ISO 27001 稽核在查什麼？第一、二階段驗證稽核項目與流程
ISO 27001 驗證稽核分兩個階段：第一階段審查文件與準備度，確認 ISMS 範圍、風險評鑑、適用性聲明（SoA）、內部稽核與管理審查都已到位；第二階段到現場訪談人員、抽查紀錄，確認制度真的在運作。兩階段通過、不符合事項處理完成後，驗證機構才會作出發證決定。
這篇寫給即將迎接 ISO 27001 稽核的 IT 主管：每個階段稽核員在查什麼、要準備哪些資料、稽核當天怎麼進行，以及開出不符合事項後怎麼處理。導入前的建置步驟可以先看 ISO 27001 導入流程；若需要顧問陪同準備稽核，可參考我們的 ISO 27001 驗證輔導。
ISO 27001 稽核有哪幾種？
ISO 27001 稽核依執行者分三種：公司自己做的內部稽核（第一方）、客戶對供應商做的稽核（第二方），以及驗證機構做的驗證稽核（第三方）。本文說的第一、二階段，指的是第三方驗證稽核的初次驗證。
| 稽核類型 | 誰執行 | 目的 | 時機 |
|---|---|---|---|
| 內部稽核 | 公司內部或委外的稽核員 | 檢查 ISMS 是否符合標準與公司規定 | 驗證前至少一次，之後依計畫定期 |
| 第二方稽核 | 客戶或母公司 | 確認供應商的資安能力 | 依合約 |
| 初次驗證：第一階段 | 驗證機構 | 審查文件與準備度 | 第二階段之前 |
| 初次驗證：第二階段 | 驗證機構 | 評估制度的實施與有效性 | 第一階段的問題處理後 |
| 追查稽核 | 驗證機構 | 確認制度持續運作 | 每年至少一次 |
| 重新驗證 | 驗證機構 | 證書三年期滿前換證 | 第三年 |
驗證機構執行稽核的規則，來自國際標準 ISO/IEC 17021-1 與 ISMS 專用的 ISO/IEC 27006-1:2024。稽核人天也依 ISO/IEC 27006-1:2024 附錄 C，按範圍內人數與複雜度計算。
第一階段：文件與準備度在查什麼？
第一階段的目的，是判斷公司是否已經準備好接受第二階段。稽核員會審查 ISMS 文件，確認範圍界定是否清楚、風險評鑑與 SoA 是否完整，並確認內部稽核與管理審查是否已規劃並執行，同時了解公司的據點、流程與適用法規，作為規劃第二階段的依據。
第一階段可能在現場或遠端進行，結束時稽核員會列出需要改善的事項。實務上最常被提出的是：範圍寫得太模糊，例如只寫「全公司」卻沒說明據點與系統；SoA 把附錄 A 控制措施列為不適用，卻說不出理由；以及內部稽核或管理審查還沒做完。這些問題若影響第二階段，通常要先處理才會排第二階段。
第二階段：現場與運作在查什麼？
第二階段的目的，是評估 ISMS 是否確實實施並有效運作。稽核員會依 ISO 27001 第 4 至 10 條與 SoA 中適用的控制措施，訪談各部門人員、抽查紀錄、觀察現場，從風險評鑑一路追到控制措施是否真的在做。
稽核員最常追的線索有三條：從風險評鑑中挑一個高風險，看對應的控制措施與紀錄；從人員異動挑一位離職員工，看帳號是否當天停用；從一次資安事件或變更，看通報與核准流程是否照程序走。稽核員通常會訪談最高管理階層、資安負責人、IT、人資與實際操作的同仁，所以要讓相關人員知道自己負責的程序長什麼樣子。
ISO 27001 稽核準備清單
ISO 27001 稽核前兩週，用下面的清單逐項確認。第一階段主要看前 7 項，第二階段則會抽查後面的運作紀錄：
| 準備項目 | 確認 |
|---|---|
| ISMS 範圍文件，寫明據點、部門與系統 | ☐ |
| 資訊安全政策，已由高階主管核定 | ☐ |
| 資訊安全目標與衡量方式 | ☐ |
| 風險評鑑方法、風險評鑑結果與風險處理計畫 | ☐ |
| 適用性聲明（SoA），排除項目寫明理由 | ☐ |
| 內部稽核報告與不符合事項的矯正紀錄 | ☐ |
| 管理審查會議紀錄 | ☐ |
| 資產清冊與存取權限審查紀錄 | ☐ |
| 教育訓練與簽到紀錄 | ☐ |
| 資安事件、變更管理、備份與還原測試紀錄 | ☐ |
| 委外廠商合約與評估紀錄 | ☐ |
| 各部門受訪人員名單與代理人 | ☐ |
實務上，驗證機構通常希望看到約三個月的運作紀錄才排第二階段，這是驗證機構的慣例，不是標準的硬性規定。紀錄不夠時，與其臨時補做，不如和驗證機構討論延後第二階段。
稽核當天流程：一天怎麼進行？
ISO 27001 稽核當天通常從起始會議開始，到結束會議結束，中間依稽核計畫逐一訪談各部門。稽核計畫會在稽核前由驗證機構寄給公司，下表是第二階段一天的常見安排，實際時間依稽核人天與範圍而定：
| 時間 | 項目 | 參與人員 |
|---|---|---|
| 09:00 | 起始會議：說明範圍、計畫與保密原則 | 高階主管、資安負責人 |
| 09:30 | 管理面：政策、目標、風險評鑑、SoA、管理審查 | 資安負責人、高階主管 |
| 11:00 | 人資：到職與離職、教育訓練、保密協議 | 人資 |
| 13:30 | IT：存取控制、備份、弱點管理、日誌、變更管理 | IT 主管與系統管理員 |
| 15:30 | 現場觀察：機房、辦公區、桌面與螢幕 | 資安負責人 |
| 16:30 | 稽核員整理發現 | — |
| 17:00 | 結束會議：說明發現與不符合事項 | 高階主管、資安負責人 |
當天最常見的失分不是制度沒寫，而是受訪人員說不出自己的做法，或拿不出紀錄。事前做一次模擬訪談，讓每位受訪者練習用自己的話說明流程並找到紀錄，效果最好。
稽核結果與後續：開出不符合事項怎麼辦？
ISO 27001 稽核結果通常分為主要不符合、次要不符合與改善建議。依 ISO/IEC 17021-1，主要不符合是指影響管理系統達成預期結果能力的不符合；同一要求反覆出現多個次要不符合，也可能被判為主要不符合。主要不符合處理完成並經驗證機構確認前，不會發證。
時間上有明確限制：依 ISO/IEC 17021-1 第 9.5.3.2 條，驗證機構若無法在第二階段最後一天起 6 個月內確認主要不符合的改正與矯正措施，必須重新執行第二階段。有些驗證機構訂得更嚴，例如要求在兩個月內完成，簽約時要先問清楚。
取得證書後，證書有效期為三年，期間每年至少一次追查稽核，初次驗證後的第一次追查稽核不得晚於發證決定後 12 個月，第三年辦理重新驗證。選擇驗證機構時，可同時參考 ISO 27001 費用 中稽核人天與費用的說明。
稽核前一個月，先做哪三件事？
稽核前一個月先做三件事：完成內部稽核並關閉發現的問題、召開管理審查並留下紀錄、安排一次模擬訪談。這三件事做完，第一階段多半能順利通過，第二階段也比較不會因為紀錄或說明不足被開不符合事項。標準的條文架構與附錄 A 控制措施，可以回頭對照 ISO 27001 的說明。
如果想在正式稽核前做一次模擬稽核，可以 先請顧問看一下現況。
ISO 27001 稽核常見問題
第一階段和第二階段隔多久？
標準沒有規定固定間隔，驗證機構會依第一階段發現的問題需要多少時間處理來安排。第一階段沒有重大問題時，常見間隔約數週；如果範圍、風險評鑑或內部稽核需要補強，間隔就會拉長。實務上建議預留至少數週，讓公司有時間處理第一階段提出的事項。
稽核員會訪談誰？
稽核員通常會訪談最高管理階層、資安負責人、IT 主管與系統管理員、人資，以及範圍內實際操作的部門同仁，例如客服或研發。高階主管常被問到資安政策、目標與管理審查；一般同仁則會被問到密碼、資料分類與發現可疑郵件時怎麼通報。受訪者應能說明自己負責的程序並找到相關紀錄。
ISO 27001 稽核沒通過怎麼辦？
多數情況不是「不通過」，而是開出不符合事項，處理完成後仍可取得證書。主要不符合需分析原因、完成矯正並提出證據，由驗證機構確認；若在第二階段結束後 6 個月內無法完成確認，就要重新執行第二階段。次要不符合通常提出矯正計畫，於下次稽核時確認。
參考資料
- ISO/IEC 17021-1:2015 Conformity assessment — Requirements for bodies providing audit and certification of management systems – 第一、二階段稽核、不符合事項與追查稽核規定。ISO · 2015 年 6 月
- ISO/IEC 27006-1:2024 – ISMS 驗證機構要求與稽核人天計算。ISO · 2024 年 3 月
- ISO/IEC 27001:2022 Information security management systems — Requirements – 第 4 至 10 條要求與附錄 A。ISO · 2022 年 10 月
