AI 風險控管與 ISO 27002：離職與職務變更後的資訊安全管理

更新於 2025/02/06發佈於 2025/02/06閱讀時間約 3 分鐘

DeepSeek 這類 AI 模型的資安風險讓各國紛紛採取應對措施，而台灣企業在導入 AI 服務時，如何確保資訊安全？ISO 27002:2022 提供了明確指引，其中 6.5 條款特別強調聘用終止與變更後的資訊安全責任，確保離職員工或供應商仍履行資訊保護義務。

當員工離職或調職，若未適當處理存取權限，可能導致企業資訊外洩。ISO 27002:2022（6.5）要求企業建立清楚的資安責任機制，包括撤銷存取權限、確保機密資訊不被帶走，以及讓新接手的人員順利承接資安職責。

企業不僅要關注內部人員變動，也需管理外部供應商的資訊安全責任。ISO 27002:2022 建議，在 AI 服務或 IT 外包契約終止後，供應商仍需遵守保密協議，確保不會擅自存取或使用企業數據。例如，若 AI 供應商如 DeepSeek 被限制使用，企業應立即調整供應鏈並檢查相關資安合約。

AI 技術的快速發展帶來許多便利，但也產生新的資安挑戰。透過 ISO 27002:2022 6.5 條款的實踐，台灣企業可以更有效地控管離職與職務變更後的資安風險，確保 AI 服務的安全性，降低潛在風險。

International Organization for Standardization. (2022). ISO/IEC 27002:2022 - Information security, cybersecurity and privacy protection – Information security controls.

Michael Ch的沙龍

0會員

222內容數

資訊管理、投資、ISO 27001主導稽核

留言

留言分享你的想法！

在學校，我們常聽到「環境教育」，但你知道企業界也有一套管理環境的方法嗎？它的名字叫做ISO 14001。雖然名字聽起來很像密碼，但其實它是一種幫助組織「對環境更有責任感」的系統，也就是「環境管理系統」。那麼，環境教育跟ISO 14001有什麼關係？又有什麼不一樣？學校怎麼運用這些概念幫助孩子學習

什麼是SOC？服務組織控制（Service Organization Control, SOC）是一套由美國註冊會計師協會（AICPA, American Institute of Certified Public Accountants）制定的報告標準，主要用於評估服務供應商的內部控制和風險管

許多臺灣企業在導入ISO 27001時，著重於取得證書，卻忽略了將資安融入企業文化的關鍵。本文針對臺灣企業資安培訓困境，提出依據ISO 27002:2022的資安培訓三步驟：分層次資安教育、以故事取代規則，以及定期測試和強化培訓，藉此提升員工資安意識，降低風險，並提升企業競爭力。

在學校，我們常聽到「環境教育」，但你知道企業界也有一套管理環境的方法嗎？它的名字叫做ISO 14001。雖然名字聽起來很像密碼，但其實它是一種幫助組織「對環境更有責任感」的系統，也就是「環境管理系統」。那麼，環境教育跟ISO 14001有什麼關係？又有什麼不一樣？學校怎麼運用這些概念幫助孩子學習

什麼是SOC？服務組織控制（Service Organization Control, SOC）是一套由美國註冊會計師協會（AICPA, American Institute of Certified Public Accountants）制定的報告標準，主要用於評估服務供應商的內部控制和風險管

許多臺灣企業在導入ISO 27001時，著重於取得證書，卻忽略了將資安融入企業文化的關鍵。本文針對臺灣企業資安培訓困境，提出依據ISO 27002:2022的資安培訓三步驟：分層次資安教育、以故事取代規則，以及定期測試和強化培訓，藉此提升員工資安意識，降低風險，並提升企業競爭力。