ISO 27002

ISO 27002是由國際標準化組織（ISO）與國際電信標準組織（IEC）聯合發布的資訊安全控制措施實務指引。它並非認證標準，而是ISO 27701（隱私資訊管理系統）和ISO 27701（PIMS）的技術基礎。ISO 27002將控制措施分為組織、人員、物理環境及技術控制四大類別，每個控制措施均包含建議的實施建議與目標。相較於ISO 27701的「什麼要做」，ISO 27002回答的是「如何去做」。對於台灣企業而言，ISO 27002是達成ISO 27701認證的技術前置條件，也是滿足GDPR第32條「處理安全性」要求的具體操作依據。在台灣個資法框架下，ISO 27002的控制措施可直接對應個資保護的技術與管理要求，是建立資訊安全管理體系（ISMS）的實務操作手冊。

ISO 27002的應用需遵循「識別風險→選擇控制措施→實施→審查」的循環過程。實務上通常分為三個階段：第一階段為風險評鑑，企業需依ISO 31000風險管理原則，盤點資訊資產（如客戶資料、員工個資、商業秘密）的威脅與漏洞；第二階段為控制措施選定，企業對照ISO 27002的控制措施清單（包含存取控制、加密、備份、物理安全等），建立「控制措施適用性聲明（Statement of Applicability, SoA）」，並針對高風險項目制定具體執行方案；第三階段為持續監控與審查，透過KPI（如資安事件發生率、系統可用性達99.9%等）評估控制措施的有效性。以台灣電商企業為例，導入ISO 27002後，其資料外洩事件發生率平均可降低40%，GDPR合規準備時間縮短30%，顯著提升客戶信任度與法規遵循能力。

台灣企業導入ISO 27002常見三大挑戰：第一為「法規解讀困境」，許多企業無法將ISO 27002的技術控制與台灣個資法第27條（安全維護義務）及第28條（資通系統安全維護）對應，建議透過專業諮詢建立「法規對照矩陣」；第二為「資源配置不均」，中小企業往往面臨技術人才不足與預算有限的問題，可採取分階段導入策略，優先實施存取控制與資料加密等高風險控制項；第三為「文化抗拒」，員工對資安政策的執行意願低，需透過定期教育訓練與管理階層的強力推動來改變組織文化。建議企業在導入前6個月完成現況評估，前12個月完成核心控制措施建立，並設定每季一次的內部稽核機制，以確保控制措施持續有效運作。