CISA 的考試語言有英文、簡體中文等,沒有繁體中文。習慣用繁體念書的人,實際能選的是英文或簡體。
選哪個語言,不會改變要學的觀念,改變的是讀題:讀多快、用詞對不對得上、限定詞怎麼認。以下整理兩種選擇的風險,以及怎麼用繁體學觀念、用考試語言練讀題。
沒有繁體,實際的選項只有兩個
- 事實:中文只有簡體可選。語言清單可能調整,報名前以 ISACA 網站公布的為準。
- 影響:你用來學觀念的繁體題目、筆記、術語卡,都不是考場的文字,每題都多一道轉換。
- 哪裡會被騙:以為簡體每個字都看得懂就沒問題。看得懂字,不代表認得這個詞在考試裡指什麼。反過來,以為英文一定吃虧也不對:句型固定,練過就不陌生。
英文應考:大寫的限定詞,固定的句型
- 怎麼考:限定詞以大寫呈現:BEST、MOST、FIRST、NEXT、PRIMARY、GREATEST,先找到它,才知道這題在比什麼。問法很固定,例如 Which of the following is the BEST...?、What should the IS auditor do NEXT?
- 好處:英文是原文,沒有翻譯落差,縮寫(RTO、SLA)就是你背的那個字。
- 哪裡會被騙:FIRST、NEXT 常在句尾(do NEXT、done FIRST),讀到一半就跳去看選項,會漏掉最關鍵的字。選項又長又像,可能只差一個修飾語;遇到 NOT、EXCEPT 要停下來讀。
- 關鍵是速度:難點多半不在文法,而在讀題速度,以及選項裡的專業詞彙(escalate、compensating)。
一句話分辨先找大寫字,再讀情境,最後才看選項。
例規劃導入零信任架構,問何者應最先進行。英文是 Which of the following should be done FIRST?,FIRST 在句尾;簡體是应首先执行以下哪一项,沒有大寫這個線索。答案同樣是先盤點關鍵資料和資產;採購、停用 VPN、教育訓練都排在後面。
簡體應考:用語和台灣不同
- 怎麼考:簡體題目是翻譯版,用中文讀比較快,但中文沒有大小寫,限定詞要從詞義認出來:FIRST 是首先,NEXT 是接下来,BEST 是最佳或最能,MOST important 是最重要,GREATEST 是最应关注,PRIMARY 是主要,MOST effective 是最有效。
- 哪裡會被騙:差異有三種:詞不一樣(資訊與信息),背過就好;同字不同義(程序、文件、总体),最容易誤會;一個詞分成兩個(營運、弱點),要看上下文。
下列簡體用語以斜體標示。
| 英文 | 台灣常用 | 簡體常見寫法 |
|---|---|---|
| audit / IS auditor | 稽核 / 稽核人員 | 审计 / 信息系统审计师 |
| information / data | 資訊 / 資料 | 信息 / 数据 |
| access | 存取 | 访问 |
| operations | 營運 | 运营 |
| business | 營運 | 业务 |
| vulnerability / weakness | 弱點 | 漏洞 / 弱点 |
| incident | 資安事件 | 安全事故 |
| segregation of duties | 職務分工 | 职责分离 |
| compliance testing | 遵循測試 | 符合性测试 |
| population | 母體 | 总体 |
| file | 檔案 | 文件 |
| program | 程式 | 程序 |
| hash | 雜湊 | 哈希 |
一句話分辨碰到眼熟又怪怪的詞,先想對應的英文,再看搭配:审计程序是 procedure,应用程序是 program,文件服务器的文件是 file。
怎麼決定:先測自己讀英文題的速度
- 怎麼測:挑一個學熟的領域,拿沒做過的題目,不查字典,用英文做一組(免費試做的題目可以切換繁體和英文),和平常用繁體的正確率、速度比。記下每題卡在哪:單字、句型、限定詞,還是讀太慢。
- 哪裡會被騙:用日常英文程度推斷自己。讀資訊系統、稽核、風險的專業英文是另一回事,要拿這類題目試。
一句話分辨不要問哪個語言比較簡單,要問哪個讀題時錯得少。英文的正確率和速度跟繁體差不多,就選英文;差很多又補不起來,就選簡體並背熟用詞表。
備考方法:繁體學觀念,考試語言練讀題
- 先用繁體學觀念:答題心法、術語、控制類型,是不分語言的底。
- 改用考試語言做題:先做一組當基準線,看和繁體差多少。
- 做錯或卡住,就三語對照:同一題的繁體、簡體、英文並排,圈出限定詞、標出沒見過的詞、確認縮寫。錯在不懂觀念,補觀念;錯在讀錯題或不認得詞,補語言。
- 整理詞卡:每個詞記繁體、簡體、英文全名、縮寫四欄。詞卡先從 D4、D5 做起,這兩個領域合計過半。
換語言,不必換解題方法。BEST 先刪三種:管別件事的、只有口頭或書面說法的、做過頭的,碰到不認得的專有名詞,這三種刪法照樣能用。MOST important 先圈出題幹的目的,再逐項問:少了它,目的會不會失敗。
例稽核人員用資料分析工具測試全年所有採購交易,發現 15 筆的核准者與請購者是同一人,問最佳的後續作法。三語並排看,職務分工、segregation of duties、职责分离其實是同一個概念。正解是調閱核准紀錄與補償控制,確認是否真的違反職務分工;例外還不是發現,直接定案是做過頭。
常見陷阱:中譯名詞和英文縮寫對不起來
- 一個概念,好幾種中文:同一個英文詞,繁體和簡體常有不同譯法,越長越少見的詞越明顯。
- 一組縮寫,兩個意思:縮寫通常原樣保留,但同一組字母可能指不同東西。SOC 可以是 System and Organization Controls(服務組織控制報告),也可以是 Security Operations Center(資安監控中心),看上下文。
- 只背一邊:只背縮寫,碰到中文全名就對不上;只背中文,看到縮寫又認不得。
例稽核人員打算以雲端服務商的 SOC 2 Type II 報告當主要證據,問什麼最重要。正解是報告涵蓋期間與受查期間相符,且已評估報告列出的 CUEC。這個詞英文是 complementary user entity controls,中文有「使用者實體補充控制」「互補性使用者實體控制」等多種寫法,認得縮寫最穩。少了期間和 CUEC,報告就不能當證據。
表中是常見寫法,不是固定詞庫。