「我們需要 ISO 27001。」這句話可能來自客戶的供應商問卷、資通安全管理法的應辦事項，或董事會看到同業公告後的一句指示。ISO/IEC 27001 是資訊安全管理系統（ISMS）的國際標準，規定組織建立、實作、維持及持續改善 ISMS 的要求事項；組織可以只依標準導入，也可以再請驗證機構稽核、取得證書[1]。

這篇寫給要負責「把證書拿回來」的 IT 主管、資安人員與專案負責人：先釐清證書證明什麼、不證明什麼，再整理 2022 年版的變更、CNS 27001 與資通安全管理法（以下簡稱資安法）的關係、驗證稽核怎麼進行，最後是導入路徑與稽核前可以自己先做的檢查。

證書證明什麼、不證明什麼

ISO/IEC 27001 規範的是「管理系統」：組織透過風險管理過程維護資訊的機密性、完整性與可用性，並讓利害關係人相信風險已被適當管理[1]。常被一起提到的 ISO/IEC 27002 是控制措施的實務指引，ISO 明確說明它不能拿來驗證；組織能取得驗證的是引用 27002 指引的 ISO/IEC 27001[2]。

標準也限制了「挑著做」的空間：組織宣稱符合本標準時，不得排除第 4 節到第 10 節的任何要求事項[3]。附錄 A 的控制措施則不同，組織依風險評鑑結果決定需要哪些，再用適用性聲明（Statement of Applicability，SoA）說明納入與排除的理由（見後文）[3]。

範圍決定證書的意義

標準要求組織決定 ISMS 的邊界與適用性來建立範圍，過程中要考量內外部議題、利害關係人的要求，以及組織自身活動與其他組織活動之間的介面及相依性，並把範圍以文件化資訊提供[3]。驗證機構的重新驗證稽核，評估的也是管理系統對「驗證範圍」的有效性；部分範圍不符合要求時，驗證機構可以縮減驗證範圍[4]。

換句話說，一張只涵蓋某個機房或某條產品線的證書，不代表範圍外的系統、據點或子公司受到同樣的管理；它也不是產品安全驗證，更不保證不會發生資安事件。收到供應商的證書時，至少要看範圍描述是否涵蓋你實際使用的服務與據點、標準版本、有效期限、發證的驗證機構，以及是否帶有認證機構的標誌（見後文）。ISO 也提醒引用標準時要寫完整編號，例如「通過 ISO/IEC 27001:2022 驗證」，而不是只寫「ISO 27001」[1]。

如果客戶要的其實是 SOC 2 報告，兩者的差異見 SOC 2、ISO 27001 與資安問卷。ISO 27001 驗證的對象是組織，和個人的主導稽核員等證照是兩回事，個人證照見資安證照怎麼選。

2022 年版改了什麼：附錄 A 重整與轉版期限

ISO 在 2022 年 10 月 25 日發布 ISO/IEC 27001:2022[5]，這是第 3 版，2013 年版已廢止[1]。最大的變動在附錄 A：控制措施由 14 個條款、114 項，重整為 4 個主題、93 項，其中 11 項是新增、24 項由舊控制措施合併而來、58 項是更新[5]。四個主題依序是組織控制措施（5.1 至 5.37）、人員控制措施（6.1 至 6.8）、實體控制措施（7.1 至 7.14）與技術控制措施（8.1 至 8.34）[3]。對應的 ISO/IEC 27002:2022 也為每項控制措施加上「屬性」與「目的」，不再用控制目標分組[5]。

標準本文的變動多屬編輯性質，最明顯的是新增 6.3「變更之規劃」：組織決定需要變更 ISMS 時，應以規劃的方式執行[3][5]。2024 年 ISO 另發布第 1 號增修，內容是氣候行動相關修正[1]。

對已經有 ISMS 的組織，國際認證論壇（IAF）認為改版的衝擊不一定很大：主要工作是把自己決定的控制措施和新版附錄 A 比對、更新 SoA；如果比對時發現遺漏了必要的控制措施，就要更新風險處理計畫並實作[5]。

2013 年版證書已全部失效

IAF 的轉版文件 MD 26 規定：驗證機構最晚從 2024 年 4 月 30 日起，初次驗證與重新驗證只能依 2022 年版進行；已驗證組織的轉版必須在 2025 年 10 月 31 日前完成，所有依 2013 年版核發的證書在轉版期結束時到期或被撤銷[5]。這個期限已經過了：現在如果有供應商拿出 ISO/IEC 27001:2013 的證書，它已不再有效，應要求對方提供 2022 年版的證書。

CNS 27001 與資安法：誰一定要第三方驗證

CNS 27001 就是 ISO/IEC 27001:2022 的國家標準

CNS 27001 於 2006 年 6 月 16 日制定公布，現行的 CNS 27001:2023 於 2023 年 1 月 30 日修訂公布[3]。前言說明它依據 2022 年發行的第 3 版 ISO/IEC 27001，不變更技術內容，並取代 CNS 27001:2014；之後另發布三次勘誤表，最近一次在 2025 年 8 月 21 日[3]。因此法規寫「CNS 27001 或 ISO 27001」時，兩者的要求事項相同。中文版適合拿來寫程序文件與做內部訓練，只要留意勘誤表的用語修正，例如 6.1.3 的「風險擁有者」已更正為「風險當責者」[3]。

國家標準原則上採自願方式實施，但目的事業主管機關把全部或部分內容引用為法規時，就依該法規辦理[3]。資安法正是這種情況。

資安法：A、B 級要第三方驗證，C 級要導入

《資通安全責任等級分級辦法》最近一次在 2026 年 1 月 7 日修正[6]。依其附表，責任等級 A 級與 B 級的公務機關及特定非公務機關，都要讓全部核心資通系統導入 CNS 27001 或 ISO 27001 等資訊安全管理系統標準（或其他具同等以上效果的標準，或公務機關自行發展並經主管機關認可的標準），完成公正第三方驗證，並持續維持驗證有效性[6]。期限是初次受核定或等級變更後二年內完成導入、三年內完成公正第三方驗證[6]。C 級只要求全部核心資通系統導入並持續維持，不要求第三方驗證[6]。附表因修正而須新增或異動的項目，辦理期限自修正施行之日起算[6]。各等級的判定方式與其他應辦事項，見資通安全管理法重點整理。

附表有兩個細節，直接影響專案範圍與驗證機構的選擇[6]：

  • 要求的是「全部核心資通系統」。驗證範圍只涵蓋其中幾套系統，就不符合附表的文字。
  • 「公正第三方驗證」所稱的第三方，指通過我國標準法主管機關委託機構認證的機構，而且驗證證書上應有該委託機構的認證標誌。

不在名單上的企業，也可能因為承接這些單位的委外案而被要求：資安法第 10 條規定，受託者辦理受託業務的程序及環境，應具備完善的資通安全管理措施或通過公正第三方驗證[7]。條文用的是「或」，ISO 27001 驗證是其中一種證明方式，不是唯一選項；怎麼回應這類客戶要求，見客戶要「資安認證」怎麼辦。

驗證怎麼進行：兩階段稽核與三年週期

管理系統驗證是第三方符合性評鑑活動，規範驗證機構的標準是 ISO/IEC 17021-1:2015，ISO 網站顯示這一版仍為現行版本[8]。以下依認證機構 IAS（International Accreditation Service）整理的 ISO/IEC 17021-1 第 9 節說明流程[4]。

申請時，組織要提供想取得的驗證範圍、場址與流程、會影響符合性的委外過程，以及是否接受過與該管理系統相關的顧問服務、由誰提供[4]。

  • 第一階段稽核：審查管理系統文件、評估是否準備好進入第二階段、取得範圍相關資訊（場址、流程、適用法規），並評估內部稽核與管理審查是否已規劃且執行。第一階段發現的疑慮，可能在第二階段被列為不符合事項；兩階段的間隔要考量組織解決疑慮所需的時間，必要時重做部分或全部第一階段[4]。
  • 第二階段稽核：評估管理系統的實作情形與有效性，包括績效的監督與量測、法規與契約要求的符合情形、作業管制，以及內部稽核與管理審查[4]。
  • 驗證決定：做決定前，主要不符合事項（major nonconformity）要已關閉，次要不符合事項要有矯正行動計畫；如果在第二階段最後一天起 6 個月內無法驗證主要不符合事項已改正，驗證機構必須再做一次第二階段[4]。

取得證書後，進入以三年為一期的週期[4]：

  • 第一個三年週期從驗證決定日起算；第一年與第二年做追查稽核，第三年在證書到期前做重新驗證稽核。
  • 追查稽核在重新驗證以外的年度，每個日曆年至少一次；初次驗證後的第一次追查稽核，不得晚於驗證決定日起 12 個月。
  • 重新驗證在到期前完成，新證書的到期日可以接續原週期；證書過期後 6 個月內完成未完成的重新驗證活動，可以恢復驗證，否則至少要重做第二階段。
  • 組織不讓驗證機構依規定頻率進行追查或重新驗證稽核時，驗證機構應暫停驗證，暫停期間證書暫時無效。

選擇驗證機構：先確認「認證」

在台灣的用語裡，「驗證」（certification）是驗證機構稽核組織並發證，「認證」（accreditation）是認證機構評鑑驗證機構的能力。ISO 指出，由經認證的驗證機構核發的證書可能多一層信心，因為認證機構已獨立確認該驗證機構的能力[1]。

各國認證機構過去透過 IAF 的多邊相互承認協議（IAF MLA）彼此承認。自 2026 年 1 月 1 日起，IAF 與國際實驗室認證聯盟（ILAC）的角色由全球認證合作組織（Global ACI）接手，國際承認改由 Global ACI MRA 架構提供；過渡期間，舊的 IAF MLA 標誌仍可繼續使用[9]。台灣的全國認證基金會（TAF）是 Global ACI MRA 簽署機構，承認範圍包括 ISO/IEC 27006-1 與 ISO/IEC 27001（ISMS），承認日期為 2015 年 10 月 21 日[10]。TAF 網站提供 ISO/IEC 17021-1 管理系統驗證機構的認證名錄，並提醒曾有非獲認證機構濫用 TAF 認證標誌出具非認證報告[11]。要查證某張證書，可以在 IAF CertSearch 用公司名稱或證書資料查詢，資料由各驗證機構與認證機構提供[12]；查不到時，直接向發證的驗證機構確認。

導入路徑：從範圍到第二階段稽核

以下順序對應 CNS 27001／ISO/IEC 27001 的條文[3]，實際專案中有些步驟可以平行進行：

  1. 決定範圍（4.1 至 4.3）：整理內外部議題與利害關係人的要求（包括法規與契約義務），畫出邊界、介面與相依性。資安法 A、B 級單位要確認全部核心資通系統都在範圍內[6]。
  2. 管理階層承諾（第 5 節）：最高管理階層要展現對 ISMS 的領導作為及承諾[3]。實務上，這代表預算、人力與跨部門協調要有人拍板。
  3. 風險評鑑（6.1.2）：訂定風險接受準則與執行風險評鑑的準則，識別範圍內與機密性、完整性、可用性相關的風險及風險當責者，分析後果與可能性、判定風險等級並排定處理優先順序，保存文件化資訊[3]。
  4. 風險處理與 SoA（6.1.3）：選擇風險處理選項、決定必要的控制措施，再和附錄 A 比對，確認沒有遺漏必要的控制措施；附錄 A 並非窮舉，可能還需要額外的控制措施。SoA 要列出必要的控制措施、納入理由、是否已實作，以及排除任何附錄 A 控制措施的理由；風險處理計畫與剩餘風險要經風險當責者核准與接受[3]。
  5. 目標與變更（6.2、6.3）：訂定可量測（若可行）的資訊安全目標，寫清楚要做什麼、需要哪些資源、誰負責、何時完成、如何評估結果；ISMS 的變更要有規劃[3]。
  6. 運作（第 8 節）：依計畫實作控制措施並保存紀錄；與 ISMS 相關、由外部提供的過程、產品或服務也要受控制；依規劃的期間或發生重大變更時，重新進行風險評鑑[3]。
  7. 績效評估（第 9 節）：決定監督與量測的項目；依規劃的期間執行內部稽核，選擇稽核員時要確保稽核過程客觀公正，結果向相關管理階層報告；最高管理階層依規劃的期間進行管理審查[3]。
  8. 申請驗證：第一階段會評估內部稽核與管理審查是否已規劃且執行，第二階段也會檢視這兩項[4]，所以申請前最好至少完整跑過一輪內部稽核與管理審查。

稽核前自我檢查

以下是依條文要求整理的檢查點，用來在第一階段之前找出落差，並不代表各項目實際被開立不符合事項的頻率：

  • 範圍文件是否寫出邊界、介面與相依性，並和你希望印在證書上的範圍描述一致[3]。
  • SoA 中標示「已實作」的控制措施，是否都拿得出紀錄；每一項排除是否都有理由[3]。
  • 風險清單是否每項都有風險當責者，風險處理計畫與剩餘風險是否有核准與接受的紀錄[3]。
  • 搬遷到雲端、更換核心系統、組織調整等重大變更之後，是否重做風險評鑑[3]。
  • 雲端服務、委外維運等外部提供的過程，是否納入管控並留有證據[3]。
  • 內部稽核的安排是否確保客觀公正，例如避免稽核員稽核自己負責的工作[3]。
  • 管理審查紀錄是否涵蓋標準要求的輸入，例如不符合事項與矯正措施、稽核結果、風險評鑑與風險處理計畫的狀態，並留下改善機會與 ISMS 變更的決策[3]。
  • 從 2013 年版沿用的 SoA 與程序文件，是否已改成 2022 年版附錄 A 的編號與內容[5]。

行動清單

  • 先問清楚需求來源：客戶合約要求的是哪個標準、哪個範圍；是否屬資安法 A、B 級；董事會想降低的是哪些風險。來源不同，範圍和時程就不同。
  • 資安法 A、B 級單位：確認核定或等級變更的日期，倒推二年導入、三年驗證的期限，並讓範圍涵蓋全部核心資通系統。
  • 寫出範圍描述，列出範圍內的系統、據點、委外服務與介面，再完成風險評鑑、風險處理計畫與 SoA，並以 2022 年版附錄 A 的 93 項逐項比對。
  • 申請第一階段稽核前，完成至少一輪內部稽核與管理審查，並追蹤不符合事項的矯正。
  • 委託驗證機構前，到 TAF 認證名錄確認對方具備 ISO/IEC 27001 的認證範圍；資安法規範對象另外確認證書會帶有附表要求的認證標誌。
  • 把三年週期排進行事曆：每年的追查稽核、第三年在到期前完成重新驗證，避免證書中斷。
  • 審查供應商時，確認證書是 2022 年版、仍在有效期內、範圍涵蓋你使用的服務，並向發證機構或 IAF CertSearch 查證；供應鏈風險的技術面見供應鏈攻擊。