產業觀點

頂峰資訊顧問團隊統計近三年輔導案件的稽核缺失紀錄，發現許多缺失其實一再重複發生。若能提前掌握這些常見樣態，就能大幅降低正式稽核時被開缺失的機率。

許多稽核缺失並不是因為組織完全沒有制度，而是「有制度、但缺乏執行證據」，或制度文件與實際作業不一致。稽核員除了檢查文件，也會透過訪談、抽樣與紀錄確認控制措施是否真正落實。

以下整理最常見的十類缺失樣態，以及對應的預防方向，供準備接受 ISO 27001 內部稽核、外部驗證或客戶資安查核的組織參考。

常見缺失樣態

• 風險評鑑流於形式，評分標準與實際風險認知脫節，風險處置計畫也未隨業務、系統或威脅變化持續更新
• 制度文件與實際作業「兩張皮」，文件寫有審查、核准或定期執行要求，但現場訪談或抽樣紀錄無法對應
• 權限審查缺乏留存紀錄，只能說明「有定期檢查」，卻無法提供審查日期、審查人員、結果與後續調整紀錄
• 離職或職務異動人員權限未即時收回，尤其容易遺漏 VPN、雲端服務、SaaS、共用帳號及特殊系統權限
• 教育訓練未涵蓋新進人員、委外人員或特定角色，或雖有辦理訓練，但缺少簽到、測驗、教材與完成紀錄
• 資產清冊未即時更新，與實際設備、系統、雲端服務或資訊資產不一致，且資產擁有者與分類資訊不完整
• 備份作業有執行紀錄，但未定期進行還原測試，無法證明備份資料在事件發生時真的可以使用
• 供應商或委外廠商只在簽約前評估，後續缺乏定期複核、資安條款檢視與第三方存取權限管理
• 資安事件管理程序雖已建立，但缺乏實際事件紀錄、分級、調查、改善與經驗回饋，難以證明事件處理機制有效運作
• 內部稽核、管理審查或缺失改善流於形式，改善事項只有「完成」狀態，卻缺少原因分析、改善證據與有效性確認

「稽核員找的不是完美，而是證據。制度做了，就要留下能證明有做的紀錄。」— 頂峰資訊顧問團隊

預防勝於補救

與其在稽核前臨時補件，不如在制度設計階段就把「留存紀錄」的習慣內建到日常作業流程中。

例如權限審查不只是匯出帳號清單，而應留下誰審查、何時審查、哪些權限需要調整，以及後續是否完成處理的紀錄；備份管理也不只是確認排程成功，而應透過實際還原測試確認復原能力。

同樣地，供應商管理不能只有一份名單，還應依重要性進行風險分級，並保留初始評估、定期複核、契約資安要求與異常事件處理紀錄。

正式稽核前，建議組織先以抽樣方式檢查幾個最常被問到的證據，例如最新一次權限審查、離職帳號停用紀錄、備份還原測試、教育訓練紀錄、供應商評估、風險處置與改善追蹤紀錄。

若這些資料能在短時間內完整提供，通常代表制度已逐步融入日常管理；若每次都需要臨時尋找或補做，則表示 ISMS 仍存在制度與實務落差。

若您想提前檢視貴公司的稽核準備度，歡迎與頂峰資訊顧問團隊聯繫。我們可協助執行 ISO 27001 內部稽核、模擬稽核、缺失改善與驗證前準備，提前發現制度與執行落差，降低正式稽核時的缺失風險。