控制題難在四個選項常常都是真的控制,差別在「它什麼時候出手」。這篇整理預防、偵測、矯正、嚇阻、補償怎麼分,以及題目問「最有效」時怎麼挑,讓你能直接拿來刪選項。
控制類型在考綱 D1 有專門一節,但 D3、D4、D5 的題目也常用到同一套判斷。
擋、找、救:三種出手時間
- 預防性:事情發生前就擋下,例如職務分工、存取控制、輸入編輯檢查。
- 偵測性:事情發生後找出來並發出警示,例如日誌審查、對帳、雜湊總數、入侵偵測。
- 矯正性:找到問題後降低影響、修復並防止再發生,例如備份還原、營運持續計畫、錯誤更正程序。
考法是給具體控制要你歸類,或把預防和偵測混在一起當選項。常被騙三處:日誌審查像在「管安全」,其實是事後發現;備份還原要等出事才用上,是矯正,不是偵測或預防;只留日誌、沒人看,不算有效的偵測。
嚇阻、指導性、補償:三個容易被混進去的類型
- 嚇阻性:警告標語、登入警示訊息、公告罰則,讓人不敢做,但不實際阻擋。人若真想做還做得到,就是嚇阻,別當成預防。
- 指導性:政策、程序、標準、基準,告訴人該怎麼做,不會自動擋下行為。題目問「訂定政策或程序」屬哪一類,選項有指導性就選它;可接受使用政策不擋也不查,沒有嚇阻可選時歸指導性,不是預防。
- 補償性:主要控制做不到或不足時,改用別的控制把同一個風險降到可接受,例如小組織湊不出人分工,改用主管覆核或日誌監督。它是替代,不是補救,不等於矯正。
補償控制有兩種問法。問「哪個控制最能補償」,選涵蓋原本那個風險的。問稽核人員該採什麼行動:發現分工缺口或特權過多,先查有沒有補償控制在運作(這是蒐證),查完才寫進報告;要求停權、加聘人手、限期改善是替管理階層開處方,不是第一步。缺口已確認、選項只剩「報告」和「建議補償控制」時,選報告。
「最有效」怎麼挑:系統強制、全程運作,擋不住選兜底
「最有效」不是固定選預防,而是選直接打中題目那個風險、從頭到尾都在運作的控制。預防通常優於事後偵測,前提是真的擋得住,而且不靠人記得去做。
- 圈動詞:「防止」選事前擋下的;「偵測」選看得到症狀的紀錄、對帳或報告;「補償」選涵蓋同一個風險的替代控制。
- 看點名的風險:外洩選資料外洩防護(DLP)或資料分類;只問資料有沒有被改,選雜湊值;要認出是誰送的,選數位簽章;追究誰做的,選稽核軌跡。
- 風險來自已有權限的人:先找讓他做不到的分工或系統手段(如日誌寫到他改不了的地方),找不到才靠監控和對帳。
- 還分不出來:選系統強制、全程、越早抓到越好的,如編輯檢查、帳號自動到期、加密;靠人自律、一年一次、只抽樣、只管某一刻的往後排。
- 預防擋不全:選能兜底的。勒索軟體很難完全擋住,離線或不可變的備份能還原,就是最後一道;主要控制做不到、管理階層又還沒接受風險,先找補償控制。
常被騙的是兩種相反的直覺:以為預防一定贏,或一見「已有權限」就選監控;分工和系統擋得住時,監控輸了。還有「很強但管別件事」的選項:多因子認證只管登入那一刻,追究是誰做的靠不上它;加密只防偷看,證明不了資料沒被改。
一般控制與應用控制:先看地基,再看房間
- 一般控制(ITGC):適用整個 IT 環境,如存取管理、變更管理、系統開發、電腦作業。它是地基,撐著應用控制能不能信賴。
- 應用控制:內建在某一支應用系統裡,確保交易的輸入、處理、輸出完整、正確、有效。
| 階段 | 確保什麼 | 常見例子 |
|---|---|---|
| 輸入 | 資料經過授權、完整、正確 | 輸入授權、編輯檢查、批次總數 |
| 處理 | 沒漏、沒重、沒算錯 | 逐次處理總數核對、合理性驗證、例外報告 |
| 輸出 | 結果正確,只給有權限的人 | 報表分發控管、與輸入總數核對 |
考法有三種:給控制歸類(存取管理、變更管理是一般控制,編輯檢查、批次總數是應用控制);問稽核順序(通常先評估一般控制,再測應用控制);問一般控制失效怎麼辦(應用控制難以信賴,要增加實質測試)。
最常被騙的是「編輯檢查是系統自動做的,一定可靠」,卻沒看變更管理有沒有讓人隨意改程式。另外,輸入控制越靠近輸入點越好,錯誤資料進了系統就更難補救。
訓練與政策:什麼時候不只是政策
政策和程序是指導性控制,不會自動擋下行為,所以容易一看到政策、訓練就整排刪掉。但管理性、技術性、實體是依實作方式分的另一軸:訓練屬管理性控制,風險出在人不懂時,它同時也是預防性控制。
- 訓練是答案:風險是社交工程、無心外洩、不會寫安全程式、不知道自己在計畫裡的角色,訓練和資安意識方案就是最有效的預防。系統強制的密碼政策也是預防,不是口頭規定;無人值守或被偷看螢幕,選自動上鎖的螢幕保護。
- 訓練輸掉:故意外傳而且有資料外洩防護這類自動擋住的工具,選工具;要強制密碼規則,用自動化工具。