所以，小路變成乙方了...感覺我的心態要調整一下了，我們公司的電梯一打開...

『歡迎歡迎，熱烈歡迎! 歡迎小路加入我們公司。』

「我不是啊，我是跟你說我是來實地訪查的，是來稽核的。」

『這我太了解了，新人總是想看看新公司怎麼樣，沒問題，我們公司也會讓我看看你怎麼樣的，不要害羞，我們都是熟人了。』

來來來，這邊來，先介紹一下，這是上次你重敲了好幾次，仍不動如山的通過ISO27001的門，手受傷了吧，哈哈哈，我們這個門可以刷卡進入、刷臉進入、刷指紋進入，但它有一個最炫的功能，我介紹一下...這扇門其實有個很貼心的地方。』

「什麼地方...」

『就是我發現，刷卡不用、刷臉和指紋都不用，只要用手往旁邊一推...它就開了...很貼心吧。』

「王小四，等一下，這個是貼心? 這是門壞了吧?」

『你這人怎麼這麼世俗...門如果打不開，才是壞了吧? 它打的開耶，而且停電時也有效耶，這那是壞了? 如果過幾天，某個可愛的小動物，又勿觸高壓電網，造成大斷電，半夜三更的你，正好在辦公室裡，你要怎麼離開? 當然是要有這種貼心的功能啊。』

我看他沒理會我，沒關係，他一定是開心到講不出話來...來來來，往這走是你的坐位，就坐在我旁邊，不錯吧。我引導小四，到我幫他準備的辦公桌前...他又楞住了。

「王小四，我記得三個月前，你跟我說你買了某家的Pizza吃午餐，還誇他們的包裝紙盒很漂亮，對吧?」

『小路就是不一樣，記性跟我一樣好。是啊，你也想吃嗎?』

他的手指了指，我幫他準備的辦公桌.......

「三個月前的那個Pizza包裝紙盒，為什麼還在這個桌上。」

『哎唷，你這樣看就知道是三個月前的那個紙盒?』

「廢話，你拍完紙盒後傳給我的照片，還在我手機裡，我看連角度都一樣啊，你幹嘛不處理啊，放在這幹嘛?」

『為了地球要環保啊，不然呢? 你不知道ISO14001嗎? 你看，你只知道ISO27001對不對? 』

「14001? 是什麼?」

『ISO 14001是...我發現，27001 減 14001 是 13 耶。這組合多好啊，1314，兄弟不是當假的，我連要不要扔垃圾都會想到你耶。』

「所以，這張桌子是你們公司ISO14001的代表囉? 你要我坐在......資源回收場裡辦公?」

『那倒也不是，我們這辦公室100多坪，你隨便找個地方扔了吧，OK的。』

小路又用那生無可戀的表情望著我...他一定是覺得不好意思，但其實他不用這麼古意的，我們都認識多久了。

『好啦，帶你去看一下我們的機房。』

接著，我把他領到這層樓另一個空間。小路環顧四週...「機房監視器在那?」

我指了指監視器的位置。

「錄下來的影片，保留多久?」

『保留? 影片? 你...在想什麼? 現在早上耶，你要偷拍我嗎? 還是你是來我們公司滲透的? 第一天上班就問這麼敏感的問題，還好是在我們公司，不是在大馬路上，你現在要是在大馬路上拍影片，會有很多人來關切你，你都沒看新聞嗎? 』

「不是...我不是第一天上班...不是，等一下，我沒有要站在路口拍影片...等我一下，我有點亂..

我們現在這邊不是機房嗎? 機房內不是應該要有監視器嗎? 監視器錄下來的影片，應該要有一個保留期限啊，比如像是三個月或半年之類的保留期啊。」

『我們公司平常就我一個人，是要錄我嗎? 小四，我是來工作的，不是參加真人實境秀的。當然，從今天起，就不一樣了，歡迎你的加入。』

「不要扯這些啦......到底保存多久?」

『就我一個人，是要保存什麼? 我就回答你啦，今天開始保存，OK?』

「那會保留多久? 換個方式問好了，你們儲存影片的空間有多大?」

『我知道你要幹嘛了! N號房對不對? 難怪一直問保存多久，要學點好的啦。』

這一次，我看到小路的重拳，狠狠的打在機櫃上...然後，回頭跟我說 「我們離開這吧，我覺得好煩。」

邊往辦公室區域走，我邊安慰小路。

『小路真的，第一天真的不要緊張，你進這層樓還不到三十分鐘，就這樣喜極而泣，不好啦。』

小路還是沒有理我，後來，我看他把三個月前的Pizza包裝盒拿起來，又是砸又是摔還踢了好幾腳，他平常在甲方累積下來的壓力到底是有多大...看著小路瘋狂的樣子，想著Anderson跟我說的「你決定，但你沒有決定」...

(待)

2025/09/07

SunAllen

註：CISSP對應

#環境管理與標準（Domain 1 – Security and Risk Management）
--ISO 27001 與 ISO 14001 被誤解與錯用。
--稽核過程詢問保存期限、空間規劃，反映出 稽核控制點。

#資產與文件管理（Domain 2 – Asset Security）
--辦公桌凌亂、文件與物品（如餐盒）未妥善處理，可能涉及資訊洩漏風險。

#實體安全控制（Domain 3 – Security Architecture & Engineering）
--機房門禁存在設計缺陷，沒有正確限制進出方式。
--對應考點：實體與環境安全控制（Physical & Environmental Security），包含門禁、電力、災害復原措施。

#監控與稽核（Domain 7 – Security Operations）
--監視器錄影保存政策不明確，無固定保存期限或容量規劃。