CISA D2 IT 治理:最常錯的 10 個觀念|胖胖老爹拆題所

ISACA 五大領域裡的 D2(IT 治理與管理)分成治理與管理兩半。治理題最容易讓人覺得每個選項都有道理:選項講的都是正確的管理動作,差別只在這件事該誰拍板、誰動手、第一步是什麼。

這篇整理治理這半最常被選錯的 10 個觀念,每個都附考法、陷阱和分辨法;例題都改寫自本站自己寫的練習題。

治理與管理:誰拍板、誰執行

1. 治理訂方向,管理做執行:董事會做治理(評估、指導、監督,核准策略與風險胃納),高階管理層負責落實,管理則是規劃、建置、執行、監控。問資安或 IT 風險由誰負最終責任,資訊長、資安長、IT 部門都是誘餌,答案是董事會與高階管理層。資安長向資訊長報告可能有利益衝突,最好有獨立的報告管道。
2. 兩個委員會,差在層級:IT 策略委員會(IT Strategy Committee)在董事會層級,就策略方向、與業務的一致性、IT 投資的價值與風險提供建議。IT 指導委員會(IT Steering Committee)屬管理層,由業務與 IT 主管組成,管專案優先順序、資源分配和執行監督,但不訂業務目標,那是高階管理層的事。

一句話分辨講方向、對齊、風險,找董事會和策略委員會;講專案排序、資源、進度,找指導委員會。

3. 對齊要看得見,方向不能倒:順序是業務策略,再到 IT 策略,再到政策。問怎麼證明已對齊,要選業務端認可的證據:業務端參與核准的紀錄、IT 隨業務變化調整、成果對照業務計畫或商業論證。發現落差時,是讓脫節的那層去對齊上一層,不是回頭改沒問題的策略。

一句話分辨這是業務端點頭的嗎?IT 自評、同業標竿、光設立委員會都不算。

題目不是在問 IT 投資時,「與業務目標一致」的選項多半只是背景,不是答案:問稽核規劃的依據,選風險。

4. 政策的層級、傳達與例外:政策是管理層的方向與要求,標準是強制的具體規格,程序是逐步做法,指引只是建議;下層要能回溯到政策。政策由高階管理層核准,要傳達給適用對象,員工不知道就等於不存在。做不到時走正式例外:經風險評估、適當層級核准、設期限並搭配補償性控制。沒有規範時先訂政策,不是先封鎖或懲處。問該以什麼為準時,法規先於內部政策,內部政策先於業界最佳實務。

一句話分辨標準是必須做到,指引只是建議;例外沒有核准紀錄,就是違規。

例稽核發現多個部門已自行使用生成式 AI,組織卻沒有任何規範,最先做什麼?答案是訂使用政策並盤點現況。全面封鎖會把使用逼到私人帳號,組織反而看不見;懲處沒有依據;等主管機關發布規範,則是放任風險持續發生。

5. 胃納、容忍度、承受能力:胃納由董事會或高階管理層訂,不是資訊長、資安長或 IT 管理層。題目點名胃納時,要找專責的風險政策;泛用的「風險評估」是陷阱,它只量出風險多大,是拿來和胃納比的對象。容忍度依胃納訂,要和它一致;胃納則要訂在承受能力之內。

一句話分辨願意承擔多少是胃納,可接受的偏離幅度是容忍度,承擔得起多少是承受能力。

6. 四種處理方式,移轉不移當責:題目給一個做法,問屬於哪一種:加控制、備援是緩解,買保險或委外是移轉,停做那件事是迴避,知情後不再處理是接受。最容易混淆緩解和迴避:緩解只降低風險,迴避才讓風險消失,但也放掉那項活動的效益。移轉只轉財務衝擊,當責轉不走。接受要由有權限的管理層或業務端的風險擁有者正式核准並記錄,不是稽核人員決定。

例組織把大部分 IT 營運委外,談資安責任什麼最重要?答案是認清執行可以委外、當責不能委外。合約寫明責任由委外廠商承擔、自己只收服務報告,看似省事,但對主管機關和客戶負責的仍是組織。

7. 資料擁有者拍板,保管者動手:擁有者是對資料負最終責任的業務主管,決定分類等級、核准存取、定期覆核;保管者(通常是 IT)照指示備份、還原、設定權限。問誰核准存取,資料庫管理員、系統管理員、專案經理、資安人員都是誘餌;資安長訂準則、審政策,但不發帳號。

一句話分辨這個人是拍板、動手、訂規則,還是查核?拍板的只有擁有者。

8. 分類先於控制,而且有順序:「實施控制前先做什麼」常選資料分類。分類的順序是政策、盤點、確立所有權、定級、訂存取規則,問第一步,就挑選項中在這個順序裡最前面的。所以選項有政策或盤點時,「指派擁有者」是順序顛倒;兩者都沒有,確立所有權才是第一步。審查分類架構時,要看每一級的處理要求有沒有寫清楚。

9. 看做法,對應違反哪條原則:隱私原則包括告知與同意、目的限制、資料最小化、保存期限、安全和當事人權利。題目常給一個做法,問違反哪一條:蒐集超過需要(「以後可能用得到」不算理由)違反資料最小化;拿客戶資料做原本沒告知的行銷或分析,即使只在內部用,違反目的限制;保存超過需要的期間,違反保存期限。
10. 隱私要在前面做,責任跟著資料走:隱私衝擊評估(PIA)在新系統或新處理活動開始之前做,也就是設計階段,事後補強成本高、效果差。委外或放上雲端,保護責任不會消失,控制者仍負最終責任,合約要寫處理者的義務和外洩通報。去識別化時只刪姓名不夠,剩下的欄位組合還是可能認出人。

一句話分辨匿名化不可逆,處理後不再是個資;假名化有對照表可還原,仍是個資。

例組織即將開發一套大量蒐集客戶個資的新服務,最先做什麼?答案是在設計階段做衝擊評估,弄清楚為什麼蒐、蒐哪些、保存多久、風險多大。先上線再補文件,風險已經發生;把生日、住址、職業全設必填以備日後分析,違反資料最小化;照抄競爭對手的隱私條款,反映的是對方的做法。

共同點是:被騙的多半不是不懂定義,而是選了聽起來很負責、角色或順序卻不對的選項。讀完可以免費試做幾題,看看自己會被哪一種騙到。