資訊安全管理 (ISO/IEC 27001) 驗證

ISO/IEC 27001 定義了資訊安全管理系統 (ISMS) 要求，以保護資訊的機密性、完整性和可用性。它是基於風險的：組織評估其自身的資產和威脅，並在適用性聲明 (SoA) 中記錄其將應用的附件 A 中的控制措施及其基本原理。目前版本是 ISO/IEC 27001:2022，附件 A 包含四個主題下的 93 項控制措施。

• 軟體、SaaS 和雲端服務供應商
• 金融、醫療保健和電子商務組織處理客戶數據
• Suppliers required to answer enterprise customers' security questionnaires (vendor assessment)
• 提供關鍵基礎設施和公共服務的組織
• 資料控制者需要證明其根據 KVKK/GDPR 採取的技術和組織措施

一般不強制；有部門例外。實踐中的主要驅動力是合約：主要企業買家要求其供應商提供 ISO/IEC 27001 證書。 KVKK 和 GDPR 不強加認證要求，但要求採取適當的技術和組織措施；該證書用作這些措施的證據。

• Clauses 4-10 — ISMS requirements: context, leadership, planning, support, operation, performance evaluation, improvement
• 風險評估和風險處理流程；適用性聲明 (SoA)
• 附件 A/主題 1 — 組織控制（37 控制）：政策、角色、資產管理、供應商關係、事件管理、連續性、合規性
• Annex A / Theme 2 — People controls (8 controls): screening, terms of employment, awareness and training, disciplinary process, remote working
• Annex A / Theme 3 — Physical controls (14 controls): secure areas, entry control, equipment security, clear desk
• 附件 A/主題 4 — 技術控制（34 控制）：端點安全、特權存取、加密、日誌記錄、漏洞管理、網路安全、安全開發、資料外洩防護

1. 1申請確定組織的活動領域、人員數量、地點數量和範圍邊界。审核天数是根据此信息计算的。
2. 2文件審查（第一階段）檢查管理系統文件、範圍定義、風險評估和內部審計/管理評審記錄；評估現場審核的準備。
3. 3認證審核（第二階段）經現場驗證，該制度得以落實、有效。調查結果分為主要/次要不合格項或觀察結果。
4. 4關閉不合格項該組織提交根本原因分析和糾正行動計劃。在重大不合格問題解決之前，不會頒發證書。
5. 5頒發證書此證書由獨立決策者審核後頒發。審核組不能做出認證決定。
6. 6監督審核在證書有效期限內每年至少進行一次監督審核。第一次監測時間不能超過第二階段最後一天後的 12 個月。
7. 7再認證三年結束時，對整個系統進行重新審核；必須在證書過期之前完成。

管理體系證書的有效期限為三年。在此期間每年至少進行一次監督審核；如果不進行監督，證書將被暫停。再認證審核在第三年年底完成。

• 商業登記記錄及經營許可證
• 該組織的組織結構圖和員工人數
• 範圍內的站點/分支機構列表
• 管理體系手冊或流程文件
• 内部审核和管理评审记录
• 法律許可、執照和經營文件（如有）

無固定牌價；費用依下列變數計算，並於報價中以書面形式提供。

• 範圍內的人數（直接決定審核天數）
• 站點和分支機構的數量；是否適用多點抽樣
• 活動的風險等級和流程複雜性
• 需要認證的標準數量—綜合審核減少了天數
• 三年周期：認證+兩次監督審核

管理系統認證在ISO/IEC 17021-1範圍內進行。認證機構獲得IAF多邊認可協議（IAF MLA）締約方認可機構的認可；該協議建立了國際認可鏈，確保一個國家發布的文件被其他國家接受。 EUROLAB 獲得了 IAF 成員認證機構在 ISO/IEC 17021-1 範圍內的國際認可認證。

此方案可提供的範圍因您的產品與業務而異；將於報價階段以書面形式確認。

• ISO/IEC 27017雲端安全
• ISO/IEC 27018雲端個人資料
• ISO/IEC 27701隱私資訊管理
• ISO/IEC 20000-1IT服務管理
• ISO 22301業務連續性
• ISO/IEC 42001人工智慧管理系統
• ISO 9001品質管理體系
• ISO 10002客戶滿意度和投訴管理