ISO 27001简述：

资讯科技随著电脑运用的普及与网际网路的蓬勃发展，各种资讯系统衍然而生，电脑网路成为多数人每日必须使用的工具，但也同时带来相关的资讯安全问题。
因此，确保资讯之机密性、完整性与可用性，便成为重要的课题。

企业或组织广泛运用各种应用软体执行内部工作的运作，资讯系统对企业或组织而言是一项重要的资產，资讯系统一但受损，復原所需的人力与时间是相当可观。
ISO 27001是一套完整的验证标准，企业或组织可以依照自己的需求范围建立管理制度。

推行ISO 27001效益：
经由系统化的资讯安全管制措施，来降低资讯安全风险，达成下列三项目标：
1.资料的机密性 (Confidentiality)：确保只有被授权的用户，可以依权限存取资料。
2.资料的完整性 (Integrity)：确保资料是完整的，没有被窃取或不当修改。
3.资料的可取用性(Availability)：确保被授权的用户，在需要资料时，能顺利获得资料。
不论规模大小、领域或所在之处为何，都适用ISO 27001，对於资讯保护相当重要的產业，
例如金融、医疗、公共与IT领域，则格外适用。

ISO 27001：2013资讯安全管理系统：
ISO 27001:2013是架构在「风险管理」之上的资讯安全管理制度，藉由导入建置ISO 27001企业组织可以选择适当的风险控制措施，以降低或避免风险，进一步建立整体的安全机制。

ISO 27002为了更符合资讯安全的现况及需求，内容有不小幅度的改变，因此附录A亦因此而有所调整。
整体来看，领域(domain)的数量增加了，从原本11个领域A.5-A.15)变为14个领域(A.5-A.18)，但控制目标(control objective)的数量却由39个变成35个，控制措施(control)的数量也由133个变成113个，两者都减少了。调整方向朝领域的广度增加，更精简有效的控制目标及控制措施发展。

企业评估资讯资產三要素
01机密性(Confidentiality)
确保只有被授权的用户，可以依权限合法处理传输存取资料。
02完整性(Integrity)
确保资料正确与完整，没有被窃取或不当修改。
资料存在形式包括在传输中，储存区或处理中心。
03可取用性(Availability)
确保被授权的用户，当有需要存取资料时，得以顺利获得。