ISO/IEC 27017:2015 雲端服務資訊安全控制內部稽核員培訓課程
ISO/IEC 27017:2015 雲端服務資訊安全控制內部稽核員培訓課程
ISO/IEC 27017 提供雲端服務資訊安全控制指引，協助雲端服務提供者與使用企業釐清責任，管理帳號、資料、系統及委外作業的安全風險。
本課程適合資訊、資安、雲端維運、採購、供應商管理及內部稽核人員。透過合約、設定與紀錄查核，確認安全措施是否落實，降低「雙方都以為對方負責」造成的管理缺口。
版本提醒：ISO/IEC 27017:2026 已於 2026 年 7 月發布，2015 年版在 ISO 目錄中已列為撤回。本課程保留既有名稱，授課應納入新版差異；新導入企業建議採用 2026 年版課程。參考:https://www.iso.org/standard/27017?utm_source=chatgpt.com
ISO/IEC 27017 適合哪些企業與雲端服務？
適合提供或使用雲端服務的組織，並不限於公有雲。私有雲及混合雲也可依實際責任關係與風險應用相關控制。參考:https://www.iso.org/standard/27017?utm_source=chatgpt.com
| 對象 | 常見需求 | 課程查核重點 |
|---|---|---|
| 雲端服務提供者 | 回應客戶安全要求 | 服務責任、維運、隔離及安全證據 |
| SaaS 服務商 | 管理平台與客戶資料 | 權限、應用安全、事件及資料處理 |
| 雲端使用企業 | 管理租用服務與設定 | 帳號、資料、合約及責任分工 |
| 私有雲管理團隊 | 協調內部服務與使用部門 | 管理邊界、操作及存取控制 |
| 採購與稽核人員 | 評估供應商服務 | 證書範圍、合約及履約證據 |
使用知名雲端平台，還需要培訓嗎？
需要確認企業自己的管理責任。服務商可能負責部分基礎設施，但企業仍可能負責帳號、資料、權限或應用設定。
平台品牌與證書可作為評估資料，不能代替實際服務範圍及控制查核。
ISO/IEC 27017 與 27001、27002、27018 有什麼差別？
ISO/IEC 27017 著重雲端控制，應結合企業的資安管理與風險處理使用。它不是與 ISO/IEC 27001 相同類型的獨立管理系統要求標準。
| 標準 | 主要定位 | 課程應用 |
|---|---|---|
| ISO/IEC 27001 | 資訊安全管理系統要求 | 範圍、風險、稽核及改善 |
| ISO/IEC 27002 | 資訊安全控制指引 | 理解一般控制目的與作法 |
| ISO/IEC 27017 | 雲端服務安全控制指引 | 補足雲端情境及責任分工 |
| ISO/IEC 27018 | 公有雲個資保護指引 | 查核個資處理者相關控制 |
ISO/IEC 27017 以 ISO/IEC 27002 為基礎，提供雲端專屬指引及附加控制，供服務提供者與使用者應用。iso.org
內部稽核應依哪些準則判定？
應先明確列出採用的標準版本、企業程序、合約與適用要求，再進行查核。
不能將所有指引文字直接當成企業必須採取的相同措施，也不能只完成一張控制勾選表就認為符合。
本課程會學到哪些內容？
課程以「確認角色、辨識風險、查核控制、追蹤改善」為主軸，可依提供者或使用企業調整案例。
| 課程單元 | 學習重點 | 實務演練 |
|---|---|---|
| 標準與新版銜接 | 定位、範圍及版本差異 | 建立控制對照表 |
| 雲端角色與責任 | 提供者、使用者及委外分工 | 編製責任矩陣 |
| 風險與控制選擇 | 服務、資料及操作風險 | 分析控制適用性 |
| 帳號與操作安全 | 權限、管理操作及變更 | 查核核准與執行紀錄 |
| 資料與服務生命週期 | 傳輸、儲存、備份及終止 | 檢查退出與刪除安排 |
| 稽核技巧 | 計畫、抽樣、訪談及證據 | 編製檢查表 |
| 缺失與改善 | 要求、事實及有效性確認 | 撰寫報告與追蹤措施 |
課程會直接教雲端平台操作嗎？
一般內部稽核課程著重管理與證據查核。若需要特定平台設定或技術操作，可另行規劃實作內容。
演練可使用遮蔽敏感資訊的畫面與紀錄，不需提供正式環境的密碼或金鑰。
雲端責任分工應如何查核？
應依實際服務與合約確認，不宜只依 IaaS、PaaS 或 SaaS 名稱推定所有責任。
每項重要控制都應確認負責者、操作方式、證據與異常處理，避免責任表與實際作業不一致。
| 查核項目 | 建議確認的問題 |
|---|---|
| 帳號與權限 | 誰核准、建立、檢視及停用？ |
| 更新與弱點管理 | 誰處理哪些層級？如何追蹤？ |
| 備份與恢復 | 備份由誰執行？誰確認恢復結果？ |
| 日誌與監控 | 誰取得紀錄、分析及處理異常？ |
| 事件應變 | 如何通報、協作與保留證據？ |
| 資料保護 | 誰決定分類、存取及保護措施？ |
| 服務終止 | 如何移轉、返還及處理剩餘資料？ |
合約有寫責任，就代表已落實嗎？
不足。還需核對設定、執行紀錄及服務結果，確認企業有能力履行自己承擔的責任。
例如，合約將資料備份交由使用企業負責，但企業未建立備份作業，就可能存在實際缺口。
現場與文件稽核應檢查哪些證據？
應將制度、設定及執行結果交叉核對。稽核員可抽選一項服務、一組權限或一次變更，沿流程追查。
| 查核領域 | 證據示例 |
|---|---|
| 服務範圍 | 服務清單、架構、合約及責任矩陣 |
| 權限管理 | 核准、特權帳號、檢視及停用紀錄 |
| 資料管理 | 分類、存取、傳輸與保存安排 |
| 操作與變更 | 變更核准、執行及回復紀錄 |
| 隔離與虛擬環境 | 適用的隔離設計及確認結果 |
| 監控與事件 | 日誌、警示、工單及處置紀錄 |
| 備份與恢復 | 執行結果、異常及恢復測試 |
| 服務退出 | 移轉、刪除與帳號取消證據 |
供應商無法公開所有技術資料，如何查核？
可依風險與合約取得適當證據，例如服務範圍說明、獨立查核報告摘要、問卷、測試結果或履約紀錄。
證據不足時，應評估剩餘風險與後續措施，不能直接視為符合。
內部稽核如何規劃與判定缺失？
先依重要服務、資料風險、變更及以往結果安排查核，再確認稽核員能力與客觀性。
| 步驟 | 主要工作 | 預期成果 |
|---|---|---|
| 1. 確認範圍 | 釐清服務、角色與準則 | 稽核範圍 |
| 2. 準備查核 | 選擇樣本與安排訪談 | 計畫及檢查表 |
| 3. 蒐集證據 | 核對文件、設定與紀錄 | 查核紀錄 |
| 4. 判定結果 | 對照要求形成發現 | 稽核報告 |
| 5. 追蹤改善 | 確認原因、措施與成效 | 結案證據 |
缺失如何寫得具體？
例如，程序要求定期檢視雲端特權帳號，但抽查發現未執行檢視，且離職人員帳號仍保留權限。
報告應記錄要求、時間與證據。改善不只停用該帳號，還應檢查通知、權限檢視及追蹤流程。
課程需要多久，費用如何評估？
已有 ISO/IEC 27001 基礎者，可安排約 2 天實務培訓；初學者或加入企業案例者，可增加導讀與演練時間。
| 課程形式 | 建議時間 | 適合需求 |
|---|---|---|
| 雲端控制認知 | 1 天 | 理解責任與控制方向 |
| 內部稽核實務 | 2 天 | 控制、查核及報告演練 |
| 基礎加企業案例 | 3 天 | 初學者與較完整的應用訓練 |
| 新版差異或差距檢查 | 依需求評估 | 銜接既有制度 |
上述為課程規劃建議，並非標準指定時數。費用依人數、語言、授課方式及文件審查、評量與課後追蹤範圍評估。
指定資格考試、第三方驗證及平台技術測試，應另行確認費用與服務內容。
報名前，客戶常見疑問有哪些？
沒有雲端技術背景，可以參加嗎？
可以。採購、管理及稽核人員可先學習責任與流程；技術判定則需相關人員協作。
沒有 ISO/IEC 27001，可以參加嗎？
可以，但建議補充資安風險與管理系統基礎，較容易理解控制選擇及查核依據。
2015 年版課程還適合報名嗎？
適合需要理解既有制度的企業，但應確認包含 2026 年版差異。新導入者建議選擇新版內容。
上完課程就能取得 ISO/IEC 27017 證書嗎？
不能。培訓建立的是人員能力；第三方驗證或控制符合性評估，需依具體方案確認準則、範圍與證書性質。
課程會包含滲透測試嗎？
一般課程不包含完整滲透測試。可學習判讀相關證據，技術測試需另行規劃。
可以保證通過客戶稽核嗎？
無法保證。結果取決於實際控制與證據，培訓可協助提早辨識問題並追蹤改善。
延伸閱讀：可以搭配哪些課程？
ISO/IEC 27001 資訊安全管理：建立風險與控制基礎。
ISO/IEC 27018 公有雲個資保護：補足個資處理者控制。
ISO/IEC 27035 事件管理：強化雲端事件協作。
供應商資安第二方稽核：確認外部服務與合約要求。
下一步如何執行？ODI MORGAN 可以提供哪些服務？
先確認企業是雲端提供者或使用者，再提供服務範圍、責任分工與待改善問題。現有合約、控制文件及稽核缺失，可作為課程規劃依據。
ODI MORGAN 可依需求安排雲端安全控制內部稽核員培訓、2026 年新版差異解析、責任矩陣與文件檢查、模擬稽核，以及供應商查核輔導服務。
歡迎聯繫 ODI MORGAN 歐迪摩根技術顧問有限公司，將雲端安全要求落實到合約、設定與日常作業，提升查核與風險管理能力。
