第一章：安全功能與業務策略的對齊 (Alignment to Business Strategy)

1.1 業務決策與安全定位

遷移到雲端最終是一個業務決策。雲端服務的使用必須與組織的業務目標和目標保持一致，這意味著雲端服務應能協助企業實現其戰略意圖。安全專業人員的角色不僅僅是實施技術控制，而是要成為業務的推動者 (Enabler)，確保雲端服務在增加組織價值同時得到適當的保護。

1.2 治理架構 (Governance)

治理是引導和控制組織以實現其目標的系統。

• 公司治理 (Corporate Governance)： 組織被引導和控制的規則、實踐和流程系統，專注於增加組織價值並確保全員目標一致。
• 安全治理 (Security Governance)： 指導和控制安全功能的系統，核心在於將安全功能與整體組織目標對齊，使其成為業務的助力。

1.3 資訊安全的三要素 (CIA Triad)

在雲端環境中，資訊安全的四大目標依然適用：

• 機密性 (Confidentiality)： 防止未經授權的披露，確保只有獲得授權的人員才能訪問敏感資訊。
• 完整性 (Integrity)： 防止未經授權或意外的更改，確保資訊準確、完整且未被篡改。
• 可用性 (Availability)： 確保授權用戶在需要時可以訪問資訊和資源，以支持決策制定。

1.4 角色與責任 (Roles and Responsibilities)

在公共雲環境中，明確定義角色與責任至關重要，因為客戶將系統與數據的管理外包給了服務提供商。

• 問責制 (Accountability)： 對某事物的最終所有權。問責制永遠不能委派。即使遷移到雲端，組織對其資產的安全仍負有最終責任，雲端服務提供商 (CSP) 永遠不會對客戶的系統和數據負有問責權。
• 責任 (Responsibility)： 可以委派。負責方根據問責方（雲端消費者）的指示實施和執行控制措施。

1.5 政策、標準與程序 (Policy Hierarchy)

組織透過一系列文檔來導向行為：

• 政策 (Policies)： 相當於「企業法律」，定義了安全功能的目標。
  • 總體安全政策： 由董事會和高層管理人員支持，定義整體的安全方法。
  • 功能安全政策： 針對特定領域（如訪問控制、加密、事件響應）的詳細要求。
• 標準 (Standards)： 定義強制的硬體和軟體機制（例如：規定必須使用 AES-128 加密）。
• 程序 (Procedures)： 執行某項任務的逐步強制性指令（例如：如何生成加密密鑰的具體步驟）。
• 基準 (Baselines)： 最低安全級別和強制性配置（例如：VM 在上線前的配置清單）。
• 指南 (Guidelines)： 非強制性的建議行動，用於定義「應該」做什麼，通常在強制要求尚未全面實施時使用。

第二章：雲端風險管理 (Risk Management)

2.1 風險管理基本定義

風險管理是識別、評估和優先處理風險，並經濟地應用資源來最小化、監控和控制風險發生的可能性與影響。

• 風險概況 (Risk Profile)： 對組織風險承受能力、容量和偏好的全面評估，作為決策指南。
• 風險胃納 (Risk Appetite)： 組織為了實現戰略目標而願意承受的整體風險量和類型。
• 風險容忍度 (Risk Tolerance)： 組織為了滿足特定營運目標而願意接受的具體風險量。

2.2 資產估值 (Asset Valuation)

在分配資源保護資產前，必須先確定資產的價值。

• 定量分析 (Quantitative Analysis)： 為資產分配具體的金錢價值（如：此數據價值 200 萬美元）。這是理想的方法，但對大多數資產（如聲譽）來說極難準確實現。
• 定性分析 (Qualitative Analysis)： 使用相對排名系統（如：高、中、低）對資產進行比較。這是實務中最常用的方法。

2.3 風險分析 (Risk Analysis)

風險分析涉及識別與資產相關的風險，需考慮四個要素：

1. 威脅 (Threats)： 可能導致損害的潛在危險（如：網路攻擊、自然災害）。可以使用威脅建模方法進行系統性識別。
2. 脆弱性 (Vulnerabilities)： 系統中的弱點或漏洞（如：未修補的軟體）。可透過脆弱性評估和滲透測試來識別。
3. 可能性 (Likelihood)： 風險事件發生的機率。
4. 影響 (Impact)： 風險發生後導致的損害（如：停機時間、數據洩漏）。

定量風險計算公式

在 CCSP 考試中，必須掌握 ALE (Annualized Loss Expectancy, 年度預期損失) 的計算：

• SLE (Single Loss Expectancy, 單次損失預期) = 資產價值 (Asset Value) × 暴露因子 (Exposure Factor, EF)。
• ALE = SLE × ARO (Annualized Rate of Occurrence, 年度發生率)。

2.4 風險處置 (Risk Treatment)

一旦識別出風險，組織可採取以下四種方式處理：

1. 避免 (Avoid)： 選擇不參與會導致風險的活動（例如：不將敏感數據移至雲端）。
2. 轉移 (Transfer)： 將財務負擔轉移給第三方（例如：購買網路保險）。注意：問責制不可轉移。
3. 緩解 (Mitigate)： 實施控制措施以降低風險。
4. 接受 (Accept)： 由資產所有者做出的深思熟慮的決定，接受剩餘的風險水平。

2.5 安全控制措施 (Security Controls)

控制措施可按類別和功能進行劃分：

• 類別：
  • 管理性 (Administrative)： 政策、程序、員工培訓。
  • 技術性/邏輯性 (Technical/Logical)： 防火牆、加密、IDS、虛擬機安全。
  • 實體性 (Physical)： 圍欄、鎖、監視器、滅火系統。
• 功能分類：
  • 指令性 (Directive)： 提供指南和指示（如：政策）。
  • 威懾性 (Deterrent)： 威懾潛在的惡意行為者（如：警告標語）。
  • 預防性 (Preventative)： 阻止風險發生（如：防火牆、登錄機制）。
  • 檢測性 (Detective)： 識別已發生或正在發生的風險（如：IDS、煙霧探測器）。
  • 糾正性 (Corrective)： 減少風險發生的負面影響（如：滅火系統）。
  • 恢復性 (Recovery)： 協助從影響中恢復（如：災難恢復計劃）。
  • 補償性 (Compensating)： 當主要控制措施不可行時，用於彌補不足的替代措施。
• 剩餘風險 (Residual Risk)： 實施所有緩解和補償控制後仍然存在的風險。資產所有者必須接受剩餘風險。

第三章：雲端共享考量 (Cloud Shared Considerations)

這些是在將數據或系統遷移到雲端之前必須考慮的關鍵業務與技術因素。

3.1 互操作性與移植性 (Interoperability and Portability)

• 互操作性 (Interoperability)： 兩個雲端系統以雙方都能理解的方式交換訊息和資訊的能力。
• 數據移植性 (Data Portability)： 將數據從一個雲端系統移動到另一個系統並使其可用的能力。缺乏移植性會導致供應商鎖定 (Vendor Lock-in)。
• 應用程序移植性 (Application Portability)： 將可執行軟體從一個系統移動到另一個系統並正確運行的能力。

3.2 可逆性 (Reversibility)

雲端消費者能夠輕鬆地從雲端環境中刪除其應用程序或數據，並確保所有痕跡已被安全移除的能力。這是指消費者「反悔」遷移決策並將業務遷回本地 (On-premise) 的難易程度。

3.3 彈性、效能與服務水平

• 韌性 (Resilience)： 基礎設施在面對硬體故障、攻擊或自然災害時維持運行的能力。
• 效能 (Performance)： 雲端服務響應請求的速度，通常透過延遲、吞吐量和正常運行時間來衡量。
• 服務水平協議 (SLA)： 消費者與提供商之間的正式合約，定義了預期的服務水平、衡量指標及未達標時的處罰。

3.4 合規與審計性

• 可審計性 (Auditability)： 跟踪、記錄和審查雲端活動的能力，以確保合規性和透明度。
• 監管 (Regulatory)： 遵守管理雲端使用的法律和標準。由於許多法律尚未針對雲端有明確定義，這通常是遷移時的一大挑戰。

第四章：安全與風險框架 (Frameworks)

框架提供了一套結構化的指南和工具，用於建立健全的安全或風險管理功能。

4.1 通用安全框架

• ISO/IEC 27001： 全球最廣泛使用的安全框架，定義了資訊安全管理系統 (ISMS) 的控制措施。組織可以獲得 27001 認證，這是 CSP 證明其安全性的常見方式。
• ISO/IEC 27002： 27001 的補充文檔，提供實施指導，但不提供認證。

4.2 雲端專屬框架

• CSA Cloud Controls Matrix (CCM)： 雲端安全聯盟提供的框架，旨在引導雲端供應商並協助客戶評估雲端風險。
• ISO/IEC 27017： 27001 的補充，專門針對雲端服務提供和使用的安全控制指南。
• ISO/IEC 27018： 專注於保護雲端中個人數據 (PII) 的控制措施。
• 適宜架構框架 (Well-Architected Framework)： 專注於卓越營運、安全性、可靠性、效能效率和成本優化五大支柱。

4.3 風險管理框架

• ISO 31000： 風險管理國際標準，提供適用於任何組織結構（包括雲端）的原則與指南。
• ENISA Cloud Security Risk Framework： 歐盟網絡安全局提供的框架，列出了雲端中的常見風險。
• NIST Risk Management Framework (RMF)： 透過生命週期方法管理風險和確保系統安全的全面指南。

第五章：成本效益分析與評估準則

5.1 成本效益分析 (Cost-Benefit Analysis)

遷移到雲端涉及從資本支出到營運支出的轉變：

• 按需付費 (Pay-per-usage)： 僅為消耗的資源（計算、存儲、頻寬）付費，消除了前期硬體投資的需要。
• CapEx 到 OpEx： 從資本支出 (Capital Expenditures) 轉向營運支出 (Operational Expenditures)。這改善了現金流管理，因為組織不再需要購買硬體並計算折舊 (Depreciation)。
• 資源池 (Resource Pooling)： CSP 透過客戶共享資源來降低人均成本。
• 人員與營運成本： 減少了維護基礎設施所需的內部 IT 人員需求。警告： 裁撤所有內部專家是危險的，因為組織需要保留專業知識以監督和挑戰服務提供商。

5.2 評估準則 (Evaluation Criteria)

這些是獨立、客觀的產品評估系統：

• 認證 (Certification)： 獨立測試實驗室對解決方案進行全面的技術分析，以確保其符合需求。
  • 通用準則 (Common Criteria, ISO 15408)： 評估 IT 安全產品。其評級稱為 EAL (Evaluation Assurance Level)，範圍從 1（最低）到 7（最高）。
  • FIPS 140-3： 專注於評估加密模組（如 TPM 和 HSM）。定義了 1 到 4 個等級，等級 2 以上開始要求實體防篡改安全性。
• 認可 (Accreditation)： 管理層的官方簽字，批准在特定時期內於組織內採購和部署該產品

講義總結： CCSP Domain 1 強調安全與業務的深度融合。考生應熟練掌握治理架構、責任分配模型、風險計算公式以及各類國際標準與框架的差異。遷移至雲端不單是技術變革，更是組織管理與財務模式的重大轉型。