「我們有在管理」和「我們拿得出執行紀錄」是兩回事。對使用第三方購物車的品牌來說，第一步不一定是買資安設備，而是把哪些資料、誰能存取、誰負責留下證據整理清楚。
八個可以先開始整理的項目
- 員工後台帳號清冊
- 角色與權限設定紀錄
- 離職人員停權作業
- 會員資料匯出權限
- 委外服務與存取範圍
- 資料交付或共用紀錄
- 個資安全事件處理流程
- 教育訓練與內部查核紀錄
最重要的是把證據狀態分開
| 狀態 | 應如何理解 |
|---|---|
| 已驗證通過 | 在已約定的查核樣本與條件內有足夠支持資料 |
| 已確認缺口 | 具體措施或控制項不符合查核要求 |
| 證據不足 | 客戶尚未提供足以判斷的支持資料 |
| 查核受限 | 平台功能、資料權限或其他因素阻礙驗證 |
尤其注意：拿不出紀錄，不等於證明沒有執行。 也不能為了讓報告好看，臨時補造過去不存在的歷史紀錄。
平台系統可能沒有完整操作日誌，怎麼辦？
先確認平台究竟能提供哪些紀錄、能保存多久，以及品牌有哪些其他佐證來源。無法驗證的部分在報告中寫清楚，之後要不要補強資料流程，由品牌決定。
有了第一份完整清冊，第二年的複查就可以拿新增帳號、委外異動、資料流更換和改善紀錄來比對。
閱讀提醒：本文為一般管理資訊，非特定案件法律意見。實際義務取決於經營型態、資料處理情形及適用規範；有事故通報、限期改善或行政救濟需求時，應儘速諮詢相應專業人士。