客戶合約要求「取得並維持 ISO 27001」，法務長怎麼確認證書真的涵蓋這份合約？
| 要核對的 | 為什麼 |
|---|---|
| 驗證範圍 | 證書背書的是驗證範圍內的組織與活動；合約服務若在範圍外，證書不能證明什麼 |
| 適用性聲明（SoA） | 93 項控制依風險評鑑決定適用性，不適用者敘明理由；客戶在意的控制可能被排除 |
| 版本 | 一律以 ISO/IEC 27001:2022 導入；2013 版證書的過渡期已於 2025 年 10 月 31 日屆滿 |
| 發證者 | 依 ISO/IEC 17021-1 第 5.2.5 條，受認證的驗證機構及其同一法人不得提供管理系統輔導；發證的是驗證機構，不是顧問 |
合約可以寫明：證書範圍須涵蓋本合約服務；證書失效、暫停或範圍縮減時的通知義務。也要寫清楚：ISO 證書不等於 NIS2、GDPR 或 EU CRA 合規，客戶若要求法規義務，要另列條款。
客戶要求稽核權，可以用 ISO 27001 證書或稽核報告取代現場稽核嗎？
取決於客戶受什麼規範約束：
| 客戶類型 | 稽核權的空間 |
|---|---|
| 一般商業客戶 | 稽核權是談判議題：可以談範圍、頻率、事先通知、保密與費用，並以證書、SoA 與驗證稽核結果作為例行佐證 |
| 歐盟金融實體（DORA），支援關鍵或重要功能 | 金融實體或其指定第三方享有無限制的存取、檢查與稽核權；ESMA 說明頻率由金融實體同意，且須保留臨時稽核 |
| NIS2 受規範客戶 | 須考量每個直接供應商的特定弱點，常以問卷或稽核確認 |
法務長的底線條款：稽核員不得接觸其他客戶的資料；稽核發現的保密與使用範圍；稽核造成服務中斷時的處理。證書能否取代某一次稽核，由客戶決定。
合約的事件通知時限、責任上限與補償，法務長的審閱框架是什麼？
| 條款 | 框架 |
|---|---|
| 事件通知 | 先看客戶自己的法定時限：GDPR 個資外洩可行時於知悉後 72 小時內；NIS2 重大事件 24 小時內早期預警；DORA 分類為重大後 4 小時內、且不晚於知悉後 24 小時。客戶要求你更早通知，要確認偵測與判定流程做得到 |
| 責任上限 | 資安或個資事件是否排除在一般上限之外，或另訂上限 |
| 補償 | 是否包含客戶被主管機關處的罰鍰；罰鍰能否約定由他方補償，依準據法判斷 |
| 保險 | 資安保險承保範圍是否與合約責任一致 |
| 配合調查 | 主管機關或客戶調查時，你要提供哪些紀錄、多快 |
ISO 27001 的事件管理程序與演練紀錄，是證明你能履行通知條款的依據。條款的法律效果由律師判斷；承保範圍由保險經紀人確認。
發生資安或個資事件，ISO 27001 的紀錄在求償與主管機關調查中有什麼用？
- 個資法第 29 條第 1 項：非公務機關違反本法規定，致個人資料遭不法蒐集、處理、利用或其他侵害當事人權利者，負損害賠償責任；但能證明其無故意或過失者，不在此限。舉證在公司，風險評鑑、控制措施、內部稽核與管理審查紀錄，是說明已採取措施的材料。
- 個資法 114 年 11 月 11 日修正：第 12 條增訂符合一定通報範圍時向主管機關通報、即時應變，以及記載事實與因應措施並保存紀錄以備查驗；部分條文尚未施行、施行日期未定。
- GDPR：第 42 條的認證機制須經資料保護機關或 EDPB 核准（例如 Europrivacy）；ISO 27001 是驗證機構核發的管理系統驗證，不是這類機制。
紀錄能否證明無過失、份量多重，由法院依個案判斷；ISO 證書不是免責證明。
事件發生後，證據保全與對外說明要先做什麼？
框架（依序）：
- 啟動應變程序：《上市上櫃公司資通安全管控指引》第 34 條要求訂定資安事件應變處置及通報作業程序；法務要在程序裡有明確角色
- 保全證據：事件日誌、系統紀錄、鑑識資料與決策紀錄，記錄取得時間與經手人，避免事後被質疑完整性
- 盤點時限：GDPR、NIS2、DORA 與客戶合約的通知時限並列，由同一個事件分類步驟判斷
- 對外說明：年報準則第 18 條第六款要求揭露重大資通安全事件的損失、可能影響與因應措施；對外說法和通報內容一致
- 事後：矯正措施納入 27001 的改善追蹤
管控指引依第 41 條由上市、上櫃公司適度採行，年報準則適用公開發行公司；非公開發行公司不受此規範，可自願參考。
我們對自己的雲端與委外廠商，合約要寫哪些資安條款？
對上游的要求和對下游的承諾要一致：你答應客戶的事，要能從供應商合約得到支撐。
- 《上市上櫃公司資通安全管控指引》第 31–33 條規範資訊作業委外；第 38 條要求定期辦理內部及委外廠商資安稽核
- 證交所 ESG 評鑑 S-15：揭露供應商管理政策，要求供應商在資通訊安全或隱私權保護等議題遵循相關規範，並說明實施情形
條款清單：
| 條款 | 要點 |
|---|---|
| 稽核或佐證 | 你能稽核，或至少取得證書與稽核結果 |
| 事件通知 | 時限短於你對客戶的承諾 |
| 再委外 | 事先同意與同等要求 |
| 資料處理地點 | 與你對客戶的承諾一致 |
| 終止 | 資料返還與刪除證明 |
指引與 ESG 評鑑適用上市櫃公司；非公開發行公司不受此規範，可自願參考。
積穗科研怎麼協助法務長處理 ISO 27001？
- 先確認要求：客戶、投標與主管機關的資安要求，據以界定驗證範圍
- 風險評鑑與 SoA：以 ERM 風險語言建立評鑑框架、決定控制措施與適用性聲明，不適用者敘明理由
- 角色分開：積穗科研是輔導顧問、不發證；已取得驗證者，內部稽核可委外由積穗代執行
- 一套證據：以 ISO 27001 為骨架，讓 NIS2、DORA 與客戶問卷共用同一套紀錄
- 時程（服務頁所列）：典型 4–8 個月
- 誰主導：副總、董事級顧問全程親自輔導、不外包，團隊持有 ISO 主導稽核員資格。具名客戶：旺矽科技、訊光資訊科技、卓元科健、超核心健身中心（Hypercore）
深入：ISO 27001 導入輔導、台灣 ISO 27001 輔導顧問怎麼選、ISO 27001 內部稽核委外。申請免費機制診斷
其他角色怎麼看這項服務
同一角色的其他服務
- 法務長看 ISO 37001：代理商行賄、檢舉調查與合約條款怎麼管？
- 法務長看營業秘密保護：員工帶料、提告與證據保全要先準備什麼？
- 法務長看 GDPR 與 ISO 27701：處理者契約、跨境傳輸與調查怎麼應對？
- 法務長看 EU CRA：製造商責任、通報義務與 ODM 合約怎麼分？
- 法務長看 EU AI Act 與 ISO 42001：角色、AI 合約與責任
- 法務長看 NIS2：管轄、個人責任、主管機關調查與客戶條款怎麼處理？
- 法務長看 DORA：第 30 條合約、稽核權與退出條款怎麼談？
- 法務長看 ERM：法遵風險怎麼進風險地圖、怎麼證明法遵制度有效？
- 法務長看 TISAX：車廠合約、參與條款與評估結果分享怎麼處理？