所屬科目：國營事業◆1.資通安全概論 2.資通安全法令與規範
1. 下列何者為用於評估資通系統安全等級之主要因素？ (A)硬體、軟體、網路環境、加密技術 (B)資產盤點、風險評估、資安政策 (C)機密性、完整性、可用性、法律遵循性 (D)網際網路威脅、內部網路弱點、防火牆建置
2. 在資訊安全管理系統(ISMS)中，關於資訊安全政策的制定與推動，下列敘述何者有誤？ (A)資訊安全政策必須由資訊部門階層核定並正式發布 (B)政策內容應隨機關營運目標及外部法規變化定期進行審查與修訂 (C)政策除傳達給資訊部門與高階主管外，基層員工也需要了解 (D)政策應包含資訊安全目標及組織對資安維護的承諾
3. 下列何者非屬ISO/IEC 27001：2022所定4大類資安控制措施(Controls)？ (A)組織控制(Organizational Controls) (B)技術控制(Technological Controls) (C)人員控制(People Controls) (D)網路控制(Network Controls)
4. 駭客在公開的Wi-Fi環境中，透過架設偽冒熱點即虛假無線網路，讓受害者的流量先經過駭客 的電腦，進而竊取受害者未加密的傳輸憑證，此為下列何種攻擊？ (A) SQL注入攻擊(SQL Injection) (B)中間人攻擊(Man-in-the-Middle, MitM) (C)跨網站指令碼攻擊(XSS) (D)暴力破解攻擊(Brute Force)
5. 下列何者為最小權限原則(Principle of Least Privilege)之主要目的？ (A)限制使用者僅能存取完成工作所需資源 (B)接受系統預先定義的權限 (C)依據使用者所屬部門給予統一的存取權限(D)確保系統管理者擁有系統資源存取權限
6. 關於雜湊函數(Hash Function)的特性，下列敘述何者有誤？ (A)無論輸入的資料多大，輸出的雜湊值長度都是固定的 (B)雜湊函數是雙向的，可以輕易透過雜湊值逆向還原出原始明文 (C)只要輸入資料改變一個位元，輸出的雜湊值就會大幅改變 (D)常用於驗證檔案的完整性(Integrity)
7. 下列何者為安全系統發展生命週期(SDLC)之正確順序？ (A)設計、開發、測試、部署、需求、維運 (B)需求、部署、設計、開發、測試、維運 (C)設計、需求、開發、部署、測試、維運 (D)需求、設計、開發、測試、部署、維運
8. 依據OWASP Top 10：2025版本，下列何者為開源套件安全與第三方套件的潛在風險？ (A)存取控制失效(Broken Access Control) (B)安全設定錯誤(Security Misconfiguration) (C)軟體供應鏈缺失(Software Supply Chain Failures) (D)不安全設計(Insecure Design)
9. 關於防範OWASP Top 10注入式攻擊(Injection)，下列何種防禦手段最為有效？ (A)使用參數化查詢(Parameterized Queries) (B)定期更新作業系統 (C)在前端使用JavaScript限制特殊字元輸入 (D)使用Web應用程式防火牆(WAF)
10. 組織在進行風險評鑑後，發現某項資訊資產所帶來的資安風險過高，且防禦成本遠超業務收 益，因此決定替換該項資訊資產並變更業務流程，此為下列何種風險處理策略？ (A)風險規避(Risk Avoidance) (B)風險降低(Risk Reduction / Mitigation) (C)風險轉移(Risk Transfer / Sharing) (D)風險接受(Risk Acceptance)
11. 在ISMS管理體系中，為確保資訊安全工作的持續有效性，組織必須定期召開管理審查會議 (Management Review)。關於該會議之敘述，下列何者正確？ (A)該會議應由資訊室主任主持即可，不需高階主管參與 (B)會議的核心目的是檢討個別技術同仁的考績與懲處 (C)審查內容應包含內部稽核結果、資安目標達成度及風險評鑑結果 (D)管理審查會議每年固定召開1次即可，期間若發生重大資安事故亦不得變更時程
12. 下列何種技術最能有效防止公司內部網路遭到駭客橫向移動(Lateral Movement)攻擊？ (A)安裝第二道內部網路防火牆 (B)每日定期進行伺服器完整備份 (C)增加使用者密碼複雜度要求 (D)部署網路微分段(Micro-segmentation)與零信任架構
13. 下列何者為企業可即時偵測並監控網路內部的異常行為，所建置資安系統用以收集防火牆、 伺服器等日誌(Logs)彙整後進行關聯性分析？ (A) SIEM(Security Information and Event Management) (B) WAF(Web Application Firewall) (C) DLP(Data Loss Prevention) (D) VPN(Virtual Private Network)
14. 資安工程師發現內部某台主機在凌晨1點向外部一個未知IP發出大量、固定週期且極小流量的 連線。此種網路流量特徵最有可能為下列何者？ (A) SQL Injection探測 (B)暴力式攻擊(Brute-force Attack) (C)定期排程下載大型作業系統更新檔 (D)惡意程式的信標行為(Beaconing / C2溝通)
15. 關於阻斷式服務攻擊(DoS/DDoS)之敘述，下列何者正確？ (A)主要目的是耗盡目標系統的資源 (B)攻擊者通常使用單一來源IP (C)利用惡意程式快速散播造成攻擊 (D)僅會造成網路流量變慢，但不會癱瘓主機
16. 在Windows作業系統中，若要確認系統帳戶是否有異常登入，應使用下列何種工具？ (A)本機安全性原則(Local Security Policy) (B)效能監視器(Performance Monitor) (C)工作管理員(Task Manager) (D)事件檢視器中的安全性紀錄(Event Viewer Security)
17. 為達到實體隔離(Air Gapped)配置的系統環境，下列方式何者正確？ (A)人員可以使用隨身碟進行資料交換 (B)使用VPN進行遠端作業 (C)架設單向閘道器(Data Diode) (D)開放連線雲端服務作業
18. 關於邊緣運算(Edge Computing)所帶來的資安風險，下列何者正確？ (A)核心骨幹網路的頻寬容易壅塞 (B)邊緣節點缺乏實體保護容易遭受竄改與攻擊 (C)資料在雲端進行運算時易有隱私問題 (D)雲端資料中心可能會有電力不足的風險
19. 下列何者為安裝入侵偵測系統IDS(Intrusion Detection System)的主要原因？ (A)取代現有防火牆 (B)了解員工上網習慣 (C)統計網路流量使用率 (D)監控網路異常活動
20. 為了防止駭客在入侵後刪除日誌軌跡，下列何者是最佳做法？ (A)將日誌即時備份到遠端的日誌伺服器 (B)對日誌資料夾進行嚴格的存取權限控管 (C)將日誌保留期限設定為1天 (D)日誌檔案屬性改為隱藏與唯讀(Read-Only)
21. 某企業要求員工登入VPN時必須輸入密碼並使用手機OTP驗證碼，是基於下列何種因素？ (A)持有因素(Something You Have) (B)知識因素(Something You Know) (C)生物特徵因素(Something You Are) (D)行為因素(Something You Do)
22. 關於MITRE ATT&CK中的憑證存取(Credential Access)戰術，下列敘述何者正確？ (A)透過後門程式維持長期控制 (B)利用作業系統傾印記憶體來取得密碼雜湊 (C)透過網路芳鄰刺探資料庫主機權限 (D)讀取系統日誌(Event Logs)取得明文密碼
23. 下列何者為進行資通安全風險評鑑(Risk Assessment)之風險值計算方式？ (A)系統建置成本×使用人數 (B)漏洞數量×防火牆規則數 (C)可能性(Likelihood)×衝擊程度(Impact) (D)備份頻率(RPO)×回復時間(RTO)
24. 下列何者為現今資安管理所強調組織在網路攻擊中能承受、適應並快速恢復的能力？ (A)資通安全防禦力(Cyber Defense) (B)零信任防禦力(Zero-trust Defense) (C)備援能力(Redundancy) (D)網路韌性(Cyber Resilience)
25. 某企業的供應鏈廠商遭受駭客入侵，導致該企業的資料外洩。下列何者為其降低供應鏈風險 之最佳手段？ (A)選擇報價最便宜的供應商 (B)定期對供應商進行資安稽核 (C)限制與供應商的資料交換時間 (D)允許供應商員工遠端登入作業
26. 某公務機關官網遭勒索軟體攻擊，導致官網無法對外服務。下列何者為此機關知悉資通安全 事件後，向主管機關通報之最遲時限？ (A) 1小時內 (B) 2小時內 (C) 4小時內 (D) 24小時內
27. 風險分析所使用的方法，除了定量法(Quantitative)之外，還可採用下列何種方法？ (A)類比法 (B)定性法 (C)平均法 (D)參數法
28. 有關資通安全管理法施行細則，受託業務包含客製化資通系統開發，委託金額達新臺幣多少 元以上者，委託機關應自行或另行委託第三方進行安全性檢測？ (A) 150萬元 (B) 500萬元 (C) 800萬元 (D) 1,000萬元
29. 某公務機關經上級核定為資通安全責任等級C級，依據資通安全管理法，下列敘述何者正確？ (A)業務持續運作演練每年辦理2次 (B)業務涉及區域性民眾服務資通系統之維運 (C)機關僅自行維運資通系統 (D)機關無資通系統
30. 某公務機關資通系統發生資通安全事件，導致該系統可能造成未經授權之資訊揭露，致機關 之營運、資產或信譽等方面產生嚴重影響，此防護需求為下列何種等級？ (A)低 (B)普 (C)中 (D)高
31. 某公務機關導入ISO/IEC 27001：2022資訊安全管理系統(ISMS)，下列何者為資料遮蔽控制措 施中以別名取代識別用資訊之遮蔽技術？ (A)資料替換 (B)匿名化 (C)擬匿名化 (D)資料擾亂
32. 某公務機關收到主管機關要求，必須每年進行網路資安健檢，下列何者非屬其健檢項目？ (A)遠端網路弱點掃描 (B)到場網路安全備援服務 (C)到場網頁應用程式弱點掃描 (D)遠端滲透測試
33. 關於資訊資產分級之目的，下列敘述何者正確？ (A)確保組織之相關安全責任 (B)限制對資訊之存取 (C)確保系統運作之完整性 (D)確保資產依組織之重要性，受到適切等級的保護
34. 下列何者與保護個人資訊隱私有關？ (A)個人資料保護法 (B)專利法 (C)商標法 (D)著作權法
35. 某公務機關的核心系統遭到勒索軟體加密，機關必須在4小時內將系統回復至前一天18：00 的檔案狀態。前述「4小時」與「前一天18：00」分別屬於營運持續管理中的何種指標？ (A) RTO；RPO (B) RPO；RTO (C) MTPD；RTO (D) RTO；MTBF
36. 為加強我國公民營單位資通安全並落實資通安全管理法，其主管機關為何？ (A)內政部 (B)經濟部 (C)數位發展部 (D)國防部 【請翻頁繼續作答】 1.資通安全概論 2.資通安全法令與規範 第 4 頁，共 4 頁
37. 某公務機關經上級核定為資通安全責任等級B級，依據資通安全管理法，下列敘述何者正確？ (A)業務持續運作演練每年辦理2次 (B)業務涉及公務機關捐助、資助或研發之國家核心科技資訊之安全維護及管理 (C)內部資安稽核每年辦理2次 (D)業務涉及全國性民眾服務資通系統之維運
38. ISO/IEC 27000 包含一系列的標準，其ISMS實施指引屬於下列何種標準？ (A) ISO/IEC 27001 (B) ISO/IEC 27002 (C) ISO/IEC 27003 (D) ISO/IEC 27004
39. 有關各資通安全責任等級之資通系統防護基準，其營運持續計畫系統備份應辦事項，下列何 者有誤？ (A)定期測試備份資料驗證可靠性 (B)由第三方提供恢復資訊服務 (C)訂定系統可容忍資料損失時間 (D)執行系統原碼與資料備份
40. 依經濟部能源及水資源領域工業控制系統資安防護基準，資安事件日誌記錄時間、週期等資 料，其最低保留時限為何？ (A) 1個月 (B) 3個月 (C)半年 (D) 1年
41. 某公務機關經上級核定為資通安全責任等級A級，依據資通安全管理法，下列敘述何者正確？ (A)業務涉及全國性民眾服務資通系統之維運 (B)業務涉及公務機關捐助、資助或研發之國家核心科技資訊之安全維護及管理 (C)業務涉及區域性民眾服務資通系統之維運 (D)機關無資通系統
42. 下列何者為資訊安全管理制度(ISMS)的核心作業？ (A)員工個資保護及實體安全 (B)持績營運作業 (C)風險管理 (D)系統開發維護零錯誤
43. 下列何者為異地備援之主要目的？ (A)改善系統備份作業流程 (B)降低資料傳輸延遲 (C)避免單一地理環境災難影響 (D)提高系統即時效能
44. 下列何種標準是針對雲端服務個人隱私資料之保護？ (A) ISO/IEC 27001 (B) ISO/IEC 27002 (C) ISO/IEC 27017 (D) ISO/IEC 27018
45. 個人資料保護規範一般資料保護規則(GDPR)，發生個人資料外洩事件，資料控制者通知主管 機關之時限為何？ (A) 24小時內 (B) 36小時內 (C) 48小時內 (D) 72小時內
46. 公務機關對所屬資通安全專職人員進行適任性查核，經查核認定有不適任情事時，該機關應 採取下列何種處置？ (A)立即送交主管機關進行懲處 (B)立即終止其專職人員資格，並禁止其辦理任何資通安全業務 (C)應予解職或調離職務 (D)不得辦理涉及國家機密、軍事機密及國防秘密之資通安全業務
47. 某特定非公務機關經上級核定為資通安全責任等級A級，此機關針對全部核心資通系統，弱 點掃描辦理頻率為何？ (A)每年辦理2次 (B)每年辦理1次 (C)每2年辦理1次 (D)每3年辦理1次
48. 下列何者非屬特種個資？ (A)病歷 (B)指紋 (C)健康檢查 (D)基因
49. 某公務機關其核心資通系統發生第一級資通安全事件時，此機關應於幾小時內完成損害控制 或復原作業？ (A) 1小時 (B) 8小時 (C) 36小時 (D) 72小時
50. 主管機關對所屬機構執行之稽核，稱為下列何者？ (A)第一方稽核 (B)第二方稽核 (C)第三方稽核 (D)聯合稽核
阿摩線上測驗
登入
阿摩線上測驗
登入