資安法到ISO 27001的稽核攻防：AI神隊友助力(第2版)

名人推薦：

近年來，資安情勢瞬息萬變，AI 與新興科技的應用既帶來效率，也衍生更多複雜威脅。政府與產業共同面對的挑戰，不再只是「遵循法規」，而是如何在有限資源下，持續強化防護韌性、培育足夠且具備實戰力的人才。目前資通安全署推動的施政重點即包含「全社會資安防禦韌性」與「人才培育」。

陳育毅主任將多年來教育體系資安稽核與管理的豐富經驗撰寫成書，從《資安法》到ISO 27001，完整串起政策、治理、風險評估與實務操作，更將AI 引入稽核與演練，提供了具體而可操作的方法。本書前10 章完整對應《資安法》實地稽核項目構面1 至構面9，以及資通系統防護基準所要求的各項控制，涵蓋以AI 驅動演練強化應變韌性、將政策與組織治理轉化為可驗證的任務與績效、運用AI 自動化比對法規條文與佐證以提升品質與效率、落實資產盤點與風險評估以建立證據導向的防護機制，以及從系統分級、委外契約到SSDLC 的開發安全管控，形成一套完整的實戰框架。這些章節不僅是知識的整理，更提供了實際操作的檢核表、演練腳本與AI 輔助範例，使得非資訊背景的管理者也能快速上手。這正是我們在政府端推動職能轉換時最需要的實務攻略：治理優先、工具化、可驗證。

我國面對的資安挑戰日益複雜，近年資安署透過資安人力職能轉換訓練計畫、政府資安職能訓練發展藍圖，以及新增公務人員資安類科等措施，期望加速培育多元背景的人才，並吸引更多產學界優秀人士投入公部門與產業防護的第一線。然而，這樣的任務並非政府單一部門可以獨力完成，需要教育界、產業界與研究單位共同投入，才能形成人才的持續供應與知識的滾動更新。而這部兼顧法規、國際標準與新興科技應用的資安管理鉅作，正是對國家資安人力發展的重要呼應，也體現出學研界對提升資安管理人才素養的積極參與及承擔。

數位發展部資通安全署 蔡福隆署長
2025.10.6




在資安管理實務中，稽核是專業能力的展現，專業帶動協作是有效成就資安韌性的重要手段。在稽核現場，專業度往往是建立信任、推動協作的基礎。當稽核人員展現出真正的專業判斷和實用建議時，被稽核單位才會從防備轉為配合。陳育毅主任將多年在資安驗證中心累積的稽核實務經驗，系統化呈現為一套可被複製、可被驗證的協作方法：引導稽核人員有節奏地以第三方角度切入，模擬、探測與揭露弱點，也協助資安人員有效利用文件佐證並以演練驗證，讓雙方在共同目標下發揮各自專業。這使得本書成為少有能真正促進稽核協作，而且能落地操作的實務指南。書中不僅把稽核項目與法規、ISO 條文之關聯脈絡釐清，更將各項要求轉化為「現場可執行」的協作流程與驗證方法。稽核不再是單向的檢視，而是雙向的知識交流與能力共建。

此外，本書把AI 當作「神隊友」，具體示範如何用AI 生成情境強化BCP 演練，以及用NotebookLM、ChatGPT 將龐雜的政策、程序自動轉成執行清單與稽核證據，使得稽核工作不再是昂貴、耗時的專案，而成為常態化、可量化的治理活動。這些創新實務有效改變稽核傳統容易產生對立的形象，讓原本被視為「必要之惡」的稽核工作，轉型為組織持續改善的重要支撐。

本書的章節安排體現了從理論到實務的完整路徑：從建立共識的政策推動，到可操作的人力配置與資產盤點，再到具體的委外管理與事件處理，最終延伸至ISO 27001 新版控制項的深度解析。特別值得一提的是「證書≠保證」的務實反思，提醒我們避免形式化合規的陷阱。

在AI 快速發展的時代，本書進一步提醒所有決策者：要在數位轉型的快速變遷中維持組織韌性，必須將「可驗證的執行證據」、「協作式稽核落地」、「可信任AI」融入組織治理的核心，讓稽核成為組織持續改善的驅動力。對於任何關心組織資安韌性的資安長或資訊主管，本書提供了將合規要求轉化為可驗證防護能力的協作思維，引導組織將稽核從「檢查程序」提升為「學習能力」，並將資安從「風險管控」提升為「組織韌性」的核心競爭力。

鴻海研究院 李維斌執行長
2025.9.9



在推動單位組織資安治理的過程中，常面臨一些實務問題，例如：制度文件寫得完整，卻缺乏能被驗證的證據；政策方向訂得清楚，卻在現場執行中產生落差。而本書正是針對這個長久以來的「制度與落實鴻溝」，提供了清楚解方。

在本書中，陳育毅主任從多年的稽核攻防經驗出發，強調「資安要說得清、拿得出、做得到」。無論是營運持續計畫的還原測試紀錄，還是SSDLC的輸入檢查與驗證程序，都示範了如何把制度化為能被追溯的證據鏈，避免資安治理淪為口號。更值得一提的是，書中提出了「情境化學習」與「案例式演練」的觀念，強調教育訓練不只是例行公事，而是透過實際案例、互動模擬，讓開發人員在第一行程式碼就能理解安全需求，讓一般同仁在日常操作中養成風險意識，透過文化內化的過程，才能真正讓資安長遠扎根，而這也呼應了教育體系在資安人才培育上的使命：教育與治理必須並進，才能形成完整而有效的防護體系。

此外，在工具應用上，本書巧妙引入了AI 的角色。ChatGPT 可以把抽象的漏洞風險轉換成可執行的測試清單，NotebookLM 可以即時比對文件與法規，補強制度缺口，甚至連SOP 與演練流程，都能透過AI 更快生成並優化。這不僅減輕了資訊團隊的負擔，也讓稽核前的自我檢視更有效率。

資安人才培育與國家韌性是緊密連結的，本書闡述的「制度如何落地」、「稽核如何有據」、「文化如何內化」，提出不少案例與方法，恰好能成為教育推廣與人才養成的重要教材與策略參考。我相信，任何想把資安從合規提升到韌性的組織與教育機構，都能從本書獲得深刻的啟發。

教育部資訊及科技教育司 吳穎沺司長
2025.9.18