ISO 27001:2022 改版重點與 ISO 27701 隱私資訊管理：資安與個資一次看懂

ISO/IEC 27001:2022 於 2022 年 10 月發布。管理系統條文的架構大致延續 2013 版，主要調整在於與 ISO 高階架構對齊，例如更明確要求規劃管理系統的變更、訂定作業流程的準則，並檢視利害關係人的哪些要求要透過資訊安全管理系統處理。

變動最大的是附錄 A 控制措施：由 2013 版的 114 項重整為 93 項，並分為組織、人員、實體、技術四大主題。

這些新增項目反映雲端服務、遠距作業與資料外洩風險的現況，也是企業轉版時最需要補強文件與實際做法的部分。

• 威脅情資、雲端服務之資訊安全、營運持續之資通訊備妥性
• 實體安全監控、組態管理、資訊刪除
• 資料遮罩、資料洩漏預防、監控活動
• 網頁過濾、安全程式設計

依國際認證論壇（IAF）的轉版安排，2013 版證書的轉版期已於 2025 年 10 月底結束。若企業的文件、適用性聲明（SoA）或風險評估仍沿用 2013 版架構，應儘速依 2022 版重新檢視並與驗證機構確認驗證狀態。

• 重新對照 93 項控制措施，更新適用性聲明
• 補強新增控制措施的政策、程序與執行紀錄
• 更新風險評估與風險處理計畫
• 安排轉版後的內部稽核與管理審查

• 客戶或供應鏈要求提供資安管理證明
• 上市櫃公司資通安全管控相關指引的要求與自我檢視
• 電子發票加值服務中心、金融保險相關產業的主管機關或合作方要求
• 適用資通安全管理法的公務機關與特定非公務機關之管理需求
• 個人資料保護法下，個資蒐集、處理與利用的管理需要

ISO/IEC 27701 是隱私資訊管理系統（PIMS）標準，協助組織以「個資控制者」或「個資處理者」的角色，建立個資保護的管理要求與控制措施。2019 版設計為 ISO 27001 的延伸，必須與 ISO 27001 一起實施。

ISO/IEC 27701 已於 2025 年發布新版，調整為可獨立運作的管理系統標準。既有 2019 版證書的轉換方式與期程，請以驗證機構公告為準。