歡迎來到規則與藍圖的世界！
哈囉，未來的 CPA！歡迎來到資訊系統與控制 (ISC) 考試中最重要的一章。在本章中，我們將一起探索法規、標準與框架 (Regulations, Standards, and Frameworks)。
如果你曾被資訊科技領域那堆「字母湯」（如 NIST、HIPAA、GDPR）搞得暈頭轉向，別擔心！把這一章想像成是在學習「交通規則」。就像交通法規是為了保護駕駛安全一樣，這些法規與框架則是為了保護數據安全。讀完這些筆記後，你將能掌握企業如何合規並確保資訊安全。
1. 為什麼我們需要這些規則？
在深入了解具體名稱之前，我們先搞懂「為什麼」。企業保護數據並不僅僅是因為他們「人好」，而是因為：
1. 法律（法規）：政府強制要求（否則會面臨鉅額罰款）。
2. 信任（標準）：客戶只會將資料交給他們信任的企業。
3. 效率（框架）：遵循一套現成的「藍圖」比自己瞎摸索如何提升安全性要容易得多。
快速複習：法規是強制性的（一定要做），而框架則是自願性指南（建議做），旨在協助你符合相關法規要求。
2. 關鍵法規：必須遵守的「硬規則」
在美國 CPA 考試中，你需要知道哪種法律適用於哪個行業。讓我們拆解幾個重點項目。
A. HIPAA（健康保險便利與責任法案）
PII是可識別或連結至個人的資料。HIPAA的PHI是受規管實體或業務合作夥伴保存或傳輸、可識別個人的健康資料，並須考慮法定排除項目，例如若干僱傭及教育紀錄。並非所有涉及個人健康的資料都自動屬HIPAA的PHI。
B. GLBA（金融服務現代化法案/葛蘭姆-里奇-比利雷法案）
重點：金融機構。
GLBA 要求銀行與保險公司必須說明他們如何分享客戶資料，並確保數據安全。它保護的是非公開個人資訊 (NPI)。
記憶小撇步：GLBA 中的 "B" 代表 Banks（銀行）。
C. 隱私法（GDPR 與 CCPA）
GDPR依歐盟設立據點，或向歐盟境內人士提供特定商品／服務或監察其行為等條件適用，並非只看國籍。權利義務不限於刪除，亦有條件及例外。經CPRA修訂的CCPA涵蓋適用加州消費者的知情／存取、刪除、更正、退出出售／分享，以及限制若干敏感資料用途等權利，須考慮適用條件及例外，不能只稱為「簡化GDPR」。
考試重點：題目提到「患者 (Patients)」，想 HIPAA；提到「銀行 (Banks)」，想 GLBA；提到「消費者權利 (Consumer Rights)」，想 隱私法。
3. 安全框架：操作的「藍圖」
框架就像是一張檢核表，幫助企業有條理地安排安全措施，確保萬無一失。別擔心這些內容太枯燥，它們其實就是一系列有組織的「好建議」。
A. NIST 網路安全框架 (CSF)
NIST CSF 2.0有六項功能：治理、識別、保護、偵測、回應、復原。治理涵蓋策略、責任、政策及跨功能監督。五項清單屬CSF 1.1，並非現行完整框架。框架一般可屬自願，但適用法律、監管或合約可使其成為強制要求。
B. COBIT（資訊及相關技術控制目標）
重點：治理與管理。
COBIT 由 ISACA 創立。它不是教你「如何設定密碼」，而是教「董事會應如何監督 IT」。它是連結商業目標與 IT 目標的橋樑。
C. ISO/IEC 27001
重點：國際標準。
如果企業想向全球證明其安全性，他們會申請 ISO 27001 認證。這就像是從國際考官那裡拿到的「A+ 證書」。
快速複習：NIST 是美國實務藍圖；COBIT 針對高階管理層；ISO 則是國際認證。
4. SOC 報告：建立信任的工具
身為 CPA，你會頻繁聽到 SOC (系統與組織控制) 報告。針對第二區域（安全、機密性與隱私），SOC 2 絕對是主角。
TSC五類為安全、可用性、處理完整性、保密性及私隱；所選類別須適用相關共同準則。保密性保護被指定為機密的資料，包括商業秘密及個人資料。私隱涵蓋個人資料的收集、使用、保留、披露及處置，須符合適用承諾和規定。兩者可以重疊：客戶帳戶資料既可屬機密，也受私隱控制規範。
你知道嗎？Type I 報告檢視特定日期的控制設計；Type II 報告則檢視這些控制在一段時間內（通常為 6 個月）的實際運作情況。Type II 的價值遠高於 Type I！
5. 常見錯誤避雷區
保密性保護被指定為機密的資料，包括商業秘密及個人資料。私隱涵蓋個人資料的收集、使用、保留、披露及處置，須符合適用承諾和規定。兩者可以重疊：客戶帳戶資料既可屬機密，也受私隱控制規範。
NIST CSF 2.0有六項功能：治理、識別、保護、偵測、回應、復原。治理涵蓋策略、責任、政策及跨功能監督。五項清單屬CSF 1.1，並非現行完整框架。框架一般可屬自願，但適用法律、監管或合約可使其成為強制要求。
6. 考前速查表
NIST CSF 2.0有六項功能：治理、識別、保護、偵測、回應、復原。治理涵蓋策略、責任、政策及跨功能監督。五項清單屬CSF 1.1，並非現行完整框架。框架一般可屬自願，但適用法律、監管或合約可使其成為強制要求。
考試小提醒：
CPA 考試的重點在於確保你能辨識「哪一套規則」適用於哪種情境。讀題目時，搜尋像「醫療」、「銀行」、「治理」或「國際」這類關鍵字。這些關鍵字就是通往正確答案的地圖！
如果一開始覺得要背的名詞太多，別灰心。只要不斷思考規則背後的「意圖」——通常，這些規定都是為了防止不相干的人接觸敏感數據！