運用 ISO 27001 築起雲端資訊安全防線

雲端運算在德國企業中的普及程度如何？

根據 Bitkom 發布的《2025 年雲端報告》（2025 年 6 月 11 日），德國目前已有 90% 的企業採用雲端應用方案，相較於前一年的 81% 顯著增長。另有 10% 的企業正在規劃或討論部署雲端運算。這意味著，雲端科技已成為幾乎所有企業無法迴避的核心課題。

雲端運算早已成為企業營運不可或缺的基礎設施，甚至達到了「攸關生死」的關鍵程度：高達 62% 的企業表示，一旦失去雲端服務，公司將無法繼續運作。與此同時，市場對跨國技術依賴的疑慮亦日益加深：78% 的企業認為德國過度依賴美國的雲端服務供應商，而 82% 的企業則渴望看到德國或歐洲在地建立起強大的超大規模雲端服務商（Hyperscalers）。

無論數據是儲存於境內還是境外，若缺乏適當的雲端安全強化措施，企業在管理客戶數據時都將面臨極高安全風險。在全球知名資訊安全管理體系（ISMS）標準 ISO 27001 中，控制措施 5.23「使用雲端服務的資訊安全」（Information Security for the Use of Cloud Services） 正是為解決此痛點而設。

究竟這項安全措施包含甚麼具體內容？企業在推動（重新）認證時又需要掌握哪些關鍵要素？

為何雲端安全至關重要？

雲端安全之所以關鍵，是因為越來越多關乎企業營運命脈的敏感數據、關鍵應用程式與核心流程均已遷移至雲端平台。雲端環境一旦出現安全漏洞，可能引發嚴重的數據外洩、營運中斷、法規違規，甚至造成不可估量的財務損失与商譽毀損。

從私有雲到公有雲，無論是 IaaS（基礎設施即服務）、PaaS（平台即服務）還是 SaaS（軟體即服務），雲端架構與服務已奠定了當今企業、機構及政府部門資訊與通訊科技（ICT）的基石。雲端運算早已深入企業營運，並徹底改變了 IT 服務的交付與使用模式。

然而，伴隨雲端普及而來的安全風險錯綜複雜，且絕非僅限於組織犯罪。身份與存權管理不善、系統組態配置錯誤，以及員工無意間造成的雲端數據外泄，均是企業雲端安全面臨的最大威脅。

此外，防護不足還會影響服務的可用性，並導致企業違反保障客戶及個人數據的各項法規與標準。正是基於如此嚴峻的威脅形勢，國際標準化組織（ISO）與國際電工委員會（IEC）在最新修訂的 ISO 27001:2022 中，特別將「使用雲端服務的資訊安全」列為獨立的控制項目。

如何有效提升雲端安全？

控制措施 5.23 透過建立一套明確的規範與流程，涵蓋雲端服務的選用、日常營運及管理的全生命週期，從而系統化地降低風險，推動並強化雲端安全防護。

這項預防性安全措施專為保障雲端服務的使用而設計。它能協助企業根據自身的安全需求，在採購、使用、維運及退役等階段建立系統化的管理流程。鑑於市場上雲端服務種類繁多，ISO 27001 附錄 A 中新增的控制措施 5.23 特別要求採用「特定主題導向（Theme-specific Approach）」。

此方法的目的在於鼓勵企業針對不同的業務功能，量身打造專屬的雲端服務安全策略。相較於一刀切的通用型雲端安全政策，特定主題導向能以更精細的粒度落實合規要求。

在最新版的 ISO 27001:2022 附錄 A 中，雲端服務的資訊安全已被提升為獨立控制措施；而在舊版（ISO 27001:2013）中，雲端服務僅被歸類在供應商關係的一般章節下。

考慮到雲端應用的快速增長與技術突破，透過獨立的安全措施來系統化保障雲端服務及系統安全，完全符合時代需求。儘管如此，控制措施 A.5.23 仍應與控制措施 A.5.21（ICT 供應鏈中的資訊安全）及 A.5.22（供應商服務管理）保持緊密協同。

如何實施控制措施 5.23 以強化雲端安全？

要落實控制措施 5.23，企業必須在選用、使用、監控及終止雲端服務時，制定明確的要求、角色、權責與營運流程，並將其與雲端服務商的安全防護機制進行對齊。

在資訊安全層面，企業在實施控制措施 5.23 時必須明確定義多個面向，包含與使用雲端服務相關的所有核心要求、選用標準及適用範圍。透過詳細說明內部角色與相關權責，確立這些服務在企業內部的營運與管理機制。

在對外溝通方面，則需與服務商進行明確劃分：

• 服務商負責管理哪些資訊安全措施？
• 哪些部分屬於企業自身的責任範疇？

此外，亦須釐清如何調用、極大化利用服務商提供的安全機制，並驗證其可信度。特別是在同時使用多家服務商的混合雲或多雲環境中，清晰的流程有助於管理各項控制措施、介面串接及服務變更，從而將漏洞与威脅降至最低。

然而，面對當前多元化的安全威脅，任何企業都無法完全排除安全事件的發生。在這種情況下，制定專針對雲端服務的應變處置程序，將有助於在危機發生時快速且有效地應對。

為了全面管控此類風險，企業必須依照現行 ISO 27001 標準，透過系統化的方法對雲端服務進行持續監控、評估與審核。此外，標準亦要求建立服務變更或終止使用的流程，且必須包含明確的雲端服務退場機制（Exit Strategy）。

雲端安全：合約中的安全條款究竟有多重要？

合約中的安全條款對雲端服務而言至關重要。因為它在法律層面上明確界定了如何維護資訊的機密性（Confidentiality）、完整性（Integrity）與可用性（Availability），並規範了服務商應落實的安全措施，以及數據存儲位置、安全事件處置、分包商管理与安全退場等關鍵議題。

因此，雲端服務合約的條款是企業客戶確立關鍵營運參數与獲得法律保障的核心依據。然而，在實際業務中，雲端服務合約通常由服務商預先制定且難以協商。在此背景下，企業更應仔細審視這些合約內容，確保其完全滿足企業在機密性、完整性与可用性等資訊安全目標上的核心營運需求。

為達成此目的，雲端服務所採用的架構與基礎設施應基於業界認可的標準。服務應具備符合安全要求的存取控制機制，並提供防範惡意軟體的監控与防護方案。合約中必須明確規定：敏感數據的處理與存儲僅限於獲得授權的地點或指定的法律管轄區內——這對於關鍵基礎設施等敏感行業尤為重要。

安全事件處置與第三方服務商管理

當雲端服務環境發生安全事件時，服務商必須提供針對性的支援，並在數位證物收集方面提供全面協助。此外，當服務進一步外包給第三方服務商時，亦必須確保滿足同等的安全要求。

雲端服務的終止與變更管理

當企業希望終止雲端服務時，服務商應承諾在合理的過渡期內繼續提供技術支援与服務可用性。同時，服務商必須提供數據与組態配置的備份副本，並在必要時進行安全管理。企業所有的組態檔案、原始碼及敏感數據，均應在收到要求或服務終止時完整歸還。

雲端服務客戶亦應根據自身的安全要求，評估是否需要在合約中加入「重大變更通知義務」。此類變更包括：

• 影響服務交付的技術基礎設施變更；
• 在新的地理區域或法律管轄區內處理或存儲數據；
• 使用或更換同業雲端服務商或其他分包商。

延伸思考：網絡安全——行政總裁與管理層不可推卸的當責使命

隨著歐盟《NIS 2 指令》轉化為各國本土法規（如德國《NIS2 實施法案》NIS2UmsuCG），網絡安全的監管框架已全面大幅收緊。新規顯著擴大了受監管企業的範圍，強制要求眾多企業与機構實施結構化的資訊安全措施、落實網絡風險管理，並在發生安全事件時嚴格遵守法定通報時限。

NIS2 法規的核心亮點之一，在於明確規定了最高管理層對網絡安全的當責（Accountability）。企業高層與董事會必須確保推動適當的網絡風險管理措施，並進行有效監控。網絡安全自此正式提升為行政總裁與高層的直接管理責任：企業領導層必須對遵守法律要求承擔最終責任，並確保資訊安全深植於企業的日常營運之中。

控制措施 5.23 能為企業帶來甚麼效益？總結分析。

最新版的 ISO/IEC 27001:2022 透過 A.5.23 填補了現代雲端環境中至關重要的安全缺口。它為企業與機構提供了一套結構化的框架，用以系統化保障雲端服務安全、確保法規合規，並安全地管理與雲端服務商的合作關係。

透過這項全新安全措施，ISO 與 IEC 填補了保護現代 ICT 架構及企業、機構与政府敏感數據的重要空白。作為全球公認的權威標準，ISO 27001 資訊安全標準如今亦為推動一致性、系統化的雲端安全做出了關鍵貢獻。

無論您的企業採用的是公有雲、私有雲還是混合雲架構，導入雲端安全解決方案与資訊安全最佳實踐皆不可或缺。這是確保業務連續性（Business Continuity）與法規合規的唯一途徑。特別是在專業人才短缺及分散式工作模式成為常態的當下，雲端數據安全在未來數年中重要性只增不減。

附錄 A 中全新的控制措施 5.23 為雲端服務使用者提供了清晰的指引框架。企業可據此全面審視現有的資訊安全措施，並進行必要調整。

除了各項核心的組織要求外，這項新措施亦強調了與雲端服務商保持緊密合作與持續資訊交流的重要性。這能促進雙方建立共同的監控機制，確保服務水準達標，並能第一時間識別与通報任何違反合約義務的行為。

匯聚頂尖審核專業：您的最佳夥伴 DQS

DQS 於 1985 年成立，是德國第一家驗證機構。自成立以來，我們始終名列全球頂尖的審核與認證專家之列。我們的創辦股東——德國質量協會（DGQ）與德國標準化學會（DIN）——是培訓、持續教育及標準化工作領域的關鍵夥伴。我們代表客戶積極參與各大標準委員會與理事會，並將深厚的專業知識注入每一場審核之中。DQS 的承諾，始於審核清單結束之處。

信任與專業

我們的所有文章與手冊均由 DQS 的標準專家或資深審核員親自撰寫。若您對本文內容或我們的認證服務有任何疑問，歡迎隨時與我們聯繫。

備註：為提升中文文本之閱讀流暢度，本文於職稱與名詞表述上已進行適當之本地化優化處理。