ISO 27001（正式編號 ISO/IEC 27001）是資訊安全管理系統（ISMS）的國際標準，規定組織如何建立、實施、維持並持續改善管理資訊安全的制度：界定範圍、評鑑風險、選擇控制措施，再以內部稽核與管理審查檢討改善。它適用於任何規模與產業，是否申請驗證由企業自行決定，驗證由驗證機構執行，ISO 本身不發證。現行為第三版，附錄 A 的控制措施整併為四大主題；委託方若已導入或受資通安全管理法規範，網站與系統的委外廠商也可能要配合其管理要求。
ISO 27001 規範的是管理制度，不是單一技術
iso.org 上的完整標題是「資訊安全、網路安全與隱私保護—資訊安全管理系統—要求事項」。資訊安全管理系統是一整套持續管理資訊風險的做法，包括政策、權責、風險評鑑流程、控制措施、紀錄與定期檢討。iso.org 用三個原則說明要保護的對象：
- 機密性：只有合適的人能存取組織的資訊。
- 完整性：組織使用或代為保管的資料被可靠地儲存。
- 可用性：組織與客戶在需要時能存取資訊。
標準不指定要買哪種設備或軟體，而是要求組織採用依自身規模與需求調整的風險管理流程，再決定要做哪些控制。相關標準有兩個：ISO/IEC 27002 是控制措施的實務指引；CNS 27001 是經濟部標準檢驗局參考國際標準調和制定的國家標準。基本概念可先參考資訊安全三要素的整理。
現行版本與 iso27001 改版重點
iso.org 標示現行為第三版，舊版已列為廢止，提到驗證時宜寫明依據的是現行第三版。依國家資通安全研究院的改版簡介，主要變動有三項：
- 附錄 A 由十四類整併為組織、人員、實體、技術四大主題，控制措施由一百一十四項調整為九十三項。
- 全新控制措施十一項，包括威脅情資、使用雲端服務之資訊安全、組態管理、資訊刪除、資料遮蔽、資料洩露預防、網頁過濾與安全程式設計等。
- 條文新增「變更之規劃」，管理系統變更時要有計畫地進行。
研究院提醒已導入舊版的組織，要重新檢視程序書並更新適用性聲明。iso.org 另列出一份名為「Climate action changes」的修訂，適用於第三版。評估廠商時，證書寫的是哪一版、驗證範圍涵蓋哪些服務，比有沒有證書更值得確認。
條文架構：第四節到第十節在要求什麼
依標準檢驗局標準資料電子報的整理，條文第四節到第十節如下，後面接附錄 A「資訊安全控制措施參引」：
| 條文 | 重點 |
|---|---|
| 組織全景 | 瞭解關注方之需要及期望，決定涵蓋的部門、地點與系統 |
| 領導作為 | 高階管理階層訂定資訊安全政策並分派權責 |
| 規劃 | 風險評鑑與風險處理、資訊安全目標、變更之規劃 |
| 支援 | 資源、能力、認知、溝通或傳達與文件化資訊 |
| 運作 | 運作之規劃及控制，依計畫執行風險評鑑與處理 |
| 績效評估 | 監督、量測、分析及評估，內部稽核與管理審查 |
| 改善 | 持續改善，以及不符合事項及矯正措施 |
風險處理後要產出適用性聲明，列出附錄 A 各控制措施採用或不採用及理由；前一節提到改版後要更新的，就是這份文件。
附錄 A 四大主題與機房規範
| 主題 | 項數 | 本版新增項目舉例 |
|---|---|---|
| 組織控制 | 三十七項 | 威脅情資、使用雲端服務之資訊安全 |
| 人員控制 | 八項 | 沒有新增項目 |
| 實體控制 | 十四項 | 實體安全監視 |
| 技術控制 | 三十四項 | 組態管理、資料遮蔽、安全程式設計 |
常被問到的 iso 27001 機房規範，對應的是實體控制。標準本身是管理要求，iso.org 的說明是採用依規模與需求調整的風險管理流程，因此機房要做到什麼程度，由風險評鑑與適用性聲明決定，不是套用一組固定數值。整理檢查方向時，可參考美國國家標準與技術研究院（NIST）網路安全框架的兩個項目：實體存取要依風險管理、監控並落實；技術資產要防範環境威脅。
網站與系統若放在雲端或主機代管機房，實體控制大多由服務商負責，組織要依「使用雲端服務之資訊安全」管理服務的選擇與使用，並保留服務商的驗證範圍與文件。
驗證流程的大致步驟
- 決定是否驗證與範圍：驗證不是強制，先確定涵蓋哪些服務、部門與地點。
- 盤點資訊資產，進行風險評鑑與風險處理。
- 撰寫適用性聲明、政策與必要程序，指定權責。
- 依制度運作並保存紀錄，例如權限審查、備份還原、事件處理。
- 執行內部稽核與管理審查，處理發現的不符合事項。
- 選擇驗證機構：ISO 不做驗證也不發證，iso.org 建議比較數家並確認是否經過認證，認證可作為能力的獨立確認。
- 接受驗證稽核，依不符合事項提出矯正措施，通過後取得證書。
- 取得證書後持續運作，並依驗證機構的規定接受後續稽核。
費用與時程依範圍與驗證機構而定，以實際報價為準。
哪些企業適合導入 ISO 27001
iso.org 說明標準適用於任何規模與產業，驗證是向客戶與利害關係人證明資訊安全管理能力的方式之一。符合下列情況時，可以評估導入：
- 客戶、招標或合約要求提供證書。
- 承接公務機關或特定非公務機關的資通系統委外。
- 提供雲端服務或代客戶處理大量資料，需要說明管理制度。
- 多個據點與系統需要一致的權限、備份與事件處理規範。
如果多重要素驗證、備份與更新這些基本防護還沒到位，可以先依資安防護檢查清單補齊，再談管理系統與驗證。
和資通安全管理法的關係與委外要求
資通安全管理法的主管機關是數位發展部，適用對象是公務機關與特定非公務機關，後者指關鍵基礎設施提供者、公營事業、特定財團法人或受政府控制之事業、團體或機構。依數位發展部發布的資通安全責任等級分級辦法附表，A 級與 B 級機關的全部核心資通系統要導入 CNS 27001 或 ISO 27001 等標準，並完成公正第三方驗證，C 級要求導入；這裡的第三方，指通過我國標準法主管機關委託機構認證之機構。
委外部分，全國法規資料庫所列條文第十條規定，這些機關委外辦理資通系統建置、維運時，應選任適當受託者，要求受託者建立有效的資通安全管理機制，並監督該機制的實施；受託者的程序與環境，應具備完善之資通安全管理措施或通過公正第三方驗證，並簽訂書面契約。資通安全管理法的全文修正已由行政院令定施行，實際適用以全國法規資料庫與資通安全署公告為準，個案請洽專業意見。
常見問題
ISO 27001 和 ISO/IEC 27002 差在哪？
ISO/IEC 27001 是管理系統的要求事項，也是驗證依據；ISO/IEC 27002 是控制措施的實務指引，說明附錄 A 各項控制怎麼落實。導入時兩份常一起參考，取得的是 ISO/IEC 27001 的證書。
ISO 27001 是法律規定一定要做的嗎？
對一般企業不是，是否驗證由組織自行決定。但資通安全管理法規範的部分機關，依責任等級須導入並完成第三方驗證，承接這類委外或合約有要求時，要依契約辦理。
小公司也能申請驗證嗎？
可以，標準適用於任何規模的組織。小公司可以把範圍限定在主要對外服務與相關系統，先把風險評鑑、權限與備份做好，範圍越清楚，文件與稽核工作越容易控制。
網站放在雲端主機，機房控制要自己做嗎？
雲端與主機代管機房的實體控制大多由服務商負責，但組織仍要管理雲端服務的選擇、設定與帳號權限，並保留服務商的驗證範圍與文件，作為適用性聲明的依據。
看廠商的 ISO 27001 證書要注意什麼？
確認證書標示的標準版本、驗證範圍是否涵蓋要委託的服務、發證的驗證機構與有效期間。證書由驗證機構簽發，範圍沒有涵蓋的服務不能視為已通過驗證。
本文由京采數位科技整理。我們自 2005 年起提供官網設計、系統開發與 Google SEO 服務，實際案例可見成果與案例。
想直接討論你自己的網站狀況，或需要一份初步的搜尋機會評估？
相關主題
下一步
官網與對外系統也是要納入盤點的資訊資產。準備 ISO 27001 驗證時，京采可以配合網站與主機端的資安設定：HTTPS 憑證、後台帳號權限與多重要素驗證、程式更新、備份與還原測試，以及網域 DNS 與郵件驗證紀錄（SPF、DKIM、DMARC）的設定與檢查，並整理設定說明供內部稽核參考；ISO 輔導與驗證請洽專業顧問與驗證機構。網站規劃可參考網頁設計服務，或與我們聯繫。
