (D) 可以透過以角色為基礎的存取控制（Role-based access control，RBAC）實作

13. 情境如附圖所示，請問醫事人員經過讀取虛擬健保卡 QR 碼，再由醫事人員在 HIS 系統透過虛擬健保卡系統至健保署系統查詢資料，主要在強化下列何項程序？ (A) 識別（Identification） (B) 驗證（Authentication） (C) 授權（Authorization） (D) 稽核（Audit）

14. 情境如附圖所示，請問下列何者「不」是採用虛擬健康保卡的優點？ (A) 強化遠距醫療的安全與認證機制 (B) 避免未經授權的資料存取 (C) 強化實體健保卡的安全 (D) 落實健保資料使用的可歸責性

15. 情境如附圖所示，請問虛擬健保卡手機端 QR 碼的內容可能包含下列何項？ (A) 存取資料的符記（Token） (B) 持卡人的照片 (C) 持卡人的帳號及密碼 (D) 持卡人的生日

16. 情境如附圖所示，請問透過虛擬健保卡機制的建置與運用，可能有的風險/問題有下列哪些？（複選） (A) 增加攻擊向量 (B) 與實體卡片資料同步的問題 (C) 帳號密碼的濫用 (D) 使實體健保卡的安全機制更容易被破解

17. 如附圖所示，關於 NIST SP 800-207 零信任架構（Zero Trust Architecture）的抽象模型敘述，下列何項錯誤？
(A) 政策決策點（Policy Decision Point，PDP）/政策落實點（Policy Enforcement Point，PEP）須適當判斷主體是否可存取資源 (B) 零信任（Zero Trust）提供準則與概念，可使 PDP/PEP 移動並貼近資源 (C) PDP/PEP 已提供一系列控制，因此通過 PEP 的流量便能取得最高層級信任 (D) 隱式信任區（Implicit Trust Zone）：區域中實體至少達到最後 PDP/PEP 的信任等級