臺灣博碩士論文加值系統

由於資訊科技及網路工具的快速發展，全球資訊安全事件不斷發生，資訊犯罪案例及手法更不斷翻新；為保護企業資訊相關資產與維持營運，組織高層主管負有實施資訊安全之責任。

本研究係為探索性研究，以ISO 27001、COBIT 4.0架構為基礎，透過文獻探討，探索本研究針對國內鋼鐵金屬工業與高科技產業的企業導入資訊安全管理系統之影響因素，經由主成份因素分析，實證結果發現：預防性控制因素、競爭壓力與夥伴影響因素、主管支持與員工參與因素上有顯著差異。

本研究之結果，可作為瞭解鋼鐵金屬工業與高科技產業資訊安全狀況及可做為正在引進資訊安全管理系統的企業，提供一個參考的方向；對於尚未引進資訊安全管理系統的企業亦可參考本研究的結果，根據本身的條件，以最有效率的方式著手進行資訊安全管理系統的導入計劃。

Due to the fast growth of technology and network, the means of Cybercrime are renovating. In order to maintain the procedure of capital assets in private sectors, the superintendent of organizations are responsible for enforcing the information security policies, standards, and procedures and managing their implementation in their organization.

This research is based on ISO 27001 and COBIT 4. By using document investigating that studying in steel metal industries and high-tech industries, the information security management system provide best practice guidance on protecting the confidentiality, integrity and availability of the information. The analysis result indecates that the predictable and controllable factors varyies from those industries that having support from management level and the participation from employees. In addition, the result will be different from the industries that are competing and those are cooperating.

The research results could be a guideline that provides to the steel metal industries and other high-tech industries that are requiring the Information Security Management System. The conclusion of the research could also be used as a reference for those industries that are yet introducing the Information Security Management System.

中文摘要 I
英文摘要 II
誌謝 III
目錄 IV
表目錄 V
圖目錄 VII
第壹章 緒論 1
第一節、研究背景與動機 1
第二節、研究目的 4
第三節、研究流程 5
第四節、研究範圍及對象 6
第五節、研究限制 7
第貳章、文獻探討 8
第参章、企業導入資訊安全管理系統之概述 12
第一節、企業與資訊安全 12
第二節、資訊安全控制標準之探討 23
第三節、企業導入資訊安全管理系統之現況 40
第肆章、研究設計與實施 42
第一節、研究架構與假說 42
第二節、研究方法 45
第三節、問卷設計 47
第四節、樣本分析 55
第伍章、實證結果與分析 56
第二節、信度、效度與因素分析 59
第三節、區別與變異數分析 71
第四節、研究假說檢定 86
第陸章、結論與建議 90
第一節、研究結果與發現 90
第二節、研究建議 91
第三節、未來研究方向 92
參考文獻 94
附錄一 101

中文部份：
01.內部稽核協會(IIA)台灣分會，2007，2007年研討會資料。
02.王俊雄，2002，警政資通安全管理政策之研究，中央警察大學資訊管理研究所未出版碩士論文。
03.王建銘，2005，影響證券暨期貨服務事業選擇資訊安全管理關鍵指標之因素--以A公司為例，國立中正大學會計與資訊科技學系未出版碩士論文。
04.方鴻春，2004，企業建置資訊安全管理系統(ISMS)之平衡績效指標研究--以個案單位為例，國立台灣科技大學工業管理研究所未出版碩士論文。
05.行政院及所屬各機關資訊安全管理規範，網址：http://www.rdec.gov.tw/mis/eng/security/1116spec.htm
06.行政院主計處，網址：http://www.dgbas.gov.tw/mp.asp?mp=1
07.行政院主計處電于資料處理中心，2002，行政院主計處資訊安全手冊(第三版)。
08.李東峰，2003，企業資訊安全控管決策之研究一從組織決策理論觀點探討，國立中央大學資訊管理研究所未出版博士論文。
09.李嘉隆，1998，影響券商網路下單系統的成功因素及其效益之研究，淡江大學資訊管理學系未出版碩士論文。
10.李慶民，2001，以BS7799為基建構資訊安全評選模式之研究一以虛擬私有網路系統為例，國防大學資訊研究所未出版碩士論文。
11.何全德，1999，資訊安全控管與偵防-從電子化政府談資訊安全控管與偵防，資訊安全通訊，第六卷第一期，頁95-98。
12.何全德，2000，從駭客入侵淺談網路安全防護策略，資訊與教育雜誌，頁2-7。
13.周文賢，2002，多變量統計分析─SAS/STAT使用方法，台北，智勝文化。
14.林東清、許孟祥，1997，資訊管理調查研究方法，資訊管理學報，第四卷，第一期，頁21-40。
15.林宜隆，2003，資訊安全管理制度風險評估手冊，國家資通安全會報技術服務中心。
16.林鈴玉，2001，國內網路銀行現況發展及交易安全之研究，國立交通大學資訊管理學程未出版碩士論文。
17.林黛卿，1992，銀行業電腦安全控管政策之研究，國立台灣大學會計學研究所未出版碩士論文。
18.吳俊德，2002，IS0 17799資訊安全管理關鍵重點之研究，國立中正大學企業管理研究所未出版碩士論文。
19.吳木同， 2003，網路下單關鍵成功因素之相對重要性探討--以國內某券商為例，中央大學資訊管理學系未出版碩士論文。
20.吳育翰，2004，以ISO 17799為基礎之國軍資訊安全管理研究--以陸軍總部為例，國防管理學院國防資訊研究所未出版碩士論文。
21.吳琮璠、謝清佳，2000，資訊管理理論與實務，台北，智勝文化事業有限公司，第四版。
22.吳琮璠，1996，國外政府機構資訊系統安全稽核制度，存款保險資訊季刊，第十卷，第二期，頁21-40。
23.吳明隆、涂金堂，2005，SPSS與統計應用分析，台北，五南圖書出版股份有限公司。
24.吳萬益、林清河，2000，企業研究方法，台北，華泰文化。
25.周宣光，2000，管理資訊系統，台北，東華書局。
26.高愛琴，2005，以平衡計分卡為基礎建構資訊安全管理關鍵績效指標，國立中正大學資訊管理學系未出版碩士論文。
27.洪國興，2003，資訊安全「影響因素與評估模式」之研究，國立政治大學資訊管理研究所未出版博士論文。
28.洪新原、孫敏育、洪萬富，2002，統計分析技術在國內資訊管理研究的使用調查─主要期論文之內容分析，資訊管理學報，第八卷，第二期，頁1-22。
29.後藤秀夫著，許時嘉譯，2001，市場調查實務手冊，台北，小知堂文化出版。
30.侯皇熙，2004，植基於BS7799探討政府部門的資訊安全管理--以海關資訊部門為例，國立成功大學工程科學系未出版碩士論文
31.莊惠惠，2006，醫療院所制訂資訊安全政策之研究，國立中正大學醫療資訊管理研究所未出版碩士論文
32.陳永裕，1994，銀行業資訊安全管理之研究，東海大學企業管理研究所未出版碩士論文。
33.陳信章，2003，服務業推動BS7799認證關鍵因素之研究，國立中正大學資訊管理學系未出版碩士論文。
34.陳祥輝，2000，資訊系統的安全管理與鑑識軌跡設計--基於MIB與資料庫之探討，中國文化大學資訊管理研究所未出版碩士論文。
35.陳連枝，2003，國內金融控股公司資訊安全管理系統之探討，長庚大學企業管理研究所未出版碩士論文。
36.彭仁賓，2005，無線區域網路安全稽核模式之研究，長庚大學資訊管理研究所未出版碩士論文。
37.葉嘉綺，2003，高階主管安全意識及環境不確定性對企業資訊安全活動成效之影響，國立高雄第一科技大學資訊管理學系未出版碩士論文。
38.郭志賢，2003，以BS 7799為基礎評估大學資訊中心之資訊安全管理--以淡江大學為例，淡江大學資訊管理學系未出版碩士論文。
39.郭偉祥，2002，“加強資訊安全知識與技能”，網址：
http://tw.asmag.com/feature/content.php?id=1514&themeid=347& articles_group=l3
40.黃士銘、莊盛祺，2005，資料分析與電腦稽核教戰手冊，台北，全華書局。
41.黃士銘、嚴紀中、歐進士、陳禮炫、蕭瑞祥，2006，電腦稽核期刊第14期。
42.黃姮儀，2000，臺灣地區不同類型金融機構在全球資訊網路安全考量因素之研究，國立中正大學資訊管理學系未出版碩士論文。
43.黃國欽，2006，公部門資訊安全治理，國立高雄第一科技大學資訊管理學系未出版碩士論文。
44.黃慧文，2001，COBIT觀點下--網路銀行內部控制與稽核之研究，中原大學會計學系未出版碩士論文。
45.黃群超，2006，資訊安全管理有效性之研究--以網路不當竊取防範為例，國立中正大學會計與資訊科技學系未出版碩士論文。
46.黃俊英，1996，企業方法，台北，東華書局。
47.黃慶堂，1998，我國行政機關資訊安全管理之研究，國立政治大學公共行政學系未出版碩士論文。
48.國家實驗研究院科技政策研究與資訊中心，2006，95年資通安全專論彙編。
49.萬幼筠，2001，企業的網路控管與風險評估，會計研究，第184期，頁82-90。
50.曾淑惠，2002，以BS 7799為基礎評估銀行業的資訊安全環境，淡江大學資訊管理學系未出版碩士論文。
51.張榮昇，1997，金融業資訊系統安全威脅與防護措施，國立雲林科技大學資訊管理技術研究所未出版碩士論文。
52.張榮庭、葉桂珍，2006，企業之資訊安全策略與產業別及資訊化程度關係探討，資訊管理學報，第十三卷，第二期，頁113-143。
53.張詠翔，2004，結合BS7799與資訊安全藍圖建構資訊安全評估機制之研究，銘傳大學資訊管理學系未出版碩士論文。
54.經濟部標準檢驗局，2002，ISO/IEC TR 13335資訊技術-資訊安全管理的指導。
55.經濟部標準檢驗局，2005，CNS 17799資訊技術--資訊安全管理之作業要要點。
56.經濟部標準檢驗局，2005，CNS 17800資訊技術--資訊安全管理系統規範。
57.經濟部標準檢驗局，2005，CNS 27001資訊技術--資訊安全管理系統架構。
58.資通安全報告書編纂委員會，2001、2001、2002、2003年資通安全報告書。
59.資訊安全概論，2002，張真誠主編。
60.資訊安全風險管理，2002，樊國楨主編。
61.資訊安全能力評鑑，2002，樊國楨主編。
62.資通安全法律案例宣導彙編第四輯，2005，行政院國家資通安全會報技術服務中心。
63.蔡星樺，2001，從ISO/TR 13569談金融機構之資訊安全，財金資訊雙月刊。
64.蔡興樺，2001，企業如何做好資訊風險管理，網路通訊，第九十一期，頁31-34。
65.蔡忠翰，2003，政府部門資訊安全管理之研究，國立政治大學公共行政研究所未出版碩士論文。
66.樊國楨，2005，資訊安全保證框架標準初探：根基於 ISO/IEC17799：2005-06-15之12.6.1節，資通安全分析專論T94003。
67.樊國楨，2006，資訊安全管理模型初探：根基於 ISO/IEC27001：2005-10-15，電腦稽核期刊第14期。
68.賴森本、馬秀如等譯，2005，企業風險管理：整體架構。
69.賴麗華，1993，資訊系統資產災害風險分析之探討，台北銀行月刊，第二十四卷，第五期，頁60-69。
70.蒲樹盛，2005，ISO/IEC 17799：2005 & BS 7799-2:2005新版標準及驗證作業摘要說明，BSI英國標準協會。
71.劉永禮，2002，以BS 7799資訊安全管理規範建構組織資訊安全風險管理模式之研究，元智大學工業工程與管理學系未出版碩士論文。
72.劉智敏，2004，運用BS 7799建構資訊安全風險管理指標，國立台北大學企業管理研究所未出版碩士論文。
73.劉國昌、劉國興，1998，資訊安全，台北，儒林圖書公司。
74.蘇耿弘，2003，以BS7799為基礎探討石化產業導入資訊安全管理機制之關鍵因素，國立中正大學資訊管理學系未出版碩士論文。


英文部份：
01.Adam, F., and Haslam, J.A., (2001)“The Irish Experience with Disaster Recovery Planning: High Level of Awareness May Not Sufficient, m (J. Dhillon Eds. Information Security Management: Global Challenges in the New Millennium, Hershey PA: Idea Group Publishing”, pp.85—100.
02.Austin, R.D., Darby C.A and Christopher A.R. (2003)“The Myth of Secure Computing” Harvard Business Review Vol.81(6): pp.120-126.
03.Basie von Solms (2005)“Information Security governance: COBIT or ISO 17799 or both? ”, Computers & Security, Vol.24, pp. 99-104.
04.Basie von Solms & Rossouw von Solms (2005)“From information security to...business security?”, Computers & Security, Vol.24, pp. 271-273.
05.Basie von Solms & Rossouw von Solms (2001)“Incremental Information Security Certification ”, Computers & Security, Vol.20, pp. 308-310.
06.Bilge Karabacak, Ibrahim Sogukpinar (2004)“ISRAM: Information security risk analysis method” , Computers & Security , Vol.24, pp.147-159..
07.Bilge Karabacak, Ibrahim Sogukpinar (2006)“A quantitative method for ISO 17799 gap analysis” , Computers & Security, pp.1-7.
08.Bob Violino(2006) “Sorting The Standards”, ABI/INFORM Global, pg.46.
09.Caminada, M. (1998)“Internet security incidents, a survey within Dutch organizations”Computers & Security, Vol.17, pp.417-433.
10.Chwelos, P., Benbasat, I. and Dexter, A. S. (2001)“Research report :empirical test of an EDI adoption model”, Infornation Systems Research, Vol.12, Iss. 3, pp304-321.
11.Chris Pounder (1999) “The Revised Version of BS7799-So What’s New”, Computers & Security , Vol.18, pp.307-311.
12.Cohen, Fred(1998) “ A cause and effect model of attacks on information systems”, Computers & Security, Vol.17, p221.
13.COBIT Web Site. (2006) Retrieved From http://www.isaca.org/cobit.htm.
14.COSO Web Site. (2006) Retrieved From http://www.coso.org/.
15.Dellecava, T. Jr. (1996) “Insecurity : Is technology putting your company’s prlmary asset it’s information at risk? ”, Sales and Marketing Management, Vol.148, No.4, pp. 39-50.
16.Ein-Dor, P. and Segev, E.(1978)“Oragnization Context and The Succsee of Management Information Systems”, Management Science, Vol. 24, Iss.10, pp.1064-1077.
17.Finne, T. (2000),“Infonnation systems risk management: key concepts aad busiaess processes”, Computers & Security , Vol.19, pp.234-242.
18.Gary Hardy (2006)“ Using IT governance and COBIT to deliver value with IT and respond to legal, regulatory and compliance challenges”, Information Security Technical Report, No.2, pp55-62.
19.Gordon, L. A. and Maltin P.(2001) .“Using Information Secwity as a Response to Competitor Analysis Systems s”, Communications of the ACM, Vol.44(9)pp.70-75.
20.Grover, V. & Goslar, M.D., (1993) “The Initiation, Adoption and Implementation of Telecommunications Technologies in U.S. Oragnization”, Journal of Management Information Systems, Vol.10. Iss.1, pp.141-163.
21.Hair, J.F., Anderson, R.E, Tathan1,R.L. and Black, W.C. (1998) “Multivariate Data analysis”, New Jersey, U.S.A., Prentice-Hall Intemational, INC.
22.H. A. Kruger , W. D. Kearney (2006)“ A prototype for assessing information security awareness” , Computers & Security , Vol.25, pp.289-296.
23.Hoffer, J. A. and Straub, D. W. Jr. (1989) “The 9 to 5 underground : are you policing computer crime ? ”, Sloan Management Review Vol.30, No.4, pp.35-43.
24.Höne, K. and Eloff, J. H. P. (2002) “Infonnation security policy—what do intemational information security standards say ? ”, Camputers & Security, Vol.21. Iss.5, pp.402-409.
25.Icove, D., Seger, K. and VonStorch W.(1998), Computer Crime, Califomia, U.S.A,O,Reilly & Associates,Inc.
26.J. Collmann (2005)“Assessing information security risk in dual-use health information systems ”, International Congress Series, No.1281, pp.296-301.
27.Kennech C. Laudon & Carol Guercio Traver (2002)“E-Commerce: business, technology, society”, p9.
28.Kühnhauser, W. E. (1999)“pohcy groups ” , Camputers & Security, Vol.18. Iss.4, pp.351-363.
29.Lindup, K. R. (1995) “A New Model for Information Security Policies”, Computers & Security , Vol.14, pp.691-695.
30.Lech Janczewski(2002) “ Development of Information Security Baselines forHealthcare Information Systems in New Zealand”, Computers & Security, Vol.21, Iss.2, pp. 172-192.
31.Loch, K. D., Carr, H. H. and Warkentin, M.E. (1992) “ Threats to informatjon systems : today’s reality, yesterday’s understanding”, MIS Quarterly Vol.16, Iss.2, pp.173-186
32.Lucas, Henry C.(1981) “Implementation The Key to Successful Information Systems”, Columbia University Press.
33.Lynette Barnard(2000) “A Formalized Approach to the Effective Selection and Evaluation of Information Security Controls”, Computers & Security Vol.19, Iss.2, pp. 185-194.
34.Mathew A Cozad (2006) “Top 5 SOX Best Practices FOR SMALL COMPANIES” ABI/INFORM Global p42.
35.M. M. Eloff and S.H. von Solms (2000) “Information Security Management: An Approach to Combine Process Certification and Product Evaluation” Computers & Security, Vol.19 pp. 698-709.
36.OECD (2001) “OECD Guidelines for the Secunty of Information Systems”, Information Security Objective.
37.Olnes, J., (1994),“Development of Security Policies”, Computer & Security, Vol. 13, pp.628-636.
38.Osborne, K. (1998)“Auditing the IT security function”, Computers & Security , Vol.17, Iss.1, pp.34-41.
39.Parker DB.(1998) “ Fighting computer crime: a new framework for protecting information. ”, New York, NY: John Wiley and Sons.
40.Porter, M. E. and V. E. Millar(1985) “How Information Gives You CompetitiveAdvantage”, Havard Business Review, July-August, pp.149-160.
41.Powell, D. (1993)“To Outsourcing or not to Outsourcing?”Networking Management pp. 56-61.
42.Price, R. L., Conter, J.S., and Dickson, W.L (1989) ,“Computer Fraud in Commercial Risks: Management''s Perception of Risk”, Journal of Systems Information Management, pp.28-33.
43.Premkumar, G.; Ramamurthy, k.; and Nilakanta, S (1994) “Implementation of electronic data interchange: An innovation”, Journal of Management Information Systems pp.157-186.
44.Rainer,R. K. Jr., Snyder, C. A. and Carr H. H. (1991) “Risk analysis for information technology”, Jaurnal of Management Information Systems, Vol.8, Iss.1, pp.129-147.
45.Rusell, D. & Gangemi, G.T.(1992), “Computer Security Basics”, California, U.S.A., O’Reilly & Associates, Inc.
46.Schneider, E. C. and G. W. Therkalsen (1990) “How Secure Are Your System? ”,Avenues To Automation, November, pp.68-72.
47.Schultz, E.E., Proctor, R.W., Lien, M. C. and Salvendy,G.(2001) “Usability and security an approach of usability issues in infonnation security methods”, Computers & Security, Vol.20, Iss.7, pp.620-634.
48.S.H (Basie) von Solms (2005)“Information Security Governance e Compliance management vs operational management”, Computers & Security, Vol.24, pp. 443-447.
49.Sherwood, J. (1996)“SALSA : amethod for developing the enterprise security architecbxe aod strategy”, Computers & Security , Vol.15 Iss. 6, pp. 501-506.
50.Smith, M. ( 1989 ) “Computer security-threats, Vulnerabilities and countermeasures”, Information Age, October, pp.205-210.
51.Solms, R. V., (1996)“Information Seculity Managenment: The Second Generation”, Computers & Security, Vol.15, pp. 281-288.
52.Somogi, E. K. and Gallier, R. D. (1987) “Form Data Processing to Strategic InformationSystems-A Historical Prespecnve”. In E. K. Somogi and R. D. Galliers(ed), Toward Strategic Information Systems, Kent and Cambridge:
53.Trček, D.(2003) “An integral Oamework for information systems security management”, Computers & Security, Vol.22, Iss.4, pp.337-360.
54.Ward, P. and Smith C. L. (2002) “The development ofaccess control policies for iaformation teclnolog systems”, Computers & Security, Vol.21, Iss.4, ,pp. 356-371.
55.Weill, P. and Margrethe, H.O., (1989)“Managing Investment in InfonnationTechnology Mini Case Examples and Implication”, MIS Quarterly, March, pp.3-17.