新知 on 資安見聞錄

[新知] ISO/IEC 27018:2025 解析：改版重點與導入注意事項

Sun, 16 Aug 2026 22:25:26 +0800

在 2025 年 8 月，針對公有雲個人可識別資訊 (Personally Identifiable Information, PII) 處理者的保護指引標準 - ISO/IEC 27018 進行了第二次的改版，正式取代了先前的版本 (ISO/IEC 27018:2019)。

ISO/IEC 27018 標準改版的主要目的，就是要與 ISO/IEC 27002:2022 的控制措施對齊，因此在整體的章節結構方面，舊版的第 5~18 章 14 個領域，已更新為第 5~8 章和 4 大控制主題（組織／人員／實體／技術），讓已經導入實施 ISO/IEC 27001:2022 的組織，可以更容易地將既有的資安控制措施延伸至雲端服務，並且內容也新增了附錄 B，提供了與舊版控制措施的對照內容 (請參考圖1說明)。

圖1 改版性質：結構重寫，控制措施要求微調

一般控制措施實施指引的改變

ISO/IEC 27018 這次的改版，針對條款結構是整個重新編排，但控制措施要求的實質內容變動不大，在第 5～8 章中沒有新增任何全新的控制措施，至於 ISO/IEC 27002:2022 新增的 11 個控制措施，新版也沒有提供針對公有雲 PII 保護的實作指引，可以直接適用 ISO/IEC 27002:2022 的指引。

不過在新版中有兩個地方，將雲端服務提供者 (Cloud Service Provider, CSP) 的角色從原本的「請求／告知」，提升為要「提供雲端服務客戶 (Cloud Service Customer, CSC) 實施能力」，共通模式是 CSP 的查核標的由「文件上的告知」轉為「技術上可用的功能」，也就是往「責任要能被驗證」的方向調整，說明如下：

5.14 資訊傳送：舊版的指引是 CSP 宜請求 CSC 採取額外措施（例如加密），在新版中除了保留同樣內容之外，還要求 CSP 宜支援施行該等措施之技術能力，也就是雙方都要實施相關的控制措施。
8.24 密碼技術之使用：條款名稱的密碼技術 (cryptography) 對應的實作重點是加密與金鑰管理，舊版的指引是 CSP 宜就其能力提供資訊，協助 CSC 施行自有的加密保護措施；而新版則是明確提到 CSP 要協助 CSC 實施和管理自有的加密保護與過程，並明列包括金鑰保管庫 (vault)、金鑰管理服務 (KMS)、硬體安全模組 (HSM) 與雲端 HSM (cloud HSM) 等業界常見的做法。另一方面，舊版要求 CSP 揭露自身於何種情況使用密碼技術保護 PII，這項透明性要求在新版中已被移除。

此外，在舊版 6.1.1 所對應的新版 5.2 「資訊安全之角色及責任」的指引中，已將「宜指定聯絡窗口 (point of contact) 供 CSC 使用」改為「配置 PII 專責人員提供諮詢」，組織在進行改版時，也要注意這點並且做出適當的調整。

原附錄 A 控制措施的改變

在舊版標準之中，除了有來自 ISO/IEC 27002 所延伸補充的實作指引之外，在附錄 A 中還有引用來自 ISO/IEC 29100 隱私原則的 25 個擴充控制措施。在新版標準裡面，這些擴充控制措施都予以保留，但要注意的是有「A.11.9 授權使用者之記錄／A.11.10 使用者 ID 管理」的條款編號互換對調 (請參考圖2說明)，所以實務方面，在組織的適用性聲明中要記得進行調整。

至於其它的 23 條，多數逐字未變或只有措辭調整，附錄 A 對於隱私保護的核心承諾（如 A.3.2 禁止以客戶 PII 作行銷用途）也是繼續維持不變，新增要求只出現在附錄 A 兩處：

A.3.1 公有雲 PII 處理者之目的：CSP 自行決定處理 PII 的方法時，除了遵循 ISO/IEC 29100 隱私原則外，也要遵循「隱私設計 (privacy by design)」原則。
A.6.2 PII 揭露之記錄：CSP 除了要紀錄第三方「揭露之來源、權限來源」之外，還要記錄「揭露該 PII 之理由」，實作指引從兩項增加為三項。

圖2 附錄 A 條款編號互換的 2 條

本次改版特別需要注意的地方

首先，新版標準中有一個地方疑似編輯疏漏（以下為個人比對後的判讀，實際仍有待確認），在標準中提到舊版的「13.2.4 機密性或保密協議」已轉換至新版的「6.6 機密性或保密協議」，而 6.6 未提供 27018 專屬指引，僅要求參照附錄 A 條款，但所列參照的「A.10.1 PII 資料侵害之告知」應為「A.11.1 機密性或保密協議」才是正確的。

其次，改版影響較大的條款是舊版「16.1.1 資安事故管理的責任與程序」的轉變，在新版附錄 B 中有提到舊版 16.1.1 要對照的新版條款是「5.24 資訊安全事故管理規劃及準備」，但 5.24 於新版中並沒有補充任何 27018 專屬指引，所以實際要去看的條款應該是「5.26 對資訊安全事故之回應」。

依據先前的上課經驗，有學員提到依據條款的指引說明，針對廣播式攻擊、埠掃描、登入失敗、阻斷服務攻擊及封包側錄這一類的事件，是不是都不用去調查？但以風險的角度來看，實務上還是需要進一步的調查評估，才能判定是否造成了資料侵害。所以這次改版，對於需要觸發進一步資料侵害審查的事件做了調整 (請參考圖3說明)，明列為例外的事件從 5 類縮減為 1 類，實質擴大了應觸發資料侵害審查的事件範圍，所以組織在對應的事件調查程序文件中，可能也要做出對應的調整。

圖3 對資訊安全事故之回應指引的改變

結語

最後，針對轉版的時程與要求，ISO/IEC 27018:2025 雖然已經發布滿一年，但多數已同時導入 ISO/IEC 27017 的組織，會選擇等兩份標準一起轉版；由於新版 ISO/IEC 27017:2026 才在 2026 年 7 月發布，實際的轉版流程仍有待驗證公司確認，所以建議已經導入舊版標準的組織，可先依照圖4的五個步驟來做好準備。

圖4 ISO/IEC 27018:2025 轉版規劃五步驟

備註：本文由作者自行創作，內容有請 AI 幫忙校對和製圖

Source：ISO/IEC 27018:2019、ISO/IEC 27018:2025

[新知] ISO/IEC 27017:2026 已正式發布：改版重點與差異解析

Sun, 09 Aug 2026 10:28:34 +0000

隨著組織皆已轉換至 ISO/IEC 27001:2022 的資訊安全管理系統之後，來上課學員經常詢問「對應 ISO/IEC 27001:2022 附錄 A 控制措施的 ISO/IEC 27017，到底什麼時候才會改版？」

總算千呼萬喚始出來，國際標準化組織 (ISO) 已在 2026 年 7 月底正式發布新版雲端服務資安控制措施標準 - ISO/IEC 27017:2026。

這次改版的主要目的就是要與 ISO/IEC 27002:2022 的控制措施對齊，因此在整體的章節結構方面，舊版的第 5~18 章 14 個領域，已更新為第 5~8 章和 4 大控制主題（組織／人員／實體／技術），讓已經導入實施 ISO/IEC 27001:2022 的組織，可以更容易地將既有的資安控制措施延伸至雲端服務。當然，新版標準同樣適用包括公有雲與私有雲的雲端服務客戶 (CSC) 和雲端服務提供者 (CSP)。

原 CLD 擴充控制措施的改變

在舊版 2015 的標準中，除了補充 37 個來自 ISO/IEC 27002:2013 控制措施的雲端服務實施指引之外，還另行新增 7 項 CLD 控制措施，補強在原本 ISO/IEC 27002 中沒有的像是雲端運算環境中的角色與責任、虛擬化環境的安全及雲端服務的監控要求等。在新版 2026 版的控制措施之中，有 5 項 CLD 控制措施被取消並回歸到 ISO/IEC 27002:2022 已有的控制措施之中，有 2 項 CLD 控制措施則是繼續沿用並且更新控制措施的條款編號 (5.38 / 8.35)。

除此之外，在新版 2026 的標準還新增兩個全新 CLD 控制措施，分別為「5.39 雲端服務夥伴角色與責任之協議」、「8.36 雲端服務未經授權使用之偵測與防範」。

依過去稽核時的經驗，曾經有受查的組織是透過雲端服務的代理商來租用雲端服務，可是在它與代理商的合約裡，卻完全沒提到資安責任，只有一份簡易的費用報價單。5.39 主要就是為了因應在目前租用雲端服務的過程中，會有所謂的雲端服務夥伴 (CSN) 的角色，當透過這些服務代理商來使用雲端服務，同樣也需要釐清彼此的安全責任，而且最好透過合約的方式來明確規範雙方的角色與責任。至於 8.36 則是針對組織內部有眾多的雲端服務使用者 (CSU)，他們會在未經由資訊或資安單位的同意之下，擅自使用外部的雲端服務，對於這些所謂影子 IT (Shadow IT) 的風險，組織需要具備監控與防範的能力，這也是在舊版的標準中未曾涵蓋的部分。

一般控制措施新增的實施指引

在 ISO/IEC 27001:2022 附錄 A 新增的 11 項控制措施，新版 ISO/IEC 27017:2026 也跟上了這個腳步，除了大多數可以直接延伸既有的控制方式至雲端服務 (可參考 ISO/IEC 27002:2022)，所以沒有補充實施指引之外，有 6 項控制措施則是補充了雲端專屬指引 (請參考圖3說明) ，分別為：5.7 威脅情資、5.30 營運持續之 ICT 備妥性、8.9 組態管理、8.10 資訊刪除、8.11 資料遮蔽、8.16 監視活動。

其他部分則是在新版標準中，更明確定義了雲端服務客戶需要落實的責任，共通模式是由被動使用轉為主動查證，並且要留下文件化資訊紀錄像是：

● 5.16 身分管理 (舊版 9.2.1)：CSC 需查證 CSP 身分管理功能是否滿足要求

● 5.18 存取權限 (舊版 9.2.2)：CSC 需查證 CSP 存取權管理功能是否滿足要求

● 8.35 虛擬環境區隔 (舊版 CLD.9.5.1)：CSC 需界定租戶隔離的要求並查證 CSP 是否可以達成

另外，由於舊版的「9.1.2 存取網路及網路服務」在 ISO/IEC 27002:2022 中已併入「5.15 存取控制」，而 5.15 在 27017:2026 並沒有補充的雲端服務指引，所以它是這次改版後唯一消失的條款。

本次改版對 CSP 端影響最大的條款

在舊版 2015 的標準中，條款「18.1.1 適用法律法規和合約要求的識別」是要求以下三件事：

1. 雲端服務提供者宜告知雲端服務客戶其雲端服務適用的法律管轄範圍。

2. 雲端服務提供者宜明確自身相關的法律要求（例如，關於加密以保護個人識別資訊 (PII) 的規定），雲端服務提供者還宜在客戶要求時提供此資訊。

3. 雲端服務提供者宜向雲端服務客戶提供其當前遵守適用法律法規和合約要求的證明。

但在新版其所對應的條款「5.31 法律、法令、法規及契約要求事項」中，則是新增加了過去沒有的權責機關調查請求 (investigation request) 的完整處理要求事項指引，例如：

● CSP 宜執行法律評估，判定該機關就其請求是否具備適用且法律上有效之依據

● CSP 宜將調查請求告知受影響之 CSC，除非法律禁止或有違法跡象

● 僅於 CSP 之法律評估顯示存在適用且有效之法律依據後，方宜授予存取或揭露 CSC 資料

● 宜將程序文件化並實作，限制存取範圍僅限於因應該請求，而非預設可存取全體 CSC 之資料

針對這項要求，CSP 的資安管理單位將會需要與內部的法律專業人員 (法遵 / 法務部門)，研討實際可行的做法，並針對過程保存適當的文件化資訊。

結語

針對新舊版標準條款的差異，大家最想了解的就是在新版標準中，是否有提供完整的新舊版條款對照表？可惜的是在 ISO/IEC 27017:2026 的 Annex A 雖然有提供新舊版對照，但是卻省略了非雲端專屬控制措施的對應關係，原因是這部分已由 ISO/IEC 27002:2022 的 Table B.1／B.2 涵蓋。所以多數的條款是需要搭配 ISO/IEC 27002:2022 進行逐條人工比對的，這是另外比較花費工夫的地方。

最後，針對轉版的時程與要求 (可能會搭配 2025 年 8 月改版的 ISO/IEC 27018:2025 一起進行)，由於新版 ISO/IEC 27017:2026 標準才剛發佈，目前還有待驗證公司確認相關的流程，所以建議已經導入舊版標準的組織，可先依照圖4的步驟來做好準備。

備註：本文由作者自行創作，內容有請 AI 幫忙校對和製圖。
Source：ISO/IEC 27018:2019、ISO/IEC 27018:2025

[新知] AI Foundation Framework：用 7 個模組逐步建立可信賴的 AI 治理

Tue, 14 Jul 2026 15:58:08 +0000

最近在講授 ISO/IEC 42001 課程時，有學員提到組織的最高管理階層要求必須做好 AI 治理，但是大家卻不知道該從哪個方向開始著手？也有學員認為，ISO/IEC 42001 在 AI 系統開發生命週期中，要求必須做好 AI 資料管理與效能的監控，也要考量 AI 系統面臨的資安風險與隱私保護，這些都要同時兼顧實在是很大的挑戰，是否有比較容易實施的方案？

針對以上這些問題，有一個比喻是如果 AI 是一棟房子的話，那麼我們要做的，首先就是從打好地基開始，再逐一建立各個重要的支柱，逐步讓這棟房子可以穩固而不容易被動搖。

為什麼組織需要 AI 治理框架？

AI 的變化速度一日千里，從一開始可以跟人類透過自然語言的對答 (Chat)，到目前已經進化長出手腳可以完成我們指定的工作 (AI agent)。對於許多組織而言，如果能夠好好利用 AI 這把神兵利器，就可以大幅強化業務發展與運作的效率，同時也能提供更多創新的服務。但是，組織是否能夠在利害關係人期望、法規與標準之下，順利地駕馭它，並且以負責任的方式來開發、提供或使用 AI 系統，這就需要建立一個穩固的基礎，才能夠在這條路上循序前進。

基於個人的觀察，台灣的組織在 AI 治理最常見的起步困難是什麼？其實主要有兩個問題，一個是對於治理的權責不清，另一個則是不清楚風險在哪裡。在權責不清的情況下，組織內使用 AI 的業務部門，認為管理責任是資訊單位和資安單位的事，而資訊單位和資安單位，在業務部門決定使用外部提供的 AI 服務時，完全未被諮詢或參與決策的過程。一旦開始使用 AI 的服務，高層下達要求重視 AI 的治理，各部門也不清楚治理的目的，以及可能面臨的風險議題。

以上種種，都是因為缺乏一個可被信賴的基礎框架，可以幫助組織來因應 AI 所帶來的風險，以及對於組織、個人、群體和社會應該負起的責任。

AIFF 是什麼 — 7 個模組總覽

面對 AI 帶來的種種挑戰，組織需要一套彈性且模組化的框架，因應 AI 所帶來的風險和責任。BSI 的人工智慧可信賴治理框架 (AI Foundation Framework, AIFF) 就是為此而生，它參考了國際公認的標準，以模組化的架構協助組織打好基礎，以更穩健的方式推動 AI 各項應用的發展。不管您的組織規模大小與業務型態，以及在 AI 生態系所扮演的角色，都可以依照自身的需求和特定的風險議題，靈活地進行調整。

人工智慧可信賴治理框架一共包含七大模組，包括了 AI 治理、AI 管理、AI 資安管理、AI 隱私管理、AI 資料管理共 5 個管理類模組，以及 AI 韌性測試和 AI 效能評估的 2 個測試類模組。

圖1　AIFF 七大模組總覽

以成熟度評分設定目標、持續改善

在 5 個管理類模組中，組織可以循序透過四個步驟來建立能力：首先參與教育訓練課程，瞭解各個模組的標準、領域與控制要點；接著使用自我評估工具，依照自己的步調進行現況評估，並且可以重複執行；再依自身的能力和資源建立目標，最終透過第三方獨立驗證，取得驗證報告和成熟度評估結果，以及 AI 信賴標誌 (AI Mark of Trust)。

有別於 ISO 標準取證的通過或不通過兩種結果，人工智慧可信賴治理框架採用六階段成熟度模型，從「尚未建置」到「持續優化」，以 L0~L5 的方式進行成熟度評分，讓組織可以依照自己的步調來提升等級，最終達成全面穩固的成果。

對組織來說，以模組化的評估方式，可以自主地決定針對最重要的治理領域來「設定目標成熟度」，不必一次追求全面且達成最高階段，而是透過自我評估工具的重複使用，制定明確的方向與目標，達成持續改善的循環。

因此，這套人工智慧可信賴治理框架能夠幫助組織鑑別以下重要議題：

• 治理缺口：組織是否在盲目地部署 AI 而沒有監督機制？

• 風險透明度：管理層是否清楚知道 AI 的限制與風險？

• 持續改善路徑：組織目前是在「救火式」地處理 AI 問題 (L1)，還是已經建立了「自動化監控與持續優化」的體系 (L5)？

成熟度模型最大的核心價值，在於衡量一個流程是否能從「依賴個人的偶然成功」，進而轉化為「組織體系的必然穩定」。組織如果能夠理解並掌握了成熟度等級的邏輯，在執行各項工作時就具備了一套專業語言。當執行人員向高層報告的時候，不再只是說「我們的 AI 治理做得差強人意」，而是可以具體的說明「目前組織在 AI 治理模組整體處於 L2，雖然具備了專案等級的管控方法，但是缺乏了組織層級的標準化過程。我們的目標是要在一年內提升到 L3，建立可以被持續審查和改善的框架。」如果執行人員能夠提出這種基於成熟度的對話，管理階層才能滿足利害關係人的期望和要求，以負責任的方式達成 AI 治理的有效性。這也回應了一開始提到的，許多組織「不知從何開始」的痛點，找到一個可以持續前進的方向。

圖2　六階段成熟度與四步驟推進路徑

該從哪個模組開始？

面對人工智慧可信賴治理框架的 7 個模組，組織的第一步該怎麼走？BSI 的建議是可以把實施「AI 治理」模組作為起點，它可以先幫組織建立一個職責分明，獲得高層支持的 AI 治理推動小組，協助組織識別所面臨的主要 AI 風險，再以此來判斷後續需要導入哪些其他模組，作為強化 AI 治理的基礎。

也就是說，組織不必一開始就同時兼顧所有的治理面向，而是可以依照風險的優先順序來分批導入。舉例來說，如果組織在風險評估後，發現隱私是最需要處理的風險，就可以優先導入 AI 隱私管理模組來降低相關風險；如果最擔心的是 AI 系統遭受攻擊或資料汙染 (Data Poisoning)，則可以優先選擇 AI 資安管理模組。這正好回應了開頭學員的提問：與其想要一次到位，不如選擇一條比較容易實施、又能逐步累積的路徑。

如果您的組織以導入 ISO/IEC 42001 為目標，或是未來有取得 ISO/IEC 42001 證書的需求，要特別說明的是，完成人工智慧可信賴治理框架的模組驗證，並不等於通過 ISO/IEC 42001 的管理系統驗證，但是它可以大幅降低導入實施 ISO 標準的門檻，尤其是 AI 管理模組的控制措施，直接呼應了 ISO/IEC 42001 的要求事項，也能作為正式驗證稽核時的客觀佐證。

結語

回到開頭那棟房子的比喻，AI 治理的地基與支柱，不必也不可能在一天之內就蓋好。如果您的組織剛被高層要求開始做 AI 治理，卻還不知道從何著手，建議從「AI 治理」模組的教育訓練與自我評估開始；如果您的組織已經在開發或整合 AI 系統，最擔心資安與隱私的議題，可以優先導入「AI 資安管理」與「AI 隱私管理」模組；如果您的組織以取得 ISO/IEC 42001 驗證為目標，則可以把人工智慧可信賴治理框架中的「AI 管理」模組當作準備期的能力建構工具。無論從哪裡開始，先評估現況、設定目標成熟度，就是讓這棟房子穩固成形的第一步。

備註：本文內容由個人產出，文章段落有請 AI 進行文字校對和編輯。

Source:
1. BSI, AI Foundation Framework – Your guide to building trusted AI adoption, 2026.
2. BSI 台灣官網：建立可信賴 AI 實踐路徑 (AIFF)

[新知] Google 發布最新的代理支付協議 (AP2)

Thu, 18 Sep 2025 11:56:00 +0000

昨天 Google 正式發布了最新的 Agent Payment Protocol (AP2) 的 AI 支付協議，擴展了原本 Google 讓不同的 Agent 之間可以協同合作的 A2A (Agent2Agent Protocol) 協定，進一步使 AI Agent 可以根據人類的需求，自動化地完成商品的搜尋、加入購物車，甚至直接支付款項完成交易。

當然，只要跟錢有關的事情，對使用者而言第一個想到的就是交易過程安不安全？會不會在未經使用者同意之下，AI Agent 就自己亂花錢，或是買了不想要的商品。而對商家來說，關注的則是跟資安有關的不可否認性 (Non-repudiation)，如何佐證這筆交易的確是經過真人的授權，而且是基於使用者的意圖來進行交易。

對此，Google 設計了授權書 (Mandates) 的機制來強化交易雙方信任，它是一種防篡改且可驗證的交易證明，可作為每一筆交易實際執行的證據，有興趣了解這項機制的夥伴，可以進一步參考以下 Google 網站的說明。

未來，隨著支持這項協議的商家愈來愈多，讓 AI 自動地幫您尋找並購買喜愛的球鞋、限量發售的公仔，或是直接以自然語言告知 AI 您預計休假的時間，想要去日本旅遊的景點，偏好的住宿飯店地點和價格，往返想乘坐的航班，以及總預算的金額，以上這些不用再一一自己去查找和下訂了，只要 AI Agent 找到符合您設定條件的組合，就可以同時完成以上商品或服務的預訂和付款。

參考資料：
Powering AI commerce with the new Agent Payments Protocol (AP2)

[新知] 關於 NIST Cybersecurity Framework v2.0 轉版與驗證

Tue, 16 Sep 2025 15:01:00 +0000

NIST Cybersecurity Framework (NIST CSF) 已在2024年2月發布最新版的v2.0 (目前NIST官網有提供中文版可供下載)，針對有意想申請轉版或新驗證的組織，可參考以下的文章。

NIST Cybersecurity Framework (NIST CSF) 最早是在2014年2月，由美國白宮所發布的總統命令，要求美國聯邦機構和地方政府需依據美國國家標準暨技術研究院 (NIST) 所提出的網路安全框架 (CSF)，藉此來強化關鍵基礎設施的安全。(老文章請見 https://jackforsec.blogspot.com/2014/11/blog-post.html )

時至今日，NIST CSF 經過在2018年更新為 v1.1，到了2024年則升級為最新的 v2.0，可以應用實施的對象，也不再只侷限於關鍵基礎設施，而是適用於各行各業，只要有心想強化網路安全 (Cybersecurity) 的組織，都可以應用這個框架，相關文件也可以直接免費從 NIST 的官網 ( https://www.nist.gov/cyberframework ) 來下載。

新版主要的改變

除了適用的對象更廣泛之外，NIST CSF v2.0 最大的改變是在框架核心 (Framework Core) 中，從原本的五個功能：識別 (Identify)、保護 (Protect)、偵測 (Detect)、回應 (Respond) 及復原 (Recover) 之外，再加入了「治理 (Govern)」，成為了具有6大核心功能和85個控制措施 (Subcategories) 的好用工具，並且也將原先導入實施的7個步驟，再簡化成為5個。

基本上，NIST CSF 不是用來取代組織已實施的任何安全標準，而是希望和既有的管理體系和控制措施相結合，讓組織自訂想要達成的層級目標 (Tier 1 to Tier 4)，逐步提升能力來管理所面臨的網路安全風險 (Cybersecurity Risks)。如果組織本身已建立ISMS並取得ISO 27001的證書，在驗證範圍內業已實施了NIST CSF，還可以向第三方的驗證機構 (BSI) 申請驗證以取得獨立的一張 NIST CSF 的證書。

轉版與驗證注意事項

目前，針對想要新驗證和既有已獲得證書的組織，有以下事項可供做參考:

1. 舊版 NIST CSF 的證書 (v1.0 or v1.1) 從今年3月起算有二年的轉換期。

2. 持有舊版 NIST CSF 證書的組織，最晚在2027年3月1日之前要完成轉版的稽核，否則證書就會失效了。

3. 還想驗證舊版 NIST CSF 的組織，最晚要在明年2月底前完成，因為在2026年3月1日之後，就只能申請驗證 NIST CSF v2.0 了。

[新知] ISO 42001 - 人工智能管理系統 (AIMS) 的國際標準即將誕生

Mon, 13 Nov 2023 15:17:00 +0000

隨著AI (人工智能) 技術的快速發展，對於許多業者基於AI所提供的產品或服務，許多人也擔心新科技的應用可能會對人類的生活產生負面的影響，因此，如何讓AI科技的發展能夠趨於正途，成為了一個值得關注的議題。

目前人工智能管理系統 Artificial intelligence Management system (AIMS) 的國際標準「ISO 42001」，已經進入到最後草稿版本的審查階段，預計將在2023年12月正式公布。

# 更新: ISO 42001標準已於2023-12-18正式發布了~~

ISO 42001的AIMS和ISO 27001的ISMS一樣，同樣要求組織從「風險」的角度，評估提供AI的產品或服務，可能面臨的品質、安全、隱私、公平性、可靠性和透明度等議題所帶來的風險，進而實施對應的管控措施。

ISO 42001標準的內容，主要分為兩個部份，第一部份是本文第4章至第10章的內容，和ISO 27001資訊安全管理系統 (ISMS)一樣，遵循了ISO組織所定義的高階結構 (Annex SL)，主要是說明如何建立、實施、維持與持續改善組織的人工智能管理系統 (AIMS)，它能夠幫助組織以負責任的態度去開發或使用AI，並且達成法規的要求，同時也可滿足社會與眾多關注方的期望。

4 組織全景

4.1 了解組織及其全景

4.2 了解關注方的需要與期望

4.3 決定AI管理系統的範圍

4.4 AI管理系統

5 領導作為

5.1 領導與承諾

5.2 AI政策

5.3 角色、責任與權限

6 規劃

6.1 因應風險與機會之行動

6.1.1 一般要求

6.1.2 AI風險評鑑

6.1.3 AI風險處理

6.1.4 AI系統衝擊分析

6.2 AI目標與達成之規劃

6.3 變更之規劃

7 支援

7.1 資源

7.2 能力

7.3 認知

7.4 溝通

7.5 文件化資訊

8 運作

8.1 運作規劃與控制

8.2 AI風險評鑑

8.3 AI風險處理

8.4 AI系統衝擊分析

9 績效評估

9.1 監督、量測、分析及評估

9.2 內部稽核

9.3 管理審查

10 改善

10.1 持續改善

10.2 不符合事項與矯正措施

至於ISO 42001標準的第二部份，則包括了以下四個附錄的內容：

附錄A是參考之控制目標與控制措施，以表格說明了附錄B.2至B.10的控制措施要求。

附錄B是AI控制措施的實施指引 (內容有點像是ISO 27002，它是控制措施的參考書)

B.1 一般說明

B.2 AI相關之政策

B.3 內部組織

B.4 AI系統之資源

B.5 AI系統之衝擊分析

B.6 AI系統生命週期

B.7 AI系統之資料

B.8 關注方之資訊

B.9 AI系統之使用

B.10 第三方與顧客關係

附錄C是可能的AI相關組織目標與風險來源

C.1 一般說明

C.2 目標

C.3 風險來源

附錄D是使用AI管理系統涉及的領域或行業

D.1 一般說明

D.2 AI管理系統與其他管理系統標準之整合

[新知] ISO 27001:2022 新版資安管理系統 (ISMS) 國際標準正式發行

Tue, 25 Oct 2022 09:40:00 +0000

眾所矚目的ISO 27001:2022新版資安管理系統 (ISMS) 國際標準，終於在今日正式公布發行了，以下簡要地說明新版標準與舊版之間主要的差異:

1. ISO 27001:2022新版國際標準從原本的「資訊技術－安全技術－資訊安全管理系統－要求事項 (Information technology - Security techniques — Information security management systems — Requirements)，更名為「資訊安全、網路安全和隱私保護－資訊安全管理系統－要求事項 (Information security, cybersecurity and privacy protection — Information security management systems — Requirements)。

2. ISO 27001:2022新版國際標準的附錄A，採用了今年二月中已更新發行的ISO 27002:2022的四個控制領域 (組織、人員、實體、技術) 與93個控制措施。在舊版標準中所使用的控制目標 (Objective) 被移除了，改為以目的 (Purpose) 來取代，至於新增加的5個控制屬性 (five attribute)，則可由組織自行選用，並非強制要求。

3. ISO 27001:2022新版國際標準的內容文字，以文件 (document) 取代原先使用的國際標準 (International Standard)。

4. ISO 27001:2022新版國際標準在本文「4.4資訊安全管理系統」，要求定義建立、實作、維持及持續改善資訊安全管理系統所需的流程 (process)。

5. ISO 27001:2022新版國際標準更明確要求在組織內和資安有關的溝通角色。

6. ISO 27001:2022新版國際標準，微調了部份條款內容和編號，例如: 原先的「9.2 內部稽核」內容增加了「9.2.1 General 一般要求」和「9.2.2 Internal audit programme 內稽計畫」；「9.3管理審查」內容則增加了「9.3.1 General 一般要求」、「9.3.2 Management review inputs 管理審查輸入」及「9.3.3 Management review results 管理審查結果」。另外，原先舊版標準的「10 改善」，則是調整順序為「10.1 Continual improvement 持續改善」和「10.2 Nonconformity and corrective action 不符合項目及矯正措施」，僅將原先的編號對調但內容要求不變。

轉版時程與規劃安排

依據所得知的消息，自2022年11月1日起將會有3年的新舊版證書轉換期，所有的2013年舊版標準證書，預計將在2025年11月1日起失效。

目前已取得2013年舊版證書的組織，可以選擇在既定的後續審查 (CAV) 或三年重審 (RA) 時，同時進行轉版稽核，但要注意的是從2024年5月1日起，想要申請 ISO 27001 首次驗證 (IA) 或進行三年重審的組織，就不能選擇再採用2013年舊版標準來進行稽核了。

至於轉版的規劃，以下步驟可作為參考：

1. 取得新版的ISO 27001:2022國際標準，若有需要也可取得ISO 27002:2022國際標準，以便了解新版控制措施的實施指引。

2. 針對新版國際標準的要求，進行差異分析 (包括本文和附錄A) 和風險評鑑。

3. 針對ISMS管理體系和現有的控制措施，實施必要的改變和調整，並保留實施的文件化證據 (在轉版驗證時提供給稽核員看)。

4. 請務必更新適用性聲明書 (SOA) 以反映所實施新版國際標準的控制措施，並且說明適用和不適用的理由。

5. 主動與組織的驗證單位連繫，提早確認預計要進行轉版稽核的時間。

[新知] ISO/IEC 27701:2019 - 第一個隱私保護和個資管理的ISO標準誕生

Thu, 08 Aug 2019 11:58:00 +0000

有鑑於國際上愈來愈多對於隱私保護和法令法規的要求，以及幾乎所有的組織都會有處理個人資料 (PII) 的情況，保護個人資訊和隱私已然成為民眾普遍的期望。

目前，ISO/IEC 27001已是國際上公認為資訊安全管理系統的首要標準，不過，在隱私保護方面除了所需的資安控制措施之外，如何因應法令法規對於個資和隱私保護的要求，以及從PII的控制者和PII的處理者的不同角度來實現和滿足，這也讓ISO組織開始著手編寫ISO/IEC 27552 (ISO/IEC 27701的前身) 標準，希望在既有的資訊安全管理系統 (ISMS)上，也能延伸補充個資管理系統 (PIMS) 的要求和實施指引。

如今，「ISO/IEC 27701:2019 Security techniques — Extension to ISO/IEC 27001 and ISO/IEC 27002 for privacy information management — Requirements and guidelines」已在2019年8月正式發布，成為全球第一個隱私保護和個資管理的ISO標準。

ISO/IEC 27701的內容分為8個章節如下：

Scope
Normative references
Terms, definitions and abbreviations
General
PIMS-specific requirements related to ISO/IEC 27001
PIMS-specific guidance related to ISO/IEC 27002
Additional ISO/IEC 27002 guidance for PII controllers
Additional ISO/IEC 27002 guidance for PII processors

第一到第三章，主要是適用範圍、參考標準和名詞定義的說明，ISO/IEC 27701適用於任何類型的組織，包括公務機關、民營企業及非營利組織。

第四章則是整體性的說明，包括PIMS的要求如何對應到ISO/IEC 27001的4~10章管理體系，以及PIMS增項的指引如何對應到ISO/IEC 27002的5~18章的控制措施。

第五章和第六章的內容，則是進一步敘述在第四章提到的PIMS對應ISO/IEC 27001管理體系要求和ISO/IEC 27002控制措施實施指引。

至於第七章和第八章，則分別從PII控制者和PII處理者的角度，說明包括蒐集和處理個資的情況和條件、應遵循的個資保護原則、設計和預設的隱私考量，以及個資的分享、傳輸和揭露的增項要求。

最後，在標準的附錄A~F中還補充了PII控制者和PII處理者可參考的控制目標和控制措施，以及對應到 ISO/IEC 29100、GDPR、ISO/IEC 27018、ISO/IEC 29151 的條款編號，並且加上如何應用此標準的說明，對於想要整合多項標準和遵循GDPR的組織而言是很清楚的參考資訊。

[新知] 雲端運算關鍵領域安全指南更新為4.0版本

Mon, 07 Aug 2017 09:43:00 +0000

雲端安全聯盟(CSA)日前宣佈，雲端運算關鍵領域安全指南(Security Guidance for Critical Areas of Focus in Cloud Computing)已正式更新為4.0版本，其中有將近8成的內容進行了改寫，以便更貼近目前雲端安全實務上的需求。

同時，這份指引也整合雲端安全控制矩陣(CCM)和自我評估的問卷(CAIQ)，並且也涵蓋了軟體開發人員和IT維運人員溝通(DevOps)、物聯網(IoT)、行動化(Mobile)和大數據(big data)等熱門議題。

另外，雲端安全知識認證(CCSK)也即將更新為CCSK v4，考試內容有80%來自於新版的雲端運算關鍵領域安全指南4.0版，其他則參考CCM和ENISA的雲端運算風險評鑑報告(Cloud Computing Risk Assessment report)的內容。

新版CCSK的考試費用為395美元，預計將在2017年12月1日開始提供新版的考試。

雲端運算關鍵領域安全指南4.0版仍提供免費下載，更多資訊可參考以下連結:
https://cloudsecurityalliance.org/guidance/#_overview

舊留言存檔

以下留言轉存自原 Blogger 網站，僅供存檔，無法回覆。

匿名（2017-11-23）

請問~CCM~有文件可以下載嗎?

傑克小花（2017-11-27）

有的，CSA網站也有提供下載喔~

Kenji.C（2019-04-17）

請問CCM和ENISA的雲端運算風險評鑑報告有中文版嗎?

傑克小花（2019-04-26）

目前CCM和ENISA的風險白皮書好像只有英文版喔～

[新知] 新版BS 10012:2017標準已正式發佈

Thu, 13 Apr 2017 16:07:00 +0000

新版BS 10012:2017標準已正式在2017年3月31日正式發佈，新版標準主要是因應歐盟在2016年4月14日所通過的資料保護法規GDPR (General Data Protection Regulation )，它預計將在2018年5月25日正式取代在1995年所通過的歐盟個人資料保護指令European Directive (95/46/EC)之要求。

新版BS 10012:2017的主要改變包括了：

重新定義個人和敏感資料
使用個人資料進行分析的限制
針對資料隱私官(data privacy officers)的管理要求
擬匿名化資料(Pseudonymous data)的涵蓋
廢止通知和註冊之要求
對處理同意提出更嚴格的要求
當事人存取權利的改變
強化刪除的權利和新的盈利權
安全事故的通知要求
隱私設計和隱私衝擊評估要求
將法律延伸涵蓋資料處理者
排除依據安全港協議將資料傳輸至美國

另外，為了讓組織能更加容易整合已實施的多個管理制度和標準，BS 10012:2017也採用了ISO的High Level Structure，使得它的內容章節能夠和其他的國際標準，像是ISO 9000/14000/22301及 ISO/IEC 27001等趨於一致。

其主要之章節如下:

Scope
Normative references
Terms and definitions
Context of the organization
Leadership
Planning
Support
Operation
Performance evaluation
Improvement

[新知] 智慧城市國際標準 - PAS 181簡介

Wed, 17 Aug 2016 08:55:00 +0000

PAS 181是由英國標準協會(bsi)所撰寫的標準，其中所提出的智慧城市框架(Smart City Framework；SCF)，它提供了實務可用的建議，並且廣泛地反映來自於公部門、私人企業與自願投入者所在領域的最佳實務，主要是為了讓智慧城市的發起人，以及各個部門與層級的領導者，作為建立智慧城市計畫時的參考指南，藉此以促進整個智慧城市的推動。

智慧城市的定義

PAS 181對智慧城市的定義為：「一個有效整合環境中實體、數位與人類的系統，為市民提供一個可持續發展、繁榮、包容性的環境。」

在發展智慧城市的過程中，必須有一個明確的指導方針和策略藍圖，才不會迷失方向。因此，PAS 181提供一個智慧城市框架，作為智慧城市的頂層設計指南，提供給城市管理者參考，它是一個可以被城市管理者與不同部門使用的智慧城市設計指南，主要分為四個部份：「指導方針」、「14個關鍵的城市治理與實施流程」、「效益實現策略」及「關鍵成功要素」。

智慧城市發展的重要關鍵

為了幫助發展成為一個智慧城市，PAS 181所提到的智慧城市框架，除了提供實務可用的建議之外，更能作為一個城市的未來發展基礎，它透過「營運管理」、「以市民為中心的服務管理」、「科技與數位資產管理」等三大面向，促進整個智慧城市的推動，以下幾點是推動智慧城市發展時的重要關鍵。

確保城市資料的開放性和可用性，以便讓更多人能容易參與並活用城市的開放資源。
結合城市管理者和市民的力量，可更有效地管理城市重要的數位資產。
藉由不同利害關係人的角色來引領創新，在技術層級方面發展開放資料平台，而在商業層級方面採用適當的商業模式來繁榮市場，擴大更多的城市商機發展。
提供市民和產業界更多管道的公眾服務，從使用者的需求出發，建立整合的商業和資訊基礎架構，提供不同特定族群，例如通勤者、年長者、行動不便人士和弱勢家庭可享用的城市服務。
編列整體和彈性的預算，專注在創造價值而非營收，從城市治理和管理的角度，評估未來城市可能的改變。

基本上，一個城市的興起發展，可能會依據當地自有的特色，發展成為具有特定樣貌的城市型態，只是傳統的城市運作方式，主要是以單一功能為導向，難以做到各項功能流程的整合，以滿足城市的成長與市民的需求。

以英國為例，隨著智慧城市的推動，同時也面臨了許多重大的挑戰，像是地方政府在傳統上會依照各個特色趨向(如教育、交通、醫療等)去發展一個城市，但對PAS 181的智慧城市框架而言，除了基於基礎設施與民眾需求的發展，還需要將各個面向的推動做法再整合起來，以回應未來智慧城市的更多挑戰。

所以，PAS 181的智慧城市框架並不是採取一體適用的方式，想要將所有城市發展成為單一型態，相反地，它更專注在以創新方式運用科技和資料，以流程化、組織化的方式去幫助未來可能擁有各種不同樣貌的城市，並且採取更有效率、永續經營的方式，去推動並成就一個屬於全體市民的智慧城市的未來。

[新知] ISO 27017 雲端安全國際標準已正式發布

Thu, 17 Dec 2015 16:27:00 +0000

ISO 27017 (Code of practice for information security controls based on ISO/IEC 27002 for cloud services) 已正式由ISO組織在2015年12月15日公布。

ISO 27017基本上是採用ISO 27002的控制措施，不過針對雲端安全的部份，它也要求強化了對於雲端服務相關人員的職責區隔、虛擬環境的隔離、虛擬主機的強化和虛擬網路的管理，以及系統管理者的操作安全和雲端服務的監控機制等。

基本上，ISO 27017不是一個獨立可驗證的標準，而是必須以ISO 27001做為基礎，再經由第三方驗證來證明組織同樣也遵循了ISO 27017的要求。

目前，已率先取得ISO 27017證書的是Amazon，包括其位於世界各地的資料中心和所提供的30多項雲端服務，都在驗證評估的範圍內，可說是業界的榜樣了。

[新知] 雲端安全聯盟正式發佈CCM和CAIQ v.3.0.1

Fri, 18 Jul 2014 04:37:00 +0000

雲端安全聯盟(CSA)已正式發佈更新版本的 Cloud Controls Matrix (CCM) 和 Consensus Assessments Initiative Questionnaire (CAIQ) v.3.0.1，有興趣的朋友可以自行至CSA的網站下載這兩項文件。

CCM v.3.0.1 - https://cloudsecurityalliance.org/download/cloud-controls-matrix-v3-0-1/

CAIQ v.3.0.1 - https://cloudsecurityalliance.org/download/consensus-assessments-initiative-questionnaire-v3-0-1/

新版的雲端控制矩陣CCM提供了雲端服務供應商基本的安全原則，可以協助業者自行評估所面臨的雲端風險，在CCM v.3.0.1中包括了16項安全領域和基本的安全控制措施，並且可以和業界與國際標準相互參照，以減少稽核時的重覆性與複雜性。

不同於v.3.0的新版主要更新重點如下：

新版CCM更新為16項安全領域，並且對應至常見的其他標準，如AICPA 2014 TSC, COBIT 5.0, ISO/IEC 27001:2013等。

新版CCM整合了重覆的控制措施，從舊版v.3.0的136個減少至133個，同時重新改寫了控制措施內容，讓目的更清楚，並且可以滿足STAR認證的要求。

新版的CAIQ則提供了更簡要清楚的問題內容，並且對應至CCM和雲端運算安全指南v3.0的內容，讓雲端服務供應商可以更容易地進行自我評估，以滿足客戶的期待與要求。

[新知] 雲端安全開放認證架構 (OCF) 與雲端控制矩陣 (CCM)

Sat, 29 Jun 2013 04:59:00 +0000

面對如雨後春筍般出現的雲端服務，身為想要採用雲端服務的消費者，到底該如何選擇一個可靠安全的雲端服務供應商？

而身為雲端服務供應商的您，如何自我評估現有的雲端安全現況，並且展現積極有效的管理作為，來贏得消費者的信任？

對此，由CSA所推動的雲端安全開放認證架構（Open Certification Framework；OCF），並且使用雲端控制矩陣 (CCM)作為服務供應商評估安全成熟度的工具，為目前實務上的最佳參考，如果您想了解更多的訊息，請參考以下這篇文章。

http://www.netadmin.com.tw/article_content.aspx?sn=1306130001

[新知] ISO 27001:2013 國際標準草案(DIS)版

Wed, 20 Mar 2013 13:58:00 +0000

為了因應ISO 27001在今年即將改版，BSI英國標準協會今天舉辦了ISO 27001國際標準草案版(Draft International Standard, DIS)的說明會，會中說明了幾個改版之後的方向，可做為已經導入或是即將導入ISO 27001的單位做為參考。

標準架構的改變

ISO 27001將採用標準化的ISO Annex SL架構，這個架構已經率先使用在先前已公布的ISO 22301(BCMS)身上，這種作法的好處，在於可解決以往各項標準章節內容不一的問題，未來組織若是需要整合各項管理標準的話，實施起來會更加地容易。

採用Annex SL架構的新版ISO 27001共有10章，同樣維持著PDCA的循環概念如下：
0 Introduction
1 Scope
2 Normative references
3 Terms and definitions
4 Context of the organization (Plan)
5 Leadership (Plan)
6 Planning (Plan)
7 Support (Plan)
8 Operation (Do)
9 Performance evaluation (Check)
10 Improvement (Act)

標準內容的重點

其中第3章的名詞解釋，在新版標準中已不再提供，而是以參照方式直接對應到ISO 27000的內容，由ISO 27000來解說整個ISMS標準家族和名詞定義。其他各章的重點，說明如下：

在第4章的組織方面，要求先了解組織的現況和來自於內外部的期許與需求，然後再去決定ISMS實施的範圍，建立起實施ISMS的計畫。

在第5章領導統御方面，需要獲得管理階層對於實施ISMS的承諾，確保ISMS與組織整體的管理流程是一致的，並且提供所需要的支持。在制定資訊安全政策時，必須清楚的定義各項目標，採用5W1H、可持續可量測的方式，以符合資訊安全的要求。對於和資訊安全有關的組織，必須定義清楚各項角色的權責，並能明確地指派和溝通。

在第6章的計畫方面，組織要依據第4章的組織現況和需求，並參考ISO 31000來進行資訊安全風險的評鑑與處理，建立可達成的資訊安全目標和計畫。

在第7章的支援方面，需要決定並提供所需要的資源，建立詳細的訓練計畫，確保內外部的溝通順暢，並且建立保存相關的文件化資訊(舊版的文件與記錄已統稱為文件化資訊)。

在第8章的運作方面，需依照所計畫的內容實施控制措施，並且執行資安風險評鑑和風險處理。

在第9章的績效評估方面，需要持續地進行量測、監控與分析，定期地實施內部稽核，並且召開管理審查會議。

在第10章的改善方面，針對不符合的事項需要實施改善行動，並且確保它不會再重覆發生(舊版中要求的預防措施已被移除了)，最後是和所有的管理制度一樣，都要依照PDCA不斷地來持續改進。

控制措施的差異

新舊版在附錄A控制方面的差異在於，控制項目由11項增加為14項，其中有舊版的一項被區分為二，另外也加入了兩個全新的項目。控制措施總數則由133個減少至113個，主要是合併了許多舊有的控制措施，並且加入了如行動裝置政策等多個新的控制措施。

A.5 Security Policies
A.6 Organization of information security
A.7 Human resource security
A.8 Asset management
A.9 Access control
A.10 Cryptography (新增)
A.11 Physical and environmental security
A.12 Operations security (由舊版A.10 獨立出來)
A.13 Communications security (由舊版A.10 分開獨立出來)
A.14 System acquisition, development and maintenance
A.15 Supplier relationships (新增)
A.16 Information security incident management
A.17 Information security aspects of business continuity management
A.18 Compliance

因為附錄A的控制項目與控制措施都已作了修改，所以ISO 27002勢必也會跟著一起改版，目前新版ISO 27001:2013預計將會在10月19日正式公布，且讓我們拭目以待。

[資料來源] BSI國際標準草案說明會 (2013-03-20)