在數位化轉型浪潮下，順暢運作的資訊及通訊科技（ICT）是維持企業業務流程運轉的命脈。哪怕是極其短暫的系統中斷或網絡故障，往往也會引發巨額的財務損失與營運危機。黑客正是精明地利用了這一弱點，透過精心策劃的勒索軟體（Ransomware）攻擊將企業的核心數據與系統加密，藉此勒索巨額贖金。
為了遏制這一極具破壞性的威脅，資訊安全國際標準 ISO/IEC 27001 及 ISO/IEC 27002 迎來了劃時代的改版修訂：其附則 A（Annex A）新增的第 5.30 項安全控制措施（Control 5.30）——「業務連續性之 ICT 準備度」（ICT readiness for business continuity），強制要求企業即使在突發中斷事件發生時，亦必須確保 ICT 系統的高度可用性。全新發布的 ISO/IEC 27001:2022 透過此控制措施釋放了強烈的戰略訊號，協助企業前瞻調整組織架構與安全防禦體系，及時抵衛日益嚴峻的威脅情境。
本文將為您深度解析 Control 5.30 對您的資訊安全管理體系（ISMS）意味著什麼，以及它將如何深遠地影響未來的認證審核。
如今，類似 Microsoft Teams 等跨部門協作工具、主流雲端平台（Hyperscalers）上的雲端應用服務，以及工業 4.0 網絡化生產體系，早已深入現代企業的日常營運之中。現代資訊及通訊科技賦能了極致高效的作業流程，成為跨越各個行業維持業務運作不可或缺的核心基石。
然而這亦意味著：ICT 系統的安全與可用性（Availability）至關重要。企業必須透過適當的管控措施與體系流程，對 ICT 進行系統化的監控與防護，將潛在中斷損害極小化，確保業務平穩運行。特別是在地緣政治衝突加劇、網絡威脅呈指數級增長的當下，這一議題更具緊迫性。
關於資訊安全領域的這套全新規範，我們的資深審核專家特別針對企業常見的 38 個核心痛點提出了精準解答：
依據如 ISO 22301 等國際標準建立的業務連續性管理（Business Continuity Management, BCM），是一項關鍵的管理流程。其旨在透過制定、落實及定期審查（緊急）應變計劃與戰略，確保關鍵業務功能在面臨系統中斷時不會長期癱瘓，並能於事後以最快速度恢復營運。
該標準從（緊急）準備度組織與應變計劃的角度，定義了預防性措施，以提升業務流程的抗風險能力。此外，作為（緊急）響應組織的一部分，企業須預先規劃並實施反應性措施（災難復原，Disaster Recovery），以便在 IT 流程受阻時迅速做出針對性響應，透過企業內部的高水平 ICT 安全，大幅縮短停機時間（Downtime）。
作為企業整體戰略規劃的重要組成部分，BCM 涵蓋：
BCM 的終極宗旨，是確保企業在面對突發危機時能做出敏捷且實質有效的響應，從而深化利害關係者對企業持續履約與穩定營運能力的信心。
業務影響分析（Business Impact Analysis, BIA）是業務連續性管理中用於盤點組織內部關鍵流程與業務功能、並精準釐清流程間及其底層資源相互依賴性（Interdependencies）的核心方法論。因此，這是一項協助企業量化評估業務受阻後潛在衝擊的戰略性流程。BIA 為確立系統重啟時間目標提供了權威的科學依據。
典型的 BIA 流程包含：評估業務流程的關鍵度、識別支援這些流程所需的相應資源，並計算中斷對這些流程與資源產生的實質損害。這種分析能協助企業深刻理解危機爆發後的潛在後果，據此確立響應與復原工作的優先順序（Prioritization）。
BIA 的評估成果能直接指導業務連續性計劃（BCP）及其他風險管理戰略的編撰，確保企業透過系統與架構的高可用性，為應對突發事件做好充足準備，將衝擊降至最低。
(註：如需進一步獲取開展業務影響分析的指引，可參閱 ISO/TS 22317 指南文件。)
資訊及通訊科技（ICT）對企業的業務連續性具備舉足輕重的影響。在關鍵基礎設施（KRITIS）等敏感領域，系統中斷帶來的後果更是不堪設想。正因如此，新版 ISO/IEC 27001:2022 附則 A 中的 Control 5.30「業務連續性之 ICT 準備度」 佔據了核心地位。
該控制措施的宗旨，是奠基於業務連續性目標，導出、落實並驗證 ICT 連續性要求，從而保障關鍵 ICT 系統的高可用性。這需要在 BIA 流程中精準定義衝擊類型與衝擊基準：
綜合上述流程的結果，企業需要識別並遴選涵蓋「中斷前、中斷期間及中斷後」全過程的 ICT 連續性戰略。據此編撰、落實並測試包含響應與復原程序的連續性計劃，以達成法定及業務所需的 ICT 準備度。
在此語境下，亦建議企業參考 ISO/IEC 27031 標準——該標準是專門針對業務連續性之 ICT 準備度所提供的國際指南，為確保 ICT 系統可用性提供了詳盡的實務建議。
企業若欲順利通過新版 ISO/IEC 27001:2022 標準認證，必須在審核中展現以下實務成果：
德國安哈爾特-比特費爾德郡（Anhalt-Bitterfeld）政務系統遭黑客入侵導致部分市政服務癱瘓數周乃至數月的知名案例，深刻揭示了現代社會對 ICT 系統的高度依賴。然而，該案例亦反向證實了持續營運機制與成熟應急預案的決定性價值。
新版資訊安全標準 ISO/IEC 27001:2022 與 ISO/IEC 27002:2022 導入 Control 5.30「業務連續性之 ICT 準備度」，正是為了顯著增強企業的抗風險韌性（Resilience）。
然而在實際落實過程中，企業往往難以精準評估所採用的 ICT 技術的關鍵程度及其潛在風險，進而直接影響了復原優先級的排序。BIA 與風險分析可謂是業務連續性管理的骨幹。因此在迎戰正式認證審核前，借助具備豐富實務經驗的權威專家來審視並優化自身在業務連續性及 ICT 質效上的部署，無疑是極具戰略價值的投資。
得益於 ISO 官方設定的轉版過渡期，企業擁有充裕的時間來微調自身的資訊安全管理體系以對齊全新規範。然而，整個變革過渡流程所需的時間與資源投入絕不可低估。若欲確保萬無一失，早日著手研析新標準要求並啟動轉版準備，方為明智之舉。
作為深耕管理體系審核與認證領域近 40 年的全球權威機構，DQS 隨時準備為您提供全方位支援。我們可透過差距分析審核（Delta Audit），協助您客觀評估現有體系的合規現狀。歡迎隨時聯繫我們的專家團隊，釐清最新修訂條款對貴機構的實質影響。
DQS 專家團隊隨時為您提供支援。
歡迎隨時聯繫我們，獲得免費且無約束力的專業諮詢，了解應對 ISO/IEC 27001:2022 轉版審核及 Control 5.30 部署需要投入哪些資源與預算，為貴機構打下兼具國際公信力與網絡安全韌性的堅實根基。
Hans-Jürgen Fengler 現任 DQS 全球 ESG 服務產品經理。在此職位上，他負責推動各項 ESG 服務。Fengler 先生主修經濟學並專攻生態學，畢業後曾從事環境諮詢與可持續報告書編製工作。隨後，他將重心轉向可持續金融產品的標準與規範。Fengler 先生目前在管理系統驗證領域已有 8 年的工作經驗，同時也擔任 DQS 多項 ISO 標準的審核員。
