22.【題組1】若外部供應商攜入電腦，卻無法透過自帶智慧手機上網， 且有使用網際網路需求，身為資安人員，需要對網路架構進行安全規 劃，下列敘述何者正確？
(A)讓外部供應商直接使用公司員工座位區的有線網路上網
(B)讓外部供應商直接使用公司內部無線網路上網
(C)外部供應商電腦使用的網路應與公司內部網路完全隔開
(D)有線網路必須以零信任原則嚴格限制非公司電腦可以接取使用

這題的正確答案是 (C) 外部供應商電腦使用的網路應與公司內部網路完全隔開。

這題必須結合【題組 1】的前情提要來思考。前情提要已經明確指出：該供應商會偷偷使用隨身碟竊取資料並散播病毒。因此，在進行網路安全規劃時，必須將外部供應商的設備視為「高風險源」，採取嚴格的隔離措施。

以下為各選項的詳細原因說明：

答案解析

• (C) 外部供應商電腦使用的網路應與公司內部網路完全隔開

  • 原因：這是最根本且安全的架構設計。 為了滿足外包商的基本上網需求，同時確保公司內部資產安全，最適當的做法是提供一條獨立的訪客網路（Guest Network），或是完全不與公司內部環境相通的實體外線。這樣一來，即使外包商電腦攜帶惡意軟體，病毒也無法橫向移動（Lateral Movement）擴散到公司的核心伺服器與辦公區網路。

其他選項錯誤原因說明

• (A) 讓外部供應商直接使用公司員工座位區的有線網路上網

  • 原因：錯誤。 員工座位區的有線網路通常可以直接存取公司內部的許多內部系統（如 NAS、ERP、印表機等）。讓高風險的外部設備直接插入有線網路，等於直接放行它進入內網（Intranet），病毒會瞬間蔓延，且資料極易被輕易竊取。

• (B) 讓外部供應商直接使用公司內部無線網路上網

  • 原因：錯誤。 與 A 選項相同，公司的內部無線網路（通常使用員工帳密身分驗證）同樣具有存取內網資源的權限。直接讓廠商連入內部 Wi-Fi，會使現有的資安防禦網形同虛設。

• (D) 有線網路必須以零信任原則嚴格限制非公司電腦可以接取使用

  • 原因：觀念正確，但無法解決題目的實際需求。 雖然「限制非公司電腦接取使用（例如透過 802.1X 身分驗證或 MAC 鎖定）」是正確的有線網路安全管理手段，但這樣做的結果是「直接封鎖，讓廠商完全無法上網」。題目明確提到廠商「有使用網際網路需求」，在安全規劃上，我們應該是「提供一條安全隔離的管道（如 C 選項）」，而不是只用限制手段讓其無法工作。因此，(C) 是更完整、更符合題目架構規劃要求的最佳答案。