CCSP Domain 6：Legal, Risk and Compliance 彙整講義

範圍： simulate-test/ 內所有測驗講義中屬於 Domain 6 的內容，跨場次合併後依主題重組。 考試權重： 13% 來源： by-test/01、02、03、04、06、07、08、09、10、by-test/learnzapp/02、04 維護： 新增測驗講義後，將該檔的 D6 章節併入本檔，並更新 §0 來源對照。 註： 各場次分數、進步判定與補強排程留在 by-test/ 原檔，不併入本檔。 速查表： 法規、標準與框架的分區總表（含 Legacy／題庫陷阱表與 trigger word 索引）見 CCSP/domain6-legal-framework-reference.md；「名稱 → 類別」的歸位地圖見 CCSP/domain6/Framework_Law_Standard_Map.md。

0. 來源對照 / Source Map

1. 核心觀念 / Core Concepts

1.1 法規與產業規範

最小必背集合：

GLBA    = 金融個資
PCI DSS = 支付卡資料
HIPAA   = 醫療 PHI
SOX     = 財報內控
GDPR    = EU 個資
FedRAMP = 美國聯邦雲服務授權
FISMA   = 美國聯邦資訊系統安全

GLBA vs PCI DSS（最重要的 boundary）

題幹若為「federal law controlling financial institutions' handling of private information」→ GLBA，不是 PCI DSS（PCI DSS 不是法律）。

GLBA 的兩條核心規則（來源：2026-10-13 補強，[T/J]）：

GLBA = Financial Privacy Rule + Safeguards Rule
Financial Privacy Rule → 告知客戶資訊蒐集與分享做法（privacy notice）
Safeguards Rule        → 要求建立 written information security program

題幹出現「financial institution 必須維持 written information security program」→ GLBA Safeguards Rule。

美國主管機關：FTC vs HHS

FTC → Consumer / Commercial enforcement
HHS → Health

看到 HIPAA／healthcare／PHI 選 HHS；看到消費者保護或商業行為執法選 FTC。另見 §1.4 Privacy Shield 一節——該制度歷史上由 Commerce 管理、FTC 執法。

PCI DSS merchant tiers（題庫易錯）

所有適用的 merchant 都必須符合 PCI DSS。 Merchant level 影響的是 compliance validation／reporting 的方法與 rigor，而且 merchant levels 由 payment brands／acquirers 定義，不是 PCI SSC 統一規定。

PCI DSS controls ≠ merchant tier-specific control sets
Merchant tier   → validation / reporting rigor

兩個都不要背： ❌「tier 越高只是 audit 做得比較多」（過度簡化）、❌「不同 tier 有不同的 control sets」（錯）。

FISMA vs FedRAMP 與 data residency

FISMA   = federal information-security law／program requirement
FedRAMP = federal cloud security assessment／certification program

較高 assurance class 的 FedRAMP 確實有 U.S.／U.S. territories／U.S. jurisdiction 的 location requirement，但不是「所有 federal cloud use 一律 US-only」。

不要背「FedRAMP = 永遠 US-only」。 Data residency 取決於適用的 FedRAMP class／baseline ＋ agency／legal requirements，不同 baseline（Moderate vs High）的 location assumptions 也可能不同。

Taxonomy 陷阱（by-test/06 P0-4）： CSA CCM 對映的是雲端安全／隱私控制。在 HIPAA、FERPA、PIPEDA、DMCA 之中，DMCA 是唯一的著作權／IP 法，不是隱私／資安控制來源。

美國隱私法模式： 美國是 sectoral model，沒有一部涵蓋全體國民個資的綜合聯邦隱私法；GDPR 則是廣泛的歐盟隱私規範。

⭐ 美國的完整表述：sectoral federal ＋ state patchwork

US = sectoral federal + state patchwork

沒有單一、全面、一般適用於私人部門的聯邦個資法，但不是沒有 privacy law：

Healthcare → HIPAA
Financial  → GLBA
Education  → FERPA
Children   → COPPA
＋ 大量州級 comprehensive privacy laws

聯邦層級仍持續有統一隱私法提案，但尚未形成單一全面性聯邦法。

錯誤理解：United States has no privacy laws. 正確說法是「沒有單一、全面、一般適用於私人部門的聯邦個資法」。

各國隱私法（2026 outline 明確涵蓋 country-specific privacy laws）

P2（僅需認名，不背條文）：

註：Argentina 已從本清單移出——它不是「認名即可」等級，見下方。

⭐ Argentina 有 comprehensive personal-data law（要修掉的誤記）

Argentina → Law 25.326 → comprehensive personal-data protection law

《個人資料保護法第 25.326 號》（Ley 25.326 de Protección de los Datos Personales）第 1 條明示其目的是對公共或私人資料庫、登錄、資料檔案及其他個人資料處理媒介中的個人資料提供整體（integral）保護，並保障隱私、名譽與個人對自己資料的存取權。

常見錯選：以 Argentina 回答「哪個沒有 comprehensive privacy law」——這是錯的，絕對不要再這樣記。

各國隱私法速答：

EU        → GDPR（comprehensive regional regime）
Argentina → Law 25.326（comprehensive national law）
Singapore → PDPA（national personal-data law）
India     → DPDP Act 2023
US        → sectoral federal + state patchwork

題目 wording 的 [Q] 判定

題目問「哪個沒有 comprehensive federal privacy law」，選項卻放 United States／Europe／Singapore／Argentina——Europe 不是 federal state、Singapore 不是 federation、Argentina 才是 federal republic。它真正想問的是「哪個 jurisdiction 缺乏全國性的 comprehensive privacy law」。

中度 [Q]（措辭差但概念保留）：題幹 wording 降權，但 underlying fact——美國仍無類 GDPR 的全面性聯邦私部門隱私法——值得知道。降權層級見 README 的 [Q] 降權處理。

1.2 標準、框架與審計報告

兩秒歸類表（by-test/13 Part 2 §2 Layer 1）

看到名稱要能在兩秒內說出它「是什麼東西」。這一層比記條號重要得多。

易混淆規則：

SSAE 18   = 標準；SOC 1/2/3 = 報告
ISO 27001 = ISMS 認證；ISO 27002 = 控制指引
ISO 27017 = 雲端安全；ISO 27018 = 公有雲 PII
CSA CCM   = 控制矩陣；CAIQ = 問卷；STAR = 保證／登錄
CMM       = 成熟度（嚴謹、細節、可重複）→ 不要選 CSA STAR
ISO 31000 / NIST 800-37 = 風險管理框架
NIST 800-92 = 日誌管理
COBIT     = enterprise IT governance
SAS 70    = legacy，後繼為 SOC 1
GAAP      = 會計原則，不是 audit standard
COSO      = internal control / risk governance（不是 IT governance）
CIS Controls = 實務控制清單（不是 ISMS）
ISO 20000-1  = ITSM 要求（不是資安 ISMS）
27036     = supplier／supply chain
27037     = 數位證據處理 ／ 27050 = eDiscovery

FISMA → RMF → 800-53 → 800-53A 核心鏈

FISMA
  ↓ risk-based federal security
RMF / NIST SP 800-37
  ↓ select controls
NIST SP 800-53
  ↓ assess controls
NIST SP 800-53A

⭐ 版本 legacy 陷阱

完整的題庫陷阱表見 CCSP/domain6-legal-framework-reference.md。

四選一範例： 問「service organization 的 audit standard 是哪個」，選項為 SOC 1／SSAE 18／GAAP／SOC 2 時，正解是 SSAE 18——SOC 是 report，GAAP 是會計原則。

⭐ NIST SP 800-92 = Logs，不是 risk framework

常見錯選：以 NIST SP 800-92 回答 design／implementation／management 的風險框架題。800-92 的主題是 Guide to Computer Security Log Management：

NIST SP 800-92 = log generation / transmission / storage
               + analysis / disposal
               + log management infrastructure

NIST 另有 SP 800-92 Rev.1 的發展方向（聚焦組織層級的資安日誌管理規劃），但舊題庫最常見的仍是原始版；判斷類別時兩者都是 Logs。

ISO 31000 的適用範圍（補強）

它是通用風險管理的原則、框架與流程指南，可用於 risk identification／analysis／evaluation／treatment／monitoring／communication：

ISO 31000 = Risk Management（Enterprise，general-purpose）
  ✗ 不是 cloud-only
  ✗ 不是 cybersecurity-only
  ✗ 不是 certification standard（是 guidelines）

ISO/IEC 27017:2026 的定位（補強）

它建立在 ISO/IEC 27002 之上，在既有控制之外增加 cloud-specific 的安全指引與控制，明確適用於 CSP 與 CSC 雙方，涵蓋 public／private／hybrid cloud。秒答 27017 = Cloud。

⭐ 四選一實戰：框架名稱 → 類別 mapping

題目問 which framework focuses on design, implementation and management?，選項為 ISO 31000:2009／HIPAA／ISO 27017／NIST SP 800-92：

這題考的是能否把名稱 mapping 到所屬類別，分類 [T]。「名稱 → 類別」的一頁式歸位地圖見 CCSP/domain6/Framework_Law_Standard_Map.md。

鄰近項目的切法（by-test/13 Part 2 §2 Layer 2）

Exam trigger words（Layer 3）

Holistic ISMS                                → ISO 27001
Security control guidance                    → ISO 27002
Enterprise IT governance                     → COBIT
General risk management                      → ISO 31000
Prepare→Categorize→Select→Implement→Assess
  →Authorize→Monitor                         → NIST RMF / SP 800-37
Service organization assurance               → SOC
Privacy principles                           → OECD

NIST SP 800 系列為何被採用： 公開可取得、成本效益高（public domain），不是因為國際強制採用或比較容易。

CSA Ecosystem：CCM → CAIQ → STAR

三者常被混用，要能串成一條線：

CSA
 │
 ├─ CCM    → control framework（哪些 controls？如何對應其他 framework？）
 │
 ├─ CAIQ   → assessment questionnaire（是否已實作這些 controls？）
 │
 └─ STAR   → assurance / registry program
      ├─ Level 1 = Self-Assessment
      ├─ Level 2 = Third-party certification / attestation
      └─ Level 3 = Continuous auditing / monitoring

一句話版：

CCM  = controls      （應有哪些 controls？）
CAIQ = questions     （這些 controls 做了嗎？）
STAR = assurance maturity / registry

STAR 的三個層級

STAR Level 1   SELF        → Self-Assessment
STAR Level 2   THIRD PARTY → Third-party Certification / Attestation
STAR Level 3   CONTINUOUS  → Continuous Auditing / Monitoring

建議的 mnemonic：1 自己看 → 2 別人看 → 3 一直看

⭐ 不要自行發明 Level 4：

1 = Self
2 = Third party
3 = Continuous
4 = ❌（不存在）

常見錯誤： third-party assessment 與 highest level 兩題都誤選 Level 4。

CCM 的兩個角色：

1. 回答「cloud security 應有哪些 controls？」
2. 回答「這些 controls 和 ISO、NIST、FedRAMP 等 framework 如何對應？」——即 cross-mapping

                 CCM
        Cloud control framework
                 │
     ┌───────────┼───────────┐
     ↓           ↓           ↓
 ISO controls   NIST      FedRAMP
     ↖           ↑           ↗
          control mappings

⭐ CCM 不是 enforcement tool。 它不是 SIEM、configuration enforcement engine、CSPM scanner、Ansible 或 policy engine。

CCM tells you what controls matter.
Tooling verifies / enforces them.

例如：

CCM                               → Require secure configuration baseline
Ansible / CSPM / Policy-as-Code   → Actually apply / check that baseline

常見錯因： 把「ensuring baseline configuration is applied」當成 CCM 的 benefit。那是 tooling 的職責，不是 framework 的。這是 framework vs enforcement 的邊界問題。

CAIQ 的定位：

CCM  = What controls?
CAIQ = Do you implement them?

範例：CCM 寫「Key management controls should exist」→ CAIQ 問「Do you maintain documented key-management procedures?」「Do you control cryptographic key access?」。CAIQ 不是 control catalog 本身，它是 assessment questionnaire。

NIST RMF 七步驟（來源：by-test/11 D5 §4）

Prepare → Categorize → Select → Implement → Assess → Authorize → Monitor

英文口訣 P-C-S-I-A-A-M 不好記，建議改用中文生命週期口訣：

準、分、選、做、驗、准、監

準 = Prepare     準備 context / roles / risk assumptions
分 = Categorize  系統與資料的 impact 有多高？
選 = Select      選哪些 controls？
做 = Implement   真的部署 controls
驗 = Assess      測試 controls 有沒有作用
准 = Authorize   risk owner／AO 正式接受 residual risk
監 = Monitor     上線後持續監控

為什麼順序不會錯——它有因果：

不知道 context       → 不能分類
不知道風險等級       → 不知道選什麼 controls
沒選 controls        → 無法 implement
沒 implement         → 無法 assess
沒 assess            → 不應 authorize
authorize 後         → 必須 monitor

RMF 不是什麼： 不是 threat-only framework，也不是 cost-only framework。Threat 與 cost 都只是 risk decision 的 input，不是框架的 foundation。

Mission/business context
        ↓
Risk
        ↓
Controls
        ↓
Assessment
        ↓
Authorization
        ↓
Continuous monitoring

三個常被混用的治理／風險框架（一行定位）

COBIT    = Govern IT            （企業 IT 治理）
800-37   = Run RMF              （執行風險管理流程）
31000    = Manage risk broadly  （一般企業風險管理原則）

ISO 27001 的 technology-neutral（來源：by-test/11 D1 §5）

ISO 27001 規範的是 ISMS requirements（管理系統要求），不綁任何技術或部署形態。

ISO 27001 = management system / requirements
ISO 27002 = security control guidance

遇到「ISO 27001 偏好哪一種技術／部署方式」的題目，答案永遠是沒有偏好。

Auditability： 指「已準備好接受稽核的狀態」，不等同「受監管」，也不等同 AICPA SOC report 本身。支援稽核的雲端特性是標準化 baseline、組態證據、可重複性、版本化產出。

1.3 OECD 隱私原則

陷阱： Right to be forgotten／purge 是 GDPR 時代的概念，不是原始 OECD 八原則之一。

八原則的 lifecycle 串法（by-test/13 Part 2 §1）

OECD Privacy Guidelines 是一組 privacy／data-governance principles，不是像 ISO 27001 那樣的認證標準，而且八條應視為一個整體。最有效的記法不是背英文首字母，而是串成 personal data 的生命週期：

Collect → Keep good data → State why → Don't use it for something else
       → Protect it → Tell people → Let the person inspect/challenge
       → Organization remains accountable

逐條：工程師 mental model 與 exam trigger

Scenario → Principle 反推表

考題多半給情境而不給名詞，練習時要能反向對應：

Purpose Specification vs Use Limitation（最常混）

Purpose Specification = Declare why   （先定義用途）
Use Limitation        = Stay within why（之後不要拿去做別的）

更口語的版本：

Purpose = 先說明要拿來幹嘛
Use     = 不要拿去幹別的

Individual Participation 的 individual 是 data subject，不是「員工參與資安」。

1.4 隱私角色與跨境傳輸

⭐ 不要把 Evidence Custodian 和資料治理角色混在一起。 前者屬鑑識證據鏈，後者屬資料治理。題目出現 evidence from collection until court → Evidence Custodian。

核心原則： Cloud provider 常是 data processor，但 cloud customer／data owner／controller 仍負最終法律責任。Outsourcing 不會完全轉移 accountability。

資料地理三名詞：

Data residency     = 資料實際放在哪裡
Data sovereignty   = 資料受哪個國家法律管轄
Data localization  = 法規要求資料必須留在特定國家／地區

跨境傳輸： 練習時抓 adequacy／cross-border transfer 的判斷邏輯；實務上的國家清單具時效性，必須查證現行官方 adequacy 名單（題庫中「南韓不符合」的敘述已過時，現行 EU adequacy 清單包含大韓民國）。

EU 國際傳輸決策樹

EU/EEA personal data
       ↓
   Third country
       ↓
   Adequacy?
 ├─ YES → transfer
 └─ NO
      ↓
 appropriate safeguard?
      ├─ SCC
      ├─ BCR
      └─ 其他 GDPR 機制

四種主要機制：

EU → non-adequate third country  →  often SCCs
EU → certified U.S. organization →  EU-U.S. Data Privacy Framework

復現標記（2026-10-13，[Q] 強降權）： EU transfer 題再次以 Privacy Shield 為選項出現。有效機制只有 adequacy／SCC／BCR／其他 GDPR safeguards（含 DPF）；Privacy Shield = legacy，以它為前提的題目降權，但 SCC／BCR 本身照學。

⭐ Privacy Shield → EU-U.S. DPF 的正確理解

歷史：
  U.S. Department of Commerce → administered Privacy Shield
  FTC                         → enforced participating companies' commitments

2020 Schrems II（CJEU）       → Privacy Shield 判定 invalid
2023 起                       → EU-U.S. Data Privacy Framework (DPF)
  管理：Commerce / ITA
  執法：FTC / DOT（依管轄範圍）

兩個題庫問題：

1. 題庫把「Privacy Shield 由 FTC administer」當正解——不準。Commerce administer、FTC enforce。
2. 整題前提 Privacy Shield 已 legacy／invalid，不應當成現行機制背。

看到 HHS 先想 HIPAA／healthcare，不是跨境傳輸機制。

題目前提雖已過時，但 SCC 本身是現行且高價值的概念，務必記住。

Conflict of Laws / Choice of Law

雲端場景天生跨多個 jurisdiction：

Customer    = 台灣
CSP         = 美國
Data center = 德國
Contract    = 英國法條款
Incident    = 法國

問「到底適用哪裡的法律」就是 conflict of laws／choice of law 的問題。兩個名詞必須分清：

Jurisdiction    = Which court can hear?   （法院有無受理權限）
Choice of Law   = Which law applies?      （應適用哪個地方的實體法）

Restatement (Second) of Conflict of Laws 是美國用來處理後者的彙編。此為法律名詞，CCSP 不要求 law-school 深度——認得「多 jurisdiction 時判斷適用法」即可。

1.5 法律流程、證據與鑑識

Legal hold 流程：

收到訴訟／eDiscovery 通知
        ↓
啟動 Legal Hold
        ↓
暫停常規 retention／secure destruction
        ↓
保全可能相關的資料與日誌

不要選：暫停威脅建模、先做新的風險評估、繼續原排程銷毀。

⭐ eDiscovery 的三組邊界

完整流程：

可能涉及訴訟
    ↓
識別相關電子資料
    ↓
Legal Hold / 保存
    ↓
蒐集
    ↓
處理 / 篩選
    ↓
審閱
    ↓
提交

① [Q] 判定：不是所有 evidence collection 都叫 eDiscovery。 題庫把 the phase of an investigation where evidence is collected 直接答成 eDiscovery，定義過度寬泛。

eDiscovery 包含 collection，但不是 generic investigation 的唯一 collection phase。 eDiscovery 的核心情境是訴訟、預期訴訟、法律程序。

② vs Digital Forensics：

eDiscovery        = 為法律程序找資料
Digital Forensics = 為事件調查分析證據

③ vs DLP／Data Discovery：

eDiscovery 可以利用 data discovery、classification、metadata、內容搜尋等能力，但目的屬於法律程序，不是 DLP 本身。（D2 的工具邊界見 Domain 2 §1.2）

鑑識角色：

Evidence Custodian 的保管鏈流程

證據取得
 ↓
唯一 Evidence ID
 ↓
Hash
 ↓
證據保管人接收
 ↓
安全保存
 ↓
記錄誰何時領取
 ↓
鑑識分析
 ↓
歸還
 ↓
法庭

保管人必須記錄：誰碰過、什麼時候、為什麼移交、移交給誰、保存在哪、evidence 狀態。

秒答： 題目出現 evidence from collection until court → Evidence Custodian。角色與資料治理角色的對照見 §1.4。

不要把隱私角色（controller／processor）直接套到鑑識證據鏈。

兩條必記：

• Forensic reporting 的最終法律接收者是 the court（不是 regulator、不是 senior management）。
• Forensic copy 的完整性值必須與 the original 比對（不是 backup、不是另一份副本）。

鑑識處理流程與可採性（by-test/13 Part 2 §3G）

Original Evidence → Forensic image → Hash verification → Working copy → Analysis

修正一個過絕對的說法： modified data = automatically inadmissible 太絕對。正確理解是：

Unexplained／undocumented modifications damage evidence credibility and integrity——但 modification 本身不必然自動造成 inadmissibility。

真正的重點在 chain of custody、hashes、documentation、repeatability、original preservation。Hash 作為完整性驗證手段的說明見 Domain 2 §1.7。

證據完整性的五要素模型（把零散的 supporting factors 固定下來）：

Original preservation
        +
Hash / integrity verification
        +
Chain of custody
        +
Documentation
        +
Repeatable / validated process

考場秒答順序：

Preserve → Hash → Document → Track custody

CCSP 不要求深入 digital forensics 工具操作；看到 evidence 題先找上面四個動作。

鑑識工具：Write Blocker vs TCB

Forensics 的核心要求之一是不讓 acquisition／examination 過程改動 source evidence。

Evidence disk
     │
     ▼
Write Blocker      ← 允許 READ，阻擋 WRITE
     │
     ▼
Forensic workstation

Write blocker 避免的是：filesystem metadata 改動、timestamp 改動、OS auto-mount 寫入、調查者誤改 source media。它與上面的五要素是同一套。

Trusted Computing Base（TCB） 則是：執行 security policy 所依賴的 hardware／software／firmware components 集合——不是 forensic acquisition tool。

Evidence media                      → write blocker
System security-enforcement components → TCB

Forensic Testimony：為什麼要講 Alternative Explanations

題型：When presenting forensic evidence in court as testimony, include, if possible... → 正解 Alternative explanations。分類 [J] ISC2 judgment。

它測的不是法律知識，而是：forensic examiner 應保持客觀，而不是替某一方 advocacy。

假設檢驗模型。 例如證據顯示：

03:17  Alice's account downloaded secrets.zip

較差的推論是直接說「Alice stole the data」——證據只證明該 account 執行過 download。合理的 hypotheses 至少有四個：

H1  Alice 主動下載
H2  Alice credential 被盜
H3  Malware 使用 Alice session
H4  Automated process 使用相同 credential

專業作法是：① 提出合理的 alternative explanations → ② 用證據逐一驗證或排除 → ③ 最後才提出 professional conclusion。

H2 → MFA records + source IP      → unlikely
H3 → EDR telemetry                → no supporting evidence
H4 → service configuration        → not applicable
H1 → most consistent with evidence

Professional opinion ≠ Personal opinion：

為什麼「your side of the case」也不是最佳答案： forensic examiner 不是 plaintiff 的 technical salesman，也不是 defense 的 technical salesman，而應是 independent technical expert。

Forensic testimony = objective + evidence-based + considers alternatives

ISC2 judgment 的偏好方向：

CCSP 的深度界線： 此題有 courtroom context，但只需到「forensic expert = objective ＋ professional ＋ considers competing explanations」。不需深入 rules of evidence、hearsay doctrine、expert witness qualification procedure 或 cross-examination law——這不是需要大量投入的純法律章節。

Preponderance of Evidence vs Comparative Negligence（by-test/13 Part 2 §3H）

這兩個常被題庫混用：

pure comparative model 範例：

Defendant = 75% fault
Damage    = $125,000
→ $93,750

題庫的「75% fault > 51% → 賠 100%」把兩者混為一談，且不同 jurisdiction 規則不同——標記 [Q] 題庫品質。

Seizure 的範圍（by-test/13 Part 2 §3I）

不要背「court order 一定拿走 electronic data ＋ hardware」。 實際可取得什麼，由法律權限、warrant／order scope、jurisdiction 決定。

雲端多租戶下，客戶資料位於 CSP 共用硬體，因此執法更可能要求 CSP production／disclosure，而不是搬走整台實體伺服器。

要知道的是：digital evidence 與 physical media 都可能成為 seizure 對象。

1.6 合約、供應商治理與責任邊界

SLA vs MSA vs SOW（三個合約名稱的快速切法）

MSA = relationship / rules                    （整體關係與規則）
SOW = what work                               （做什麼工作）
SLA = how well the service must perform       （服務要做到多好）

SLA 的判準是 measurable／objective／repeatable：

99.95% availability
response < 200 ms
support response ≤ 30 min
monthly capacity quota = 20 TB

而 jurisdiction for litigation 屬於 MSA／governing law／venue，不是 SLA——把 contract clause 與 service-level metric 混在一起是常見錯因。

nuance：不要背「SLA 只能是數字」。 Data residency、service location 在實務上完全可能寫進合約、service schedule 或 SLA。考試情境下 SLA → measurable service commitment，但不要推論成絕對規則。

一般合約條款（不是典型 SLA 指標）：準據法、管轄法院、賠償、責任限制、終止、資料返還。

SLA      = 服務做到多好
Contract = 雙方法律關係怎麼規定

技術團隊 vs 法務團隊的分工

退出策略與供應商鎖定題常問「誰負責」，兩邊分工要清楚：

雲端資安人員
「需要能在 48 小時內以標準格式匯出資料」
             ↓
法務長／總法律顧問
「把這項要求寫成供應商有法律義務遵守的契約條款」

一句話：技術團隊定義要求；法務團隊契約化要求。

註：「雲端資安代表」不是標準化的 NIST cloud actor，可理解為代表組織處理雲端資安與技術需求的人員。雙層退出模型見 Domain 1 §1.5。

Outsourcing 不等於責任全部轉移。
SLA 是服務水準承諾，不是完整安全保證。
Right to audit 是 assurance 能力，不是技術控制。
Due Care = DO ／ Due Diligence = CHECK ／ Liability = CONSEQUENCE

用語註記： ISC2 教材在「diligence 是事前調查還是持續驗證」上兩種寫法都出現過，本檔採合併表述（事前 ＋ 持續皆屬 diligence）。作答時抓動詞：investigate／verify／assess → Due diligence；implement／maintain safeguards → Due care。

四個詞一次釘死（含英文混淆陷阱）：

Due Diligence = KNOW / investigate / assess / review
Due Care      = DO / implement reasonable safeguards
Liability     = legal responsibility   ← 法律責任
Reliability   = 可靠性                 ← 完全不同的字，不要混

常見混淆：把 Liability 誤記為「可依賴性」。 那是 Reliability。中文直譯「盡職工作／盡職調查」對考試也不夠精準，建議直接用 KNOW／DO／legal responsibility 三個英文定位。

Contract 是信任的根本機制： 確保 provider 履行義務的最重要機制是 contract；技術控制支援 assurance，但法律責任錨定在合約。

契約誘因的方向性：

Customer 的槓桿  → service suspension（中止服務）
Provider 的槓桿  → financial penalties / service credits（違約金與服務抵用）

Vendor M&A 風險： 待處理的併購可能導致 vendor lockout 或服務中斷／合約不穩定。

供應鏈： 評估 CSP 須一併評估其 subprocessor（見 Domain 5 §1.7）。

1.7 智慧財產權

美國主管機關：

Farm → USDA ； Patent → USPTO ； Worker → OSHA ； Stocks → SEC

Public domain： 著作權會到期，非常古老的著作可能已進入公有領域，使用時不需另行取得授權。遇到 DMCA／授權題，先確認作品是否仍受保護。

⭐ Public domain 的兩層細化

原始作品進入公有領域 ≠ 所有現代版本都沒有版權。

Original composition / text  → public domain
Modern derivative / edition  → possibly copyrighted

同一首古典樂曲或一份古籍，下列元素都可能另有著作權：

• modern arrangement（現代改編）
• new orchestration（新配器）
• editorial content（編輯內容）
• annotation（註解、校勘）
• 具足夠原創性的 edition elements（版本編排）

所以「作品很古老」只回答了第一層，還要問「手上這個版本是誰做的」。

⭐ DMCA notice 是 procedural issue

在適用 DMCA safe-harbor 的模型下，service provider 通常須依 notice-and-counter-notice 程序處理，而不是「自行判斷為 public domain 就 ignore」。

收到 DMCA notice
  ↓ ① 確認作品／版本的權利狀態
  ↓ ② 確認 notice 的 validity（形式要件是否齊備）
  ↓ ③ 依適用程序處理（takedown ／ counter-notice ／ 回覆 claimant）

常見實務判斷：作品確實為 public domain，但為避免爭訟仍可能回應 claimant——此判斷合理。

強降權 [Q]： 題庫答 Nothing（什麼都不用做）過度簡化，忽略了 DMCA 的程序義務。此誤區需直接修正：不要背「old music = ignore DMCA」，但正確 mental model 要留——先確認權利狀態與 notice validity，再依程序處理。降權層級見 README 的 [Q] 降權處理。

Code signing 可支援軟體完整性與所有權證明。

1.8 四個治理角色：Legal／CISO／DPO／Compliance

情境題常問「這件事該找誰」。四個角色回答的是不同問題：

DPIA（Data Protection Impact Assessment，資料保護影響評估）是 DPO 的典型職責產物。

兩組最常混的邊界

CISO       = Security          ／  DPO        = Privacy
Legal (GC) = 法律怎麼解釋        ／  Compliance = 有沒有做到

與 §1.4 的 data roles 七列（data subject／controller／processor／owner／steward／custodian／evidence custodian）併讀——那一組是資料層級的角色，這一組是組織治理層級的職位。技術團隊與法務團隊在退出策略上的分工見 §1.6。

1.9 風險管理

處置方式：

Risk treatment = Avoid / Mitigate / Transfer / Accept
Risk 不能被「reverse（逆轉）」。
Residual risk 必須被明示接受。

量化 vs 質性：

Quantitative = 數字／金額／機率／ALE
Qualitative  = 分級／評等／high-medium-low／主觀評估

公式：

SLE = AV × EF          （單一事件損失 = 資產價值 × 暴露係數）
ALE = SLE × ARO        （年度預期損失 = 單一事件損失 × 年度發生率）

三者的單位定位（最快的防混淆法）：

ARO = 次數 / year        （frequency）
SLE = $ / incident       （loss per occurrence）
ALE = expected $ / year  （expected annual loss）

完整鏈：

Asset Value
   × Exposure Factor
   ↓
  SLE
   × ARO
   ↓
  ALE

ARO 算例：

平均每 5 年一次   → ARO = 1/5 = 0.2
平均每年 4 次     → ARO = 4

完整 worked example：

一次 ransomware 損失 NT$500,000，平均每 4 年一次

SLE = 500,000
ARO = 0.25
ALE = 500,000 × 0.25 = 125,000 / year

常見 factual error：把 ARO 誤認為「年度總損失」。 年度總損失是 ALE；ARO 只是頻率。能秒算上面這個例子，就算補完。

Exposure Factor（EF） 受 threat vector 類型影響最大，因為它決定破壞機制與損失比例；EF 不等同「攻擊目標」或「資產名稱」。

ARO 的 evidence vs calculation（來源：by-test/11 D5 §1）

ARO（Annualized Rate of Occurrence） 回答「一年預期發生幾次？」。問「ARO 最直接的依據是什麼」時，正解是 historical occurrence data。

Historical data          = evidence（證據／輸入）
Aggregation / average    = calculation technique（處理手法）

算例：

5 years, 10 incidents  →  10 / 5 = ARO 2

為什麼 Aggregation 不是最佳答案？ 它是 processing／calculation technique，不是 evidence source。整條鏈是：

Historical data → Aggregation / average → Observed frequency → ARO estimate

Aggregation 不是「不能用」，而是必須先有 historical observations 才能 aggregate。

Risk transfer 移轉的是什麼？（來源：2026-10-18 D3 補強）

最短模型：Transfer 移走的是錢，不是責任。 保險、合約賠償條款、外包只把財務衝擊部分轉給第三方；accountability 留在組織，liability 只能依合約與法律部分分攤。

買 cyber insurance    → 移轉 financial impact
外包給 CSP            → 委派 responsibility
發生外洩              → accountability 仍在組織；liability 依合約＋法律分攤

常見陷阱：

• 「購買保險後，資料外洩的責任轉給保險公司」→ ❌ 保險只賠錢。
• 「合約寫明 CSP 負全責，因此客戶不再對主管機關負責」→ ❌ 合約不能約束主管機關。
• 「Risk transfer 之後 residual risk = 0」→ ❌ 仍有未保範圍、自負額、商譽與法規責任，residual risk 仍須明示接受。

責任三分（Due Care = DO、Due Diligence = CHECK、Liability = CONSEQUENCE）見 §1.6；responsibility can be delegated, accountability cannot 見 §1.3 OECD Accountability。

Risk appetite 由高階管理層／董事會決定。

Asset inventory vs BIA：

Asset inventory 回答：What do we have?
BIA           回答：What matters most?
                   （criticality、business impact、dependencies、
                     acceptable downtime、business value）

技術資產清單本身無法完整回答 business importance。

BIA 的完整輸出（Criticality／Impact／Dependencies／Recovery Priority）與「BIA informs BC/DR、Secure Acquisition 不是 BIA output」見 Domain 3 §1.6。

2. 錯題與修正規則 / Errors & Corrections

2.1 SOC 報告分類反覆失分（by-test/02 Q3／Q4／Q7、by-test/04 §10.2）

• 取得 SOC 2 Type 2 時，provider 可能要求簽 NDA（不是叫客戶去申請 CSA STAR）。
• 目的即為公開發布、可放公司網站的是 SOC 3。
• 「simply an attestation of audit results」也是 SOC 3。
• SOC 2 Type 3 不存在。

2.2 鑑識流程的接收者與比對基準（by-test/02 Q6／Q11）

• Forensic reporting phase 的呈現對象是 the court；看到「合規／監管」就選 regulator 是錯誤反射。
• Forensic copy 的完整性值要與 the original 比對。

2.3 框架名稱對映（by-test/03 Q2／Q21／Q22、by-test/09 §7）

• 風險管理框架 = ISO 31000（或 NIST 800-37）；NIST 800-92 是日誌管理。
• 搭配 CSA CCM 的問卷是 CAIQ；FIPS 140-2 是密碼模組驗證；OWASP Top 10 是 web 應用風險清單。
• ISO 27001 是技術中立的，不偏好任何產品類型。

2.4 FedRAMP 適用對象（by-test/07 §9.1）

FedRAMP 是美國聯邦雲端授權計畫，聯邦機關使用經授權的雲服務；民間企業預設不受其強制（EXCEPT 題常考這一點）。

2.5 隱私角色 taxonomy（by-test/09 §7.1）

Data subject／controller／processor／custodian 四者必須分清；不要把 custodian（日常維護者）與 controller（決定目的與方式）混用。

2.6 ARO 與 RMF 的 foundation 誤判（by-test/11 D5 §1、§4）

• 問 ARO 的直接依據時誤選 aggregation：那是計算手法，evidence 是 historical occurrence data（見 §1.9）。
• 問 RMF 以什麼為 foundation 時誤選 cost 或 threat：RMF 是 risk-based framework，cost 與 threat 都只是 input（見 §1.2）。

2.7 ENISA assurance 題（2026-10-18 D3 補強，[Q] 中度降權）

題目以 ENISA 2009 年的雲端風險評估文件（Cloud Computing: Benefits, Risks and Recommendations for Information Security）與其附帶的 Information Assurance Framework 為前提，要求選出文件中的特定條列項目。

為什麼降權： 題目考的是 2009 年單一文件的條列措辭，版本老舊且選項常與一般雲端風險高度重疊，難以用原則判斷；屬「措辭／版本問題，但底層概念保留」的中度降權，不需逐字背誦條列。

概念照學（不可降權）：

答題原則： 看到 ENISA 題先判斷它問的是「ENISA 是什麼／做什麼」（照學）還是「2009 文件第幾項條列」（降權、用常識挑最符合雲端特有風險者即可）。

3. 一句話規則表 / One-liner Rules

4. 易混淆邊界 / Confusable Boundaries

註： ISO 31000 與 NIST 800-37 都是風險管理框架，差別在前者偏原則與治理架構，後者是可執行的七步驟流程。

5. 補強演練 / Drills

Drill A：D6 targeted drill（約 90 分鐘）

框架題的答題方法（by-test/13 Part 2 §2）

D6 的 ROI 關鍵是先建 taxonomy map，而不是通讀標準全文。ISO 27002:2022 本身就有 93 controls，硬讀的 ROI 對 CCSP 很低。CCSP 的準備目標不是 ISO Lead Auditor。

三層模型

Layer 1 最重要。 不需要背 ISO 條號。

陌生管理題的四問法

① 這是 standard、framework、report、law 還是 principle？
② 誰使用它：organization、auditor、regulator 還是 customer？
③ 它產出什麼：certification、report、controls 還是 process？
④ 題目在問 governance、audit、risk 還是 privacy？

填答範例：

這是 README 錯題 argue 流程 的 D6 專用變體。

建議的 D6 備考時間配置

原則： 不要一看到陌生名詞就去讀 30 頁 PDF。先建立 name → category → purpose → neighboring distinction，已足以應付大部分 CCSP 題。

補強材料看完後的閉卷檢核

§5 前段的四問法用於作答；這一組用於驗收補強是否生效。每看完一段材料後關掉它，花 2–3 分鐘閉卷寫：

這個東西是什麼？
它不是什麼？
最容易跟誰混？
題目出現什麼 keyword 時應選它？

以 SOC 系列為例，能寫出下列四行才算材料有作用：

SSAE       = auditor standard
SOC 2      = assurance report
ISO 27001  = ISMS certification
SAS 70     = legacy

不要一次把補強材料清空。 每看完一段就先做這組檢核，再看下一段。

D6 的閉卷 KPI

這四項能閉卷完成，D6 的主要 retention 缺口就算補起來：

Drill B：法規與標準閉卷默寫（10 分鐘）

寫出 §1.1 的最小必背集合七條，再寫出 §1.2 的易混淆規則七行。

Drill C：審計報告對照（10 分鐘）

寫出 SSAE 18、SOC 1、SOC 2 Type 1／Type 2、SOC 3 各自的用途，並回答「哪一個可以公開發布」「哪一個需要 NDA」。

Drill D：法律流程（10 分鐘）

依序寫出 eDiscovery 六個階段，並說明 legal hold 應該在哪一步之前啟動。

自我檢測

• SSAE 18 與 SOC 報告的關係是什麼？
• 哪一份報告可以公開放在公司網站？
• Forensic copy 的完整性要跟什麼比對？為什麼不是 backup？
• Right to be forgotten 是 OECD 原則之一嗎？
• Cloud provider 是 processor，那誰負最終法律責任？
• SLE、ALE 的公式各是什麼？EF 受什麼影響最大？
• 確保 provider 履行義務的最重要機制是什麼？
• OECD 八原則用中文記憶串怎麼背？Purpose 與 Use Limitation 差在哪？
• Individual Participation 的「individual」指誰？
• modified data 一定不可採證嗎？真正的判準是什麼？
• Preponderance of evidence 與 comparative negligence 各回答什麼問題？
• CCM 能不能「確保 baseline configuration 被套用」？為什麼？
• STAR Level 1 與 Level 2 各是什麼？
• Jurisdiction 與 Choice of Law 差在哪？
• 「federal law 管金融機構的私人資訊」是 GLBA 還是 PCI DSS？
• PCI merchant tier 改變的是 control sets、audit 數量，還是 validation rigor？
• FedRAMP = 永遠 US-only 對嗎？residency 實際取決於什麼？
• ISO 27037 與 27050 各管什麼？800-53 與 800-53A 差在哪？
• Privacy Shield 是誰 administer、誰 enforce？現在被什麼取代？
• 取證要接什麼裝置？TCB 是不是取證工具？
• 「爭議須在某 jurisdiction 解決」該寫在 SLA 還是 MSA？
• eDiscovery 與 digital forensics 各回答什麼問題？為什麼「investigation 的證據蒐集階段」不等於 eDiscovery？
• Evidence custodian 要記錄哪六件事？與 data custodian 差在哪？
• Data steward 與 data custodian 的分工是什麼？
• 看到 PHI 要想哪個主管機關？看到欺騙性商業行為呢？
• 題幹出現 incident response 該找誰？出現 DPIA 呢？出現 audit evidence 呢？
• CISO 與 DPO、Legal 與 Compliance 的一句話切法各是什麼？
• STAR 有幾個層級？第三方評估與最高層級各是哪一個？
• 法庭作證時為什麼要主動提出 alternative explanations？
• 「Alice 的帳號下載了檔案」能直接推論「Alice 偷了資料」嗎？要先排除哪些假設？
• RMF 七步驟的順序是什麼？RMF 以什麼為 foundation？
• 問 ARO 的直接依據時，為什麼不能選 aggregation？
• ISO 27001 偏好 cloud 還是 on-prem？
• 買了 cyber insurance 後，資料外洩的 accountability 在誰身上？保險移轉的是什麼？
• 合約寫「CSP 負全部責任」，客戶是否就不必對主管機關負責？
• Responsibility、accountability、liability 三者哪一個可委派、哪一個不可移轉、哪一個只能部分分攤？
• ENISA 是什麼性質的機構？ENISA 2009 條列細節題為什麼降權，哪些概念仍要學？