〈ISO 27701〉彙整頁面 - 華宇企管-45年專業顧問團隊 https://aheadmaster.com/tag/iso-27701/ Ahead Master Management Consulting Tue, 23 Jun 2026 00:45:59 +0000 zh-TW hourly 1 https://wordpress.org/?v=6.9.4 https://aheadmaster.com/wp-content/uploads/2020/12/cropped-android-chrome-512x512-1-1-32x32.png 〈ISO 27701〉彙整頁面 - 華宇企管-45年專業顧問團隊 https://aheadmaster.com/tag/iso-27701/ 32 32 從合規邁向當責：ISO 27701 導入策略與驗證實務指南 https://aheadmaster.com/iso-27701-practical-guide/ https://aheadmaster.com/iso-27701-practical-guide/#respond Wed, 17 Jun 2026 08:24:19 +0000 https://aheadmaster.com/?p=38998 面對數位隱私巨浪與國內個資法修法趨勢，企業導入ISO 27701已成為不可或缺的信任基石。新版標準確立了獨立驗證地位，協助經營者從風險盤點切入，將法規遵循內化為防禦資產，確保在跨國供應鏈中掌握數據治理的先機。（從合規邁向當責：ISO 27701 導入策略與驗證實務指南）

〈從合規邁向當責：ISO 27701 導入策略與驗證實務指南〉這篇文章最早發佈於《華宇企管-45年專業顧問團隊》。

]]>

針對三類組織的導入路徑與策略關鍵

一、轉版升級型：ISO 27001 與 ISO 27701 均已導入之組織

對於目前持有 ISO 27001 與 ISO 27701：2019 證書的組織，核心任務在於平穩過渡至 ISO/IEC 27701：2025 新版要求。

組織應首要執行差異分析，並因應新版標準的高階結構（HS），將原有的隱私管理程序進行整合，以優化 ISMS 與 PIMS 的協作效率。在關鍵調整方面，除需進行人員新舊版差異培訓外，必須重新執行隱私風險評鑑，並產出對應新版 Annex A（控制者）或 Annex B（處理者）控制措施的新版適用性聲明書（SoA）。

在執行路徑上，應強化個資存取權限的精細化管理與稽核軌跡，最後透過獨立的 PIMS 內部稽核與管理審查，於轉版過渡期間（通常為三年，實際依 IAF 公告）完成第三方驗證。

二、整合導入型：已導入 ISO 27001 但尚未導入隱私標準之組織

針對已有資訊安全基礎但尚未建立隱私系統的組織，實施核心在於決定隱私資訊管理系統（PIMS）要與現有制度進行「整合」還是「拆分」。這類組織的優勢在於能引用既有的文件管理、內稽程序與管審機制，但需針對資訊安全與隱私分別設計不同的稽核檢核表以提升效率。實務執行時，組織必須特別補強最重要的個資盤點作業，並針對 PII 個資當事人可能遭受的衝擊進行量化風險分析。

在產出隱私適用性聲明書後，組織需將隱私控管納入 PDCA 循環中運作，確保在處理個資的各項活動中能正確識別自身扮演的角色（控制者或處理者），最終取得第三方認證以建構與合作夥伴間的互信機制。

三、全新建置型：資訊安全與隱私標準均未導入之組織

對於兩項標準皆未導入的組織，雖然流程較單純，但必須從全景分析、教育訓練到風險評鑑全面從零開始。由於缺乏 ISO 27001 認證作為底蘊，這類組織在 2025 年新版標準下最關鍵的任務，是編寫一份包含風險管理、密碼學與實體安全等 15 項要素的「資訊安全計劃（Information Security Programme）」，作為獨立實施隱私保護的技術防禦基石。

組織必須依據新版協調架構（Harmonized Structure , HS, 即原 HLS 高階架構）建立完整的文件化系統並落實運作，藉此產出具備問責性的管理證據。這不僅是為了符合國際標準，在面對主管機關如台灣《個資法》高達 200 萬元上限的裁罰壓力時，這些證據能向政府證明負責人已盡到管理義務，進而爭取免罰或減輕處分的機會。

小結：不論屬於哪一類型的組織，ISO/IEC 27701：2025 均轉化為獨立實施的 PIMS，強調問責制（Accountability）與基於證據（Evidence-based）的管理精神。證書雖然不保證百分之百隱私不外洩，但它能向政府與夥伴證明組織是在專業制度規範下執行保護工作的，這在數據驅動的時代是建立全球互信的重要標章。

ISO 27701：2025 確立獨立標準地位，建構四大戰略支柱

2019 年版將隱私管理定義為 ISO 27001 的「延伸（Extension）」，導致驗證範圍被限縮在資訊安全範圍內，難以涵蓋組織整體的個資流動。2025 年新版則確立為「獨立標準」，組織無需先建置資訊安全管理系統（ISMS）即可單獨實施，這不僅簡化了流程，更降低了中小企業的參與門檻。根據 ISO 組織的戰略方向，深入解析了隱私權管理中不可或缺的四大支柱：

隱私權的四大支柱

一、治理當責：

新版標準強調建立一套「問責制度」。透過主條文第 4 章至第 10 章的 PDCA 循環，組織能產生如何處理個人識別資訊（PII）的明確證據。這不僅是組織對客人的負責，更是組織內部權責分配的落實，確保在事故發生時能透過證據鏈識別責任歸屬。

二、管理創新：

雖然目前條文中尚未直接寫入 AI，但 AI 管理系統與隱私權保護息息相關。例如 OpenAI 曾涉及司法調閱紀錄的隱私爭議，顯示管理制度必須與時俱進。組織應透過管理創新，將新興技術如 AI 納入隱私治理範疇，以因應未來的數位挑戰。

三、建立信任：

這是隱私治理的最後一塊拼圖。透過一致的國際框架，組織能建構「夥伴互信機制」。當 A、B、C 等供應鏈組織皆遵循同一套標準時，個資流動便能獲得一致性保護，減少合作夥伴間的互疑與合規成本。

四、法規遵循：

新版標準超越了單一的 GDPR 視角，因應全球法規多元化（如中國、澳洲、巴西、美國等國）提供適切的管理框架。組織能根據運營所在地的司法管轄區訂定合宜的制度，確保在全球化經營中達成法令和合約的雙重遵循。

點我了解：ISO/IEC 27001 資訊安全管理

專業隱私稽核的準繩：ISO 27706 驗證範疇與角色識別

ISO/IEC 27706 是專門針對驗證機構所制定的驗證規範，其核心目的在於規範稽核員如何執行 ISO 27701 的驗證工作，同時作為確保隱私稽核具備專業度、獨立性與法律防禦價值的技術基石，它讓 ISO 27701 的證書從資訊安全的附屬品，轉變為企業隱私治理當責的實質證明。根據規範，組織在申請驗證時必須明確界定其隱私資訊管理系統（PIMS）的邊界，這包含確認組織在各項活動中扮演的角色是 PII 控制者（Controller）、PII 處理者（Processor）或兩者兼具，且範圍須涵蓋所有涉及處理個人識別資料（PII）的產品、服務及流程。

若所有活動均以遠端方式進行（如雲端運算環境），必須在範圍中特別說明並確認資料儲存的地點，如雲端或特定地理區域，同時必須載明所遵循的適用性聲明書（SoA）版本，作為稽核的技術依據。在稽核人天（人力天數）的計算上，ISO 27706 提供了一套標準化的人天表（Table A.1），這與 ISO 27001 的計算法不同，其天數主要取決於「從事處理或有權存取 PII 資料的人員數量」，而非全公司總人數。通常擔任「PII 控制者」的稽核天數高於「PII 處理者」，例如組織若有 86 至 125 名人員處理資料，控制者的初次稽核約需 7 人天，處理者約需 5 人天，若兩者角色兼具則可能增加至 10 人天。

影響人天計算的具體因子與調整機制包含九項關鍵因素：個人資訊處理活動的複雜性、已實施的控制措施數量（含 ISO/IEC 27701：2025 附錄 A 與 B）、PII 處理活動的數量（指流程多寡而非資料筆數）、正在處理的 PII 分類或類別（是否涉及高度敏感資料）、組織運作的地點、地理區域或司法管轄區數量、PII 傳輸範圍（如是否跨國）、處理或有權存取 PII 的人員數量、PII 筆數（作為估計參考）以及處理 PII 主要資料的平台數量。

稽核人天會根據組織環境與管理強度增減，若組織實施嚴格限制措施，天數最高可獲得約 70 % 至 80 % 的大幅折減。可獲得折減的特殊人員類別包括：實施嚴格資訊揭露限制者（如禁止攜帶個人手機設備進入場所）、僅擁有唯讀權限以履行職責者、在 PIMS 範圍內無權存取資訊處理設施者，以及擁有特定且受限存取權限的人員。由於 PII 筆數等資料通常只能以概估方式填寫，組織在申請驗證時應預先整理人員清單、平台數、地理區域等資訊，以利驗證機構進行精確的人天評估。

ISO 27701 轉版與台灣《個資法》修正案同步接軌

隨著全球對個資保護要求的日益嚴苛，近期個人資料保護領域發生了兩件指標性大事：ISO 27701 正式啟動轉版工作，以及台灣立法院三讀通過《個人資料保護法》部分條文修正草案。這兩項變革的交織，正引領企業從單純的合規走向更具動態與主動性的隱私治理時代。此次標準轉版與國內修法的時間點極為相近，顯示出國內外對隱私保護的聲浪同步攀升。雖然《個資法》修正案的正式施行日期尚待行政院配合組織法進度另行指定，但這已為企業定下了明確的合規轉型基調。

根據簡報與音檔分析，本次《個資法》修正最重大的意義在於權責的整合與轉移。過去由中央各部會分散式管轄個資的模式，將隨個資委的成立，在兩年內逐步整合，相關權責將逐步移交至新成立的「個人資料保護委員會」（個資委）。修法賦予了個資委必要的執法權限，包括行政檢查權與行政處分權，這標誌著個資監督機制將由分散走向專業集中化。

簡報資料詳細列出了本次《個資法》修正的四大要點，旨在優化現有管理架構，增訂個資事故通報義務，並將訂定「共通基礎版」的安全維護管理辦法，作為日後執法的統一標準。公務機關應配置「個資保護長」，並建立內部與外部監管機制，搭配個資委的行政檢查，深化落實個資保護文化。考量個資委成立初期資源尚待齊備，設計了過渡機制。對於目前沒有明確目的事業主管機關的業者，由個資委直接監管；其餘業者則在個資委成立後 6 年內逐步完成監理事權劃一。

雖然修法主要在於組織權責的調整，對於主條文中的個資定義與告知義務修正不多，但企業必須關注罰則「跳級」與主動稽查的趨勢。行政院已指示，若發生重大外洩事件，主管機關必須主動介入行政檢查並列管。在面對新法可能帶來的 200 萬元上限罰鍰門檻之調整下，組織導入 ISO/IEC 27701：2025 並產出「處理證據」顯得至關重要。專家總結道：「證書不保證不外洩，但它能向政府證明組織有心做好保護，且是在專業制度規範下執行。」這將成為企業在法規風暴中爭取減免處分的關鍵防線。

隨著台灣個人資料保護法部分條文修正案三讀通過，將罰鍰上限顯著提升至新台幣二百萬元並賦予個人資料保護委員會必要執法權限，組織面對監管機構主動行政檢查的壓力日益劇增，此時 ISO/IEC 27701：2025 的正式轉版為企業提供了從「合規標籤」轉向「治理當責」的關鍵契機。

本次改版最重要的變革在於確立其作為獨立實施隱私資訊管理系統（PIMS）的地位，打破了過去必須先通過 ISO 27001 認證且驗證範圍不得大於資訊安全範疇的枷鎖，允許各類規模的企業單獨針對個資流動流程定義驗證範圍。

在治理戰略上，新版標準強調治理當責、管理創新、建立信任與法規遵循四大支柱，不再僅侷限於歐盟 GDPR，而是透過引入隱私權參考清單（Privacy References List）來適配全球多元化法律架構。管理創新方面雖未明文列入 AI，但實務上已將新興技術納入治理範疇，以因應如OpenAI曾面臨的司法調閱與隱私爭議。

在技術架構上，新版採用協調架構（HS）重塑主條文，要求組織在規劃階段進行獨立的隱私風險評鑑，且必須同時分析對「組織」與「PII 當事人（個資主體）」可能造成的後果，並透過嚴重性衝擊等級表進行量化評估。針對獨立實施的組織，標準要求建立包含風險管理、存取控制與加密技術等 15 項要素的資訊安全計畫，並落實附錄 A.3 中精選自 ISO/IEC 27002：2022 的 29 項專屬資訊安全控制措施，以確保個資處理具備基礎防禦力。

而在驗證規範 ISO 27706 方面，稽核人天的計算法亦更趨科學，以「從事處理或有權存取 PII 的人員數量」為基準，並提供顯著的折減因子，若組織實施嚴格的資訊揭露限制（如禁止攜帶手機入工作場所）或人員僅具備唯讀權限，人天數最高可獲得 70 % 至 80 % 的折減。

針對不同現況的組織，專家建議採取因地制宜的導入路徑：轉版升級型組織應專注於程序文件的獨立化與差異分析；整合導入型需決定是否拆分現有資訊安全制度並補強個資盤點；全新建置型則必須從零建構治理藍圖並產出問責證據。

總結而言，面對新法「企業與負責人併罰」的趨勢，組織應將 ISO 27701 視為建立問責及基於證據管理機制的利器，透過 PDCA 循環產出的管理紀錄向主管機關證明已盡管理義務，這不僅是爭取裁罰免責的最強防禦，更是建構全球供應鏈夥伴互信的最後一塊拼圖。

作者介紹

資料來源：貝爾驗證

常見問題 FAQ

Q1：從未導入任何資安與隱私標準的組織，該如何開始？

A1：除了從全景分析、教育訓練到風險評鑑全面從零開始外，最關鍵的任務是編寫一份包含風險管理、密碼學與實體安全等 15 項要素的「資訊安全計劃（Information Security Programme）」，將其作為建立隱私管理制度的技術防禦基石，藉此產出具問責性的管理證據。

Q2：對於已有 ISO 27001 基礎，但未導入隱私標準的組織，建議如何導入？

A2：實施關鍵在於決定 PIMS 是要與現有制度「整合」還是「拆分」。優勢在於可引用既有的文件管理、內稽與管審機制，但需額外針對資安與隱私分別設計稽核檢核表。此外，必須補強「個資盤點」作業，並針對當事人可能遭受的衝擊執行量化風險分析。

Q3：已經持有 ISO 27001 與 ISO 27701 證書的組織，應如何進行轉版？

A3：核心任務是平穩過渡至 ISO/IEC 27701:2025 新版。首先需執行「差異分析」，因應新版高階結構（HS）整合 ISMS 與 PIMS，並重新執行隱私風險評鑑，產出對應新版 Annex A（控制者）或 Annex B（處理者）的適用性聲明書（SoA）。最後在轉版過渡期內完成第三方驗證。

點我了解：ISO/IEC 27001 資訊安全管理

企業好夥伴

企業問題找華宇，免費諮詢企業因為管理或是驗證上有棘手問題嗎？
企業因為員工管理或是工廠管理上有棘手問題嗎？

〈從合規邁向當責：ISO 27701 導入策略與驗證實務指南〉這篇文章最早發佈於《華宇企管-45年專業顧問團隊》。

]]> https://aheadmaster.com/iso-27701-practical-guide/feed/ 0 隱私權的四大支柱 隱私權的四大支柱 作者介紹 作者介紹 「智慧工廠OT資安管理應用分享」資安講座 https://aheadmaster.com/0616-2/ https://aheadmaster.com/0616-2/#respond Fri, 16 Jun 2023 02:26:45 +0000 https://aheadmaster.com/?p=10674 本次講座特別邀請具豐富製造領域資安服務經驗的業者分享「產線主動式預防/預測整合解決方案」實際案例；這些解決方案涵蓋Realtime監控機台設備，蒐集過去的量化效能資訊，並提供零信任資安管控，確保惡意軟體、綠色軟體和破解軟體無所遁形。

〈「智慧工廠OT資安管理應用分享」資安講座〉這篇文章最早發佈於《華宇企管-45年專業顧問團隊》。

]]>

【活動時間】：2023/06/27(二) 上午 10:00~11:45
【活動地點】：數位發展部數位產業署沙崙資安服務基地(五樓D508共創空間)
【活動地址】：臺南市歸仁區歸仁十三路一段6號(國科會資安暨智慧科技研發大樓)

【活動報名】：https://ievents.iii.org.tw/EventS.aspx?t=0&id=2118

【活動簡介】：

本次講座特別邀請具豐富製造領域資安服務經驗的業者分享「產線主動式預防/預測整合解決方案」實際案例；這些解決方案涵蓋Realtime監控機台設備，蒐集過去的量化效能資訊，並提供零信任資安管控，確保惡意軟體、綠色軟體和破解軟體無所遁形。此外，當機台遇到設備當機時，也可透過遠端控制設備開關機達到Zero Downtime 情境，利用解決方案發揮 24小時資安監控的重要性，引領您與資安專家一起探討最新的資安趨勢、案例經驗和解決方案，共同加強製造業的資安防護能力，確保工廠運營和數據的安全。

【注意事項】：

1.因現場座位有限，將同步採線上直播模式提供講座內容；直播連結將於6/26統一email給報名者。

2.本活動提供 10 家企業免費一對一資安專家諮詢服務，將以現場參加的企業為優先服務對象；線上參與企業也可登記預約，但須視活動現場預約報名情況開放線上企業諮詢服務申請；主辦單位將後續個別通知 10 家企業諮詢服務時間。 
3.主辦單位保留一切活動變更的權利。

數位發展部數位產業署廣告

※執行單位保有最終修改、變更、活動解釋及取消本活動之權利，若有相關異動將會公告於網站， 恕不另行通知。

〈「智慧工廠OT資安管理應用分享」資安講座〉這篇文章最早發佈於《華宇企管-45年專業顧問團隊》。

]]> https://aheadmaster.com/0616-2/feed/ 0 【華宇新訊】ISO／IEC 27001 最新標準問世，組織的因應之道（上） https://aheadmaster.com/230531-2/ https://aheadmaster.com/230531-2/#respond Wed, 31 May 2023 03:19:29 +0000 https://aheadmaster.com/?p=10244 本文將針對 ISO／IEC 27001 : 2022 新版條文進行剖析，除針對主條文進行差異分析，更聚焦控制措施的差異分析 ，這也是此次改版中改變最多的部分。藉由條文解析幫助企業在導入新版標準的道路上，引出一條相對清晰的路。

〈【華宇新訊】ISO／IEC 27001 最新標準問世，組織的因應之道（上）〉這篇文章最早發佈於《華宇企管-45年專業顧問團隊》。

]]>

本文將針對 ISO／IEC 27001 : 2022 新版條文進行剖析，除針對主條文進行差異分析，更聚焦控制措施的差異分析 ，這也是此次改版中改變最多的部分。藉由條文解析幫助企業在導入新版標準的道路上，引出一條相對清晰的路。

強化國際適用性，新版標準順勢而生

為了因應不斷更新迭代的資安威脅與資訊架構，SC 27工作小組於 2022 年推出新版 ISO 27001 標準。ISO 27001 國際標準是由 ISO 技術委員會底下分組委員會中的第五個工作小組 ISO／IEC JTC 1／SC 27 所訂定，其秘書處設於德國標準協會（DIN, Deutsches Institut für Normung），SC 27 工作小組主責資訊安全、網路安全和隱私保護三大範疇，不僅制定出目前國際間最廣泛使用的資訊安全管理系統，更是眾多標準化發展的創新與開拓者。

源於歐洲的 ISO 27001 推行之初在歐洲及亞洲大為盛行。然而，推行過程中發現美洲的使用率並不高，僅是為了獲得國際承認使用。因此，在修訂 ISO 27001、ISO 27002 的過程中，大量引入美國國家標準暨技術研究院 NIST（National Institute of Standards and Technology 之簡稱）的標準與精神，使得標準更加國際化。

標題名稱改變，讓資安焦點重回「資訊本身」

此次新版在主條文的部份共有 12 項差異。首先，最大的差異是版本名稱的改變，2022 年版本全名為「ISO／IEC 27001：2022 Information security, cybersecurity and privacy protection – Information security management systems – Requirements」相較於 2013 年版本強調資訊技術（Information technology）與安全技術（Security techniques），在新版中將網路安全（cybersecurity）與隱私保護（privacy protection）納入其中。從名稱上的變化可以清楚看見個資保護已經成為標準的一環。名稱的改變也體現在新版附錄 A 的控制措施，新版控制措施著重資料面的控制，讓資訊安全回歸到資訊本身的保護。

▲ 新版條文 12 項差異，立基於高階管理架構

第二項改變是頁數的改變，從 23 頁縮減至 19 頁。頁數的減少源於整個系統架構的改變，系統經過整合後更為精簡，並不代表組織需要遵循的事項會有所減少。接著在術語與定義中，新版新增了兩項參考連結，主要強調管理系統的重要精神，譬如：P－D－C－A 高階管理架構、品質管理七大原則等等。

舊版條文 4.2 新增要求中，除需確認利害關係者，也必須瞭解利害關係者的需求。新版條文新增要求除了依循舊版外，額外新增一項要求 「4.2 C）如何經由資訊安全管理系統滿足前述相關要求」，要求組織在執行資訊安全要求的過程中，必須要分析資訊安全管理系統要做哪些事情才能滿足利害關係者相關的要求。例如：組織為滿足「資通安全責任等級分級辦法」之「附表十資通系統防護基準」規定，可能建立 SSDLC（Secure Software Development Life Cycle 之簡稱，安全系統發展生命週期）機制，即是由此 4.2 C）條文引導出之因應對策。

滿足高階架構是基礎，更強調過程與互動

接著目光焦點來到條文 4.4「資訊安全管理系統」，除了要建立、實施、維護和持續改善外，在新的標準中還必須要包括過程與互動，亦即強調七大原則中的過程導向。組織的管理系統必須要強化組織建立、維護、實施標準時，該如何去達成目標與要求，以及這些目標要求之間的關係。

條文 6.2「資訊安全目標及其達成之規劃」新增兩項要求，第一項是要求組織的資安目標應該要受到監控， 這項要求在第九章－監控量測的部分也有著墨。第二項是要求組織在執行目標的過程中必須要做紀錄，作為文件化資訊的提供。在過去實作的經驗中，這項要求大多出現在政策面，也就是政策要求組織提供目標或目標框架。對許多已導入舊版的組織而言，新版條文 6.2 的新增要求，並不會產生太大的影響，因為大部分的 ISMS 組織皆已進行監控及文件化紀錄。

條文 6.3「變更規劃」為新版標準中的新增條文，描述「組織需要對資訊安全管理系統進行變更的時候，我要以預先規劃的方式進行變更。」也就是說，在變更資訊安全管理系統時，事前需預先進行相關的準備措施。以組織機房搬遷為例，組織需要制定轉換計畫，不能任意搬遷。進到條文 7.4「溝通」的部分，舊版「誰應溝通」、「應實現哪種溝通過程」在新版合併為「如何溝通」。整併的目的可以解讀為讓組織在此項運作上能更加彈性及完整。

▲ 新版條文同樣採用「PDCA」循環模式，強調過程與互動

相較於第 6 章規劃，條文 8.1「運作之規劃及管控」是針對實作進行規範。組織必須要按照第 6 章的規劃進行實作。組織需要依據條文 6 所決定的行動訂定準則， 並按照準則實施過程控制。以控制病毒威脅為例，組織安裝防毒軟體作為病毒防範的控制措施，因此組織訂出一個目標－所有電腦都要裝設防毒軟體；目標訂定後，接下來就是要逐一安裝、進行管控並定期更新病毒碼。組織必須要為這些過程建立準則，其中包括該如何更新病毒碼、該如何確認防毒軟體已安裝完畢等等作為。

除了針對實作進行規範，條文 8.1 也針對委外擴充其範圍，要求組織應確保與關於資訊安全管理系統由外部提供的過程、產品或服務受到控制。這項條文已經成為趨勢，因為 2012 年開始已逐漸導入高階管理架構，回歸高階管理架構之中。

新版條文兩大概念：強化 KPI、重視系統的變動性

條文 9.1「 績效評估－監督、量測、分析和評估」調整了「組織應該要評估資訊安全的績效跟資訊安全管理系統的有效性」這個要求的文件位置，此項要求調整的目的是為了明確讓組織能夠訂出相對的關鍵績效指標（Key Performance Indicator, KPI）。延伸先前提及控制病毒威脅的案例，組織決定所有電腦皆要安裝防毒軟體 ，接下來就需要制定出 KPI 檢核目標：第一季電腦防毒軟體安裝率需達到 95 % ，第二季達到 98 %，第三季達到 99 % 等等。除此之外，還可能會有另一項 KPI－已安裝過防毒軟體的電腦是否有定時更新；組織可藉由這些 KPI 去確認、評估是否有達成目標，這在 2013 年版的條文中並沒有被特別強調。過去僅在 ISO 27004 中提供許多範例，引導組織如何進行監控量測這些安全措施。新版條文強化了「有效性」，強調組織應該要評估自身的資訊安全管理系統的有效性。

新版條文將原先第九章的內部稽核與管理階層審查進行細部分類，將條文 9.2「內部稽核」細分為條文 9.2.1 一般要求、條文 9.2.2 內部稽核方案；將條文 9.3 管理階層審查改為「管理審查」，同時細分為條文 9.3.1 一般要求、條文 9.3.2 管理審查輸入事項、條文 9.3.3 管理審查結果。另外，在條文 9.3 新增輸入事項「與資訊安全管理系統有關的利害關係方的需求和期望的變化」，新增輸入事項的目的可以回溯到第 4 章組織必須要了解利害關係者的需求與期望，延伸到第九章時，組織需要審查、檢討利害關係者需求的是否變動。這項新增輸入事項放入組織管制項目，對應新版條文相當重要的概念：變更管理，利害關係者需求與期望是整體 ISMS 的指標，當明確列入管理審查，以掌握其變化，並符合其要求。

進入第 10 章「改善」，新版僅將條文 10.1 不符合事項與矯正措施與 10.2 持續改善，對調成 10.1 持續改善、10.2 不符合項目與矯正措施。從中可以看出為了讓組織達到持續改善，組織需要思考如何完成不符合項目與矯正措施。這個章節條文內容並沒有太多的變化，僅針對結構性進行部分修正。

延伸閱讀：

>> ISO／IEC 27001 最新標準問世，組織的因應之道（下）

資料來源：貝爾驗證

〈【華宇新訊】ISO／IEC 27001 最新標準問世，組織的因應之道（上）〉這篇文章最早發佈於《華宇企管-45年專業顧問團隊》。

]]> https://aheadmaster.com/230531-2/feed/ 0 247-05-1 247-05-2 (1) 【華宇新訊】ISO／IEC 27001 最新標準問世，組織的因應之道（下） https://aheadmaster.com/230530-2/ https://aheadmaster.com/230530-2/#respond Tue, 30 May 2023 09:26:00 +0000 https://aheadmaster.com/?p=10220 新版 ISO 27001 國際標準除了前述主條文的差異外，更值得關注的是附錄 A 的改變。

ISO 27001 的附錄 A 即是從 ISO 27002 延伸出來，在談改變之前首先要釐清的是 ISO 27002 本身並非要求（Requirement），而是指導（Guidance）；新舊版之間最大的改變為整體架構的改變。

〈【華宇新訊】ISO／IEC 27001 最新標準問世，組織的因應之道（下）〉這篇文章最早發佈於《華宇企管-45年專業顧問團隊》。

]]>

新版 ISO 27001 國際標準除了前述主條文的差異外，更值得關注的是附錄 A 的改變。

ISO 27001 的附錄 A 即是從 ISO 27002 延伸出來，在談改變之前首先要釐清的是 ISO 27002 本身並非要求（Requirement），而是指導（Guidance）；新舊版之間最大的改變為整體架構的改變。

在 NIST 的分類標準中，控制措施並未如 ISO 27001：2013 附錄 A 般細分到 14 項之多。ISO 27001：2022 為了對應業界標準，從原先的 A5 到 A18 共 14 個控制措施，也就是 14 個領域，簡化合併成 4 大領域 : 組織面、人員面、實體面、技術面（當然這是源自於 ISO 27002：2022 先行改變的結果）。同時，也將條文重新排列。這項改變也減少與 NIST 的網路安全框架、控制措施分類的差異。

▲ 新版控制措施簡化為組織、人員、實體、技術四大面向。

分析應用屬性並新增 11 項控制措施，與當今資安使用環境更相符

ISO 27002 為了提升適用性創造出「屬性」。針對控制措施本身性質進行分類、分析、定位等確認其「屬性」全貌，以 ISO 27001 為主要支持對象並向外開展，推進了控制措施運用的範疇及便利。

2023 年版本中「屬性」區分為五個部分：控制措施種類、資訊安全特性、網路安全概念、運作能力及安全領域。第一個屬性為「控制措施種類」目的是為了讓組織能夠判斷什麼時間點， 該執行什麼的控制措施，其中細分為三個屬性值：預防性、偵測性及矯正性。組織為了保留資訊的特徵，可以利用第二項屬性「資訊安全特性」選擇不同的控制措施進行實作，其中細分為機密性、完整性和可用性。第三項屬性「網路安全概念」，屬性值包括－識別、保護、政策、回應跟復原。因為融合了 NIST 的網路安全框架，適用性更提升，讓組織可以在不同標準間清楚地進行對應。除了從條文面進行分類，在第四項屬性則是從資訊安全能力的實作者觀點進行分類，屬性值包括治理、資產管理、資訊保護、人力資源安全、實體安全、系統與網路安全、應用程式安全、安全組態、身份與存取管理、威脅與弱點管理、持續性、供應商關係的安全、適法與遵循性、資訊安全事件管理和資訊安全保障等。最後一個屬性則是「安全領域」，從四個資安的視角檢視控制措施的屬性，屬性值包括治理與生態系統、保護、防禦以及復原力。

ISO 27002 有大量的案例，組織可針對不同屬性直接進行套用。以公部門為例，各機關大約會在每年 3 月會皆針對資通安全管理法的應辦事項，辦理情況進行提報。若所處機關提出要「訂定資通安全管理政策」，「訂定資通安全管理政策」可被視為控制措施。此項控制措施對應到 ISO 27002 的條文時，可被歸類到條文 5.1 資訊安全政策。所處機關即可每年針對這項政策進行檢討。政策底定後，所處機關會開始進行資訊安全角色分配與指派。「角色執掌與分配」這項控制措施就可以對應到 ISO 27002 的條文 5.2 資訊安全的角色、責任及權限。若組織能將 ISO 27001 控制措施與條文要求和國內資安法規進行對應，同時，參考 ISO 27002 的案例，並依此訂定關鍵績效指標與執行作法，後續在檢討的過程中就會相對簡便。

新版控制措施將 2013 年版的 114 項控制措施，簡化成為 93 項控制措施。在 5.7 到 8.28 間新增了 11 項控制措施，整合合併 24 項。同時，將16 項控制措施更名。另外，也將舊版 ISO 27001 附錄 A 的目標欄位刪除，並將目標架構寫進每項控制措施中，這代表新版賦予每項控制措施一個目的。

▲ 新版 ISO 27001 新增 11 項控制措施，更符合國際趨勢。

掌握威脅情資，雲端服服監控不可少

接下來將逐一說明新增的 11 項控制措施內容。首先，第一項新增控制措施－5.7 威脅情資，即是組織需掌握威脅情資的來源。若收到威脅情資需採取適當的管控。以公部門為例，公部門在威脅情資的掌握上相對容易，因為公部門已有情資系統，會定期將這些資訊分享給利害相關人。因此，若身為承辦人，僅需要在接收到情資後，進行相應的處置即可。對一般民間企業組織而言，該如何進行情資的掌握？ 首先，需訂定威脅情資作業處理程序；若組織已有資安事件處理辦法，可整併入其中。接著，需要選擇情資來源，藉此協助相關資安人員識別安全漏洞處理的先後順序，國內具代表性的情資來源為 TWCERT／CC，是我國企業資安事件通報及協處窗口，國外代表性的情資來源為美國國土安全部下屬的網路安全和基礎設施安全局提供資金 MITRE corporation 監管的 CVE（Common Vulnerabilities and Exposures）。識別威脅情資的重大性後，即可開始執行管控。

現今全球許多組織與公務機關皆採行雲端服務，為因應世界潮流，在新版附錄 A 中開展出全新的控制措施－5.23 使用雲端服務之資訊安全，其主要目的是協助組織管控雲端的服務。組織在執行過程中除了遵循 ISO 27001 的規範，也可以參考我國國家資通安全研究院頒布的「政府機關雲端服務應用資安參考指引」，其中涵蓋資安管理規劃、自建雲端服務、IaaS、PaaS、SaaS 等資安控制措施。

組織在執行 5.23 控制措施時，首先要訂定雲端服務作業程序。以我國公部門為例，參考指引中明確規範禁用特定國家廠商之雲端運算提供者，同時也訂有委外服務的相關規範。除此之外，組織必須進行風險分析，才能決定雲端服務。再舉一例，若組織持有我國國民個資，並希望個資能儲存於台灣，則必須要選擇台灣的雲端服務，同時在合約簽訂時，也要確保相關數據不可存取至他國。

接著，是新增控制措施 5.3 為營運持續性做好資通技術（ICT）的準備，新增此項控制措施的目的是為了確保資安中斷時，組織資訊與其他相關資產仍可正常維持運作。組織除需制定 ICT 持續性計畫、設定營運持續編組，還需要執行演練計畫，以確保計畫的可行性。這項控制措施在國內業界執行的成熟度已相當高，因此，預期不會對我國業界產生太大的影響。

明確規範三大系統，實體安全監控不可少

新增控制措施 7.4 實體安全監控，在舊版附錄 A 中的 A11 實體與環境安全中已著墨安全邊界與安全保護的部分。但是並未明確規範保護的目標。在新增條文 7.4中，明確針對門禁、監控、警報三大系統進行規範，目的是為了有效偵測與阻擋未經授權的實體存取。組織在遵循 7.4 控制措施的規範下，需要考慮是否安裝門禁、 監控、警報三大系統，是否執行進出管制、定期查核、告警事件處理，或是定期測試監控安全系統。

為確保組織軟硬體服務及網路在所需的安全設定中能夠正常運作，同時組態不會因為未經授權或不正確的變更而遭到異動，因此在新版標準中新增控制措施 8.9 組態管理。組織執行組態管理首先要在資產盤點時清點組態分類，建立各項組態基準，並依照基準執行，同時也需要確認各項基準現狀。組織可以參考 ISO 20000，其中即有涵蓋資訊系統軟硬體組態的管理實作辦法。

結合資產盤點，組態管理更省力

組織中常見的組態管理問題為防火牆連接埠（port）設置錯誤，若組織需求為開啟 80 port ，但誤開其他 port，將造成防火牆漏洞。這時候該如何進行組態管理呢？若是資源充足的企業，可以導入組態管理系統。在實務經驗中，組織若已導入資產管理系統，亦可以將組態管理納入資產管理系統，作為資產管理的延伸。倘若是人力及資源相對欠缺的的組織，可以從資產盤點開始做起，將系統、軟體、硬體納入資產為首要之務，結合資產盤點表詳加訂定儲存位置、版本等細節，接著才進入執行管制措施的環節。後續再依據組織自身情況決定是否逐漸實施複雜的管控措施，當然進入到這個階段勢必也就需要考慮導入組態管理程式，才能更省力的進行組態管理。

新版標準在資料面進行極大的改變，對資訊類的控制措施新增了諸多要求，像是 8.10 資料刪除、8.11 資料遮蔽。前者，是為了防止敏感資訊洩漏，同時遵守相關的法規規定、監管要求及合約要求。在執行資料刪除時，同樣的可以結合資產盤點，在盤點的過程中訂定資料的保存期限，同時建立各類型的資料刪除方式、週期及記錄格式；最後，執行刪除並將相關紀錄留存。後者同樣是為了要防止敏感資訊洩漏，差別是此項控制措施是針對個人可識別資訊 PII（personally identifiable information 之簡稱），也就是對人員類的資產進行管控。因此，組織在進行資訊資產盤點時，需盡可能的將資訊類資產與人員類的資產分開來。其中，資訊類資產還需細分硬體及軟體類資產。組織依此方式進行盤點，在後續的資料刪除、資料遮蔽等控制措施的執行判斷上會較為容易，才能迅速提供相應的防護措施。

組織常在資料未妥善分類的情形下，耗費龐大的成本執行資料加密作業防止資料外洩。在盤點表中除了資料刪除、資料遮蔽，也可以延伸執行新增控制措施 8.12 預防資料外洩，組織預防資料外洩，組織依據相關法令法規的要求，區分不同資訊需接受保護的等級，對相關資料進行加密儲存與監控資料洩露管道等保護措施，防止個人或系統未經授權揭露或存取敏感資料。

此次 ISO 27001 改版是否會連帶影響到 ISO 27701 的改版？專家認為 ISO 27701 屬於 ISO 27001 的延伸控制措施，因此可能會進行改版，然而近期改版的機率較低；唯需留意目前我國個資法中，關於資料遮蔽、資料刪除等相關規定並沒有明確被訂定。相較我國，歐盟的一般資料保護規則（GDPR，General Data Protection Regulation 之簡稱）明確訂定相關規範。近年我國大法官考量我國公務、學術機關使用隱私個資等情況，與順應國外現行個資相關法規的趨勢，宣布我國健保資料庫使用部分違憲，自 2022 年判決日起三年內相關單位須完成修法，強化去識別化的機制，並加重意圖損害個資者的刑責。由此可預見，在未來幾年內國內個資的引用與保存，將會出現極大的改變。

適度衡量組織需求，讓活動監控更彈性

敏感資料的洩露牽涉到資訊的監控，因此衍伸出新增控制措施 8.16 活動監測，其目的是為了偵測潛在的資安事故與異常行為。業界經常提及的做法是購買系統進行監測，其中包括前面提及的組態管理，但並非適用所有組織，組織需檢討現有的監控工具以決定是否購置相關工具。若僅為了偵測異常行為與監控潛在資安事故，使用任何能達成這項目標的監控方式皆可，並非一定需要購置監控工具。

延伸閱讀：

>> ISO／IEC 27001 最新標準問世，組織的因應之道（上）

資料來源：貝爾驗證

〈【華宇新訊】ISO／IEC 27001 最新標準問世，組織的因應之道（下）〉這篇文章最早發佈於《華宇企管-45年專業顧問團隊》。

]]> https://aheadmaster.com/230530-2/feed/ 0 248-05-1 248-05-2 【華宇新訊】更嚴實的能源及資安管理 達運精密推行ISO 27001&ISO 50001建置 https://aheadmaster.com/230412-2/ https://aheadmaster.com/230412-2/#respond Wed, 12 Apr 2023 04:01:15 +0000 https://aheadmaster.com/?p=9233 台灣知名的光電顯示產業製造廠達運精密工業股份有限公司，於2023/3/8啟動ISO 27001資訊安全管理系統建置，為確保組織的數據和資訊安全展開更積極有效的管理作業。

〈【華宇新訊】更嚴實的能源及資安管理 達運精密推行ISO 27001&ISO 50001建置〉這篇文章最早發佈於《華宇企管-45年專業顧問團隊》。

]]>

台灣知名的光電顯示產業製造廠達運精密工業股份有限公司，於3/8(2023)啟動ISO 27001資訊安全管理系統建置，為確保組織的數據和資訊安全展開更積極有效的管理作業。

ISO 27001是一項國際標準，旨在為組織提供資訊安全管理系統（ISMS）的指導方針，強調風險評估，風險管理，安全控制，安全政策和監控的重要性，以確保組織的數據和資訊安全。

為了獲得ISO 27001的認證，達運精密工業特別邀請了華宇企管顧問團隊協助企業建置，並於3/8(2023)正式啟動，參與啟動會議的小組成員也齊聚一堂宣誓推動的決心。

達運精密工業一直是高度重視技術能力提昇的企業，目前除已取得ISO9001、 TS16949、QC080000等品質體系以及ISO 14001環境體系與ISO45001職業健康安全管理系統及CNS45001中華民國職業安全衛生管理系統等多項認證外，現在更積極投入推動ISO 27001資訊安全管理系統及ISO 50001能源管理系統的推動，期待不論是在企業經營以及技術發展上，能以永續經營及節能減碳的方向為基礎，不斷導入更好且有效能的管理方針，改善企業體質提升企業競爭力。

〈【華宇新訊】更嚴實的能源及資安管理 達運精密推行ISO 27001&ISO 50001建置〉這篇文章最早發佈於《華宇企管-45年專業顧問團隊》。

]]> https://aheadmaster.com/230412-2/feed/ 0 LINE_ALBUM_2023111達運精密工業iso 50001啟動_230412-3 LINE_ALBUM_2023111達運精密工業iso 50001啟動_230412 ISO 22301：2019 營運持續管理系統新版規範介紹與執行步驟(三) https://aheadmaster.com/iso-22301%ef%bc%9a2019-%e7%87%9f%e9%81%8b%e6%8c%81%e7%ba%8c%e7%ae%a1%e7%90%86%e7%b3%bb%e7%b5%b1%e6%96%b0%e7%89%88%e8%a6%8f%e7%af%84%e4%bb%8b%e7%b4%b9%e8%88%87%e5%9f%b7%e8%a1%8c%e6%ad%a5%e9%a9%9f-2/ https://aheadmaster.com/iso-22301%ef%bc%9a2019-%e7%87%9f%e9%81%8b%e6%8c%81%e7%ba%8c%e7%ae%a1%e7%90%86%e7%b3%bb%e7%b5%b1%e6%96%b0%e7%89%88%e8%a6%8f%e7%af%84%e4%bb%8b%e7%b4%b9%e8%88%87%e5%9f%b7%e8%a1%8c%e6%ad%a5%e9%a9%9f-2/#respond Tue, 10 Jan 2023 03:44:33 +0000 https://aheadmaster.com/?p=7547 確保您得到了高層管理人員的支持，只有當決策者提供真正的支持並將其視為高度優先事項時，營運持續管理系統才能有效運作

〈ISO 22301：2019 營運持續管理系統新版規範介紹與執行步驟(三)〉這篇文章最早發佈於《華宇企管-45年專業顧問團隊》。

]]>

如何開始 ISO 22301？

確保您得到了高層管理人員的支持，只有當決策者提供真正的支持並將其視為高度優先事項時，營運持續管理系統才能有效運作。進行準備情況評估，以了解與標準要求相關的配置以及滿足這些要求所需的資源水平。先進行營運恢復練習，以仔細考慮如果公司營運的任何領域都中斷，您當下會做什麼。這將幫助您釐清組織的因應能力以及 ISO 22301如何提供幫助。

ISO 22301 執行的方法與步驟

1. 營運案例：思考為什麼要實施營運持續管理系統? 您的組織可以從中獲得什麼好處? 思考營運持續管理系統將如何支持組織的戰略目標、創造競爭優勢、保護與增強其聲譽和信譽、增強組織的彈性、提高對營運的信心、減少法律和財務風險、減少直接和間接的破壞成本、保護生命、財產及環境，考慮利害關係者的期望以促進包容性，有效地展示主動控制風險，解決操作漏洞。因為需要投入資金與人力資源，所以管理階層的實質參與是關鍵的要素。

2. 識別內部和外部環境：在採取任何具體步驟之前，了解利害關係者是誰? 他們對營運持續計劃的要求是什麼? 並考慮內部環境和外部環境，包括法律、法規及合約之要求。

3. BCMS 範圍：範圍的界定必須仔細進行，須考量： a) 使命、目標以及內部和外部的義務； b) 考量組織的位置、規模、性質及複雜性，確定組織哪些部分要納入 BCMS ； c) 辨識要納入 BCMS 的產品和服務及其相關流程、活動和資源；D) 考慮利害相關者的需求。

4. 營運持續政策和目標：最高管理者需要定義一些營運持續的主要責任和規則，這就是營運持續政策的用途，但是最高管理者還需要藉由設定可量測的目標來準確定義營運持續的期望。這並不容易，但是如果您想要衡量營運持續是否已實現其目的，則肯定是必要的。

5. 角色、責任及權限：建立組織結構，包括權利、責任和權限，並定義緊急應變、危機管理以及營運持續的角色。

6. 風險與機會：考量內部和外部環境（步驟 2）以及利害關係者的要求，以決定管理系統的風險和機遇。內部風險可能與缺乏預算或沒有能力的人員有關（如果是正面的因素，則可能是機會），而外部風險可能與缺少替代供應商有關。此處暫不考慮破壞性事件相關的風險，步驟 12 才予以考慮。

7. 變更BCMS： 無論何時計劃對BCMS進行變更，都必須依律定之相關變更流程執行。考量變更的目的及其潛在後果，變更對 BCMS 完整性的影響、資源的可用性以及職責和權限的配置或重新配置。

8. 訓練與認知：光是計劃是不夠的，應提供訓練課程給在營運持續計劃中發揮作用的人員，您不僅需要向您的員工（以及在您的計劃中起作用的第三方）解釋如何執行計劃中的某些步驟，也要一開始就說明它為什麼重要，以確保所有員工都能達成共識。

9. 與利害關係者的溝通：營運持續在很大程度上取決於監管機構、主管機關、所有者、員工的家庭、媒體等，因此，您在制定政策和設定目標時（包括事件發生之前），須儘早通知利害關係者。內外部溝通計劃都必須包括溝通內容、溝通時間、溝通方式及溝通對象。

10. 文件化資訊：無論營運持續或資訊安全的管理系統，都具有一套共同的程序。這些程序不是硬性的規定，而是取決於組織的成熟度。但是，所有文件化資訊都必須受到管控，並指定可以分發給誰? 誰可獲取? 誰可檢索及用於誰? 此外，必須考慮文件的儲存和保存，包括保持可讀性；管控變更（例如版本管控）以及保留和處理文件化資訊。

11. 營運衝擊分析：您需要建立用於量測破壞性事件衝擊的準則，包括財務、運作、聲譽等方面，並確定如何量測衝擊程度。針對支持您的產品與服務的每項活動，決定a）您需要恢復的速度（破產或必須關閉業務之前），以及 b）成功恢復所需要的條件。因此，營運衝擊分析的目的是在於定義恢復時間目標（RTO）和所需的資源，並決定優先活動的依存關係和相互依存關係。

12. 風險評估：您是否願意為在上一步驟所確定之優先活動中的破壞性事件做好準備？也許甚至預防發生？首先，您需要找出可能發生的事件，進行分析和評估。

13. 營運持續策略和解決方案：給予輸入[各種需求、恢復時間目標、資源（來自營運衝擊分析）及風險評估]，您需要弄清楚如何處理它們，考慮用於回應、重新開始和恢復營運的策略和解決方案相關的成本，且必須考慮這些策略所需的資源。

14. 營運持續計畫：實際上，營運持續計劃有幾種類型，至少有事件反應計畫（它們定義了對事件的初始反應）、警告和溝通計畫、營運持續計畫（以可接受的預先定義級別重新開始與恢復營運）以及恢復計畫（用於完全恢復）。前述所有計畫都需要根據策略，否則它們將缺乏實現此類計畫所需的資源（資訊、技術、人員等）。

15. 練習與測試：不管有多需要，光是訓練仍是不夠，如果您只試著模擬計畫以發現它 們在幾近真實情況下的表現，您將永遠不會知道它們的不足之處，因此，進行定期 的練習和測試至關重要，並且這種測試不應僅局限於 IT 部門，必須包括所有人，包 括高層管理人員、外包合作夥伴和供應商。而且必須記錄成果、建議和實施改進的 措施於正式練習後的報告中。

16. 事後評估和關鍵績效指標：無論您多麼努力，都將永遠無法阻止事件的發生，但您 可以做的就是從此類事件中學到很多東西，例如人們的反應、他們的準備程度、計 劃中需要改善的項目等，最重要的是，您是否達成了您預期的恢復時間目標？基本 觀念是：除非您知道是否自己已實現自己想要的目標，否則做這些事沒有任何意 義。在營運持續的情況下，目標是在前述的第 3 個步驟中設定的，要確定您是否實 現了這些目標，則必須通過某種指標來呈現。

17. 內部稽核：人不可能對自己的工作有 100％的客觀性。因此，應該由其他人檢查您 的工作並提出改進建議， 這就是內部稽核所做的事。儘管通常被認為是經常性開 銷，但是內部稽核實際上在面對現實時非常有用。

18. 管理審查：一旦完成上述所有步驟，高階管理者就需要對它們進行評估並做出一些 關鍵的決定，例如更新目標、提供資金、進行更大的改善等。畢竟，公司能倖免於 更大的災難是他們最重要的責任。

19. 獨立審查：如果您要由第三方進行認證初評，則與其他任何管理系統認證一樣，初 評也分為兩個階段，第一階段是文件審核，第二階段則是實施有效性稽核。

20. 更新背景、政策、目標：這一步驟不是停止營運持續管理，而是您需要在 BCMS 面 臨變更議題的動態環境中，持續維護與改進系統，且政策應與目標一起進行審查。

21. 改善：我們都在不斷改進自己的工作，但是 ISO 22301 希望我們有系統地進行改 進，它迫使組織找出問題發生的原因，並確保不再發生該問題。或者，正如標準所 說“確保不符合事項不會再發生”，需要有系統地、以透明的方式進行。

總結

ISO 22301 不僅僅是一個項目或一個“計畫”的制定，而是一個持續的管理過程，需要有能力的人員提供適當的支持和架構，這些架構將在需要時執行。目前國內已有許多金融業、 高科技製造業和資訊服務業者已經通過 ISO 22301 : 2012 標準，如聯華電子、精誠資訊、永光化學、群益證券、台灣銀行、彰化銀行…等。如果您的企業從未實施或甚至沒有考慮過 BCMS，現在可能是適當的時機。所有遭受此次疫情波及的企業必將更加重視營運持續管理作業，將災害發生時所帶來的衝擊和營運中斷時間降到最低，讓營運持續能力能夠不斷提升。

資料來源：貝爾官網

參考來源：

◆ http://iknow.stpi.narl.org.tw/Post/Read.aspx?PostID=16354
◆ https://www.willistowerswatson.com/zh-TW/Insights/2020/03/taiwan-corporate-risk-management-strategy
◆https://www.iso.org/files/live/sites/isoorg/files/store/en/PUB100442.pdf
◆ https://pricoris.com/bcms-iso-fdis-22301-2019/
◆ https://www.iso.org/news/2012/06/Ref1587.html

〈ISO 22301：2019 營運持續管理系統新版規範介紹與執行步驟(三)〉這篇文章最早發佈於《華宇企管-45年專業顧問團隊》。

]]> https://aheadmaster.com/iso-22301%ef%bc%9a2019-%e7%87%9f%e9%81%8b%e6%8c%81%e7%ba%8c%e7%ae%a1%e7%90%86%e7%b3%bb%e7%b5%b1%e6%96%b0%e7%89%88%e8%a6%8f%e7%af%84%e4%bb%8b%e7%b4%b9%e8%88%87%e5%9f%b7%e8%a1%8c%e6%ad%a5%e9%a9%9f-2/feed/ 0 華宇原創｜如何聰明安排企業年度行事曆 員工的工資跟休假怎麼給，您清楚嗎？（下） ISO 22301：2019 營運持續管理系統新版規範介紹與執行步驟(二) https://aheadmaster.com/iso-22301%ef%bc%9a2019-%e7%87%9f%e9%81%8b%e6%8c%81%e7%ba%8c%e7%ae%a1%e7%90%86%e7%b3%bb%e7%b5%b1%e6%96%b0%e7%89%88%e8%a6%8f%e7%af%84%e4%bb%8b%e7%b4%b9%e8%88%87%e5%9f%b7%e8%a1%8c%e6%ad%a5%e9%a9%9f/ https://aheadmaster.com/iso-22301%ef%bc%9a2019-%e7%87%9f%e9%81%8b%e6%8c%81%e7%ba%8c%e7%ae%a1%e7%90%86%e7%b3%bb%e7%b5%b1%e6%96%b0%e7%89%88%e8%a6%8f%e7%af%84%e4%bb%8b%e7%b4%b9%e8%88%87%e5%9f%b7%e8%a1%8c%e6%ad%a5%e9%a9%9f/#respond Tue, 10 Jan 2023 03:14:58 +0000 https://aheadmaster.com/?p=7538 ISO 22301 已於 2019 年底進行了修訂，以反映營運持續領域的不斷演化，並為用戶帶來更多價值

〈ISO 22301：2019 營運持續管理系統新版規範介紹與執行步驟(二)〉這篇文章最早發佈於《華宇企管-45年專業顧問團隊》。

]]>

ISO 22301 改版重點

ISO 22301 已於 2019 年底進行了修訂，以反映營運持續領域的不斷演化，並為用戶帶來更多價值。修訂內容包括：

● 優化標準的結構，使其更易於閱讀與實施，並進一步闡明要求。

● 簡化用語和術語，以消除重複用語且更能反映當今營運持續工業的思維。

● 採用高階架構（HLS），使其與所有其他的 ISO 管理系統標準一致。

認證資格轉版期程

已取得 ISO 22301：2012 認證之組織應於 ISO 22301：2019公布後 3 年內（預計 2022 年 10 月 31 日前）完成以 ISO 22301：2019 為認證標準之資格轉換，意即在 2022 年 10 月 31 日（過渡期結束）之後，所有 ISO 22301：2012 的證書將自動失效。

可受理 ISO 22301：2012 初評與複評的申請時間為修訂標準發布之月的最後一天 （2019 年 10 月 31 日）起的 18 個月內，也就是 2021 年 4 月 30 日之後，所有認證機構將不可再執行 ISO 22301：2012 之初評與複評。

獲得營運持續管理系統驗證的好處

有助於企業避免產生或減少營運中斷的成本、風險與損害。

● 有助企業主動出擊，減低突發事件的衝擊。
● 通過對關鍵問題和漏洞領域的分析，改善業務績效與組織彈性。
● 可與利害關係人合作，管控整個企業和供應鏈中的風險。
● 可向客戶、供應商以及在投標時證明企業有迅速恢復作業的能力。
● 可在重大的行業危機中持續保有競爭優勢。
● 可保護企業重要資產並維護企業的聲譽。
● 可與現有管理系統整合，只須再增加營運持續管理機制，避免重複管理。
● 可透過第三方的查核，證明企業的營運持續政策和流程的有效性。
● 經由國際標準認可，可提升企業公信力。

如果您從未考慮過 BCMS，現在可能是合適的時機

新冠肺炎 (COVID-19) 疫情不斷在全球蔓延擴散，不僅旅遊、航空業等受到嚴重衝擊，全球供應鏈亦因物料短缺、人力不足、航班大減而產生供應延誤甚至中斷的情況，致使大多數企業暴露在高度不確定之風險中，有鑑於此，全球供應鏈領導廠商及業者應審慎檢視是否已備妥備援計劃 (Plan B)，以排除目前所受的干擾，並為未來做準備。

導入營運持續管理系統，不僅能協助企業擬訂完善可行的備援計劃 (Plan B)，還能定期協助企業檢視計畫實施與監控的有效性，並根據當時局勢檢視營運風險評估的完整性與適切性，因而它能確保支持關鍵功能的人力、物力和服務的連續性，並提升企業自動調整與快速反應的能力，使企業遭遇突發事件時能夠迅速作出反應，不致造成關鍵業務中斷或業務流程本質的改變，所以如果您從未實施或甚至沒有考慮過 BCMS，現在可能是適當的時機。

資料來源：貝爾官網

參考來源：

● https://www.bbc.com/zhongwen/trad/business-52148560

● https://www.iaf.nu/upFiles/IAFFrankfurt2019GAResolutions%20-%20Final.pdf

● https://www.uuu.com.tw/Course/Partner/sgs/section=bs25999/title=BS%20259
   99E5%9C%8B%E9%9A%9B%E6%A8%99%E6%BA%96

● https://jackforsec.blogspot.com/2009/11/bs-25999.html

● https://www.iso.org/news/ref2494.html?utm_medium=email&utm_campaign=
   ISO%20Newsletter%20April%202020&utm_content=ISO%20Newsletter%20A
   pril%202020+CID_68def636245cad84c317334eb51d964b&utm_source=Email%
   20marketing%20software&utm_term=Read%20more

● file:///D:/03%20%E6%9C%88%E5%88%8A/ISO%2022301-5,6%E6%9C%88/
   PUB100442.pdf

〈ISO 22301：2019 營運持續管理系統新版規範介紹與執行步驟(二)〉這篇文章最早發佈於《華宇企管-45年專業顧問團隊》。

]]> https://aheadmaster.com/iso-22301%ef%bc%9a2019-%e7%87%9f%e9%81%8b%e6%8c%81%e7%ba%8c%e7%ae%a1%e7%90%86%e7%b3%bb%e7%b5%b1%e6%96%b0%e7%89%88%e8%a6%8f%e7%af%84%e4%bb%8b%e7%b4%b9%e8%88%87%e5%9f%b7%e8%a1%8c%e6%ad%a5%e9%a9%9f/feed/ 0 華宇原創｜如何聰明安排企業年度行事曆 員工的工資跟休假怎麼給，您清楚嗎？（下） ISO 22301：2019 營運持續管理系統新版規範介紹與執行步驟(一) https://aheadmaster.com/iso-22301/ https://aheadmaster.com/iso-22301/#respond Thu, 05 Jan 2023 08:28:37 +0000 https://aheadmaster.com/?p=7496 國際標準組織（ISO）早在 2006 年緊急召集各國專家，匯集了來自世界各地的良好實踐，逐漸完善成為 ISO 22301：2012《營運持續管理系統 》，期許它能幫助組織作好準備，並更有信心地應對任何類型的破壞。

〈ISO 22301：2019 營運持續管理系統新版規範介紹與執行步驟(一)〉這篇文章最早發佈於《華宇企管-45年專業顧問團隊》。

]]>

全球化不僅創造了龐大的利益，同時也帶來了巨大的風險

隨著網際網路的快速發展與便捷的交通旅運，促使全球化在近幾十年裡迅速爆發到一個前所未有的高度。便捷的旅行、國際互聯網、冷戰結束、貿易協議和迅速發展的新興經濟，種種因素加起來創造了一個全球化體系，使得我們對世界另一邊的依賴，比起以往任何時候都更大得多，正因為如此，新冠肺炎（COVID-19）的肆虐才會如此立竿見影地影響了經濟。

牛津大學的全球化與發展科學教授伊恩·戈爾丁（Ian Goldin）說：「風險變成了可以潰爛的東西，這是全球化的要害部位。」這個新的全球經濟體系不僅創造了龐大的利益，但是同時也帶來巨大的風險。倫敦商學院的經濟學教授里查德·波特斯教授（Prof Richard Portes）則認為，改變是必須的，因為各企業和人們現在都意識到，他們過去冒著怎樣的風險。

因此，公共和私營部門的組織必須知道如何為意外和破壞性事件做好準備並作出反應，為此，國際標準組織（ISO）早在 2006 年緊急召集各國專家，匯集了來自世界各地的良好實踐，逐漸完善成為 ISO 22301：2012《營運持續管理系統 》，期許它能幫助組織作好準備，並更有信心地應對任何類型的破壞。

營運持續管理系統（BCMS）標準的制定背景

對於災害的應變與防護，國際上早有相關的計劃或標準，例如：美國國家防火協會於 1995 年公佈了「災害事故/緊急應變管理與營運持續計劃」，作為發生災害時的緊急應變程序；加拿大也有「營運持續計劃指導」，確保企業的營運能在災害之後持續運作；新加坡在 2005 年發佈了 SS 507「業務持續性與災害復原」標準，更同時包含了 IT 災難復原和 BCM 兩項重要領域。

英國標準協會 BSI 於 2003 年制訂「PAS56 營運持續管理指導綱要」，作為企業在面臨營運中斷時，如何去維持關鍵企業營運的參考，之後 2006 年及 2007 年則分別出版企業營運持續管理守則（BS 25999-1）及企業營運持續管理（BS 25999-2）等兩項企業防災指導，該內容主要在取代營運持續管理指導綱要（PAS56），而後 ISO 根據英國標準 BS 25999 Part – 2 編制成 ISO 22301《安全性和恢復力–營運連續性管理系統–要求》，於 2012 年發佈，是世界上第一個用於實施和維護有效營運連續性計劃、系統及流程的國際標準，現在已對其進行了修訂，以納入最新的思想與最佳實踐。

ISO 22301 目的與適用範圍

ISO 22301 由 ISO / TC 223（社會安全技術組） 開發，其目的是保護社會免遭受有意及無意的人類行為、自然災害及技術故障所引起的事件、緊急情況以及災害，並有所回應。它的全災害觀點涵蓋了破壞性事件發生之前、之中與之後的各個階段的適應性、主動性及反應性策略。並提供了一個計劃、建立、實施、操作、監控、審查、維護和持續改進營運連續性管理系統（BCMS）的框架，當發生破壞性事件時，期待它能幫助組織做好防禦、準備、回應及恢復。

ISO 22301 適用於任何組織，無論其類型、規模、複雜程度、地理位置、組織文化或其提供的產品與服務。它也與認證和監管機構有關，因為它使他們能夠評估組織滿足其法律或監管要求的能力。

ISO 22301 的內容架構與其他 ISO 管理系統標準一樣採用高階架構（相同的核心文件、術語和定義），例如：ISO 9001（品質管理）和 ISO 14001（環境管理），因此，它可輕易整合到組織的現有管理流程中。

資料來源：貝爾官網

參考來源：

● https://www.bbc.com/zhongwen/trad/business-52148560

● https://www.iaf.nu/upFiles/IAFFrankfurt2019GAResolutions%20-%20Final.pdf

● https://www.uuu.com.tw/Course/Partner/sgs/section=bs25999/title=BS%20259
   99E5%9C%8B%E9%9A%9B%E6%A8%99%E6%BA%96

● https://jackforsec.blogspot.com/2009/11/bs-25999.html

● https://www.iso.org/news/ref2494.html?utm_medium=email&utm_campaign=
   ISO%20Newsletter%20April%202020&utm_content=ISO%20Newsletter%20A
   pril%202020+CID_68def636245cad84c317334eb51d964b&utm_source=Email%
   20marketing%20software&utm_term=Read%20more

● file:///D:/03%20%E6%9C%88%E5%88%8A/ISO%2022301-5,6%E6%9C%88/
   PUB100442.pdf

〈ISO 22301：2019 營運持續管理系統新版規範介紹與執行步驟(一)〉這篇文章最早發佈於《華宇企管-45年專業顧問團隊》。

]]> https://aheadmaster.com/iso-22301/feed/ 0 華宇原創｜如何聰明安排企業年度行事曆 員工的工資跟休假怎麼給，您清楚嗎？（下） 金管會發布「金融資安行動方案」2.0 https://aheadmaster.com/221228/ https://aheadmaster.com/221228/#respond Wed, 28 Dec 2022 04:07:13 +0000 https://aheadmaster.com/?p=7404 金管會發布「金融資安行動方案」2.0

訂有40項措施，其中新增資安措施計12項、擴大適用範圍計5項、持續性措施計23項，其中有幾個重點跟大家分享...

〈金管會發布「金融資安行動方案」2.0〉這篇文章最早發佈於《華宇企管-45年專業顧問團隊》。

]]>

訂有40項措施，其中新增資安措施計12項、擴大適用範圍計5項、持續性措施計23項，其中有幾個重點跟大家分享
第一，擴大資安長設置，定期召開資安長聯繫會議，要求銀行及一定規模以上金融業，要設置副總經理層級以上資安長。
第二，強化數位身分驗證安全性，主要是為民眾使用金融服務時，加強身分識別、驗證，防止身分盜竊。針對網路身分驗證（eKYC）運作機制區分信賴等級，並建立與業務風險對照的規範，以利業者提供網路金融服務時遵循；第三方服務提供者（TSP）業務合作的風險評估與管理，也會納入自律規範研修課題。
第三，為因應重大資安事件及天然災害等風險，鼓勵重要金融機構強化重要核心資料保全機制，包含核心資料檔案、資料庫加密與分持，儲存於第三地或雲端備份等機制。以強化備份及復原機制，提升數位韌性。
第四，

第四，鼓勵金融機構導入國際資安管理標準(ISMS)及建置資安監控機制(SOC)，主要金融機構均已導入或已有規劃辦理時程，為求落實及有效執行，爰規劃依據業別特性，訂定國際資安管理標準之驗證範圍，並建立資安監控作業基準。

第五，規劃資安攻防演練，鼓勵配置多元專長資安人才，擴大攻防演訓量能。辦理資安攻防演練，規劃重大資安事件支援演訓。


資料參考:
金管會: https://reurl.cc/OEgzNv

〈金管會發布「金融資安行動方案」2.0〉這篇文章最早發佈於《華宇企管-45年專業顧問團隊》。

]]> https://aheadmaster.com/221228/feed/ 0 華宇原創｜如何聰明安排企業年度行事曆 員工的工資跟休假怎麼給，您清楚嗎？（下）