【2026/11/14開班】CISSP 資安系統專家認證
104學習
資安系統
指的是保護企業資訊及網路環境免受駭客攻擊、資料外洩或系統入侵的能力。包含風險評估、漏洞掃描、防火牆設定、入侵偵測與事件回應等技術。具備這項技能能確保企業營運穩定，防止機密資料被竊取或破壞，提升整體資訊安全防護水平，對現今數位化環境非常重要。
提升你的實力，朝專業更進一步
精選課程
充實自己，讓能力持續成長
【2026/11/30開班】SSCP 資安系統專業人員認證-Systems Security Certified Practitioner
【2026/11/29開班】SSCP 資安系統專業人員認證-Systems Security Certified Practitioner
CompTIA Security＋國際網路資安認證班
CompTIA Security＋國際網路資安認證班
從實務出發－企業網路安全建置與技術展示| 資安線上課程
CompTIA SecAI＋國際AI資安認證班
軟體安全開發概論
SSCP資安專業人員認證課程
SSCP資安專業人員認證課程
精選證照
考取專業證照，讓能力被市場看見
EC-Council CND 網路防禦專家認證
EC-Council CND 網路防禦專家認證課程將從防護、偵測、應變、預測四大主軸強化您的資安能力。藉由理論與實務並進課程內容，從資安策略、政策與防護技術開始建構完整的資安藍圖。透過監控日誌與網路流量偵測異常行為。發生資安事故時，藉由應變程序、鑑識調查與災難復原恢復組織運作、持續營運。建立風險管控計畫收集威脅情資、預測威脅、評估弱點。
EC-Council
GSOC
GSOC證照專注於資安事件的監控與管理，涵蓋威脅偵測、事件分析與回應策略，強調實務操作與風險評估能力，適合從事資安營運中心（SOC）工作的專業人士，提升對資安威脅的即時反應與事件處理效率，有助於保障企業資訊安全與維持系統穩定運行。
SANS Institute
RSA／CI
RSA／CI證照專注於資訊安全管理與風險評估，培養專業人員具備識別、分析及應對企業資訊安全威脅的能力。持有此證照者能有效規劃資安策略，確保系統與資料的完整性與機密性，提升組織整體防護能力，適合從事資安分析師、風險管理及資安顧問等職務。
RSA Security
（已停考）ENSA 網路安全管理師認證
隨著資訊技術的普及，網路安全的議題發展也變得更重要。EC-Council的網路安全管理師認證課程 (ENSA) 將提供您在捍衛網路安全時所需的基本技能，藉由本課程學員將學習如何建構安全的網路環境，如制定網路安全政策、妥善的使用網路安全技術、防火牆、入侵偵測與防禦、加密等各式技術，透過理論與實務的相輔相成，提升企業網路的安全性。
尚未查核發照單位
NETPAW專業級
NETPAW專業級證照專為資訊安全領域設計，涵蓋網路攻防技術、資安管理與漏洞分析等核心能力，強調實務操作與理論知識並重，提升持證者在資安防護、滲透測試及威脅偵測等工作的專業競爭力，適合資訊安全工程師及相關從業人員取得，助力職涯發展及企業資安防護實務需求。
中華民國多媒體英語文教學會
RSA／CSE
RSA／CSE證照專注於資訊安全領域，涵蓋風險管理、漏洞評估及資安防護技術，強調實務操作與策略規劃能力。持有此證照者具備辨識與應對網路威脅的專業知識，能有效提升企業資安防禦水平，適合資安分析師、風險管理師等職務，提升職場競爭力與專業形象。
RSA Security
精選貼文，掌握第一手知識
【免費資安講座來囉】想進入資安領域？從搞懂網路架構開始 |「Network+國際網路認證」線上研討會，參加抽好禮
⭐1小時聽懂！為什麼掌握網路架構對資安防護很重要 ?
🚩建立網路防護的前哨站
網路攻擊無所不在，企業因網路攻擊導致資料外洩、營運中斷的案例時有所聞，網路安全與資安韌性，仰賴網路與資安人才的專業職能。企業推動資訊安全主要是為了防範各種網路攻擊威脅，從部署防火牆、網路系統弱點、連接埠的安全性、虛擬網路的連線安全等種種網路安全佈建，一旦疏忽輕視，往往成為資安事件的導火線。
CompTIA Network+ 網路驗證課程提供網路基礎訓練，從基礎的 TCP/IP 架構、網路設備配置與連接埠規則、有線/無線網路技術與應用，到進階的網路故障排除技巧。掌握網路如何串接，有助於建構一個安全且穩定的網路環境，為資安防護打好基礎。
在完成Network+的認證課程培訓後，將奠定扎實的網路架構基礎，往後進修Security+時，將更能掌握資料安全與資料保護的核心概念，穩扎穩打的成為擁有網路與資安整合能力的資安工程師。
🍀🍀本次說明會特別邀請安碁學苑 陳成聰 專案處長，以及 CompTIA市場開發總監 Stanley Wong帶大家了解如何從Network+進入資訊安全產業，以及完成訓練後，有哪些豐富的職涯發展路徑🍀🍀
▲報名時間
即日起，至活動前兩天截止
▲講座時間 (擇一參加即可)
🔸第一場 2025年8月6日(三) 19:30 - 20:30
🔸第二場 2025年8月13日(三) 19:30 - 20:30
▲講座形式
線上進行，說明會連結與資訊，將於活動前兩天陸續發送至您的電子信箱。
🎁參加說明會，抽好禮
👉查看完整內容與報名 https://bit.ly/4mh9rc5
精選 AI寫企劃、看數據總是不能用？4種工作先排順序再交代，第一版就能討論
請AI寫企劃、做研究、看報表，結果常常看起來很完整，卻不能直接用？
問題多半不在AI的能力，而在我們只說「幫我寫」「幫我分析」，讓它自己猜目的和標準。
四種常見工作，可以共用同一個骨架：
1. 交代目的與標準：給誰看？看完要做什麼決定？
2. 排好先後步驟：先要中間產物，確認後再往下做
3. 要求附上依據：出處、算法、引用原文，讓你能驗收
套到四種工作，各有一個先後順序：
① 寫企劃｜架構先定，內容後補
先寫明讀者與目的，請AI只給三個主張和大綱；確認後才補內容，每個數據都附出處，查不到就標「待查證」。
② 做研究｜大題切小題，說法衝突並陳
先把大問題切成四到五個能用資料回答的小題；每題比對三種來源、標出年份；說法互相衝突時，請AI並列出來，由你判斷。
③ 看數據｜問題先行，數字在後
不要只丟報表說「幫我分析」，先寫成決策問題，例如「上季回購率下滑，是哪一群顧客流失」；講好期間、欄位和比較基準，只要兩三個關鍵發現，並附計算方式。
④ 審提案｜先找漏洞，後打分數
先逐條列漏洞並引用提案原文、分出輕重；再依事先講好的配分計分；最後請AI扮反方，提出最強的反對意見。
最常見的三個錯誤：
・一開口就要整篇成品，方向錯了只能整篇重寫
・AI給的數字沒查就直接用
・一邊挑毛病一邊打分數，分數被第一印象帶走
小練習：挑一件你這週要交的工作，寫下這兩句再交給AI——
「這份東西給＿＿看，看完要他＿＿。」
「先給我＿＿（大綱／小題清單／漏洞清單），我確認後再繼續。」
比較一下，和你平常的第一版差在哪裡。
想看完整的五分鐘影音說明，104學習免費課程「AI工作術」四堂已經上線，免費報名就能看：
第1堂｜5分鐘學會用AI寫企劃
https://nabi.104.com.tw/course/104nabi/57aed01b-9d82-4438-b09e-e2367abc0207
第2堂｜5分鐘學會用AI做研究
https://nabi.104.com.tw/course/104nabi/595a665d-07a3-461d-b37e-1f8158eca70d
第3堂｜5分鐘學會用AI看數據
https://nabi.104.com.tw/course/104nabi/0f3d424e-1658-49a2-851e-6c9fff296f43
第4堂｜5分鐘學會用AI審提案
https://nabi.104.com.tw/course/104nabi/19983d11-9e93-41ae-9924-46f8d6cd47dd
也歡迎在留言分享：這四種工作，你最常請AI幫忙哪一種？有沒有哪一次的第一版特別好用（或特別難用）？
使用提醒：AI可能出錯，重要數字請自行查證；上傳資料前先確認公司規定，並去除姓名、電話等個資。文中案例皆為假設情境。
AI資安疫情蔓延全球，專家建議：7個面向建立企業資安防護網！
AI興起，正在快速改變資安攻防的遊戲規則，過去需要投入大量時間攻擊漏洞、測試的駭客工作因AI而降低門檻。企業和機關更應該主動積極的備戰，國家資通安全研究院的院長龔化中，建議企業或機關可從7個面向著手建立資安防護網、保護數位資產，千萬不要心存僥倖！
文／龔化中（國家資通安全研究院 院長）
本文導覽
AI資安攻擊，已經進入新的階段在AI時代，不要心存僥倖，就是最基本的防禦一、 減少暴露在外的攻擊面：少一個入口，就少一個風險二、注意供應鏈安全：避免病從口入三、建立多層防護：不要期待系統永遠不會被攻破四、降低洩密傷害：保護最重要的數位資產五、做好營運維持：最重要的是確保組織活得下去六、冷靜應變：不要把時間花在找戰犯七、即時通報與聯防：一起阻止災害蔓延面對AI資安疫情，現在就是備戰的時候
最近常常看到一些AI相關的趣聞，有人想用AI協助健身房報名手續，結果發現名額已經額滿，AI竟然想辦法駭進系統幫忙插隊；也有實驗結果發現，最先進的AI為了完成任務，竟然暗中突破原本設定的限制，甚至嘗試入侵其他系統來「偷看答案」。
這些新聞看起來很有趣，就像科幻電影裡才會發生的情節。但當這些能力開始被駭客利用，情況就不再只是科幻，已經逐漸變成一場真實的資安風暴。
AI資安攻擊，已經進入新的階段
AI正在快速改變資安攻防的遊戲規則，在過去駭客需要投入大量時間進行資訊蒐集、漏洞研究、程式撰寫與攻擊測試；而現今AI正逐漸降低這些複雜工作的門檻，讓攻擊者可以更快、更大量地尋找目標與弱點。更值得注意的是，攻擊能力正在快速普及；惟防禦能力的成熟需要時間。
AI已經可以協助攻擊者尋找暴露在網路上的系統、分析漏洞、撰寫攻擊程式，甚至協助突破一些原本需要高度專業能力才能完成的工作。另一方面，AI資安防禦工具仍在快速發展中，其穩定性、準確性以及實際部署經驗等，都還需要時間持續累積。
這就像一場新的數位疫情：威脅已經開始擴散，但我們的「疫苗」與防禦體系還在持續研發與強化。
我們預期，未來一段時間AI所帶來的資安威脅仍會持續升高，直到漏洞管理、防禦工具、資安治理與整體應變機制逐步成熟，威脅才可能逐步趨於穩定。因此，面對AI資安疫情不是消極等待風暴來臨，機關與企業都應該提前部署備戰，做好準備。
延伸閱讀：有內鬼！商業機密被竊怎麼辦？5個QA帶你認識「營業秘密法」
在AI時代，不要心存僥倖，就是最基本的防禦
我們有以下幾項建議，提供給各級機關與企業參考：
一、 減少暴露在外的攻擊面：少一個入口，就少一個風險
AI搜尋網路上的弱點，成本低、速度快，而且可以大規模自動化。因此防守方的第一個原則就是盡量減少暴露在外、可能被攻擊的入口，魔鬼藏在細節裡，過去一些工程人員認為「應該沒有人會注意」的小細節，在AI時代可能很快就會被發現，例如：
研發、測試人員使用的遠端伺服器或開發中網站。
資訊營運人員使用的跳板機或系統服務帳號。
已經停止使用，卻沒有真正下線的舊系統與服務。
暫時開放、之後卻忘記關閉的網路服務或帳號。
工程人員可能以為自己留下的小小後門沒有「人」知道，但現在AI找得到。因此，各級主管應要求做好系統、設備、服務與帳號的完整盤點，該關閉的關閉、該更新的更新、該限制存取的限制存取。
延伸閱讀：別當職場資安網的漏洞，維護機密、當心智慧型手機上的惡意連結
二、注意供應鏈安全：避免病從口入
一個組織就算本身資安治理良好，就像一個注重健康、經常運動的人，還是可能因為「吃進去」的東西有問題而生病。
很多駭客其實不需要自己花大量時間研究目標。當一個熱門產品或軟體被發現重大漏洞，攻擊者可以利用自動化工具迅速找出哪些組織正在使用它，接著發動攻擊。
最近前沿AI公司與資安研究團隊大量運用AI挖掘開源軟體與資訊系統漏洞，漏洞發現與揭露的速度正在加快。這對整體資安環境是一件好事，但也代表攻擊者取得這些資訊的速度同樣很快。
因此，組織不能只知道「我們用了很多套系統」，而必須真正知道我們到底用了哪些系統？哪些版本？由誰管理？出了漏洞之後誰負責處理？
更重要的是，要建立明確的更新與修補策略。因為更新本身也可能造成風險。如果沒有經過測試與規劃，匆忙更新可能讓原本正常的服務中斷。
因此，除了正常的更新流程之外，也應預先準備緊急隔離與網路阻擋措施。當重大漏洞發生時，可以先限制有風險的設備或服務，爭取時間進行安全、完整的修補。面對快速變化的漏洞環境，最重要的不是每一次都搶第一個更新，而是要有能力快速判斷、快速隔離、快速修復。
延伸閱讀：每天上班收發上百封e-mail，這5大電郵詐騙手法，你不可不知
三、建立多層防護：不要期待系統永遠不會被攻破
進入AI資安攻擊時代，我們不能再期待「系統絕對不會被入侵」，更務實的做法是假設某一層防禦終究可能被突破，然後讓下一層防禦接住它。
防火牆、身分驗證、端點防護、網路監控、異常行為偵測、資料保護，以及最後的事件應變，都應該形成多層防線，這裡最重要的其實是「時間」。
如果駭客花了五分鐘突破第一層防禦，而我們可以在三分鐘內發現異常並啟動應變，就有機會在他進入核心系統之前把攻擊阻斷，資安防禦不一定要做到滴水不漏，但一定要讓攻擊者很難一路暢通。同時，重要的資安能力也不要形成單一依賴。即使最可靠的供應商，也可能發生服務中斷、漏洞或遭受攻擊。
關鍵的防禦能力應該保留替代方案與自主應變能力，避免一個單點故障就讓整個組織失去防禦能力。
延伸閱讀：密碼用生日、常用平台用同一組密碼？這些帳號被盜的資安大地雷，你也犯了嗎？
四、降低洩密傷害：保護最重要的數位資產
有一句成語「懷璧其罪」。你最重要的機密，往往就是駭客最想要的東西。
因此，第一步不是想辦法把所有資料保護到百分之百，而是先問自己：這些資料真的需要保存嗎？不必要的個資、信用卡資訊、機密文件與其他敏感資料，能不保存就不要保存。
如果確實需要保存，就必須做好分級、權限控管與加密，讓資料即使被取得，也不容易直接被使用。
AI時代還出現了一個新的風險：員工為了工作方便，可能直接把公司內部資料交給AI工具處理。
一份內部文件、一段程式碼、一份客戶資料，看起來只是一次簡單的AI查詢，卻可能成為新的資料外洩管道。因此，組織在導入AI的同時，也必須建立清楚的AI使用規範：什麼資料可以交給AI？什麼資料絕對不能交出去？這已經是每一個機關與企業都必須面對的新課題。
延伸閱讀：51%常用密碼在1分鐘內就能被AI破解，5個提高「密碼管理」的必知QA
五、做好營運維持：最重要的是確保組織活得下去
資安事件發生後，真正造成巨大損失的，不一定是資料被偷走，而可能是整個組織無法正常運作。
因此，除了防禦之外，更重要的是「韌性」，要有確實可行的營運維持計畫，並且真正演練過。資訊系統的資料備份與還原、電力與外部網路的備援、人員工作的替代設備，以及關鍵業務的替代流程，都應該預先規劃，而不能只是「有備份」，還要確定真的還原得回來。
對企業而言，也要思考資安事件發生後的營運資金與替代供應商。
就像狡兔三窟，重要的服務不能只有一個出口。當外部服務突然中斷時，組織才有能力撐過最困難的幾天甚至幾週。
資安的最終目標，不只是防止被攻擊，而是即使被攻擊，組織仍然能夠繼續運作。
延伸閱讀：專家建議：保護在家工作的視訊環境，務必注意7個要點避免資安威脅
六、冷靜應變：不要把時間花在找戰犯
資安事件發生時，不論事前做了多少準備，都不可能保證完全不受影響。
這時候最重要的，不是第一時間追究「到底是誰的錯」，而是先把災情控制住。按照既定的事件應變計畫執行，迅速隔離、確認影響範圍、保全證據、恢復服務，再進一步檢討原因。
也就是說，應該把「改善制度」和「懲罰個人」清楚區分。只有讓第一線人員敢於通報，組織才有可能真正學習，也才有機會避免下一次更大的事故。
延伸閱讀：如何戰勝全球資安聞之色變的勒索病毒，有效避免辦公室資料被其綁架呢？
七、即時通報與聯防：一起阻止災害蔓延
新冠疫情期間，及早發現、即時通報與跨單位合作，是控制疫情的重要關鍵。AI資安疫情也是一樣。
當一家企業發現新的攻擊手法，如果能夠儘速通報，就有機會讓其他企業提前做好防護，避免同樣的攻擊在整個產業快速擴散。
這也是為什麼資安不能只是「各自顧好自己的事情」。
在AI時代，一家組織發現的攻擊手法，可能在幾個小時之內成為另一家組織的災難。因此，更快速的通報、更有效的情資共享，以及政府、企業與資安社群之間的聯防，會變得比過去更加重要。
國家資通安全研究院是台灣的「數位消防隊」，我們會持續強化情資分析、威脅研判與應變協助，盡力守護國家與人民的數位資產安全。
如果政府機關或關鍵基礎設施業者遭遇疑似AI輔助的攻擊，可以透過數位發展部資通安全署或主管機關進行通報；民間企業與組織也可以透過TWCERT/CC（台灣電腦網路危機處理暨協調中心）通報，我們將盡力提供必要的協助。
台灣電腦網路危機處理暨協調中心
延伸閱讀：APP潛藏資安危機，5大常見可疑程式、別讓它出現在你的手機裡！
面對AI資安疫情，現在就是備戰的時候
AI資安威脅已經不是未來式，而是現在進行式。我們不需要恐慌，但必須提高警覺。沒有人能保證自己的系統永遠不會被攻擊，也沒有人能預測下一個AI工具會把攻擊能力提升到什麼程度。
真正重要的是，在攻擊能力快速進化的今天，我們能不能更快盤點自己的弱點、更快發現異常、更快隔離風險、更快恢復營運，也更願意把自己發現的威脅告訴其他人。這場數位疫情不可能只靠一家機構解決。政府、企業與整個資安社群都必須一起提高防禦韌性，才能把每一次攻擊的傷害控制在最小範圍。
AI資安疫情已經開始。現在，就是備戰的時候。
（原文標題：AI資安疫情全球蔓延， 機關與企業如何迎戰？）
本文獲 國家資通安全研究院 同意授權於《104職場力》刊載
我從 ISO 27001 資安管理體系學習與實戰體悟
我擔任的工作是資訊人員，負責公司資安架構的維護與管理，以及Helpdesk。
這陣子撥出時間投入資安管理與 ISO 27001 的學習，起初只是想建立更完整的資訊安全防護思維，但在真正系統化研讀並進行實務驗證後，才發現這不僅僅是一套規範，更是企業運作中極為關鍵的風險控管核心。
過去在面對資安政策或防護措施時，往往容易流於片段式的執行，或是停留在表面的規範配合。這次透過全盤梳理 ISO 27001 的條文精神與核心控管項目，我終於將原本零散的防護觀念串接起來，真正理解背後的風險評估邏輯，明白各項資安政策該如何落實到日常作業中。
在學習的過程中，最具價值的莫過於實務情境演練。透過模擬真實演練與風險判讀，我漸漸學會從整體架構的角度去評估潛在漏洞，並針對不同情境找出合規且有效的改善方案。這種將抽象規範轉化為實際解決方案的思考訓練，大大補足了我過往在實務操作上的盲點。
這次的學習不僅讓我順利釐清了許多過去模糊的資安概念，也為未來的職場應用打下了扎實的基礎。資安管理是一項持續優化的長跑，接下來我也會將這些經驗落實到實際工作中，持續推動更完善的防護機制。
🔗 詳全文：https://ucom.uuu.com.tw/web/Testimony/Article/12822
[新聞]資安署發布中小企業基本資安防護指引 三大面向16項檢核協助產業防駭
數位發展部資通安全署近日發布「中小企業基本資安防護指引」，從帳號管理、設備與資料管理、資安意識培訓三個面向。
若要做到完整的資訊安全機制，企業往往需要花費大量的金錢，資安署公佈此項指引，算是挑選了資訊安全中較為重要、基礎的資安防護項目提供預算有限的中小企業參考。對於內部稽核來說此項指引可以讓剛IPO或規模較小的上市櫃公司作為評估資訊安全的基礎底線，此份PDF中亦包含基本資安防護自檢表。
原文網址：https://moda.gov.tw/ACS/press/news/press/19496
Notion原文連結：https://stevenwublog.notion.site/16-348f7f8f2828800ea511ed81defb43fb
CISSP備考｜風險責任與資產保護情境題重點
CISSP（Certified Information Systems Security Professional）由 ISC2 發證。CISSP的Domain 1–2備考，重點是將營運影響、決策授權與資料生命週期連起來，分辨風險接受、委外責任與到期刪除的條件。
本文目錄
本篇對應的官方考試範圍
必懂觀念
常見誤判
練習題與完整解析
備考檢查清單
本篇未涵蓋、需另外準備的範圍
官方來源與版本核對
本篇對應的官方考試範圍
依ISC2 2024年4月版考綱，Domain 1 Security and Risk Management（16%）與Domain 2 Asset Security（10%）。重點映射安全目標、治理與倫理、風險處置，以及資料分類、角色、保留及銷毀。此為教學映射，非逐條完整覆蓋。
本系列依2024年4月版考綱；新版自2027年4月15日起適用，報名前請確認考試日適用版本。下列為教學整理，應依題目條件及授權判斷。
必懂觀念
考題中的技術問題仍須連回要保護的營運成果。機密性關注未授權揭露，完整性關注未授權竄改，可用性關注服務可取得；另須確認來源真實性與重要交易責任可追溯。零售會員外洩、點數遭改與結帳停擺可分別對應三種影響。
風險評估連結威脅、弱點與營運影響。資安團隊提出降低、避免、移轉或接受方案，由獲授權的風險擁有者決策；接受要記錄期限及追蹤。保險與委外只能移轉部分財務或合約風險，企業責任不會自動消失。
法令、契約、政策與倫理先構成決策邊界。主管願意承擔損失，不等於可以免除義務；ISC2倫理守則的教學重點是公共利益、誠實合法、勤勉勝任與維護專業。
資料擁有者決定分類與可用範圍，保管者依要求實作存取、備份與刪除。生命週期涵蓋蒐集、使用、分享、保存與銷毀，並考慮最小必要、所在地及保留義務；使用中、傳輸中與靜態資料都要保護。
加密保護資料內容，不能取代合法使用或到期處理。到期刪除須確認無調查保全或其他保留義務，涵蓋受管副本並驗證結果；任何換金鑰都不能直接視為完成密碼抹除。
常見誤判
把資安主管或開發主管一律當風險接受人：應先確認其授權與風險擁有者角色。
以委外或保險為由移除企業責任：忽略仍須承擔的義務與殘餘風險。
把加密等同刪除，或降分類規避到期處理：未遵守生命週期與保留規則。
練習題與完整解析
以下為自編教學題，非ISC2官方原題；用於練習題目條件與行動的對應。
Q2-01｜會員服務發現一項弱點，目前無入侵跡象，也沒有必須立即停機的規定。修補會延後上線，資安主管沒有接受此風險的授權。何者最適當？
甲 交由風險擁有者核定處置。
乙 讓雲端廠商代簽接受風險。
丙 先依排程上線下月再修補。
丁 由開發主管評估後同意上線。
答案是甲。依評估結果與替代方案交有權者核定，才能對營運後果負責。乙把企業責任推給供應商；丙未經授權就默認接受；丁看似有人把關，但開發主管負責技術處理，不是風險擁有者，無權替營運決定接受風險。若出現進行中的攻擊，則應依事件程序採必要控制，不能把等待主管決定當成固定答案。
Q2-02｜零售公司的備份含已到期會員紀錄，確認沒有調查保全或其他保留義務。公司政策要求期滿刪除，但系統只加密未刪除。下一步最適當的是什麼？
甲 延長保存直到下一次稽核。
乙 降低資料分類繼續保管。
丙 依保留規則執行驗證刪除。
丁 更換加密金鑰繼續保存。
答案是丙。保護資料也包含按規則終止保存，並確認副本處理結果。甲任意延長，乙用改分類迴避義務，丁雖改善金鑰保護，卻仍保留紀錄。若改用密碼抹除，必須確認方法符合政策、金鑰及所有副本確實受控；不能把任何換金鑰都當成刪除。
備考檢查清單
能區分三種安全目標與具體營運影響。
能說明誰提出方案、誰有權接受風險，以及何時改依事件程序行動。
能區分資料擁有者與保管者，列出全部受管副本的保留及刪除證據。
能逐項指出兩題干擾選項沒有處理的問題。
本篇未涵蓋、需另外準備的範圍
Domain 1仍需另備法規管轄、量化風險計算、供應鏈、人員安全、框架與教育訓練全部子目；Domain 2仍需資料角色細分、所在地、各保護技術及資產盤點方法。
本系列是短課概念整理，不取代完整考綱準備、實務經驗或資格審核，不保證通過，不宣稱可抵CPE或工作經驗。
官方來源與版本核對
考試與認證規則以ISC2官方公布為準。依2026-10-28查核紀錄，本系列採2024年4月版考綱；新版自2027年4月15日起適用，報名前確認考試日適用版本。
CISSP認證介紹
CISSP考綱與新版公告
CISSP工作經驗與抵免
ISC2報名入口
ISC2公開費用表
CAT規則
考後結果與重考政策
認證背書
會員政策與持續維護
ISC2倫理守則
更多 〈CISSP〉 推薦好文
CISSP備考｜報考資格、測驗規則與認證維護重點
CISSP備考｜安全架構、網路與存取邊界重點
CISSP備考｜測試證據、事件復原與安全開發重點
.NET 開發者必看！學會滲透測試思維，加速修補資安漏洞並提升系統穩定性
恆逸開課時間查詢：https://www.uuu.com.tw/Course/Show/1501/1
恆逸學員徐英智：
C# 全端開發兼顧穩定與資料安全
我目前在一家以軟體開發為主的科技公司擔任全端工程師,主要使用 C# 和 .NET 平台開發各類應用程式。工作上,我負責的範圍涵蓋後端系統架構設計到前端畫面的串接。我也會與美編人員、測試人員一起討論技術方案,並處理系統整合的問題。我們的客戶大多是公部門,因此系統在穩定性、擴充性及資料安全方面的要求都非常高。
🎯 藍紅軍攻防實務滿足工作所需
公司正在計畫投標更多不同領域的專案,在證照要求上需要有更多同事擁有 C# 相關證照。我覺得這門課最大的吸引力是內容非常完整,從防禦到攻擊的部分都有涵蓋,特別是針對藍軍防禦與紅軍攻擊等主題,都有搭配實務講解。這些正好是我目前工作上非常需要了解的內容。
🛡️ 從攻擊視角掌握資安防護精髓
講師的教學方式非常豐富,不只侷限於課本內容,而是從多個角度搭配實際案例來說明重點。印象最深的是在講解「程式撰寫的資安防護」時,講師不只是單純地說明理論與原則,而是透過實際的攻擊範例,來展示網站在有防護與沒防護時的差別。透過這樣的實作演示,我能夠更直觀地理解各種漏洞的成因與攻擊手法,也學會了如何在開發階段就建立正確的安全意識。這對我特別有幫助,因為我在工作中經常需要修補系統漏洞、分析滲透報告。課程讓我更清楚地了解滲透測試人員在檢測時的思維與方式,能更有效地從防禦角度思考問題,預先避免潛在風險。這樣的實務教學方式,讓我在資安防護上不再只是照著規範執行,而是真正了解背後的邏輯與意義。
🔍 Proxy 工具實戰應用發現潛在弱點
讓我印象深刻、甚至覺得意想不到的收穫,是學到了 Proxy 工具在滲透測試中的進階應用。以前我只知道這類工具能攔截封包做基本分析,但在課程中,講師深入示範了如何利用 Proxy 來模擬實際攻擊、測試網站的安全防護機制,這才讓我意識到這類工具的潛力。透過上課,我發現可以在專案系統上線前,先用這個工具自行進行測試,檢查是否存在漏洞或防護不足的地方,這不僅能提早發現問題,也能減少上線後修補的時間與成本。上完課的隔天,我立刻將這些方法運用到工作中,重新檢查過去負責的專案系統,找出一些過去未注意到的潛在弱點。實務操作的經驗,也幫助我在考證過程中,能更快速地判斷並找到問題的答案。
🚀 資安課程助學員快速理解攻擊手法強化防護爭取升遷
這門課對我工作的幫助可說是立竿見影。回到公司後,我剛好收到幾份滲透測試報告需要修補漏洞,便立刻回想課堂上學到的觀念與技巧。以前看到這類報告時,常需要花時間去理解攻擊手法與漏洞成因,但現在我能更快掌握滲透人員的思維角度,也能準確判斷問題所在,迅速找到程式中需要修補的部分並完成防護強化。更重要的是,這次的學習讓我對資料防護與網路架構的整體概念有了更深入的理解,能夠以更全面的視角來思考系統安全。我現在也能更直觀地提出自己的建議與想法,並主動分享課程中學到的資安觀念與防護技巧。最後,我希望自己能順利在下個月取得 CASE .NET 的證照,爭取公司提供的額外獎勵與升遷機會。
索取課程優惠：https://www.uuu.com.tw/Forms/CourseInfoRequest?courseId=CASENet&mediaSrc=104
2025資訊長前瞻報告：平衡資安威脅與AI創新是企業成長關鍵
各國企業領導者為了從競爭激烈、變化快速的商業環境中脫穎而出，都竭盡全力尋找方法應對及解決。為深入了解全球科技業高層─特別是資訊長（CIO）在當前職場中的職責、挑戰和優先事項，《Experis 2025 CIO Outlook Study》針對全球1,393位科技領導者進行調查，結果顯示：企業必須在日益嚴峻的網路安全威脅和持續升起的AI創新浪潮之間找到微妙平衡，才能在未來的商業競爭中穩住腳步。
文／《104職場力》
本文導覽
網路安全是最大隱憂AI創新是驅動企業成長的雙面刃成功轉型的關鍵要素：人才與協作建立防護體系、培養人才是成功之道
網路安全是最大隱憂
隨著2024年網路犯罪的總成本將達到9.5兆美元，報告指出，網路安全成為全球科技領導者最關心的議題，有高達41%的CIO表示這是他們最大的焦慮源。因為企業面臨的挑戰不再僅是技術問題，而是牽涉到聲譽、營運乃至於生存。
調查還顯示，77%的企業計畫在2025年增加網路安全預算，這充分顯現企業對網路風險的重視。不過僅提高相關預算還不夠，報告強調，企業在面對網路威脅時缺乏統一的應對協議，員工對新安全技術的接受度也不高。
這代表企業不僅需要投入更多資源在安全技術上，還必須加強全員的資安意識、培養具備足夠技能的人才，並確保風險管理策略與網路安全防護之間的協調與平衡。
AI創新是驅動企業成長的雙面刃
在持續關注網路安全的同時，人工智慧的浪潮也正席捲各行各業。該報告也指出，AI將成為2025年技術投資的3大重點之一，其中67%的企業計畫增強對AI的投入，因為科技領導者普遍認為AI有助於提高日常生產力。
雖然策略上選擇增強投入，但CIO們對AI的態度逐漸趨向務實，從數據來看，僅有13%的參與者認為「提供AI解決方案是CIO最重要的任務」；多數受訪者認為AI仍處於初步階段，需進一步完善；另有33%的人表示，AI對企業的實際影響仍不清晰。
這樣的謹慎態度說明企業在接受AI創新時，除了重視其潛在價值，也同樣認知到限制。報告後續更提到，企業的關注應放在「如何將整體技術基礎建設與AI相結合，以便更好支持業務需求並實現快速的投資回報」。
延伸閱讀：AI時代主管四大考驗：「AI員工」效率高但有時不受控，如何管理人機協作？
成功轉型的關鍵要素：人才與協作
在面對網路安全威脅和AI創新的雙重挑戰時，人才短缺的問題就越發凸顯。調查發現，全球76%的IT雇主表示「難以找到所需的技術人才」，傳統大學教育也很難跟上瞬息萬變的技術需求；更糟的是，只有28%的企業會定期為IT人員提供最新技術的培訓。
為了解決人才問題，企業需要採取創新的策略，例如與人力資源部門緊密合作、開發多樣的招募管道，並考慮廣納那些有潛力且願意學習的非傳統IT人才。此外，企業還應重新設計IT職位，在其中融入AI相關技能，並提供硬技能和軟技能等全方面的培訓。
報告強調，許多CIO面臨的挑戰並非單一技術難題，還涉及跨部門合作。CIO普遍認為，與運營長（COO）的關係是企業未來成功的重要關鍵，但超過一半的IT領導者卻認為，高層管理團隊對CIO的角色缺乏足夠了解。因此，CIO需要更積極地與其他部門建立信任和合作，明確傳達IT的價值，並爭取重要利益相關者的支持。
延伸閱讀：企業人才培訓重點：把人才當作「人財」訓練專業能力
建立防護體系、培養人才是成功之道
《Experis 2025 CIO Outlook Study》結論點出：在日益複雜的網路安全環境和迅速發展的AI技術面前，企業不能再孤軍奮戰，要取得成功，關鍵在於建立高度韌性的安全防護體系，以務實的態度擁抱AI創新，並積極投資於人才培養與跨部門合作。只有那些能夠在網路安全和AI創新之間找到最佳平衡，並有效整合技術、人才和合作的企業，才能在2025年及未來的商業競爭中持續成長，贏得未來。報告中提出的行動建議，例如將網路安全視為全公司的議題、對AI保持實際期待，以及加強與人力資源部門的合作等，都指引著企業未來的方向，眼下正是企業重審技術戰略、積極應對挑戰、掌握機遇的關鍵時刻。
若企業希望在強化資安的同時優化人資管理流程，避免人事資料被盜取，選擇資安有保障的數位人資系統是企業提升資安韌性與管理效率的關鍵！104 HR Max人資系統通過 ISO 27001、BS 10012、ISO 29100及行動應用APP MAS標章等多重資安管理認證，並設有多層級權限控管、資料加密機制，以及定期弱點掃描等，協助企業安心進行人事、薪資等機密資料管理，讓內部系統風險與營運效率都能兼顧。👉了解更多【104 HR Max】介紹：https://104ha.com/1VReQ
延伸閱讀：
「生成式AI」將成新寵兒？公司導入前請先想好3件事：你是真的需要，還是跟風？
企業如何吸引與招募不同世代人才
企業轉型，為何7成都失敗？管理名師李吉仁：人才出問題，最大元凶是績效評估
黑化員工管理策略手冊 EMBA教材版本 成大經理班
黑化員工管理策略手冊 EMBA教材版本 成大經理班
一、手冊目標
1. 將黑化行為視為 制度漏洞指標，非員工缺失。
2. 建立 監控與預防流程，降低黑化對業務影響。
3. 將黑化信號轉化為 創新與組織韌性動力。
4. 提供 高階管理者操作工具：數據、矩陣、檢測表、演練指南。
二、策略手冊核心模組
模組 內容 工具/模板 操作建議
1 黑化識別與前兆監測 - 黑化信號清單
- KPI & 指標矩陣 - 每月檢測任務拒絕率、信息延遲率、創新參與度
- 建立警示門檻
2 心理成本與制度承接分析 - 個人承擔成本評估表
- 流程權責矩陣 - 分析高風險任務承擔者
- 調整制度，降低單點依賴
3 心理安全建設 - 信息透明度問卷
- 心理安全評估表 - 高階主管示範承認錯誤
- 建立匿名風險上報渠道
4 黑化轉化策略 - 黑化行為轉化矩陣
- 流程改造計劃模板 - 將黑化信號對應到流程優化
- 制定改進 KPI，追蹤效果
5 動態迴路管理 - 黑化監控儀表板
- KPI追蹤圖表 - 季度分析趨勢
- 迴路化管理，形成預防、修正、策略化閉環
6 案例與實務演練 - 綜合模擬案例
- 小組演練手冊 - 角色扮演：員工、主管、董事會
- 練習監測、轉化、制度改造流程
三、操作步驟
1. 每季度監測黑化指標
o 收集拒絕率、信息延遲、創新參與度數據
o 異常信號立即納入董事會報告
2. 分析心理成本與流程漏洞
o 使用「流程權責矩陣」找出單點依賴
o 評估任務心理成本過高的原因
3. 建立心理安全與透明文化
o 高階主管示範承認錯誤
o 開放匿名報告與跨部門討論
4. 策略轉化黑化信號
o 將黑化行為對應到流程改造
o 設定改造KPI與跟蹤機制
o 形成制度化迴路，將個人風險管理變成組織韌性
5. 演練與迴路驗證
o 小組模擬案例演練
o 實務驗證流程是否可承接黑化風險
o 調整矩陣與制度，形成閉環
從識人到用人：剖析性格特質，優化團隊組織配置
文／104人資學院
本文探討了企業在招募和管理人才過程中，如何透過剖析性格特質來優化團隊組織配置。僅僅依賴履歷和技能無法完全預測一位員工的適應性，性格特質乃是成功的關鍵。透過五大人格理論研發的性格量表，企業能夠深入了解求職者的情緒穩定性、合作性與創造力等，避免因性格不合而造成的離職風險。針對員工特質的精準配對，幫助主管制定適合的管理策略，促進團隊合作與穩定性。最終，透過科學的性格洞察，企業可提升選才準確度，打造高效團隊。
本文導覽
性格特質：選對人的關鍵依據
用人選才：從單一特質到性格組合
帶人管理：讓性格成為「用才依據」
性格X職務配對：提升久任與績效
實際應用：從團隊默契到領導選育
讓104測評中心成為選才用才的智囊
在招募與管理人才的過程中，常見一種情況是：履歷看起來完美、技能符合需求，但進入團隊後卻發現適應不良、溝通卡關，甚至短期內離職。這些問題往往不是能力不足，而是「性格不合適」。企業若能在選才階段就洞察性格特質，不僅能預測穩定度，更能提升整體團隊效能。
104人資學院資深專任顧問李冠輝在「精準選才×有效帶人：探索性格特質，打造高效團隊」的講座中指出，現代用人不能只看冰山上的專業技能，還要深入冰山下的性格特質與動機，才能找到「合得來、留得住、帶得動」的團隊成員。
性格特質：選對人的關鍵依據
我們過去常說「選才看能力、用才靠管理」，但李顧問提醒，性格才是決定這個人能否發揮所長的潛在條件。即使具備相同能力與背景，不同性格的人，在壓力下的表現、團隊互動、學習意願、接受回饋的方式都可能大相逕庭。
以五大人格理論（Big Five）為基礎，104測評中心設計的「性格量表」涵蓋情緒穩定性、親和樂群性、勤勉謹慎性、外向實踐性與經驗開放性等五大面向，細分為27項行為指標。例如：
抗壓性與情緒調適：預測應徵者面對壓力時的穩定度。
合作性與社交性：評估其團隊協作的潛能。
謹慎性與堅毅性：反映執行任務的細緻度與持久度。
企圖心與表現性：洞察其主動性與成果導向程度。
創造力與思辨性：判斷其應變能力與創新潛力。
透過短短15分鐘的測驗，就能掌握個人性格在各面向的相對位置，有效避免只看履歷或面談時留下的表面印象。
用人選才：從單一特質到性格組合
用對人，比用強的人更重要。李顧問強調，選才時不能只單點看「這個人有沒有責任感」，而是要思考多種性格的組合。例如：
企圖心高但堅毅性低：可能容易放棄、不穩定。
影響性高但同理心低：可能擅長說服卻易忽略他人感受，造成團隊摩擦。
合作性高但創造力低：或許適合穩定執行型的職位，但不利於創新任務。
這些組合的解讀，不僅有助於選才，也能幫助主管安排任務與溝通策略。104測評中心的報表設計，除了呈現各項性格指標的高低位置，也會提示可能的互補或風險組合，幫助HR與主管做出更立體的判斷。
帶人管理：讓性格成為「用才依據」
主管常面臨一個難題：部屬能力不錯，卻總是與他人發生摩擦、無法主動溝通，或無法承受壓力。這時若沒有性格上的理解，容易將問題簡化為「態度不好」，甚至錯失培育的可能性。
透過性格測評，主管能夠：
找到適合每位成員的工作風格與溝通方式。
避免高潛力人才因誤解而流失。
在帶領團隊時，運用差異性打造互補結構，而非一味追求同質化。
舉例來說，一位企圖心強但抗壓性低的新人，若在初期就安排大量獨立挑戰任務，可能會因壓力導致挫敗感，反而打擊信心。但若安排一位謹慎且穩定的資深同事進行協作，不但能保留其主動性，還能給予情緒支持，降低離職風險。
性格X職務配對：提升久任與績效
104測評中心根據多年大數據建立了「穩定任職模型」，能協助企業預測候選人是否具備長期穩定任職的性格特質。這在高流動率如客服、零售、行政助理等職位中尤其關鍵。
例如，具備「守成性」、「知足性」、「順應性」、「責任感」的員工，在偏重執行面、變動低的職務中通常更能久任、累積經驗、發揮穩定價值。相反地，若員工較具備「創意」與「冒險」特質，卻安排單調例行的工作給他，反而容易出現不穩定、不滿足的情緒，導致高離職率。因此，正確的性格與職務匹配，不只是找對人，更是留住人的重要關鍵。
實際應用：從團隊默契到領導選育
除了選才與用才，性格測評也能幫助組織理解整體團隊的運作模式。例如：
團隊是否過度集中在某一性格面向（如保守、低冒險），導致創新停滯？
是否缺乏情緒穩定與表現導向的中堅人才，造成執行落差？
團隊成員彼此的合作性、順從性、社交性差異大，導致溝通不良？
透過性格分析，企業能建立屬於自己的「團隊性格常模」，日後無論新招進來的是業務、行銷、PM或主管，都能更準確地評估其與現有文化的融合度。
讓104測評中心成為選才用才的智囊
人才不是用看的就能了解，也不是靠面談就能摸清。若你希望：
增加選才準確度，避免誤判與流失
協助主管理解團隊，提升帶人效率
建立符合企業文化與需求的性格選才標準
歡迎與【104測評中心】聯繫，從性格洞察出發，打造高效協作的團隊生態。讓我們一起讓「人」與「位置」的配對，不再靠運氣，而是靠科學。
>> 延伸閱讀：章魚、劍魚、海豚，你是哪一種？五大人格×海洋角色，秒懂人才性格職場力！
👉立即洽詢測評應用
公關危機溝通順序檢核表-客戶關係管理與危機因應--中高階課程教材
公關危機溝通順序檢核表-客戶關係管理與危機因應--中高階課程教材
適用於突發客訴、重大錯誤、資料外洩疑慮、專案失控及組織內部重大事件。
危機處理即時檢核
事件等級僅供內部初步分類，實際標準應依組織制度調整。
初步事件等級
一般：影響範圍有限，可由現場負責人處理
重大：影響客戶、營運或跨部門，需要主管協調
緊急：涉及人身安全、重大資安或持續擴大的損失
第一步：確認安全與控制風險
先處理人員安全、服務中斷、損失擴大或持續發生的風險。
第二步：查證事實
確認已知事實、未知事項、影響範圍、發生時間與證據。
第三步：啟動通報與決策
依事件嚴重程度通知主管、相關部門及指定負責人。
第四步：辨識溝通對象
區分內部團隊、客戶、合作夥伴、管理階層及依法須通知的對象。
第五步：統一訊息並對外溝通
只發布已確認資訊，清楚說明正在採取的措施及下次更新時間。
第六步：持續更新與復盤
追蹤影響、補充新事實、保存紀錄並落實改善措施。
危機溝通順序：誰先知道？
順序 溝通對象 溝通目的
1 現場負責人、應變人員 控制風險、保護人員與資產
2 直屬主管、事件決策者 確認事件層級與資源需求
3 專責單位 依事件性質通知資安、法務、人資、公關或營運單位
4 受影響的內外部對象 提供必要、準確且適當的資訊
5 管理層及相關利害關係人 更新處理進度、影響與改善措施
以上是一般參考順序，不是僵化的單一路徑。
涉及立即人身危險、法定通報時限、重大個資事件或資安事件時，必須同步或優先執行適用的緊急通報與法定義務。
113-2-I22 資訊安全防護實務 No.4
情境：公司因供應鏈之客戶要求在執行受委託業務時，必須針對所承接之受託業務有關的資訊安全有所作為，因此公司高層下令有關人員針對公司在執行受託業務上可能面臨的資訊安全風險議題進行研議。
題目：依據 NIST SP800 - 30 Guide for Conducting Risk Assessments文件對於「弱點（ Vulnerability）」之敘述係指「系統安全程序、設計、裝置、或內部控制的一個瑕疵或缺陷，若被利用後，會破壞安全性或違背系統安全政策」。請問關於 「 弱點 」 的敘述，下列何項錯誤？
(A) 微軟發布之 Windows作業系統漏洞
(B) 系統管理人員依程序於每季末將離職人員之帳號停用
(C) IoT設備無法變更預設密碼及帳號
(D) 組織內部人員違反資安規定，私自攜帶外接式儲存設備並連接至組織內部重要伺服器使用，進而導致檔案伺服器遭受勒索病毒感染，重要資料遭受加密無法使用
解答：
弱點產生的原因係為軟體或硬體的設定錯誤、不良的軟體撰寫習慣或違反組織管理政策，以至於攻擊者利用這些弱點對組織的資源進行各類型的攻擊。
因此(A)(B)(C)皆正確，僅(D)錯誤
關聯教室
https://nabi.104.com.tw/room/10049024?utm_source=104nabi&utm_medium=share
安碁學苑相關課程：
https://www.acsiacad.com/course_detail/3080/1020
https://www.acsiacad.com/course_detail/3113/1020
有任何收穫或想分享的，都來和大家一起聊聊吧！