咨安資訊

中小企業導入 ISO 27001 的五個常見誤區

許多中小企業在導入 ISO 27001 時，常因誤解而事倍功半。以下是最常見的五個迷思：

• 誤區一：以為買了文件範本就等於導入。範本只是起點，真正的重點是讓制度符合組織實際運作；照抄範本反而會產生「文件與現況脫節」的稽核缺失。
• 誤區二：把資安全推給資訊部門。ISO 27001 是「管理系統」，需要管理階層承諾與跨部門參與，人資、法務、採購都涉及資安控制措施。
• 誤區三：範圍越大越好。初次導入建議聚焦核心業務與關鍵資產，範圍過大只會增加成本與維運負擔。
• 誤區四：通過驗證就一勞永逸。驗證後每年仍有監督稽核、每三年換證，制度需要持續運作與改善（PDCA）。
• 誤區五：忽略風險評鑑。風險評鑑是 ISO 27001 的核心，跳過它直接套控制措施，往往做了不需要的、漏了真正重要的。

咨安提供「小型企業 ISMS 輕鬆導入工具」，以精簡流程協助中小企業避開上述誤區、順利通過驗證。

ISO 27001:2022 改版重點與轉版須知

ISO/IEC 27001 已於 2022 年改版，主要變化包括：

• 附錄 A 控制措施重整。由原 114 項精簡重組為 93 項，並分為組織、人員、實體、技術四大類，新增雲端服務、威脅情資、資料外洩防護（DLP）、安全編碼等現代化控制。
• 主條文微調。條文結構與其他 ISO 管理系統標準對齊，強化規劃與變更管理的要求。
• 轉版時程。已取得 2013 版證書的組織須於過渡期內完成轉版，逾期證書將失效，建議及早規劃差異分析與適用性聲明（SoA）更新。

咨安顧問可協助盤點新舊版差異、更新文件與 SoA，並準備轉版稽核。

延伸閱讀：ISO 27001:2022 改版重點與轉版指南（完整解析）→

ISO 27701:2025 轉版重點：隱私標準獨立化，不再須先取得 ISO 27001

ISO/IEC 27701:2025 已成為獨立的隱私資訊管理系統（PIMS）標準，導入時不再需要先建置或通過 ISO 27001，大幅降低企業取得隱私認證的門檻。主要變化包括：

• 成為獨立標準。可獨立定義 PIMS 範圍、獨立實施與驗證，各種規模企業皆適用。
• 採高階結構（HLS）。以第 4～10 章構成管理系統，並以附錄 A／B 規範控制者、處理者與資安控制措施。
• 強化法規對應。不再僅參考 GDPR，提供可對應各國隱私法規（含個資法）的框架。

咨安可協助個資盤點、隱私風險評鑑與驗證準備，並依現況規劃導入或轉版路徑。

延伸閱讀：ISO 27701:2025 轉版重點與 PIMS 導入指南（完整解析）→

TISAX 是什麼？汽車供應鏈的資安通行證（VDA ISA、AL2／AL3）

TISAX 是汽車產業通用的資訊安全評估與交換機制，由德國 VDA 制定標準、ENX 平台營運，讓供應商完成一次評估即可與多家客戶共享標籤、避免重複稽核。重點包括：

• 與 ISO 27001 相輔相成。VDA ISA 目錄以 ISO 27001／27002 為基礎，已有 ISMS 者導入較順利。
• 三個評估等級。AL1／AL2／AL3，稽核嚴謹度逐級提高；客戶多要求 AL2 或 AL3。
• 目標成熟度 3 級。各控制以 0～5 級評估，目標為第 3 級「健全完善」。

咨安可協助範圍界定、VDA ISA 自我評估、缺失矯正與稽核準備。

延伸閱讀：TISAX、VDA ISA、評估等級與導入流程完整指南 →

ISO 42001 是什麼？全球首個 AI 管理系統標準

ISO/IEC 42001:2023 是全球第一個人工智慧（AI）管理系統國際標準，於 2023 年 12 月發布，協助組織以負責任、透明且合乎倫理的方式治理 AI。重點包括：

• 三種角色。提供者、使用者、開發者；即使只是使用第三方生成式 AI 工具（如 Claude、Copilot），也屬於「使用者」角色。
• 附錄 A 有 38 項管控措施。涵蓋政策、資源、AI 生命週期、資料治理等面向。
• AI 特有要求。導入 AI 風險評鑑與 AI 系統衝擊評鑑（AIIA），評估 AI 對個人與社會的影響。

咨安以四階段、約 12 個月的規劃協助組織完成導入與第三方驗證。

延伸閱讀：ISO 42001 全球首個 AI 管理系統標準導入指南 →

CMMC 2.0 是什麼？台灣供應鏈廠商如何準備

CMMC（網路安全成熟度模型認證）是美國國防部要求其供應鏈廠商達成的資安要求。相關法規已陸續生效：計畫規則（32 CFR）已於 2024 年 12 月生效，採購規則（48 CFR／DFARS）已於 2025 年 11 月 10 日生效，並自該日起分四階段推行至 2028 年全面適用。

CMMC 2.0 分為三個等級：第 1 級（基礎級，年度自我評估）、第 2 級（進階級，對應 NIST SP 800-171，部分需第三方評估）、第 3 級（專家級，對應 NIST SP 800-172，由政府主導評估）。

對台灣供應鏈廠商的建議：先確認主合約要求的等級、界定 CUI／FCI 的資訊流與範圍、依 NIST SP 800-171 進行差異分析並儘早投入資源。咨安與美方 RPO 合作，可協助台灣廠商符合各等級要求。

延伸閱讀：CMMC 2.0 台灣供應鏈廠商準備指南（完整解析）→