資安證照 on 資安見聞錄

[證照] 通過CCSK v5考試

Thu, 05 Jun 2025 15:07:00 +0000

趁著最近在講授ISO 27017和ISO 27018課程的空檔，總算把先前花了錢購買了考試代幣，但是拖了很久沒動的CCSK v5考試給完成了。

跟我上一次考的CCSK v3相比，CCSK v5的考試總算是對考生比較友善了，題目內容不長且難易適中，只要閱讀和利用CSA提供可免費下載的「CCSK Offical Study Guide」，應該就能順利通過考試，當然比較保險的話，把「Security Guidance (對岸有簡體中文版可下載)」也看過一遍，對於整體的雲端安全觀念會更加完整。

對於考試有興趣的夥伴們，可直接到CSA官網下載「CCSK v5 Prep Kit」，裡面提供很豐富的資訊 (包括上面提到的 Offical Study Guide 和 Security Guidance)，以下則是利用AI彙整的考試說明，請參考。

CCSK 考試注意事項

• 考試形式：考試是線上進行的開卷考試 (Open book)。

• 考試結構：考試包含 60 題多重選擇題，每個題目都是單選題，這些問題是從題庫中隨機選取的，因此每次考試的問題不一定相同。

• 時間限制：CCSK v5 考試的時間限制為 120 分鐘，考生可以先註記困難的題目，最後再回頭作答。

• 通過分數：考試的最低通過分數是 80%。

• 考試次數與代幣費用 (Standard Exam Token)：一個標準考試代幣的費用是 $445 美元，包含最多 2 次考試機會，如果你在第一次嘗試時失敗了，沒有強制規定需要等待多久才能參加第二次考試，但建議在失敗後花時間重新學習一下不熟的知識領域。

• 考試時間與地點：考試不需預約特定的考試日期，因為是線上考試，可以隨時自行安排並使用自己的電腦，你也不需要到考試中心參加考試。

• 考試結果與檢討：考試結束之後，結果會立即知道，通過就可以取得電子版的證書。為了維護考試的完整性，考試平台不會提供你答錯的具體題目答案，但是，平台會顯示每個領域的題目數量，以及你在每個領域答對的數量，這有助於考生了解哪些知識領域需要加強學習。

[證照] CIPP/IT 資訊科技隱私專家證照入手

Mon, 08 Jul 2013 13:53:00 +0000

之前曾經介紹在個人資料保護與隱私維護方面，唯一受到全球業界廣泛認可的資訊科技隱私專家證照-CIPP/IT，在我通過考試的一個多月之後，由官方所頒發的證書總算寄到了。

目前看起來，這應該是台灣的第一張，但我期待未來能有更多朋友能夠取得這張證照，所以希望透過訓練課程來協助大家準備，並且順利地通過考試。

如果您想要了解這張證照的相關資訊，可以先參考之前已發佈的「資訊科技隱私專家證照–CIPP/IT」這篇文章。

註：CIPP/IT目前已更換名稱為"Certified Information Privacy Technologist (CIPT)"

以下則是額外幾個有關這張證照的Q&A分享。

Q. 若要報名CIPP考試，是否需要先加入IAPP會員？但會員的身分有好多種，需要以哪一種加入才行呢？

A: 一般而言，只要具備了任何一種身分，就能參加考試。如果您不是學生、政府、非營利組織和其認可的教育單位員工，就只能選擇加入專業會員(US$250)，會員除了可直接報名參加考試之外，還有個人可享的專屬福利，也就是網站上豐富的知識訊息和全球人脈的互動。

Q. CIPP基礎認證要考90題，CIPP/IT認證要考60題，都是單選題嗎？各要答對幾題才能過關呢？又，基礎認證考試要先通過，才能再報名CIPP/IT認證考試嗎？

A: 所有題目皆為單選題，但IAPP並沒有公布總分和計分方式，考試結果也只有告知每個知識領域的答對率，沒有顯示得分，若通過則最後一行會顯示Pass。在基礎認證方面，個人評估必須要達到各知識領域平均的70%才行，CIPP/IT則是答對70%的題目就過關了。兩項考試沒有先後順序，但必須兩個考試都通過了，才能取得證照。考生可以同時報名兩項考試，也可以安排在同一天考試，但自己要預約並且預留足夠的考試時間(90分鐘+70分鐘)。

Q. CIPP指定的考場（Kryterion）滿少見的，目前台灣有幾個地方可以考試呢？

A: 目前資策會是唯一獲得Kryterion官方授權的考場，考試地點是在台北市復興南路一段390號2樓(捷運大安站旁)。考生可透過IAPP網站以會員登入之後，自行選擇想要考試的時間，要注意的是，並非7x24的所有時段都能考試，在預約了之後若要更動，必須提早在考試三天前才能進行。

舊留言存檔

以下留言轉存自原 Blogger 網站，僅供存檔，無法回覆。

LiChiu（2013-07-12）

恭禧Jack老師！我就說老師是先驅咩！

傑克小花（2013-07-14）

呵~謝謝~希望有興趣的大家也一起來加入喔~

匿名（2016-01-29）

老師您好，最近剛得知個資證照，但資訊真是少的可以。想請問老師考取證照該從何準備？目前市面上有書還是有任何資料可以參考準備的嗎？謝謝

傑克小花（2016-02-03）

Hello 您好, 目前針對個資的相關證照其實不多，國際上以IAPP協會所推出的CIPT(前身為CIPP/IT)和CIPM最為受到推崇，如果有興趣想要準備考試的話，在官方網站上有販售考試的參考書，可以作為學習的教材。相關資訊可參考以下網址喔~ https://iapp.org/certify/prepare

[專欄] 個資保護與隱私維護系列(一) - 資訊科技隱私專家證照–CIPP/IT

Sat, 23 Mar 2013 00:47:00 +0000

隨著個人資料保護法的正式上路，身為資訊人員的您，除非本身具有法律背景，否則面對多如牛毛的法條與施行細則，在日常的IT維運中是否真能派上用場，若心中還是存疑的話，或許就該尋求其他的因應之道了。

在IT維運的日常工作之中，除了近年來日漸受到重視的軟體版權問題之外，資訊人員和法律打交道的機會幾乎是微乎其微，尤其是對於所謂的個資保護與隱私權概念，恐怕也是一知半解。但是隨著個人資料保護法已經正式實施，在許多的企業之中，個資法所要求的個資保護相關工作，許多責任都落到了資訊人員身上，這也驅使資訊人員必須要去學習這門新的顯學。

對資訊人員來說，法律知識是有專業門檻的，學習的重點也不是要去詮釋個資法條的意義，而是要將個資保護與隱私維護的精神，落實在日常的資訊工作之中。只是目前許多由法律專家所提出的建議，不見得能夠完全應用在資訊系統，所以到底該如何找到一個因應方法，就成為資訊人員頭痛的問題之一。

為了因應個資法，有人提出應該要先建置各項資安產品，如果沒有採用相關技術來確保資訊安全的話，想要達成個資法的要求，幾乎是項不可能的任務。事實上，雖然落實資安的確是個資保護的第一步，但是，企業如果想要遵循個資法的要求，除了導入資安技術之外，更需要懂得隱私相關的領域知識與管理實務做法，才能夠有效地達成個資法中對於個資保護與隱私維護的目標。

國際認可的隱私保護專家

目前，在國際上和個資保護與隱私維護有關的組織單位中，IAPP(International Association of Privacy Professionals)國際隱私專家協會是最大且廣泛受到全球企業認可的非營利機構，它成立於西元2000年，在全球70個國家之中有超過一萬名的專家會員。

IAPP的營運宗旨是希望協助各個產業和組織，能夠有效地保護其所控管的個人資料，並且提供給所有個資保護與隱私維護有關的從業人員，一個獲得教育訓練、知識交流和經驗分享的平台，同時也讓隱私專業人員在職業生涯中能有更好的發展。

在2004年，IAPP率先提出了針對隱私相關從業人員的CIPP(Certified Information Privacy Professional)認證考試，並且發展出橫跨美國、加拿大、歐洲和資訊科技產業的多項資訊隱私專家認證，一共包含了CIPP/US(美國)、CIPP/C(加拿大)、CIPP/E(歐洲)、CIPP/G(政府)及CIPP/IT(資訊科技)等五種證照，分別說明如下。

CIPP/US - 主要是針對美國的隱私法律和各州頒布的個人資料保護和隱私維護法規要求，取得此一認證的人員，可顯示其已熟悉美國本土相關的隱私保護法規和所需職責，並且了解敏感的個人資料從美國傳輸至歐洲或其他國家的法令規定。

CIPP/C - 主要是針對加拿大的資訊隱私法，對於想要取得此一認證的人員，必須熟悉加拿大聯邦和各省的隱私保護原則、要求及相關責任。

CIPP/E - 它是針對整個歐洲國家個人資料保護法、歐盟重要的隱私保護綱領、個資保護的實務做法及跨國資料傳輸的要求，想要取得此一認證的人員，必須了解歐洲法律法規的要求及實務上的規範才行。

CIPP/G - 這項認證主要是提供給與美國政府單位相關合作的人員，能夠了解美國政府的隱私法規和特定政府部門的個資保護要求，同時相關的隱私維護知識，也適用於其他公眾事務與私人企業。

CIPP/IT - 這項認證主要是適合資訊相關從業人員，若是取得了此一認證，可以展現個人已了解各項資訊科技產品與資訊服務，在研究、開發、部署和稽核的過程中，能夠應用個資保護與隱私維護的實務作法，充分地了解並滿足相關個資與隱私法規的要求。

資訊人員必備的隱私知識

目前，許多資訊人員為了獲得與個資保護有關的專業知識，除了瀏覽個資法律條文或參加資安研討會之外，並沒有適當的管道可提供足夠的個資保護與隱私維護專業訓練，尤其是許多負有重責大任的資訊人員，也不清楚自身的專業知識技能，是否已足以應對個資法對於資訊系統的要求。

因此，透過CIPP所提供系統化的知識領域要求，無論是從頭開始學習個資保護與隱私維護領域知識，或是驗證自己的資安專業技能是否已經足夠，可將它視為是一項自我審查的好方法。如果您想要取得這項認證，首先必須要加入成為IAPP的會員，並且通過Certification Foundation基礎考試，接下來才能依照自己的專業領域或需求，選擇想要取得的證照。

CIPP基礎考試的時間為90分鐘，一共有90個單選題，考題所涵蓋的知識領域(Common Body of Knowledge)包括了個資保護與隱私維護的共通概念與國際通用的原則，無論是屬於哪個國家或產業的人員，都必須要對這些知識有一定程度的熟悉與了解，主要涵蓋的四個領域如下：

隱私維護的一般原則與方法 - 應考人員必須了解近代隱私維護發展的歷史、個資保護的架構與原則、個人資料的類別與定義、個資保護與隱私維護對企業可能的風險與衝擊，以及資訊的生命週期。
司法管轄與產業要求 - 應考人員必須了解不同地理區域與國家，對於個資保護與隱私維護的法令要求，也要了解包括健康醫療、金融、電信、線上網站、政府、行銷、人資等不同產業對於隱私維護的要求。
資訊安全與個資保護措施 - 應考人員必須熟悉有關資安的各項基礎知識，像是確保資訊安全的關鍵要素、ISO 27001資安管理標準、資安威脅與弱點的識別、資安控制措施等。
線上隱私維護 - 應考人員必須了解含有個人資料的網站，應如何落實個資保護與隱私維護，並且熟知網站安全機制和確保線上隱私的各項基本要求。

掌握資訊科技的隱私風險

在通過CIPP基礎考試之後，接下來還需要參加額外的單科考試，才能正式取得CIPP提供的任一專業證照，CIPP/IT的考試時間為70分鐘，需要完成作答60道試題，考題所涵蓋的知識領域包括：

系統活動對使用者隱私的影響 - 應考人員需要了解系統中所包含的個人資料類別與處理流程、了解系統開發過程中的隱私維護、了解資料存取儲存與傳輸的安全，以及如何將隱私要求納入系統設計之中。

使用者對隱私的行為要求與期望 - 應考人員必須了解當資訊系統作為服務提供給使用者時，使用者對於隱私維護的期許作法，例如在電子商務服務中使用確保個人隱私與權益，定義營運人員的個資保護職責，以及系統監控的作法與要求等。

個資保護與隱私維護的方法 - 應考人員需要了解資訊系統可實施的保護作法來消弭與法規要求的落差，並且熟悉可以採用的安全技術與隱私維護工具。

提供告知與選擇 - 應考人員需要明白如何在資訊系統之中，提供法律所要求的告知事項和使用者所需的隱私選項，並且獲得使用者的同意。

稽核與實施IT相關隱私標準 - 應考人員需要了解在資訊服務中，所適用的個資保護與隱私維護法規標準，例如ISO 38500、COBIT、ITIL、PCI DSS、HITRUST等，同時也要熟悉如何進行個資保護與隱私稽核，以及明白IT稽核員應有的角色與職責。

不同資訊技術所帶來的隱私衝擊 - 資訊科技不斷地發展進步，面對各項新興的資訊服務，像是雲端應用、RFID、GPS與GIS地理資訊系統、身分識別技術等，應考人員必須了解其可能帶來的隱私衝擊與風險。

學習是資訊時代最好的投資

對於資訊人員而言，透過準備並取得CIPP/IT認證的過程，可以強化自己對於個資保護與隱私維護要求的專業能力，尤其是一旦被組織指定為個資工作負責人或窗口，將有充分的自信與實務知識，能夠協調人員、分配資源、指派工作以達成個資法的各項要求。

CIPP/IT認證的好處是它不限定在國家、特定產業和工作職務，無論您是系統操作人員、程式開發人員、硬體研發人員、IT經理、網站管理人員、法務人員、資安人員等，都可以藉由閱讀考試教材或參加課程訓練，來補足自己在個資保護與隱私維護的專業認知與實務技巧。

目前，除了各國政府單位之外，包括了IBM、HP、Intel、微軟、Ernst & Young、PWC、KPMG、Deloitte等四大會計事務所都是國際上認可CIPP證照的企業之一，在這新的一年，如果您有志於朝向個資保護與隱私維護的工作目標發展，或許CIPP/IT就是您的最佳入口了。(本文刊載於2013年1月號網管人雜誌)

註：CIPP/IT目前已更換名稱為"Certified Information Privacy Technologist (CIPT)"

[參考資料] https://www.privacyassociation.org/

[證照] CCSK v3 考試正式上線

Tue, 26 Feb 2013 14:01:00 +0000

目前CSA網站已正式提供CCSK v3版本的考試，新舊版本考試的主要差異如下：

考試題目增加為60題，應考時間也增長為90分鐘。(v2.1的題目為50題，時間為60分鐘)
如果之前您就已經付費並取得舊版CCSK的考試許可，也可以直接使用它來參加新版的考試。
如果您之前都是以安全指南v2.1的內容來準備CCSK考試，在2013年12月31日之前還可以選擇參加舊版的考試。
對於已經通過考試並取得CCSK v2.1證書的人，並不需要參加新版考試來維持證書的有效性。在2013Q3，CSA將會提供一個免費的線上自我學習升級模組，讓所有取得CCSK的人都可以更新到v3版本。
從2013年5月開始，CCSK考試費用將調整為345美元(v2.1為295美元)，一樣擁有兩次的考試機會，如果您之前就已經付完費用，或是在5月1日前先付費取得了考試許可，它都不會過期並可在任何時間參加考試。(這也就是說想取得CCSK認證的朋友，可以趁還沒漲價之前，就趕快先去完成報名吧!)
如果想要準備CCSK v3考試，可以參考新版的考試準備指南：
https://cloudsecurityalliance.org/wp-content/uploads/2013/02/CCSK-Prep-Guide-V3.pdf

依據個人參加CCSK v3 beta版的考試經驗，新版本的考試依舊是有點難又不會太難，考題的問法和v2.1差不多，選項為多選一的方式，並搭配了幾題是非題(二選一)，也同樣需要答對80%以上考題才能過關。

至於在考試內容比例方面，v3的考試92%為安全指南的內容，8%為ENISA白皮書的內容，已經不考所謂的雲端運算常識題了。如果只研讀v2.1的安全指南內容就去應試v3，估計大概只能拿到70%的分數，所以未來勢必也要熟讀v3的安全指南內容，再加上ENISA的白皮書，才能順利通過新版的考試囉。

[資料來源]
https://cloudsecurityalliance.org/csa-news/ccsk-version-3-english-examination-is-now-available/

[證照] CCSK 雲端安全證照入手

Fri, 06 May 2011 08:59:00 +0000

之前介紹了全球第一張雲端安全知識認證CCSK，雖然它目前還不是一個相當知名的證照，但它的考試領域在雲端安全專業知識方面，可說是非常的實用。

雖然準備的時間不多，考試的費用也不便宜，但我還是努力地閱讀了考試建議的兩份參考資料，以及目前所有查得到關於雲端安全的資訊，順利地通過了考試。

關於考試的報考方式，可以到CCSK的網站上報名，在填完個人資料並以信用卡繳交考試費用(US$295)之後，就可以自行選擇何時要進行線上考試。

目前，考題皆為英文的選擇題，一共有50題，考試時間為1小時，隨時都可以在線上進行，但是一旦登入考試之後，時間就不能暫停，所以要選擇一段不會受到干擾的時間，直到考試完成為止。

在答完所有考題並送出答案之後，若答對80%以上的話，就恭禧您通過了考試，網站會直接提供電子版的CCSK 證書，也可以使用考試登記的email和證書編號，在網站上查詢證書的有效性。

如果您也想取得這張證照的話，上課會是最快熟悉考試領域知識的方式，但目前CCSK的認證課程，全球只有CSA在美國當地舉辦，課程主要是針對考試領域進行內容的重點回顧(review)，所以建議參加者最好具備了相關資安知識，包括資安基礎概念、防火牆、安全開發、加密和身分識別等，當然一般對雲端安全有興趣的人員，也是可以來參與。

未來，我希望能夠幫忙開課，也會撰寫應考的心得來協助有興趣的朋友們一起成為CCSK。

舊留言存檔

以下留言轉存自原 Blogger 網站，僅供存檔，無法回覆。

順（2011-07-10）

您好！是否可以請教您ccsk應考需要什麼教育背景或是先備知識？先謝謝您了!

傑克小花（2011-07-11）

Hello~感謝您的提問。關於CCSK考試，考生並不需要任何背景或工作經驗，所需的知識則主要來自於CSA所撰寫的雲端安全指引，以及ENISA的雲端運算白皮書，您只要熟悉以上的內容，再加上一些雲端應用的常識(例如google、amazon所提供的雲端服務)，就可以從容地應考了，祝您順利取得CCSK證照喔~加油!!

Alex Lai（2011-09-02）

請問一下是否有規定依定要上課才能考呢

傑克小花（2011-09-03）

Hi Alex, 並沒有規定一定要上課，才能參加考試喔~

Alex Lai（2011-09-06）

感謝您的回覆

Alex Lai（2011-09-13）

不好意思~再請教一下~您的意思是說這個考試是在線上考的,不需要去教育訓練機構考試嗎?在家裡也可以考??

傑克小花（2011-09-13）

Hi Alex, 是的，它是採線上考試，並不需要到特定的考試中心才能進行。

ihost（2011-12-02）

您好,請問現在外面要求的雲端工程師,除了這張CCSK證照以外,還要再考哪些證照呢?還有這張CCSK證照是只要了解那兩個電子檔和一些雲端應用的知識就可以應考了嗎?

傑克小花（2011-12-02）

Hi 您好, 如果您想擔任雲端工程師，要看您主要負責那個部分，例如系統、網路或程式開發，基本上它都有對應的一些證照可取得，像是微軟、Cisco、Java等，但證照並不代表一切，它只能說明個人已具備該領域的基礎知識，還需要不斷學習累積實力和經驗才行。至於CCSK考試所需的相關知識先前已提過，請您參考，並祝您順利通過考試喔~

ihost（2011-12-03）

謝謝!!

JJ（2012-05-07）

請教考題的形式內容可否舉例一下 , 那二份文件的文字敘述要 "背" 的很熟是嗎 ???

傑克小花（2012-05-07）

Hi JJ, CCSK主要考的是觀念，所以必須要熟讀考試所依據的兩份文件內容，並理解它所提到的安全風險與建議，若光靠用背的，可能很難通過考試喔~

阿樹（2012-06-20）

所以國內目前也沒有針對這部份有中文的考試導引是吧?

傑克小花（2012-06-20）

Hi 阿樹, CSA所提供的雲端運算關鍵領域安全指南v2.1是有簡體中文版的，但因為考試是英文試題，所以建議您還是要熟悉雲端運算相關的英文名詞，這樣在答題時會比較順暢一些喔~

froggiesong（2012-10-02）

老師您好：我是資安菜鳥，想請教，關於這個CCSK的考試，說是可以在任何有網路連線的電腦上考，這讓我極為驚訝。我知道資安很強調根據使用者的身分來進行Access Control,那考試的時候，CSA怎麼知道是我在考，還是我考一半的時候找人幫我考？還是根本就是請專家一直考？考一半這題不會，我查了資料，這樣OK嗎？如果自己在家裡考具有公信力，那PearsonVUE的考場是不是都可以省下來了？以上外行問題，懇請指教，感謝!!

傑克小花（2012-10-02）

Hello~您好~ 感謝您留下的意見，關於您提到的考試問題，回覆如下:

對老外來說，設計考試的目的是為了驗證您的學習成果，基本上也尊重每個人的誠信，所以他們相信您會遵守考試的規範。

個人猜測為了要推廣雲端證照，所以CSA選擇這種讓全球考生最容易應考的方式來進行。

考試的舞弊方式防不勝防，如果只是為了取得證照，而請人代考，自己根本沒學到考試所要求的知識領域，這樣拿到這張證照也沒有意義了。以上，希望有回答到您的回題囉~

匿名（2013-05-26）

老師您好：我今天也終於考過CCSK了真的謝謝老師當初上課的資料個人覺得滿有用的謝謝老師的幫助

傑克小花（2013-05-26）

Hi Jason, 很開心聽到這個好消息，你的成功來自於你的努力，也謝謝你和大家分享了考試心得喔〜

[證照] CCSK - 全球首張雲端安全知識認證簡介

Wed, 04 May 2011 09:04:00 +0000

隨著雲端運算技術和服務已成為全球各個產業的熱門應用，如何確保雲端運算的資訊安全，更是在提供或採用雲端服務時，最常被提出來討論的主要議題。

對此，從2008年開始醞釀，直到2009年的RSA會議中，由數十家業者共同組成了雲端安全聯盟(Cloud Security Alliance；CSA)，它是一個非營利性的組織，主要任務是在推廣雲端運算的安全應用實務，提供雲端運算一個安全的架構，同時也肩負了教育訓練工作，來協助組織強化各項雲端運算服務的安全。

在2010年6月，雲端安全聯盟正式宣布將提供產業有關使用者的雲端安全認證計畫，設計了全球第一個雲端安全認證「CCSK (Certificate of Cloud Security Knowledge)」，以確保來自各個領域的雲端運算相關工作者，擁有足以對抗雲端運算安全威脅的認知，以及所需的最佳實務來捍衛雲端安全。
註：以下內容已更新為CCSK v3

雲端安全聯盟開發了符合實務要求的「Security Guidance for Critical Areas of Focus in Cloud Computing」安全指引，以及參考歐洲網路與資訊安全局(ENISA)的「Cloud Computing: Benefits, Risks and Recommendations for Information Security」白皮書，讓這兩項文件成為CCSK認證的核心知識領域，應考人員必須熟悉並理解這些內容，才能夠順利通過考試。

雲端安全聯盟認為，個人擁有CCSK可展現充分的證明，已經具備關鍵的雲端安全知識，並成為獲得國際認可的專業雲端運算工作者。同時，CCSK認證也已獲得以下組織的支持，包括 Amazon, Accenture, Box, Citrix, Deloitte, eBay, Ernst & Young, Fujitsu, Google, Hitachi, HP, CA, Cisco, HCL Technologies, LogLogic, Intel, McAfee, Microsoft, Ping Identity, PWC, Novell, Qualys, Redhat, RSA(EMC), Sophos, Symantec, Trend Micro, VeriSign, Vmware, WhiteHat Security 等。

CCSK v3 目前採取線上考試，內容為60題選擇題，需答對80%以上才算合格，考試時間為90分鐘，考試費用$295美元(從2013年5月開始，CCSK考試費用將調整為345美元)，相關應考事項及所需知識可參考「CCSK Prepare Guide」之說明。

CCSK v3 考試的主要知識領域包括：

1. Security Guidance for Critical Areas of Focus in Cloud Computing, v3 (佔92%)

Domain 01 - 雲端計算架構框架
Domain 02 - 治理與企業風險管理
Domain 03 - 法律與電子證據發現
Domain 04 - 法規遵循與稽核
Domain 05 - 資訊生命周期管理
Domain 06 - 可移植性與相互運作
Domain 07 - 傳統安全、營運持續與災難復原
Domain 08 - 資料中心營運
Domain 09 - 事故回應
Domain 10 - 應用程式安全
Domain 11 - 加密與金鑰管理
Domain 12 - 身分識別與存取管理
Domain 13 - 虛擬化
Domain 14 - 安全即服務

2. ENISA Cloud Computing: Benefits, Risks and Recommendations for Information Security (佔8%)

Risks R.1 – R.35 and underlying vulnerabilities
Isolation failure
Economic Denial of Service
Licensing Risks
VM hopping
Data controller vs data processor definitions 等

[參考資料]

CERTIFICATE OF CLOUD SECURITY KNOWLEDGE：https://cloudsecurityalliance.org/education/ccsk/
CCSK v3 考試正式上線：http://jackforsec.blogspot.tw/2013/02/ccsk-v3.html

舊留言存檔

以下留言轉存自原 Blogger 網站，僅供存檔，無法回覆。

順（2011-12-20）

報告傑克小花老師，小弟也是您第一班ccsk的學生，不才的我，終於在上完課後的兩個月內通過考試，在此要特別感謝老師在上課的提點，但也想要分享一點點心得給未來想要通過ccsk的夥伴們。雖然，考試是採取在家線上考試，但真的要一次通過是非常不容易的。尤其是全英文的考試，光是要了解每一個問句的內容，就有困難。六十分鐘五十道題目，如果想靠即時翻譯，答案是不可行，而且你會來不及作答。如果想靠搜尋，答案還是不行，唯獨乖乖熟讀兩本教科書，並且摸熟資安與雲端相關專有名詞，才是正道，但是這樣可能還是會七十幾分飲恨，為獨熟讀再熟讀，幾乎是整本書都要背起來了。以上小小心得，敬請卓參。

傑克小花（2011-12-21）

Hello~順哥你好~ 首先恭禧你順利成為CCSK，看起來第一組真的很強，已經有兩位率先通過考試。其次是感謝您分享的心得，我想對於國人來說，英文往往是最大的障礙(老外故意整我們嘛~叫他們來考中文試試看~@_@)，加上線上考試還會有時間壓力，所以想要靠翻譯和搜尋，往往是緩不濟急。所以最好的方式還是要複習教材，確認已經了解雲端的相關名詞，再配合課堂上的重點提醒，這樣考試就會有勝算了(至於背書就不用啦，因為我自己都背不住~>_<~)。當然，講師也是需要改進的，所以下一班我會使用英文的講義，或許更可有效幫助大家來跨越英文考試的障礙。最後，希望之前的課程互動對你來說是有幫助的，再次恭禧你，並祝你聖誕快樂喔~

Charles（2012-07-30）

小花老師好，我是昨天結業的第二組學生，想請教您若要加入google CCSK group 系統會問我是第幾屆的學生，我不知道耶@@ 請問那個group是老師您創建的所以我送出您會知道囉

傑克小花（2012-07-30）

Hi Charles, 沒問題的，您直接申請加入就可以了，我會盡快幫您審核通過，非常歡迎您的參與喔~

[觀點] 成為資安人才的學習之路

Thu, 05 Nov 2009 15:29:00 +0000

隨著金融海嘯的風暴席捲而來，企業也不斷傳出縮減人事的消息，在這個不景氣的年代，學習永遠是最好的投資，如何讓自己成為不可取代的人才，就需要去重新檢視自己的技能，而增強資安方面的知識，將是一條長久可行的道路。

隨著資安事件不斷地發生，以及政府相關單位的重視與要求，資訊安全已成為近年來很熱門的話題，但是，企業普遍都有優秀的網管人員，卻缺乏可用的專責資安人員。根據MIC在2007年針對台灣大型企業資安現況的報告指出，有七成大型企業的資安人力配置低於2人，其中5.6%根本沒有設置任何資安人力，而僅配置1人的大型企業也佔有30.4%，可看出多數大型企業的資安人力配置明顯不足。

目前，許多企業的資安工作，仍是交由資訊部門來主導負責，因此對資訊人員來說，除了確保網路連線順暢的既有任務之外，防制可能的網路攻擊也成為必要的責任，但是該如何去防治千變萬化的網路攻擊手法，若缺少適當的學習方式與管道，資安工作就會變成是個沈重的負擔，尤其是資安涵蓋的層面太廣，如果沒有適當的認知與學習方法，恐怕也會迷失在茫茫的資安大海之中。

資安人員的角色職責

根據個人的觀察，目前企業普遍欠缺的仍以資安技術人員為主，因為需要他們來協助建置維護相關的網路安全設備，例如防火牆、入侵偵測系統和防毒系統等。不過，也有企業是為了導入完整的資訊安全管理系統，因此更需要了解如ISO 27001等國際標準的資安人才，來協助導入符合資安標準要求的各項政策與作業規範。

所以，如果想要讓自己能夠在企業中有所發揮，變身成為資安人才，是讓自己不被取代的好方法。不過，我們需要先了解目前資安人員的角色與職責，依據本身已具有的專業技能，並評估企業目前的實際需求，再來決定要朝哪個角色職務來邁進。基本上，資安人員的角色可分為以下幾種：

資安技術人員 - 主要職責在於確保網路通訊安全、進行資安弱點評估、協助IT日常營運與與資安事件處理、系統與應用程式安全、負責資安產品開發、資安設備的建置與維護等，例如資安工程師、資安分析師、資安架構師等。
資安管理人員 - 主要職責在於制定資安政策、進行資安風險管理、資安事件應變管理、評估企業的營運持續與資安法規遵循，在企業中這屬於較高階層的管理職務，例如像是資訊長、資安官、資安小組召集人等。
資安稽核人員 - 主要職責為協助企業進行資安標準與法規遵循的稽核工作，例如資安稽核人員或電腦稽核人員。
資安鑑識人員 - 主要職責為進行資安事件現場鑑識調查、數位證據之蒐集檢驗與分析報告，以及擔任法院訟訴時的專家證人。在台灣主要仍以檢警調相關單位為主，像是調查局鑑識人員、刑事警察局鑑識人員和犯罪現場鑑識人員。
資安顧問人員 - 主要職責範圍為給予企業資安標準或產品導入建議、協助進行資安風險分析評估、資安治理諮詢建議，以及執行資安教育訓練等，常見的職稱有資安顧問、風險管理顧問和ISMS顧問。

資安人員必備的基礎知識

若想了解成為一位專業的資安人員，到底該具備哪些基礎知識，建議可參考2007年10月由美國國土安全部所發布的：Information Technology Security Essential Body of Knowledge (IT Security EBK)，以下是其14項知識領域項目，可作為您在決定資安學習方向的參考：

Data Security (資料安全)
Digital Forensics (數位鑑識)
Enterprise Continuity (企業營運持續)
Incident Management (事件管理)
IT Security Training and Awareness (IT安全教育訓練)
IT Systems Operations and Maintenance (IT系統營運與維護)
Network Security and Telecommunications (網路與通訊安全)
Personnel Security (人員安全)
Physical and Environment Security (實體與環境安全)
Procurement (設備採購)
Regulatory and Standards Compliance (法規與標準遵循)
Risk Management (風險管理)
Strategic Management (策略管理)
System and Application Security (系統與應用程式安全)

如果您對以上的知識領域有興趣，想要更進一步地去學習，但卻又不知該如何著手，建議可以從準備考取資安證照的方式來著手，因為證照所要求的專業知識，和IT Security EBK的領域有許多雷同的地方，若是還能藉由參與相關資安證照的訓練課程，那麼更是增強自己資安實力的最快方法。

資安證照的專業知識領域

目前國際間最知名的資安證照，非CISSP莫屬，CISSP是由國際非營利組織(ISC)2所提供的資訊安全專家資格證照，它設定的對象為負責制定資訊安全政策、推行資安管理標準的資訊安全專家，並且更獲得了美國國家標準學會有關資訊安全的ISO/IEC 17024證書標準，換句話說，此一證書可作為全球專業人員資格認證標準，確保已擁有資安各範疇之專業能力，CISSP的知識領域如表一所示。

表一：CISSP證照十大知識領域

1.存取控制	6.法規遵循與調查
2.應用程式安全	7.作業安全
3.業務持續與災害復原計劃	8.實體(環境)安全
4.密碼學	9.安全架構與設計
5.資訊安全與風險管理	10.通訊與網路安全

另一張很適合資訊人員來取得的資安證照是CEH(Certified Ethical Hacker )，它是由國際電子商務顧問局(International Council of E-Commerce Consultants；EC-Council)所推出，此一課程介紹駭客常用的工具與方法，以實際了解駭客行為，進而懂得如何保護網路與系統免受攻擊，並可學習如何去制定攻防策略，以防堵不法駭客的入侵。EC-Council的課程及證照已經獲得許多知名公司或政府單位的認同，包括Canon、HP、Sony、US Military、FBI、CIA、US Army等，其涵蓋的知識領域如表二所示。

表二：CEH證照之知識領域

1.倫理與法律	12.網站應用程式的弱點
2.足跡	13.密碼破解技術
3.網路掃瞄技術	14.資料隱碼的入侵模式
4.列舉	15.入侵無線網路系統
5.電腦系統入侵	16.病毒與病蟲
6.木馬程式與後門程式	17.實體安全
7.封包監聽	18.入侵Linux系統
8.阻斷服務	19.入侵偵測系統、防火牆與網路誘陷系統
9.社交工程	20.緩衝區溢位
10.連線劫持	21.密碼學
11.網站入侵	22.滲透測試方法

第三張個人推薦的資安證照是CompTIA Security+，它適合想要全面性的了解資安各個領域，以及剛接觸資安不久的相關人員，它是由成立於1980年，總部設於美國華盛頓的美國電腦協會(Computing Technology Industry Association；CompTIA)所推出，此協會致力於協助全球資訊產業發展、政府資訊產業政策制定與資訊技術的認證，會員遍佈102個國家，是全球性的電腦技術協會組織，也是全球最大的獨立認證機構，此一證照涵蓋的知識領域如表三所示。

表三：CompTIA Security+證照知識領域

1.安全概要	7.密碼學基本原理
2.攻擊、惡意軟體與威脅	8.密碼學的應用
3.網路基礎建設安全-基本安全概念	9.認證、授權與存取控制
4.網路基礎建設安全- IDS/IPS、事件處理	10.安全政策與管理
5.弱點與稽核	11.作業安全、營運持續與災難復原計畫
6.通訊安全與對策	12.其他安全相關課題

變身成為多重能力的人才

知名的趨勢大師大前研一說過，大多數的專業人才，都屬於擁有單一技能的「T型人」，例如像是網管人員，若持續在單一領域裡不斷鑽研，最終會成為網路管理的專家，但是可別忘了T型人只有一隻腳，除非真正進入一家仰賴單一專業技術的企業，否則在這個專業外包且成本更低的年代，只懂得單一技能的人員，就會產生被取代的潛在風險。

因此，僅有單一技能是不夠的，我們應該想辦法讓自己成為一個「兀型人」，也就是讓自己具備兩種以上的專長，有了兩隻腳之後就能夠站得更穩、看得更遠，甚至還能跑的更快，藉由不斷學習新知識領域的過程，使自己具備各項整合的專業能力，才能打敗不景氣，同時能往更高一層的職務邁進。(本文刊載於2008年12月號網管人雜誌)

舊留言存檔

以下留言轉存自原 Blogger 網站，僅供存檔，無法回覆。

匿名（2017-06-01）

近期有開政府補助課程-資訊安全管理師培訓班 http://eec.uch.edu.tw/web3/index3.asp?cid=307676

[學習] 成為資安人的學習之路

Thu, 12 Feb 2009 08:32:00 +0000

經濟不景氣，許多人選擇充實自己，以便能在工作崗位上有所發揮，或是準備尋求更好的職務。如果您從事的是資訊相關工作，那麼在此時，多多補充些資訊安全專業知識，對您來說一定會有所幫助。

針對資安學習，我曾經講授過一堂課，對於資安人員的角色與職責、應具備之專業能力，以及資安相關證照，作了簡單說明。如果您對於資安工作有興趣，或是想考取資安相關證照，歡迎您參考以下簡報內容。

Security training from jackforsec