稽核與資安評估

兩種重要的「檢視」活動

CSMS Audit (組織稽核)

目的

驗證組織的 CSMS 是否：

1. 符合 ISO 21434 Clause 5 要求
2. 被實際遵循（而非紙上談兵）
3. 持續改善

頻率

• 至少年度
• 重大變更後（如組織重組、收購）

獨立性要求

• 稽核員不可為被稽核活動的負責人或執行者
• 可由內部獨立部門或外部第三方執行

流程

1. 規劃（Audit Plan）
   ↓
2. 開立會議（Opening Meeting）
   ↓
3. 證據蒐集（文件、面談、觀察）
   ↓
4. 不符合 (NC) 識別
   ↓
5. 結束會議（Closing Meeting）
   ↓
6. 稽核報告
   ↓
7. 改善追蹤（CAPA）

稽核發現分級

Cybersecurity Assessment (專案評估)

目的

獨立評估特定專案的資安成果：

• TARA 是否充分？
• CS Goals 是否合理？
• 風險處置是否適當？
• Cybersecurity Case 是否成立？

何時執行

• 發佈至後開發階段前（必要）
• 重大設計變更後
• 客戶要求時

獨立性

• 評估人不可為該專案的直接執行者
• 通常由組織內獨立 CS Officer 或外部專家執行

輸出：Cybersecurity Assessment Report

cs_assessment_report:
  project: "TCU-2026"
  date: 2026-05-01
  assessor: "Independent CS Officer (Bob Smith)"
  assessment_basis:
    - "Cybersecurity Plan v2.3"
    - "TARA Report v3.1"
    - "Verification Report v1.0"
    - "Validation Report v1.0"

  findings:
    - id: F-001
      severity: Major
      description: "CSR-005 (DPA countermeasure) verification incomplete"
      recommendation: "Complete DPA test before release"

    - id: F-002
      severity: Minor
      description: "Lesson learned from F-1234 incident not propagated"

  recommendation: "REJECT release until F-001 resolved"
  next_review: "Upon resolution of F-001"

稽核員/評估員技能要求

外部 vs 內部稽核

持續改善 (Continual Improvement)

稽核 + 評估的結果必須驅動改善：

       ┌──────────────────┐
       │   Findings        │
       │ (NC / Issues)    │
       └────────┬─────────┘
                │
                ↓
       ┌──────────────────┐
       │ Root Cause Analysis│
       └────────┬─────────┘
                ↓
       ┌──────────────────┐
       │ Corrective Action │
       │ (CAPA)           │
       └────────┬─────────┘
                ↓
       ┌──────────────────┐
       │ Effectiveness    │
       │ Verification     │
       └────────┬─────────┘
                ↓
       ┌──────────────────┐
       │ Lessons Learned  │
       │ (組織知識更新)    │
       └──────────────────┘

證照考點

Related Notes

• 02-Organizational-Management/01-CSMS-Overview
• 03-Project-Dependent/06-Case-and-Assessment
• 03-Project-Dependent/07-Release-for-Post-Development

Practice

• 02-Organizational-Management/Practice-CSMS