組織應建立資料安全稽核機制，可透過技術及管理手法進行稽核，監控資料存取及流出狀況。整體資料安全稽核機制應區分為：
1 管制區域：
1.1 對於存放個人資料之空間，儲存媒體不論是數位式或是非數位式，該區域是否設為管制區域，是否設有進出管制設備或機制。
1.2 所有人員進出是否留下進出時間、目的、以及接觸個人資料範圍之記錄以供備查。
1.3 該管制區域是否有攝影設備，記錄所有進出之人員以及接觸過之儲存媒體。
1.4 前述所提之記錄以及相關攝影影像檔案是否另行保管，欲取得這些記錄，需保管單位之主管正式核可後始可取得，但嚴禁對內容作任何之異動。管制區域之進出記錄為避免被人員竄改，可以紙本進行簽到與記錄。
2 人員：
2.1 所有人員進出前述管制區域是否經過身份確認（例如：使用識別證通行）。
2.2 人員進出廠區是否檢查攜有儲存個人資料檔案之資訊設備。
2.3 人員離開廠區，是否檢查攜有儲存個人資料之媒體（例如：紙本、USB隨身碟）。
3 儲存媒體：
3.1 透過系統接觸存有個人資料之媒體：
3.1.1 存有個人資料之資訊系統屬機敏性應用系統，是否針對不同業務需求，設定不同之存取權限==>可利用ACL、Role-Based權限設定機制，搭配存取個體之識別與認證機制，確保存取個人資料者之身份。
3.1.2 所有透過資訊系統存取個人資料檔案之行為，是否被確實記錄，記錄內容是否包括：
3.1.2.1 存取者帳號
3.1.2.2 存取者使用之設備
3.1.2.3 存取者使用之網路IP
3.1.2.4 存取時間
3.1.2.5 存取資料內容
3.1.3 機關內是否禁用IM軟體、非公司控管之Web Mail以及所有Internet所提供可以進行資料交換或儲存之網路空間。
3.1.3.1 若因業務需求，需使用前述之網路服務，是否透過監控機制，記錄所有之行為以及傳輸之資料內容。
3.1.3.2 在技術可支援情況下，啟動資料封包攔截檢查機制，若發現有與個人資料檔案相關者，系統是否啟動警示機制，通知相關技術人員以及主管。
3.1.4 對外發送電子郵件是否經過組織指定之主管檢視後，確定未攜有機敏性之個人資料或已被授權傳送之個人資料後始可進行寄送。
3.1.5 機關是否設置資料庫活動監控工具(Database Activity Monitoring, DAM)記錄所有存取資料庫之行為，避免資料庫之管理人員迴避資訊系統之權限控管，直接取得儲存於資料庫之個人資料。
3.1.6 人員進出是否檢查是否攜有儲存個人資料之電子媒體（例如：USB隨身碟、數位相機）。
3.1.7 前項所提之記錄是否另行保管，欲取得這些記錄，是否經保管單位之主管正式核可後始可取得，且嚴禁對內容作任何之異動。
3.2 個人資料之輸出：
3.2.1 機關內容易被疏忽之輸出設備存放區域是否有適當之管理機制，例如：進出管制。
3.2.2 輸出設備是否有專人定期進行管理，降低資料輸出後被非法取用。
3.2.3 輸出至紙本之資料是否經適當之保護與身份確認管制措施後始可進行輸出，例如：取件人需輸入帳號與密碼後始可從輸出設備取得列印之紙本。
3.2.4 輸出至紙本之資料是否經過必要之保護，例如：浮水印警語、機敏性資料去識別化。
3.3 直接接觸存有個人資料之媒體：
3.3.1 機關是否明確說明，因業務所需而必須接觸存有個人資料媒體之員工所能接觸之媒體清單，且需稽核是否設定各種確認程序，確保接觸存有個人資料媒體者是已被授權之人員。
3.3.2 人員除進出存有個人資料檔案之管制區域需有記錄外，對於所接觸之媒體是否詳實記載。
3.3.3 存有個人資料檔案之媒體若因業務需求需要移出公司外部（例如：硬體故障），是否進行下列程序：
3.3.3.1 是否透過正式申請程序取得權責主管之同意，並開立放行單。
3.3.3.2 所有儲存在媒體上之個人資料是否進行清除，若實務上無法達成，是否對這些個人資料進行必要之保護措施（例如：對個人資料檔案進行加密）。
3.3.3.3 是否與運輸、處理這些媒體之廠商簽訂保密協訂，廠商需明確保險不蓄意存取這些個人資料，即便無可避免一定會接觸到資料，需保證不能外洩。
4 委外管理：
4.1 依據『個人資料委外作業管理』，機關是否明確在委外合約上要求受委託者建立個人資料檔案保護機制，同時，是否要求受託者執行前述所有機關內對資料安全之控管機制。
4.2 受委託者是否對委託機關所要求之資料安全保護事項之執行情況留下記錄。
5 針對各項接觸個資之記錄是否由有被法律認可之機制進行記錄與儲存（例如：以數位型式儲存之記錄必須是無法被人為新增、修改、與刪除）。
6 機關是否指定專人定期稽核上述所提及之記錄以及相關作業流程是否被落實。稽核記錄是否定期呈送機關高階主管進行核覆且妥善保管以備查。