D2 的下半場考 IT 怎麼被管理。常見的出法是四個選項都像在負責任:加一條合約條款、做一次評鑑、請外部顧問、買一份保險。要判斷哪一個真的打中題目問的那件事。
下面分五段講 10 個觀念,每個都說明題目怎麼問、哪個選項最會騙人、怎麼分辨。
委外|責任留在自己手上
1. 執行可以委外,當責不能
題目寫組織把大部分 IT 營運交給供應商,問資安責任什麼最重要。錯誤選項都像在管風險:合約寫明責任由供應商承擔、靠違約金事後求償、挑規模最大的供應商。合約只能分配執行義務和求償權,對主管機關與客戶交代的仍是組織自己。答案是認清當責留在組織,仍要監督績效並驗證供應商的控制。
2. 稽核人員在合約裡找什麼
委外前先確認合約支持業務需求,委外後持續監督。合約先看四樣:
- 稽核權:讓稽核人員能檢查供應商的控制、紀錄與設施。最常考的缺漏就是沒有它。
- 服務水準協議(SLA):要有可衡量的指標,否則判斷不了違約。簽了不等於有管理,要有人看報告,並用組織自己的紀錄對照。稽核人員檢視 SLA,不代為擬定。
- 事件通報:資料外洩後,供應商要限時通知組織。
- 退場條款:資料格式、交還期限、銷毀證明要寫清楚。
3. 不能實地稽核,就看獨立第三方報告
題目說到不了供應商那邊查,問怎麼取得控制有效的確信。答案是獨立第三方出具的查核報告,例如 SOC 報告。自評問卷是供應商自己答的,白皮書是宣傳材料,保險只移轉財務衝擊,三者都證明不了控制有效。
拿到報告還要會讀:型一只評估某一時點的設計,型二測的是一段期間內有沒有持續運作,要判斷控制持續有效就看型二。SOC 1 針對與財務報導有關的控制,SOC 2 針對安全、可用性等信賴準則。範圍和期間要涵蓋你用的服務。報告採 carve-out 時,次服務組織被排除在外,這一段沒被驗證,要另外取得它的報告。
原始碼託管|只在供應商消失時才是答案
4. 先問供應商還活著嗎
託管是把原始碼交給獨立第三方保管,供應商倒閉或停止維護時,客戶可依約取得。線索是擔心供應商倒閉、停止支援、成立不久、交付物不含原始碼。這時 SLA 和支援合約要供應商活著才履行得了,財務穩健證明只能預測會不會倒,所以都輸給託管。
反過來也會被騙:供應商活著的委外題,要看稽核權、SLA 和獨立查核報告;想讓在用的軟體保持最新,靠的是發布與修補管理。託管的原始碼還要是最新完整的版本,否則倒閉那天拿到的是舊版,這時先分析業務風險,再決定維護、重建或換系統。
退場策略是同一類的準備:託管保程式碼,退場策略保資料和服務搬得走。
供應商風險|先分級,再找看不見的依賴
5. 評鑑深度跟著風險走
題目問怎麼設計供應商評鑑制度。同一套問卷加固定頻率聽起來公平,但力氣花在低風險供應商,碰核心資料的反而查不深。依合約金額排順序也不對,金額不等於風險,小供應商可能握著大量個資。外部顧問只回答誰來做。答案是依資料敏感度和服務關鍵性分級,風險越高查得越深越勤。
評選準則要在收到建議書前訂好,盡職調查要在簽約前做完。
6. 第四方與集中風險
供應商背後還有供應商。多家供應商可能在底層共用同一個雲端平台,出事時一起倒,合約應要求揭露下游供應商。
問集中風險的主要考量時,看依賴度和可替代性:同一家供應商扛多項關鍵服務,而且短期換不掉。報價、據點遠近、供應商規模,都不是在量依賴。
IT 績效|KPI、KRI 與平衡計分卡
7. KPI 看達成,KRI 看預警
KPI 回頭看目標達成了沒,KRI 往前看風險是否升高:數值超過門檻就要採取行動,門檻要連到風險胃納與容忍度。題目寫「早期預警」「超過門檻」就是 KRI,寫「達成程度」就是 KPI。指標還要有目標值,衡量業務得到什麼,比衡量做了多少有用。
8. 衡量 IT 與業務一致,選平衡計分卡
平衡計分卡從財務、顧客、內部流程、學習與成長四個構面衡量 IT 對業務的貢獻,把指標串回策略。題目問怎麼持續監控 IT 與業務是否一致,常選它。別被這三個騙:標竿比較量的是和同業的差距,同業做法不等於合規,也不等於業務要的成果;單一 KPI 看不到全貌;ROI 只看財務價值,忽略無形效益、風險和貨幣的時間價值。
品質與人員|QA、QC、輪調與強制休假
9. 品質保證(QA)管流程,品質控制(QC)管產出
品質保證的名字最會騙人:聽起來像在把關成品,其實把關成品的是品質控制(QC):靠檢驗與測試找出已經存在的缺陷,屬於偵測。QA 看流程是否照標準做,目的是預防缺陷,而且要獨立於開發,不親自修缺陷。題目問預防還是偵測、問誰該獨立,都從這裡分。
10. 人事控制先看目的
強制休假和工作輪調,是讓別人接手時看見異常,屬於偵測舞弊,不是福利,也不是交叉訓練。背景查核在聘用前做,屬於預防。人員離職或調職,第一步是立刻停用存取,非自願離職要在告知的同時停用。怕太依賴關鍵人員,選接班規劃;交叉訓練前要先想,會不會讓一個人懂整個流程。
題目問職務分工拆不開怎麼補償時,輪調和強制休假事後才看得到異常,會輸給另一個人覆核這筆交易。