ISO/IEC 27036 供應鏈資訊安全管理內部稽核員培訓課程
ISO/IEC 27036 供應鏈資訊安全管理內部稽核員培訓課程
ISO/IEC 27036 是供應商關係資訊安全系列標準，協助採購方與供應方管理產品、服務及委外活動中的資訊安全風險。企業可透過需求、合約、履約監督與退出安排，降低外部合作造成的管理缺口。參考:https://www.iso.org/standard/82905.html?browse=tc&utm_source=chatgpt.com
本課程適合採購、資訊、資安、法務、供應商管理及內部稽核人員。透過供應商分級、合約與紀錄演練，學習確認安全要求是否落實，避免只收集證書或問卷，卻未查核實際服務。
本課程應採用 ISO/IEC 27036 的哪些部分？
ISO/IEC 27036 是系列標準，課綱應列明部分與版本。企業可依一般委外、硬體軟體採購或雲端服務需求，調整授課深度。
| 標準部分 | 主要內容 | 課程應用 |
|---|---|---|
| ISO/IEC 27036-1:2021 | 概觀與概念 | 理解採購方、供應方與責任 |
| ISO/IEC 27036-2:2022 | 要求 | 建立供應商關係安全管理 |
| ISO/IEC 27036-3:2023 | 硬體、軟體及服務供應鏈安全指引 | 查核多層供應及交付風險 |
| ISO/IEC 27036-4:2016 | 雲端服務安全指引 | 查核雲端採購與提供關係 |
系列中第 2 部分提供要求，第 3、4 部分提供特定情境指引，不能將所有部分視為相同性質。
第 4 部分是否涵蓋所有雲端安全與營運持續要求？
不是。它著重雲端取得與提供關係的安全風險，不涵蓋完整營運持續議題，也不取代雲端服務商內部安全控制指引。參考:https://www.iso.org/standard/59689.html?utm_source=chatgpt.com
課程可視需求搭配 ISO/IEC 27017 或營運持續管理內容，但應分別確認查核依據。
供應鏈資安與一般供應商評估有什麼不同？
一般供應商評估常關注價格、品質與交期；供應鏈資安還需確認資料、存取、技術依賴及事件協作。
| 比較項目 | 一般供應商評估 | 供應鏈資訊安全管理 |
|---|---|---|
| 主要風險 | 品質、成本與交付 | 資訊外洩、竄改、未授權存取及中斷 |
| 評估資料 | 規格、績效與商業能力 | 安全能力、責任及控制證據 |
| 合約重點 | 價格、交期與驗收 | 存取、保密、事件、變更及退出 |
| 持續監督 | 供貨表現 | 安全履約、風險變化與改善 |
已有 ISO/IEC 27001，還需要本課程嗎？
可依需求補強。ISO/IEC 27036 有助於將供應商安全要求落實到採購、合約、交付及服務終止流程。
企業可沿用既有資安管理架構，再補足跨部門與外部合作的查核方法。
哪些委外活動需要納入評估？
應依供應商對資訊、系統與重要服務的影響決定範圍，不能只評估名稱含「資訊」的廠商。
| 活動類型 | 可能涉及的風險 |
|---|---|
| 系統開發與維護 | 程式、管理權限及變更 |
| 雲端與 SaaS | 資料處理、服務依賴與退出 |
| 硬體與軟體採購 | 來源、更新及交付完整性 |
| 薪資、客服及資料處理 | 個資、保密與轉委外 |
| 設備遠端維護 | 網路連線及特權操作 |
| 文件銷毀或設備處置 | 剩餘資訊與處置證據 |
小型供應商也要填寫完整資安問卷嗎？
不一定。要求應與風險、服務範圍及供應商能力相稱。
低風險服務可採簡化審查；具有重要存取或資料處理責任的供應商，則需要較深入證據。
本課程會學到哪些內容？
課程以「辨識供應商、分級風險、設定要求、查核履約、追蹤改善」為主軸，涵蓋合作生命週期。
| 課程單元 | 學習重點 | 實務演練 |
|---|---|---|
| 標準與適用範圍 | 系列定位及角色責任 | 建立活動清單 |
| 風險與分級 | 資料、存取、依賴及影響 | 編製分級表 |
| 選擇與核准 | 能力、證據與剩餘風險 | 判讀供應商資料 |
| 合約與要求 | 責任、變更、事件及退出 | 檢查合約案例 |
| 履約監督 | 紀錄、績效及異常處理 | 追查委外流程 |
| 多層供應管理 | 上游、轉委外及透明度 | 分析供應链案例 |
| 稽核與改善 | 抽樣、訪談、報告及追蹤 | 撰寫稽核發現 |
課程是否包含法規內容？
可依資料活動、所在地及產業，納入適用法律與合約案例。個資、跨境移轉或特定產業義務，仍需分別確認，不能只靠資安證書證明全部符合。
供應商風險分級應考量哪些因素？
應評估實際合作活動，而不是只看供應商規模或品牌。分級結果需要連結到審查深度與監督頻率。
| 評估因素 | 建議問題 |
|---|---|
| 資料敏感度 | 接觸哪些資料，影響有多大？ |
| 存取權限 | 是否可進入系統或執行管理操作？ |
| 服務重要性 | 中斷會影響哪些業務？ |
| 供應鏈透明度 | 是否有上游或轉委外？ |
| 替代能力 | 是否容易更換或移轉？ |
| 安全表現 | 是否有事件、缺失或改善紀錄？ |
| 適用要求 | 是否涉及特殊法律或客戶義務？ |
同一供應商可以有不同風險等級嗎？
可以依不同服務或活動分別評估。一般產品供應與具遠端管理權限的服務，可能需要不同要求。
不能因某項服務已核准，就自動核准該供應商的所有活動。
合約與安全要求應如何查核？
先確認風險與需求，再檢查合約是否清楚分配責任，並能取得履約證據。
| 合約面向 | 查核重點 |
|---|---|
| 資料與用途 | 範圍、保密及允許的處理方式 |
| 帳號與存取 | 核准、限制、紀錄及取消 |
| 事件協作 | 通知、調查、資訊更新與責任 |
| 轉委外 | 條件、資訊提供及要求傳遞 |
| 變更管理 | 服務、技術或來源變更 |
| 查核安排 | 可取得的報告、紀錄或評估權利 |
| 終止與退出 | 交接、資料處置及資產歸還 |
合約簽了，是否就代表要求已落實？
不足。還須核對帳號、操作、服務報告與實際交付。
例如，合約要求作業後取消臨時權限，但帳號仍長期有效，就可能存在執行缺口。
供應商證書、問卷與測試報告應如何判讀？
證據應與實際採購服務一致，並確認範圍、期間及限制。不同資料提供的保證程度不同。
| 證據類型 | 建議確認事項 |
|---|---|
| 管理系統證書 | 有效狀態、場所及服務範圍 |
| 資安問卷 | 回答是否有支持紀錄 |
| 獨立查核報告 | 涵蓋期間、例外與客戶責任 |
| 測試報告 | 測試範圍、結果及改善 |
| 履約紀錄 | 是否反映實際服務與要求 |
| 改善報告 | 是否完成措施與有效性確認 |
無法取得完整技術資料，如何評估？
可依風險取得適當摘要、訪談、紀錄或其他替代證據，並記錄評估限制。
證據不足時，應確認剩餘風險與補強措施，不能直接視為符合。
合作變更與服務退出應檢查什麼？
合作期間的服務、存取與上游變更，可能改變原評估結果。終止時也需要確認資料、帳號與交接完成。
| 階段 | 建議證據 |
|---|---|
| 服務變更 | 通知、風險評估與核准 |
| 轉委外變更 | 來源、要求及責任確認 |
| 事件或重大缺失 | 調查、改善與重新評估 |
| 終止合作 | 帳號取消、資料處置及資產歸還 |
| 移轉服務 | 接收能力、交接與結果確認 |
停止付款或合約到期，就算完成退出嗎？
不是。還需依約處理存取、資料、設備及必要知識，避免服務終止後仍留下權限或資訊。
內部稽核與第二方稽核有什麼差別？
本課程主要查核企業自己的供應商管理流程；第二方稽核則直接查核供應商，兩者可以搭配。
| 項目 | 內部稽核 | 第二方供應商稽核 |
|---|---|---|
| 對象 | 企業自身管理流程 | 外部供應商 |
| 重點 | 評估、合約與監督是否落實 | 約定要求與能力是否符合 |
| 依據 | 標準、程序及適用要求 | 合約、規格及約定準則 |
| 結果 | 內部改善 | 核准、風險判定及改善追蹤 |
缺失如何寫得具體？
例如，企業程序要求高風險供應商定期複評，但抽查發現已逾期，且沒有例外核准或風險處理紀錄。
報告應列明要求、樣本及事實。改善不只補一次評估，也應確認排程與追蹤機制。
課程需要多久，費用如何評估？
一般建議安排 2 天；加入企業合約、供應商分級及查核案例者，可規劃 3 天。
| 課程形式 | 建議時間 | 適合需求 |
|---|---|---|
| 基礎認知 | 1 天 | 理解採購與安全責任 |
| 內部稽核實務 | 2 天 | 評估、合約及報告演練 |
| 企業案例深化 | 3 天 | 結合實際委外活動 |
| 培訓加差距檢查 | 另行評估 | 改善既有制度 |
上述為規劃建議，並非標準指定時數。費用依人數、語言、授課方式及文件審查、評量與課後追蹤範圍評估。
供應商現場稽核、技術測試、指定資格考試及第三方評估費用應另行確認。
報名前，客戶常見疑問有哪些？
採購或法務沒有技術背景，可以參加嗎？
可以。課程可從風險、合約與責任切入，技術判定則需相關人員協作。
一定要要求所有供應商取得資安證書嗎？
不一定。應依風險與適用要求決定證據，證書不是唯一方式，也不能取代履約確認。
已有供應商評分表，還需要培訓嗎？
可檢查是否涵蓋資料、存取、事件、轉委外及退出風險，再依缺口安排課程。
完成課程就取得 ISO/IEC 27036 認證嗎？
不能。培訓建立人員能力；如需第三方評估，應另行確認方案、準則與證書性質。
可以使用企業合約與供應商資料嗎？
可以使用去識別資料，並先確認保密、授權及使用範圍。
能保證供應商不發生事件嗎？
無法保證。課程可協助改善選擇、監督與協作能力，成效仍取決於措施執行與持續驗證。
延伸閱讀：可以搭配哪些課程？
ISO/IEC 27001 資訊安全管理：整合風險与控制。
供應商資安第二方稽核：深化外部查核能力。
ISO/IEC 27035 事件管理：強化供應商事件協作。
雲端安全與個資保護：補足雲端委外管理。
下一步如何執行？ODI MORGAN 可以提供哪些服務？
先提供委外活動、供應商類型、參訓人員與目前問題，再規劃課程。現有分級表、合約、評估紀錄及稽核缺失，可作為演練依據。
ODI MORGAN 可依需求安排 ISO/IEC 27036 供應鏈資安內部稽核員培訓、風險分級與合約查核、管理文件差距檢查，以及模擬稽核與供應商查核輔導服務。
歡迎聯繫 ODI MORGAN 歐迪摩根技術顧問有限公司，將供應鏈資安要求落實到採購、履約與退出流程，提升委外管理及內部查核能力。
