本文由 BSI 雲端服務資訊安全暨個資保護標準產品經理 黃賜虔 (Rex Huang) 提供資訊，經 AI 輔助整理，並經產品經理審閱確認。
雲端服務的安全，由客戶、服務提供者與合作夥伴共同肩負。隨著服務鏈愈趨複雜，清楚界定各方責任，並將雲端安全與個資保護納入既有管理制度，也成為企業管理的重要課題。
ISO/IEC 27017:2026 與 ISO/IEC 27018:2025 已分別於 2026 年 7 月 27 日、2025 年 8 月 26 日發布，取代 2015 版與 2019 版。兩份標準此次改版的共同核心，是配合 ISO/IEC 27002:2022 重組後的控制項架構，更新雲端專屬指引與對應關係。
改版背景：與資訊安全控制架構同步
ISO/IEC 27002 提供通用的資訊安全控制措施，ISO/IEC 27017 與 ISO/IEC 27018 則分別補充雲端服務安全及公有雲個資保護指引。隨著 ISO/IEC 27002 於 2022 年修訂，兩份標準也同步調整，讓組織能以一致的控制架構管理相關風險。
ISO/IEC 27017 的更新亦回應雲端環境複雜度與供應鏈風險的增加。企業可能同時使用多家雲端服務，而服務提供者又有各自的合作夥伴，因此，責任分工需要涵蓋整條服務鏈。
ISO/IEC 27017:2026：整合控制項，擴充角色定義
ISO/IEC 27017 為雲端服務客戶（CSC）與雲端服務提供者（CSP）提供資訊安全控制指引。新版將 ISO/IEC 27002 的雲端延伸指引由 37 項增為 39 項，雲端專屬獨立控制項則由 7 項整合為 4 項。
部分原有獨立控制項改納入 ISO/IEC 27002:2022 既有控制項的 CSC／CSP 延伸指引，因此，項目減少並不代表管理範圍縮減。組織應確認既有措施在新版中的對應位置，再評估需要調整的內容。
新版四項雲端專屬獨立控制項分別為：
- CLD 5.38 雲端運算環境中的共享角色與責任。
- CLD 5.39 關於雲端服務合作夥伴角色與責任的協議。
- CLD 8.35 虛擬運算環境中的隔離。
- CLD 8.36 雲端服務未經授權使用之偵測與預防。
這些控制項涵蓋責任分配、合作夥伴協議、虛擬環境隔離及未經授權使用的管理。新版也新增雲端服務夥伴（CSN）與雲端服務使用者（CSU）的角色定義，協助組織釐清多層供應鏈與委外情境中的責任歸屬。
ISO/IEC 27018:2025：維持適用定位，更新控制項對應
ISO/IEC 27018 的主要適用對象維持不變，仍為公有雲環境中擔任個人可識別資訊（PII）處理者的雲端服務提供者，提供與 ISO/IEC 29100 隱私原則一致的個資保護指引。
新版維持 25 項 ISO/IEC 29100 延伸指引，並配合 ISO/IEC 27002:2022 的修訂，將相關延伸指引由 16 項調整為 14 項。此外，新版新增附錄 B，提供與 2019 版的對照，協助組織確認控制項的對應關係。
此次修訂延續原有個資保護定位，重點在於更新與 ISO/IEC 27002 的銜接。企業應依新版對照檢視既有措施，避免將項目數量的調整解讀為保護範圍縮減。
將標準更新落實於管理與稽核
ISO/IEC 27017 與 ISO/IEC 27018 分別從雲端安全及個資保護出發，補充 ISO/IEC 27001:2022 資訊安全管理系統（ISMS）的實務運用。組織可在既有管理架構下，依服務情境與風險導入相關控制措施，並配合此次改版，檢視責任分工、契約及管理程序是否需要調整。
要將標準運用於日常管理，相關人員也需要掌握控制措施的意涵，以及如何透過稽核確認執行情形。BSI「雲端服務資訊安全管理系統主導稽核員訓練課程」涵蓋 ISO/IEC 27017:2026 與 ISO/IEC 27018:2025 控制措施解析、雲端服務角色與責任，並透過情境演練與案例解析，協助相關人員培養雲端安全稽核的規劃、執行、報告及追蹤能力。
