ISO 27001 決定你要建立什麼管理系統；ISO 27002 提供控制措施如何設計、落實的指引。 把兩份標準當成同一張勾選表，是導入前最常見的觀念錯位。
先看最重要的差異
| 問題 | ISO/IEC 27001:2022 | ISO/IEC 27002:2022 |
|---|---|---|
| 核心定位 | ISMS 的要求事項 | 資訊安全控制措施與實作指引 |
| 主要用途 | 建立制度、風險管理、運作與改善；供正式管理系統認證 | 支援風險處理與控制措施設計 |
| 企業交付成果 | 範圍、風險評鑑、適用性聲明、運作證據、稽核及管理審查 | 各控制措施的設計與操作方式 |
| 是否等同認證 | 可以由適格驗證機構依適用規範進行 27001 認證 | 單純使用 27002 不等於取得 27001 管理系統認證 |
企業實際上怎麼同時使用？
假設一家電商品牌把會員資料放在第三方購物車，另外連接 CRM、電子報與物流服務：
- 先定範圍。 哪些組織、流程、系統與資料處理活動要納入 ISMS？不能只寫一句「公司全部」。
- 辨識風險。 例如品牌營運人員可以大量匯出會員名單，而平台只保留短期操作紀錄。
- 選控制措施。 透過風險處理決策選擇應適用的控制措施，參考 27002 設計權限、日誌及供應商管理。
- 保留證據。 誰核准、何時複查、找得到什麼日誌、例外如何處理，都應能回溯。
- 回到治理循環。 稽核發現缺口後，決定責任人、改善期限及成效確認方式。
可見控制措施不是「買一套工具就有」；管理系統也不是「寫完政策就算落實」。
2022 年版控制措施的變動，對企業有什麼意義？
ISO 官方技術文章指出，27002:2022 由舊版的 114 項整理為 93 項控制措施，歸在組織、人員、實體與技術四大主題。這是分類及內容整併，不能推論企業只要完成 93 個打勾就一定符合 27001。
購物車品牌更應看控制措施能否驗證。例如帳號停權不是只有 SOP，還要能查到離職日期、停權時間及逾時處理；委外監督不是只取得對方的資安認證證書，還要核對證書範圍是否涵蓋你實際使用的服務。
最容易犯的三個錯
- 把附錄 A 當成法規強制逐項全選。 應先做風險評鑑與適用性判斷，並記錄排除理由。
- 以為平台有 ISO，品牌就不用管理。 委外平台的技術控制與品牌自身資料存取流程仍有分工。
- 把控制措施有文件等同已執行。 稽核要看實際抽樣紀錄，不只文件存在。
什麼時候該找哪一份？
剛開始做制度與驗證範圍，先讀 27001；已確認風險、要設計控制措施，再搭配 27002。若客戶合約指定驗證，務必核對要求的標準、版本與認證範圍，而非自行假定「符合 27002」就足夠。
參考來源：ISO/IEC 27001:2022、ISO/IEC 27002:2022、ISO 技術文章：27002:2022 控制措施變動。
同主題延伸閱讀：ISO 27001:2022 與 2013 版差異：2024 修正案又是什麼？、ISO 27000 家族怎麼分？27001、27002、27005、27006 一張表看懂。