延續上一章
參考

公司通常實施ISO / IEC 27000標準和COBIT，以幫助構建和維護其內部COSO結構。
圖片來源https://advisera.com/27001academy/blog/2016/10/10/how-to-integrate-coso-cobit-and-iso-27001-frameworks/

Security Program Development

政府、企業會導入資訊安全架構，依照規範執行，並檢驗問題，常聽到的就是ISO系列

ISO

提供了一組清單，以評估您的安全性考慮是否在操作上徹底

ISO27001

第一階文件：資訊安全管理手冊
第二階文件：作業程序
第三階文件：工作指導書
第四階文件：紀錄及表單
Plan 建立 => Do 實施 => Check 監督審查 => ACT 維護改善

Security Controls Development

NIST

提供戰術或網絡拓撲安全的實用程序
還蠻多執行面的細節可以參考，例如 SP 800-41 Guidelines on Firewalls and Firewall Policy
https://www.nist.gov/publications/guidelines-firewalls-and-firewall-policy

COBIT

有助於將安全性與業務戰略和目標保持一致，因為有五個核心所以又叫COBIT 5

來源https://m.isaca.org/About-ISACA/History/Documents/Understanding-the-Core-Concepts-in-COBIT-5_joa_Cht_0714.pdf

Process Management Development

ITIL

服務管理、事件管理、問題管理、CM

圖片來源https://strategisminc.com/courses/itil-certification-training-fremont/

跟資安的關係，就如資策會的這張圖
圖片來源http://www.iiiedu.org.tw/ites/ITV3F.htm

CMMI

能力成熟度模型: 評估現在能力，持續分階段幫助改進
圖片來源https://zh.wikipedia.org/wiki/%E8%83%BD%E5%8A%9B%E6%88%90%E7%86%9F%E5%BA%A6%E6%A8%A1%E5%9E%8B%E9%9B%86%E6%88%90

想要一間和式套房(Security Program Development)，牆壁柱子選用木材(security enterprise framework)，建完後公共安全檢查(Security Controls Development)，進住後優化家事，掃地改用掃地機器人(Process Management Development)

安全性與可用性取捨

對於IT人員在導入這些方案時騎士超級痛苦的!!!每天都有電話問候怎麼之前可以現在不行，還不乏高階經理批頭就指導該怎麼做，保持在資安底線給予放寬，超過底線找主管討論進行會議，所以在推行前務必Top Down，去找CTO談吧。

上一章討論:
CEO當下請各部門重新寫一份數據資料佐證

現成交量下降是因為市場已經接近飽和，成長率當然不如往年

退費率上升是因另一間新創公司競爭，打著以更佳的優惠搶生意

網頁服務不佳是因為交接問題，產生技術斷層，但有一組團隊已經完成新的架構可行性測試，所以提出改變架構的提議

在做決定時要考慮很多因素，不確定時收集更多的資訊，不要隨便被牽著走，當然這劇情是編的，現實還有很多要考慮的地方~