Domain 1：資訊安全管理的概念
1.1 認識資訊安全管理
資訊安全管理系統（ISMS）
資訊安全管理系統（Information Security Management System，ISMS）是指一套系統化、結構化的方法，用於管理組織的資訊安全風險，並確保組織的資訊資產得以保護和安全運營。
ISMS主要包括以下幾個方面：
確認組織的資訊資產及其價值；
評估與管理資訊安全風險；
制定與實施資訊安全政策、程序與控制措施；
監控、評估與改進資訊安全措施；
持續培訓、提高員工的資訊安全意識。
ISMS可以根據不同的標準和框架實現，如ISO 27001等。通過建立和實施ISMS，組織可以更好地保護其資訊資產，降低資訊風險和損失，增強客戶和利益相關者對組織的信任和認可。
ISMS 認證
ISMS認證是指一個組織的資訊安全管理系統（ISMS）已被獨立的第三方認證機構評估並認定為符合國際標準組織（ISO）的相關標準，如ISO/IEC 27001，或其他類似標準和規範。
ISMS認證通常包括兩個步驟：首先，組織需要進行內部審核，以確保其ISMS已經符合標準的要求，其次，組織需要邀請一家獨立的第三方認證機構對其ISMS進行評估和認證。
ISMS認證能夠提高組織在資訊安全方面的信譽和聲譽，使其能夠更好地管理其風險並保護其業務和客戶的數據。此外，ISMS認證也是許多組織與供應商進行業務合作時的必要條件。
1.2 風險管理
風險管理是指在不確定的情況下，透過評估和分析，以決策和實施措施，減少或控制損失的過程。在資訊安全領域中，風險管理通常包括以下步驟：
風險評估：對系統、應用程式、資料等進行評估，確定資產的價值，識別可能存在的威脅和弱點，評估可能發生的損失程度。
風險分析：對已識別的風險進行分析，確定其威脅程度、發生概率和影響範圍。
風險評估：將風險分類，並優先考慮對組織造成最大損失的風險。
風險處理：選擇控制措施，例如避免、轉移、降低或接受風險。實施控制措施的責任通常由資訊安全團隊承擔。
風險監控：持續監控和評估風險控制措施的有效性，確保其能夠及時應對變化的威脅和弱點。
風險管理架構
以下是常見的風險管理架構：
ISO 27001：國際標準組織制定的資訊安全管理系統（ISMS）標準，提供一個整體的框架以確保資訊安全。
NIST Cybersecurity Framework：美國國家標準與技術研究院（NIST）制定的一個框架，旨在幫助組織確定、管理和降低其資訊科技基礎設施的風險。
OCTAVE：由美國軍方撥款的一個框架，用於組織的資訊風險管理，以及確定對組織的重要資產的威脅。
FAIR：風險管理方法論（Factor Analysis of Information Risk），是一個公認的方法，用於評估資訊安全風險，並根據風險的嚴重程度和潛在的影響程度進行優先排序。
COSO ERM：企業風險管理框架，由COSO（企業風險管理委員會）制定，是一個專門用於企業風險管理的框架，強調將風險管理整合到企業的整體管理中。
1.3 資產管理
資產管理是指對組織或企業所有的資產進行有效的監控、分類、評估和維護的過程。這些資產可以是任何形式的資訊，例如數據、應用程序、硬件設備、網路基礎設施、設施等。資產管理通常包括以下幾個步驟：
資產識別：確定組織擁有的所有資產，包括硬體、軟體、資訊、人員和其他基礎設施。
資產分類：根據其價值、敏感程度、機密性等特徵，將資產分類為不同的類別。
資產評估：對每個資產進行風險評估和威脅模型，評估其安全威脅和風險水平。
資產管理計劃：制定保護每個資產的相應安全策略和程序，確保其受到適當的管理和保護。
資產監控和維護：定期監控和維護所有資產，以確保它們持續符合公司的安全標準和合規要求。
資產管理可以幫助企業更好地了解其所有資產，評估其價值和風險水平，制定相應的安全策略和程序，保護企業免受安全威脅的影響。
資產擁有者
在資產管理中，資產擁有者是指對該資產擁有所有權或控制權的人或實體。資產擁有者負責確定資產的價值、管理和保護資產，以及確保適當的風險管理和資訊安全措施已被實施。資產擁有者可以是組織中的部門、個人或其他實體。在某些情況下，資產擁有者可能不是資產的實際使用者，但他們負責對其進行管理和維護。資產擁有者也需要確保資產的價值符合組織的目標和戰略，並在適當的時間進行決策，如何處理該資產。
資產保護
資產保護是指採取措施，以確保組織的資產免於受到損害、損失、竊取、破壞或其他威脅。這些措施可以包括技術性的安全控制措施（例如防火牆、加密和入侵檢測系統），也可以包括管理上的安全控制措施（例如政策、程序和訓練）。
資產保護是風險管理的一個重要方面，旨在確保組織的關鍵資產不受威脅影響，並且在風險發生時能夠快速恢復正常運作。資產保護可以幫助組織保護其財務、聲譽、客戶數據、知識產權和其他關鍵資產。
1.4 組織與管理
組織是指一群人在特定的目標或目的下，通過分工、協調、溝通等方式結合在一起，形成一個特定的系統或實體，並且能夠進行各種活動，以實現其共同的目標或使命。
管理則是指對組織中的人、資源和活動進行協調、指導和控制，以實現組織的目標和使命。管理包括規劃、組織、領導、控制等活動，通過有效地管理，可以提高組織的效率、效益和競爭力。
總的來說，組織和管理是相互關聯、相互影響的，組織提供了一個框架和平臺，管理則負責對組織進行有效的指導和控制，以實現組織的目標和使命。
資訊安全政策
資訊安全政策是一個組織或企業所制定的規範，旨在確保該組織或企業的資訊系統和數據受到適當的保護和管理。這些政策通常包含有關資訊資源的使用、存取和保護的指導方針，以及與資訊安全有關的風險管理措施。
一個完整的資訊安全政策通常包括以下內容：
資訊安全目標：明確指出資訊安全政策的目的和目標，以及如何實現它們。
資訊資產的定義：明確界定哪些資訊資產需要保護，包括系統、應用程序、數據、文檔和設備等。
資訊安全管理體系：確立資訊安全管理體系的組織架構和職責，以及如何進行資訊安全管理和監督。
資訊安全控制措施：定義和實施適當的控制措施，包括技術、物理和管理控制，以保護資訊資產免於未授權的存取、損壞、竊取或泄露。
資訊安全風險評估和管理：進行風險評估和管理，以確定可能的威脅、弱點和風險，並實施相應的控制措施來降低風險。
員工培訓和意識：提供員工資訊安全培訓和意識，以幫助他們理解資訊安全風險和如何保護資訊資產。
資訊安全事件管理：建立和實施應急計劃，以應對資訊安全事件，並確保在發生安全事件時能夠及時、有效地應對和恢復。
總的來說，資訊安全政策是一個組織或企業保護其資訊資產的重要工具，可以幫助組織或企業確保其業務的安全和可靠性，並減少資訊安全風險。
溝通與培訓
溝通是指資訊安全經理必須與企業或組織中的其他部門或個人進行有效的溝通和協調，以確保資訊安全政策和控制措施的順利實施。這包括對高層管理人員的報告和演示、與IT部門的協作、與其他業務部門的合作等等。通過有效的溝通，資訊安全經理可以幫助企業或組織更好地理解資訊安全風險和如何進行風險管理，同時也可以協助各個部門合作，共同實現資訊安全目標。
培訓是指資訊安全經理需要確保企業或組織中的員工獲得必要的資訊安全培訓和意識。這包括定期進行資訊安全培訓和教育，以幫助員工更好地了解資訊安全措施和政策，並學習如何保護企業或組織的資訊資產。此外，資訊安全經理還應該定期進行模擬演練和測試，以確保員工具備應對資訊安全事件的能力。
總的來說，溝通和培訓是CISM中資訊安全經理需要掌握的重要技能和工具，它們可以幫助企業或組織建立一個良好的資訊安全文化，同時也可以促進員工的職業發展和提高企業或組織的競爭力。
資訊安全角色和責任
資訊安全角色和責任是指資訊安全管理中各個人員所扮演的角色和責任，以確保企業或組織的資訊安全得以維護。以下是CISM中提到的幾種資訊安全角色和責任：
資訊安全經理：資訊安全經理是負責制定和實施企業或組織資訊安全策略和政策的負責人，同時也需要管理和監控資訊安全風險和事件。資訊安全經理需要與其他部門進行協調和溝通，確保整個企業或組織的資訊安全得到維護。
資訊安全專業人員：資訊安全專業人員是負責實施資訊安全控制和技術的人員，他們需要設計、實施和維護各種資訊安全措施，如防火牆、入侵檢測系統、加密等。
業務所有者：業務所有者是企業或組織中負責特定業務範疇的人員，他們需要了解並確保相關業務的資訊安全。例如，財務部門的業務所有者需要確保金融交易的安全，人力資源部門的業務所有者需要確保員工資料的安全。
員工：所有員工都有責任確保企業或組織的資訊安全，他們需要遵守相關的資訊安全政策和控制措施，例如定期更換密碼、不隨意分享機密資訊等。
總的來說，資訊安全角色和責任是CISM中非常重要的概念，確保企業或組織的資訊安全需要所有人共同努力，每個人都需要扮演自己的角色並承擔相應的責任。
合規性
合規性（Compliance）是指組織或企業必須遵守的相關法律、標準、規範和指導方針，以確保其業務和運營活動的合法性、合規性和可信性。
對於資訊安全管理來說，合規性包括了一系列相關法律、標準和規範，例如：歐盟一般數據保護條例（GDPR）、Payment Card Industry Data Security Standard（PCI DSS）、健康保險可攜性和責任法案（HIPAA）等。這些法律、標準和規範要求企業或組織確保其資訊安全管理系統能夠符合相關標準和規範要求，並在需要時進行相應的調整和改進。
因此，合規性是資訊安全管理中非常重要的一個方面，它需要組織或企業確保其資訊安全管理系統能夠符合相關法律、標準和規範要求，避免違反相關法律和規定所帶來的法律風險和信譽風險。
1.5 資訊安全管理
資訊安全管理（Information Security Management，簡稱ISM）是指組織或企業通過建立、實施、維護和改進資訊安全管理系統，確保其資訊資產（包括硬體、軟體、資料庫、網絡等）得到有效的保護和管理，以達到保護機密性、完整性和可用性的目標，同時確保遵守相關的法律、法規和標準要求。
資訊安全管理系統是指為實現資訊安全管理目標而建立的一系列相互關聯、相互依存的組織、政策、流程、技術和人員的集合。資訊安全管理系統的實施可以幫助組織或企業建立完善的資訊安全管理體系，包括風險評估、安全策略和標準、安全培訓、安全控制和監測等方面。
因此，資訊安全管理在現代企業中具有非常重要的意義，不僅可以幫助組織或企業保護其資訊資產，還可以增強客戶信任度、減少風險和成本、提高效率和效益等方面的效益。CISM作為一種專業的資訊安全管理認證，旨在幫助專業人士更好地理解和實施資訊安全管理系統，從而提高組織或企業的資訊安全水平。
監測
監測（Monitoring）是指組織或企業對其資訊系統和資訊安全管理系統進行定期和持續的監控，以確保其資訊系統和資訊安全控制的有效性和運作情況。
監測的目的是為了及時發現和識別任何資訊安全事件或威脅，包括未經授權的訪問、資訊洩露、病毒攻擊、入侵等，並迅速採取相應的措施，以保護組織或企業的資訊資產。
監測可以包括不同的項目，例如：
系統監控：對系統日誌、事件記錄、安全事件報告等進行審核，以確保系統運行正常並及時發現潛在的安全問題。
網路監控：對網路流量、網絡設備和系統的漏洞等進行監控，以及時發現和防止任何未經授權的訪問和攻擊。
數據監控：對敏感資料進行監控，以及時發現任何潛在的數據洩露或非法訪問行為。
人員行為監控：對系統使用者和員工的行為進行監控，以及時發現和預防內部威脅和風險。
總之，監測是資訊安全管理中非常重要的一個方面，可以幫助組織或企業及時發現和解決潛在的資訊安全問題，提高資訊安全水平。
績效評估
績效評估（Performance Evaluation）是指對組織或企業的資訊安全管理系統進行評估和測試，以確定該系統是否符合既定的安全目標和要求，並能夠有效地運作。
績效評估的目的是評估資訊安全管理系統的效能和效益，以確保該系統能夠達到預期的目標，同時發現和解決任何存在的問題或缺陷。
績效評估可以包括以下內容：
安全控制評估：對組織或企業的安全控制措施進行評估，包括技術和非技術控制，以確保其能夠有效地保護資訊資產。
漏洞評估：對組織或企業的資訊系統和應用程序進行漏洞評估，以發現可能存在的漏洞和風險。
測試和驗證：對組織或企業的資訊安全管理系統進行測試和驗證，以確保其能夠有效地運作並符合安全目標和要求。
安全合規評估：對組織或企業的安全合規性進行評估，確保其符合相關的法規和標準要求。
總之，績效評估是資訊安全管理中非常重要的一個方面，可以幫助組織或企業評估其資訊安全管理系統的有效性和效益，並及時發現和解決潛在的問題或缺陷，從而提高資訊安全水平。
KRI是指關鍵風險指標（Key Risk Indicators），是指用於監控、評估和管理風險的關鍵指標。它是一個量化的工具，通常被用於管理風險，尤其是在風險預警方面。
KRI可以幫助組織或企業識別和監控與其業務活動相關的關鍵風險，並評估其影響和可能性。它通常基於歷史數據、市場趨勢和專家意見等來確定，並且會進行定期更新。
KRI的使用可以幫助組織或企業更好地理解其風險狀況，從而更好地管理風險。通過監控KRI，可以及早發現風險的變化和趨勢，並採取必要的措施來降低風險。
總之，KRI是一個非常有用的工具，可以幫助組織或企業更好地識別、監控和管理其風險，並及早發現和處理可能對業務造成損失的風險。
持續改進
持續改進是指在資訊安全管理系統中，通過進行監控和評估，確定並改進可能存在的問題和不足之處，從而不斷提升組織的資訊安全能力。
持續改進的目的是保證組織的資訊安全管理系統能夠不斷地適應不斷變化的外部和內部環境，並隨著時間推移不斷提升其資訊安全水平。通過持續改進，組織可以：
發現和解決可能存在的問題和風險；
改進資訊安全政策、程序和措施；
提高員工的資訊安全意識和技能；
提升資訊系統的可用性、完整性和保密性；
符合法律法規和業界標準的要求；
不斷提高組織的績效和效率。
持續改進的實施需要定期進行監控和評估，以確定改進的效果和結果，並根據評估結果進行調整和改進。這需要組織將持續改進納入其資訊安全管理體系的各個方面，並為此賦予相應的資源和支持。
以上是 CISM Domain 1 的主要內容，這個領域著重於資訊安全管理的概念、風險管理、資產管理、組織與管理，以及資訊安全管理的實施和監控。通過深入研究這些主題，可以提高資訊安全管理的能力和效率，並為 CISM 認證考試做好準備。
有興趣的讀者還可以看另一篇心得文