CISA 的選項常常不是「一個對、三個錯」,而是四個都是好做法,每一個都是你工作上真的會做的事,但題目只問其中一件。讀完一題覺得 B 對、C 好像也對、D 說不定更好,不是你程度不夠,是這個考試本來就這樣出。
這篇整理一套三步驟的比較法:先圈題幹裡的限定詞和主角,再刪掉不對題的選項,最後剩兩個時比「誰直接打中題目要的那件事,誰只是相關」。例題是自編的練習題。
為什麼 CISA 的選項常常都對
每個選項都是真實存在的好做法,錯在放錯地方:
- 角色放錯:該管理層拍板的事,放給稽核人員做。
- 時點放錯:該排前面的步驟,放到了後面。
- 對象放錯:處理的是旁邊的風險,不是題目點名的那一個。
- 份量放錯:只做一半,或做到題目沒要求的程度。
所以別問「哪個選項是對的」,要問「哪個選項回答了這一題問的事」。挑最專業、最徹底的那個,反而最容易中計。
第一步:圈限定詞和主角
- 限定詞:先別看選項,在題幹裡圈出 FIRST、NEXT、BEST、MOST important、PRIMARY、GREATEST 或 MOST effective。每個詞是一把不同的尺,同一個情境換一把尺,答案就換。情境詞和限制條件也要圈,例如「規劃時」「不能拖慢交付」。
- 主角:題目站在誰的位子問?稽核人員只查核、報告、建議,不下令、不動手,也不替管理層拍板,接不接受風險是管理層的事;確認和止血是應變人員的事。
例同樣是零信任,三題三把尺。問 FIRST,答案是盤點關鍵資料與存取流向,採購工具、停用 VPN 都得等它。問 GREATEST,情境是政策引擎只看來源 IP,答案是決策沒納入身分與裝置狀態;規則清單膨脹只是難管,IP 被偽冒才是擋不住。問零信任網路存取(ZTNA)與 VPN 的 PRIMARY 差異,答案是以應用程式為單位授權,未授權的資源看不見;別拿連線速度來分。
一句話分辨先說得出「我坐在誰的位子,這題在比什麼」。最常被騙的是拿工作習慣作答:稽核人員發現個資儲存桶被設成公開可讀,實務上你會直接改權限,但題目的答案是通報管理層。
第二步:先刪四種選項
把不對題的刪掉,刪到刪不動為止,通常剩兩個。最常見四種:
- 管別件事的:選項本身是好東西,但招牌功能不是題目問的。問完整性卻選加密:加密只防偷看,不證明沒被改。
- 只有說法、沒有證據的:自評、切結書、對方自己簽核的聲明、供應商自己寫的白皮書。題目問證據時,這些都輸給親眼看到、自己測出來、或獨立第三方出具的結果。
- 做過頭的:題目沒要求的大工程,例如全面封鎖、立即汰換,或稽核人員自己下場設計、導入。聽起來最徹底,代價卻常是中斷營運或根本做不到。
- 時點不對的:後面的步驟本身沒錯,只是前一步還沒做。要建新東西,先定規矩或盤點現況;要查核,先懂業務,再風險評估或圈範圍;應變人員遇到告警,先確認真假;確定在出事,先止血(範圍不明,先找出受害的);缺失事實已明,先看有沒有補償控制再報告。
例確保遠距工作的裝置安全存取公司系統,最佳(BEST)作法是什麼?答案是用條件式存取,在連線前檢查裝置的加密、修補與端點防護,合規才放行。三個輸家各踩一種:簽署資安切結書就能連線,是只有說法,沒人驗證裝置;改用公司配發的網路線,是管別件事,線材和裝置安全無關;要求員工每月自行重灌系統,是做過頭,成本高,又靠員工自己做。
刪的是「這一題裡」不對題的選項,不是整類刪掉。風險出在人不懂時,訓練就是正解;問從哪裡找高風險流程時,近期的控制自我評估可以是最佳來源;問「怎麼確保」時,政策、合約、書面授權常常就是答案。
第三步:剩兩個,比誰直接打中
剩下的兩個都很合理時,把題目要的結果寫成一句話,逐個問:做了這個,這句話就成立了嗎?成立的,是直接打中;只能說有幫助的,是相關。
| 限定詞 | 剩兩個時比什麼 |
|---|---|
| FIRST | 誰是前提:它沒做,其他步驟做不下去 |
| NEXT | 事情停在哪一站,選序列裡緊接的那一步 |
| MOST important | 少了它,題幹的目的會不會當場失敗 |
| BEST | 誰治根因、涵蓋整件事 |
| GREATEST | 誰讓目的落空、真的會出事;有人員安全的選項,人命第一 |
| PRIMARY | 誰是主角自己直接做出的結果,不是步驟、工具或附帶好處 |
| MOST effective | 誰全程都在運作、由系統強制、不靠人記得 |
例建立「AI 使用登錄冊」的 PRIMARY 目的是什麼?展示技術實力、加快模型開發,是管別件事,先刪掉。剩下「掌握 AI 在組織內的使用全貌,作為風險分級與問責的基礎」和「降低採購成本」。後者不算錯,登錄冊確實可能讓重複採購浮現,但那是附帶效果。登錄冊存在的理由是讓治理看得見,前者才是它直接做出的結果。
常見的「只差一號」陷阱
最難刪的,是方向完全正確、只是少一點的選項。常見三種:
- 只做一半:要把客戶資料去識別化,有選項說移除姓名與身分證字號就算完成。第一步沒錯,但生日、郵遞區號、性別湊在一起仍可能鎖定個人,評估殘餘欄位的再識別風險才是整件事。
- 範圍大,粒度卻不夠:題目問「每一筆對不對」時,雜湊總數、筆數、金額總計都只到整批,要選抽樣逐筆比對。範圍大不是永遠贏,要看題目問到多細。
- 晚一步,或只管一刻:題目問怎麼「防止」雲端組態偏離核准基準,一年一次的人工盤點只是事後偵測,輸給自動化基準檢測加防護欄。動詞若是「偵測」,就換成看日誌、對帳的那個。
一句話分辨兩個都對時,問三件事:誰涵蓋整件事,誰更早,誰不靠人記得。
練習方法:寫下另外三個為什麼輸
只對答案,學不到這套比較法。每做完一題,不管對錯,做三件事:
- 圈:寫下限定詞和主角。
- 輸家:替沒選的三個各寫一句「輸在哪」,貼上標籤:管別件事、只有說法、做過頭、時點不對、只是相關。
- 贏家:寫下正解直接做到了什麼。
做上幾十題,錯題會自己分堆:老是被大工程吸引,或常忘了主角是稽核人員。知道自己最常中哪種餌,比多背十個名詞有用。
答對的題也要寫,蒙對的題才看得出來。手邊沒有題目的話,先從免費試做挑幾題,照這個流程走一遍。