怎麼開始的--
一年前工作換了個跑道，當時想已取得ISACA CISM(資安經理)、CISA(電腦稽核)等證照了，故有考慮是否於下班之餘準備CRISC(風險)或CGEIT(治理)的證照。
工作上看可否更貼近「總字輩」的想法，知道高階長官想要的東西及策略方向，來對齊高階長官的想法。
故當時有稍微網路爬了文，網友建議的ISACA CRISC考照次序為：CISM->CISA->CRISC->CGEIT。原因是：取得CISSP後順便考下CISM，再以ISO 27001的稽核知識去準備CISA(電腦稽核)的證照，若有興趣，再準備CRISC(風險)的證照；最後，若有興趣或經濟上行有餘力，再以CGEIT(治理)的證照，想所學作個收攏。
故評估了下「風險管理」的議題，之前學習資安的課程、研討會等，定會提到風險管理，而PMP證照裡面也有「風險管理」的章節、CISSP與CISM等資安證照就更就用說了、ISO的知識體系也是，ISO的核心即為ISO 31000。
但我們真的懂「風險」二字嗎？還是只是常嘴上提要作風險管理，風險評鑑要作「識別、分析、評估」，就把風險的議題講完了？
所以這也是我想花20來天的時間，稍微分享我對「風險與資訊系統管理」的想法，冀望對資訊從業人員或資安人員有些知識或工作上的幫助，這是我投入鐵人賽的初衷。
明天，我會介紹ISACA CRISC的四大領域，先幫大家把框架建立起來，及我陸續自學的小小心得。