香港 SaaS 及平台服務商盤點 64 項資訊資產、整理 18 個資料流程，8 星期取得 ISO 27001 認證並完成 SRAA、PIA 及漏洞評估

不等於。ISO/IEC 27001 是資訊安全管理體系，重點是 ISMS 範圍、資訊資產、風險評估、控制措施及持續改善；SRAA 和 PIA 則更偏向特定系統、個人資料流程及私隱風險評估。三者可以互相支援，但不能把一份 ISO 文件直接當成 SRAA 或 PIA 報告。

從 CertiSafe 顧問角度看，SaaS 客戶通常要分清三類證據：

• ISO 27001：資訊安全管理制度、風險登記冊、SoA、內部審核及管理評審
• SRAA：系統邊界、技術風險、控制差距、修補狀態及客戶安全要求
• PIA：個人資料收集、使用、保存、轉移、第三方處理及私隱影響

本案例把三者放入同一套項目節奏處理，目的是避免安全問卷、SRAA、PIA 和漏洞修補各自回答，造成證據說法不一致。

可以放入同一套客戶審查資料，但要先建立清晰索引，讓客戶知道每份資料回答哪一類問題。否則資料雖然很多，審查方仍可能要求重新補充資料。

CertiSafe 通常會按以下方式整理：

• 先界定 SaaS 平台、API、雲端環境、資料庫及第三方工具範圍
• 以資訊資產清單串連 ISO 27001、SRAA、PIA 及 vulnerability assessment
• 用修補跟進表記錄風險、責任人、處理狀態、復測結果及剩餘風險
• 將客戶安全問卷逐題對應到政策、紀錄、報告或截圖證據
• 對敏感系統資料作遮蔽處理，再提交客戶可接受版本

本案例中，CertiSafe 盤點 64 項資訊資產、整理 18 個個人資料流程，並跟進 31 項漏洞及控制改善，讓安全、私隱和技術修補接到同一套審核紀錄。

部分可以，但不建議直接把 ISO 文件整份丟給客戶。大型企業或金融客戶的安全問卷通常是逐題審查，會要求看到具體制度、執行紀錄和技術證據。

從 CertiSafe 的處理方式看，安全問卷要先拆成幾類：

• 管理制度問題：對應資訊安全政策、風險評估、SoA 和內審紀錄
• 技術控制問題：對應存取權限、備份、日誌、加密、漏洞管理及復測資料
• 供應商問題：對應雲服務、第三方工具、外判開發及合約控制
• 私隱問題：對應個人資料流程、保存期限、轉移安排及 PIA 結果
• 事故應變問題：對應通報、演練、復原和責任分工

CertiSafe 可協助企業把問卷答案和證據逐項配對，避免答案寫得很完整，但客戶追問時拿不出相應紀錄。

可以共用底層資料，但提交版本不應完全相同。安全問卷、SRAA 和 PIA 都可能使用資產清單、系統圖、供應商資料和修補紀錄，但審查目的不同，內容重點也要分開。

CertiSafe 一般會建議：

• 共用同一份資訊資產及系統範圍基礎資料
• 為 SRAA 保留系統風險、控制差距和修補狀態
• 為 PIA 保留個人資料流程、私隱風險及緩解措施
• 為客戶問卷整理逐題答案和可提交證據索引
• 在提交前移除密碼、架構敏感細節及不應對外公開的內部資料

如客戶有指定格式或平台，仍須按對方要求重新整理。CertiSafe 可協助整理資料及回覆補充問題，但是否接受證據由客戶或相關審查方決定。

CertiSafe 負責資訊安全、私隱評估、ISO 顧問及項目跟進；ISO/IEC 27001 發證、SRAA 及 PIA 接納結果由相應第三方、客戶或監管/採購方按程序決定。

在本案例中，CertiSafe 負責：

• 由 ISO/IEC 27001 Lead Auditor、CISA / CISSP 背景資安顧問及私隱評估顧問參與項目
• 界定 SaaS、API、雲端及個人資料流程邊界
• 整理資訊資產、風險登記冊、SoA、SRAA、PIA 及漏洞修補資料
• 協助客戶整理安全問卷、補充資料回覆及第三方審核前資料
• 對敏感系統內容作匿名及遮蔽處理

ISO/IEC 27001 證書簽發由獨立第三方認證機構決定；SRAA、PIA 或客戶安全問卷是否被接受，則由相應客戶、審查方或項目要求決定。