勇敢面對資安挑戰：從『被討厭的勇氣』看 ISO 27001:2022

在一間台灣的 3C 公司，資安負責人小林正面臨著來自不同部門的壓力——行銷部門希望降低密碼變更頻率，工程部門不願接受額外的存取權限審查，財務部則擔心資料加密會影響工作效率。小林想起最近讀的一本書—《被討厭的勇氣》。這本書提到：「所謂的自由，就是被別人討厭。」這句話讓他重新思考：資安人員在落實 ISO 27001:2022 4.2「瞭解關注方之需要及期望」 條文時，是否也需要一點「被討厭的勇氣」？

企業資安：不可能討好所有人

ISO 27001:2022 4.2 條文強調，組織應確定 (a) 關注各方、(b) 其相關要求 以及 (c) 哪些要求須透過資訊安全管理系統因應。在 3C 公司的案例中，小林必須面對的「關注方」包括：

• 行銷部門（希望資安政策更彈性）
• 工程部門（擔心額外的安全檢查影響開發速度）
• 財務部門（擔憂新資安措施影響數據存取便利性）
• 法規監管機構（要求符合個資法與 ISO 27001）

然而，不可能所有人的需求都能滿足，這時候資安人員就需要展現阿德勒所說的「課題分離」—— 區分哪些是自己的責任，哪些是別人的問題。資訊安全的核心不是迎合每一個部門的需求，而是建立符合組織長遠發展的資安管理機制。

從心理學角度看資安溝通：如何讓人接受「不受歡迎的決策」？

溝通心理學研究指出，人們接受改變的過程通常包含五個階段：

1. 前省思階段（Precontemplation）：否認資安問題的存在。
2. 省思階段（Contemplation）：開始認識資安需求，但仍有疑慮。
3. 準備階段（Preparation）：願意嘗試變革，但需要具體指引。
4. 行動階段（Action）：開始實施資安措施。
5. 維持階段（Maintenance）：習慣並內化新的資安規範。

小林意識到，他的角色不只是資安政策的執行者，更是推動組織變革的「影響力者」（Influencer）。他決定透過 動機心理學 提出的「內在動機提升策略」來降低阻力：

• 自主感（Autonomy）：讓各部門參與資安規則的制定，而非單向命令。
• 勝任感（Competence）：提供資安培訓，確保員工具備執行資安政策的能力。
• 關聯感（Relatedness）：強調資安政策如何保護全體員工的利益，而非只是 IT 部門的責任。

讓 ISO 27001 變成企業文化的一部分

最終，小林說服了公司高層，將資訊安全納入企業治理框架，讓資安政策不再只是 IT 部門的負擔，而是整個組織的共同責任。他學到了 資安人員不應該害怕被討厭，而應該堅守原則、勇敢溝通。因為當企業真正理解「資訊安全不只是風險管理，而是競爭優勢」時，ISO 27001 就不再是一套強制規範，而是一種讓企業更安全、更有競爭力的文化。