CISA 免費試做 10 題

是否與攻擊者接觸、是否就贖金議價,屬管理層與法務依事前框架做的決策,不是技術應變的第一步;擴散還在進行時先去議價,感染範圍只會繼續擴大。

重灌並還原是復原階段的動作;沒有先圍堵、找出入侵途徑就重灌,系統可能一接回就再次感染,還會一併抹除鑑識需要的證據。

對外溝通有其必要,但時點與內容應依危機溝通計畫,在掌握事實後進行;擴散尚未控制前搶著對外發布新聞稿,既不能止血,還可能釋出錯誤資訊。

自己登入主控台改權限,看起來最能立刻止血,但稽核人員不執行維運變更:動手修改等於參與了自己要查核的作業,破壞獨立性,也可能改變現場、干擾後續的證據保全。

記入工作底稿是必要的,但個資正在公開暴露,損害持續擴大;重大且持續的風險必須即時通報,留到期末報告才提形同放任。

確認資料是否已遭讀取很重要,會左右後續的衝擊評估與通報義務;但那是止血之後的工作,先花時間調閱存取紀錄、放任暴露持續,順序顛倒。

儲存費用超出預算屬成本效益層面的議題,可以檢討;但備份若還原不了,花多少錢都沒有價值,先確認能還原,才談得上成本是否合理。

媒體混用不同廠牌與規格會增加管理複雜度,也可能造成相容性問題;但它只是影響還原的因素之一。從未做還原測試,代表這類問題全都沒被驗證過,疑慮更根本。

備份時段與批次作業重疊是排程調度問題,可能影響效能或備份時點,通常調整時段就能改善;它不像從未驗證還原那樣,讓整個復原能力缺乏證據。

自評問卷能快速蒐集服務商對自身控制的說明,可當初步篩選。但問卷由服務商自己作答、由其主管簽署,沒有獨立驗證,不能構成控制有效的保證。

保險移轉的是事故後的財務衝擊,屬風險處理的一環。但它回答不了「服務商的控制是否有效」,取代不了保證。

白皮書是服務商自己寫的安全架構與承諾說明,沒有經過獨立驗證,證據力最弱。稽核不能拿宣傳材料取代查核報告。

自行合併確實可能讓部署變多,但頻率高低是交付模式的選擇,採持續部署的團隊本就頻繁上線;問題不在部署次數,而在每次變更是否經過獨立審查。

缺乏統一的風格規範屬可維護性議題,可用程式碼規範與靜態檢查改善;它不是自寫自核這個缺失的主要後果,也不會讓未經審查的變更進入生產。

工作負荷過重可能是團隊省略審查的背後原因,屬人力配置議題;但題目問的是這個流程缺失帶來的疑慮,負荷問題取代不了職務未分離所造成的變更風險。

辨識訓練對社交工程仍有價值,能讓員工對「緊急」「改帳戶」這類異常要求提高警覺。但合成語音已難靠人耳可靠辨識,把主要防線放在「聽出破綻」,效果沒有保證。

來電顯示的部門與分機資訊本身就可能被偽造,多顯示這些資訊只是方便辨認,沒有驗證效力。攻擊者照樣能讓來電看起來像來自高階主管。

電話線路與分機數量屬通訊容量問題,和詐騙防制無關。線路再多,也擋不下一通偽造的來電,補不上付款驗證的缺口。

截圖可以作為輔助證據;但它可被挑選或修改,也可能已過時,當作主要證據可靠性不足,而且報告不說明取證受限的情形,等於讓讀者誤以為證據充分,違反如實揭露的專業要求。

證據不足時保留結論或揭露範圍限制,在窮盡辦法後確實可能需要;但受稽單位只願給截圖時,還有即時觀察、唯讀存取等方式可以先試,一開始就拒絕出具結論並終止查核過於極端。

訪談能了解流程與背景,是有用的證據來源;但它只能證明對方怎麼說,不能證明系統實際怎麼設定、怎麼運作。以口頭說明為主要依據而不再查證系統設定,證據力反而更弱。

合約明確分配責任是必要的,但責任無法整包轉移。合約能分配執行義務與求償權利,依法對主管機關與客戶負責的仍是組織,只收報告而不監督也不能以「已交給廠商」免責。

合約求償是事後的財務補救,補不回已外洩的資料與受損的商譽。委外治理的重心應放在事前定義要求與持續監督,而不是等出事再追究。

規模大不等於控制有效,大型服務商同樣可能發生重大事故。選商應依風險評鑑並查證其控制,而且選了誰都不改變組織仍須當責的事實。

資料量大確實可能拖慢測試,但這是效率問題,用抽樣或縮減資料集就能處理;它不涉及個資被誰看到、會不會外洩,和機密性風險不在同一層級。

這個擔憂方向反了:直接用生產資料,通常正是為了讓測試行為貼近生產。本題的缺失在個資保護不足,而不是測試資料不具代表性。

多一個測試環境可能增加授權與維運成本,屬財務議題,可透過授權規劃控制;和個資外洩帶來的法遵責任與聲譽損害相比,影響輕得多。

比較各團隊的還原速度或許能提升參與感,但那是帶動演練氣氛的手法,不是安排計時實測的目的;計時的意義在於取得可與RTO比對的數據。

配合內部稽核的年度查核是演練可能帶來的附帶效果,不是安排計時實測的目的;為交差而辦的演練常挑簡單情境,反而驗證不到真正的復原能力。

確認空調容量與機房溫度屬設施面的檢查,有它的必要;但這回答的是機房撐不撐得住,不是「還原需要多久」,即使溫度正常,也無法判斷RTO是否達得到。