應對風險、機遇、目標與規劃：落實 ISO 27001 第 6 條款的實戰技巧

第 6.1 條款 —— 應對風險與機遇的措施（Actions to Address Risks and Opportunities）

撥出時間透徹理解並落實第 6.1 條款至關重要。這需要您與團隊進行深思熟慮的協作，量身打造一套契合企業實際營運的專屬體系。一個絕佳的起步點是研讀 ISO 31000 風險管理指南，該標準為高效的風險管理提供了必不可少的原則、框架與流程。

ISO 31000 所涵蓋的風險管理流程包含：界定範疇、內容與風險準則；確保員工深度參與；執行風險評估（包含風險識別、分析與評估）；制定風險處置方案；以及進行持續的監控與審查。若企業本身已具備成熟的風險管理體系（例如 ISO 9001），便可將其無縫整合至 ISMS 中，藉此大幅提升推動效率。

借助這些核心基礎，建構一套專為資訊安全量身定制的風險流程。依據「發生概率」與「潛在後果」來建立風險評估準則，從而為風險進行精準的優先級排序。ISO 27001 的附錄 A 提供了一系列控管措施——在 2022 年版本中共包含 93 項——這大幅簡化了風險處置方案的選定工作。透過將識別出的風險與相應的控管措施進行連結，並編撰資訊安全風險評register（Risk Register），您便能建立一份完美串聯多項 ISO 27001 條款的核心基礎文件。

第 6.2 條款 —— 資訊安全目標與實現目標的規劃（Information Security Objectives and Planning to Achieve Them）

制定資訊安全目標是一項細緻且講究策略的任務。儘管多數企業在銷售、市場營銷與營運領域已駕輕就熟地設定各類目標，但為資訊安全規劃目標卻需要截然不同的宏觀思維與考量。諸如「實現零資安事故」這類看似常見的目標，往往隱藏著潛在陷阱（例如導致員工因顧慮而隱瞞不報），因此需要進行審慎評估。

ISO 27001 建議從風險評估結果以及附錄 A 的風險處置方案中衍生出具體目標。運用 SMART 原則——即具體（Specific）、可衡量（Measurable）、可達到（Attainable）、務實（Realistic）且具時效性（Timely）——能確保目標定義清晰且切實可行。在設定目標數量時拿捏平衡至關重要；根據我們觀察，表現最為優異的企業通常會鎖定 3 至 5 個核心目標，聚焦於員工參與度、ISO 27001 認證以及 GDPR 合規等關鍵方向。

將目標向全體員工進行清晰透明的溝通是成功的關鍵。透過召開全體員工大會深入討論每一項目標、勾勒實施計劃與時間表、明確劃分角色、識別具體權責，並分發目標列印本供隨時參照，能有效深化全體上下對目標的理解。定期監控與評效能確保進度不偏離航道，並可在必要時靈活做出動態調整。

第 6.3 條款 —— 變更管理（Change Management）

最新版本的 ISO 27001 引入了一項全新的專屬條款，明確規定凡是影響 ISMS 的各項變更，都必須受到嚴格管控。這通常是透過建構正式的變更管理體系來實現，在此機制下，所有變更在付諸實施之前，都必須完成文件化紀錄，並經過充分的討論與周密規劃。

完善的變更管理流程必須綜合考量：所需投入的心力與資源、會對業務的哪些部分造成影響，以及受影響板塊中的各方利害關係者。更重要的是，必須預先評估並防範任何潛在的非預期副作用。

當變更正式落實後，應當完整記錄歸檔，以利於後續的變更追蹤，並在發生任何潛在問題時，能迅速溯源並精準識別根本原因。

第 6.3 條款核心重點總結：

1. 將「機遇」深度整合至企業的持續改進流程中。
2. 建立易於操作的風險評估準則，藉此系統化羅列並為各項風險進行優先級排序。
3. 審慎考量並精準定義各項資訊安全目標。
4. 持續監控、評估成果，並重新審視風險與機遇，實現業務的持續優化。
5. 將溝通置於優先地位，確保組織內每位成員均達致清晰透徹的理解。

• 查看本系列上一篇： ISO 27001 第 5 條款：聚焦領導力、最高管理層承諾、當責與資訊安全政策
• 查看本系列下一篇： 資源、能力、意識與溝通：解讀 ISO 27001 第 7.1 – 7.4 條款