本次參訓國際電腦稽核師Certified Information Systems Auditor(CISA)，因為疫情影響，考量恆逸有同時提供實體課程及線上課程，講師為陳鴻棋老師及葉耿志老師，皆來自勤業眾信聯合會計師事務所，也是電腦稽核協會的課程講師，所以選擇報名恆逸。

分組課程討論，建立稽核思維

課程上規劃有5堂課程，分別對應5大工作實務領域。為了有效吸收，課程進行時偶爾會分組討論，會了解學員間的工作背景，互相交流遭遇的情況。講師也會要求學員想像自己是資訊系統稽核人員，以利建立判斷情境的警覺性，搭配充實的資訊背景才能產出合理的稽核思維。

CISA課程領域學習心得

CISA工作實務領域「第1章:資訊系統稽核流程」主要說明稽核人員如何準備，關於「稽核準則、道德規範、業務流程、控制類型、風險評估、稽核類型」等皆是稽核行前規劃，另外提到稽核結束後的報告、追蹤及改善。稽核過程就屬其他4章，由上而下逐步去說明各階段稽核重視的觀點，這樣就會有明朗的閱讀方針。「第2章:資訊科技治理與管理」是以高層次的觀點，評估系統是否有支持營運目標，涉及組織結構、策略、SOP、程序表單、法規、產業標準等議題。「第3章:資訊系統的取得(開發與建置)」以專案管理的生命週期介紹開發或採購資訊系統，並符合「範圍、時程、成本、品質…」等管理計畫及衡量基準，進而逐漸降低專案風險。「第4章: 資訊系統的營運及企業靈活性」考量取得系統後，進行資料治理、服務水準、變更管理及業務持續運作計畫。「第5章: 資訊資產的保護」更深入設立資訊資產應有的安全框架，產出技術上實施的安全控管，實施防禦監控機制，以及遭遇資安攻擊的事故管理及取證。

換位思考，應變可能的資安威脅

由於我本身是事業單位的資安業務人員，不隸屬資訊處，現在的職責為督辦系統日常維運管理、同時辦理採購來精進系統，並依法規定期稽核及臨時顧問、來賓的視察。我一直希望有機會能換位思考，去應變各種可能的資安威脅並提出改善建議，來精進系統的安全控制。

這次CISA課程雖然沒有特別針對證照有標註重點，但也學習收穫很多，藉由課程所學，預計接續用功考取CISA證照，符合業務需要、提升專業素養。