在許多工程師眼裡，每年一度的 ISO 27001 外部稽核，往往是一場集體的「造表嘉年華」。
就是補紀錄或是填寫表單

時間拉回到稽核前兩週，維運團隊總是一陣兵荒馬亂：
補齊機房進出簽名簿、補填伺服器帳號權限清冊、補寫早就上線的變更申請單。稽核員坐在會議室抽查幾張表單、打勾、開出幾項無關痛癢的觀察項（Observations），大家鬆了一口氣，把裝訂好的紙本資料塞回鐵櫃，繼續回到日常那種「隨意 sudo su、帳號密碼寫在筆記軟體、線路隨便拉」的放飛模式。

早年身為網管的我，也曾打從心底排斥這套制度，認為這純粹是管理階層搞出來應付客戶、拖慢維運效率的官僚形式主義。

然而，當我陸續研習 CISSP 資安治理體系，進一步完成 ISO/IEC 27001:2022 主導稽核員（Lead Auditor） 培訓後，我才徹底看清這套標準的本質：

ISO 27001 從來不是要工程師「為了寫文件而寫文件」，它是一套以風險為本（Risk-based）的業務安全營運框架。

合規與維運之所以產生撕裂，往往是因為推動制度的人不懂底層技術（只會照抄條文範本），而執行維運的人不懂制度背後的風險考量（認為安全措施都是在找碴）。一旦你能用一線網管的技術實力，搭配主導稽核員的管理視野，ISO 27001 就不再是累贅，而是維運人員保護自己、推動架構改革的最佳尚方寶劍。

一、新版 ISO/IEC 27001:2022 的四維架構變革

2022 年版 ISO 27001 將附錄 A（Annex A）的控制措施進行了結構性重組，從舊版的 14 個領域、114 項措施，精簡並整併為 4 大類別、93 項控制措施：

組織控制措施（Organizational controls，37 項）：

涵蓋政策、資產管理、身分治理與供應商關係。

人員控制措施（People controls，8 項）：

涵蓋背景查核、遠距工作與資安意識培訓。

實體控制措施（Physical controls，14 項）：

涵蓋實體安全邊界、機房出入管制與設備保護。

技術控制措施（Technological controls，34 項）：

涵蓋存取控制、端點防護、網路安全、安全編碼與備份。

新版標準更加貼近現代威脅環境，特別新增了威脅情資（Threat intelligence）、雲端服務使用、資安監控活動（Monitoring activities）、資料遮蔽與安全編碼等維運高度相關的控制項。這意味著傳統「靠紙本打勾」的假合規將愈來愈難過關，稽核重點正全面轉向具備可驗證軌跡的技術落地。

二、三項維運最常踩雷的控制措施：稽核員是怎麼查的？

站在 Lead Auditor 的角度，查核現場絕不是聽受稽者口頭說明「我們有做」，而是嚴格依循 P-D-C-A（規劃、執行、檢查、行動） 與 客觀證據（Objective Evidence）。以下分享三個一線最常被開不符合事項（Non-conformity, NC）的實戰場景：

1. A.8.2 特權存取權利（Privileged access rights）

維運現場的陋習：系統上充斥著共用的 root、administrator 帳號；開發人員為了排障，永久擁有 Production 環境的 sudo 權限；離職同仁的帳號留在伺服器 /etc/passwd 長達半年。

稽核員的穿透抽查法：

「請提供上個月離職員工清冊，並隨機抽取兩位同仁的工號。」

「請現在登入核心交換器與 Linux 堡壘機，比對 /etc/passwd、Active Directory 與 VPN 使用者清冊，確認是否有此二人殘留帳號或 Public Key。」

架構融合解法：全面以 LDAP / SSO 整合集中式身分驗證，並在 PAM（堡壘機）落實 JIT（Just-In-Time）動態授權。人員離職在人事系統標記時，即刻觸發 Webhook 自動除權，完全不需仰賴人工逐台清理。

2. A.8.32 變更管理（Change management）

維運現場的陋習：週五晚上機房網路不通，網管直接在核心 Switch 下 no ip route 改線路；事後被問起，只說「當時緊急救火，大家都在線上，口頭同意過了」。

稽核員的穿透抽查法：

「請調閱上週核心防火牆的 Config 歷史備份差異（Diff）。」

「我看到這段安全策略有新增一條連線規則，請問對應的變更工單（RFC/Ticket）、風險評估紀錄與回滾計畫（Rollback Plan）在哪裡？」

架構融合解法：落實 IaC（Infrastructure as Code） 或將設定檔納入 Git 版本控制（GitOps）。每一次防火牆策略調整，都必須經過 PR（Pull Request）雙人審查，將系統變更紀錄與工單自動綁定，將行政簽核轉化為工程流程。

3. A.8.16 監視活動（Monitoring activities）與 A.8.20 網路安全（Network security）

維運現場的陋習：交換器、防火牆與 Linux 日誌各自為政，有些設備甚至連校時（NTP）都沒設定，日誌時間差了數分鐘；稽核時只秀出 Zabbix CPU 使用率 50% 來證明「有在監控」。

稽核員的穿透抽查法：

「請問關鍵伺服器與邊界設備的日誌，是否有集中收集至無法被隨意刪除的儲存池？」

「如果有人半夜在資料庫執行未授權的大量導出，你們的監控機制會如何告警？」

架構融合解法：回扣我們在 Day 10（SIEM）與 Day 19（防火牆規則審計）的實務——統一 NTP 外部階層式時間源、啟用 Syslog-over-TLS，並落實 WORM 防竄改儲存。當日誌收集與關聯分析具備完整性，這項控制措施自然迎刃而解。

三、維運主管視角：如何打破「合規＝拖慢效率」的對立？

身為從基層走上來的資安負責人，千萬不要把自己活成手持條文打擊同仁的「稽核警察」。要讓資安與維運共存，關鍵在於

將控制措施隱形化、工具化：

[ 傳統對立模式 ( Friction ) ]
維運人員要改設定 ──> 填寫紙本 Word ──> 層層跑公文審批 ──> 效率低落、事後補單

[ 現代治理融合模式 ( Automated Governance ) ]
維運人員發起需求 ──> Jira/GitLab 工單觸發 ──> 自動化合規驗證 ──> CI/CD 佈署
                              │
                              ▼
            ( 自動留存 Audit Trail，符合 A.8.32 變更管理要求 )

讓證據自動生成：

不要讓工程師手動截圖當證據。利用排程腳本自動匯出帳號清冊、自動產出 Config Diff、自動比對未經授權的 Port 變更，讓「稽核軌跡」成為維運自動化的副產物。

用「控制目標」代替「死板規定」：

條文只要求「特權帳號應受到管制」，並沒有規定一定要填寫紙本簽核單。採用 PAM 堡壘機錄影或多因素驗證（MFA）動態授權，既不干擾排障效率，又能在稽核時展現極具說服力的技術證據。

把不符合事項轉化為爭取資源的槓桿：

當一線系統因人力不足導致維護品質下降時，內外部稽核開出的「觀察項」或「缺失」，正是資安主管向董事會與高層爭取自動化軟體授權、專任人力或硬體升級的最佳佐證。

四、結語：從被動接受審查，到主動架構治理

從網管黑手蛻變為資安長的過程中，理解 ISO/IEC 27001 的意義，在於學會用巨觀的治理架構審視微觀的技術實踐。

條文上的每一項控制措施，背後都是無數企業在資安事件中血淋淋的經驗教訓。當我們不再把稽核當成一年一度的應酬，而是把存取控制、最小權限、變更回滾與日誌可視性融入每一行設定、每一次部署時，我們就不僅是系統的維護者，更是引領企業業務安全前行的架構導航者。