ISO 27001 管理資訊安全風險，ISO 27701 管理個資及隱私處理風險。兩者可以整合，但不是同一張證書；2025 新版 ISO 27701 已可作為獨立管理系統導入。
為什麼要分清楚？因為真實事故發生時，「系統是別人架的」和「我們有資安政策」都不足以直接回答資料從哪裡外洩、誰負責什麼、證據拿不拿得出來。
真實判決：客人被騙 28 萬，法院判業者賠 8 萬多
臺灣新竹地方法院 112 年度簡上字第 143 號民事判決（2024/6/26），涉及一名消費者透過訂房網站提供個資後，接到假冒店家及銀行人員的詐騙電話，共損失 283,115 元。
本案法院認定，業者未盡適當的個資安全維護措施，訂房資料外洩並遭詐騙集團利用，與損害具相當因果關係；同時認為消費者未查證也有過失，最後判業者負擔三成、賠償 84,935 元。案件中網站有委託其他公司架設或提供虛擬空間，不代表業者可以只以「資料放在外部」便完全排除管理責任。
閱讀臺灣新竹地方法院 112 年度簡上字第 143 號判決。
但別急著得到「顧客被騙，商家一定要賠」的結論。
另一件士林地方法院 108 年度湖小字第 558 號民事判決（2019/6/3），消費者在旅行社購票後遭詐騙並請求賠償。法院認為未能證明詐騙所用個資來自該公司及必要的因果關係，駁回請求；判決也討論到業者提供的提醒通知與處理紀錄。
同樣有客戶被詐騙，法院結論可能不同。關鍵是具體事實、注意義務、資料來源、證據與因果關係，而不是只看有沒有一張證書。以上是個案裁判，不宜直接套用到其他公司。
ISO 27001 與 ISO 27701：對照管理問題
| 項目 | ISO/IEC 27001 | ISO/IEC 27701 |
|---|---|---|
| 管理目標 | 資訊安全管理系統（ISMS） | 隱私資訊管理系統（PIMS） |
| 關注風險 | 資產、系統、權限、可用性、完整性、機密性 | 個資處理目的、當事人權利、隱私風險及處理權責 |
| 日常管理 | 弱點、備份、存取權限、資安事故、供應商 | 個資活動、角色與契約、資料使用、保留、刪除 |
| 關鍵證據 | 風險評鑑、SoA、權限及稽核紀錄 | 資料流程、處理活動、隱私風險及委外紀錄 |
| 取證 | 第三方按驗證範圍稽核 ISMS | 新版 PIMS 可獨立採用，須確認驗證方案與認可 |
如果你是電商品牌，兩套標準的實際差異在哪？
場景一：離職員工後台帳號未撤銷。ISMS 會關心帳號存取風險、授權與停權控制；若因此能接觸或處理會員個資，PIMS 還會關注相應的個資處理活動、目的及責任。
場景二：會員資料同步到 EDM 廠商。ISMS 會關心傳輸與存取安全；PIMS 進一步要求釐清資料處理的目的、雙方角色、適用義務、保留及刪除等管理活動。
場景三：會員接到冒名詐騙。資安面要追查資料存取與系統狀況；隱私管理面要整理可能受影響的資料、處理活動、供應商及通知等義務。事故的刑民事責任仍應依事實及適用法律分析，不能由 ISO 證書推定。
27701:2025 可以單獨認證，不必先拿 27001？
ISO 官方已將 ISO/IEC 27701:2025 列為獨立管理系統標準。企業可獨立規劃 PIMS 或與 ISMS 整合；但若客戶明確要求 ISO 27001，不能拿一張 27701 直接代替。反之亦然。
採購前要確認證書版本、持有人、服務範圍、驗證機構及客戶接受的認可條件。先比對需求，再編列導入預算。
公司到底應該先辦哪張？
先看客戶或標案寫了什麼；再看管理目標是資訊安全、個資隱私，還是兩者都涵蓋。真正的選擇，不是「哪張看起來比較高級」，而是哪張證書能回答你對外必須證明的事情。
已決定要取得認證的企業，可以直接提供客戶要求、現有制度、資料處理範圍，讓我們協助確認 ISO 27001、27701 或整合導入的工作。對只有特定品牌端個資現況需要確認的公司，亦可另行討論限定範圍的診斷，不必混為完整取證服務。
與我們討論 ISO 27001／27701 認證與導入評估。