所以要是只懂純稽核缺少技術背景的, 遇到的困難總是會比又有技術背景的人要多些.

有兼具兩種學能的輔導或稽核團隊, 通常會比較能快速溝通抓到大家的交集點

講白一點, 就是跟他溝通的執行人員(含技術與非技術)覺得他的sense比較好.


實務來說, ISO認證的輔導與稽核單位是必須分開的不同公司.(避免球員兼裁判)

前面A輔導擬定的政策與管理辦法, 後面B要來稽核你, 說實話, B廠商也滿無辜的, 他只

是照辦事而已, 所以A在輔導的過程已經決定了很大的部分.(也適用公司自己做內稽)


老闆在研擬資安政策時, 有技術背景的輔導團隊比較快會體認到 "這個政策會衍生出什麼管理?"

"現在已有什麼技術/非技術機制可以做? 夠不夠? 缺哪些? 優先度是什麼, 有什麼限制....."

比較會再主動與管理階層商談, 而且若有預算與人員上的執行困難, 可以較早感知到.

如果確認是必須的, 他會向老闆說明可能需要的配套資源, 或是找出替代方案來權變.

必要時分階段執行, 過程還可能會小規模 漸進式 試run, 再 檢討 調整 修正.

這個佈局已經能讓後面的稽核比較可行又輕鬆.


換句話說, 找到好的, 有經驗的輔導廠商, 大概已經讓你的稽核過了一半, 因為他知道未來

稽核出現時會發生什麼事, 可以讓你先有所準備. 陣痛是難免, 但是過程會比較順, 做得順

自然大家容易做得熟 做得好, 等稽核來時, 問題自然低.