一首現代禪詩
To follow the path:
look to the master,
follow the master,
walk with the master,
see through the master,
become the master.
這首詩是我以前讀到過的，很有意境。
在此與大家分享，也彼此期勉。
在此與大家分享，也彼此期勉。
ISO 27001 上課和考試心得
最近看到書架上那厚厚一本27001 的講義，心血來潮決定把一些準備考試的訣竅給分享出來。 其實我在開始上課前，都還搞不太懂：27001, 27002, 17799, 7799, 7799-1, 7799-2 有什麼差別？一直到了開始上課後，蒲樹盛先生講解了才明瞭。所以也不用急著在上課前就要把那些東西的歷史、來龍去脈給搞的一清二楚，老師會很熱心的先講解，好讓我們可以進入狀況的：） 那些東西因為已經有很多前輩分享過了，我再寫一次也不會比較好。所以在此就只針對上課和準備考試這二塊來分享一下。 其實考試要通過並不難，重點只在於每一個條文的著眼點是什麼，要能夠很清楚。我覺得難的是在這麼短的期間內就要完全的吸收。 一個著眼點是今天學的東西不只是要通過考試，更是為了日後稽核時的一種訓練 -- 所以，有問題就問吧！ 我上課的時候，我是裡面年紀最小的，有不懂或是覺得不清楚、模零兩可的地方都很主動地去問老師以及討論。透過這樣反覆不斷的正反驗證，一方面可以讓觀念更清楚，另一方面也可以讓印象更清析。會提這點是因為有些同學可能年紀什麼都比較大了也有些地位，反而不好意思跟老師討論而關門造車。 在這裡希望大家都能熱心學習，畢竟我們以前當學生不也是這樣嗎？如果還在學的階段就對條文和一些精神有過多主觀投射的話，我覺得日後在實際運用和稽核時必定會有負面的影響。 更何況如果我們都真的會了的話又何必去上課呢？：）反正不懂問了就好啦！ 像我印象比較深的是：稽核時，能不能對控制方法質疑？因為一直聽到說要檢查什麼和檢查的精神是什麼？卻從來沒聽到過、與不過的標準為何？上完課下來，會產生：似乎有做就算過關的印象。後來和老師討論的結果是稽核員不能對控製的手法提出疑義，所以也不能去定義手法和計量的標準。 其實我理解稽核員的立場必須是超然且中立的，所以我也不應該會有類似的疑惑。但是我真的好奇的是：如果受稽核方採取的是無效的措施時該怎麼辦？ 真的因為有措施且有實施，就能表示措施是有效的嗎？ 我覺得這個問題，不只是將要或是有志成為稽核員的我們可以思考。 所有的ＩＴ人員，都應該思考和擴展這個議題。 然後每天回家都一定要會看書，這個我覺得很重要而且很有效。千萬不要因為可以open book 就不看書了 -.-" 其實並不用把每個控制目標給背起來，只要能知道適用情境就可以了。因為我覺得那才是重點 ^_^ 我大概一天看個一
留言