Question 316
場景 1：Fintive 是一家傑出的線上支付和保護解決方案安全提供者。 Fintive 於 1999 年由 Thomas Fin 在加州聖荷西創立，為線上營運、希望提高資訊安全、防止詐欺並保護 PII 等用戶資訊的公司提供服務。 Fintive的決策和營運流程以以往的案例為中心。他們收集客戶數據，根據情況進行分類並進行分析。該公司需要大量員工才能進行如此複雜的分析。然而，幾年後，協助進行此類分析的技術也取得了進展。現在，Fintive 正計劃使用現代工具聊天機器人來實現模式分析，以即時防止詐騙。該工具也將用於幫助改善客戶服務。
這個最初的想法已傳達給軟體開發團隊，他們支持該想法並被分配從事該專案。他們開始將聊天機器人整合到現有系統中。此外，團隊也為聊天機器人設定了一個目標，即回答 85% 的聊天查詢。
聊天機器人成功整合後，該公司立即將其發布給客戶使用。
然而，聊天機器人似乎存在一些問題。
由於測試不足，並且在訓練階段缺乏向聊天機器人提供的樣本（在訓練階段，聊天機器人本應「學習」查詢模式），因此聊天機器人無法解決用戶查詢並提供正確的答案。此外，當聊天機器人收到無效輸入（例如奇怪的點圖案和特殊字元）時，它會向使用者發送隨機檔案。因此，聊天機器人無法正確回答客戶的查詢，而傳統的客戶支援因聊天查詢而不堪重負，因此無法幫助客戶解決他們的請求。
因此，Fintive 制定了軟體開發政策。該政策規定，無論軟體是內部開發還是外包，在作業系統上實施之前都將經過黑盒測試。
根據場景 1，聊天機器人在收到無效輸入時會向使用者發送隨機檔案。這可能會導致什麼影響？
Question 317
下列哪一項最能描述第二階段第三方審核的主要目的？
Question 318
問題：
哪種類型的審計要求受審計方和審計團隊在進行審計之前就遠端存取協議達成一致？
Question 319
場景 3：Rebuildy 是一家位於泰國曼谷的建築公司，專門從事住宅建築的設計、建造和維護。為了確保敏感專案資料和客戶資訊的安全，Rebuildy 決定實施基於 ISO/IEC 27001 的資訊安全管理系統 (ISMS)。
ISMS 實施成果如下
* 資訊安全是透過應用一系列安全控制和製定政策、流程和程序來實現的。
* 安全控制是根據風險評估實施的，旨在消除風險或將風險降低到可接受的水平。
* 所有流程均基於計劃-執行-檢查-行動 (PDCA) 模型確保 ISMS 的持續改進。
* 資訊安全政策是根據最佳安全實務起草的安全手冊的一部分，因此，它不是一份獨立的文件。
* 資訊安全角色和職責已在每位員工的職位說明中明確說明
* 資訊安全管理系統的管理評審是依照計畫的時間間隔進行的。
Rebuildy 在經歷了兩次中期管理評審和一次年度內部審計後申請了認證。該前員工向審計團隊成員 Electra 提交了書面證據，Rebuildy 的主要客戶 Electra 也提交了有關相同問題的證據，審計員決定保留這份證據，而不是前員工的證據。審計團隊成員一直與 Electra 保持聯繫，直至審計完成，討論審計期間發現的不符合。伊萊克特拉提供了額外的證據來支持這些發現。
在審核開始時，審核小組對公司高階主管進行了訪談，討論了高階主管對 ISMS 實施的承諾等事項。從這些討論中獲得的證據都記錄在書面確認書中，用於確定 Rebuildy 是否符合 ISO/IEC 27001 的幾個條款。其中，發現以下不符合：
* 在公司的財務報告系統中偵測到了不當的使用者存取控制設定實例。
* 尚未建立獨立的資訊安全政策。相反，該公司使用根據最佳安全實踐起草的安全手冊。
在收到審計團隊的這些文件後，團隊負責人會見了 Rebuildy 的高層管理層，介紹了審計結果。審計小組報告了與財務報告系統和缺乏獨立資訊安全政策有關的調查結果。高階主管對調查結果表示不滿，並認為審計組長的行為不專業，暗示他們可能會要求更換組長。迫於壓力，審計組長決定與高階主管合作，淡化所發現的不符合項的重要性。因此，審計團隊負責人調整了報告以呈現更有利的觀點，從而歪曲了 Rebuildy 合規問題的真實程度。
根據上述情景，回答以下問題：
審計師是否可以優先保留 Electra 提供的證據，而不是前員工提供的證據？