供應商交來一張漂亮的 ISO 證書，直到客戶核對才發現證書不屬於實際簽約的公司。驗證成本低，採購錯誤的代價可不只一張紙。
採購單位拿到供應商的 ISO 27001 證書，第一個問題不是 Logo 看起來正不正式，而是這張證書到底證明哪個組織、哪個範圍、在什麼期間接受了驗證。
至少查這六項
| 欄位 | 要確認什麼 | 容易誤判的情形 |
|---|---|---|
| 持證組織名稱 | 是否與簽約主體或實際服務單位一致 | 母公司證書直接套到子公司 |
| 驗證範圍（Scope） | 有無涵蓋你購買的服務、據點與業務 | 雲端業務不在證書範圍內 |
| 標準與版本 | ISO/IEC 27001 的適用版本 | 舊版文件當現行有效文件使用 |
| 證書有效期間 | 發證日、到期日及當前有效狀態 | 過期證書仍放在官網 |
| 發證機構 | 名稱與查證窗口 | 只有裝飾性圖樣而無可核對資訊 |
| 認可資訊 | 認可機構及其範圍是否能核實 | 誤將未查證 Logo 視為充分證據 |
哪裡可以查？
先向證書所列的第三方驗證機構查證；對有對應紀錄的機構與證書，可參考 IAF CertSearch 等系統。沒有查到資料不等於立刻證明證書是假，因為資料可得性、同步與機構參與狀態會影響查詢結果。應再向發證機構或供應商確認。
電商委外案例
你向一間購物車廠商採購 SaaS 服務，對方提供一張有效的 ISO 27001 證書。下一步仍要核對：
- 範圍是不是平台雲端服務，而不是總公司辦公室？
- 你的會員資料會不會流向未列入證書範圍的外部處理者？
- 品牌自己管理的匯出、員工帳號、CRM 串接是否不在平台驗證範圍？
- 若服務重大變更，廠商是否能提供變更後的管理與通知方式？
證書提供的是特定範圍、特定時間的管理系統驗證資訊，並不是「任何資料都絕對不會外洩」的保證。
對採購最有用的做法
建立一份供應商證書紀錄表：廠商、證書編號、版本、驗證範圍、到期日、最後核對時間與來源。指定負責人定期追蹤；高風險供應商另外檢查資料流、存取權限和事故通知合約。
一封能直接用的供應商查驗信
請對方提供「證書編號、驗證標準版本、持證組織名稱、有效期間、Scope 全文、發證機構、可查驗管道」，並明確詢問：我們採購的產品／服務名稱及資料處理據點是否落在範圍內？若證書涵蓋母公司但非簽約主體，請說明關聯及驗證範圍。
拿到證書後，採購單位不必自行扮演稽核機構；可以先核對公開資料，再就不一致之處向發證機構確認。核對不到和查到無效不是同一回事。 查驗未完成時記錄狀態，不要擅自宣稱對方證書造假。
對高風險 SaaS，還可要求提供最近一次重大變更通知、事件通報方式、資料保存與刪除政策，因為一張範圍正確的證書仍不能取代契約和實際委外監督。
來源：ISO/IEC 27001、IAF CertSearch。
三個容易誤判的證書案例
案例 A：證書還沒過期，卻不能證明你買的服務。 例如 SaaS 廠商的驗證範圍是某一資料中心維運，不當然等於你正在租用的完整電商產品及所有委外串接均已涵蓋。要查的是 scope（驗證範圍），不只是有效日期。
案例 B：公司改名或被收購。 證書顯示 A 公司，契約由 B 公司簽。兩者可能有合法關係，但不能直接以品牌名稱相似便視為同一受驗證主體；請廠商提供可核對的關係文件與驗證機構確認。
案例 C：查不到資料庫紀錄。 IAF CertSearch 等查證工具可以提供線索，但資料庫尚未收錄或資訊更新有時間差時，不宜逕自認定證書是假。可以向發證機構確認登錄、有效性及範圍；同時避免把掃描圖上的商標視為法律保證。
這些做法是採購風險評估的一環，不構成任何特定廠商真偽的判斷。ISO 官方驗證說明、ISO Survey／IAF CertSearch。
同主題延伸閱讀：客戶要求 ISO 27001 證書怎麼辦？供應商資安審查與取證準備、ISO 27001 認證範圍怎麼決定？部門、系統、據點與委外納管指南。