ISO/IEC 27001:2022 暨 ISO 22301:2019 資料中心資訊安全與營運持續管理系統內部稽核員培訓課程
ISO/IEC 27001:2022 暨 ISO 22301:2019 資料中心資訊安全與營運持續管理系統內部稽核員培訓課程
本課程整合資訊安全與營運持續管理要求，協助資料中心人員建立風險評估、證據查核及改善追蹤能力。適合機房維運、資訊、資安、設施、服務管理、委外管理及內部稽核人員。
資料中心需要保護資訊，也需要在停電、設備故障、網路中斷或資安事件發生時維持重要服務。本課程以實際服務與中斷情境為主軸，協助人員查核管理措施是否有效。
ISO/IEC 27001 與 ISO 22301 分別管理什麼？
ISO/IEC 27001 著重資訊安全管理；ISO 22301 著重組織在中斷期間維持及恢復重要活動的能力。兩者可整合運作，但仍須分別確認各自要求。
| 比較項目 | ISO/IEC 27001:2022 | ISO 22301:2019 |
|---|---|---|
| 管理重點 | 資訊的機密性、完整性與可用性 | 中斷期間的服務持續與恢復 |
| 評估基礎 | 資訊安全風險評估與處理 | 業務衝擊分析與中斷風險評估 |
| 資料中心應用 | 權限、網路、設備、資料及實體安全 | 重要服務、人員、設施、供應商與復原安排 |
| 常見證據 | 適用性聲明、控制措施與執行紀錄 | 持續策略、應變計畫、演練與能力評估 |
整合稽核是否只需要一份查核表？
可以共用稽核計畫與報告格式，但查核表仍應標示各項準則。共同管理流程可一起查核，專屬要求則需保留足夠的查核深度。
課程應納入哪些最新修訂與法規要求？
教材應涵蓋 ISO/IEC 27001:2022 與 ISO 22301:2019，並納入兩項標準的 Amd 1:2024 氣候行動修訂。課程名稱可保留原版年份，課綱則應清楚註明修訂內容。
資料中心可將極端天氣、淹水、高溫及外部供電中斷列為情境，依所在地與服務特性評估相關性，再確認既有措施是否足夠。
| 要求來源 | 課程與稽核應確認的內容 |
|---|---|
| 管理系統標準及修訂 | 適用條文、風險、責任與執行證據 |
| 所在地及產業法規 | 適用的資安、個資、消防及設施安全要求 |
| 客戶合約與 SLA | 服務承諾、通報、復原及查核條件 |
| 委外與供應商合約 | 責任分工、支援能力及分包管理 |
法規與合約要求應依營運地點、客戶產業及資料處理角色確認。取得管理系統證書，不能直接推定所有法定義務與服務承諾都已符合。
哪些人適合參加這門整合課程？
同時參與資料中心安全與持續營運的人員，適合共同參訓。跨部門學習可協助釐清資訊系統、設施及業務服務之間的依賴關係。
| 適合對象 | 推薦學習重點 |
|---|---|
| 資訊與資安人員 | 資訊風險、控制措施及事件處理 |
| 機房與設施維運人員 | 供電、冷卻、門禁、監控與維護 |
| 營運持續及風險人員 | 業務衝擊分析、策略與演練 |
| 服務及客戶管理人員 | SLA、客戶溝通與服務恢復 |
| 採購與委外管理人員 | 關鍵供應商與外部依賴 |
| 內部稽核員與管理代表 | 整合計畫、抽樣、報告及改善追蹤 |
沒有兩項標準的基礎，可以直接參加嗎？
可以選擇含基礎導讀的課程。已有單一系統經驗者，則可著重另一系統的專屬要求與整合案例，避免重複學習。
課程應培養哪些查核能力？
學員應能將標準要求連結到資料中心服務，並以證據支持結論。建議透過停電、冷卻異常、勒索軟體或供應商中斷案例，練習跨系統查核。
| 學習主題 | 實務能力 |
|---|---|
| 範圍與責任辨識 | 確認服務、據點、系統及客戶責任邊界 |
| 風險與業務衝擊分析 | 查核評估依據、重要活動及資源需求 |
| 資訊安全控制 | 判讀權限、網路、備份與實體保護證據 |
| 持續策略與計畫 | 確認策略、資源及程序是否相互一致 |
| 演練與測試評估 | 判讀情境、結果、限制及改善事項 |
| 整合稽核實務 | 完成計畫、訪談、抽樣與報告 |
| 矯正與成效確認 | 追蹤原因分析、措施與驗證結果 |
課程可要求學員完成一份整合查核清單及案例報告。成果應清楚說明查核準則、發現事實、支持證據與改善需求。
資料中心內部稽核應查哪些現場與文件證據？
應從重要服務往下追查系統、設施、人員與供應商。只檢查設備是否存在，無法充分確認服務持續能力。
| 查核主題 | 可查阅的證據 | 主要判讀問題 |
|---|---|---|
| 實體與存取安全 | 門禁、訪客、帳號及權限紀錄 | 授權是否適當？異動是否及時？ |
| 供電與冷卻 | 維護、告警、測試及處置紀錄 | 異常能否被發現並有效處理？ |
| 備份與復原 | 備份設定、還原測試與復原紀錄 | 資料是否可用？能否支持服務恢復？ |
| 網路與通訊 | 架構、備援安排及切換測試 | 是否存在未處理的共同故障風險？ |
| 事件與應變 | 通報、值班、事件及演練紀錄 | 責任、聯絡與啟動條件是否清楚？ |
| 關鍵供應商 | 合約、能力評估及支援紀錄 | 外部支援能否符合企業需求？ |
| 客戶服務 | SLA、服務報告與溝通紀錄 | 實際能力是否支持承諾？ |
有備份、UPS 與備援設備，就代表符合要求嗎？
不能直接推定。仍需確認容量、維護、切換、還原及人員操作能力，並檢查共用電力、網路或場所是否形成共同故障點。
如何查核 RTO、RPO 與復原演練？
先確認目標的依據，再查核策略與測試結果是否支持目標。企業不能只填寫數值，而沒有對應的資源及驗證證據。
| 項目 | 意義 | 查核重點 |
|---|---|---|
| RTO | 中斷後預定恢復活動或資源的時間 | 目標是否有依據？實際恢復時間是否符合？ |
| RPO | 資料需恢復到的時間點 | 備份或複寫是否支持可接受的資料損失？ |
| 復原演練 | 驗證計畫、資源及協作能力 | 是否涵蓋啟動、恢復、驗證與溝通？ |
| 演練改善 | 處理演練發現的問題 | 是否完成改善並確認成效？ |
成功開機，就代表復原成功嗎？
不一定。還需確認資料完整性、應用功能、權限、外部連線及必要服務是否恢復，並由適當人員確認結果。
備份與災難復原是營運持續安排的一部分。完整計畫也應考量人員、客戶溝通、供應商及替代作業方式。
如何執行兩個管理系統的整合內部稽核？
以重要服務與風險安排查核，再將證據對照兩項標準。整合的目的在於建立完整結論，不能只將兩套表單合併。
| 階段 | 執行內容 | 主要成果 |
|---|---|---|
| 稽核準備 | 確認範圍、準則、風險及稽核員能力 | 稽核計畫 |
| 文件審查 | 檢視風險、BIA、控制、計畫及合約 | 查核清單 |
| 執行查核 | 訪談、抽樣、現場觀察與紀錄判讀 | 稽核證據 |
| 結論與報告 | 對照準則，區分不符合與改善建議 | 整合稽核報告 |
| 改善追蹤 | 確認措施、完成情況及成效 | 驗證與結案紀錄 |
稽核安排應維持客觀性，避免由人員查核自己負責的工作。涉及電力、消防或專業系統判定時，也應確認相應技術能力。
課程需要多久？費用如何評估？
建議依學員基礎、資料中心範圍與演練深度安排。以下為規劃建議，實際時程及費用應以 ODI MORGAN 確認的方案為準。
| 課程安排 | 建議時間 | 費用評估因素 |
|---|---|---|
| 已具備基礎的雙系統整合稽核 | 3 天 | 人數、授課方式與案例深度 |
| 含兩項標準基礎導讀 | 4 天 | 基礎內容、評量及演練 |
| 企業文件與情境工作坊 | 另行評估 | 文件數量、系統與據點範圍 |
| 現場稽核或演練輔導 | 另行評估 | 查核深度、語言及差旅 |
報價應列明教材、評量、培訓證明及課後服務。第三方驗證、設備測試與技術檢測，若有需求，應另行確認範圍及費用。
報名前，客戶常見疑問有哪些？
課程難度高嗎？
主要挑戰是理解服務與資源之間的依賴。熟悉企業流程，再透過案例練習，可逐步建立查核能力，不必以背誦條文為學習目標。
線上授課能學會內部稽核嗎？
可以安排文件判讀、訪談與報告演練。機房設施及操作能力查核，建議搭配現場練習。
課程會要求中斷正式服務嗎？
一般課程可使用模擬資料及桌上演練。若安排實際切換或復原測試，應事先確認授權、影響、回復方案及操作窗口。
可以使用公司的文件嗎？
可依課程範圍安排。演練資料宜去識別，並移除密碼、金鑰及不必要的敏感架構資訊，課前確認保密與使用方式。
結訓證明等於企業認證或第三方稽核員資格嗎？
不等於。培訓證明、企業管理系統驗證及第三方稽核員資格，各有不同的取得條件與用途。
能保證通過驗證或達到零停機嗎？
無法保證。結果取決於實際符合性、資源及持續改善；課程可協助人員辨識缺口並提升證據品質。
延伸閱讀可以搭配哪些主題？
建議依工作需求搭配以下內容：
ISO/IEC 27001 內部稽核：深化風險、適用性聲明與控制查核。
ISO 22301 營運持續管理：補強 BIA、策略與演練評估。
資訊安全事件管理：串聯事件處置與服務恢復。
供應商資訊安全第二方稽核：確認外部依賴與支援能力。
雲端資訊安全管理：釐清服務商、資料中心與使用者責任。
下一步如何執行？ODI MORGAN 推薦哪些服務？
先整理資料中心服務、營運據點、客戶承諾及參訓人員職責。若已有風險評估、BIA、復原計畫或稽核缺失，可提供去識別版本，協助確認培訓重點。
ODI MORGAN 可依需求規劃雙系統整合內部稽核培訓、資料中心文件差距檢查、BIA 與復原演練工作坊，以及模擬稽核與改善追蹤輔導。
歡迎聯繫 ODI MORGAN 歐迪摩根技術顧問有限公司，確認課綱、時程、費用與交付成果，將資訊安全與營運持續要求落實到日常維運及內部查核。
