一句話回答
ISO 27001 是國際資訊安全管理系統（ISMS）標準，要求組織用「風險管理」的方式保護資訊的機密性、完整性與可用性，並可由第三方驗證機構稽核後取得證書。目前最新版是 ISO/IEC 27001:2022（含 2024 年修訂）。
重點速覽
- 最新版本：ISO/IEC 27001:2022，加上 2024 年 2 月的第 1 號修訂（氣候變遷）。截至 2026 年 10 月，沒有 2025 或 2026 版。
- 2013 版證書已在 2025 年 10 月 31 日失效，現在新取證或續證一律依 2022 版。
- 它是「管理系統」標準：不規定要用哪個防火牆，而是要求你有政策、有風險評估、有內部稽核、能持續改善。
- 條文 4 到 10 是必須符合的要求；附錄 A 有 93 項控制措施，依風險選用。
- 證書效期三年，每年都有追查稽核。
- 已有資安基礎的企業約 4 到 6 個月可取證，從零開始約 6 到 8 個月。
什麼是 ISO 27001？
ISO/IEC 27001 由國際標準化組織（ISO）與國際電工委員會（IEC）共同發布，完整名稱是「資訊安全、網路安全與隱私保護——資訊安全管理系統——要求」。它是全球最廣泛採用的資安標準，據 ISO 統計全球約有近 10 萬張有效證書。
先分清楚四個常被混用的名詞
| 名詞 | 是什麼 |
|---|---|
| ISMS | 資訊安全管理系統：組織內一整套管理資安的制度（政策、流程、角色、紀錄） |
| ISO 27001 | 規定 ISMS 必須符合哪些要求的標準，可以被驗證 |
| ISO 27002 | 說明附錄 A 每項控制措施怎麼實作的指引，不能被驗證 |
| 證書 | 驗證機構稽核後，證明你的 ISMS 符合 ISO 27001 的文件 |
核心目標：CIA
- 機密性（Confidentiality）：只有被授權的人能存取資訊
- 完整性（Integrity）：資訊沒有被竄改或不當修改
- 可用性（Availability）：被授權的人需要時能取得資訊
它怎麼運作？
ISO 27001 的核心是「風險管理＋持續改善」：
- 找出資訊可能發生哪些事件（風險評估）
- 決定要怎麼處理每個風險（風險處理）
- 選出並落實對應的控制措施
- 檢查有沒有效（內部稽核、管理審查）
- 改善，然後再來一輪
這就是管理學常說的 PDCA 循環（規劃、執行、檢查、改善）。
版本：哪一版才是最新的？
| 版本 | 狀態 |
|---|---|
| ISO/IEC 27001:2005 | 首版，已廢止 |
| ISO/IEC 27001:2013 | 第二版，證書已於 2025-10-31 失效 |
| ISO/IEC 27001:2022 | 現行版本（2022-10-25 發布） |
| ISO/IEC 27001:2022/Amd 1:2024 | 2024 年 2 月的修訂：條文 4.1、4.2 要求考慮氣候變遷是否為相關議題 |
網路上常見「ISO 27001:2025」或「2026 版」的說法，截至 2026 年 10 月都不正確。2026 年 7 月發布的是 ISO/IEC 27000:2026（名詞與概論），它不取代 27001。台灣的國家標準版本為 CNS 27001（2023 年 1 月公布）。
2022 版改了什麼？
| 項目 | 2013 版 | 2022 版 |
|---|---|---|
| 控制措施數量 | 114 項 | 93 項（合併 57 項為 24 項、新增 11 項） |
| 分類方式 | 14 個領域 | 4 大主題 |
| 控制屬性 | 無 | 新增 5 類屬性，方便分類與篩選 |
| 條文 | — | 新增 6.3「變更規劃」；9.2、9.3 拆子節 |
新增的 11 項控制措施：
| 編號 | 控制措施 |
|---|---|
| 5.7 | 威脅情資 |
| 5.23 | 使用雲端服務的資訊安全 |
| 5.30 | 營運持續的資通訊就緒 |
| 7.4 | 實體安全監控 |
| 8.9 | 組態管理 |
| 8.10 | 資訊刪除 |
| 8.11 | 資料遮罩 |
| 8.12 | 資料外洩防護 |
| 8.16 | 監控活動 |
| 8.23 | 網頁過濾 |
| 8.28 | 安全程式設計 |
條文結構：哪些會被稽核？
| 條文 | 內容 | 要做的事（舉例） |
|---|---|---|
| 0～3 | 導論、範圍、引用標準、名詞定義 | 不會被稽核 |
| 4 組織全景 | 了解組織內外部議題與利害關係人 | 定義 ISMS 範圍 |
| 5 領導 | 高階主管的承諾與責任 | 核定資安政策、指派角色 |
| 6 規劃 | 風險評估與處理、資安目標 | 風險評估、適用性聲明（SoA）、風險處理計畫 |
| 7 支援 | 資源、能力、認知、溝通、文件 | 訓練紀錄、文件管理 |
| 8 運作 | 執行風險評估與處理 | 落實控制措施 |
| 9 績效評估 | 監控、量測、內部稽核、管理審查 | 內部稽核報告、管理審查紀錄 |
| 10 改善 | 不符合事項與矯正措施、持續改善 | 矯正措施紀錄 |
稽核核心：適用性聲明（SoA）
附錄 A 的 93 項控制不必全部採用。你要依風險評估結果，逐項說明「採用或不採用、為什麼」，這份文件就是適用性聲明（Statement of Applicability，SoA）。它是 ISO 27001 稽核中最常被仔細檢查的文件——稽核員通常第一天就會翻到它。
附錄 A：93 項控制措施
| 主題 | 數量 | 涵蓋內容（舉例） |
|---|---|---|
| A.5 組織 | 37 | 資安政策、角色職責、供應商管理、雲端服務、事件管理、營運持續 |
| A.6 人員 | 8 | 背景查核、雇用條款、資安意識訓練、離職、遠端工作 |
| A.7 實體 | 14 | 實體邊界、門禁、設備保護、儲存媒體、桌面淨空 |
| A.8 技術 | 34 | 存取控制、加密、弱點管理、日誌、備份、網路安全、安全開發 |
誰需要 ISO 27001？
ISO 27001 是自願性的，任何規模、任何產業都可以申請。實務上，企業導入通常來自這幾種壓力：
- 客戶要求：企業客戶、海外客戶在採購或合約裡要求供應商提供證書。
- 政府規定：依台灣《資通安全責任等級分級辦法》，A、B 級機關須在一定期限內導入 ISMS 並通過第三方驗證。
- 政府標案：許多標案把 ISO 27001 列為資格或加分條件。
- 產業特性：金融、醫療、雲端與軟體服務業者，處理大量敏感資料，通常優先導入。
小公司一定要做嗎？ 不一定。如果沒有客戶或法規要求，可以先從資安健診、基本政策做起；當客戶開始要求證書時，再擴大成完整的 ISMS。
如何導入：六個步驟
| 步驟 | 要做的事 | 產出物 |
|---|---|---|
| 1. 界定範圍 | 決定 ISMS 涵蓋哪些部門、系統、地點 | ISMS 範圍文件 |
| 2. 差距分析 | 對照條文與附錄 A，找出現況缺口 | 差距分析報告 |
| 3. 風險評鑑與 SoA | 盤點資訊資產、評估風險、選擇控制 | 資產清單、風險評鑑報告、SoA、風險處理計畫 |
| 4. 建置與運作 | 撰寫政策與程序、落實控制、教育訓練 | 政策、程序書、訓練紀錄、運作紀錄 |
| 5. 內部稽核與管理審查 | 檢查 ISMS 是否有效，由高階主管審查 | 內部稽核報告、管理審查紀錄 |
| 6. 第三方驗證 | 驗證機構進行兩階段稽核 | 證書 |
文件通常分成四階：政策 → 程序 → 作業指導書 → 表單紀錄。重點是「寫的跟做的要一致」。
必須準備的文件
ISMS 範圍、資安政策與目標、風險評估與處理方法、適用性聲明、風險處理計畫、人員能力與訓練證據、內部稽核計畫與結果、管理審查紀錄、不符合事項與矯正措施紀錄。多數組織最後會維護 20 到 25 份政策文件。
驗證流程與證書週期
| 階段 | 內容 | 時間 |
|---|---|---|
| 第一階段稽核 | 文件審查：確認範圍、政策、SoA 是否完整一致 | 約 1～2 天 |
| 第二階段稽核 | 實施評估：抽查證據、訪談人員，確認控制措施真的在運作 | 約 2～10 天以上，通常在第一階段後 4～8 週 |
| 發證 | 通過後核發證書 | 效期 3 年 |
| 追查稽核 | 第 2、3 年各一次，抽查部分控制是否持續運作 | 首次須在驗證決定後 12 個月內 |
| 重新驗證 | 第 3 年期滿前完整稽核一次 | — |
驗證機構慣例上希望看到約三個月的 ISMS 運作紀錄，才進行第二階段稽核（標準本身沒有規定）。
時程與費用
- 時程：已有資安基礎約 4～6 個月；從零開始約 6～8 個月。
- 費用：依規模與範圍差異很大，主要包含顧問輔導、驗證稽核（以人天計算）、內部人力與工具。台灣常見首次導入預算約新台幣 20 萬到 100 萬元以上。由於每年都有追查稽核，預算建議以三年編列。
稽核員實際會看什麼？
他們會特別看：
- SoA 是否清楚說明每一項控制採用或排除的理由
- 控制措施是否持續在運作，而不是稽核前才補
- 內部稽核與管理審查是否完成、有沒有書面紀錄
- 事件管理流程是否真的被使用過（有事件紀錄）
- 存取控制紀錄是否一致：到職、離職、定期權限審查
常見的稽核發現：
- 政策寫在紙上，實際沒有照做
- SoA 的風險處理理由太薄弱
- 內部稽核沒做，或做了沒留紀錄
- 第一階段到第二階段之間，證據出現斷層
常見誤區
- 把附錄 A 當勾選清單。 93 項要依實際風險選用，並在 SoA 說明理由。
- 跳過資產盤點。 沒有完整的資產清單，就無法界定範圍、評估風險。
- 當成純 IT 專案。 ISO 27001 是管理系統，需要高階主管簽核、人資參與、跨部門負責。
- 低估證據蒐集。 為 90 多項控制蒐集截圖、日誌、紀錄，是時程最常延誤的地方。
- 以為取證就結束了。 追查稽核每年都要提出持續運作的證據。
ISO 27001 與其他標準的關係
| 標準 | 關係 |
|---|---|
| ISO 27002:2022 | 附錄 A 控制措施的實作指引 |
| ISO 27701 | 隱私資訊管理（2025 年改版後可獨立驗證） |
| ISO 27005 | 資訊安全風險管理指引 |
| ISO 27017、27018 | 雲端服務的資安與個資保護延伸 |
| CMMC | 控制內容大量重疊，但沒有互認 |
| 歐盟 CRA | ISO 27001 管組織，CRA 管產品；ISO 建立的流程可以沿用 |
延伸閱讀：〈什麼是 CMMC〉、〈什麼是 CRA〉、〈什麼是 GRC〉
Guidant AI 如何協助
ISO 27001 最花時間的不是寫政策，而是持續蒐集 93 項控制的證據，並在每年的追查稽核中證明它們一直在運作。
- 內建 ISO 27001:2022 框架：附錄 A 93 項控制與評估目標已建好，選了框架就能啟動專案。
- 適用性聲明與實作說明：在系統安全計畫中逐項記錄採用或排除的理由、目前的實作方式，跨年度持續更新。
- 任務與證據：每項控制拆成任務指派給負責人；證據上傳後掛在對應項目下，AI 協助分類。
- 自動化檢測：檢測 Agent 執行弱點掃描、組態合規檢查，報告自動成為 A.8 技術控制的證據。
- 內部稽核到結案：稽核計畫、稽核結果、改善計畫、結案報告在同一平台完成；隔年追查稽核延續上一輪，不必重頭來。
- 落地部署：可安裝在您自己的機房，資安證據不離開您的環境。
Guidant AI 不是驗證機構，不會核發 ISO 證書；我們幫助您和顧問把 ISMS 運作得更有效率。
常見問題
ISO/IEC 27001:2022，加上 2024 年 2 月的第 1 號修訂。截至 2026 年 10 月沒有 2025 或 2026 版。
參考資料
- ISO/IEC 27001:2022 Information security, cybersecurity and privacy protection — Information security management systems — Requirements
- ISO/IEC 27001:2022/Amd 1:2024
- ISO/IEC 27002:2022
- ISO/IEC 17021-1、ISO/IEC 27006-1:2024
- CNS 27001
- 數位發展部，《資通安全責任等級分級辦法》