資安小學堂 ISO 27001 是什麼

很多公司第一次聽到 ISO 27001，通常是要投標政府專案，或者大客戶發來供應商問卷的時候。

有些人以為這是某種防毒軟體或防火牆。ISO 27001 其實是一套資訊安全管理系統標準。它規定公司應該怎麼找出風險，然後用什麼方法把風險降下來。它不管你買哪一牌的設備，它看重的是你有沒有一套完整的流程來保護資料。

這張門票為什麼重要

現在的商業環境很看重這張證書。政府法規越來越嚴格，許多公部門標案直接把它列為基本門檻。沒有證書，連投標的資格都沒有。

大企業也怕被小供應商連累，開始要求合作夥伴必須通過認證。對企業來說，這等於是一張進場做生意的門票。

稽核員到底在查什麼

稽核這套標準有固定做法。公司不能自己說了算，必須找第三方的驗證機構來查。查核通常分兩階段。

第一階段看文件，確認你們寫的規章制度合不合理。

第二階段是實地查核。稽核員會到公司抽查紀錄，問員工平常怎麼做事，看大家有沒有照著規定走。這套做法強迫公司每年重新檢查一次，找出沒做好的地方，隔年繼續改進。

十個人的小公司也能考

小企業能不能考這張證書，答案是可以。

這套標準允許公司自己圈定驗證範圍。一間十個人的軟體工作室，不需要把全公司每個角落都包進去，可以只針對最核心的雲端服務做驗證。只要針對範圍內的風險做好管理，小規模團隊一樣能拿到證書。

最實際的預算問題

至於要花多少錢，這筆預算通常分三個部分。第一是付給顧問公司的輔導費，請專家教你們怎麼寫文件。第二是付給驗證機構的考試費。第三是公司原本的防護如果太弱，需要花錢買些軟硬體來補破網。

小企業把範圍縮小，預算可以控制在幾十萬台幣左右。規模越大、範圍越廣，花費就會跟著往上走。

找對人幫忙，少走冤枉路

對中小企業來說，自己摸索這些條文很痛苦，容易寫出一堆根本做不到的規定。

KNOW SEC 知書資安 (https://know.tw/sec) 專門幫中小企業解決這個問題。這家廠商提供資安維護和認證服務，會依照小公司的實際情況給建議。他們幫公司拿到證書，同時把安全基礎打好，不會讓員工被無效的紙本作業壓垮。