作者: stevencho

從事資訊工作二十多年，對資安極具熱情，在 Network Security, Endpoint Security, 及 Mobile Security 等資安領域有超過十年以上的經驗。曾任職精誠資訊資安產品代理部門技術經理，負責資安產品之技術支援與大型企業導入專案。此外，他也取得了 ISO 27001 主導稽核員證書及 Check Point 的 CCSA 與 CCSE 等防火牆產品等專業證照。此外，平常除了喜歡透過ITHelp平台及個人部落格分享文章，亦常擔任社群活動主辦者及志工，連結資安同好聯誼及共好學習，並協助對於CISSP有興趣的同學與同好準備認證考試。

D1-安全与風险管理

組織政策與原則

文章作者作者: stevencho
文章發佈日期 2024 年 4 月 11 日
置頂文章

Policy Framework

組織(organization)由人(person)組成。它跟自然人(natural person)一樣也可以成為法律實體(legal entity)或所謂的法人，具有法律身份(identity)、享有法律上的權力與義務。組織內的人被賦予責任(responsibilities)與權力(authorities)，透過彼此的協作讓組織運作(operations)，來達成組織的目標。能代表組織作出決策的人在ISO的標準中稱為高階管理層(top management)，在WUSON的課程中則稱為治理(governance)階層或經營高層。

經營高層對組織行為及發展方向的期待稱為管理意圖(management intent)。文件化的管理意圖就代表組織的政策(policy)。政策除了展現經營高層的管理意圖，通常會對組織人員提出要求(requirement) — 一種可衡量、文件化、強制性的需要(need)或期待(expectation)。這些強制性的政策要求或指示，通常會配套的發展出相關的標準(standard)、規則(rule)、作業程序(procedure)、參考指引(guideline)，或提供指導正確行為或有效決策的原則(principle)等。政策、標準與程序這些文件在ISO 標準中常被稱為三階文件，若再加上記錄與表單則稱為四階文件。

資訊安全政策必須被充分揭露及有效溝通，讓組織的人員都能了解經營高層對於資訊安全的要求與期待。透過標準及程序的制定，讓人員都能依照制度的規範來進行決策與行動。無法白紙黑字或三言二語寫清楚的規範，可以透過指引來提供給更多的資訊、參考資料，或行事與決策原則，以賦能(empower)員工與催生當責(accountability)文化。

參考資料

Organization, Policy, Requirement, and Principle

資料來源：https://wentzwu.medium.com/%E7%B5%84%E7%B9%94%E6%94%BF%E7%AD%96%E8%88%87%E5%8E%9F%E5%89%87-82fb4cc1c296

PS:經作者同意轉載

CISSP

MTD,RTO and RPO

文章作者作者: stevencho
文章發佈日期 2024 年 3 月 11 日
置頂文章

企業開展業務是為了提供價值，或者說業務就是為了提供價值。影響價值交付的常見因素有人員、流程、技術等。提供價值的流程通常稱為業務流程。業務連續性概念背後的基本想法是在發生破壞性事件或災難時，在有限的企業資源範圍內恢復關鍵業務流程。
根據上述陳述，我們可以總結出一些要點：

資訊科技 (IT) 是業務連續性最關鍵的因素之一。
業務連續性規劃的範圍包括關鍵業務流程和底層資訊系統。
業務人員首先識別或確定關鍵業務流程，然後由 IT 人員識別或確定底層資訊系統。業務流程的關鍵性是透過最大可容忍停機時間（MTD）來評估；2 小時 MTD 的流程顯然比 2 天 MTD 的流程重要得多。
資訊系統應由IT人員依業務人員指定的業務需求並與IT人員協商進行復原；具體來說，復原時間目標 (RTO) 和復原點目標 (RPO)。
業務人員和 IT 人員共同努力實現業務連續性的目標。作為主計劃的業務連續性計劃 (BCP) 是業務連續性計劃的輸出，通常包括由 IT 人員準備的作為子計劃的災難復原計劃 (DRP)。
在確定關鍵業務流程之前，IT 人員進行任何災難復原規劃都是無效的，更不用說在替代站點（例如鏡像站點、熱站點、熱站點或程式碼站點）上做出決策。
業務影響分析 (BIA) 的本質是識別關鍵業務流程以及災難時的影響。業務流程的 MTD 是 BIA 最重要的產出。RTO和RPO是指導DRP的目標；它們都源自 MTD，並由業務人員和 IT 人員協商確定。換句話說，RTO和RPO是IT對業務滿足MTD要求的承諾。
那麼，業務連續性規劃流程和 CISO 的角色又如何呢？它們因企業而異。CISO 作為協調員或推動者來推動 BIA 流程的情況並不少見。這再次強調了 CISO R&R 的重要性。
資料來源： Wentz Wu QOTD-20211104
PS:經過作者（Wemtz Wu)同意翻譯刊登

Cissp-WentzWu

常見商業術語

文章作者作者: stevencho
文章發佈日期 2024 年 1 月 4 日
置頂文章

常見商業術語
發表於 2024 年 1 月 4 日

來源：THEIIO
企業是一個能夠執行各種功能的實體，這些功能透過將傳入的事物轉換為傳出的結果來交付產品和服務來增加價值。業務功能由一個或多個流程組成，這些流程可以分解為較小的活動和任務。活動可以指派給角色級別，任務可以指派給個人級別。

來源：PTC
個人依照標準作業程序 (SOP) 逐步採取行動來完成任務。營運一詞意味著企業運用其執行業務功能組合的能力，以持續提供產品和服務。

參考
.什麼是任務、活動、流程？
.將活動作為任務分配給用戶
.業務能力
.業務能力定義和範例
.能力與業務功能：相同的差別嗎？
.您如何區分業務功能和能力？
.業務職能與業務能力
.業務功能、服務與能力：簡短指南
.什麼是業務功能？ | 業務功能的範例和定義

資料來源：https://wentzwu.com/2024/01/04/common-business-terminologies/

ps:經作者同意翻譯張貼此文章

Cissp-WentzWu

isc2 考試中心電話

文章作者作者: stevencho
文章發佈日期 2023 年 11 月 1 日
置頂文章

Cissp-WentzWu

WUSON的CISSP課程與價值觀

文章作者作者: stevencho
文章發佈日期 2023 年 11 月 1 日
置頂文章

WUSON是一個CISSP課程的品牌，也是一個註冊商標，但很少人知道WUSON。即使聽過WUSON，對它的印象也多半僅止於Google搜尋常出現、是一個教CISSP的補習班，或者是一個摘金率很高的補習班。但其實WUSON不是補習班，而是一個私塾班。我們自詡不只是在教考試，而是志在發展與建立一套能讓國際採用的資安觀念架構(WISE Model)、分享學習方法與知識、傳播良善的價值觀、建立專家網絡與互助共好的平台，並為發展台灣所需的資安種子人員/安全冠軍(Security Champions)而努力！期待能為我們的產業、社會、國家，乃至國際社會作出貢獻！

CISSP也不只是一個考試，而是一個資安的專家資格及榮譽的象徵！ISC2是目前維持證照制度最用心的單位，是一隻真的會咬人的老虎！過去中國、韓國及台灣等亞洲地區的考生，普遍都有收集考古題或洩題的陋習，這完全違背美國（其實是普世）對於誠實正直(integrity)及榮譽(honor)的價值觀！昨天ISC2暫時取消簡體中文的考試，如果不是系統失誤，就是簡體中文的考區出現了異常，因此採取了斷然的措施。這就是ISC2的鐵腕風格，這樣的斷然措施不是第一次，我相信也不會是最後一次。

WUSON的CISSP課程每班【最多】只有九位同學！為了達到最佳的學習效果，建議即將開課的同學：

課前預習：第一天上課前先把資安定義背起來（最好是整個資安起手式都記起來）。每次上課前都先把WUSON的講義先翻閱過（看看有那些主題、圖片或不懂的英文單字即可。
課中學習：把重點放在課程的＂觀念架構＂及聽懂上課的主要觀念及掌握讀書方法即可，不用急著抄筆記。
課後複習：準時完成課後評鑑及適度的複習。
跟上腳步：開課後週一至週五每天晚上會進行daily scrum及sprint review，請大家保持【持續而穩定】的學習節奏。
互助共好：與同學及教練盡可能保持良好互動，讓在WUSON學習資安及準備考試的過程，也能成為一個創造機會與延續友誼的善緣！
光榮考試：資安即國安！資安人員在未來是連結國家安全的重要力量之一，誠實正直(integrity)格外重要！因此，請大家務必要遵循ISC2的道德守則，尤其是與考生最相關的考試規定，千萬不要收集考古題、討論上場考試所遇到的真實題目。
台灣需要1500位CISSP！想要改變環境，需要從我們自己作起！
讓我們一起從WUSON啟程！一起努力！一起成功喔！

資料來源：https://wentzwu.medium.com/wuson%E7%9A%84cissp%E8%AA%B2%E7%A8%8B%E8%88%87%E5%83%B9%E5%80%BC%E8%A7%80-f5904fb7ce0a

PS:經作者同意轉載

Cissp-WentzWu D1-安全与風险管理