在資訊安全管理 (ISMS) 中，組織需要確保資訊安全政策能夠符合關注方的需求與期望。ISO 27001:2022 4.2 條文強調，組織應識別關注方、了解其需求，並決定如何透過資訊安全管理系統 (ISMS) 回應這些需求。本文將透過 3C 公司（Comms, Computer, and Computing）的故事，探討此條文的實務應用。
3C 公司面對的關注方與資訊安全挑戰
3C 公司是一家專門生產智慧型裝置的中小企業，主要客戶為 B2B 企業，如政府機構、金融機構與國際供應鏈夥伴。最近，客戶要求 3C 公司通過 ISO 27001 認證，以確保其資訊安全管理符合國際標準。於是，公司資安長 (CISO) 小張著手分析關注方的需求。
(a) 關注各方識別： 小張將關注方分類如下：- 客戶： 需要確保 3C 公司的產品供應鏈資訊安全，避免供應鏈攻擊。
- 主管機關： 需符合 GDPR、台灣個資法及金融監理機構的資訊安全要求。
- 員工： 需要明確的資訊安全規範，保障內部作業的安全性。
- 投資人： 期望公司擁有良好的資訊安全治理，以降低資安風險。
(b) 關注方的相關要求： 分析後，3C 公司發現不同關注方對資訊安全的要求包括：
- 客戶要求： 供應鏈安全、數據保護、員工資訊安全意識訓練。
- 法規要求： 遵循 ISO 27001、GDPR、NIST CSF 等國際標準。
- 內部管理要求： 權限管理、資料加密、事件應變機制。
(c) 透過 ISMS 應對需求： 為回應關注方的需求，小張與團隊制定了以下資安措施：
- 供應鏈安全管理： 確保供應商符合 ISO 27001，並進行第三方資安稽核。
- 個資保護與加密： 員工需遵守 PII (Personally Identifiable Information) 處理規範，使用 AES-256 加密技術保護客戶數據。
- 教育訓練與意識提升： 定期舉辦資安意識訓練，確保全員理解社交工程攻擊風險。
- 事件應變計畫： 建立 SOC (Security Operations Center)，實施即時監控，減少資安事件的影響。
心理學觀點：影響資訊安全行為的關鍵因素
要讓資訊安全政策真正落地，不僅需要技術措施，還需考慮人的因素。根據資訊管理領域與動機心理學最新研究，以下三大因素對組織內資訊安全管理至關重要：
- 認知負荷 (Cognitive Load) 與簡化流程：
- 研究指出，過於複雜的資安規則會讓員工因認知負荷過高而無法遵守。3C 公司簡化密碼政策，改為 MFA (多重身份驗證)，減少員工輸入高強度密碼的負擔。
- 行為經濟學 (Behavioral Economics) 與資安習慣養成：
- 員工對資訊安全的遵從度受行為動機影響。3C 公司採用「獎勵機制」，對於積極回報釣魚郵件的員工提供額外獎勵，提升警覺性。
- 社會影響 (Social Influence) 與組織文化：
- 根據的研究，社會認同與領導示範對行為改變有強大影響。3C 公司執行「高層參與政策」，CEO 在資安會議上親自發表資訊安全承諾，提升員工參與感。
結論與未來展望
ISO 27001:2022 4.2 強調組織應該關注並回應內外部需求，3C 公司的案例顯示，透過識別關注方、分析需求，並結合心理學理論，資訊安全管理能更有效落實。
未來，隨著 AI 驅動風險、量子計算資安挑戰增加，組織應該持續優化 ISMS，將行為心理學與新技術納入資安教育中，確保資訊安全文化的長遠發展。
