當客戶要求供應商提供 ISO 27001 證書，你真正要解決的通常不是「ISO 是什麼」，而是：證書要涵蓋哪項服務、什麼時候必須交、我們目前還差什麼，否則這筆生意會不會受到影響？
比起泛泛地談資訊安全文化，企業主更在意一件事：這張證書到底能不能讓採購那關過去。
真實事故：供應商被駭，客戶公司立即停止資料交換
2023 年 6 月，台積電的一家 IT 硬體供應商傳出遭網路攻擊。依當時台積電對外說明，已知揭露資料屬於該供應商協助的硬體初始設定資訊，台積電表示沒有客戶相關資訊外洩，也未影響生產營運；事故發生後，台積電依標準作業程序立即中止與該供應商的資料交換，並強化供應商安全要求。
這則真實事件沒有證據顯示台積電在該案要求某張 ISO 27001 證書，本文也不會把它寫成「沒有 ISO 就被台積電停約」。它真正揭示的是：供應商的資訊安全一旦出事，受到影響的不只是資安部門，還有持續交易的資格和信任。
客戶說要 ISO 27001，先把條款拆開
| 客戶要求 | 你要確認的細節 |
|---|---|
| 「須具 ISO 27001 證書」 | 指定版本、認可資格與有效性嗎？ |
| 「認證須涵蓋本案服務」 | 具體是什麼產品、平台、維運或據點？ |
| 「需於某日期前提交」 | 交證書日期，還是先交導入計畫？ |
| 「提供資安稽核資料」 | 除證書外還要政策、問卷、測試或運作證據？ |
| 「可接受母公司認證」 | 是否明示母公司證書可涵蓋實際供應商？ |
客戶要求寫得模糊，就請他說清楚。如果證書持有人、Scope 或認可範圍不符，即使證書是真的，也可能不能滿足採購條件。
「我把 PDF 證書修一張交差」是捷徑嗎？
不是。客戶可透過驗證機構、適用的認可機構及 IAF CertSearch 驗證機制查核證書狀態、標準及公司資料。注意：資料庫暫時查不到，不等於必然造假，仍應向相關機構核實。
真正危險的不是修圖難不難，而是把不實證明作為交易、投標或資格審查依據。具體可能涉及契約違約、採購排除或相關法律責任，是否成立刑事犯罪仍要依文件性質、使用方式與構成要件判定，不能在文章裡直接宣稱「PS 一張就一定犯法」。
如果取證真的來不及，應和客戶確認是否接受有期限、可驗證的過渡安排，而不是拿不實文件賭對方不查。
從收到客戶要求到完成 ISO 證書，該怎麼做？
- 取得完整採購條款：標準、認可要求、服務範圍、提交日期及是否接受過渡文件。
- 界定正式驗證範圍：法人、服務、部門、系統與重要委外關係。
- 盤點現況與缺口：從風險評鑑、文件、權限、備份、供應商控制到稽核證據。
- 安排導入和第三方驗證：顧問協助制度與改善，獨立驗證機構審核及發證。
- 保存執行證據：制度有做才拿得出來，不能臨時補造過去不存在的紀錄。
- 向客戶回報真實進度：以可查證的里程碑、範圍與剩餘風險溝通。
若期限很緊，可先閱讀 ISO 27001 取證要多久 以及 認證範圍怎麼決定。
供應商最應該提前準備的三樣東西
一份對應客戶服務的驗證範圍草案；一份現況與待改善的控制清單；一份附上內部負責人、正式驗證檔期和證書交付日期的專案時程。
這三樣資料比一句「顧問說可以包過」更接近客戶真正想知道的事：供應商是否有能力持續、安全地交付服務。
若你已收到客戶或標案的 ISO 要求，可以帶著契約文字、目標期限及現有制度來找我們。可直接規劃 ISO 27001 輔導取證，不需要先買獨立健診；我們會先評估範圍、工作量和實際可行的驗證安排。