ISO 27018 是什麼？公有雲個資保護標準完整說明
ISO 27018 是國際標準化組織發布的公有雲個資保護指引，全名 ISO/IEC 27018，對象是代表客戶處理個人可識別資訊（PII）的公有雲服務提供者。它以 ISO/IEC 27002 為基礎，補上雲端個資專屬的控制措施，例如只依客戶指示處理、不把客戶資料拿去做行銷、公開次處理者與資料存放地點，以及服務結束時返還或刪除資料。
台灣的 SaaS、雲端 CRM 與人資系統業者，最常在海外客戶的供應商審查問卷裡第一次看到 ISO 27018。這篇說明標準的內容、與 ISO 27017、27701 的差別、哪些企業真的需要，以及導入與驗證方式。若想直接評估導入範圍，可參考我們的 ISO 27018 驗證輔導。
重點整理 – 現行版本是 ISO/IEC 27018:2025（第 3 版，2025 年 8 月發布），依 ISO/IEC 27002:2022 調整，並新增附錄 B 延伸實施指引，取代 2019 年版。 – 適用對象是以 PII 處理者身分提供公有雲服務的企業；只是使用 Microsoft 365、AWS 或 Azure 的公司，並不會因此成為主要適用對象。 – ISO 27018 是指引標準，實務上多與 ISO 27001 一起稽核驗證；它不等於符合 GDPR 或台灣個資法。 – 它的要求與《個人資料保護法施行細則》第 8 條對受託者的監督事項高度重疊，台灣企業可以一次對應兩邊的要求。
ISO 27018 是什麼？
ISO/IEC 27018 是公有雲中個人可識別資訊（PII）保護的實務指引，正式名稱為「Guidelines for protection of personally identifiable information (PII) in public clouds acting as PII processors」。它以 ISO/IEC 27002 的資安控制措施為基礎，針對雲端業者以 PII 處理者身分代客戶處理個資的情境，補充專屬的控制措施與實施指引。
這份標準的歷史不長。2014 年發布的第一版，被 Microsoft 形容為第一份國際性的雲端隱私實務準則；2019 年改版後，2025 年 8 月再發布第 3 版 ISO/IEC 27018:2025，共 35 頁，由 ISO/IEC JTC 1/SC 27 負責。依 ISO 官方說明，2025 年版已與 ISO/IEC 27002:2022 對齊，並新增附錄 B 提供延伸的實施指引。
理解 ISO 27018 的關鍵是「處理者」這個角色。控制者決定蒐集哪些個資、用在什麼目的；處理者則依控制者的指示代為處理。一家提供雲端人資系統的公司，替客戶保存員工薪資資料時就是處理者；同一家公司處理自家員工的資料時，則是控制者，這部分不在 ISO 27018 的主要範圍內。
ISO 27018 主要要求有哪些？
ISO 27018 的要求可以歸納成一句話：雲端業者只能依客戶指示使用客戶的個資，而且要讓客戶隨時知道資料在哪裡、誰碰過、何時刪除。依 Microsoft 對其通過 ISO 27018 稽核的說明，以及標準本身涵蓋的 PII 生命週期，主要要求如下表。
| 要求重點 | 雲端業者要做到什麼 | 對應台灣《個資法施行細則》第 8 條 |
|---|---|---|
| 依客戶指示處理 | 只在客戶指示的範圍與目的內處理個資 | 受託者僅得於委託機關指示之範圍內處理 |
| 不用於行銷或廣告 | 未經明確同意，不得把客戶資料用於行銷或廣告，且不能以同意作為使用服務的條件 | 預定處理之範圍、類別、特定目的 |
| 公開次處理者 | 揭露參與處理的其他公司身分 | 有複委託者，其約定之受託者 |
| 告知資料存放地點 | 讓客戶知道資料可能存放的國家或地區 | 預定處理之範圍與期間 |
| 回應執法機關請求 | 只配合具法律拘束力的揭露要求，並通知客戶，除非法律禁止 | 委託機關保留指示之事項 |
| 事故通知 | 發生個資事故時通知客戶 | 違反時應通知委託機關之事項及補救措施 |
| 返還、轉移與刪除 | 在合理期間內返還、轉移或安全銷毀個資 | 委託關係終止時返還載體並刪除個資 |
右欄的對照是台灣企業特有的好處。《個資法》第 4 條規定，受委託處理個資者在個資法適用範圍內視同委託機關；施行細則第 8 條則要求委託機關監督受託者，並定期確認、記錄結果。台灣的 SaaS 業者面對國內客戶的委外監督稽核時，ISO 27018 的文件可以直接拿來回答。
ISO 27018 與 ISO 27017、ISO 27701 怎麼分？
三份標準常被一起提起，但回答的問題不同：ISO 27017 回答「雲端服務本身怎麼保護」，ISO 27018 回答「客戶放在公有雲上的個資怎麼保護」，ISO 27701 則是涵蓋控制者與處理者的隱私資訊管理系統。三者都建立在 ISO 27001 的資安基礎上。
| 比較項目 | ISO/IEC 27017:2026 | ISO/IEC 27018:2025 | ISO/IEC 27701:2025 |
|---|---|---|---|
| 性質 | 雲端資安控制措施指引 | 公有雲個資保護指引 | 隱私資訊管理系統要求，可獨立驗證 |
| 保護對象 | 雲端服務與資訊 | 雲端業者代客戶處理的個資 | 組織處理的所有個資 |
| 適用角色 | 雲端服務提供者與雲端服務客戶 | 公有雲上的 PII 處理者 | PII 控制者與處理者 |
| 與 ISO 27001 的關係 | 依 27002 補充雲端控制措施 | 依 27002 補充雲端個資控制措施 | 2025 年版起不需先有 27001 |
| 典型需求來源 | 客戶要求證明雲端安全與責任分工 | 客戶要求證明個資只依指示使用 | 客戶或法規要求完整隱私管理制度 |
實務上提供公有雲服務、又處理客戶個資的業者，常會把 27017 與 27018 一起放進 ISO 27001 的範圍。若客戶要求的是整套隱私管理制度，或公司同時是大量個資的控制者，ISO 27701 會是更完整的選擇。
哪些企業需要 ISO 27018？
ISO 27018 最適合以 PII 處理者身分提供公有雲服務的企業，例如 SaaS、PaaS、IaaS 業者，以及雲端 CRM、HRM、ERP、客服中心、會計平台、醫療與教育平台。只是使用公有雲的一般企業，並不是它的主要對象。
需求通常來自客戶。歐美或國際集團客戶在供應商盡職調查時，常會問「你的雲端服務有沒有 ISO 27018」，因為它直接回答客戶最在意的幾件事：資料會不會被拿去做其他用途、存在哪裡、交給了誰。台灣也有業者已經取得，例如網擎資訊在 2025 年 8 月通過 ISO 27017 與 ISO 27018 驗證。
判斷是否需要時，可以先問自己三個問題：公司的服務是否部署在公有雲、是否代客戶保存或處理其使用者的個資、客戶是否在合約或審查問卷中問到雲端個資保護。三題都是「是」，ISO 27018 就值得納入規劃；如果客戶問的是整體資安，SOC 2 或 ISO 27001 可能才是第一步。
ISO 27018 怎麼導入與驗證？
ISO 27018 的導入一般分 6 個步驟：現況調查與界定範圍、資料地圖與差距分析、隱私風險評鑑與控制措施設計、建立政策程序與文件、運作輔導與內部稽核，最後協助驗證稽核。核心工作是建立 PII 清冊、繪製資料流向，並整理次處理者清單。
驗證方面要先釐清一件事：ISO 27018 是指引標準，不像 ISO 27001 是管理系統要求標準。實務上它通常與 ISO 27001 一起稽核。以 Microsoft 為例，其 Azure 等雲端服務每年至少一次由獲認證的第三方驗證機構，同時就 ISO 27001 與 ISO 27018 進行稽核，並在適用性聲明中確認已納入 27018 的控制措施。驗證範圍與證書形式各驗證機構不同，專案一開始就要先向驗證機構確認。
已有 ISO 27001 的企業，最省力的做法是在既有的風險評鑑、存取控制與事故管理上，補充 PII 生命週期與次處理者的控制，而不是另起一套文件。我們在協助雲端業者導入時，最花時間的通常不是寫程序，而是第一次把次處理者與資料存放區域完整列出來。
ISO 27018 常見誤解
關於 ISO 27018 最常見的誤解有三個，都和「範圍」有關。
第一，「我們用 AWS 或 Azure，所以要做 ISO 27018」。使用公有雲的公司是雲端服務的客戶，雲端業者本身的 27018 證明可以作為供應商評估的依據；自己是否需要，要看是否對外提供公有雲服務並代客戶處理個資。
第二，「拿到 ISO 27018 就符合 GDPR」。ISO 27018 能建立控制措施與佐證，但無法取代依 GDPR、台灣個資法或其他法規確認具體法定義務的工作，例如跨境傳輸機制與當事人權利的回應期限。
第三，「有 ISO 27018 就不需要 ISO 27701」。27018 只聚焦公有雲處理者的情境，不涵蓋控制者的義務，也不是完整的隱私管理系統；如果公司自己蒐集大量個資，或客戶要求隱私管理制度，仍需評估 27701。
SaaS 業者準備 ISO 27018，第一步該盤點什麼？
第一步是盤點三樣東西：服務中處理了哪些客戶的哪些個資、這些資料存放在哪些雲端區域、有哪些次處理者會接觸到資料。這三份清單同時是 ISO 27018 差距分析的起點，也是回答客戶審查問卷最常被要求的內容。
如果想確認公司是否屬於 ISO 27018 的適用範圍，以及能否與現有的 ISO 27001 一起驗證，可以 先請顧問看一下現況。
ISO 27018 常見問題
ISO 27018 可以單獨驗證嗎？
ISO 27018 是指引標準，不是管理系統要求標準，實務上多與 ISO 27001 一起稽核：先以 ISO 27001 建立管理系統，再把 27018 的控制措施納入適用性聲明。也有驗證機構提供 ISO 27018 的稽核與證明，但證書形式與前提條件各機構不同，應在專案一開始就向預定的驗證機構確認。
私有雲適用 ISO 27018 嗎？
ISO 27018 的名稱與範圍明確針對公有雲中的 PII 處理者。替單一客戶建置的私有雲或代管環境，可以參考其控制措施來設計個資保護，例如依指示處理、返還與刪除；但能否納入驗證範圍，要依服務模式與驗證機構的判斷而定。相較之下，ISO 27017:2026 明確適用於包含私有雲在內的各種部署模式。
ISO 27018 最新版本是哪一版？
現行版本是 ISO/IEC 27018:2025 第 3 版，2025 年 8 月發布，取代 ISO/IEC 27018:2019。2025 年版依 ISO/IEC 27002:2022 調整控制措施，並新增附錄 B 提供延伸實施指引。採用 2019 年版的企業，應在下一次稽核前對照新版重新檢視控制措施。
取得 ISO 27018 等於符合 GDPR 嗎？
不等於。ISO 27018 協助雲端業者建立個資保護控制措施與佐證，有助於回應 GDPR 對處理者的要求，但不能取代確認具體法定義務的工作，例如資料處理協議、跨境傳輸機制與事故通報時限。台灣企業也仍要依個資法與施行細則處理委外監督等義務。
參考資料
- ISO/IEC 27018:2025 Guidelines for protection of PII in public clouds acting as PII processors – 第 3 版，與 ISO/IEC 27002:2022 對齊並新增附錄 B。ISO · 2025 年 8 月
- ISO/IEC 27018 Code of Practice for Protecting Personal Data in the Cloud – 雲端業者依 ISO 27018 的承諾與年度稽核方式。Microsoft Learn
- 個人資料保護法施行細則 – 第 8 條：委託蒐集處理利用個資之監督事項。法務部 · 民國 105 年 3 月 2 日修正
- 個人資料保護法 – 第 4 條：受託者視同委託機關。法務部全國法規資料庫
