ISO 27001認證的必要性？

我在某電商工作時，曾負責取得ISO 27001認證，今年又搞定目前公司的ISO 27001認證。要通過認證嚴格上來說不難，但是相當煩，耗時費力。

ISO27001有多少公司有？

首先，一開始會讓我有點意外的是，台灣大概只有不到兩千家的公司，持有ISO27001有效認證。但後來想想，ISO27001是資訊安全認證，因此，需要它的大都是軟體廠商，金融服務，電信服務。而台灣金融服務電信服務公司數量上其實不多，銀行就那幾十家，電信主要就三四家，加上周邊廠商，的確不會有那麼多公司，自然需要ISO27001數量也少。而軟體，電子交易，網路交易相較於其他國家，台灣算是相當的少，當然也就不需要ISO27001。絕大部分的電子製造業的品管認證，ISO9001 在台灣有超過兩萬張，數量自然比資訊安全來得多。

那麼，這樣的數量算多還是少？

這是列舉11個先進國家持有iso 27001認證的數量排序。看起來日本是最多。台灣感覺好像差日本一截。

排名	國家／地區	ISO 27001 certificates
1	🇯🇵 日本	6,644
2	🇬🇧 英國	4,455
3	🇺🇸 美國	4,260
4	🇩🇪 德國	2,444
5	🇦🇺 澳洲	2,217
6	🇹🇼 台灣	1,943
7	🇳🇱 荷蘭	1,568
8	🇰🇷 韓國	918
9	🇫🇷 法國	791
10	🇸🇬 新加坡	494
11	🇨🇭 瑞士	375

不過單就數量排序，顯然是不正確的。應該要按照公司數量，產業類別來排序。不過這樣做就搞得太複雜。這又不是學術論文。

弄的簡單的方法，以百萬人口數為單位，看看這些國家，每一百萬人有多少ISO27001證照。這種排序方法也沒什麼道理，只是可以盡量去除人口數量因素。

以 certificate / 百萬人口：

1.  新加坡 — 113.7
2. 荷蘭 — 87.1
3. 台灣 — 83.0
4. 澳洲 — 82.1
5. 英國 — 64.4
6. 日本 — 53.6
7. 瑞士 — 41.6
8. 德國 — 29.3
9. 韓國 — 17.8
10. 美國 — 12.5
11. 法國 — 11.5

這樣一排下來。台灣反而是前段班，並且新加坡很明顯多餘所有其他國家。原因也很簡單，新加坡作為東南亞金融重鎮，許多公司的總部都在新加坡。我之前工作的電商總部也在新加坡，所以雖然我在台灣，處理ISO27001證照，但證照還是會歸在新加坡總部而非台灣分公司。

而台灣其實比例上竟然也很高，跟荷蘭澳洲差不多是屬於前段。ISO的總部雖然在日內瓦，但是瑞士法國（日內瓦是瑞士法國交界城市)比例倒是沒想像中的高。

ISO27001的必要性？

有些情況下認證有必要性。

例如，政府投標項目涉及政府的「核心資通系統開發、運維、代管」或「處理機密公務個資」，招標機關為了滿足自身的資安法遵，通常會在投標須知中規定：投標廠商（或共同投標成員）必須持有有效的 ISO 27001 驗證證書。

此外，大多數的情況是在「展現本公司的基本能力」。

從另一方面來說，當公司/組織被問跟資訊安全管理情況有關的問題。例如，投資者問「請問公司資訊安全有問題嗎？」或者客戶問「我的資料放在你家安全嗎？」等等此類問題，如果你沒辦法簡單回答這句話：「很安全，你看，我們有SOC2 以及ISO27001認證」那你就得用其他的方式回答。

我還真沒想到有什麼更好更簡單的方式可以回答這個問題啊。