臺灣博碩士論文加值系統

本研究之目的在於運用貝氏模氏建構之資訊安全風險因子評估指標，結合資安專家觀點與企業關注議題，找出企業推動資訊安全工作之關鍵指標，協助進行資訊安全風險評估，讓企業更能深入了解企業資訊安全狀況，進而做好資訊安全相關決策。採用專家訪談(expert interview)與德爾菲專家問卷(Delphi Method)將資訊安全風險因子分成五大類，二十九項風險指標，運用貝氏理論(Bayesian Theory)建構評估指標與模式，計算資訊安全分數，發現前五大關鍵指標為高階主管支持與配合、阻擋與偵測蠕蟲病毒間碟程式的攻擊、已知駭客的攻擊手法進行防護措施、資安設備(資安軟體)符合需求、落實系統使用權限控管與密碼金鑰之管理。最後以相關性分析驗證了此評估模式之效度。

The goal of this research lies in application of construction of Bayesian Risk Factors Assessment Index on Information Security. Here, to integrate the viewpoints of the peaceful experts and the subjects that enterprises mainly pay attention to, and find out the key indicator that enterprises wish to promote their trouble-free service, then assist to help evaluate the security risk appraisal to enable the enterprises deeply realize the safe condition about their information, and complete themselves the information safe related decision-making. Adopt the expert interview and Delphi Method to divide the information security risk factors into 5 broad headings and 29 risk indicators. Based on Bayesian Theory, construct the appraisal targets and the patterns, and calculate the scores of the information security. There are first five important key indicators appeared, the higher level manager support and coordinate, the impediment and the detection between worm virus and the small dish program''s attack, the known hacker''s attack technique to carry on the protective measure, the information security equipment (information security software) to meet the demand, and fulfill the well-control management of the system using right and the gold key-password. Finally, the relevant analysis has confirmed validity of this appraisal pattern.

書名頁 ………………………………………………………………… i
論文口試委員審定書 ………………………………………………… ii
授權書 ……………………………………………………………… iii
中文摘要 ……………………………………………………………… iv
英文摘要 ……………………………………………………………… v
誌謝 …………………………………………………………………… vi
目錄 …………………………………………………………………… vii
表目錄 ………………………………………………………………… ix
圖目錄 ………………………………………………………………… x
第一章 緒論 …………………………………………………… 1
第一節、研究背景 ……………………………………………… 1
第二節、研究動機與目的 ……………………………………… 3
壹、研究動機 ……………………………………………… 3
貳、研究目的 ……………………………………………… 4
第三節、研究流程 ……………………………………………… 5
第二章 文獻探討 ……………………………………………… 6
第一節、資訊安全定義 ………………………………………… 6
第二節、資訊安全相關法規 …………………………………… 6
壹、國際組織隱私資料保護法規 ………………………… 6
貳、我國隱私資料保護相關法規 ………………………… 8
第三節、網路犯罪攻擊之探討 ………………………………… 10
壹、網路犯罪 ……………………………………………… 10
貳、社交攻擊 ……………………………………………… 12
第四節、企業資料外洩 ………………………………………… 14
第五節、資訊安全管理認證 …………………………………… 15
壹、資安管理標準統一為ISO 27000系列 ……………… 15
貳、ISO/IEC 27001………………………………………… 16
參、ISO/IEC 27799………………………………………… 16
肆、德國 ITBPM …………………………………………… 18
第六節、貝氏理論 ……………………………………………… 19
第三章 研究方法與設計 ……………………………………… 20
第一節、研究架構 ……………………………………………… 20
第二節、研究方法與研究步驟 ………………………………… 21
第三節、貝氏模式推導 ………………………………………… 22
第四章 研究結果 ……………………………………………… 24
第一節、專家訪談實施與結果 ………………………………… 24
壹、德爾菲法（Delphi method）專家問卷設計………… 26
貳、組成德爾菲專家小組與問卷結果分析 ……………… 28
第二節、貝氏模式建立實施與結果 …………………………… 34
第三節、驗證問卷實施與結果 ………………………………… 37
壹、模式結果與現行狀況比較(問卷回收狀況) ………… 37
貳、模式驗證結果 ………………………………………… 38
參、評估指標與有無ISO 27001進行卡方檢定結果 …… 38
肆、評估指標排名執行率比較 …………………………… 40
第五章 結論與建議 …………………………………………… 42
第一節、研究結論 ……………………………………………… 42
第二節、研究貢獻 ……………………………………………… 43
第三節、研究限制與未來研究建議…………………………… 44

參考文獻 …………………………………………………………… 45
附錄一 專家問卷………………………………………………… 48
附錄二 第一階段專家訪談風險因子…………………………… 50
附錄三 資安問卷-減少資安事件發生之影響程度 …………… 52
附錄四 資安問卷-增加資安事件發生之影響程度 …………… 54
附錄五 減少資安事件發生資安之專家權重…………………… 56
附錄六 增加資安事件發生資安之專家權重…………………… 57
附錄七 驗證問卷回收資料……………………………………… 58
附錄八 卡方檢定資料…………………………………………… 59

1. IT INFORMATION SECURITY 之TW網站淪陷資料庫，網址: http://www.itis.tw/compromised
2. 趨勢科技2008 年資安威脅摘要暨2009年資安趨勢預測報告，網址: http://www.trendmicro.com.tw/ pr/2009/2009ThreatForcast.pdf
3. iThome，「調查：2008年每筆資料外洩成本為202美元」，網址 http://www.ithome.com.tw/itadm/article.php?c=53235
4. 中華民國資訊軟體協會，德國ITBPM資安風險檢查表，民國96年5月
5. 法務部，電腦處理個人資料保護法修正草案總說明
6. 行政院衛生署電子病歷資訊安全強化案，醫事人員資訊安全認知(民國98年)。
7. 行政院國家資通安全會報技術服務中心，資通安全法律案例宣導彙編第6輯【97年12月編印】
8. 資策會MIC報告，「安全第一:探索資安市場新動向」，民國97年11月。
9. Trend Micro Expert Service Offering - HelpDesk Center 2008/12/8
10.邱瑩青，中小型企業客製化資安維護系列專輯 之四- 社交工程(2006/6/5)
11. iThome，「資安管理標準一統為ISO 27000系列」，網址http://www.ithome.com.tw/itadm/article.php?c=46297
12.樊國楨、黃健銘、"醫療產業資訊安全管理系統初探"、資訊安全通訊
第14卷3 期、pp.3-24, 2008/07
13.樊國楨、"資訊安全管理系統標準系列及其教育訓練的回顧與前瞻"、資訊安全通訊、第14卷3期、pp.25-44,2008/07。•
14.蔣雅禎，「貝氏統計模式架構之門診病患選科決策輔助」，元智大學，碩士論文，民國94年
15.江鴻屏，「運用貝氏模式建構慢性下背痛風險評估系統」，元智大學，碩士論文，民國93年
16.金秋華，「運用貝氏理論評估腦瘤病患症狀之診斷率」，元智大學，碩士論文，民國94年
17.謝秀芳，「以貝氏模式建構之軟體開發品質評估指標」，元智大學，碩士論文，民國88年
18.國家資通安全會報技術服務中心，入侵偵測預防系統安全參考指引V1(96/05)
19.國家資通安全會報技術服務中心，作業系統安全參考指引(96/05)
20.國家資通安全會報技術服務中心，資訊系統風險評鑑參考指引(97/02)
21.國家資通安全會報技術服務中心，電子資料保護參考指引(97/02)
22.國家資通安全會報技術服務中心，電子郵件安全參考指引(97/02)
23.經濟部標準檢驗局、資訊技術-安全技術-資訊安全管理系統-作業規範，CNS 17799:2006。
24.林宜隆，葉家銘，論述ISMS 資訊安全管理系統發展網路犯罪預策略的新方法，2008
25.國家資通安全會報技術服務中心，「個人隱私系列之五 個人隱私資料保護與實務建議」，2009
26. D H Gustafson, F Sainfort, S W Johnson, and M Sateia, “Measuring quality of care in psychiatric emergencies: construction and evaluation of a Bayesian index.”, Health Serv Res. 1993 June; 28(2): 131–158.

27. M.T. Dlamini, J.H.P. Eloff, M.M. Eloff,” Information security: The moving target”, computers & secutiry 28(2009)189-198

28. Theoharidou M, Kokolakis S, Karyda M, Kiountouzis E. The insider threat to information systems and the effectiveness of ISO 17799. Computers and Security 2005;24:472–484.
29. Anderson K. Convergence: a holistic approach to risk management. Network Security 2007;2007(5):4–7. Elsevier.