在人人都能開發、服務百花齊放的環境下，基於口述生成的系統往往容易顧此失彼：防範了 SQL Injection，卻可能漏掉資料加密；而一口氣加入過多控制需求，又會導致程式執行緩慢，產生各種不良後果。透過 CSSLP 建立扎實的生命週期觀念，能幫助我們不再瞎子摸象，而是針對不同需求與情境，量身打造出兼顧效能且恰到好處的資安防護。
Day 01 ｜ 如期交付的抉擇：一場沒有贏家的爭執
Mapping: Domain 1.1 (Core concepts) / SSDLC 成本左移概念破題。
Day 02 ｜ 安全控制的選擇：將擔心的後果映射到 CIA 防禦邊界
Mapping: Domain 1.1 (Core concepts) / CIA, 治理與合規 (GRC)。
Day 03 ｜ 越簡單越便宜：從最小權限到機制經濟性 (Economy of Mechanism) 的架構哲學
Mapping: Domain 1.2 (Security design principles) / Least privilege, Economy of mechanism。
Day 04 ｜ 敏捷開發 (Agile) 不翻車的秘密：設定 Control Gate (管制門) 的投資效益
Mapping: Domain 2.1 & 2.3 (Methodology, Milestones and checkpoints) / Break/build criteria。
Day 05 ｜ 別把新技術當成萬靈丹：技術風險 vs. 商業風險的決策心法
Mapping: Domain 2.8 (Integrated risk management methods) / Technical risk vs. business risk, ISO/NIST。
Day 06 ｜ 你無法管理無法量化的事物：用 MTTR 與資安指標 (Metrics) 證明你的價值
Mapping: Domain 2.5 & 2.7 (Security metrics & reporting) / Criticality level, KPI, Dashboards。
Day 07 ｜ 下線 (EOL) 也是隱形成本：應用程式退役與資料銷毀 (Data Disposition) 的經濟學
Mapping: Domain 2.6 (Decommission applications) / End of Life policies, 資料保留與銷毀。
Day 08 ｜ 需求訪談的防坑指南：將 Policy 與合規 (Compliance) 轉換為具體需求的溝通術
Mapping: Domain 3.1 & 3.2 (Security Requirements, Compliance) / 法規與內部政策轉換。
Day 09 ｜ 資料分類 (Data Classification)：把有限的預算，精準砸在最核心的資產上
Mapping: Domain 3.3 (Data classification) / 資料擁有權與分級防護。
Day 10 ｜ 別等寫完 Code 才補漏洞：用威脅建模 (STRIDE) 劃出系統的信任邊界
Mapping: Domain 4.1 & 4.2 (Threat modeling) / STRIDE 模型與信任邊界。
Day 11 ｜ 攻擊面 (Attack Surface) 的斷捨離：功能越少越安全，維護成本也越低
Mapping: Domain 4.1 (Attack surface evaluation) / 減少系統曝露面積。
Day 12 ｜ 密碼學的維運痛點：加解密與金鑰管理 (Key Management) 怎麼設計才不會整死未來的自己？
Mapping: Domain 4.4 (Cryptography architectures) / 演算法選擇與金鑰生命週期。
Day 13 ｜ 身分與存取管理 (IAM)：統一化驗證機制，省下重複造輪子的開發成本
Mapping: Domain 4.5 (Identity and Access Management) / Authentication vs. Authorization。
Day 14 ｜ 降低系統耦合度的利器：微服務、零信任 (Zero Trust) 與雲端共擔模型
Mapping: Domain 4.3 (Security architecture patterns) / Cloud, Microservices, Zero Trust。
Day 15 ｜ 預防勝於重構：從 OWASP Top 10 看框架 (Framework) 如何選擇防禦方向
Mapping: Domain 5.1 & 5.2 (Secure Coding Practices) / Common Vulnerabilities, Component reuse。
Day 16 ｜ 給未來的除錯指南：安全的日誌 (Logging) 與錯誤處理如何縮短查修時間？
Mapping: Domain 5.2 (Defensive Coding Practices) / Error Handling, Logging。
Day 17 ｜ 機敏資料管理 (Secrets Management)：把 API Key 寫死在 Code 裡，日後抽換的代價有多高？
Mapping: Domain 5.2 (Secure Coding Practices) / Credentials storage, Vaults 應用。
Day 18 ｜ 宣告式安全 (Declarative Security)：把資安規則與商業邏輯分離的乾淨架構
Mapping: Domain 5.2 & 5.3 (Declarative Security, Source Code Review)。
Day 19 ｜ 資安測試自動化 (SAST/DAST)：當 AI 幫忙寫 Code，我們的審查該如何控制？
Mapping: Domain 6.1 & 6.2 (Security Testing Methods) / 靜態與動態測試工具比較。
Day 20 ｜ 找出潛在的災難崩潰點：模糊測試 (Fuzzing) 如何預防上線後的重大損失
Mapping: Domain 6.1 & 6.2 (Fuzzing, Test Coverage) / 處理非預期輸入的強健性。
Day 21 ｜ 弱點掃描 vs. 滲透測試：在不同的開發階段，該投入哪種測試的性價比最高？
Mapping: Domain 6.1 (Vulnerability Assessment vs Pen Testing) / 測試類型的 ROI。
Day 22 ｜ 環境一致性的魔法：組態管理 (Configuration Management) 如何消除維護惡夢
Mapping: Domain 7.2 (Configuration Management) / IaC, 防止環境飄移。
Day 23 ｜ 變更管理 (Change Management) 流程：為什麼 CCB 的把關是保護系統穩定性的最後防線？
Mapping: Domain 2.9 & Domain 7.2 (Change management process)。
Day 24 ｜ 安全部署與環境隔離：Dev/Test/Prod 權限分離，避免測試污染帶來的復原成本
Mapping: Domain 7.1 (Secure Deployment) / Segregation of Environments, Approval to Operate (ATO)。
Day 25 ｜ 補丁管理 (Patch Management) 的藝術：如何在不搞砸現有系統的前提下更新套件？
Mapping: Domain 7.3 (Security Operations) / Patching, Release management。
Day 26 ｜ 事故回應 (Incident Response) 經濟學：平時的維運設計，如何決定災難止血的速度與代價？
Mapping: Domain 2.9 & Domain 7.3 (Incident response plan) / 準備、遏制、復原流程。
Day 27 ｜ 軟體供應鏈的隱形成本：開源套件與第三方相依性帶來的維運技術債
Mapping: Domain 8.1 & 8.2 (Software Supply Chain Risk, Third-Party dependencies) / 評估套件授權與風險。
Day 28 ｜ 核彈級漏洞爆發時的救命符：軟體物料清單 (SBOM) 如何將盤點時間從數天縮短到數秒？
Mapping: Domain 8.2 (Software Bill of Materials) / 提升供應鏈透明度。
Day 29 ｜ 守住最後一哩路：保護 CI/CD 管道與軟體工件 (Artifact) 完整性的關鍵防線
Mapping: Domain 8.3 & 8.4 (Securing the CI/CD pipeline, Artifact Integrity) / 數位簽章。
Day 30 ｜ 【完賽回顧】工具會變，思維永存：CSSLP 帶給現代架構師的「恰到好處」防禦哲學
Mapping: Series Wrap-up / 複習考試精華與實務對照。
從確定性轉向機率性思維： AI 的導入打破了傳統軟體防護邊界，各階段（從架構、實作到測試）都必須將「非確定性輸出」與「對抗性機器學習（AML）」納入考量。
雙向 AI 應用： 需同時兼顧「Securing AI（防範 Prompt Injection、Data Poisoning、AI-BOM 追蹤）」與「AI for Security（利用 NLP 驗證輸入、AIOps 監控、AI 生成測試腳本）」。
MLSecOps 全生命週期閉環： 將 AI 模型漂移、權重部署、偏見/幻覺閾值整合至 CI/CD Pipeline 與法規治理（如 EU AI Act、NIST AI RMF）中，確保系統在營運階段具備持續韌性
CSSLP Certification Exam Outline
https://www.isc2.org/certifications/csslp/csslp-certification-exam-outline
有人分享的的CSSLP各章節重點
https://joeyhage.github.io/csslp-notes/
中興大學SSDLC
https://sites.google.com/email.nchu.edu.tw/ssdlc/
https://sites.google.com/email.nchu.edu.tw/iscb-corporate-training-2/
飛飛的SSDLC
https://ssdlc.feifei.tw/category/ssdlc-series/a00-ssdlc-%e7%b0%a1%e4%bb%8b/
iThome鐵人賽
看影片追技術