ISO 27001 認證費用不能只問「顧問報價多少」。完整支出至少包含制度導入、第三方驗證、內部工時、改善工程及後續監督維護；驗證範圍與現況不同，總價可能相差甚遠。
但還有一筆企業常常不想算的成本：出了事才發現管理制度根本沒落地。
真實事故：一封要求 48 小時修補的郵件，最後變成天價和解
2017 年，美國信用資料公司 Equifax 發生重大資料外洩，影響約 1.47 億名消費者。美國 FTC 在 2019 年公布的資料指出：內部已收到漏洞通報，也要求負責單位在 48 小時內修補，但未有效確認執行；弱點掃描配置也沒能找出遺漏的系統。
最後 Equifax 與 FTC、CFPB 及州政府達成至少 5.75 億美元、最高可能達 7 億美元的整體和解安排。這是美國事件和制度，不是臺灣 ISO 取證價格、也不是所有資料外洩的必然罰款。
真正值得企業思考的是：如果公司花錢買了制度，卻沒有驗證制度是否真的執行，那筆錢買到什麼？
來源：美國 FTC 2019 年 Equifax 和解及調查說明。
ISO 27001 認證到底有哪些成本？
| 項目 | 實際工作 | 報價時常漏看的問題 |
|---|---|---|
| 導入顧問 | 現況分析、風險評鑑、SoA、制度、內稽指導 | 是陪同執行，還是只交模板？ |
| 第三方驗證 | Stage 1、Stage 2、必要的後續審核 | 驗證機構是誰？費用是否另計？ |
| 企業內部工時 | 管理、IT、人資、營運、採購等跨部門配合 | 部門主管每週要投入多久？ |
| 安全改善 | 權限、備份、日誌、委外、技術與流程改善 | 系統改善是另案還是已包含？ |
| 取證後維護 | 監督稽核、制度更新、教育訓練、重新驗證 | 取得證書後一年還要多少資源？ |
花 20 萬拿到文件，不代表只要 20 萬就能符合標準。這句是預算判斷的假設示例，並非市場統一報價。
為什麼不同公司報價差很多？
因為「取得 ISO 27001」不是每家公司都做一模一樣的工程。
情境甲：一家原本就有完整權限管理、備份測試及供應商治理的公司，只要補足風險評鑑和稽核證據，工作量可能相對少。
情境乙：另一家公司範圍涵蓋多個據點、CRM、雲端、外包維運，過去未做權限盤點，甚至連離職帳號都無法查明，導入工作可能大很多。
這些是用來比較成本結構的假設情境，不是某兩家真實客戶的案例。顧問費、驗證機構人天、改善費都應分開估。
ISO 27001 報價單，至少要求對方寫清楚七件事
- 驗證範圍：法人、服務、據點和主要系統。
- 顧問交付成果：風險評鑑、SoA、政策及必要作業紀錄的協作範圍。
- 企業配合責任：哪些文件、操作和證據要由內部人員完成。
- 正式驗證機構：名稱、認可條件、估算審核人天與不包含項目。
- 改善是否另計：系統設定、人員訓練、設備採購及外包支出。
- 驗證前支援：內部稽核、管理審查、缺失改善是否涵蓋。
- 維護費用：監督稽核和後續制度維運如何估算。
如果兩份報價都寫「ISO 27001 全套服務」，卻只有一份真的含內部稽核實作與改善追蹤，那根本不是同一個商品，不能只比總價。
如何把缺口轉成真實預算？
先做一個四欄現況清單：
| 查核狀態 | 代表什麼 | 預算含義 |
|---|---|---|
| 已完成且有證據 | 制度已運作並可抽樣查證 | 主要成本是維持與複核 |
| 有制度、紀錄不足 | 需要建立執行及證據流程 | 人員工時和流程改善 |
| 控制措施缺失 | 需要補足人員、流程或技術控制 | 可能涉及設備、授權或外包 |
| 尚未查證 | 目前無法估算是否符合 | 應保留診斷與不確定性預算 |
對於「既有制度到底差多少」的問題，可以參考 ISO 導入前差距分析。
最後，怎麼判斷這筆錢值得花？
答案不是「不辦 ISO 會不會被罰」。正在取證的企業，更直接的衡量方式通常是：客戶是否要求、證書範圍能否滿足採購、期限是否可行、制度能否持續運作。
我們可以依你提供的客戶條款、驗證範圍和現有制度，協助評估 ISO 27001 的導入工作、第三方驗證與實際成本。若另有品牌端個資風險盤點需求，也能討論明確範圍的獨立健診；不必買健診才能談 ISO 認證。