ISO 27001 能幫資安長回應哪些公司治理要求？
| 規範 | 對資安長的要求 |
|---|---|
| 公開發行公司建立內部控制制度處理準則第 9 條之 1 | 配置適當人力與設備，規劃、監控並執行資訊安全管理 |
| 上市上櫃公司資通安全管控指引 | 專責主管（第 3 條）、應變與通報（第 34 條）、向董事會或管理階層報告（第 37 條）、資安稽核（第 38 條） |
| 公開發行公司年報應行記載事項準則第 18 條第六款 | 揭露資通安全風險管理架構、政策、具體管理方案及投入資源 |
資安長可以用同一套風險評鑑、事件應變、供應商管理與稽核證據回應多項要求，ISO 27001 是這套證據的骨架。依管控指引第 41 條，上市、上櫃公司可衡諸產業特性、規模大小及資安風險適度採行；非公開發行公司不受上述規範，可以自願參考。
ISO 27001 驗證對證交所 ESG 評鑑 S-12 有什麼幫助？
ESG 評鑑自 115 年起取代公司治理評鑑，評鑑對象是上市櫃公司。S-12 問公司是否建置並揭露資通安全風險管理架構、資通安全政策、具體管理方案及投入資通安全管理之資源，以年報為評鑑依據。
- 加分條件：導入 ISO 27001、CNS 27001 等資訊安全管理系統標準，或其他同等以上效果的系統或標準，並取得第三方驗證者，總分另加一分。
- 看的是第三方驗證：只宣告導入、沒有取得驗證，不符合加分條件。
- 年度：115、116 年度的指標文字相同。
同屬資安長範圍的指標還有 S-13（個人資料保護政策）與 S-15（供應商管理政策，含資通訊安全）。
驗證範圍怎麼定？93 項控制都要做嗎？
先判定客戶、投標與主管機關要求的驗證範圍，再做風險評鑑。
- 93 項控制不必全做：依風險評鑑決定適用性並寫入適用性聲明（SoA），不適用者敘明理由。
- 審查重心：稽核員與客戶盡調細看的是風險評鑑方法論的一致性，與 SoA 的合理性。
- 版本：一律以 ISO/IEC 27001:2022 導入；2013 版證書的過渡期已於 2025 年 10 月 31 日屆滿。已持有舊版制度的組織不是重做，而是控制對映與差距補強。
資安長向董事會報告時，ISO 27001 的哪些產出可以直接用？
管控指引第 37 條要求定期向董事會或管理階層報告資通安全執行情形，條文未訂頻率；銀行與金融控股公司則依實施辦法第 24 條，由資訊安全長每年向董（理）事會報告前一年度資訊安全整體執行情形。
ISO 27001 運作後持續產生的紀錄，可以作為報告素材：
- 風險評鑑結果與 SoA
- 內部稽核發現與矯正追蹤
- 管理審查結論
建議把各項要求的適用判定、通報演練與稽核結果，放進同一份報告，不另起一份。非公開發行公司不受管控指引規範，可以自願參考。
資安專責人力有限，ISO 27001 內部稽核可以委外嗎？
可以。ISO 19011:2018 把內部稽核定義為由組織本身或代表組織執行的稽核。硬限制只有一條：依 ISO/IEC 17021-1 第 5.2.6 條，驗證機構不得替自己的驗證客戶做內部稽核，所以要委外，找的是顧問，不是你的驗證機構。
人力配置可以參考金管會 110 年 12 月 28 日令：符合條件的上市櫃公司須設置含專責主管及至少 2 名專責人員的專責單位；其他上市櫃公司（除外情形依令文）須配置專責主管及至少 1 名專責人員。管控指引第 38 條也要求定期辦理內部及委外廠商資安稽核。委外前，要確認實際執行者的主導稽核員資格與獨立性。
ISO 27001 要多久？之後的 NIS2、27701、22301、42001 能省多少時間？
服務頁所列典型時程為 4–8 個月，依序是差距分析、制度建置、內稽與管審、第一階段與第二階段驗證；有既有 IT 治理基礎可明顯縮短。
27001 是後續要求的共用骨架。以下是各服務頁所列的時程：
| 後續要求 | 服務頁所列時程 |
|---|---|
| NIS2 | 通常 4–6 個月；已有 27001 者 2–3 個月 |
| ISO 27701 | 整合驗證 5–8 個月；已有 27001 者 3–5 個月 |
| ISO 22301 | 通常 4–7 個月；已有 27001 者約 3–5 個月 |
| ISO 42001 | 從零約 6–9 個月；已有 27001 者通常 4–6 個月 |
積穗科研怎麼協助資安長處理 ISO 27001？
- 先判定範圍：確認客戶、投標與主管機關的資安要求，界定驗證範圍。
- 風險語言一致：以 ERM 風險語言建立評鑑框架，與企業層風險地圖互通。
- 一套證據：以 ISO 27001 為骨架，讓 ISO 27701、22301、42001 共用管理系統。
- 內稽委外：已取得驗證的組織，內部稽核可委外由積穗代執行。
- 分工：積穗科研是輔導顧問、不發證；由副總、董事級顧問全程親自輔導、不外包。
- 具名客戶：旺矽科技、訊光資訊科技、卓元科健、超核心健身中心（Hypercore）、金融聯合徵信中心（JCIC）、臺灣證券交易所。
延伸閱讀：ISO 27001 導入輔導、ISO 27001 顧問怎麼選、ISO 27001 內部稽核委外。申請免費機制診斷
其他角色怎麼看這項服務
同一角色的其他服務
- 資安長看 ISO 27701 與 GDPR：跨國個資與 72 小時通報怎麼管？
- 資安長面對 NIS2：是不是受規範實體？多國據點、董事會與通報怎麼排？
- 資安長面對 DORA：服務歐盟金融客戶，合約、通報與測試要準備什麼？
- 資安長面對 EU CRA：誰主導、24 小時通報、SBOM 與預算怎麼排？
- 資安長導入 ISO/IEC 29147：漏洞通報窗口與 CRA 怎麼接？
- 資安長導入 ISO/IEC 30111：漏洞處理流程怎麼接上 CRA 通報？
- 資安長面對 IEC 62443：子標準怎麼選、跟 EU CRA 什麼關係？
- 資安長準備 TISAX：評估等級、ISA2027 與時程怎麼定？
- 資安長面對 ISO/SAE 21434：TISAX 之外，產品資安要準備什麼？
- 資安長導入 ISO 22301：ICT 備援、RTO 與演練怎麼準備？
- 資安長導入 ISO 42001：AI 治理和 27001 能共用什麼？
- 資安長面對 EU AI Act：AI 系統的資安、紀錄與人類監督要準備什麼？
- 資安長做營業秘密保護：資訊分級與存取紀錄怎麼設計才站得住？