金融機構雲端安全稽核培訓

第一天：ISO/IEC 27017基礎知識與框架以及雲端風險與控制

• 模組1：ISO/IEC 27017介紹 – 概述、與ISO/IEC 27001/27002的關係，以及標準目標。
• 模組2：ISO/IEC 27017的範圍 – 額外控制措施、雲端環境及稽核邊界。
• 模組3：ISO/IEC 27017認證方案 – 作為ISO/IEC 27001擴展的認證模式。
• 模組4：ISO/IEC 27017審計員能力模型 – 所需能力、雲端技術知識和風險思維。
• 模組5：雲端特定風險示例 – VM管理風險、多租戶、隔離以及法律管轄權風險。
• 模組6：雲端服務類別 – SaaS、PaaS、IaaS、NaaS和DSaaS的稽核影響討論。
• 模組7：ISO/IEC 27017特定控制措施 – 共享責任、VM加固和雲端服務監控。
• 模組8：將控制措施映射至雲端服務 – 將控制措施映射至IAM、雲端日誌、雲端KMS和VPC。

第二天：技術稽核模擬與法規整合

• 模組9：稽核模擬規劃 – 定義稽核範圍（GCP組織）和資源抽樣。
• 模組10：雲端控制措施稽核模擬（實作） – 基於真實證據審查訪問控制、資源配置和安全態勢。
• 模組11：雲端法規與合規要求
• 印尼雲端法規：深入探討關於商業銀行資訊科技實施的POJK 11/2022及PADK第1號法令(2026年)。
• 映射：將ISO/IEC 27017控制措施直接與當地銀行合規要求對齊。
• 模組12：ISO/IEC 27017認證稽核流程 – 稽核技術、方法和生命週期。
• 模組13：整合稽核指導 – ISO/IEC 27001、27017和27018之間的比較。
• 模組14：最終研習會 – 端到端稽核模擬，準備發現結果並匯報成果。