ISO 27001 認證：它要求什麼以及應向外包合作夥伴詢問什麼

重點摘要

證書顯示稽核員在聲明的範圍內發現了安全系統，因此在您信任該標誌之前，請閱讀範圍和適用性聲明。2013 年的證書已超過其 2025 年 10 月 31 日的截止日期，且馬來西亞的 PDPA 修正案增加了任何證書都無法涵蓋的法律責任。

詢問外包供應商如何保護數據，答案通常會以標誌和「ISO 27001 認證」字樣呈現。這就是 ISO 27001 認證在發揮其行銷作用。如果您是即將把薪資檔案或客戶記錄交給馬來西亞團隊的財務長或人資長，這個標誌的意義微乎其微。該標準描述了公司應如何管理資訊安全，而證書則是稽核員證明該系統在稽核日期、針對指定範圍確實存在。

範圍是買家容易被誤導的地方。證書可能只涵蓋一個辦公室的一層樓，而您的工作卻是從另一棟建築交付的。它也可能是 2013 年的版本，而市場原應在 2025 年 10 月 31 日前淘汰該版本。

將證書視為您盡職調查的第一份文件，而非最後一份。並請記住，馬來西亞的 PDPA 修正案增加了一個任何證書都無法取代的法律層面。以下各節將標準拆解，以便您能根據它來測試供應商。

ISO 27001 認證證明了什麼？

ISO 27001 認證證明獨立稽核員在稽核時，於指定組織的聲明範圍內發現了資訊安全管理系統。它不證明整個公司都是安全的，也不證明每個站點都受到涵蓋，並且不能保證事件不會發生。該標準明確指出，認證僅適用於聲明的範圍內，並不保證事件會被預防，因為 ISO/IEC 27001 概述 記錄。因此，範圍聲明決定了證書的意義。一份僅指定一個交付中心的證書，對於第二個中心或分包商則隻字未提。對於買家而言，證書證明了在您的工作將進行的地方存在一個嚴謹的流程，但前提是範圍與您的委託相符且證書仍然有效。

買家以一種可預測的方式過度解讀證書。採購團隊在供應商網站上看到證書，勾選安全選項後便繼續進行。沒有人會打開範圍說明。沒有人會詢問您將使用的交付地點是否在其中。

在範圍內，供應商已識別其風險、選擇了控制措施，並讓稽核員進行了測試。在範圍之外，您完全沒有任何稽核證據。許多公司將證書範圍限定於向對安全敏感的客戶銷售的部門，這是一個明智的決定。只有當您的工作是從範圍未涵蓋的地點交付時，才會對您造成損害。

資訊安全管理系統必須包含什麼？

資訊安全管理系統 (ISMS) 聽起來很複雜。實際上，它只是文件和習慣：什麼受到保護、誰負責、公司如何檢查自己的工作。ISO/IEC 27001 的第 4 至 10 條規定了要求，它們像一個管理循環一樣運作：

• 第 4 條，組織環境： 誰與公司的安全有利害關係，以及系統的邊界在哪裡。範圍從這裡開始。
• 第 5 條，領導力： 高階管理層擁有政策並分配職責。沒有高階主管負責的系統往往會衰敗。
• 第 6 條，規劃： 風險評估在此，包含安全目標和每個風險的處理計畫。
• 第 7 條，支援： 預算、具備適當技能的人員、意識培訓以及系統所依據的文件。
• 第 8 條，運作： 執行處理計畫，然後在發生變化時重新進行評估。
• 第 9 條，績效評估： 監控、內部稽核和管理審查。
• 第 10 條，改進： 糾正不符合項並收緊系統。

這就是為什麼證書具有份量。購買軟體並不能讓供應商通過稽核。必須有人擔任指定職位、撰寫風險評估、執行內部稽核並證明管理層已閱讀結果。

同樣的結構會顯示弱點計畫隱藏在哪裡，而第 9 條就是需要查看的地方。當交付團隊忙碌時，內部稽核和管理審查會首先被忽略，但它們卻能確保其他條款的誠實性。詢問供應商上次內部稽核發現了什麼。一個真實的答案會指出隨後發生的變化；一個敷衍的答案則會去翻閱政策文件夾。

風險評估和適用性聲明如何運作？

公司應用哪些控制措施取決於其風險評估，而適用性聲明就是記錄該決策的地方。根據 ISO/IEC 27001，公司評估其資訊安全風險，選擇控制措施來處理這些風險，並將選擇記錄在適用性聲明（Statement of Applicability，簡稱 SoA）中。

SoA 比文件包中的任何其他內容更能告訴買家。它列出了標準中的控制措施，勾選了公司應用的措施，並說明了每個被排除的措施的原因。排除不一定自動是危險信號：不開發軟體的供應商很少需要安全編碼控制。但如果排除的措施涉及您的資料，例如媒體處理、遠端工作或供應商關係，則值得直接提問。

也請索取 SoA 的版本和日期。如果它早於標準的現行版本，則表示系統尚未更新。有些供應商會要求先簽署保密協議，因為該文件詳細描述了他們的安全狀況，這是一個正常的要求。但如果斷然拒絕分享，甚至拒絕在通話中向您解釋，則是一個更糟糕的跡象。

免費諮詢。 如果您正在比較馬來西亞的委外合作夥伴，並希望有人協助審查安全問卷，請預約 a free consultation with the SummitNext team 討論對您的合作關係重要的問題。

2022 年版本有何變化？

2013 年版本列出了 114 項控制措施。2022 年版本列出了 93 項，分為四個主題：組織、人員、實體和技術。 TUV SUD transition guidance 闡述了重新分組的內容，而 standard’s overview page 提供了相同的數字。

這些主題與您無論如何都會向供應商提出的問題一致：

• 組織： 政策、角色以及供應商如何管理其自身的供應商。
• 人員： 員工如何篩選和培訓，如何處理遠端工作，以及員工離職當天會發生什麼。
• 實體： 安全區域、訪客處理和交付樓層的設備。
• 技術： 存取權限、日誌記錄、資料保護以及您的團隊使用的工具。

此對應關係是我們建立的，而非標準本身。它仍然可以作為一份檢查清單。如果您正在採購聯絡中心或後勤團隊，請將您的問題集中在人員和實體主題上，因為篩選和樓層安全決定了您的資料日常處理的大部分內容。

數量減少並不意味著標準更寬鬆。控制措施經過合併和重新組織，並且每個管理條款仍然適用。如果供應商告訴您 2022 年證書更容易取得，因為控制措施較少，請保持懷疑。

ISO 27001 認證如何運作，以及有效期多久？

認證機構分兩個階段進行首次稽核。然後證書有效期為三年，每個日曆年至少進行一次監督稽核，但重新認證的年份除外，根據 ISO/IEC 27001 概述.

您可以在書面文件上核對。尋找發行日期、到期日期以及其間的監督稽核。如果監督稽核已超過一年，且不在重新認證年份內？請詢問原因。

並取得證書本身，而不是標誌的螢幕截圖。證書上會註明認證機構、標準和版本、範圍以及日期。行銷頁面很少會包含所有這些資訊。

2013 年的證書仍然可以接受嗎？

ISO/IEC 27001:2013 證書已過了其轉換截止日期（2025 年 10 月 31 日），因此仍引用該證書的供應商應被要求提供 2022 年版本的證據。由於 TUV SUD transition guidance 說明，2022年版本以四個主題的93項控制取代了2013年版本的114項控制，因此，基於舊列表建立的適用性聲明也已過時。這可能有無辜的原因，例如沒有人更新的網站。供應商可能持有有效的2022年證書。解決方法很簡單：要求提供當前證書、其版本、範圍聲明和上次審核日期。截至本出版日期，若供應商在截止日期後無法提供2022年證書，則其證書在當前版本下不可信賴。

舊的2013年證書可能存放在供應商的文件中，因為很久沒有人打開過該文件夾。如果您找到一份，惡意行為的可能性不大。要求更換，並將緩慢的答覆視為一種資訊。

您應該向外包合作夥伴詢問哪些關於ISO 27001的問題？

要求合作夥伴書面證明證書涵蓋您將使用的站點和服務。它還應涵蓋您的合作將涉及的數據。七項要求可完成大部分工作：

• 證書名稱和頒發機構： 證書上確切的標準和版本，以及頒發該證書的認證機構。要求提供完整文件，而非徽章。
• 範圍聲明： 範圍的措辭，需與交付地點和您將購買的服務進行核對。地址和活動都需要匹配。
• 適用性聲明版本： 版本號和日期，以及一份列出排除控制項及其理由的清單。針對2013年版本編寫的版本已過時。
• 到期日和上次監督審核日期： 證書的到期日以及最近一次監督審核的日期，需根據三年週期進行解讀。
• 客戶數據隔離： 您的數據如何與其他客戶的數據分開，無論是在系統、存取角色還是實際操作層面。詢問供應商的文件化控制中如何描述此安排。
• 次級處理者： 每個接觸您數據的第三方，例如託管或電話服務。詢問每個第三方是否在供應商的範圍內或有其自己的保證，並檢查合約中關於該清單變更的規定。
• 事件通知條款： 供應商多久會通知您事件，透過哪個管道以及提供哪些細節。將此與您自己承擔的通知義務進行比對。

這些都不是帶有敵意的問題。擁有完善系統的供應商會從其已有的文件中回答。緩慢的答覆或籠統的保證會讓您了解證書背後系統的一些情況。

如需更廣泛的供應商選擇視角，請參閱此 選擇BPO合作夥伴的框架，對於面向客戶的營運，請參閱以下指南： 選擇客戶支援外包合作夥伴 涵蓋了相同決策的營運層面。如果您仍在決定是否要進行外包， BPO 對您的營運意味著什麼？ 闡述了該模型。

馬來西亞的PDPA與證書如何協同作用？

證書不能取代法律合規性。馬來西亞《2024年個人數據保護修正案》（Act A1727）分階段實施，其中兩個階段對於任何外包涉及個人數據的工作的人來說都很重要。根據 數據保護報告摘要，處理者義務於2025年4月1日生效，同時生效的還有跨境傳輸的變更和更高的罰款。向專員和受影響個人發出違規通知，以及數據保護官員的任命和數據可攜性，則於2025年6月1日生效。罰款可高達1,000,000馬來西亞令吉和/或三年監禁。

ISO/IEC 27001證書說明了組織如何管理安全風險。PDPA則說明了法律在處理個人數據時的要求、違規後必須通知誰以及通知速度。兩者有所重疊，因為良好的事件處理流程有助於通知，但兩者不能相互取代。供應商可以持有有效證書，但仍需要合約條款來明確處理者職責和向您報告違規行為。

這就是為什麼事件通知問題應列入您的清單。如果您必須通知監管機構或受影響的個人，您就依賴供應商及時並提供足夠詳細的資訊。將這項期望寫入協議中，而不是假設證書涵蓋了它。請就這些修訂如何適用於您的安排尋求法律意見，因為本文描述的是職責，並未將其應用於您的具體情況。

若要了解馬來西亞在營運方面的觀點，請參閱關於 馬來西亞 BPO 和 CRM 營運中的數據隱私與合規 的文章，深入探討外包團隊如何處理個人資料。

當團隊為您工作時，誰擁有存取控制權？

存取控制是一項營運決策，並由客戶負責。在 SummitNext’s 的名義雇主模式下，職責劃分清晰：SummitNext 負責人資職責，例如薪資、合規和福利。您則保留對執行工作人員的營運管理權。決定誰可以存取您的哪些系統，以及審查該清單，屬於營運層面。將其寫入合約中，並列入指定負責人的職位描述。

員工工作地點也會改變範圍問題。SummitNext 員工可以在您的場所工作，也可以在交付地點工作。在您自己的建築和網路內完成的工作屬於您自己的控制範圍，因此供應商的範圍聲明對於地點的重要性較低，而對於其如何管理人員及其記錄的重要性較高。至於人員方面， 馬來西亞的人力資源外包 解釋了人力資源職責如何劃分。

這些要點適用於 SummitNext，也適用於任何供應商。要求任何供應商以書面形式出示其證書、範圍和適用性聲明。對於以安全為優先的合作關係中買方應注意的事項，請參閱 SummitNext 如何為受監管企業提供安全外包服務，以及更廣泛的服務， 外包營運中的安全與合規支援。交付地點的分佈方式也決定了您的資料儲存位置，正如說明文章 交付模式如何在不同地點之間分配工作 所示。

常見問題

ISO 27001 認證涵蓋哪些內容？

僅涵蓋組織在其聲明範圍內所列的內容，並由獨立稽核員在稽核日期發現。範圍外的地點和分包商不包括在內，且證書不對未來事件做出任何承諾。在您依賴任何其他資訊之前，請先閱讀證書上的範圍聲明。

ISO 27001 證書的有效期是多久？

三年，期間會進行檢查。每年至少進行一次監督稽核，除了重新認證的年份。因此，請向供應商詢問到期日和最近一次監督稽核的日期，並查看兩者是否符合該週期。

ISO 27001:2013 證書是否仍然有效？

否。在 2025 年 10 月 31 日的過渡期截止日期之後，ISO 27001:2013 證書不應再被依賴。如果供應商仍然引用該證書，請要求提供 2022 年證書、範圍聲明以及反映當前版本 93 項控制措施的適用性聲明。

獲得 ISO 27001 認證的供應商是否仍然會發生資料外洩？

是的，有可能。認證不能保證事件不會發生。它所顯示的是存在一個用於發現和評估風險並應對故障的系統，這使得事件更容易被發現和解釋。您仍然需要在合約條款中規定通知、合作以及在出現問題時的責任歸屬。

ISO 27001 認證是否符合馬來西亞的 PDPA？

否。證書涵蓋公司如何管理安全風險，而 PDPA 則規定了法律職責，包括自 2025 年 4 月 1 日起生效的處理者義務，以及自 2025 年 6 月 1 日起生效的資料外洩通知。請在合約中涵蓋這些職責，並就其如何適用於您尋求法律意見。

我應該檢查供應商 ISO 27001 範圍聲明中的哪些內容？

從交付地點和您正在購買的服務開始。兩者都應出現在範圍內，因為證書僅適用於其內部。將地址和活動與您的合作內容相匹配。如果您的團隊將在其他地方工作或使用分包商，請書面詢問這些是否涵蓋在內或單獨獲得保證。

總結

ISO 27001 認證是一個有用的信號，但它不能取代閱讀其背後的內容。稽核員在特定日期內，在一個範圍內發現了一個管理系統，這就是證書所說的一切。該範圍是否涵蓋您的交付地點、您的數據以及其他接觸數據的人，這是只有您才能提出的問題。

因此，請將證書與委託事項相匹配，根據 2025 年 10 月 31 日的截止日期檢查版本，並閱讀適用性聲明。然後，將事件通知納入合約中，緊鄰您的 PDPA 職責。如果您希望在將這些問題應用於馬來西亞外包計劃時獲得幫助， 請與我們的團隊洽談 並預約免費諮詢。