ISO 27001 是什麼？
認識國際資訊安全管理系統標準
資料外洩、勒索軟體與供應鏈攻擊愈來愈常見，「有沒有通過 ISO 27001」已成為企業與公務機關評選合作廠商的重要條件。本文整理這項國際標準的核心概念、架構與驗證流程。
01ISO 27001 是什麼
ISO/IEC 27001 是由國際標準化組織（ISO）與國際電工委員會（IEC）共同制定的資訊安全管理系統（Information Security Management System，ISMS）標準，也是目前全球最廣為採用的資安管理國際標準。
它不是單一的資安產品或技術，而是一套管理制度：組織依據自身業務找出資訊資產與風險，選擇適當的控制措施，並透過文件化、稽核與管理審查持續改善。通過第三方驗證機構稽核後，即可取得 ISO/IEC 27001 證書，對外證明資訊安全管理已制度化運作。
02資訊安全三要素：機密性、完整性、可用性
ISO 27001 以保護資訊的三個特性為核心，簡稱 CIA：
- 機密性（Confidentiality）：資訊只讓經授權的人員存取，避免個資、客戶資料與營業機密外洩。
- 完整性（Integrity）：資訊在儲存、傳輸與處理過程中保持正確、完整，不被未經授權地竄改。
- 可用性（Availability）：經授權的使用者在需要時能正常使用資訊與系統，服務不因故障或攻擊而中斷。
以臨櫃服務為例：民眾填寫的申請資料不能外流（機密性）、建檔內容要與原始文件一致（完整性）、叫號與申辦系統在營業時間要穩定運作（可用性），三者缺一不可。
03標準架構與 2022 版重點
ISO/IEC 27001 由兩大部分組成：第 4 至 10 章是管理系統的要求，附錄 A 則列出可選用的控制措施。現行版本為 2022 年發布的 ISO/IEC 27001:2022，舊版（2013 版）證書的轉版期限已於 2025 年 10 月 31 日截止。
| 章節 | 重點內容 |
|---|---|
| 4 組織全景 | 了解內外部議題與利害關係人需求，界定 ISMS 的適用範圍。 |
| 5 領導 | 高階管理階層的承諾、資訊安全政策與權責分工。 |
| 6 規劃 | 風險評鑑與風險處理，訂定資訊安全目標。 |
| 7 支援 | 資源、人員能力、資安認知訓練、溝通與文件化資訊。 |
| 8 運作 | 執行風險處理計畫，落實各項控制措施。 |
| 9 績效評估 | 監督量測、內部稽核與管理審查。 |
| 10 改善 | 處理不符合事項，採取矯正措施並持續改善。 |
2022 版的附錄 A 將控制措施整併為 93 項，分成四大主題：
- 組織控制措施 37 項：政策、資產管理、存取控制、供應商關係、事故管理等
- 人員控制措施 8 項：人員篩選、資安認知與訓練、保密協議、遠距工作等
- 實體控制措施 14 項：實體區域進出、設備保護、桌面淨空與螢幕淨空等
- 技術控制措施 34 項：端點裝置、權限管理、惡意軟體防護、備份、日誌與安全開發等
2022 版也新增了威脅情資、雲端服務資安、資料遮罩、資料外洩防護、安全程式開發等 11 項控制措施，反映雲端與遠距工作普及後的新風險。
04PDCA 持續改善
ISO 27001 的精神在於「持續改善」，而不是一次性的檢查。資訊安全管理系統依循 PDCA 循環運作：
- Plan 規劃界定範圍、評鑑風險
- Do 執行落實控制措施與訓練
- Check 檢查監督量測、內部稽核
- Act 改善管理審查、矯正措施
每一輪循環都根據稽核發現與新的威脅調整做法，讓資安管理跟著組織與環境一起演進。
05驗證流程
組織取得 ISO 27001 證書，通常會經過以下階段：
- 建立制度：盤點資訊資產、進行風險評鑑，訂定資安政策、程序與適用性聲明（SoA），並實際運作一段時間。
- 內部稽核與管理審查：由內部稽核人員檢查制度是否落實，高階主管審查執行成效。
- 第三方驗證稽核：驗證機構先進行第一階段文件審查，再進行第二階段現場稽核，確認制度確實執行。
- 取得證書與持續監督：證書效期一般為三年，期間每年接受追查稽核，到期前再進行重新驗證。
06為什麼企業與機關重視 ISO 27001
- 符合法規與採購要求：我國《資通安全管理法》要求公務機關與特定非公務機關依資通安全責任等級導入資訊安全管理系統，等級較高者須通過公正第三方驗證；機關委外時也須考量受託廠商的資安能力。
- 降低供應鏈風險：許多資安事件從合作廠商的系統或帳號開始，選擇通過驗證的廠商，可降低資料委外處理的風險。
- 提升客戶信任：國際標準與第三方驗證提供客觀依據，讓客戶不必逐一檢查廠商的內部管理。
- 制度化的應變能力：事故通報、備份還原與營運持續都有既定程序，發生問題時能快速應對、降低衝擊。
07偉迅科技通過 ISO 27001 國際資訊安全認證
偉迅科技已通過 ISO/IEC 27001 國際資訊安全管理系統認證。偉迅長期為政府機關、醫療院所、電信、金融與交通等產業建置排隊叫號、臨櫃無紙化、AI 文件辨識與系統整合專案，系統經常處理民眾申辦資料、身分證件與各類表單，資訊安全是專案能否順利導入的前提。
取得 ISO 27001 認證，代表偉迅以國際標準建立資訊安全管理制度，並通過第三方驗證機構稽核。未來在系統開發、專案建置與維運支援的各個環節，都將持續依循制度管理資訊安全，讓客戶在推動數位轉型時更安心。
08常見問題
Q1：ISO 27001 和 ISO 27002 有什麼不同？
ISO/IEC 27001 是可以被驗證的管理系統標準，規定組織必須做到哪些要求；ISO/IEC 27002 是控制措施的實作指引，說明各項控制措施可以怎麼做。組織取得的證書是 ISO/IEC 27001。
Q2：ISO 27001 證書的有效期多久？
證書效期一般為三年。期間驗證機構每年進行追查稽核，確認制度持續運作；三年到期前須通過重新驗證稽核，才能延續證書。
Q3：委外或採購時，如何確認廠商的 ISO 27001 證書？
可請廠商提供證書，確認公司名稱、驗證範圍是否涵蓋本次服務、標準版本與有效期限，並確認發證的驗證機構是否經認證機構（如財團法人全國認證基金會 TAF）認可。
偉迅科技（WESHINE）創立於 1991 年，累計 600+ 大型專案／服務實績，已通過 ISO/IEC 27001 國際資訊安全管理系統認證，提供排隊叫號、臨櫃無紙化、AI 文件辨識與客製化系統整合服務。
如需了解系統導入規劃或資安相關需求，歡迎與偉迅科技聯繫洽詢。