01
機密性：
資訊只讓被授權的人或系統取得。
00｜AT A GLANCE
快速掌握重點
ISO/IEC 27001 是資訊安全管理系統的國際標準，核心是用風險評估決定該做哪些控制，而不是只買資安設備。現行版本是 2022 版，2013 版證書已在 2025/10/31 失效，目前只能依 2022 版驗證。
01｜INTRODUCTION
一、簡介｜這套系統在管理什麼？
ISO/IEC 27001 是資訊安全管理系統（ISMS）的國際標準，協助各類組織建立、實施、維持並持續改善資訊安全。它管理的不只電腦與網路，也包括紙本資訊、人員、權限、雲端、供應商、實體環境與各種資訊處理流程。
02｜CORE PRINCIPLES
二、核心精神｜不是做文件，而是建立管理能力
02
完整性：
資訊維持正確、完整，避免未授權修改或破壞。
03
可用性：
需要資訊或系統時，授權使用者能夠正常取得。
04
風險導向：
依組織情境與風險選擇合理控制，而不是盲目堆疊資安工具。
03｜KEY CHANGES
三、關鍵變革解析｜企業真正需要改變的是什麼？
ISO/IEC 27001:2022 是第 3 版，於 2022/10/25 發布。它重新整理了資訊安全的控制措施架構：依 ISO/IEC 27001:2022 附錄 A 與 ISO/IEC 27002:2022 附錄 B 的新舊版對照，從 2013 版的 14 個領域、114 項，整併成 4 大類、93 項，其中有 11 項是新增的。
01
4 大類控制措施：
組織面、人員面、實體面、技術面。企業可以從這四個角度，檢查自己的資安是否有缺口。
02
新增的控制措施更貼近現代情境：
例如威脅情資、雲端服務的使用安全、資料遮罩、防止資料外洩、安全的程式開發、營運持續所需的資通訊準備等。
03
2024 年氣候行動修正：
組織在了解內外部議題時，要判斷氣候變遷是否與自己有關；利害關係人的需求也可能包含氣候相關的期待。
企業最大的變革，是從「買設備防駭客」轉向治理、風險評估、資產、權限、供應商、事件應變與營運持續的整體管理。
版本狀態與轉換時程
重新申請初次驗證，等於要重新走一次完整的驗證流程，包括文件審查與現場稽核，花的時間和費用通常會比單純的轉版稽核多；實際會差多少，要看驗證範圍、現有制度的準備程度，以及驗證機構的安排。還沒轉版的企業，建議盡早做差距分析，和驗證機構確認時程，避免客戶或標案要求證書時銜接不上。
實際驗證要求，以所屬驗證機構公告為準。
04｜BENEFITS
四、實踐效益與展望
降低資料外洩、勒索軟體與營運中斷風險。
提升客戶、合作夥伴與供應鏈的數位信任。
建立資安責任、風險接受與控制措施的決策依據。
讓事件通報、備援、供應商與權限管理更制度化。
PDCA
ISO/IEC 27001 怎麼持續改善｜PDCA
計畫：
盤點資訊資產，評估資安風險，決定要採用哪些控制措施，並說明理由。
執行：
落實控制措施，例如權限管理、備份、供應商管理，並讓同仁接受資安教育。
檢查：
監控資安事件與控制成效，進行內部稽核。
行動：
在管理審查中檢討事件與稽核結果，調整風險處理方式。
DAMEI APPROACH
達美智創的導入方式｜四個步驟
01
看見現況：
盤點公司有哪些重要資訊（客戶資料、研發資料、營運系統）、放在哪裡、誰能存取，以及現有的資安做法，對照 2022 版找出差距。
02
對準標準：
界定導入範圍，進行風險評估，決定適用的控制措施，並說明不適用的理由；訂出時程與負責人。
03
帶入工作：
依風險建立必要的規範與做法，例如權限管理、密碼與帳號、備份、供應商、事件通報；讓人資、採購、法務等相關單位一起參與，並搭配全員資安教育。
04
持續改善：
定期更新風險評估與適用性聲明（說明 93 項控制措施哪些採用、哪些不採用的文件），並量測重要控制措施的成效，例如權限盤點、備份還原測試與資安事件演練；培訓內部稽核人員、實際稽核一次，在管理審查中檢討資安事件、稽核發現與新的威脅。驗證由獨立的驗證機構進行，通常分成文件審查與現場稽核兩個階段。
WHO & HOW
哪些企業適合導入？
適合科技、軟體、雲端、金融周邊、電商、顧問服務、製造業及任何持有重要客戶、員工、研發或營運資訊的組織。
可以協助的方向
依企業現況，可以規劃以下的輔導與培訓內容：
2022 版條文說明與差距分析
資訊資產盤點與風險評估
權限、供應商與雲端服務的管理
資安事件通報與應變演練
內部稽核人員培訓
全員資安意識教育
費用怎麼評估
費用會依下列三件事評估：
產業別與要導入的標準
組織規模與驗證範圍
現有制度與文件的準備程度
實際費用在初步諮詢了解現況後，才能提供報價。驗證機構的審驗費用另計，以驗證機構的報價為準。
FAQ
常見問題 FAQ
Q｜ISO/IEC 27001 是資訊部門自己做就可以嗎？
A｜不建議。人資、採購、法務、營運、管理階層及各資訊資產擁有者通常都會涉及 ISMS。
Q｜通過 ISO/IEC 27001 就不會被駭嗎？
A｜不能保證零事件。它的價值是建立系統化的風險預防、偵測、應變與持續改善能力。
Q｜93 項控制措施都要做嗎？
A｜不一定。企業要依風險評估的結果，決定哪些控制措施適用；不適用的，要說明理由。
REFERENCES
參考資料
- ISO〈ISO/IEC 27001:2022 標準頁〉，https://www.iso.org/standard/27001 （查核日：2026/10/06）
- ISO〈ISO/IEC 27002:2022 標準頁〉，https://www.iso.org/standard/75652.html （查核日：2026/10/06）
- IAF（國際認可論壇）〈IAF MD 26:2023 ISO/IEC 27001:2022 轉版文件〉，https://iaf.nu/iaf_system/uploads/documents/IAF_MD26_Issue_2_15012023.pdf （查核日：2026/10/06）
DAMEI SOLUTION
達美智創｜讓制度真正落地
企業真正需要的，不是多一套只在稽核前才打開的文件，而是一套符合現場、主管願意使用、員工知道怎麼做，並且能持續改善的管理機制。達美智創從企業實際營運出發，協助盤點現況、釐清流程與風險、建立必要制度、培訓內部人員，讓管理系統逐步成為企業自己的能力。