Q1. 請說明您目前所屬產業背景與工作職務內容？

目前所屬企業為邁達特數位股份有限公司，公司成立於1998年4月，總部位於台北市內湖區，2001年8月8日上櫃，2003年8月4日上市，前身為聚碩科技股份有限公司，2022年8月15日更為現名，為佳世達旗下專業網路系統加值代理商，主要針對企業網路之架設、網路系統安全、網路管理及備援系統等領域，提供整體性的規劃及系統整合服務。

我擔任資深技術顧問 (Presales)，負責 Dell Technologies 產品規劃，包含硬體、系統整合、IT 基礎架構、備份備援…等規劃。

Q2. 當初因為工作上有何需求或目的，為何選擇來恆逸上這堂課？

算是興趣使然，因為回顧我考取認證的歷史，大多都是在微軟和 VMware 的相關專業技術認證，這是我第一張和資訊安全還有非技術類的認證，對我來說稍微的跨領域，也初窺所謂資訊安全到底在要求些什麼。

以往按照經驗都是透過各項技術面來回應資安要求，例如高可用性、備援、備份、網路隔離…等，卻沒有機會實際去了解這些要求的背後到底是要做些什麼。其實每個要求都蘊含著對於諸多資訊安全事件對企業造成的內部以及外部損失。

Q3. 請描述授課講師對您學習吸收上最有幫助的地方？

講師以小組形式再輔以模擬情境討論的方式，讓大家都能充分參與討論，除了理解 ISO/IEC 27001 資訊安全管理系統要求本文第 4–10 章的條文要求、附錄 A 93 項控制措施，加上管理系統稽核指引 (ISO 19011)、驗證稽核要求 (ISO 17021)，分組演練、討論、模擬稽核、案例研討。在短短的 5 天雖不能立即融會貫通，但也可以了解資安稽核其中的精神及含意。

隨著講師一題一題講解現場練習題，帶領我們進到稽核的意境中，去看每一題的組成，了解到稽核不是拼命開出不符合，而是透過現場抽樣，收集對 ISO/IEC 27001 的符合證據，協助企業合乎標準規範，讓企業透過相關規範有效實作管理系統，進而控制風險讓企業受到保障，並且能針對風險進行持續改善。

Q4. 請舉例詳述，個人上課過程的經驗分享，最有收穫的是學到課程中哪一部分技術或觀念？備考認證過程的心得與建議？

講師說明考試注意事項後，以及準備護照驗證身分等相關規則說明，下午要進考場了。考試是可以帶參考資料進去的，可以是紙本或電子檔（建議電子檔最好是 PDF，因為考試電腦沒有 Office 軟體），但不能上網或使用 AI，更不能交談。違反規定的考生除了不能進行考試外，之後任何有關 CQI/IRCA 國際稽核員協會舉辦的任何考試，都會被限制，這一點要特別注意。

考試共有 40 題，看似很短，但每一題都要很認真去讀題，時間相當緊迫，尤其最後部分大多是實境題，翻書是翻不到的，只能不斷回想講師上課的內容，再把自己帶入題目中的稽核情境。每一題都是在不同環境下進行稽核，要把握一個原則：不要想著怎麼開出不符合，要想著題目上開出的不符合是否合理，從選項和題目中找出證據，一題一題往前進。

考試題目是不能回頭再看的，所以每題都得格外小心。刷題比較沒有幫助，主要還是要了解稽核查檢表內容和稽核要求，以及主要、次要不符合的相關含意。一定要先熟練高階管理系統 PDCA，再對應本文要求以及後續稽核要求，這樣比較有幫助。

Q5. 請舉實際案例說明，上完課後對您工作實務上有何幫助？如何運用上課學到的觀念或技術在您的工作中？取得認證後有利於加薪或升遷？

上完課後在實務規劃架構與解決方案時，可以用資安稽核的角度去幫助客戶釐清為什麼要這樣規劃，考量的點在哪裡。這與以往單純依照客戶需求去做規劃有些不同，可以更清楚地告知客戶投資的價格與那些資安稽核要求相呼應。在專案進行時，還要額外花精神去符合資安規範的要求，一舉數得。

上課其實很大一部分在建立資安以及稽核觀念，這點很重要，因為很多軟硬體的技術都是依照這些國際標準來規範企業對於 IT 的安全要求，包含資料安全、通訊安全、營運持續…等，這些都是在專案規劃時常會遇到的。

取得認證是一種肯定，也是驗證自己對課程的熟悉度。短期可能看不出升遷或加薪的影響，但中長期來看，持續學習、提升能力，才是升遷與加薪的基礎條件。