跳至主要內容
EU Rules Finder
繁體中文 (語言)

為您填好的 ISO 27001 範本：適用性聲明、風險登錄表與資訊安全政策

依 ISO/IEC 27001:2022 建立的資訊安全管理系統以幾份核心文件為基礎：範圍、政策、風險評鑑與處理計畫、適用性聲明及目標。只需回答一次問題，文件包即產生英文、德文、西班牙文、法文、波蘭文或義大利文的 Word 檔案，計算每項風險的等級，並列出附錄 A 全部 93 項控制措施及您的決定。

已於 2026年10月25日 與來源核對

組織
全景與範圍
涵蓋哪些內容，例如：Acme 訂位平台的開發、託管與支援。
每行一項。
每行一項。如無排除，請留空。
範圍以外或由他人執行、但系統所依賴的活動，例如雲端託管或薪資外包。每行一項。
組織內部影響安全的因素，例如 IT 人力少或系統老舊。每行一項。
外部因素，例如 NIS2 規則、客戶要求、針對貴產業的攻擊。每行一項。
2024 年第 1 號修正要求每個組織作出判定，例如位於淹水風險區的資料中心應答「是」。
每行一項，例如 客戶：合約中的安全條款；個資主管機關：GDPR。
資訊安全政策
姓名與職稱。
例如總經理。
每行一項，例如 存取控制、備份、可接受使用、遠距工作。
1 到 36 之間的整數，通常為 12。
SOC 2 與 NIS2

套件另含七項專題政策、一份 SOC 2 準則工作表和一份 NIS2 第 21 條措施紀錄。工作表一律包含安全類別；請勾選報告還會涵蓋的其他 SOC 2 類別。

風險

風險等級（可能性 × 衝擊）不超過此數的風險可以接受，例如 8。
風險 R1
例如客戶資料庫。
例如管理者密碼遭竊，且沒有第二因子。

風險等級：請評定可能性與衝擊

填寫下方清單中的編號，例如 5.17, 8.5。

適用性聲明：93 項控制措施

逐項說明：納入或排除、原因，以及是否已實施。上方風險中列出的控制措施即以該風險為依據。控制措施名稱為英文。

已決定 0 / 93 項。

5. Organizational controls
  • 5.1 Information security policy and topic policies
  • 5.2 Security roles and who is responsible
  • 5.3 Conflicting duties kept apart
  • 5.4 Management makes staff apply security
  • 5.5 Contacts with authorities
  • 5.6 Contacts with security groups and forums
  • 5.7 Information on threats collected and analysed
  • 5.8 Security in projects
  • 5.9 Inventory of information and assets, with owners
  • 5.10 Rules for acceptable use
  • 5.11 Assets handed back on leaving
  • 5.12 Information classified by need for protection
  • 5.13 Information marked with its class
  • 5.14 Rules for sending and sharing information
  • 5.15 Access control rules
  • 5.16 Identities managed over their whole life
  • 5.17 Passwords and other log-in secrets
  • 5.18 Access rights granted, reviewed and removed
  • 5.19 Security with suppliers
  • 5.20 Security terms in supplier contracts
  • 5.21 Security in the ICT supply chain
  • 5.22 Supplier services monitored and changes managed
  • 5.23 Use of cloud services
  • 5.24 Incident handling prepared
  • 5.25 Security events assessed and classified
  • 5.26 Response to incidents
  • 5.27 Lessons from incidents
  • 5.28 Evidence collected and preserved
  • 5.29 Security kept during disruption
  • 5.30 ICT ready for business continuity
  • 5.31 Legal, regulatory and contract requirements identified
  • 5.32 Intellectual property respected
  • 5.33 Records protected
  • 5.34 Privacy and personal data
  • 5.35 Independent review of security
  • 5.36 Compliance with own security rules checked
  • 5.37 Written operating procedures
6. People controls
  • 6.1 Background checks of candidates
  • 6.2 Security duties in employment contracts
  • 6.3 Security awareness and training
  • 6.4 Disciplinary process for breaches
  • 6.5 Duties after leaving or changing job
  • 6.6 Confidentiality agreements
  • 6.7 Working from home and other remote places
  • 6.8 Staff report security events
7. Physical controls
  • 7.1 Secure boundaries around premises
  • 7.2 Entry controls
  • 7.3 Offices, rooms and facilities secured
  • 7.4 Premises monitored
  • 7.5 Protection from physical and environmental threats
  • 7.6 Rules for working in secure areas
  • 7.7 Clear desk and locked screens
  • 7.8 Equipment placed and protected
  • 7.9 Assets taken off the premises
  • 7.10 Storage media handled over their life
  • 7.11 Power and other utilities
  • 7.12 Cables protected
  • 7.13 Equipment maintained
  • 7.14 Equipment wiped or destroyed before disposal or re-use
8. Technological controls
  • 8.1 Laptops, phones and other user devices
  • 8.2 Administrator and other privileged access
  • 8.3 Access to information restricted
  • 8.4 Access to source code
  • 8.5 Secure log-in
  • 8.6 Capacity planned and monitored
  • 8.7 Malware protection
  • 8.8 Technical vulnerabilities handled
  • 8.9 Secure configurations
  • 8.10 Information deleted when no longer needed
  • 8.11 Data masking
  • 8.12 Data leakage prevented
  • 8.13 Backups
  • 8.14 Redundant systems
  • 8.15 Event logs
  • 8.16 Monitoring for unusual behaviour
  • 8.17 Clocks synchronised
  • 8.18 Powerful utility programs restricted
  • 8.19 Software installed on live systems
  • 8.20 Network security
  • 8.21 Security of network services
  • 8.22 Networks separated
  • 8.23 Web filtering
  • 8.24 Encryption and key management
  • 8.25 Secure development life cycle
  • 8.26 Security requirements for applications
  • 8.27 Secure architecture and engineering principles
  • 8.28 Secure coding
  • 8.29 Security testing before acceptance
  • 8.30 Outsourced development supervised
  • 8.31 Development, test and production kept apart
  • 8.32 Changes managed
  • 8.33 Test data protected
  • 8.34 Systems protected during audit tests

目標

目標 1
例如所有管理者帳戶啟用多因子登入。
如何判斷達成，例如 100% 的管理者帳戶。
文件語言

您輸入的內容不會傳送到任何地方。您的企業資訊會儲存在本瀏覽器中，方便下次使用。

檔案內容

  • ISMS 範圍：內部與外部議題、2024 年第 1 號修正的氣候變遷問題、關注方及其要求、場所、排除部分與介面（第 4.1 至 4.3 節）；
  • 資訊安全政策：最高管理階層的承諾、職責與您的主題特定政策（5.2）；
  • 風險評鑑：方法、1 至 5 級量表、您的接受準則，以及依「可能性 × 衝擊」計算每項風險的登錄表（6.1.2）；
  • 風險處理計畫：處理選項、附錄 A 控制措施、行動、負責人與期限，並為每位風險擁有者留出核准欄（6.1.3）；
  • 適用性聲明：附錄 A 全部 93 項控制措施，納入或排除、理由（控制措施所處理的風險會自動填入）及實施情形（6.1.3 d），另附可用試算表開啟的 CSV 檔；
  • 資訊安全目標：衡量方式、資源、負責人與期限（6.2），以及一份說明檔，列出標準在這些檔案之外的要求。

文件包的檢查

風險等級只依 1 至 5 的整數評等計算，其他輸入一律標為待填寫。附錄 A 中不存在的控制措施編號會顯示為不接受，絕不猜測。若您排除了某項控制措施，而某項風險依賴它，表單與適用性聲明中都會標出。不會悄悄留空：每處缺漏都標為 TO COMPLETE 或文件語言中的對應標記。

ISO 27001 與 NIS2

NIS2 指令（歐盟）2022/2555 並不要求通過 ISO/IEC 27001 驗證。其第 21 條要求基本實體與重要實體採取風險管理措施，並於適用時考量相關的歐洲與國際標準；第 25 條要求會員國鼓勵使用這些標準。風險評鑑、政策與適用性聲明是說明這些措施如何選定的常見方式。套件如何將各項政策對應到 SOC 2 與第 21 條：SOC 2 與 NIS2 政策。

文件包不做什麼

文件包不含標準原文：控制措施名稱是我們自己的簡短描述，閱讀要求需要您自備一份 ISO/IEC 27001。它不撰寫各項控制措施背後的程序，不執行內部稽核或管理審查，也不提供任何驗證：只有經認證的驗證機構稽核後才能取得證書。文件為英文、德文、西班牙文、法文、波蘭文與義大利文。

您輸入的內容不會離開瀏覽器；檔案在您的裝置上產生。僅為範本，不構成法律意見。

來源