如果BSI和SGS核发的ISO 27001证书，没有全国认证基金会TAF标志，还有效吗？
“请问，我们的ISO 27001的证书是由BSI或是SGS发证的证书，在这两家验证机构于10月2日被全国认证基金会（TAF）列入资安安全管理系统的减列名单后，我们的ISO 27001的证书，还有效吗？”
“如果，我们是资安法规范的机关构，我们是不是要立刻重新转验证，取得新的ISO 27001的证书呢？”
上述的种种疑问，过去一周开始于资安圈内不停扩散、恣意传播，甚至出现种种不同的懒人包以及各种信誓旦旦的网络传言，告知已经取得由BSI或SGS核发ISO 27001认证的企业或-机关，如果不赶紧转验证，他们的证书将会失效。
行政院资安处表示，依照资安法的规定，受资安法规范的公务机关以及关键基础设施提供者，只需要在三年内，取得公正第三方验证的ISO 27001证书即可，没有“若没有立即转证，证书即失效的疑虑。”
全国认证基金会（TAF）首席执行官许景行则指出，SGS以及BSI两家验证公司被TAF列入资讯安全管理系统减列名单是事实，但这两家公司如果可以尽快针对评鉴缺失项目做改正，在2020年1月2日后，就可以重新申请恢复增列。
BSI以及SGS则指出，将会尽力确保客户最大权益，两者核发的ISO 27001证书，若上面有ANAB或UKAS国际认证组织核可的标志，仍为有效的ISO 27001证书；若是只取得TAF单一组织认可的ISO 27001证书的单位，在取得客户同意后，会透过转证的方式，协助企业组织取得国际认证以维持该单位认证的有效性。
TAF接到客户抱怨，启动对BSI 和SGS的专案调查
许景行表示，全国认证基金会（TAF）是一个民间机构，成立的目的，就是要维持台湾各种认证制度实施与发展，可以符合ISO / IEC 17011的国际规范，而TAF也是台湾唯一一家受标准法主管机关委托的认证机构（Accreditation Body，AB），至于包括SGS、BSI等验证公司，则是所谓的验证机构（Certification Body，CB），多是私人单位。
从今年1月1日正式实施的《资通安全管理法》中也规定，未来资安法中所有“公正第三方验证”所指称的第三方，则是指经过标准法主管机关委托机构认证的机构。这意味着，未来受资安法规范的所有单位要取得的资安认证，都必须经由全国认证基金会（TAF）认证的验证机构，所执行的第三方验证才符合资安法的规定。
外界传言，BSI和SGS会遭到TAF减列处分，是因为铨叙部的个资外泄事件造成的，BSI是前手的ISO 27001验证公司，SGS是现在的验证公司。但许景行表示，这一次会对两家验证公司将施以减列的处分，主要是有接到客户的“抱怨（Complain）”（类似客诉），“抱怨”对认证公司是非常重要的评鉴关键，在ISO 17011中的第3.2节中也有明确规定和相关文件流程，因此，TAF才会启动专案调查，但抱怨的内容因为涉及客户机密，并无法对外公开。调查BSI和SGS的过程中，由评鉴委员现场调查后，另外由审议委员开会讨论后才进行处分。
TAF针对验证机构的调查大致可以从三个面向着手，包括：验证流程的SOP、稽核人员的能力，以及实地看验证机构的稽核人员如何稽核客户的过程。
他指出，此次在调查BSI和SGS的过程中发现，这两家验证机构在上述的面向中，不符合TAF对于国际资安认证标准的重点要求，经审议委员开会决议后，才决定予以减列的处分，并基于ISO 17011：2017 第7.7.5节的要求，即刻发函通知两家验证公司并于网络上公开，从10月2日起，BSI及SGS在ISO 27001的证书上，都不能使用TAF认证标志。
从10月2日起，BSI和SGS核发资安证书不得挂TAF标志
由于BSI和SGS在资讯安全管理系统认证的市占率将近7～8成，有许多人从结果论来看，两家规模较大、能力较好的验证公司遭到TAF减列处分后，剩下四家规模较小的验证公司，难道可以提供比BSI以及SGS更好的稽核品质和能量吗？相关的处分是否不符合比例原则，过当处分呢？对于某一些主管机关而言，TAF的减列决议让他们没有足够的缓冲因应期，并质疑过往取得的证书效力，是否可以因为减列而溯及既往、即刻失效呢？
许景行表示，这次的调查是基于接到客户抱怨而来，针对其他四家仍在认可名单上的验证公司，目前仍有定期的评鉴做品质把关。他说，今天（10月9日）已经召集所有评鉴人员，请上次的评鉴人员分享该次针对BSI和SGS所采用的评鉴标准和注意事项，“未来，TAF也会以同样的评鉴标准，去对所有资安管理系统的验证公司进行评鉴。”他说。
而根据ISO 17011 第4.4.2条的规定：“认证机构应对其认证活动的公正性负责，且不应允许商业、财务或其他压力而影响公正性。”许景行表示，今天TAF基于公正性做出减列的处分，因为市占率大造成的商业损失或不便，甚至是，是否对主管机关造成困扰，都不在TAF的职权范围之内。
他指出，因为TAF是一个在地化的认证组织（AB），有自己对于在地化法遵的要求与重点，今天BSI和SGS受到减列的处分，只能说，这两家验证公司在此次调查结果中，针对TAF审查的重点并没有良好的表现。身为TAF首席执行官，则必须尊重审议委员会的处分决议。
TAF对BSI和SGS做出减列处分，实际的作为就是，BSI和SGS从10月2日起，所有ISO 27001的证书上面，都不可以放TAF的认证标志，因为TAF无法帮BSI和SGS背书，其资安管理系统的稽核流程是否符合TAF的要求。
但许景行也说，BSI和SGS还是其他国际认证组织ANAB以及UKAS的认可会员，显示其他认证组织，还是认可BSI和SGS具备ISO 27001的稽核能力，只是不符合TAF的重点要求而已。
不过，他也要澄清，证书有效性不在于证书挂哪一个认证机构的标志，而是看接受证书的单位，是否承认发证单位的公正性与专业性，甚至于，如果企业用户相信BSI和SGS的验证，两家公司也可以自行核发不挂任何认证单位标志的证书。他认为，以BSI和SGS两家的实力和资源，只要可以针对不符合的项目进行改善，三个月后就可以重新申请增列。
TAF身为一个认证机构，许景行说，即便SGS是TAF的董事，基于公正性，减列的处分仍然必须落实执行；此次BSI和SGS遭到减列的原因之一，也在稽核人员有能力，但没有保持验证的公正性，导致适任性遭到质疑；因为资安的重要性越来越高，国际潮流也都会开始从严审查，因此，未来TAF对于资讯安全管理系统验证单位的审查，都会根据此次的评鉴标准，作为未来所有资安管理系统验证机构一致性的评鉴指标。
资安法规定取得TAF证书，仍有三年缓冲期，减列不妨害资安课程与证书效力
因为资安法在今年1月1日正式施行，包括公务机关以及关键基础设施服务提供者，都会受到资安法的规范。而其中，根据资安法施行细则及相关子法的规定，“初次受核定或等级变更后之二年内，全部核心资通系统导入CNS 27001资讯安全管理系统国家标准、其他具有同等资讯安全管理系统之导入及或以上效果之系统或标准，或其他公务管理面通过公正第三方之验证机关自行发展并经主管机关认可之标准，于三年内完成公正第三方验证，并持续维持其验证有效性。”
行政院资安处表示，从上述的规定来看，外面传言公务机关要立即换证、转证的说法是不精确的，因为受资安法规范的单位，未来取得ISO 27001资安认证的范围，必须是全机关的核心系统外，也有三年的缓冲期，取得TAF认证的ISO 27001证书。行政院资安处也会发函给各相关单位做上述事实的澄清。
另外，资安会报也在最新的“108年第2季更新之资通安全专业证照清单”中，也清楚规定，只要是经TAF或国际认证机构认可之资安相关管理系统验证机构，所核发的ISO 27001：2013的主导稽核员（LA）的课程和证书，都是有效的。也就是说，即便目前BSI和SGS遭到TAF减列，仍不影响上述单位举办课程和核发ISO 27001主导稽核员证书的有效性。
BSI三个月后申请增列，SGS同步申诉并于三个月后申请增列
由于TAF的规定，BSI和SGS遭到减列的处分后，必须按照规定，即刻通知相关客户。台湾BSI针对客户的声明则明确指出，台湾BSI对客户核发的ISMS证书，除TAF认可外，也取得国际认可机构（ANAB）登录之合法公正第三方验证机构证书。
因为BSI的客户都同时取得两张证书，所以在TAF减列期间，由ANAB核发的ISO 27001国际证书仍为有效；对于BSI所提供资安管理课程和服务并不受影响；对于资安法适用组织的符合性时程，也没有影响。台湾BSI表示，该公司也将在减列生效日起三个月申请增列，并会随时更新相关消息。
另外一个遭到TAF减列处分的SGS，该公司协理张日圣表示，该公司也是UKAS国际认可机构的会员，客户如果同时取得UKAS和TAF的ISO 27001证书，即便TAF因为减列而失效，但UKAS核发的ISO 27001仍为有效的国际认证证书。问题比较大的是，有部分只取得TAF核发的机关单位，为了维护客户权益，SGS在取得客户同意后，会协助以转证的方式，以维护客户证书的有效性。
张日圣指出，该公司也会依照TAF规定，尽速通知客户遭到TAF减列事宜，在减列期间，也不会核发任何挂TAF标志的证书，但为了确保客户权益，SGS将会同时进行申诉，并于三个月后，申请增列。
SGS部经理何星翰则表示，SGS遭到TAF减列后，受到的冲击包括，第四季有许多专案无法验收，有一些客户的RFP有要求TAF认证的ISO 27001证书，必须回归契约要求，看是专案延期、减价、罚款等。但他也坦言，这些大范围的机关构，所需要的稽核服务能量，不见得可以透过转由另外四家规模较小的合格的验证机构提供。
行政院资安处表示，验证公司应该要对验证范围进行合理性的认定，应该要维持验证公司的独立验证性，且验证公司的案子不应该以取得证书作为验收要件。这一次两家规模较大的验证公司BSI和SGS，至少验证将近四百个公务机关构时，这次的减列或会许造成市场很大的震荡，但也不失为一次趁机调整市场乱象的机会。
