臺灣博碩士論文加值系統

資訊時代的來臨，使生活更加有效率，但在便利背後卻潛伏著一項危機—
「資訊安全」。要做好資訊安全必須以資訊安全政策為基礎，而目前資訊安全政
策普遍存在一體適用的情況，常造成不符組織任務需求的情形，故本論文將以
建立「適合的」政策為主軸，希望設計一套資訊安全政策制訂的輔助工具。本
文利用OCTAVE 風險評估方法查覺組織存在的資安風險，進而針對資安風險面
臨之衝擊，期以CNS 27001 之控制措施降低風險，並以此關聯建立資訊安全政
策。

The coming of Information Time makes our lives more convenient、but there’s a
hazard behind it – Information Security.
Sturdy Information Security must be under foundation of Information Security
Policy. However、current Information Security Policy generally exists the situation of
one size fits all、which usually causes the inconsistency for the demand of
organization assignment. Therefore、the Main Scheme of this thesis will be the
installation of 「proper」 policy、and also we hope to design an auxiliary tool to
establish the Information Security Policy. This thesis utilizes OCTAVE risk
assessment method to find out the Information Security risk existing in the
organization、and then、as to the impact that Information Security is confronting、it’s
expected that we can decrease the risk by the controls of CNS 27001、and also to
establish Information Security Policy by this connection.

1. 緒論 1
1.1 研究背景 1
1.2 研究動機 2
1.3 研究目的 3
1.4 研究方法 4
1.5 研究範圍 5
1.6 論文架構 5
2. 文獻探討 6
2.1 專有名詞解釋 6
2.2 資訊安全定義 8
2.3 資訊安全標準 10
2.3.1 ISO 27001:2005的演進 11
2.3.2 資訊安全管理系統與ISO 27001:2005 12
2.4 資訊安全風險 16
2.5 OCTAVE方法 19
2.6 資訊安全政策 21
3. 結合OCTAVE及CNS 27001建立資安政策 23
3.1 資安政策制訂程序 23
3.2 確認風險 24
3.3 建立政策 32
3.3.1 決定風險處置措施 32
3.3.2 製作政策項目對應表 33
3.3.3 制訂資訊安全政策 42
4. 案例實作 69
4.1 案例說明 69
4.2 制訂流程 72
4.3 政策產出 78
5. 結論與未來展望 89
參考文獻 90
附錄 92
自傳 125

[1] http://books.sina.com.tw/article/20090310/1474862.html。
[2] http://www.dgbas.gov.tw/ct.asp?xItem=9022&ctNode=418。
[3]資安人編輯部，「打贏一場無形戰爭」，資安人雜誌，第60期，第38頁，2009。
[4] http://report.mnd.gov.tw/95/。
[5] ISO、ISO /IEC 27001 Information technology - Security techniques - Information security management systems - Requirements、ISO、U.S.A.、pp. 1-33、2005.
[6]經濟部標準檢驗局，CNS27001 資訊技術-安全技術-資訊安全管理系統-要求事項，經濟部標準檢驗局，台灣，第1-32頁，2006。
[7]劉中宇，「資訊安全模型及風險管理」，國軍資安長專題演講，桃園，第8-10頁，2006。
[8]葉俊良，「以OCTAVE為基礎之量化風險評估系統研究」，碩士論文，國立國防大學中正理工學院電子工程研究所，桃園，第1-60頁，2007。
[9] http://mail.im.tku.edu.tw/~yantsung/is.ppt。
[10] ISO、ISO/IEC 27002 Information technology - Security techniques – Code of practice for information security management、ISO、U.S.A、pp. 1-115、2005.
[11]經濟部標準檢驗局，CNS27002 資訊技術-安全技術-資訊安全管理之作業規範，經濟部標準檢驗局，台灣，第1-103頁，2007。
[12]黃明達、曾淑惠，「以BS7799為基礎評估銀行業的資訊安全環境」，資訊管理展望，第五卷，第二期，第31-50頁，2003。
[13] http://www.narl.org.tw/tw/topic/topic.php?topic_id=19。
[14]謝惠玲，「資訊安全機制規劃及建置之現況調查與分析—以國內大學校園系統為例」，碩士論文，靜宜大學資訊管理研究所碩士班，台中，第1-25頁，1997。
[15]王俊雄、林宜隆，「警政資通安全現況分析及管理政策之研究」，Journal Of Information、Technology And Society、第13-26頁、2002。
[16]李慧蘭，「國際資訊安全標準ISO 27001之網路架構設計—以國網中心為例探討風險管理」，TANET 2006台灣網際網路研討會論文集，花蓮，第1-6頁，2006。
[17]簡立，「結合OCTAVE方法與NESSUS工具進行電腦主機資安風險評估之研究」，碩士論文，國立國防大學中正理工學院電子工程研究所，桃園，第9-17頁，2007。
[18]行政院科技顧問組，2008資通安全政策白皮書，行政院科技顧問組，台灣，第1頁，2008。
[19] Christopher J. Alberts and、Audrey J. Dorofee、Julia H. Allen、OCTAVESM Catalog of Practices,Version 2.0、CMU、U.S.A.、pp. 3、2001.
[20]吳孟徽，「整合環境風險之入侵警報量化評估」，碩士論文，中原大學資訊工程研究所，桃園，第16-18頁，2004。
[21] Christopher Alberts and、Audrey Dorofee、Managing Information Security Risk The OCTAVE Approach、Addison Wesley、U.S.A.、pp. 112-113、2003.
[22] 財團法人資訊工業策進會，行政院及所屬各機關資訊安全管理規範，行政院研究發展考核委員會，台灣，第1-94頁，2006。