ISO/IEC 27001 供應商資訊安全第二方稽核員培訓課程
ISO/IEC 27001 供應商資訊安全第二方稽核員培訓課程
ISO/IEC 27001 供應商資訊安全第二方稽核員培訓，協助企業依採購服務、合約與資訊風險，查核外部供應商的安全管理能力。適合資訊、資安、採購、法務、委外管理及供應商品質人員。
企業將系統、資料或維運工作交由供應商處理後，仍需管理相關風險。本課程著重稽核規劃、訪談、證據判讀與改善追蹤，協助企業確認供應商承諾是否落實。
什麼是供應商資訊安全第二方稽核？
第二方稽核是由客戶，或代表客戶的人員，對供應商執行查核。目的在於確認供應商是否符合約定要求，以及其服務風險是否受到適當管理。
查核對象可包括雲端服務商、軟體開發商、資訊維運商、資料中心，以及會接觸企業系統或敏感資料的外包服務商。
第二方稽核與內部稽核、第三方驗證有何不同？
三者的查核立場與目的不同，課程結訓也不等於取得第三方驗證稽核員資格。
| 類型 | 查核對象 | 主要目的 |
|---|---|---|
| 第一方內部稽核 | 自己的組織 | 確認管理系統符合性與有效性 |
| 第二方供應商稽核 | 外部供應商 | 確認採購、合約及風險管理要求 |
| 第三方驗證稽核 | 申請驗證的組織 | 依驗證方案評估管理系統符合性 |
課程應採用哪些標準與要求？
課程應以 ISO/IEC 27001:2022 為基礎，納入 Amd 1:2024 氣候行動修訂內容。實際供應商稽核則須結合服務範圍、合約、企業政策與適用法規，建立明確準則。參考:https://www.iso.org/standard/27001?archive=all&utm_source=chatgpt.com
供應商管理可進一步參考 ISO/IEC 27036 系列。其中第 2 部分涵蓋供應商與採購方關係的資訊安全要求，第 3 部分提供硬體、軟體及服務供應鏈安全指引。參考:https://www.iso.org/standard/82060.html?browse=tc&utm_source=chatgpt.com
| 依據 | 課程中的用途 |
|---|---|
| ISO/IEC 27001:2022 及適用修訂 | 理解資訊安全管理系統、風險與控制選擇 |
| ISO/IEC 27002:2022 | 協助理解資訊安全控制的實施方式 |
| ISO/IEC 27036 適用部分 | 補強供應商關係與供應鏈管理 |
| 合約、服務規格與企業政策 | 確認供應商必須履行的要求 |
| 適用法規與客戶要求 | 確認資料保護、事件通報等相關義務 |
供應商是否必須符合全部 ISO/IEC 27001 控制？
不能一概而論。稽核範圍應依風險、合約與服務內容確定；涉及管理系統符合性時，還需查閱適用性聲明及控制選擇理由，不能將所有控制直接列為供應商必備條件。
哪些人適合參加這門課程？
負責供應商選擇、委外服務監督或資訊安全查核的人員，適合參加。跨部門共同學習，有助於將採購條件轉化為可查核的要求。
| 適合對象 | 推薦學習重點 |
|---|---|
| 資訊與資安人員 | 系統存取、安全控制與技術證據 |
| 採購與委外管理人員 | 風險分級、合約要求與供應商追蹤 |
| 法務與個資管理人員 | 保密、資料處理及責任分工 |
| 內部稽核與供應商稽核人員 | 計畫、訪談、抽樣及缺失判定 |
| 服務與專案主管 | 服務變更、交付及終止風險 |
已有 ISO/IEC 27001 基礎者，可著重供應商案例與查核演練。初學者則建議先補足資訊風險、控制及稽核基本概念。
課程應培養哪些實務能力？
課程成果應包括稽核計畫、查核清單與稽核報告。學員需要練習從服務情境提出問題，再以證據支持結論。
| 學習主題 | 實務能力 |
|---|---|
| 供應商風險分級 | 依資料敏感度、存取權限與服務重要性安排查核 |
| 稽核準則與範圍 | 將合約、政策與標準轉化為查核項目 |
| 文件審查 | 判讀證書範圍、程序、紀錄及服務說明 |
| 訪談與抽樣 | 選擇人員、期間與案例，確認實際執行情況 |
| 缺失與報告撰寫 | 清楚記錄準則、事實與證據 |
| 改善追蹤 | 確認原因、矯正措施與執行成效 |
課程會包含哪些供應商案例？
建議安排遠端維運、軟體委外及雲端服務案例。例如從離職人員帳號抽樣，確認停權流程是否落實；或從服務終止案例，查核資料返還與刪除安排。
供應商稽核應查哪些證據？
應查閱與採購服務直接相關的證據，並確認制度、紀錄與實際作業是否一致。只有政策文件或問卷回答，通常不足以支持完整結論。
| 查核主題 | 可查閱的證據 | 評估重點 |
|---|---|---|
| 服務與驗證範圍 | 合約、證書、服務清單 | 是否涵蓋實際採購服務及據點 |
| 人員與存取管理 | 帳號、權限核准及停權紀錄 | 權限是否適當並及時調整 |
| 資料保護 | 資料流、傳輸與保存規則 | 保護措施是否符合約定 |
| 事件管理 | 通報程序、事件與演練紀錄 | 是否具備約定的聯絡及回應能力 |
| 分包管理 | 分包清單、審查及合約 | 責任是否延伸至相關分包商 |
| 持續營運 | 備份、復原測試及應變紀錄 | 恢復能力是否符合服務需求 |
| 服務終止 | 帳號撤銷、資料返還與刪除紀錄 | 終止後的存取與資料是否妥善處理 |
供應商有 ISO/IEC 27001 證書，還需要查核嗎？
仍應依風險決定。證書可作為評估資料，但須確認有效性、範圍及採購服務是否被涵蓋，再補查合約承諾與服務實際執行證據。
如何安排一次供應商資訊安全稽核？
先確認查核權限、範圍與資料使用方式，再進行文件審查及訪談。稽核深度應與供應商風險相稱。
| 階段 | 主要工作 | 交付成果 |
|---|---|---|
| 1. 風險評估 | 確認資料、權限與服務依賴 | 風險分級與查核優先順序 |
| 2. 稽核準備 | 確認準則、權限、人員及保密安排 | 稽核計畫與清單 |
| 3. 文件審查 | 檢視合約、證書及必要紀錄 | 待釐清事項 |
| 4. 執行查核 | 訪談、抽樣及適當的操作展示 | 稽核證據 |
| 5. 報告與溝通 | 確認事實、要求與改善期限 | 稽核報告 |
| 6. 改善驗證 | 審查措施並確認成效 | 結案或後續追蹤紀錄 |
供應商不願提供敏感文件，怎麼處理？
可協商遮蔽資料、現場閱覽、操作展示或第三方報告等替代證據。若證據仍不足，應記錄查核限制與未確認事項，交由有權責的人員評估剩餘風險。
課程需要多久？費用如何評估？
建議依學員基礎及演練深度安排。以下為規劃建議，實際課綱、時程與報價應以確認方案為準。
| 課程安排 | 建議時間 | 費用評估因素 |
|---|---|---|
| 已具備資安基礎的第二方稽核實務 | 2 天 | 人數、授課方式及案例演練 |
| 含 ISO/IEC 27001 基礎導讀 | 3 天 | 基礎內容、評量及報告練習 |
| 企業供應商文件工作坊 | 另行評估 | 文件數量、服務類型與客製深度 |
| 實際供應商稽核輔導 | 另行評估 | 據點、範圍、語言及差旅 |
詢價時應確認教材、評量、培訓證明與課後服務是否包含在報價內。供應商現場查核、第三方驗證及技術測試費用，應另行列明。
報名前，客戶常見疑問有哪些？
沒有資訊技術背景，可以參加嗎？
可以。採購與法務人員可先學習風險、合約及證據判讀；涉及技術控制的專業判定時，建議與資訊或資安人員共同查核。
課程難度高嗎？
難度主要在於將要求連結到服務情境。透過合約、帳號紀錄與事件案例練習，可逐步建立能力，無須以背誦全部控制作為學習目標。
線上課程能學會第二方稽核嗎？
可以安排文件審查、訪談與報告演練。若工作涉及現場設施或複雜系統，建議再搭配實務查核。
課程會教滲透測試嗎？
本課程著重管理與控制證據查核。滲透測試屬不同技術範圍，執行前須另行確認授權、方法及服務內容。
結訓後就能獨立執行所有供應商稽核嗎？
不能直接推定。企業仍須確認人員的標準知識、服務理解、技術能力與查核經驗，並安排適當的稽核範圍。
課程能保證供應商不發生資安事件嗎？
無法保證。稽核是特定範圍與期間的抽樣評估，企業仍需持續監督供應商、追蹤變更及確認改善成效。
延伸閱讀可以搭配哪些主題？
建議依職務搭配以下內容，補強供應商全生命週期管理：
ISO/IEC 27001 內部稽核員培訓：建立管理系統查核基礎。
ISO/IEC 27036 供應鏈資訊安全：深化供應商關係與分包管理。
雲端資訊安全與個資保護：釐清責任分工及資料處理要求。
資訊安全事件與營運持續：確認通報、應變及復原能力。
稽核缺失判定與報告撰寫：提升結論與改善要求的明確性。
下一步如何執行？ODI MORGAN 推薦哪些服務？
先整理供應商類型、採購服務、資料存取範圍及參訓人員職責。若已有供應商問卷、合約或稽核缺失，可提供去識別版本，用於確認培訓重點。
ODI MORGAN 可依需求規劃供應商資訊安全第二方稽核培訓、風險分級與查核清單工作坊，並搭配模擬稽核、報告撰寫及改善追蹤輔導。
歡迎聯繫 ODI MORGAN 歐迪摩根技術顧問有限公司，確認課綱、時程、費用與交付成果，將供應商資安要求轉化為可執行、可追蹤的查核能力。
