Cloudflare 於十月二十二日經官方網誌宣布，已取得韓國資訊安全管理系統（ISMS）認證（ISMS‑P 框架）：韓國互聯網與安全局（KISA）委任核數師與團隊共同審視約八十項控制措施；證書由 Cloudflare, Inc. 持有，有效期三年並須每年覆核。官方亦說明韓國註冊流程的在地化改動——社交登入關閉、同意條款分項勾選——並強調認證範圍按「服務邊界」而非產品清單界定。來源真實性已對照 Cloudflare 原文核實。

Cloudflare／官方：取得韓國 ISMS 認證——八十項控制；三年有效須年審；韓國註冊關閉社交登入

Cloudflare 於二〇二六年十月二十二日在官方網誌《Localizing compliance at scale: achieving South Korea’s ISMS certification》公布，已取得韓國資訊安全管理系統（Information Security Management System，ISMS）認證，框架為 ISMS‑P。來源真實性已驗證。以下整理可核對的審核規模、法源與產品在地化改動，以及對香港／亞洲企業採購與合規審查的含義。

一、核心事件：全球網絡營運商通過韓國在地化合規審核

官方可核對的主張包括：

認證：Cloudflare 取得韓國 ISMS 認證（ISMS‑P 框架）；證書持有人為 Cloudflare, Inc.；
審核強度：韓國互聯網與安全局（KISA）委任核數師與 Cloudflare 共同工作約十天，審視約 八十項 控制措施；其後尚須經特別委員會覆核；
有效期：三年，並須每年覆核以維持有效；
法源：主要依據韓國《促進資訊通信網絡利用及資訊保護等法》第四十七條，以及相關施行令與科學技術資訊通信部（MSIT）就 ISMS 認證發出的告示；
定位：官方強調 ISMS 並非取代 既有的 ISO／IEC 27001、27701、27017、27018 等國際框架，而是把同類原則疊加韓國法規與監管預期的在地化審核；
公開核對：可於 KISA 公開的獲認證機構名冊查閱 Cloudflare 條目；更廣泛私隱與資料保護材料見 Cloudflare Trust Hub。

官方寫道：對韓國客戶而言，這不只是合規「剔選框」，而是證明其保安與私隱計劃不僅「有控制措施」，更已按韓國法律、韓文語境與韓國監管機構的具體期望接受檢視。

二、技術與產品細節：同意流程與「服務邊界」

1. 註冊體驗在地化

官方以帳戶註冊頁為最可見結果。多數地區註冊按鈕上方為單一同意句；來自韓國（以註冊時選擇的國家及韓國境內 IP 地理位置觸發）的體驗則把同一協議拆成四項分別標示「必填／選填」、各附全文連結，並可一次全選：

三項必填為硬門檻：未全部勾選前註冊按鈕保持停用，帳戶無法在未對每項作肯定動作的情況下建立；
一項選填僅關乎市場推廣許可；不勾選不影響開戶，只是不接收推廣通訊。

2. 關閉韓國社交登入

官方指出：全球可用 Google、Apple 或 GitHub 建立帳戶的流程會繞過自有註冊表單，因而無法在交接過程中呈現上述分項同意。團隊評估後選擇關閉韓國的社交登入路徑，使當地開戶一律經 Cloudflare 表單並強制必填同意，而非另建「認證後補同意」閘口。國家訊號來自客戶端 IP 的兩字母國家碼（與 CF-IPCountry／Workers 內 request.cf.country 相同機制）。

3. 審核證據形態

ISMS 涵蓋保安政策、存取控制、認證與權限、加密、事故應變、風險管理與災難復原等，並對照個人資料在系統中的實際流動，以及韓國《個人情報保護法》相關指引。官方稱核數師要求可閱讀的資料流圖（而非僅敘述），並細究同意收集的用語、通知結構與分項是否清楚。因準備跨越一個審核年度，團隊須為新年度重新翻譯政策、重蒐證據、更新私隱政策等。

4. 範圍：產品清單 vs 服務邊界

KISA 將認證範圍界定為服務邊界，而非列舉產品清單。提交的 Statement of Scope 以三部分描述該邊界；若客戶使用的 Cloudflare 產品經同一認證平台交付、由同一認證團隊營運、並受同一 ISMS 管治，即屬證書覆蓋。官方提醒：這與 SOC 2／ISO 27001「在報告中點名服務」的慣例不同——採購／法務／資安團隊應以「是否經認證服務路徑交付」判斷覆蓋，而非在證書上搜尋產品名稱。

四、日常應用場景

1. 在韓營運或服務韓國用戶的企業

法務、資安與採購可把 KISA 名冊條目與 Cloudflare Trust Hub 材料納入第三方風險問卷，作為「本地保證基準」，與 ISO／SOC 等一般態勢文件並列。重點是讀懂邊界式覆蓋，並在合約／問卷中寫明所用產品是否經該認證路徑交付。

2. 跨區平台與 SaaS 供應商

若產品同時服務多司法管轄區，Cloudflare 案例示範：在地化合規可能要求產品行為改變（同意 UX、關閉某區社交登入），而非只更新政策 PDF。香港團隊為亞太客戶建登入／同意流程時，宜預留按司法管轄區分支的同意與身分提供者策略。

3. 香港企業的雲端與邊緣採購

本地銀行、電商、政府相關系統若使用或評估 CDN／WAF／Zero Trust 類服務，可把「目標市場是否要求在地認證（如韓國 ISMS）」寫進供應商盡職審查。ISMS 不取代 SOC 2／ISO，但在韓國相關交易中可能成為審查卡點。

4. 香港與亞洲市場視角

韓國是亞洲重要數碼市場；香港機構若有對韓業務、供應鏈或用戶，這次認證提供可獨立核對的本地基準。同時須注意：認證有效三年、須年審；範圍按服務邊界；社交登入在韓關閉屬產品決策，不代表其他地區行為相同。若貴機構需要在港規劃雲端遷移、邊緣防護或跨區合規落地的工程與顧問支援，可對接專業能力。

五、專業評價與潛在考量

優勢

官方網誌提供可核對細節（約八十項控制、十天審核、三年有效、年審、第四十七條法源、ISMS‑P、KISA 名冊）。
坦白說明與 ISO／SOC 的差異（在地化疊加，而非取代）及「邊界式覆蓋」對採購實務的影響。
同意 UX 與關閉社交登入屬可觀察的產品變更，便於獨立抽查。
對跨區營運者具方法論參考：合規可驅動產品路徑取捨。

需要留意的地方

文章為供應商自述認證成果；獨立核對應以 KISA 名冊及自身律師／合規意見為準。
證書不列產品名；「某產品是否在範圍」須按交付路徑判斷，爭議空間仍在。
社交登入關閉僅述韓國路徑；其他市場不受本文自動推論。
ISMS 不消除營運或供應鏈風險；亦非對任何客戶系統的安全保證。
本文不構成法律、合規或採購意見。

結語

Cloudflare 公布取得韓國 ISMS（ISMS‑P）認證：KISA 委任審核約八十項控制，證書有效三年並須年審，並以註冊同意分項化與關閉韓國社交登入等產品改動回應在地監管預期。對香港與亞洲企業而言，價值在於把「國際框架＋本地認證＋可核對名冊」寫進第三方風險流程，同時讀懂服務邊界式覆蓋與產品路徑取捨。若貴機構需要在香港強化雲端遷移與網絡安全、邊緣防護或跨區合規工程落地，可參考 YSK Limited 的雲端遷移與網絡安全服務：https://ysk.hk/services/cloud-security

參考來源

Cloudflare 官方網誌：Localizing compliance at scale: achieving South Korea’s ISMS certification（2026-10-22）— https://blog.cloudflare.com/k-isms/