ISO 27001認證的必要性？

我在某電商工作時，曾負責取得ISO 27001認證，今年又搞定目前公司的ISO 27001認證。要通過認證嚴格上來說不難，但是相當煩，耗時費力。

ISO27001有多少公司有？

首先，一開始會讓我有點意外的是，台灣大概只有不到兩千家的公司，持有ISO27001有效認證。但後來想想，ISO27001是資訊安全認證，因此，需要它的大都是軟體廠商，金融服務，電信服務。而台灣金融服務電信服務公司數量上其實不多，銀行就那幾十家，電信主要就三四家，加上周邊廠商，的確不會有那麼多公司，自然需要ISO27001數量也少。而軟體，電子交易，網路交易相較於其他國家，台灣算是相當的少，當然也就不需要ISO27001。絕大部分的電子製造業的品管認證，ISO9001 在台灣有超過兩萬張，數量自然比資訊安全來得多。

那麼，這樣的數量算多還是少？

這是列舉11個先進國家持有iso 27001認證的數量排序。看起來日本是最多。台灣感覺好像差日本一截。

排名	國家／地區	ISO 27001 certificates
1	🇯🇵 日本	6,644
2	🇬🇧 英國	4,455
3	🇺🇸 美國	4,260
4	🇩🇪 德國	2,444
5	🇦🇺 澳洲	2,217
6	🇹🇼 台灣	1,943
7	🇳🇱 荷蘭	1,568
8	🇰🇷 韓國	918
9	🇫🇷 法國	791
10	🇸🇬 新加坡	494
11	🇨🇭 瑞士	375

不過單就數量排序，顯然是不正確的。應該要按照公司數量，產業類別來排序。不過這樣做就搞得太複雜。這又不是學術論文。

弄的簡單的方法，以百萬人口數為單位，看看這些國家，每一百萬人有多少ISO27001證照。這種排序方法也沒什麼道理，只是可以盡量去除人口數量因素。

以 certificate / 百萬人口：

1.  新加坡 — 113.7
2. 荷蘭 — 87.1
3. 台灣 — 83.0
4. 澳洲 — 82.1
5. 英國 — 64.4
6. 日本 — 53.6
7. 瑞士 — 41.6
8. 德國 — 29.3
9. 韓國 — 17.8
10. 美國 — 12.5
11. 法國 — 11.5

這樣一排下來。台灣反而是前段班，並且新加坡很明顯多餘所有其他國家。原因也很簡單，新加坡作為東南亞金融重鎮，許多公司的總部都在新加坡。我之前工作的電商總部也在新加坡，所以雖然我在台灣，處理ISO27001證照，但證照還是會歸在新加坡總部而非台灣分公司。

而台灣其實比例上竟然也很高，跟荷蘭澳洲差不多是屬於前段。ISO的總部雖然在日內瓦，但是瑞士法國（日內瓦是瑞士法國交界城市)比例倒是沒想像中的高。

ISO27001的必要性？

有些情況下認證有必要性。

例如，政府投標項目涉及政府的「核心資通系統開發、運維、代管」或「處理機密公務個資」，招標機關為了滿足自身的資安法遵，通常會在投標須知中規定：投標廠商（或共同投標成員）必須持有有效的 ISO 27001 驗證證書。

此外，大多數的情況是在「展現本公司的基本能力」。

從另一方面來說，當公司/組織被問跟資訊安全管理情況有關的問題。例如，投資者問「請問公司資訊安全有問題嗎？」或者客戶問「我的資料放在你家安全嗎？」等等此類問題，如果你沒辦法簡單回答這句話：「很安全，你看，我們有SOC2 以及ISO27001認證」那你就得用其他的方式回答。

我還真沒想到有什麼更好更簡單的方式可以回答這個問題啊。

要如何快速幫公司取得 ISO 27001 資訊安全管理 認證

在這個AI全面發展的時代，資訊安全的維護已經越來越艱難，畢竟破壞比建設容易，攻擊比防守簡單。

不過，對於消費性市場，一般消費者看起來不那麼介意。

例如：網站momo有ISO 27001認證，但其實最大的蝦皮卻沒有ISO認證。台灣最大的幾個網路書店，也都沒有ISO 27001資訊安全認證。市佔率最高的幾個賣衣服的台灣電商（擁有獨立的網站）也都沒有ISO 27001認證。

對於企業市場B2C，有沒有ISO認證，感覺像是一個「你得有才能證明你有基本的資訊安全控制」。所以SaaS相關，跨足B2C，營業範圍超越台灣的台灣廠商，大部分都是有ISO認證。例如91APP，它既然幫人做網站，自然就要想辦法證實自己的安全得以控制。

所以，需不需要ISO 27001認證，其實端看公司客戶，如果是消費性客戶，那其實還好，沒這麼多人在意。但如果是企業客戶，牽涉到企業採購，企業的負責人當然會想知道最低程度的安全性控制。

ISO要花多少錢。

如果你的業務範圍不只台灣的話，你需要國外的Agent來幫忙，並且最好有個自動化工具。那恐怕直接費用要花個50萬台幣。

目前，對於小企業來說，許多人會推薦Drata，一個月大概600美金，至少需要3個月，實際上恐怕要半年。一般而言，幫你搞定文件跟包auditor的agent收費差不多15000美金。所以至少16800美金，差不多五十多萬台幣！

相當貴啊

如果你是要幫公司取得ISO認證的負責人（先不管你的職位是什麼），即使你不擔心費用，你也得有效的控制時間成本。畢竟在取得ISO的當下，公司不會多賺錢，而如果控制不當，大家都要花很多時間啊。

ISO 27001取得的意義

ISO 27001本身其實是設定「資訊安全標準」運作方式。他的邏輯是，你先設定好公司的各種policy，然後根據這些policy設定管理監督方式，然後auditor(稽核)取得管理監督方式的證據，然後auditor就會說「啊！你們很好，你們通過了ISO認證」


在有企業客戶的情況，如果企業客戶問你「請問貴公司對於資訊安全的防護措施為何？我如何香相信貴公司對我資料儲存在公司有保障？」

有ISO認證的話，你就可以先簡單回答一句話「我們有ISO的認證」然後再開始吹噓細節「其實我們會先....然後再....然後又....」 對方如果不是資訊安全專業人士，大概只會聽到第一句話，你有ISO認證，就勉強相信你們大概不會亂搞

如何幫公司取得ISO 

如果你是負責ISO取得的人，那最簡單的流程如下

(1) 你得先去找顧問公司，實務上就是認證協助機構，談好價錢，簽約，請他們來幫忙

(2) 顧問公司，會花一段時間，搞出一堆文件，條列出該裝東西的清單，以及告訴你們需要做的事情。例如：公司內部系統登入是不是都有2FA？重要資料庫是否有設定自動備份？有沒有災難復原模擬？

(3) 你得花時間，組織公司內部團隊，去做那些該做的事情。如果你們公司從來沒有考慮過妥善的內部管理，那恐怕你得花上3~4個月，讓公司的有基本的內部管理

(3) 準備好了之後，顧問公司，會去幫你找到稽核機構來做稽核。稽核的結果會由稽核送到ISO組織認證。通常稽核說沒問題的。認證是一定會通過。

(4) 稽核本身需要兩次，間隔兩週，每次可能2~4天，端看組織規模大小。

(5) 稽核沒問題之後，到拿到ISO還需要4~5週的文件往來時間。

流程裡面有很多情況會讓時間拖很久。你作為負責人，當然希望ISO取得越短越好。

所以，「時間」是你要控制的重要資源。

快速ISO取得的秘訣

* 盡可能縮小ISO27001認證範圍：

   這應該是最重要，最需要先搞定的事情。大部分的公司組織，無論人多人少，都有既定的產品線，部門等等，千萬不要以為認證說要涵蓋整個公司，讓稽核檢查所有東西，對公司來說是賺到了！其實剛好相反。因為當你拿到認證的時候，雖然認證報告上面會說ISO的範圍，可是你的客戶根本不會去看長達數十頁上百頁的報告，他只會看ISO LOGO，而不管認證範圍多還是少，LOGO都長一樣啊。所以作為ISO負責人，快速取得ISO就應該要盡可能縮小認證範圍。當然可以跟老闆解釋縮小範圍可以更早取得，取得風險更低。舉例來說，如果公司有幾個不同的web service，可就最重要的一個產品，申請ISO，然後範圍只涵蓋該產品的研發單位，營運以及相關HR，不含蓋財務，法務，以及其他產品線。在這情況下，如果稽核要檢查雲端建設，例如使用了Amazon的某些服務，就只會檢驗跟這個產品線有關係的。而且ISO的policy文件，也只會需要相關的。

  這絕對不是投機取巧！也不會降低稽核力道！但絕對是快速取得ISO的第一件要做的事情。盡可能縮小範圍。

* 如果經費許可，小公司盡可能在創業初期取得ISO

這個道理也是跟縮小範圍一樣。如果取得ISO對未來業務很重要。小公司盡可能早點取得ISO，因為公司還沒有很多人，產品可能剛上線不久，任何東西要改動反而成本比較低，更重要的是許多policy文件，會因為公司規模實在太小，太年輕了，所以稽核無法檢驗。例如，HR的稽核通常包含離職程序，一個剛剛成立的小新創，搞不好根本還沒有人離職，繁冗的離職程序自然不會被抽檢。

* 必要的會議以及按時執行的任務先設定行事曆，設定好簡單的會議記錄格式！：

這點看似簡單。但其實很重要，也很容易被忽略。企業一定會有線上行事曆（google calendar之類）一但開始搞ISO 27001要把所有相關會議，與會人等，先設定好會議通知。根據公司規模範圍大小不同，會議內容當然有所不同。但最最基本的，一定要有

(a)每季一次的ISMS主管會議，討論風險，安全性指標等等

(b)每季一次的working meeting，基本上最好在ISMS會議之前，討論實際上的事情。例如防火牆設定有沒有問題，crowdstrike太貴要不要換廠商等等，

(c)每年一次的penetration test/ db backup restore/

(d)每季一次的access check(有沒有離職的人帳號還沒刪等等)

(e)....其他

重點在於一但會議通知寄出 最好伴隨一張googlesheet link這個link也當作會議記錄的地方使用。這樣auditor會看得非常清楚，也知道組織有按照時間做事情。行事曆不是只有做會議通知用，也要當作「記錄什麼時間該做什麼事情」使用

* 請顧問提供標準的policy(政策)文件，但是，利用AI盡可能刪掉不必要的部分。

ISO的policy文件，表示公司對某些事情打算怎麼做。大多公司都採用顧問標準版本。但要注意！這個版本是可以改的，對於稽核來說那是公司跟顧問一起設計的。內容是怎麼來的對稽核來說不重要，重要的是有沒有遵循！由於文件太多，所以盡可能利用AI，要求AI刪除不必要的部分。文件內容越少，稽核能檢查的越少。更重要的是，如果公司提供了policy文件，被稽核檢查到沒遵守，在ISO的稽核過程，是不可以「改文件的」，如果是重大問題，那就會稽核不過啊！無論是從新稽核還是怎樣都會浪費更多時間。

* 利用AI審閱policy文件，必須要特別強調沒有彈性的規則要事先表列，可以刪就刪掉。

舉例來說policy如果有說「所有資料庫都要備份」那稽核就會去檢查所有資料庫。如果你的測試用資料庫沒備份，那還是違反了政策。因此，當然是寫「重要資料庫要備份」，什麼是重要就可以自行定義。

* 盡可能利用已存在/免費工具

許多安全性要求都包含防毒軟體，end-to-end protection，DLP (Leak protection) 等等。這些就算你沒寫入policy中，auditor也會根據"實務上最佳做法"來查核。換言之，如果你說你沒把裝防毒軟體寫到文件中就可以不裝，那是不行的。

然而，你不見得要花錢裝，也不見得要去用風險高的工具。例如windows內建內建的防毒軟體 Microsoft Defender 以及Windows 資訊防護DLP，你只要確定都有打開並且截圖作為證據即可。Mac XProtect也有類似的功能。

另外，大部分的policy都會寫要有教育訓練，畢竟，資訊安全最重要的是「員工的認知」，其次才是工具。其實ISO只要要求有教育訓練，從來不會看教育訓練的內容。所以，只要網路搜尋，找到適合簡單的教育訓練材料或者video確保員工都有"看完"就好。

有些甚至還有簡單的證書，例如關於個人資料防護的-> https://securityawareness.dcsa.mil/piiv2/content/index.html 這個課程上完還會給你證書 只要要求員工把證書上傳到公司的share drive就可以。

* google workspace會讓小公司生活的很方便

如果公司一開始就已經用google workspace那麼很多安全性的工作就會變得很簡單，例如所有我們用的工具都需要設定MFA並且要證明。但是如果我們先證明我們的gmail有設定MFA，而我們所有工具都是用google login(gmail login)那就等同於其他所有工具都有MFA。

* 如果公司有經費的話，盡量使用認證工具，例如Drata

 Drata並不便宜，每種認證架構每個月要600~800美金不等。雖說稽核應該公正無私，跟工具無關，但視覺大部分的稽核，都喜歡直接使用工具上的列表清單來稽核，因為這樣對他的工作方便，當然，一但稽核越方便工作，你拿到ISO的時間會越短。

* 要找曾經被稽核過，有經驗的人來參與（如果你不曾經歷過完整的ISO認證稽核的話)

經驗很重要，這很難從AI或者網路上看一看文章取得。問題在於，你花錢請的顧問公司，不就是有經驗，要幫助你的人嗎？有時候是，但有時候不是。顧問公司的目的在於讓你取得ISO，以及，「證明他有價值」。如果顧問公司讓你覺得ISO很容易，那以後你推薦他或者繼續使用他的機率就變低。

換言之，大部分顧問會傾向把事情搞得比較大。他通常不會建議ISO範圍縮小等等這種其實更重要的事情。

所以，有時候取得有經驗的人當「額外顧問」會有相當大的幫助。