什麼是 ISO/IEC 27001?
ISO 27001 是專注於資訊安全的國際標準。ISO/IEC 27001 是由國際標準化組織（ISO）與國際電工委員會（IEC）共同發布的國際標準，旨在協助任何規模或產業的組織透過採用資訊安全管理系統，系統性且具成本效益地保護其資訊。該標準規定了實施與維護有效 ISMS 的必要條件，以防範資訊安全風險。取得 ISO/IEC 27001 認證的組織，能強化其防禦網路攻擊的能力，並防止敏感及機密資訊被不受歡迎地存取。
什麼是 ISO 27002?
ISO 27002 是一項補充標準，聚焦於組織可能選擇實施的資訊安全控管。這些控制措施列於 ISO 27001 附錄 A，是資訊安全專家討論資訊安全控制時所參考的。然而，附件A以一兩句話概述每個控制項，ISO 27002則平均每個控制項只用一頁。標準說明了每個控制的運作方式、目標以及如何實作。
ISO 27001 和 ISO 27002 有什麼不同？
ISO 27001 是國際資訊安全管理的標準，而 ISO 27002 則是指導資訊安全控制措施實施的輔助標準。請注意，認證僅能符合以 “1” 結尾的 ISO 標準。
ISO 27001 是如何運作的？
ISO 27001 的主要任務是保護公司的機密性、完整性與資訊。透過進行風險評估，您可以判斷需要採取哪些措施來預防此類問題（例如風險緩解或風險處理）。因此，ISO 27001的核心理念是管理風險，找出風險所在，並透過實施安全控管（或保障措施）加以處理。
為什麼 ISO 27001 很重要？
該標準為企業提供保護其最寶貴資訊所需的資訊。企業也可以取得ISO 27001認證。個人可透過參加課程、通過考試並證明技能來取得 ISO 27001 認證。ISO 27001 在全球廣為人知，為組織與專業人士帶來更多商機。
什麼時候應該使用每個標準？
ISO 27001 與 ISO 27002 有不同的目標。如果你是從標準開始或規劃 ISMS 實作框架，那麼 ISO 27001 是理想選擇。一旦確定了你將實施的控制措施，就應該參考ISO 27002，深入了解每個控制措施的運作方式。
什麼是 ISMS?
資訊安全管理系統 (ISMS) 是公司需要建立的一套規則：
- 識別利害關係人及其對公司資訊安全的期望。
- 辨識存在哪些風險。
- 定義控制措施以符合期望並處理風險。
- 設定明確的資訊安全目標。
- 實施所有控制措施及其他風險處理方法。
- 持續測量已實施的控制措施，確保它們如預期般運作。
- 持續改進，讓整個 ISMS 運作得更好。
這可以以政策、程序及其他文件的形式記錄，或是未被記錄的既定流程與技術。
為什麼我們需要 ISMS?
企業透過實施此標準可獲得四項主要商業效益：
- 遵守法律要求 – 有許多法律、法規及合約要求與資訊安全相關。好消息是，大多數問題可以透過實施ISO 27001來解決。
- 取得競爭優勢 – 如果您的公司獲得認證，在那些重視資訊安全的客戶眼中，您可能比競爭對手更具優勢。
- 降低成本 – ISO 27001的核心理念是防止安全事件發生。每一次事件，不論大小，都需要金錢。透過避免這些問題，你的公司將節省成本。
- 更好的組織能力 – 快速成長的公司沒有時間停下來定義流程與程序;因此，員工常常不知道該做什麼、何時、由誰完成。實施 ISO 27001 有助於解決此類情況，鼓勵企業記錄主要流程。
ISO/IEC 27001 認證有哪些好處？
依據 ISO/IEC 27001 要求認證 ISMS 的組織，將獲得多項重要好處，包括法規遵循、系統化方法、降低風險、降低成本及市場優勢。
你如何實施 ISO 27001 控制措施？
技術控制 - 主要實作於資訊系統中，使用軟體、硬體及韌體元件。
組織控制 - 透過定義使用者、設備、軟體及系統應遵守的規則來實施。
法律控制 - 透過確保規則遵循並執行組織必須遵守的法律、法規、合約及其他類似法律文書來實施。
物理控制 - 透過使用能與人和物體物理互動的設備來實現。
人力資源控制 - 透過提供知識、教育、技能或經驗，使人們能安全執行工作來實施。
ISO 27001 是強制的嗎？
在大多數國家，ISO 27001的實施並非強制性，但部分國家已發布規定，要求部分產業實施ISO 27001。要判斷 ISO 27001 是否對貴公司是強制性的，您應該尋求您所在國家的專業法律諮詢。
ISO 27001 是法律要求嗎？
公私部門組織可在合約及服務協議中將 ISO 27001 的合規定義為法律要求。各國可根據ISO 27001的法律或規定，作為在其境內運作的組織必須遵守的法律要求。
新的 ISO 27002：2022 將如何影響 ISO 27001？
ISO 27002：2022 中公布的控制集變更將反映於 ISO 27001：2022 附錄 A。實施 ISO 27001 或管理現有 ISMS 的組織，必須在其管理框架中反映控制集的變更。你不需要立刻做修改，因為會有過渡期。
組織應該何時轉換到新的控制集？
目前僅有ISO 27002：2022發布，預計今年稍晚將發布ISO 27001：2022。新標準發布後，我們預計會有約兩年的過渡期，以便實施變更。認證機構也很可能需要一些時間來解讀並採納新標準及其控制集的變更。
