AI Security Certification 怎樣選？AAISM、AAIA、AAIR 與 CompTIA SecAI+ 比較

如果你從事 IT Security、IT Audit、Risk Management 或 Compliance，相信已經留意到 AI 正逐漸改變企業的資訊安全及風險管理工作。隨著企業開始將 AI 應用於客戶服務、財務分析、內部營運及業務決策，專業人員除了需要應付傳統網絡安全威脅，亦要了解 AI 系統可能帶來的資料安全、模型風險、監管及合規問題。

對於已持有 CISA、CISM、CISSP 或 CRISC 等專業資格的人士，是否值得進一步考取 AI Security Certification？AAISM、AAIA、AAIR 與 CompTIA SecAI+ 又有甚麼分別？

這四項認證各有不同的專業定位：AAISM 著重 AI 安全管理、AAIA 聚焦 AI 審計、AAIR 專注 AI 風險管理，而 CompTIA SecAI+ 則偏向 AI 系統防護及網絡安全技術應用。 選擇時，應先考慮自己目前的工作職責、專業背景，以及希望進一步發展的專業方向。

企業開始採用 AI，為甚麼需要加強 AI Governance？

AI 已不再只是 IT 部門的技術議題。當企業將 AI 整合至日常營運，如何確保系統安全、資料可靠、決策受到適當監督，以及符合相關監管要求，亦成為企業管理層及不同專業團隊需要處理的問題。

以香港金融業為例，香港金融管理局 於 2026 年 10 月公布 ART Framework，以 Accountability（問責）、Resilience（韌性）及 Trust（信任）作為銀行業負責任採用 AI 的重要方向。這反映 AI 的應用已不單涉及技術部署，亦需要企業建立相應的管理、風險及控制機制。

對 IT Security、Audit 及 Risk Professionals 而言，可以從以下三個範疇理解 AI 帶來的新要求。

1. AI Governance：企業如何管理 AI 系統？

AI Governance（AI 管治）主要關注企業如何建立 AI 使用政策、分配管理責任、設立審批程序，以及監察 AI 系統在整個生命週期中的運作。

例如，一間金融機構希望利用 AI 分析客戶資料，除了評估模型的準確度，亦需要明確界定誰有權批准 AI 系統投入使用、誰負責監察異常結果，以及當模型出現問題時應如何通報和處理。

因此，AI Governance 不只是技術團隊的工作，亦涉及企業管治、資訊安全、內部審計及風險管理。

2. AI Compliance：如何確保 AI 應用符合相關要求？

AI Compliance（AI 合規）關注企業使用 AI 時，是否符合適用的法律、監管要求、行業標準及內部政策。

例如，企業在採購第三方 AI 工具時，需要了解供應商如何處理資料、是否設有適當的存取控制，以及如何管理模型更新和相關風險。

對原本從事 GRC、IT Risk 或 Compliance 的專業人士而言，這代表需要將既有的合規管理方法延伸至 AI 應用，而不是完全轉換至技術開發工作。

3. AI Privacy Protection：如何保障個人資料？

AI 個人資料私隱保障，聚焦 AI 系統在收集、使用、處理及儲存個人資料時可能產生的風險。

例如，員工使用生成式 AI 處理包含客戶個人資料的文件，企業便需要考慮是否容許輸入相關資料、如何限制資料存取，以及如何防止敏感資訊被不當披露。

香港個人資料私隱專員公署 已發布《人工智能（AI）：個人資料保障模範框架》，就企業採購、實施及使用 AI 時的個人資料保障提供建議，涵蓋 AI 策略及管治、風險評估、人為監督，以及 AI 系統的實施與管理。

這些要求說明，AI Security 並不只是防止網絡攻擊，亦涉及資料私隱、企業責任及風險監察。

香港企業開始招聘 AI Governance 人才，需要哪些專業能力？

近期香港的相關招聘亦反映企業對 AI Governance、Data Governance 及 Technology Risk 專業能力的關注。

例如，證監會 於 2026 年 10 月刊登 Senior Manager (Data & AI Governance) 職位，工作範圍包括建立企業 AI Governance Framework、制定政策及控制措施、評估 AI 風險，以及監察資料私隱和資訊安全。職位要求涉及 Data Governance、AI Governance、Technology Risk 或 Compliance 等相關經驗，並將 CISA、CRISC 等專業資格列為優勢。

這類工作不一定只要求候選人具備 AI 模型開發能力，亦重視能否結合既有資訊安全、審計及風險管理經驗，處理 AI 系統帶來的管理及控制問題。

對已有專業資格及相關工作經驗的人士而言，進一步了解 AI Security、AI Audit 或 AI Risk 認證，可以幫助自己將現有專業能力延伸至 AI 應用場景。

不過，相關認證並非上述職位的普遍強制要求，亦不能取代實際工作經驗。選擇課程時，仍應以自身工作職責及未來發展方向為主要考慮。

AAISM、AAIA、AAIR、CompTIA SecAI+ 有甚麼分別？

如果正在比較不同 AI Security 認證，最重要的是了解每項認證所針對的專業職能，而不是單憑名稱中的 AI 或 Security 作出選擇。

認證	核心專業方向	適合對象
AAISM – Advanced in AI Security Management	AI 安全管理、政策及控制	CISM、CISSP 持有人及資訊安全管理人員
AAIA – Advanced in AI Audit	AI 審計及保證	CISA 持有人及符合資格的 IT Audit 專業人士
AAIR – Advanced in AI Risk	AI 風險評估、管理及監察	CRISC 持有人及其他合資格風險管理專業人士
CompTIA SecAI+	AI 系統安全及網絡安全技術應用	Security Analyst、SOC Analyst、Security Engineer、DevSecOps 等技術人員

 

AAISM：適合希望管理企業 AI Security 的專業人士

ISACA 的 Advanced in AI Security Management（AAISM）主要面向已有資訊安全管理經驗的人士，協助他們將既有安全管理知識延伸至 AI 系統。

其考試內容分為三個主要範疇：

• AI Governance and Program Management（31%）
• AI Risk Management（31%）
• AI Technologies and Controls（38%）

學習內容涉及 AI 安全政策、資料生命週期管理、AI Risk Assessment、供應鏈管理、安全架構及監控措施。

如果你已有 CISM 或 CISSP 資格，並希望進一步參與企業 AI Security Policy、風險管理或管理層決策，AAISM 是值得考慮的進修方向。

報考資格： 考生必須持有有效的 CISM 或 CISSP 資格，並符合 ISACA 其他認證要求。

Kornerstone 的 AAISM 專業培訓 涵蓋 AI Governance、AI Risk Management 及 AI Technologies and Controls，並以官方考試範疇為基礎安排學習內容。

AAIA：適合希望將 IT Audit 經驗延伸至 AI 系統的人士

ISACA 的 Advanced in AI Audit（AAIA）聚焦如何審核企業 AI 系統的管治、營運、風險控制及相關程序。

例如，審計人員可能需要評估 AI 模型的資料來源、測試及監察機制是否適當，企業是否設立清晰的責任分工，以及相關控制措施是否有足夠的審計證據。

AAIA 的考試涵蓋：

• AI Governance and Risk（33%）
• AI Operations（46%）
• AI Auditing Tools and Techniques（21%）

對已持有 CISA 的 IT Auditor 而言，AAIA 可以作為現有審計專業的延伸，讓自己進一步掌握 AI 系統審計及保證工作。

報考資格： 考生須持有 CISA，或符合 ISACA 指定的其他審計或會計專業資格及相關 IT Audit/IT Advisory 工作要求。

Kornerstone 的 AAIA 課程 以 AI Governance、AI Operations 及 AI Auditing Tools and Techniques 為核心，協助 IT Audit 專業人士理解 AI 系統的設計、營運、風險及控制。

AAIR：適合希望專注企業 AI Risk 的管理人員

Advanced in AI Risk（AAIR）是 ISACA 推出的進階 AI 風險管理認證，著重協助風險管理專業人士評估 AI 系統在不同應用場景下的潛在風險，並建立相應的管理及監察機制。

其考試涵蓋三個主要範疇：

• AI Risk Governance and Framework Integration（37%）
• AI Life Cycle Risk Management（21%）
• AI Risk Program Management（42%）

學習內容包括 AI Risk Assessment、AI Model Testing、AI Risk Treatment、AI Controls、第三方供應鏈風險及持續監察。

對原本從事 Enterprise Risk Management、Technology Risk、GRC 或 IT Risk 的專業人士而言，AAIR 可以幫助他們將現有風險管理知識應用於 AI 系統的整個生命週期。

報考資格： 考生須持有 ISACA 指定的合資格認證，例如 CISA、CISM、CRISC、CGEIT 或 CDPSE，或符合官方認可的其他非 ISACA 專業資格要求。

Kornerstone 是香港首間推出 AAIR 培訓的機構，讓本地合資格的風險管理專業人士可以在香港接受相關專業培訓。課程亦按官方考試領域及比重安排，涵蓋 AI Risk Governance、Life Cycle Risk Management 及 Risk Program Management。

Kornerstone 的 AAIR 培訓課程 亦透過情境式學習，協助學員理解如何在企業環境中識別、評估、處理及監察 AI 相關風險。

CompTIA SecAI+：適合希望加強 AI 網絡安全實務能力的人士

如果你希望加強的是 AI 系統防護、網絡威脅偵測及安全營運，而非主要負責管理政策或審計，則可以考慮 CompTIA SecAI+。

這項認證較偏向技術實務，學習內容包括：

• AI Concepts Related to Cybersecurity
• Securing AI Systems
• AI-assisted Security
• AI Governance, Risk and Compliance

例如，SOC Analyst 可以了解如何利用 AI 改善威脅偵測及事件回應，同時認識 AI 系統本身可能面對的 Prompt Injection、Data Poisoning 及資料外洩等風險。

CompTIA 建議考生具備約 3 至 4 年 IT 經驗，其中包括約 2 年實際 Cybersecurity 工作經驗；Security+、CySA+、PenTest+ 或同等知識亦有助準備。這些屬建議背景，並非正式強制報考資格。

Kornerstone 的 CompTIA SecAI+ 培訓 涵蓋 AI Threat Modelling、AI System Security、Access Controls、AI-related Threats，以及 AI Governance、Risk and Compliance，適合希望將 AI 技術安全知識應用於 Cybersecurity 工作的人士。

已持有 CISA、CISM、CISSP 或 CRISC，應如何選擇 AI Certification？

如果你已經持有相關專業資格，可以先從目前的工作職責出發，判斷哪一方面的 AI 專業能力最值得進一步提升。

現有專業背景	建議了解的認證	主要進修方向
CISM/CISSP	AAISM	AI Security Management、企業安全政策及控制
CISA/合資格 Audit Professionals	AAIA	AI Audit、Control Assessment 及 Assurance
CRISC/合資格 Risk Professionals	AAIR	AI Risk Assessment、Risk Treatment 及 Monitoring
Security+/CySA+/PenTest+ 等技術背景	CompTIA SecAI+	AI System Security、Threat Detection 及 Security Operations

 

需要留意，這是按專業方向提供的選課建議，並不代表持有上述任一資格便自動符合所有認證的報考要求。特別是 AAISM、AAIA 及 AAIR，均有各自指定的前置資格。

如果你的工作同時涵蓋 Security、Risk 和 Compliance，亦可以根據目前最需要提升的能力，選擇適合的進修次序。

為甚麼選擇 KORNERSTONE 的 AI Security 課程？

選擇 AI Security 培訓機構時，除了比較認證內容，亦應考慮導師是否具備相關專業背景，以及培訓內容能否配合實際工作需要。

Kornerstone 提供 AAISM、AAIA、AAIR 及 CompTIA SecAI+ 等不同 AI 專業課程，涵蓋 AI Security Management、AI Audit、AI Risk Management 及 Cybersecurity 技術應用，讓學員可以按自身的工作背景及專業目標選擇合適的進修方向。

具備多項 AI 專業課程及認證知識的導師團隊

Kornerstone 的導師團隊熟悉不同 AI 專業範疇及相關認證要求，並具備 IT 管理、資訊安全、審計、風險管理及企業培訓等豐富經驗。

例如，AAISM 課程導師 Henry Yeung 擁有超過 20 年 IT 管理經驗，並自 2018 年起擔任企業培訓導師，曾為大學、商會及科技企業講授 AI Security、Governance 及安全數碼轉型相關內容。

AAIA 課程亦由具備豐富資訊安全及網絡安全經驗的導師帶領，涵蓋 Cloud Security、Network Security、Security Operations 及 Cybersecurity Advisory 等專業範疇。

透過不同專業背景的導師分享，學員除了掌握認證所需的知識，亦能了解各項 AI 技能如何與現有工作職責連繫，並獲得適合自身背景的學習建議。

ISACA 官方認可培訓資格

Kornerstone 為 ISACA 官方認可的 Elite 級培訓夥伴，而現有課程亦按 ISACA 的認證目標和考試範疇安排培訓內容。

AAISM、AAIA 及 AAIR 課程均提供官方 ISACA 教材，並按相關認證的考試領域及比重安排培訓內容，讓學員有系統地準備考試。

實務及情境導向的學習方式

AI Security、Audit 及 Risk 並非只涉及理論知識。課程亦會透過實際情境，協助學員理解 AI Risk Assessment、Security Controls、Audit Procedures 及 Governance Frameworks 的應用，將認證知識與日常工作連繫。

Kornerstone 亦提供不同 AI 專業培訓及企業內部培訓安排，方便個人及機構按實際需要選擇合適的學習方式。

AI Security Certification 常見問題

1. 已有 CISA，應該先考 AAIA 還是 AAIR？

主要取決於你的工作方向。如果日常工作以 IT Audit、內部控制及審計保證為主，AAIA 較貼近原有專業；如果工作逐漸涉及 Enterprise Risk、AI Risk Assessment 或向管理層提供風險建議，則可以了解 AAIR。

不過，兩項認證都有不同的報考資格，應先確認自己是否符合 ISACA 的要求。

2. 沒有 CISM 或 CISSP，可以報考 AAISM 嗎？

按照 ISACA 目前的認證要求，AAISM 候選人必須持有有效的 CISM 或 CISSP 資格。如果尚未符合要求，可以先考慮建立相關資訊安全管理專業背景，再規劃 AI Security 的進修方向。

3. AI Governance、AI Security 和 AI Risk 有甚麼分別？

AI Governance 著重企業如何建立 AI 政策、管理責任及監督機制；AI Security 聚焦 AI 系統及相關資料的安全防護；AI Risk 則關注識別、評估及處理 AI 在不同應用階段可能產生的風險。

三者互相配合，但涉及不同的工作職責，因此相關認證亦有不同定位。

4. 完成 AI Security 培訓課程後，是否可以直接取得認證？

不一定。完成培訓課程與取得專業認證是兩個不同程序。申請人仍須符合發證機構的相關要求，包括指定前置資格、通過認證考試及完成相關申請程序。

有意進修 AI Security？

隨著企業逐步將 AI 應用於日常營運，資訊安全、審計及風險管理專業人士亦需要持續了解新的技術及管理要求。

無論你希望從 AI Security Management、AI Audit、AI Risk，還是 AI 網絡安全技術應用入手，選擇符合自己工作背景及專業目標的認證，會是更有效的進修起點。

Kornerstone 提供 AAISM、AAIA、AAIR 及 CompTIA SecAI+ 等專業培訓。

如果你想了解更多有關課程內容、報考資格、上課時間或費用，歡迎透過下方的 Course Enquiry 聯絡我們，了解適合自己的 AI Security 進修選擇。