SOC 2與ISO 27001及新加坡Cyber Essentials證明甚麼

一句話結論： SOC 2 與 ISO 27001 的區別不是兩枚徽章的較量。ISO/IEC 27001 認證既定範圍內的管理體系；SOC 2 報告是審計師的鑑證意見，買方必須自行閱讀；NIST CSF 是框架，不是證書。請索取範圍、期間，以及來自您自己租戶的證據。

「貴公司有認證嗎？」如今已是與 IT 服務商洽談時最先被問到的問題之一。這個問題合情合理，得到的卻往往只是一個字的回答。這個回答掩蓋了買方真正需要了解的大部分資訊：是哪一種認證、由誰頒發、覆蓋業務的哪一部分、有效期多長、測試的又是甚麼。SOC 2 與 ISO 27001 的區別正是這種混亂通常開始的地方，所以本報告也從這裡開始。

本報告依據定義各類方案的已發佈文件和網頁，說明主要方案究竟是甚麼。內容涵蓋 ISO/IEC 27001、SOC 2、新加坡的 Cyber Essentials 與 Cyber Trust 標誌，以及兩個常被誤認為證書的美國框架：NIST 網絡安全框架和 CMMC。隨後，報告結合方法學上的注意事項解讀已發佈的證書數量，並直言香港沒有與新加坡國家級標誌對應的制度。下文的每一項外部事實，都在 2026 年 10 月 30 日對照一個我們能夠打開的來源重新核對過；凡是無法打開來源的地方，我們都明說，並且不作任何斷言。

披露說明。Brocent 是一家經常被客戶索要這些證書的 IT 服務商，因此我們在這個問題上處於供應方的位置。Brocent 的「關於我們」頁面寫明公司「ISO/IEC 27001 certified」並且「SOC 2 Type II compliant」；我們按原文引用該頁面，本報告並未對這些說法進行審計，下文內容也不依賴這些說法。這裡描述的檢驗方法，買方對我們的適用程度與對其他任何服務商並無二致。

核心發現

三種不同的東西使用同一個詞。ISO/IEC 27001 是依據標準進行的認證，SOC 2 是註冊會計師事務所出具的鑑證報告，而 NIST 網絡安全框架 2.0 用 NIST 自己的話說，是「並不規定應如何實現成果」的指引。框架無法被「持有」，報告也不等於及格線。
證書證明的是管理體系，而不是某一項控制措施對您而言的強度。ISO 自己的「Certification」頁面說明，ISO 本身並不實施認證；認證由獨立的認證機構實施，ISO 的建議是核查該機構是否獲得認可。認證機構審核的，是組織的資訊保安管理體系是否滿足標準要求，而且只限於組織自己界定的範圍之內。
範圍決定一切。ISO/IEC 27001:2022 要求組織自行確定管理體系的範圍（第 4.3 條），並把選用了哪些控制措施及其理由記錄在適用性聲明中（第 6.1.3 條 d 項）。範圍狹窄的證書是真實的，卻可能與您購買的服務毫無關係，所以範圍聲明和適用性聲明是最應索取的兩份文件。
新加坡有分級的國家級方案，香港則沒有。新加坡網絡安全局（CSA）營運 Cyber Essentials 和 Cyber Trust，由 CSA 委任的認證機構評估，其中 Cyber Trust 以新加坡標準 SS 712:2025 發佈。在我們的檢索中，沒有發現香港有組織層面的對應制度，只有一個於 2025 年 10 月啓動的經審核服務商名錄。
已發佈的數量顯示出大幅上升，但不能解讀為清晰的趨勢。ISO Survey 2024 資訊圖報告 2024 年有效的 ISO/IEC 27001 證書為 96,709 張，2023 年為 47,291 張；ISO 自己的調查頁面說明，自 2025 年起該調查直接從 IAF CertSearch 彙編。數據收集方式變了，所以這一跳升並非純粹的自然增長。
美國的框架並不是通用型證書。NIST CSF 2.0 是自願性指引，而 CMMC 是美國國防部針對處理聯邦合約資訊或受控非密資訊的企業所設的合約制度，其第三方評估階段已於 2026 年 7 月暫停。
買方的任務是索取三樣東西。索取證書、針對您自己租戶的證據以及合約承諾，並把它們視為三項相互獨立的保證。

SOC 2 與 ISO 27001 的區別：三種不同的東西，為何共用同一個詞

混亂始於用詞。人們說「通過 ISO 認證」「符合 SOC 2」和「對標 NIST」，彷彿它們是同一類聲明。其實不是。

認證由獨立機構依據某項標準頒發。 ISO/IEC 27001 就是一例。ISO 的「Certification」頁面明確寫道，ISO 本身不為組織提供認證：認證由外部認證機構實施，ISO 給買方的建議是通過本國認可機構或國際認可論壇（IAF）的 IAF CertSearch 數據庫，核查該機構是否獲得認可。
鑑證是一份報告。 SOC 2 審驗由註冊會計師事務所依據美國註冊會計師協會（AICPA）的鑑證準則實施。事務所對照 AICPA 信任服務標準（Trust Services Criteria），審驗管理層對某個系統及其控制措施的描述，產出是一份載有審計師意見的報告。買方應當閱讀這份報告。
框架是指引。 NIST 網絡安全框架 2.0 於 2024 年 2 月 26 日以 NIST CSWP 29 的編號發佈，為任何規模、行業或成熟度的組織描述網絡安全成果。它「並不規定應如何實現成果」，文件本身也沒有建立任何認證機制。

實際的後果是，「我們遵循 NIST」和「我們通過了 ISO 認證」回答的是不同的問題。前者說明一家組織如何梳理自己的思路，後者說明第三方已依據公佈的標準對其管理體系作過審核。兩者都不等於您的數據是安全的。

ISO/IEC 27001 測試甚麼，範圍聲明又悄悄排除了甚麼

ISO/IEC 27001 規定了資訊保安管理體系（ISMS）的要求。組織界定 ISMS 的範圍，評估其資訊保安風險，決定採用哪些控制措施，把這一決定記錄在適用性聲明中，並運作該體系，然後由認證機構對其進行審核。從標準本身的結構和管理認證活動的機構出發，可以直接得出四點，沒有一點需要藉助具名評論者。

獲得認證的是管理體系。 這是一項管理體系標準：認證機構審核的是組織的 ISMS 是否滿足標準要求，也就是風險評估、風險處置與評審的紀律。它不是對您租戶的技術測試，標準也沒有要求認證機構進行這樣的測試。獲得認證的公司擁有一套運轉中的風險流程，但未必已把風險降到您可以接受的水平。

範圍由組織自己選擇。 ISO/IEC 27001:2022 第 4.3 條「確定資訊保安管理體系的範圍」，要求組織自行劃定 ISMS 的邊界。範圍聲明可以涵蓋整家公司、一個數據中心、一條產品線或一間辦公室。證書上會寫明這個範圍，請先讀它。

適用性聲明說明哪些控制措施在發揮作用。 第 6.1.3 條 d 項要求組織編制適用性聲明，列出其認定必要的控制措施，並說明納入與排除的理由。這份文件告訴您，您關心的那項控制措施是否根本就在獲認證的體系之內。請連同證書一起索取；沒有適用性聲明的範圍聲明只是半幅圖景。

證書不是法律合規聲明。 ISO/IEC 27001 是國際標準，不可能包含任何一國的法律要求。它有助於組織履行數據保護或行業規則下的義務，但不會自動使組織符合這些規則。

有兩個基本事實有助於買方解讀證書。其一，從 ISO/IEC 27001:2013 向 2022 版的過渡由 IAF 的強制性文件 IAF MD 26 規定，已於 2025 年 10 月 31 日結束；多家認證機構說明，2013 版證書已在該日期撤銷或失效。仍然引用 2013 版的證書已經過期。其二，經認可的證書可以核查。IAF CertSearch 是 IAF 的全球經認可管理體系認證數據庫，由 IAF 多邊互認協議下獲認可的認證機構上傳數據，其存在的目的正是讓買方確認證書真實且有效。

SOC 2 報告是甚麼

SOC 2 是供應商市場推廣中最常被錯誤描述的一項，因此有必要準確說明我們能夠確認甚麼、不能確認甚麼。2026 年 10 月 30 日，我們無法從本環境打開 AICPA 自己的 SOC 2 頁面，所以下文的說明來自註冊會計師事務所和審計機構對 AICPA 材料的轉述，請把它當作實用說明，而不是引文。

SOC 2 審驗涵蓋與五個信任服務類別中一個或多個相關的控制措施：安全性、可用性、處理完整性、保密性和隱私。安全性是每份 SOC 2 報告都包含的類別，其餘四項按服務的性質選取。基準是 AICPA 2017 年的信任服務標準，其關注要點於 2022 年修訂。報告由管理層認定、系統描述和服務審計師的報告三部分構成。Type 1 報告說明控制措施在某一時點的設計是否恰當；Type 2 報告則增加了對控制措施在一段期間內是否有效運作的測試，期間長短不一。

從這一結構可以得出對買方的四點影響。

系統範圍由管理層界定。 報告描述的是服務商自己選擇納入範圍的系統，因此首要問題是：您所購買的服務是否就是那個系統。
只涵蓋範圍內的類別。 報告會說明涉及五個類別中的哪幾個，因此請核對您關心的那個類別（例如保密性）是否在其中。
報告載有審計師的意見，並可能註明例外事項。 例外事項不等於報告不合格。它們往往正是買方最需要閱讀的內容。
它不是徽章。 印有「SOC 2」的標識只是指向一份文件。真正的保證在文件之中，必須結合您自己的風險來閱讀。

新加坡的分級國家方案：Cyber Essentials 與 Cyber Trust

先作一點澄清。「Cyber Essentials」也是英國國家網絡安全中心（NCSC）一項計劃的名稱，那是另一個計劃，控制措施不同，認證途徑也不同。本節只討論新加坡的標誌。關於英國計劃在 Microsoft 365 租戶中的落地，請參閱我們的逐項設定指南：Microsoft 365 中的 Cyber Essentials 控制措施。

在這三個市場中，新加坡是唯一設有國家級、分級的組織層面方案的市場，由新加坡網絡安全局（CSA）發佈。我們於 2026 年 10 月 30 日重新閱讀了 CSA 的認證網頁和現行的 Cyber Essentials 標誌文件。

CSA 的 Cyber Trust 認證網頁說明，該標誌在新加坡標準化計劃下以新加坡標準 SS 712 發佈，現行版本為 SS 712:2025。Cyber Essentials 有其自己的 CSA 文件，即 2025 年版的「Cyber Essentials mark」；CSA 於 2025 年 4 月 15 日宣佈推出該版本，同時把兩個標誌擴展至雲端保安、人工智能和營運技術。對於這兩個標誌，認證均由 CSA 委任的認證機構實施；CSA 的網頁說明不允許自我認證，組織可以聯絡任何一家獲委任的機構。

用 CSA 的話說，Cyber Essentials 面向「剛踏上網絡保安之路」的組織，包括中小企業；標誌文件說明，它是為 IT 和網絡保安專業知識與資源有限的組織設計的，運用 80/20 法則（帕累托原則），針對常見攻擊優先落實基本措施。組織先完成自我評估，再由獲委任認證機構的獨立評估員進行審閱與核實；CSA 的網頁寫明認證有效期為兩年。

Cyber Trust 的層級更高。CSA 的網頁把它描述為有效期三年、每年審核一次的認證，面向已經落實良好網絡衛生措施的組織。CSA 一份關於提高關鍵資訊基礎設施標準的新聞稿還說明，持牌網絡保安服務提供者須在 2026 年底前取得 Cyber Trust（Level 3），這使該標誌成為可以直接向新加坡保安服務商提出的問題。

CSA 委任的認證機構在其材料中提到，獲認證的組織會被列入 CSA 的已認證組織名錄（Directory of Certified Organisations）。我們於 2026 年 10 月 30 日無法打開該名錄本身，因此本報告不提供任何數量，也不推算採用率；請向服務商索取證書，並向頒發機構或 CSA 核實。

關於這對新加坡的買方意味著甚麼，需要說明一點。這兩個標誌都是依據已公佈標準的組織層面保證，背後有獨立評估和獲委任的認證機構。這使它們可以被核查，而單純的口頭聲明則無從核查。但這並不使它們等同於 ISO/IEC 27001 或 SOC 2 報告。它們測試的是另一套刻意保持適度的控制措施，針對的是規模較小的組織。

就同一市場的監管一面而言，我們關於外判 IT 的 MAS 技術風險管理要求的清單，是為另一種目的而設的另一種工具。認證並不等於監管合規。

美國：框架、合約制度，以及 CMMC 涵蓋與不涵蓋的範圍

美國沒有單一的國家級組織層面認證標誌。它擁有的是框架、行業制度和由合約驅動的要求，其中有兩項經常被誤認為證書。

NIST 網絡安全框架 2.0 是一個框架。它的六項職能為治理、識別、保護、檢測、響應和恢復，在最高層面上組織各項成果。NIST 面向任何規模、行業或成熟度的組織發佈該框架，並說明它「並不規定應如何實現成果」。一家服務商如果說自己「對標 NIST CSF」，那是在告訴您它如何搭建自己的計劃。沒有任何機構為這種對標出具認證。

CMMC（網絡安全成熟度模型認證）是一個真正的認證制度，但適用範圍狹窄。美國國防部設立該計劃的最終規則載於《美國聯邦法規》第 32 編第 170 部分，於 2024 年 10 月 15 日在《聯邦公報》上公佈，2024 年 12 月 16 日生效。它的目的是核實國防承包商已落實保護聯邦合約資訊和受控非密資訊的安全要求。Level 1 和 Level 2 可以是自我評估；Level 2 也可以改由獲認證的第三方評估機構（C3PAO）評估；Level 3 由政府評估。Level 2 建立在 NIST SP 800-171 的 110 項安全要求之上。

對國防承包領域之外的讀者而言，有兩點限制值得注意。CMMC 只會通過 IT 服務商所服務的國防承包商的合約、以及它為這些承包商處理的資訊，才延伸到該服務商身上，所以您是否在範圍之內，是一個關於合約條款的問題，而不是關於證書的問題。而且其狀態仍在變動：國防部於 2026 年 7 月 13 日宣佈暫停第 2 階段（該階段原本將從 2026 年 11 月 10 日起要求大多數 Level 2 承包商接受第三方評估），而自我評估要求以及 NIST SP 800-171 的基本義務仍然有效。關於這一狀態，我們依據的是律師事務所 Davis Wright Tremaine 2026 年 7 月的摘要「Department of Defense Suspends CMMC Phase II」；我們無法打開國防部自己的公告，因此在依賴這一狀態之前，請先查閱美國國防部當前的公告。

香港的空白：沒有國家級標誌時，買方依靠甚麼

香港是我們大部分讀者關注的重點市場，因此我們直言不諱。在我們的檢索中，沒有發現香港有可與新加坡 Cyber Essentials 或 Cyber Trust 相比的組織層面網絡保安認證標誌。這只是對我們所見情況的陳述，並不證明香港沒有，買方應當向相關主管機構核實。

我們找到的是一項服務商審核計劃，而不是組織可以通過努力取得的證書。數字政策辦公室與 HKCERT 於 2025 年 10 月 23 日啓動了 Cybersecurity Service Providers Connect Programme（網絡保安服務供應商對接計劃），主要面向本地中小企業。HKCERT 當日的新聞稿說明，服務商接受專業資格、行業經驗、服務範圍和過往表現方面的審核，並列出四個服務類別：互聯網安全方案、網絡保安評估服務、管理型保安及事故應變服務，以及網絡保安培訓。HKCERT 的 2025 年年報稱，截至撰寫時已有二十多家服務商加入。它是一份服務商審核名單，而不是組織可據以獲得認證的標準。

因此，在實踐中，香港的買方會轉而依靠上文所述的國際工具（ISO/IEC 27001 和 SOC 2），以及其所在行業監管機構的期望。就金融業而言，最後這一點正是我們那份關於香港企業為何把 MSP、MSSP 和 HKMA C-RAF 支援打包進同一份合約的報告所討論的主題，我們在此不再重複。本節中的任何內容，都不是關於任何香港監管機構有何要求的說法。

鑑證門檻究竟提高了多少

證書數量是衡量鑑證門檻的唯一既已公佈、又可計數的量化指標，需要謹慎對待。

ISO Survey 是 ISO 對管理體系認證的年度統計。註明數據來源為 IAF CertSearch 的 ISO Survey 2024 資訊圖報告，2024 年有效的 ISO/IEC 27001 證書為 96,709 張，覆蓋 179,877 個場所，2023 年為 47,291 張。ISO 自己的調查頁面說明，自 2025 年起，該調查直接從 IAF CertSearch 中匿名化、彙總後的數據彙編，各國層面的數字只能在該數據庫內查閱。我們無法獲取香港、新加坡或任何其他國家和地區的 ISO/IEC 27001 數量，因此不提供數字。

從 47,291 張升至 96,709 張，在已發佈的數據中是真實存在的，但不應被表述為一個清晰的趨勢。數據來源變了：該調查轉到了 IAF CertSearch 這個由認證機構上傳數據的數據庫上，ISO 自己也指出，2024 年之前認證機構是自願提交調查數據的。統計證書方式的改變，會在數據序列中造成一個看起來像增長的台階。斷點的另一個跡象是：一家認證機構對 2025 年版數據表的西班牙語轉載顯示，截至 2025 年 12 月 31 日有效的 ISO/IEC 27001 證書為 125,622 張，同時把 2023 年的數字改寫為 48,671 張而非 47,291 張。這屬於二手來源，我們引用它只是為了說明早年的數字正在被修訂，而不是為了增加一個 2025 年的增長率。

所以，誠實的概括範圍是狹窄的。已發佈的數量表明，ISO/IEC 27001 如今已十分普遍，2024 年版顯示全球有 96,709 張有效證書。這些數據並不支援諸如「採用量一年翻了一番」之類的說法，也不支援任何針對特定市場的增長率。

證書、證據與合約是三種不同的保證

證書回答一個問題：某個獨立方是否認定，在既定範圍內，某個管理體系在某一時點符合一項標準？此外還剩兩個問題，買方需要三個問題都得到解答。

證書： 是哪一種方案、甚麼範圍、哪個版本、哪家頒發機構、有效期到何時？對於 ISO/IEC 27001，請索取範圍聲明和適用性聲明，並在 IAF CertSearch 中核查證書。對於 SOC 2，請索取完整報告而不是摘要，並留意其涵蓋的期間和所測試的類別。
證據： 您所關心的那項控制措施，是否真正在針對您的租戶、您的數據和您的用戶運行？這是證書與買方自身風險交匯之處，也是常見的缺口。服務商可能持有一張有效的證書，但其範圍不包括為您提供服務的平台，或者其被抽樣的控制措施不包括您關心的那些。針對您自身環境的證據，來自報告、日誌、測試結果和您自己的審查。對於 Microsoft 365 租戶，一次固定價格的 Microsoft 365 保安審計（按人數計價，分為 US$450、US$990、US$1,800 和 US$2,900 四檔，5–7 個工作日內出具報告）是取得這類證據的一種方式，其報告按「可用作證據」的形式設計；它本身不認證任何東西，保險公司或認證機構仍會自行作出決定。
合約： 服務商承諾做甚麼，如果沒有做到會怎樣？通知時限、審計權利，以及每年查看報告的權利，都應寫入協議。證書並不是對您的承諾。

根據我們自己的經驗（這是定性的，不是抽樣結果）：在香港和新加坡為客戶接入（onboarding）而被要求提供保證時，反覆出現的缺口在於，所出示的證書與針對買方自身租戶所舉證的控制措施之間存在落差。證書通常是真實的，常常缺失的是其範圍與所購買的具體服務之間的聯絡。這只是一項觀察，不是統計數據，我們也不對其發生的頻率作任何斷言。

本報告探討的是分類和數量，並有意不涉及「為何服務商本身就是進入買方環境的一條途徑」這一問題。關於這一論點，以及應當在合約中寫入甚麼，請參閱我們關於IT 服務商合約雙方的第三方網絡風險的報告。

按市場和買方規模，應當索取甚麼

以下是我們基於上述文件提出的建議，並非任何市場的監管要求。

新加坡的中小型買方。 詢問服務商是否持有 Cyber Essentials 或 Cyber Trust，要求查看證書及其到期日，並向頒發機構或 CSA 核實。如果服務商持有 ISO/IEC 27001 或 SOC 2 報告，還應一併索取範圍和報告。我們關於在新加坡選擇網絡保安服務商的指南涵蓋了與此相關的遴選問題。
香港的中小型買方。 沒有國家級標誌可供查詢，因此請索取附有範圍聲明和適用性聲明的 ISO/IEC 27001，或註明期間的 SOC 2 Type 2 報告，並索取證明該範圍涵蓋您所購買服務的證據。如果您正在選擇保安服務商，也可以參考 DPO 與 HKCERT 的服務商名錄，但請記住，它是一份審核名單，不是認證。
美國的買方。 不要把「對標 NIST」當作對認證問題的回答。請索取 SOC 2 Type 2 報告，或附有範圍的 ISO/IEC 27001 證書，並詢問服務商自身的計劃對應哪個框架。如果工作涉及國防合約，請具體詢問合約要求的 CMMC 級別以及當前的評估狀態。
任何市場中規模較大或受監管的買方。 把認證當作篩選條件，而不是答案。請索取報告或適用性聲明、與您自身要求逐項對應的控制措施映射，以及上文所述的合約權利。我們的網絡保安服務概覽和管理型 IT 保安服務介紹了服務商的安全範圍可以是甚麼樣子；我們的 IT 評估與審計服務專為對照買方自身要求來檢驗某個範圍而設，而固定價格的 Microsoft 365 保安審計則針對單個租戶做同樣的事。

對於服務商一側的同一項工作，原則是對稱的。了解自己的範圍聲明，使證書、報告和證據保持同步，並隨時準備向買方說明該範圍如何對應其所購買的服務。

本報告不作的斷言

研究報告的價值取決於其局限是否清楚。以下是我們的局限。

它沒有提供香港、新加坡或任何國家和地區的 ISO/IEC 27001 數量。各國數據位於我們無法打開的 IAF CertSearch 之內，因此只報告全球總數。
它沒有把證書增長呈現為一個趨勢。該調查的數據收集方式發生了變化，而 2025 年的數字來自一家認證機構對數據表的轉載，並非 ISO 的頁面。
SOC 2 的說明並非 AICPA 原文的引述。我們無法打開 AICPA 的頁面，因此類別、標準和報告結構均按審計機構的描述轉述。
它沒有引用任何關於 ISO/IEC 27001 的具名評論者。關於該標準的每一點，都建立在標準自身的條款結構、ISO 的 Certification 頁面、IAF MD 26 和 IAF CertSearch 之上。
新加坡部分不提供名錄數量。我們於 2026 年 10 月 30 日無法打開 CSA 的已認證組織名錄。
關於香港的說法是檢索結果，不是不存在的證明，也不對監管機構作任何斷言，我們並未閱讀監管機構的網頁。
CMMC 的狀態依據的是一份具名的律師事務所摘要，應當查核原始通知。
Brocent 自身的認證按其「關於我們」頁面原文引用，在此未經審計。關於買方行為的觀察是定性的，不是抽樣結果。

常見問題

SOC 2 和 ISO 27001 有甚麼區別？

ISO/IEC 27001 是認證：獨立的獲認可機構依據已公佈的標準，在既定範圍內審核組織的資訊保安管理體系。SOC 2 報告是鑑證：註冊會計師事務所依據 AICPA 信任服務標準審驗系統描述及其控制措施，並出具其意見。買方從前者得到證書和範圍聲明，從後者得到一份需要閱讀的報告。

ISO 27001 認證究竟證明了甚麼？

它表明，獲認可的認證機構認定該組織的管理體系在其依據第 4.3 條自行界定的範圍內滿足了標準的要求，所選用的控制措施則依據第 6.1.3 條 d 項記錄在適用性聲明中。這是對管理體系的審核，不是對您租戶的技術測試；證書也不是由 ISO 頒發的，而是由認證機構頒發。

SOC 2 報告是通過或不通過的結果嗎？

不是。它是一份報告，包含管理層認定、系統描述以及服務審計師的意見，其中包括發現的任何例外事項。買方需要閱讀其範圍、涵蓋的類別和測試的期間，然後判斷它是否涵蓋自己所購買的服務。

NIST CSF 是一種認證嗎？

不是。NIST 把 CSF 2.0 描述為「並不規定應如何實現成果」的指引，文件中也不含任何認證方案。服務商可以說自己的計劃與該框架對標，但沒有任何機構為這種對標出具認證。

新加坡的 Cyber Essentials 和 Cyber Trust 是甚麼？

它們是新加坡網絡安全局的分級、組織層面的標誌，在由 CSA 委任的認證機構完成評估後授予。Cyber Essentials 面向剛踏上網絡保安之路的組織，有效期為兩年。Cyber Trust 以新加坡標準 SS 712:2025 發佈，有效期三年，每年審核一次。

新加坡的 Cyber Essentials 與英國的 Cyber Essentials 是一回事嗎？

不是。它們只是同名，其他全然不同。新加坡的標誌由 CSA 營運，由 CSA 委任的認證機構評估，有效期兩年。英國的計劃由國家網絡安全中心營運，有自己的控制措施集和認證途徑。如果服務商說自己「持有 Cyber Essentials」，應當追問是哪一個；英國計劃的證書不能說明新加坡的要求，反之亦然。我們關於英國計劃的 Microsoft 365 指南已在上文連結。

香港有國家級的網絡保安認證標誌嗎？

我們沒有找到可與新加坡標誌相比的制度。數字政策辦公室與 HKCERT 於 2025 年 10 月 23 日啓動了經審核的服務商名錄，但它審核的是服務商，並非組織可以通過努力取得的證書。香港的買方通常依靠 ISO/IEC 27001、SOC 2 以及行業監管機構的期望。這是檢索結果，不是不存在的證明。

如何核實認證是否真實且相關？

對於 ISO/IEC 27001，請索取證書、範圍聲明和適用性聲明，確認版本為 2022 版，並在 IAF CertSearch 中核查狀態。對於 SOC 2，請索取完整報告，閱讀其中的系統描述、類別和期間。對於新加坡的標誌，請索取證書並向頒發機構或 CSA 核實。無論哪種情況，都要核對其範圍是否涵蓋您所購買的服務；凡是證書範圍覆蓋不到您自己租戶的地方，就索取來自您自己租戶的證據。

下一步

如果您正在被索要保證，或正在索要保證，請從上文的三個問題開始：範圍、期間、證據。如果您發現的缺口是 Microsoft 365 的租戶層面證據，固定價格的 Microsoft 365 保安審計會出具一份按可用作證據的形式設計的報告和工作簿，按人數分為 US$450、US$990、US$1,800 和 US$2,900 四檔，5–7 個工作日內交付。若涉及更廣的事項，從對照您自身要求閱讀服務商的適用性聲明，到落實本文所述的合約權利，歡迎與 Brocent 顧問聯絡。