CDRP – EPI 資料中心認證課程

前言

在數位經濟的浪潮下，資料中心已成為現代社會不可或缺的基礎設施。從金融交易、雲端運算到人工智慧，各行各業皆仰賴資料中心安全穩定的運作。然而，隨著資料中心規模日益擴大、複雜度不斷提升，其面臨的風險也隨之增加。停機事件不僅會造成嚴重的經濟損失，更可能損害企業聲譽，甚至引發社會動盪。

面對日益嚴峻的資料中心風險挑戰，企業亟需具備專業知識與技能的人才，以有效應對各種潛在威脅。EPI (Enterprise Products Integration) 國際認證機構推出的「Certified Data Centre Risk Professional (CDRP®) 認證課程」，正是在此背景下應運而生，旨在培養資料中心風險管理專業人才，提升產業整體風險防護能力。

魔力門資料中心小編將以資深科技媒體記者的視角，深入剖析 EPI CDRP 認證課程的設計理念、核心內容、認證流程、職業發展前景以及未來趨勢，為讀者全面解讀這一備受矚目的國際認證課程，共同探索資料中心風險防護的新紀元。

CDRP 的概述

CDRP® 認證課程，全名為「Certified Data Centre Risk Professional (認證資料中心風險專業人員)」，是由全球知名的資料中心專業認證與訓練機構 EPI 所開發和提供的專業認證。CDRP® 認證旨在為資料中心產業建立一套完善的風險管理標準，培養具備國際視野和實戰能力的風險管理專業人才。

CDRP® 認證課程涵蓋了資料中心風險管理的各個面向，從風險管理概念、資料中心風險與影響、國際標準與規範，到風險評估流程、風險處理策略、溝通與監控機制等，提供系統化、全面的知識體系。通過 CDRP® 認證，學員將能夠掌握資料中心風險管理的精髓，具備獨立進行風險評估、制定風險應對策略、提升資料中心整體安全性的能力。

CDRP® 認證不僅適用於資料中心營運商、管理者、工程師等專業人員，也適合對資料中心風險管理感興趣的企業高管、IT 專業人士、以及相關產業的從業人員。無論您是希望提升個人專業技能，還是為企業建立完善的風險管理體系，CDRP® 認證都將是您的理想之選。

CDRP 主要內容

CDRP® 認證課程內容豐富且深入，涵蓋了資料中心風險管理的各個關鍵領域。以下將根據 EPI 官方網站提供的課程大綱，逐一詳細解說 CDRP® 的主要內容：

Introduction to Risk Management (風險管理概論)

本模組旨在建立學員對風險管理的基本認知，理解風險管理的核心概念、重要性以及在企業營運中的角色。

• Risk management concepts (風險管理概念)：
  • 風險的定義與特性：深入探討風險的本質，理解風險不僅僅是負面事件，也可能帶來機會。
  • 風險管理目標：闡述風險管理的核心目標，包括保護資產、確保營運持續性、提升企業價值等。
  • 風險管理原則：介紹風險管理的指導原則，如全面性、系統性、預防性、適當性等。
  • 風險管理框架：概述常見的風險管理框架，如 ISO 31000、COSO ERM 等，為後續學習奠定基礎。
• Senior management and risk (高階管理層與風險)：
  • 高階管理層在風險管理中的角色：強調高階管理層在風險管理中的領導責任，包括制定風險政策、建立風險文化、提供資源支持等。
  • 風險意識的培養：探討如何在高階管理層中培養風險意識，使其充分認識到風險管理的重要性。
  • 風險溝通與報告：講解高階管理層如何有效地接收風險資訊，並將風險管理績效納入企業決策。
• Enterprise Risk Management (ERM) (企業風險管理)：
  • ERM 的概念與範疇：介紹企業風險管理的定義、目標、以及涵蓋的範圍，強調從企業整體角度進行風險管理。
  • ERM 的框架與流程：深入解析 ERM 的框架，包括內部環境、目標設定、事件識別、風險評估、風險應對、控制活動、資訊與溝通、監控等八大要素。
  • ERM 的實施與效益：探討企業如何有效地實施 ERM，並分析 ERM 為企業帶來的價值，如提升決策品質、優化資源配置、增強競爭優勢等。
• Benefits of risk management (風險管理的益處)：
  • 提升營運韌性：闡述風險管理如何幫助企業預防和應對突發事件，確保營運持續性，降低停機風險。
  • 保護企業資產：講解風險管理如何有效地識別和管理各種風險，保護企業的有形和無形資產，減少損失。
  • 提升決策品質：說明風險管理如何為企業決策提供更全面的資訊，幫助管理者做出更明智的決策，提升決策的成功率。
  • 增強企業聲譽：強調有效的風險管理如何提升企業的品牌形象和聲譽，增強客戶、合作夥伴和投資者的信任。
• Data Centre Risk and Impact (資料中心風險與影響)：
  • 資料中心風險的獨特性：分析資料中心風險的特殊性，例如高度依賴電力、冷卻系統、網路連線，以及資料洩露、網路攻擊等獨特風險。
  • 資料中心停機的衝擊：深入探討資料中心停機可能造成的各種影響，包括經濟損失、聲譽損害、法律責任、營運中斷等。
  • 主要停機原因分析：剖析資料中心停機的常見原因，如電力故障、冷卻系統失效、人為錯誤、自然災害、網路攻擊等，為風險識別提供方向。
  • 停機的成本因素：量化分析資料中心停機的成本，包括直接成本（如修復費用、營收損失）和間接成本（如客戶流失、品牌受損），強調風險管理的經濟價值。

Standards, Guidelines and Methodologies (標準、指南與方法論)

本模組介紹資料中心風險管理領域的國際標準、行業指南和常用方法論，幫助學員了解最佳實踐，建立專業知識體系。

• ISO/IEC 27001:2013, ISO/IEC 27005:2011, ISO/IEC 27002:2013：
  • ISO/IEC 27001:2013：詳細解說資訊安全管理系統 (ISMS) 的國際標準 ISO/IEC 27001:2013，包括其框架、要求、以及在資料中心風險管理中的應用。
  • ISO/IEC 27005:2011：深入解析資訊安全風險管理標準 ISO/IEC 27005:2011，包括風險評估、風險處理、風險溝通與諮詢、風險監控與審查等流程。
  • ISO/IEC 27002:2013：介紹資訊安全控制措施指南 ISO/IEC 27002:2013，涵蓋組織安全、人員安全、實體安全、技術安全等多個方面的控制措施。
• NIST SP 800-30：
  • 美國國家標準與技術研究院 (NIST) 特别出版物 SP 800-30：《風險管理指南》，講解 NIST 風險管理框架，包括風險評估、風險應對、風險監控等階段，以及在資料中心風險管理中的應用。
• ISO/IEC 31000:2009：
  • 風險管理原則與指南國際標準 ISO/IEC 31000:2009，介紹其風險管理原則、框架和流程，適用於各種組織和風險類型，包括資料中心風險管理。
• SS 507:2008：
  • 新加坡標準 SS 507:2008《資訊與通信技術持續營運計畫管理》，講解如何制定和實施持續營運計畫，以應對資料中心突發事件，確保營運持續性。
• ANSI/TIA-942：
  • 美國國家標準協會 (ANSI) 和電信工業協會 (TIA) 共同制定的 ANSI/TIA-942《資料中心電信基礎設施標準》，介紹資料中心設計、建造和營運的最佳實踐，涵蓋架構、電力、冷卻、網路、安全等各個方面，為資料中心風險管理提供基礎。
• Other methodologies (CRAMM, EBIOS, OCTAVE, etc.) (其他方法論)：
  • CRAMM (CCTA Risk Analysis and Management Methodology)：英國政府開發的風險分析與管理方法論，適用於資訊系統風險評估。
  • EBIOS (Expression des Besoins et Identification des Objectifs de Sécurité)：法國國家資訊系統安全局 (ANSSI) 開發的風險管理方法論，強調從業務目標出發進行風險評估。
  • OCTAVE (Operationally Critical Threat, Asset, and Vulnerability Evaluation)：美國卡內基梅隆大學軟體工程研究所 (SEI) 開發的基於團隊的風險評估方法論，適用於組織層面的風險評估。

Risk Management Definitions (風險管理定義)

本模組明確界定風險管理中常用的專業術語，確保學員在後續學習和實踐中能夠準確理解和運用相關概念。

• Asset (資產)：
  • 資產的定義與分類：講解資產的定義，包括有形資產（如硬體設備、資料中心設施）和無形資產（如資料、軟體、商譽），以及資產分類的方法。
  • 資料中心資產識別：指導學員如何識別資料中心的重要資產，為風險評估奠定基礎。
  • 資產價值評估：探討如何評估資料中心資產的價值，包括業務價值、資訊價值、聲譽價值等，以便確定風險管理的優先順序。
• Availability/Confidentiality/Integrity (可用性/機密性/完整性)：
  • 資訊安全三要素 (CIA)：詳細解說資訊安全的三個核心要素：可用性 (Availability)、機密性 (Confidentiality)、完整性 (Integrity)，以及它們在資料中心風險管理中的重要性。
  • 可用性：確保授權使用者在需要時能夠及時存取資訊和資源。
  • 機密性：保護資訊不被未經授權的個人或實體存取。
  • 完整性：確保資訊的準確性和完整性，防止未經授權的修改或損壞。
• Control (控制)：
  • 控制的定義與類型：講解控制的定義，以及預防性控制、偵測性控制、矯正性控制等不同類型的控制措施。
  • 資料中心控制措施：介紹資料中心常用的控制措施，如實體安全控制、存取控制、網路安全控制、資料備份與恢復、事件應變等。
  • 控制措施的有效性評估：探討如何評估控制措施的有效性，確保其能夠有效地降低風險。
• Information processing facility (資訊處理設施)：
  • 資訊處理設施的定義與範疇：明確界定資訊處理設施的範圍，包括資料中心、機房、伺服器室等，以及其在資訊系統中的作用。
  • 資料中心設施的組成：介紹資料中心設施的主要組成部分，如電力系統、冷卻系統、消防系統、保安系統、網路系統等。
  • 資料中心設施的風險：分析資料中心設施可能面臨的風險，如電力中斷、溫度過高、火災、入侵等。
• Information security (資訊安全)：
  • 資訊安全的定義與目標：闡述資訊安全的定義，以及保護資訊資產免受各種威脅和漏洞侵害的目標。
  • 資料中心資訊安全：強調資料中心資訊安全的重要性，以及在資料中心環境中實施資訊安全措施的必要性。
  • 資訊安全管理體系：介紹資訊安全管理體系 (ISMS) 的概念和框架，為建立全面的資料中心資訊安全體系提供指導。
• Policy (政策)：
  • 政策的定義與作用：講解政策的定義，以及在風險管理中作為指導原則和規範的作用。
  • 資料中心風險管理政策：介紹資料中心風險管理政策的制定原則、內容要素、以及實施方法。
  • 政策的宣導與執行：探討如何有效地宣導和執行風險管理政策，確保其得到貫徹落實。
• Risk (風險)：
  • 風險的構成要素：深入分析風險的構成要素，包括威脅 (Threat)、漏洞 (Vulnerability)、資產 (Asset) 以及影響 (Impact)。
  • 風險的分類：介紹風險的不同分類方式，如依據來源、影響程度、發生頻率等進行分類，以便更好地理解和管理風險。
  • 資料中心風險類型：列舉資料中心常見的風險類型，如實體安全風險、網路安全風險、營運風險、合規風險等。
• Risk analysis/Risk assessment/Risk evaluation/Risk treatment (風險分析/風險評估/風險評價/風險處理)：
  • 風險管理核心流程：明確風險分析、風險評估、風險評價、風險處理等風險管理核心流程的定義、目的和相互關係。
  • 風險分析：識別風險的構成要素，分析威脅、漏洞、資產以及潛在影響。
  • 風險評估：評估風險的可能性和影響程度，確定風險等級。
  • 風險評價：比較評估結果與風險接受標準，判斷風險是否可接受。
  • 風險處理：選擇和實施適當的風險應對措施，降低風險至可接受水平。
• Threat/Vulnerability (威脅/漏洞)：
  • 威脅的定義與類型：講解威脅的定義，以及自然威脅、人為威脅、環境威脅等不同類型的威脅。
  • 漏洞的定義與類型：講解漏洞的定義，以及硬體漏洞、軟體漏洞、配置漏洞、人為漏洞等不同類型的漏洞。
  • 威脅與漏洞的關係：分析威脅與漏洞之間的關係，理解漏洞是威脅得以利用的途徑。
• Types of risk (風險類型)：
  • 資料中心風險分類：系統地介紹資料中心常見的風險類型，包括：
    • 實體安全風險：如未經授權的存取、盜竊、破壞、自然災害等。
    • 網路安全風險：如網路攻擊、惡意軟體、資料洩露、阻斷服務攻擊等。
    • 營運風險：如電力故障、冷卻系統失效、人為錯誤、設備故障、供應鏈中斷等。
    • 合規風險：如未能遵守法規、標準、合約要求等。
    • 專案風險：如專案延遲、預算超支、品質不達標等。
    • 其他風險：如聲譽風險、法律風險、財務風險等。

Risk Assessment Software (風險評估軟體)

本模組介紹風險評估軟體在資料中心風險管理中的作用、優勢和選型考量。

• The need for software (軟體的需求)：
  • 手動風險評估的局限性：分析手動進行風險評估的缺點，如效率低下、容易出錯、難以維護等。
  • 軟體自動化的優勢：闡述風險評估軟體自動化風險評估流程的優勢，如提高效率、降低錯誤率、增強可追溯性、支援持續監控等。
• Automation (自動化)：
  • 自動化風險評估流程：講解風險評估軟體如何自動化風險識別、風險分析、風險評估、風險報告等流程。
  • 自動化資料收集與分析：介紹軟體如何自動收集和分析資料中心相關資訊，如資產清單、漏洞掃描結果、威脅情報等，提升風險評估的準確性和效率。
• Considerations (考量因素)：
  • 軟體選型考量：指導學員在選擇風險評估軟體時需要考慮的因素，如功能需求、易用性、可擴展性、成本、供應商信譽、技術支援等。
  • 軟體整合與相容性：強調軟體與現有系統的整合性，以及與其他安全工具的相容性。
  • 資料安全與隱私保護：提醒學員注意風險評估軟體的資料安全和隱私保護功能，確保敏感資訊的安全。

Risk Management Process (風險管理流程)

本模組深入解析風險管理的完整流程，包括各個階段的目標、步驟和關鍵活動。

• The risk management process (風險管理流程)：
  • 風險管理流程概述：介紹風險管理流程的完整生命週期，通常包括建立背景、風險評估、風險處理、溝通與諮詢、監控與審查等階段。
  • 流程的迭代性與持續性：強調風險管理是一個持續迭代的過程，需要不斷地監控、審查和改進。
  • 流程與組織文化的整合：探討如何將風險管理流程融入組織的日常營運和決策過程，形成良好的風險管理文化。
• Establishing the context (建立背景)：
  • 背景建立的重要性：闡述建立風險管理背景的重要性，為後續的風險評估和處理奠定基礎。
  • 內部背景分析：指導學員如何分析組織的內部環境，包括組織目標、策略、文化、資源、能力等。
  • 外部背景分析：指導學員如何分析組織的外部環境，包括政治、經濟、社會、技術、法律、環境等因素。
  • 風險管理範圍界定：明確風險管理的範圍，確定需要納入風險管理流程的資產、活動和地點。
• Identification (識別)：
  • 風險識別的目的與方法：講解風險識別的目的，以及常用的風險識別方法，如腦力激盪、問卷調查、訪談、檢查表、情境分析、歷史資料分析、專家判斷等。
  • 資料中心風險識別：指導學員如何運用各種方法，系統地識別資料中心可能面臨的各種風險。
  • 風險清單的建立：介紹如何建立風險清單，記錄識別出的風險，為後續的風險分析和評估提供依據。
• Analysis (分析)：
  • 風險分析的目的與方法：講解風險分析的目的，以及常用的風險分析方法，如定性分析、定量分析、半定量分析等。
  • 資料中心風險分析：指導學員如何運用各種方法，分析資料中心風險的可能性和影響程度。
  • 風險分析結果的呈現：介紹如何有效地呈現風險分析結果，如風險矩陣、熱圖等，以便於管理者理解和決策。
• Evaluation (評價)：
  • 風險評價的目的與標準：講解風險評價的目的，以及建立風險接受標準的重要性。
  • 風險接受標準的制定：指導學員如何根據組織的風險承受能力、業務目標、法規要求等因素，制定合理的風險接受標準。
  • 風險評價結果的應用：介紹如何運用風險評價結果，判斷風險是否可接受，並為風險處理提供依據。
• Treatment (處理)：
  • 風險處理的目的與策略：講解風險處理的目的，以及常用的風險處理策略，如風險規避、風險降低、風險轉移、風險接受。
  • 資料中心風險處理策略：指導學員如何根據風險評估結果和風險接受標準，選擇和實施適當的資料中心風險處理策略。
  • 風險處理方案的制定與實施：介紹如何制定詳細的風險處理方案，並有效地實施這些方案。
• Communication and consultation (溝通與諮詢)：
  • 溝通與諮詢的重要性：強調溝通與諮詢在風險管理流程中的重要性，確保所有利害關係人充分參與和理解風險管理活動。
  • 溝通對象與內容：明確風險溝通的對象，包括高階管理層、員工、客戶、合作夥伴等，以及溝通的內容，如風險政策、風險評估結果、風險處理方案等。
  • 溝通方法與技巧：介紹有效的風險溝通方法和技巧，如會議、報告、培訓、宣傳等，確保溝通的有效性。
• Monitoring and review (監控與審查)：
  • 監控與審查的目的與方法：講解監控與審查的目的，以及常用的監控與審查方法，如定期檢查、稽核、績效評估、事件回顧等。
  • 資料中心風險監控與審查：指導學員如何建立資料中心風險監控與審查機制，持續追蹤風險狀況，評估風險管理措施的有效性，並及時進行調整和改進。
  • 持續改進風險管理流程：強調透過監控與審查，不斷地完善風險管理流程，提升風險管理能力。

Project Approach (專案方法)

本模組介紹如何運用專案管理方法，有效地實施資料中心風險管理專案。

• Project management principles (專案管理原則)：
  • 專案管理的定義與特性：講解專案管理的定義和特性，如臨時性、獨特性、目標導向性、資源約束性等。
  • 專案管理的核心原則：介紹專案管理的核心原則，如範圍管理、時間管理、成本管理、品質管理、風險管理、溝通管理、資源管理、利害關係人管理等。
  • 專案生命週期：概述專案的啟動、規劃、執行、監控、收尾等生命週期階段。
• Project management methods (專案管理方法)：
  • 常見專案管理方法：介紹常見的專案管理方法，如瀑布式方法、敏捷方法、混合方法等，以及它們的適用場景和優缺點。
  • 資料中心風險管理專案方法選擇：指導學員如何根據資料中心風險管理專案的具體情況，選擇合適的專案管理方法。
• Scope (範圍)：
  • 專案範圍管理的重要性：闡述專案範圍管理的重要性，確保專案目標明確、範圍可控，避免範圍蔓延。
  • 範圍定義與規劃：講解如何定義專案範圍，制定範圍說明書、工作分解結構 (WBS) 等範圍規劃文件。
  • 範圍驗證與控制：介紹如何驗證專案範圍，確保交付成果符合範圍要求，以及如何控制範圍變更。
• Time (時間)：
  • 專案時間管理的重要性：闡述專案時間管理的重要性，確保專案按時完成。
  • 時間排程與規劃：講解如何制定專案時程表，包括活動定義、活動排序、活動資源估算、活動工期估算、時程制定等步驟。
  • 時程控制與調整：介紹如何監控專案時程，識別時程偏差，並採取措施進行調整。
• Cost (成本)：
  • 專案成本管理的重要性：闡述專案成本管理的重要性，確保專案在預算內完成。
  • 成本估算與預算編制：講解如何進行專案成本估算，制定成本預算，包括資源規劃、成本估算、預算制定等步驟。
  • 成本控制與監控：介紹如何監控專案成本，識別成本偏差，並採取措施進行控制。
• Cost estimate methods (成本估算方法)：
  • 常見成本估算方法：介紹常見的成本估算方法，如類比估算、參數估算、自下而上估算、三點估算等，以及它們的適用場景和優缺點。
  • 資料中心風險管理專案成本估算：指導學員如何根據資料中心風險管理專案的具體情況，選擇合適的成本估算方法。

Context Establishment (背景建立)

本模組深入探討風險管理流程的第一步 – 背景建立，詳細講解其關鍵要素和實施步驟。

• General considerations (一般考量)：
  • 背景建立的整體思路：概述背景建立的整體思路，包括理解組織環境、確定風險管理目標、界定風險管理範圍等。
  • 利害關係人分析：指導學員如何識別和分析資料中心風險管理專案的利害關係人，了解他們的需求和期望。
  • 法規與合規要求：強調在背景建立階段需要考慮的法規和合規要求，確保風險管理活動符合相關法律法規和行業標準。
• Risk evaluation, impact and acceptance criteria (風險評價、影響與接受標準)：
  • 風險評價標準的建立：講解如何建立風險評價標準，用於評估風險的可能性和影響程度。
  • 影響評估標準：指導學員如何制定影響評估標準，量化或定性地描述風險事件可能造成的各種影響，如財務損失、聲譽損害、營運中斷等。
  • 風險接受標準：指導學員如何制定風險接受標準，明確組織可以接受的風險水平，為風險處理提供依據。
• Severity rating of impact (影響嚴重性評級)：
  • 影響嚴重性評級方法：介紹常用的影響嚴重性評級方法，如定性評級（如低、中、高）、定量評級（如財務損失金額範圍）等。
  • 資料中心風險影響嚴重性評級：指導學員如何根據資料中心風險的特性，制定合理的影響嚴重性評級標準。
• Occurrence rating of probability (發生機率評級)：
  • 發生機率評級方法：介紹常用的發生機率評級方法，如定性評級（如極不可能、可能、極有可能）、定量評級（如年發生率）等。
  • 資料中心風險發生機率評級：指導學員如何根據歷史資料、專家判斷等，評估資料中心風險的發生機率。
• Scope and boundaries (範圍與邊界)：
  • 風險管理範圍的界定：明確風險管理的範圍，確定需要納入風險管理流程的資產、活動和地點。
  • 邊界設定的考量因素：講解在設定風險管理邊界時需要考慮的因素，如組織結構、業務流程、地理位置、法規要求等。
• Scope constraints (範圍限制)：
  • 範圍限制的識別與管理：識別可能限制風險管理範圍的因素，如時間限制、預算限制、資源限制、技術限制等，並制定應對措施。
• Roles & responsibilities (角色與責任)：
  • 風險管理組織架構：介紹常見的風險管理組織架構，如集中式、分散式、混合式等，以及它們的優缺點。
  • 角色與責任分配：明確資料中心風險管理中各個角色的責任，如高階管理層、風險管理部門、業務部門、IT 部門等，確保風險管理活動的有效協作。
• Training, awareness and competence (培訓、意識與能力)：
  • 風險管理培訓計畫：講解如何制定和實施風險管理培訓計畫，提升員工的風險意識和風險管理能力。
  • 風險意識宣導活動：介紹常用的風險意識宣導活動，如海報、電子郵件、研討會、工作坊等，營造良好的風險管理文化。
  • 能力評估與提升：探討如何評估員工的風險管理能力，並提供持續的學習和發展機會，提升整體風險管理水平。

Risk Assessment – Identification (風險評估 – 識別)

本模組深入探討風險評估流程的第一個關鍵步驟 – 風險識別，詳細講解如何系統地識別資料中心可能面臨的各種風險。

• The risk assessment process (風險評估流程)：
  • 風險評估流程概述：再次強調風險評估在風險管理流程中的核心地位，以及風險識別、風險分析、風險評價等階段的相互關係。
  • 風險評估方法的選擇：指導學員如何根據資料中心風險的特性、組織的資源和能力等因素，選擇合適的風險評估方法。
• Identification of assets (資產識別)：
  • 資產識別的重要性：闡述資產識別在風險評估中的基礎作用，只有識別出資產，才能進一步分析其面臨的風險。
  • 資料中心資產分類與清單建立：指導學員如何對資料中心資產進行分類，如硬體設備、軟體系統、資料、人員、設施等，並建立詳細的資產清單。
  • 資產價值評估：再次強調資產價值評估的重要性，為風險分析和處理提供依據。
• Identification of threats (威脅識別)：
  • 威脅來源分析：指導學員如何分析資料中心可能面臨的各種威脅來源，包括內部威脅、外部威脅、自然威脅、人為威脅等。
  • 威脅情境分析：運用情境分析方法，模擬各種可能的威脅情境，識別潛在的威脅事件。
  • 威脅情報收集：介紹如何收集威脅情報，如安全漏洞公告、網路攻擊趨勢報告、行業安全事件等，及時了解最新的威脅動態。
• Identification of existing controls (現有控制措施識別)：
  • 控制措施盤點：指導學員如何盤點資料中心現有的控制措施，包括預防性控制、偵測性控制、矯正性控制等。
  • 控制措施文件化：將現有的控制措施文件化，形成控制措施清單，為後續的漏洞識別和風險分析提供依據。
  • 控制措施有效性初步評估：初步評估現有控制措施的有效性，識別可能存在的控制措施不足或失效的情況。
• Identification of vulnerabilities (漏洞識別)：
  • 漏洞掃描與滲透測試：介紹漏洞掃描和滲透測試等技術手段，用於識別資料中心系統和應用程式的漏洞。
  • 漏洞資料庫與資訊來源：介紹常用的漏洞資料庫和資訊來源，如 CVE、NVD、供應商安全公告等，及時了解最新的漏洞資訊。
  • 漏洞分析與分類：對識別出的漏洞進行分析和分類，如技術漏洞、配置漏洞、人為漏洞、實體漏洞等，以便更好地理解漏洞的特性和風險。
• Identification of consequences (後果識別)：
  • 後果分析方法：指導學員如何分析風險事件可能造成的後果，包括財務損失、聲譽損害、營運中斷、法律責任等。
  • 後果情境模擬：運用情境模擬方法，模擬各種風險事件發生後的可能後果，評估後果的嚴重程度。
  • 後果指標量化：盡可能將後果指標量化，如財務損失金額、停機時間、客戶流失數量等，以便更精確地評估風險。
• Hands-on exercise: Identification of assets, threats, existing controls, vulnerabilities and consequences (實作練習：資產、威脅、現有控制措施、漏洞與後果識別)：
  • 通過實作練習，讓學員親身體驗風險識別的過程，掌握風險識別的方法和技巧，加深對風險識別各個要素的理解。

Risk Assessment – Analysis and Evaluation (風險評估 – 分析與評價)

本模組深入探討風險評估流程的第二和第三個關鍵步驟 – 風險分析與風險評價，詳細講解如何評估風險的可能性和影響程度，並確定風險等級。

• Risk estimation (風險估計)：
  • 風險估計的目的與方法：講解風險估計的目的，即量化或定性地評估風險的可能性和影響程度。
  • 風險估計的資料來源：介紹風險估計所需的資料來源，如歷史資料、統計數據、專家判斷、情境分析等。
  • 風險估計結果的呈現：介紹如何呈現風險估計結果，如風險矩陣、風險熱圖、風險曲線等，以便於管理者理解和決策。
• Risk estimation methodologies (風險估計方法論)：
  • 定性風險估計方法：介紹定性風險估計方法，如德爾菲法、情境分析法、專家判斷法等，適用於缺乏歷史資料或難以量化風險的情況。
  • 定量風險估計方法：介紹定量風險估計方法，如預期貨幣價值 (EMV) 分析、蒙地卡羅模擬、故障樹分析等，適用於有足夠歷史資料且可以量化風險的情況。
  • 半定量風險估計方法：介紹半定量風險估計方法，結合定性和定量方法的優點，如風險矩陣法、風險評分法等，適用於多數風險評估場景。
• Assessment of consequences (後果評估)：
  • 後果評估的指標：講解後果評估的常用指標，如財務損失、聲譽損害、營運中斷時間、法律責任、人員傷亡等。
  • 後果評估的方法：介紹後果評估的方法，如情境分析、專家訪談、歷史資料分析、模擬分析等。
  • 後果評估的量化與定性：探討如何量化和定性地評估後果，以便更全面地理解風險的影響。
• Assessment of incident likelihood (事件發生可能性評估)：
  • 事件發生可能性評估指標：講解事件發生可能性評估的常用指標，如年發生率、發生頻率、發生機率等。
  • 事件發生可能性評估方法：介紹事件發生可能性評估的方法，如歷史資料分析、統計分析、專家判斷、故障模式與效應分析 (FMEA) 等。
  • 事件發生可能性評估的量化與定性：探討如何量化和定性地評估事件發生可能性，以便更準確地預測風險。
• Level of risk estimation (風險等級估計)：
  • 風險等級劃分標準：講解風險等級劃分標準，通常根據風險的可能性和影響程度，將風險劃分為不同等級，如低風險、中風險、高風險、極高風險等。
  • 風險矩陣的應用：介紹風險矩陣在風險等級估計中的應用，將風險的可能性和影響程度映射到風險矩陣中，確定風險等級。
  • 風險等級的意義：闡述風險等級的意義，為風險評價和風險處理提供依據，指導風險管理的優先順序。
• Risk evaluation (風險評價)：
  • 風險評價的目的與標準：再次強調風險評價的目的，即比較風險評估結果與風險接受標準，判斷風險是否可接受。
  • 風險接受標準的應用：講解如何應用風險接受標準，判斷風險是否在可接受範圍內，以及是否需要進行風險處理。
  • 風險評價結果的呈現：介紹如何呈現風險評價結果，如風險報告、風險儀表板等，以便於管理者理解和決策。
• Hands-on exercise: Assessment of consequences, probability and estimating level of risk (實作練習：後果、可能性評估與風險等級估計)：
  • 通過實作練習，讓學員親身體驗風險分析和風險評價的過程，掌握風險分析和風險評價的方法和技巧，加深對風險評估流程的理解。

Risk Treatment (風險處理)

本模組深入探討風險管理流程的第四個關鍵步驟 – 風險處理，詳細講解如何選擇和實施適當的風險應對措施。

• The risk treatment process steps (風險處理流程步驟)：
  • 風險處理流程概述：介紹風險處理流程的步驟，通常包括風險處理方案制定、風險處理方案實施、風險處理效果評估等。
  • 風險處理策略選擇：講解如何根據風險評估結果和風險接受標準，選擇合適的風險處理策略，如風險規避、風險降低、風險轉移、風險接受。
  • 風險處理方案的迭代性與優化：強調風險處理方案需要不斷迭代和優化，以應對不斷變化的風險環境。
• Risk Treatment Plan (RTP) (風險處理計畫)：
  • RTP 的內容要素：講解風險處理計畫 (RTP) 的內容要素，包括風險描述、風險處理策略、控制措施、責任人、時間表、預算、績效指標等。
  • RTP 的制定流程：介紹 RTP 的制定流程，包括風險處理方案設計、RTP 文件編寫、RTP 審批等。
  • RTP 的重要性：闡述 RTP 在風險處理中的指導作用，確保風險處理活動有計畫、有組織地進行。
• Risk modification (風險修改)：
  • 風險修改策略：介紹風險修改策略，旨在降低風險的可能性或影響程度，或兩者兼具。
  • 控制措施的實施：講解如何實施控制措施，降低風險，包括技術控制、管理控制、實體控制等。
  • 風險修改效果評估：評估風險修改措施的有效性，驗證風險是否被降低至可接受水平。
• Risk retention (風險承擔)：
  • 風險承擔策略：介紹風險承擔策略，即當風險無法規避、降低或轉移時，組織選擇接受風險及其後果。
  • 風險承擔的條件：講解風險承擔的條件，通常適用於低風險或風險處理成本過高的情况。
  • 風險承擔的監控：強調即使選擇風險承擔，也需要持續監控風險狀況，以便及時發現風險變化。
• Risk avoidance (風險規避)：
  • 風險規避策略：介紹風險規避策略，即避免參與可能導致風險發生的活動或情境，從根本上消除風險。
  • 風險規避的適用場景：講解風險規避的適用場景，通常適用於高風險或無法有效控制的風險。
  • 風險規避的局限性：分析風險規避策略的局限性，可能錯失某些機會或無法完全消除所有風險。
• Risk sharing (風險分攤)：
  • 風險分攤策略：介紹風險分攤策略，即將風險轉移給第三方承擔，如購買保險、外包服務等。
  • 風險分攤的工具與方法：講解風險分攤的常用工具和方法，如保險合約、外包合約、合資企業等。
  • 風險分攤的成本與效益：分析風險分攤的成本和效益，權衡風險轉移的成本與風險降低的收益。
• Constraints in risk modification (風險修改的限制)：
  • 風險修改的挑戰：分析風險修改可能面臨的挑戰，如技術限制、成本限制、時間限制、資源限制、組織文化阻力等。
  • 克服風險修改限制的方法：探討如何克服風險修改的限制，如技術創新、成本優化、資源整合、文化變革等。
• Control categories (控制類別)：
  • 控制類別分類：介紹控制措施的不同分類方式，如預防性控制、偵測性控制、矯正性控制、實體控制、技術控制、管理控制等。
  • 不同控制類別的特性與應用：講解不同控制類別的特性和適用場景，以便根據風險特性選擇合適的控制措施。
• Control examples (控制措施範例)：
  • 資料中心控制措施範例：列舉資料中心常用的控制措施範例，涵蓋實體安全、網路安全、系統安全、資料安全、營運安全等各個方面，如門禁系統、監視系統、防火牆、入侵偵測系統、存取控制、資料加密、備份與恢復、災難復原計畫等。
• Cost-benefit analysis (成本效益分析)：
  • 成本效益分析的重要性：闡述成本效益分析在風險處理決策中的重要性，確保風險處理方案的經濟性和可行性。
  • 成本效益分析的方法：介紹成本效益分析的方法，包括成本估算、效益評估、成本效益比計算等。
  • 成本效益分析的應用：指導學員如何運用成本效益分析方法，評估不同風險處理方案的成本和效益，選擇最佳的風險處理方案。
• Control implementation (控制措施實施)：
  • 控制措施實施流程：講解控制措施實施的流程，包括控制措施規劃、控制措施部署、控制措施測試、控制措施文件化、控制措施維護等。
  • 控制措施實施的挑戰：分析控制措施實施可能面臨的挑戰，如技術複雜性、整合難度、人員配合、資源限制等。
  • 控制措施實施的最佳實踐：介紹控制措施實施的最佳實踐，如專案管理方法、變更管理流程、測試驗證機制、持續監控與維護等。
• Residual risk (殘餘風險)：
  • 殘餘風險的定義與特性：講解殘餘風險的定義，即實施風險處理措施後仍然存在的風險。
  • 殘餘風險的管理：強調即使實施了風險處理措施，仍然需要對殘餘風險進行管理，包括監控、審查、接受或進一步處理。
  • 殘餘風險接受標準：制定殘餘風險接受標準，明確組織可以接受的殘餘風險水平。

Communication (溝通)

本模組強調風險溝通在風險管理中的重要性，講解如何有效地溝通風險管理活動。

• Effective communication of risk management activities (風險管理活動的有效溝通)：
  • 溝通目標與原則：明確風險溝通的目標，如提升風險意識、促進風險決策、增強利害關係人信心等，以及風險溝通的原則，如及時性、準確性、清晰性、相關性、可理解性等。
  • 溝通管道與方法：介紹常用的風險溝通管道和方法，如會議、報告、電子郵件、內部網路、培訓、宣傳等，以及不同溝通管道和方法的適用場景和優缺點。
  • 溝通內容與形式：明確風險溝通的內容，如風險政策、風險評估結果、風險處理方案、風險事件通報等，以及溝通的形式，如書面報告、口頭報告、簡報、圖表等。
• Benefits and concerns of communication (溝通的益處與顧慮)：
  • 風險溝通的益處：分析有效的風險溝通為組織帶來的益處，如提升風險意識、促進風險決策、增強利害關係人信心、改善組織文化等。
  • 風險溝通的顧慮：探討風險溝通可能存在的顧慮，如資訊洩露風險、誤解風險、恐慌風險、溝通成本等，以及如何應對這些顧慮。

Risk Monitoring and Review (風險監控與審查)

本模組深入探討風險管理流程的最後一個關鍵步驟 – 風險監控與審查，詳細講解如何持續監控風險狀況，並定期審查風險管理體系。

• Ongoing monitoring and review (持續監控與審查)：
  • 監控與審查的目的與重要性：再次強調監控與審查在風險管理中的重要性，確保風險管理體系的有效性和持續改進。
  • 監控與審查的範圍與頻率：明確監控與審查的範圍，包括風險狀況、控制措施有效性、風險管理流程等，以及監控與審查的頻率，如定期監控、定期審查、事件驅動審查等。
  • 監控與審查的責任人：明確監控與審查的責任人，確保監控與審查活動的有效執行。
• Criteria for review (審查標準)：
  • 審查標準的制定：講解如何制定審查標準，用於評估風險管理體系的有效性，如風險管理政策是否得到有效執行、風險評估流程是否符合要求、風險處理措施是否有效降低風險、風險溝通是否暢通、風險監控是否及時等。
  • 審查方法的選擇：介紹常用的審查方法，如文件審查、訪談、測試、稽核等，以及不同審查方法的適用場景和優缺點。
• Risk scenarios (風險情境)：
  • 風險情境分析方法：介紹風險情境分析方法，用於模擬各種可能的風險情境，評估風險事件對資料中心的影響。
  • 常見資料中心風險情境：列舉常見的資料中心風險情境，如電力中斷情境、冷卻系統失效情境、網路攻擊情境、自然災害情境、人為錯誤情境等。
  • 風險情境演練：強調風險情境演練的重要性，通過模擬演練，檢驗風險應變計畫的有效性，提升應對突發事件的能力。

Risk assessment approach (風險評估方法) * 風險評估方法的選擇：

根據不同的資料中心環境和風險特性，選擇合適的風險評估方法，如定量風險評估、定性風險評估、混合風險評估等。 * 風險評估方法的整合應用：探討如何將不同的風險評估方法整合應用，以提高風險評估的全面性和準確性。

Data centre site selection (資料中心選址) * 選址風險考量：

講解資料中心選址時需要考慮的風險因素，如自然災害風險、地理位置風險、基礎設施風險、安全風險、合規風險等。 * 選址風險評估流程：介紹資料中心選址風險評估流程，包括風險識別、風險分析、風險評價、風險處理等階段。 * 選址風險降低措施：探討如何通過選址策略和技術手段，降低資料中心選址風險。

Data centre facility (資料中心設施) * 設施風險分析：

深入分析資料中心設施各個方面的風險，如電力系統風險、冷卻系統風險、消防系統風險、保安系統風險、網路系統風險等。 * 設施風險控制措施：介紹資料中心設施風險控制措施，包括設計階段的風險預防、建造階段的品質控制、營運階段的維護保養、升級改造階段的風險評估等。 * 設施風險管理最佳實踐：分享資料中心設施風險管理的最佳實踐經驗，如冗餘設計、預防性維護、定期測試、應急演練等。

Cloud computing (雲端運算) * 雲端運算風險特性：

分析雲端運算環境下資料中心風險的獨特性，如資料安全風險、供應商依賴風險、合規風險、可用性風險等。 * 雲端運算風險管理策略：探討雲端運算環境下資料中心風險管理策略，包括風險評估方法、風險處理措施、風險監控機制等。 * 雲端服務供應商風險管理責任：明確雲端服務供應商在雲端運算風險管理中的責任，以及客戶的風險管理責任。

UPS scenarios (UPS 情境) * UPS 系統風險分析：

深入分析不斷電系統 (UPS) 可能存在的風險，如設備故障風險、維護風險、操作風險、環境風險等。 * UPS 系統風險應對措施：介紹 UPS 系統風險應對措施，包括設備選型、安裝、測試、維護、操作、監控等方面的最佳實踐。 * UPS 系統風險情境演練：通過 UPS 系統風險情境演練，檢驗 UPS 系統的可靠性和應急能力，提升應對電力故障的能力。

Force majeure (不可抗力) * 不可抗力事件風險分析：

分析資料中心可能面臨的不可抗力事件風險，如自然災害（地震、颱風、洪水、火災等）、社會事件（戰爭、恐怖攻擊、政治動盪等）。 * 不可抗力事件應變計畫：講解如何制定不可抗力事件應變計畫，包括預防措施、應急響應流程、災後復原策略等。 * 不可抗力事件風險轉移：探討如何通過保險等手段，將不可抗力事件風險轉移給第三方。

Organisational shortcomings (組織缺陷) * 組織管理風險分析：

分析組織管理方面可能存在的風險，如缺乏風險管理文化、組織架構不合理、職責不清、溝通不暢、資源不足、技能不足等。 * 組織管理風險改進措施：介紹組織管理風險改進措施，包括建立風險管理文化、優化組織架構、明確職責、加強溝通、提供資源、提升技能等。 * 組織管理風險管理最佳實踐：分享組織管理風險管理的最佳實踐經驗，如高階管理層支持、全體員工參與、持續改進機制等。

Human failure (人為失誤) * 人為失誤風險分析：

分析資料中心營運中人為失誤可能造成的風險，如操作失誤、配置錯誤、維護疏忽、安全意識薄弱等。 * 人為失誤風險降低措施：介紹人為失誤風險降低措施，包括流程標準化、自動化工具應用、人員培訓、雙重驗證機制、錯誤預防設計等。 * 人為失誤風險管理最佳實踐：分享人為失誤風險管理的最佳實踐經驗，如建立容錯系統、實施錯誤記錄與分析、推動學習型組織文化等。

Technical failure (技術故障) * 技術故障風險分析：

分析資料中心技術設備可能發生的故障風險，如硬體故障、軟體錯誤、網路中斷、系統崩潰等。 * 技術故障風險預防措施：介紹技術故障風險預防措施，包括設備選型、品質控制、冗餘設計、預防性維護、定期測試、監控系統部署等。 * 技術故障風險應變措施：講解技術故障發生後的應變措施，包括故障診斷、故障排除、備援系統啟動、災難復原等。

Deliberate acts (蓄意行為) * 蓄意行為風險分析：

分析資料中心可能面臨的蓄意行為風險，如內部威脅、外部攻擊、商業間諜、破壞活動等。 * 蓄意行為風險防禦措施：介紹蓄意行為風險防禦措施，包括實體安全措施、網路安全措施、資料安全措施、人員安全措施、監控與偵測機制等。 * 蓄意行為事件應變處理：講解蓄意行為事件發生後的應變處理流程，包括事件通報、事件調查、事件控制、事件復原、法律追究等。

認證的考試與認證流程

CDRP® 認證考試為閉卷、複選題形式，共 40 題，考試時間為 1 小時。考生需答對 27 題以上方可通過考試。考試內容涵蓋 CDRP® 課程的所有模組，重點考察學員對資料中心風險管理知識的理解和應用能力。

通過 CDRP® 考試的學員，將獲得由國際認證機構 EXIN 頒發的「Certified Data Centre Risk Professional (CDRP®) 認證證書」。該證書為國際認可，在全球範圍內通用，有效期為 3 年。證書到期後，持證者需要參加再認證以維持證書有效性。

CDRP® 認證流程簡潔高效，學員可通過以下步驟完成認證：

1. 報名參加 CDRP® 認證課程：學員可選擇 EPI 授權的培訓機構或線上平台報名參加 CDRP® 認證課程。
2. 完成 CDRP® 課程學習：學員需完成 CDRP® 課程的所有模組學習，掌握課程內容。
3. 參加 CDRP® 認證考試：學員在完成課程學習後，可報名參加 CDRP® 認證考試。
4. 通過 CDRP® 認證考試：考試成績達到合格標準（答對 27 題以上）。
5. 獲得 CDRP® 認證證書：通過考試的學員將獲得 CDRP® 認證證書。
6. 定期再認證：CDRP® 認證證書有效期為 3 年，到期後需參加再認證以維持證書有效性。

認證的職業發展與應用

CDRP® 認證作為資料中心風險管理領域的國際權威認證，為持證者帶來廣闊的職業發展前景和應用價值。

• 提升專業能力，拓展職業發展空間：CDRP® 認證證明持證者具備系統化的資料中心風險管理知識和技能，使其在求職和晉升中更具競爭力。

• 擔任資料中心風險管理相關職位：CDRP® 認證是擔任資料中心風險管理師、風險評估師、安全經理、資料中心經理等職位的有力證明。

• 提升企業資料中心風險管理水平：企業擁有 CDRP® 認證的專業人才，有助於建立完善的風險管理體系，提升資料中心整體安全性和營運效率。

• 獲得業界認可，提升個人聲譽：CDRP® 認證是國際公認的專業認證，獲得認證代表著個人在資料中心風險管理領域的專業能力得到業界認可，有助於提升個人聲譽和影響力。

• 持續學習，掌握最新趨勢：CDRP® 認證要求定期再認證，促使持證者持續學習和更新知識，掌握資料中心風險管理領域的最新趨勢和技術。

與其他常見國際課程的比較

資料中心風險管理領域存在多種國際認證課程，CDRP® 認證以其獨特的優勢在眾多課程中脫穎而出。以下將 CDRP® 認證與其他常見國際課程進行比較：

• CDRP® vs. CDCP® (Certified Data Centre Professional)：CDCP® 認證側重於資料中心設計、建造和營運的各個方面，而 CDRP® 認證則專注於資料中心風險管理。CDCP® 為資料中心專業人員提供全面的基礎知識，CDRP® 則在風險管理領域提供更深入的專業知識。兩者相輔相成，共同構建資料中心專業人才的知識體系。

• CDRP® vs. CRISC (Certified in Risk and Information Systems Control)：CRISC 認證是由 ISACA (國際資訊系統審計協會) 提供的資訊系統風險與控制認證，涵蓋更廣泛的資訊科技風險管理領域，不僅限於資料中心。CDRP® 則更專注於資料中心特定風險的管理，內容更深入、更具針對性。

• CDRP® vs. ISO 27005 Risk Manager：ISO 27005 是資訊安全風險管理標準，ISO 27005 Risk Manager 認證基於該標準，提供通用的資訊安全風險管理知識。CDRP® 則在 ISO 27005 標準的基礎上，結合資料中心產業的特殊性，提供更具實務性的風險管理指導。

總體而言，CDRP® 認證以其專注性、實務性和國際認可度，成為資料中心風險管理領域的領先認證課程。

認證的未來趨勢

隨著資料中心產業的快速發展和風險環境的日益複雜，CDRP® 認證的未來發展前景廣闊。

• 需求持續增長：隨著企業對資料中心依賴程度的加深，以及對資料中心風險防護意識的提高，市場對 CDRP® 認證專業人才的需求將持續增長。

• 應用領域不斷擴展：CDRP® 認證的應用領域將不僅限於傳統資料中心，還將擴展到邊緣資料中心、雲端資料中心、混合雲環境等新型資料中心。

• 認證內容持續更新：EPI 將根據產業發展趨勢和風險變化，持續更新 CDRP® 認證課程內容，確保認證的時效性和前瞻性。

• 與新技術融合：CDRP® 認證將更加重視新技術在資料中心風險管理中的應用，如人工智慧、大數據分析、物聯網、區塊鏈等，培養具備新技術應用能力的風險管理人才。

結論

EPI CDRP® 認證課程以其系統化、實務性、國際化的特色，為資料中心產業培養了大量優秀的風險管理專業人才，為提升資料中心風險防護能力做出了重要貢獻。在數位經濟時代，CDRP® 認證的價值將更加凸顯，成為資料中心專業人士職業發展的助推器，以及企業提升資料中心安全性的重要保障。

常見問答

引用資料來源

• EPI 官方網站：https://www.epi-ap.com/
• Certified Data Centre Risk Professional (CDRP®) 課程介紹：https://www.epi-ap.com/services/1/3/9/Certified_Data_Centre_Risk_Professional_(CDRP)