ISO 27001 詳解

由經認可的認證機構 DQS 提供的獨立概述。

ISO 27001 是資訊安全管理系統（ISMS）的領先國際標準。該標準明確定義了組織必須滿足的要求，以系統性地識別、評估及處理資訊安全風險——涵蓋人員、流程與技術，而非僅限於任何單一技術控制措施。 該標準適用於各規模及各行業的組織，從金融機構、醫療保健提供者及政府機關，到代表客戶、員工或合作夥伴處理敏感資訊的雲端服務供應商、製造商及軟體公司皆然。現行版本為 ISO/IEC 27001:2022，已取代 2013 年版； 先前已取得認證的組織所享有的三年過渡期已於 2025 年 10 月 31 日結束，而 2024 年發布的修正案（修正案 1:2024）則新增了與氣候行動相關的明確要求。

ISO 27001 重點資訊一覽

ISO 27001 的背景與推動因素

資訊安全面臨的監管壓力

近年來，資訊安全的監管環境已大幅收緊，特別是在歐盟地區。《網路與資訊安全指令 2》（NIS2）將網路安全義務擴及至範圍更廣的關鍵及重要實體，包括能源、運輸、醫療、數位基礎設施及製造業等各領域的中型組織。 適用於金融機構及其關鍵資訊與通訊技術（ICT）第三方供應商的《數位營運韌性法案》（DORA），針對 ICT 風險管理、事件通報、韌性測試以及供應商監督等事項，制定了詳細的要求。 雖然《NIS2》與《DORA》均未將 ISO 27001 規定為強制性基準，但兩者皆援引國際公認的資訊安全標準作為參考依據，且許多組織將經認證的資訊安全管理系統（ISMS）作為其合規計畫的結構性基礎。

市場期望與客戶信任

除了正式的法規之外，資訊安全已成為企業對企業（B2B）合約、招標程序及供應商資格認證計畫中的常規議題。企業客戶越來越多地要求供應商在獲准存取系統或資料之前，必須證明其具備經外部驗證的資訊安全管理系統（ISMS），而由經認可的認證機構頒發的證書，則被廣泛接受為該成熟度的證明。 對於軟體供應商、雲端服務提供商及其他以客戶資料為商業模式基礎的組織而言，在許多產業中，ISO 27001 認證已幾乎成為進入市場的必要條件。隨著公眾對資料外洩、勒索軟體及供應鏈攻擊的意識日益提高，這股趨勢更為強化，也提升了大眾對組織如何在整個價值鏈中保護資訊的期望。

與韌性、隱私及永續性的融合

資訊安全已不再是孤立存在的領域。它日益與營運韌性、業務連續性、隱私權，以及——自《第 1 號修訂版：2024》發布以來——與氣候相關的考量相互交織。 董事會與風險委員會正將資訊安全視為更廣泛圖景中的一環，該圖景還涵蓋資訊與通訊科技（ICT）中斷、第三方風險，以及影響關鍵基礎設施的極端天氣事件所造成的干擾。 ISO 27001 提供了一個結構性錨點，讓組織能夠將這些相鄰的主題——隱私、業務連續性、供應商監督以及實體韌性——整合到單一的管理體系中，而非僅是零散且互不關聯的措施拼湊而成。

ISO 27001 的核心要求

ISO/IEC 27001:2022 遵循現代 ISO 管理系統標準所共用的「附錄 SL 協調結構」。第 1–3 條規定了適用範圍、規範性參考文件及術語。第 4–10 條包含可審計的管理系統要求，摘要如下。隨後的附錄 A則參照 ISO 27002 中詳述的 93 項資訊安全控制措施，組織可根據其風險評估，從中選取適用之措施。

第 4 條款 — 組織的背景

組織應識別影響其資訊安全管理系統（ISMS）的內部與外部議題，並釐清利害關係人（例如客戶、監管機構、供應鏈夥伴及股東）的需求與期望。在此基礎上，組織應界定 ISMS 的適用範圍，包括所涵蓋的地點、業務活動、技術及資訊資產。

第 5 條 — 領導

最高管理層應展現對資訊安全管理系統的領導力與承諾，簽署資訊安全政策，並分配角色、職責及權限。資訊安全應被定位為具有戰略重要性的議題，而非僅是委派給技術部門的職能。

第 6 條 — 規劃

組織應執行資訊安全風險評估，定義風險接受與處理的準則，並選定應對該等風險所需的控制措施。《適用性聲明》應載明適用哪些附件 A 控制措施、哪些被排除在外，以及每項決定的理由。資訊安全目標應予以定義，並與政策保持一致。

第 7 條 — 支援

本條款涵蓋資源、能力、意識、溝通及文件化資訊等事項。參與資訊安全管理系統（ISMS）的人員應接受適當培訓，且文件應以與組織規模及複雜性相稱的形式予以維護。

第 8 條 — 運作

組織應規劃、實施及控制滿足資訊安全要求所需的流程，執行風險評估與處置計畫，並管理可能影響資訊安全管理系統（ISMS）的變更。

第 9 條 — 績效評估

對資訊安全管理系統進行監控、量測與分析。內部稽核及管理層檢討，為評估該系統是否有效、符合要求且持續改善提供依據。相關結果將反饋至規劃與營運決策中。

第 10 條 — 改善

組織須透過矯正措施處理不符合項，並持續改善資訊安全管理系統（ISMS）的適用性、充分性及有效性。持續改善是本標準的結構性特徵，而非可選的附加項目。

附件 A — 參考控制集

附件 A 列舉了 93 項控制措施，並歸類為四大主題：組織控制（37 項）、人員控制（8 項）、實體控制（14 項）及技術控制（34 項）。 2022 年修訂版整合並重新編排了 2013 年版的 114 項控制措施，新增了 11 項控制措施（包括威脅情報、雲端服務資訊安全、業務連續性之資訊與通訊科技（ICT）準備度、實體安全監控、配置管理、資訊刪除、資料遮罩、資料外洩防範、監控活動、網頁過濾及安全編碼），並針對每項控制措施套用五項屬性（控制類型、資訊安全屬性、網路安全概念、運作能力及安全領域），以支援篩選與報告功能。

ISO 27001 的目標群體與應用領域

ISO 27001 的設計本質上不限於特定產業。其要求同樣適用於跨國銀行、區域性醫院網絡、公共機構，以及代表客戶處理客戶資料的軟體新創公司。在實務上，某些應用領域已變得特別顯著。

資訊與通訊技術供應商——包括雲端平台、軟體即服務（SaaS）供應商、託管服務供應商及資料中心營運商——通常將 ISO 27001 視為企業客戶所期待的基礎保證框架。 金融服務機構運用 ISO 27001 來建構資訊與通訊科技（ICT）風險管理計畫，這些計畫同時也支援《數據保護與網路安全法》（DORA）的義務。醫療保健機構則將其應用於保護病患資訊與臨床系統，通常會配合特定產業的隱私權與資安要求。 公共部門機構與關鍵基礎設施營運商實施 ISO 27001，以履行《網路安全指令二》（NIS2）及國家網路安全法規所規定的義務。製造業組織則採用該標準來保護智慧財產權、確保營運技術環境的安全，並回應包括原始設備製造商（OEM）在內的大型客戶所提出的供應鏈安全要求。

對於上述任何組織而言，經認證的資訊安全管理系統（ISMS）提供了一個結構化的框架，用以針對資訊安全投資與優先順序做出基於證據的決策。該系統不僅支援領導層做出明智的決策，也為與監管機構、客戶及供應鏈合作夥伴進行基於風險的對話奠定基礎，同時將實質性決策權交由負責人自行決定。

與 ISO 27001 相關的標準

協調結構與典型組合

ISO 27001 與其他廣泛使用的管理系統標準（包括ISO 9001（品質）、ISO 14001（環境）及ISO 22301（業務連續性））共享「附錄 SL協調結構」。 此共同結構使組織能夠運作一套整合式管理系統，其中資訊安全、品質、環境及業務連續性等要求，可共享領導層的承諾、規劃流程、內部稽核及管理層檢討。在實務上，跨這些標準體系的整合稽核相當常見，且有助於減少重複工作。

ISO 27000 系列 

ISO 27001 位居 ISO 27000 系列標準的核心，該系列標準共同深入探討資訊安全管理。ISO 27000 為該系列標準提供了概述與術語說明。 ISO 27002 針對附件 A 的各項控制措施提供詳細的實施指引，是實施過程中最常與 ISO 27001 一併參考的標準。ISO 27005 提供資訊安全風險管理的指引，並被廣泛用於落實 ISO 27001 中基於風險的條款。 ISO 27017 與 ISO 27018 分別將控制措施擴展至雲端服務，以及公共雲環境中個人可識別資訊（PII）的保護。ISO 27019 是一項針對能源供應所用控制系統建立資訊安全管理體系的指引標準。 該標準以 ISO 27002 中概述的資訊安全控制措施為基礎，並新增了超出該標準所定義一般措施範圍的特定產業要求。ISO 27701 則針對隱私資訊管理系統（PIMS）規定了相關要求與指引。

特定產業與主題的延伸規範

多項特定產業標準在規範層面上以 ISO 27001 為基礎。ISO/IEC 27011 為電信組織提供額外指引。ISO/IEC 27017 與 ISO/IEC 27018 則針對雲端特定控制措施。 ISO/IEC 27019 則為能源公用事業產業提供指引。ISO/IEC 27799 則將 ISO/IEC 27002 的控制措施應用於健康資訊學領域。這些擴展標準沿用 ISO 27001 的管理系統架構，並針對相關產業領域增補或精進控制措施。

與類似框架的區別

ISO 27001 有時會被拿來與其他資訊安全框架進行比較，尤其是 SOC 2 和 NIST 網路安全框架。ISO 27001 是一項國際標準，資訊安全管理系統（ISMS）可據此由認證機構進行認證。 SOC 2 是由美國註冊會計師協會（AICPA）所定義的報告框架，在此框架下，保證專業人員針對與安全性、可用性、處理完整性、機密性或隱私權相關的控制措施，出具保證報告。兩者的處理方式雖有重疊，但涵蓋範圍不同且遵循不同的治理模式，因此不應被描述為等同。 NIST 網路安全框架是一套自願性框架，旨在指導風險管理，特別是在美國境內；其無法像 ISO 27001 那樣獲得認證。