財務長看 ISO 27001：年報資安揭露、ESG 加分與預算怎麼編？

年報要揭露哪些資安資訊？財務長要準備哪些數字？

年報準則第 18 條第六款要求敘明：

• 資通安全風險管理架構、資通安全政策、具體管理方案
• 投入資通安全管理的資源
• 最近年度及截至年報刊印日止，因重大資通安全事件遭受的損失、可能影響及因應措施

財務長要能從財務面說清楚投入的資源與事件損失；ISO 27001 的風險評鑑、適用性聲明（SoA）與稽核紀錄，讓投入資源、管理方案與驗證結果用同一套數字揭露。年報準則適用於公開發行公司；非公開發行公司不受此規範，可自願參考。

ESG 評鑑 S-12 怎麼加分？一定要取得證書嗎？

S-12 檢視公司是否建置並揭露資通安全風險管理架構、資通安全政策、具體管理方案及投入資通安全管理的資源，以年報為評鑑依據，題型 A+。

• 揭露本身是得分條件
• 加分條件：導入 ISO 27001、CNS 27001 等資訊安全管理系統標準，或其他同等以上效果的系統或標準，並取得第三方驗證，總分另加一分

115、116 年度文字相同。評鑑對象是上市櫃公司；非上市櫃、非公開發行公司不受此規範，可自願參考。

內控制度對資安有什麼要求？ISO 27001 內部稽核可以委外嗎？

內控處理準則第 9 條要求資通安全檢查之控制；第 9 條之 1 要求配置適當人力資源及設備，進行資訊安全制度之規劃、監控及執行。

內部稽核可以委外：ISO 19011:2018 把內部稽核定義為由組織本身或代表組織執行的稽核。唯一的硬限制是 ISO/IEC 17021-1 第 5.2.6 條：驗證機構不得替自己的驗證客戶做內部稽核，所以委外要找顧問，不是你的驗證機構。內控處理準則適用於公開發行公司；非公開發行公司不受此規範，可自願參考。

預算編列：ISO 27001 的投入要怎麼拆？

至少拆成兩筆，而且不能交給同一家：

• 輔導顧問：差距分析、制度建置、內部稽核
• 驗證機構：獨立稽核與發證

依 ISO/IEC 17021-1 第 5.2.5 條，管理系統驗證機構及其同一法人不得提供管理系統輔導。投入多寡視範圍與既有制度成熟度而定；93 項控制不必全做，依風險評鑑決定適用性並寫入 SoA，不適用者敘明理由。本頁不列費用，積穗科研於免費機制診斷後提供估算。

時程：多久能取得驗證，趕得上年報揭露？

服務頁所列典型 4–8 個月，依序為：

1. 差距分析
2. 制度建置
3. 內稽與管審
4. 第一階段／第二階段驗證

有既有 IT 治理基礎可明顯縮短。現在一律以 ISO/IEC 27001:2022 導入，2013 版證書的過渡期已於 2025 年 10 月 31 日屆滿。S-12 以年報為評鑑依據，財務長可依年報編製時點回推啟動時間。

投資效益：ISO 27001 一次投入能延伸到哪裡？證書等於法規合規嗎？

ISO 27001 是多個標準共用的制度地基：ISO 27701（隱私）、ISO 22301（營運持續）、ISO 42001（AI 管理）都共用其管理系統骨架，後續每張證書可重用風險管理、內部稽核與管理審查。

證書的界線也要講清楚：

• ISO 27001 是組織層面資安管理標準，不是 EU CRA 的協調標準
• 做了 ISO 27001 不等於個資合規，個資要另依 ISO 27701 與適用法規逐項落實

積穗科研怎麼協助財務長處理 ISO 27001 資訊安全管理系統？

• 由副總、董事級顧問全程親自輔導、不外包，團隊持有 ISO 主導稽核員資格
• 先確認客戶、投標與主管機關的資安要求並界定驗證範圍，以 ERM 風險語言建立評鑑框架、決定控制措施與 SoA
• 已取得驗證者，內部稽核可委外由積穗代執行；積穗是輔導顧問、不發證

具名客戶：旺矽科技、訊光資訊科技、卓元科健、超核心健身中心（Hypercore）；臺灣證券交易所（內控制度與 ISO 9000、ISMS 整合輔導）。延伸閱讀：ISO 27001 導入輔導、ISO 27001 顧問怎麼選、ISO 27001 內部稽核委外、資安長角色頁、財務長角色頁。申請免費機制診斷