雲端資安標準比較：ISO 27017、ISO 27018、CSA STAR
雲端資安標準最常被客戶問到的有三個：ISO/IEC 27017 處理雲端環境的資訊安全控制與責任分工，ISO/IEC 27018 處理公有雲上的個資保護，CSA STAR 則是雲端安全聯盟（CSA）的評估與公開登錄計畫。前兩者都建立在 ISO 27001 之上，STAR 第二級也可以用 ISO 27001 或 SOC 2 為基礎。
SaaS 或雲端服務商最常遇到的情況，是同一季收到三份資安問卷，各自要求不同的證明。下面先比較三者的範圍、驗證方式與有效期，再依客戶類型建議導入順序。需要規劃雲端服務的驗證範圍，可參考我們的 ISO 27017 驗證輔導。
一句話結論：已有或準備導入 ISO 27001 的雲端服務商，先把 ISO 27017 納入驗證範圍；處理客戶個資時同步加入 ISO 27018；客戶以歐美企業為主、習慣查詢公開登錄時，再申請 CSA STAR。
三種雲端資安標準各是什麼？
這三個雲端資安標準的性質不同：27017 與 27018 是 ISO 的實務守則，以擴充 ISO 27001 驗證範圍的方式取得證明；CSA STAR 是一套保證計畫，依雲端控制矩陣（CCM）評估，結果登錄在公開的 STAR Registry。
- ISO/IEC 27017：雲端服務資訊安全的實務守則，現行版本為 2026 年 7 月發布的第 2 版，依 ISO/IEC 27002:2022 的架構提供雲端補充指引，同時適用雲端服務提供者與雲端服務客戶。詳細內容可參考 ISO 27017 的介紹。
- ISO/IEC 27018：公有雲服務商擔任個資處理者時的個資保護守則，現行為 2025 年 8 月發布的第 3 版。重點包括未經明確同意不得把客戶個資用於行銷，以及告知資料存放地點，完整說明見 ISO 27018。
- CSA STAR：CSA 的 Security, Trust, Assurance and Risk 計畫。第一級是服務商以 CAIQ 問卷自我評估並公開，第二級是第三方稽核。
雲端資安標準比較表
雲端資安標準之間最大的差別在於「誰來評」與「結果給誰看」。ISO 證書與 STAR 登錄可以公開查詢，SOC 2 報告則通常只提供給簽署保密協議的客戶。
| 比較項目 | ISO/IEC 27017 | ISO/IEC 27018 | CSA STAR |
|---|---|---|---|
| 發布單位 | ISO／IEC（與 ITU-T 共同發布） | ISO／IEC | 雲端安全聯盟（CSA） |
| 重點 | 雲端資安控制、責任分工、虛擬化隔離 | 公有雲個資保護 | 依 CCM 評估雲端安全成熟度 |
| 適用對象 | 雲端服務提供者與客戶 | 擔任個資處理者的公有雲服務商 | 雲端服務提供者 |
| 取得方式 | 併入 ISO 27001 驗證範圍，由驗證機構稽核 | 併入 ISO 27001 驗證範圍 | 第一級自評；第二級由 CSA 認可的第三方稽核 |
| 前提 | 有效的 ISO 27001 證書 | 有效的 ISO 27001 證書 | 第二級需 ISO 27001 或 SOC 2 |
| 有效期 | 隨 ISO 27001，每年追查 | 隨 ISO 27001，每年追查 | 自評每年更新；STAR Certification 3 年、STAR Attestation 1 年 |
| 公開程度 | 證書可供查驗 | 證書可供查驗 | 公開登錄於 STAR Registry |
STAR 第二級有兩種主要途徑：STAR Certification 結合 ISO 27001 與 CCM，依 ISO 27001 程序 3 年到期；STAR Attestation 由會計師依 SOC 2 加上 CCM 執行，登錄 1 年到期。CCM 依 CSA 官網說明涵蓋 17 個領域，第 4.1 版已把 CAIQ 問卷合併在同一份文件中。
客戶最常要求哪一個？
實務上，台灣企業客戶與政府標案最常先問的是 ISO 27001，雲端服務再追問 27017；處理大量個資的服務會被問到 27018；歐美客戶與跨國企業的供應商評估，則常要求 STAR 登錄或 SOC 2 報告。
| 主要客戶 | 最常被要求 | 建議先準備 |
|---|---|---|
| 台灣企業、政府標案 | ISO 27001，雲端服務加問 27017 | ISO 27001＋27017 |
| 金融、醫療、會員型平台 | 個資保護證明 | 加入 27018，需要時再做 ISO 27701 |
| 美國企業 | SOC 2 報告 | SOC 2，可延伸 STAR Attestation |
| 歐洲與跨國企業 | ISO 證書、STAR 登錄 | ISO 27001＋27017，再申請 STAR |
判斷時先看客戶的問卷或合約條款寫的是什麼，而不是看競爭對手有什麼。客戶只寫「具備國際資安驗證」時，ISO 27001 加上 27017 通常已經足夠。
雲端服務商的導入順序建議
雲端資安標準的建議導入順序是：ISO 27001 → 27017 → 27018 → CSA STAR。每一步都建立在前一步的文件與控制措施上，重工最少。
- ISO 27001：建立資訊安全管理制度，驗證範圍明確寫入雲端服務。
- ISO 27017：補上 2026 年版的 4 項雲端專屬控制：雲端環境的共同角色與責任、與雲端服務夥伴議定責任、虛擬運算環境隔離，以及偵測與防止未經授權使用雲端服務，並在適用性聲明中呈現。
- ISO 27018：服務處理客戶個資時加入，重點是目的限制、資料返還與刪除、次處理者管理。
- CSA STAR：先免費完成第一級自評並登錄；客戶要求第三方證明時，再以既有 ISO 27001 證書申請 STAR Certification。
尚未取得 ISO 27001 的新創，不必一開始就做全部。先以 ISO 27001 搭配 27017 為目標，同時把 CAIQ 問卷填好，已經能回答大部分客戶的問題；ISO 27001 的時程與預算可參考 ISO 27001 費用。
可以一起驗證嗎？
可以。27017 與 27018 都是併入 ISO 27001 的驗證範圍，同一家驗證機構可在同一次稽核中一起評估，證書上會載明涵蓋的標準。STAR Certification 也是以 ISO 27001 稽核為基礎，若驗證機構具備 CSA 認可資格，可安排在同一輪稽核中進行。
一起做的好處是只要準備一套風險評鑑、一份適用性聲明與一次內部稽核；要注意的是，ISO 27001 證書一旦失效，27017 與 27018 也跟著失效。
雲端資安標準常見問題
CSA STAR 是什麼？
CSA STAR 是雲端安全聯盟的雲端安全保證計畫，以雲端控制矩陣（CCM）為評估基準。第一級由服務商自行填寫 CAIQ 問卷並公開於 STAR Registry，每年更新；第二級由第三方稽核，可結合 ISO 27001 或 SOC 2。
ISO 27017 和 27018 要一起做嗎？
服務會處理客戶的個人資料，就建議一起做，因為兩者共用 ISO 27001 的制度與稽核。只提供基礎設施、不接觸客戶個資的服務，可以先只做 27017。
有 SOC 2 還需要嗎？
看客戶。SOC 2 是會計師出具的鑑證報告，沒有「證書」，通常只提供給簽署保密協議的對象；台灣與歐洲客戶多半還是會要求 ISO 證書。已有 SOC 2 的服務商，可以用它申請 STAR Attestation 增加公開可查的登錄。
雲端資安證照和這些標準有什麼不同？
上面三者驗證的是組織與服務。「雲端資安證照」指的是個人資格，例如 CSA 的 CCSK（Certificate of Cloud Security Knowledge），適合負責雲端架構與資安的工程師，不能取代組織的驗證。
客戶又寄來一份雲端資安問卷，先做什麼？
先把近一年收到的客戶問卷與合約條款整理成一張表，標出每份要求的是哪一種證明，就能看出最該先做的是哪個標準。已經有 ISO 27001 的企業，多半只差把雲端服務與 27017 納入範圍。
想確認現有制度離 27017、27018 還差多少，可以 從一場 30 分鐘的諮詢開始。
參考資料
- ISO/IEC 27017:2026 Information security controls for cloud services – 雲端服務資訊安全控制實務守則第 2 版。ISO · 2026 年 7 月
- ISO/IEC 27018:2025 – 公有雲個資處理者的個資保護實務守則。ISO · 2025 年 8 月
- CSA STAR – STAR 第一級自評、第二級 Certification 與 Attestation 的有效期。Cloud Security Alliance
- Cloud Controls Matrix – CCM 與 CAIQ 第 4.1 版。Cloud Security Alliance
