ISO/IEC 42001:2023＋ISO/IEC 27001:2022 人工智慧與資訊安全管理系統整合內部稽核員培訓課程
ISO/IEC 42001:2023＋ISO/IEC 27001:2022 人工智慧與資訊安全管理系統整合內部稽核員培訓課程
人工智慧與資訊安全整合稽核，是以同一套查核規劃，同時確認 AI 管理系統（AIMS）與資訊安全管理系統（ISMS）的符合性及有效性。
除了保護資料與系統，也要確認 AI 用途、風險、影響及人員監督是否受到適當管理。
本課程適合 AI 開發、產品、資訊、資安、法務、風險管理及內部稽核人員。透過流程與案例演練，協助企業減少重複查核，找出 AI 導入與資訊安全之間的責任缺口。
本課程應依據哪些標準與要求？
課程以 ISO/IEC 42001:2023 及 ISO/IEC 27001:2022 為核心，納入資安標準的 Amd 1:2024 修訂，並結合企業適用的法律、合約及客戶要求。參考:https://www.iso.org/standard/88435.html?utm_source=chatgpt.com
ISO/IEC 42001 涵蓋負責任的 AI 開發、提供或使用。課程應依企業角色調整，不能只採用模型開發商的查核情境。
| 參考依據 | 課程用途 |
|---|---|
| ISO/IEC 42001:2023 | AI 治理、風險、影響及運作查核 |
| ISO/IEC 27001:2022 | 資安管理、風險及控制查核 |
| Amd 1:2024 | 資安系統組織情境相關修訂 |
| AI 風險與影響評估指引 | 支持評估方法與案例分析 |
| ISO 19011 | 稽核規劃、執行與人員能力 |
整合管理是否代表完全符合法規？
不能直接推定。企業仍需依 AI 用途、資料處理活動、產品與市場，確認個資、AI 及產業法規義務。
管理系統認證不等於模型性能保證，也不能取代特定產品的批准或合格評定。
AI 管理與資訊安全管理有哪些共同點及差異？
共同程序可以整合，但兩套系統的目的與專屬證據仍須清楚區分。資料安全，不代表 AI 輸出適當；模型表現良好，也不代表資訊受到充分保護。
| 比較項目 | AI 管理系統 | 資訊安全管理系統 |
|---|---|---|
| 核心關注 | AI 的負責任開發、提供與使用 | 資訊機密性、完整性及可用性 |
| 常見風險 | 錯誤輸出、偏差、不當用途及監督不足 | 外洩、未授權存取、竄改及中斷 |
| 專屬證據 | AI 用途、影響評估、測試及監控 | 資安風險、權限、控制及事件紀錄 |
| 可整合程序 | 文件、能力、稽核、管理審查與改善 | 可共用架構，保留專屬要求 |
一份風險評估可以涵蓋兩套系統嗎？
可以設計整合方法，但需保留不同風險的判定依據、責任及處理結果。
例如，AI 客服洩漏個資可能涉及兩個領域；未洩漏資料卻提供誤導性回覆，仍可能形成 AI 管理風險。
哪些企業與人員適合參加？
適合已使用或計畫導入 AI，且需要管理資訊風險的企業。課程可依開發、提供服務或內部使用角色安排。
| 對象 | 推薦學習重點 |
|---|---|
| AI 開發與测试團隊 | 資料、測試、版本與安全控制 |
| 產品與專案主管 | 用途、限制、核准及交付責任 |
| 資訊與資安人員 | 系統整合、權限、監控及事件 |
| 法務與風險人員 | 適用義務、影響與風險接受 |
| 採購及供應商管理 | 第三方模型、雲端與合約 |
| 內部稽核人員 | 跨系統證據與缺失判定 |
只使用第三方生成式 AI，也適合參加嗎？
適合。可聚焦於核准工具、資料輸入、输出確認、存取控制及供應商管理。
企業無須假設自己承擔所有模型開發責任，但仍應確認自身使用與整合活動。
本課程會學到哪些內容？
課程以「對照要求、盤點用途、評估風險、查核控制、追蹤改善」為主軸，練習在同一流程中取得兩套系統證據。
| 課程單元 | 學習重點 | 實務演練 |
|---|---|---|
| 整合架構與範圍 | 共同要求、角色及系統邊界 | 建立要求對照表 |
| 資產與 AI 盤點 | 系統、資料、模型及用途 | 編製活動清單 |
| 風險與影響評估 | 評估方法、處理及接受 | 分析跨領域案例 |
| 控制與適用性聲明 | 控制選擇、理由與實施證據 | 核對控制對照表 |
| 生命週期管理 | 開發、測試、部署與變更 | 追查版本更新 |
| 供應商與事件 | 委外責任、通報與改善 | 判讀合約及事件紀錄 |
| 整合稽核實務 | 抽樣、訪談、報告與追蹤 | 編製檢查表與報告 |
課程如何進行案例演練？
可抽選一項 AI 客服或文件分析服務，追查用途核准、輸入資料、權限、測試、人工審查及異常處理。
學員需分別確認 AI 與資安要求，避免看到一份安全測試報告，就判定整體 AI 管理符合。
AI 資料與生命週期應如何整合查核？
以實際系統或用途為主線，確認資料、模型及應用從導入到停用的管理安排。
| 查核階段 | AI 查核重點 | 資安查核重點 |
|---|---|---|
| 需求與選型 | 用途、限制及受影響者 | 資訊需求與服務風險 |
| 資料處理 | 来源、品質及適用性 | 授權、存取及保護 |
| 開發與測試 | 表現、問題與限制 | 開發安全及測試資料 |
| 部署與使用 | 核准、指示與監督 | 設定、帳號與操作 |
| 監控與變更 | 輸出品質及重新評估 | 日誌、弱點與變更控制 |
| 停用與退出 | 用途終止及交接 | 資料處置與權限取消 |
模型更新後，需要重新評估嗎？
應依變更性質及企業程序，確認是否需要更新風險、影響或測試。用途、資料來源或介面變更，也可能影響原本結論。
不能只確認新版本能正常執行，就忽略對既有控制與使用限制的影響。
兩套適用性聲明與控制資料可以合併嗎？
可以使用共同平台或控制追蹤表，但必須能分別辨識兩套標準的必要內容與判定。
兩套附錄 A 的控制目的與架構不同，不能直接逐項一對一取代。
| 管理項目 | 建議整合方式 |
|---|---|
| 控制來源 | 註明對應標準與企業要求 |
| 適用理由 | 連結風險、角色及適用義務 |
| 實施狀態 | 記錄措施、責任與證據 |
| 排除判定 | 分別保留合理依據 |
| 成效確認 | 共用證據，分別判斷是否有效 |
所有控制都必須實施嗎？
應依各標準要求與風險處理選擇必要控制，確認沒有遺漏，並保留適用性與排除理由。
不能全部勾選卻沒有證據，也不能因使用第三方服務就排除所有管理責任。
第三方模型與雲端供應商應如何查核？
先確認服務商負責的範圍，再查核企業自己的責任、使用方式與剩餘風險。
| 查核項目 | 建議證據 |
|---|---|
| 用途與限制 | 服務說明、使用條件及核准 |
| 資料處理 | 保存、使用、分享與退出安排 |
| 安全責任 | 合約、權限及責任矩陣 |
| 更新管理 | 版本通知、變更及影響評估 |
| 表現確認 | 適用測試、監控與異常紀錄 |
| 事件協作 | 通報、調查及客戶協助 |
| 服務退出 | 資料移轉、刪除與替代方案 |
供應商不公開模型或訓練資料，怎麼辦？
可使用服務說明、測試結果及其他可取得證據，評估資訊缺口與用途風險。
證據不足時應安排限制或補強措施，不能直接將不透明視為安全。
整合稽核如何執行與判定缺失？
先確認兩套範圍，再依用途、風險與變更安排查核。稽核團隊應具備相應能力，並維持客觀性。
| 步驟 | 主要工作 | 預期成果 |
|---|---|---|
| 1. 規劃 | 確認範圍、角色與準則 | 整合稽核方案 |
| 2. 準備 | 選擇系統、流程與樣本 | 計畫及檢查表 |
| 3. 查核 | 訪談、文件與操作核對 | 查核紀錄 |
| 4. 報告 | 分別對照要求形成發現 | 整合稽核報告 |
| 5. 追蹤 | 確認原因、措施及成效 | 結案證據 |
一項缺失可以涉及兩套標準嗎？
可以，但需逐一確認要求與證據。例如，模型更新未依程序完成影響評估及安全審查，可能同時涉及兩套系統。
報告應具體描述事實，不能僅因問題發生在 AI 系統，就自動列為雙重缺失。
課程需要多久，費用如何評估？
建議安排 3～4 天；已有單標基礎者，可依能力缺口安排補強課程。
| 課程形式 | 建議時間 | 適合需求 |
|---|---|---|
| 整合認知 | 1～2 天 | 理解兩套責任與管理方向 |
| 整合內部稽核實務 | 3～4 天 | 要求、評估及報告演練 |
| 已有單標能力的補強 | 依差距評估 | 增加另一領域與整合技巧 |
| 培訓加企業差距檢查 | 另行規劃 | 結合文件及實際用途 |
上述為課程規劃建議，並非標準指定時數。費用依人數、語言、授課方式及文件審查、評量與課後追蹤範圍評估。
第三方驗證、指定資格考試、模型及資安技術測試費用應另行確認。
報名前，客戶常見疑問有哪些？
沒有 AI 或資訊技術背景，可以參加嗎？
可以，但建議增加基礎導讀。技術測試或模型判定，仍需相應專業人員協作。
已有 ISO/IEC 27001，還需重建全部文件嗎？
不必。可共用文件、能力、稽核與改善架構，再補足 AI 治理、風險、影響及生命週期要求。
線上課程能學會整合稽核嗎？
可以安排文件判讀、訪談及案例演練，再搭配企業實際工作練習。
會教授模型開發或滲透測試嗎？
一般課程著重管理與證據查核。模型開發、性能測試或滲透測試需另行規劃。
課程證明等於兩套系統認證嗎？
不等於。培訓建立人員能力，組織認證仍需完成實施及第三方審核。
能保證通過認證或 AI 不出錯嗎？
無法保證。成效取決於控制、測試、監控及改善，課程可協助提早辨識管理缺口。
延伸閱讀：可以搭配哪些課程？
ISO/IEC 42001 AI 治理與風險管理：深化 AI 專屬查核。
ISO/IEC 27001 資訊安全管理：補強資安基礎。
ISO/IEC 27701 隱私資訊管理：處理 AI 使用中的個資責任。
供應商第二方稽核：確認第三方 AI 與雲端服務。
下一步如何執行？ODI MORGAN 可以提供哪些服務？
先提供 AI 用途、資安系統範圍、企業角色及參訓人員，再規劃課程。現有風險評估、適用性聲明、使用政策及稽核缺失，可作為演練依據。
ODI MORGAN 可依需求安排 AI 與資安整合內部稽核員培訓、風險與影響評估演練、控制及文件差距檢查，以及模擬稽核與改善輔導服務。
歡迎聯繫 ODI MORGAN 歐迪摩根技術顧問有限公司，將 AI 治理與資訊安全整合到實際流程，提升查核效率與風險管理能力。
