M-01
差異分析（Gap Analysis）
對照 ISO/IEC 27001:2022 條文 4-10 與附錄 A 93 項控制，逐項評估貴司現況，產出可視化 Gap Report。
- 條文對應矩陣
- 控制項成熟度評分
- 導入路線圖建議
ISO/IEC 27001 是國際公認的資訊安全管理系統（ISMS）標準，透過系統化的風險管理、控制措施與持續改善循環，協助組織保護資訊的機密性、完整性與可用性。任何處理敏感資料、需要向客戶或主管機關展示資安能力的企業，都適合導入。
處理大量個資、金流、客戶資產資料，客戶與主管機關要求證明資安控管能力。
採購方明列 ISO 27001 為投標／合作前提，或列為 RFP 加分／必要項目。
曾發生資料外洩、勒索攻擊或稽核缺失，需系統化方法防止事件再發。
資本市場、跨國客戶會將資安治理列入盡職調查項目。
從最初的差異診斷到取證後的持續運作，昊勤提供分階段、可組合的顧問服務，客戶可依內部量能彈性選用。
對照 ISO/IEC 27001:2022 條文 4-10 與附錄 A 93 項控制，逐項評估貴司現況，產出可視化 Gap Report。
以資產／流程／威脅視角進行風險識別、分析與評估，共同決定風險處理計畫（RTP）與適用性聲明（SoA）。
共同起草資安政策、程序、作業指導書與紀錄表單，並儘可能整合既有 SOP，避免文件疊床架屋。
依角色分層規劃課程——高階承諾、業務單位意識、資安專責與內稽員技能，均可實體或線上進行。
執行首輪內部稽核、管理審查會議，並在外部驗證單位稽核期間全程支援，協助回覆缺失、達成取證。
每年度更新風險評鑑、支援監督性稽核，並在條文修訂時協助制度過渡。
討論長期合作 →實際時程視組織規模、範圍與內部投入能量而定。以下為中型企業（50-200 人）常見節奏。
Kick-off · Gap Analysis · 範圍界定
資產盤點 · 風險評鑑 · 適用性聲明
政策 · 程序 · 表單 · 教育訓練 · 制度試行
首次內部稽核 · 管理審查
Stage 1 & 2 稽核 · 取證
因客戶保密協議，我們以情境化方式呈現輔導案例的類型與成果模式。
客戶為北美市場 B2B SaaS，原有 SOC 2 Type II，客戶要求擴展至 ISO 27001。
複用 SOC 2 既有控制證據，僅補足 ISMS 治理與風險評鑑缺口。
7 個月完成取證，控制文件工作量減少約 40%。
因應個資法修法與跨境資料傳輸需求，客戶需同時證明資安與隱私治理能力。
採「27001 為主幹、27701 附加要求」的合併架構，共用一套文件體系。
9 個月完成雙標取證，通過主管機關資安檢查零缺失。
遭遇勒索軟體導致產線停工，需在半年內建立可證明的防護能力。
以事件根因為起點反推控制項優先序，先落地技術與流程雙軌措施。
6 個月取證，並建立年度紅隊演練機制。
已具備 ISO 27001 基礎者，可用約 20-30% 的額外工作量加掛 ISO/IEC 27701，同時滿足客戶合約與個資法遵循要求。
27701 以 27001 之風險評鑑與文件架構為基礎延伸，資產清冊、內部稽核與管理審查可共用同一套機制。
釐清貴司於資料處理鏈中的角色，並依角色套用對應的隱私控制項（Annex A / B）。
建立個資盤點清冊，明確蒐集、使用、傳輸、刪除各階段之控制措施與留存期限。
同步比對台灣個資法與歐盟 GDPR 要求，適用於跨境電商、SaaS 與金融客戶。
結論先行：中型企業（50-200 人）典型預算約 40-90 萬新台幣（顧問費），加上驗證機構稽核費用約 15-30 萬。內部人力需一名資安專責（可兼任）投入約 40% 工時。
實際成本會受下列因素影響：組織範圍大小、既有制度成熟度、是否需要 IT 技術措施建置、以及選擇的驗證機構。昊勤在初次諮詢時會提供客製化報價區間，避免後續加價。
結論先行：可以，但需要指派一名有一定 IT 或風管背景的窗口，投入約 40% 工時；顧問可補足專業，但無法取代內部主導。
ISO 27001 要求最高管理階層承諾與內部運作，若完全交由外部顧問「代辦」，取證後制度必然空轉。昊勤採「陪跑而非代跑」的模式，確保客戶內部能獨立運作。
結論先行：2025 年 10 月 31 日為轉版最終期限，重點更新在附錄 A（從 114 項濃縮為 93 項，新增 11 項控制），與風險方法論的細節要求。
轉版最常被忽略的三項：（1）新版附錄 A 的四大主題分類；（2）威脅情資（Threat Intelligence）作為新控制項的落地方式；（3）雲端服務使用與資訊安全的整合條文。
結論先行：ISO 27001 是「管理系統」認證（強調流程與治理），SOC 2 是「控制報告」（強調特定期間內的執行證據）。歐洲、亞太客戶多要求 ISO 27001；北美 SaaS 客戶多要求 SOC 2。
若市場橫跨兩地，建議先建立 ISO 27001 作為主幹，SOC 2 可作為附加報告產出，兩者可共用約 70% 的控制項證據。
結論先行：取證後三年為一個週期，第一、二年為監督性稽核，第三年為換證稽核。每年需執行內部稽核、管理審查、風險評鑑更新，並支付驗證機構監督稽核費（約首次的 30-50%）。
昊勤提供年度維護方案，涵蓋年度稽核輔導、風險更新支援與條文修訂通報，客戶可選擇彈性續約。