ISO 27001 管理資訊安全風險，ISO 27701 管理個資及隱私處理風險。兩者可以整合，但不是同一張證書；2025 新版 ISO 27701 已可作為獨立管理系統導入。
為什麼要分清楚？因為真實事故發生時，「系統是別人架的」和「我們有資安政策」都不足以直接回答資料從哪裡外洩、誰負責什麼、證據拿不拿得出來。
資訊安全做得好，資料利用就一定合理嗎？
品牌將會員交易資料傳給分析工具，資訊部門確認連線加密、帳號分權、下載可追蹤。
行銷卻想進一步把這些購買紀錄用於原本未規劃的新合作推銷。
這時資料不一定外洩，但新的利用目的能否成立，仍是另一個問題。
ISO 27001 偏重管理資訊安全風險；ISO 27701 進一步管理個資與隱私處理活動。 兩者可以整合導入，卻不能用「技術上安全」直接推定「每項個資使用都合法」。
此為兩種管理焦點差異的情境示意。
ISO 27001 與 ISO 27701：對照管理問題
圖解：資料加密不能直接證明新的用途合法
| 項目 | ISO/IEC 27001 | ISO/IEC 27701 |
|---|---|---|
| 管理目標 | 資訊安全管理系統（ISMS） | 隱私資訊管理系統（PIMS） |
| 關注風險 | 資產、系統、權限、可用性、完整性、機密性 | 個資處理目的、當事人權利、隱私風險及處理權責 |
| 日常管理 | 弱點、備份、存取權限、資安事故、供應商 | 個資活動、角色與契約、資料使用、保留、刪除 |
| 關鍵證據 | 風險評鑑、SoA、權限及稽核紀錄 | 資料流程、處理活動、隱私風險及委外紀錄 |
| 取證 | 第三方按驗證範圍稽核 ISMS | 新版 PIMS 可獨立採用，須確認驗證方案與認可 |
如果你是電商品牌，兩套標準的實際差異在哪？
場景一：離職員工後台帳號未撤銷。ISMS 會關心帳號存取風險、授權與停權控制；若因此能接觸或處理會員個資，PIMS 還會關注相應的個資處理活動、目的及責任。
場景二：會員資料同步到 EDM 廠商。ISMS 會關心傳輸與存取安全；PIMS 進一步要求釐清資料處理的目的、雙方角色、適用義務、保留及刪除等管理活動。
場景三：會員接到冒名詐騙。資安面要追查資料存取與系統狀況；隱私管理面要整理可能受影響的資料、處理活動、供應商及通知等義務。事故的刑民事責任仍應依事實及適用法律分析，不能由 ISO 證書推定。
27701:2025 可以單獨認證，不必先拿 27001？
ISO 官方已將 ISO/IEC 27701:2025 列為獨立管理系統標準。企業可獨立規劃 PIMS 或與 ISMS 整合；但若客戶明確要求 ISO 27001，不能拿一張 27701 直接代替。反之亦然。
採購前要確認證書版本、持有人、服務範圍、驗證機構及客戶接受的認可條件。先比對需求，再編列導入預算。
公司到底應該先辦哪張？
先看客戶或標案寫了什麼；再看管理目標是資訊安全、個資隱私，還是兩者都涵蓋。真正的選擇，不是「哪張看起來比較高級」，而是哪張證書能回答你對外必須證明的事情。
已決定要取得認證的企業，可以直接提供客戶要求、現有制度、資料處理範圍，讓我們協助確認 ISO 27001、27701 或整合導入的工作。對只有特定品牌端個資現況需要確認的公司，亦可另行討論限定範圍的診斷，不必混為完整取證服務。
與我們討論 ISO 27001／27701 認證與導入評估。