司法三等申論題
105年
[檢察事務官電子資訊組] 資通安全
第 一 題
📖 題組：
資訊安全管理制度（Information Security Management System, ISMS）。
資訊安全管理制度（Information Security Management System, ISMS）。
📝 此題為申論題，共 2 小題
小題 (一)
在計算資訊資產的風險值時，通常會對盤點出的資訊資產清單上依據資訊資產性質之不同作分類。請説明分類須考量那三個安全面向及區分成幾級？（15 分）
思路引導 VIP
看到資訊資產分類與風險值計算，應直覺聯想資安核心金三角「CIA」（機密性、完整性、可用性）。解題時需精確定義這三個面向，並結合實務（如 ISO 27001 規範），說明資產衝擊程度通常區分為 3 或 4 級，藉此量化資產價值並套入風險計算公式中。
小題 (二)
資訊資產分類後，通常會建立資產風險評鑑的標準以計算資訊資產的風險值。請說明風險值計算除可考量資訊資產價值外，尚可考慮那些重要因素？試說明之。（10 分）
思路引導 VIP
看到風險評鑑（Risk Assessment）考題，應立即聯想 CISSP 經典風險公式：Risk = Threat × Vulnerability × Impact/Probability。除了題目已給的「資產價值」，解題時必須列出威脅（Threat）、脆弱性（Vulnerability）、衝擊（Impact，需扣緊 CIA Triad）、發生機率（Likelihood）以及現有控制措施（Existing Controls），並逐一精確定義與說明實務意義。