我在是鐵道運輪從事軌道技術研發的副工程師，會參加此課程的原因為單位每半年，公司就會有ISO27001的資訊安全內部稽核，感覺次數非常的頻繁，每次稽核員都必看系統的管理人及使用人清冊、新增及移出的紀錄，核對伺服器的時間及防毒軟體的使用及更新狀態，還有可攜式媒體的使用管制，近期還在己有門禁管理的機房安裝的人臉辨識系統及CCTV監控系統，搞了一堆措施都不知原由，經詢問資安人員僅回覆須符合ISO27001的條文要求及稽核員的建議只能配合實施，聽此回覆對於門外漢的我們只能點點頭示意，心裡OS『你根本不想費事說明，要我們配合就好了』。

近期因公司課內尚餘訓練經費故積極的向承辦人爭取報名『ISO/IEC 27001：2022資訊安全管理系統核心概念與條文要點解析訓練課程』，在課程中，我們探討了ISO 27001的核心條文以及其在信息安全管理中的重要性及ISO27002:2022與2013版本控制措施的新增及差異。

ISO27001旨在幫助組織依循PDCA建立、實施、維護和持續改進「資訊安全管理系統(ISMS)」，其效益包含可以縮短訓練與更新員工的流程、縮短安全事件調查時間，減少訴訟及法律費用及降低保險支出、提高商業及公共形象及資訊安全意識、提高客戶及利害相關都的信心、更可改善員工招募…等諸多有形及無形的效益，其中講師特別強調了風險評估(包含風險識別及風險分析)和風險管理(包含風險處理計畫、風險接受及殘餘風險及風險監視及審查)的重要性，也讓我了解資訊安全不只是單純的軟體及SOP也包含了實體上的安全，講師也舉了一些在它公司稽核的遇到情境例子，說明各公司在資安上的管理作為，利用各種高科技的感知器來輔助機房管理。

課程中講師也透過分組的討論活動，各小組會依各公司的實務狀況將風險評鑑與各項風險處理方案填寫在教室白板上呈現給全班同學，再由指派的一位同學向大家說明討論結果，最後講師聽取報告後會適時的導入條款及建議，將實務與課程做連結讓無聊的條文課程增加一些亙動及討論。

資訊安全在現今的社會，無論的在公司還在是個人及家庭生活都息息相關，參在此資安訓練課程真的讓我受益良多，非常感謝恆逸教育訓練中心開辧此課程，讓我接軌國際觀念。