ISO 27001 是什麼
ISO/IEC 27001 是資訊安全管理系統（ISMS）的國際標準，規定組織如何建立、實施、維護與持續改善資訊安全管理。現行版本為 2022 年版，附錄 A 列出 93 項控制措施，分為組織、人員、實體與技術四大類。2013 年版證書的轉換期已於 2025 年 10 月 31 日結束。
ISO 27001 導入的 8 個階段
- 取得管理階層承諾：確認導入目的、預算、負責人與時程，並由高層核定資訊安全政策方向。
- 界定 ISMS 範圍：決定涵蓋哪些部門、地點、系統與服務，並考量內外部議題與利害關係人要求。
- 資產盤點與風險評鑑：盤點資訊資產，依既定方法評估威脅、脆弱性、可能性與衝擊。
- 風險處理與 SoA：決定每項風險的處理方式，並產出適用性聲明（SoA），逐項說明附錄 A 控制措施是否適用與理由。
- 建立文件：撰寫資訊安全政策、程序、作業說明與表單，常見做法是整理成四階文件。
- 實施與教育訓練：落實控制措施，並讓相關人員了解自己的資安責任。
- 內部稽核與管理審查：由具獨立性的人員進行內部稽核，再由管理階層審查 ISMS 的績效與改善事項。
- 驗證稽核：驗證機構先做第一階段（文件與準備度審查），再做第二階段（實際運作稽核），通過後發證。
最常卡關的 4 個地方
- 範圍太大：一開始就涵蓋全公司，風險評鑑與文件量暴增。
- 風險評鑑流於形式：只填表格，沒有連結到實際的控制措施。
- 文件與實際作業脫節：程序寫得完整，但現場沒有照做，稽核時找不到紀錄。
- 證據臨時補：平時沒有保存紀錄，稽核前才集中整理，耗時也容易出錯。
導入需要多久
時程依組織規模、範圍大小與既有基礎差異很大。已有制度或其他管理系統（例如 ISO 9001）的組織，可以沿用既有的文件與稽核機制。較好的估算方式，是在範圍界定後做一次差距分析，再依缺口排定時程。
NOVARK 星程方舟如何協助
NOVARK 星程方舟 ISO 制度與稽核管理以五階段 Agent 協助企業建立或匯入制度，完成 ISMS 範圍、風險評鑑、SoA 與四階文件對照；稽核助理提供模擬問答、文件引用、證據盤點、改善追蹤與稽核包產生，並可延伸至合規監控與 AI 智慧治理。已有 ISO 基礎的企業，可以從既有制度匯入或稽核準備切入。
NOVARK 星程方舟 ISO 制度與稽核管理常見問題
ISO 27001 和 ISO 27002 有什麼不同？
ISO 27001 是可以取得驗證的管理系統要求；ISO 27002 是控制措施的實作指引，說明每一項控制措施可以怎麼落實，本身不用於驗證。
什麼是適用性聲明（SoA）？
SoA 是 ISO 27001 要求的文件，列出附錄 A 每一項控制措施是否適用、適用或排除的理由，以及實施狀態，是驗證稽核的重點文件之一。
四階文件是什麼？
常見的文件架構分為四階：一階是政策與手冊，二階是程序書，三階是作業說明或標準，四階是表單與紀錄。四階紀錄就是稽核時的主要證據。
本文為一般性說明，實際做法請依企業規模、產業法規與資料狀況調整。NOVARK 星程方舟是 SYSTEX.AI（精誠集團人工智慧新品牌）推出的企業 AI Agent 平台，由精誠資訊股份有限公司營運。