資通安全管理法與個資法：企業實際要做什麼、要買什麼服務
說明資通安全管理法適用對象、責任等級，以及個人資料保護法的安全維護義務，並把法規要求轉換成企業實際要編列的資安預算項目。
台灣企業的資安法規壓力主要來自兩部法律：資通安全管理法與個人資料保護法。資通安全管理法直接適用於公務機關與「特定非公務機關」（例如關鍵基礎設施提供者、公營事業、政府捐助的財團法人），一般民營企業不一定直接適用，但承接政府標案或擔任受託廠商時，常透過契約被要求；個人資料保護法則適用於幾乎所有蒐集、處理或利用個人資料的企業，要求採取適當的安全維護措施。把法規轉成預算，最實際的作法是從「我屬於哪一類」開始判斷，再列出必須做與建議做的項目。
本文為一般性說明，法規會修正，請以全國法規資料庫與主管機關公告為準，涉及具體義務請諮詢律師。
資通安全管理法：誰適用
資通安全管理法於 2018 年公布，2019 年 1 月 1 日施行，主管機關為數位發展部，資通安全署負責相關業務。法律把義務對象分為公務機關與特定非公務機關，並依資通安全責任等級分級辦法，將機關分為 A、B、C、D、E 五個等級，等級越高，需要做的事越多。
各等級應辦事項大致包括：
- 建立資通安全管理制度與設置資通安全專責人員（依等級有不同要求）
- 辦理資通安全稽核與資安健診
- 辦理弱點掃描與滲透測試（較高等級）
- 導入資通安全防護設備與管理機制
- 辦理資通安全教育訓練
- 資通安全事件通報與應變
- 取得資安驗證（部分等級要求，例如 ISO 27001）
關於法規近年修正與新增要求的最新情形，請以數位發展部與全國法規資料庫公告為準，本站不在此引用未經確認的條文細節。
一般企業會怎麼被牽涉
即使你不是特定非公務機關，仍可能在下列情況承受相同壓力：
- 承接政府標案或委外案：契約中會約定資安要求，例如需通過驗證、提供檢測報告或遵守特定規範。
- 身為供應鏈廠商：大型客戶可能要求供應商填寫資安問卷、接受稽核或取得驗證。
- 屬於特定產業：金融、醫療、電信、能源與交通等產業，各有主管機關的資安規範。
- 上市櫃公司：金融監督管理委員會與證券交易所對上市櫃公司的資安治理有持續加強的要求，例如設置資安專責單位或主管，細節以主管機關最新規定為準。
個人資料保護法：幾乎所有企業都適用
個人資料保護法規範個資的蒐集、處理與利用，並要求非公務機關採取適當的安全維護措施，防止個資被竊取、竄改、毀損、滅失或洩漏。許多產業的目的事業主管機關也訂有個資檔案安全維護辦法，要求特定業別建立安全維護計畫。違反規定時，主管機關可要求限期改正，嚴重者可處罰鍰，個資外洩還可能面臨當事人的民事求償，細節以法條與主管機關公告為準。
近年個資法也有修正動向，包括專責機關的設立與管理強化等，請查詢國家發展委員會及全國法規資料庫的最新資訊，確認修正條文是否已施行。
把法規要求轉成預算項目
| 法規或要求 | 常見對應措施 | 對應服務 |
|---|---|---|
| 個資安全維護 | 存取控制、加密、日誌、備份、教育訓練 | 顧問輔導、備份與加密工具、教育訓練 |
| 事件通報 | 事件通報流程與演練 | 事件應變預備服務、演練 |
| 檢測要求 | 定期弱點掃描與滲透測試 | 弱點掃描、滲透測試 |
| 管理制度要求 | 建立 ISMS、取得驗證 | ISO 27001 |
| 供應鏈要求 | 回覆問卷、接受稽核 | 顧問輔導、第三方檢測 |
| 監控要求 | 日誌保存與監控 | EDR／MDR／SOC |
範例（示意）：一家承接政府委外案的軟體公司，契約要求系統上線前須有第三方滲透測試報告，並每年進行教育訓練。預算可拆成：滲透測試示意 150,000 元、教育訓練示意 30,000 元、內部修補人力與複測示意 40,000 元，共約 220,000 元。這是示意，真實金額要看範圍與報價。
個資外洩發生時
個資外洩不僅是技術問題，也有法律義務。一般而言，企業應盡速查明範圍、採取措施防止擴大，並依法與主管機關要求通知當事人與主管機關；各行業的通報時限與方式可能不同，因此事先確認自己的主管機關與規範很重要。事件應變流程請見資安事件應變費用與流程。
實務建議
- 確認公司是否屬於特定非公務機關或受特定產業規範。
- 檢視客戶契約與標案文件中的資安條款，整理成清單。
- 盤點個資種類、存放位置與處理流程，建立個資清冊。
- 依風險導入措施，並保留執行紀錄，因為「做過」需要「有證據」。
- 指定窗口，定期追蹤法規與主管機關公告。
建立法遵追蹤機制
法規與主管機關的要求會不斷更新，因此企業需要一個簡單但持續運作的追蹤機制，而不是只在發生問題時才查閱法條。
第一，確認你的主管機關：不同產業的目的事業主管機關不同，例如金融業、醫療機構、電信業與電商，各有各自的規範與通報方式。把主管機關的聯絡窗口與公告訂閱方式記錄下來。
第二，建立要求清冊：把法規、主管機關辦法、客戶契約與標案文件中的資安要求，整理成一張表，記錄條文或條款來源、對應的措施、負責人、完成狀態與證據位置。這張表在客戶稽核與主管機關查核時非常有用。
第三，定期檢視：每半年或每年檢視一次是否有新的法規、修正或客戶要求，尤其在簽訂新合約、推出新服務或蒐集新類型個資之前，更要先評估法遵影響。
第四，保留證據：法遵不只是做了什麼，更是能不能證明做了。教育訓練的簽到紀錄、備份還原測試紀錄、存取權限檢視紀錄、事件處理紀錄，都應該保存。
第五，與律師建立關係：不一定要長期聘僱，但在出現重大疑問或事故前，先有可聯絡的律師，能大幅縮短反應時間。
這種機制的成本不高，卻能讓公司面對客戶、保險公司與主管機關時，有一套有條理的說明，並降低因為資訊落差而違規的機會。
供應鏈角色下的資安義務
許多中小企業雖然不是法規直接規範的對象，卻處於大型企業或政府機關的供應鏈之中，這使得資安要求間接落到他們身上。常見的情形有幾種。
擔任受託廠商：政府機關或特定非公務機關將資訊系統開發、維運或資料處理委外時，依法需要對受託者進行適當的監督，並在契約中約定資安要求。受託廠商因此常需要簽署保密與資安條款，配合稽核，並在事故發生時依約通報。
提供雲端或軟體服務：客戶可能要求你提供資安驗證、第三方檢測報告或資料處理說明。越是處理客戶敏感資料，這類要求越嚴格。
接受客戶問卷：問卷內容可能涵蓋存取控制、備份、事件通報與員工訓練等。誠實並有證據支持的回答，比誇大的答案更能長期維持客戶信任。
面對這些要求，建議建立一份標準化的資安說明文件與證據庫，包括政策、流程、測試報告摘要與教育訓練紀錄，避免每次問卷都從頭整理。同時，在簽署契約前，要評估自己是否有能力達成條款，若現階段做不到，應先與客戶溝通改善計畫與時程，而不是勉強承諾。
什麼時候該諮詢專業人士
判斷自己是否適用特定法規、解讀契約中的資安條款、處理外洩通報與當事人求償，都需要律師或具資安與法遵經驗的顧問協助，建議在事故發生前就先建立聯絡管道。
常見問題
小型民營公司需要遵守資通安全管理法嗎？
一般不直接適用，除非屬於特定非公務機關，或透過契約被要求。仍應遵守個資法與所屬產業的規範。
個資法的安全維護要做到什麼程度？
法律要求「適當」的安全維護措施，會依資料敏感度、規模與風險而異，沒有單一標準，建議依產業主管機關的辦法與風險評估建立。
做了 ISO 27001 就等於符合個資法嗎？
不等於。ISO 27001 是資訊安全管理制度，個資法還有蒐集、告知、同意、當事人權利等要求，兩者有重疊但不相同。
修法後要怎麼知道最新規定？
查詢全國法規資料庫與主管機關網站公告，必要時諮詢律師。
