客戶與投標要求 ISO 27001 證書，總經理怎麼決定驗證範圍與時機？
服務頁的觀察是：跨國大廠供應商審查、政府與金融投標、雲端服務客戶盡調，27001 都是第一張被要求出示的證書。總經理要決定的不是「做不做」，而是「先涵蓋哪裡」：
- 第一步：確認客戶、投標與主管機關的資安要求，界定驗證範圍。以實際被要求的產品線、據點與服務為準；範圍過小客戶不認，過大則拉長時程。
- 版本：一律以 ISO/IEC 27001:2022 導入；2013 版證書的過渡期已於 2025 年 10 月 31 日屆滿。
- 審查重心：風險評鑑與 SoA 適用性聲明。93 項控制不必全做，依風險評鑑決定適用性，不適用者敘明理由。
- 時程（服務頁所列）：典型 4–8 個月，依序為差距分析、制度建置、內稽與管審、第一階段／第二階段驗證；有既有 IT 治理基礎可明顯縮短。
公司一定要設資訊安全長嗎？資安專責人力要配多少？
依公司所在層級判斷：
| 適用對象 | 規範 | 要求 |
|---|---|---|
| 所有公開發行公司 | 內控處理準則第 9 條之 1 | 應配置適當人力資源及設備，進行資訊安全制度之規劃、監控及執行 |
| 實收資本額 100 億元以上、臺灣 50 指數成分公司，或電子商務營收達一定比例的上市櫃公司 | 金管會 110 年 12 月 28 日令 | 111 年底前指派資訊安全長，設置專責單位，含專責主管及至少 2 名專責人員 |
| 其他上市櫃公司（最近三年稅前連續虧損或每股淨值低於面額者除外） | 同上 | 112 年底前配置專責主管及至少 1 名專責人員 |
一般公開發行與上市櫃公司，官方規範沒有訂定資安長的職級；「副總經理以上」是銀行、金融控股公司與證券期貨業的要求。非公開發行公司不受上述規範，可自願參考。
資安政策由誰核定？總經理多久要聽一次資安報告？
- 《上市上櫃公司資通安全管控指引》第 4 條：資安政策由副總經理以上主管核定並定期檢視。這是核定者的層級，不是資安長的職級。
- 第 37 條：定期向董事會或管理階層報告資通安全執行情形；指引沒有訂定頻率。依第 41 條，上市、上櫃公司可衡諸產業特性、規模大小及資安風險適度採行；非公開發行公司不受此指引規範，可自願參考。
- 銀行與金融控股公司：資訊安全長每年向董（理）事會報告前一年度資訊安全整體執行情形。
- ISO 27001：制度要經內部稽核與管理審查，管理審查的紀錄就是總經理參與的證據。
- 若公司是 NIS2 的受規範實體：第 20 條要求管理機構核准資安風險管理措施並監督其執行，管理機構成員須接受訓練。
發生重大資安事件時，總經理要對外交代什麼？
- 年報：《公開發行公司年報應行記載事項準則》第 18 條第六款，要求揭露重大資通安全事件的損失、可能影響與因應措施。
- 公司內部程序：《上市上櫃公司資通安全管控指引》第 34 條要求訂定資安事件應變處置及通報作業程序。
- 有歐盟業務時的通報時限：
| 法規 | 時限 |
|---|---|
| GDPR 第 33 條 | 個資外洩，可行時於知悉後 72 小時內通報主管機關 |
| NIS2 第 23 條 | 重大事件 24 小時內早期預警、72 小時內通報、一個月內最終報告 |
| EU CRA 第 14 條 | 遭主動利用的漏洞與嚴重事件，24 小時內早期預警、72 小時內通報；自 2026 年 9 月 11 日起適用 |
同一起事件可能同時觸發多項時限；總經理要確認應變程序裡有事件分類步驟，判斷要通報哪幾項。非公開發行公司不受上述公開發行公司規範，可自願參考。
拿到 ISO 27001，歐洲客戶提到的 NIS2、EU CRA、GDPR 就算過關嗎？
不算。NIS2、EU CRA、GDPR 都沒有獨立證書：
- NIS2：要落實第 21 條措施與第 23 條通報；只是受規範實體的供應商時，客戶會把供應鏈安全要求寫進合約。
- EU CRA：要依產品類別完成符合性評估並標示 CE；自 2027 年 12 月 11 日起，未完成的數位產品不得投放歐盟市場。
- GDPR：要以 RoPA、DPIA、處理者契約、傳輸機制與通報紀錄自證。
ISO 27001 的價值是共用的管理骨架，能縮短其他要求的時程（服務頁所列）：NIS2 從通常 4–6 個月縮短到 2–3 個月；ISO 22301 約 3–5 個月；ISO 42001 通常 4–6 個月可達驗證。總經理排優先順序時，可以先做 27001，再依客戶與市場加上其他項目。
ISO 27001 對證交所 ESG 評鑑與年報揭露有什麼幫助？
- ESG 評鑑 S-12（115、116 年度文字相同，以年報為評鑑依據）：是否建置並揭露資通安全風險管理架構、資通安全政策、具體管理方案及投入資通安全管理之資源。導入 ISO 27001、CNS 27001 等資訊安全管理系統標準，或其他具同等以上效果的系統或標準，並取得第三方驗證者，總分另加一分。
- 年報：同一套數字（投入資源、管理方案、驗證結果）用於年報第 18 條第六款的揭露。
- S-15：若公司要求供應商遵循資通訊安全或隱私權保護規範，27001 的供應商管理控制也是佐證。
ESG 評鑑對象是上市櫃公司；非公開發行公司不受評鑑，可自願參考指標內容。
積穗科研怎麼協助總經理處理 ISO 27001？
以下是積穗科研自己的說明，請用上方的問題同樣檢驗我們。
- 誰主導：積穗科研是輔導顧問、不發證，由副總、董事級顧問全程親自輔導、不外包，顧問團隊持有 ISO 主導稽核員資格
- 先界定範圍：先確認客戶、投標與主管機關的資安要求，再界定驗證範圍
- 一張風險地圖：以 ERM 風險語言建立評鑑框架，讓 27001 的風險登錄與企業層風險地圖互通
- 驗證後：已取得驗證的組織，內部稽核可委外由積穗代執行
- 具名客戶：旺矽科技（ISO 27001 資訊安全管理系統與營業秘密保護輔導）、訊光資訊科技（ISO 27001 資訊安全管理系統輔導）
- 第一步：第一次機制診斷免費
深入：ISO 27001 導入輔導、台灣 ISO 27001 輔導顧問推薦哪家？、ISO 27001 內部稽核委外、資安長角色頁
其他角色怎麼看這項服務
同一角色的其他服務
- 總經理導入 ERM：董事會、內控聲明與個人責任要先釐清什麼？
- 總經理看 ISO 37001：海外代理商行賄，公司與個人要負什麼責任？
- 總經理看 ISO 22301：廠區停擺幾天還撐得住？RTO 由誰拍板？
- 總經理看營業秘密保護：員工帶料跳槽，公司要先證明什麼？
- 總經理看 EU CRA：歐洲訂單、罰則與誰負責，現在要決定什麼？
- 總經理看 NIS2：第 20 條管理機構責任、罰則與歐洲客戶要求
- 總經理看 EU AI Act 與 ISO 42001：員工用 AI、罰則與責任
- 總經理看 GDPR 與 ISO 27701：罰則、跨境傳輸與誰負責
- 總經理看 TISAX：歐洲車廠訂單、評估等級、時程與投資怎麼決定？
- 總經理推數位轉型：投資效益、租稅優惠、資安與營運中斷怎麼管？
- 總經理推 AI 轉型：第一個場景、投資效益與責任歸屬怎麼決定？