ISO 27001 Gap Analysis（差距分析），就是在正式導入前，把標準要求、公司既有制度和實際執行證據逐項對照，確認哪裡符合、哪裡不符合、哪裡根本無法查證，再決定改善工作、優先順序及成本。
真正有價值的差距分析，不是填滿一張有 93 個核取方塊的表格，而是讓老闆知道：公司以為有人負責的事情，到底有沒有人真的做。
真實事故：臺灣和韓國資料庫有區隔，備援金鑰卻共用
2026 年 2 月，數位產業署檢查酷澎臺灣個資管理情形後，公布令人警醒的發現：雖然臺韓使用者資料庫有區隔，不同資料庫卻使用同一備援金鑰；又因離職員工權限及金鑰更換管理不足，攻擊者仍能使用原持有的金鑰進行存取。
依官方當時說明，鑑識報告顯示涉及 204,552 名臺灣使用者個資被未經授權接觸，內容包含姓名、電子郵件、電話、地址與部分訂單紀錄。主管機關當時表示後續將依法定程序處理裁處；本文不把「將裁處」寫成已確定某個裁罰金額。
來源：數位發展部數位產業署 2026/2/26 官方調查說明。
這個事故最值得問的不是「有沒有分開資料庫」，而是「兩套系統間還共享了什麼權限或憑證？」這就是 Gap Analysis 必須進入實際操作層面的原因。
ISO 27001 Gap Analysis 應該檢查什麼？
| 查核面向 | 不能只問「有沒有」 | 應拿什麼驗證 |
|---|---|---|
| 權限與離職管理 | 是否有停權 SOP | 抽樣離職名單、帳號停用、金鑰撤銷紀錄 |
| 風險評鑑 | 是否有風險表 | 評估準則、風險負責人、處理結果及更新 |
| 備份與復原 | 是否買了備份方案 | 定期備份結果、復原測試及失敗追蹤 |
| 供應商管理 | 是否有委外契約 | 資安要求、評估紀錄、服務變更與終止管理 |
| 事件應變 | 是否有通報流程 | 責任人、演練、事件處理與改善紀錄 |
| 內部稽核 | 是否曾寫稽核報告 | 稽核計畫、抽樣證據、不符合及矯正追蹤 |
這份表不是完整 ISO 條文查核表，而是企業啟動評估時最容易暴露管理落差的代表性項目。
四種查核結果，千萬不要混在一起
實際評估時，可先用以下四種狀態記錄，避免為了報表好看一律勾「已符合」。
| 狀態 | 真正意思 | 例子 |
|---|---|---|
| 已確認符合 | 在約定查核條件與樣本內有足夠證據 | 抽到的離職帳號都能看到停權紀錄 |
| 已確認缺口 | 控制措施不存在或未有效實施 | 仍能使用離職人員持有的共用金鑰 |
| 證據不足 | 現有資料無法可靠判定 | 主管口頭說每月複核，但缺執行紀錄 |
| 查核受限 | 受系統、供應商、權限等條件阻礙 | 雲端平台不提供需要的歷史日誌 |
沒有證據，不必然代表沒有執行；但也不能當成已經符合。若平台沒有日誌，應記錄限制並尋找其他能支持判斷的資料，不能補造過去不存在的紀錄。
如何把差距分析變成一份可執行的改善表？
每個發現都要有「要求、事實、風險、責任人、改善方法、完成日期、驗證方式」七項資訊。
例如查到「服務帳號共用金鑰且沒有輪替流程」，改善工作可能包括重新界定系統責任、建立金鑰資產清單、設定輪替及撤銷程序、完成實際操作並保存紀錄。這不必然是採購昂貴設備，但需要有人真正執行。
改善優先序可由風險程度、曝露範圍、外部客戶期限及實際資源共同決定。不能只看哪個表單最快補完就先做哪個。
Gap Analysis 跟 ISO 27001 正式認證是同一件事嗎？
不是。差距分析是導入規劃的工具；ISO 27001 證書須由獨立驗證機構依其程序審核核發。差距分析可以包含在正式顧問輔導中，也可以按需求獨立執行，並非所有企業必須先採購一份獨立健診。
尤其需要注意：針對電商品牌個資流程的 ISO 規格健診，不等同全企業、全資安控制的完整 ISMS Gap Analysis。如需完整 ISO 導入差距評估，範圍必須另行確認，避免拿有限範圍報告誤當整張證書的準備依據。
先用三個問題測試公司準備度
- 今天若要求提供最近一次權限複核，誰能在半小時內找到紀錄？
- 若供應商某個管理者離職，誰知道他還握有哪些憑證及資料副本？
- 如果驗證機構今天來訪，哪些控制措施的執行證據仍只能靠「我們有做」來解釋？
如果這三個問題回答得很吃力，與其一直猜認證成本，不如先把現況和責任邊界查清楚。
我們可以協助企業評估 ISO 27001 驗證範圍、制度差距、改善工時與導入步驟；也可以直接承接完整 ISO 輔導，不需要先買獨立健診。