臺灣博碩士論文加值系統

鑑於機敏軍事單位內部，相繼二次的資訊安全事件對組織所造成的影響，為求資訊安全政策的制訂方向，降低再度發生之機率，本研究採專案風險管理與ISO/IEC 27001資訊安全管理系統規範相結合，使用問卷方式執行風險定性分析，並依機率-衝擊矩陣評估風險辨識項目之風險值，以突顯出機敏軍事單位資訊安全重點。
而在風險回應方面，則採「規避」或「減輕」模式，規劃高風險指標之管控措施，以提供單位管理者、資訊部門人員及使用者參考，也儘可能依標準規範所建議的方式建置資訊作業環境，讓資訊安全等級更加提升，並透過本研究所得知的成果，作為後續導入第三方資訊安全認證之先期準備。

Seeing that two information security events happened in the sensitive military organization successively, this study, which is for preventing other similar events and setting up a direction for policy, combines “Project Risk Management’ and “ISO/IEC 27001”, adopting a questionnaire method to implement risk analysis. This study also indicates important information security points of sensitive military organization according to the probability-impact array.

For “Risk Response Planning”, this study use “Avoidance” and “Mitigation”, which work out control over high risk point, to provide information or suggestion for IT professionals, managers and users. This study constructs an information operating environment on the basis of ISO/IEC 27001 to monitor the information security level, and prepare for the third-party information security authentication.

一、緒論 1
1.1研究動機 1
1.2研究目的 2
1.3研究方法 3
1.4論文架構 3
二、文獻探討 4
2.1資訊安全 4
2.2風險管理 5
2.3資訊安全管理標準 11
三、個案分析 17
3.1違法使用USB儲存媒體 17
3.2違法藉公用筆記型電腦攜出機敏資料 19
3.3事件省思 21
四、研究設計 22
4.1機敏軍事機關資訊安全風險辨識 23
4.2風險定性分析 34
4.3列舉高風險項目 38
4.4風險回應規劃 40
4.5現行資訊安全政策分析 42
五、結論與未來研究方向 47
5.1結論 47
5.2未來研究方向 48
參考文獻 49
附錄一：問卷 50
附錄二：風險統計表 57

1.行政院國家資通安全會報 ，政府機關（構）資訊安全責任等級分級作業施行計畫，民國94年。
2.ISO/IEC 17799:2000(BS 7799-1:2000) Information technology- Code of practice for information security management, ISO/IEC, 2000.
3.ISO/IEC 17799 Information techniques-Security techniques-Code of practice for information security management, ISO/IEC, 2005.
4.CNS 17799資訊技術-資訊安全管理之作業要點，經濟部標準檢驗局，民國91年。
5.駭客入侵之模式及應有之防範作為暨資訊安全管理制度推動，行政院國家資通安全會報技術服務中心，民國93年。
6.美國專案管理學會著，專案管理知識體系導讀指南，熊培霖,蘇佳慧,吳俊德譯，民國91年。
7.趙子毅、郭銳，資訊安全標準與安全技術應用，民國94年。
8.劉智勇，淺談BS7799及其導入步驟，IT Home資安特刊，民國93年。
9.ISO/IEC 27001 Information technology-Security techniques-Information security management systems-Requirements, ISO/IEC, 2005.
10.CNS 17800資訊技術-資訊安全管理系統規範，經濟部標準檢驗局，民國91年。