資訊安全規劃實務 重點整理

核心概念

「資訊安全規劃實務」是資訊安全工程師中級鑑定的第一科，考核重點從初級的「基礎認知」躍升為「規劃與建置實務能力」。全科分兩大主題：資訊安全管理系統聚焦組織如何把 ISMS（Information Security Management System，資訊安全管理系統）從文件落實為可執行的管理與技術架構，涵蓋建置實務與法規遵循、存取控制／縱深防禦／職務區隔（Separation/Segregation of Duties, SOD）等資安管理實務，以及零信任架構（Zero Trust Architecture, ZTA）、OT/IT 網路區隔等安全架構規劃；風險管理實務則深入 ISO/IEC 27005 的風險分析、評估與處理，要求考生能依情境判斷風險等級並選擇適切的處理策略。近年考題明顯融入時事：資通安全管理法通報時限、證交所重大訊息揭露、後量子密碼學（Post-Quantum Cryptography, PQC）、深偽（Deepfake）詐騙防範、供應鏈安全（SBOM）等，顯示本科不只考標準條文，更考「在真實情境中如何規劃與決策」。