26. Arc 公司於數日前遭受電子郵件社交工程攻擊，員工點選外 部寄來的電子郵件並開啟電子郵件夾帶的勒索軟體，造成公 司內容多台電腦內的檔案被加密。經過事件風險評鑑後，發 覺針對此類事件未來改善的方式為：事前缺乏教育訓練，以 及事發時未有備份資料足以提供使用者復原使用。請問，上 述所指二種控制措施，分別屬於何種控制措施類型？
(A) Detective & Corrective
(B) Corrective & Detective
(C) Preventive & Corrective
(D) Detective & Preventive

答案：登入後查看
統計： A(16), B(25), C(266), D(52), E(0) #3415901

詳解 (共 1 筆)

#6415367

總結

在資安控制分類中，預防性（Preventive）控制旨在事前減少事故發生的機率，例如通過教育訓練提高員工的安全意識；而修正性（Corrective）控制則在事故發生後，協助恢復系統至正常狀態，例如透過備份與還原機制修復受損資料。因此，「事前缺乏教育訓練」屬於需補強的預防性控制，而「事發時未有備份資料足以提供使用者復原」則屬於需補強的修正性控制【(PurpleSec)】【(6clicks.com)】。

控制措施對應

  • 教育訓練（Security Awareness Training）→ 預防性控制

    • 說明：透過定期的安全教育與演練，可提升員工對社交工程與惡意郵件之警覺性，降低點擊惡意連結的風險，屬於典型的預防性控制手段【(PurpleSec)】。

  • 備份與還原（Backup and Restoration）→ 修正性控制

    • 說明：當勒索軟體或其他攻擊導致資料加密或毀損後，充足且可靠的備份能快速恢復系統與檔案，減少業務中斷時間，屬於修正性控制範疇【(6clicks.com)】。

正確答案

(C) Preventive & Corrective。
教育訓練屬於預防性控制，備份機制屬於修正性控制。

0
0