個(gè)資管理制度稽核

2目錄1稽核基本觀念2稽核方法及實(shí)務(wù)技巧3委外管理暨查核要項(xiàng)4個(gè)案分析與討論3稽核簡介稽核對(duì)某項(xiàng)特定活動(dòng)所進(jìn)行之獨(dú)立調(diào)查。ISO19011定義的稽核透過系統(tǒng)化、獨(dú)立性及文件化的流程取得稽核證據(jù)，并透過客觀地評(píng)估，以鑒別其稽核準(zhǔn)則所涵蓋的范圍是否達(dá)成。BS10012定義的稽核以系統(tǒng)化的檢查來確定活動(dòng)和相關(guān)的結(jié)果是否符合計(jì)劃的安排，這些安排是否得到有效實(shí)施并適用于實(shí)現(xiàn)組織的政策和目標(biāo)。4關(guān)鍵字獨(dú)立證據(jù)系統(tǒng)化客觀5稽核簡介（續(xù)）內(nèi)部稽核為獨(dú)立、客觀之確認(rèn)性服務(wù)及咨詢服務(wù)，用以增加價(jià)值及改善機(jī)構(gòu)營運(yùn)。內(nèi)部稽核協(xié)助機(jī)構(gòu)透過有系統(tǒng)及有紀(jì)律之方法，評(píng)估及改善風(fēng)險(xiǎn)管理、控制及治理過程之效果，以達(dá)成機(jī)構(gòu)目標(biāo)。

（中華民國內(nèi)部稽核協(xié)會(huì)）6內(nèi)部稽核與外部稽核內(nèi)部稽核組織內(nèi)部預(yù)先進(jìn)行的稽核作業(yè)，自行找出組織作業(yè)流程的缺失，提出建議改進(jìn)。外部稽核上級(jí)機(jī)關(guān)對(duì)組織進(jìn)行的稽核。申請(qǐng)驗(yàn)證所接受的稽核。7稽核性質(zhì)第一方稽核→內(nèi)部稽核。第二方稽核→外部稽核。第三方稽核→外部稽核。8第一方稽核第一方稽核由組織內(nèi)部所發(fā)起的稽核活動(dòng)。確保管理制度的維護(hù)、發(fā)展與改善符合目標(biāo)。9第二方與第三方稽核第二方稽核組織對(duì)其供應(yīng)商或外包商所進(jìn)行之稽核。評(píng)估供應(yīng)商與外包商或下游單位是否符合合約要求或規(guī)定。例如：Apple對(duì)富士康的查核。第三方稽核由具有公信力且獨(dú)立的機(jī)構(gòu)對(duì)組織進(jìn)行稽核。決定組織是否符合標(biāo)準(zhǔn)，建立、施行并維護(hù)文件化之管理制度。例如：Apple請(qǐng)求美國公平勞動(dòng)協(xié)會(huì)（FairLaborAssociation,FLA）調(diào)查富士康工作環(huán)境。10稽核的種類財(cái)務(wù)稽核作業(yè)稽核管理稽核信息系統(tǒng)稽核11稽核目標(biāo)稽核的目標(biāo)確保單位遵循政策及標(biāo)準(zhǔn)程序、衡量管理制度之有效性控管程序是否落實(shí)。檢查與評(píng)估控制措施之缺失。評(píng)估管理成效?！?2稽核測(cè)試的方式遵循測(cè)試測(cè)試是否遵循其要求執(zhí)行法令、法規(guī)、契約要求。驗(yàn)證標(biāo)準(zhǔn)。制度、規(guī)范、程序。證實(shí)測(cè)試測(cè)試其執(zhí)行結(jié)果與要求或預(yù)期相符合系統(tǒng)功能。公式、計(jì)算結(jié)果。13問題思考遵循測(cè)試or證實(shí)測(cè)試？稽核人員發(fā)現(xiàn)作業(yè)人員確實(shí)依規(guī)定于每周一上班前檢查并維護(hù)機(jī)器。稽核人員發(fā)現(xiàn)個(gè)資資產(chǎn)清冊(cè)所列清單有所遺漏。稽核人員發(fā)現(xiàn)系統(tǒng)未能依組織政策在賬號(hào)輸入密碼錯(cuò)誤達(dá)5次以上時(shí)，自動(dòng)鎖定賬號(hào)?？刂拼胧┑念悇e14類別功能運(yùn)用范例預(yù)防性企圖于問題發(fā)生前預(yù)測(cè)可能發(fā)生問題及調(diào)整預(yù)防錯(cuò)誤、遺漏或惡意破壞行為之發(fā)生職能分工實(shí)體設(shè)備存取控制建立適當(dāng)之授權(quán)程序完整之程序編輯檢核偵測(cè)性運(yùn)用偵測(cè)以發(fā)現(xiàn)及控制錯(cuò)誤、遺漏或惡意破壞之情況生產(chǎn)過程之檢核點(diǎn)傳輸時(shí)之回應(yīng)控制磁帶標(biāo)簽之錯(cuò)誤訊息內(nèi)部稽核功能更正性辨識(shí)問題之影響，將威脅影響最小化修正偵測(cè)性控制所發(fā)現(xiàn)之問題更正問題產(chǎn)生之錯(cuò)誤讓問題發(fā)生機(jī)率減低業(yè)務(wù)持續(xù)性計(jì)劃備份程序保險(xiǎn)（分?jǐn)傦L(fēng)險(xiǎn)）調(diào)整作業(yè)程序15BS10012的稽核要求BS10012-5.1內(nèi)部稽核內(nèi)部稽核計(jì)劃組織應(yīng)制訂內(nèi)部稽核程序，以監(jiān)控及審查處理個(gè)人資料過程之有效性，且該程序應(yīng)被規(guī)劃、建立及維護(hù)，亦可將個(gè)人資料管理政策之考量納入。內(nèi)部稽核程序之范圍應(yīng)涵蓋所有具高風(fēng)險(xiǎn)之個(gè)人資料處理流程(參見4.2.2)及所有由其它組織所執(zhí)行之個(gè)人資料處理流程(參見4.16)。16BS10012的稽核要求(續(xù))BS10012-5.1內(nèi)部稽核稽核員的挑選為確保內(nèi)部稽核之客觀及公平性，組織應(yīng)選擇適當(dāng)之稽核員并審慎的執(zhí)行稽核作業(yè)。17BS10012的稽核要求(續(xù))BS10012-5.1內(nèi)部稽核內(nèi)部稽核需求內(nèi)部稽核應(yīng)依所規(guī)劃之時(shí)間執(zhí)行，以確認(rèn)PIMS是否：a)依個(gè)人資料管理政策及既有之程序執(zhí)行；及b)依技術(shù)需求執(zhí)行及維護(hù)之?；藞?bào)告應(yīng)詳實(shí)說明任何違背政策及程序之事項(xiàng)，并應(yīng)將之提供予管理階層。稽核報(bào)告亦應(yīng)識(shí)別所有可能會(huì)影響政策遵循之技術(shù)或程序的議題。18信息系統(tǒng)稽核與控制參考準(zhǔn)則來源：國際計(jì)算機(jī)稽核協(xié)會(huì)(ISACA)范圍。獨(dú)立性。職業(yè)道德及準(zhǔn)則。專業(yè)能力。規(guī)劃?；斯ぷ髦畧?zhí)行。報(bào)告。追蹤作業(yè)。國際計(jì)算機(jī)稽核協(xié)會(huì)是全球公認(rèn)提供信息系統(tǒng)確認(rèn)性與安全、企業(yè)信息治理及信息相關(guān)風(fēng)險(xiǎn)與遵循之知識(shí)、認(rèn)證、社群、倡導(dǎo)與教育訓(xùn)練的非營利、獨(dú)立性組織，會(huì)員遍布逾160個(gè)國家，總數(shù)超過95,000人。ISACA?成立于1969年19信息系統(tǒng)稽核與控制參考準(zhǔn)則(1/4)范圍記載責(zé)任、權(quán)限及可靠性。獨(dú)立性職業(yè)獨(dú)立性。關(guān)聯(lián)獨(dú)立性?；酥毮塥?dú)立于受稽單位。20信息系統(tǒng)稽核與控制參考準(zhǔn)則(2/4)職業(yè)道德及準(zhǔn)則職業(yè)道德規(guī)范。專業(yè)稽核素養(yǎng)。專業(yè)能力專業(yè)技術(shù)能力。執(zhí)行稽核工作的技巧與知識(shí)。21信息系統(tǒng)稽核與控制參考準(zhǔn)則(3/4)規(guī)劃依稽核目標(biāo)及稽核準(zhǔn)則規(guī)劃稽核工作。稽核工作之執(zhí)行匯整可靠、相關(guān)的證據(jù)。證據(jù)經(jīng)適當(dāng)?shù)姆治黾霸忈?，以支持查核所發(fā)現(xiàn)的事項(xiàng)。22信息系統(tǒng)稽核與控制參考準(zhǔn)則(4/4)報(bào)告稽核報(bào)告說明稽核范圍、目標(biāo)、涵蓋期間及工作，陳述稽核發(fā)現(xiàn)、建議及任何保留的意見。追蹤作業(yè)依稽核發(fā)現(xiàn)結(jié)果進(jìn)行適當(dāng)評(píng)估，以了解受檢單位是否已妥善處理。23稽核計(jì)劃稽核依據(jù)與稽核目的稽核范圍及受稽對(duì)象稽核日期稽核作業(yè)方式稽核（抽樣）期間稽核團(tuán)隊(duì)稽核項(xiàng)目稽核報(bào)告說明24稽核依據(jù)與稽核目的稽核依據(jù)與稽核目的確認(rèn)符合法令、法規(guī)、合約要求。BS

10012標(biāo)準(zhǔn)。組織政策目標(biāo)?！?.。25稽核范圍稽核范圍例如全公司、XX部門、信息中心….稽核范圍之界定（補(bǔ)充）實(shí)體區(qū)域組織、單位預(yù)計(jì)受稽核之活動(dòng)與流程產(chǎn)品/業(yè)務(wù)系統(tǒng)26稽核日期與作業(yè)方式稽核日期稽核作業(yè)方式訪談、書面審查、實(shí)地審查…稽核依據(jù)例如BS10012個(gè)人信息管理標(biāo)準(zhǔn)、個(gè)人資料保護(hù)法、…27稽核（抽樣）期間稽核（抽樣）期間文件發(fā)行日期~迄止日期上次稽核日期~本次稽核日期28稽核團(tuán)隊(duì)稽核團(tuán)隊(duì)組長︰主導(dǎo)稽核員組員︰配合組長指示執(zhí)行稽核作業(yè)團(tuán)隊(duì)成員資格具有基本與正確的稽核認(rèn)知取得BS10012LA證照上過稽核相關(guān)教育訓(xùn)練課程具有實(shí)際稽核之經(jīng)驗(yàn)29稽核項(xiàng)目稽核項(xiàng)目例如BS10012的各章節(jié)等30稽核報(bào)告說明稽核報(bào)告說明說明稽核報(bào)告的交付與后續(xù)事項(xiàng)31相關(guān)人員參與的稽核工作/責(zé)任信息安全暨個(gè)人資料保護(hù)推動(dòng)委員會(huì)/召集人/執(zhí)行秘書督導(dǎo)作業(yè)資安暨個(gè)資保護(hù)稽核小組（稽核團(tuán)隊(duì)）稽核作業(yè)事宜

追蹤改善情形受稽核單位相關(guān)業(yè)務(wù)人員接受稽核提供文件與紀(jì)錄針對(duì)稽核發(fā)現(xiàn)提出矯正及預(yù)防措施32稽核進(jìn)行流程提出稽核報(bào)告并經(jīng)受稽核單位代表簽名確認(rèn)追蹤事項(xiàng)（矯正與預(yù)防處理）啟始會(huì)議（范圍、流程、配合事項(xiàng)）進(jìn)行稽核稽核結(jié)束會(huì)議（稽核發(fā)現(xiàn)）受稽核單位配合準(zhǔn)備文件及紀(jì)錄擬訂「個(gè)人資料管理制度內(nèi)部稽核計(jì)劃」，陳信息安全暨個(gè)人資料保護(hù)推動(dòng)委員會(huì)核定后，執(zhí)行內(nèi)部稽核稽核前準(zhǔn)備(一)稽核前準(zhǔn)備(二)執(zhí)行稽核撰寫稽核報(bào)告33稽核計(jì)劃其他注意事項(xiàng)與受稽核單位確認(rèn)稽核時(shí)程相關(guān)資料可請(qǐng)受稽核單位預(yù)先準(zhǔn)備特殊地點(diǎn)、資料調(diào)閱是否須事先提出申請(qǐng)不同稽核地點(diǎn)的交通時(shí)間34練習(xí)試訂自單位的稽核計(jì)劃稽核依據(jù)為BS10012標(biāo)準(zhǔn)稽核范圍界定為個(gè)人資料搜集、流通、處理、儲(chǔ)存及銷毀流程人員、時(shí)間等自訂35稽核專業(yè)素養(yǎng)勿頤指氣使、氣勢(shì)凌人不預(yù)設(shè)立場(chǎng)、不預(yù)設(shè)答案36稽核方法訪談書面審查文件（政策綱要/規(guī)范/要點(diǎn)/計(jì)劃、作業(yè)說明書、紀(jì)錄…等)實(shí)地審查工具輔助查核較適于計(jì)算機(jī)稽核37訪談提問技巧開放式提問請(qǐng)問您如何處理？(5W1H)封閉式提問請(qǐng)問您的某作業(yè)情況是否依某規(guī)定處理？38訪談提問技巧（續(xù)）循序漸進(jìn)旁敲側(cè)擊不要害怕問自己不懂的問題保持謙和態(tài)度請(qǐng)對(duì)方解釋相關(guān)流程39觀察受訪者突然遲疑、語塞？言詞閃爍、矛盾？微露不安又故作鎮(zhèn)定？40訪談溝通技巧詢問正確對(duì)象不要給予對(duì)方過大的壓力聆聽，避免打斷不預(yù)設(shè)否定的立場(chǎng)41書面審查文件依稽核依據(jù)檢視規(guī)范文件是否已具相關(guān)控制項(xiàng)，例:個(gè)人資料管理系統(tǒng)之目標(biāo)并未建立。間接取得個(gè)資之搜集、處理與利用之程序并未建立。個(gè)人資料管理系統(tǒng)政策中，宜加入并說明利害關(guān)系人之參與及期許。個(gè)人資料管理系統(tǒng)管理代表為信息安全官，目前采年度任務(wù)編組派任，請(qǐng)進(jìn)一步考量現(xiàn)行年度調(diào)換之規(guī)則，是否可呼應(yīng)個(gè)資法中專人管理之要求。請(qǐng)厘清個(gè)人資料檔案清冊(cè)維護(hù)與更新之時(shí)機(jī)、頻率與作法。42書面審查(續(xù))文件依稽核依據(jù)檢視規(guī)范文件是否已具相關(guān)控制項(xiàng)，例:個(gè)資事故、個(gè)資訴訟判決等信息，如何輸入至風(fēng)險(xiǎn)評(píng)鑒進(jìn)行必要評(píng)估，其關(guān)聯(lián)性可再厘清。現(xiàn)行個(gè)資文件中，僅針對(duì)個(gè)資外泄之狀況時(shí)通知當(dāng)事人；應(yīng)可考量修正為個(gè)資事故發(fā)生時(shí)，通知當(dāng)事人。隱私權(quán)聲明文件中，有關(guān)對(duì)第三方揭露個(gè)資之要求，請(qǐng)?jiān)倮迩濉＜扔幸阉鸭畟€(gè)資，如何進(jìn)行適切、相關(guān)且不過度之必要調(diào)整，請(qǐng)?jiān)倮迩濉?3文件稽核范例4.7.2隱私公告與聲明之紀(jì)錄PIMS中應(yīng)制訂一維護(hù)(在線)隱私權(quán)聲明紀(jì)錄之程序。該紀(jì)錄之保存時(shí)限應(yīng)至少等同于其個(gè)人資料。本組織所提供之服務(wù)若含個(gè)人資料，應(yīng)制定及維護(hù)隱私權(quán)聲明，經(jīng)權(quán)責(zé)主管核準(zhǔn)并留存相關(guān)紀(jì)錄，且該紀(jì)錄之保存期限不得低于個(gè)人資料之保存期限。本組織相關(guān)活動(dòng)（網(wǎng)站）之隱私權(quán)聲明，可參酌本組織「隱私權(quán)政策聲明模板」修訂，陳核后方可實(shí)施。此聲明應(yīng)讓當(dāng)事人易于取得與閱讀。本組織所辦理之活動(dòng)（網(wǎng)站）或業(yè)務(wù)需直接從當(dāng)事人取得個(gè)人資料前，本組織應(yīng)以e-mail或書面方式提供當(dāng)事人該隱私權(quán)聲明，或公告于網(wǎng)站上。44實(shí)地審查檢視相關(guān)之人、事、物是否依文件中所訂之規(guī)范落實(shí)執(zhí)行現(xiàn)場(chǎng)觀察環(huán)境、計(jì)算機(jī)之系統(tǒng)設(shè)定等人員訪談訪談人員的操作流程。紀(jì)錄確認(rèn)是否依文件中所訂之規(guī)范落實(shí)紀(jì)錄45實(shí)地審查(續(xù))本次稽核驗(yàn)證時(shí)，許多流程有效性紀(jì)錄尚未產(chǎn)生，如當(dāng)事人請(qǐng)求紀(jì)錄、正確性審查、個(gè)資檔案銷毀紀(jì)錄、間接搜集個(gè)資告知紀(jì)錄、個(gè)資事故通告紀(jì)錄及客戶抱怨紀(jì)錄等，稽核員將于下次定期審查確認(rèn)有效性。個(gè)資風(fēng)險(xiǎn)評(píng)鑒及沖擊評(píng)估中，財(cái)務(wù)結(jié)構(gòu)面之分級(jí)判斷因子，可再厘清。個(gè)人計(jì)算機(jī)內(nèi)含個(gè)人資料之加密落實(shí)性，可再加強(qiáng)；名片管理之安全，可再加強(qiáng)。請(qǐng)?jiān)僮⒁鈭?zhí)行PIMS內(nèi)部稽核的公正與客觀性。例如：稽核員避免稽核自身事務(wù)。針對(duì)內(nèi)部教育訓(xùn)練后，有效性衡量的記錄，宜再提供的更具體。DMZ區(qū)域Web主機(jī)病毒定義檔更新的實(shí)時(shí)性，可更加強(qiáng)。XX主機(jī)及XX數(shù)據(jù)庫主機(jī)的作業(yè)系統(tǒng)仍為Windows2000，宜慎重考量其無后續(xù)支援所造成的資安風(fēng)險(xiǎn)。宜慎重考量現(xiàn)行l(wèi)og備份方式及范圍的適切性。數(shù)據(jù)庫主機(jī)管理及操作軌跡的記錄，可更加強(qiáng)。另外，每周進(jìn)行備份的方式，亦應(yīng)考量其軌跡不連續(xù)性的風(fēng)險(xiǎn)。熒幕保護(hù)密碼啟動(dòng)機(jī)制的確認(rèn)，可更加強(qiáng)。弱點(diǎn)掃描所發(fā)現(xiàn)高風(fēng)險(xiǎn)項(xiàng)目處理的實(shí)時(shí)性，可更加強(qiáng)。46現(xiàn)場(chǎng)查核范例系統(tǒng)管理者密碼設(shè)置，至少6碼

→檢查管理者密碼長度是否為6碼？47紀(jì)錄稽核范例個(gè)資當(dāng)事人透過電話、E-mail、傳真等方式申訴時(shí)，由相關(guān)受理人員填寫「個(gè)人資料抱怨及申訴事件紀(jì)錄單」并陳核單位主管后，轉(zhuǎn)請(qǐng)本校之個(gè)人資料管理窗口判定申請(qǐng)內(nèi)容，再轉(zhuǎn)交業(yè)務(wù)權(quán)責(zé)單位進(jìn)行后續(xù)處理。受理單位接獲個(gè)資當(dāng)事人之抱怨與申訴后，應(yīng)于10個(gè)工作日內(nèi)回應(yīng)當(dāng)事人本行已受理申訴之訊息。

→個(gè)人資料抱怨及申訴事件紀(jì)錄單48紀(jì)錄稽核技巧檢查不同紀(jì)錄間的一致性，以確認(rèn)完整性與有效性

→個(gè)人資料抱怨及申訴事件紀(jì)錄單

→個(gè)資抱怨申訴E-mail、傳真49稽核技巧重點(diǎn)綜合說明說（訪談）、寫（文件）、做（實(shí)地）是否一致聆聽受稽單位的執(zhí)行說明，思考可能遺漏的環(huán)節(jié)善用執(zhí)行程序的連貫性來稽查是否確實(shí)落實(shí)使用客觀、顯著、可驗(yàn)證性的證據(jù)來判別與撰寫稽核發(fā)現(xiàn)結(jié)果50其他稽核規(guī)劃事項(xiàng)稽核動(dòng)線的安排不同稽核項(xiàng)目間的連貫性避免抽查單一部門、系統(tǒng)或人員稽核時(shí)間避免安排于稽核范圍內(nèi)有重大關(guān)鍵活動(dòng)51練習(xí)試述您想象/規(guī)劃/預(yù)計(jì)采用的稽核技巧例如試舉例針對(duì)某一控制項(xiàng)，您準(zhǔn)備怎么查核？例如您準(zhǔn)備抽查哪些對(duì)象，為什么？例如您準(zhǔn)備如何驗(yàn)證受稽對(duì)象的說辭是否屬實(shí)？52稽核項(xiàng)目個(gè)資資產(chǎn)與風(fēng)險(xiǎn)評(píng)鑒個(gè)人資料管理系統(tǒng)規(guī)劃個(gè)人資料管理系統(tǒng)(PIMS)建立與管理PIMS界定PIMS適用范圍及設(shè)定目標(biāo)組織個(gè)人資料管理政策政策內(nèi)容職責(zé)與歸責(zé)性資源提供將PIMS嵌入組織文化53稽核項(xiàng)目(續(xù))實(shí)作與運(yùn)作個(gè)人資料管理系統(tǒng)(PIMS)責(zé)任的配置辨識(shí)及記錄個(gè)人資料的使用情況認(rèn)知與教育訓(xùn)練風(fēng)險(xiǎn)評(píng)鑒PIMS的持續(xù)更新通告公正與合法的處理個(gè)人資料處理的目的適當(dāng)、相關(guān)及不過度正確性保留及處置個(gè)人權(quán)利安全議題將個(gè)人資料傳輸于EEA外揭露予第三方轉(zhuǎn)包處理維護(hù)54稽核項(xiàng)目(續(xù))監(jiān)視與審查個(gè)人資料管理系統(tǒng)(PIMS)內(nèi)部稽核管理審查改進(jìn)個(gè)人資料管理系統(tǒng)(PIMS)矯正與預(yù)防措施持續(xù)改善規(guī)劃個(gè)人資料管理系統(tǒng)PIMS3.1建立和管理PIMS3.2PIMS的范圍和目標(biāo)3.3個(gè)人資料管理政策3.4政策內(nèi)容3.5職責(zé)和歸責(zé)性3.6資源提供3.7將PIMS嵌入組織文化55規(guī)劃個(gè)人資料管理系統(tǒng)PIMS3.1建立和管理PIMS組織應(yīng)建立、實(shí)作、維護(hù)及持續(xù)改進(jìn)PIMS以符合3.2～3.7的要求3.2PIMS的范圍和目標(biāo)a)個(gè)人資料管理需求b)組織的目標(biāo)與義務(wù)c)組織可接受的風(fēng)險(xiǎn)等級(jí)d)適用之法令、規(guī)章、契約(合約)與專業(yè)職責(zé)e)個(gè)人和其他利害關(guān)系人之利益56規(guī)劃個(gè)人資料管理系統(tǒng)PIMS3.3個(gè)人資料管理政策組織應(yīng)確保高階管理階層被附與發(fā)行及維護(hù)個(gè)人資料管理政策之責(zé)，而其政策中應(yīng)明訂政策框架，并展現(xiàn)對(duì)于遵循個(gè)人資料保護(hù)法與好的實(shí)務(wù)的支持與承諾。57規(guī)劃個(gè)人資料管理系統(tǒng)PIMS3.4政策內(nèi)容a)僅于合法組織需求下，始得進(jìn)行個(gè)人資料之處理b)僅針對(duì)特定目的搜集必要的個(gè)人資料，且不過度的處理個(gè)人資料c)明確告知當(dāng)事人其個(gè)人資料將如何被使用及被誰使用d)僅處理相關(guān)且適當(dāng)?shù)膫€(gè)人信息e)公平與合法的處理個(gè)人信息(參考4.7);f)組織應(yīng)維護(hù)一份個(gè)人資料清冊(cè)(參考4.2);g)確保個(gè)人資料的正確性，并于必要時(shí)進(jìn)行更新h)僅依法或合法的組織目的下保存?zhèn)€人資料58規(guī)劃個(gè)人資料管理系統(tǒng)PIMSi)尊重當(dāng)事人對(duì)其個(gè)人資料所能行使之權(quán)利，包含其申請(qǐng)閱覽權(quán)j)確保所有個(gè)人資料安全k)當(dāng)組織將個(gè)人資料傳輸之非歐盟成員之國家時(shí)，應(yīng)確保其具善良保護(hù)之機(jī)制l)個(gè)人資料保護(hù)法令所允許之例外情形的應(yīng)用m)發(fā)展與建立PIMS，使個(gè)人資料保護(hù)政策能實(shí)行n)鑒別內(nèi)、外部利害關(guān)系者及其參與PIMS治理與運(yùn)作的程度o)于PIMS明確界定員工之責(zé)任和歸責(zé)性(參考3.5)59規(guī)劃個(gè)人資料管理系統(tǒng)PIMS3.5

職責(zé)和歸責(zé)性高階管理團(tuán)隊(duì)?wèi)?yīng)負(fù)起組織管理個(gè)人資料之責(zé)。(可參考4.1.1).職責(zé)應(yīng)包含：a)核準(zhǔn)個(gè)人資料管理政策b)依政策發(fā)展和施行PIMSc)應(yīng)遵循政策執(zhí)行安全及風(fēng)險(xiǎn)管理(可參考4.13.1)應(yīng)指派一位或多位合適或具經(jīng)驗(yàn)的同仁負(fù)責(zé)日常個(gè)人資料管理政策的遵循(可參考4.1.2)藉由流程與程序的實(shí)行、適當(dāng)?shù)膯T工發(fā)展或?qū)τ诓环鲜马?xiàng)制訂管控程序，以確保所有同仁皆能遵循個(gè)人資料管理政策之要求60規(guī)劃個(gè)人資料管理系統(tǒng)PIMS3.6資源提供組織應(yīng)決定并提供建立、實(shí)行、操作和維護(hù)PIMS的資源。61規(guī)劃個(gè)人資料管理系統(tǒng)PIMS3.7將PIMS嵌入組織文化a)透過持續(xù)的教育訓(xùn)練與認(rèn)知課程，以提高、強(qiáng)化與維持所有員工對(duì)PIMS的認(rèn)知b)建立對(duì)PIMS認(rèn)知訓(xùn)練有效性評(píng)量程序c)對(duì)所有員工傳達(dá)以下的重要性：1)達(dá)成PIMS目標(biāo)2)遵循政策3)對(duì)政策的持續(xù)改善d)確保每個(gè)員工都了解他們?nèi)绾斡绊懡M織PIMS62PIMS的建置與運(yùn)作4.1責(zé)任的配置(Keyappointments)4.1.1高階管理階層4.1.2遵循政策的日常職責(zé)4.1.3資料保護(hù)代表4.2辨識(shí)及記錄個(gè)人資料的使用情況4.2.1組織應(yīng)維護(hù)一份個(gè)人資料分類清冊(cè)4.2.2具高風(fēng)險(xiǎn)的個(gè)人資料4.3認(rèn)知及教育訓(xùn)練4.4風(fēng)險(xiǎn)評(píng)鑒63PIMS的建置與運(yùn)作4.5PIMS持續(xù)更新4.6通告4.7公正與合法的處理4.7.1個(gè)人資料的搜集與處理4.7.2隱私公告與聲明之記錄4.7.3隱私公告與聲明之取得4.7.4隱私公告與聲明之可用性4.7.5第三方64PIMS的建置與運(yùn)作4.8個(gè)人資料處理的目的4.8.1處理準(zhǔn)則4.8.2新目的的同意4.8.3資料分享4.8.4資料配對(duì)4.9適當(dāng)、相關(guān)且不過度4.9.1適當(dāng)性4.9.2相關(guān)且不過度4.10正確性65PIMS的建置與運(yùn)作4.11保留及處置4.12個(gè)人的權(quán)利4.12.1個(gè)人的權(quán)利(符合法定時(shí)間限制)4.12.2抱怨與申訴4.13安全議題4.13.1安全控制4.13.2儲(chǔ)存及管理4.13.3傳輸4.13.4存取控制4.13.5安全評(píng)估4.13.6安全事故管理66PIMS的建置與運(yùn)作4.14將個(gè)人資料傳輸于EEA(歐盟)之外 (EEA=EuropeanEconomicArea)4.15揭露予第三方4.16轉(zhuǎn)包處理4.17維護(hù)67PIMS的監(jiān)控與審查5.1內(nèi)部稽核5.1.1稽核計(jì)劃5.1.2稽核員的挑選5.1.3稽核需求5.2管理審查685.2管理審查5.2管理審查a)來自PIMS使用者之反饋b)由組織人員所辨識(shí)及提升之風(fēng)險(xiǎn)c)稽核結(jié)果d)程序?qū)彶橹o(jì)錄e)信息技術(shù)提升及替換之結(jié)果f)來自主管機(jī)關(guān)評(píng)估后之正式要求g)抱怨事件的處理h)已發(fā)生之資安事故及資料外泄事件管理審查應(yīng)提供所有可能造成PIMS變更之詳細(xì)信息，其資料來源可為政策的調(diào)整、可能影響作業(yè)遵循之程序與技術(shù)。當(dāng)PIMS發(fā)生重大變更后，應(yīng)立即執(zhí)行稽核作業(yè)。69內(nèi)部稽核應(yīng)注意事項(xiàng)針對(duì)受稽單位之個(gè)資收集的作業(yè)流程，應(yīng)按時(shí)間(例如：每周或每月)累進(jìn)的增加數(shù)量，按照合適之比例進(jìn)行抽樣確認(rèn)。抽樣數(shù)量與抽樣方式需能代表樣本母體，且應(yīng)考慮下列事項(xiàng)：稽核時(shí)間；作業(yè)流程之復(fù)雜度；個(gè)資之防護(hù)措施的現(xiàn)況情況；過去一年是否有重大抱怨、申訴案件；過去一年是否有關(guān)之法律爭議；是否有委外處理或派遣人員經(jīng)手個(gè)資(例如：搜集、存放、打印或銷毀)。70內(nèi)部稽核應(yīng)注意事項(xiàng)(續(xù)1)稽核中所抽樣之個(gè)資信息，任何能直接或間接識(shí)別特定人之信息，稽核員不得注記于任何工作底稿中，以避免泄密之風(fēng)險(xiǎn)并降低受稽單位之顧慮?；酥?，注記抽樣之個(gè)資樣本應(yīng)以代碼、案號(hào)、進(jìn)案日期、身份證字號(hào)第一碼(英文字母)與最后六碼(數(shù)字)，或是以僅能由受稽方進(jìn)行單向確認(rèn)的資料存錄方式進(jìn)行注記。此一作法應(yīng)于啟始會(huì)議(Openingmeeting)與閉幕會(huì)議(Closingmeeting)中，由領(lǐng)隊(duì)明確說明并澄清任何有關(guān)之疑慮。71內(nèi)部稽核應(yīng)注意事項(xiàng)(續(xù)2)為因應(yīng)個(gè)資法的要求，稽核員應(yīng)抽樣確認(rèn)個(gè)資信息收集的范圍是否超出其宣告，并確認(rèn)其運(yùn)用是否與個(gè)資擁有者之授權(quán)相符合。如為書面授權(quán)，則應(yīng)一并確認(rèn)其保存方式與保存狀況。實(shí)地稽核均應(yīng)確認(rèn)受稽單位之風(fēng)險(xiǎn)評(píng)鑒(riskassessment)的內(nèi)容與結(jié)果，定期追查則應(yīng)確認(rèn)前后兩次的風(fēng)險(xiǎn)評(píng)鑒的