顧問把 93 項控制措施填得滿滿，稽核一問離職帳號停權紀錄，現場卻找不到。表格的完整度和真正的管理能力，不一定是一回事。
ISO 27001:2022 附錄 A 的目的，不是叫每家公司把 93 項全部照單全收，而是讓組織評估風險處理時，有一組重要控制措施可供核對。 是否適用、是否需要其他控制、為什麼排除，都需要有合理依據。
93 項控制措施分成哪四大類？
ISO/IEC 27002:2022 的官方介紹將控制措施分為四大主題：
| 類別 | 控制數量 | 企業可以先檢查什麼 |
|---|---|---|
| 組織控制（Organizational） | 37 | 政策、職責、資產、供應商、事件流程 |
| 人員控制（People） | 8 | 任用、保密、教育訓練、離職責任 |
| 實體控制（Physical） | 14 | 場所進出、設備保護、實體環境 |
| 技術控制（Technological） | 34 | 身分與權限、日誌、備份、弱點與系統控制 |
這個數量有助於理解結構，不是以每項打勾計算驗證分數；詳細控制要求應依合法取得的正式標準、組織範圍和風險評鑑判讀。
同一項控制，文件與執行是兩個層次
例如你規定「離職人員應立即停權」，但實際稽核可能抽到：
- 人資記錄離職時間：10 月 1 日 18:00。
- 管理者帳號停用時間：10 月 4 日 09:00。
- 停權程序規定：離職當日完成。
- 系統缺少補簽或異常通報紀錄。
結論不是「這家公司從來沒有停權制度」，而是制度存在，但樣本顯示執行落差，需要釐清原因與改善證據。這種寫法才能讓稽核報告被信任，也方便安排後續修正。
電商品牌最容易忽略的控制邊界
| 控制議題 | 由平台主要負責的部分（依約而定） | 品牌仍應自行確認的部分 |
|---|---|---|
| 伺服器與資料庫 | 主機防護、底層維運 | 合約、平台安全證據、服務範圍 |
| 使用者帳號 | 系統提供角色與停權功能 | 帳號審批、最小權限、離職回收 |
| 會員資料匯出 | 平台提供匯出功能及可得日誌 | 哪些人能匯出、用途和交付紀錄 |
| 委外廠商 | 平台可能提供子處理者資訊 | 品牌自行委託的物流、行銷與客服工具 |
這不是固定的法律責任分配表。真實分工要看合約、處理活動及技術設計。
從這五欄開始建立控制清單
| 控制／風險 | 適用理由 | 控制負責人 | 查核證據 | 狀態 |
|---|---|---|---|---|
| 權限複查 | 管理員可接觸客戶資料 | IT／主管 | 帳號清單＋簽核 | 證據不足 |
| 委外存取 | 物流與 CRM 需處理部分資料 | 業務／法遵 | DPA、合約附件 | 待補強 |
| 事件通報 | 可能發生個資外洩 | 資安窗口 | 通報流程＋演練紀錄 | 已查核 |
表格不是官方 93 項控制措施全文，也不應偽裝成已具備驗證資格的完整套件。它適合作為企業啟動風險與證據盤點的第一步。
附錄 A 的正確下一步
先做風險評鑑，再整理適用性聲明（SoA），確認每項控制的適用理由、實際執行狀態和可驗證資料。「不適用」是判斷結果，不是跳過工作的藉口。
來源：ISO 27001、ISO 官方技術文章：27002:2022 控制措施。
同主題延伸閱讀：ISO 27001 必備文件有哪些？制度、紀錄與證據不要混為一談、ISO 27001:2022 與 2013 版差異：2024 修正案又是什麼？。