主題：實體與技術控制整合 — 從物理防護到資訊系統安全

🎯 今日學習重點

第四天我們聚焦在 實體控制 (A.7) 與 技術控制 (A.8)。
這兩者看似分開，實務上需要緊密結合，才能形成完整的多層防護體系。

🏢 實體安全完整架構

典型控制措施 (A.7 系列)

• 周界防護 (7.1) → 圍籬、警報、監控、出入口管制
• 實體進入 (7.2) → 門禁系統、訪客管理、進出紀錄
• 機房與辦公室 (7.3) → 敏感區隔、環境控管、清潔維護
• 實體監視 (7.4) → CCTV、24/7 監控、異常偵測
• 設備保護 (7.8, 7.9) → 設備固定、場外資產、遠端辦公
• 儲存媒體管理 (7.10, 7.14) → 分類標籤、使用記錄、銷毀與重用

📌 考點提醒：
清桌清螢幕 (7.7) 常被考，重點在於「防止資訊意外洩露」。

💾 儲存媒體生命週期

• 使用前 → 機密等級標示、責任歸屬標記
• 使用中 → 授權核准、日誌追蹤、定期盤點
• 使用後 → 安全清除、實體銷毀、重用前驗證

⚡ 金句：
「清桌清螢幕不是整潔問題，而是資安控制！」

🔐 技術控制核心架構 (A.8 系列)

存取控制

• 端點安全 (8.1) → 註冊管理、安全基準、行為監控
• 特權帳號 (8.2) → 特權分離、定期稽核、異常偵測
• 存取限制 (8.3) → RBAC、最小權限、時間/地點限制

密碼學 (8.24)

• 金鑰管理程序
• 加密傳輸/存儲
• 數位簽章與雜湊
  📌 考點提醒：加密≠安全，金鑰管理才是重點！

🌐 網路與惡意軟體防護

• 網路安全 (8.20-8.22) → 區隔、DMZ、防火牆、無線隔離
• 惡意軟體 (8.7) → 防毒、防惡意程式碼、事件回應
• 監控活動 (8.16) → 日誌收集、SIEM 分析、異常行為偵測

🔄 資料保護與 SDLC 安全

• 刪除 (8.10) → 安全刪除 + 驗證
• 遮罩 (8.11) → 測試去識別化、敏感欄位保護
• DLP (8.12) → 防止外洩、內容檢查、傳輸監控
• 備份 (8.13) → 異地備份、測試復原、策略制定

開發安全控制 (8.25–8.31)

• 安全 SDLC：需求 → 設計 → 開發 → 測試
• 縱深防禦、最小權限、環境隔離
• 安全測試：程式碼分析、弱點掃描、滲透測試
• 變更管理 (8.32)：申請、影響評估、驗證、核准

🎓 Day 4 實務案例

案例：金融機構資料中心

• 第 1 層：實體周界 → 圍牆、警衛、監控
• 第 2 層：建築門禁 → 生物認證、訪客陪同
• 第 3 層：機房控制 → UPS、消防、環境控管
• 第 4 層：技術控制 → 網路隔離、MFA、加密

📌 整合觀念：
安全不是單一點，而是「預防、偵測、回應」三層架構。

📝 Day 4 學習檢核

• [ ] 多層實體防護設計
• [ ] 儲存媒體生命週期
• [ ] 存取控制三大重點
• [ ] 網路安全區隔設計
• [ ] 安全 SDLC 流程

💡 考試秘訣

記憶口訣

• 實體控制：周 → 進 → 室 → 監 → 設 → 媒 → 清
• 技術控制：端 → 權 → 存 → 網 → 惡 → 保 → 備

答題技巧

• 實體 vs 技術控制題目 → 注意整合應用
• 清桌清螢幕 → 實體控制
• 加密題目 → 金鑰管理才是關鍵
• 稽核題目 → 檢查「實體+技術」雙重覆蓋

👉 Day 4 的核心：物理 + 技術 ≠ 分開，而是互補。考試題目愛考整合情境，記得要同時思考人員、程序、技術三個面向！