台灣中油OT設備管理職責

本人於台灣中油任職，主要職務為中部油品輸儲調度。近期因業務需求，開始接任庫區內OT設備(營運技術)的管理工作。

因應國家資安政策要求：選擇恆逸ISO 27001課程

隨著近年國際間各方面的安全威脅愈加複雜嚴峻，資訊安全及管理方面是不容忽視的一塊。因應國家資訊政策要求，本公司近期針對油品供給單位，要求資訊設備負責人員須備有"資通安全專業證照"，這成了我來到恆逸教室參加ISO 27001課程的契機。

老師的專業與熱忱：深入理解ISO 27001

授課的老師本身就是CQI/IRCA 機構的主要稽核員，除了豐富的國際觀與創業經歷以外，對於ISO 27001相關條文更是瞭若指掌。第一堂課老師就以架構圖的方式說明整個資訊安全管理系統(ISMS)，從組織如何決定、管控到降低各層面的風險以達到營運目標，搭配著ISO 27001新版條文逐項強調觀念，幫助學員吸收消化新知識。因著我報名的是週末班，只能運用平時下班或瑣碎的時間來預習和複習課程內容，不過多虧老師的專業與熱忱，令我回家有動力整理上課內容。也因著老師要求大家要把ISMS和風險管理流程圖畫到背起來，在考取完證照的幾個月後，至今自己還能再把流程圖畫出來!

課程核心收穫：PDCA應用與備考策略

ISO 27001的管理架構是基於PDCA循環來運作，而PDCA也被用在其他ISO各項標準，如果有接觸過ISO 9001或ISO 45001等規範的朋友，一定很快就可以熟稔ISO 27001的新規範，上完這門課也能加深對於PDCA的認識。

這門課還有一大亮點，那就是老師整理的講義，裡頭包含ISO 27001和其他各項相關標準的差異對照、條文細部的解釋與連結等內容。以ISO 27001:2022第6.1.3(b)為例，該條款論述組織針對選定之資安風險要決定必須的控制措施，基本上就是要參照附錄A的93項控制措施來執行。

但在ISO 27006-1:2024第9.1.1.2條款驗證程序之考量要點卻又提到，"驗證機構的程序不應預設執行ISMS的特定方式"，這指明即便組織的必要控制措施不是ISO 27001附錄A的規定項目，也可能通過ISO 27001驗證。

若沒有看過課程講義根本不會注意到這種細節，我想這些重點整理不但足以應對考試，日後業務上的需求更是能派上用場。準備考試時練習題一定要多做幾遍，試卷依照稽核、驗證等主題分成不同部分，有些單元需要花較多時間閱讀及思考，時間的分配與掌握絕對不能忽略。

非資訊背景也能勝任：證照為職涯開啟新頁

本人在學科系是讀機械材料類群，幾乎沒有資訊相關的專業背景，當初在報名時可說是膽戰心驚，心想要是沒考到證照就得自己吞下報名費，然而上完40小時的課程後，這些擔憂都灰飛煙滅。

主導稽核員課程內容雖然著重在資訊安全管理，主要重點還是在稽核原則與觀念的學習，以及掌握各項資訊安全控制措施，藉此有效率地找出資安的風險漏洞。 身處在資訊科技快速成長的時代，隨著相關的法規與標準持續修正更新，若不積極汲取新知識很容易就被拋在後頭。對我而言，上完這門課並取得證照並非結束，而是另一個新階段的開始，很高興有機會能參加這門課，相信這些課程內容與觀念必定成為職涯上的一大助力。