臺灣博碩士論文加值系統

摘 要

近年來國防洩密情事頻傳，資訊安全事件不斷發生，分析事件單位面對安全威脅無法防禦的主要原因是防禦方式只有單點運作，缺乏全面的整體防線，部份有心人士運用日新月異的網路科技、進行各種滲透、破壞及竊密行為，已到了所謂無孔不入的地步，網路安全已儼然是網路世代的高科技攻防戰，國軍肩負國防安全的第一線，資通安全相對重要，如何有效建置資訊安全管理系統是目前軍事機構單位不容忽視，且必須面臨的課題。ISO 27001為目前國際公認最完整之資訊安全管理標準。本研究以通過ISO 27001認證之軍事機構個案單位為研究對象，以深度訪談為主、其他相關資訊安全文件及取得ISO 27001認證學術文獻資料為輔，探討軍事機構取得ISO 27001認證之階段性關鍵成功因素。
本研究結果發現：
一、策劃、組織與教育訓練階段：
其比較重要之關鍵成功因素為＜高階主管支持與承諾＞、＜企業安全政策、目標、活動的明確化＞、＜專案領導者＞、＜合適的資訊安全輔導顧問＞等四項。
二、文件製作及系統評估階段：
其比較重要之關鍵成功因素為＜高階主管支持與承諾＞、＜合適的資訊安全輔導顧問＞、＜資訊化程度＞等三項。
三、試行、內部稽核與缺失改善階段：
其比較重要之關鍵成功因素為＜高階主管支持與承諾＞、＜員工對資訊安全、風險評估、風險管理認同感及了解與接受度＞、＜不斷稽核與矯正＞、＜輔以員工適當的資訊安全教育訓練＞等四項。
四、驗證與頒證階段：
其比較重要之關鍵成功因素為＜高階主管支持與承諾＞、＜需能配合顧問公司的建議＞、＜合適的資訊安全輔導顧問＞、＜不斷稽核與矯正＞等四項。
五、持續改善階段：
其比較重要之關鍵成功因素為＜高階主管支持與承諾＞、＜企業安全政策、目標、活動的明確化＞、＜合適的資訊安全輔導顧問＞等三項。
受限於能力及時間，本研究只針對該個案單位進行研究，希望此項研究結果能提供其他軍事機構做為取得ISO 27001認證參考依據，有效且順利的建置符合國際標準的資訊安全環境，事先防範資安事故的發生，確保國防資訊安全，國家機密才能真正滴水不漏，使敵人無可乘之機。


關鍵字：ISO 27001、關鍵成功因素

ABSTRACT

In recent years, the blabbing secret of national defense occurred frequently, the accident of information security found constantly. The principal cause why department, which made the fault, unable to prevent from those threat is that the protection was executed singly. Where locks a whole plan to protect.
Someone who use the fast changing technology, Internet, to penetrate department, to damage information, and to steal secret. Those actions has been all-pervasive doing. Security of internet has become a battle of high-tech of internet generation. Military is the front of national security. So that security of information and communication was more important. In military, it cannot be ignored or evaded that how to set up an effective system, which was use to manage information and communication. ISO 27001 is the most complete information security management standards that was recognized by internationally. In this research, department of military, which is adopted certification of ISO 27001, was object of study. This thesis takes depth interview as major; documents of information security and literatures of ISO 27001 certification as subordinate for studying the key factors which influence the military department to adopt certification from ISO 27001.
In this study, we found the key factors for adopting certification in five stages:
Planning, educating, and training
The key factors are <high-order executive support and not promise>, <enterprise safe policies, goals, activities make clear>, <special project leader>, and <last advisor suitable information safety >.
Pondering of system and producing of documents
The key factors are <high-order executive support and not promise>, <suitable information safety last advisor>, and <degree not information-based >.
Trying, inner checking, and faults amending
The key factors are <high-order executive support and not promise>, <the staff are safe to information, and can't understand it assess risk, risk management acceptance and it accept it degree>, <audit and correct constantly>, and <complement by staff proper information safety education and training >.
Verifying and certification awarding
The key factors are <high-order executive support and not promise>, <is it can cooperate with suggestion of consultant firm to need>, coach a advisor by suitable information safety, and <are audit and correct constantly >.
Verifying constantly
The key factors are <high-order executive support and not promise>, it is safe in <enterprise policy, goal, activity make clear>, and <last advisor suitable information safety >.
It is for the reasons of limited time and inadequate resource that the object of study was chosen only one. The results of this research are able to be referred for the military agencies who want to obtain the certification of ISO 27001. The results also help to setup a safe information of environment which satisfied international standard. The final aim of this research is to guard against the accident of security information, to assure the safety of national defense information, and to destroy the opportunity of enemy attack.


Keyword：ISO 27001, Key Succeed

目 錄
摘 要 I
ABSTRACT III
誌 謝 V
目 錄 VI
圖 目 錄 VIII
表 目 錄 IX
1. 緒論 1
1.1 研究背景與動機 1
1.2 研究目的 2
1.3 研究流程 2
1.4 研究範圍 4
2. 文獻探討 5
2.1 軍事機構與民營企業的差異性 5
2.2 軍事機構資訊安全現況 7
2.3 BS 7799及ISO 27001 11
2.4 資訊安全管理系統概述 16
2.5 取得ISO 27001認證之成功因素分析 18
2.6 取得ISO 27001認證之階段性步驟 23
2.7 取得ISO 27001認證之階段性成功因素初步分類 24
3. 研究方法 27
3.1 研究架構 27
3.2 研究方法 29
3.3 研究步驟 30
3.3.1 個案選擇 30
3.3.2 資料來源 31
3.3.3 訪談設計 31
3.3.4 研究進行方式 33
3.3.5 資料分析 33
4. 資料分析與結果 35
4.1 個案介紹 35
4.1.1 個案背景 35
4.1.2 個案取得 ISO 27001認證動機與目的 37
4.1.3 個案接受輔導認證之階段工作 37
4.1.4 個案獲證後之結果 39
4.2 資料分析 41
4.2.1 策劃、組織與教育訓練階段 41
4.2.2 文件製作及系統評估階段 44
4.2.3 試行、內部稽核與缺失改善階段 46
4.2.4 驗證與頒證階段 49
4.2.5 持續改善階段 51
4.3 分析結果 53
4.3.1 各階段之比較重要關鍵成功因素 54
4.3.2 關鍵成功因素對各階段之影響 56
4.3.3 各階段之執行情形 58
5. 結論與建議 60
5.1 結論 60
5.2 研究現制 61
5.3 後續研究建議 61
參考文獻 63
附錄一：檔案資料 66
附錄二：訪談紀錄 68

圖 目 錄
圖1-1 研究流程圖 3
圖2-1 軍事機構最受困擾的資安問題 9
圖3-1 研究架構 28
圖3-2 研究步驟 30
圖4-1 個案組織架構圖 36
圖4-2 個案專案編組表 37
圖4-3 個案輔導認證步驟 38





表 目 錄
表2-1 軍事機構、民營企業差異比較表 6
表2-2 國軍資訊安全相關法規綜合整理一覽表 8
表2-3 資訊安全威脅之類別整理一覽 10
表2-4 BS 7799及ISO 27001之歷史沿革 12
表2-5 各國通過BS 7799 以及ISO 27001 之認證數[29] 13
表2-6 ISO 27001的 11 大管理領域 14
表2-7 資訊安全範圍表 17
表2-8 關鍵成功因素定義整理 19
表2-9取得 ISO 27001認證之成功因素依文獻研究彙整 22
表2-10取得 ISO 27001認證每階段之作業內容 24
表2-11 取得 ISO 27001認證每階段之成功因素初步分類 25
表3-1 訪談對象簡介 32
表4-1 策劃 組織與教育訓練階段 43
表4-2 文件製作及系統評估階段 45
表4-3 試行、內部稽核與缺失改善階段 48
表4-4 驗證與頒證階段 50
表4-5 持續改善階段 52
表4-6 各階段之比較重要關鍵成功因素 55
表4-7 關鍵成功因素對各階段之影響 57
表4-8 各階段之執行情形 59

參考文獻
中文部分
1.林翠娥 程毓明 鄭進興，國軍人員資訊安全素養之評量與分析，2006
2.官志高，公務機構ERP系統導入模式架構之研究-以中科院第一研究所為例，逢甲大學工業工程研究所碩士論文，2003
3.陳振楠，資安的認知與態度，2008
4.羅慧真，政府研究機構資通安全系統架構之研究-以某政府研究機構為例，2008
5.方鴻春，企業建置資訊安全管理系統（ISMS）之平衡績效指標研究-以個案單位為例，國立台灣科技大學工業管理系碩士學位論文，2004
6.虞金燕，我國資訊安全市場發展現況與趨勢(上)，2001
7.資策會MIC 經濟部IT IS計畫，2001
8.王凱，資安人科技網 管理安全新聞，2003
9.王凱，資訊安全市場發展現況與趨勢，2004
10.蔡登輝，銀行資訊中心災害備援關鍵成功因素之研究，2007
11.大前研一著、黃宏義譯，策略家的智慧，台北長河出版社，1985 年。
12.吳思華，產業政策與企業策略-台灣產業發展歷程，中國經濟企業研究所，頁1-416，1988 年。
13.吳青松，台灣資訊電子關鍵成功因素之探討，科技體制與產業發展小型研討會，頁3，1992 年。
14.黃營杉，企業政策，空中大學出版中心，1996 年。
15.蕭源林，化學產業高值化研發部門創新管理關鍵成功因素之研究，中山大學高階經營碩士班碩士論文，2005 年。
16.楊坤煌，記憶體模組產業經營關鍵成功因素之研究-以創見資訊為例，龍華科技大學商學與管理學系碩士論文，2005 年。
17.張士龍，政府部門導入ISO 27001 關鍵成功因素之研究，2006
18.曹惠琴，企業導入BS 7799 之關鍵成功因素，2005
19.陳信章，服務業推動BS 7799認證關鍵因素之研究，2003
20.蘇耿弘，以BS 7799為基礎探討石化產業導入資訊安全管理機制之關鍵因素，2002
21.李仁暉，台灣金融業導入資訊安全管理系統關鍵成功因素研究-以A金控為例，2007
22.鄧永基，BS 7799 part 1 and part 2 -1999，台北：BSI Pacific 台灣分公司，2002年5月
23.萬幼筠，企業的網路安全與風險評估，會計研究月刊，第184期，2001
24.任善隆，電算中心簡報，2007
25.廖健智，資訊安全之風險管理及評估-以BS 7799為例，2007
26.吳琮璠，資訊管理個案研究方法，資訊管理學報，第四卷，第一期，第7-11頁，1997
27.劉聰翰，企業導入ERP 系統階段性關鍵成功因素之研究，2002。
英文部分
28.Ansoff, H. I., “Strategic Management,” Wiley, 1979
29.Atses Website, ﹝Online﹞Available: http://www.ISO27001certificates.com/Register%20Search.htm，2007
30.Barnard, C. S., “Farm Planning and Control,” New York, Camridge, 1976.
31.Benbasat, I., Goldstein, D.K., and Mead, M. (1987). The Case Research Strategy in Studies of Information Systems, MIS Quarterly, September, pp. 339-386. This assignment is based in part on material found in this article.
32.Boynton, A. C., and Zmud, R. W., “An Assessment of Critical Success Factors,” Sloan Management Review, pp.17-27, 1984.
33.BSI（1999）, “Information security management-Part 1：Code of practice for information security management,” BS 7799-1, BSI（British Standard Institution）, 1999
34.Daniel, Ronald D. “Management Information Crisis,”Harvard Business Review, P.111, September 1961.
35.David A. Aaker, “Strategic market management,” Wiley, 1984.
36.IBM Redbooks, “Seven Tiers of Disaster Recovery,” IBM TotalStorageSolutions for Disaster Recovery, SG24-6547, IBM, http://www.redbooks.ibm.com/abstracts/tips0340.html?Open, 2003.
37.Jorge, Vasconcellos, “The Impact Key Success Factors on CompanyPerformance,” Long Range Planning, pp. 61-62, 1988.
38.Leidecker, J. K., and Bruno, A. V., “Indentifying and Using Critical SuccessFactor,” Long Range Planning, p. 26, 1984.
39.National Fire Protection Association (NFPA), NFPA 1600, NFPA 1600, 2000.
40.Yin, R. K. (1984). Case Study Research, Design and Methods. Sage Publications, Beverly Hills: CA. This assignment is based in part on material found in this article.