ISO 27001 要求事項：第 4–10 章條文逐條白話解析
ISO 27001 要求事項是指 ISO/IEC 27001:2022 第 4 到第 10 條，這七條用「應（shall）」寫成，是驗證稽核時逐條檢查的依據；第 1 到 3 條是範圍與名詞定義，附錄 A 的 93 項控制措施則透過第 6.1.3 條的適用性聲明納入。
標準原文用詞精簡，第一次讀的 ISMS 承辦人常看不出每一條到底要交出什麼。以下逐條用白話說明要求、必要的文件化資訊，以及稽核員實際怎麼查。整體架構可先看 ISO 27001 完整指南；需要有人陪同導入，可參考 ISO 27001 驗證輔導。
重點整理
- 第 4 到 10 條都要符合，不能排除；附錄 A 的控制措施才可以在適用性聲明中說明不適用的理由。
- 標準明定須保存的文件化資訊約 14 項，從第 4.3 條的範圍到第 10.2 條的矯正措施紀錄。
- 2022 年版新增第 6.3 條「變更的規劃」，並將持續改善與矯正措施的順序對調為 10.1、10.2。
ISO 27001 要求事項一張表看完：條文、要求與稽核證據
下表是我們在內部稽核時使用的對照方式，左邊是條文，右邊是稽核員最常要求看的證據。標「必要」者是標準明文要求保存的文件化資訊。
| 條文 | 白話要求 | 稽核常看的證據 |
|---|---|---|
| 4.1–4.2 | 列出內外部議題與利害關係人要求 | 議題清單、利害關係人清單 |
| 4.3 | 決定 ISMS 範圍 | 範圍文件（必要） |
| 5.1–5.3 | 主管承諾、核定政策、分派職責 | 資訊安全政策（必要）、職責表 |
| 6.1.2 | 訂定風險評鑑方法 | 風險評鑑程序（必要） |
| 6.1.3 | 選擇風險處理方式，對照附錄 A | 風險處理程序、適用性聲明（必要） |
| 6.2 | 訂可量測的資安目標 | 目標與執行計畫（必要） |
| 7.2–7.3 | 人員具備能力並有資安意識 | 能力證明（必要）、訓練紀錄 |
| 7.5 | 文件的建立、更新與管制 | 文件管制清單 |
| 8.1–8.3 | 依計畫執行並定期重做風險評鑑 | 風險評鑑與處理結果（必要） |
| 9.1 | 監督與量測 | 量測結果（必要） |
| 9.2–9.3 | 內部稽核與管理審查 | 稽核方案與報告、審查紀錄（必要） |
| 10.2 | 不符合事項與矯正措施 | 矯正措施紀錄（必要） |
第 4 條 組織全景：先說清楚 ISMS 管什麼
第 4 條要求企業了解內外部議題、利害關係人的要求，再據此決定 ISMS 範圍並建立管理系統。2024 年的修訂（Amd 1:2024）另要求在第 4.1 條判斷氣候變遷是否為相關議題。
實務上最常見的缺失，是議題清單寫了「駭客攻擊增加」「客戶要求 ISO」，卻沒有連到後面的風險評鑑，稽核員一問就斷線。第 4.2 條在 2022 年版也明確要求判斷「哪些利害關係人要求要透過 ISMS 處理」，例如客戶合約的資安條款。
第 5 條 領導：主管要看得到參與
第 5 條要求最高管理階層展現領導與承諾、核定資訊安全政策，並分派資安相關職責與權限。政策須形成文件、在組織內宣達，必要時提供給利害關係人。
稽核員通常會直接訪談總經理或其代理人，問他知不知道資安目標、上次管理審查決定了什麼。政策怎麼寫，可參考資訊安全政策的架構整理。
第 6 條 規劃：風險評鑑、目標與變更
第 6 條是整份標準的核心：訂定風險評鑑與風險處理方法、產出適用性聲明，並設定可量測的資安目標。第 6.1.3 條要求把選定的控制措施與附錄 A 比對，確認沒有遺漏必要控制。
2022 年版新增第 6.3 條，要求 ISMS 的變更須有計畫地進行，例如合併據點或改用雲端服務時，先評估對範圍與風險的影響。風險評鑑的方法與表格，請見 ISO 27001 風險評鑑的步驟說明。
第 7 條 支援：人、能力與文件管制
第 7 條要求提供足夠資源、確保相關人員具備能力與資安意識、建立內外部溝通方式，並管制文件化資訊的建立、更新與保存。
能力證明是常被開缺失的地方。負責防火牆的外包工程師、管理雲端帳號的同仁，都屬於「在組織控制下執行工作」的人，需要有證照、訓練或經歷紀錄；只有全員資安宣導的簽到表並不足夠。
第 8 條 運作：照計畫做，並留下結果
第 8 條要求依規劃執行與控制 ISMS 流程，包括外部提供的流程、產品或服務；並在規劃的期間或發生重大變更時執行風險評鑑，實施風險處理計畫，保存兩者的結果。
這一條考的是「有沒有真的做」。風險評鑑一年只做一次沒有問題，但系統大改版後沒有重做，就不符合第 8.2 條。
第 9 條 績效評估：量測、內稽與管理審查
第 9 條要求企業決定要監督與量測什麼、何時分析，依稽核方案執行內部稽核，並由最高管理階層定期召開管理審查。2022 年版的第 9.3.2 條新增一項必要輸入：利害關係人需求與期望的變化。
我們看過不少管理審查紀錄只有一頁「會議決議：持續推動」，沒有逐項討論標準要求的輸入，這類紀錄很難通過稽核。
第 10 條 改善：找到根因，而不只是修好
第 10 條要求持續改善 ISMS，並在發生不符合事項時採取行動、找出原因、執行矯正措施並確認有效。2022 年版把「持續改善」移到 10.1，「不符合事項與矯正措施」改為 10.2，文字沒有實質變動。
例如發現離職員工帳號沒停用，修正只是停掉那個帳號；矯正措施則要回頭查離職流程為什麼漏掉，並確認下個月不會再發生。
讀完要求事項後，第一週先做什麼？
先用上面的 ISO 27001 要求事項對照表逐列自我檢查，標出「有文件但沒紀錄」與「完全沒有」的項目，前者通常補紀錄就好，後者才需要建立流程。整體時程可對照 ISO 27001 導入流程的六個階段。
若想請人用稽核員的角度先看一遍，可以預約一次免費諮詢。
ISO 27001 要求事項常見問題
要求事項和附錄 A 有什麼不同？
ISO 27001 要求事項是第 4 到 10 條的管理系統要求，全部都要符合；附錄 A 是 93 項控制措施的清單，企業依風險評鑑結果決定採用哪些，不採用的要在適用性聲明說明理由。兩者的連結點是第 6.1.3 條：風險處理選出的控制措施，必須與附錄 A 比對。
第 4 到 10 條都要有文件嗎？
不是每一條都要寫成程序書。標準明文要求保存的文件化資訊約 14 項，例如範圍、政策、風險評鑑與處理程序、適用性聲明、目標、稽核與管理審查結果；其他條文則依第 7.5.1 條，由企業自行判斷為確保 ISMS 有效所需要的文件。ISMS 手冊並非必要文件。
參考資料
- ISO/IEC 27001:2022 Information security management systems — Requirements – 第 4 至 10 條要求事項。ISO · 2022 年 10 月
- ISO/IEC 27001:2022/Amd 1:2024 Climate action changes – 第 4.1、4.2 條新增氣候變遷考量。ISO · 2024 年 2 月
- Comparing ISO/IEC 27001:2022 to ISO/IEC 27001:2013 – 2022 年版條文變更對照。SGS
