什麼是ISMS
資訊安全管理系統（Information Security Management System，簡稱ISMS）是管理系統（Management System，MS）的思想與方法在資訊安全領域的應用。組織在整體或特定範圍內建立資訊安全政策與目標，並以風險為基礎，持續地建立、實施、維持與改善資訊安全，以保護資訊的機密性、完整性與可用性。
ISO/IEC 27001是國際上唯一可供第三方驗證的ISMS要求標準，適用於各種類型、規模與產業的組織。取得驗證，已成為組織向客戶、主管機關與合作夥伴證明其資訊安全能力最直接的方式。

現行版本：ISO/IEC 27001:2022
目前27001的現行版本為ISO/IEC 27001:2022（2022年10月發行），並於2024年發行第1號修訂（Amd 1:2024，氣候行動修訂）。2013版的轉版期已於2025年10月31日截止，2013版證書已全數失效。
2022版延續ISO管理系統共同的高階架構（Harmonized Structure），可與ISO 9001、14001、45001、27701等管理系統整合運作。

2022版主要變化如下：

一、條文本文（第4～10章）
1.4.1／4.2（Amd 1:2024）：組織須判定「氣候變遷」是否為相關議題，並考量利害相關者可能提出的氣候相關要求。
2.4.2：新增須決定哪些利害相關者的要求將透過ISMS處理。
3.4.4：明確要求建立ISMS所需的過程及其交互作用。
4.6.2：資訊安全目標須被監督，並以文件化資訊提供。
5.6.3（新增）：變更之規劃，ISMS的變更須以有規劃的方式執行。
6.8.1：須建立過程準則並依準則實施管制，外部提供的過程、產品或服務須受控制。
7.9.2／9.3：內部稽核與管理審查拆分為細項條文，管理審查輸入新增「利害相關者需求與期望之變更」。
8.第10章：順序調整為10.1持續改善、10.2不符合事項及矯正措施。

資訊安全風險評鑑可參照ISO 31000:2018與ISO/IEC 27005:2022進行，依組織全景、內外部議題、利害相關者要求及資安目標辨識風險，不再侷限於以資訊資產清單為起點。文件要求則以「文件化資訊」表達，不強制一階至四階的文件架構。

二、附錄A控制措施：由114項整併為93項、4大主題

主題	條次	控制措施數
組織控制措施	A.5	37
人員控制措施	A.6	8
實體控制措施	A.7	14
技術控制措施	A.8	34
合計		93

新增11項控制措施：
5.7 威脅情資、5.23 使用雲端服務之資訊安全、5.30 營運持續之ICT備妥性、7.4 實體安全監視、8.9 組態管理、8.10 資訊刪除、8.11 資料遮蔽、8.12 資料洩露預防、8.16 監視活動、8.23 網頁過濾、8.28 安全程式設計。

此外，ISO/IEC 27002:2022為每項控制措施加上屬性標籤，包括：
◆ 控制措施型式
◆ 資訊安全性質
◆ 網宇安全概念（識別、保護、偵測、回應、復原）
◆ 運作能力
◆ 安全領域
組織可依不同視角篩選控制措施，並與NIST CSF等框架對應。

三、歷次版本演進

版本	控制領域／主題	控制目標	控制措施
ISO/IEC 27001:2005	11個領域（A.5～A.15）	39	133
ISO/IEC 27001:2013	14個領域（A.5～A.18）	35	114
ISO/IEC 27001:2022	4大主題（A.5～A.8）	取消控制目標	93

為什麼需要資訊安全
◆ 資訊及資訊安全
資訊與其他重要的商業資產一樣，對組織而言具有價值，因而需要被妥善保護。資訊安全使資訊免於各種威脅，保障組織營運的持續性，將營運損失降到最低。
資訊可以多種形式存在，例如：
◆ 紙本文件
◆ ERP與雲端系統
◆ 筆電與行動裝置
◆ 電子郵件與即時通訊
◆ 會議中的對話
不論資訊以何種方式存在或傳遞，都應受到與其價值相符的保護。
◆ 資訊安全主要體現在以下三個方面：
一是機密性（Confidentiality）。確保資訊只有經授權的人員才能存取。例如客戶資料、個人資料、配方與製程參數、專利與研發資料、報價與財務資訊，都應明確規範誰可存取、如何保存與傳遞，以防止外洩造成商譽與經濟損失。
二是完整性（Integrity）。確保資訊正確、完整，未遭未經授權的竄改。例如防止操作疏失、惡意程式或勒索軟體破壞資料，以及防止紙本文件因受潮、蟲蛀、水災、火災、地震而損毀。
三是可用性（Availability）。確保經授權者在需要時能及時取得資訊與系統服務。例如透過備份、備援與營運持續計畫，避免系統中斷或關鍵人員不在時導致停工或錯失商機。

基於時代的演變與需求，企業面臨各種挑戰與要求。ISO/IEC 27001:2022可協助企業向市場展現完善的資訊安全防護能力，降低營運風險，加強客戶及合作夥伴的信心！

企業導入的法規與市場驅動力
1.上市櫃公司資安治理要求：金管會依公司規模分級，要求上市櫃公司設置資安長、資安專責主管及人員，並於年報揭露資通安全風險管理架構、政策、具體管理方案及投入資源。證交所亦發布「上市上櫃公司資通安全管控指引」。
2.供應鏈與客戶要求：半導體、電子製造、食品等產業的國內外客戶，愈來愈常將ISO/IEC 27001證書納入供應商評鑑與合約條件。
3.個資保護：可與ISO/IEC 27701隱私資訊管理系統（PIMS）整合，同時回應個人資料保護法的要求。
4.ESG與永續揭露：資訊安全與客戶隱私是永續報告書常見的重大主題，有效運作的ISMS可作為具體佐證。

如何建立ISMS
1.正確理解ISO/IEC 27001:2022的要求與ISMS精神
2.取得高階管理階層承諾，建立資訊安全組織（如資安委員會、資安長／專責人員）
3.界定組織全景、利害相關者要求與ISMS適用範圍
4.執行資訊安全風險評鑑與風險處理，訂定資安目標
5.依風險處理結果選擇控制措施，產出適用性聲明（SoA）
6.建立並實施所需的文件化資訊與作業流程
7.進行教育訓練、績效監督、內部稽核與管理審查，持續改善

為什麼要進行ISMS驗證
1)預防資訊安全事故，確保營運持續，使組織的重要資訊資產受到與其價值相符的保護，防範的事項包括：
 ◆ 營業秘密與個人資料的洩漏、遺失、竄改或無法使用；
 ◆ 關鍵系統因故障、惡意程式、勒索軟體或網路攻擊而中斷。
2)合理配置資安預算：
 ◆ 依風險等級安排控制措施的投資優先順序；
 ◆ 對可接受的風險不過度投資，把資源用在刀口上。
3)滿足客戶與供應鏈要求，提升競爭力與企業形象，增加商業機會。
4)以國際第三方驗證，增強客戶、合作夥伴及投資人的信任與信心。

ISO 27001資訊安全管理能帶來什麼好處？
   ● 保護企業的智慧財產、營業秘密與競爭優勢；
   ● 維護企業的聲譽、品牌和客戶信任；
   ● 降低資訊系統中斷、資料外洩及人員異動帶來的損失；
   ● 強化全員資訊安全意識，規範組織資訊安全行為；
   ● 遭遇資安事件時能快速應變，確保營運持續並將損失降到最低；
   ● 回應主管機關、客戶及永續揭露對資安治理的要求。

ISMS驗證適合何種類型的組織
ISO/IEC 27001:2022的要求為通用性要求，適用於所有組織，不論其類型、規模或業務性質，可作為自我評估或第三方驗證的依據。實務上導入意願較高的產業包括：
 ◆ 半導體與電子製造業：IC設計、晶圓製造、封測及設備供應商，因客戶IP保護要求與供應鏈資安稽核，需證明資安管理能力。
 ◆ 上市櫃公司：因應金管會資安治理與年報揭露要求，以國際標準建立制度化的資安管理。
 ◆ 食品與傳統製造業：需保護配方、製程與客戶資料，並確保產線系統與ERP的營運持續。
 ◆ 軟體、雲端與資訊服務業：客戶在委外與採購時，普遍要求提供ISO/IEC 27001證書。
 ◆ 金融、保險與醫療業：保護客戶與病患資料，確保關鍵服務的可靠與持續。
 ◆ 電子商務與平台業者：需確保交易與支付安全，並保護會員個資。

全球ISMS證書統計
根據ISO Survey 2024最新統計，全球有效的ISO/IEC 27001證書已達96,709張，涵蓋179,877個場址，是全球成長最快速的管理系統驗證之一。各國最新證書數量可至IAF CertSearch查詢。
（資料來源：ISO Survey 2024）

輔導驗證流程
第一階段【輔導準備】
1. 輔導合約簽訂
2. 現況診斷與差異分析
3. 成立ISMS推動小組
4. ISO/IEC 27001:2022條文及工具教育訓練

第二階段【系統建置】
5. 組織全景與適用範圍界定
6. 資產盤點與風險評鑑
7. 風險處理計畫與適用性聲明（SoA）
8. 資安政策、程序與作業指導書編製
9. 表單與紀錄彙整

第三階段【推動展開】
10. 文件系統說明會宣導
11. 全面試行實施
12. 各階文件試行後檢討修訂
13. 內部稽核員訓練及內部稽核
14. 管理審查

第四階段【驗證作業與頒證】
15. 提出驗證申請
16. 第一階段稽核（文件審查）
17. 第二階段稽核（現場稽核）
18. 缺失矯正與頒證

取得證書後，每年接受驗證機構追查稽核，每三年辦理重新驗證，確保ISMS持續有效運作。