資安新知

文 / 精品科技行銷部編輯

在這個資訊安全與個資保護越來越重要，甚至將影響企業生存命脈的今日，一套由經濟部所主導推動的個人資料管理制度TPIPAS（臺灣個人資料保護與管理制度）及通過TPIPAS驗證後取得的dp.mark（資料隱私保護標章），正低調透過先影響各產業內的重要企業，希望能逐步提升台灣企業整體對個人資料保護的品質，以及企業對個人資料保護法的遵循完整度與容易度。

閱讀全文...

近一年多來，肇因於行動裝置、雲端應用等趨勢的盛行，再加上兩項趨勢彼此結合程度益發緊密，進而產生莫大干擾變數，衝擊企業IT疆界治理至鉅；值此時刻，如何促使傳統電子資料防護、也就是資料外洩防護(DLP)機制加以延伸，藉此達到更好的防禦效果，實為相當重要的課題。

精品科技資安顧問兼資安部經理陳伯榆指出，綜觀現行的電子資料防護機制，發揮數項關鍵機能。一是IT介面裝置管控，例如管控外接裝置、光碟／燒錄裝置、列印裝置等等；二是軟體安控，管制範圍含括軟體(特殊)執行、軟體禁用(如禁止使用TeamViewer)、時段的軟體開放、軟體執行行為紀錄、主管審核、延伸檔名管理…等等。

閱讀全文...

文 / 精品科技 許樹龍

自從雲端隨處可用的概念推出以來，每年都有雲端相關的消息，然而最近這一年多，隨著雲端技術的快速進步，硬體、軟體不斷地推陳出新，雲端硬碟也已漸漸普及，並受到多數的電腦使用者應用在其生活、工作⋯等方面。底下就從一個使用者的角度來看現在的雲端硬碟。

世面上主要的雲端硬碟有哪些

雲端服務是目前最新的商業模式之一，只要網路搜尋雲端硬碟，隨便就可以找到數十個以上的供應者資訊，這裡不特別一一介紹，主要簡單列出幾個國際知名的廠商，以及其提供的免費服務供大家參考。

然而取得上述雲端空間之後，是否就可以隨意存放檔案呢？答案當然是”No”，舉例來說：上述雲端硬碟對於所存放的檔案，其單一檔案大小有所限制。

以Google Drive為例，存放

• 文件格式檔案：無論頁數多寡和字型大小，上限都是1,024,000個字元。上傳的文件檔案轉換成Google文件格式後，大小不可超過50 MB。若是放置簡報檔案：在Google簡報中建立的簡報檔案大小上限是100 MB。上傳的簡報檔案轉換成Google簡報格式後，大小上限是50 MB。
• 試算表檔案：200萬個儲存格，即將達到上限時，Google會提醒即將達到上限。
• 其他檔案部分：上傳檔案時，如果檔案未轉換成 Google文件、試算表或簡報格式，則每個檔案的大小上限為5 TB。

不過，免費空間目前只有15 GB，要達到單一檔案大小的上限，勢必要付費增購雲端硬碟的空間。

此外，若是使用Google的Google Drive或是微軟OneDrive，可以很容易的與其相關產品結合使用，增加使用上的便利性。若是大家覺得上述空間不夠，目前就個人所知較大的免費雲端空間，大多數都是對岸提供，例如： 360雲盤，官方網頁說明其提供最低的免費空間是36 TB起跳，有需求的使用者還是要自行判斷各家雲端的申請條款。

企業版與個人版又有哪些差異

上表所提到的雲端業者除了個人版本之外，皆已有提供企業版供各個公司使用。而企業版與個人版在使用上確實有些不同，例如在基本的雲端空間上，上述廠商的企業版目前並未提供無限期使用的免費空間，但是不同業者針對企業版的雲端服務仍分別提供14天~ 60天不等的試用期間，供使用者試用。不過，須注意的是，"OneDrive及Google Drive 的企業版試用結束後若未購買，即無法繼續使用企業版雲端空間"。而且Google Drive在試用期間若是企業帳戶裡的成員人數超過10人，視同試用期結束，未購買產品，將無法繼續試用。

另外，企業版與個人版功能上最大的差異在於企業版設有管理者主控台，可以由指定管理者進行相關管理設定。以OneDrive為例，管理者可以在該企業帳號下，透過CV檔快速大量新增使用者，同時也提供單一登入與Windows AD同步處理的相關設定，可以指派專屬權限，也具有稽核功能，可以追蹤哪些使用者已對網站、內容類型、清單、文件庫、清單項目及網站集合的文件庫檔案執行哪些動作，並且可以於使用者共同作業時利用Yammer ( OneDrive專用 ) 即時交換意見。不過，單以微軟企業版所提供的雲端服務─使用Office 365 OneDrive for Business以及使用SharePointServer 2013 OneDrive for Business，在功能上就有些許差異，例如：稽核功能報表部分，針對使用Office 365 OneDrive for Business的報告項目並不多，主要是顯示已部署的網站，以及服務使用的儲存空間，若是需要較多樣的稽核管控與報告就必須使用SharePoint Server 2013 OneDrive for Business的服務。

同樣的，Google企業版的雲端服務也區分成兩種，一是Google Apps for Work，另一是Google Apps for Work Unlimited，除了使用空間大小有所差距外， Unlimited版本的服務對於雲端硬碟的控管不僅提供進一步的雲端硬碟管理設定，並提供雲端硬碟內容和共用狀態分析資料的檢視功能。另外，在Google企業版的雲端服務中，有一項功能很方便，就是當人員離職或是職務更動進行業務交接時，管理者只要在管理介面上輸入新舊擁有者的電子郵件，就能搬移所有郵件與雲端硬碟的資料給新使用者，快速完成資料轉移。

建議各個企業組織在評估導入雲端服務時，除應考量自身的需求外，並應深入了解不同版本的功能以及授權條款應注意事項，方能選用適合的方案若要使用企業版需要注意哪些事項公司或組織導入企業版雲端硬碟時，因為該雲端服務為多人使用，應更加小心注意相關控制，以免因疏忽或意外對公司或組織造成重大傷害。但是，如何了解應注意那些重點呢？建議可使用資訊安全管理系統基本CIA的三個面向來看 – C ( Confidentiality；機密性 )、 I ( Integrity ； 完整性)、 A ( Availability ；可用性 )。

• 機密性： 雲端上的資訊如何讓不應看到的人無法看到，可綜合搭配各項不同的管理機制。例如：建立資訊機密等級管理制度、建立權限管理機制 (透過2人以上的控制，避免權限設定混亂或錯誤)、導入文件加密管理系統 (多數雲端服務提供安全的加密通道，但是並未提供文件本身的加密服務)、定期審核雲端服務提供的記錄 (利用記錄進行事後管理及警示)⋯等。
• 完整性： 是否有什麼狀況影響了資料的正確性及完整性，如何避免發生異常狀況或是有效管理異常呢？例如：針對重要資訊設定異動通知、重要資料區域定期進行異動管理、定期進行備份、建立雲端文件的異動管理作業⋯等。
• 可用性： 什麼樣的狀況會影響雲端服務的使用？建議可從內部及外部的風險來看。例如：避免外部雲端服務中斷 (選用信譽佳的廠商、建立備援網路通道)、避免內部服務問題 (網通設施的異常管理、網路設定作業控制)、營運持續的考量 (備援作業的規劃與執行)⋯等。

以上簡單列舉幾個面向作為導入雲端控制評估應注意事項的參考，盼能在公司或組織建立雲端服務的相關管理控制上有所助益，以期達到增進作業效率的效果。

文 ／ 精品科技 資安顧問兼資安部經理 陳伯榆

當雲端服務與工作生活逐漸合而為一

雲端服務並不侷限雲端儲存這一項應用，有許多創新應用吸引著使用者。雲端應用可以應用在工作、教育、生活⋯等各個層面。伴隨著Web Based 技術快速發展、行動可攜(Mobility) 裝置普遍使用、以及未來必定成熟的IOT 技術，都將脫離不了雲端應用。

閱讀全文...

文 ／ 精品科技 資安顧問兼資安部經理 陳伯榆

雲端加密軟體整體評測

伴隨相關雲端硬儲存或是雲端服務的逐漸普及，不論在企業組織或是個人使用，這一條「公」與「私」的界線也越來越模糊，企業組織的機敏性資料也暴露在網際網路世界中，資訊安全所重視所謂的「Access Control」面臨很大的衝擊。在前篇「企業雲端安全使用」，已經提供企業織對於雲端防護的可能性作為，在本篇將完全聚焦在雲端加密軟體的應用與功能的優異與缺點說明。

閱讀全文...

文 / 精品科技 研發一部 陳茂清

如何開始當個Hacker(駭客)？

首先要探討到Hacker文化，Hacker指的是擁有技術並且志在解決問題及突破創造之人，只要你熱衷於鑽研技術、分享技術、喜歡修改現有程式後重新發佈且樂於解答他人問題，在電腦軟體或硬體界貢獻一己之力直到有Hacker稱呼你為Hacker時，你便是一位Hacker。雖然在國內各大媒體及大眾眼裡，所謂的駭客就是一群具備入侵他人電腦能力的人，且不區分Hacker及Cracker。其實作為一個Hacker，入侵他人電腦系統只是因為其了解電腦系統的運作原理，並且有能力進行一定程度的干涉(創造或者破壞)，故若要成為目前大眾所認知的Hacker，你必須要先懂得電腦系統、軟硬體、網際網路等等的運作原理，方能知悉如何干涉其中，並會因為你之後的所作所為在駭客界中將你區分為Hacker或者Cracker。

閱讀全文...

為何要考CISSP ?

CISSP (Certified Information Systems Security Professional) 是 (ISC) 這個非營利組織所推行的資安認證。目的是提供資安從業人員在資訊安全領域上，不同範疇專業能力水平。擁有所需要的技術水準與經驗，能有效地處理及執行企業的資訊安全系統及政策。

有別於其他一般的IT 認證，CISSP 是中立的，跟產品或廠牌無關。大家所熟知的 MCSE、CCNP... 等，都是針對廠牌或產品所設計的證照；適用於ISP/ISV 服務供應商的專業從業人員，而CISSP 範疇則是較為廣泛，不侷限在特定產品上。

這個認證對實務經驗也有一定程度的要求，考試的題目中會穿插一些實驗性題目；也有部分是實務經驗題。因為在實際工作上所面臨到的問題，並非一定有標準答案可以依循。從業人員的專業知識與工作經驗，決定了解決方案內容。所以經驗不同，答案可能不同；不是標準答案，而是Best Practices。

閱讀全文...

文 ／ 精品科技 資訊部 鄭文聖

目前企業較為常見的作業系統大都為微軟Windows及 Red Hat Linux，而經常使用及管理微軟作業系統的人知道，每星期或每天幾乎都有修補檔(Patch)要安裝，防毒軟體更新等，而系統管理人員大都也會乖乖照做，問其原因，普遍回答”Windows很容易中毒”、”Windows容易被攻擊”⋯等，其實所有作業系統均需要被良好的管理，差別在於觀念及做法，下面我們從使用者角度介紹，來看看如何做好個人電腦的資訊安全防護。

閱讀全文...

文 ／ 精品科技 法務 邱芷葳

接到僱用公司的錄取通知後，報到當日往往需要花費至少半天的時間來簽署各種文件，但報到當天要簽的文件究竟有哪些呢？

閱讀全文...

文/精品科技 研發一部 鄭楷照

隨著智慧型行動裝置(手機、平板電腦等)的普及，人員攜帶行動裝置上班成為普遍情況。由於行動裝置的功能強大，如果企業、組織沒有做好防範，便有可能造成機密資料、資訊洩漏。在企業、組織的機密管制區域，通常會禁止人員攜帶智慧型行動裝置(手機、平板電腦)入內，以避免機密被洩漏。然而行動裝置有許多功能對於使用者有幫助，可增進工作效益，而不虞造成機密資料洩漏。如果能夠對於行動裝置可能造成機密外洩的功能或行為進行限制，而不影響其他功能，將可以在保護資訊安全的前提下，給使用者更多便利。

目前市面上的MDM軟體類型

行動裝置控管(Mobile Device Management，簡稱MDM)能夠對行動裝置(如手機、平板電腦或其他攜帶性裝置等)的功能或操作行為進行控管，以保護企業組織的機密資訊。

現行MDM軟體的常見功能，包括整合使用者帳戶/憑證，以設置資安控管政策與權限；控管行動裝置硬體功能(如相機、Wi-Fi、藍牙…)並且留下使用記錄；收集行動裝置硬體與系統資訊(包括裝置ID、各硬體功能開關狀態、電量…)；行動裝置遺失對策(位置追蹤，遠端鎖定裝置，遠端抹除裝置資料(Wipe)…)等。

MDM軟體對於行動裝置上的軟體(APP)亦可進行控管(亦稱為Mobile Application Management，MAM)，例如控管行動裝置安裝的軟體：強迫安裝、反安裝APP，限制軟體的執行，以及管理企業內部APP的下載分享。MDM軟體可控管企業組織的機密資料的存取途徑、與使用者權限，避免儲存於行動裝置的機密資料被外移備份(亦稱為Mobile Content Management，MCM)。

現有的MDM軟體架構，除了運行於行動裝置的MDM APP，通常還具有MDM的中央伺服器。中央伺服器可以是Internet上的雲端伺服器，或架設於企業組織內部網路。中央伺服器管理安裝有MDM APP的行動裝置，例如指派資安政策、收集裝置資訊、遠程遙控等；中央伺服器可兼具企業資料伺服器的功能，行動裝置只能透過中央伺服器途徑存取機密資料，使機密資料流向得以管制；中央伺服器亦可作為企業內部的APP Store，讓使用者下載安裝所需的應用軟體APP。

為了在使用者上班時自動控管裝置，而在下班後能便利解除管制，現有MDM軟體有些可設置為根據時間與位置決定是否處於管制狀態。例如判斷時間是否為設置的上班時段，如果在上班時段內才啟用管制。這需要與中央伺服器同步時間，並且偵測時間是否經手動修改；地理位置則根據GPS、AGPS取得座標，檢查是否在定義的管制區域內，如果在管制區域內才執行資安政策。

缺少MDM可能造成的問題

1.使用者將企業組織機密外流：

企業組織常在內部網路，以資料伺服器方式儲存、分享資料。現在的智慧型行動裝置均具有Wi-Fi連線能力，因此若資料伺服器與行動裝置雙方面沒有保護措施，當行動裝置進入內部網路區域，便能夠作為終端隨意下載內部資料，抑或是透過USB、藍牙直接與內部設備連線，從而複製外移檔案，造成機密資訊外流。此外現在行動裝置大多具有攝影機設備，若未加以限制，則很容易經由拍照或錄影方式取得機密資料。

為了保護企業組織的資料不外流，對於儲存、分享資料的途徑必須加以管制，例如使用中央伺服器統一儲存管理資料。使用者需要以本人帳號登入中央伺服器才能夠存取內部資料，並且所有存取行為會留下操作記錄以便追蹤。機密資料在傳輸過程也必須加密，並且經MDM APP下載到行動裝置後，需要將機密資料分隔存放於保護區(仍加密)，使資料不能夠複製外移，要檢視機密資料亦需要進入MDM保護區(可設密碼保護)，並且透過指定的唯讀APP或是MDM軟體解密後瀏覽，以進一步保護資料。透過MDM軟體限制行動裝置的相機等硬體，以避免機密資訊被拍照流出。

2.行動裝置遺失：

若存放有企業組織機密資料的行動裝置遺失在外或失竊，則機密資料可能被因此外流。若行動裝置預先安裝有MDM軟體，則遺失裝置時，可即刻透過網路或簡訊方式遙控，遠端將行動裝置鎖定、遠端抹除行動裝置資料，或利用位置資訊追查裝置下落等措施進行補救。並且平時MDM可強制使用者設定有足夠安全的密碼(與有效期限，到期則必須重設)，再配合將機密資料加密、分隔存放的方式，以增加遺失裝置後的安全時間。

3.不當APP

使用者可能有意無意間，執行不當的APP軟體，例如已知的惡意軟體(木馬、資安漏洞軟體)、可能造成資訊外洩的APP、破解或非法軟體、或其他列管APP。透過MDM軟體，可以設置黑白名單限制行動裝置可安裝或執行的軟體，以避免因為使用不當APP遭受損失。

MDM搭配端點防護軟體，相得益彰

端點防護軟體包括防毒軟體(Anti-Virus)、防間諜程式(Anti-Spyware)、防火牆軟體(Firewall)、入侵預防(IPS)等，可防範外來的病毒、惡意軟體、木馬或其他形式的入侵攻擊。MDM軟體則可管制使用者的操作行為、控管行動裝置功能與APP執行、以及機密資料的存取途徑，從內保護企業組織的機密資料。若能搭配MDM與端點防護軟體，可更全面的保護機密資料安全。

精品科技現有MDM產品

精品科技現有MDM產品為AndroidFORT，支援Android平台，具有硬體控管功能如Wi-Fi控管(只能連結名單上的AP)、藍牙控管、SIM卡異動鎖定、遠端鎖定、遠端抹除資料等，可收集硬體資產資訊(裝置ID、SIM卡ID、SD卡容量、電量、…)、位置追蹤；能夠依名單管制APP軟體的執行，並且收集已安裝APP軟體名單。與多種操作記錄(檔案操作、軟硬體異動、來電撥出記錄、…)。

MDM軟體能夠管制行動裝置功能與使用者操作，讓企業組織能夠信任人員攜帶行動裝置工作時，避免因此造成機密外洩的損失；對於使用者而言，在限制敏感功能後，能夠使用行動裝置其他功能可帶與其便利，而不至於徹底禁止攜帶智慧型行動裝置。唯在保護資訊安全之餘，也需要注意使用者觀感，尤其當行動裝置並非由企業組織統一配給，而是屬於使用者本人時(Bring your own device, BYOD)：例如必須尊重使用者個人資訊隱私、不該在管制地區/時段外妨礙到使用者正常使用、事先向使用者教育管制項目、與將收集的裝置資訊等。

文 ／ 精品科技 資訊安全顧問兼資安部經理 / 陳伯榆

新版 ISO/IEC 27001:2013升級背景說明與考量

首先要了解升級的背景，關於ISO/IEC 27001升級，依據國際標準組織（ISO）遵循標準，每隔5年必須進行升級修訂的原則來進行。而目前的版本是已經使用8年，這8年的資訊安全變化已非同日而語，必須因應需求進行調整升級。大家也認同原先ISO 27001：2005與ISO 27002：2005的版本在體系整合、控制項邏輯問題、充分性等條件都有強化改進的空間。此外雲端安全更是不能輕忽的狀態ISO/IEC 27001:2013可以與雲端安全聯盟 Cloud Security Alliance (CSA) 所提出雲控制措施矩陣Cloud Controls Matrix (CCM)讓相關控制措施充分結合與應用，就是在處理新資訊服務的另一發展趨勢。

閱讀全文...

文 ／ 精品科技 資訊安全顧問兼資安部經理 / 陳伯榆

若以雲端服務及應用落實的Google 紀元來算起，Google雲端應用服務已經過邁入15年。反觀雲端服務成為廣泛應用也是這2~3年間才快速成長。不從學理上嚴謹的Cloud Computing的定義來界定市場「真雲端」、「假雲端」服務。單就服務應用與創新層面來看，在網際網路結構下，雲端應用(SaaS)的龐大資訊應用與交換，以致延伸出巨量資料分析，就有十分驚人的價值。

閱讀全文...

文 ／ 精品科技 資訊安全顧問兼資安部經理/ 陳伯榆

「如何利用資訊安全技術來強化產品與系統」，沿用這樣的概念，技術應用當成內部及外部資訊安全其中一項重要手段。而「做好內部資訊安全」還需考慮到其他面向，包含：資訊安全管理制度( 標準遵循)、法令的配合遵守，都是組成資訊安全妥善度的重要措施。

內部資訊安全三大面向

上述這三個要素會因產業別、服務對象、法令或是行業法令差異、IT 部門規模、知識產權強度…產生不一樣處置或管理方式，有些組織或單位會特重某些面向，但都脫離不了建構資訊安全三大要素。

閱讀全文...

引用出處：大椽股份有限公司 http://www.digitimes.com.tw/

當前的企業資安正面臨非常嚴峻的挑戰，尤其是愈來愈多的企業機密，被更多資訊部門以外的人員掌握時，企業資安問題更形複雜。精品科技資安顧問許祐福指出，資訊部門人員其實在對抗外界威脅的表現還不錯，但對於內部營業秘密的保護，可能要更為用心，才能避免更嚴重的資安事故發生。

根據商業管理協會（Institute of Commercial Management）研究報告指出，白領工作者平均每周處理11 份機密營業文件，而且這些機密文件常常會在不必要的情況下曝光。報告指出，39% 的工作者曾經將客戶資料寄出公司，52% 的員工曾在離職時，將工作資料帶走；86% 的員工坦承習慣性將郵件轉寄其他人；26% 的員工甚至會使用免費信箱寄送工作資料。

閱讀全文...

文 ／ 精品科技 資訊安全顧問兼資安部經理 / 陳伯榆

國內個人資料保護法( 以下簡稱個資法) 施行屆滿週年，這一年來看似無風無雨，仍有些個人資料外洩案例與事件引起大家的廣泛關注與探討。如果再仔細分析，這些國內個人資料外洩事件與判例，可以做為各行業個人資料保護的借鏡。

話說許多專家學者常列舉日本個資法施行後三年的案例大爆發週期，警示國內政府與產業來格外重視個人資料保護的重要性。從某些私下訪談中，也發現不少產業以為是種威嚇的觀點，甚至態度觀望不言而喻。目前並無任何分析佐證，國情文化差異可以將日本狀態，套用到國內個人資料外洩模式。但是提高警覺並適度改善，進而讓政府企業將個人資料保護延伸到機敏性資料保護的價值，是不否認的課題，相關的案例與訴訟也不少，這是我在第二個章節會特別提出的觀點。這樣的防護模式，才可讓企業主更重視相關保護規劃，以及提高個人保護的雙贏效果。

閱讀全文...

文/精品科技 品管課課長 許祐福

個資等於錢，擁有個資就擁有商機

過去國際犯罪的不法所得，金額最大應該是走私毒品，而現今利用個資所從事的犯罪行為，極有可能取代毒品成為金額最大、影響範圍更為普及的非法活動。所以國際間已經非常重視個資的保護，如果某個國家被認定在個資保護上不週，則國際間各個國家將會限制個資輸出到該國。對於極度仰賴進出口的海島型台灣，會損失很多商機，所以政府緊急修法，是為了讓台灣企業的個資防護水準能與國際接軌。

在現今資訊快速傳遞的年代，個人資料都可以跟錢有直接的關聯，如何合理被利用，也是法律制定的目的。以臉書(facebook)在今年5月21日的收盤價33美元計算，市值約為930億美元。目前臉書的使用者總數已突破9億大關，其中每日活躍使用者（daily active user）人數為5.26億人，因此平均每位使用者貢獻的市值為176.81美元（930億除以5.26億；約台幣5,300元）。臉書上市創造的億萬財富，都是由這群每天主動奉上生活點滴的使用者所成就的。然而，他們並沒有因此分得任何一毛錢。也無法限制臉書如何利用他們的個資來從事營利行為。

個資法上路，台灣比國際更嚴格

隨著個資法上路，未來當事人在被收集個資時，可以得知是哪個企業的哪個部門，為了什麼目的要得到這些個資。甚至還可以知道，他所提供的個資會被保留多久，會不會傳遞到海外。而當事人了解這些資訊後，還會被告知若不願意提供個資，會有什麼權益受到影響（像是收不到優惠通知，或是無法收到中獎的通知…）。這些資訊的明確告知，確保當事人是在知情的情況下，自願提供這些資料，供企業作特定目的的利用。若未來他所提供的個資，要被作超出原先目的、範圍的用途時，他也應會收到一份請求同意的專屬通知。也可以在首次被行銷時，透過免費的聯絡方式要求停止利用他的個資。只要他高興，可以隨時向企業要求閱覽、給予複製本、更正或刪除企業所擁有的個資。

然而，法律是兩面刃，保障當事人權益的同時，也給了來者不善的人士傷害企業的機會。就像企業的資訊設備提供對內對外的服務，是為了創造營收或增加工作效率，但也為駭客提供了長驅直入的窗口。身為企業或資訊部門的主管，面對即將上路的個資法(預計2012年10月01日正式實施)，必須要重新檢視和調整個資蒐集、處理、利用的程序，避免以身試法，成為同業間分析個資法的經典案例。

尤其台灣所制定的個資法比國際間更嚴格。以日本在2005年正式實施的個人情報保護法為例：日本是以擁有5,000筆個資，才需納入法律保障的規範；而台灣是一次到位，只要擁有1筆個資就需符合法律要求。適用範圍也從初期的電子商務，擴展到所有的公務與非公務機關。且企業需自負舉證責任，依照「舉證責任之所在，敗訴之所在」的經驗，企業在面臨訴訟時明顯處於劣勢。

個資法推行，企業應該思考的重要問題

未來也可能是個資蟑螂橫行的時代。個資蟑螂可能藉由各種手法來勒索或打擊企業形象。例如：向主管機關舉發企業未善盡保護個資責任，而使企業蒙受行政處罰和商譽損失。或是假冒當事人行使檢閱個資的權力，取得當事人更完整的個資去從事犯罪。如果企業無法舉證，未來當事人受到實質損失時，企業可能會面臨當事人訴訟及賠償。如同燦坤在2012年初發生的案例，在未來個資法上路後，已經不是一句不知道或是查不出來就可以脫身的。

作者: 林佩怡 中時電子報 2012/1/6

台北市法規會最近接獲六位民眾投訴，指在燦坤網路商城購物後，接到詐騙電話，其中一人遭騙十多萬元；消保官懷疑個資外洩，要求業者說明，警方也介入調查。

燦坤副總經理張岳龍說，有關個資外洩的說法，燦坤已經向警方備案，但燦坤查不出有個資外洩，警方也未查出，所以並沒有個資外洩，因為連警方也查不到。張岳龍呼籲民眾購物，若發生詐騙情況，應向警方報案，燦坤希望警方早日偵破詐騙案。

所以在個資法推行後，首先您必須思考的幾個問題是:

1. 我們企業有那些個資？

2. 我們真的需要這些個資嗎？

3. 這些個資當初被收集的目的為何？

4. 現在留著這些個資還有價值嗎？

因為企業常見的問題是，蒐集了太多不需要的人的個資，也囤積了太多已經用過，未來用不到的個資。過去個資在企業代表的是正資產，擁有越多個資就擁有越多客戶或潛在商機。但隨著個資法上路，為了符合法令的最低要求，多了許多個資的維護成本，還可能因為保護不周而遭到行政、民事，甚至刑事訴訟。所以過去的正資產，現在可能變成負資產。

為了達成適當的防護水準，增加的個資維護至少包含：

1. 已擁有的個資，須於首次行銷時，實行一對一的完整告知。

2. 須提供正確、合理的聯絡管道，供當事人提出請求。

3. 當事人有權請求閱覽、製給複製本、補充、更正、刪除所擁有的個資。

4. 應有受過個資法訓練的專人，負責處理當事人請求。

5. 現有儲存個資的資料系統，需因應個資法增加欄位(取得來源、直接or間接收集、使用期限、使用目的)

6. 依照個資的使用期限，定期銷毀並留下記錄供未來舉證…等。

訂定管理手段與管理程序，有效保護個資

以上都是因應個資法所需增加的行政程序，為了避免被增加維護成本拖垮，讓握有個資維持在正資產的價值，建議企業需遵循最小蒐集原則加上個資使用期限，來控管個資數量。藉由盤點企業手上握有的個資，把不需要或已經用不到的個資銷毀，只留下有價值的個資。並主動告知客戶，你擁有他哪些資料，提醒他我們是在哪一次的活動中獲得他的資料，這些資料會拿來做那些用途。趁著因應個資法向客戶宣告，我們是注重個資的優良企業，也向潛在客戶聯繫，增加行銷機會。

接下來要思考的是：

1. 這些個資散落在何處？

2. 由哪些人保管？

3. 用什麼方式保管？

4. 在現有的使用流程中，有沒有機會遭到內部或外部人員上下其手？

對於沒有電子商務，也沒有蒐集大眾個資的企業，其實更要注意第4點。因為，不管你是哪一行業，企業可能都會保有面試的應徵者資料，員工的人事資料、保險和健檢資料。這就符合個資法，不限行業只要有一筆個資的適用範圍。

相較於電子商務經常遇到各式各樣的詐騙行為，業者早已習以為常，練就一套相應不理、明哲保身的標準作業程序。一般企業面臨的是

1. 你難以否認你握有曾面試、在職或離職員工的個資。

2. 這些個資會被不肖員工或外部有心人士，作為勒索或打擊企業的手段。

3. 缺乏面對個資訴訟的經驗，難以舉出企業有善盡保管責任的證據。

也就是，一般企業未來可能會面臨到的是有計畫性、針對性的攻擊，而非只是亂槍打鳥的詐騙行為。

因此，為了遵循法律以及避免可能的損失。即便是沒有蒐集個資的一般企業，勢必要作些調整與因應。要花很多錢投資嗎？其實也不見得，因為個資法主要是要求管理流程上的調整，並搭配適當的技術性防護措施。已發佈的施行細則提供11條遵循方向，包含：

1. 成立管理組織，配置相當資源。

2. 界定個人資料之範圍。                   

3. 個人資料之風險評估及管理機制。  

4. 事故之預防、通報及應變機制。  

5. 個人資料蒐集、處理及利用之內部管理程序。      

6. 資料安全管理及人員管理。

7. 認知宣導及教育訓練。

8. 設備安全管理。

9. 資料安全稽核機制。

10. 必要之使用記錄、軌跡資料及證據之保存。  

11. 個人資料安全維護之整體持續改善。

只要管理階層有決心，有宣示、有計畫的支持，初步增加的主要是管理和行政成本。各項管理防護程序進入到落實層面時，才是比較需要導入技術性防護措施的階段，用以降低管理負擔和確保作業程序被落實的下一階段改善計畫。

而且對一般企業而言，因應個資法的最大目的是為了避免損失，每年投入金額原則上也不應大於每年預計損失。因此在因應的初期，更需要有經驗的顧問輔導，將有限時間和人力花在刀口上。對於已有資安控管制度的企業，也可藉由這個契機，將個資防護納入現有的管理制度中，順勢爭取必要資源、一併強化資訊安全的防禦力道。

文 ／ 精品科技 稽核 許樹龍

個人資料保護法在2010年5月經總統府令公布後，延宕實施已超過2年多，行政院終於正式發布公告，除了規範特種個人資料的第6條及間接取得之個人資料須於1年內告知的第54條外，其餘新版個資法的條文在今年 (2012年) 的10月01日正式施行，同時法務部也一併正式發布新版個人資料保護法施行細則共33條，該施行細則亦於10月01日同步實施。也就是說，因應個資法所需執行的相關措施已從討論評估階段正式邁入執行階段。

1.如果我們公司什麼都不做，會有問題嗎?

在個資法通過後的兩年多裡，市場上已有不少與個資法相關的資訊，相信您應該已經知道什麼都不做，對公司或是組織一定會有影響。但是，在這裡我們用一個最簡單實際的例子，也就是

所有公司組織都有的個人資料—員工資料，來簡要說明在個資法的因應上有哪些應該要做的事。

從前表簡單說明的資訊中，可以很明確地知道，就算貴公司/組職只擁有執行法定義務所需的個人資料，也無法什麼都不做，除非你已經決定不遵循個資法的規範，願意承受違反法令所帶來的刑事責任、民事責任及行政處罰。

單以員工資料來看， 必須要做到以下事項：(1)列出紙本、電子檔案分別有哪些，並在員工進入公司時，告知使用範圍。(2)訂定規範，限制可以存取的人員，如人事主管、財會人員。(3)確認檔案的生命週期為何，何時需要新增、修改、銷毀。(4)最後定期的查看，是否內部都有遵守這些規定。

若有系統可以直接管理，則可以輕易的管理這些個人資料，若有外洩事件發生時，可以立即調出存取記錄，了解事故發生的原因。

2.我們該導入TPIPAS制度嗎?

TPIPAS全名為「臺灣個人資料保護與管理制度規範，Taiwan Personal Information Protection andAdministration System」，是經濟部商業司參考日本經驗，委由資訊工業策進會科技法律研究所執行「電子商務個人資料管理制度建置計畫」，針對電子商務業者所制定的個資保護管理的驗證制度。通過TPIPAS驗證的企業，可以取得DP Mark (資料隱私保護標章)，預計在2013年會擴大到商業司管轄的服務業皆可申請驗證。目前僅有8家公司通過資策會科法所審核推薦，取得導入TPIPAS制度輔導機構的資格，精品科技是其中之一。

整個制度的基礎架構模式與常見的國際標準相同，皆是以PDCA的方法論為基礎；TPIPAS制度總共分為10章，對於事業體主要行為的規範落在第4~9章等6個章節，簡要說明TPIPAS章節內容如下。

1.  前言：概述TPIPAS、訂定目的、用途及PDCA方法論。
2. 適用範圍：說明制度規範係針對蒐集、處理、利用及國際傳輸個資之事業，訂定相關規範事項。
3. 版本標示：說明應註明引用版本，未註明者視為使用最新版本。
4. 用語及定義：說明制度規範中重要名詞、特殊名詞及用語之定義。
5. 要求事項：說明各個事業體建立個人資料保護管理制度之具體要求事項，如：管理政策、管理手冊、風險管控措施、個資蒐集處理利用之管理、委外管理、當事人權利管理、管理監督、教育訓練…等。
6. 管理責任：說明各個管理階層的責任，及特殊人員的資格要求。
7. 有效性量測：說明制度規範中重要名詞、特殊名詞及用語之定義。
8. 文件及記錄範圍：說明必要之文件，文件管理及記錄管理之要求。
9. 內部評量：說明每年應進行內部稽核，以確認制度及制度之執行符合法令、法規、公司內部及外部合作組織之相關要求。
10. 改善：包括定期檢視之持續改善，以及立即處理的矯正及預防措施等規定。

在簡單了解TPIPAS制度後， 便可以討論導入TPIPAS是否是公司因應個資法的必要選項呢？很抱歉這個答案仍是個選擇題，各個公司組織可以視實際需要決定是否導入TPIPAS。不過，可以確定的是，導入TPIPAS的確可以協助公司在個人資料保護管理做得更好，而且TPIPAS制度要求須遵行法令，制度要求的事項亦可以對應個人資料保護法施行細則第8條及第12條的適當安全維護之參考管理項目，並透過維持制度持續有效的外部監督機制，讓公司擁有另一個客觀的角度可以提出協助改善的建議，減少內部執行的盲點。此外，取得制度之驗證亦可增加公司商譽的價值。

3.什麼樣的產品才適合我們公司?

以上都是因應個資法所需增加的行政程序，為了避免被增加維護成本拖垮，讓握有個資維持在正資產的價值，建議企業需遵循最小蒐集原則加上個資使用期限，來控管個資數量。藉由盤點企業手上握有的個資，把不需要或已經用不到的個資銷毀，只留下有價值的個資。並主動告知客戶，你擁有他哪些資料，提醒他我們是在哪一次的活動中獲得他的資料，這些資料會拿來做那些用途。趁著因應個資法向客戶宣告，我們是注重個資的優良企業，也向潛在客戶聯繫，增加行銷機會。

下表簡單地將防護方式分為：紙本資料實體防護、電子資料外部防護、電腦資料內部防護。其中實體防護無須多加描述，而電腦資料外部防護在網路服務已應用多年的前提下，目前多數公司皆已有規劃並執行。根據統計，大多數的資訊安全事件、個資外洩事件都是由內部人所造成的，因此電腦環境的內部防護已成為目前資訊安全防護措施的重點，亦近幾年來大家關注的議題。根據iThome2012年個資法大調查，61.3%的企業採購資安產品來因應個資法，而個資法的經費投資重點如下表：

不過，在評估上述相關資訊安全產品時，該如何選擇呢？我個人給的答案是預防勝於治療，建議優先選擇防護類型的產品。另外，施行細則第12條也特別提到「使用紀錄、軌跡資料及證據保存」，因此資訊安全防護軟體的記錄能力也是一個重要的評選項目；而記錄不只是保存數位化Log而已，重點在於要能夠證明採用資訊安全防護的記錄軌跡，以及「還原」事件原本的面貌。

【 結語 】

因應個人資料保護法的正式施行，所有公司組織都應該增加或調整公司管理制度，並視實際狀況及可用資源導入資訊安全軟體，協助保護個人資料，善盡管理者之義務，以避免個資提供者之人格權受侵害，並促進個人資料之合理利用，以達成立法保護個資之精神。

文 ／ 精品科技 研發四部 張家瑋

在市面上可以看到許多針對檔案加密的軟體，對檔案有一定安全性的保護作用。但加密的操作方式也百百款，例如：有針對磁區、資料夾或將欲加密的資料重新編碼成單一檔案進行加密，這類屬於最普遍常見的檔案保護方式，但也是最麻煩費時的機制。假設想修改加密檔案，必須將資料從加密磁區搬移至明文磁區進行操作，操作完畢再將該檔案搬移回加密磁區，當操作完畢都不知花了多少時間了；更進階的有針對特定AP所儲存的檔案進行加密，看似更聰明且透明加密。但也衍伸出只要使用該AP儲存檔案，一律都被加密了，無法對特定想加密的檔案進行加密。

為了保留以上優點和改進以上不方便的特性，所衍伸出以檔案為單位的加密，可達到不需區分明密文磁區空間、使用同一個AP開啟明文或密文，儲存時皆能保有自身原本的檔案屬性。

一、X-DoRM為何以「檔案」為單位加密設計？

安全與便利同時兼具-以檔案為單位加密可達到最大彈性的設計，對於整體環境的設計與實作，皆比其他加密方式來的複雜。但對於使用者的操作角度來說，卻是最方便且不用更改操作習慣就能上手的加密方式。

不需劃分密文特定區-以儲存方式來說，若以檔案為單位加密，使用者不必擔心資料需儲存在特定加密磁碟或資料夾，萬一忘記或不小心存錯位置，則會有明文外洩的風險。使用者可依照原本習慣，放在自己習慣的位置，達到明密文可混放。而且被X-DoRM加密的檔案，皆會顯示鎖頭，使用者對檔案加密狀況一目了然，不會混淆。

 同資料夾下的明密文

輕鬆使用好自在―操作加密檔案就跟一般明文檔案的方式一樣，透明加解密能讓使用者直接開啟加密檔案，並在標題列顯示使用者對該份文件所擁有的權限。

 標題列上顯示可使用的權限

針對各部門機密自動上鎖―不同使用者可對應不同的軟體名單進行加密。

 軟體名單設定

X-DoRM可針對各部門、群組和使用者使用到軟體進行加密的動作。就能達到透明自動加密，對操作者來說是無感的，對於文件來說也是相對安全，不會因為自己忘記將文件加密而外洩的困擾。

大雜燴儲存雲自動控管―現今網路資訊的發達，有許多廠商在世界各地都會有辦公室，為了讓文件在各地方都能共同使用文件或集中儲存重要文件的區域，就產生了NAS系統。但也因為大家都能觸及到網路的目錄結構，相對資料外洩的風險就會提升。X-DoRM可透過DEC(資料加密中心)設定來監控網路資料夾，而監控目錄可設定為所有資料皆需加密，或由管理者自行分配各資料夾要加密哪些檔案格式的資料如圖，這就不會造成檔案都到網路分享磁碟時，會造成誤加密或者沒加密了。

 DEC副檔名政策設定

二、X-DoRM以人員/部門為單位設定解密權限？

對於有大量員工和部門的公司而言，權限的控管是不容易的。若能將各單位、甚至到人的權限都能一一劃分清楚，就可以避免少數人掌握大權，以致資料外洩。

X-DoRM設計了可獨立設定各部門、群組或人員所屬的規則，可快速套用至部門並繼承至底下所屬部門或有獨立特殊規則也可以人員為單位並套用之，達到每位使用者皆能規則清楚劃分目的 。

 使用者規則設定

才不會造成某些特定員工握有大多數的高權力。可設定某些部門或是人員擁有自行解密的權限；但如果需要更安全的解密機制，可透過線上申請解密、離線使用或文件權限變更，讓文件管理者審核是否要批准申請案。

模擬現實中各部門主管的角色―一份在公司流通的機密文件，如果要解密，應該要透過主管的簽核才能放行。實體文書申請流程，在X-DoRM也有相同的設計理念。可透過文件管理者設定文管，如同現實部門主管的角色。

文件管理者設定

還能細分文管規則的權限設定，以防止各文管人員的權力過大，導致資安的漏洞發生，除了設定文管人員可管理的種類外，還能設定該文管可以管理哪些部門或群組。

當使用者要解密、離線使用或申請更高權限時，就能透過檔案按右鍵來提出所需要的申請案。負責該管轄範圍的文件管理者，就會收到該文件的電子申請案，可立即進行審核。在流程上可說是即時通知文管人員，也減少人力的浪費與公文傳遞耗時問題。

對於每筆的申請案件與主管的簽核操作皆會有記錄，以數位資產安全性來說可以大大提升，當發生資料不幸外洩時，也能追查出是誰的責任。

三、其他開發上與他牌產品不相同處？

完整的記錄文件生命週期―一份文件被加密成密文時，就是一個生命週期的開始，直到該份文件使用期限到期或者被銷毀，在這期間每個人對該份文件所做的行為，在什麼時間、哪台電腦、什麼人開啟了此份密文，都會有詳細的記錄。管理者可以透過文件使用記錄清楚明白的知道，例如：是否有人沒有權限開啟某份密文，卻又一直嘗試開啟。

文件生命隨時掌握在手上―對於某些需要限時閱讀的文件，也能幫文件設置使用期限，當文件到達使用期限後，就算握有此份加密文件也是無法開啟。可永久使用的加密文件，也能達到即時控管生命期限。管理者可以透過Console設定回收A文件，可讓使用者端的A文件無法使用，就像丟入資源回收桶一樣。但此份文件並還不是銷毀狀態，只是暫時讓使用者皆無權限開啟A文件。如果管理者將A文件從回收桶中還原，每位使用者手上的A文件就能回復以前的權限繼續使用；但如果是要將此密文銷毀，代表此份文件已經是要徹底毀屍滅跡，握在手上的此份密文，也都永遠無法開啟，等於拿了也沒用。

隨時調整權限很簡單―每份文件皆可獨立更改權限，當文件一開始被加密時，甲使用者就算沒有權限可以開啟，也能透過管理者即時修改可對該份文件使用權限。並且還能細分到唯讀、列印、儲存或自訂權限；相反的，如果要即時拔掉甲使用者對該份文件的權限，也能即時設定。

文件也會分身術―當一份密文資料需要分享給不同部門使用時，權限就不易劃分了。這時候就需要另立密文功能，讓一份密文能夠分成兩個身分，並且對兩個獨自的身分，做不同的權限管理，等到某天又需要將密文分家時，又能使用另立密文功能，達到每份文件擁有各自的權限管理。舉個例子來說，如果是A文件複製一份出來為B文件，只要A文件銷毀，B文件也會跟著銷毀，因為這兩份密文是生命共同體。如果A文件另立密文為C文件，而A文件銷毀後，C文件仍然不受影響，這就能達到多版本控管的目的。

 文／精品科技　技術服務部　資深資安系統工程師　黃粮皓

企業有內部資訊安全需求，想要導入防止內部機密資料外洩的工具，在導入內部資訊安全產品所遇到的問題有很多，其中反應最多的問題是下列兩項：

1. 要購買哪一種產品才適合公司的需求？
2. 產品購買以後要如何導入呢？

Point 1：確認控管範圍，才能找到合用產品 

首先企業需要先瞭解公司要保護的資料有哪些？範圍在哪裡？我們必需將要保護的資料的範圍給確定出來，比如公司內要保護的資料有營業部裡的『會員個人資料』；因為營業部門的『會員個人資料』只允許相關人員或業務等相關部門可以查看或修改，所以我們需要的是將『會員個人資料』的檔案給加密起來讓其它不相干部門的人員，拿不到這份資料，或拿到這些文件也無法開啟？是否這樣就可以做到防止資料外洩的保護了呢？

因此公司普遍針對要保護的文件有以下需求：

1. 公司要防範的就是人員『無心或有意』將『會員個人資料』以Mail寄出、隨身碟攜出、上傳到網路硬碟…等，各種方法都會因為檔案被加密而無法開啟。
2. 顧慮到『會員個人資料』還是會有給外部廠商，如印刷廠製做廣告型錄的需求，又不希望將原始『會員個人資料』給廠商(怕廠商外流)。
3. 不希望改變使用者的操作習慣，最好可以不改變現在的使用狀況，透明式加解密文件。
4. 要有詳細的文件使用記錄。
5. 可以強制將文件加密保護。
6. 加密的內容，無權限者無法開啟或使用。
7. 文件可以集中統一控管。

精品科技用這樣的想法設計出X-DoRM這套DRM 產品的主要功能，也因此當我們將要保護的文件範圍定義出來後，該使用哪種工具來保護其實就很清楚了。

當選定X-DoRM 為保護企業『機密資料』的工具時，又會產生一個疑問，這套產品是否適用於我們公司的網路環境？

Point 2：良好的網路架構整合AD更方便

Ｘ-DoRM是一套Client-Server架構的產品，用戶端必需安裝一X-DoRM Agent於用戶端電腦中，X-DoRM Server與X-DoRM Client只要隸屬於同一區域網路底下即可讓功能正常運作，至於有分公司的企業，只要總公司與分公司之間有VPN專線，總公司與分公司將會被視為同一區域網路，管理人員在總公司即可對分公司的電腦做控管。

當然導入X-DoRM我們最建議的身份認證方式就是使用Active Directory(AD)與X-DoRM進行整合達到身份認證的目的。X-DoRM是以使用者是否對X-DoRM 的加密文件有權限，當一份被X-DoRM加密的文件，其文件權限內容是：【User A：唯讀】、【User B：列印】、【User C：修改】，當User A拿到該文件打開後發現只能唯讀，其實後面的運作原理即是使用AD帳號來辯識使用者的身份，當Agent偵測到登入Windows的使用者身份是『User A』，對這份加密的文件即會給予該給的權限，所以也就是User A拿到該文件只能打開唯讀而已。

X-DoRM與AD整合的好處不僅是身份認證而已，當公司內部有人員部門調動，X-DoRM也可以很方便快速的讓異動的人員檢視或修改異動後的部門文件。舉個例子：小強屬於業務部，小明屬於營業部，基本上兩個部門的文件無法互相閱讀或修改，當IT人員在AD裡將小強調到營業部，小明調到業務部，X-DoRM可以馬上和AD同步，本來小強只能開啟業務部的文件，部門調動後變成小強無法開啟業務部的文件，但是可以開啟營業部的文件。

Point 3：資安產品的導入步驟

在導入資安產品之前，IT人員通常都會先試用看看，產品的操作介面友不友善、細項功能有沒有符合需求等等，等找到符合企業所需的產品後接下來就是導入該產品的時候了。導入資安產品可以用以下步驟來執行，以下用X-DoRM舉例：

•       Plan (規劃)

–      制定文件使用政策、管理辦法

要保護的文件範圍定訂出來後，接下來要制定文件使用政策，比如，

營業部的文件政策：

1.  
   1. 所有人員Word、Excel存檔時，就強制加密。
   2. 加密的文件只有營業部門所屬的人員可以修改，業務部門的人員可以唯讀。
   3. 營業部門人員對文件加密的同時，X-DoRM 會自動將這份文件複製到File Server 做備份。

類似上述的文件使用政策制定出來後，我們還要制定管理辦法，舉例來說，一、選出「文件稽核人員」，被加密的文件需要有一位稽核人員做定期文件使用稽核。接著要選出「文件管理員」(可由部門主管擔當，避免MIS人員可存取機密資料)來管理這些加密文件，若有使用者要將加密的文件解密，也可以透過文件管理員來幫忙審核解密，X-DoRM系統針對文件管理員這個功能提供了：文件管理員可只管理自己部門的人員文件，當然也可以設定管理員可管理多個部門的文件，達到靈活彈性的管理。

•       Do (實施)

–      導入工具、訓練人員，依政策進行保護

導入X-DoRM來做為保護公司機密文件的工具，首先就是要對所選出來的文件管理人員進行教育訓練，教導他們如何操作這一套工具，可先準備一個測試環境讓其熟悉進而再進入正式的管理文件環境。

當然一般文件的使用者也需要做少許的教育訓練，雖然X-DoRM的加密方式是採用透明式加解密，並不會改變使用者的習慣，但還是需要教導使用者如何查看自己對被加密的文件權限屬於哪一個等級，所以教育訓練是讓整個導入計畫可否成功的關鍵。

•       Check (檢討)

–      觀察分析成效，稽核作業

 X-DoRM一開始導入多少會遇到使用者不習慣的問題，或是使用上的問題，此時可以從使用者反應的問題來找出是否有需要改進的地方，是否控管政策不合理？文件管理員對於文件的管理是否不周嚴？這些都是我們需要檢討改進的。

•       Action (處置)

–      修正改進，再次循環

有需要改進的政策再檢討，經過修正，讓整個運作繼續下去，其實資安產品導入的困難點，有時不是產品的問題而是使用者是否配合的問題，因此好的、理想的管理政策讓管理者及使用者能夠用的方便又顧慮到文件的安全就考驗著規劃制定者的能力了。

成功的導入資安系統，需要公司高階主管的推動，整合各個部門的工作習慣，並規劃流程；建立完整企業資安，必須全員動起來才能。

文 ／ 精品科技 董事長 劉振漢

個資法正式實施，企業須做好準備

2012年10月個資法正式實施，對各行各業帶來程度不等的衝擊。壽險業者是受影響最大的行業之一，有報導，10月之後，業績掉了三成以上。不意外的，電話行銷因為被追問「你怎麼會有我的個人資料」，面臨被提告求償的風險。大家可以明顯感受到電話行銷的騷擾變少了，相對的，電銷業面臨了巨大裁員壓力。

產險業者推出最高保額二億元的「個資外洩險」，保費超過百萬元，電信、銀行保險業及線上購物業者等最易觸法判賠的「高風險群」為主要潛在客戶。然而，購買個資外洩險，某種程度意味「企業本身對個資處理沒信心」，若被揭露，對企業的形象會有很大的損害。如何防範個資外洩，避免「受到行政處分，甚至被鉅額求償」，是每個企業必須面對的課題。

公司營業秘密恐外洩

公司營業秘密外洩事件無時無之，大公司的洩密案，媒體皆曾大幅報導。中小公司不為人知者，更不知凡幾。政府重視這問題，也將修法將洩漏營業秘密從民事案改以刑事論罪。由於公司營業秘密牽涉利益重大，被盜竊不易察覺，成為許多企業的隱憂。

資訊安全是重要的課題，沒有資訊安全，就沒有國家安全。政府不做好資訊安全，人民就沒有保障。公司不做好資訊安全，公司的發展就受到限制。我們有這樣的經驗，有客戶突然就找到我們，要最短的時間導入資安系統。不久就看到新聞，這家公司接到國際大廠的代工訂單，這種例子相當多。

大家也許聽過一個報導，在蘋果公司的內部iphone的產品開發代號叫做『紫色專案』(ProjectPurple)。這個專案，賈伯斯只允許使用蘋果內部的員工，絕不能從外部挖人。

『紫色專案』團隊占用了蘋果總部辦公大樓的其中一整層，當然是安裝了門禁系統，大門口貼了寫有『搏擊俱樂部』(Fight Club)字樣的標牌。『搏擊俱樂部的第一條規則就是，大家不能談論搏擊俱樂部』。因此蘋果公司的其他員工也不知道有『紫色專案』。『紫色專案』這個專案名稱會曝光，是因為蘋果和三星打專利官司時主動揭露，大家才會知道。做好資安，也是蘋果成功的原因之一。

由上往下顯示導入資訊安全系統的內容

導入資訊安全系統

首先必須確立單位執行資訊安全政策的決心，其次要建立資訊安全組織，評估單位所屬行業的法律要求（銀行、醫療各有特殊的管轄法律，個資法則是所有單位必須遵守）。接下來將單位資訊資產分類，評估其風險。之後，針對人員安全、實體與環境安全…等6大項目（圖中灰色部分）建立（或改善）管理制度。

這個資訊安全管理系統的內容是ISO27001國際標準訂定的，是非常有價值的遵循標準，舉兩個項目為例：

•  [系統發展與安全]的管理，會在導入一個新的系統（例如CRM客戶管理系統）時，考慮到個資的保護，操作手冊完備，使用者權限管理、電腦網路效能負載…等問題。
•  [實體與環境安全]的管理，會評估包括機房溫濕度、火災風險、人員進出控管，異地備份的需要性等等。

根據這個準則實施，可以完整的考慮到所有的安全問題。

量化指標和定性化指標來評估實施成效

建立資訊安全管理系統，應以定量化指標和定性化指標來評估實施成效：

• 定量化指標：
  •  確保系統、主機中斷營運服務之情事，每年不得超過X次，每次不得超過X個工作小時。
  •  確保相關之資訊安全辦法有確實實施（每年至少查核X次）。
  •  依職務、責任提供全體同仁資訊安全相關訓練（每年至少執行X次）。
• 定性化指標：
  •  加強內部控制，防止未經授權之不當存取，以確保資訊資產受適當的保護。
  •  確保資訊在傳遞過程中，不透露給未經授權的第三者。
  •  確保所有資訊安全意外事故均依循通報機制逐級反應，加以調查及處理。

如果公司已經建立好很好的資安管理系統，根據此系統的要求，「對於法規的變動必須因應」，會在既有的架構下，增訂個資保護的辦法，增加個資管理系統。

選擇適當產品，讓管控更周延

按照行業的要求，公司業務的性質，公司可以選擇適當的資安產品，構成資安管理系統的一環。精品科技可以協助評估公司所需要的產品，依據不同的評估和比較觀點做出專業的建議。

首先功能要符合需求，技術解作為防止資料外洩的急效藥，導入就是要立刻防堵曾發生的外洩方式再度發生。例如防止從USB帶走機密資料， 或是能舉出機密資料被寄到私人信箱的證據。

但除了滿足初步目標外，也要考慮到後續的需求。因為資安的特性就像治水，對有心人士而言，防堵了一道門，他就會立刻找另外一個洞鑽。所以初期的導入目標可能只是防止機密資料被一支不起眼的隨身碟帶走，漸漸的其他需求會逐漸浮現，例如管了USB行動碟，可能導致網芳和光碟機的使用頻率增加；另外，現在盛行的網路硬碟、智慧型手機(BYOD)的趨勢，逐漸改變人們作業流程，新的工作方式會衍生新的漏洞。如果導入的產品沒有可擴充的架構，或是原廠沒有順應需求，持續推出新版本、新功能。未來企業在面臨新的需求時，可能又必須再評估第二套、甚至第三套資安產品。不但增加導入的金錢、時間、人力、維護成本，疊床架屋的架構也會嚴重拖慢電腦效能，引發使用者的排斥與抗拒。

滿足了初步需求和未來擴充能力後，還要考慮對原有作業流程的衝擊。如果資安產品只能藉由限制存取來防止資料外洩，強迫使用者改變習慣配合新的作業流程，通常會大大增加導入的困難度。如何在最小影響使用者的情況下，防堵可能的惡意操作，或是能彈性的依照時間、日期、黑白名單、審核機制來設定控管政策，其實也是評估資安產品非常重要的指標。尤其大型企業在導入時，非常重視廠商的導入經驗，如何與現有流程整合、跨site架構的整體規劃、能隨著專案階段對不同層面進行教育訓練，才是決定大型專案導入能否成功的重要因素。

也要評估實際導入時會遇到的問題，包含系統是否發展成熟、與企業內常用軟體的相容性。除了可藉由使用者接受測試來評估，也可藉由產品的推出時間、Reference site的數量與規模，是否有獲得獎項等指標來衡量。

另外，如果企業導入資安產品，是為了滿足國外客戶對資安的要求，或是本身就是跨國企業而必須滿足國際資安法規。那在選購資安產品時，也可以考慮到資安產品是否有行銷國際。有國際知名度的資安產品，對企業在向國外客戶證明有能力保護機密資料時會更有認同感。

還要考慮的是，資安產品既然要整合進作業流程，操作容易也是非常重要的評估指標，因為資安管理系統使用者除了IT人員以外，還可能包含各部門主管、稽核人員，甚至企業老闆本身。

謹慎小心為上

方便和安全常常是對立的，隨身碟很方便，卻很不安全。雲端非常方便，連CIA局長裴卓斯和布洛德威爾女士使用Google的雲端服務。雲端卻也引發很多安全疑慮。大家都使用「雲端」， 卻不知到各個「雲端」到底在世界那個角落？熟悉網路技術的人也許知道：可以用url2ip ip2location（由url找到網址的ip編號，再由ip編號找到位置）的兩段步驟來找到「雲端」的真正地理位置。一般人可能就沒想這麼多了。

雲端有很多免費的儲存空間（ 中華電信、Google、Dropbox…），資料放在那裡，隨時可以取用。假設你有同學的通信錄，為了方便，把它放上雲端，可能你已經違反個資法了。個資法第 21 條提到，「…國際傳輸個人資料…接受國對於個人資料之保護未有完善之法規，致有損當事人權益之虞…」。使用對岸雲端空間的人不在少數，對岸是否算是「對於個人資料之保護未有完善之法規」，有待政府和法官來釋疑。

我國個資法涵蓋範圍廣、而個資和資通訊的牽連太大，已經超出一般人的處理能力。可以預期「個資」紛爭將急速成長。在此建議，時時省思，處處小心，是我們面對個資法應有的基本態度。