第 三 題

ISO 27001與ISO 27002兩者在資訊安全管理系統(ISMS)中扮演互補的角色：

1. ISO 27001 是「要求」標準：它定義了建立、實施、維護和持續改進ISMS的具體規範與要求。企業可依據ISO 27001進行驗證，取得資安認證。它告訴企業「應該做什麼(What to do)」以達到資訊安全的目標，並強調風險評估與管理的過程。
2. ISO 27002 是「實作指引」：它是一套資訊安全控制措施的實務指南，詳細說明了ISO 27001附錄A中所列各項控制目標與控制措施的具體實作方法。它告訴企業「如何做(How to do)」，為企業在選擇和實施資安控制措施時提供最佳實務參考。