ISO 27001 是什麼？ISMS 驗證流程、費用結構與導入時程一次看懂【2026】
ISO/IEC 27001 是資訊安全管理系統（ISMS，Information Security Management System）的國際標準，規範企業如何以系統化的方式管理資訊安全風險，並且可以通過第三方驗證取得證書。它管的是制度而非單一技術：企業要盤點自己有哪些資訊資產、面對哪些風險、決定採用哪些控制措施、並持續檢討改善。這篇指南說明 ISO 27001 與 ISMS 的關係、2022 版 Annex A 的 93 項控制與適用性聲明、導入到取證的時程與必備文件、費用由哪四塊組成，以及哪些企業會被要求導入。
ISO 27001 是什麼？和 ISMS 有什麼關係
ISO/IEC 27001 是規範資訊安全管理系統（ISMS）的國際標準，ISMS 則是企業實際建立起來的那套管理制度。標準如同規格書，ISMS 是依規格書建置的管理系統，證書則是第三方確認這套系統符合規格的證明。
ISMS 保護的目標是 CIA 三要素：機密性、完整性、可用性。標準要求企業針對這三者，用風險導向的方式決定該做哪些控制，標準要求企業針對這三者，用風險導向的方式決定該做哪些控制，運作採 PDCA 循環持續改善：
階段 | 在做什麼 | 對應標準條款的重點 |
Plan 規劃 | 界定範圍、盤點資產、評估風險、選定控制措施、訂定目標 | 組織背景、領導承諾、風險評鑑與處理 |
Do 執行 | 部署控制措施、教育訓練、產生營運紀錄 | 資源、能力、認知、溝通、文件化資訊 |
Check 查核 | 監督量測、內部稽核、管理審查 | 績效評估 |
Act 行動 | 矯正不符合事項、持續改善 | 改善 |
PDCA 這個結構有一個實務意涵：ISO 27001 是持續運作的循環，不是一次性專案。 這正是企業最常誤解的地方。
為什麼要導入 ISO 27001？效益與價值
了解 ISO 27001 是什麼之後，接下來要問的是為什麼企業願意花時間導入它。導入 ISO 27001 的價值分兩層：對外是可出示的信任證明，對內則是把零散的資安工作變成有制度、有紀錄、可被檢視的運作。
需要誠實說明的是證書不等於安全。證書證明企業在驗證當下建立了管理系統並留有紀錄，不證明企業擋得住攻擊。碩益資安團隊主管在輔導現場最常遇到的迷思正是這一項：「拿到證書只是這個管理系統的開始而已。你發生了一些資安事件，並不會因為這張證書而避免，最重要的還是在於你有沒有做到，以及你的防禦能力、資安韌性治理。」
證書維持的關鍵在於日常紀錄完整、控制措施持續有效。落差發生在管理系統掛在那裡但沒有執行時：制度文件完整，管控措施卻沒進入日常運作，實際防禦能力並未提升。
ISO 27001:2022 版重點與 Annex A
2022 版把 Annex A 的控制措施從 2013 版的 114 項整併為 93 項，並從 14 個領域重組為四大主題，同時新增 11 項因應雲端、威脅情資與資料外洩防護的控制。
主題 | 控制項數 | 涵蓋內容 |
組織 Organizational | 37 | 政策、角色權責、資產管理、供應商關係、雲端服務使用、事件管理、營運持續 |
人員 People | 8 | 任用前後、認知教育訓練、懲處程序、離職與異動、遠距工作 |
實體 Physical | 14 | 實體區域、門禁、設備安全、清桌淨螢、儲存媒體 |
技術 Technological | 34 | 存取控制、加密、備份、記錄與監控、網路安全、安全開發、組態管理 |
2022 版新增的控制反映近年實務變化，包含威脅情資、雲端服務資訊安全、營運持續的資通訊整備、實體安全監控、組態管理、資訊刪除、資料遮罩、資料外洩防護、活動監控、網頁過濾與安全編碼。
版本提醒：2013 版轉版期已於 2025 年 10 月 31 日屆滿，目前導入一律以 2022 版為準；持有 2013 版證書且未完成轉版者，該證書已失效。
適用性聲明（SoA）是什麼
適用性聲明（Statement of Applicability）是 ISO 27001 最關鍵的文件，逐項列出 Annex A 的 93 項控制，說明每項是否適用、理由與實施狀態。
它是驗證機構的檢查主軸。標準不要求實施全部 93 項，而是要求依風險評估結果決定並說明理由：排除一項控制是可以的，但理由要對得上風險評估的結論。 實務上最常被挑出不符合的，是 SoA 上寫了實施中、現場卻找不到對應紀錄的項目。
要避免這種落差，可以讓技術服務在日常運作中直接產生稽核證據。以碩益的服務對應為例：A.8.8 技術脆弱性之管理，以弱點掃描、滲透測試與複測留下弱點清單、修補與複測紀錄；A.6.3 資訊安全認知及教育訓練，以社交工程演練與資安教育訓練留下訓練紀錄與成效評估；A.8.7 防範惡意軟體與 A.8.16 監視活動，以 EDR 導入與 MDR 監控留下端點防護、監控與告警處理紀錄；A.5.24–5.28 資訊安全事故管理，以 MDR 事件應變與 MSSP 留下通報、應變與證據保存紀錄；A.5.30 營運持續之 ICT 備妥性，以營運持續演練輔導留下演練計畫、紀錄與檢討；A.8.28 安全程式設計與 A.8.29 安全測試，以源碼檢測留下程式碼檢測與修正紀錄；A.5.7 威脅情資，以 MSSP 威脅情資通報留下情資蒐集、分析與應用紀錄。
ISO 27001 導入到取證要多久？流程、階段與必備文件
從零開始導入到取得證書，一般企業約需六到十二個月，實際時程取決於範圍大小、現有基礎與內部投入的人力。
階段 | 主要工作 | 概略時程 |
一、現況盤點與範圍界定 | 界定驗證範圍、盤點資訊資產、現況落差分析、技術檢測 | 1 到 2 個月 |
二、風險評鑑與制度設計 | 風險評鑑方法與準則、風險處理計畫、撰寫 SoA、制定政策與程序 | 2 到 3 個月 |
三、導入與運作 | 部署控制措施、教育訓練、開始累積營運紀錄 | 2 到 3 個月 |
四、內部稽核與管理審查 | 內部稽核、矯正不符合事項、管理審查會議 | 1 個月 |
五、第三方驗證 | 第一階段文件審查、第二階段現場稽核、矯正 | 1 到 2 個月 （通過後約 4–6 週發證） |
第三階段的長度不能被壓縮。 驗證機構在第二階段稽核要看的是實際運作的證據，例如存取權限覆核紀錄、教育訓練簽到、事件處理單、備份還原測試紀錄。這些需要時間自然累積，制度剛上路就送驗證，現場會拿不出可供佐證的執行紀錄。
碩益把導入拆成六個階段，每一步都可搭配檢測支援：STEP 01 現況診斷與差異分析，以資安健診（網路架構、網路惡意活動、使用者端電腦與伺服器主機惡意活動、目錄伺服器與防火牆連線設定檢視）補足訪談看不到的風險，產出差異分析報告與技術現況基準線；STEP 02 風險評鑑與管理，以弱點掃描與滲透測試作為弱點鑑別的依據；STEP 03 建立資安管理系統，完成制度文件與 SoA；STEP 04 落實管理制度，以 EDR/MDR 與社交工程演練讓控制措施落地；STEP 05 內部稽核與管理審查，彙整稽核證據；STEP 06 第三方驗證，全程陪同取得證書。取證後再由 MSSP 資安託管接手持續營運與年度監督稽核。驗證階段的經驗值是：第一階段文件審查與第二階段實地稽核間隔約 1 到 2 個月，通過後約 4–6 週發證，並可選擇加發 CNS 27001 中文證書。
必備文件清單
驗證時會被要求提出的文件分兩類。制度文件（規定怎麼做）：資訊安全政策與目標、ISMS 範圍說明、風險評鑑與處理的方法與準則、適用性聲明 SoA、各控制措施的程序書與作業辦法。營運紀錄（證明真的有做）：風險評鑑結果與處理計畫、人員能力與教育訓練紀錄、監督量測結果、內部稽核方案與報告、管理審查會議紀錄、不符合事項與矯正措施紀錄。
碩益建立制度時採四階文件架構：第一階資安政策、第二階管理程序書、第三階工作指導書、第四階表單與紀錄；內容同時參照 ISO/IEC 27001:2022、資通安全管理法、個資法及施行細則、上市櫃公司資安管控指引等外部要求，以及企業的風險評鑑結果、現行作業流程與資安健診和檢測發現，量身打造而不套公版。主要產出包含資訊安全目標、風險評鑑報告、風險處理計畫、適用性聲明書（SoA）、績效量測指標與增修的文件表單。
碩益在輔導時會協助企業把這些紀錄拆成每日、每月、每季的工作清單，讓紀錄隨作業自然產生，解決「只在查核前三個月集中補資料」這個最常見的失敗模式。取證後若由 MSSP 資安託管持續運作，日常監控、弱點管理與月報／季報即會留存紀錄並作為管理審查輸入，年度監督稽核不必臨時補資料。
ISO 27001 費用怎麼算？費用結構與影響變數
ISO 27001 的總費用由四塊組成，其中最容易被低估的是第四塊，也就是企業自己的內部工時。
費用項目 | 內容 | 說明 |
一、顧問輔導費 | 落差分析、風險評鑑、制度撰寫、內稽輔導、驗證陪同 | 依範圍與企業基礎浮動最大的一項 |
二、驗證機構費用 | 第一與第二階段稽核、發證、後續每年監督稽核、三年換證 | 由驗證機構依人天計價，與顧問費分開 |
三、教育訓練費 | 全員資安認知訓練、內部稽核員訓練、必要時的專業證照訓練 | 內稽員須具備稽核能力，實務上多以受訓取得資格證明 |
四、企業內部工時 | 各部門配合盤點、撰寫、受訓、受稽核的時間 | 不會出現在報價單上，但實際佔比最高 |
影響費用的四個變數：
範圍大小：驗證範圍涵蓋幾個據點、幾個部門、幾套系統，直接決定稽核人天
人員規模：驗證機構的稽核人天依 ISO 27006 的人數級距計算
現有基礎：已有資安制度、已導過其他管理系統（如 ISO 9001）的企業，增量成本明顯較低
產業與客戶要求：金融、半導體、公部門供應鏈常有額外要求，會拉高範圍與深度
碩益不對外標示固定價格，因為這四個變數的組合差異太大，同樣「導一張 ISO 27001」在不同企業可能是數倍的差距。合理作法是先做範圍界定，再依實際範圍報價；收到未經盤點就給出的統一價格時，值得先確認它涵蓋哪一段。
兩點提醒：顧問輔導與第三方驗證必須分開，同一家機構不得既輔導又發證；費用之外還有時間成本，取證後每年有監督稽核、每三年換證，制度維護是持續性支出。想知道貴公司的 ISO 27001 費用實際會落在哪個區間，歡迎聯繫碩益資安團隊，先做免費的範圍界定。
為了讓範圍與預算更容易對焦，碩益的合作方案可依需求彈性組合：方案 A「合規啟航」以取得證書為目標，涵蓋 ISMS 六階段導入輔導、風險評鑑與制度文件建置、營運持續管理輔導、內部稽核與管理審查、第三方驗證陪同；方案 B「合規＋實測」在方案 A 之外加上資安健診、弱點掃描、滲透測試與複測、社交工程演練，並可選配源碼檢測；方案 C「全方位守護」再加上 EDR 導入與 MDR 維運、MSSP 資安託管、威脅情資與定期報告，以及年度監督稽核與轉版陪伴。實際內容與時程依組織規模、驗證範圍與既有資安建設調整，流程是先安排現況訪談，再確認範圍、里程碑與目標日期，最後提出客製化建議書。
哪些企業需要 ISO 27001？
看完 ISO 27001 費用怎麼算之後，接下來實際的問題是：哪些企業真的會被要求導入。需求最明確的是五類企業，其中四類的驅動力來自外部要求而非自願。
有上市櫃規劃或已上市櫃的企業。 主管機關對內部控制與資通安全的要求，讓資安制度成為掛牌準備的一部分。
資通安全管理法的適用機關。 公務機關與經指定的關鍵基礎設施提供者、特定非公務機關，依責任等級可能被要求通過管理系統驗證。一般民營企業非法定適用對象，但承接公部門標案時常被要求比照。
被上游客戶要求的供應商。 台灣製造業最常見的觸發點。國際品牌客戶把資安要求寫進供應鏈合約，供應商必須在指定期限內完成；半導體產業另有針對設備的產業資安標準（SEMI E187）。
處理大量個資或敏感資料的企業。 電商、零售、醫療、金融周邊服務等，資料外洩的法律與商譽代價高。
把資安當成商業條件的企業。 提供雲端服務、系統代管或資料處理服務的業者，客戶盡職調查時幾乎必問。
碩益承接的案子涵蓋多種觸發原因，包括因國際品牌客戶的供應鏈資安要求而啟動導入的運動鞋代工廠，以及經轉介接手後續合規維護的大型購物中心（案例均已去識別化）。
碩益如何協助導入 ISO 27001
碩益提供的是顧問輔導，不是驗證發證。服務範圍從差異分析、風險評鑑、制度建立，一直到取證後的長期維護。碩益另可整合資安檢測、EDR/MDR 端點防護與 MSSP 資安託管，由資安專案經理擔任單一窗口全程統籌，形成「一個窗口、一份藍圖、一套稽核證據」的一站式服務。
服務項目 | 碩益提供的協助 |
差異分析 | 對照 2022 版要求盤點現況，指出需要補的項目與優先順序；可整合資安健診建立技術現況基準線 |
制度建立 | 風險評鑑方法（盤點硬體、軟體、資訊、服務、人員五大類資產，以 CIA 評價資產價值，依 ISO 31000 分析可能性與衝擊）、風險處理計畫、SoA、政策與程序文件 |
營運持續管理 | 營運衝擊分析（BIA）鑑別關鍵業務並訂定最大可容忍中斷時間（MTPD）、復原時間目標（RTO）、復原點目標（RPO），建立營運持續計畫（BCP），執行年度演練並檢討更新 |
檢測支援 | 可整合弱點掃描、滲透測試、社交工程演練、資安健診、源碼檢測，作為風險評鑑的實測依據；檢測報告即為 A.8.8 技術脆弱性之管理的稽核證據，並以複測驗證風險處理成效 |
教育訓練 | 全員資安認知訓練、內部稽核員培訓；並可整合社交工程演練驗證訓練成效 |
內稽與驗證陪同 | 內部稽核執行、不符合事項矯正、驗證現場陪同；管理審查以檢測與監控報告為輸入，教育訓練、內稽、驗證等關鍵階段顧問全程出席 |
端點防護 | 可整合 EDR 導入規劃與部署、MDR 偵測與回應、威脅獵捕、資安事件應變，監控與應變紀錄可作為 A.8.7、A.8.16、A.5.24–5.28 的稽核證據 |
取證後維護 | 可整合 MSSP 資安託管（持續監控與告警處理、定期弱點管理追蹤、資安設備維運、威脅情資通報、月報／季報），執行制度與紀錄的持續維護、年度監督稽核準備與標準轉版陪伴。 |
碩益的作法有三個特點。
第一是不勸進。 當企業環境距離驗證要求太遠，團隊會直接說明現況並建議先整理環境，而不是先接案再想辦法。「有些驗證範圍是沒辦法通過的，我們就會很直接地跟他講，請他們把環境弄好之後再來，會比較順利。」
第二是讓檢測結果成為稽核證據。 整合技術檢測結果，直接作為風險評鑑的輸入，企業在驗證時有檢測結果可佐證，而不是只有一份依經驗撰寫的風險清單。風險值因此不再只以訪談與問卷推估，每一項弱點都有檢測紀錄與嚴重等級，風險處理計畫可直接對應修補項目，並以複測驗證處理成效。
第三是不照單全收客戶的提議。 客戶反映某項要求執行困難而提出替代作法時，碩益會先評估它能否真正解決問題，再給出可執行且仍有效果的版本。實際例子：某客戶的營運持續演練時間超出營運衝擊分析設定的復原時間目標，碩益建議把演練情境拆開分次進行，並指出部分情境不必每年重做，客戶採用後認為對實際運作有幫助。
執行上，碩益以專屬團隊分工、單一窗口承接：
資安專案經理：從專案啟動、輔導、檢測、驗證到後續維運全程統籌
資安輔導顧問：定期輔導、紀錄檢視與控制措施諮詢
解決方案顧問：依需求提出合適的技術方案
資安檢測團隊：執行弱掃、滲透、健診、社交工程與源碼檢測
資安維運團隊：負責 EDR/MDR 監控應變與 MSSP 託管
輔導方式為定期到場輔導、遠端諮詢與文件紀錄檢視並行。
碩益成立於 2002 年，為 SAP Platinum Partner，並於 2023 年取得 ISO 27001 資訊安全管理認證，輔導客戶的方法是團隊自己走過一次的流程。
常見問題 FAQ
1. ISO 27001 的最新版本是什麼？
目前有效版本是 ISO/IEC 27001:2022。Annex A 控制措施由 2013 版的 114 項整併為 93 項，從 14 個領域重組為組織、人員、實體、技術四大主題，並新增 11 項因應雲端服務、威脅情資與資料外洩防護的控制。2013 版轉版期已於 2025 年 10 月 31 日屆滿，目前導入一律以 2022 版為準。
2. ISO 27001 導入要多久？
從零開始一般約需六到十二個月：現況盤點與範圍界定 1 到 2 個月、風險評鑑與制度設計 2 到 3 個月、導入與運作 2 到 3 個月、內部稽核與管理審查 1 個月、第三方驗證 1 到 2 個月。導入與運作階段不能壓縮，因為驗證機構要看的是實際運作的證據，紀錄需要時間自然累積。
3. ISO 27001 證書的效期是多久？
證書效期三年，期間每年須接受驗證機構的監督稽核，三年期滿需再驗證換證。維持的關鍵在於日常紀錄完整、控制措施持續有效。需提醒的是證書效期與實際防禦能力是兩件獨立的事，證書有效不代表防禦到位。
4. ISO 27001 要準備哪些文件？
分兩類。制度文件：資訊安全政策與目標、ISMS 範圍說明、風險評鑑與處理的方法與準則、適用性聲明（SoA）、各控制措施的程序書。營運紀錄：風險評鑑結果、教育訓練紀錄、監督量測結果、內部稽核報告、管理審查紀錄、不符合事項與矯正措施紀錄。其中 SoA 最關鍵，逐項說明 93 項控制是否適用、理由與實施狀態，是驗證機構的檢查主軸。
5. 哪些企業被要求導入 ISO 27001？
五類最常見：有上市櫃規劃或已上市櫃的企業、資通安全管理法的適用機關（公務機關與經指定者，依責任等級）、被上游客戶要求的供應商（國際品牌把資安寫進供應鏈合約，台灣製造業最常見的觸發點）、處理大量個資或敏感資料的企業、以及提供雲端或代管服務而需通過客戶盡職調查的業者。
6. ISO 27001 和 ISO 27701 差在哪？
ISO 27001 管資訊安全，保護資料的機密性、完整性與可用性；ISO 27701 是隱私資訊管理系統（PIMS）標準，管個人資料的處理與隱私保護。ISO/IEC 27701 在 2025 年改版後，已成為可獨立驗證的標準，不再以 ISO 27001 為前提，但仍可與 ISO 27001 整合導入。已有 27001 管理系統、又需處理大量個資的企業，常會視法遵需求再整合 27701。
7. 導入 ISO 27001 一定要做弱點掃描或滲透測試嗎？
不一定。標準沒有指定必須使用哪一種檢測，但 Annex A 8.8 技術脆弱性之管理要求企業掌握並處理技術弱點，驗證時通常會查核弱點掃描、修補與複測等紀錄；風險評鑑若只靠訪談與問卷推估，也較難說明風險值的依據。實務上建議在差異分析階段先做資安健診建立基準線，風險評鑑階段以弱點掃描與滲透測試鑑別弱點，修補後再複測確認成效；自行開發的核心系統可再加做源碼檢測，對應 A.8.28 與 A.8.29。
關於作者
本文由碩益科技（SOETEK）資安團隊撰寫，並經資安團隊主管審閱。碩益成立於 2002 年，為 SAP Platinum Partner，並於 2023 年取得 ISO 27001 資訊安全管理認證。碩益為顧問輔導單位，非驗證機構，不提供發證服務，亦不對取證結果作出保證。資安服務涵蓋治理合規、資安檢測、EDR/MDR 端點防護與 MSSP 資安託管，提供一站式服務。標準版本與法規要求請以各標準組織及主管機關最新公告為準，案例均經去識別化，時程與費用依企業規模與驗證範圍而異
