ISO 27001資訊安全管理系統

ISO 27001簡介

ISO 27001是一套資訊安全管理系統標準（Information Security Management System），由國際標準化組織和國際電工委員會所設立。旨在使資訊安全得到良好的管理，並針對資訊安全管理提供了一套適宜的要求。

ISO 27001可帶來的效益
ISO 27001制度推行作業流程
ISO 27001: 2022版本重點
ISO 27001評估資訊資產的三要素

ISO 27001可帶來的效益

有效控管風險，降低不良結果，以減少組織開銷，提升顧客信任度。
導入PDCA循環，使業務流程更明確及穩定，以提升績效。
引發組織內變革與創新之思維。
強調高階管理者的參與，使組織內部建立共識，提升人員整體的積極度。
強調各流程的文件化，留存可追溯的證據，建置組織知識庫。
提升企業信譽。

ISO 27001制度推行作業流程

相關人員接受ISO 27001相關訓練
文件草案之擬定與檢討
文件定案與簽准
文件分發
全面執行
內部稽核執行
內部稽核缺失改正
召開管理審查會議
外部驗證單位之初評
初評缺失改正
外部驗證單位之正評
獲得推薦通過（若未通過，則限期改正後複查）
永續維持及持續改善

ISO 27001重點

ISO 27001是架構在「風險管理」之上的資訊安全管理制度，藉由導入建置ISO 27001企業組織可以選擇適當的風險控制措施，以降低或避免風險，進一步建立整體的安全機制。

ISO/IEC 27001:2022為了與其他 ISO 標準(例如：ISO 9001 : 2015、ISO 22301 : 2019)有更高的相容度，相較於2013年版，新增6項子章節條款分別是 6.3、9.2.1、9.2.2、9.3.1、9.3.2、9.3.3。

ISO 27001評估資訊資產的三要素

經由系統化的資訊安全管制措施，來降低資訊安全風險，達成下列三項目標：

資料的機密性 (Confidentiality)：確保只有被授權的用戶，可以依權限存取資料。
資料的完整性 (Integrity)：確保資料是完整的，沒有被竊取或不當修改。
資料的可取用性（Availability）：確保被授權的用戶，在需要資料時，能順利獲得資料。

不論規模大小、領域或所在之處為何，都適用ISO 27001，對於資訊保護相當重要的產業，例如金融、醫療、公共與IT領域，則格外適用。

資訊科技隨著電腦運用的普及與網際網路的蓬勃發展，各種資訊系統衍然而生，電腦網路成為多數人每日必須使用的工具，但也同時帶來相關的資訊安全問題。因此，確保資訊之機密性、完整性與可用性，便成為重要的課題。

企業或組織廣泛運用各種應用軟體執行內部工作的運作，資訊系統對企業或組織而言是一項重要的資產，資訊系統一但受損，復原所需的人力與時間是相當可觀。ISO 27001是一套完整的驗證標準，企業或組織可以依照自己的需求範圍建立管理制度。