複選題

16. 為了全面強化該金控的資料存取安全，資安團隊計畫導 入身分治理與管理(Identity Governance and Administration，IGA)解決方案。下列哪 些功能屬於 IGA 的核心範疇，能直接協助解決上述審計發現的權限問題？
(A)自動化存取認證(Access Certification/Review)：定期觸發權限盤點流程，要求主 管確認員工權限的必要性
(B) 角色挖掘(Role Mining)：分析現有權限分配，確保維持現行角色權限模型不調 整
(C) 網頁應用程式防火牆(WAF)：過濾針對 Web 應用層的 SQL Injection 攻擊
(D) 權限生命週期管理(Entitlement Management)：處理人員到職、轉調、離職時的 權限自動開通與回收

答案：登入後查看
統計： A(17), B(4), C(10), D(18), E(0) #3871551

詳解 (共 1 筆)

#7363093

這是一題關於 身分治理與管理 (IGA) 核心功能及其在金融稽核情境應用的複選題。IGA 的目標是確保「正確的人，在正確的時間，以正確的原因，擁有正確的權限」。

正確答案：(A)、(D)

題目情境與問題點分析

  • 發現 (1)：權限過大且缺乏審核紀錄（客服人員可修改信用額度）。

  • 發現 (2)：權限配置不當且長期持有（開發人員常態性擁有資料庫讀取權限，違反最小權限原則）。

  • 發現 (3)：遠端存取缺乏邊界控管（VPN 一旦建立即可存取全網段）。

各選項詳解與對錯原因

(A) 自動化存取認證 (Access Certification/Review) —— 正確

  • 原因： 這是 IGA 解決「權限過大」與「常態持有權限」最直接的手段。

  • 對應點： 透過定期盤點流程，要求主管重新審查客服人員（發現 1）與開發人員（發現 2）是否仍需要這些敏感權限。如果主管認為不再必要，權限會被自動回收，直接解決權限蔓延（Entitlement Creep）的問題。

(B) 角色挖掘 (Role Mining) —— 錯誤

  • 原因： 角色挖掘的目的是「優化」權限模型，透過分析現有權限來定義更精確的「角色」（RBAC）。

  • 錯誤點： 選項敘述提到「確保維持現行角色權限模型不調整」是錯誤的。角色挖掘的目標通常是為了「調整並改善」現有混亂的權限分配，找出不合理的權限組合，而非維持現狀。

(C) 網頁應用程式防火牆 (WAF) —— 錯誤

  • 原因： WAF 屬於「網路安全」範疇的防護設備，用於防禦應用層攻擊。

  • 錯誤點： WAF 無法解決內部的「身分治理」與「權限配置」問題。雖然它能擋住 SQL Injection，但無法防止一個擁有合法權限的開發人員進入資料庫讀取資料（發現 2），這不在 IGA 的核心範疇內。

(D) 權限生命週期管理 (Entitlement Management) —— 正確

  • 原因： 這確保了人員職務變動時權限能即時更新。

  • 對應點： 針對「發現 2」，如果開發人員是因為專案需求暫時獲得權限，當專案結束或人員轉調時，生命週期管理能「自動回收」該權限，防止權限變成長期性（常態性）擁有。這能確保權限隨職務狀態動態調整，落實最小權限原則。

核心知識補充

IGA 主要由兩個部分組成：

  1. Identity Administration (IA): 偏重於技術落實，如自動開通/回收（Provisioning）、單一登入（SSO）。

  2. Identity Governance (IG): 偏重於合規與稽核，如存取盤點（Certification）、職能分工（SoD）審核。

本題中，存取認證 (A) 屬於治理面，生命週期管理 (D) 屬於管理面，兩者結合能有效修正上述審計發現的權限缺陷。

0
0