ISO/IEC 27001:2022＋ISO/IEC 27701:2025 資訊安全與隱私資訊管理系統整合內部稽核員培訓課程
ISO/IEC 27001:2022＋ISO/IEC 27701:2025 資訊安全與隱私資訊管理系統整合內部稽核員培訓課程
資訊安全與隱私整合稽核，是以共同的查核規劃，同時確認資訊安全管理系統（ISMS）與隱私資訊管理系統（PIMS）的符合性及有效性。既要查核資訊是否受到保護，也要確認個人資料的蒐集、使用、保存與委外處理是否適當。
本課程適合資訊、資安、法務、個資管理、人資、採購、管理代表及內部稽核人員。透過資料流程與案例演練，協助企業減少重複查核，找出跨部門責任與實際作業的管理缺口。
本課程應採用哪些標準版本？
課程以 ISO/IEC 27001:2022 與 ISO/IEC 27701:2025 為核心，並納入 ISO/IEC 27001 的 Amd 1:2024 氣候行動修訂內容。參考:https://www.iso.org/standard/88435.html?utm_source=chatgpt.com
ISO/IEC 27701:2025 已是可獨立使用的管理系統標準，也可與 ISO/IEC 27001 整合。企業不必先取得資安證書，才能開始建立新版隱私管理系統。參考:https://www.iso.org/standard/27701?utm_source=chatgpt.com
| 參考依據 | 課程用途 |
|---|---|
| ISO/IEC 27001:2022 | 資安管理系統要求與查核 |
| Amd 1:2024 | 組織情境相關修訂的確認 |
| ISO/IEC 27701:2025 | 隱私管理、角色及控制查核 |
| ISO/IEC 27002 | 資安控制實施參考 |
| ISO 19011 | 稽核規劃、執行與人員能力參考 |
原本使用 ISO/IEC 27701:2019，如何銜接？
建議先建立新版要求對照表，再確認系統範圍、角色、風險與控制資料。既有文件可以評估沿用，但不宜只更換年份。
認證轉版時間與程序，應依適用認證安排確認；課程則可先協助人員理解差異與準備證據。
資訊安全與隱私管理有哪些共同點及差異？
共同程序可以整合，但兩套系統的目的與專屬證據仍須清楚辨識。安全保存資料，不代表所有使用方式都符合隱私要求。
| 比較項目 | 資訊安全管理 | 隱私資訊管理 |
|---|---|---|
| 管理對象 | 系統範圍內的資訊 | 個人資料及相關處理活動 |
| 核心關注 | 機密性、完整性與可用性 | 適當處理、責任及對個人的影響 |
| 常見風險 | 未授權存取、竄改、服務中斷 | 過度蒐集、用途不當、保存過久 |
| 專屬證據 | 資安風險、控制及適用性聲明 | 處理目的、角色、權利及生命週期紀錄 |
| 可整合程序 | 文件、能力、稽核、管理審查與改善 | 可共用架構，保留隱私內容 |
一份風險評估可以涵蓋兩套系統嗎？
可以設計整合方法，但需同時辨識資訊安全風險與隱私風險，保留各自的判定依據。
例如，客戶資料外洩涉及安全與隱私；資料未外洩，但超出原定用途使用，也可能形成隱私問題。
本課程會學到哪些內容？
課程以「對照要求、追查流程、確認證據、判定缺失、追蹤改善」為主軸，練習在同一次查核中涵蓋兩套系統。
| 課程單元 | 學習重點 | 實務演練 |
|---|---|---|
| 標準與整合架構 | 共同要求、新版定位及專屬內容 | 建立要求對照表 |
| 範圍與角色 | 系統邊界、個資控制者及處理者 | 分析業務活動 |
| 資產與資料流程 | 資訊資產、個資來源及接收者 | 編製資料流程圖 |
| 風險與控制 | 評估、處理、控制選擇及適用性聲明 | 核對風險與措施 |
| 資料生命週期 | 蒐集、使用、分享、保存與刪除 | 追查實際紀錄 |
| 整合稽核技巧 | 計畫、抽樣、訪談及證據確認 | 編製檢查表 |
| 缺失與改善 | 報告、原因分析及有效性確認 | 案例判定與追蹤 |
如何練習整合查核？
以人事資料為例，資安面可查核帳號、權限與存取紀錄；隱私面則確認蒐集目的、資料項目、告知、保存及委外處理。
同一次訪談可以取得兩套證據，但不能因權限管理合格，就推定整體個資處理都符合要求。
整合內部稽核應檢查哪些證據？
應沿著實際業務流程，確認文件、系統與人員操作一致。只檢查政策或程序存在與否，容易漏掉執行差異。
| 查核流程 | 資安證據示例 | 隱私證據示例 |
|---|---|---|
| 帳號與權限 | 核准、變更、檢視及停用 | 存取是否符合處理目的與職務需要 |
| 人資作業 | 保密、教育訓練及離職管理 | 員工資料告知、使用與保存 |
| 客戶管理 | 系統權限、傳輸與防護 | 蒐集項目、用途及權利請求 |
| 供應商與雲端 | 合約、安全要求及服務查核 | 處理指示、接收者與次處理者管理 |
| 備份與刪除 | 備份、恢復及媒體處理 | 保存期限、刪除規則與例外 |
| 事件處理 | 偵測、回應及原因分析 | 個資影響評估與適用通報 |
| 績效與改善 | 指標、稽核及管理審查 | 隱私目標、請求與改善結果 |
控制者與處理者如何判定？
應依實際活動確認誰決定個資處理目的與方式，誰依委託及指示處理。同一企業可能在不同活動中承擔不同角色。
角色應連結到範圍、合約與作業責任，而不是只在文件中勾選名稱。
資安適用性聲明與隱私控制可以合併管理嗎？
可以建立共同的控制追蹤表，但應能清楚辨識各自要求、適用理由及實施證據。
ISO/IEC 27001 的適用性聲明（SoA），仍須符合其要求，不能因新增隱私欄位就省略必要內容。
| 管理項目 | 建議整合方式 |
|---|---|
| 風險資料 | 共用平台，區分風險類型及影響 |
| 控制措施 | 對照資安與隱私目的，指定責任 |
| 實施證據 | 共用紀錄，註明對應要求 |
| 不適用判定 | 分別記錄合理依據 |
| 改善追蹤 | 統一管理，保留各系統結案判定 |
所有控制都需要套用嗎？
應依標準要求、風險、組織角色及適用義務判定。不能任意排除，也不應將控制清單當成每家企業都完全相同的作業規範。
整合稽核如何安排，才能減少重複查核？
先確認兩套系統範圍是否一致，再按流程規劃查核。若範圍不同，仍可協調時間與人員，但報告須清楚呈現涵蓋情況。
| 步驟 | 主要工作 | 預期成果 |
|---|---|---|
| 1. 確認範圍 | 釐清場所、服務、資訊與個資活動 | 範圍對照 |
| 2. 規劃查核 | 依風險安排準則、流程及人員 | 整合稽核計畫 |
| 3. 選擇樣本 | 以帳號、合約或資料流程追查 | 抽樣安排 |
| 4. 蒐集證據 | 訪談、觀察與紀錄核對 | 查核紀錄 |
| 5. 判定與報告 | 分別對照適用要求 | 整合報告 |
| 6. 改善追蹤 | 確認原因、措施及有效性 | 結案證據 |
一項缺失可以涉及兩套標準嗎？
可以，但需分別確認要求與證據。例如，委外服務未落實約定的安全與個資處理條件，可能同時涉及兩套系統。
不能只因事件涉及個資，就自動判為兩套標準都不符合；仍須依證據形成結論。
整合培訓需要多久，費用如何評估？
建議安排 3～4 天，讓兩套要求與演練都有足夠時間。已有單標基礎者，可依能力缺口調整。
| 課程形式 | 建議時間 | 適合需求 |
|---|---|---|
| 雙系統認知 | 1～2 天 | 理解管理責任與整合方向 |
| 整合內部稽核實務 | 3～4 天 | 條文、流程與報告演練 |
| 已有單標能力的補強 | 依差距評估 | 補足另一系統與整合技巧 |
| 培訓加企業差距檢查 | 另行規劃 | 結合現有文件與現場作業 |
上述為課程規劃建議，並非標準指定時數。費用依人數、語言、授課方式及文件審查、評量與課後追蹤範圍評估。
第三方驗證、指定資格考試、技術測試及專項法律服務，應另行確認費用與交付內容。
報名前，客戶常見疑問有哪些？
沒有資安或隱私基礎，可以參加嗎？
可以，建議增加基礎導讀。涉及技術設定或複雜法律判定時，需相應專業人員協作。
已上過 ISO/IEC 27001，還需要完整課程嗎？
可先確認能力與經驗，再補強 ISO/IEC 27701:2025、資料流程及整合查核，不必重複所有基礎內容。
可以共用稽核、管理審查與改善紀錄嗎？
可以，前提是涵蓋兩套要求，且紀錄能清楚呈現各自結果、責任與改善成效。
取得兩張證書就完全符合法規嗎？
不能直接推定。企業仍須依活動與市場確認個資、資安及其他法定義務，也不能將一般 ISO 認證直接稱為 GDPR 認證。
課程證明等於第三方稽核員資格嗎？
不等於。企業內部培訓、特定人員資格及第三方驗證是不同安排，報名前應確認認可範圍。
可以使用企業文件演練嗎？
可以，應先確認保密與資料使用範圍，並去識別不必要的個資。密碼、金鑰及其他敏感憑證不應作為課堂資料。
能保證通過認證嗎？
無法保證。結果取決於實際符合性與改善成效，課程可協助人員辨識問題、準備證據及追蹤改善。
延伸閱讀：可以搭配哪些課程？
ISO/IEC 27001 資訊安全管理系統內部稽核：強化資安基礎。
ISO/IEC 27701 隱私資訊管理系統內部稽核：深化資料處理查核。
資訊安全事件與個資事件管理：串聯應變及通報。
供應商資安第二方稽核：改善委外服務管理。
下一步如何執行？ODI MORGAN 可以提供哪些服務？
先提供兩套系統的範圍、參訓人員職務及目前待改善問題，再規劃課程。若已有風險評估、SoA、資料流程或稽核缺失，可一併提供作為演練依據。
ODI MORGAN 可依需求安排資訊安全與隱私整合內部稽核員培訓、新版差異解析、風險與資料流程查核、文件差距檢查，以及模擬稽核與改善輔導服務。
歡迎聯繫 ODI MORGAN 歐迪摩根技術顧問有限公司，將資安與隱私要求整合到實際流程，提升查核效率與日常管理能力。
