臺灣博碩士論文加值系統

資訊科技的發展，除了改善人們的生活，也產生了前所未有的資訊安全事件肇生的問題。資訊安全事件肇生的問題往往因為涉及的範圍廣泛，而無法即時找出成因，造成嚴重的威脅與損失，即使有高科技設備或一堆系統稽核紀錄，必須以人工檢查方式透過稽核表逐項檢查分析，或是經由個人經驗傳授的方式，求取問題解決的方法，無法適時建構一個知識管理與分享的系統，協助提供案件資料庫快速且有效的諮詢。
由於案例推理(Case-Based Reasoning, CBR)是利用發生過的事件，找出相同或相似度較高的經驗，進而比較目標與來源事件間的相同與差異之處，來找出適於解決目標問題的方案，在邏輯上和人們平常思考的模式一致性。所以，本研究將其應用在組織資訊安全事件肇生時，立即找出資訊安全應達成而未達成之ISO27001控制措施的項目。關於資訊安全事件肇生的相關經驗，轉換成可以分享與管理的知識，來改善資訊安全事件緊急應變處理和經驗傳承與分享不足的現象。
本研究使用案例推理工具CBR-Works來進行案例推理，並採用網頁介面的資訊系統，將過去資訊安全事件應變處理的經驗，建立案例資料庫，讓資訊安全人員在面對複雜多變的目標案例時，再經由來源案例，迅速找到正確解決問題的方案。本研究設計之系統，經以實際收集彙整的資訊安全事件，以及國內外新聞或網站中曾公開的資訊安全事件為來源案例，輸入系統實作結果，確時能及時、有效地提供資訊安全人員理解該案例違反ISO27001那些控制項目，以改善資訊安全事件防禦的效能。

關鍵詞：資訊安全事件、ISO27001、案例推理。

The development of information technology on one hand improves human life; on the other hand it causes tremendous issues of information security events. The problems behind the occurrence of information security events are difficult to identify as they span a wide scope, as a result, the damage and loss are huge. Even if there is high-tech facility or system audit table to analyze each item; or in other cases, problems are solved by personal experience; a systematic knowledge management and sharing system is not in place to provide the rapid and efficient inquiry of the case database.
As Case-Based Reasoning (CBR) uses the historic events to find out the similar experiences and to compare the similarities and differences between the target and source events in order to explore the solutions to the problems, its logic is consistent with the normal thinking logic of people. Hence, this research applies CBR while organizing information security events to find out the control items of the information security that do not meet ISO27001. By translating the experiences of the occurrence of information security events into shareble and manageable knowledge, the lacking of information sharing and experiences inheritance in the emergency handling of information security event can be improved.
This research uses CBR-Works to conduct the case reasoning. Also it establishes a case database of the past information security events handling experiences and adopts webpage interface information system to allow the information security staff to rapidly find out the correct solution to solve the problems when facing complex and varied target cases. The system designed by this research collects local and foreign information security events published on the news or websites to timely and efficiently provide the control items of the cases that violate ISO27001 to the information security staff in order to improve the efficiency of the information security event prevention.

Keywords：Information security event, ISO27001, Case-Based Reasoning.

目 錄


誌謝 I
摘要 Ⅱ
ABSTRACT Ⅲ
目錄 Ⅳ
表錄 Ⅵ
圖錄 Ⅶ
符號說明 Ⅸ
一、緒論 1
1.1研究背景 1
1.2研究動機與目的 4
1.3研究流程 6
1.4研究架構 6
1.5研究範圍與限制 8
二、文獻探討 12
2.1資訊安全介紹 12
2.1.1資訊安全定義 13
2.1.2資訊安全目標 15
2.1.3資訊安全弱點與威脅 15
2.1.4資訊安全的事件種類 17
2.1.5資訊安全管理系統 19
2.1.6資訊安全標準與規範 20
2.2 IS027001介紹 29
2.2.1 IS027001資訊安全之管理模型 30
2.2.2 IS027001資訊安全管理之要求 30
2.2.3 IS027001資訊安全之控制措施法 32
2.3現今資安事件肇生時檢核作法與困擾 34
2.3.1資安事件肇生時檢核作法 35
2.3.2資安事件困擾 36
2.4案例推理之結構 37
2.4.1案例推理之架構 38
2.4.2案例推理之發展與應用 41
三、研究設計 51
3.1系統模型架構 51
3.1.1系統模型 52
3.1.2系統介面工具 52
3.2相似度計算與比對 53
3.2.1權重值計算 53
3.2.2定量資料相似度計算 54
3.2.3定性資料相似度計算 55
3.2.4總相似度計算 55
3.2.5案例相似度比對 56
3.3系統輸入與輸出 57
3.4案例分析 57
3.5資訊安全事件違反ISO27001控制措施 58
四、案例實作 66
4.1實際案例蒐整與分析 66
4.2建立資訊安全事件CBR模型 70
4.2.1建立案例資料庫 70
4.2.2設定資料型態與屬性範圍 71
4.2.3輸入案例資料 71
4.3案例資料查詢 71
4.4系統效能評量 73
五、結論 84
5.1研究結論與貢獻 84
5.2未來發展方向 85
參考文獻 87
附錄一 91
簡歷 99

參考文獻
一、中文資料
[1]王寶毅、張寶生、費沿光、趙日昇，「基於案例推理的鑽井複雜情況專家系統」，中國石油大學學報，第29卷，第6期，2005年12月。
[2]林宜隆、陳昱安，「我國網路犯罪現況分析-以刑事局破獲案例為例」，2007年第九屆網際空間：資安、犯罪與法律社會學術研究暨實務研討會論文集，台北市，民國96年11月。
[3]張偉斌、吳振龍、紀櫻珍、黃育文、劉德明，「案例推理法增進乳癌診斷率」，北市醫學雜誌，民國95年11月。
[4]吳文進，「政府機關資訊安全管理實務初探」，清流月刊，法務部調查局，民國95年12月。
[5]吳瑞明，「系統安全與防護措施」，資訊與教育雜誌，民國83年。
[6]陳同孝，「資訊安全中道德教育問題之研究」，勤益學報，13期，民國85年。
[7]賴溪松，「數位浮水印的技術」，資訊安全通訊，第4卷，第3期，民國87年1月。
[8]蔡澄南、李至欽、李炯三「淺談資訊安全之概念」，Winnet 倚天雜誌，第119期，民國87年1月。
[9]鄭漢垣、張鹿，「基於案例推理系統的研究探討」，中國龍岩學院學報，第23卷，第6期，2005年12月。
[10]傅玉、張存祿、黃培清、駱建文，「基於案例推理的供應鏈風險評估方法」，預測期刊，第24卷，第1期，2005年1月。
[11]曾紀剛、徐洁玉，「基於案例推理設計教學案例知識管理系統」，桂林航天工業高等專科學校學報，第4期，2005年。
[12]王熙松、劉述舜、張睦雄、梁樾，「案例式推理應用於山區公路邊坡整治決策模式之研究」，台灣公路工程期刊，第32卷，第四期，民國96年。
[13]樊國楨、徐鈺宗、楊仲英、李孝詩，「美國聯邦政府資訊安全管理系統稽核作業與相關標準初探」，資訊管理研究期刊，第四期，頁35-58，民國93年10月。
[14]陳俊德、黃振溢，「應用案例式推論於資訊安全事件關聯分析之研究」，2007年數位科技與創新管理研討會論文集，華梵大學，民國96年5月。
[15]何文達，「校園意外事件處理程序之案例推理研究」，東華大學教育研究所碩士論文，民國91年6月。
[16]華國祥，「案例式推理與專家系統在犯罪偵查之研究-以海巡犯罪偵防為例」，中國文化大學資訊管理研究所碩士論文，民國95年6月。
[17]魏國章，「以案例式推理作創投之投資決策評估系統」，國立成功大學工業管理科學研究所碩士論文，民國92年6月。
[18]林明琴，「行銷計畫案例式推理系統之設計與建置」，朝陽科技大學資訊管理系碩士論文，民國92年6月。
[19]郭家齊，「整合資料探勘與案例式推論於機台故障診斷」，國立雲林科技大學碩士論文，民國93年6月。
[20]祁宏偉，「應用案例推理於網路犯罪案件偵防之研究」，華梵大學資管理學系碩士論文，民國97年6月。
[21]吳玲玲，「政府機構資訊安全防護概況」調查報告，行政院主計處，民國96年7月2日。
[22]「趨勢科技2008年資安威脅摘要暨2009年資安趨勢預測」，趨勢科技，2008年。
[23]「網路安全威脅研究報告第14期」，賽門鐵克公司，2009年4月。
[24]「資安風險檢查表標準IT基準安全防護手冊」，中華民國資訊軟體協會，民國96年06月12日。
[25]王旭正、高大宇、ICCL-資訊密碼暨建構實驗室，資訊安全-網際網路安全與數位鑑識科學，博碩文化股份有限公司，民國96年1月。
[26]謝清佳、吳琮璠，資訊管理–理論與實務，智勝文化事業公司，民國92年2月。
[27]「行政院及所屬各機關資訊安全管理要點」，行政院，民國88年9月15日。
[28]張憶玲，「IBM 租賃模式可增加七成中小企業e 化意願」，電子時報，民國94年11月15日。
[29]蔡淑芬，「資訊安全系統企業競爭利器」，工商時報－資訊安全專輯，A14，2008年4月29日。
[30]萬幼筠、蘇啟中，「資訊安全的下一張認證」，Deloitte & Touche，2007年2月06日。
[31]「國內外資訊安全風險管理的動態與趨勢」，DOIT傳媒，2007年12月07日。
[32]「國內資訊安全設備產值」，資訊安全人，第卅期，第 14頁，民國95年5月。

二、英文資料
[33]A. Aamodt, E. Plaza, “Case-Based Reasoning: Foundational Issues, Methodological Variations, and System Approaches”. AI Communications. IOS Press, Vol. 7: 1, 1994
[34]Schneider, Eugene C., Gregory W. Therkalsen, “How Secure Are Your System?” Avenues To Automation, November 1990, :pp 68-72.
[35]Burger, Robert H., “Information Policy: A Framework for Evaluation and Policy Research”, 1993.
[36]Kolodner,J., “Case-base Reasoning”,San Manteo, Morgan Press, CA, 1999.
[37]Martin, S., “Case-based Reasoning and Software Engineering”.
[38]Suneela R. Joshi and William W. McMillan, “Case Based Reasoning Approach to Creating User Interface Components”.
[39]N P Patidar and Jaydev Sharma, “Case-Based Reasoning Approach to Voltage Security Assessment of Power Systems”.
[40]German Institute for Standardization, IT Baseline Protection Manual, October 2003.
[41]Office of Management and Budget,Federal Information Security Management Act (TITLE III—Information Security), December 2002.
[42]Office of Management and Budget, NIST special publication 800 serials, NIST SP800 Serial publication.
[43]ISO/IEC FDIS 17799：2005(E) Infrmation technology －Security techniques －Code of practice for information security management, February 2006.
[44]BSI, “Information security management – Part2：Specification for information security management systems”, BS7799-2:1999.
[45]BSI, ”BS 7799/ISO 27001 Auditor/Lead Auditor Training Course”, 2006
[46]J. L. Kolodner, “Case-Based Reasoning”, Morgan Kaufamann Publishers ,California , US,1993.
[47]Jeng, B.C. and Liang, T.P., “Fuzzy Indexing and Retrieval in Case-based Systems” , The First Pan Pacific Conference on Info. Systems, Kaohsiung, Taiwan, 1995.
[48]Montazemi, A.R. and Gupta, K.M., “An Adaptive Agent for Case Description in Diagnostic CBR Systems”, Computers in Industry, Vol. 29, 1996.
[49]Min Soo Suh, Won Chul Jhee, Young Kwan Ko, Albert Lee. “A case-based expert system approach for quality design[J]. Expert Systems With Applications”, 1998.
[50]J. M. Garrell i Guiu, E. Golobardes i Ribé, E. Bernadó i Mansilla, and X. Llorá i Fábrega, “Automatic Diagnosis with Genetic Algorithms and Case-Based Reasoning”, 1999.
[51]Luftman, J. N. “Applying the strategic Alignment Model＂ in Luftman, Competing in Information Age New York:Oxford University Press, 1996.

三、網路資料
[52]http://www.yujie.org.cn/iso.php/iso27000/show?id=648截取時間2009年6月21日
[53]http://www.ul.com.tw/news_nl/2006-Issue17/page6.htm截取時間2009年6月21日