「資安專職人員要配幾個？考哪張證照才算數？」這是公務機關、公營事業、關鍵基礎設施業者與政府相關財團法人在《資通安全管理法》（以下簡稱資安法）下最常遇到的人力問題。資安法要求公務機關與特定非公務機關依資通安全責任等級設置資通安全專職人員，人員的資格條件與配置由主管機關另訂辦法[1]；現行辦法要求專職人員持有主管機關公告的資通安全專業證照或職能訓練證書，並持續維持有效[2]。

這篇寫給兩種讀者：要依法配置專職人員、或要從履歷與投標文件判斷證照分量的主管，以及正在規劃下一張證照的 IT 人員。內容依序是法規要求、數位發展部資通安全署（以下簡稱資安署）公告的兩份清單、常見證照的定位，以及招募與選廠商時怎麼解讀證照。這不是考試準備指南；資安法的整體架構請見資通安全管理法重點整理。

法規要求：幾個人、什麼證照、多久內完成

資安法第18條、第20條與第21條分別要求公務機關、關鍵基礎設施提供者與其他特定非公務機關，依所屬責任等級設置資通安全專職人員；專職人員的資格條件與配置，由主管機關依第7條訂定辦法[1]。這個辦法就是2026年1月7日修正的《資通安全責任等級分級辦法》，各等級的應辦事項寫在附表一至附表八[2]：

  • 人數：A 級四人以上、B 級二人以上、C 級一人以上；D 級與 E 級的附表沒有專職人員要求[2]。
  • 誰算專職：全職執行資通安全業務、以資安為主要核心業務並應優先辦理的人員；其他實際從事資安或資訊業務的人，在附表中屬於「資通安全專職人員以外之資訊人員」，不計入專職人數[2]。
  • 證照或證書：特定非公務機關的專職人員要持有「資通安全專業證照」或「資通安全職能訓練證書」一張以上；公務機關的專職人員則要證照與證書各一張以上；而且都要持續維持有效性[2][3]。
  • 兩個名詞：專業證照指主管機關公告的資通安全專業證照；職能訓練證書指通過主管機關資通安全職能評量所核發的證書[2]。
  • 期限：配置專職人員與取得證照或證書，應在初次受核定或等級變更後一年內完成；人員異動時也一樣[2]。
  • 訓練時數：專職人員每人每年要接受12小時以上的資通安全專業課程訓練或職能訓練[2]；參加清單所列證照的訓練課程，可以計入專業課程訓練時數[3]。

資安署的常見問題補充了幾個實務細節：專職人員不必隸屬資訊單位，也不必是資訊職系；人數與證照以機關為單位計算，上級與所屬機關不能合併共用[3]。它也建議了分工：A 級四人中一人負責策略面、一至二人負責管理面、一至二人負責技術面；B 級一人負責策略與管理、一人負責技術；C 級一人統籌全部資安業務[3]。這個分工，正好可以當成挑選證照的地圖（見最後一節）。

資安署的兩份清單：專業證照與職能訓練證書

資通安全專業證照清單

資安署公告的「資通安全專業證照清單」，本文撰寫時（2026年11月）網站上的版本是2026年5月22日修正公布[4]。清單以發證機構分列，共14個機構，每張證照再分為「管理類」與「技術類」，這一版共有管理類22項、技術類84項[4]。發證機構包括 ISC2、ISACA、CompTIA、EC-Council、GIAC、OffSec、CREST、Cisco、ISA、Hack The Box、經濟部等，以及核發 ISO 管理系統稽核員證照的驗證或註冊機構[4]。

閱讀清單時要注意幾個細節：

  • 有附帶條件的證照：Lead Auditor 相關證照除了證照本身，還要提出當年度至少兩次實際參與相關稽核的經驗證明[4]。資安署說明，以稽核員或觀察員身分參與內部稽核、外部稽核或對委外廠商的稽核，都可以計入[3]。
  • 版本與停止認可：ISO/IEC 27001:2013 的證照自2025年10月31日起已不再認列[3]。發證機構已停止核發或刪除的證照，原則上在清單修正公告一年後停止認可；這一版就標註 HCISPP 在2026年12月1日後停止採認，原名 Cisco Certified CyberOps Associate 的證照則在2028年1月20日後停止採認[4]。部分 GIAC 證照則註明「僅限續證」[4]。
  • 清單會更新：清單定期更新，各機關若要建議新增證照，可依資安署公告的認可審查作業流程申請[3]。

這份清單的法律效果，是認定資安法規範對象的專職人員是否符合附表要求[2]。不受資安法規範的企業沒有義務照表選證照，但它仍是一份經主管機關審查、標明管理或技術屬性的參考清單。

資通安全職能訓練證書

職能訓練證書是另一條路：參加主管機關辦理的資通安全職能訓練、完成指定時數並通過評量測驗後取得；自2026年4月起，「資通安全概論」可以不上課，直接報名免訓評量[3]。證書清單共21科，包括1科核心科目「資通安全概論」與20科專業科目，例如資安事件通報與應變、資安稽核實務、系統及網站滲透測試、數位鑑識與處理[5]。特定非公務機關的專職人員，專業證照與職能訓練證書擇一即可；公務機關則兩種都要[2]。

常見證照的定位

以下依用途分組，整理讀者最常問的幾張證照。發證機構、經驗要求與持續教育規定以各發證機構官網為準；是否列入資安署清單、列在哪一類，以2026年5月22日版清單為準[4]。

管理與治理：CISSP、CISM

  • CISSP：由 ISC2 核發，定位是領導組織資安計畫的人員。除了通過考試，還要在考試大綱八個領域中的兩個以上累積五年有給職工作經驗，相關四年制學位或認可證照可抵一年；經驗不足者可先成為 Associate of ISC2；持證後每年要取得持續專業教育（CPE）學分[6]。列在清單管理類[4]。
  • CISM：由 ISACA 核發，定位是資安管理。須在申請前十年內累積五年以上資安管理工作經驗，涵蓋 CISM 四個領域中的至少三個，並由主管查證；持證後每三年至少120小時 CPE、每年至少20小時[7]。列在清單管理類[4]。

稽核與 ISMS：CISA、ISO/IEC 27001 主導稽核員與主導導入員

  • CISA：由 ISACA 核發，定位是資訊系統稽核。須在申請前十年內累積五年以上資訊系統稽核、控制或資安工作經驗，CPE 要求與 CISM 相同[8]。列在清單管理類[4]。
  • ISO/IEC 27001 主導稽核員（Lead Auditor）：沒有單一發證機構。清單管理類接受的是 ISO/IEC 27001:2022 稽核員或主導稽核員證照，發證者須是經認證的資訊安全管理系統驗證機構，或稽核員驗證、註冊的國際專業機構，而且要搭配前述每年兩次的實際稽核經驗[4]。
  • ISO/IEC 27001 主導導入員（Lead Implementer）：定位是協助組織規劃、導入與維持資訊安全管理系統（ISMS），而不是稽核。以 PECB 為例，通過考試後依經驗分級發證：沒有工作經驗只能取得「Provisional Implementer」，「Lead Implementer」則要求五年工作經驗（其中兩年資安管理）與300小時的 ISMS 專案經驗[9]。2026年5月22日版清單沒有列入 Lead Implementer[4]。ISMS 本身請見ISO 27001。

入門與基礎：CompTIA Security+、iPAS 資訊安全工程師

  • CompTIA Security+：CompTIA 將它定位為執行核心資安工作所需的基本能力，建議（但不強制）先具備 Network+ 與兩年資安或系統管理工作經驗[10]。證照效期三年，可透過持續教育學分等方式更新[11]。列在清單技術類[4]。
  • iPAS 資訊安全工程師：經濟部產業發展署主辦、經濟部核發，分初級與中級，中級考「資訊安全規劃實務」與「資訊安全防護實務」兩科[12]。簡章列的報考對象只是建議，也可以越級報考；初級證書永久有效，中級效期五年，換證須在五年內累積48小時以上資安相關訓練，資安工作年資每年可抵8小時、最多抵40小時[12]。清單只列入中級能力鑑定，歸在技術類[4]。

攻擊與實作：CEH、OSCP、GIAC

  • CEH：由 EC-Council 核發。通過選擇題形式的知識測驗就取得 CEH，實作測驗是選考，兩者都通過才是 CEH Master；報考資格可透過官方訓練取得，或以工作經驗申請[13]。EC-Council 的證照效期三年，期間每張證照要累積120個持續教育學分[14]。清單技術類分別列出 CEH、CEH Practical 與 CEH (Master)[4]。
  • OSCP：由 OffSec 核發，考試是24小時、由 OffSec 人員監考的實機測驗，要在測驗環境中找出並利用漏洞、提升權限；沒有正式先修條件，但建議先具備網路、Windows 與 Linux 管理及腳本能力[15]。通過後同時取得 OSCP 與 OSCP+：OSCP 沒有到期日；OSCP+ 三年後到期，可透過重新認證考試、其他指定的 OffSec 考試或其 CPE 計畫維持[15]。清單技術類同時列出 OSCP 與 OSCP+[4]。
  • GIAC：清單把 GIAC 證照分成多個群組：管理類有 GSLC、GSTRT 等管理與稽核相關證照；技術類則分為雲端安全、網路防禦、攻擊行動、數位鑑識與事件應變、工控系統等群組，例如 GPEN、GCIH、GCFA、GICSP[4]。GIAC 建議以 CPE 方式更新，四年內累積36學分[16]。

雇主怎麼用證照：招募與選廠商

先決定職位，再挑證照

套用資安署建議的分工[3]：負責策略與管理面的人，對應的是 CISSP、CISM、ISO/IEC 27001 主導稽核員這類管理類證照；負責技術面的人，則看 Security+、iPAS 中級、GIAC、OSCP 這類技術類證照[4]。C 級只有一名專職人員時，這個人要同時處理管理與技術工作；與其先追高階管理證照，不如先確認他能處理附表要求的弱點管理、安全性檢測與資安健診等技術項目[2]。

證照證明的是知識範圍，不是實作能力

不少證照以筆試確認知識範圍，例如 CEH 本身由選擇題知識測驗取得，實作測驗是選考[13]；OSCP 則要在24小時內實際攻下測驗環境中的主機[15]。要求工作經驗的 CISSP、CISM、CISA 多了一層經驗查核[6][7][8]，但查的是年資，不是他在你的環境裡能不能把事情做好。面試時仍應安排實作題，例如給一段防火牆設定或一份日誌，請應徵者找出問題並說明怎麼處置。資安署自己也不只看證照：Lead Auditor 證照必須搭配每年兩次實際稽核紀錄才算數[4]。

問有效性與持續教育

證照會過期：Security+ 與 EC-Council 的證照效期三年[11][14]，GIAC 四年內要累積36個 CPE 學分[16]，iPAS 中級五年要換證[12]，ISACA 證照每年至少要20小時 CPE[7]。資安法附表也要求專職人員持續維持證照或證書的有效性[2]。招募或年度盤點時，請對方提供證照編號與到期日，必要時向發證機構查證，並問最近一期的持續教育紀錄；比起證照取得的年份，持續教育紀錄更能反映一個人最近有沒有在跟上新技術。

選廠商：看執行人員，不看公司簡介

《資通安全管理法施行細則》第7條要求，機關選任受託者時，應注意受託者是否配置充足、經適當資格訓練、擁有資安專業證照或具類似業務經驗的資安專業人員[17]。實務上可以這樣做：

  • 要求列出實際執行專案的人員名單、證照與到期日，而不是全公司的持證人數。
  • 滲透測試廠商：OSCP／OSCP+ 這類以實機考試取得的證照[15]，或 CEH Practical 這類實作測驗[13]，比只通過筆試的證照更能反映測試人員的能力。清單技術類也列有 GIAC、CREST、Hack The Box 等滲透測試相關證照[4]，可以請廠商說明考試形式，並搭配去識別化的報告範本、測試方法說明與複測安排一起評估。
  • ISMS 顧問或稽核廠商：除了主導稽核員證照，請對方提出近期實際稽核或導入的案例。
  • 附表要求的弱點掃描若需要外部協助，可以參考弱點掃描與評估。證照是門檻，不是保證；契約仍要寫清楚交付內容、保密與事件通知義務，委外管理的其他要求見資通安全管理法重點整理。

行動清單

  1. 確認責任等級與應配置的專職人數，列出每位專職人員持有的證照或職能訓練證書、證照編號與到期日。
  2. 公務機關確認每位專職人員「證照與證書」各至少一張；特定非公務機關確認每人至少一張，並且都在有效期內。
  3. 對照2026年5月22日版清單，標出即將停止採認的證照（例如 HCISPP 在2026年12月1日後停止採認），以及還是 ISO/IEC 27001:2013 版的稽核員證照。
  4. 持有 Lead Auditor 證照的專職人員，每年保留至少兩次實際參與稽核的紀錄。
  5. 把每人每年12小時的專業訓練與各證照的持續教育學分一起排進年度訓練計畫。
  6. 新進或替補的專職人員，從異動時起排定一年內取得證照或證書的計畫。
  7. 招募時依策略、管理、技術分工挑證照，並加入實作面試。
  8. 委外採購文件要求列出執行人員的證照與到期日；滲透測試案另外要求實作型證照與報告範本。
  9. 每年到資安署網站確認清單是否更新，並透過訂閱追蹤後續公告。