資訊安全管理系統 驗證機構認證規範 （ISO/IEC 27006:2007） h t i g c . 5 m o b u 財 團 法 人 全 國 認 證 基 金 會 中 華 民 國 九 十 i of 35 六 年 八 月 TAF-CBA-ICC-01/ISSUE2/2007.08 「資訊安全管理系統驗證機構認證規範」 （文件編號 ICC-01） 係參照 ISO/IEC 27006:2007 訂定，惟全文中所引用之相關國際 標準，如已有轉訂為中國國家標準者，均加註中國國家標準編 號，以供參閱。 全文所引用文件如國際標準或中國國家標準等若有新修訂版發 行時，請自行參閱。本文件爲維持與原文一致性，不作個別修 訂。 h t i g c . 5 m o b u ii of 35 TAF-CBA-ICC-01/ISSUE2/2007.08 資訊技術－安全技術－資訊安全管理系統稽核及驗證機構之規定 目錄 前言 .................................................................................................................................... iv 介紹 ..................................................................................................................................... v 1. 範圍.............................................................................................................................. 1 2. 引用標準....................................................................................................................... 1 3. 名詞及定義 ................................................................................................................... 1 3.1 3.2 3.3 3.4 3.5 證書.............................................................................................................................. 1 驗證機構....................................................................................................................... 1 驗證文件....................................................................................................................... 1 標誌.............................................................................................................................. 1 組織.............................................................................................................................. 1 4. 原理.............................................................................................................................. 2 5. 一般要求....................................................................................................................... 2 5.1 5.2 5.3 法律及合約事務 ............................................................................................................ 2 公正性之管理................................................................................................................ 2 責任及財務 ................................................................................................................... 2 6. 架構要求....................................................................................................................... 3 6.1 6.2 組織架構及最高管理階層 .............................................................................................. 3 保護公正性委員會......................................................................................................... 3 7. 資源要求....................................................................................................................... 3 7.1 7.2 7.3 7.4 7.5 管理階層及人員的能力.................................................................................................. 3 參與驗證活動人員......................................................................................................... 3 外部稽核員與外部技術專家之使用 ................................................................................ 6 人員記錄....................................................................................................................... 6 外包.............................................................................................................................. 6 8. 資訊要求....................................................................................................................... 6 8.1 8.2 8.3 8.4 8.5 8.6 可公開取得的資訊......................................................................................................... 6 驗證文件....................................................................................................................... 6 已驗證客戶之目錄......................................................................................................... 7 驗證之引用及標誌的使用 .............................................................................................. 7 機密性 .......................................................................................................................... 7 驗證機構與其客戶間之資訊交換.................................................................................... 7 9. 流程要求....................................................................................................................... 7