CISA 五大領域各在考什麼:考綱主題與讀書順序

ISACA 的 CISA 考綱把內容分成五大領域、十個子領域、60 個主題。清單攤開來,很容易覺得每一條都得背。其實五個領域問的是五種不同的問題,先抓住那個問題,選項就沒那麼會騙人。

例題是自寫的練習題,60 個主題的清單放在最後。

五個領域,五種問題

D1 資訊系統稽核過程(18%):怎麼查

• 考法:題目站在稽核人員的位子,問查哪裡、拿什麼當證據、能做到哪一步。
• 被騙:看起來很負責的動作:自己動手修、事實沒查清就先寫報告、收下對方的聲明。
• 分辨:查哪裡看風險評估;證據選親眼看到、自己測出來的;稽核人員只評估與建議,不拍板,也不動手。

D2 IT 治理與管理(18%):誰負責

• 考法:誰核准、誰當責、誰定風險胃納。策略從業務往下傳到 IT、再傳到政策,不能倒過來。
• 被騙:找錯人:把拍板交給 IT 部門或資訊長,或以為委外就連責任一起外包。
• 分辨:拍板的是業務方或治理層(風險胃納由董事會或高階管理階層定)。工作可以委外,責任交不出去。

D3 系統取得、開發與導入(12%):什麼時點

• 考法:專案走到哪個階段,這個時點該看哪份文件、做哪種測試。
• 被騙:重要但時點不對。上線後要確認系統照設計運作,答案是導入後審查,不是使用者驗收測試(UAT)。
• 分辨:先圈出題目停在哪個階段,只選那個階段該交的東西。安全、隱私、控制越早納入越好,需求階段就要寫進去。

D4 營運與營運韌性(26%):怎麼維持

• 考法:兩半。日常營運:變更、事件、問題、日誌。中斷後怎麼救:營運衝擊分析(BIA)、備份、營運持續與災難復原計畫、演練。
• 被騙:RPO 與 RTO 對調;把叢集、雙 SAN 當成備份(那是冗餘);把桌上演練當成實際還原。
• 分辨:能丟多少資料是 RPO,多久要恢復是 RTO,停多久就撐不住是 MTD。選項有人員安全,人命第一。

D5 資訊資產保護(26%):怎麼保護

• 考法:先判斷資料最怕哪種傷害:被看到(機密性)、被改或漏(完整性)、用不到(可用性)、查不出誰做的(當責),再選顧它的控制。出事時考順序。
• 被騙:加密聽起來最安全,但只防偷看,不證明沒被改。出事時搶著重灌復原,或稽核人員自己動手清除,也是陷阱。
• 分辨:每個選項都問「它顧的是哪一項」。順序是確認、圍堵、根除、復原,稽核人員撞見事件只通報。

領域之間怎麼串

同一個主題常在不同領域出現,只是換了問法。

• D1 是眼鏡:D2 到 D5 的題目也常從稽核人員的位子問,答案用的是 D1 的規則。D1 只佔 18%,影響卻在每個領域。
• D2、D3、D4 是一條線:策略決定做哪些專案,專案依階段完成,再交給營運維持。復原的先後順序由業務端定,不是 IT 自己決定。
• D2 是 D5 的前提,D4 與 D5 交疊:資料先分類、先有擁有者,存取控制、加密、資料外洩防護才有依據。事件管理、日誌、修補、備份,兩邊都會出現。

建議的讀書順序

1. D1 先讀三個地基主題:風險導向的稽核規劃、稽核準則與職業道德、證據蒐集。立場先立起來,後面才讀得進去。
2. D2:組織架構與 IT 治理、企業風險管理、IT 供應商管理。誰核准、誰當責,各領域都會問。
3. D4 再 D5,是主力:D4 先讀營運衝擊分析(決定先救誰)、備份與還原(決定救不救得回)、變更與修補(守住日常)。D5 先讀資訊資產安全政策與框架(CIA 三根柱子在這裡)、身分與存取管理(誰能碰什麼)、資安事件應變。D4 的事件、變更、日誌是 D5 事件管理的底;D5 術語最多,留最長的時間。
4. D3:比重最小,時間不必和 D4、D5 看齊。先讀商業論證、導入測試、導入後審查,分別是提案、上線前、上線後;讀完 D4 的變更管理再讀上線與移轉,比較有畫面。
5. 回頭補 D1 其餘:抽樣、資料分析、報告與追蹤,靠做題才熟。

60 個主題一覽

粗體是建議先讀的 15 個主題。考試很少直接問定義,常把主題放進情境。