ISO 27001 是資訊安全管理系統的國際標準，很多企業因為客戶或主管機關要求開始準備驗證。2022 年的改版，是近年最大的一次。

2022 版改了什麼

  • 控制項從 114 條變成 93 條：主要是把 57 條舊控制項合併成 24 條，另外新增 11 條，其餘大多只是改名或維持不變。
  • 結構大幅簡化：原本 14 個控制領域，收成 4 大主題——組織、人員、實體、技術。
  • 新增的方向：威脅情資、雲端服務的資安、營運持續的資通訊準備、實體安全監控、組態管理、資料刪除、資料遮罩、防止資料外洩、活動監控、網頁過濾、安全的程式開發。

改版的動機很清楚：雲端、遠距工作、資料外洩這些風險，在 2013 年舊版時還沒那麼普遍。

轉版一定要做的三件事

  1. 重做風險評鑑與風險處理計畫。
  2. 用新編號重寫適用性聲明（SoA）。
  3. 做一份新舊控制項的對應表：稽核員會用它檢查，有沒有控制項在轉版過程中被「無聲地」弄丟。

驗證是兩階段

  • 第一階段：看文件和準備度——文件齊不齊、範圍合不合理、政策有沒有核准。
  • 第二階段：看實際執行——要的是證據：紀錄、日誌、簽核、教育訓練簽到、事件處理單。

中小企業最常卡住的地方

  • 範圍畫太大：範圍是最重要的早期決定。畫太大，稽核成本和要做的控制都會暴增；建議先鎖定核心服務和支撐它的資產。
  • 證據不足：政策寫了，但沒有執行紀錄；內部稽核流於形式；管理審查沒有會議紀錄；改善措施沒追到結案。
  • SoA 跟風險處理計畫對不上。
  • 拿到證書就停擺：驗證是持續的，不是一次性的。

最務實的建議：範本可以用，但一定要依自己的實際流程改寫；把控制措施嵌進既有的工作流程（例如工單系統、變更申請），而不是另外再建一套沒人用的表單。

順帶一提：通過 27001 不等於符合 GDPR

ISO 27001 的管理系統，可以當作 GDPR「適當技術與組織措施」的佐證，但 GDPR 還有資料主體權利、告知義務、跨境傳輸等要求，兩者不能畫上等號。

資料來源

  • ISO/IEC 27001:2022 改版說明與稽核實務資料（整理於 2026-01）

封面圖由 AI 生成。