第 二 題

雲端服務的 4 種部署模型及其特性如下：

1. 公有雲 (Public Cloud)：雲端基礎設施由第三方雲端服務供應商(CSP)擁有並維護，開放給一般大眾或大型產業群使用。資源由多租戶共享，具備成本較低、彈性擴充快且無須自行維護硬體的優勢。
2. 私有雲 (Private Cloud)：雲端基礎設施專為單一組織建立與運作，可由組織內部或第三方機構負責管理，設備可存放在組織內部或外部。其特性是資源獨享，具備最高的安全性、隱私性與控制權，但建置與維運成本較高。

依據 NIST（美國國家標準暨技術研究院）的定義，雲端服務主要分為以下 3 種：

1. 基礎設施即服務 (IaaS, Infrastructure as a Service)：提供消費者運算能力、儲存空間、網路等基礎運算資源。消費者可於其上部署與執行任意軟體（包含作業系統與應用程式），但不控管底層的雲端基礎設施。
2. 平台即服務 (PaaS, Platform as a Service)：提供消費者應用程式的開發、執行與部署平台（包含程式語言環境、資料庫、網頁伺服器等）。消費者只需管理自己開發的應用程式及相關環境設定，無需管理底層的伺服器、作業系統與網路架構。

依據一般雲端應用資安參考指引，機關在訂定雲端服務資安政策時，至少應考量以下 6 個核心項目：

1. 權責劃分與治理：明確界定機關與雲端服務提供者（CSP）之間的共同責任模型，確認雙方在資安防護與維運管理上的責任歸屬。
2. 存取控制與身分認證：制定嚴格的特權帳號管理、身分驗證機制（如多重因素驗證 MFA）與最小權限原則，確保只有經授權的人員能存取雲端資源。