資訊處理 114 年資訊系統與分析考古題

㈠請說明安全軟體發展生命週期（Secure Software Development Life Cycle, SSDLC）與傳統SDLC 的差異，並解釋SSDLC 為何在軟體開 發過程中必須納入安全性需求。（10 分） ㈡請設計一個完整的SSDLC 安全治理模型，涵蓋「政策（Policy）」、 「流程（Process）」、「技術（Technology）」，並解釋如何確保系統從需 求到維護全程符合法規與標準（如：ISO 27001、資通安全管理法等）。 （15 分）

在系統發展生命週期（System Development Life Cycle, SDLC）的需求規 劃階段，如何結合零信任原則（Zero Trust Principles），以確保系統符合 法遵對於個人隱私的要求（如：個人資料保護法與GDPR 的隱私要求）？ （25 分）

㈠何謂「軟體物料清單（Software Bill of Materials, SBOM）」？（10 分） ㈡在系統建置階段，如何結合SBOM 與零信任原則，確保開源元件在部 署前即通過驗證與漏洞檢查？（15 分）

請說明黑箱測試（Black-Box Testing）與白箱測試（White-Box Testing） 的差異，並說明在什麼情境下適合使用這兩種測試方法。（25 分）