💡 先搞懂問題
一家已經維持 ISO 27001 好幾年的公司，開始在產品裡加入 AI 功能，客戶也開始問「你們有沒有 42001」。這時常見兩種做法，結果都不理想。第一種是另起爐灶：新成立一個 AI 治理小組，從政策、文件管制、內部稽核到管理審查全部重寫一套，同一批員工被兩組稽核追著跑，兩邊文件對同一件事的說法還不一樣。第二種是直接套用：把 ISMS 程序書改個標題，AI 風險塞進原本的資安風險矩陣，以為就完成了，結果漏掉 42001 最核心的影響評估與 AI 控制。
能夠整合，是因為兩本標準都依 ISO 的管理系統共同結構（Harmonized Structure，舊稱 Annex SL 或高階結構）撰寫，第 4 到 10 章的章節、名詞與許多要求幾乎一樣。42001 的附錄 D 也說明它可以和其他管理系統一起運作。把幾套管理系統共用一副骨架來運作，實務上叫整合管理系統（integrated management system）。真正要想清楚的是：骨架以外，哪些要加料、哪些要新建。
生活比喻：大樓保全加裝人臉辨識門禁
一棟社區大樓原本就有完整的保全制度：監控中心、巡邏排班、值勤簿、每月管委會檢討、出事有處理流程。現在管委會決定加裝人臉辨識門禁。沒有人會為了這套新設備另蓋一間警衛室、另聘一組保全、另開一個月會；值勤簿、巡邏與月會照用就好。
但有些事必須加料：原本的住戶名冊要多記人臉資料與授權狀態，設備廠商的評估要多問「辨識資料存在哪裡」。還有一些事是以前根本不用想的：系統會不會對戴口罩的住戶、長者或某些膚色的人特別容易認錯？認錯時住戶被擋在門外、訪客被誤放進來，誰負責、怎麼補救？這些問題的焦點不在設備會不會被駭，而在系統的判斷會不會傷害到人。
比喻有兩個地方容易誤導。第一，大樓只裝了一套設備，但 AIMS 的範圍可能涵蓋好幾個 AI 系統，還包括員工使用的外部 AI 服務，盤點本身就是一大工作。第二，比喻裡的新問題看起來只是「多一個風險項目」，實際上 42001 的風險後果要看對組織、對個人、對社會三個層面，評估的觀點和資安風險不同，不能只在原表格多加一列就了事。
🎮 互動實驗室一：共用、擴充還是獨有
一家已有 ISO 27001 的組織（虛構）要導入 42001。把下方每張卡片放進最合適的格子：直接共用代表 ISMS 的做法幾乎原封不動就能用；共用但要擴充代表流程沿用、內容要補上 AI；42001 獨有代表 27001 沒有對應，要新建。桌機可以直接拖曳；手機或平板請先點一下卡片，再點要放的格子。有幾張卡片放在兩格都說得通，放進次佳的格子也會被接受並說明差異。
直接共用
共用但要擴充
42001 獨有
🎮 互動實驗室二：整合時程規劃
點一下候選步驟，就會加到「我的計畫」的最後面（手機版在下方）；計畫裡可以用 ↑ ↓ 調整順序、✕ 移除。候選步驟裡混了幾個常見陷阱，好的計畫不應該包含它們。排好後按「檢查計畫」，會指出順序問題、遺漏與陷阱，並畫出示意時程。
候選步驟
我的計畫
📘 原理補完
逐條對照：哪裡一樣、哪裡不一樣
下表整理整合時最常被問到的條文。「整合做法」一欄是常見做法，不是標準要求；兩本標準都沒有規定一定要整合，也可以各自獨立運作。ISO 也沒有發布兩本附錄 A 之間的官方對照表，任何控制對應都只是依主題整理的參考。
| 條文 | ISO 27001 | ISO 42001 多了什麼 | 判斷 | 常見整合做法 |
|---|---|---|---|---|
| 4.1 全景 | 內外部議題；Amd 1:2024 加入氣候變遷是否相關 | AI 系統的預期用途與組織的 AI 角色；氣候考量出版時已內含 | 擴充 | 全景分析表加一欄 AI 系統清單與對應角色 |
| 4.3 範圍 | 涵蓋的組織、地點、資訊與系統 | 描述單位變成 AI 系統與 AI 活動 | 共用 | 兩個範圍可以不一樣大，寫清楚重疊處與介面 |
| 5.2 政策 | 資訊安全政策 | AI 政策，內容由附錄 A.2 補強 | 共用 | 可併入整合政策，但 AI 的原則要能單獨辨識 |
| 6.1.2 風險評鑑 | 喪失機密性、完整性、可用性的風險 | 後果要看對組織、個人與社會的影響，並有 AI 風險準則 | 擴充 | 沿用評分架構，擴充後果類型，另訂可接受門檻 |
| 6.1.3 風險處理 | 對照 27001 附錄 A 產出 SoA | 流程相同，對照的是 42001 自己的附錄 A | 流程共用，清單獨有 | 兩份 SoA，或同一文件分兩章 |
| 6.1.4、8.4 影響評估 | 沒有對應條文 | 評估 AI 系統對個人、群體與社會的後果，結果回饋風險評鑑 | 獨有 | 另建程序，可參考 ISO/IEC 42005；既有個資衝擊評估只能當輸入之一 |
| 7.5 文件化資訊 | 文件建立、更新與管制 | 要求相同 | 共用 | 同一套文件管制程序，補上 AI 文件類別 |
| 9.2 內部稽核 | 稽核方案、客觀公正 | 要求相同 | 共用 | 合併方案；查 AI 控制的稽核員需具備 AI 知識 |
| 9.3 管理審查 | 依規劃的間隔審查 | 要求相同 | 共用 | 同一場會議，議程分別涵蓋兩邊輸入並留下各自決議 |
| 10.2 矯正措施 | 處理不符合、分析原因 | 要求相同 | 共用 | 同一套程序，原因分析納入資料與模型因素 |
| 附錄 A | 93 項資安控制 | 38 項 AI 控制，集中在 A.2～A.10 | 大多不重疊 | AI 系統的資安保護仍靠 27001 控制，42001 不重複 |
整合的執行順序
- 取得管理階層承諾並指派 AIMS 負責人，說清楚 AIMS 與 ISMS 由誰主責、在哪裡交會。
- 盤點組織開發、提供或使用的 AI 系統，判定每個系統對應的 AI 角色（條文 4.1）。
- 決定 AIMS 範圍。範圍不必和 ISMS 一樣大，但兩邊的介面要寫清楚，例如 AIMS 引用 ISMS 的控制來保護訓練資料時，那個訓練環境必須也在 ISMS 範圍內。
- 做差距分析：以 27001 現有程序為基礎，逐項標出可共用、要擴充、要新建三類。
- 擴充風險準則與方法，同時建立影響評估程序；影響評估的結果要能回饋到 AI 風險評鑑。
- 執行 AI 風險評鑑與處理，對照 42001 附錄 A 產出 SoA。
- 實施控制，更新共用程序與訓練，累積運作紀錄。
- 合併辦理內部稽核與管理審查，再和驗證機構確認是否能安排整合稽核。
實驗室二的示意時程是用來看先後關係的，不是工期標準。實際要多久，取決於 AI 系統的數量與風險、組織規模、既有 ISMS 的成熟度，以及驗證機構的安排。
同時有隱私管理系統時：ISO/IEC 27701
ISO/IEC 27701 是隱私資訊管理系統（Privacy Information Management System，PIMS）的標準。2019 年的第一版是 27001 的延伸，必須搭配 ISMS 才能驗證；2025 年出版的第二版（ISO/IEC 27701:2025）改寫成可以獨立實施與驗證的管理系統標準，同樣採用共同結構，可以和 27001、42001 整合。舊版證書的轉換時程，以認證機構與驗證機構公告為準。
AI 系統常大量使用個人資料，所以 27701 和 42001 的接點很多：AI 系統清冊和個資處理活動清冊互相對照，標出哪些系統處理個資、用在訓練還是推論；AI 系統影響評估和個資保護影響評估（DPIA）可以合併執行或互相引用，但兩邊的必要內容都要做到；目的限制、資料最小化與保存期限要同時滿足。在台灣，個人資料保護法對蒐集目的與利用範圍的規定，是判斷資料能不能拿去訓練模型時最常遇到的問題，具體適用依個案與主管機關的解釋。
小型組織怎麼整合
42001 和 27001 一樣，沒有規定文件數量、委員會形式或專職人員，條文 7.5 也允許文件化的程度依組織規模與複雜度調整。人力有限時，常見做法是把 AIMS 範圍聚焦在對客戶影響最大的一兩個 AI 系統，把 AI 政策、角色分工與風險準則寫在同一份手冊，沿用 ISMS 已在用的試算表、工單與版本控制留紀錄。一人身兼多個角色可以接受，但要避免自己稽核自己的工作，內部稽核可以委外。
常見誤解與稽核常見的不符合
「27001 的風險評鑑拿來用就好」：如果風險清單只有外洩、中斷、竄改，看不到偏差、可解釋性不足或對個人的影響，通常會被認定沒有滿足 6.1.2。AI 風險要放在同一張登錄表還是另開清冊，由組織自行決定；放在同一張表時，要能篩選出 AI 風險，準則也要擴充。
「影響評估就是 DPIA」：個資保護影響評估只涵蓋隱私這一塊，42001 的影響評估還要看公平、人身安全、權益與社會層面。DPIA 可以當作輸入，不能取代。
「整合稽核等於一張證書」：驗證機構可能安排整合稽核以節省時間，但兩本標準各自核發證書、各有範圍；42001 的稽核時間依 ISO/IEC 42006 與驗證機構的規則估算，會考慮 AI 系統的數量、複雜度與風險，不宜直接套用 27001 的經驗。
稽核常見的不符合包括：整合文件只是在 ISMS 程序書加上「含 AI」幾個字，實際沒有補上 AI 風險、影響評估與生命週期內容；兩份 SoA 合成一張後看不出哪些是 42001 的控制、排除理由也不見了；AIMS 文件寫「訓練資料的安全依 ISMS 控制處理」，ISMS 的範圍卻沒有包含那個訓練環境；管理審查紀錄只有資安指標，沒有討論 AI 風險與 AI 目標的達成；內部稽核員沒有 AI 相關能力，也沒有安排技術專家支援。
版本寫法也常出錯：ISO/IEC 27001 現行是 2022 年版，另有 2024 年的氣候變遷修正（Amd 1:2024）；ISO/IEC 42001:2023 沒有修正，氣候變遷是否相關的判斷在出版時就已寫進 4.1，文件與證書上寫「ISO/IEC 42001:2023」即可。
✅ 自我檢測
以下 6 題都是原創題目，單選題點選後立即顯示解析，複選題選好後按「送出」。目前得分：0 / 6