CISA 24 條答題心法導讀:題目怎麼考、怎麼不被騙|胖胖老爹拆題所

CISA 的題目看似零散,其實反覆用同一批邏輯:先看這題在比什麼,再看選項放錯了角色、時點還是對象。這批邏輯整理成 24 條心法,碰到不認得的名詞,也能先刪掉幾個選項。

這篇是導讀,24 條分七組,每條講它怎麼考,以及最常見的陷阱。不必一次背完,做錯題時回來對照最有用。

甲、答題策略:換一個限定詞,答案就換

FIRST:選項多半都是合理的步驟,要挑的是它不先做、別的都做不下去的那一個。陷阱:看似也在釐清現況的後續步驟(評估影響、翻日誌),以及稽核人員自己動手。
NEXT:前幾步已替你走完,先判斷事情停在哪一站:正在出事就通知負責人,缺失事實已明就記錄並報告。陷阱:事情還沒查清,就搶著寫報告或往上呈。
MOST important:不比名頭大小,看題幹圈出的目的,逐項檢查少了它,目的還能不能達成。陷阱:章程、完整清冊這類看似最根本的選項,常不是這題的前提。
BEST:選項多半都有點用。先剔除管別件事的、光憑說法的、小題大作的,再選治根因、管到整件事的。陷阱:「也對、只差一號」的選項,如題目問每一筆對不對,卻選只到批次的總數。
GREATEST:比哪個讓目的落空、讓人或資料真的受害;有人身安全的選項,人命優先。陷阱:聯絡名單沒更新、文件改版晚這類形式缺漏,最像缺失,卻補得回來。
PRIMARY:問的是主角自己的職責,也就是名字講的那件事,選它直接做出的結果。陷阱:更高遠的選項,如問事件管理卻選「防止再發生」,那是問題管理的職責。
MOST effective:選直接打中題目風險、全程都在運作的控制。陷阱:一律選預防,或一見「已有權限」就選監控。分工或系統擋得住就選它,擋不住才靠監控和對帳。

獨立性:只評估、給建議,不替管理階層設計或動手;自己碰過的不審,有衝突先向稽核管理階層揭露。陷阱:看似有原則的做法,如直接拒絕、只在報告註明、讓當事人做最終複核。
風險導向:決定稽核先查哪裡,靠風險評估。陷阱:題目點名特定東西時,泛稱的「風險評估」答非所問;風險胃納看風險政策,復原先後看營運衝擊分析(BIA)。
證據為本:親眼看到、自己測出的結果,強過文件和對方的說法。陷阱:政策、合約罰則、對方交來的整理資料或截圖,只證明規定了什麼,證明不了現在有沒有在運作。
先了解、再行動:先弄清楚原因、影響範圍和誰負責,再動手。陷阱:原因未明就急著寫報告、封鎖、採購工具、對外說明。例外:通知負責人、換掉可能外流的密碼。

IT 對齊業務:方向是業務、IT 策略、政策,證明對齊要看業務方點頭的紀錄。陷阱:題目問的是稽核目標、追蹤或基準時,「與業務目標一致」只是背景,不是答案。
職責分界:一件事有人拍板、有人把關、有人事後檢查,稽核人員只站最後一格。陷阱:「未經高層核准」常只是形式;政策沒有擁有者核准、變更未經核准就上線,才是真缺失。

預防、偵測、矯正:預防優先,但要真的擋得住;系統強制的,比仰賴人記得的可靠。陷阱:一律刪掉訓練、自動上鎖的螢幕保護;風險出在人不懂、離座不鎖時,它們就是答案。
職務分工:付款、程式上線不能由同一人從頭做到尾;拆不開時,補上另一人覆核,或讓他動不了紀錄。陷阱:背景調查、輪調這類看似有紀律的措施,碰到「另一人覆核」就輸了。

資料擁有者:拍板的是擁有者(含使用者管理階層);管理員、專案經理負責動手,資安單位訂準則。陷阱:見「擁有者」就選;有政策、盤點可選時,先指派擁有者是順序顛倒。
CIA(機密性、完整性、可用性):先判斷資料最怕哪一根受傷:外洩、被改或漏、無法使用,還是無從追究是誰做的,再選對應的控制。陷阱:「加密」只防偷看;問備份時,叢集、熱站是冗餘,不是備份。
事件應變順序:人命、確認、圈範圍、圍堵、根除、復原,對外通知和查根因在後。陷阱:先重灌復原。稽核人員撞見事件,只通報,不自己處理。
加密與金鑰:防偷看用加密,防被改用雜湊,認寄件者用數位簽章,確認公鑰是誰的用憑證;找弱點先看鑰匙。陷阱:加密只擋偷看,TLS 只護線路那一段,收件者手上的內容有沒有被動過,兩者都判斷不了。

系統開發順序:先判斷專案走到哪個階段,只選這個階段該看的:提案看商業論證,上線後看導入後審查。陷阱:很重要但時點不對,如上線後還選使用者驗收測試。
託管與委外:擔心廠商倒閉,答案是原始碼託管;廠商還在,就靠服務水準協議、稽核權與獨立稽核報告管住它。陷阱:倒閉題選了要廠商活著才有效的選項,或廠商活著卻選託管。
RTO、RPO、MTD:能掉多少資料(備份頻率)看 RPO;多久要修好、選哪種場地看 RTO;停機能忍多久的上限是 MTD;三者都來自 BIA。陷阱:RPO 與 RTO 對調。

抽樣:出錯率用屬性,金額用變量;專抓舞弊、重大缺失用發現,想少抽幾筆用停走。陷阱:發現與停走最容易混,抽到一件例外就判定有問題的是發現,一路沒出錯就提早收工的是停走。
稽核追蹤:追蹤要確認風險降下來了沒,做法和原案不同也行,看新做法夠不夠。陷阱:還沒評估就急著報高層、重列高風險;受查方不同意時,轉而請稽核委員會裁決,或要對方出具免責聲明。

做錯一題,先分辨漏在哪:限定詞讀錯(甲組)、忘了稽核人員的本分與職責(乙、丙組),還是主題套路不熟(丁到庚組)。錯題各標上一兩條心法,幾十題後出現最多的,就是該先補的;免費試做的題目很適合這樣練。

例勒索軟體正在多台伺服器擴散,問最先(FIRST)做什麼。選「立即重灌並還原」的人,漏了兩條:別的步驟都得等圍堵(FIRST),而重灌屬復原,攻擊還在就白救(事件應變順序)。答案是隔離受感染的網段與主機。