上市櫃公司通過ISO27001有什麼好處？

　　賦予企業資訊及客戶受託業務資源之安全，保護資訊化進程完善、有序、可持續發展，避免遭受內在或外來的威脅。當企業通過了ISO 27001 的認證，就代表企業的資訊安全管理已經建立了一套科學有效的管理體系作為保障。

滿足政府機關資通系統或服務委外業務之適法性要求

資通安全管理法施行細則第九條規定

• 受託者辦理受託業務之相關程序及環境，應具備完善之資通安全管理措施或通過第三方驗證。
• 受託者應配置充足且經適當之資格訓練、擁有資通安全專業證照或具有類似業務經驗之資通安全專業人員。
• 受託者業務得複委託之範圍與對象，應具備之資通安全維護措施。

個人資料保護法

• 通過 ISO 27001 驗證，能夠向政府機構證明企業對相關法律法規的符合性。

1. 資通安全管理法
2. 個人資料保護法

• 增加政府機構標案取得的機會，提升資訊委外作業競爭優勢。
• 輕鬆應對政府機關資通安全委外實地查核作業。
• 改善企業業績、消除客戶不信任感，增進企業間電子商務往來的信用度，通過資訊安全管理的記錄可以看到資訊安全管理明顯的利益，並為廣大用戶和服務提供商提供一個基礎的設備管理。同時，把企業的干擾因素降到最小，創造更大收益。

上市櫃公司應如何強化資安措施：

金管會持續推動相關措施精進上市（櫃）公司資通安全管理(2024-03-05)

• 上市（櫃）公司於發生重大資安事件時，應即時發布重大訊息及損失達一定金額應召開重大訊息記者會。
• 自111年起應於年報敘明資安政策、具體管理方案、投入資安管理之資源、重大資安事件之損失與可能影響及因應措施等資訊。
• 依資本額規模等分階段完成設置資安長、專責主管及人員。
• 推動依風險等級分期加入台灣電腦網路危機處理暨協調中心(TWCERT/CC)共享資安情資，以達資安聯合防禦之效能。

金管會要求實收資本額達 20 億元的上市櫃公司，必須編制和申報永續報告書，列出企業投入 ESG 的相關說明。

• Environment/環境保護
• Social/社會責任
• Governance/公司治理：供應鏈的管理、系統化風險

資訊安全管理系統(ISMS)以國際資安標準ISO27001控制措施，協助組織建置完善供應商管理策略、鑑別組織資訊資產風險，並提供完整風險評估報告，掌控組織資安風險。

111年起上市櫃公司發生重大資安事件時，應揭露於重大訊息公告內。

• 建立資安事件通報程序
• 內部損失評估
• 定期安全檢測
• 永續經營資安與營運持續管裡：全面性的導入資安風險管理實務，不只能強化公司治理評鑑指標，亦能針對資安投資規劃適當的績效指標。

實施資訊安全ISMS、營運持續BCMS、個人資料保護PIMS等能強化組織的相關業務，將可進一步加強公司風險治理、將ESG指標納入考量，提升公司資安治理的效益。

公開發行公司建立內部控制制度處理準則

上市櫃公司其他相關資通安全法令法規與要求總覽。

• 金融監督管理委員會

1. 公開發行公司年報應行記載事項準則110/11/30
2. 強化環境、社會及治理（下稱「ESG」）之資訊揭露（準則第10條）
3. 強化資通安全管理之資訊揭露（準則第18、20條）
4. 提升股東會年報資訊揭露時效（準則第23條）
5. 上市上櫃公司資通安全管控指引-110/12/23
6. 公開發行公司建立內部控制制度處理準則110/12/28

上市櫃公司如何通過ISO27001認證？

　　ISO 27001是一套國際通用的資訊安全管理工具和制度。以呼應全球對於資訊安全風險之因應措施，以及控制並降低資訊安全事件所帶來的威脅和衝擊。因此，ISO 27001也提供所有類型的組織，包含商業企業、政府機構和非營利組織，都能建立資訊安全管理系統。

ISO 27001 資訊安全管理系統（Information Security Management System，ISMS），共包含2份標準：

• ISO 27001《資訊安全管理系統：要求》(Information technology-Security techniques- Information security management systems- Requirements)
• ISO 27002《資訊安全管理系統：指南、一般原則》(Information technology-Security techniques -- Code of practice for information security controls)

ISO27001建置及導入協助組織符合法規要求

ISO27001建制及導入流程