CISA 最讓人挫折的地方,是四個選項常常都說得通。分數差在題幹裡那個大寫的字:FIRST、BEST、MOST、PRIMARY。同一個情境,換一個限定詞,答案就不一樣。
下面是七種限定詞各自在問什麼、怎麼想、最容易被哪一種選項騙。例子用的是我們自己寫的練習題。
FIRST|最先做什麼
- 在問什麼:這是排隊題。選項常常都是對的步驟,要選的是排在最前面、其他步驟都得等它做完的那一個。
- 怎麼想:先分清楚題目屬於哪一種,第一步各不相同。要建立新東西,先把規矩定下來(政策、標準、商業論證);要查核某件事,先找依據(政策、風險評估、範圍);有人通報但還沒確認,先確認是不是真的;確定正在出事,先圍堵。
- 最常被騙:排在後面的步驟,例如事情還沒確認就先評估衝擊、做完整鑑識,或還沒圍堵就先追根本原因。這些都沒錯,只是要等前一步。
- 卡住時問自己:這一步還沒做,其他選項做得下去嗎?做不下去,就選它。
例資安監控中心確認勒索軟體正在多台伺服器之間擴散,應變上最先做什麼?答案是隔離受感染的網段與主機。重灌伺服器聽起來很積極,但那是復原階段的事;沒先圍堵就重灌,可能剛裝好又被感染。如果題目問的是稽核人員,稽核人員不會自己動手隔離,而是立刻通知負責應變的人。
NEXT|下一步做什麼
- 在問什麼:題目已經替你走完前幾步,要你接下去。重點是看事情現在停在哪一站。
- 怎麼想:正在出事,就馬上通知負責的人;剛發現缺口,先查清楚缺口實際有多大;對方沒照做,先問原因;管理層已經明說接受風險,確認是照正式流程核准的,再寫進報告。
- 最常被騙:事實還沒查清楚,就「先寫報告」或「直接往上呈報」。這時報告裡說不出問題有多嚴重。正在出事的緊急狀況例外,那要馬上通知。
- 卡住時問自己:這一步是稽核人員該做的,還是在替別人動手、替別人做決定?
例稽核執行期間,稽核人員發現一個存放大量個資的雲端儲存桶被設成公開可讀。接下來該做什麼?個資正在外露,屬於「正在出事」,答案是立刻通報適當的管理層,安排緊急處置。留到期末報告才提太慢;先調閱三個月的存取紀錄確認有沒有被讀取,是止血之後的事;自己動手把權限改掉,則是替管理層做事。這題在我們的題庫裡問的是「最先」,情境和 NEXT 題一樣:已經發現問題,接著做什麼。
MOST important|最重要
- 在問什麼:不是比哪個選項聽起來分量最重,比的是題幹指定的那個目的。
- 怎麼想:先圈出題幹裡的目的(為了確保什麼、在哪個階段),再逐一問每個選項:少了它,這個目的會不會直接失敗?
- 最常被騙:看起來最根本的「大東西」,像章程、策略、完整清冊。它們很重要,但不一定是這一題的前提。
例組織把大部分 IT 營運委外,談資安責任時什麼最重要?答案是認清「執行可以委外、當責不能委外」。在合約裡把責任全部轉給廠商聽起來省事,但對主管機關和客戶負責的,仍然是組織自己。
BEST|最佳作法
- 在問什麼:四個選項通常都有點用,要挑最對題、最治本的。
- 怎麼想:先刪三種:管的是別件事的(題目問完整性,選項卻是加密);題目要的是證據或保證,卻只有受查方自己說法的(口頭說明、切結書、自評);做過頭的(題目沒要求的大工程,或稽核人員越權替人做)。
- 別刪過頭:自評和訪談不是永遠該刪。題目問的如果是及早發現風險、讓第一線自己檢視控制,或確認員工知不知道某件事,自評或訪談本身就可能是答案。
- 最常被騙:「也對,只差一點」的選項。兩個都對時,選在題目範圍內處理根本原因、涵蓋較完整的那個;超出題目要求的大工程仍然不選。
例沒辦法到雲端服務商那裡實地稽核,取得保證的最佳替代方式是什麼?答案是涵蓋相關期間與範圍的獨立第三方查核報告。自評問卷省事,但那是服務商自己說的,沒有獨立性。
GREATEST|最大的疑慮、最大的風險
- 在問什麼:比的不是哪個聽起來最嚇人,而是哪個會讓這件事的目的落空,或讓人、資產、資料真的受害。
- 怎麼想:先刪兩種:把缺失換句話再說一次的(「沒有遵循政策」),和只講補救的(加強訓練、宣導)。再比剩下的哪一個後果最嚴重,而且真的會發生。
- 最常被騙:形式上的缺漏,例如表單格式不一致、文件改版晚了。這些事後補得回來,目的照樣做得到。
例組織每天備份,也有異地副本,但從來沒做過還原測試。最大的疑慮是:沒有證據證明備份真的還原得回來。備份成本太高、媒體規格不一致,都比不上這一點。
PRIMARY|主要目的、主要角色
- 在問什麼:這個流程、工具或角色「自己的職責」是什麼。比的是誰的工作,不是誰最重要。
- 怎麼想:把主角的名字翻成白話動詞,選它自己直接做出來的結果。屬於別的流程、別的角色的,刪掉。
- 最常被騙:聽起來更重要、更高遠的選項,例如「防止事件再發生」。那是問題管理的工作,不是事件管理的。
例災難復原演練安排「計時實測還原」,主要目的是什麼?答案是用實測數據驗證 RTO 到底達不達得到。滿足稽核的年度查核項目,只是附帶的結果。
MOST effective|最有效
- 在問什麼:哪一個控制直接打中題目說的那個風險,而且從頭到尾都在運作。
- 怎麼想:先看題目要的是擋住、找出來,還是補救;再挑專門為這個風險設計、最不需要靠人記得去做的。
- 最常被騙:以為預防永遠贏過偵測。如果風險來自本來就有權限的人,職務又拆不開(做不到分工或雙人控制),門口的存取控制擋不住濫用,要靠獨立的監控與對帳把它找出來。
例要確保勒索軟體事件之後,備份本身沒被加密、還能拿來還原,最有效的是把備份放在不可變或離線的儲存,並和正式環境隔離。把備份頻率提高到每小時一次沒有用,備份一樣會被加密。
三個通用的提醒
- 先看限定詞,再看選項。很多人是先被某個選項吸引,才回頭替它找理由。
- 答錯時不要只記答案。記下「這題的限定詞是什麼、我選的那個輸在哪」。換一個情境,同一個判斷方式還用得上。
- 還會遇到 MOST likely(最可能)。問的是在題目條件下最可能成立的那一個,可能是原因、結果,也可能是稽核人員最可能採取的做法。比的是可能性,不是嚴重性。