複選題

16. NIST 網路安全框架（Cybersecurity Framework, CSF）有關 「框架核心（Framework Core）」係由識別（Identify）、保護 （Protect）、偵測（Detect）、回應（Respond）與復原（Recover） 等功能所組成。請問關於「保護（Protect）」功能的敘述，下列哪些正確？
(A) 包含身份管理與存取控制（Identity Management and Access Control）與意識和訓練（Awareness and Training）
(B) 包含資料安全（Data Security）與資訊保護流程與程 序（Information Protection Processes and Procedures）
(C) 包含維護（Maintenance）與保護技術（Protective Technology）
(D) 包含資產管理（Asset Management）與風險評估 （Risk Assessment）

NIST CSF 的「保護（Protect）」功能涵蓋多個類別，每個類別都針對如何減少或限制網路安全風險提出措施。讓我們逐一檢視各選項：

(A) 包含身份管理與存取控制（Identity Management and Access Control）與意識和訓練（Awareness and Training）

• 解釋： 在 Protect 功能中，「身份管理與存取控制」屬於 PR.AC，「意識和訓練」屬於 PR.AT。這兩個都是保護功能中的關鍵控制措施，用以確保只有授權使用者能存取系統，並提高使用者的安全意識。
• 結論： 正確

(B) 包含資料安全（Data Security）與資訊保護流程與程 序（Information Protection Processes and Procedures）

• 解釋： Protect 功能中的「資料安全」屬於 PR.DS，而「資訊保護流程與程序」屬於 PR.IP，這些都用於確保資料在傳輸和儲存過程中的完整性與保密性，並透過標準作業程序來維護安全性。
• 結論： 正確

(C) 包含維護（Maintenance）與保護技術（Protective Technology）

• 解釋： 在 Protect 功能中，「維護」屬於 PR.MA，而「保護技術」則屬於 PR.PT。這些措施確保安全設備與軟體的正確運作，並定期進行必要的維護，以防止安全漏洞。
• 結論： 正確

(D) 包含資產管理（Asset Management）與風險評估 （Risk Assessment）

• 解釋： 資產管理（ID.AM）與風險評估（ID.RA）屬於 NIST CSF 中的「識別（Identify）」功能，而非「保護（Protect）」。因此，這兩項不屬於 Protect 功能。
• 結論： 錯誤

最終正確選項

正確的選項為 (A)、(B) 與 (C)。