109 年 國立政治大學資訊管理學系碩士班資管組《管理資訊系統》

本題主要在探討資訊系統中的風險評估（Risk Assessment）功能與執行方式。

核心觀念： 風險評估是資訊安全管理中的關鍵步驟，旨在識別、分析和評估潛在的威脅與脆弱性，以確定其對組織的潛在影響，並據此制定應對策略。

詳解：

風險評估的功能：
風險評估的主要功能是為組織提供對其資訊資產所面臨的潛在威脅和脆弱性的清晰認識。其具體功能包括：

1. 識別威脅與脆弱性： 找出可能損害資訊系統的內部和外部威脅（如惡意軟體、人為錯誤、系統故障、自然災害）以及系統中存在的弱點（如過時的軟體、弱密碼、未經授權的存取）。
2. 評估風險等級： 根據威脅發生的可能性（Likelihood）和一旦發生所造成的影響（Impact），量化或定性地評估風險的嚴重程度。這有助於組織區分哪些風險是最緊迫和需要優先處理的。
3. 支持決策制定： 提供決策所需的資訊，幫助管理層決定應投入多少資源來降低風險，以及採取何種安全措施（如導入新的技術、修改政策、加強員工培訓）。
4. 滿足合規性要求： 許多行業標準和法規（如 GDPR, HIPAA, ISO 27001）都要求組織進行風險評估，以確保資訊安全和隱私。
5. 優化資源分配： 透過了解風險的優先級，組織可以更有效地分配安全預算和人力資源，將重點放在最關鍵的領域。

風險評估的執行方式（以資訊系統為例）：
風險評估通常是一個系統性的過程，可分為以下幾個主要步驟：

1. 資產識別 (Asset Identification)：

   • 首先，需要識別組織中所有重要的資訊資產，包括硬體（伺服器、工作站、網路設備）、軟體（應用程式、作業系統）、數據（客戶資料、財務記錄、知識產權）、服務（電子郵件、資料庫）以及人員和設施。
   • 為每項資產分配價值，以幫助後續評估其受損時的影響。

2. 威脅識別 (Threat Identification)：

   • 識別可能威脅資產的潛在來源，例如：
     • 自然威脅： 火災、水災、地震。
     • 技術威脅： 惡意軟體（病毒、勒索軟體）、網路攻擊（DDoS、SQL 注入）、系統故障。
     • 人為威脅： 員工疏忽、內部惡意行為、外部駭客。
     • 環境威脅： 電力中斷、空調失效。

本題探討資訊系統（IS）的主要策略性商業目標，以及企業如何從大數據分析（Big Data Analytics）中創造策略性商業價值。

核心觀念： 資訊系統不僅是支援營運的工具，更是驅動企業達成策略性目標、獲取競爭優勢的重要引擎。大數據分析是現代企業獲取洞察、推動創新的關鍵能力。

詳解：

資訊系統的主要策略性商業目標 (Main Strategic Business Objectives of Information Systems)：

資訊系統的策略性目標通常圍繞著如何幫助企業在競爭激烈的市場中脫穎而出，實現長期發展。這些目標可以歸納為以下幾點：

1. 提升營運效率與生產力 (Enhance Operational Efficiency and Productivity)：

   • 透過自動化重複性任務、優化流程、精簡供應鏈，降低成本、縮短週期時間、提高產出。
   • 例如：企業資源規劃（ERP）系統整合各部門資訊，實現流程自動化；供應鏈管理（SCM）系統優化物流與庫存。

2. 支持決策制定 (Support Decision Making)：

   • 提供即時、準確的資訊，幫助管理者做出更明智的策略性決策。
   • 例如：管理資訊系統（MIS）提供營運報表；商業智慧（BI）和分析工具提供數據洞察，支持市場進入、產品開發等決策。

3. 促進創新與差異化 (Foster Innovation and Differentiation)：

   • 開發新的產品、服務或商業模式，以滿足客戶未被滿足的需求，或提供與競爭對手不同的價值。
   • 例如：電子商務平台創造新的銷售管道；客戶關係管理（CRM）系統用於開發個性化服務。

4. 建立與維持競爭優勢 (Build and Sustain Competitive Advantage)：

   • 利用資訊系統的獨特性，創建難以被競爭對手模仿的優勢，例如：低成本領導、產品差異化、市場集中。
   • 例如：亞馬遜利用其強大的物流與數據分析能力，提供卓越的客戶體驗和極具競爭力的價格。

5. 增強客戶關係與忠誠度 (Strengthen Customer Relationships and Loyalty)：

   • 透過深入了解客戶需求、提供個性化互動和優質服務，提升客戶滿意度和忠誠度。
   • 例如：CRM 系統追蹤客戶互動歷史，實現精準行銷與客製化服務。

6. 促進協作與知識共享 (Facilitate Collaboration and Knowledge Sharing)：

   • 透過協同作業工具和知識管理系統，打破部門壁壘，促進員工之間的溝通、協作和知識傳播。
   • 例如：內部社群平台、共享文件系統。

企業如何從大數據分析中創造策略性商業價值 (How a Firm Can Create Strategic Business Value from Big Data Analytics)：

本題要求分析 QR Code 和 NFC 在行動支付服務中，各自面臨的資訊安全疑慮。

核心觀念： 雖然 QR Code 和 NFC 技術在行動支付領域具有潛力，但它們的技術特性也帶來了不同的安全風險，需要加以辨識和管理。

詳解：

QR Code 在行動支付中的資訊安全疑慮：

QR Code 是一種二維條碼，可以儲存大量資訊。在行動支付中，QR Code 通常用來傳送支付指令、商家資訊、連結到支付頁面等。

1. 惡意連結與釣魚攻擊 (Malicious Links and Phishing Attacks)：

   • 攻擊者可以製作惡意的 QR Code，其中包含導向釣魚網站的連結。當用戶掃描後，可能會被誘導輸入敏感資訊，如帳號密碼、信用卡號碼。
   • 機制： 攻擊者可能將惡意 QR Code 貼在合法 QR Code 的位置上，或透過電子郵件、簡訊等方式散播。

2. 數據攔截與篡竊 (Data Interception and Tampering)：

   • 雖然 QR Code 本身是靜態資訊，但如果 QR Code 產生的交易過程（例如，掃描後連結到一個不安全的支付伺服器）缺乏加密，則傳輸中的支付資訊可能被攔截或修改。
   • 機制： 攻擊者可能在用戶端或伺服器端進行中間人攻擊（Man-in-the-Middle, MITM），竊取或篡改傳輸數據。

3. 惡意應用程式觸發 (Malicious Application Triggering)：

   • 某些行動裝置上的 QR Code 掃描器應用程式可能存在漏洞，或者被惡意軟體感染，進而執行非預期的操作，例如自動下載惡意軟體或進行未經授權的交易。

4. 資訊洩漏 (Information Leakage)：

   • QR Code 本身可能包含不應公開的資訊，例如某些交易的細節、用戶的識別碼等，如果 QR Code 被未經授權者取得，這些資訊就可能洩漏。

NFC 在行動支付中的資訊安全疑慮：

NFC（Near Field Communication）是一種短距離無線通訊技術，允許兩台設備在幾公分內進行數據交換。

核心觀念

本題考查資訊系統如何支援自動駕駛車處理涉及生命安全與道德判斷的情境，重點在於決策支援系統、人工智慧、資料治理與資訊倫理。

自動駕駛車必須在極短時間內感知道路狀況、預測各種行動的結果，再依預先制定的規則採取行動。資訊系統能提升判斷的一致性與反應速度，但系統本身無法決定社會應採用哪一種道德原則；這些原則須由法律、主管機關與社會共同建立。

解題方法

可從「資料蒐集—風險分析—政策執行—事後問責」四個環節說明資訊系統的作用。

1. 即時蒐集並整合資訊
   車載感測器與資訊系統辨識行人、機車、乘客、障礙物、車速及路面狀況，整合即時資料，降低因視線不良或單一感測器誤判而造成的風險。

2. 預測行動結果並評估風險
   系統可模擬煞車、轉向等行動對車內乘客與道路使用者的影響，估計每種行動造成的傷亡風險。例如，可用期望損害表示評估架構：

   $$E(H \mid a)=\sum_{i=1}^{n} P(i\text{ 受傷或死亡}\mid a)\times S_i$$

   其中，$a$ 是一項行動，$P$ 是該行動下各人的傷亡機率，$S_i$ 是傷害嚴重程度。這種計算可協助比較風險，但傷害如何衡量、不同人的風險如何權衡，仍須依社會認可的倫理規範制定，不能只交給演算法自行決定。

本題要求分析支持區塊鏈（Blockchain）技術的效益是否值得企業投資的相關理論。

核心觀念： 區塊鏈技術以其去中心化、不可篡、透明等特性，在多個領域展現潛力，但也面臨諸多挑戰。評估其投資價值需要結合經濟學、資訊系統、組織理論等多方面的觀點。

詳解：

區塊鏈技術的核心在於其「分佈式帳本技術」（Distributed Ledger Technology, DLT），它允許網絡中的多個參與者共同維護一個不斷增長的記錄列表，每個記錄（區塊）都通過密碼學鏈接在一起，形成一個不可篡改的鏈條。這提供了一種無需中心化權威即可建立信任和驗證數據的方法。

以下是一些支持區塊鏈技術投資效益的理論和觀點：

1. 交易成本經濟學（Transaction Cost Economics, TCE）：

   • 理論基礎： 由 Ronald Coase 提出，認為企業存在的理由是為了降低市場交易成本。當市場交易成本高於企業內部協調成本時，企業便會出現。
   • 支持區塊鏈的論點： 區塊鏈技術可以顯著降低「信任成本」和「協調成本」。
     • 降低信任成本： 在傳統的多方交易中，需要中間人（如銀行、公證人）來建立信任和驗證交易，這會產生額外的費用和時間。區塊鏈的去中心化和加密機制，使得參與者無需信任彼此，即可通過共識機制（如工作量證明 PoW、權益證明 PoS）來驗證交易的有效性，從而繞過中間人，降低了信任成本。
     • 降低協調成本： 區塊鏈的共享、透明和不可篡改的帳本，使得所有參與者都能看到一致的交易記錄，減少了數據不一致、信息不對稱和爭議的發生，從而降低了協調成本。
   • 投資價值： 透過降低交易成本，區塊鏈可以優化供應鏈管理、跨境支付、版權管理等需要多方協作且信任成本高的場景，從而為企業帶來效率提升和成本節約。

2. 網絡效應（Network Effects）：

   • 理論基礎： 一個產品或服務的價值，隨著使用它的用戶數量的增加而增加。
   • 支持區塊鏈的論點： 區塊鏈網絡的價值取決於參與者的數量和活躍度。越多的用戶、節點和應用程序加入區塊鏈生態系統，其安全性、去中心化程度和潛在應用場景就越豐富，從而吸引更多用戶，形成正向循環。
   • 投資價值： 早期對有潛力成為主流的區塊鏈平台進行投資，可以在網絡效應形成時獲取巨大的回報。同時，企業可以利用區塊鏈構建自己的生態系統，吸引合作夥伴和客戶。

3. 平台理論（Platform Theory）：

   • 理論基礎： 平台是一種商業模式，旨在連接兩方或多方（如買家和賣家、開發者和用戶），並促進他們之間的互動和交易。
   • 支持區塊鏈的論點： 區塊鏈本身可以被視為一種基礎設施平台，為構建去中心化應用（DApps）提供了底層支持。智能合約（Smart Contracts）更是將平台的能力延伸到自動執行協議，無需人工干預。
   • 投資價值： 企業可以投資於開發基於區塊鏈的平台或應用，抓住去中心化應用生態系統發展的機遇，例如 DeFi（去中心化金融）、NFTs（非同質化代幣）等。

4. 資訊經濟學（Information Economics）與產權經濟學（Property Rights Economics）：

   • 理論基礎： 關注信息不對稱、產權界定和保護等問題。
   • 支持區塊鏈的論點：