文 ／ 精品科技 資安顧問 許祐福
個資法在10月1日已正式上路，不管您的企業有沒有收集大量個資，面對只要有一筆個資就適用，未制定管理辦法而發生外洩事件，就可懲處2萬~20萬的行政罰鍰，您勢必要有一些具體的因應措施。所幸，個資法施行細則已明確指示善良管理人可進行以下措施，包含：
- 配置管理之人員及相當資源。
- 界定個人資料之範圍。
- 個人資料之風險評估及管理機制。
- 事故之預防、通報及應變機制。
- 個人資料蒐集、處理及利用之內部管理程序。
- 資料安全管理及人員管理。
- 認知宣導及教育訓練。
- 設備安全管理。
- 資料安全稽核機制。
- 使用紀錄、軌跡資料及證據保存。
- 個人資料安全維護之整體持續改善。
這11條對企業來說，可能與營收沒有直接相關，屬於額外增加的企業經營負擔。但個資法不只是管理要求，更是法律議題，未來企業面臨到的是訴訟時如何舉出有效證據，證明企業符合法律要求，有盡善良個資保管人之義務。做的徹不徹底是一回事，有沒有做卻很容易辨別的出來。所以如何與現有的管理制度整合，用已有的資源因應，並減少對業務流程的影響，才是因應個資法的技巧所在。本文要教您活用機密文件的保護方案X-FORT，將個資視為有價值的機密資料作保護，並因應施行細則的要求，提升企業的訴訟舉證能力。
當企業決定因應個資法，並指派專責的個資管理人員後，個資管理人員就要與各部門代表協商盤點個資。可能面臨到的困境是，部門代表知道有哪些個資，知道由誰保管，也知道有哪些部門的人在使用。但不一定知道這些個資是散落在這些人電腦的哪些資料夾裡面。
此時可善用X-FORT的遠端尋檔功能，依據個資清冊的檔案特徵，設定多種搜尋條件去掃描部門中所有電腦，協助部門代表找出散落於各處的個資檔案。這樣能夠在個資盤點後，進一步收斂在業務流程中衍生且散落於各處的個資檔案，避免潛在的外洩風險。在達到界定個資範圍之餘，還能有效的降低外洩風險。
另外，也可以進行跨部門的電腦盤點，藉由跨部門的掃描結果，更能找出流程上的漏洞，或是發現未列管的跨部門個資使用者。
盤點出部門內擁有的個資後，下一步就是描繪出個資的使用流程了。此時個資管理人員與部門代表又會面臨到，描繪出的個資使用流程可能不夠詳細，或是跟實際流程有出入，如果部門代表本身沒有意識到，個資管理人員也很難發現流程不夠確實的問題。此時X-FORT的Log分析功能，能依據檔名特徵，串出使用者實際操作個資檔案的歷程。包含檔案的建立、開啟、列印、搬移、更名、刪除、網芳上下傳、即時通上傳、網頁資料上傳、Email寄送等。Log分析結果可用來跟部門代表提出的流程作比對，一來可強化個資流程的正確性，二來可協助部門代表進一步掌握業務流程的細節。
個資使用流程描繪的愈徹底，愈能掌握可能的風險，作為評估個資風險的計算依據。並針對具有高風險的環節(例如有可能造成大量個資外洩的操作)，增加控制措施來降低風險。控制措施可以依照風險的程度、存取的形式，採用不同層級的控制手法。包含：
- 存取個資時提醒員工須依法使用個資
- 紀錄存取個資的行為
- 限縮非必要的存取權限
- 以個資存取紀錄建立有效稽核點
- 端點防護(DLP)控管外洩管道
- 存取個資行為全程錄影
- 外洩行為主動警示
由於企業內部一般使用者存取個資的形式非常多元，可能包含紙本、電子檔案、網頁或是應用程式。而紙本的列印不但要有記錄，且要能看到實際列印的檔案內容，並要在列印的文件上留下可識別使用者的浮水印，未來在追查紙本個資外洩時才有跡可循。且應減少用紙本的形式來流通個資，因為紙本難以達到個資法要求的記錄、預防和警示。建議紙本的個資盡量電子化後，將原稿上鎖保護，減少流通、外洩的機會。轉為電子檔案後，就能用X-FORT的各種行為記錄，串起完整建立、開啟、搬移、複製、列印、寄送、更名、刪除等等使用記錄。未來在追查外洩事件時，就可以用以物追人的方式查出外洩途徑，進行舉證。
若紙本的個資經由網頁或軟體介面儲存進資料庫，也可針對指定的網頁路徑或軟體進行錄影，將處理、利用個資的歷程自動全程記錄下來。藉由精確的觸發條件，不但可避免產生過於大量且無用的錄影記錄，降低儲存空間的成本。未來在舉證時，還可快速地依照觸發條件，篩選出個資的處理、利用畫面。員工知道全程錄影，在操作個資時也會更加謹慎、小心。而且更重要的是，個資法保障當事人對於個資的權利行使，當事人可要求禁止利用，甚至刪除企業所保有的個資。當企業依當事人要求刪除個資，但三個月後當事人又因個資外洩而蒙受損害時，此時企業該如何舉證已在三個月前刪除當事人個資，證明自己的清白。此時之前保留的錄影就是最直接的證據。
另外也建議藉由個資盤點的成果，將個資納入現有機密資料保護流程。也就是將個資視為內部機密資料，加上存取控管的概念，適度的限縮不必要的使用權限，並限制個資檔案的流通。建議可將個資檔案集中存放在伺服器，只供有權限的人員存取檔案。對於管理個資的人員，不限制其操作，只記錄行為。而對只有查詢目的的個資使用人員，建議用X-FORT的文件防駭功能，限制只能開啟檔案，但不能編輯內容，也無法下載到自己的電腦去作其他目的的利用。
X-FORT 因應個資法對照表
| 1. 配置管理之人員及相當資源 | 導入X-FORT |
| 2. 界定個人資料之範圍 | 遠端尋檔 + Log分析 |
| 3. 個人資料之風險評估及管理機制 | |
| 4. 事故之預防、通報及應變機制 | 外洩行為主動警示 |
| 5. 個人資料蒐集、處理及利用之內部管理程序 |
存取權限控制存取
個資行為記錄
端點防護控管外洩管道
|
| 6. 資料安全管理及人員管理 | 端點防護控管外洩管道 |
| 7. 認知宣導及教育訓練存取 | 個資時跳出提醒訊息 |
| 8. 設備安全管理 | 端點防護控管外洩管道 |
| 9. 資料安全稽核機制 | 建立有效稽核點 |
| 10. 使用紀錄、軌跡資料及證據保存 | 存取個資行為記錄、錄影 |
|
11. 個人資料安全維護之整體持續改善 |
進一步降低大量個資外洩的機會，也可以減少個資盤點的成本。另外，當使用者存取個資時，也要跳出提醒使用者謹慎使用個資的宣示訊息。惟有將資安的政策，提示在使用者的每一次存取行為中，才能讓每年進行1~2次的資安教育訓練，內化為存在每位同仁心中的企業文化，進而達成個資零外洩的目標。F
