ISO 27017 認證流程、時程與費用
ISO 27017 認證通常不是獨立的一張證書，而是驗證機構在 ISO 27001 驗證範圍內，加入 ISO/IEC 27017 雲端控制措施的稽核；因此時程與費用，取決於企業是否已有 ISO 27001、雲端範圍有多大，以及能否與年度稽核合併。
這篇寫給準備取得 ISO 27017 的 SaaS 與雲端服務業者，重點放在認證路徑怎麼選、時間花在哪裡、哪些因素會讓費用變高，以及取得後要維持什麼。標準內容與雲端專屬控制可先看 ISO 27017 的介紹；若需要協助規劃，可參考 ISO 27017 驗證輔導。
導入前提：為什麼要先有 ISO 27001？
ISO/IEC 27017 是控制措施的實施指引，不是管理系統要求標準，所以 ISO 27017 認證必須依附在 ISO 27001 的資訊安全管理系統上。TÜV SÜD 說明，ISO/IEC 27017 證書的有效性始終取決於有效的 ISO/IEC 27001 證書，並須每年接受追查稽核。
實務上有兩條路。已有 ISO 27001 的企業，把雲端控制納入風險評鑑與適用性聲明，再請驗證機構擴大稽核範圍；還沒有 ISO 27001 的企業，則兩者同步導入。各驗證機構的方案細節不同，申請前應先確認對方的規定。
ISO 27017 認證流程：兩條路徑怎麼走
不論哪一條路，核心工作都是共同責任矩陣：逐項列出每個控制由雲端服務提供者、客戶或雙方負責，並留下佐證。差別在於起點。
| 階段 | 已有 ISO 27001 | 尚無 ISO 27001（同步導入） |
|---|---|---|
| 範圍與角色 | 確認納入的雲端服務，及公司屬提供者、客戶或兩者 | 先界定 ISMS 範圍，再加入雲端角色 |
| 差距分析 | 對照 ISO 27017:2026 的雲端控制 | 同時對照 ISO 27001 第 4–10 條與附錄 A |
| 風險與 SoA | 更新既有風險登錄表與適用性聲明 | 從頭建立風險評鑑與適用性聲明 |
| 控制落實 | 補強帳號、組態、日誌、備份等雲端控制 | 一般資安控制與雲端控制一起建置 |
| 內稽與審查 | 雲端控制納入下次內部稽核與管理審查 | 完整跑一輪內部稽核與管理審查 |
| 驗證稽核 | 擴大範圍稽核，或併入追查稽核 | 第一、二階段驗證稽核 |
完整的 6 個導入步驟，在 ISO 27017 介紹文中已有說明，這裡不重複。
ISO 27017 認證要多久？時程怎麼估
同步導入 ISO 27001 與 ISO 27017 的企業，時程可參考 ISO 27001 的一般區間：已有基礎約 4 到 6 個月，從零開始約 6 到 8 個月。已有 ISO 27001 的企業申請 ISO 27017 認證，時間主要花在補強雲端組態與累積運作紀錄，通常比第一次導入短。
影響時程的關鍵，往往不是文件。我們在差距分析中最常看到的延誤，是管理帳號沒有多因子驗證、儲存空間設成公開、稽核日誌沒有開啟，這些都需要維運團隊排時間修改並觀察一段期間。另一個變數是驗證機構的排程：驗證機構通常希望看到約三個月的運作紀錄，若想併入年度追查稽核，時程也要配合原本的稽核日期。
ISO 27017 費用：哪些因素會讓費用變高？
ISO 27017 認證的費用分成三塊：顧問或內部人力、驗證機構的稽核費，以及為了符合控制而投入的雲端改善成本。前兩者主要由範圍決定，第三塊最容易被低估。
| 費用項目 | 讓費用變高的因素 | 讓費用降低的做法 |
|---|---|---|
| 顧問與內部人力 | 沒有 ISO 27001 基礎、雲端服務多 | 沿用既有 ISMS 文件與流程 |
| 驗證稽核 | 範圍內人數多、據點與雲端區域多 | 與 ISO 27001 年度稽核合併 |
| 雲端改善 | 組態問題多、需新購監控或日誌工具 | 先用雲端平台內建的安全設定 |
| 加做 ISO 27018 | 公有雲並處理客戶個資 | 同一次稽核一起排 |
驗證機構計算稽核人天，是以 ISO/IEC 27006-1:2024 附錄 C 為基礎，範圍內的人數越多、稽核時間越長。ISO 27001 本身的費用結構，可參考 ISO 27001 費用的拆解。
合併驗證：ISO 27017、27018、27701 一起做
ISO 27017 認證最常與 ISO 27001 的年度稽核合併，處理客戶個資的公有雲業者也常同時加上 ISO 27018。合併的好處是共用同一套風險評鑑、內部稽核與管理審查，稽核也能排在同一次。
台灣已有實例：資安人報導，網擎資訊於 2025 年 8 月同時取得 ISO 27017 與 ISO 27018 驗證；BSI 則於 2026 年 5 月發布，國泰證券的公有雲環境通過 ISO/IEC 27017 驗證。若還要處理隱私管理，可再評估與 ISO 27701 認證整合。
取得 ISO 27017 認證後，每年要做什麼？
取得後的維持與 ISO 27001 同步：每年一次追查稽核，第三年重新驗證，證書效力須持續依附 ISO 27001。雲端環境變動快，每次新增雲端服務或改架構，都要回頭更新共同責任矩陣與風險評鑑。
ISO/IEC 27017:2026 已於 2026 年 7 月發布，取代 2015 年版。截至 2026 年 10 月，我們尚未查到驗證機構公布統一的轉版期限，依 2015 年版取得驗證的企業，應主動向驗證機構確認轉版安排。
準備 ISO 27017，這個月可以先做什麼？
先打開雲端主控台做三項檢查：管理帳號是否都啟用多因子驗證、有沒有公開的儲存空間、稽核日誌是否保存。再請現有的 ISO 27001 驗證機構報價擴大範圍，問清楚能否併入下一次追查稽核。想確認範圍與時程，可以從一場 30 分鐘的諮詢開始。
ISO 27017 認證常見問題
沒有 ISO 27001 可以申請 ISO 27017 嗎？
一般不行，至少要同步導入。ISO 27017 是控制措施指引，驗證機構多半在 ISO 27001 驗證範圍內稽核雲端控制，證書效力也依附 ISO 27001。尚未取得 ISO 27001 的企業，可以把兩者規劃為同一個專案，避免建立兩套制度。
ISO 27017 認證要多久？
同步導入 ISO 27001 時，可參考已有基礎約 4 到 6 個月、從零開始約 6 到 8 個月的區間。已有 ISO 27001 的企業通常較短，主要取決於雲端組態要改多少，以及能否配合年度追查稽核的時間。
ISO 27017 費用會比 ISO 27001 高嗎？
單看 ISO 27017 這一段，通常比第一次導入 ISO 27001 低，因為範圍、風險評鑑與內稽流程都能沿用。但兩者同時從零開始時，總費用會高於只做 ISO 27001；雲端組態問題越多，改善成本也越高。
參考資料
- ISO/IEC 27017:2026 – 以 ISO/IEC 27002 為基礎的雲端服務資訊安全控制。ISO · 2026 年 7 月
- ISO/IEC 27017 驗證標誌 – ISO 27017 證書效力依附 ISO 27001。TÜV SÜD
- ISO/IEC 27006-1:2024 – 資訊安全管理系統驗證機構要求與稽核時間計算。ISO · 2024 年 3 月
