ISO/IEC 27035 資訊安全事件管理內部稽核員培訓課程
ISO/IEC 27035 資訊安全事件管理內部稽核員培訓課程
ISO/IEC 27035 是資訊安全事件管理系列標準，提供事件準備、偵測、通報、評估、回應及經驗回饋的指引，協助組織建立有責任、有紀錄、可持續改善的事件處理流程。參考:https://www.iso.org/standard/78973.html?utm_source=chatgpt.com
本課程適合資訊、資安、服務台、風險管理、法務、個資管理及內部稽核人員。透過事件紀錄與情境演練，學習查核應變流程是否有效，降低通報延誤、責任不清及問題反覆發生的風險。
本課程應採用 ISO/IEC 27035 的哪些部分？
ISO/IEC 27035 是系列標準，課綱應列明涵蓋部分與版本。本課程可從整體流程出發，再依企业需求深化規劃、技術應變及跨組織協作。
| 標準部分 | 主要內容 | 課程應用 |
|---|---|---|
| ISO/IEC 27035-1:2023 | 原則與流程 | 建立事件管理及查核架構 |
| ISO/IEC 27035-2:2023 | 規劃與準備指引 | 查核政策、團隊與經驗回饋 |
| ISO/IEC 27035-3:2020 | ICT 事件回應作業指引 | 查核技術應變與恢復紀錄 |
| ISO/IEC 27035-4:2024 | 協調 | 查核跨部門與外部協作 |
第 2 部分著重規劃準備及經驗回饋；第 3 部分涵蓋 ICT 事件的分析、控制、排除、恢復與結案；第 4 部分則補充協調議題。參考:https://webstore.iec.ch/en/publication/83156?utm_source=chatgpt.com
ISO/IEC 27035 是獨立管理系統認證標準嗎？
不是與 ISO/IEC 27001 相同類型的管理系統要求標準。它提供事件管理指引，可支持企業建立流程及內部查核。
稽核應依企業採用的措施、程序、合約及適用要求判定，不能把所有指引直接當成相同的強制義務。
資安事件、警示與一般 IT 事件有什麼差別？
警示或異常需要經過評估，才能判斷是否構成資訊安全事件。一般 IT 服務中斷，也不一定是資安事件，但可能需要兩套流程協作。
| 類型 | 情境示例 | 管理重點 |
|---|---|---|
| 警示或異常 | 系統偵測到不尋常登入 | 確認來源、內容及後續判斷 |
| 資訊安全事件 | 未授權存取、資訊外洩或遭竄改 | 分級、回應、影響與證據 |
| IT 服務事件 | 系統故障造成服務中斷 | 恢復服務及追查原因 |
| 個資事件 | 個人資料遭不當存取或揭露 | 另確認個資影響與適用義務 |
所有警示都要啟動重大應變嗎？
不需要，但應有明確的受理、評估及升級準則。未升級的案件也應留下足以支持判定的紀錄，避免重要訊息被直接忽略。
本課程會學到哪些內容？
課程以「理解流程、追查事件、核對決策、判定缺失、確認改善」為主軸，可依企業規模與委外方式調整案例。
| 課程單元 | 學習重點 | 實務演練 |
|---|---|---|
| 原則與範圍 | 事件管理定位及適用活動 | 判讀異常案例 |
| 規劃與準備 | 政策、團隊、工具及聯絡安排 | 查核準備清單 |
| 偵測與通報 | 通報管道、受理及紀錄 | 分析警示與工單 |
| 評估與決策 | 分級、影響及升級條件 | 練習判定理由 |
| 回應與恢復 | 處置、協作及恢復確認 | 追查事件時間線 |
| 經驗回饋 | 原因、改善及更新 | 編製改善追蹤表 |
| 稽核實務 | 抽樣、訪談與報告 | 撰寫稽核發現 |
課程會教授數位鑑識或惡意程式分析嗎？
一般內部稽核課程著重管理與證據查核。數位鑑識、惡意程式分析及其他技術處置，需另行安排專業訓練。
學員可學習辨識需要哪些技術證據，以及何時應由專業人員協助。
事件管理準備工作應查核什麼？
應確認事件發生前，企業已具備可用的責任、通報與處置安排。只有一份程序或聯絡名單，仍不足以證明應變能力。
| 查核項目 | 建議證據 |
|---|---|
| 政策與程序 | 範圍、分級、權責及處理流程 |
| 應變團隊 | 職責、替代人員與決策權限 |
| 通報管道 | 員工、客戶及供應商通報方式 |
| 聯絡安排 | 可用窗口、更新及測試紀錄 |
| 資源與工具 | 監控、紀錄、調查及協作能力 |
| 訓練與演練 | 人員理解、演練結果與改善 |
| 委外責任 | 合約、服務承諾及升級機制 |
已委外監控，就不需要內部應變團隊嗎？
仍需確認企業自己的決策與協作責任。外部團隊可能協助偵測或分析，但服務停用、對外通知及業務影響處理，通常需要企業參與。
事件分級、通報與決策應如何查核？
應確認分級有依據，決策有授權，處理過程可追溯。企業可依資訊、服務及业务影響建立適當準則。
| 查核面向 | 建議確認的問題 |
|---|---|
| 受理 | 何時收到訊息，由誰處理？ |
| 評估 | 判斷依據與已知資訊是什麼？ |
| 分級 | 是否依程序確認影響與優先順序？ |
| 升級 | 是否通知適當人員並取得決策？ |
| 資訊更新 | 新證據出現後是否重新判斷？ |
| 對外溝通 | 內容、對象及核准是否適當？ |
所有事件都適用相同通報期限嗎？
不適合。期限與對象應依事件性質、所在地、產業法規及合約確認。
內部程序應能支持適用義務的執行，不宜將某一法規的時限直接套用到所有事件。
回應、證據保全與恢復應如何查核？
查核重點是措施是否經過適當決策，並兼顧影響控制、證據與服務恢復。稽核員不應只確認系統「已恢復正常」。
| 查核項目 | 建議證據 |
|---|---|
| 處置決策 | 理由、授權、執行人員及時間 |
| 影響控制 | 措施範圍與結果 |
| 證據保存 | 來源、取得方式、完整性及存取紀錄 |
| 外部協作 | 服務商、專業團隊及相關方紀錄 |
| 恢復確認 | 驗證、監控及業務確認 |
| 結案條件 | 影響、待辦事項及核准 |
可以直接刪除可疑檔案或重建系統嗎？
應由應變人員依情境作出決策，避免破壞必要證據或擴大影響。程序應說明授權與專業協助機制。
涉及法律程序或鑑識需求時，還須確認適當的證據保存與移交安排。
經驗回饋與改善成效如何評估？
應確認事件處理結果有轉化為可追蹤的改善。不能只完成結案報告，卻沒有更新控制、流程或訓練。
| 改善面向 | 查核方向 |
|---|---|
| 原因分析 | 是否分析技術與管理因素？ |
| 措施安排 | 是否指定責任、期限及資源？ |
| 風險更新 | 是否重新確認相關風險？ |
| 程序調整 | 是否補足判定、通報或協作缺口？ |
| 有效性確認 | 是否有測試、抽查或監控結果？ |
| 知識分享 | 是否讓相關人員了解必要經驗？ |
哪些指標可以用於課程演練？
可使用偵測至受理、評估、控制及恢復的時間，以及逾期案件、重複事件和改善完成情況。
指標定義應一致，也需搭配事件複雜度與處理品質，避免只追求快速結案。
內部稽核如何執行與判定缺失？
建議抽選真實事件、警示處理或演練，沿時間線追查完整流程，再對照企業要求。
| 步驟 | 主要工作 | 預期成果 |
|---|---|---|
| 1. 規劃 | 確認範圍、準則與高風險活動 | 稽核方案 |
| 2. 準備 | 選擇案件、文件及受訪人員 | 計畫與檢查表 |
| 3. 查核 | 核對時間線、決策及執行紀錄 | 證據紀錄 |
| 4. 報告 | 說明要求、事實與判定 | 稽核報告 |
| 5. 追蹤 | 確認原因、措施與有效性 | 結案證據 |
缺失如何寫得具體？
例如，程序要求高優先事件通知應變負責人，但抽查案件只有工單處理紀錄，沒有通知或核准證據。
報告應列明案件、時間與要求。改善不只補紀錄，也應檢查通知與升級機制。
課程需要多久，費用如何評估？
一般建議安排 2 天；加入基礎導讀、企業事件或桌上演練者，可規劃 3 天。
| 課程形式 | 建議時間 | 適合需求 |
|---|---|---|
| 基礎認知 | 1 天 | 理解角色與事件流程 |
| 內部稽核實務 | 2 天 | 紀錄、判定及報告演練 |
| 企業案例與桌上演練 | 3 天 | 結合實際協作情境 |
| 培訓加差距檢查 | 另行評估 | 改善既有程序與證據 |
上述為課程規劃建議，並非標準指定時數。費用依人數、語言、授課方式及文件審查、評量與課後追蹤範圍評估。
技術鑑識、實際事件處置、指定資格考試及其他專項服務應另行確認。
報名前，客戶常見疑問有哪些？
沒有資安技術背景，可以參加嗎？
可以。法務、管理及服務人員可學習流程與責任，技術判定則由相關專業人員協作。
已有 ISO/IEC 27001，還需要本課程嗎？
可依需求補強事件流程、跨部門協作與證據查核，並與既有資安系統整合。
沒有發生過事件，如何演練？
可使用桌上情境、警示處理或模擬紀錄，確認人員理解與程序可行性。
課程證明等於事件應變專家資格嗎？
不等於。一般培訓建立管理與稽核能力，不自動授予鑑識、技術應變或特定人員資格。
可以使用企業事件資料嗎？
可以使用去識別案例，並先確認保密與使用範圍，避免提供密碼、金鑰或不必要的個資。
能保證事件不再發生嗎？
無法保證。課程可協助改善準備、回應與追蹤能力，成效仍取決於措施執行與持續驗證。
延伸閱讀：可以搭配哪些課程？
ISO/IEC 27001 資訊安全管理：連結風險與控制改善。
ISO 22301 營運持續管理：協調服務中斷與恢復。
ISO/IEC 27701 隱私資訊管理：確認個資事件責任。
供應商資安第二方稽核：改善委外事件協作。
下一步如何執行？ODI MORGAN 可以提供哪些服務？
先提供服務範圍、應變分工、參訓人員及目前問題，再規劃課程。現有程序、事件紀錄、演練結果與稽核缺失，可作為案例設計依據。
ODI MORGAN 可依需求安排 ISO/IEC 27035 事件管理內部稽核員培訓、通報與協作流程檢查、事件紀錄查核、桌上演練，以及模擬稽核與改善輔導服務。
歡迎聯繫 ODI MORGAN 歐迪摩根技術顧問有限公司，將資訊安全事件管理落實到責任、決策與執行紀錄，提升應變及內部查核能力。
