八個判斷準則
| 準則 | 可以直接問任何顧問的問題 |
|---|---|
| 角色 | 你們是顧問還是驗證機構？最後發證的是哪一家？ |
| 風險評鑑 | 風險怎麼評？可接受的風險由誰決定、留下什麼紀錄？ |
| 適用性聲明 | 附錄 A 的控制措施哪些適用、哪些不適用？理由寫在哪？ |
| 制度整合 | 我已有的個資、營運持續或其他管理制度，能不能共用文件、內部稽核與管理審查？ |
| 技術落地 | 文件寫的控制措施，在系統上怎麼證明真的有做到？ |
| 誰主導 | 實際帶案的是誰？有什麼資格？ |
| 具名案例與參考客戶 | 能否提供同產業、同規模的具名案例或參考客戶聯絡？ |
| 報價範圍是否清楚 | 報價包含哪些交付物？哪些不含？追加費用怎麼算？ |
積穗科研對應這些準則的做法
以下是積穗科研自己的說明，請用上方的問題同樣檢驗我們，也檢驗其他顧問。
- 角色：積穗科研是顧問公司，不發證；驗證由你選定的驗證機構執行
- 風險評鑑與適用性聲明：依風險評鑑結果決定控制措施，寫成適用性聲明
- 制度整合：整合路線重用風險管理、內部稽核與管理審查
- 技術落地：法遵、流程、技術三種專業同時規劃
- 誰主導：副總、董事級顧問全程輔導，不外包；顧問持有 ISO 27001／27701 主導稽核員資格
- 具名案例：客戶授權公開的 ISO 27001 輔導客戶包括訊光資訊科技、旺矽科技、卓元科健、超核心健身中心（超核心完整案例）
什麼情況不一定需要找顧問
已有運作良好的資訊安全制度、內部有熟悉 ISO 27001 的人員，只差驗證時，內部團隊搭配驗證機構可能就足夠。
相關問題
- ISO 27001 內部稽核可以委外嗎？ 可以，但不能找你的驗證機構。ISO 27001 內部稽核委外
- 要延伸到個資保護（ISO 27701）怎麼選顧問？ 台灣 ISO 27701 顧問怎麼選
合規要三者兼顧，顧問的價值在整合
CRA、TISAX、ISO 27701、AI Act 都不是單一技術問題，而是流程、資安技術、法遵三件事同時成立才算完成。只補其中一塊，另外兩塊的缺口會在稽核、通報或客戶盡職調查時浮現，最後要重做。
| 面向 | 要回答的問題 | 只補這一塊時常見的缺口 |
|---|---|---|
| 流程（管理系統） | 誰負責、做什麼、何時做，做跟沒做的證據在哪、怎麼持續改善 | 技術工具到位，但沒有人定期執行，稽核時拿不出紀錄 |
| 資安技術 | 控制措施怎麼設計、怎麼驗證有效 | 文件寫得完整，但系統實際上沒有做到 |
| 法遵 | 適用哪條法規、角色是什麼、期限與罰則為何 | 做了一套控制，卻對錯法規或角色，義務沒有涵蓋到 |
積穗科研的顧問團隊同時涵蓋這三個面向，從法規判定、流程設計到技術控制一次規劃，同一套證據對應多個法規與客戶要求。
官方來源
- European Accreditation：ISO/IEC 17021-1 第 5.2.5 條（驗證機構不得提供管理系統輔導）
- Singapore Accreditation Council：顧問服務與符合性評鑑服務的採購
- European Accreditation：ISO/IEC 17021-1 第 5.2.6 條（驗證機構與內部稽核）
- SADCAS F 40(a)：ISO/IEC 17021-1:2015 查核表（第 6 版，2024-08-23）
- ISO 19011:2018「稽核」定義（歐盟鐵路局術語庫引用）
- ANAB：1st, 2nd and 3rd party audits explained
- ANAB：Fundamentals of Internal Auditing