ISO/IEC 27001:2022 資訊安全管理系統內部稽核員培訓課程
ISO/IEC 27001:2022 資訊安全管理系統內部稽核員培訓課程
ISO/IEC 27001:2022 是資訊安全管理系統（ISMS）要求標準，協助組織透過風險評估與適當控制，保護資訊的機密性、完整性及可用性。適用於製造業、科技業、服務業、醫療機構，以及其他需要管理資訊風險的組織。
本課程適合資訊、資安、管理代表、部門主管及內部稽核人員。透過文件判讀、訪談與案例演練，學習確認資安措施是否落實，避免稽核只檢查表單，卻未發現實際管理缺口。
本課程應依據哪些標準與修訂內容？
以 ISO/IEC 27001:2022 為核心，納入 Amd 1:2024 修訂內容。課程也可搭配 ISO/IEC 27002 控制指引及 ISO 19011 稽核方法，協助學員理解要求與執行方式。
| 參考依據 | 主要用途 | 課程應用 |
|---|---|---|
| ISO/IEC 27001:2022 | 資訊安全管理系統要求 | 判定系統符合性與有效性 |
| Amd 1:2024 | 氣候行動相關修訂 | 查核組織情境及相關要求的考量 |
| ISO/IEC 27002 | 資訊安全控制指引 | 理解控制目的與實施方式 |
| ISO 19011 | 管理系統稽核指南 | 規劃、訪談、抽樣及報告 |
2024 年修訂要求組織考量氣候變遷的相關性。這不代表所有企業都必須新增相同的資安措施，而是應依自身情境作出合理判定。
ISO/IEC 27001 與 ISO/IEC 27002 有什麼差別？
ISO/IEC 27001 提供管理系統要求，是查核的重要準則；ISO/IEC 27002 提供控制實施指引，協助企業選擇與落實措施。
內部稽核不能只逐項檢查控制清單，還需要查核風險評估、責任分工、績效與持續改善。
內部稽核員需要具備哪些能力？
需要理解要求、辨識證據，並形成有依據的結論。熟悉資訊技術有助於查核，但稽核能力也包括流程理解、訪談、抽樣與客觀判定。
| 能力面向 | 學習重點 |
|---|---|
| 標準理解 | 看懂管理系統要求與企業程序 |
| 風險判讀 | 確認評估方法、結果與處理措施的連結 |
| 控制查核 | 比較制度、設定與實際執行情況 |
| 證據確認 | 交叉核對紀錄、訪談與現場觀察 |
| 缺失描述 | 寫清楚要求、事實及證據 |
| 改善追蹤 | 確認原因、措施與執行成效 |
非資訊人員可以參加嗎？
可以。人資、採購、法務及行政人員，也可能負責人員安全、委外管理、文件或個資作業。
涉及系統設定、網路架構或技術判定時，應由具備相應能力的人員協作，不能僅凭一般培訓作出所有技術結論。
本課程會學到哪些內容？
課程以「理解要求、追查流程、判定缺失、確認改善」為主軸。企業客製課程可使用實際文件與去識別案例，提高應用性。
| 課程單元 | 學習內容 | 實務演練 |
|---|---|---|
| 系統範圍與組織情境 | 內外部議題、關注方及管理邊界 | 檢查範圍是否合理 |
| 資安風險管理 | 評估方法、處理及風險接受 | 核對風險與措施 |
| 適用性聲明 | 控制選擇、理由與實施狀態 | 判讀 SoA |
| 控制實務 | 人員、實體、組織與技術控制 | 分析查核案例 |
| 稽核規劃與執行 | 準則、時間、抽樣及訪談 | 編製計畫與檢查表 |
| 缺失與報告 | 證據、判定及結果溝通 | 撰寫稽核發現 |
| 改善追蹤 | 原因分析及有效性確認 | 設計後續查核 |
稽核演練會如何進行？
例如，以員工離職流程為案例，核對人資通知、帳號停用、設備歸還及執行紀錄。
學員需確認各環節是否符合企業要求，再根據證據判定，避免只因受訪人員回答「已完成」就結束查核。
風險評估與適用性聲明應如何查核？
應確認風險、控制與實際作業之間的連結。**適用性聲明（SoA）不是單純的勾選表，也不應直接照抄其他企業。
| 查核項目 | 建議確認的問題 |
|---|---|
| 評估方法 | 判定及接受準則是否明確、一致？ |
| 評估範圍 | 是否涵蓋系統範圍內的重要活動？ |
| 風險責任 | 是否指定適當的風險負責人？ |
| 處理措施 | 是否對應評估結果與適用要求？ |
| SoA | 是否說明必要控制、選用理由與實施狀態？ |
| 排除理由 | 是否有合理依據，與業務情境一致？ |
| 更新管理 | 重大變更或事件後是否重新檢視？ |
控制選擇除了風險，也需要考量適用法律、合約及其他要求，並連結到風險處理與 SoA。
參考:https://committee.iso.org/files/live/sites/jtc1sc27/files/resources/ISO-IECJTC1-SC27-WG1_N3298_Auditing%20Practices%20Note%20-%20SoA.pdf?utm_source=chatgpt.com
附錄 A 的控制是否全部都要實施？
不能直接作此結論。企業應依風險處理及適用要求選擇必要控制，並檢查是否遺漏；排除項目需要合理說明。
必要時也可以採用附錄 A 之外的控制，不能將附錄 A 當成企業唯一可用的措施清單。
現場稽核應檢查哪些證據？
應確認制度與實際執行一致。有政策、系統或委外服務，不代表相關控制已持續有效。
| 查核領域 | 證據示例 |
|---|---|
| 資產與資料管理 | 資產資料、責任、分類及處理規則 |
| 存取權限 | 核准、變更、定期檢視及停用紀錄 |
| 人員安全 | 培訓、保密及到離職作業 |
| 實體安全 | 門禁、訪客及設備保護紀錄 |
| 備份與恢復 | 執行結果、異常處理及恢復測試 |
| 事件管理 | 通報、評估、處置與經驗回饋 |
| 供應商與雲端 | 合約、責任分工及服務查核 |
| 績效與改善 | 指標、稽核、管理審查及矯正措施 |
備份成功，就代表可以恢復服務嗎？
不能直接推定。還需確認備份內容、完整性、存取條件及恢復測試結果，並對照企業需求。
ISO/IEC 27001 能取代個資法規管理嗎？
不能。企業仍須依所在地、資料處理活動與銷售市場，確認個資、通報及其他法規義務。
稽核應確認適用要求已納入管理，不應將 ISO 證書視為全面法規符合性的保證。
內部稽核應如何規劃與執行？
依流程重要性、風險與以往結果安排查核。稽核人員的選擇及工作分配，應維持客觀與公正。
| 步驟 | 主要工作 | 預期成果 |
|---|---|---|
| 1. 規劃方案 | 確認範圍、頻率與重點 | 稽核方案 |
| 2. 準備查核 | 安排準則、人員及抽樣 | 計畫與檢查表 |
| 3. 蒐集證據 | 訪談、觀察與紀錄核對 | 查核紀錄 |
| 4. 判定結果 | 對照要求形成發現 | 稽核報告 |
| 5. 改善追蹤 | 確認原因、措施與成效 | 結案證據 |
缺失如何寫得具體？
例如，程序要求離職當日停用帳號，但抽查發現帳號逾期仍有效，且沒有例外核准。
報告應記錄適用程序、時間與證據，避免只寫「權限管理不佳」或「請加強教育訓練」。
課程需要多久，費用如何評估？
一般建議安排 2 天，初學者或加入企業演練者可延長。以下為課程規劃建議，並非 ISO 指定時數。
| 課程形式 | 建議時間 | 適合需求 |
|---|---|---|
| 基礎認知 | 1 天 | 理解系統與部門責任 |
| 內部稽核實務 | 2 天 | 條文、查核及報告演練 |
| 基礎加企業案例 | 3 天 | 初學者或較完整的實務訓練 |
| 培訓加差距檢查 | 另行評估 | 結合現有文件與改善需求 |
費用依人數、語言、線上或現場方式，以及是否包含文件審查、評量與課後追蹤。第三方驗證、指定資格考試及技術測試費用應另行確認。
報名前，客戶常見疑問有哪些？
沒有稽核經驗，可以參加嗎？
可以，建議先了解企業資訊流程。初學者可增加標準導讀，再進入案例演練。
線上課程能學會稽核嗎？
可以安排文件判讀、訪談及報告練習；實體安全與技術作業查核，建議搭配現場實習。
完成課程就能擔任內部稽核員嗎？
培訓是能力建立的一部分。企業仍應依查核範圍確認人員知識、經驗與實際能力。
課程證明等於第三方稽核員資格嗎？
不等於。一般內部稽核培訓不自動授予驗證稽核員或特定人員認證資格。
可以使用企業自己的文件嗎？
可以依需求規劃，並先確認保密範圍。演練資料宜去識別，不應提供密碼、金鑰或不必要的敏感資訊。
能保證通過認證或完全避免資安事件嗎？
無法保證。成效取決於控制執行、持續監控與改善，課程可協助人員提早辨識管理缺口。
延伸閱讀：可以搭配哪些課程？
ISO/IEC 27701 隱私資訊管理：補足個資處理與隱私責任。
ISO/IEC 27035 資訊安全事件管理：強化應變與經驗回饋。
ISO 22301 營運持續管理：提升中斷應對與恢復能力。
供應商資安第二方稽核：確認委外服務與合約要求。
下一步如何執行？ODI MORGAN 可以提供哪些服務？
先確認系統範圍、參訓人員與待改善問題，再規劃課程。建議提供現有證書、風險評估、SoA 或稽核缺失，協助安排適合的案例與演練。
ODI MORGAN 可依需求安排 ISO/IEC 27001:2022 內部稽核員培訓、風險與 SoA 查核演練、文件差距檢查、模擬稽核及缺失改善輔導服務。
歡迎聯繫 ODI MORGAN 歐迪摩根技術顧問有限公司，將資安要求轉化為可執行、可查核的管理措施，提升內部稽核品質與改善能力。
