本文由 BSI 台灣 ISO/IEC 27001 資訊安全產品經理劉卜瑞（Brad Liu）口述，編輯部搭配 AI 輔助整理。
資安風險新時代，組織準備好了嗎？
生成式 AI 在過去一年迅速普及，無論是生成圖片、模擬語音，甚至自動撰寫程式，都讓組織開始正視一個問題：這些新興技術，除了帶來效率與創新，也可能成為駭客的利器。
根據趨勢科技發布的《2025 年資安預測報告》，駭客正廣泛運用生成式 AI 提高社交工程攻擊的偽真度與擴散效率，針對 AI 系統本身的滲透與操控也成為新興威脅。這股變化不僅衝擊技術層面，也持續考驗組織在風險管理、治理架構與資安文化上的應變能力。
從攻擊手法到組織挑戰—資安壓力正在升級
組織面對的資安威脅已不再只是單一弱點或技術漏洞。攻擊者愈來愈傾向從「人」下手，透過精準誘騙、認知操弄等方式提高滲透成功率。這也讓駭客更容易製作釣魚郵件或假冒身份，使資訊真偽難以辨識。組織若仍停留在傳統端點防護的思維，將難以因應這類跨場域、多層次的攻擊模式。
資安防禦的重點逐漸從明顯異常的發現，轉向從日常行為中觀察潛在風險。有些組織開始導入 AI 模型來補強傳統偵測機制，試圖從單點事件擴展為對整體行為軌跡的還原與分析。「異常」的定義也因而變得更具情境性與延續性，不再僅是單一事件的辨識。
在實務推動上，依賴單一團隊應對各種資安壓力已愈來愈困難。資安工作的邊界也越來越模糊，逐步擴及治理、營運與法遵等部門，成為跨角色共同關注的課題。除了內部部門的橫向合作，也有越來越多單位與外部技術機構合作，導入新的模型、工具與專業服務，透過資料與技術互補來提升整體資訊韌性。
法規與治理雙軌推進，制度成為核心
資安合規的難度與成本正逐年升高。本月甫發布的《國家資通安全戰略 2025》，也明確將資安治理視為國家層級戰略，針對產業供應鏈與生成式 AI 等新興風險釋出政策方向。
放眼全球，歐盟《一般資料保護規範》（GDPR）與《人工智慧法案》（AI Act）為代表的法規陸續上路，不僅提高資料保護門檻，也賦予監管機構更高罰則授權，要求組織從設計階段就考慮風險與責任。這些國際規範與本地監管趨勢同步推進，對組織營運帶來全方位的治理挑戰。
在這樣的法規與產業壓力下，不同部門間開始攜手合作，發展整體性的治理策略。這也提醒組織，資安治理的核心不應只靠工具或人力，而需回歸制度層級的思考。組織在導入新技術與應對新法規時，若缺乏清晰的治理架構與持續改善機制，將難以因應日益複雜的風險環境。
資安制度落實的共同語言—從 ISO/IEC 27001 出發
在多元風險與高度監管的環境中，導入國際標準已成為組織建構資安治理架構的重要方式。ISO/IEC 27001 資訊安全管理系統（Information Security Management System, ISMS）所提供的不只是技術性控管項目，更是一套可落地執行的制度架構，涵蓋資產盤點、風險評鑑、政策制定、通報應變等核心流程。無論組織規模與資源多寡，ISO/IEC 27001 都可作為制度建構的共同語言，協助組織從零散應對轉向長期治理。
除了導入 ISO/IEC 27001 作為核心架構，不少組織也依據實際需求，延伸採用如 ISO/IEC 27701 隱私資訊管理、ISO/IEC 27017 雲端服務資訊安全、ISO/IEC 27018 公有雲個人資料保護等相關標準。這樣的組合應用，不僅擴展了治理涵蓋面，也反映出資安治理早已不是資訊部門單一主導的工作，而是整個組織多部門協作的結果。透過這樣的跨部門整合，資安治理也得以逐步從經驗依賴走向制度化、可持續的營運基礎。
從 ISMS 標準改版到治理延伸—制度深化的路徑
ISO/IEC 27001 在 2022 年完成修訂後，強化了主動防禦與預防性控制的概念，並進一步強調對資訊韌性的關注。新版控制措施引導組織針對潛在威脅預先識別與應對，除了原本針對資安中斷與持續營運的應變管理要求外，也更強調整體風險治理能力與資料處置行動的積極性。新版標準也更容易與 ESG、風險管理及供應鏈治理等議題接軌，協助組織透過制度化方式建構跨領域的治理架構。
面對生成式 AI 帶來的新應用與風險管理需求，具備穩固資安治理基礎的組織將更有能力評估技術導入的潛在影響，並有效規劃後續應對策略。ISO/IEC 27001 所奠定的制度基礎與風險控管能力，雖然是針對一般資訊系統所設計，但仍能作為組織發展 AI 治理機制時的重要起點。日後若需針對 AI 系統進一步建構管理制度，可參考 ISO 於 2023 年發布的 AI 管理系統標準 ISO/IEC 42001。
制度先行，是面對未來資安風險的底氣
AI 的快速演進，正重新定義組織對資訊風險的理解與治理模式。在面對快速變化的技術環境與法規挑戰時，唯有落實制度、建立標準、強化治理，才能真正提升組織的資訊韌性與持續營運能力。
無論是大型組織或正在成長中的新創團隊，資訊安全治理都不該是發展過程中的「附加選項」，而應是組織建立信任的基礎工程。許多新創公司或投入 AI 開發與應用的新興服務提供者，可能尚未建置完整的資安架構；隨著其服務日益成熟並擬推向市場，資訊風險與合規要求也將同步浮現，成為不可忽視的課題。此時若有一套制度化的資安管理機制，將有助於組織穩健應對各種外部審查與市場信任門檻。
對組織而言，選擇從 ISO/IEC 27001 開始，不僅是面對資安挑戰的理性起點，更是邁向可信任、永續未來的第一步。
