在資訊安全管理系統（ISMS）的推行過程中，ISO 27001:2022條文4.2強調組織必須瞭解「關注方的需要與期望」，這看似單純，但實際執行中卻往往因溝通不良或需求分析不精確而面臨挑戰。本文以「3Q資安輔導顧問公司」為例，從心理學的角度探討如何透過動機心理學與應用心理學理論，更有效地因應關注方的需求，並分享創新的實務建議。
3Q的故事：誰是你的「關注方」？
3Q資安顧問公司近期接受一家中小企業的委託，該企業的主要客戶是一家跨國供應鏈公司，要求其供應商必須符合ISO 27001標準。企業內部高層對這項要求雖表示支持，但基層員工卻視為「額外工作負擔」。為解決這個問題，3Q顧問採用了心理學中的「內在動機」理論，透過設計教育訓練課程與內部溝通，逐步引導員工從抗拒轉變為主動參與。ISO 27001與心理學的結合
- 瞭解關注方的情緒需求
條文4.2指出，組織需明確界定「與ISMS有關的關注方」。除了外部的法律與契約義務，內部員工也是重要的關注方。應用心理學研究（如Psychological Bulletin），我們可以得知，理解並回應員工的情緒需求有助於降低抗拒行為。例如，3Q顧問公司透過匿名問卷蒐集員工的想法，並針對員工對資安管理的疑慮提供明確解答，強化他們的信心與信任。 - 動機心理學的應用
依據動機心理學的「自我決定理論」（Self-Determination Theory, SDT），滿足人的自主性、能力感與關係感可以促進內在動機。3Q顧問公司設計了一系列的資安工作坊，不僅讓員工學習實務技能，還透過團隊合作與成功案例分享，提升參與者的成就感與歸屬感，最終有效改善內部文化。 - 建立清晰的期望管理
條文4.2同時強調要識別「相關要求事項」並因應之。透過溝通心理學的「期望一致性理論」（Expectation-Confirmation Theory），3Q顧問公司在落實資安措施前，與客戶進行多次對話，確認實施細節並設定可衡量的目標，避免誤解或過度承諾。
台灣中小企業的實務啟示
對於台灣中小企業而言，推行ISO 27001並非一蹴而就，但透過心理學的輔助，可以更容易落實條文4.2的精神。以下是幾個實務建議：
- 多聽員工心聲：設立匿名反饋管道，了解員工的需求與顧慮。
- 營造學習氛圍：利用內部分享會或簡報，讓全體員工理解資安管理的價值。
- 目標具體化：將外部法律要求與內部流程改善結合，讓員工感受到直接的效益。
結語
透過將ISO 27001與心理學理論相結合，台灣中小企業不僅能提升資安合規效率，還能改善內部組織文化。希望這篇文章能為負責資安的專業人士與講師們提供新觀點，助您在實務中落實更人性化的資安管理。
