ISO27001:2013證書已全面失效！錯過轉版期限的企業，如何透過差距分析與11項新控制措施重新取證？

如果您的公司還掛著一張「ISO/IEC 27001:2013」的證書，即使證書上印的有效日期還沒到，它其實很可能已經不再有效了。依照國際認證論壇（IAF）發布的強制性文件 IAF MD 26，ISO/IEC 27001:2013 轉換至 2022 年版的過渡期已於 2025 年 10 月 31 日結束，所有依 2013 年版核發的驗證證書，都須在過渡期結束時到期或被撤銷。

進入 2026 年後，我們陸續接到不少企業的詢問：有的是在回覆客戶的供應商資安稽核問卷時，才發現證書版本已不被承認；有的是準備參與政府或大型企業標案，被要求提供「有效的 ISO 27001 證書」才驚覺錯過時程。本文將帶您快速掌握轉版期限過後的現況、2022 年版的主要差異，以及尚未完成轉版的企業該如何有效率地重新取證。

一、轉版期限已過：2013版證書的現況

國際層面：IAF MD 26 的明確規定

ISO/IEC 27001:2022 於 2022 年 10 月正式發布，IAF 依慣例給予 36 個月的過渡期。IAF MD 26 明訂驗證機構須在 2025 年 10 月 31 日前完成所有已驗證客戶的轉版，並規定「所有依 ISO/IEC 27001:2013 的驗證，應於過渡期結束時到期或撤銷」。換句話說，目前經認證（Accredited）的驗證機構只能依 2022 年版進行驗證。

台灣層面：資通安全署同步停止認列

數位發展部資通安全署在常見問答中說明：ISO/IEC 27001:2013 證照自 114 年 10 月 31 日起已停止認列，機關的第三方驗證亦同。對於須依《資通安全管理法》及相關子法辦理資安管理系統導入與驗證的公務機關、特定非公務機關而言，這代表 2013 年版的證書已無法作為合規佐證；承接這些機關資通系統委外案的廠商，也建議主動向委託機關確認最新要求。

如果現在仍持有2013版證書，會面臨什麼情況？

1. 證書已不具效力：不論證書上印製的到期日為何，皆已隨過渡期結束而到期或撤銷。
2. 投標與供應商評鑑受影響：客戶、委託機關或上游廠商要求提供有效證書時，2013 年版證書將無法作為佐證。
3. 需依 2022 年版重新申請驗證：由於原證書已失效，通常需依 2022 年版重新進行驗證（一般為初次驗證的兩階段稽核）。實際作法、稽核人天與時程，建議向您的驗證機構確認。

二、ISO/IEC 27001:2022 到底改了什麼？

1. 條文本文（第4～10章）：小幅調整、對齊調和架構

2022 年版的管理系統條文主要配合 ISO 管理系統標準的調和架構（Harmonized Structure）進行調整，整體精神仍是以 PDCA 循環持續改善資訊安全管理系統（ISMS）。常被提到的變動包括：

• 4.2（新增）：如何經由資訊安全管理系統滿足相關要求。
• 4.4：明確要求鑑別 ISMS 所需的過程及其交互作用。
• 6.2（新增）：受到監控及作為記錄的文件化資訊提供。
• 6.3（新增）：變更之規劃——ISMS 若需變更，應以有規劃的方式進行。
• 8.1：強調對與 ISMS 相關之外部提供過程、產品或服務的控制。
• 9.1（新增）：應評估資訊安全績效及資訊安全管理系統之有效性。
• 9.2、9.3：要求架構變更，新增輸入事項-與資訊安全管理系統有關的利害關係方的需求和期望的變化。
• 10：要求架構變更。

2. 附錄A：從114項精簡為93項、改為4大主題

這是本次改版最明顯的變化。附錄A控制措施由 2013 年版的 14 個領域、114 項，重新整理為 4 大主題、93 項：

主題	控制措施數量	涵蓋重點
組織控制（Organizational）	37 項	政策、角色職責、資產、供應商、雲端服務、事件管理、營運持續等
人員控制（People）	8 項	人員篩選、聘用條件、資安認知教育訓練、遠距工作等
實體控制（Physical）	14 項	實體安全周界、門禁、設備保護、實體安全監控等
技術控制（Technological）	34 項	存取控制、加密、組態管理、日誌監控、安全開發等

 

在 93 項控制中，有 11 項為全新新增、24 項由舊版控制合併而來。也就是說，即使舊制度運作良好，仍需要一次完整的對照與補強。

3. 補充要求：2024年氣候行動增修

【補充要求】ISO 於 2024 年 2 月發布 ISO/IEC 27001:2022/Amd 1:2024，於條款 4.1 增加「組織應判定氣候變遷是否為相關議題」，並於 4.2 增加註記「相關利害關係者可能有與氣候變遷相關的要求」。依 ISO 與 IAF 的聯合公報，此增修的用意是確保組織在鑑別內外部議題時不遺漏氣候變遷，而非要求所有組織在 ISMS 中全面導入減碳或調適措施。實務上，建議在組織全景分析中留下評估紀錄；驗證機構的具體查核方式，建議事先確認。

 

三、11項新增控制措施與優先補齊建議

以下整理 2022 年版附錄A的 11 項新增控制措施。這些控制並非一律強制，而是需依風險評鑑結果決定是否適用，並在適用性聲明（SoA）中說明理由。

編號	控制措施	重點說明
5.7	威脅情資（Threat intelligence）	蒐集並分析資安威脅資訊，作為防護決策依據
5.23	使用雲端服務之資訊安全	建立雲端服務取得、使用、管理及退出的流程
5.30	營運持續之ICT備妥性	依營運持續目標規劃、實施、維護並測試資通系統的備援能力
7.4	實體安全監控	對辦公區域、機房等場所進行持續監控，防範未授權進入
8.9	組態管理	建立並維護硬體、軟體、服務及網路的安全組態
8.10	資訊刪除	資訊不再需要時，應依規定刪除，避免不必要的外洩
8.11	資料遮蔽	依存取控制政策與法規要求，對個資等敏感資料進行遮蔽
8.12	資料外洩預防	對處理敏感資訊的系統、網路與設備採取防止外洩措施
8.16	監控活動	監控網路、系統與應用程式的異常行為，並採取適當行動
8.23	網頁過濾	管理對外部網站的存取，降低接觸惡意內容的風險
8.28	安全編碼	在軟體開發中落實安全程式撰寫原則

 

建議的補齊順序

每家企業的產業別、規模與系統架構不同，以下排序僅供規劃參考，實際仍應以風險評鑑結果為準：

1. 第一優先——與日常營運風險最直接相關：5.23 雲端服務、8.12 資料外洩預防、8.16 監控活動、5.7 威脅情資。多數企業已大量使用雲端服務與遠距協作工具，這些控制通常最容易在稽核中被追問。
2. 第二優先——與資料保護及系統管理相關：8.9 組態管理、8.10 資訊刪除、8.11 資料遮蔽；若公司有自行或委外開發系統，8.28 安全編碼也應列入。
3. 第三優先——依場域與營運需求補強：5.30 營運持續之ICT備妥性、7.4 實體安全監控、8.23 網頁過濾。許多企業已有部分作法，重點在於補齊文件化與測試紀錄。

四、尚未轉版的企業，重新取證五步驟

7. 確認證書狀態與驗證安排：先向原驗證機構確認現有證書狀態、重新驗證的型態、所需稽核人天與可排程時間，避免規劃與實際要求落差。
8. 執行差異化分析：以 2022 年版條文與附錄A逐項對照現行制度，找出需新增、合併或修訂的程序與紀錄。
9. 更新適用性聲明（SoA）：依新版93項控制重新檢視SoA ，並對每一項控制說明適用與否及理由。
10. 修訂文件並落實運作：更新資安政策、程序書與表單，並實際運作留下紀錄。多數驗證機構會要求系統已運作一段期間並具備紀錄，具體期間請洽驗證機構。
11. 完成內部稽核與管理審查，再申請驗證稽核：依 2022 年版完成至少一次完整內部稽核與管理審查後，進入驗證機構的第一階段（文件審查）與第二階段（現場稽核）。

五、重點整理

• ISO/IEC 27001:2013 轉版過渡期已於 2025 年 10 月 31 日結束，2013 年版證書均已到期或撤銷。
• 資通安全署已自 114 年 10 月 31 日起停止認列 2013 年版證照與機關第三方驗證。
• 2022 年版附錄A為 4 大主題、93 項控制，其中 11 項為新增。
• 2024 年氣候行動增修要求在條款 4.1、4.2 考量氣候變遷議題（補充要求）。
• 尚未轉版的企業，建議從差距分析與 SoA 更新著手，並及早與驗證機構確認時程。

ISO顧問推薦：橙言ISO顧問服務

從上述文章中，相信大家也可以理解到，導入ISO 27001認證，建構完善、安全的資安環境不單只由IT、工程部門著手，而是組織內部全體員工都需要建立起對資訊安全的風險意識，並從最高管理階層向下構築全面的管理系統，橙言顧問團隊具備專業且豐富的顧問及輔導經驗，絕對能滿足客戶各項資安需求，協助企業在構築資安環境的同時，更進一步強化合作夥伴之間的信賴。

我們也會持續在「ISO技術知識」專區更新 ISO 27001 及各項管理系統的最新動態，歡迎定期回來看看。

稽核輔導選擇橙言ISO顧問公司，帶領企業打通ISO認證之路。

與我們聯絡：

 

資訊來源

12. International Accreditation Forum（IAF），〈IAF MD 26:2023 Transition Requirements for ISO/IEC 27001:2022（Issue 2）〉：https://iaf.nu/iaf_system/uploads/documents/IAF_MD26_Issue_2_15012023.pdf
13. 數位發展部資通安全署，〈常見問答 3.15：ISO/IEC 27001:2013資通安全專業證照是否有轉版緩衝期？〉：https://moda.gov.tw/ACS/laws/faq/03/3731
14. ISO 國際標準化組織，〈ISO/IEC 27001:2022 Information security management systems — Requirements〉：https://www.iso.org/standard/27001
15. ISO 國際標準化組織，〈ISO/IEC 27001:2022/Amd 1:2024 — Climate action changes〉：https://www.iso.org/standard/88435.html
16. ISO／IAF，〈ISO-IAF Joint Communiqué（2024年2月）：管理系統標準新增氣候變遷考量〉：https://www.iso.org/files/live/sites/isoorg/files/standards/popular_standards/management_systems/ISO-IAF%20Joint%20Communique%20Feb%202024.pdf
17. Advisera 27001Academy，〈What are the 11 new security controls in ISO 27001:2022?〉：https://advisera.com/27001academy/explanation-of-11-new-iso-27001-2022-controls/
18. INCERT（驗證機構），〈ISO/IEC 27001:2022 Transition Policy（附錄A 114項→93項、11項新增、24項合併、58項更新之說明）〉：https://incert.bg/wp-content/uploads/2024/03/d-05-04-transition-policy-iso-iec-27001-2022-v2.pdf

※ 本文內容依上述公開資料整理，實際驗證要求以各驗證機構及主管機關最新公告為準。