TISAX ISA2027 正式發布：供應鏈安全與原型保護要求再升級

自 ISA2027 開始，ISA 改以「適用年度」命名，使企業更容易辨識版本適用時間。 企業需要特別注意，適用版本的判定重點在於向 TISAX Audit Provider 正式下單 Assessment 的時間，而不是完成評估或取得 TISAX Label 的日期。 原則上，2026 年 12 月 31 日前正式下單的案件依當時版本執行；2027 年 1 月 1 日起新下單的 Assessment 則適用 ISA2027。 若 Assessment 時程接近年度版本切換，建議向 Audit Provider 書面確認 Order Date 與適用 ISA Version。

ISA 中經常出現 “The following aspects are considered” 。
ISA2027 更明確強調，企業不能只在程序中寫「已考量」或「依風險辦理」，而應能說明： 該項要求是否適用； 是否決定實施； 實施方式與程度； 未實施的理由； 決策所依據的風險與條件。 換句話說，Assessment 不只確認「有沒有規定」，還會進一步關注「為什麼這樣決定」。 相關證據可整合於風險評估、控制適用性矩陣、例外管理、風險接受、會議紀錄或管理審查中。

ISA2027 將部分原本以 IT System 描述的要求，擴大至範圍更廣的 IT Service。 因此，管理對象不再只限於企業自行建置的系統，也包含 SaaS、Cloud Service、外部資料處理、委外 IT 維運，以及 AI Chatbot、AI Agent 等外部服務。 若企業允許員工使用生成式 AI 處理工作資訊，就應確認： 

• AI Service 是否經過核准
• 哪些資訊可以或禁止輸入
• 服務商如何處理及保存資料
• 是否完成供應商與資訊安全風險評估
• 使用人員是否接受適當教育

也就是說，AI 工具不能只被視為一般辦公工具，而應逐步納入企業的資訊分類、外部服務與供應鏈安全管理。

ISA2027 並未大量新增控制項目，但部分原本屬於 Should 的要求已提升為 Must。 例如，資訊安全政策除了需要核准，也應適當提供給員工，並在重要內容變更時通知相關人員。 新版也更明確將主管及組織領導人納入資訊安全教育與意識管理對象。 另外，傳統 Teleworking 的概念也擴展至 Mobile Work。企業除了居家辦公，也應考量商務旅行、共享辦公空間及公共場所工作的安全連線、資訊防窺、設備防竊及資料保護。

Prototype Protection 是本次架構變化較明顯的模組，控制題數由 22 題調整為 20 題，並重新整併為： 

1. Organizational Requirements 
2. Physical and Environmental Security 

題數減少並不代表要求降低。 

新版更加重視原型完整生命週期： 

客戶要求 → 原型接收 → 登錄與識別 → 保管 → 使用與測試 → 移轉 → 拍照與影像管理 → 返還／銷毀／回收

因此，原型保護不能只關注門禁、圍籬、監視系統或原型室，而應能持續掌握： 「原型在哪裡、由誰負責、誰曾經接觸，以及最後如何處置。」