[[alternative]]A study of information security governance- a case study of government sectors

碩士[[abstract]]根據行政院研考會(Research, Development and Evaluation Commission, Executive Yuan, RDEC)指出，高達90%以上的政府機關表示，在落實資通安全管理及防護時，資通安全技術能力需加強、缺乏相關經費、沒有專責處理人員為三項極待克服的困難。於是政府開始思考可否藉由資通安全治理(Information Security Governance, ISG)的機制，使機關首長更能參與資安相關活動而改善上述問題。因此，行政院科技顧問組(Science and Technology Advisory Group of Executive Yuan, STAG)於「資安推動發展政策整合研究－資安治理機制與資安建設持續發展規劃委託研究計畫」中，將資通安全治理納為研究議題之一，期望藉由此計畫發展適用於我國政府機關的資通安全治理制度。 本研究之作者曾參與計畫中。該計畫是以資通安全治理為主軸，除了發展適用於我國政府機關的資通安全治理制度，並研擬適用於政府部門機關之資通安全治理成熟度評估工具。本研究採用個案研究的多重個案整體設計類型為研究方法，邀請三政府機關進行資通安全治理成熟度的評估，並搭配深入訪談活動，深入了解其資通安全工作落實程度與現況，且進一步探討未來落實資通安全治理可能遇到的困難。本研究成果主要利用資通安全治理成熟度評估工具評估三機關之資安治理成熟度並了解其現況，且研擬建議的五階段執行步驟，並提出未來落實可能遭遇人力與經費不足等的困難。[[abstract]]According to the report of RDEC (Research, Development and Evaluation Commission, Executive Yuan), more than 90% government sectors indicate that there are three imperative difficulties awaited being overcome, including the abilities of information security, a lack of related experiences and dedicated personnel. Therefore, the government starts to contemplate the problems and expects the officer of each government sector could pay close attention and join more security-related activities through adopting Information Security Governance Mechanism. Hence, STAG (Science and Technology Advisory Group of Executive Yuan) proposed a research plan developing Information Security Governance Mechanism which fits government sectors of our country. The author of this study is one of the members of the research plan. This research plan develops an Information Security Governance Maturity Assessment Tool in addition to government sectors’ Information Security Governance Mechanism. Through multiple case studies and in-depth interview, we discuss three government sectors’ ISG Maturity and real conditions of information security, and further, propose potential difficulties. The research indicates three government organizations’ ISG maturity and real security conditions, recommend execution steps and proposes the difficulties of human resources and budget.[[tableofcontents]]中文摘要.................................................. I 英文摘要................................................. II 目錄.................................................... III 圖目錄.................................................... V 表目錄................................................... VI 第壹章 緒論.............................................. 1 第一節 研究背景與動機.................................... 1 第二節 研究目的.......................................... 2 第三節 研究範圍與限制.................................... 3 第四節 論文架構.......................................... 3 第貳章 文獻探討.......................................... 5 第一節 治理之定義........................................ 5 第二節 IT治理之定義...................................... 6 第三節 資通安全治理...................................... 9 一、資通安全治理之定義.................................. 9 二、資通安全治理與IT治理............................... 15 第四節 資安治理成熟度之內涵............................. 17 第五節 國內外相關文獻................................... 21 第參章 研究設計......................................... 26 第一節 研究方法......................................... 26 第二節 研究對象......................................... 26 第三節 研究流程......................................... 29 第四節 資安治理成熟度評估問卷設計....................... 31 第五節 過程分析......................................... 32 一、資料蒐集過程分析..................................... 32 二、問卷設計過程分析..................................... 33 三、訪談過程分析......................................... 35 第肆章 研究結果與分析................................... 36 第一節 三機關資安治理成熟度評估結果..................... 36 第二節 現況分析......................................... 38 一、機關資安治理成熟度差異分析........................... 38 二、訪談內容比較......................................... 42 三、訪談結果分析......................................... 43 第三節 資通安全治理建議執行步驟......................... 46 第四節 可能遭遇之困難................................... 47 第伍章 結論與建議....................................... 49 第一節 結論............................................. 49 第二節 建議............................................. 50 誌謝..................................................... 51 參考文獻................................................. 52 附錄一 機關資通安全治理訪談內容......................... 56 附錄二 機關資通安全治理成熟度評估問卷(修訂前)........... 73 附錄三 機關資通安全治理成熟度評估問卷(修訂後)........... 82 圖1 IT治理架構圖...........................................8 圖2 資通安全治理概念模式圖................................11 圖3 資通安全治理構成要素..................................14 圖4 資通安全治理與IT治理關係圖............................16 圖5 公司治理、IT治理、資通安全治理等三者關係圖............17 圖6 資通安全治理成熟度模型................................18 圖7 研究流程圖............................................29 表1 資通安全治理成熟度評估表..............................21 表2 國內相關文獻..........................................22 表3 國外相關文獻..........................................24 表4 機關A之業務職掌.......................................27 表5 機關B之業務職掌.......................................28 表6 機關C之業務職掌.......................................28 表7 三機關資安治理成熟度評分結果..........................36 表8 三機關業務IT依賴度結果................................36 表9 三機關資安治理成熟度之整體評價........................37 表10 機關資通安全治理訪談彙整.............................38 表11 三機關重點對照表.....................................43[[note]]學號: 695630441, 學年度: 9