如果你正在準備 ISO 27001 認證，先記住一句話：證書是終點，真正要建立的是能持續運作、查得出問題的資訊安全管理系統。企業不能只寫制度文件，還要界定驗證範圍、落實風險控制、保存執行紀錄，最後接受獨立第三方驗證。
這聽起來很像教科書。直到真實世界真的出事。
真實事故：離職員工的金鑰，竟然還能碰到 20 萬人的資料
2026 年 2 月，數位發展部數位產業署公布酷澎臺灣個資行政檢查結果：第三方鑑識顯示，有 204,552 名臺灣使用者資料遭未經授權存取。主管機關指出，攻擊涉及離職員工仍持有備援金鑰、金鑰未定期更換，且原先宣稱區隔的不同資料庫使用相同備援金鑰。
看到這裡，企業主最該問的不是「我們有沒有防火牆」，而是：
如果員工今天離職，除了刪掉後台帳號，我們還知道他握有哪些 API Key、備援金鑰、服務帳號、資料副本嗎？
這則案例說明的是管理控制與實際作業間的落差。它不代表 ISO 認證一定能防止事故，也不代表未取證就必然違法。但它具體指出，風險常藏在公司自以為有人管理、卻沒定期檢查的地方。
官方事故與檢查說明：數位發展部數位產業署（2026/2/26）。
ISO 27001 認證究竟在驗什麼？
ISO/IEC 27001:2022（含 2024 年氣候行動修正）是一套資訊安全管理系統（ISMS）要求。它關注組織如何管理資訊資產及風險，以維護資訊的機密性、完整性與可用性。
| 你以為的 ISO | 稽核實際要看什麼 |
|---|---|
| 有一份存取權限 SOP | 權限申請、核准、複核、停權是否有實際紀錄 |
| 買了備份軟體 | 是否定期備份、測試還原並追蹤失敗 |
| 有簽資安保密條款 | 人員是否受訓、離職後帳號和金鑰是否有效撤除 |
| 雲端供應商有認證 | 自家租戶設定、資料處理與委外監督是否有人負責 |
| 顧問把文件寫好 | 公司是否真正運作制度並持續改善 |
標準第 4～10 章涵蓋組織處境、領導、規劃、支援、運作、績效評估與改善。2022 版 Annex A 的 93 項控制措施是風險處理的參考集合，不是「全部買齊設備才能拿證」。是否適用及其理由，需要在適用性聲明（SoA）說清楚。
先搞清楚：你要拿的證書必須涵蓋什麼？
假設客戶要求的是「我們委託的 SaaS 平台開發與維運服務具有 ISO 27001 認證」，你卻去驗了總公司的行政辦公室。證書是真的，客戶也未必會接受。
認證範圍（Scope）至少要釐清：
- 哪個法人、服務與據點要納入？
- 哪些員工、系統和資訊資產支援該服務？
- 哪些工作委託第三方、責任如何分配？
- 客戶指定標準、認可條件、交付日期是否明確？
可以先閱讀 ISO 27001 認證範圍界定；範圍未定前，顧問報價和時程往往都只是在猜。
企業正式導入 ISO 27001 的六步驟
| 階段 | 真正要做的工作 | 應留存的成果 |
|---|---|---|
| 1. 確認目標與範圍 | 對齊客戶要求、組織和系統 | Scope 草案、責任分工 |
| 2. 現況與風險評鑑 | 盤點資產、威脅、弱點、既有措施 | 資產清冊、風險評鑑與處理計畫 |
| 3. 建置並運作管理制度 | 制定政策、選擇控制措施、執行作業 | SoA、SOP、實際執行紀錄 |
| 4. 內稽及管理審查 | 抽樣查核與管理層檢討 | 稽核發現、決議與改善追蹤 |
| 5. 正式 Stage 1／2 | 接受第三方驗證機構審查 | 審核報告、不符合事項與矯正 |
| 6. 取得及維持認證 | 遵照驗證方案持續運作 | 證書、監督稽核、持續改善 |
Stage 1 通常著重系統準備狀態；Stage 2 進一步查核制度是否有效實施。顧問協助導入，獨立驗證機構負責審核與發證。兩者不是同一個角色。
詳細的工作時程請參考 ISO 27001 認證要多久。
看到酷澎事故，現在最值得做的三項自查
這三件事可以今天就交辦，不必等顧問進場：
- 離職撤權：對照最近 90 天離職名單與管理者帳號、服務帳號、金鑰存取權；不要只查人資系統。
- 共用憑證：列出跨系統共用的 API Key、備援金鑰及存放位置，確認誰能輪替及停用。
- 證據留存：誰查過？何時查？異常怎麼處理？若只能回答「IT 應該有做」，就尚未形成可驗證的管理紀錄。
這不是認定你的公司違法，而是讓你知道 ISO 專案真正需要哪些管理工作。
準備認證的企業，下一步怎麼開始？
如果已收到客戶取證要求，先整理客戶條款、預定證書範圍、主要系統、取證期限和既有管理制度。我們能協助把這些資料轉成可執行的 ISO 導入及第三方驗證規劃；已有目標的企業可以直接開始，不必先購買獨立健診。
你需要的不是一包好看的 ISO 文件，而是被正式查核時，知道誰能回答、拿出哪些證據，以及接下來要改善什麼。