看到「ISO 27001 2022」「2024 Amendment」和「2026 PDF」時，先不要把年份當成三套不同的最新制度。
截至 2026 年 10 月，ISO 官方頁面列示 ISO/IEC 27001:2022 為現行主標準，並有 ISO/IEC 27001:2022/Amd 1:2024 氣候行動修正案。 2024 修正案不是整套標準在 2024 年被重新命名為 27001:2024。
三個日期應該怎麼讀？
| 版本／文件 | 主要意義 | 企業應注意 |
|---|---|---|
| ISO/IEC 27001:2013 | 舊版 ISMS 要求 | 不應單憑網路舊範本推定仍適用 |
| ISO/IEC 27001:2022 | 現行 ISMS 主標準 | 確認條款、範圍與控制措施對照 |
| ISO/IEC 27001:2022/Amd 1:2024 | 針對 2022 主標準的氣候行動修正 | 應讀主標準及適用修正，不要誤用版本 |
2022 年版最常被提到的變動
與 ISO/IEC 27002:2022 配合，資訊安全控制措施整理為 93 項、四大主題。舊清單與新清單並非逐項一對一；有些控制被合併、重整或新增，也有屬性標籤方便分類。
如果企業拿著舊的 114 項控制清單，只做欄位重新編號，可能漏掉實際控制設計與運作證據的更新。
一次有意義的版本盤點
- 查核正在採用的正式標準版本和組織範圍。
- 比對原有風險評鑑、控制措施與 SoA。
- 確認資料流、外包平台、AI 工具及重要系統是否新增。
- 將新舊控制對照成具責任人的改善工作，而不是只有編號映射。
- 重新確認內部稽核、管理審查和培訓是否反映實際變動。
客戶只要求「ISO 27001」怎麼處理？
不要自行認定對方接受任何版本。請採購或合約窗口明確確認標準版本、發證機構條件及有效期間，必要時向驗證機構核實轉版或認證狀態。
最重要的不是證書封面換了年份，而是你的管理系統有沒有跟著業務和風險改變。
舊版文件轉新版，不要只靠編號對照
稽核文件庫如果同時留下「2013 版控制 A.9」和新版的存取管控措施，先建立一張舊文件／新控制／實際責任人的對照表，再確認目前程序適用哪個系統。對照清單至少註明：舊文件版本、現在有效的標準版本、是否仍適用、差異原因、更新負責人及最近一次執行證據。
例如「離職停權程序」在舊版已有描述，但公司近一年新增 CRM 和雲端客服工具。即使控制原則沒有變，原來只涵蓋購物車帳號的執行紀錄，也不足以說明新系統已被納管。版本升級的核心是範圍與控制有效性，而非換一本 PDF。
官方來源：ISO 27001:2022、2024 修正案、ISO 27002 控制措施調整。
同主題延伸閱讀：iso 27001 annex a controls、iso 27001 vs 27002。