要辦資安或隱私認證時，常有人問：「我已經有 ISO 27001，還需要 27701 嗎？如果只有個資管理需求，能不能只辦 27701？」答案取決於客戶合約要求及企業要管理的資訊活動。
**ISO 27001 是資訊安全管理系統（ISMS）；ISO 27701 是隱私資訊管理系統（PIMS）。**兩者可整合，但不是同一張證書。尤其 ISO/IEC 27701:2025 已成為可獨立採用的管理系統標準，不可再用舊版「必須綁定 27001」的說法規劃新專案。
先用一張表看懂兩套標準
| 比較 | ISO/IEC 27001 | ISO/IEC 27701 |
|---|---|---|
| 核心目標 | 管理資訊安全風險 | 管理個人可識別資訊的隱私風險 |
| 管理對象 | 在驗證範圍內的資訊與相關資產 | 相關個資處理活動、權責與隱私控制 |
| 常見問題 | 系統權限、資訊洩露、備份、供應商及應變 | 個資使用目的、當事人權利、委外處理及隱私責任 |
| 主要框架 | ISMS | PIMS |
| 2025 年版本關係 | ISO/IEC 27001:2022 及 2024 修正案 | ISO/IEC 27701:2025 可獨立採用 |
| 對外認證 | 由合格第三方驗證機構依適用方案稽核 | 須確認驗證機構提供新版 27701 的認證服務及其認可範圍 |
「系統資安很強」不等於「個資利用目的、告知與當事人權利都符合適用規範」；同樣地，建立隱私管理制度也不能直接取代所有技術資訊安全管理。
企業通常在哪裡需要 ISO 27001？
如果客戶委託你的公司代管系統、開發 SaaS 服務、處理商業機密或提供 IT 維運，對方可能會在採購條款要求 ISO 27001。公司應確認：要求的證書是否涵蓋實際提供的服務，而不是只有行政辦公室。
導入工作會牽涉資產盤點、風險評鑑、存取控制、供應商管理、資訊安全事件、內稽、管理審查及改善。詳細流程可讀 ISO 27001 認證完整指南。
什麼情況會需要 ISO 27701？
例如公司提供會員服務、SaaS 資料處理、跨境個資服務或受託管理客戶資料，客戶除了要求系統安全，還可能在意：誰決定蒐集目的？資料可以用在哪裡？資料當事人的要求如何處理？供應商依什麼指示處理與刪除個資？
這些問題需要對個資處理活動及其權責做出清楚說明。PIMS 著重把上述責任轉為制度、控制措施及可查核證據。
**注意：**ISO 標準的角色分類不會自動決定台灣個資法下任何特定公司的法律責任；實際上仍須依處理活動、法規與契約判斷。
2025 新版改變了什麼？
ISO 官方列示 ISO/IEC 27701:2025 為 2025 年 10 月發布的第二版，並明確說明它是獨立管理系統標準。這代表企業可以獨立規劃 PIMS，而非一定先取得 ISO 27001 證書。
但「可以獨立導入」不等於「市場上的每間驗證機構現在都提供完全相同的獨立認證方案」。採購前仍應確認驗證機構現有服務、適用的認可範圍與客戶是否接受該證書。
若原本已採用 2019 版，需檢視新版管理系統條款、風險、角色及文件結構，不能只將封面年份改成 2025。
同時導入會不會比較省？
兩套管理系統可能共用部分工作：組織處境分析、政策管理、內部稽核、管理審查、人員訓練、持續改善等。但個資處理盤點、隱私風險與特定控制措施仍需依適用要求完成，不會因為共用文件就自動滿足另一個標準。
建議先列出所有外部驗證要求，再確認一份共同範圍與差異清單：
- 客戶實際指定的是 27001、27701，還是兩者？
- 哪些業務、系統及據點需被證書涵蓋？
- 現有文件和流程可以共用哪些？
- 個資處理者或控制者的責任在哪些活動中出現？
- 哪些部分需要新增查核證據、委外措施或技術改善？
如果只需要單一標準，就依需求規劃；如果兩種證書都要，再評估整合工作的效益。不要為了「一套更完整」而擴大不必要的驗證範圍。
如何開始規劃？
可直接找我們討論 ISO 27001、ISO 27701 的需求與導入順序，確認客戶指定證書、管理範圍和內部資源。若現階段最想掌握個資管理現況，也可以先評估 ISO 規格的個資法遵健診，並非必購。