资讯管理概要.PDFVIP

102年高上高普考 ‧ 高分詳解 《資訊管理概要》 一、在資訊安全（Information Security）上提到利用密碼系統保護資訊必須提供下列功能：機密 性（Confidentiality ）、鑑定性（Authenticity ）、完整性（Integrity ）與不可否認性 （Non-repudiation），請定義此四個功能。（20分） 此題為98年地特、 100年關務及 100地特之類似題，但與以往不同是此題點出「密碼系統」提供之 點 高 功能，且使用了一個前所未見的中文翻譯「鑑定性」，增加考生困惑。實際上密碼系統即是密碼 試題評析 學，鑑定性即為不可否認性，都是考生熟悉的範圍。 由於此題配了20分，因此在作答時除了寫出基本的定義，還要搭配防護技術與案例，才能拿到高 分。 102年《資訊管理與資通安全》講義第五回，金乃傑編著，P.80 考點命中 102年《資訊管理與資通安全》總複習講義，金乃傑編著，考點26 答 ： 資訊安全是組織為保護其資訊資源的一套技術與管理流程。依提意以下說明透過密碼系統達到之機密性、鑑定 性、完整性與不可否認性的定義及內容： (一)機密性（Confidentiality）：確保只有獲得授權的使用者才能存取資訊，保護資訊不被未授權存取或揭露。 密碼系統提供了加密機制，可以確保資訊在傳輸與儲存時，不會被未授權的使用者檢視其內容。例如我們 透過SSL（Secure Sockets Layer）對網頁瀏覽加密，可以避免駭客竊取我們在網頁上輸入的信用卡號碼；此 ‧ 外也可以在Windows系統中使用EFS（Encrypting File System）對個人資料夾加密，避免其他使用者讀取該資 料夾之內容。 (二)鑑定性（Authenticity）：即為身分認證性，當傳送方送出資訊時，就必須能確認傳送者的身分是否為冒 名。密碼系統使用公開金鑰基礎建設（PKI）確保網路使用者身分的有效性，在PKI架構中，有成對之公開 金鑰與私密金鑰，兩金鑰可互為加解密。如此設計當使用者以自己的私密金鑰加密時，唯有他的公開金鑰 上 高 可以為此資訊解密，即可確認他人無法假冒使用者發訊息。 (三)完整性（Integrity）：保護資訊與處理方法的精確性與完整性，確保資訊沒有不適當的修改或損毀。密碼系 統使用MD5或SHA1等雜湊（Hash）演算法對資訊進行摘要（Digest）。當資料只要有一個bit差異時，所產 生的訊息摘要就完全不同。如此只要比對訊息摘要是否相符，便可以確認資料為操竄改。例如網路上的開 放軟體常在下載處公布其軟體之MD5摘要編碼，讓下載者比對下載後之檔案與網站上之編碼是否相符，若 相符則代表下載到的是正確版本的軟體。 (四)不可否認性（Non-Repudiation）：使用者已使用或接受某項服務時，不能否認其未使用過。不可否認性是鑑 定性的延伸，鑑定性代表的是確認使用者是誰（Who you are?），而不可否認性還要進一步確認使用者從事 了那些操作行為（What you do?）。在密碼系統中，由於PKI的架構可以確保無法假冒他人發送訊息，因此 當有訊息時，也可以確定「此訊息的確由此人發出」之不可否認性。 密碼系統是資訊安全中最基礎的技術環節，提供著技術面的基礎架構。但上述四個特性仍需要仰賴妥善的管理 才能發揮作用。例如若私密金鑰遭竊，則就算有再高級的系統環境，仍然難以完成所需之安全目標。 二、順向工程及逆向工程提供了不同的方式來發展系統模型，請解釋何謂順向工程（Forward Engineering ）及逆向工程（Reverse Engineering），並說明什麼是功能性需求（Functional Requirement）與非功能性需求（Nonfunctional Requirement）？（20分） 此題為系統分析的考題，需比較區分兩組相關的名詞並加以定義。由於名詞有相關，在說明時便 試題評析