資安長導入 ISO 22301：ICT 備援、RTO 與演練怎麼準備？

RTO、RPO 由誰決定？資安長要負責到哪裡？

RTO 是多久要恢復、RPO 是最多能丟失多少資料。兩個數字都應由 BIA 的衝擊分析推導、管理階層拍板，再回頭檢驗現有備援能力是否撐得起；撐不起就是投資決策題。

常見錯誤是先射箭再畫靶：抄一個好看的 RTO，卻沒有對應的能力。資安長的責任是把復原目標連到備援與災難復原的技術驗證，讓預算提案有 BIA 與能力差距作為依據。

已有 ISO 27001，ISO 22301 能共用哪些證據？

可以且建議整合。兩者共用 Annex SL 骨架，27001 的 A.5.29／5.30（中斷期間資安、ICT 備援）與 22301 直接相通：

• 與 27001 共用備份與 ICT 備援文件
• 整合導入共用文件與稽核，增量成本低於分開做
• 演練紀錄同時是驗證與客戶問卷的證據

服務頁所列時程：已有 27001 者約 3–5 個月。

演練要多久做一次？資安長要留下什麼紀錄？

標準要求定期且在重大變更後執行演練，實務基準是每年至少一次完整演練，加上情境式桌面推演；演練後的檢討改進紀錄，與演練本身同等重要。沒有演練紀錄的 BCP，在稽核與客戶審查中等同不存在。

資安情境可以納入勒索軟體：在 ISO 22301 框架下建立勒索軟體 BCP 專章，含 IT-DRP、危機溝通 SOP 與執法單位協作流程；並把「全 IT 系統重建」當成演練情境，而不只是局部復原。

資安事件造成營運中斷時，營運持續計畫要怎麼接上法定通報時限？

同一起事件可能同時觸發多項時限，起算點與受理機關各不相同；適用哪幾項，要先依公司是否落入各法規範圍判定：

BCM 中的通報程序應包含：通報時限的計算起點、主管機關通報文件範本、依風險程度分級的當事人通知、媒體與投資人關係處理。

客戶問卷與 NIS2、DORA 的韌性要求，ISO 22301 能承接嗎？證書等於合規嗎？

能承接證據，但證書不等於合規。NIS2 的營運持續措施、DORA 的 ICT 營運韌性、品牌商韌性問卷的供應商備援題，都可由 22301 制度承接出證。但 NIS2、DORA 沒有獨立證書，ISO 證書也不等於法規合規；要先判定公司是受規範實體、歐盟金融實體，還是它們的供應商。

版本：現行為 ISO 22301:2019 加上 2024 年第 1 號修正（組織須判定氣候變遷是否為相關議題）；第 3 版仍在委員會草案階段、尚無出版日，現在導入仍以 2019 版為驗證依據。

預算與時程怎麼排？哪些階段不能壓縮？

服務頁所列四階段通常 4–7 個月，已有 27001 者約 3–5 個月：

BIA 與演練兩段無法壓縮。預算取決於納入範圍的關鍵業務與據點數、BIA 要做多深，以及備援與災難復原的技術現況。驗證證書為 3 年週期，由第三方機構執行階段一／二驗證。

積穗科研怎麼協助資安長處理 ISO 22301？

積穗科研的做法（請用上方問題同樣檢驗我們）：

• 副總、董事級顧問全程親自輔導、不外包；顧問持有 ISO 22301 主導稽核員資格
• 以條款 8 為核心、用 ISO/TS 22317 做 BIA，與 27001 共用備份與 ICT 備援文件
• 每個專案至少一次桌面推演與一次功能演練，交付客戶問卷證據包
• 驗證由第三方執行，積穗是輔導顧問、不發證

ISO 22301 營運持續管理、ISO 22301 顧問怎麼選、預算與時程。申請免費機制診斷