作者Raziel

所以要是只懂純稽核缺少技術背景的, 遇到的困難總是會比又有技術背景的人要多些.

有兼具兩種學能的輔導或稽核團隊, 通常會比較能快速溝通抓到大家的交集點

講白一點, 就是跟他溝通的執行人員(含技術與非技術)覺得他的sense比較好.


實務來說, ISO認證的輔導與稽核單位是必須分開的不同公司.(避免球員兼裁判)

前面A輔導擬定的政策與管理辦法, 後面B要來稽核你, 說實話, B廠商也滿無辜的, 他只

是照辦事而已, 所以A在輔導的過程已經決定了很大的部分.(也適用公司自己做內稽)


老闆在研擬資安政策時, 有技術背景的輔導團隊比較快會體認到 "這個政策會衍生出什麼管理?"

"現在已有什麼技術/非技術機制可以做? 夠不夠? 缺哪些? 優先度是什麼, 有什麼限制....."

比較會再主動與管理階層商談, 而且若有預算與人員上的執行困難, 可以較早感知到.

如果確認是必須的...