ISO 27001:2022 條文架構總覽

ISO 27001:2022 分成兩大部分：**本文條文（第 4～10 章）**規定管理系統怎麼運作，**附錄 A（93 個控制項）**列出可選用的安全措施。導入時兩者缺一不可。

本文條文：管理系統的骨架

章節	主題	白話說明
4	組織全景	搞清楚內外部議題、利害關係者與 ISMS 範圍
5	領導	高階承諾、資安政策、角色與權責
6	規劃	風險評鑑與處理、資安目標、變更規劃
7	支援	資源、能力、認知、溝通、文件化資訊
8	運作	把第 6 章的規劃真正執行出來
9	績效評估	監視量測、內部稽核、管理審查
10	改善	不符合事項與矯正措施、持續改善

常見誤解：以為「做 27001」就是寫附錄 A 的文件。其實第 4～10 章才是必要條文，附錄 A 是透過風險評鑑與適用性聲明書（SoA）選用的。

附錄 A：93 個控制項、四大主題

2022 版把 2013 版的 114 個控制項整併為 93 個，重新分為四類：

• A.5 組織控制（37 項）：政策、供應商、雲端服務、威脅情資（新增）等
• A.6 人員控制（8 項）：僱用前查核、保密協議、遠距工作等
• A.7 實體控制（14 項）：實體邊界、設備、儲存媒體等
• A.8 技術控制（34 項）：存取控制、加密、日誌、DLP（新增）、安全開發等

2022 版新增的 11 個控制項（威脅情資、雲端服務資安、營運持續整備、實體安全監控、組態管理、資訊刪除、資料遮罩、資料外洩防護、監控活動、網站過濾、安全程式開發）是轉版差距分析的重點。

導入的實務順序

1. 界定範圍與全景分析（第 4 章）
2. 建立風險評鑑方法並執行（第 6、8 章）
3. 產出適用性聲明書（SoA），決定控制項
4. 建置文件與落實控制措施
5. 內部稽核 → 管理審查 → 驗證稽核

每一步的細部作法與文件範例，見顧問服務：ISO 27001 導入輔導。