INFORMATION SECURITY MANAGEMENT SYSTEM
ISO/IEC 27001資訊安全管理系統驗證
透過資訊資產辨識、風險評估、適當控制措施及持續改善，協助組織系統化管理資訊的機密性、完整性與可用性。
ABOUT ISO/IEC 27001
以風險管理建立資訊安全管理機制
ISO/IEC 27001是資訊安全管理系統的國際標準，適用於不同產業及規模的組織。標準要求組織依其營運環境、資訊資產、利害關係人及風險建立適當的資訊安全管理機制。
資訊安全不只涉及資訊部門或網路設備，也包含人員、紙本文件、營運流程、實體環境、委外服務、供應商及雲端系統等可能影響資訊安全的活動。
透過風險評估及風險處理，組織選擇適當的資訊安全控制措施，以維護資訊的機密性、完整性與可用性，並透過監督、內部稽核及管理審查持續改善。
第三方驗證是依據客觀證據確認資訊安全管理系統是否符合ISO/IEC 27001要求，而不是單純檢查防火牆、防毒軟體或資訊設備。
ISO/IEC 27001版本資訊
ISO/IEC 27001:2022是目前正式發布的第三版，並包含ISO/IEC 27001:2022/Amd 1:2024氣候行動修訂。
ISO/IEC 27002:2022提供資訊安全控制措施的實施指引，但組織申請的管理系統驗證標準是ISO/IEC 27001，不是ISO/IEC 27002。查看ISO/IEC 27001官方標準資訊
WHO CAN APPLY
需要管理重要資訊的組織均可評估導入
只要組織持有客戶、員工、技術、營運或其他重要資訊，就可能面臨資訊外洩、誤用、遺失、中斷或未授權存取等風險。
資訊科技與軟體服務
軟體開發、系統整合、SaaS、App、資訊維護及其他數位服務組織。
雲端與資料服務
雲端服務、資料中心、主機代管、資料處理、備份及託管服務。
金融與專業服務
金融、保險、會計、法律、人力資源及其他持有大量客戶資訊的服務組織。
製造與供應鏈
持有設計圖、配方、製程參數、客戶規格或供應鏈資料的製造組織。
醫療與教育機構
管理個人、醫療、研究、教學或其他敏感資訊的醫療及教育組織。
電子商務與一般企業
電子商務、零售、服務業，以及使用資訊系統處理客戶與營運資料的各類組織。
實際驗證範圍可涵蓋整個組織，也可以依據服務、部門、據點及資訊處理活動界定，但範圍必須清楚且具備合理性。
MANAGEMENT FOCUS
ISO/IEC 27001資訊安全管理重點
組織必須依營運環境與風險選擇適當控制措施，而不是直接套用相同的資訊安全檢查表。
01
系統範圍與管理責任
確認資訊安全管理系統的邊界、據點、活動、資訊系統、介面及管理責任。
02
資訊資產辨識
辨識資訊、設備、軟體、服務、人員、紙本文件及其他需要管理的重要資產。
03
風險評估與處理
建立風險準則，辨識威脅與弱點，評估可能性及影響，並規劃適當處理措施。
04
適用性聲明SoA
說明選用或排除哪些資訊安全控制措施，以及選擇、排除和實施狀態的依據。
05
身分與存取管理
管理帳號、權限、身分驗證、特權存取及人員異動，降低未授權存取資訊的風險。
06
供應商與雲端服務
評估委外單位、資訊供應商及雲端服務可能帶來的風險，並建立必要的安全要求與監督方式。
07
資安事件與營運持續
建立事件通報、評估、處理、證據保存及復原機制，並考量中斷期間的資訊安全要求。
08
監督、稽核與改善
透過績效監督、內部稽核、管理審查、不符合處理及矯正措施，持續改善管理系統。
2022版附錄A控制措施
SO/IEC 27001:2022附錄A包含93項參考控制措施，分為組織、人員、實體及技術四個主題。組織應依風險評估及相關要求決定適用措施，不代表所有控制措施都必須不加判斷地全部採用。
組織控制措施
37項
人員控制措施
8項
實體控制措施
14項
技術控制措施
34項
BUSINESS VALUE
建立可持續運作的資訊安全管理能力
ISO/IEC 27001將資訊安全納入組織治理與日常作業，使風險管理不只依賴個別資訊人員或單一技術工具。
01
系統化管理資訊風險
依一致的方法辨識、評估及處理資訊安全風險，並保留必要的管理證據。
02
強化客戶與供應鏈信任
透過第三方驗證提供管理系統符合性的客觀證據，回應部分客戶、合約或供應鏈要求。
03
改善事件應變能力
建立資安事件通報、處理、復原及經驗回饋機制，降低事件處理過程的混亂。
04
支持持續改善
透過目標、監督、稽核及管理審查，持續檢討控制措施與資訊安全績效。
ISO/IEC 27001驗證不代表組織永遠不會發生資訊安全事件，也不等同特定資訊產品或雲端服務的安全保證；實際成效仍取決於管理系統與控制措施是否持續有效執行。
GETTING READY
申請ISO/IEC 27001驗證前，可先準備哪些資料？
驗證範圍、人員、據點、資訊系統及委外活動均可能影響驗證安排與報價，初期應先提供正確的組織資訊。
組織與申請資料
- 公司名稱及統一編號
- 公司總人數
- 納入驗證範圍的人數
- 預計驗證據點
- 主要產品或服務
- 預計申請的驗證範圍
- 範圍內的部門及作業活動
- 使用的主要資訊系統
- 委外、雲端及資料處理服務
- 既有驗證或客戶合約要求
資訊安全管理資料
- 資訊安全政策與目標
- 資訊安全管理系統範圍
- 資訊資產盤點資料
- 風險評估與風險處理方法
- 風險評估及處理結果
- 適用性聲明SoA
- 資訊安全控制措施及紀錄
- 資安事件通報與處理程序
- 供應商及委外服務管理資料
- 內部稽核及管理審查紀錄
申請初期不一定需要一次提供全部管理文件。可先提供公司總人數、範圍內人數、據點、服務內容、資訊系統、委外活動及預計驗證範圍，再依後續確認結果補充資料。
CONTACT US
需要了解ISO/IEC 27001驗證方式與費用？
提供公司統編、公司總人數、驗證範圍內人數、據點、主要服務、資訊系統及預計驗證範圍，我們將協助確認驗證需求與報價資料。