業者應採取下列資料安全管理措施：
一、個人資料有加密之必要者，應於蒐集、處理或利用時，採取適當之加密措施。
二、個人資料有備份之必要者，應對備份資料採取適當之保護措施。
三、傳輸個人資料時，應依不同傳輸方式，採取適當之安全措施。

業者以資通系統直接或間接蒐集、處理或利用個人資料時，除前項要求外，應採取下列資料安全管理措施：
一、建置防火牆、電子郵件過濾機制或其他入侵偵測設備等防止外部網路入侵對策，並定期更新。
二、資通系統存有個人資料者，應設定異常存取資料行為之監控及定期演練因應機制。
三、確認蒐集、處理或利用個人資料之電腦、相關設備或系統具備必要之安全性，採取適當之安全機制，定期檢測並因應系統漏洞所造成之威脅。
四、與網路相聯之資通系統存有個人資料者，應隨時更新並執行防毒軟體，及定期執行惡意程式檢測。
五、資通系統存有個人資料者，應設定認證機制，其帳號及密碼須符合一定之複雜度。
六、處理個人資料之資通系統進行測試時，應避免使用真實個人資料；使用真實個人資料者，應訂定使用規範。
七、處理個人資料之資通系統有變更時，應確保其安全性未降低。
八、定期檢視處理個人資料之資通系統，檢查其使用狀況及存取個人資料之情形。
九、評估使用情境，採行個人資料之隱碼機制，就個人資料之呈現予以適當且一致性之遮蔽。
十、其他本部公告之資料安全管理措施。