資訊安全管理 — 將 ISO 27001 與 GDPR 應用在我自己的基礎架構上

01需求

光說「很安全」什麼也證明不了。組織會依循 ISO 27001 標準，來決定、記錄並證明自己如何因應資安風險——我想在真實的環境中實際演練一次。

02構想

把自己的伺服器當成客戶的伺服器來對待：界定範圍、分析風險、選擇控制措施、進行稽核——並公開不足之處，而不是把它藏起來。

03我打造了什麼

• 界定範圍，並盤點需要保護的資產。
• 採用法國國家級方法 EBIOS RM 進行風險分析。
• 逐一檢視 ISO 27001（2022 年版）的 93 項控制措施——其中排除的 35 項，每一項都附有書面理由。
• 一份資安政策、多項作業程序，以及針對本網站所處理訪客資料的 GDPR（歐盟一般資料保護規則）處理活動紀錄。
• 針對 17 項控制措施進行內部稽核，並完整寫出不足之處。
• 即時證據：部分要求每小時自動量測一次，而不只是口頭宣告。

04成果

• 93逐一檢視的控制措施
• 35項排除，每項都附書面理由
• 17經內部稽核的控制措施
• 14 · 2 · 1符合 · 部分符合 · 不足

93 項控制措施中：12 項已落實、30 項部分落實、16 項待辦、35 項不適用（數字於 2026 年 9 月 12 日重新核對）。公開摘錄已放在網站上；完整的風險分析與適用性聲明書，則可在面試時展示。

06我學到了什麼

以充分的理由排除一項控制措施，和落實它一樣能說明很多事。而一套只列出成功之處的資訊安全管理系統，根本稱不上系統——那只是一本宣傳手冊。