Q20.
有關資訊系統安全措施，下列敘述何者「不正確」？
資訊相關職類共用工作項目 · Q20
難易度分析
2 / 5
本題結構為否定式單一選項題，主要測驗對基本安全防護觀念之辨識力。四項敘述中僅有一項明顯不符防護常理，其餘皆為實務標準規範。由於內容屬入門領域之共識性原則，題目無須複雜邏輯推演或細節法規查證，著重於核心觀念之直接比對與排除，故歸類為基礎難度層級。
正確答案：②系統管理者統一保管使用者密碼
② 系統管理者統一保管使用者密碼:系統管理者統一保管使用者密碼嚴重違反最小權限原則與責任歸屬原則。正確做法是密碼僅由使用者本人知悉，系統端應以單向雜湊函數（如 SHA-256）儲存，且管理者不得掌握明文密碼，否則將導致身分冒用與稽核追蹤失效。
錯誤選項解析
- ① 加密保護機密資料:加密技術（如 AES、RSA）是保護機密資料的核心手段，透過將明文轉換為密文，確保即使資料遭攔截也無法被未經授權者讀取，符合資訊安全CIA 三元組中的機密性（Confidentiality）要求。
- ③ 使用者不定期更改密碼:使用者不定期更改密碼可降低密碼遭破解或外洩後的風險暴露時間，屬於預防性控制措施。配合密碼複雜度要求與歷史密碼檢查，能有效防禦字典攻擊與暴力破解。
- ④ 網路公用檔案設定成「唯讀」:將網路公用檔案設定為「唯讀」權限是實踐最小權限原則（Principle of Least Privilege）的具體做法，可防止未經授權的篡改或刪除行為，確保檔案的完整性（Integrity）。
Learning Tip
"本題考點在於辨別「不正確」的安全措施。常見陷阱是將「集中管理」誤認為有效做法，但密碼管理必須遵循「個人專屬責任」原則，系統管理者僅負責維護密碼策略（如長度、複雜度、過期規則），而非保管密碼本身。另外需注意「不定期改密碼」在此題脈絡中指「非固定週期更換」，目的是讓攻擊者無法預測更換時機，屬於傳統資安檢定的標準觀念。"
學員答題分佈
①加密保護機密資料0%
②系統管理者統一保管使用者密碼0%
③使用者不定期更改密碼0%
④網路公用檔案設定成「唯讀」0%
此答題分佈是根據學員在 LongePass 模擬考等實際作答紀錄計算而成。與考友分享這道歷屆試題與詳細解析！