資訊安全稽核作業評量輔助系統之研究

The Research Of Information Security Auditing Operation And Assessment Assisting System

李沛倫(Pei-Lun Li)

指導教授 ： 劉艾華

淡江大學/商管學院/資訊管理學系碩士在職專班/碩士(2016年)

https://doi.org/10.6846/TKU.2016.00872

摘要

近年來企業組織面臨各種資訊安全威脅，推動與執行以ISO/IEC 27001:2005 資訊安全標準的稽核作業早已蔚為趨勢；但傳統人工資訊安全稽核作法有稽核結果錯誤率高、執行時間冗長且效率不彰、以及紙本紀錄無法保存長久且不環保、與稽核經驗無法有效傳承等等缺點。

本研究以某財團法人機構為例，並以原有之資訊安全稽核清單表為基本條件，依循傳統稽核流程與計畫模式，設計與建立一套系統化與行動化的稽核評量輔助系統；並利用可擴充性模版功能，替換產生不同性質稽核過程所需要的資訊，更透過手持裝置的操作，消除空間與時間的限制，達到有效的稽核紀錄存放管理；並可預先載入企業組織過往稽核報告資訊，重新依據新式計分模式進行稽核活動，經過後端資料庫統計及進行新舊模式稽核結果之對照分析，更可顯現實際客觀的資訊安全稽核結果。

關鍵字

ISO/IEC 27001:2005 ； 資訊安全威脅 ； 資訊安全稽核 ； 評量輔助系統

並列摘要

In the face of increasing information security threats, it is now a trend among business organizations to promote and implement security audits based on the ISO/IEC 27001:2005 information security standards. However conventional manual audit has a number of shortcomings, including high error rate, time consuming, lack of efficiency, inability to preserve paper records indefinitely which is also environmentally unfriendly, and inability to effectively pass on the audit experience.

This study uses a legal entity as an example and its existing information security audit checklist as basic conditions and follows the traditional audit process and planning model to design and establish a systematic and action-oriented audit and assessment aid system; scalable template features are also included for replacement of information of different natures needed during the auditing process while the use of handheld devices can eliminate the time and space constraints for effective audit log management; past audit report information of the business organization can be pre-loaded for conducting audit activities based on the new scoring model. The results of objective information security audit can be obtained through back-end database and comparative analysis on the audit results based on the old and new models.

並列關鍵字

ISO/IEC 27001:2005 ； Information Security Threat ； Information Security Aduit ； Assessment Assisting System

參考文獻

[1] 林昱良。「政府機構導入ISMS關鍵成功因素之研究-以Y地方政府為例」，宜蘭大學多媒體網路通訊數位學習學系碩士論文，2013年。

[9] 張嘉琪。「資訊安全風險管理實務落差之探討-以某財團法人機構為例」，私立淡江大學資訊管理學系碩士在職專班碩士論文，2013年。

[2] 張正宏。「探討銀行業ISO/IEC 27001:2005資訊安全管理現況-以T銀行為例」，中央大學資訊管理學系碩士論文，2012年。

[8] 郭世榮。「探討組織推動 ISMS 所需的互補財產」，國立中山大學資訊管理學系碩士論文，2013年。

[24] Paul Benjamin Lowry, Clay Posey, Rebecca (Becky) J. Bennett and Tom L. Information Systems Journal.2015.