政府研究機構資通安全系統架構之研究 －以某政府研究機構為例－

A Study of Information Security Management System Based on ISO 27001 Framework in Government Institute

羅慧真(Hui-Chen Lo)

指導教授 ： 皮世明

中原大學/商學院/資訊管理研究所/碩士(2008年)

https://doi.org/10.6840/cycu200800351

摘要

在現代的社會中，資訊科技的應用早已成為日常生活中的一部份，然而不當的使用、蓄意的破壞使得其間隱藏著高度且未知的風險。過去對於資訊安全的維護大多偏重於資訊技術能力及設備的強化，然而提升資訊技術能力及投入高額的預算採購新穎的設備，並不能確保資訊的安全。根據美國FBI/IC3歷年的統計，資安事件的通報件數，自2001年至2004年每年皆以超過50％的比率急速成長。因而導致的金額損失也屢創新高，2001年僅為17.8百萬美元，2006年則高達198.44百萬美元。
由文獻探討中發現人員是資訊安全最大的威脅來源，約佔所有發生資訊安全事件的85％。在FBI/IC3 2006年年報中也指出，教育訓練及加強認知可以有效降低資安事件的發生。因此組織中應有一套資訊安全管理機制，以提昇組織內部人員對資訊安全的重視及警覺，並藉以達到資訊安全防護的目的。唯有透過有效、健全的管理制度，方能協助降低資安事件的發生率，同時減少企業或組織的損失。
本研究擬以政府研究機構為主要研究對象，並以ISO 27001為資訊安全標準，透過深入訪談以了解政府研究機構資訊安全管理之現況，及實際執行時所遭遇的困難，並根據ISO 27001的11大管理領域、39個控制目標、133項控制措施，探討在實施資訊安全管理時，政策、人員、管理等資訊安全管理因素對政府研究機構之影響。期能建構持續運作之資通安全管理系統，有效降低組織的風險並確保資訊能安全地應用。

關鍵字

資訊安全管理系統 ； ISO 27001 ； 資通安全

並列摘要

With the rapid development of computer science and technology, new problems are followed. Personal information would be stolen and we even have no idea when it happened. Attack of virus and hackers may destroy all the information in your computer. When all documents, data and prcedures are digitalized, the Government and enterprises need to pay more attention on the information security.

A carless mistake resulted in hundreads of millions dollars lost. An unexpected attack caused all valued information destroyed. The total cost of information security incident was not only money lost, but also invisible loss beyond estimation because of data ruined and without backup. At present the information security is more than preventing virus and hackers. In order to shelter organization’s property from variant attacks, it is important to well protct all kinds of information assets. If a multi-layer protection frame of information security can obstruct attack from external network. How to take precautions against internal network attack and man-made information incident?

Due to the uncertainty of information security, we need to think carefully about how to create a high-efficiency but low-risk information environment. And the information security management standard we followed provides our organizaiton an effective insurance. Under the criterion of ISO 27001, we hope a safe information operation environment for our organization will be built.

This research is based on ISO 27001 to study current information security management in government institute. As ISO 27001 includes 11 items, this research also tries to find out how three factors - ploicy, staffs and management influence Information Security Management System. Meanwhile, this research attempts to analyze the difference between administrator and end users of government institute, by way of interview.

並列關鍵字

ISMS ； ISO 27001 ； Information Security Management System

參考文獻

4. 王凱，資訊安全市場發展現況與趨勢，2003

29. 樊國楨，資訊及相關技術之控管目的與應用簡介，資訊安全通訊，第五卷，第三期，1999

30. 樊國楨，資訊安全工作初始方向芻議，資訊安全通訊，第六卷，第四期，1999

34. 李順仁，資訊安全， 2003

1. 陳鑫如，BS7799基礎下資訊安全架構之探討－以人壽保險為例－，2005