國營聯招申論題
101年
[資訊] 資訊管理、程式設計
第 三 題
ISO 27001、ISO 27002 作為企業實施 ISMS(Information Security Management System)的參考與認證標準，請問 ISO 27001 與 ISO 27002 之間的關係為何？ (10 分)
📝 此題為申論題
思路引導 VIP
說明ISO 27001作為驗證標準的要求，以及ISO 27002作為實作指引的角色。
🤖
AI 詳解
AI 專屬家教
ISO 27001與ISO 27002兩者在資訊安全管理系統(ISMS)中扮演互補的角色：
- ISO 27001 是「要求」標準：它定義了建立、實施、維護和持續改進ISMS的具體規範與要求。企業可依據ISO 27001進行驗證，取得資安認證。它告訴企業「應該做什麼(What to do)」以達到資訊安全的目標，並強調風險評估與管理的過程。
- ISO 27002 是「實作指引」：它是一套資訊安全控制措施的實務指南，詳細說明了ISO 27001附錄A中所列各項控制目標與控制措施的具體實作方法。它告訴企業「如何做(How to do)」，為企業在選擇和實施資安控制措施時提供最佳實務參考。
▼ 還有更多解析內容
ISO 27001/2 關係
💡 ISO 27001 為認證框架，ISO 27002 為實作指引。
| 比較維度 | ISO 27001 | VS | ISO 27002 |
|---|---|---|---|
| 性質 | 要求標準 (Mandatory) | — | 指引標準 (Guidance) |
| 核心目標 | 做什麼 (What to do) | — | 如何做 (How to do) |
| 認證效力 | 可進行認證與稽核 | — | 僅供參考，不可認證 |
| 內容特點 | 定義 ISMS 框架 | — | 提供控制措施實作細節 |
💬27001 是必須達成的目標，27002 是達成目標的方法論。
