控制項與評估目標一覽

本頁由 scripts/gen_iso27001_seed.py 的同一份來源整理，用來給顧問與 PM 審內容。改內容請改來源再重產 seed，不要只改本頁。

A.5.1 資訊安全政策（Policies for information security）

控制措施：資訊安全政策及主題特定政策應予以定義、經管理階層核准、發布、傳達予相關人員及相關利害關係者並經其確認，且應依規劃之期間及發生重大變更時審查。

• [a] 已文件化資訊安全政策及組織所需之主題特定政策，並經最高管理階層核准。
  • 交付物：資訊安全政策及主題特定政策，附核准紀錄。
  • 須呈現：管理階層核准（簽核或會議紀錄）及生效日；現行主題特定政策清單。
• [b] 政策已傳達予相關人員及利害關係者，且人員已確認知悉。
  • 交付物：傳達紀錄與人員確認紀錄。
  • 須呈現：發布管道（內部網站、電子郵件）；涵蓋範圍內人員之確認紀錄。
• [c] 政策依規劃期間及發生重大變更時審查，並記錄審查結果。
  • 交付物：政策審查紀錄。
  • 須呈現：審查日期、審查人、結果及因此所做之修訂；各政策之版本歷程。

A.5.2 資訊安全角色與責任（Information security roles and responsibilities）

控制措施：資訊安全角色及責任應依組織需要予以定義及分配。

• [a] 已定義資訊安全角色及責任，包括整體當責及特定資產與流程之保護責任。
  • 交付物：角色與責任文件（例：RACI 或標示資安角色之組織圖）。
  • 須呈現：每個資安角色之職責與權限；整體當責者為誰。
• [b] 每個角色已指派具名人員，且其知悉自身責任。
  • 交付物：資安角色之指派紀錄。
  • 須呈現：每個角色之具名負責人；指派或接受紀錄；於評估當下仍有效。

A.5.3 職責分工（Segregation of duties）

控制措施：相互衝突之職責及相互衝突之責任領域應予以區隔。

• [a] 已識別相互衝突之職責與責任領域。
  • 交付物：職責分工矩陣或衝突職責清單。
  • 須呈現：不得由同一人兼任之職責組合（例：申請與核准、開發與上線）。
• [b] 相互衝突之職責已分派予不同人員；無法區隔時已採取補償控制措施。
  • 交付物：角色指派紀錄及補償控制紀錄。
  • 須呈現：實際指派無人兼任衝突職責；例外情形之補償措施（監控、稽核軌跡、督導）及其紀錄。

A.5.4 管理階層責任（Management responsibilities）

控制措施：管理階層應要求所有人員依組織已建立之資訊安全政策、主題特定政策及程序實施資訊安全。

• [a] 管理階層要求人員依政策與程序實施資訊安全，並提供資源支持。
  • 交付物：管理階層之溝通及資源配置紀錄。
  • 須呈現：管理階層對資訊安全之指示或聲明；配置予資訊安全管理系統之預算或人力。
• [b] 管理階層確認人員了解並履行其資訊安全責任。
  • 交付物：管理階層追蹤紀錄（例：績效考核、會議紀錄、遵循報告）。
  • 須呈現：管理階層檢視人員之資安遵循情形；對未遵循者採取之行動。

A.5.5 與主管機關之聯繫（Contact with authorities）

控制措施：組織應建立並維持與相關主管機關之聯繫。

• [a] 已識別應聯繫之主管機關（執法、監理、主管機關）及聯繫時機。
  • 交付物：主管機關聯絡清單及聯繫時機。
  • 須呈現：各機關、聯絡方式、需聯繫之情境（例：事故、外洩通報）及負責人。
• [b] 聯絡清單保持最新，且實際聯繫均有紀錄。
  • 交付物：聯絡清單審查紀錄及聯繫紀錄。
  • 須呈現：清單最近審查日；與主管機關之聯繫紀錄。

A.5.6 與特定利益團體之聯繫（Contact with special interest groups）

控制措施：組織應建立並維持與特定利益團體或其他專業安全論壇及專業協會之聯繫。

• [a] 組織參與相關之特定利益團體、資安論壇或專業協會。
  • 交付物：會員或訂閱紀錄。
  • 須呈現：參與之團體（例：資安資訊分享組織、CERT 通報信、專業協會）及負責人。
• [b] 從這些團體取得之資訊有用於改善資安（例：據以處理之通報）。
  • 交付物：收到之通報及處理紀錄。
  • 須呈現：收到資訊之實例及因此採取之行動或決定。

A.5.7 威脅情資（Threat intelligence）

控制措施：與資訊安全威脅相關之資訊應予以蒐集及分析，以產出威脅情資。

• [a] 已識別威脅資訊來源，並蒐集既有及新興威脅之資訊。
  • 交付物：威脅情資來源清單及蒐集紀錄。
  • 須呈現：使用之內外部來源；蒐集頻率；負責人。
• [b] 已分析蒐集之資訊與組織之關聯性，並將結果傳達予需要者。
  • 交付物：威脅分析報告或簡報。
  • 須呈現：與組織資產關聯性之分析；分送對象。
• [c] 威脅情資已作為風險評鑑之輸入，並用於調整控制措施。
  • 交付物：引用威脅情資之風險評鑑項目或控制措施變更。
  • 須呈現：至少一項以威脅情資為依據之風險或控制措施決定。

A.5.8 專案管理之資訊安全（Information security in project management）

控制措施：資訊安全應整合納入專案管理。

• [a] 專案管理方法要求每個專案識別資訊安全要求與風險。
  • 交付物：含資安檢核點之專案管理程序。
  • 須呈現：評估資安之階段（啟案、設計、上線）及簽核者。
• [b] 期間內執行之專案顯示已處理資安要求與風險。
  • 交付物：抽樣專案之資安評估紀錄。
  • 須呈現：抽樣專案於各檢核點之資安要求、風險評估及簽核。

A.5.9 資訊及其他相關資產之清冊（Inventory of information and other associated assets）

控制措施：應編製並維護資訊及其他相關資產（包括其擁有者）之清冊。

• [a] 已維護資訊及其他相關資產之清冊，涵蓋適用之資訊、硬體、軟體、服務及人員。
  • 交付物：資產清冊。
  • 須呈現：每項資產之名稱、類型、位置、分級及擁有者；最近更新日期。
• [b] 每項資產均有指派擁有者，且清冊有定期查核正確性。
  • 交付物：清冊審查紀錄。
  • 須呈現：審查日期及發現；無未指派擁有者之資產；與盤點工具或採購紀錄之比對。

A.5.10 資訊及其他相關資產之可接受使用（Acceptable use of information and other associated assets）

控制措施：應識別、文件化及實施資訊及其他相關資產之可接受使用規則及處理程序。

• [a] 已文件化資訊及相關資產之可接受使用規則與處理程序。
  • 交付物：可接受使用政策及處理程序。
  • 須呈現：允許及禁止之使用；各分級之處理規則。
• [b] 可存取資產之人員及外部使用者已知悉並接受規則。
  • 交付物：接受紀錄。
  • 須呈現：範圍內使用者已簽署之可接受使用同意書或電子確認。

A.5.11 資產之歸還（Return of assets）

控制措施：人員及其他利害關係者於其任用、合約或協議變更或終止時，應適當歸還其持有之所有組織資產。

• [a] 已建立任用、合約或協議變更或終止時收回組織資產之流程。
  • 交付物：離職或資產歸還程序及檢核表。
  • 須呈現：應歸還之資產（設備、識別證、權杖、文件）及確認者。
• [b] 紀錄顯示期間內離職或異動人員已歸還資產。
  • 交付物：離職人員已完成之資產歸還檢核表。
  • 須呈現：抽樣離職人員所持資產清單及逐項歸還或註銷確認。

A.5.12 資訊之分類（Classification of information）

控制措施：資訊應依組織之資訊安全需要，基於機密性、完整性、可用性及相關利害關係者要求予以分級。

• [a] 已依機密性、完整性、可用性及利害關係者要求定義分級機制。
  • 交付物：資訊分級機制。
  • 須呈現：分級等級、各等級之判定標準及範例。
• [b] 資訊已依機制分級，並由擁有者負責分級。
  • 交付物：標示分級之資產清冊或文件登錄表。
  • 須呈現：資訊資產已記錄分級等級及擁有者。

A.5.13 資訊之標示（Labelling of information）

控制措施：應依組織採用之資訊分級機制，制定並實施一套適當之資訊標示程序。

• [a] 已依分級機制定義涵蓋實體及電子資訊之標示程序。
  • 交付物：標示程序。
  • 須呈現：各分級等級於文件、檔案、電子郵件及媒體上之標示方式。
• [b] 資訊已依程序標示。
  • 交付物：已標示資訊之樣本。
  • 須呈現：抽樣之文件、檔案或媒體帶有與其分級相符之標示。

A.5.14 資訊傳遞（Information transfer）

控制措施：組織內部及組織與其他方之間，所有類型之傳遞設施應有資訊傳遞規則、程序或協議。

• [a] 已針對電子、實體及口頭傳遞訂定資訊傳遞規則、程序或協議。
  • 交付物：資訊傳遞政策或程序；與外部之傳遞協議。
  • 須呈現：各分級允許之傳遞方式；必要保護措施（加密、專人遞送）；與交換資訊對象之協議。
• [b] 實際傳遞遵循規則（例：機密資料有加密）。
  • 交付物：傳遞工具設定或紀錄。
  • 須呈現：傳遞工具之設定（郵件加密、安全檔案傳輸）或抽樣傳遞之紀錄。

A.5.15 存取控制（Access control）

控制措施：應依營運及資訊安全要求，建立並實施控制對資訊及其他相關資產之實體與邏輯存取之規則。

• [a] 已依營運及資訊安全要求訂定存取控制政策，包括須知原則及最小權限。
  • 交付物：存取控制政策。
  • 須呈現：實體與邏輯存取之原則（須知、最小權限）、角色、核准規則及審查要求。
• [b] 存取控制規則已落實於系統及實體門禁機制。
  • 交付物：主要系統之角色定義及實體門禁設定。
  • 須呈現：抽樣系統之角色權限對應與政策一致。

A.5.16 身分識別管理（Identity management）

控制措施：應管理身分之完整生命週期。

• [a] 每個身分均唯一並對應至個人；共用身分僅於經核准並文件化時使用。
  • 交付物：身分管理程序及核准之共用帳號清單。
  • 須呈現：唯一性規則；核准之共用或系統帳號、理由及負責人。
• [b] 身分之建立、變更與移除均經控管流程，且離職者之身分及時停用。
  • 交付物：帳號生命週期紀錄。
  • 須呈現：含核准之建立申請；離職者帳號於規定時間內停用（與人事離職名單比對）。

A.5.17 鑑別資訊（Authentication information）

控制措施：鑑別資訊之配發及管理應由管理流程控制，包括告知人員妥善處理鑑別資訊。

• [a] 鑑別資訊（密碼、金鑰、權杖）之配發與管理遵循既定流程。
  • 交付物：鑑別資訊管理程序及密碼政策。
  • 須呈現：初始憑證之發放與變更方式；密碼規則；安全儲存方式。
• [b] 系統強制執行鑑別資訊規則。
  • 交付物：系統設定截圖或匯出。
  • 須呈現：密碼長度與複雜度、強制變更初始密碼、憑證儲存方式（雜湊）。
• [c] 已告知人員保守鑑別資訊機密之責任。
  • 交付物：涵蓋憑證之認知教材或確認紀錄。
  • 須呈現：不得共用憑證及外洩時須通報之內容；使用者確認紀錄。

A.5.18 存取權（Access rights）

控制措施：對資訊及其他相關資產之存取權，應依組織之存取控制主題特定政策及規則予以提供、審查、修改及移除。

• [a] 存取權依核准之申請提供與變更。
  • 交付物：存取申請及核准紀錄。
  • 須呈現：抽樣授權之申請、依政策之核准者，及與申請一致之授予權限。
• [b] 存取權依規劃期間審查，不當權限已移除。
  • 交付物：存取權審查紀錄。
  • 須呈現：審查日期、涵蓋系統、審查人、發現及移除證明。
• [c] 人員離職或職務異動時，存取權已移除或調整。
  • 交付物：離職與異動之權限移除紀錄。
  • 須呈現：抽樣離職及異動人員於規定時間內移除權限。

A.5.19 供應商關係之資訊安全（Information security in supplier relationships）

控制措施：應定義並實施流程與程序，以管理使用供應商產品或服務所伴隨之資訊安全風險。

• [a] 已定義管理供應商資安風險之流程，包括供應商選擇與風險評估。
  • 交付物：供應商資安管理程序。
  • 須呈現：供應商依風險分類之方式；選擇之資安準則；核准。
• [b] 已識別並評估可接觸資訊或服務之供應商。
  • 交付物：供應商清冊及評估紀錄。
  • 須呈現：供應商清單及其風險類別；高風險供應商之資安評估。

A.5.20 供應商協議中對資訊安全之處理（Addressing information security within supplier agreements）

控制措施：應依供應商關係之類型，與每一供應商建立並議定相關之資訊安全要求。

• [a] 供應商協議納入相關資安要求（保密、存取、事故通知、稽核權、資訊歸還或銷毀）。
  • 交付物：供應商合約或資安附約。
  • 須呈現：抽樣供應商協議中之資安條款，與其風險類別相符。
• [b] 資安要求於供應商取得存取前已議定。
  • 交付物：合約簽署日與授權日對照。
  • 須呈現：抽樣供應商於取得存取前已簽署協議。

A.5.21 管理 ICT 供應鏈之資訊安全（Managing information security in the ICT supply chain）

控制措施：應定義並實施流程與程序，以管理資通訊技術產品及服務供應鏈所伴隨之資訊安全風險。

• [a] 已識別資通訊技術供應鏈風險，包括傳遞予次級供應商之要求及元件來源。
  • 交付物：資通訊供應鏈風險程序或評估。
  • 須呈現：關鍵資通訊產品與服務；向下傳遞之要求；元件來源與完整性之驗證方式。
• [b] 取得之資通訊產品與服務符合既定資安要求。
  • 交付物：資通訊採購之驗收或驗證紀錄。
  • 須呈現：抽樣採購已檢查資安要求（例：原廠支援、簽章軟體、軟體物料清單）。

A.5.22 供應商服務之監視、審查與變更管理（Monitoring, review and change management of supplier services）

控制措施：組織應定期監控、審查、評估及管理供應商資訊安全實務與服務交付之變更。

• [a] 依規劃期間監控及審查供應商之服務交付及資安實務。
  • 交付物：供應商審查紀錄。
  • 須呈現：審查日期、供應商、服務水準與資安表現、問題及行動。
• [b] 供應商服務變更於接受前已評估資安影響。
  • 交付物：供應商變更紀錄。
  • 須呈現：變更說明、資安影響評估及核准。

A.5.23 使用雲端服務之資訊安全（Information security for use of cloud services）

控制措施：應依組織之資訊安全要求，建立雲端服務之取得、使用、管理及退出流程。

• [a] 已定義雲端服務取得、使用、管理及退出之流程，包括資安要求及與供應者之責任分工。
  • 交付物：雲端服務政策或程序。
  • 須呈現：雲端服務之資安要求；各服務之責任分工；退出及資料返還規定。
• [b] 使用中之雲端服務已列冊並依要求設定。
  • 交付物：雲端服務清冊及設定證據。
  • 須呈現：雲端服務清單及負責人；抽樣服務之主要資安設定（多因子、加密、日誌）。

A.5.24 資訊安全事故管理之規劃與準備（Information security incident management planning and preparation）

控制措施：組織應藉由定義、建立及傳達資訊安全事故管理流程、角色及責任，規劃並準備資訊安全事故之管理。

• [a] 已文件化事故管理流程，含角色、責任、通報管道及升級機制。
  • 交付物：事故管理程序。
  • 須呈現：各階段（偵測、評估、回應、學習）；角色與聯絡方式；升級及對外通報條件。
• [b] 事故回應團隊已受訓，流程已演練。
  • 交付物：訓練及演練紀錄。
  • 須呈現：演練日期、情境、參與者、結果及改善事項。

A.5.25 資訊安全事件之評鑑與決策（Assessment and decision on information security events）

控制措施：組織應評估資訊安全事件，並決定是否將其歸類為資訊安全事故。

• [a] 已定義將事件歸類為事故及排定優先序之標準。
  • 交付物：事件分類及優先序標準。
  • 須呈現：標準與嚴重等級及範例。
• [b] 通報之事件均已評估並記錄決定。
  • 交付物：含評估決定之事件紀錄。
  • 須呈現：抽樣事件之評估、分類決定、評估人及日期。

A.5.26 資訊安全事故之回應（Response to information security incidents）

控制措施：應依文件化之程序回應資訊安全事故。

• [a] 事故依文件化程序回應，包括圍堵、根除及復原。
  • 交付物：事故紀錄。
  • 須呈現：抽樣事故之時間軸、依程序採取之行動、結案。
• [b] 已完成必要之內外部通報。
  • 交付物：通報紀錄。
  • 須呈現：符合條件時對管理階層、客戶或主管機關之通報。

A.5.27 從資訊安全事故中學習（Learning from information security incidents）

控制措施：應運用自資訊安全事故獲得之知識，強化並改善資訊安全控制措施。

• [a] 事故結案後檢討根因及經驗教訓。
  • 交付物：事故後檢討報告。
  • 須呈現：根因、經驗教訓及建議改善。
• [b] 識別之改善已實施並追蹤。
  • 交付物：改善行動追蹤。
  • 須呈現：事故檢討之行動、負責人、期限及完成狀態。

A.5.28 證據之蒐集（Collection of evidence）

控制措施：組織應建立並實施與資訊安全事件相關證據之識別、蒐集、取得及保存程序。

• [a] 已考量法律要求，訂定證據識別、蒐集、取得及保存之程序。
  • 交付物：證據處理程序。
  • 須呈現：保管鏈、完整性保護（雜湊）、儲存及可蒐集證據之人員。
• [b] 事故證據依程序處理。
  • 交付物：證據處理紀錄（如有需蒐證之事故）。
  • 須呈現：保管鏈紀錄；若未發生需蒐證之事故，請說明。

A.5.29 中斷期間之資訊安全（Information security during disruption）

控制措施：組織應規劃於中斷期間如何將資訊安全維持於適當水準。

• [a] 已識別中斷期間之資訊安全要求並納入營運持續計畫。
  • 交付物：含資安規定之營運持續計畫。
  • 須呈現：中斷期間控制措施（存取、日誌、加密）之維持或替代方式。
• [b] 中斷期間之資安已納入營運持續演練測試。
  • 交付物：涵蓋資安之營運持續演練紀錄。
  • 須呈現：顯示已考量資安控制措施之演練結果。

A.5.30 營運持續之 ICT 整備（ICT readiness for business continuity）

控制措施：應依營運持續目標及資通訊技術持續要求，規劃、實施、維護及測試資通訊技術之整備。

• [a] 已依營運衝擊分析訂定資通訊持續要求（復原時間及復原點目標）。
  • 交付物：營運衝擊分析及資通訊持續要求。
  • 須呈現：關鍵服務及其復原時間目標、復原點目標。
• [b] 資通訊持續計畫已測試，結果顯示目標可達成。
  • 交付物：資通訊持續或災難復原測試報告。
  • 須呈現：測試日期、範圍、實際復原時間與復原點相較目標、矯正行動。

A.5.31 法律、法令、法規與合約要求（Legal, statutory, regulatory and contractual requirements）

控制措施：應識別、文件化並保持更新與資訊安全相關之法律、法令、法規及合約要求，以及組織為符合這些要求所採之方法。

• [a] 已識別並文件化與資訊安全相關之法律、法令、法規及合約要求。
  • 交付物：法規及合約要求登錄表。
  • 須呈現：各要求、出處、適用之資產或流程，及組織之符合方式。
• [b] 登錄表保持最新。
  • 交付物：登錄表審查紀錄。
  • 須呈現：審查日期及修訂內容。

A.5.32 智慧財產權（Intellectual property rights）

控制措施：組織應實施適當之程序以保護智慧財產權。

• [a] 已訂定保護智慧財產權之程序，包括軟體授權。
  • 交付物：智慧財產權及軟體授權程序。
  • 須呈現：自合法來源取得軟體及遵守授權之規定。
• [b] 使用中之軟體均已授權，且使用量未超過授權。
  • 交付物：軟體授權登錄表與安裝情形對照。
  • 須呈現：主要軟體之持有授權數與安裝數對照。

A.5.33 記錄之保護（Protection of records）

控制措施：紀錄應受保護，以免遺失、毀損、偽造、未經授權之存取及未經授權之發布。

• [a] 已定義應保存之紀錄、保存期限及保護要求。
  • 交付物：紀錄保存期限表。
  • 須呈現：紀錄類型、保存期限、儲存位置及保護方式。
• [b] 紀錄依保存期限表儲存與保護。
  • 交付物：紀錄儲存控制之證據。
  • 須呈現：抽樣紀錄類型之存取限制、備份及完整性保護。

A.5.34 隱私及個人可識別資訊(PII)之保護（Privacy and protection of PII）

控制措施：組織應依適用之法律、法規及合約要求，識別並滿足個人可識別資訊之隱私保存及保護要求。

• [a] 已識別組織處理之個人資料及適用之隱私要求。
  • 交付物：個人資料盤點及隱私要求登錄表。
  • 須呈現：個人資料類別、處理目的、法律依據及適用法規。
• [b] 已依要求實施保護個人資料之控制措施。
  • 交付物：隱私控制措施之證據。
  • 須呈現：隱私告知、存取限制、保存期限及當事人請求處理。

A.5.35 資訊安全之獨立審查（Independent review of information security）

控制措施：組織管理資訊安全之方法及其實施（包括人員、流程及技術），應依規劃之期間或於發生重大變更時進行獨立審查。

• [a] 資訊安全之獨立審查已規劃，並由與受審領域無關之人員執行。
  • 交付物：獨立審查或內部稽核計畫及報告。
  • 須呈現：時程、審查人之獨立性、範圍及發現。
• [b] 審查結果已向管理階層報告並採取矯正行動。
  • 交付物：管理階層報告及矯正行動紀錄。
  • 須呈現：已報告之發現、行動負責人及完成狀態。

A.5.36 資訊安全政策、規則與標準之符合性（Compliance with policies, rules and standards for information security）

控制措施：應定期審查組織之資訊安全政策、主題特定政策、規則及標準之遵循情形。

• [a] 管理者定期審查其負責領域之資安政策與標準遵循情形。
  • 交付物：遵循審查紀錄。
  • 須呈現：審查日期、領域、方法（檢核表、技術掃描）、發現。
• [b] 發現之不符合已矯正並追蹤。
  • 交付物：矯正行動紀錄。
  • 須呈現：不符合事項、原因、行動及結案。

A.5.37 文件化操作程序（Documented operating procedures）

控制措施：資訊處理設施之作業程序應予以文件化，並提供予需要之人員。

• [a] 已文件化資訊處理設施之作業程序。
  • 交付物：作業程序（例：備份、開關機、監控、異常處理）。
  • 須呈現：主要作業活動之程序、負責人及版本。
• [b] 程序可供需要之人員取得並保持最新。
  • 交付物：程序存放位置及審查紀錄。
  • 須呈現：程序之發布位置；最近審查日。

A.6.1 篩選審查（Screening）

控制措施：所有成為人員之候選人，應於加入組織前及持續期間，考量適用之法律、法規及倫理，依營運要求、所存取資訊之分級及察覺之風險，執行適當之背景查核。

• [a] 已依營運要求、資訊分級及風險訂定背景查核要求，並符合適用法規。
  • 交付物：背景查核程序。
  • 須呈現：各職務或存取等級須執行之查核（身分、推薦人、資格、依法得查之刑事紀錄）。
• [b] 背景查核於人員取得存取前完成並保存紀錄。
  • 交付物：新進人員之背景查核紀錄。
  • 須呈現：抽樣新進人員已執行之查核，且完成日早於到職或授權日。

A.6.2 任用條款與條件（Terms and conditions of employment）

控制措施：任用合約應載明人員及組織之資訊安全責任。

• [a] 任用合約或條款載明人員及組織之資訊安全責任，包括保密義務。
  • 交付物：含資安條款之任用合約範本。
  • 須呈現：保密、可接受使用、遵循政策及違反後果之條款。
• [b] 人員於取得存取前已簽署條款。
  • 交付物：抽樣人員已簽署之合約。
  • 須呈現：簽署日早於授權日。

A.6.3 資訊安全認知、教育與訓練（Information security awareness, education and training）

控制措施：組織之人員及相關利害關係者應依其職務，接受適當之資訊安全認知、教育及訓練，並定期獲得組織資訊安全政策、主題特定政策及程序之更新。

• [a] 已訂定資訊安全認知、教育及訓練計畫，涵蓋全體人員並視需要提供職務專屬訓練。
  • 交付物：訓練計畫。
  • 須呈現：主題、對象、頻率及職務專屬課程（例：開發人員、系統管理員）。
• [b] 人員已完成訓練，新進人員於規定時間內完成。
  • 交付物：訓練出席或完成紀錄。
  • 須呈現：期間完成率；新進人員於規定時間內完成。
• [c] 已評估訓練之有效性。
  • 交付物：訓練成效評估結果。
  • 須呈現：測驗分數、社交工程演練結果或其他成效指標。

A.6.4 懲處程序（Disciplinary process）

控制措施：應正式訂定並傳達懲處程序，以對違反資訊安全政策之人員及其他相關利害關係者採取行動。

• [a] 已正式訂定違反資訊安全政策之懲處程序並傳達予人員。
  • 交付物：懲處程序及傳達紀錄。
  • 須呈現：依嚴重程度分級之處置；告知人員之方式（員工手冊、訓練）。
• [b] 發生違反時一致地適用程序。
  • 交付物：懲處案件紀錄（去識別化）或說明未發生。
  • 須呈現：依程序處理之案件；期間內若無，請說明。

A.6.5 任用終止或變更後之責任（Responsibilities after termination or change of employment）

控制措施：於任用終止或變更後仍然有效之資訊安全責任及義務，應予以定義、執行並傳達予相關人員及其他利害關係者。

• [a] 已定義任用終止或變更後仍有效之資安責任（例：保密義務）。
  • 交付物：涵蓋離職後義務之合約條款或離職程序。
  • 須呈現：持續有效之義務及其期間。
• [b] 離職及異動人員已被告知這些責任。
  • 交付物：離職面談或離職程序紀錄。
  • 須呈現：抽樣離職人員對持續義務之確認。

A.6.6 保密或不揭露協議（Confidentiality or non-disclosure agreements）

控制措施：應識別、文件化、定期審查反映組織資訊保護需要之保密或保密協議，並由人員及其他相關利害關係者簽署。

• [a] 已文件化並定期審查反映組織保護需要之保密協議。
  • 交付物：保密協議範本及審查紀錄。
  • 須呈現：涵蓋之資訊、期限、義務、歸還或銷毀；最近審查日。
• [b] 人員及相關外部人員已簽署協議。
  • 交付物：已簽署之保密協議。
  • 須呈現：抽樣可接觸機密資訊之人員及外部人員已簽署之協議。

A.6.7 遠端工作（Remote working）

控制措施：人員於組織場所外遠端工作時，應實施安全措施以保護於組織場所外存取、處理或儲存之資訊。

• [a] 已訂定遠端工作規則，涵蓋設備、網路連線、實體環境及資訊處理。
  • 交付物：遠端工作政策。
  • 須呈現：允許之設備、安全連線（VPN）、螢幕隱私及儲存限制。
• [b] 已實施遠端存取之技術措施。
  • 交付物：遠端存取設定。
  • 須呈現：含多因子之 VPN 或零信任存取、裝置合規檢查。

A.6.8 資訊安全事件通報（Information security event reporting）

控制措施：組織應提供機制，使人員能透過適當管道及時通報其觀察到或懷疑之資訊安全事件。

• [a] 已提供人員通報觀察到或懷疑之資安事件之機制，且人員知悉。
  • 交付物：通報管道及認知教材。
  • 須呈現：通報管道（電子郵件、表單、專線）；告知人員之方式。
• [b] 收到之通報已登錄並處理。
  • 交付物：事件通報紀錄。
  • 須呈現：期間內收到之通報、日期、通報人、處理情形。

A.7.1 實體安全邊界（Physical security perimeters）

控制措施：應定義並使用安全周界，以保護含有資訊及其他相關資產之區域。

• [a] 已定義含有資訊及相關資產區域之安全周界。
  • 交付物：標示安全區域之平面圖。
  • 須呈現：周界邊界及區域劃分（公共區、辦公區、管制區、機房）。
• [b] 周界實體完整，無可能遭未授權進入之缺口。
  • 交付物：實體巡檢紀錄或照片。
  • 須呈現：管制區之牆、門、窗及出入口。

A.7.2 實體進入（Physical entry）

控制措施：安全區域應以適當之進出管控及出入點保護。

• [a] 安全區域之進出受控，僅授權人員可進入。
  • 交付物：門禁系統設定及授權名單。
  • 須呈現：識別證或門鎖機制；各區域之授權人員名單。
• [b] 訪客進出已登記，必要時有人陪同。
  • 交付物：訪客登記紀錄。
  • 須呈現：訪客姓名、接待人、進出時間、造訪區域。
• [c] 實體存取權已審查，不再需要時移除。
  • 交付物：實體存取權審查紀錄。
  • 須呈現：審查日期、發現、離職者識別證停用。

A.7.3 辦公室、房間與設施之安全（Securing offices, rooms and facilities）

控制措施：應設計並實施辦公室、房間及設施之實體安全。

• [a] 辦公室、房間及設施之實體安全依其內容之敏感度設計。
  • 交付物：設施安全設計或評估。
  • 須呈現：各房間之措施（門鎖、敏感房間不對外標示、窗戶防護）。
• [b] 設計之措施已落實。
  • 交付物：巡檢紀錄或照片。
  • 須呈現：現場措施與設計相符。

A.7.4 實體安全監視（Physical security monitoring）

控制措施：應持續監控場所以防止未經授權之實體存取。

• [a] 場所受監控以防未授權之實體存取（例：監視器、入侵警報、保全）。
  • 交付物：監控系統說明及涵蓋範圍。
  • 須呈現：受監控區域、錄影保存期限、警報回應方式。
• [b] 監控系統正常運作，警報有回應。
  • 交付物：系統健檢及警報回應紀錄。
  • 須呈現：監視器與警報之定期測試；警報及回應紀錄。

A.7.5 防範實體與環境威脅（Protecting against physical and environmental threats）

控制措施：應設計並實施對實體及環境威脅（例：天然災害及其他蓄意或非蓄意對基礎設施之實體威脅）之防護。

• [a] 已評估場所之實體及環境威脅（火災、水災、地震、電力）。
  • 交付物：實體與環境風險評估。
  • 須呈現：識別之威脅及所需防護。
• [b] 已安裝並維護火災偵測與滅火、漏水偵測及結構防護等措施。
  • 交付物：檢查及維護紀錄。
  • 須呈現：消防系統檢查、漏水偵測器、維護日期。

A.7.6 在安全區域工作（Working in secure areas）

控制措施：應設計並實施於安全區域內工作之安全措施。

• [a] 已訂定於安全區域內工作之規則（例：不得單獨作業、禁止攝影、禁止未授權之錄製設備）。
  • 交付物：安全區域工作規則。
  • 須呈現：張貼或文件化之規則；適用對象。
• [b] 於安全區域工作之人員知悉並遵守規則。
  • 交付物：確認紀錄或作業紀錄。
  • 須呈現：人員之確認；廠商於安全區域之作業紀錄。

A.7.7 桌面淨空與螢幕淨空（Clear desk and clear screen）

控制措施：應定義並適當執行紙本及可移除式儲存媒體之桌面淨空規則，以及資訊處理設施之螢幕淨空規則。

• [a] 已訂定桌面淨空及螢幕淨空規則。
  • 交付物：桌面淨空及螢幕淨空政策。
  • 須呈現：紙本、可移除式媒體、螢幕鎖定及印表機之規則。
• [b] 已強制自動螢幕鎖定，並檢查遵循情形。
  • 交付物：螢幕鎖定設定及桌面淨空檢查紀錄。
  • 須呈現：螢幕鎖定逾時設定；巡查結果。

A.7.8 設備安置與保護（Equipment siting and protection）

控制措施：設備應安全放置並受保護。

• [a] 設備之放置可降低環境威脅及未授權存取或窺視之風險。
  • 交付物：設備放置紀錄或照片。
  • 須呈現：伺服器置於管制機房；螢幕避開公眾視線。
• [b] 已監控可能影響設備之環境條件（溫度、濕度）。
  • 交付物：環境監控紀錄。
  • 須呈現：機房溫濕度數據及警示。

A.7.9 組織場所外之資產安全（Security of assets off-premises）

控制措施：應保護場所外之資產。

• [a] 已訂定保護場所外使用資產（筆電、行動裝置、媒體）之規則，包括攜出授權。
  • 交付物：場所外資產政策。
  • 須呈現：授權、實體保護、加密及遺失通報。
• [b] 場所外設備已受保護（例：全碟加密、遠端抹除）。
  • 交付物：設備管理報表。
  • 須呈現：筆電及行動裝置之加密狀態與遠端抹除能力。

A.7.10 儲存媒體（Storage media）

控制措施：儲存媒體應依組織之分級機制及處理要求，於其取得、使用、運輸及銷毀之生命週期中予以管理。

• [a] 已依分級訂定可移除式儲存媒體全生命週期之管理程序。
  • 交付物：儲存媒體程序。
  • 須呈現：使用授權、加密、運送保護及安全銷毀。
• [b] 可移除式媒體之使用已有技術管控或紀錄。
  • 交付物：USB 管控設定或媒體登記表。
  • 須呈現：裝置管控政策（封鎖或白名單）或已發放媒體之登記。

A.7.11 支援性公用設施（Supporting utilities）

控制措施：資訊處理設施應受保護，以防電力中斷及其他由支援性公用設施失效所造成之干擾。

• [a] 資訊處理設施之支援性公用設施（電力、通訊、空調）已有適當備援（例：不斷電系統、發電機）。
  • 交付物：公用設施基礎架構說明。
  • 須呈現：不斷電系統容量與時間、發電機、備援空調及網路線路。
• [b] 公用設施設備已測試及維護。
  • 交付物：測試及維護紀錄。
  • 須呈現：不斷電系統電池測試、發電機試運轉、維護日期。

A.7.12 纜線安全（Cabling security）

控制措施：承載電力、資料或支援資訊服務之纜線，應受保護以防攔截、干擾或損壞。

• [a] 電力及資料纜線已受保護以防攔截、干擾及損壞（例：線槽、分隔、上鎖之配線架）。
  • 交付物：纜線巡檢紀錄或照片。
  • 須呈現：纜線路徑、電力與資料線分隔、網路機櫃保護。

A.7.13 設備維護（Equipment maintenance）

控制措施：設備應正確維護，以確保資訊之可用性、完整性及機密性。

• [a] 設備由授權人員依供應商建議進行維護。
  • 交付物：維護時程及紀錄。
  • 須呈現：主要設備之維護內容、日期、技術人員及結果。
• [b] 設備送外維修或由外部人員維護時，資訊已受保護。
  • 交付物：送外維修紀錄。
  • 須呈現：設備送出前已移除或保護資料；外部技術人員之監督。

A.7.14 設備之安全處置或再使用（Secure disposal or re-use of equipment）

控制措施：含儲存媒體之設備項目，應於銷毀或再使用前加以驗證，以確保任何敏感資料及授權軟體已被移除或安全覆寫。

• [a] 已訂定含儲存媒體設備之安全銷毀或再使用程序。
  • 交付物：安全銷毀程序。
  • 須呈現：依分級之清除方式（覆寫、消磁、實體破壞）。
• [b] 已銷毀或再使用之設備有經驗證之清除紀錄。
  • 交付物：清除或銷毀證明。
  • 須呈現：資產編號、方式、日期、驗證人或廠商證明。

A.8.1 使用者端點設備（User endpoint devices）

控制措施：儲存於使用者端點裝置、由其處理或可經由其存取之資訊應受保護。

• [a] 已訂定使用者端點裝置之規則（登記、允許軟體、更新、加密、備份、遺失處理）。
  • 交付物：端點裝置政策。
  • 須呈現：公司配發及個人裝置之要求。
• [b] 端點裝置受管理並符合規則。
  • 交付物：端點管理報表。
  • 須呈現：裝置清單及其加密、修補程度與防護狀態。

A.8.2 特權存取權（Privileged access rights）

控制措施：特權存取權之配發及使用應予以限制及管理。

• [a] 特權存取權依需要並經核准配發，且維護特權使用者清單。
  • 交付物：特權帳號清單及核准紀錄。
  • 須呈現：每個特權帳號之持有人、系統、核准及理由。
• [b] 特權帳號與一般帳號分開，使用強化鑑別且其使用有日誌。
  • 交付物：設定及日誌樣本。
  • 須呈現：獨立之管理帳號、特權存取多因子、特權活動日誌。
• [c] 特權存取權之審查頻率高於一般權限。
  • 交付物：特權存取權審查紀錄。
  • 須呈現：審查日期、發現及移除。

A.8.3 資訊存取限制（Information access restriction）

控制措施：應依已建立之存取控制主題特定政策，限制對資訊及其他相關資產之存取。

• [a] 對資訊及應用功能之存取依存取控制政策限制。
  • 交付物：應用系統存取設定。
  • 須呈現：抽樣應用系統之角色與權限；敏感資料之限制。
• [b] 敏感資訊不允許匿名存取。
  • 交付物：測試或設定證據。
  • 須呈現：敏感資源須經鑑別；無公開分享或連結。

A.8.4 對原始碼之存取（Access to source code）

控制措施：對原始碼、開發工具及軟體函式庫之讀寫存取應予以適當管理。

• [a] 原始碼儲存庫及開發工具之讀寫存取僅限授權人員。
  • 交付物：儲存庫存取清單。
  • 須呈現：各儲存庫之使用者及權限等級；審查紀錄。
• [b] 原始碼變更有追蹤及保護（例：分支保護、合併前審查）。
  • 交付物：儲存庫保護設定。
  • 須呈現：受保護分支、必要審查、提交歷程。

A.8.5 安全鑑別（Secure authentication）

控制措施：應依資訊存取限制及存取控制主題特定政策，實施安全鑑別技術及程序。

• [a] 鑑別強度依資訊及系統敏感度選擇（例：遠端、特權及敏感存取使用多因子）。
  • 交付物：鑑別標準。
  • 須呈現：各存取類型所需之鑑別方式。
• [b] 已實施安全登入（多因子、登入失敗鎖定、不顯示密碼、閒置逾時）。
  • 交付物：鑑別設定。
  • 須呈現：抽樣系統之多因子強制、鎖定門檻、閒置逾時。

A.8.6 容量管理（Capacity management）

控制措施：資源之使用應依現有及預期之容量要求予以監控及調整。

• [a] 已識別容量要求，並監控資源使用（CPU、儲存、頻寬）。
  • 交付物：容量監控儀表板或報表。
  • 須呈現：主要系統之使用趨勢及門檻。
• [b] 容量問題已透過規劃或調校處理。
  • 交付物：容量計畫或變更紀錄。
  • 須呈現：容量預測及達到門檻時採取之行動。

A.8.7 防範惡意軟體（Protection against malware）

控制措施：應實施防範惡意軟體之保護措施，並輔以適當之使用者認知。

• [a] 端點及伺服器已安裝防惡意軟體保護，保持更新並集中監控。
  • 交付物：防惡意軟體主控台報表。
  • 須呈現：涵蓋率、病毒碼更新狀態及偵測紀錄。
• [b] 已有措施防止或偵測未授權軟體及惡意網站之使用。
  • 交付物：應用程式管控或網頁過濾設定。
  • 須呈現：白名單或封鎖政策。

A.8.8 技術脆弱性管理（Management of technical vulnerabilities）

控制措施：應取得所使用資訊系統之技術脆弱性資訊，評估組織對此類脆弱性之暴露程度，並採取適當措施。

• [a] 已取得使用中系統之技術脆弱性資訊（弱點掃描、原廠公告）。
  • 交付物：弱點掃描報告。
  • 須呈現：掃描日期、範圍、依嚴重度之發現。
• [b] 脆弱性已評估，並依風險於規定期限內修補。
  • 交付物：修補及處理紀錄。
  • 須呈現：各嚴重度之修補期限；逾期未修補者之風險接受。

A.8.9 組態管理（Configuration management）

控制措施：硬體、軟體、服務及網路之組態（包括安全組態）應予以建立、文件化、實施、監控及審查。

• [a] 已訂定硬體、軟體、服務及網路之安全組態基準。
  • 交付物：組態基準或強化標準。
  • 須呈現：各系統類型之基準，參考原廠或業界基準。
• [b] 系統依基準設定，偏離已被偵測並管理。
  • 交付物：組態遵循報告。
  • 須呈現：對照基準之遵循掃描結果；核准之例外。

A.8.10 資訊刪除（Information deletion）

控制措施：資訊系統、裝置或任何其他儲存媒體中之資訊，於不再需要時應予以刪除。

• [a] 已依保存要求訂定刪除不再需要資訊之規則。
  • 交付物：資訊刪除程序。
  • 須呈現：刪除時機、方式及紀錄。
• [b] 資訊於保存期限屆滿時刪除並留有紀錄。
  • 交付物：刪除紀錄或自動保存設定。
  • 須呈現：刪除日誌或系統內設定之保存政策。

A.8.11 資料遮罩（Data masking）

控制措施：應依組織之存取控制主題特定政策及其他相關主題特定政策與營運要求，並考量適用法規，使用資料遮罩。

• [a] 已訂定敏感資料之遮罩要求（例：非正式環境之個人資料、顯示遮罩）。
  • 交付物：資料遮罩標準。
  • 須呈現：須遮罩之資料類型、技術（遮罩、假名化、匿名化）、適用處。
• [b] 已依要求實施遮罩。
  • 交付物：遮罩資料樣本。
  • 須呈現：顯示遮罩值之畫面或測試資料集。

A.8.12 資料洩漏防護（Data leakage prevention）

控制措施：資料外洩防護措施應適用於處理、儲存或傳輸敏感資訊之系統、網路及任何其他裝置。

• [a] 已識別敏感資訊可能外洩之管道，並實施資料外洩防護措施。
  • 交付物：資料外洩防護政策及設定。
  • 須呈現：受監控管道（電子郵件、網頁上傳、USB、雲端）及規則。
• [b] 外洩警示已審閱並處理。
  • 交付物：資料外洩警示紀錄。
  • 須呈現：期間內之警示及處理。

A.8.13 資訊備份（Information backup）

控制措施：應依議定之備份主題特定政策，維護並定期測試資訊、軟體及系統之備份複本。

• [a] 備份政策已定義備份對象、頻率、保存期限及備份之保護。
  • 交付物：備份政策。
  • 須呈現：範圍、頻率、保存期限、異地或不可竄改複本、加密。
• [b] 備份依政策執行，失敗有追蹤處理。
  • 交付物：備份作業報表。
  • 須呈現：作業成功紀錄；失敗作業之處理。
• [c] 已測試還原並記錄結果。
  • 交付物：還原測試紀錄。
  • 須呈現：測試日期、還原之系統、結果及還原時間。

A.8.14 資訊處理設施之備援（Redundancy of information processing facilities）

控制措施：資訊處理設施應以足夠之備援實施，以滿足可用性要求。

• [a] 已識別可用性要求，並為關鍵元件（伺服器、網路、儲存、電力）設計備援。
  • 交付物：顯示備援之架構圖。
  • 須呈現：關鍵服務之備援元件及其支撐之可用性目標。
• [b] 已測試故障切換。
  • 交付物：故障切換測試紀錄。
  • 須呈現：測試日期、情境及結果。

A.8.15 日誌記錄（Logging）

控制措施：應產生、儲存、保護及分析記錄活動、例外、錯誤及其他相關事件之日誌。

• [a] 已訂定日誌要求（記錄事件、系統、保存期限）。
  • 交付物：日誌標準。
  • 須呈現：記錄之事件（登入、特權操作、錯誤、資安事件）、涵蓋系統、保存期限。
• [b] 日誌已集中蒐集並受保護，防止竄改及未授權存取。
  • 交付物：日誌管理設定。
  • 須呈現：集中蒐集、存取限制、完整性保護、保存設定。
• [c] 日誌經分析以偵測異常及資安事件。
  • 交付物：日誌審閱或安全事件管理平台警示紀錄。
  • 須呈現：審閱頻率、產生之警示及後續處理。

A.8.16 監視活動（Monitoring activities）

控制措施：應監控網路、系統及應用程式之異常行為，並採取適當行動以評估潛在之資訊安全事故。

• [a] 已對網路、系統及應用程式之異常行為進行監控，並有正常行為基準。
  • 交付物：監控工具設定及範圍。
  • 須呈現：受監控資產、偵測規則或門檻。
• [b] 警示經分流處理，潛在事故已升級。
  • 交付物：警示處理紀錄。
  • 須呈現：警示、分流結果及升級至事故管理。

A.8.17 時鐘同步（Clock synchronization）

控制措施：組織所使用之資訊處理系統之時鐘，應同步至核准之時間來源。

• [a] 已定義參考時間來源，系統已與其同步。
  • 交付物：時間同步設定。
  • 須呈現：網路校時來源及抽樣系統之設定。

A.8.18 特權公用程式之使用（Use of privileged utility programs）

控制措施：可能具有覆寫系統及應用程式控制措施能力之公用程式，其使用應予以限制並嚴密控制。

• [a] 已識別可覆寫系統及應用控制之公用程式，且其使用僅限授權人員。
  • 交付物：特權公用程式清單及授權使用者。
  • 須呈現：公用程式、可使用者及存取限制方式。
• [b] 這些公用程式之使用有日誌紀錄。
  • 交付物：公用程式使用日誌。
  • 須呈現：顯示使用者、程式及時間之日誌。

A.8.19 操作系統上之軟體安裝（Installation of software on operational systems）

控制措施：應實施程序及措施，以安全管理運作中系統之軟體安裝。

• [a] 運作中系統之軟體安裝僅限授權人員依控管程序執行。
  • 交付物：軟體安裝程序及權限設定。
  • 須呈現：可安裝者；使用者無管理權限；新軟體之核准。
• [b] 已安裝軟體已列冊，並可偵測未授權軟體。
  • 交付物：軟體清冊報表。
  • 須呈現：已安裝軟體清單與核准軟體對照。

A.8.20 網路安全（Networks security）

控制措施：網路及網路設備應受保護、管理及控制，以保護系統及應用程式中之資訊。

• [a] 已訂定網路安全控制措施，網路設備已安全設定及管理。
  • 交付物：網路架構圖及設備設定標準。
  • 須呈現：最新網路架構圖；設備強化、管理存取及韌體狀態。
• [b] 網路流量受控，網路設備受監控。
  • 交付物：防火牆規則及監控證據。
  • 須呈現：防火牆規則及審查紀錄；設備日誌送至監控。

A.8.21 網路服務之安全（Security of network services）

控制措施：應識別、實施及監控網路服務之安全機制、服務水準及服務要求。

• [a] 已識別並議定網路服務（內部及外部）之安全機制、服務水準及要求。
  • 交付物：網路服務協議或服務說明。
  • 須呈現：安全功能（加密、過濾）、服務水準及供應者義務。
• [b] 已監控網路服務供應者對上述要求之履行。
  • 交付物：服務監控或審查紀錄。
  • 須呈現：可用性報告及供應者表現之審查。

A.8.22 網路區隔（Segregation of networks）

控制措施：組織之網路中，資訊服務群組、使用者群組及資訊系統群組應予以區隔。

• [a] 網路已依信任等級、關鍵性及敏感度區隔為不同網域。
  • 交付物：網路區隔設計。
  • 須呈現：各區段（使用者、伺服器、管理、訪客、DMZ）及其間之規則。
• [b] 區段間流量依設計限制。
  • 交付物：防火牆或 VLAN 設定。
  • 須呈現：區段間規則與設計相符。

A.8.23 網站過濾（Web filtering）

控制措施：應管理對外部網站之存取，以降低暴露於惡意內容之風險。

• [a] 已訂定網頁存取規則，網頁過濾封鎖惡意及禁止類別。
  • 交付物：網頁過濾政策及設定。
  • 須呈現：封鎖類別、涵蓋現場及遠端使用者。

A.8.24 密碼學之使用（Use of cryptography）

控制措施：應定義並實施有效使用密碼學（包括密碼金鑰管理）之規則。

• [a] 已訂定密碼學使用規則，包括核准之演算法及須加密之處。
  • 交付物：密碼學政策。
  • 須呈現：核准之演算法及金鑰長度；靜態及傳輸中資料之要求。
• [b] 密碼金鑰之生命週期（產生、儲存、輪替、撤銷、銷毀）受管理。
  • 交付物：金鑰管理程序及紀錄。
  • 須呈現：金鑰清冊、儲存方式（硬體安全模組、金鑰庫）、輪替及憑證到期追蹤。
• [c] 已依規則實施加密。
  • 交付物：加密設定證據。
  • 須呈現：服務之 TLS 設定；儲存加密設定。

A.8.25 安全開發生命週期（Secure development life cycle）

控制措施：應建立並適用軟體及系統之安全開發規則。

• [a] 已建立涵蓋軟體開發生命週期之安全開發規則。
  • 交付物：安全開發政策或開發生命週期程序。
  • 須呈現：各階段（需求、設計、程式撰寫、測試、發布）之資安活動。
• [b] 開發專案遵循規則。
  • 交付物：抽樣版本之開發生命週期紀錄。
  • 須呈現：抽樣版本之資安審查、測試及核准。

A.8.26 應用程式安全要求（Application security requirements）

控制措施：開發或取得應用程式時，應識別、明定及核准資訊安全要求。

• [a] 開發或取得應用程式時已識別並明定資訊安全要求。
  • 交付物：資安要求規格。
  • 須呈現：鑑別、授權、輸入驗證、日誌、資料保護之要求。
• [b] 要求於發布前已核准並驗證。
  • 交付物：核准及驗證紀錄。
  • 須呈現：要求已滿足之簽核及測試證據。

A.8.27 安全系統架構與工程原則（Secure system architecture and engineering principles）

控制措施：應建立、文件化、維護及適用安全系統工程原則，並用於任何資訊系統開發活動。

• [a] 已文件化安全系統工程原則（例：縱深防禦、最小權限、預設安全、零信任）。
  • 交付物：安全架構原則文件。
  • 須呈現：原則及其於系統設計之應用方式。
• [b] 系統設計已應用這些原則。
  • 交付物：架構或設計審查紀錄。
  • 須呈現：顯示已評估原則之設計審查。

A.8.28 安全程式撰寫（Secure coding）

控制措施：安全程式撰寫原則應適用於軟體開發。

• [a] 已訂定安全程式撰寫標準，開發人員知悉。
  • 交付物：安全程式撰寫標準及開發人員訓練紀錄。
  • 須呈現：涵蓋常見弱點（例：OWASP Top 10）之標準；訓練完成情形。
• [b] 程式碼已依標準檢查（程式碼審查、靜態分析）。
  • 交付物：程式碼審查及靜態分析結果。
  • 須呈現：合併請求之審查紀錄；靜態分析結果及修正。

A.8.29 開發與驗收中之安全測試（Security testing in development and acceptance）

控制措施：應於開發生命週期中定義並實施安全測試流程。

• [a] 已於開發生命週期中定義安全測試流程，包括驗收標準。
  • 交付物：安全測試程序。
  • 須呈現：測試類型（靜態、動態、相依套件掃描、滲透測試）、執行時機、通過標準。
• [b] 已執行安全測試，結果於發布前處理。
  • 交付物：安全測試報告。
  • 須呈現：抽樣版本之結果及發現之處理或接受。

A.8.30 委外開發（Outsourced development）

控制措施：組織應指導、監控及審查委外開發相關之活動。

• [a] 委外開發之資安要求已載明於合約（安全程式撰寫、測試、智財、稽核權）。
  • 交付物：委外開發合約。
  • 須呈現：抽樣合約中之資安條款。
• [b] 委外開發受監控，交付物於驗收前經測試。
  • 交付物：驗收測試及審查紀錄。
  • 須呈現：交付程式碼之安全測試；進度審查。

A.8.31 開發、測試與正式環境之分隔（Separation of development, test and production environments）

控制措施：開發、測試及正式環境應予以區隔並確保安全。

• [a] 開發、測試及正式環境已區隔。
  • 交付物：環境架構。
  • 須呈現：各環境之獨立系統、網路或帳號。
• [b] 正式環境之存取受限，且測試未在無保護下使用正式資料。
  • 交付物：存取清單及測試資料處理證據。
  • 須呈現：正式環境存取清單；測試使用正式資料之遮罩或核准。

A.8.32 變更管理（Change management）

控制措施：資訊處理設施及資訊系統之變更應遵循變更管理程序。

• [a] 已訂定變更管理程序，涵蓋申請、影響評估、核准、測試及回復。
  • 交付物：變更管理程序。
  • 須呈現：變更類型、核准者、測試及緊急變更處理。
• [b] 變更依程序執行。
  • 交付物：變更紀錄。
  • 須呈現：抽樣變更之申請、評估、核准、測試及實施紀錄。

A.8.33 測試資訊（Test information）

控制措施：測試資訊應適當選擇、保護及管理。

• [a] 測試資訊之選擇避免使用敏感正式資料，必須使用時已受保護。
  • 交付物：測試資料程序及樣本。
  • 須呈現：合成或遮罩之測試資料；複製正式資料至測試之核准及刪除。

A.8.34 稽核測試期間資訊系統之保護（Protection of information systems during audit testing）

控制措施：涉及評估運作中系統之稽核測試及其他保證活動，應由測試者與適當之管理階層規劃並議定。

• [a] 對運作中系統之稽核測試及其他保證活動已與管理階層規劃並議定，包括範圍、時間及存取。
  • 交付物：經核准之稽核或測試計畫。
  • 須呈現：範圍、時間、測試者存取（盡可能唯讀）及管理階層核准。
• [b] 測試者之存取受控，活動結束後移除。
  • 交付物：測試者存取紀錄。
  • 須呈現：測試期間授予之存取及結束後移除；活動日誌。