電商品牌收到採購條件：「請提供涵蓋會員資料處理的 ISO 認證。」
品牌回信：「我們用的購物車平台有 ISO 27001。」
客戶卻問：「那你們的 CRM、客服系統、行銷名單和員工權限，也在那張證書的驗證範圍裡嗎？」
平台有認證，證明的是平台在該證書所列範圍內接受驗證；不代表品牌每一次資料處理都被查過。
這也不是說品牌一定得同時申請 ISO 27001 和 ISO 27701。先確認客戶要求的標準、法人、服務與時限，再決定認證範圍以及品牌端應自行管理哪些環節。
此為企業採購情境示意，並非指涉具名平台已有違規事實。
平台有 ISO 證書，品牌為什麼還可能需要自己的管理證據？
品牌從購物車匯出會員名單，再匯進外部 CRM 做分群，最後由行銷工具傳送活動通知。
購物車平台可能負責主機、資料庫及部分日誌；品牌自行決定的資料目的、內部帳號、批次匯出、外部合作與刪除規則，未必涵蓋在平台證書範圍內。
這也不代表所有品牌一定要自己申請兩張證書。先拿出客戶條款，核對指定驗證主體和服務範圍，再確認品牌端有哪些流程要納入資訊安全管理（ISO 27001）或隱私資訊管理（ISO 27701）。
| 要確認的事 | 平台可能提供的資料 | 品牌仍要自行說清楚的事 |
|---|---|---|
| 系統與存取 | 服務範圍、認證資料、日誌提供方式 | 哪些員工有權限、誰核准與複查 |
| 會員資料使用 | API、匯出及傳輸功能 | 什麼目的、交給誰、保存多久 |
| 事故與服務終止 | 事故通知、資料返還及刪除機制 | 如何啟動內部處置、協調廠商並保留證據 |
電商品牌需要管哪些資料流向？
| 資料流 | 品牌值得先問的事 | 能提出哪些證據 |
|---|---|---|
| 購物車與訂單 | 管理員有哪些權限？誰能匯出會員？ | 後台角色清單、權限調整紀錄 |
| CRM／會員分群 | 資料是否自動同步？是否含不必要欄位？ | 同步設定、欄位對照、存取紀錄 |
| 金流、物流、電子發票 | 每個供應商實際收哪些欄位？ | 契約、資料傳輸規格、處理範圍 |
| EDM／簡訊／客服 | 名單怎麼匯出、多久保留？ | 核准程序、委外管理、刪除或停止使用紀錄 |
| GA4／GTM 等追蹤 | 事件參數是否不當包含個資？ | 事件規格、容器變更紀錄、設定抽查 |
| 離職與外包權限 | 資料副本及 API Key 還在誰手上？ | 撤權紀錄、憑證管理、外包終止清單 |
這不是說每一項都必須放進證書範圍，而是確認它們是否影響驗證服務與個資處理活動。
圖解：平台證書不替代品牌自身權限與利用目的管理
ISO 27001 和 ISO 27701 在電商到底各管什麼？
ISO 27001（ISMS）重點是資訊安全風險管理，例如權限、弱點、備份、委外安全、事故通報與持續改善。
ISO 27701（PIMS）則進一步聚焦個資處理目的、隱私風險、控制者與處理者的責任、資料主體權利、委外個資使用與刪除等問題。2025 年新版可獨立導入，也能與 ISO 27001 整合。
例如客服可以合法查訂單，不代表他需要不受限制地下載全部會員名單；平台替你處理訂單，也不代表所有 CRM、廣告及客服資料副本都由平台管理。
延伸閱讀：ISO 27001 和 ISO 27701 差異。
電商品牌要先查哪些流程，才能知道認證範圍？
- 會員資料來源： 誰透過網站、門市、客服蒐集資料？目前有哪些處理目的？
- 品牌端權限： 哪些帳號可匯出會員或修改訂單？是否有停權與覆核證據？
- 外部串接： CRM、物流、行銷、客服工具各接收哪些欄位？誰做委外監督？
- 管理制度： 已有的資安／隱私政策是否有人執行？有沒有風險評鑑與實際紀錄？
- 第三方驗證： 客戶究竟要哪一家公司、哪個服務、哪個版本的認證？
如果眼前已發生疑似外洩或冒名詐騙，處理順序與取證專案不同，應優先參考電商個資外洩應變流程並依個案處理；不能拿認證準備取代事故調查。
如果電商公司是為了正式取證，先做哪一步？
先拿客戶要求的證書標準、預定驗證範圍、平台與供應商清單、會員資料流向和現有制度來評估。若範圍不清，正式報價、驗證時程及實際工作量都很難準確。
我們可協助直接規劃 ISO 27001／27701 導入及驗證，或針對電商品牌端個資管理討論有明確交付範圍的獨立健診。後者不能代替全企業的 ISO 認證或事故鑑識。