ISO 27701 李O麟

參訓課程：ISO/IEC 27701 隱私資訊管理系統主導稽核員

一路走來，我對資安的投入，其實不是「一開始就規劃好要走這條路」，而是從研發工作現場一路被推著往前。身為研發人員，同時又兼任專責資安職務，我很常處在一種尷尬但也很真實的狀態：一方面要把系統做得快、做得穩、交付得準時；另一方面又得確保資料處理流程符合規範、符合稽核要求。當公司開始有驗證需求、也逐步把個資與隱私管理的要求拉到更高層級時，我才更明確地意識到，光靠 ISO 27001 的基礎觀念其實不夠，尤其在「個資處理、委外、存取授權、事件通報、資料生命週期」等面向，要能說得清楚、做得完整，就需要更聚焦在 PIMS（隱私資訊管理系統）的架構與精神。

也因為這樣，我選擇報名 ISO/IEC 27701 課程。我的期待很務實：希望能把 PIMS 的核心內容真正弄懂，並且能夠對應到公司實際需求，包含日後稽核時如何呈現證據、如何把流程文件化、如何把責任切分清楚，避免「知道要做什麼，但不知道怎麼做才算對」的窘境。另一方面，我也希望能更有系統地整理自己的資安知識，讓我在面對內部溝通或外部稽核時，不只是靠經驗直覺，而是有標準、有條文、有邏輯地說明。

在選擇上課單位時，我最終決定在 AIN 全智網上課。這次的上課體驗讓我印象很深刻：服務人員的回應速度、提醒與協助都很到位，整體流程很順，讓人可以把心力放在學習本身，不需要為了行政或細節分心。上課環境也很舒適，從報到、場地安排、課程節奏到休息時間的安排，都感覺得出是有用心規劃的。特別想提到幾位讓我印象深刻的夥伴，例如 Roy、Grace 等人，不只是「把事情完成」，而是會讓你感覺到他們真的在意學員的感受與需求，這種細節往往是加分的關鍵。

而在課程內容上，對我幫助最大的是陳德欽老師的教學方式。他不是單純把條文念過一遍，而是會把觀念拆解、用情境帶入，讓我可以把 ISO/IEC 27701 與實務工作連起來。對研發出身的人來說，理解抽象的管理系統條文有時會卡住，但陳講師的說明讓我更容易掌握「為什麼要這樣要求」、「這個控制點在現場要怎麼落地」、「稽核時會怎麼問、證據要怎麼準備」。尤其當談到 PII 角色、委外關係、個資處理活動與風險思維時，我更明確感受到：PIMS 不是額外的負擔，而是把個資保護從零散的做法，提升成可管理、可追溯、可持續改善的系統。

至於考試部分，我也有一些心得想分享。老實說，考試一定要準備，ISO 條文這麼多不可能死記條文，遇到情境題觀念弄錯就很容易失分。這次讓我更深刻體會到：考試的本質其實是在測你「是否理解概念、能否辨識情境、能否做出合理判斷」。所以準備方式應該是先建立脈絡，例如條文在講什麼、它要解決什麼問題、在公司裡會由誰負責、有出哪些角色；分組討論的練習是有很大用處，在做題目時就會更順。當你能用自己的話把概念講清楚，題目自然就比較不容易被文字陷阱帶走，後續在實務上也可以迅速將觀念關連上。

總結來說，這次 ISO/IEC 27701 的學習，不只是拿到一張證書，而是讓我在「研發兼任資安」的角色上更踏實了一步。我更了解 PIMS 的結構，也更知道如何把管理系統的要求轉成公司真正可執行的流程與證據。也很感謝 AIN 全智網提供了良好的學習環境與服務體驗，讓我能把心力集中在吸收與理解上。接下來我也會把這次學到的觀念帶回工作現場，逐步優化我們對個資與隱私的管理方式，讓「符合驗證需求」不只是為了通過稽核，而是成為公司持續提升信任與品質的能力。