司法三等申論題
112年
[檢察事務官電子資訊組] 資通安全
第 一 題
📖 題組：
學者 Pipkin 指出資安事故指標為有可能、極有可能、明確等三種不同類別，用以檢查某個事件是否成為一個可能的事故或稱為嫌疑事故（Incident Candidate），請回答下列問題：（每小題 12 分，共 24 分）
學者 Pipkin 指出資安事故指標為有可能、極有可能、明確等三種不同類別，用以檢查某個事件是否成為一個可能的事故或稱為嫌疑事故（Incident Candidate），請回答下列問題：（每小題 12 分，共 24 分）
📝 此題為申論題，共 2 小題
小題 (一)
依據資訊安全原則，請列出至少三項並詳述如何確認發生真實資安事故。
思路引導 VIP
看到本題應立刻聯想到資安事故回應（Incident Response, IR）的「偵測與分析」階段。作答時，需說明如何透過具備法律證據力與客觀性的技術手段，將「嫌疑事故（有可能/極有可能）」推進至「明確（Definite）」等級，建議可從日誌關聯（SIEM）、數位鑑識、網路流量分析三個維度切入。
小題 (二)
當真實資安事故發生時，資訊安全相關人員必須立刻啟動應對的事故回應計畫（Incident Response Plan）。請列出至少四項事故處理應該採取的行動並詳述之。
思路引導 VIP
看到「事故回應計畫（IRP）的處理行動」，應立即聯想 NIST SP 800-61 或 SANS 提出的事故處理標準生命週期（如 Containment, Eradication, Recovery）。作答時除了技術面的修復，務必結合資安法規與網路犯罪偵查實務，強調「證據保全」與「監管鏈」對於法律訴訟與不可否認性的重要性。