到職前背景查核可以查到什麼程度？能要求良民證或信用紀錄嗎？
對高權限或接觸機密的職務做到職前查核之前，先看台灣法令的界線：
- 就業服務法第 5 條第 2 項第 2 款：雇主招募或僱用員工，不得要求提供非屬就業所需之隱私資料
- 就業服務法施行細則第 1 條之 1：隱私資料包括生理資訊（如基因檢測、藥物測試）、心理資訊（如心理測驗、測謊），以及個人生活資訊（信用紀錄、犯罪紀錄、懷孕計畫或背景調查等）；雇主要求提供時，不得逾越特定目的之必要範圍，並應與目的間具有正當合理之關聯
- 罰則：違反者依就業服務法第 67 條，處新臺幣 6 萬元以上 30 萬元以下罰鍰
實務做法：依職務能存取的資訊等級分級，只有確實需要的職務才要求較深的資料，並把「這個職務為什麼需要這項資料」寫成紀錄。個案能否要求，由法律顧問判斷。
保密協議與競業禁止條款要怎麼寫，才站得住？
保密協議：要具體指明保密範圍，而不是只寫「一切業務資訊」。光簽保密契約，不足以單獨構成營業秘密法的合理保密措施，還要有分級、機密標示、存取紀錄與限制知悉人員；ISO 27001 的資訊分級、存取控制、日誌與人員安全，可以直接作為佐證文件。
離職後競業禁止：依勞動基準法第 9 條之 1，必須同時符合四項：
- 雇主有應受保護之正當營業利益
- 勞工擔任之職位或職務，能接觸或使用雇主之營業秘密
- 期間、區域、職業活動之範圍及就業對象，未逾合理範疇
- 雇主對勞工因不從事競業行為所受損失有合理補償（不包括工作期間所受領之給付）
違反任一款者，約定無效；期間最長 2 年，逾 2 年者縮短為 2 年。範本建議分到職、在職、離職、對外四套。詳見 營業秘密保護。
資安教育訓練要怎麼辦？稽核會看什麼？
BSI 的改版說明指出，ISO/IEC 27001:2022 附錄 A 第 6 條人員控制措施共 8 項，牽涉教育訓練、聘用條款及條件等議題；國家資通安全研究院也說明人員控制 8 項皆為既有措施。人資長要準備的證據：
- 年度訓練計畫：依職務分層，例如全體員工、資訊人員、主管、新進人員
- 完成紀錄：新進人員到職訓練與年度訓練的簽到或線上完成紀錄
- 成效：訓練後的測驗或演練結果
- 追蹤：未完成者的提醒與補訓紀錄
若同時處理個人資料：個人資料保護法施行細則第 12 條所列的安全維護措施，也包括「資料安全管理及人員管理」與「認知宣導及教育訓練」。資安與個資訓練可以合併辦理、共用紀錄。
員工違反資安規定，懲處程序要怎麼訂才能執行？
依勞動基準法第 70 條，雇主僱用勞工 30 人以上，應就「應遵守之紀律」「考勤、請假、獎懲及升遷」等事項訂立工作規則，報請主管機關核備後公開揭示。資安懲處要能執行，做法是：
- 在工作規則或其授權的資安管理辦法，寫明違規類型與懲處等級
- 公告並納入到職與年度訓練，留下員工已知悉的紀錄
- 懲處前先調查事實並保存證據，留下決定紀錄
判斷框架：
- 工作規則違反法令之強制或禁止規定者無效（第 71 條）
- 以「違反勞動契約或工作規則，情節重大」不經預告終止契約（第 12 條第 1 項第 4 款），應自知悉其情形之日起 30 日內為之（同條第 2 項）
是否「情節重大」、懲處是否適法，由法律顧問依個案判斷。
員工離職或調職時，權限移除與資產返還做到什麼程度才算完成？
人資的離職或調職通知，是資訊、資產與保密程序的起點：
| 時點 | 動作 | 要留的證據 |
|---|---|---|
| 確定離職日 | 通知資訊單位排定權限停用 | 通知紀錄 |
| 最後工作日 | 帳號與門禁停用、資產與機密資料返還、提醒保密與競業義務 | 停用時間、返還清單、員工簽收 |
| 調職 | 依新職務重新核定權限，移除舊職務權限 | 權限變更紀錄 |
| 離職後 | 抽查是否仍有殘留帳號 | 抽查紀錄 |
離職返還、權限停用、證據保全的程序，要實際演練過一次：例如模擬一件離職帶走資料的事件，從日誌到證據保全跑一次，找出缺口再修正。
資安專責人力要配幾個？要不要設資訊安全長？
公開發行公司建立內部控制制度處理準則第 9 條之 1 規定，應配置適當人力資源及設備，進行資訊安全制度之規劃、監控及執行資訊安全管理作業。金管會 110 年 12 月 28 日金管證審字第11003656544號令：
| 適用對象 | 要求 |
|---|---|
| 上市櫃公司中，實收資本額 100 億元以上、臺灣 50 指數成分公司，或電子商務營收達一定比例者 | 111 年底前指派資訊安全長，設資訊安全專責單位，含專責主管及至少 2 名專責人員 |
| 其他上市櫃公司（最近三年稅前連續虧損或最近年度每股淨值低於面額者除外） | 112 年底前配置資訊安全專責主管及至少 1 名專責人員；之後才符合條件者，於符合條件起六個月內調整 |
一般公開發行及上市櫃公司，沒有官方文字規定資訊安全長職級。非公開發行公司不受此規範，可自願參考。
積穗科研怎麼協助人資長處理 ISO 27001？
積穗科研由副總、董事級顧問全程親自輔導、不外包，顧問團隊持有 ISO 主導稽核員資格。
- 範圍：先確認客戶、投標與主管機關的資安要求，界定驗證範圍
- 風險評鑑與適用性聲明：依風險評鑑決定控制措施，寫成適用性聲明（SoA）；不適用者敘明理由
- 制度整合：重用風險管理、內部稽核與管理審查
- 內部稽核委外：已取得驗證的組織，內部稽核可委外由積穗代執行
- 時程（服務頁所列）：視範圍與既有制度成熟度，典型 4–8 個月
客戶授權公開的 ISO 27001 輔導客戶包括訊光資訊科技、旺矽科技、卓元科健、超核心健身中心。延伸閱讀：ISO 27001 資訊安全管理系統、ISO 27001 輔導顧問怎麼選、ISO 27001 內部稽核委外。