專業證照 on 資安見聞錄

[證照] AAIA 考試心得：3 大知識領域與備考建議

Sun, 19 Jul 2026 16:23:26 +0000

隨著愈來愈多組織導入各項 AI 應用，除了需要建立 AI 治理的政策與管理組織之外，同時也需要透過內部和外部的稽核，協助組織進行績效與合規評估，指出可以持續改善的方向。因此，培育具有 AI 稽核專業知識技能的人才，也是組織的重要課題。

目前，由國際電腦稽核協會 (ISACA) 所推出的進階人工智慧稽核認證 (Advanced in AI Audit, AAIA)，它是全球第一個有關 AI 稽核的個人專業證照，在考試中所要求的知識領域，也是負責實施 AI 稽核活動的相關人員，需要具備的專業知識。

我趁著最近講授 ISO 42001 主導稽核員課程的空檔，也利用 ISACA 當初給予優惠價考試期限的最後一天，總算把 AAIA 考試給完成了，一點小小的心得，分享給有興趣強化 AI 稽核能力的夥伴們參考。

AAIA 是什麼？誰能報考？

ISACA 於 2025 年推出全球第一張進階 AI 稽核證照，主要是讓已經具備財務、IT 或其他稽核相關經驗的人士，藉由進修學習與 AI 有關的知識，獲得更進一步的 AI 稽核技能。

所以在取證資格方面，ISACA 要求必須具備業界認可的稽核相關證照：持有 CISA (Certified Information Systems Auditor) 者全數符合資格；若是 CIA、CPA 等其他證照的持有者，則需具備 IT 稽核或 IT 顧問的工作角色，才能在通過考試之後，以相關資格申請獲得這項認證。如果您的工作是比較偏向於 IT 稽核方面，建議可以先取得 CISA 之後，再來準備 AAIA 會是比較容易的途徑。

在費用方面，考試報名費為 ISACA 會員 US$459、非會員 US$599，通過考試後另有 US$50 的證書申請費。要特別注意的是，報名後有 6 個月的應考效期，請預先規劃好自己的準備時程。

3 大知識領域

依據 ISACA 現行版本 (2025 年 6 月) 的考試內容大綱，AAIA 一共涵蓋了三個主要的知識領域，包括：

• Domain 1 – AI 治理與風險 (AI Governance and Risk)：佔 33%，包含 AI 模型與要求、治理與計畫管理、風險管理、隱私與資料治理、AI 倫理／法規／標準等。

• Domain 2 – AI 營運 (AI Operations)：佔比 46% 最高，包含資料管理、AI 開發生命週期、變更管理、AI 產出監督、測試技術、AI 特有威脅與弱點、事故管理等。

• Domain 3 – AI 稽核工具與技術 (AI Auditing Tools and Techniques)：佔 21%，包含稽核規劃、測試與抽樣方法、證據蒐集、資料品質與分析、稽核報告等。

以個人實際應考的感覺，針對 AI 運作面的相關知識是絕對必要的，特別是針對資料管理、AI 開發生命週期，以及對應每個階段可能面臨的風險管理，這些是需要花比較多的時間來準備的。

如果您想獲得 AI 相關的基礎知識，網路上有一些完整且免費的資訊，可以作為學習的教材，例如：

1. 數位發展部的公部門人工智慧應用參考手冊 (https://moda.gov.tw/digital-affairs/digital-service/ai-resource/18248)

2. 經濟部 iPAS AI 應用規劃師 (初級) 學習指引 (https://ipd.nat.gov.tw/ipas/certification/AIAP/learning-resources)

當然，先前我參加的 ISC2 Building AI Strategy Certificate 課程和 CSA TAISE 的認證訓練，在 AI 治理和維運的領域知識方面，也提供了非常大的幫助，才能在短暫的準備時間內，順利通過考試。

考試注意事項與備考心得

對於剛踏入 AI 領域的考生，我建議先利用前面提到的免費資源打穩基礎；如果您已經相當熟悉 AI 的治理和管理，則可以參考我自己採用的方式來進行。

以我自己來說，想要取得這個證照的目的，只是為了強化有關 AI 稽核的知識與技能，我不追求考試一定要得高分，但一定要掌握自己能理解而且可用的知識，所以只有規劃了一週的時間，把官方的 ISACA AAIA Official Review Manual 仔細看了兩遍，再利用官方的 QAE 題庫 (ISACA AAIA Questions, Answers & Explanations Database)，熟悉解題的觀念和技巧。

考試共 90 題單選題，時間為兩個半小時，計分採量化計分 (Scaled Score) 200-800 分，450 分即為通過，答錯不倒扣，所以每一題都要作答。考試題目不會太長，但會以情境的方式讓考生判斷，從四個選項中選出一個最優先或最適當的答案。我選擇在實體的 PSI 考試中心（台北恆逸考場）應試，電腦考試的介面相當清楚，開始前有詳細的操作解說，有疑問的考題可以註記，再回頭檢視自己的答案。另外提醒，進考場前要交付所有的個人隨身物品，不能配戴手錶，眼鏡也得先取下讓考場人員確認，考試的小房間中冷氣相當冷，建議帶件薄外套備用。

結語

如果您是組織負責實施稽核的人員，又被長官賦予了 AI 系統查核的任務，若是正愁不知從何著手，那麼現在就是準備報考 AAIA 的好時機，也是取得進階 AI 稽核能力的好途徑。

如果您本身參與過 ISO 42001 主導稽核員課程，但又想要獲得一些實用的稽核技巧，那麼 AAIA 的知識領域，也正好補充了實務所需的專業技能，可以為您的職涯增添更多色彩，歡迎加入 AI 稽核員的行列。

Certification badge - ISACA AAIA

舊留言存檔

以下留言轉存自原 Blogger 網站，僅供存檔，無法回覆。

Jimmy Kao（2026-09-09）

謝謝詳細的分享！

[證照] 強化零信任知識與專業能力

Sun, 15 Feb 2026 08:00:00 +0000

在台灣，隨著金管會在2022年12月發布「金融資安行動方案 2.0」，並且持續推動零信任架構（Zero Trust Architecture, ZTA），對於金融行業來說，針對高風險的作業活動，建立安全有效的資源存取和保護機制，已經是不可或缺的工作之一，如果您想要強化有關零信任的專業知識與能力，本篇文章提供了相關學習的資源與參考資料。

零信任（Zero Trust）這個名詞出現在2010年，由任職於知名研究調查機構 Forrester 的 John Kindervag 所提出，他認為所有的網路流量都是不可信任的，必須在每個步驟中針對資料或資源的存取需求進行驗證，而它的精神也就是最廣為人知的一句話：「永不信任，始終驗證 (Never trust, always verify)」。

隨著零信任技術發展的不斷演進，加上行動科技和雲端運算的運用也愈來愈普及，在2013年雲端安全聯盟（CSA）提出了軟體定義邊界（Software-Defined Perimeter, SDP）的概念，藉由建立一個無形邊界的安全架構，呼應了零信任精神來保護組織的關鍵資產與資源。在2020年，美國國家標準與技術研究院（NIST）亦發布了「NIST SP 800-207 Zero Trust Architecture」，正式建立了構成零信任架構的核心元件，也成為了聯邦機構或任何組織，想要強化網路安全的重要參考資訊。

依據 NIST 的定義，零信任不是指單一架構，而是一組整合工作流程、系統設計和運作的指導原則，可用來強化各種不同類型或敏感等級資料的安全現況。CSA 則強調了在實施零信任架構時，每個防護面專案需要執行的五個關鍵步驟：定義保護層面、對映資料傳輸流程、建構零信任架構、建立零信任政策，以及持續監控和維護，這些步驟提供了一種結構化的方法來增強網路安全，並確保組織能夠將現有的安全做法成功轉換到零信任模式。

如何強化零信任知識和能力

對於資訊或資安人員來說，若想要強化有關零信任的專業知識與能力，個人有以下兩個「不用花錢」的方法分享給大家，如果在閱讀了文件之後，對於零信任的規劃和實施有一些學習心得，還可以進一步選擇「花錢」參加考試來取得能力證書，這個資訊也一併提供給大家參考。

1. 免費下載兩份零信任的重要參考指南

「NIST SP 800-207 Zero Trust Architecture」- https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-207.pdf

「CSA Software-Defined Perimeter (SDP) Specification v2.0」 - https://cloudsecurityalliance.org/artifacts/software-defined-perimeter-zero-trust-specification-v2

2. 下載「CCZT Prep Kit」(需注冊CSA會員-免費)，裡面提供了通過 CCZT 考試所需研讀的教材，以及其他和零信任有關的補充知識文件。

https://cloudsecurityalliance.org/artifacts/cczt-prep-kit

關於零信任能力證書 (CCZT)

零信任能力證書 (Certificate of Competence in Zero Trust, CCZT) 是由雲端安全聯盟 (CSA) 在2023年11月所推出的個人能力證明，如果學習了以上的零信任知識，想進一步取得專業能力的證明，可以藉由參加線上考試來獲得證書，以下相關資訊彙整自 CSA 官網的說明。

考試的七大知識領域

1. Zero Trust and Zero Trust Architecture general concepts and definitions (零信任和零信任架構的一般概念和定義)

2. Zero Trust goals, objectives, and benefits (零信任的目標、目的與優勢)

3. Zero Trust Architecture logical model and key components (零信任架構的邏輯模型與關鍵元件)

4. Software Defined Perimeter (軟體定義邊界)

5. Zero Trust Strategy (零信任策略)

6. Zero Trust Planning (零信任規劃)

7. Zero Trust Implementation (零信任實施)

研讀考試的教材

在 CSA 提供的「CCZT Prep Kit」中，包括了以下相關參考資料:

• 5 Study Guides (*5 份學習指南 - 涵蓋七大知識領域，這是通過考試的必讀文件!)

• Knowledge Guide (知識指南 - 針對考試的說明介紹)

• CCZT Curriculum (課程大綱)

• Recommended Readings (推薦閱讀材料 - 有空再看)

• Authoritative Sources (官方資源)

• Mapping ZTA Components to SDP (NIST零信任架構和CSA SDP的對照說明)

• FAQ (考試常見問題)

• Infographic - How to Earn your CCZT (說明如何取得 CCZT 認證)

• 50 Sample Questions (*50 題範例題 - 考前必讀!)

• Overview Presentation (考試說明簡報)

考試方式和費用

CCZT 考試為開卷 (open book) 的線上考試 (使用自己的電腦，時間可自由選擇進行)，考試過程包含了60道選擇題 (單選)，考試時間為120分鐘，最低及格分數為80%。考試的費用為175美元，包含了兩次考試機會，有效期限為兩年。

最後，在完成考題作答並送出之後，即可馬上得知是否順利通過，考試通過之後即可獲得一份電子證書和以下的個人標章 (證明錢沒有白花~~)。

Certificate of Competence in Zero Trust (CCZT) for Jack Hua

[證照] ISC2 人工智慧策略建構證書

Thu, 20 Nov 2025 07:34:00 +0000

長久以來，ISC2 的 CISSP 證照一直是資安相關人員學習和追求的目標，隨著人工智慧的應用愈來愈受到重視，雖然 ISC2 目前還沒有針對AI推出個人證照，但為了強化資安相關人員對於AI的專業知識，因此在今年推出了「人工智慧策略建構證書 (Building AI Strategy Certificate)」，藉由線上完成與AI有關的課程，協助資安相關人員獲得為組織建立AI的管理基礎知識，以及了解合乎道德與安全考量的人工智慧應用方式。

課程簡介

人工智慧策略建構證書一共包括了以下六門課程主題，參與學習的夥伴們，在完成每堂課程之後，只要在課程評估測驗中，答對70%的考題 (選擇題)，就可以取得單堂課程的證書。若是完成全部的六門課程和評估測驗，即可獲得「建立人工智慧策略證書」的 Credly 數位徽章。

課程主題：

人工智慧在網路安全中的應用 (AI for Cybersecurity): 了解人工智慧在網路安全中的作用，以及傳統安全方法和人工智慧專用安全方法對安全風險的影響。
人工智慧安全 (AI Security): 探索在保持關鍵的人工監督的同時，可優化 AI 驅動的安全議題，以管理過度自信的情況。
與全球人工智慧法規保持一致 (Aligning with Global AI Regulations): 了解將人工智慧安全框架與整體網路安全原則保持一致的複雜性，比較與人工智慧相關的特定安全框架和標準以及支撐安全人工智慧實踐的原則。
人工智慧的基礎 (Foundations of AI): 學習人工智慧安全基礎知識，藉由熟悉人工智慧的相關定義，以了解人工智慧應用和實施所帶來的影響。
規劃具有安全設計的人工智慧 (Planning for Secure by Design AI): 如何從策略角度將安全性融入人工智慧的營運之中，了解安全的人工智慧的實施要求，以及如何將傳統網路安全原則與人工智慧治理框架進行整合。
不斷發展的網路安全人才隊伍 (The Evolving Cybersecurity Workforce): 透過探討人工智慧對網路安全人才隊伍的影響，並分析有關領導力的考量與策略。

授課方式：

方式：線上隨選學習，可獲得 CPE 16 學分 (16 小時)
語言：英語
教材：文字、影片、案例說明
費用：640美元 (ISC2會員可打8折為512美元)

以上是和課程有關的資訊 (內容說明來自 ISC2網頁)，提供給有興趣的夥伴參考，就我個人參與的經驗，內容沒有太過技術的內容，適合初階或想了解AI管理架構的夥伴來進修學習。

[證照] 通過 Trusted AI Safety Expert (TAISE) 考試

Mon, 10 Nov 2025 16:45:00 +0000

隨著人工智慧的議題持續在全球發燒，雲端安全聯盟 (CSA) 在2025年10月底也正式推出了「可信賴人工智慧安全專家 (Trusted AI Safety Expert, TAISE)」的認證計畫，這是雲端安全聯盟與美國東北大學 (Northeastern University) 共同合作所推出的一個針對人工智慧安全的訓練與認證，可以幫助對人工智慧有興趣的人員，藉由參與完整的培訓課程，獲得跟人工智慧有關的專業知識。

課程內容

TAISE的課程，目前是採取線上自主學習的方式，內容包括了以下10個單元模組，並且提供了免費下載的「TAISE Prep Kit」，讓有意想取得這個認證的人員，可以清楚的掌握課程的架構與學習方向。

Module 1: Introduction to AI (人工智慧導論)

Module 2: Generative AI Architecture and Design (生成式人工智慧架構與設計)

Module 3: AI Use Cases: GenAI, Multimodal, and AI Agents (人工智慧應用案例：GenAI、多模態和人工智慧代理)

Module 4: Fairness, Accountability, and Explainability in AI (公平性、問責和可解釋性)

Module 5: AI Model Lifecycle and Threat Taxonomy (人工智慧模型生命週期與威脅分類)

Module 6: Model Governance, Risk Management, and Compliance (模型治理、風險管理與合規性)

Module 7: Introduction to AI Safety and Security (人工智慧安全導論)

Module 8: Cloud and AI Security (雲端和人工智慧安全)

Module 9: Data Security & Privacy in AI Systems (人工智慧系統中的資料安全與隱私)

Module 10: Continuous Learning and Adaptation (持續學習與適應)

就我個人的上課體驗，覺得課程內容相當扎實，可能是與學校合作的關係，教材的品質非常好，搭配適當的影片解說和補充的參考資料，可以對人工智慧的發展歷史、機器學習的技術、人工智慧模型生命週期、人工智慧的安保與安全，以及模型治理和法規，能夠獲得全盤的了解。

但對初學者而言，由於內容橫跨了包括人文、心理、數學、資訊及法律學科，資訊量有點大，可能需要一點時間消化和吸收，未來若CSA有提供真人線上和線下進行的課程，可能會更有助於討論和學習。

關於考試

TAISE考試同樣秉持著CSA以往為了確保過程嚴謹又容易參加的精神，採取了以下的方式進行 (參考自CSA官網) ，只是這次比較特別的是課程與考試費用綁在一起，也就是必須同時購買線上課程才能獲得考試資格，目的應該是為了讓考生可以接受完整的課程訓練。

形式：線上、開卷 (Open book)

題目： 60題選擇題 (單選)

時間： 120分鐘

及格分數： 80%

可考試次數： 2 次 (可補考1次，有效期限 2 年)

費用：795美元 (課程+考試)

就我個人的考試經驗，考題相當有難度 (不像範例試題直覺簡單)，英文試題雖然不長但也很折磨人，需要清楚了解AI相關名詞的定義，並且配合課程所學習的知識，才能做出正確的判斷，憑自己的力量考過會是很有成就感的，此課程對有意想在AI領域發展的夥伴們也會是一個好選擇。

我的證書 badge: https://www.credly.com/badges/dc8c713c-61ae-4a70-bb79-fd03f45becde