本研究以資訊安全管理的觀點以個案研究的方式，從機關資訊安全管理的策略、技術、組織、人力以及環境等五個面向切入，訪談機關中資訊單位與業務單位人員，藉以深入探討僑務委員會的資安現況以及目前資訊安全管理所遭遇的困難，並且進一步的提出可能的解決方式以及本研究發現的研究命題。 本研究歸納出四點結論：(1)主管對於機關資訊安全的重視影響部屬對機關資訊安全管理措施的遵循與重視；(2)資訊人員跨部門溝通能力略微不足；(3)教育訓練實際效果與預期目標之間存在落差，易導致溝通問題而引起業務單位反彈；(4)機關的核心業務未納入資訊安全驗證範圍中，無法完備資安管理之落實。 針對研究發現，本研究提出之解決方法為：(1)加強資訊人員之跨部門溝通能力；(2)採取更有效的教育訓練方式；(3)將核心業務納入資訊安全驗證範圍中以確保資訊安全管理。 / Based on the theory of informationsSecurity management, The study conduct a case study of qualitative approach.Five propositions are delveloped according to the strategy of information security management, technologies, organizations, human resource and environments and the interviews of the staff of Overseas Compatriot Affairs Commission (OCAC), including IT staff and business staff. IT attempts to find out the status quo and difficulties of information security management in OCAC. Furthermore,the study also proposes plausible solutions to resolve those diffculties. The study concludes with four aspect of conclusion: (1) The manager ‘high priority and attention to information security, ead to the OCAC employees’, will affect employees’ compliance with information security rules. (2) IT staff are found to be comparatively lack of the inter-departmental communication skill to promote information security (3) There is a gap between expectation and the practical effect which then causes (4) Because the OCAC core business are not included in the scope of information security management verification, the implementation very unlikely to complete as required. According to the previous findings, the study proposes propose the plausible resolution to advance information security management in OCAC, including (1) strengthening of the inter-departmental communication skill of IT staff (2) adopting more effective way to train the core business staff, and make sure its effectiveness. (3) core businesses should be included in the scope of information security management verification to ensure that completeness and effectiveness of information security management.

在90年11月至91年7月之間，中國駭客進入台灣的中華電信網路服務備用電腦等，植入木馬(trojan horse)程式，蒐集我國政府的機密資訊，已知計有42個政府機關的網站、數百台電腦遭受入侵。為了防止此類的問題發生，政府更需多加強電子化政府的安全措施，為電子化政府多增一道防線。但是面對層出不窮的駭客入侵技術及日新月新的變種電腦病毒，未來勢必面對各種可能的安全威脅如資訊公開、網路犯罪產生的新問題。如何在快速發展電子化政府之同時，運用管理與技術徹底執行資訊安全，防範電腦網路犯罪與危機為資訊安全撒下一道防護，將是電子化政府成功與否的最重要關鍵。有鑑於此，本研究由文獻中瞭解電子化政府之現況，包括電子化政府資訊安全之需求分析、制度及現有資訊安全之基本架構。探討資訊安全疏忽所造成之網路犯罪及資訊侵害，由資訊管理及技術管理二大部分進行分析、建議。而後針對關鍵尋求具體建議，以供我國參採。

為了因應日新月異的新型態資安事件，企業們紛紛投注相當資源於資訊安全系統的建構/資訊風險的管理，但是在外部技術環境快速變化等諸多變數的不確定下，仰仗風險移轉機制，適切地將風險透過保險轉移至保險業者似乎是較合宜的選擇。何以企業們仍傾向強化風險控制、持續加強資訊安全技術層面，因此本研究擬藉由介紹國際暨台灣資訊安全發展狀況，瞭解資訊安全管理及其衍生之風險管理現況；根據前述現況分析，進一步探討在資訊安全領域中風險工具與風險管理學理之關聯性，並透過訪談相關業者，希冀透過探討資訊安全保險供給暨需求落差，提供既存風險工具之實務意涵。 本研究發現被國際社會廣泛採用之ISO 13335資訊安全管理系統，其風險概念暨管理模組，係奠基於一般風險管理學理：在風險概念方面，係採納『風險因素導致風險事故，進而對風險標的物肇生損失』之概念，並強化資產脆弱點之重要性，藉以強調在疆域尚且不明的資訊安全領域裡，相關從業人員惟有透過持續不輟地辨識、分析暨處理新型態的威脅等諸多要素，才有逐步積貯相關知識，進一步為未來完善資訊安全管理奠下基礎；在風險管理方面，一般風險管理學理用以確認風險因素、風險事件及風險標的物之風險鑑定階段，恰可與ISO 13335中資訊界限制定、資產識別及威脅評估等步驟相呼應，由此可知ISO 13335係採用一般風險管理學理概念而來，自不待言。 透過訪談相關業者，本研究發現資訊安全保險供給與需求存在下述特點：  保險業者與資訊安全需求業者對資訊價值之認定不同。  保險商品在市場上被視為行銷工具，而非實質風險移轉機制。  保險業者缺乏客觀的標準可供遵循。  資訊安全涵蓋範圍廣泛，非單一風險移轉機制即可。  資訊安全需求業者對資訊價值之認定會因情境而改變。  供應者與需求者對保險商品在風險移轉上之定位有不同認知。 由此，本研究建議主管機關、保險業者及從事/利用電子商務之組織可參酌下述各點採取行動，藉此逐步完善國內有關電子商務之保險商品市場：  主管機關方面，宜制訂資安規範、訂定處罰條款，並核發執照於公正的認證/稽核單位。  保險公司方面，宜尋找第三方公正單位參與承保範圍之釐清、與被保險人簽訂保密協定、並擬訂資訊安全防護評定等級制度。  電子商務之企業/組織，宜教育內部、根據認證機構管理原則ISO 27005、並運用科技化的資安設備，強化企業自主防護能力。

環顧辦公室自動化的演進歷史，早期從降低事務管理成本，提升行政運作效率輔助機具的發展，至今日電腦大量引用，四通八達的網際網路，資訊科技的洪流，正一波波的衝擊著各組織，行政部門亦難置身於外。就以組織內環境系統而言，資訊科技正嚴厲考驗傳統金字塔式的組織結構，網路流通訊息的便利，使中層管理者的地位岌岌可危，影響著整個組織的決策模式與管理方式；就組織外環境系統而言，電子化政府正透過網路連線，讓民眾享用更加便捷、高品質的服務、取得更多的訊息，更加暢通的溝通管道，甚至影響著整個民主政治的內涵。資訊科技對行政組織運作過程與其產出的衝擊與日俱增，而其帶來的正、負面效益，是吾人必須面對的嚴肅課題。 資訊科技所帶來的正面效益，資訊取得質與量上的變革，減低了民眾與行政機關間溝通障礙，人民可隨時取得機關相關訊息，滿足需求，電子化政府成為政府施政目標，『行政公開化』成為未來必然趨勢；就機關資訊財產權維護而言，因資訊科技使得整個檔案資料庫『數位化』、公文訊息『電子化』，傳統的公文流程、檔案保存方式起了根本轉變，檔案室不再是案牘勞形的儲藏大批卷宗，未來各機關中資訊室(中心)才是訊息流通、資料保存的中心。因此行政機關在面對未來民主行政要求、『行政公開化』的趨勢下，應有效的管理機關資料、維護機密資訊及民眾個人隱私，防止不法者破壞、竊取、竄改，在公共資訊的運用與機關資訊財產權的維護上求取一效率公平的管理方法，行政機關應認知到： (一) 資訊安全管理因時代進展而有不同意義，隨著資訊科技的突飛猛進，在行政公開化民意要求下﹐資訊安全管理問題具有的相依､主觀､人為及動態等特性將逐漸浮顯出來﹐深深影響組織內部及外部的運作。 (二) 一個完整的資訊安全管理系統，需完整的包含組織內、外各次級系統、並在整個大環境中具有政治、法律、經濟、行政、技術、及時間上的可行性。 (三) 行政機關資訊安全管理系統之目的在求取機關資訊運用上的機密性(confidentiality)、完整性(integrity)與可用性(avaliability)，而其功用則在機關財產､隱私權的維護及機關所應提供的公共資訊的合理運用上求得一均衡點。 (四) 妥善的資訊安全管理，除了管理當局的支持與專家協助之外，有賴完善的組織環境使用管理規定及資訊運用者資訊安全倫理的建構。 (五) 資訊安全管理研究將隨著資訊科技的永續發展，在內容上不斷的擴充與更新，政府應以更前瞻性的眼光規劃新的法令與訓練，建構資訊安全倫理以應未來所需。 早在二十六年前(1973)，公共行政學者H. A.Simon就曾對資訊科技對組織的衝擊研究，研擬如何有效地建構組織俾利於資訊之處理與儲存。另Norman J.Ream(1968)在『電腦對政府組織之影響』中指出在可預見之將來，政府組織將日趨依照資訊流動及決策點所在而建構。而為因應資訊化社會，行政院研考會在民國七十三年即完成『資訊立法之研究』，確立資訊科技的發展必須『尊重智慧財產權』、『防範電腦犯罪』、『加強資訊安全』、『確立文件法律地位』等層面，近來又陸續制定『電腦處理個人資料保護法』、『政府所屬各級機關電腦軟體管理作業要點』等資訊安全法案，唯上述理論與實務研究，仍著重於機關財產權與機密資訊的維護，為免陷入以『效率』掛帥的功能主義典範窠臼，對於溝通、公平與尊重等新人性主義典範應予適度關注。也就是在民主行政的環境下，資訊公平合理的運用應視為資訊安全管理的目的，而非僅具工具性價值，公部門應摒棄以往『閉關自守』的心態，以恢宏的胸襟與氣度，兼具『效率』與『公正』觀，來面對資訊社會的挑戰。

根據研究報告調查發現，即使組織已經使用了安全機制仍無法完全阻止危害組織資訊安全事件的發生，這是因為組織的資訊安全管理是一個不斷改善的過程，並不是使用了安全防護措施之後，就可以高枕無憂，除了架構安全防護機制外，還需要去分析資訊的機密性、完整性或可得性等是否真能夠受到保護？所使用的安全機制是否真能解決組織的資訊安全問題？或是所提供的安全程度是否能接受等？ 為了解決上述等問題，本研究希望從管理的角度切入，應用錯誤樹分析方法在資訊安全管理的領域上，希望藉由此方法幫助管理者獲知組織的資訊安全需求，然後透過資訊安全管理不斷改善的過程，改善組織資訊安全的弱點，提高組織安全的可靠度。 依據研究架構，結合BS7799此資訊安全管理標準，並應用錯誤樹分析方法，將資訊安全政策轉換為資訊安全模型，由此資訊安全模型作進一步的定性與定量分析；本研究利用錯誤樹分析方法的六個步驟，實際模擬組織資訊安全需求獲得的過程，並透過分析的結果，幫助組織從中獲取資訊安全的需求，找出資訊安全的弱點，作為組織資訊安全改進的參考與依據。 / As the investigate report dictated, the degree of security of an information system does not only depend on the security mechanism installed by the organization. It is a continuous and recursive procedure. Most researches are technique-oriented currently. In order to adjust this bias, this research propose a new approach, which is from the management perspective. BS7799 is used for the information security policy reference. FTA is used to build up the information security model and acquire the requirements of an information system and verify its effectiveness. The result can promote the reliability of the information system and reduce the vulnerability of the system too.

金控公司整併後，無不投入物力、人力，建置一個安全、有效率的資訊安全架構來保護客戶資料，但近年來仍頻傳客戶資料外洩，不但讓客戶失去信心，甚而影響公司業務營運。金控公司在個人資料保護管理上是否仍有疏失而未防範到? 目前立法院審議中的「個人資料保護法」草案內容，個資外洩賠償上限從現行法2千萬元大幅提高到10億元。若該法案依此通過後，金控公司如未能安全地防護龐大客戶資料，再發生重大個資外洩案，除造成公司被告外，勢必面臨逾億或動輒高達數億元的超高額賠償。 本研究透過業者訪談瞭解當前金控公司在客戶之個人資料保護資訊架構之現況。並以產險子公司客戶從通路投保，登打客戶資料後儲存至核心系統資訊平台，再將資料流傳送至金控公司共用資訊平台，及資料後續的應用，逐一探討資料流程中之各個可能產生風險之管控點；並瞭解當前金控之整合及法規、資安規範，應用ISO 27001之管控點精神及資訊資產分類，希望能規劃適用於金融公司客戶個人資料保護之資訊管理架構，達到保護客戶資料之可用性、完整性以及機密性。 最後，本研究提出金控公司業者在客戶個人資料保護資訊管理架構之規劃建議，是希望以客戶觀點，能讓金控公司在防範外洩的管理措施上更嚴密，期使客戶能信任地將個人資料、理財活動交給金控公司，並增加金控公司共同行銷之機會。

隨著資訊科技日益普及，近年來資安事件仍層出不窮。行政院國家資通安全會報於94年5月，訂定「政府機關(構)資訊安全責任等級分級作業實施計畫」，針對各種資訊安全的潛在威脅，提出以建立管理機制並配合技術支援服務的方式，期能有效防護資訊資產，提昇資訊安全。其中管理面的具體措施為建構「資訊安全管理系統」（ISMS, Information Security Management System），並規範列屬資安責任等級為A或B級之機關，應在規定之期限內通過由第三方(third party)公正機構驗證符合資訊安全國際標準。根據行政院科技顧問組針對A、B級機關在2008年進行資安責任等級應辦事項調查顯示，B級機關在資安認證達成率只有43%，可見通過資安認證有其困難性。 本研究依據已通過資安認證的機關的經驗分享文獻，分析歸納導入ISMS所可能遭遇的主要問題，從而主張可以採用內容管理系統(CMS, Content Management System)的平台來協助組織導入ISMS。Drupal是一套結構簡單且具高擴展性模組化的開放源碼內容管理系統，不僅容易在其平台上建立客製化的應用系統，且有大量的社群可提供技術支援，故本研採用Drupal建置輔助系統，方便組織在導入符合國際標準的ISMS(如ISO 27001)時，可以集中管理各類相關資訊，評定資產價值，計算風險值，並提供組織申請ISO驗證時作為部份佐證資料的集中管理。 / As information technology is widely used in our daily work and life, incidents of information security also occurs from time to time. In May of 2005, the National Information & Communication Security Taskforce of R.O.C. instituted “The operational plan for classifying the information security duty grade of the government agencies”. The plan demands government agencies to establish technological support services along with management mechanisms for all potential security threats to provide effective information security management. In addition, all agencies whose security grade belongs to the A or B levels must pass the third party certification for ISO Information Security Standard within a specific deadline. However, as shown in the investigation report released by the government technology advisors in 2008, the achievement rate for information security certification on grade B government agencies is only 43%. Therefore, it is perceived that there are some difficulties in passing the information security certification This thesis analyzes and summarizes the main difficulties that organizations may encounter when establishing an ISMS by following the international IS standard ISO 27001. The analysis results show that document management is a key issue. Therefore, we claim that a content management platform is a good foundation to build an assistant for an organization to establish its ISMS. To demonstrate our proposal, we choose the open source content management platform, Drupal, to set up such an assistant. By fully utilizing the simpler yet extensible structures provided Drupal, we build up an assistant system that facilitates an organization to manage all related documents centrally, to assess asset values and calculate risk values by following the ISO 27001 information security international standard. These facilities will give the organization a very strong evidence of employing a centralized information security management system when applying for ISO certification

從不同的雲端趨勢調查報告中，可以發現雲端服務已成為時勢所趨，不論是企業在雲端採用的意願、應用系統雲端化的比例、雲端服務預算的占比，以及各雲端運算架構的採用率上皆隨時間逐年地成長，其中根據國際研究暨顧問機構Gartner指出，到2017年底將有近半數的大型企業將進行混合雲的部署，並且從IBM、微軟近年積極瞄準企業混合雲的商機(如: IBM投資將近十億美元來打造雲端平台「BlueMix」，預計能提升客戶混合雲部署的速度，而微軟所提供之「Microsoft Azure」雲端平台，讓客戶能夠輕鬆建置跨內部部署與雲端的應用程式)，皆可觀察出混合雲的發展愈來愈受到重視與看好。 本研究將從不同角度來探討在混合雲環境中，可能存在的問題與挑戰，例如: 對使用者而言，可能存在使用多組帳號的困擾與多組帳號管理上的風險與安全性之問題 ; 對雲之客戶端而言，由於可能將整合公有雲、私有雲等不同雲端部署類型之服務作應用，例如: 將本地端使用者在local端的檔案同步至數個雲端空間中(公、私有雲)作檔案異地備援的應用等，因此產生對不同雲服務存取授權之問題。而本研究提出一個混合雲身分驗證的架構，提供雲服務用戶建置及使用，期望解決在混合雲所面臨的問題，並達到混合雲的互通性、混合雲的單一登入、取得雲服務存取的授權，以及加強用戶帳戶驗證安全性之目的，且也將一併實作出基於此架構的系統。系統在實作上，將以目前支援OpenID Connect的公有雲提供商為例、私有雲將以OpenStack、Hadoop為例、本地端將以Windows、Linux Ubuntu為例，以及其他有自己獨自帳號與權限管理的雲為例。此外，本研究實作的系統也藉由公開的API介面，以服務的方式對外提供混合雲身分驗證服務，作為OpenID 身分提供者。

戶政機關所掌管個人自出生到死亡之機敏隱私戶籍記錄資料，為一切行政措施的基礎資訊，並與人民權益相關，在現今已全面電腦化，並透過資訊系統加以蒐集、使用、管理與流通之過程中，僅依現行法令規章及內政部制訂之系統安全管理規範似不足以確保個資之安全性，且無法完全防杜個資之外洩，造成民眾人身安全威脅與權益受損之風險。 面對個資保護等相關法制之推行及行政院於2009年1月訂頒「國家資通訊安全發展方案〈2009-2012年〉」之願景目標，新北市政府民政局預見其重要性並率先配合辦理，期為該市戶政機關建構一優質資安環境，於2011年6月份起擇轄內三重區戶政事務所導入資訊安全管理系統及中和區戶政事務所建置個資安全管理機制；本研究以上述兩戶政機關為個案，經由資訊安全管理觀點透過質性研究方式，深入探討戶政機關於資訊〈個資〉安全之相關實務管理問題，提出資訊〈個資〉安全管理重點與建議，以供新北市政府民政局未來規劃所轄戶政機關資訊安全管理之參據。 本研究歸結出新北市戶政機關資安管理現況問題，其分別為：一、新北市戶政機關普遍缺乏資訊專業人員與知能；二、新北市無訂定全市戶政機關戶政資訊管理規範；三、新北市戶政機關資訊安全編組及職掌疊床架屋；四、新北市戶政機關欠缺風險管理及評鑑執行能力；五、新北市戶政資訊稽核機制未完備且無專業稽核人員。 針對上述研究發現，本研究建議新北市政府民政局參照內政部規範之戶役政資訊系統安全防護需求，依據ISO 27001及個人資料保護法之規範，統籌律訂新北市各區戶政事務所資訊安全編組、風險管理及稽核機制，建立一套以落實資訊安全管理為目的，明確、有效、易於遵循之規範原則，供所屬戶政機關予以遵循，並透過教育訓練加強相關人員專業知能及執行能力，最後藉PDCA循環模型之作法，強化及落實個資保護目標。

由於資訊科技的快速進步，電子商務的盛行，組織的資訊環境隨之大幅變遷，資訊系統用者已由組織內部的特定人員，迅速擴大到無國界而不特定的任何人，組織對資訊系統的依賴亦日益加深，凡此種種，都使得組織的資訊安全面臨空前的挑戰。世界各地每天都在上演著，無孔不入的網路入侵，組織內部的人謀不臧，及層出不窮的各種災害，因此，舉世無不對資訊安全更加的重視，期望資訊安全管理理論能作為組織資訊安全管理之策略方針，建構一個與技術無關的資訊安全管理系統，並評估此一系統的有效可行，實為本研究之目標。 本研究經由文獻探討，實務觀察，將資訊安全管理理論歸納為：安全政策理論、風險管理理論、控制與稽核理論、管理系統理論、權變理論等五種，繼而針對上開理論之不足與侷限，建構資訊安全管理之「整合系統理論」，以因應組織資訊安全管理循序程序與權變程序之需，此一理論包括：安全政策、風險管理、內部控制與資訊稽核，以權變管理為基礎的資訊安全管理架構。繼而以「整合系統理論」之權變程序與「安全政策理論」為基礎，發展「安全政策模式」，進行因徑分析，經驗證結果，「組織性質」與「資訊組織規模」之大小會影響「資訊安全政策制定時間」之早晚，「資訊安全政策」會影響組織「資訊安全之提昇」，且其兩者之間有因果關係。 本研究進而建構「影響資訊安全因素架構」，就資訊安全影響因素66項，對資訊人員進行問卷調查，經以因素分析結果，萃取八個因素構面，再以「整合系統理論」為基礎，轉化為「影響資訊安全關鍵因素架構」，包含8個關鍵因素構面。本研究以上開研究為基礎繼續發展「資訊安全評估總體指標」之層級結構，含9項評估構面，其最底層之評估準則共37項。繼而以層級程序分析法（AHP）就資訊安全評估總體指標各評估構面與評估準則進行權重評估，其評估構面權重之重要程度，依序為：「安全政策與資源」、「人員安全」、「存取控制」、「系統與網路」、「風險管理」、「實體安全」、「業務持續運作」、「資訊稽核」、「軟體管理」等，再結合目標，評估構面與評估準則之權重，建構「資訊安全多準則評估模式」。 本研究進而以實務探討及個案研究，驗證研究結果之可用性，對於組織解決資訊安全問題之管理、產品與工具、委外服務之策略，及資訊安全管理程序等，經訪查結果顯示：組織解決資訊安全問題，具有權變管理的多元程序之特性，並發展諸多命題。又以真實個案採用「資訊安全多準則評估模式」，進行資訊安全評估，經驗証結果顯示模式的可用性。