臺灣博碩士論文加值系統

本研究期望對個案公司綜合試行單位（量販部門）導入ISO 27001之經驗，透過專家訪談及運用層級分析法決定建立資安風險管理制度(Information Security Management System，ISMS)之各風險屬性因素，找出重要因素以期許能對個案企業之其他部門導入作業，提供經驗及建議方向。首先，針對導入ISO 27001之試行單位進行問卷調查，歸納出導入ISO 27001之關鍵因素與評估架構，再經由層級分析法(Analytic Hierarchy Process，AHP）分析各風險因素的相對權重，藉由風險因素之排序探討導入ISO 27001重視度。期望透過本研究之分析結果，作為個案公司其他部門導入資安風險管理制度之決策參考，以提升導入資訊安全管理成效。最後研究歸納出前五大重要風險屬性，分別為「證據之收集」、「用戶密碼管理」、「報告資訊安全性事件」、「組織決策者實際支持」與「網路控管」相關作業，可作為其他部門執行資安風險管理之參考。

This study hope that the case company integrated pilot units (hypermarkets, department) into the experience of ISO 27001, through expert interviews and the use of level analysis to determine the establishment of information security risk management systems (Information Security Management System, ISMS) all risk property factor to identifyimportant factor to the expectations of other departments of the case enterprises import operations, experience and suggestions direction. First of all, for import the ISO 27001 of the pilot unit to conduct the questionnaire survey, summed up the import ISO 27001 of the key factors and assessment framework, and then through the hierarchy analysis method (Analytic Hierarchy Process, AHP) analysis of each risk factor relative the right weight, By the risk factors of sort of exploring the great importance to the degree of ISO 27001. Expectations through the analysis of results of this study, as other departments of the case company to import the information security risk management system of decision-making reference to enhance the import of the effectiveness of information security management. The final study summed up the top five important risk attributes, as "evidence collection", "user password management, report information security incidents, organizational decision-makers practical support and network control operations, as other departments, the implementation of information security risk management reference.

中文摘要 ----------------------------------------------- i
英文摘要 ----------------------------------------------- ii
致謝 ----------------------------------------------- iii
目錄 ----------------------------------------------- iv
表目錄 ----------------------------------------------- vi
圖目錄 ----------------------------------------------- vii
一、 緒論-------------------------------------------- 1
1.1 研究背景----------------------------------------- 1
1.2 研究動機與目的------------------------------------ 2
1.3 研究範圍----------------------------------------- 2
1.4 研究限制----------------------------------------- 3
1.5 研究步驟----------------------------------------- 3
二、 文獻探討----------------------------------------- 5
2.1 風險評估----------------------------------------- 5
2.2 ISO 27001國際標準-------------------------------- 7
2.3 層級分析法--------------------------------------- 9
2.4 個人資料保護法------------------------------------ 14
三、 研究方法----------------------------------------- 16
3.1 研究步驟----------------------------------------- 16
3.2 評估架構----------------------------------------- 17
3.3 問卷設計----------------------------------------- 18
四、 案例分析----------------------------------------- 20
4.1 評估層級架構-------------------------------------- 20
4.1.1 專家意見調查-------------------------------------- 20
4.1.2 風險評估架構之確認--------------------------------- 21
4.2 屬性權重分析-------------------------------------- 23
4.2.1 屬性權重之意見調查--------------------------------- 23
4.2.2 屬性權重之分析------------------------------------ 26
五、 討論-------------------------------------------- 33
5.1 ISO 9001品質管理文件之綜整------------------------- 33
5.2 後續之風險評估作業--------------------------------- 33
5.3 導入前後之相關作業--------------------------------- 34
六、 結論-------------------------------------------- 36
參考文獻----------------------------------------- 37
附件問卷----------------------------------------- 39

[1] Tiversa,On Presidential Security Leak, The WPXI NEWS
http://www.wpxi.com/news/18818589/detail.html, 2009.
[2] Jeremy Kirk, UK Ministry of Defence Stung by Rapidly Spreading Virus,
PCWorld, 　　　
　　http://www.pcworld.com/article/157829/uk_ministry_of_defence_stung_
by_rapidly_spreading_virus.html,2009.
[3] Bob Brewin, Pentagon still mum on thumb drive ban, Nextgov,
http://www.nextgov.com/nextgov/ng_20081126_3979.php ,2008.
[4] 資安之眼,下載於 http://www.itis.tw/creport?m=1&p=4,2009.
[5] 江宜樺，2009，強化政府資安認證提升網路防護能力研考會政策性提
高政府資安經費比例，行政院研究發展考核委員會，下載於
http://www.rdec.gov.tw/ct.asp?xItem=4151163&ctNode=10001&mp
=100。
[6] 江宜樺，2009，效法美國政府逐年增加資安預算，行政院研究發展考
核委員會，下載http://www.ithome.com.tw/itadm/article.php?c=53183。
[7] 翁振益、周瑛琪等，「決策分析方法與應用」，華泰文化事業股
份有限公司出版，2007。
[8] 溫鳳祺，ISO/IEC Guide 73：2002(E/F) 風險管理－詞彙－標準使
用指引，資訊安全論壇，第11期，2003年，頁33-40。
[9] 王平、羅濟群、趙國銘、王子夏，「I雲端運算服務之風險分析，
管理評論」，第31卷，第一期，2012年，頁1-20。
[10] British Standards Institution, BS 7799-1 Information Security
Management-Part 1：Code of Practice for Information Security
Management,London, 1999.
[11] British Standards Institution, BS 7799-2 Information Security
Management-Part 2：Specification for Information Security Management
System, London, 1999.
[12] International Organization for Standardization, “Information Technology--
Security techniques-- Information security risk management (ISO/IEC
27005:2008) ” .
[13] Schneider, E. C. and Gregory, W. T., “How Secure Are Your System?”
Avenues to Automation, November, 1990.
[14] Saaty, T. L. , “The Analytic Hierarchy Process”, New York: McGrew-Hill,
1980.
[15] CNS 27001 的官方網址在
http://www.cnsonline.com.tw/preview/preview.jsp?general_no=2700100&
language=C&pagecount=36, 2009.
[16] 鄧振源、曾國雄，層級分析法(AHP)的內涵特性與應用(上)，中
國統計學報，第 27 卷，第 6 期，1989年。
[17] 鄧振源、曾國雄，層級分析法(AHP)的內涵特性與應用(下)，中
國統計學報，第 27 卷，第 7 期，1989年。
[18] OECD, Guidelines for the Security of Information Systems and Networks
-Towards a Culture of Security, Paris: OECD, July 2002. www.oecd.org.
[19] Ronald S. Swift, Accelerating customer relationship : Using CRM and
relationship technologies, 2001.
[20] 邱惠雯，2004，「網際網路使用行為之限制-從隱私權保護觀之探討」。
中正大學犯罪防治所碩士論文。
[21] 陳育凱，2000，「ISP之關鍵關鍵風險因素探討－運用AHP法」，中國
文化大學國際企業管理研究所碩士論文。