ISO 27001 認證 距離2013年版相隔已8年，新版ISO 27002:2022將控制措施集中於組織層與技術層， 控制項目 數量則有進一步的綜合整理歸納， 並因應網路攻擊手法與樣態新增11項控制， 同時提供 屬性標籤 能讓控制項目更容易使用。 國際標準組織（ISO）在2022年2月15日正式發布ISO 27002:2022， https://www.isms.online/iso-27002/ https://ictinstitute.nl/iso27002-2022-explained-1/
https://www.researchgate.net/figure/Information-Security-Measurement-Model-precisely-as-it-is-depicted-in-ISO-IEC-27004_fig5_279476237 資訊安全管理制度之建置規劃 資訊安全管理系統架構 :
資訊安全制度建立與驗證 資訊安全制度建立與驗證 共 40 篇 6. 資安制度建立前須蒐集的資料 https://ithelp.ithome.com.tw/articles/10260688ISMS 程序書： 1 階(戰略/目標):訂定資安政策 2 ~ 3 階(戰術/達成目標的各項方法):訂定程序與指引(資安組織) 4 階(落實 1 ~ 4 階程序書所產生的文件):訂定資安組織名冊與工作說明 資訊安全管理制度建置暨維護計劃 附件1:工作事項與成本分析 附件2:預算一覽表 附件3:服務建議書範本 附件4:優良廠商清冊 附件5:廠商報價單 風險管理報告 附件1:風險事件與後續追蹤發現事項彙整表(最近○年內) 附件2:資安事件通報與處理追蹤彙整表 附件3:客訢彙整表 1. ISMS內部文件一覽表 2. ISMS外部文件管制表(法遵依據來源與範圍) 導入 ISO 27001 規劃 ISO 27001認證規劃(啟案前簡報與常見問題) ISO 27001輔導稽核自動化工具的推手 因謄安控 靠創意做別人沒做過的 (2007) ISO27001的第一步 如何挑選輔導顧問 說寫做一致方能落實 我們一定要知道，顧問只是從旁協助的外部專業人士， 所以，制度一定是經過導入範圍內的人員，在安全與效能間取得平衡點所討論出來的結果，並被主管人員認可、接受。 顧問應具備的能量 選擇顧問不能只看這家公司有多少輔導實績，不可諱言，有多少輔導實績是個參考依據，或許他會多一些行業相關法令、法規的了解，又或者它能縮短你與沒有這方面實績顧問的磨合期，但絕不是決定性的評選標準。 因應單位不同，服務技巧也應有差異 如果顧問只能提供方法、理論或文件範本，這算是基本的服務， 玩遊戲學資安)先引發興趣， 。顧問能提供的加值服務 許多單位在挑選顧問的時候，可能為了減少採購次數， 服務與產品的價值迷思 我們知道做好資安，除了技術面與實體環境面以外，制度面當然也扮演相當重要的角色。 顧問專業的重要 筆者甚至聽過，有些顧問沒滲透測試(模擬駭客行為，找尋系統可藉此侵入的弱點)的能力， 如何找到好的顧問公司 有關ISMS要徹底執行，除了法令、法規面外，還要政府單位大力的推動，或許，所有顧問都必須經過行政院研考會或其委託單位認證、集體聘用，再隨機分派到輔導單位，站在協助單位主官(管)的角色，作為制度建立或維運諮詢的對象，並直接向研考會或其委託單位回報，不要任由各單位壓低價錢或把顧問當工讀生來使用，這樣的制度也許較能有效制訂與貫徹。 另外，顧問也要經過第三方驗證單位的評分(容後介紹，當然，第三方驗證單位也應由研考會或其委託單位認證、集體聘用，同樣也隨機分派到驗證單位，讓顧問與第三方驗證單位無直接的利害關係，這樣評鑑也許較能公平與客觀)，評分結果將做為政府單位後續聘用的篩選條件或民間企業的選用參考。 在上述的機制尚未成形之前，找到好顧問的辦法不是沒有，在此建議找一家有信譽、財務健全的公司是必要的，以免做到一半公司就倒了，其次就是靠承辦人員做點功課、打聽一下，最後，還要看看到府服務顧問的能力，以及是否有後勤支援部隊在做顧問的靠山？總之，要找到好顧問需要多方面地評估才行。 (原文刊載於RUN!PC雜誌：2010年02月號 從根本認識 ISO 27001，各行各業都適用的資安架構介紹 通過 ISO 27001 認證需要準備什麼? 第一步：現況調查 全面審視公司內部的資訊安全管理現況，分析與 ISO 27001 標準條文的差距。並進行人員培訓使相關員工了解 ISO 27001 的規範。
第二步：風險評估 透過前一步獲得的資安概況，評估公司的資安系統風險，並選擇合適的方法、產品補足資安弱點，使系統達到能承受的風險。
第三步：管理規劃 根據已制定的資安政策，進行文件的編寫、全體員工的資安意識培訓，並實行 ISO 27001 附錄 A 中的控制措施。
第四步：驗證 當 ISMS 系統建立起來後，經過一段時間的試運行以確認其有效性與穩定性，即可準備向認證機關提請認證
1. 現況訪談與差異分析 https://ithelp.ithome.com.tw/articles/10260842
2.
導入ISO 27001 ISMS資訊安全管理系統之前置規畫 作者：張傑生 / 臺灣大學計算機及資訊網路中心作業管理組程式設計師兼副組長 https://www.cc.ntu.edu.tw/chinese/epaper/0007/20081220_7002.htm 當上網變成跟「你吃飽了沒」一樣重要時，資訊安全變成生活中重要的課題。基於此趨勢，計資中心將導入ISO 27001 ISMS(資訊安全管理系統)，全面提升校園資訊管理防護網。
前言
在正式導入ISMS之前的重要工作有三：定義導入範圍（scope）、進行落差分析（Gap analysis）、實施教育訓練。 六個有效的資安政策範本 (2019)9. SMS 程序書1~4階著樣寫 https://ithelp.ithome.com.tw/articles/10261934（一）政策性（第一階文件） 說明ISMS目標、方向及執行原則。 文件:資安政策、資安組織 ISMS-01-01政策大綱：目的、範圍 目標、策略、審查
（二）規範性（第二階文件） 說明ISMS目標達成所需之行政規則。 規範性文件名稱可命名為規範、要點、注意事項等。 文件:文件管理、資訊安全、風險評鑑、存取控制、網路安全、個資保護、系統開發與維護、委外作業 ISMS-02-01文件管理:指定權責單位、編碼規則、紀錄保存方法、資料生命週期、電子/紙本檔案衝突依循準則、資料內容安全等級與標示。
政府資訊作業委外安全參考指引導引手冊(Quick Guide)（三）程序性（第三階文件） 針對規範性文件中之規定，敘述相關作業之辦理程序。 ISMS-03-01通訊安全:
（四）空白表單、紀錄及其他（第四階文件） 空白表單：ISMS作業所需使用之空白表單。 紀錄：ISMS作業已填寫資料之表單。 其他：ISMS作業所產生之文件、報告、計畫及相關參考資料。 ISMS-01-01-01資訊安全聲明書
ISMS-02-01-01文件管制清冊
ISMS-03-01-01資訊機房巡檢表:
D-1傳說中的資訊安全全景圖 https://ithelp.ithome.com.tw/articles/10262251資訊安全全景圖 = 制度運行總檢表 ，
範例如下:
資訊安全政策是否合宜?最近一次修訂程序書是什麼時侯? 資安組織是否合宜，內容最近一次更新是什麼時侯? 是否訂定可接受風險值，風險值是多少? 是否落實存取權限審查 資通訊系統清查並檢視安全性? 是否定期審查憑證管理清冊? 是否落實合法軟體盤點? 是否定期盤點資訊資產? 是否定期檢視開源軟體合法使用範圍/版本/變更內容? 是否執行弱點掃瞄?內對內?外對內? 是否執行滲透測試? 是否執行弱點修補? 是否委外開發軟體? 委外開發軟體是否進行源碼檢測? 防火牆規則是否定期審查? 防火牆最近一次變更是什麼時侯? 網路設備或資安設備最近一次無預警中止服務是什麼時侯? 每月檢視並分析資安事件，最近一次損害組織權益的事故是什麼?影響範圍多大?是否通知利害相關方? 是否定期進行災害復原? 備份檔案有效性是否定期確認? 重要資訊服務是否連接不斷電供應系統(UPS) 資訊機房電力供應是否設置獨力迴路且限定專責人員或單位維護? 電力是否設置雙供電來源，例如:太陽能供電、柴油供電、不同的變電所(南/北)... Server與Client是否定期更新Patch? 是否定期執行教育訓練? (依企業或機構的資安範圍擴充審查的項目與頻率)風險評鑑公式~~~
風險值 = 資訊資產價值 X (事件發生機率（等級）x 事件衝擊（等級）
資訊資產價值 = 機密性、完整性、可用性之相加數值
E-1考取證照、通過ISO 27001費用介紹 費用的部分，以企業要通過ISO 27001認證來說，通常需要花費新台幣15～40萬元不等（不包含前置準備的成本），費用可能會因為公司的規模、驗證範圍（部門數量、員工數量、系統數量等），以及稽核時程等因素有所差異。
至於個人則可參加ISO 27001主任稽核員課程，考取國際認可的稽核員證照。
對 ISO/IEC 27002：2022 的基本理解 https://www.tksg.global/mod/page/view.php?id=64787新版ISO/IEC FDIS27001和ISO/IEC27002:2022要点解析与应对 https://m.sgsonline.com.cn/case/detail?id=1733直播内容： 1、关于ISO/IEC27001&ISO/IEC27002的介绍 2、新的内容 新的条款&子条款 修订的文本 新的文本 3、附录A的变化 修订的控制项分类 新的控制项 合并的控制项 修订的控制项 4、ISO/IEC27001:2022与ISO/IEC27002:2022的联系 5、现有认证的影响 6、如何准备转版 ISO 27001 / ISO 27002
改版說明 (SGS)
控制主題： 4 大控制主題 93 項控制措施
ORGANIZATIONAL
PEOPLE
PHYSICAL
TECHNOLOGICAL
• 條文 5.1 ~ 5.37
• 共 37 項控制要求
人員控制
• 條文 6.1 ~ 6.8
• 共 8 項控制要求
實體控制
• 條文 7.1 ~ 7.14
• 共 14 項控制要求
技術控制
• 條文 8.1 ~ 8.34
• 共 34 項控制要求
控制屬性
§ 屬性(Attributes) 可運用來為不同的受衆對象或角色過濾、
分類、呈現不同視野角度的控制措施。
§ 每一個Control 都會關聯到五個屬性值(attribute values)，
以“#” 標註以利於搜尋。
#1 Control Types
§ 控制措施何時/ 如何介入因應資安事故之風險結果。
• #Preventive（於威脅發生之前）
• #Detective（於威脅發生時）
• #Corrective（於威脅發生之後）
#2 Information Security Properties
§ 控制措施有助於保留哪些資訊特性（Characteristic）。
• #Confidentiality 機密性
• #Integrity 完整性
• #Availability 可用性
#3 Cybersecurity Concepts
§ 控制措施與ISO/IEC TS 27101 中描述的網路安全框架中
定義的網路安全概念的關聯。
• #Identify
• #Protect
• #Detect
• #Respond
• #Recover
#4 Operational Capabilities
§ 控制措施對應實作者的資訊安全能力。
• #Asset_management, #Human_resource_security,
#Physical_security, #System_and_network_security,
#Application_security, #Threat and vulnerability
management, #Information security event
management…等15 項。
#5 Security Domains
§ 控制措施對應所需要的資訊安全領域（fields）、專業能
力（expertise）、服務或產品。
• #Governance_and_Ecosystem
• #Protection
• #Defence
• #Resilience.
除預設屬性值外，導入單位亦可自行定義自有的屬性值。
**
§ Threat intelligence [5.7]
§ Information security for use of cloud services [5.23]
§ ICT readiness for business continuity [5.30]
§ Physical security monitoring [7.4]
§ Configuration management [8.9]
§ Information deletion [8.10]
§ Data masking [8.11]
§ Data leakage prevention [8.12]
§ Monitoring activities [8.16]
§ Web filtering [8.22]
§ Secure coding [8.28]
2021 BSI 國際資安標準管理年會會後報導 - 你最想知道的 ISO/IEC 27001 動態
「課本」與「參考書」來比喻可供驗證的ISO國際標準通常會搭配另一份實務規範，像是 ISO/IEC 27001:2013 與 ISO/IEC 27002:2013 是配對的概念，前者是課本後者是參考書，所有 ISO 27001 看不懂的安控措施，像是不知道如何做防毒、備份、BCP，都能在 ISO 27002 找到更多的指引，但這份參考書是不能被驗證的。
一般 ISO 國際標準平均五年會啟動改版作業，需要歷經一定的程序（圖1）與時間，並不會貿然的頒布，至於會先改課本或參考書？依據過往經驗來看，沒有一定的答案。目前業界使用的 ISO/IEC 27001 與 ISO/IEC 27002 皆是在 2013 年出版，過了這麼長的時間ISO/IEC 27002才開始改版是有其原因的：當國際標準改版時間走得慢，可能代表 1.標準非常成熟，改版沒有急迫需求 2. ISO找到另一個辦法減緩改版速度；至 10 月 27 日 ISO 官網上的 ISO/IEC 27001 並未開始改版。
ISO 27001 針對各行各業出了很多指引，作為企業解決問題的參考。 揭開ISO 27001輔導－驗證內幕 2008確保稽核成效，驗證公司評選自己來 如何提升ISMS導入效益 1.派員上課 目前市場上提供ISO 27001訓練課程的種類與選擇有很多，除了主導稽核員課程外，也有基礎認知課程、內部稽核員課程、輔導建置課程等。在顧問進來輔導，文件完成後去參加驗證公司開的課程，這樣在與顧問互動的過程中會更容易進入狀況；顧問輔導前先上課的好處則是上完課之後會更清楚自己需求，知道如何來評選適合自己的顧問公司。2.組委員會慎選顧問輔導 不論是找IT資服業者或管理顧問公司，應詳加打聽該顧問輔導團隊的負責人是剛進入此市場，或是從管顧公司出來有經驗的。企業須清楚自己內部缺的是什麼，然後組成評選委員會來挑顧問公司。3.導入工具 4.顧問角色漸減少、專案承辦人自立自強
驗證公司怎麼說
Sec. 1 (參考資料： https://www.iso-global.com/)ISO27001 系統歷史起源 資訊安全管理系統 (Information Security Management System, 簡稱：ISMS)。 起初，由英國工業貿易部發起，並開始於全世界推行，英國更於1995年提出BS-7799 Part1，使其成為第一個資訊安全管理系統-ISMS標準。
國際正式發佈 至今，資訊安全管理系統-ISMS由國際標準化組織(International Organization for Standardization，簡稱：ISO)及國際電工協會(International Electrotechnical Commission，簡稱：IEC）於在2005年聯合發布，並在2013年正式發布新的標準，即為ISO27001:2013資訊安全管理系統Information Security Management System(ISMS)，是資訊安全管理的國際標準。
ISO27001 系統名稱意義 ISO27001:2013 資訊安全管理系統Information Security Management System(ISMS) ISO：國際標準化組織International Organization for Standardization，簡稱：ISO。 ISO27001中文意義：資訊科技—安全技術—資訊安全管理系統—要求。 ISO27001英文意義：Information technology — Security techniques — Information security management systems — Requirements。 2013：代表系統公佈新版條文的年份為2013年。
為什麼要導入ISO27001:2013資訊安全管理系統？ 1. 國際認證：最廣泛、最完整、全球通用 2. 降低風險：安全維護、保護資產、提升信任 3. 合法認證：滿足我國法令法規要求、爭取業務機會 4. 優化組織：運行效益、提升效率、降低成本 說明：
ISO27001:2013資訊安全管理系統，自從國際標準化組織(International Organization for Standardization，簡稱：ISO)及國際電工協會(International Electrotechnical Commission，簡稱：IEC）聯合發布後，便已成為國際上使用最廣泛、且是最完整的一套國際通用資訊安全管理工具和制度。
2. 降低風險：安全維護、保護資產、提升信任 呼應全球對於資訊安全維護與風險而發展出來的因應措施標準，用以免受未經授權的進出、檢視、揭露、修改、紀錄、控制、銷毀並降低資訊安全事件所帶來的威脅和衝突，提供對於組織或顧客資訊安全的承諾，更提升其對於企業與內部、產品的信任，進而保護所有關鍵資訊和重要資產。
案例一 系統規範-透過權限控制措施，對機敏文件只設定授權文件使用權限與期間相關程序。
案例二 系統規範-透過事件紀錄控制措施，存檔即刻加密，詳實記錄登錄LOG文件使用軌跡。
案例三 系統規範-透過備份控制措施，立即將原有儲存設備隔離刪除，啟動定期備份檔案還原。
3. 合法認證：滿足我國法令法規要求、爭取業務機會 台灣於民國107年06月06日，頒布「資通安全管理法」，已對各公家機關及非特定公家機關要求委外廠商，需通過ISO27001:2013資訊安全管理系統第三方驗證或有完整資安管理系統防護措施，因此委外廠商通過ISO27001:2013資訊安全管理系統，將會是公司爭取標案案件的門票。
4. 優化組織：運行效益、提升效率、降低成本 擁有更加明確的目標設定、量測指標，可有效的強調績效展現與承諾，進而減少因錯誤或所延伸的額外成本。
ISO27001:2013資訊安全管理系統的資訊安全定義為何？ 主要資訊安全的核心三要素，稱為C.I.A. 機密性 意指在於保障企業、組織、機關內部訊息，不會被其他不應該未取得授權者獲得，並保障所有的訊息，會在對的時間、對的對象、對的裝置和對的地點裡被正確的存取，進而維護企業／組織／機關用戶資訊的保密性。
完整性（Integrity） 意指在資訊的傳輸、儲存位址或各項資料的過程中，企業／組織／機關用戶資訊或資料，不會被其他不應該未取得授權者的未授權修改或竄改。
可用性 意指所有企業／組織／機關用戶，在資訊的使用上擁有一定的流暢度，讓授權者使用系統能隨時處於可以及時取得的工作狀態，不會因為任何因素而中斷/停止該資訊服務。
哪些產業需要導入ISO27001:2013資訊安全管理系統？
基本上，ISO27001:2013資訊安全管理系統，適合所有類型的組織建置，包含商業企業、政府機構和非營利組織都能建立。 1.各公家機關及特定非公務機關 在民國107年06月06日已頒布「資通安全管理法」，已對各公家機關及特定非公機關進行資通安全責任等級分辦來分級，因此各單位將須依照資安等級規定來執行資安要求，並建置ISMS，在資通安全責任等級分級辦法中，A、B級單位更須通過ISO27001:2013資訊安全管理系統，但三方驗證得ISO27001:2013資訊安全管理系統證書，能夠向政府證明企業對相關法律法規的符合性。
2.政府核心業務、標案廠商 在民國107年06月06日已頒布「資通安全管理法」後在資通法中資通安全管理法施細則中，第四條：各機關依本法第九條規定委外辦理資通系統之建置、維運或資通服務提供(以下簡稱受託業務)，選任及監督受託者時，應注意下列事項： 受託者辦理受託業務之相關程序及環境，應具備完善之資通安全管理措施或通過第三方驗證。 更須通過ISO27001:2013資訊安全管理系統證書但三方驗證得ISO27001:2013資訊安全管理系統證書，能夠向政府證明企業對相關法律法規的符合性。 因此不論是在政府機關或特定非公務機關在資訊服務、資訊機房維護、系統開發與維運、網設等各資訊關服務時，皆已要求廠商須通過ISO27001:2013資訊安全管理系統證書。 換言而之，現在爭取標案或政府合作的機會，ISO27001:2013資訊安全管理系統證書已是最重要的入場卷之一。
3.電子發票加值中心廠商 在民國108年01月09日公布「電子發票實施作要點」其中第四章加值服務中心內第五點： 電子發票系統之資訊安全管理制度符合CNS27001國家標準或ISO27001國際標準之證明文件。 因此電子發票加值中心廠商，須在規定的時間內取得ISO27001國際書，以符合此法規才能持續維持加值中心服務廠商的資格。
4.電信業者 在民國109年7月9日 公布「電信事業資通安全管理辦法」其中第四條，電信事業應於提供電信服務之日起二年內，通過下列資通安全管理驗證並維持其有效性： 一、CNS27001國家標準或 ISO/IEC27001國際標準。 二、主管機關公告之電信事業資通安全管理手冊ISO/IEC27011增項稽核表。 因此電信業者須在規定的時間內取得ISO27001國際證書，以符合此法規才能持續維持加值中心服務廠商的資格。
5.保險業者 在金融監督管理委員會(下稱金管會)於109年6月30日發布修正「保險業辦理電子商務應注意事項」、「保險業保險代理人保險經紀人與異業合作推廣附屬性保險商品業務應注意事項」及「保險業申請業務試辦作業要點」: 一、「保險業辦理電子商務應注意事項」部分 (二)為提升資訊安全效能及保障消費者權益，增訂試辦業務項目之保險業及委外合作廠商倘涉及蒐集、處理、利用個人資料，應取得資訊安全管理系統國際標準認證(ISO27001)之認證。(修正條文第5點) 因此在保險業辦理電子商務業者，須在規定的時間內取得ISO27001國際證書，才以符合此法規及資格。
導入ISO27001:2013資訊安全管理系統步驟為何？ (橙言ISO顧問團隊)將透過10大步驟，讓組織順利通過ISO27001。 Step1 確認組織背景及建置範圍Step2 成立資訊安全組織Step3 擬定資安政策與目標Step4 資訊資產鑑別Step5 風險評鑑與風險處理Step6 選擇控制目標與因應措施Step7 建立程序文件Step8 系統實施、運作與監控Step9 稽核、管理審查與持續改善Step10 ISMS驗證導入ISO27001:2013資訊安全管理系統的階段為何？ 第一階段：準備與訓練 輔導初期準備 執行現況分析 規劃教育訓練 第二階段：建立制度 執行風險評鑑作業 制度文件討論修訂 完成制度文件發行 第三階段：實施與改善 完成教育訓練 記錄填寫與修正度 內部稽核與招開管審會議 第四階段：接受驗證 外部稽核驗證前準備 辦理正式驗證稽核 持續改善與技術轉移 網頁下方有 Sec. 1 的 Q&A Q3: 建立ISO27001:2013資訊安全管理系統Information Security Management System(ISMS)以後， 新版管控項目將結構精簡，聚焦讓組織採用更容易 基本上，ISO 27002是資訊安全管理系統（ISMS）的實務指導文件，並作為ISO/IEC 27001國際標準附錄A的詳細參考資訊，提供控制措施選擇的具體參考 。
這次ISO 27002改版計畫，從2018年開始啟動，直到去年草案版本發布，開始受到各界關注，畢竟距離上一版本的推出相隔8年，如今ISO 27002:2022版修訂完成，正式發布。
關於新版的變化，BSI表示，首先，標準名稱改為「資訊安全、網路安全及隱私保護－資訊安全控制措施」，以更符合現代的資安管理需求。
其次，在內容的修訂上，ISO 27002:2022的修訂目標，聚焦於讓組織更容易採用，並確保必要控制措施不會忽略。
簡單來說，新版簡化控制措施架構，從原有的14條款類別，重新調整為4大類別，分別是組織控制、人員控制、實體控制與技術控制 ，而整體控制項目則從114個減到93個，藉此強化資安管控有效性，並將不適合當前環境的內容刪除，當中更新58個控制項目，並將多個控制項目併為24個控制項目，並新增11個控制項目。
這些新增項目，主要是為對應當前的網路攻擊手法與樣態，
新版現在也增加屬性標籤，
目前看來，新版正式發布內容與草案版本大致相當，不過我們發現，在這93項控制措施中，8.22 Segregation in networks，與8.23 Web filtering，兩者的順序對調，與草案版本不同。BSI表示，其實在最終草案版本時，條文順序就已變動。 ps 1. Segmentation divides a computer network into smaller parts. The purpose is to improve network performance and security. Other terms that often mean the same thing are network segregation, network partitioning, and network isolation. ps. 2 (Sources: https://www.ithome.com.tw/tech/28713) (In 2003)「2002~2007年全球安全內容管理市場預測更新與競爭廠商佔有率」報告，IDC報告所定義的安全內容管理（Secure Content Management，SCM）包括： 防毒、網頁過濾與訊息安全等項目， 其中防毒占81%的安全內容管理市場中， 不過大部分的企業都已建置防毒系統，所以該次的主題是內容過濾（Content Filter，包含前述的網頁過濾與訊息安全）。 內容過濾也稱為EIM（Employee Internet Management，員工上網管理）， 可以分成網頁過濾（Web Filter）、電子郵件過濾（Email Filter）及即時傳訊過濾（IM Filter）等3類。 (1) Web Filter提高企業資訊安全與員工生產力
但企業定義的不良網站就簡單的多，只要與生產無關的都是不良網站，所以要從100 MB以上的資料庫中，比對幾百萬筆網址，倒不如依工作性質設定網址白名單，只允許員工上特定網站，會比設定網址黑名單來的簡單、實在。
目前網頁資料庫還面臨URL轉向、多主機位址及未註冊網站等挑戰，很容易就失去有效性。為了彌補資料庫的不足，有些產品能掃描網頁內容，分析HTML所包含的文字，並採用關鍵字加權計分，如果網頁加權數值超過容許值就予以過濾。
(2) Email Filter保護企業商業機密
從著名半導體公司洩密案、電子郵件濫用，以致於病毒與垃圾郵件滿天飛，只要員工有使用電子郵件，企業就要擔心機密洩露、成本損失、頻寬浪費及衍生的法律問題。要解決上述的問題，最好的方法是建置電子郵件稽核（監控及過濾）系統。
電子郵件稽核主要有Sniffer與Mail Relay兩種類型，
關鍵字加權計分與檔案過濾是電子郵件稽核的核心技術。關鍵字加權計分與前述相同，當電子郵件的加權分數超過臨界值，就攔阻該封電子郵件。電子郵件的附件檔可以夾帶任何的資料，不論是文件、圖檔或壓縮檔，只要是能夠傳送，電子郵件都能帶著走，但隨之而來的是大量的風險。傳統是以副檔名判斷檔案格式，但副檔名卻很容易加以變更，所以產品必須能判斷附件檔的原始格式，而不是副檔名。
判斷出副檔名只是第一步，再來就是檢查其內容，包括壓縮檔的檔案檢索及文字檔的全文檢索，都需要更複雜的過濾技術，目前能完整支援的產品並不多。有產品能檢查壓縮5次的檔案，也有的能檢查壓縮50次的檔案，但相對需要更強大的硬體配備，檢查時間也會拉長，如果壓縮的內容是文字檔，又要再檢查其內容是否違反安全政策。
垃圾郵件是企業另一個頭痛問題，刪除一封垃圾郵件約須花費1美元，包括刪除訊息的時間、購置大型郵件伺服器和儲存系統，以及垃圾郵件造成網路癱瘓所導致的故障排除成本等，全球企業一年將要投資90億美元。可惜目前沒有效果顯著的垃圾郵件阻擋方法，除了政府正在制定相關法令，廠商也在研發新技術，希望能判斷出垃圾郵件的特徵，直接從垃圾郵件的源頭著手。(3) IM Filter終結即時傳訊
即時傳訊有一定的方便性與實用性，卻也有相當的風險性。不少公司只開啟防火牆特定的埠，藉以禁止員工使用該類軟體，但軟體開發商也不是省油的燈，程式會自動尋找開啟的通訊埠，並自動測試連線，尋找最佳的連線方式。
魔高一尺，道高一丈，雖然ICQ、MSN Messenger及Yahoo Instant Messenger等軟體都使用不同的通訊協定，但每個封包都有一定的特徵，不論使用那個通訊埠或傳訊軟體，一般的IM Filter都能夠加以辦識並阻擋。
IM Filter是剛起步的技術，所以仍有可以改進的地方，許多產品只能關閉該服務，少數能做到關鍵字過濾和即時內容監視，如果能進一步使用關鍵字加權計分，那就更完美。(4) 整合式解決方案，全方位資訊防護
未來或許會出現三合一的內容過濾產品，甚至多合一的產品，包括防毒、行為分析與內容過濾等功能，形成全方位的防禦體系。只是我們觀察到的建置模式卻是各取所需，企業分別建置防毒、電子郵件稽核、入侵偵測及網頁過濾系統，如果品牌相同，或多或少可以進行整合，但狀況仍不理想。另外，別忘了考慮是否能整合目錄和儲存系統，及對網路架構的影響。
談完技術和產品，免不了要談談穩私權的問題。企業以保護公司機密為由，監控員工的電子郵件或上網行為，這樣的做法是否合法呢？美國有電子通訊隱私法，英國有電信通訊合法商業運用通訊監察規則，臺灣仍沒有制定相關的法律條文，所以建議企業善盡告知的義務，詳細告知員工哪些事情可以做、哪些不能做，並使用自動化監控軟體，在一定的範圍內監控員工上網行為。
我們仍要強調「沒有百分百準確」的過濾軟體，當管理者的要求高，比對的政策便越多，得到的不會是更準確，而是更高的誤判。
至於各界關注的ISO 27001改版時程，BSI表示，目前獲知的時間在2022年第三季到第四季，可能與後續投票時程有關，若有進展會再更新。
至於ISO 27001預估將修訂的內容，主要依據ISO/IEC 27002:2022修訂部分，反映於ISO/IEC 27001的附件A，也將涵蓋2014年與2015年發布的2個小勘誤。
由於ISO 27002:2022已經發布，新版ISO 27001也預期會在今年修訂完成，對於已取得ISO 27001驗證的企業組織而言，除了可準備轉版認證審查，確保企業驗證範圍的控制措施與資訊安全管理系統符合新版的標準，也應朝向全公司驗證範圍目標邁進；
BSI表示，由於每個標準改版的幅度不同，根據過往經驗，新標準正式公布後，企業組織都會有2到3年的時間來進行改版；
關於ISO 27001的相關消息，後續我們在ISO官方網站找到相關資訊，目前ISO 27001:2013版已有增修1草案（DAMD 1），目前 (2022/02)進度是2022年2月3日的40.20階段，目前正進行草案（DIS）版本投票。 * 新版 ISO 27001 相較於 ISO 27001:2013版 的改變 As expected, Annex A is revised to align with the information security controls in
ISO/IEC 27002:2022. This is also the most significant change of ISO/IEC FDIS 27001.
The changes in clauses 4-10 are minor editorial changes to further harmonize the
structure with other management system standards.
To transition to the new edition, moderate efforts might be needed for those
organizations that are already certified to ISO/IEC 27001:2013.
include revising the internal policies in accordance with the new subclauses and the
modified requirements, as well as the risk assessment results and risk treatment
plan in accordance with ISO/IEC FDIS 27001 Annex A. Sec. 99 AD https://www.udemy.com/course/iso-27001-2013/ 您會學到 了解ISO 27001:2013 實際內部稽核手法
頂級公司為他們的員工提供這門課程 本課程已選入最受好評的課程收藏，並且受到全球企業信賴。 瞭解更多 這一堂課將用淺顯易懂、全中文的方式：
- 解釋ISO 27001:2013的所有條文要求(What)
- 說明ISO 27001:2013標準為什麼這樣要求(Why)
- 提供資訊安全管理系統的實際稽核案例(How)
- 提供如何稽核資訊安全管理系統的各項要求的方法(How)
- 提供課後思考題有助於學員反思每一講所學習的知識(Review and Check)
在學習完本課程的17講之後，你將對ISO 27001:20153「所有條文要求 」有完整的了解、能夠導入、運作、稽核資訊安全管理系統。
這一堂課的架構包含三個部分：
1. ISO 27001介紹：講述ISO 27001家族關係、附錄A、條文架構、本文、以及資安管理核心概念（CIA原則、風險管理原則）。
2. ISO 27001附錄A所有要求：依循標準的架構，我們將用14講詳細說明管理系統的14項控制目標與118條控制措施，以及實際稽核過程的稽核手法。
3. ISO 27001改版方向：此管理系統將於2022年下半年進行改版，我們將說明改版方向，提供企業因應方向。
本課程絕對不是單純讀ISO 27001：2013的條文要求給你聽，我們將市場上最完整的「品質管理系統主導稽核員課程」，從原本的5天密集課程，濃縮拆解成2個小時、17講，除了能夠依照您的時間彈性學習，還能隨時複習，甚至有滿滿實戰經驗的稽核員為你解答課程問題。
無論你是在日常工作中會接觸到ISO 27001資安管理系統標準，或者想了解資訊安全、資安管理、並且在您所處的組織運用這一套行遍全球的資安管理標準，那麼本課程絕對是入門首選。
此課程適合哪些人： 企業內部負責資安管理任務，欲提升知識及稽核技巧者 欲瞭解或從事資安管理系統標準要求及其運用者 欲提升職場力、工作要求、增加個人資歷者 對資安管理有興趣的人 想踏入資訊安全風險管理顧問圈的人 ISO/IEC 27001:2013 主導稽核員 (ISMS, 資訊安全管理系統) 培訓課程 https://www.bccs.com.tw/index.asp?module=product&action=ShowContext&BID=55&ID=2&SubMenu=2 3. 小型企業ISMS 咨安資訊 4.
引進自動化工具來協助，才得以讓專案如質、如期地完成。
陳光楷進一步說明，若是在銀行業導入新的認證標準，專案期間平均大約得花費12個月，反觀新光醫院6個月即可取得驗證相當不容易。「企業導入ISO 20000，問題往往是制度層面的標準化程序尚未達到足以自動化機制協同作業。這次輔導新光醫院在導入初期就開始運用Ansible方式撰寫劇本（Playbook）實作自動化以及監控運行狀態，派工系統更是基於開源陣營的iTop所建置， https://www.netadmin.com.tw/netadmin/zh-tw/market/4BF92892CF3E49DD8787C2E8918CFE26
5.
ISO 27001資訊安全管理系統主導稽核員訓練課程 i
https://dtu.cisa.tw/course.php?id=34
