複選題
9. 關於 OWASP (Cyber Defense Matrix，CDM)網路防禦矩陣 基本結構的敘述，下列何者錯誤？
(A) 網路防禦矩陣(Cyber Defense Matrix,CDM)可協助 企業的整體資安綜合防護評估更有邏輯與結構
(B) 矩陣基本結構可區分為 NIST 網路安全框架 (Cybersecurity Framework，CSF)的五個功能以及 以資產類別為主的兩個維度
(C) NIST 網路安全框架(Cybersecurity Framework， CSF)之框架核心(Framework Core)的五個功能維 度包含識別(Identify)、保護(Protect)、偵測 (Detect)、回應(Respond)與資產管理(Asset Management)
(D) 資產類別維度包含設備(Devices)、應用程式 (Application)、網路(Network)，資料(Data)與 人員(User)

(A) 網路防禦矩陣(Cyber Defense Matrix, CDM)可協助企業的整體資安綜合防護評估更有邏輯與結構

• 解釋：Cyber Defense Matrix（CDM）由 OWASP 推廣，是一個用於組織和理解資安能力的框架。它透過將安全控制對應到 NIST 網路安全框架（CSF）的功能和資產類別，協助企業以更有邏輯和結構的方式評估和強化其整體資安防護。因此，選項 A 是正確的。

(B) 矩陣基本結構可區分為 NIST 網路安全框架 (Cybersecurity Framework，CSF)的五個功能以及以資產類別為主的兩個維度

• 不確定B的選項錯在哪裡。

(C) NIST 網路安全框架(Cybersecurity Framework，CSF)之框架核心(Framework Core)的五個功能維度包含識別(Identify)、保護(Protect)、偵測(Detect)、回應(Respond)與資產管理(Asset Management)

• 解釋：NIST CSF 的框架核心包含五個功能維度：

1. 識別（Identify）
2. 保護（Protect）
3. 偵測（Detect）
4. 回應（Respond）
5. 復原（Recover）

• 「資產管理（Asset Management）」不是五個主要功能之一，而是屬於「識別（Identify）」功能下的一個類別。因此，選項 C 的描述是錯誤的。

(D) 資產類別維度包含設備(Devices)、應用程式(Application)、網路(Network)、資料(Data)與人員(User)

• 解釋：在 CDM 中，垂直維度的資產類別包括：

1. 設備（Devices）
2. 應用程式（Applications）
3. 網路（Networks）
4. 資料（Data）
5. 人員（Users）

• 這五種資產類別構成了矩陣的垂直軸，用於對應安全控制到不同的資產領域。因此，選項 D 的描述是正確的。