強化個資管理制度的3種標準

為了有系統地建立安全管理措施，企業除了自行研擬制度內容外，最常見的做法就是遵循第三方機構提供的認證標準，來引入整套的管理制度。雖然要投入不少人力和財力，但對企業而言，導入認證有3大好處，第一是可以直接採用業界成熟管理經驗和制度，減少企業自行摸索的耗損，第二是透過第三方驗證單位來證明企業的確有落實良善管理之責。

最後一項好處則是企業可以透過認證來建立內部共識，讓整體員工學習同一套管理制度來建立共同的管理觀念和思維。所以，過去，臺灣有不少金融業者為了強化和證明自身資安管理能力，紛紛導入了ISMS（Information Security Management System）資訊安全管理系統的ISO 27001資安認證。

英國與德國個資認證標準相繼進臺灣

隨著個資法的實施，近兩年來，與個資相關的認證標準也陸續出現在臺灣，包括了英國驗證公司BSI在2009年推出的英國個人資料保護標準BS 10012，經濟部商業司TPIPAS認證和個人資料隱私保護標章DP Mark，還有德國因應歐盟法規的TSP個人資料保護驗證與標章，以及由臺灣微軟所推出的高強度隱私保護驗證。

因為個資保護有許多措施仍屬於資訊安全的範圍，因此許多企業仍以導入ISO 27001來做為因應個資法的策略。在iThome個資法大調查結果中，高達38%企業要導入ISO 27001認證來因應個資法的要求。

除了臺灣企業熟悉的ISO 27001之外，新興的BS 10012是一個專為個資保護而訂定的標準。這個標準透過一套P（規畫）、D（執行）、C（稽核）和A（改善）的循環流程，來協助企業建立內部的個資保護制度。BS 10012標準中也針對不同執行階段提供了不同的最佳實務作法。

BS 10012標準也參考了OECD（經濟開發合作組織）提出的個人隱私權保護8大原則，這些原則也正是臺灣個資法訂定時的重要參考。所以，BS 10012有不少實務作法可供企業因應個資法之用。

金融公司與資服業者搶先導入BS 10012

為了因應個資法，陸續有不少企業開始取得BS 10012認證，如元大銀行、台新銀行、合作金庫、財金公司、精誠資訊、凌群電腦等，這些企業大多以金融公司與資服業者居多。

在iThome個資法大調查結果中，有5.5%企業已經採用或打算導入BS 10012來因應個資法。

此外，經濟部商業司也將從2013年開始，將原本只提供電子商務業者申請的TPIPAS（臺灣個人資料保護與管理制度規範，Taiwan Personal Information Protection and Administration System）驗證制度，擴大開放給經濟部商業司所主管產業的公司皆可申請，企業通過TPIPAS驗證後，則可以取得DP Mark（資料隱私保護標章）。

TPIPAS是經濟部商業司參考日本JIS Q 15001：2006個資驗證標準所訂定的個資保護與管理制度，並依據新版個資法內容調整而成的一套個資認證制度。

目前打算導入TPIPAS的企業以服務業居多，在iThome個資法大調查結果中，則有7.7%的企業打算導入TPIPAS來因應個資法。

不少金融公司或資服業者導入英國個資保護標準BS 10012來因應個資法。

相關報導請參考「防範資料外洩，IT總動員」