課程源起

在當前企業營運環境中，攻擊面迅速擴張已成為挑戰：不僅有傳統 IT 資產、應用系統，還涵蓋雲端服務、第三方 SaaS、身分與權限、供應鏈、作業系統建置錯誤、API 暴露等。雖然許多組織已建立弱點掃描、補丁管理機制，但仍然發生大量弱點存在卻未被利用，而真正造成重大安全事件的，往往是那些「可被利用」、「有攻擊路徑」且「對關鍵資產造成實質危害」的曝光點。
根據 Gartner 的研究，組織若採用持續性威脅暴露管理 (CTEM) 的架構，在 2026 年前發生資安事件的機率可大幅降低。Gartner+2資安資訊網+2
此外，CTEM 概念自 2022 年提出以來，已被視為弱點管理邁向「被動掃描-修補」模式轉型至「主動偵測-優先處理-驗證動作」的關鍵。ctem.org+1
因此，本課程誕生，旨在協助資安團隊、弱點管理人員、風險治理單位、以及技術團隊深度理解並實踐 CTEM 框架，從而持續性管理企業中「哪些弱點／曝險最有意義」、「優先排序邏輯為何」、「如何驗證優處理成果」、「如何與 ISO 27001、零信任、縱深防禦架構整合」等關鍵流程。

課程目標

1. 理解傳統弱點管理何以不再符合法人需求，包括大量弱點、有限資源、優先排序困難、攻擊路徑不明等。
2. 掌握 CTEM 框架所解決的核心問題：攻擊面識別、弱點與曝險管理、優先排序、驗證與動員。
3. 熟悉 Gartner  最新 CTEM 架構分類與市場趨勢，辨識 EAP（Exposure Assessment Platforms）、AEV（Adversarial Exposure Validation）等新類別。資安資訊網+1
4. 掌握 CTEM 的五階段循環實務流程：範圍界定／資產與攻擊面辨識、弱點與曝險發現、優先排序、驗證控制有效性、動員與修復。ctem.org+1
5. 能從利害關係人視角、使用 SSVC（Stakeholder Specific Vulnerability Classification）、對比 CVSS（Common Vulnerability Scoring System）進行漏洞分類與優先處理。
6. 能將 CTEM 應用於地端、雲端、混合環境，並與縱深防禦架構、零信任、ISO 27001 等安全標準／框架進行整合。
7. 能制定並推動企業內弱點／曝險管理流程變革，從被動掃描向主動、持續曝光管理轉型，提升資安防護成熟度及韌性。

適合對象

• 資訊安全長 (CISO)、資安主管、弱點管理／漏洞管理負責人
• SOC／資安作業團隊、威脅偵測與回應 (TDR)、紅隊／藍隊工程師
• 資產管理、配置管理、雲端安全、身分與存取治理 (IAM) 團隊成員
• 企業風險管理、資訊治理、稽核、合規人員，需掌握「弱點／曝險管理從技術至治理全鏈」者
• 對 CTEM 架構、趨勢、優先排序邏輯、驗證流程有興趣，並希望將其導入組織者
• 希望將 CTEM 與 縱深防禦、零信任、ISO 27001 等框架整合應用的跨部門專案負責人

課程特色

• 全面涵蓋 CTEM 框架全景（15 個課程單元）：從傳統弱點管理的限界出發，透過 CTEM 五階段實務解析、利害關係人優先分類、地端與雲端應用、治理整合，到 AI 代理、資安標準聯動等議題，一型課程即呈現完整脈絡。
• 強化實務導向：優先排序 + 驗證 + 動員：課程設計不僅「找出弱點」，更聚焦「哪些先處理」、「如何驗證處理有效性」、「如何動員跨單位推動」—正是 CTEM 與傳統弱點管理的核心差異。
• 結合國際趨勢與標準：Gartner CTEM 、Attack Path 分析、SSVC、CVSS、縱深防禦、零信任、ISO 27001 整合，學員可快速接軌國際資安管理框架。
• 跨環境適用性強：課程內容兼顧地端、雲端、混合式環境，可應用於各類 IT／OT／雲端架構，企業導入難度低且適用範圍廣。
• 利益相關人視角導入：課程將弱點管理從技術操作提升至治理與風險評估層級，協助與 C-Suite、風險委員會、稽核單位對話，提升內部資源支持與決策效率。
• 互動式學習設計：課程安排案例討論、攻擊路徑模擬、優先排序演練、驗證流程設計，強化學員不只「學概念」，更能「做流程」。
• 21 小時密集授課：在約三天或七晚的安排下，提供集中且高效學習，適合企業專案啟動前或集中訓練時程。

課程大綱：

01.傳統弱點管理為何不符企業需求與失效 ?

02.當組織發現有大量漏洞與弱點和曝險後，應優先處理哪一個 ?

03.Gartner持續性威脅暴露管理(CTEM)框架解決方案

04.CTEM 解決了什麼問題

05.Gartner 最新 CTEM 架構分類

06.CTEM 的 5 個階段循環實務

   -攻擊面與攻擊路徑、弱點、曝露、配置錯誤與身份風險範例

   -MITRE ATT&CK 框架之應用

   -優先級排序的參考要點(可利用性、可達性...等)

06.以威脅為導向優先處理最關鍵的漏洞

07.利害關係人特定漏洞分類(SSVC) – 新安全漏洞評估指標

08.通用漏洞評分系統(CVSS)與利害關係人特定漏洞分類(SSVC)

09.為什麼 CTEM 是正確的解決方案

10.CTEM 與其它解決方案之差異

11.CVEM - 新世代連續性漏洞曝險管理 vs 傳統漏洞管理

12.CTEM 在地端、雲端與混合式環境之應用

13.CTEM與縱深防禦架構及零信任架構之整合應用

14.CTEM 與 ISO 27001之整合應用

15.CTEM、AI Agent、AI應用安全與資安標準和安全框架整合安全