咨安資訊

中小企業導入 ISO 27001 的五個常見誤區

許多中小企業在導入 ISO 27001 時，常因誤解而事倍功半。以下是最常見的五個迷思：

• 誤區一：以為買了文件範本就等於導入。範本只是起點，真正的重點是讓制度符合組織實際運作；照抄範本反而會產生「文件與現況脫節」的稽核缺失。
• 誤區二：把資安全推給資訊部門。ISO 27001 是「管理系統」，需要管理階層承諾與跨部門參與，人資、法務、採購都涉及資安控制措施。
• 誤區三：範圍越大越好。初次導入建議聚焦核心業務與關鍵資產，範圍過大只會增加成本與維運負擔。
• 誤區四：通過驗證就一勞永逸。驗證後每年仍有監督稽核、每三年換證，制度需要持續運作與改善（PDCA）。
• 誤區五：忽略風險評鑑。風險評鑑是 ISO 27001 的核心，跳過它直接套控制措施，往往做了不需要的、漏了真正重要的。

咨安提供「小型企業 ISMS 輕鬆導入工具」，以精簡流程協助中小企業避開上述誤區、順利通過驗證。（了解 小型企業 ISMS 輕鬆導入工具）

ISO 27001:2022 改版重點與轉版須知

ISO/IEC 27001 已於 2022 年改版，主要變化包括：

• 附錄 A 控制措施重整。由原 114 項精簡重組為 93 項，並分為組織、人員、實體、技術四大類，新增雲端服務、威脅情資、資料外洩防護（DLP）、安全編碼等現代化控制。
• 主條文微調。條文結構與其他 ISO 管理系統標準對齊，強化規劃與變更管理的要求。
• 轉版時程。已取得 2013 版證書的組織須於過渡期內完成轉版，逾期證書將失效，建議及早規劃差異分析與適用性聲明（SoA）更新。

咨安顧問可協助盤點新舊版差異、更新文件與 SoA，並準備轉版稽核。（了解 ISO 27001 導入服務）

延伸閱讀：ISO 27001:2022 改版重點與轉版指南（完整解析）→

ISO 27701:2025 轉版重點：隱私標準獨立化，不再須先取得 ISO 27001

ISO/IEC 27701:2025 已成為獨立的隱私資訊管理系統（PIMS）標準，導入時不再需要先建置或通過 ISO 27001，大幅降低企業取得隱私認證的門檻。主要變化包括：

• 成為獨立標準。可獨立定義 PIMS 範圍、獨立實施與驗證，各種規模企業皆適用。
• 採高階結構（HLS）。以第 4～10 章構成管理系統，並以附錄 A／B 規範控制者、處理者與資安控制措施。
• 強化法規對應。不再僅參考 GDPR，提供可對應各國隱私法規（含個資法）的框架。

咨安可協助個資盤點、隱私風險評鑑與驗證準備，並依現況規劃導入或轉版路徑。（了解 ISO 27701 導入服務）

延伸閱讀：ISO 27701:2025 轉版重點與 PIMS 導入指南（完整解析）→

政府或法規有強制要求 ISO 27701 嗎？台灣個資法規全解析

企業常問政府是否強制要求 ISO 27701。咨安查閱個資法與各業別「個人資料檔案安全維護辦法」的法規原文後整理如下：

• 法規要求「安全維護措施」，多不點名 ISO。金融、零售、電商、電信、教育、旅行業等辦法原文，均未明文強制 ISO 27701（連 ISO 27001 也多未點名）。
• ISO 27701 是加值驗證選項。用以證明個資/隱私管理到位，並對應個資法、GDPR 與供應鏈要求。
• 官方明確接點：證照清單。ISO 27701 主導稽核員已列入國家資通安全專業證照清單；醫療電子病歷則以 ISO/CNS 27001 為認可驗證基準。

咨安可依貴組織所屬業別的安全維護辦法要求，規劃 ISO 27701／TPIPAS 的導入與佐證方式。（了解 ISO 27701 導入服務）

延伸閱讀：ISO 27701 與台灣個資法規要求全解析（含各業別對照與官方來源）→

TISAX 是什麼？汽車供應鏈的資安通行證（VDA ISA、AL2／AL3）

TISAX 是汽車產業通用的資訊安全評估與交換機制，由德國 VDA 制定標準、ENX 平台營運，讓供應商完成一次評估即可與多家客戶共享標籤、避免重複稽核。重點包括：

• 與 ISO 27001 相輔相成。VDA ISA 目錄以 ISO 27001／27002 為基礎，已有 ISMS 者導入較順利。
• 三個評估等級。AL1／AL2／AL3，稽核嚴謹度逐級提高；客戶多要求 AL2 或 AL3。
• 目標成熟度 3 級。各控制以 0～5 級評估，目標為第 3 級「健全完善」。

咨安可協助範圍界定、VDA ISA 自我評估、缺失矯正與稽核準備。（了解 TISAX 輔導服務）

延伸閱讀：TISAX、VDA ISA、評估等級與導入流程完整指南 →

TISAX 改版規劃說明：VDA ISA 6 轉 ISA 2027

TISAX 評估所依據的 VDA ISA 評估目錄已由 ISA 6 推出 ISA 2027 新版（2026-07-01 發布，2027-01-01 起新提出的評估一律適用）。供應鏈廠商需在標籤到期前，將既有自評與佐證銜接至新版問卷。就資訊安全問卷（第 1–7 章、共 47 條）而言，改版幅度其實不大：

• 未新增全新控制項、無實質刪除。多為文字潤飾（約 33 條），真正需補強的實質變更僅約 9 條，另有 1 條移轉（1.2.4 → 6.1.3）。
• 成熟度目標不變。仍沿用各控制項既有目標成熟度，一般目標為第 3 級（ML3）。
• 建議差異驅動增量轉換。以既有 ISA 6 基線為起點，只補強變更部分；工作量較大的危機管理、持續運作、供應商佐證宜提早啟動。

咨安可協助差異對應、落差評估、控制項補強與 TISAX AL2 稽核準備。（了解 TISAX 輔導服務）

延伸閱讀：TISAX 改版規劃說明（ISA 6 轉 ISA 2027，含差異概觀與轉換步驟）→

ISO 42001 是什麼？全球首個 AI 管理系統標準

ISO/IEC 42001:2023 是全球第一個人工智慧（AI）管理系統國際標準，於 2023 年 12 月發布，協助組織以負責任、透明且合乎倫理的方式治理 AI。重點包括：

• 三種角色。提供者、使用者、開發者；即使只是使用第三方生成式 AI 工具（如 Claude、Copilot），也屬於「使用者」角色。
• 附錄 A 有 38 項管控措施。涵蓋政策、資源、AI 生命週期、資料治理等面向。
• AI 特有要求。導入 AI 風險評鑑與 AI 系統衝擊評鑑（AIIA），評估 AI 對個人與社會的影響。

咨安以四階段、約 12 個月的規劃協助組織完成導入與第三方驗證。（了解 ISO 42001 導入服務）

延伸閱讀：ISO 42001 全球首個 AI 管理系統標準導入指南 →

CMMC 2.0 是什麼？台灣供應鏈廠商如何準備

CMMC（網路安全成熟度模型認證）是美國國防部要求其供應鏈廠商達成的資安要求。相關法規已陸續生效：計畫規則（32 CFR）已於 2024 年 12 月生效，採購規則（48 CFR／DFARS）已於 2025 年 11 月 10 日生效，並自該日起分四階段推行至 2028 年全面適用。

CMMC 2.0 分為三個等級：第 1 級（基礎級，年度自我評估）、第 2 級（進階級，對應 NIST SP 800-171，部分需第三方評估）、第 3 級（專家級，對應 NIST SP 800-172，由政府主導評估）。

對台灣供應鏈廠商的建議：先確認主合約要求的等級、界定 CUI／FCI 的資訊流與範圍、依 NIST SP 800-171 進行差異分析並儘早投入資源。咨安與美方 RPO 合作，可協助台灣廠商符合各等級要求。（了解 CMMC 輔導服務）

延伸閱讀：CMMC 2.0 台灣供應鏈廠商準備指南（完整解析）→

歐盟 CRA（資安韌性法／網路韌性法案）是什麼？含數位元素產品的強制資安要求

《網路韌性法案》（Cyber Resilience Act, Regulation (EU) 2024/2847）是歐盟第一部針對「含數位元素的產品」（PDE，涵蓋硬體與軟體）設定強制網路安全要求的橫向法規。只要產品投放歐盟市場，不論製造商位於何處都適用。重點包括：

• 時鐘已在走。法案於 2024/12/10 生效，漏洞與嚴重事件的通報義務已於 2026/09/11 生效，2027/12/11 起全面適用。
• 風險四分類。普通類（約 90%，製造商自我評估）、重要類 I／II（部分強制第三方公告機構）、關鍵類（可能須 EUCC 等歐洲網路安全認證）。
• 製造商六大義務。安全設計與預設安全、漏洞處理機制、SBOM、支援期承諾、符合性評估與 CE 標誌、漏洞與事件通報。
• 罰則不輕。核心義務違反最高 €1,500 萬或全球年營業額 2.5%（取高者）。

咨安可協助適用性與分類評估、差距分析與合規藍圖、通報流程建置，以及技術文件與公告機構對接準備。

延伸閱讀：歐盟 CRA 資安韌性法是什麼？台灣製造商合規指南（完整解析）→

延伸閱讀：歐盟網路韌性法案（CRA）合規輔導→