ISO 27001 93項控制措施是什麼？Annex A 4大控制主題完整解析
ISO 27001:2022 Annex A 共包含 93 項控制措施，並分為組織控制、人員控制、實體控制與技術控制 4 大主題。相較於 ISO 27001:2013 的 14 個控制領域與 114 項控制措施，新版不只是重新分類，企業在實際導入時，更重要的是依據資訊安全風險判斷需要採取哪些控制措施，並透過適用性聲明（SoA）說明適用情況。本文將整理 ISO 27001 93 項控制措施的架構、Annex A 與 SoA 的關係，以及企業實際導入時應如何理解與運用。
重點搶先看
ISO/IEC 27001:2022 Annex A 共包含 93 項控制措施。
分為 A.5 組織控制 37 項、A.6 人員控制 8 項、A.7 實體控制 14 項及 A.8 技術控制 34 項，共 4 大控制主題。
93 項控制措施不是一張要求企業全部照做的查檢表。
企業應先確認 ISMS 適用範圍與實際業務，進行資訊安全風險評估與風險處理，再決定必要的控制措施，並與 Annex A 進行比對。
控制措施提供的是資訊安全管理方向，不代表所有企業都必須採用相同做法。
同一項控制措施，可以依企業的資訊資產、營運方式、風險及相關要求，採取不同的設備、技術或管理方式。
Annex A 控制措施可以判定不適用，但必須有合理依據。
企業需要透過 SoA（Statement of Applicability，適用性聲明）說明必要的控制措施、實施狀況，以及 Annex A 控制措施的排除理由。
資訊安全不是控制越多、投入越多就一定越好。
企業應在符合 ISO 27001、法令、客戶及契約等相關要求的前提下，同時考量資訊安全風險、營運需求、資源與可承擔成本，建立真正能夠執行及持續維護的控制方式。
如果過去曾經接觸過 ISO 27001，可能會對「14 大控制領域、114 項控制措施」這組數字很熟悉；但在 ISO/IEC 27001:2022 中，Annex A 已重新整理為 4 大控制主題、93 項控制措施。
因此，現在企業準備導入 ISO 27001 時，如果仍沿用舊版的 14 大控制領域進行盤點，就需要重新確認目前使用的標準版本與控制措施架構。
不過，從 14 個控制領域變成 4 大控制主題，並不代表企業只要重新對照一份新版清單就完成了。真正需要理解的是：ISO 27001 Annex A 在整個 ISMS 中扮演什麼角色？93 項控制措施是不是全部都要做？企業又該如何透過風險評估、風險處理與 SoA（適用性聲明）決定適合自己的控制措施？
這也是本文接下來要說明的重點。我們會先從 ISO 27001 Annex A 的定位開始，再進一步整理 93 項控制措施與 4 大控制主題，最後回到企業實際導入時應該如何判斷與運用。
一、ISO 27001 Annex A 是什麼？
ISO 27001 Annex A（附錄 A）是 ISO/IEC 27001:2022 中所列的資訊安全控制措施參考集合，目前共包含 93 項控制措施，並依控制性質分為組織控制、人員控制、實體控制與技術控制 4 大主題。
不過，企業在理解 ISO 27001 Annex A 時，首先要建立一個重要觀念：Annex A 並不等於 ISO 27001 的全部要求，93 項控制措施也不是一份要求企業逐項完成的固定查檢表。
ISO 27001 的核心仍然是建立及持續運作資訊安全管理系統（ISMS）。企業需要先了解組織處境與利害關係人的需求，確認 ISMS 範圍，進行資訊安全風險評估與風險處理，再依實際風險決定需要採取哪些控制措施。
Annex A 的作用，則是在這個過程中提供企業一套資訊安全控制措施的參考架構，協助確認風險處理過程中是否遺漏必要的控制措施。
Annex A 與 ISO 27001 條文有什麼關係？
ISO/IEC 27001:2022 的管理系統要求主要集中在第 4～10 章，包括組織處境、領導、規劃、支援、運作、績效評估與改善。這些條文規範的是企業應如何建立、執行、維護及持續改善資訊安全管理系統（ISMS）。
Annex A 則提供資訊安全控制措施的參考集合，兩者扮演的角色並不相同。
簡單來說，第 4～10 章是在建立資訊安全管理的制度與運作機制；Annex A 則協助企業思考面對資訊安全風險時，可以採取哪些控制措施。
因此，企業不能只完成 Annex A 的控制措施，就認為已經符合 ISO 27001。除了控制措施本身，仍需要建立風險管理、資訊安全目標、文件化資訊、內部稽核、管理審查、不符合與持續改善等管理機制。
為什麼不能把 Annex A 當成 93 項查檢表？
企業第一次接觸 ISO 27001 93 項控制措施時，很容易直接把 Annex A 做成一份查檢表，逐項確認「有做」或「沒做」。但如果只是完成這 93 項檢查，並不能代表企業已經符合 ISO 27001 的要求。
首先，Annex A 的 93 項控制措施只是 ISO 27001 的一部分，並不是整份標準的全部要求。ISO/IEC 27001:2022 第 4～10 章還包含組織處境、領導、規劃、支援、運作、績效評估與改善等管理系統要求，例如資訊安全目標、風險評估與風險處理、內部稽核、管理審查及持續改善等內容。因此，即使企業將 Annex A 的 93 項控制措施全部逐項檢查，也不能取代對 ISO 27001 條文要求的確認。
其次，ISO 27001 採取的是風險導向的管理邏輯。企業應先了解自身的組織處境與資訊安全風險，再決定如何處理這些風險，以及需要採取哪些控制措施，之後再將所決定的控制措施與 Annex A 進行比較，確認是否遺漏必要的控制。
因此，不同企業即使都取得 ISO 27001 認證，實際採取的控制措施、執行方式與管理深度也可能不同。產業、資訊系統、營運模式、認證範圍、客戶要求、法令與契約要求不同，所面臨的資訊安全風險自然也會有所差異。
從實際導入的角度來看，Annex A 可以作為企業盤點資訊安全控制措施的重要參考，但不能把它當成 ISO 27001 唯一的一張 93 項查檢表。企業仍需要同時回到 ISO 27001 條文要求與自身風險，才能完整判斷制度是否符合要求，以及控制措施是否適合企業實際情況。
這也是後續建立 SoA（Statement of Applicability，適用性聲明）時非常重要的基礎。
本段重點：ISO 27001 Annex A 的 93 項控制措施是資訊安全管理系統中非常重要的一部分，但並不是 ISO 27001 的全部要求。企業除了需要依據風險評估與風險處理判斷適用的控制措施，也不能忽略 ISO 27001 第 4～10 章本身的管理系統要求。因此，實際導入時應同時理解「條文要求」與「Annex A 控制措施」，而不是只用一張 93 項查檢表來判斷是否符合 ISO 27001。
二、ISO 27001:2022 為什麼從 14 大控制領域改成 4 大控制主題？
如果曾經接觸過 ISO 27001:2013，可能會對「14 大控制領域」這個說法很熟悉。這也是為什麼現在網路上仍然可以看到不少「ISO 27001 14 大控制項目」的文章。
不過，現行 ISO/IEC 27001:2022 已經調整 Annex A 的控制措施架構。過去 2013 版採用 14 個控制領域、114 項控制措施；2022 版則重新整理為 4 大控制主題、93 項控制措施。
因此，如果企業目前正在導入 ISO 27001、準備認證，或重新檢視既有 ISMS，應以現行版本的架構進行確認，而不是繼續沿用過去 14 大控制領域的分類方式。
ISO 27001:2013：14 個控制領域、114 項控制措施
ISO/IEC 27001:2013 的 Annex A 共包含 114 項控制措施，並分布於 14 個控制領域中，包括資訊安全政策、資訊安全組織、人力資源安全、資產管理、存取控制、密碼學、實體與環境安全、運作安全、通訊安全、系統獲取開發及維護、供應商關係、資訊安全事故管理、營運持續管理，以及法令與契約遵循等。
因此，過去所稱的「ISO 27001 14 大控制項目」，實際上比較精確的理解應該是 14 個控制領域（control domains），其下再包含不同的資訊安全控制措施。
ISO 27001:2022：4 大控制主題、93 項控制措施
ISO/IEC 27001:2022 重新整理 Annex A 的控制措施架構，將原本 14 個控制領域整合為 4 大控制主題，共包含 93 項控制措施：
| 控制主題 | 控制措施數量 |
|---|---|
| A.5 組織控制（Organizational controls） | 37 項 |
| A.6 人員控制（People controls） | 8 項 |
| A.7 實體控制（Physical controls） | 14 項 |
| A.8 技術控制（Technological controls） | 34 項 |
| 合計 | 93 項 |
這樣的分類方式，讓企業可以從組織、人員、實體環境及資訊技術四個面向理解資訊安全控制措施，也更容易將不同性質的控制措施進行分類與管理。
如果您目前還在了解 ISO 27001 的導入方式、認證流程、需要準備哪些制度與文件，可以先閱讀：
2022 版從 114 項變成 93 項，是不是代表要求變少了？
不能單純用控制措施的數量判斷 ISO 27001:2022 的要求變少。
從 114 項調整為 93 項，主要涉及既有控制措施的重新整理、整併與調整，同時也因應近年的資訊安全環境加入新的控制措施。因此，93 項並不是單純從舊版刪除 21 項控制措施而來。
ISO/IEC 27001:2022 Annex A 新增了 11 項控制措施，包括威脅情資、雲端服務資訊安全、ICT 營運持續準備、實體安全監控、組態管理、資訊刪除、資料遮罩、資料外洩防護、監控活動、網頁過濾及安全程式開發。
這些新增內容反映企業目前面對的資訊安全環境已經與過去不同，例如雲端服務、資料外洩、持續監控及安全開發等議題，在現代企業的資訊安全管理中都越來越重要。
因此，企業如果原本依據 ISO 27001:2013 建立 ISMS，不應只是把文件中的「2013」改成「2022」，而是需要重新檢視既有風險、控制措施與 SoA，確認目前的資訊安全管理方式是否仍符合新版要求。
顧問提醒：企業進行 ISO 27001:2022 改版或重新盤點時，不建議只做「114 項對 93 項」的表格轉換。控制措施數量只是架構上的變化，真正需要重新確認的仍然是企業目前的風險、既有控制措施是否有效，以及新版要求是否已經反映在實際制度與 SoA 中。
三、ISO 27001 93項控制措施：4大控制主題一次看
ISO/IEC 27001:2022 Annex A 共包含 93 項控制措施，並依控制措施的性質分為 A.5 組織控制、A.6 人員控制、A.7 實體控制及 A.8 技術控制 4 大控制主題。
四大控制主題分別包含：
- A.5 組織控制（Organizational controls）：37 項
- A.6 人員控制（People controls）：8 項
- A.7 實體控制（Physical controls）：14 項
- A.8 技術控制（Technological controls）：34 項
合計共 93 項 ISO 27001 控制措施。
這 4 大控制主題可以幫助企業從組織管理、人員、實體環境及資訊技術等不同面向理解資訊安全控制。不過，實際導入時仍應回到企業自身的資訊安全風險與風險處理需求，而不是單純按照控制措施的編號逐項執行。
A.5 組織控制（Organizational controls）：37 項
A.5 組織控制是 ISO 27001 Annex A 四大控制主題中項目最多的一類，共包含 37 項控制措施。
這類控制主要從組織管理的角度建立資訊安全制度，包括資訊安全政策、角色與責任、職務分離、威脅情資、資訊資產管理、存取控制、供應商與雲端服務管理、資訊安全事件管理、營運持續，以及法令、契約與相關紀錄等要求。
換句話說，A.5 關注的不只是資訊設備本身，而是企業「如何管理資訊安全」。
A.5 的 37 項控制措施包括：
- A.5.1 資訊安全政策
- A.5.2 資訊安全角色與責任
- A.5.3 職務分離
- A.5.4 管理階層責任
- A.5.5 與主管機關聯繫
- A.5.6 與特殊利益團體聯繫
- A.5.7 威脅情資
- A.5.8 專案管理中的資訊安全
- A.5.9 資訊及其他相關資產清冊
- A.5.10 資訊及其他相關資產之可接受使用
- A.5.11 資產歸還
- A.5.12 資訊分級
- A.5.13 資訊標示
- A.5.14 資訊傳輸
- A.5.15 存取控制
- A.5.16 身分管理
- A.5.17 鑑別資訊
- A.5.18 存取權限
- A.5.19 供應商關係中的資訊安全
- A.5.20 供應商協議中的資訊安全處理
- A.5.21 ICT 供應鏈資訊安全管理
- A.5.22 供應商服務之監督、審查及變更管理
- A.5.23 使用雲端服務之資訊安全
- A.5.24 資訊安全事件管理規劃與準備
- A.5.25 資訊安全事件之評估與決策
- A.5.26 資訊安全事件之回應
- A.5.27 從資訊安全事件中學習
- A.5.28 證據蒐集
- A.5.29 中斷期間之資訊安全
- A.5.30 ICT 營運持續準備
- A.5.31 法律、法令、監管及契約要求
- A.5.32 智慧財產權
- A.5.33 紀錄保護
- A.5.34 隱私及個人識別資訊（PII）保護
- A.5.35 資訊安全之獨立審查
- A.5.36 資訊安全政策、規則及標準之遵循
- A.5.37 文件化操作程序
A.6 人員控制（People controls）：8 項
A.6 人員控制共包含 8 項控制措施，主要處理「人」在資訊安全管理中的風險。
企業的資訊安全問題不一定來自系統或設備，人員在任用、工作、職務異動、離職、遠距工作等不同階段，都可能接觸企業的重要資訊。因此，除了技術防護之外，企業也需要透過人員管理、教育訓練、保密責任及事件通報等方式降低人為造成的資訊安全風險。
A.6 的 8 項控制措施包括：
- A.6.1 篩選（Screening）
- A.6.2 聘僱條款及條件（Terms and conditions of employment）
- A.6.3 資訊安全認知、教育及訓練（Information security awareness, education and training）
- A.6.4 懲戒程序（Disciplinary process）
- A.6.5 聘僱終止或變更後之責任（Responsibilities after termination or change of employment）
- A.6.6 保密或不揭露協議（Confidentiality or non-disclosure agreements）
- A.6.7 遠距工作（Remote working）
- A.6.8 資訊安全事件通報（Information security event reporting）
企業在實際導入時，可以將這些要求與既有的人力資源管理制度整合。例如新人報到、保密協議、資訊安全教育訓練、職務異動、離職程序及遠距工作管理等，不一定需要為了 ISO 27001 重新建立一套完全獨立的人事流程。
真正需要確認的是：既有流程是否已經適當納入資訊安全要求，以及是否能留下足以證明制度實際執行的相關紀錄。
A.7 實體控制（Physical controls）：14 項
A.7 實體控制共包含 14 項控制措施，主要處理辦公場所、機房、設備及其他實體環境可能產生的資訊安全風險。
資訊安全不只是網路、系統與密碼的問題。如果未經授權的人可以直接進入重要區域、接觸設備或取得紙本機密資料，即使企業具備完善的資訊安全系統，仍可能發生資訊外洩或營運中斷。
因此，A.7 的重點在於透過實體安全邊界、門禁、監控、設備保護、環境威脅防護及媒體管理等方式，降低實體環境造成的資訊安全風險。
A.7 的 14 項控制措施包括：
- A.7.1 實體安全邊界（Physical security perimeters）
- A.7.2 實體進入（Physical entry）
- A.7.3 辦公室、房間及設施之安全防護（Securing offices, rooms and facilities）
- A.7.4 實體安全監控（Physical security monitoring）
- A.7.5 防範實體及環境威脅（Protecting against physical and environmental threats）
- A.7.6 在安全區域工作（Working in secure areas）
- A.7.7 清理桌面與清理螢幕（Clear desk and clear screen）
- A.7.8 設備放置及保護（Equipment siting and protection）
- A.7.9 場外資產之安全（Security of assets off-premises）
- A.7.10 儲存媒體（Storage media）
- A.7.11 支援性公用設施（Supporting utilities）
- A.7.12 纜線安全（Cabling security）
- A.7.13 設備維護（Equipment maintenance）
- A.7.14 設備之安全處置或再使用（Secure disposal or re-use of equipment）
企業在盤點 A.7 時，不應只把注意力放在「有沒有門禁」或「有沒有監視器」。不同區域所存放的資訊、設備與面臨的風險不同，需要的實體安全程度也會不同。
例如一般辦公區域、機房、檔案室、倉庫或其他重要作業區域，其進出管理與保護方式未必需要完全相同。企業仍應依據實際環境、重要資產及風險決定適合的控制方式。
A.8 技術控制（Technological controls）：34 項
A.8 技術控制共包含 34 項控制措施，主要處理資訊系統、網路、帳號權限、惡意程式、弱點、備份、日誌、加密、安全開發及資料保護等技術面的資訊安全風險。
這也是企業談到資訊安全時最容易直接聯想到的一類控制措施，例如防毒軟體、防火牆、帳號權限、資料備份、弱點管理及網路安全等，都可能與 A.8 有關。
不過，ISO 27001 並不是只做技術面的資訊安全。A.8 只是 Annex A 四大控制主題之一，仍需要與前面的組織控制、人員控制及實體控制一起考量，才能形成較完整的資訊安全管理機制。
A.8 的 34 項控制措施包括：
- A.8.1 使用者端點裝置（User endpoint devices）
- A.8.2 特權存取權限（Privileged access rights）
- A.8.3 資訊存取限制（Information access restriction）
- A.8.4 原始碼存取（Access to source code）
- A.8.5 安全鑑別（Secure authentication）
- A.8.6 容量管理（Capacity management）
- A.8.7 防範惡意程式（Protection against malware）
- A.8.8 技術弱點管理（Management of technical vulnerabilities）
- A.8.9 組態管理（Configuration management）
- A.8.10 資訊刪除（Information deletion）
- A.8.11 資料遮罩（Data masking）
- A.8.12 資料外洩防護（Data leakage prevention）
- A.8.13 資訊備份（Information backup）
- A.8.14 資訊處理設施之備援（Redundancy of information processing facilities）
- A.8.15 日誌紀錄（Logging）
- A.8.16 監控活動（Monitoring activities）
- A.8.17 時鐘同步（Clock synchronization）
- A.8.18 特權公用程式之使用（Use of privileged utility programs）
- A.8.19 作業系統軟體安裝（Installation of software on operational systems）
- A.8.20 網路安全（Networks security）
- A.8.21 網路服務安全（Security of network services）
- A.8.22 網路隔離（Segregation of networks）
- A.8.23 網頁過濾（Web filtering）
- A.8.24 密碼技術之使用（Use of cryptography）
- A.8.25 安全開發生命週期（Secure development life cycle）
- A.8.26 應用系統安全要求（Application security requirements）
- A.8.27 安全系統架構及工程原則（Secure system architecture and engineering principles）
- A.8.28 安全程式開發（Secure coding）
- A.8.29 開發及驗收中的安全測試（Security testing in development and acceptance）
- A.8.30 委外開發（Outsourced development）
- A.8.31 開發、測試及正式環境之分離（Separation of development, test and production environments）
- A.8.32 變更管理（Change management）
- A.8.33 測試資訊（Test information）
- A.8.34 稽核測試期間之資訊系統保護（Protection of information systems during audit testing）
企業在盤點 A.8 時，也不應直接把每一項控制措施轉換成「要買什麼設備」或「要裝什麼軟體」。同一項資訊安全風險，在不同規模、不同資訊架構與不同營運模式的企業中，可能會採取不同的技術或管理方式。
例如「資訊備份」的核心不只是企業有沒有執行備份，還需要考慮哪些資訊需要備份、備份頻率、保存方式、存放位置、存取權限，以及發生事故時是否能夠依需求復原。真正需要確認的，是目前採取的控制方式能不能有效處理企業所面臨的風險。
理解 ISO 27001 93 項控制措施的核心：
ISO 27001 Annex A 的 93 項控制措施，重點不是規定企業一定要購買某一項設備、使用某一套軟體，或採取完全相同的管理方法，而是提出資訊安全需要被控制與管理的方向。
例如「實體進入」的核心，是避免未經授權的人員進入需要保護的區域，但不代表所有企業都必須採用完全相同的門禁設備；「資訊備份」的核心，是確保必要的資訊、軟體及系統能依需求被備份與復原，也不代表所有企業都必須採用相同的備份技術。
因此，企業在理解 ISO 27001 控制措施時，可以先問一個問題：
「這項控制措施真正想要管理的是什麼風險？」
理解這個核心之後，再依企業的組織環境、資訊資產、營運方式、風險程度與實際需求，決定適合自己的控制方式。
換句話說，93 項控制措施提供的是控制方向，而企業真正需要建立的是適合自身風險、能夠實際執行，而且可以持續維護的控制機制。
四、ISO 27001 的 93 項控制措施都一定要做嗎？
不一定。ISO 27001 並不是要求每一家企業不分情況，都必須用相同方式實施 Annex A 的 93 項控制措施。
企業在導入 ISO 27001 時，應先了解組織處境、利害關係人的需求與要求，確認資訊安全管理系統（ISMS）的適用範圍，再進行資訊安全風險評估與風險處理。
也就是說，企業不是先拿著 93 項控制措施逐項決定「做或不做」，而是先確認自己有哪些資訊安全風險、哪些風險需要處理，以及需要採取什麼控制措施，再與 Annex A 進行比較，確認沒有遺漏必要的控制。
因此，即使兩家公司都取得 ISO 27001 認證，實際採取的控制措施與落實方式也可能不同。真正重要的是企業能不能合理說明自己的風險、風險處理方式，以及所採取控制措施之間的關係。
先做風險評估，而不是先勾選 93 項控制措施
要判斷 ISO 27001 的控制措施是否適用，首先需要確認企業的 ISMS 適用範圍，也就是這套資訊安全管理系統究竟涵蓋哪些業務、服務、流程、據點、資訊系統及相關活動。
範圍確認之後，企業才能進一步盤點在這個範圍內有哪些需要保護的資訊與相關資產，以及營運過程中會涉及哪些人員、設備、系統、供應商與作業流程，並據此展開資訊安全風險評估。
因此，風險評估不是直接從 Annex A 的 93 項控制措施開始，而是從企業實際納入 ISMS 的範圍與營運活動開始。
企業透過風險評估了解可能面臨的資訊安全風險之後，再決定哪些風險需要處理、需要採取哪些控制措施，並將所決定的控制措施與 Annex A 進行比較，確認是否遺漏必要的控制。
這也是為什麼不同企業即使都導入 ISO 27001，最後適用的控制措施與實際執行方式仍可能有所不同。
如何判斷哪些控制措施適用？
ISO 27001 控制措施是否適用，不能只看企業規模，也不能單純拿 Annex A 的 93 項控制措施逐項判斷，而需要回到企業實際的 ISMS 範圍與營運情況。
常見的判斷因素包括：
- ISMS 的適用範圍
哪些業務、服務、流程、據點及資訊系統被納入 ISO 27001，會直接影響後續需要評估與管理的資訊安全風險。 - 企業實際提供的產品與服務
不同業務模式會接觸不同類型的資訊、客戶資料、系統與作業流程，因此需要面對的資訊安全風險也不同。 - 營運過程使用的資訊、設備與系統
例如伺服器、雲端服務、員工端點設備、網路設備、資訊系統及其他與營運相關的資產，都可能影響控制措施的適用性。 - 資訊安全風險評估與風險處理結果
企業辨識出風險後，需要判斷哪些風險需要進一步處理，以及採取哪些控制措施較為適當。 - 法律、法規、客戶、契約及其他相關要求
即使企業本身評估某項風險不高，如果存在法令、主管機關、客戶或契約要求，仍需要將這些要求納入判斷。
因此，控制措施是否適用，實際上是由企業的範圍、業務、營運環境、資訊資產、風險及相關要求共同決定，而不是單純由 Annex A 的清單決定。
Annex A 的控制措施可以排除嗎？
可以，但排除必須建立在合理的適用性判斷上，而不是單純因為企業目前沒有做。
企業應先確認 ISMS 範圍與相關業務，進行風險評估與風險處理，再考量法令、契約、客戶及其他相關要求，判斷 Annex A 各項控制措施是否適用。
因此，如果某項控制措施與企業的 ISMS 範圍、業務、資訊資產、營運環境及風險確實沒有適用關係，可以經過評估後判定為不適用，並在 SoA（Statement of Applicability，適用性聲明）中說明排除理由。
但「目前沒有執行」、「導入成本太高」或「公司以前沒有這項制度」，本身並不能直接作為排除控制措施的理由。真正需要回答的仍然是：這項控制措施對企業目前的風險與相關要求而言，為什麼適用，或為什麼不適用？
這也是 SoA 最重要的功能之一。
本段重點：
判斷 ISO 27001 的 93 項控制措施，不是先拿 Annex A 開始勾選，而是按照一個基本邏輯進行：
確認 ISMS 範圍 → 了解業務與營運活動 → 盤點資訊與相關資產 → 進行風險評估 → 決定風險處理與必要控制措施 → 與 Annex A 比對 → 建立 SoA。
所以，93 項控制措施哪些適用、哪些不適用，並沒有一份所有企業都相同的標準答案。真正的答案，必須回到企業自己的範圍、業務、資產、風險與相關要求來判斷。
五、ISO 27001 SoA 是什麼？與 93 項控制措施有什麼關係？
SoA（Statement of Applicability，適用性聲明）是企業導入 ISO 27001 時非常重要的文件之一。
前面我們提到，企業不是直接將 Annex A 的 93 項控制措施全部照表執行，而是先確認 ISMS 範圍、了解業務與營運活動，進行資訊安全風險評估與風險處理，再決定需要採取哪些控制措施。
完成這些判斷之後，企業就需要透過 SoA 說明必要的控制措施，以及 Annex A 控制措施的適用情況。
因此，如果把前面的風險評估理解成「企業有哪些資訊安全風險」，風險處理是在決定「這些風險要如何處理」，那麼 SoA 的重要作用之一，就是把最後的控制措施適用性與相關判斷整理並記錄下來。
SoA（適用性聲明）需要包含哪些內容？
依 ISO/IEC 27001:2022 的要求，SoA 需要呈現企業所決定的必要控制措施，並說明這些控制措施為什麼需要納入；同時也需要說明這些必要控制措施目前是否已經實施。
此外，企業還需要說明 Annex A 中哪些控制措施被排除，以及排除的理由。
因此，SoA 至少需要能回答幾個重要問題：
- 企業決定需要哪些控制措施？
- 為什麼需要這些控制措施？
- 這些必要的控制措施目前是否已經實施？
- Annex A 中有哪些控制措施被排除？
- 為什麼這些 Annex A 控制措施可以排除？
實際建立 SoA 時，企業也可以依自身管理需要加入控制措施編號、名稱、對應文件或其他管理資訊，讓後續維護、內部稽核及驗證時更容易追蹤。
SoA 只是把 93 項控制措施勾選「適用／不適用」嗎？
不是。
如果企業只是把 Annex A 的 93 項控制措施列成表格，再逐項勾選「適用」或「不適用」，其實還沒有完整呈現 SoA 背後真正的管理邏輯。
SoA 應該與企業的 ISMS 範圍、風險評估及風險處理結果產生關聯。企業需要知道為什麼某項控制措施是必要的、目前是否已經實施，以及為什麼某些 Annex A 控制措施可以排除。
另外，企業風險處理所需要的控制措施，也不一定只能來自 Annex A。如果企業依據自身風險、法令、客戶、契約或其他需求，判斷需要採取 Annex A 之外的控制措施，也可以納入企業的風險處理與控制架構中。
因此，SoA 真正重要的不是完成一張 93 項勾選表，而是讓企業可以清楚說明：
「我們為什麼需要這些控制措施？哪些已經實施？哪些 Annex A 控制措施不適用？我們判斷的依據是什麼？」
為什麼不適用的控制措施也要說明？
因為「不適用」本身也是企業經過評估後所做出的判斷。
企業不能只因為目前沒有執行某項控制措施，就直接將它標示為不適用；而應回到 ISMS 範圍、業務活動、資訊資產、風險評估、風險處理及相關要求，確認這項控制措施是否確實沒有適用的必要。
因此，當企業排除 Annex A 中的控制措施時，需要在 SoA 中說明排除理由。
這項要求的重要性在於，企業必須能夠說明「為什麼不需要」，而不是只有「我們沒有做」。
如果企業的業務、資訊系統、營運模式、客戶要求或風險發生變化，原本判定不適用的控制措施，也可能需要重新評估。因此，SoA 並不是建立完成後就不再變動的文件，而應隨著 ISMS 與企業風險的變化持續檢視。
本段重點：
SoA 不是 ISO 27001 導入最後才為了驗證填寫的一張表格，而是企業風險管理與控制措施判斷的重要結果之一。
從實際導入的邏輯來看，可以理解為：
確認 ISMS 範圍 → 了解業務與營運活動 → 盤點資訊與相關資產 → 進行風險評估 → 決定風險處理與必要控制措施 → 與 Annex A 比對 → 建立 SoA。
所以當我們看到一份 SoA 時，真正應該理解的不是企業「勾了多少項」，而是這些適用與排除的判斷，能不能回到企業實際的範圍、風險、需求與控制措施來說明。
六、企業導入 ISO 27001 93項控制措施時，最常遇到哪些問題？
企業第一次接觸 ISO 27001 Annex A 時，看到 93 項控制措施，最直接的反應往往是：「這 93 項是不是全部都要做？」
如果直接把 93 項控制措施攤開來逐項閱讀，確實很容易覺得 ISO 27001 要做的事情非常多。但在實際輔導時，我們通常不會一開始就要求企業逐項處理 93 項控制措施，而是先讓企業理解 Annex A 的 4 大控制主題：
- 組織控制：企業如何建立資訊安全的管理制度與責任
- 人員控制：參與企業營運的人員如何受到適當管理
- 實體控制：辦公場所、設備及實體環境如何受到保護
- 技術控制：資訊系統、網路、帳號、資料及相關技術如何受到控制
先理解這 4 個面向，再進一步確認企業實際的認證範圍、業務、資訊系統、設備與工作方式，93 項控制措施就不再只是單純的一張龐大清單，而可以逐步判斷哪些與企業有關、需要如何管理。
1.第一次輔導，不是先從 93 項控制措施開始
iSolution 實際進入企業進行 ISO 27001 輔導時，通常第一步不是直接拿出 93 項控制措施逐項檢查，而是先了解這次 ISO 27001 認證真正要管理的範圍。
我們會先確認企業這次準備納入認證的服務與業務內容，再進一步了解這些業務在營運過程中會使用哪些資訊系統、資訊設備與相關資產，以及有哪些人員會參與或接觸這些資訊。
這些資訊會直接影響後續風險評估與控制措施的判斷。
如果企業原本已經有資訊安全制度、工作流程或管理機制，我們也會先了解既有做法。符合 ISO 27001 要求而且實際可以運作的制度，原則上可以繼續沿用；如果既有做法不足，再針對缺口討論需要補強的地方。
因此，ISO 27001 輔導並不是先拿一套標準制度套在企業身上，而是先了解企業「實際在做什麼」，再判斷現有制度與 ISO 27001 要求之間還差什麼。
2.企業「有做」不代表控制就已經完整
實際輔導時，我們很常聽到企業說：
「我們有防火牆。」
「我們有防毒軟體。」
「我們有備份。」
「我們有門禁。」
「我們帳號都有設定密碼。」
這些措施當然都很重要，但 ISO 27001 關注的通常不只是「有沒有」，還會進一步確認這項控制是如何被管理與執行的。
例如：
- 有防火牆：是否有適當的 Policy 與規則設定？規則由誰管理？是否需要定期檢視？
- 有資料備份：備份哪些資料？多久備份一次？如何保存？是否需要異地備份？有沒有進行復原測試？
- 有門禁系統：誰可以進入？誰負責管理權限？人員異動或離職後，權限如何調整？
- 有帳號密碼：帳號如何建立與管理？有哪些密碼要求？特殊權限如何控制？
- 有防毒軟體：是否適當部署、更新與管理？發生異常時如何處理？
所以企業原本「已經有做」通常是一個很好的開始，但接下來還需要確認這些措施是否真的能夠控制相關風險，以及管理方式是否完整。
這也是 ISO 27001 與單純購買資訊安全設備很不一樣的地方。
3.同一套資訊系統，可以同時牽涉很多控制措施
企業在盤點 ISO 27001 控制措施時，也不一定要把 93 項完全拆開來理解。有時候反過來從企業實際使用的資訊系統與設備進行盤點，會更容易看出需要管理的內容。
例如一套重要的資訊系統，我們可能會進一步確認：
- 哪些人可以存取？
- 使用者與管理者權限如何區分？
- 是否存在共用帳號？
- 是否涉及遠端存取？
- 是否需要保存活動日誌？
- 密碼與身分驗證如何管理？
- 是否需要進行容量監控？
- 資料如何備份與復原？
- 是否有惡意程式防護？
- 設備或系統發生異常時如何處理？
從這個角度來看，ISO 27001 的控制措施不是彼此完全獨立的 93 件工作，而是從不同資訊安全角度檢視企業實際使用的人員、設備、系統、資料與營運流程。
4.不要太快判斷「這項跟我們公司無關」
企業在看到某些 ISO 27001 控制措施時，有時會直覺認為：「我們公司沒有這種情況，所以這項應該不適用。」
但實際判斷之前，還是需要先了解企業真正的工作方式。
例如企業可能認為自己的 NAS 放在公司內部，因此沒有「遠端工作」或外部存取的問題；但如果員工在公司外仍需要連線回公司系統或存取相關資訊，就需要進一步評估這種工作方式所產生的資訊安全風險與控制需求。
因此，在判斷控制措施是否適用之前，我們通常會先了解企業實際怎麼工作。
只要實際營運過程確實涉及相關風險，就應該納入評估，而不是因為公司對某個名詞的理解不同，就直接將控制措施排除。
顧問觀點：93 項很多，但核心仍然是管理企業的資訊安全入口與風險。
如果要用比較簡單的方式理解 ISO 27001 的 93 項控制措施，可以把企業想成一個需要被保護的營運環境。
「入口」不只是辦公室的一扇門。
人員可能是入口，實體空間可能是入口，網路連線可能是入口，一台電腦、一個帳號、一套資訊系統、一個外部連線或一項設備，都可能成為資訊進出、被存取或產生風險的地方。
ISO 27001 Annex A 將這些需要管理的面向進一步展開成組織、人員、實體與技術控制，目的就是讓企業有系統地思考：哪些地方可能產生資訊安全風險？誰可以進入？誰可以使用？如何控制？發生問題時又如何處理？
所以，93 項控制措施看起來很多，但不需要一開始就被數字嚇到。先理解企業有哪些「入口」、有哪些重要資訊與風險，再逐步展開需要的控制措施，會比直接拿著 93 項逐條硬做更容易理解。
當然，ISO 27001 並不因此變得簡單。企業實際展開後，需要管理的人員、設備、系統與流程仍然可能不少；但至少可以先理解每一項控制措施為什麼存在，再決定適合企業的管理方式。
七、企業應該怎麼開始盤點 ISO 27001 控制措施？
企業第一次導入 ISO 27001 時，很容易直接從 Annex A 的 93 項控制措施開始盤點，但實際上，我們更建議先從企業本身開始。
因為 ISO 27001 要管理的不是「93 項表格」，而是企業在實際營運過程中所面臨的資訊安全風險。
因此，在開始判斷控制措施之前，可以先按照以下順序進行：
確認 ISMS 範圍 → 了解業務與服務 → 盤點人員、資訊、設備與系統 → 了解目前的管理方式 → 進行風險評估 → 決定需要的控制措施 → 與 Annex A 比對 → 建立 SoA。
這樣做的好處，是企業可以先從自己熟悉的營運方式開始，再逐步對應 ISO 27001 的要求，而不是一開始就被 93 項控制措施限制思考方向。
第一步｜先確認這次 ISO 27001 要管到哪裡
開始盤點之前，第一件事情是確認 ISMS 的適用範圍。
企業需要先了解這次導入 ISO 27001 的目的，以及準備納入哪些業務、服務、流程、據點與相關資訊系統。
例如企業可能是因為特定客戶要求、投標需求、供應鏈要求，或希望針對某項服務取得 ISO 27001 認證。不同的認證目的與範圍，後續需要盤點的資訊、人員、設備、系統及風險都可能不同。
因此，範圍如果一開始沒有確認清楚，後面的風險評估與控制措施盤點就很容易越做越大，甚至把原本不需要納入的活動也一起放進來。
所以我們實際進行 ISO 27001 輔導時，通常會先問：
「這次到底要保護什麼業務或服務？認證希望涵蓋到哪裡？」
先把這個問題確認清楚，後面的盤點才有明確邊界。
第二步｜從業務與服務往下找，而不是直接找控制措施
確認 ISMS 範圍後，下一步是了解這個範圍內實際有哪些業務與服務，以及這些工作平常是怎麼完成的。
可以從幾個基本問題開始：
- 這項服務是怎麼提供給客戶的？
- 哪些部門與人員會參與？
- 過程中會接觸哪些客戶或公司資訊？
- 使用哪些資訊系統？
- 使用哪些電腦、伺服器、網路設備或其他資訊設備？
- 是否使用雲端服務或外部供應商？
- 是否存在遠端工作或外部連線？
- 資訊會儲存在哪裡，又如何傳輸與使用？
透過實際工作流程往下展開，企業就可以逐漸看見資訊安全真正需要管理的對象。
這也是為什麼我們通常不會一開始就拿著 Annex A 問企業：「A.8.1 有沒有做？A.8.2 有沒有做？」
對第一次導入 ISO 27001 的企業來說，直接從控制措施編號開始討論往往比較抽象；反過來從企業每天實際執行的工作開始，更容易找出真正需要管理的資訊安全風險。
第三步｜盤點人員、資訊、設備與系統
了解業務流程後，就可以進一步確認支撐這些業務運作的人員、資訊、設備、系統及其他相關資產。
例如一套企業的重要資訊系統，可以進一步確認：
- 哪些人會使用？
- 哪些人具有管理者權限？
- 是否存在共用帳號？
- 是否可以從公司外部連線？
- 系統中保存哪些重要資訊？
- 資料如何備份？
- 是否保存必要的活動日誌？
- 如何進行身分驗證與存取控制？
- 系統由公司自行管理，還是由外部供應商維護？
- 發生故障或資安事件時如何處理？
同樣的方式也可以延伸到電腦、伺服器、NAS、網路設備、雲端服務、紙本文件、辦公場所及其他與認證範圍有關的資產。
這個階段的目的不是馬上判斷符合或不符合 ISO 27001，而是先把企業實際的營運環境看清楚。
第四步｜先確認企業現在怎麼做
盤點出需要管理的人員、資訊、設備與系統之後，不需要立刻重新建立一套新的 ISO 27001 制度。
企業原本可能就已經有防火牆、防毒軟體、備份、門禁、帳號權限、資訊設備管理、教育訓練或其他資訊安全措施。
這時候應該先確認：
「公司現在是怎麼管理的？」
如果既有制度已經可以合理控制風險，而且符合 ISO 27001 的相關要求，就可以評估繼續沿用；如果只有部分符合，再針對不足的地方補強。
例如企業已經有資料備份，就不代表需要為了 ISO 27001 重新建立另一套備份系統，而是應進一步確認備份範圍、頻率、保存方式、復原測試及相關管理是否足夠。
iSolution 的輔導原則也是如此：不是為了 ISO 27001 把企業原本的制度全部推翻重做，而是在符合標準要求的前提下，盡量利用既有制度，再補足真正缺少的控制與管理機制。
第五步｜從實際環境展開風險評估
當企業已經知道自己要保護哪些業務、資訊、設備與系統，也了解目前採取哪些管理措施之後，就可以進一步進行資訊安全風險評估。
風險評估需要思考的核心是：
這些資訊與相關資產可能發生什麼問題？發生之後會造成什麼影響？目前的控制是否足夠？
例如重要資料可能遭到未經授權存取、設備可能故障、帳號可能遭到濫用、資訊可能外洩、系統可能中斷，或人員可能因操作錯誤造成資訊安全事件。
透過風險評估，企業才能進一步判斷哪些風險需要處理，以及目前的控制措施是否需要增加、調整或改善。
第六步｜決定控制措施，再與 Annex A 比對
完成風險評估後，企業需要決定如何處理相關風險，以及需要採取哪些控制措施。
接著，再將企業所決定的必要控制措施與 ISO 27001 Annex A 進行比較，確認是否遺漏必要的控制。
這個順序非常重要。
企業不是先從 93 項控制措施裡挑選「哪些想做」，而是先從自己的營運與風險出發，再利用 Annex A 幫助確認控制措施是否完整。
最後，再將控制措施的適用性、實施情況及 Annex A 控制措施的排除理由等資訊整理至 SoA，形成可以持續管理與檢視的結果。
顧問觀點：第一次盤點 ISO 27001，不要先問「93 項要做幾項」，而是先把企業自己看清楚。
先確認要保護的範圍與業務，再往下找出參與的人員、使用的資訊、設備、系統與實際工作方式，了解目前已經有哪些管理措施，再進行風險評估與控制措施判斷。
當這些資訊逐漸清楚之後，Annex A 的 93 項控制措施就不再是一張陌生的查檢表，而會變成協助企業確認資訊安全控制是否完整的一套參考架構。
八、ISO 27001 控制措施應該做到什麼程度？
企業理解 ISO 27001 的 93 項控制措施之後，下一個常見問題就是：
「如果這項控制適用，我們到底要做到什麼程度才算符合？」
這個問題其實沒有一個所有企業都完全相同的答案。
因為 ISO 27001 控制措施的目的，不是要求所有企業採用完全相同的設備、軟體或管理方式，而是企業需要依據自身的 ISMS 範圍、業務特性、資訊安全風險與相關要求，建立適合的控制方式。
因此，判斷一項控制措施是否足夠，不能只看「有沒有做」，還需要進一步確認：
- 這項控制要處理的是什麼風險？
- 公司目前採取什麼方式進行控制？
- 誰負責執行與管理？
- 是否有明確的規則或管理方式？
- 實際執行是否與規劃一致？
- 是否留下必要的紀錄或證據？
- 現有控制是否真的足以降低相關風險？
所以 ISO 27001 真正要建立的，不是「做過 93 件事情」，而是一套可以說明、可以執行，也能持續檢查與改善的資訊安全管理機制。
同樣是「有備份」，不同企業需要的控制程度可能不同
以「資訊備份」為例，企業如果回答「我們有備份」，只能代表已經採取某種控制措施，但還不能直接判斷這項控制是否足夠。
實際上還需要進一步了解：
- 哪些資料需要備份？
- 備份的頻率是多少？
- 備份資料保存在哪裡？
- 是否需要異地備份？
- 誰可以存取或管理備份資料？
- 備份失敗時是否有人處理？
- 是否進行過復原測試？
- 發生事故後，需要多久才能恢復？
如果只是每天執行備份，卻從來沒有確認備份是否成功，也沒有測試資料能不能復原，那麼真正發生事故時，仍然可能發現備份無法使用。
因此，ISO 27001 在意的不只是企業「有沒有備份」，而是目前的備份管理方式，是否真的足以處理企業所面臨的資訊安全風險。
防火牆、門禁、密碼也是同樣的道理
同樣的觀念也可以套用到其他 ISO 27001 控制措施。
例如企業有防火牆，不代表網路安全就已經完成，還需要了解防火牆規則如何設定、由誰管理，以及相關規則與政策是否受到適當維護與檢視。
企業有門禁，也不只是確認門口裝了門禁設備，而是需要了解哪些人具有進入權限、權限如何核發與調整，以及人員離職或職務異動後如何處理。
帳號設定密碼也是如此。除了「有密碼」之外，還需要考慮帳號管理、身分驗證、權限配置及相關安全要求。
因此，設備本身通常只是控制措施的一部分，真正需要管理的是設備背後的使用方式、權限、規則、責任與持續管理。
ISO 27001 並不是控制越多越好
理解前面的內容後，也不要反過來認為 ISO 27001 的控制措施一定是「做得越多、管得越嚴格越好」。
控制措施最終仍然需要回到企業實際的資訊安全風險與營運需求。
如果控制不足，可能無法有效降低風險；但如果完全不考慮企業實際運作，只是不斷增加限制、程序與文件，也可能造成員工作業困難，甚至讓制度最後無法真正執行。
因此，企業需要找到的是適合自身風險的控制程度。
這也是為什麼同一項 ISO 27001 控制措施，在不同企業可能會有不同的執行方式。企業規模、資訊的重要程度、系統架構、工作方式、客戶要求及風險程度不同，需要採取的控制方式自然也可能不同。
顧問觀點：資訊安全不是追求風險越低越好，而是找到企業可以合理承擔的控制方式。
企業在盤點 ISO 27001 控制措施時，「有沒有做」只是第一個需要確認的問題，但也不能單純用「做得夠不夠」來判斷。
資訊安全的控制程度如果不斷提高，通常也代表企業需要投入更多設備、人力、系統與管理成本。理論上可以持續增加控制措施來降低風險，但企業的資源有限，也必須維持正常的營運效率。
因此，真正需要考量的是：在符合 ISO 27001、法令、客戶、契約及其他相關要求的前提下，目前採取的控制方式是否符合企業的風險處理目標，以及企業是否能夠合理承擔相關成本與剩餘風險。
例如同樣是資料備份，不同企業對資料遺失與系統中斷可以承受的程度不同，需要投入的備份架構、復原能力與管理成本自然也可能不同。
所以 ISO 27001 的目的不是要求企業把所有風險降到最低，也不是控制措施做得越多越好，而是透過風險管理，協助企業在標準與相關要求、資訊安全風險、營運需求及可承擔成本之間取得合理的平衡，建立真正能夠持續執行的資訊安全管理方式。
ISO 27001 認證常見問題 FAQ
不一定。企業應先確認 ISMS 適用範圍，了解業務、資訊資產與相關要求，再進行資訊安全風險評估與風險處理，決定必要的控制措施，並與 Annex A 進行比較。Annex A 中不適用的控制措施可以排除，但需要有合理的判斷依據，並在 SoA（適用性聲明）中說明排除理由。
目前新導入或申請 ISO 27001 認證，應以 ISO/IEC 27001:2022 為主要依據。2013 版 Annex A 原有 14 個控制領域、114 項控制措施，2022 版已重新整合為 4 大控制主題、93 項控制措施。企業若原本依 2013 版建立制度，不代表既有控制全部失效，而應重新檢視與現行要求的差異，再決定哪些制度可以沿用或需要調整。
ISO/IEC 27001 是資訊安全管理系統（ISMS）的要求標準，其中 Annex A 提供資訊安全控制措施的參考架構；ISO/IEC 27002 則進一步提供資訊安全控制措施的實施指引。簡單來說，ISO 27001 告訴企業管理系統需要符合哪些要求，而在理解與規劃 Annex A 控制措施時，可以參考 ISO 27002 提供的進一步說明與實施指引。
控制措施判定為不適用，本身不代表一定會被開立不符合事項。真正重要的是企業能否根據 ISMS 範圍、風險評估、風險處理及相關要求，合理說明為什麼該項 Annex A 控制措施不適用，並在 SoA 中留下排除理由。如果實際存在相關風險或要求，卻沒有合理納入控制與管理，就可能在驗證過程中受到進一步檢視。
防火牆、防毒與備份都是重要的資訊安全措施，但這些設備與技術控制並不等於完整的 ISO 27001 資訊安全管理系統。ISO 27001 還需要從組織、人員、實體與技術等面向進行風險管理，並建立權責、制度、執行紀錄、內部稽核、管理審查及持續改善機制。因此，重點不只是「有沒有資安設備」，還要確認這些措施如何被管理與持續執行。
可以。ISO 27001 並沒有規定企業一定要由顧問協助盤點控制措施。如果內部已有熟悉 ISO 27001、資訊安全及風險管理的人員，可以自行進行。實際上的難點通常不是把 93 項逐條看完，而是能否從 ISMS 範圍與實際業務出發，完成風險評估、控制措施判斷、Annex A 比對及 SoA，並讓整套制度真正落實到企業日常營運。
如果您還有其他 ISO 27001 導入、認證或實務執行上的問題，也可以延伸閱讀：
不確定 ISO 27001 93項控制措施該怎麼判斷？
如果企業已經開始盤點 ISO 27001:2022 Annex A 的 93 項控制措施，卻不確定哪些控制措施適用、目前的管理方式是否需要調整，或風險評估、控制措施與 SoA 之間不知道該如何串聯，可以先與 iSolution 驪鑫討論。
我們會先了解企業預計認證的範圍、業務與服務、現有資訊系統及管理方式，再協助判斷目前與 ISO 27001 要求之間的差距。
如果企業原本已經有防火牆、備份、門禁、權限管理或其他資訊安全制度，我們也不會為了 ISO 27001 要求企業全部重新建立，而是先確認既有做法是否可以沿用，再針對真正需要補強的地方進行調整。
無論目前是準備第一次導入 ISO 27001、已經自行開始盤點 93 項控制措施，或只是對 Annex A、風險評估與 SoA 的判斷有疑問，都可以先把目前遇到的問題告訴我們。
一般前期諮詢不收取費用，先把問題確認清楚，再決定後續是否需要輔導、教育訓練或其他協助。
讓我們成為合作夥伴吧！
我們非常期待與您合作，分享我們的經驗、策略、管道，嘗試創造更多的商業機會。當然，最重要的還是能一起創造彼此的價值，創造新的可能，我們很榮幸成為你們的合作夥伴之一。
