資安新知

文 ／ 精品科技 稽核室 許樹龍

民國99年4月《個人資料保護法》在立法院三讀通過，對於個人資料的保護管理，從此跳脫出原本舊法規電腦處理個人資料保護法設定的電腦框架，也跳脫了原本只有特定行業受到管轄的限制；亦等於正式向世人昭告｢個人資料是重要的、有價的，是必須受到保護的｣，已不是幾句人人呼喊的口號，而是即將成為所有擁有個人資料的組織必須採取的行動！愈加成熟。在法規通過之後，經過二年多的時間，個人資料保護法施行細則已在101年9月正式公告，而個人資料保護法亦在101年10月1日正式施行；然而這一連串的資訊對大多數的公司來說也留下了一個疑問-《個人資料保護法》的正式實施，對公司的影響有這麼重要嗎?公司須要對此作出回應嗎？

公開發行公司內部控制制度的目的

然而，先從內部控制的觀點來看《個人資料保護法》與公司的關聯：

• 《公開發行公司建立內部控制制度處理準則》(以下簡稱：處理準則)第三條 公開發行公司之內部控制制度係由經理人所設計，董事會通過，並由董事會、經理人及其他員工執行之管理過程，其目的在於促進公司之健全經營，以合理確保下列目標之達成：(1) 營運之效果及效率。(2)財務報導之可靠性。(3)相關法令之遵循。

從上述條文內容來看，公開發行公司的控制設計本就包含了法令遵循一環，因此個人資料保護法正式施行，所有公開發行以及即將公開發行的公司就應適時考量控制設計是否符合《個人資料保護法》的規範。

• 在處理準則第六條 公開發行公司之內部控制制度組成要素第二項- 風險評估：係指公司辨認其目標不能達成之內、外在因素，並評估其影響程度及可能性之過程。其評估結果，可協助公司及時設計、修正及執行必要之控制作業。

第二十三條 公開發行公司自行檢查內部控制制度之結果，以公司之內部控制制度是否能合理確保下列事項，分為有效之內部控制制度或有重大缺失之內部控制制度：

1. 董事會及總經理知悉營運之效果及效率目標達成程度。
2. 財務報導係屬可靠。
3. 已遵循相關法令。

根據上述規定，《個人資料保護法》的正式實施是否應納入風險評估的考量，則考驗著各個公司的風險管理制度，以及內部控制自評作業的落實程度；然而，內部反應較為迅速或是公司治理程度較高的公司，可能早在法規通過時，於執行99年度內部控制制度自行檢查作業之時，便將《個人資料保護法》對公司的影響考量在內，並做出必要的因應措施。

IT界擁有各式各樣的人才，也開發出成千上萬種的不同需求出來，找到合適的方案才是對公司運作有正面的功用。

《個人資料保護法》的範圍

再從《個人資料保護法》的內容來看其正式實施對公司是否有影響：

• 《個人資料保護法》第一條 為規範個人資料之蒐集、處理及利用，以避免人格權受侵害，並促進個人資料之合理利用，特制定本法。《個人資料保護法》第二條 用詞定義的第八項非公務機關：指公務機關以外之自然人、法人或其他團體。上述法規內容已明確敘明所有非公務機關，不論用何種方式蒐集、處理、利用個人資料都必須受其規範，只要擁有個人資料的公司，都在《個人資料保護法》的管轄範圍。

• 《個人資料保護法》第二條 用詞定義的第一項 個人資料：指自然人之姓名、出生年月日、國民身分證統一編號、護照號碼、特徵、指紋、婚姻、家庭、教育、職業、病歷、醫療、基因、性生活、健康檢查、犯罪前科、聯絡方式、財務情況、社會活動及其他得以直接或間接方式識別該個人之資料。

上述法規內容已明確說明個人資料的範圍。而絕大多數的公司、組織，都不可能沒有上述個人資料。
從上述兩個不同面向的觀點看來，《個人資料保護法》的正式實施之於公開發行公司，是絕對不可能沒有影響，也不可能不須做出任何回應的。

面對《個人資料保護法》實施須考量的風險議題

既然《個人資料保護法》的正式實施對公開發行公司有一定影響，到底我們應該替公司注意那些風險呢？以下略舉幾項公司在面對《個人資料保護法》須考量的控制風險(未涵蓋所有風險考量及法規範圍)：

• 根據《個人資料保護法》第六條規定，有關醫療、基因、性生活、健康檢查及犯罪前科之個人資料，不得蒐集、處理或利用。但有下列情形之一者，不在此限：一、法律明文規定。二、公務機關執行法定職務或非公務機關履行法定義務所必要，且有適當安全維護措施。…(法令尚有規定，此處未完全引用條文內容。) 一般公司會依照勞工安全衛生法規定施行定期健康檢查並留下健康檢查報告，然而許多的公司為了體恤員工辛勞，往往會安排多項規定以外的健檢項目，而留存的資料若是有超過法令規定的健康檢查項目，應列入違法風險的評估，並考量是否需改變公司相關作業的執行方式。雖然個資法第六條目前暫緩實施，建議仍應及早規劃相關因應控制作業。
• 《個人資料保護法》第八條　公務機關或非公務機關依第十五條或第十九條規定向當事人蒐集個人資料時，應明確告知當事人下列事項：一、公務機關或非公務機關名稱。二、蒐集之目的。三、個人資料之類別。四、個人資料利用之期間、地區、對象及方式。五、當事人依第三條規定得行使之權利及方式。六、當事人得自由選擇提供個人資料時，不提供將對其權益之影響。…(法令尚得免為前述事項告知之規定，此處未完全引用條文內容。)以上內容為《個人資料保護法》明確規定蒐集個人資料的應告知事項。而內部相關控制或是作業程序設計是否符合此項規定? 若已符合規定是否留有記錄? 記錄應留存多久? …等，皆為公司回應此項規定應考量的項目。

• 《個人資料保護法》第三條 當事人就其個人資料依本法規定行使之下列權利，不得預先拋棄或以特約限制之：一、查詢或請求閱覽。二、請求製給複製本。三、請求補充或更正。四、請求停止蒐集、處理或利用。五、請求刪除。以上第三條的內容明確說明了法律賦予個資當事人權利的不可侵犯性，再加上《個人資料保護法》第十條 限制當事人行使權利之規定以及第十三條 公務機關或非公務機關處理當事人行使權利的期限，都應該在個資當事人行使權利項目控制設計的考量範圍。舉個簡單的例子：若是貴公司擁有我的個人資料，我就可以根據此條文的規定，隨時提出查詢資料或是要求給予副本…等法律賦予的基本權利行為 。由於此項規定以及實施個人資料保護措施之考量，在依據《個人資料保護法》第八條蒐集個人資料，決定個人資料利用期間時，公司應適度考量長期擁有某些個人資料究竟是資產，抑或是負債。
• 《個人資料保護法》第二十七條：非公務機關保有個人資料檔案者，應採行適當之安全措施，防止個人資料被竊取、竄改、毀損、滅失或洩漏。…

另外，在個人資料保護法施行細則第十二條亦有說明公務機關或非公務機關採取技術上及組織上之措施得包含下表所列事項。

也就是說，公司組織在因應《個人資料保護法》各項規定而建立內部控制制度的同時，亦須考量現代科技在內部應用的情況，使用合乎公司風險考量的技術性產品，以有效保護所保管之個人資料。

結語

科技技術的進步、社會環境的變化、法令法規的修訂…等，都有可能對公司造成極大的影響，如何讓各個重要風險項目進入公司組織的風險評估系統，並有效地產生各項回應對策，正考驗著所有公司組織，也是目前重要的課題之一。

過去在《個人資料保護法》因應的議題上，常聽到有人回應我們公司未蒐集個人資料，內部控制無須特別調整 ，或是 這是資訊部門的事與我無關 。以上《個人資料保護法》與內部控制的簡單介紹雖未涵蓋所有層面，仍希望能讓大家在面對《個人資料保護法》時，提供一點幫助

文/精品科技 管理/人事經理 陳瑩華

使用X-DoRM DEC閱讀履歷，避免履歷外流

個資法施行後，企業要保護的個資，除了員工、客戶的個資之外，還有應徵者的個資。在整個招募作業的過程中，應徵者的個資會以紙本及電子檔的方式存在；紙本的應徵履歷表，只要人力資源單位不複製、做好集中保管、統一銷毀的動作，問題不大。麻煩的其實是電子檔的履歷資料，因為電子檔容易複製、容易郵件傳送，一份履歷檔案，從人力資源單位，傳送給用人單位後，會變成好幾份，儲存在不同人的電腦、筆電中，如果用人單位不小心，造成資料外洩，換來的可能就是金錢賠償及無形商譽損失。

以精品來說，一年會收到將近3,500份的履歷電子檔，人事人員每天將這些履歷，轉寄給各用人單位主管挑選，一份的履歷，會分送給2-4個以上的主管，3,500份最後會被複製成上萬份，分散在公司數十位人員的電腦中，要如何控制這些履歷不再外流，絕對不是用規章辦法規定就能確保。萬一這些履歷資料外洩，影響的不只是商譽，還可能會面臨個資法的罰鍰。

今年初，精品科技採用了X-DoRM DEC(文件加密中心，Document Encryption Center)來控管履歷的讀取、列印，以有效控制履歷個資外流、也簡化了作業流程，提升了效率。因為X-DoRM可依不同使用者，設定檔案不同的使用權限，是確保個人資料檔案，讓具有權限的使用者，在對的時間使用。

精品控管電子檔履歷的方式說明如下：

1. 首先要求所有主管、面試相關人員電腦裝上X-DoRM client。
2. 其次請所有的主管、人事人員刪除電腦中儲存的所有履歷資料、信箱中的履歷郵件。
3. 在X-DoRM DEC中新增履歷資料夾，下面再分類設定各職缺的子資料匣，以及各資料夾相關人員的查閱權限。例如主管對於履歷只有讀取的權限，沒有列印、複製、轉寄的權限。特定部門主管只有特定職缺履歷夾的讀取權限。
4. 人事人員每天負責將人力銀行轉寄來的電子檔履歷郵件，轉存成PDF檔，編號存入X-DoRM DEC各職缺資料匣中，由於面試主管PC或NB都安裝了Directory Monitor軟體，所以有新履歷張貼到履歷資料夾時，會獲得通知。主管再自行到 X-DoRMDEC中挑選履歷，再告知人事人員要安排面試的履歷編號即可。
5. 就算主管想將履歷複製到自己電腦的資料夾內，由於這些檔案都是列管檔案，仍然受到X-DoRM的保護，雖然仍有唯獨權限，若管理者要回收時，這些資料就無法再讀取。
6. 面試時，只有人事人員有權限可以列印出紙本履歷資料。並於面試完後，紙本資料統一收回，每隔一段時間銷毀紙本履歷資料。X-DoRM DEC中的履歷資料，則每季由人事人員刪除過去一季的檔案。人事人員也定期刪除自己電腦中所儲存的履歷檔案。

透過X-DoRM，將履歷資料集中管理，對履歷檔案限制使用者的列印權限、查閱權限，精品確保了應徵者履歷資料受到嚴密的管制。

自從啟用了X-DoRM DEC管理履歷後，人事人員表示，履歷的管理與統計變得比以前更輕鬆，分類儲存管理後，更省去查找履歷的時間。至於面試主管的信箱中，再也不會出現電子檔履歷郵件，主管也省去定時清理履歷郵件的麻煩。啟用X-DoRM控管履歷，不但確保履歷不外流，也使履歷挑選與管理更有效率。

精品搶先支援智慧型手機資安防護

文 ／ 精品科技 研發經理 蔡宜霖

精品搶先支援智慧型手機資安防護台灣約有15 的人擁有智慧型手機等行動裝置，比例還在快速成長中。雲端應用裡的「端」，正在快速演化，行動裝置成為帶領雲端應用的重要動力。使用行動裝置來收發信件，瀏覽PDF、WORD文件已經是很普遍的使用，勢必成為公事上不可或缺的工具。

多數DLP產品也已發佈Roadmap，將提供行動裝置的監控功能，經銷商也轉達客戶這方面的需求。而行動裝置容易遺失，造成安全控管的問題。行動裝置所造成的安全問題，比10年前隨身碟造成的安全問題多10倍以上。行動裝置的安全防護，市場方面可以說是絕對需要，殆無疑義。基於上述產業狀況及市場趨勢，打破過去在Wintel PC系統上，軟體開發的侷限，精品因應未來資安產業需求，針對Android系統上的產品，規劃行動裝置的資安監控系統。本產品以平板電腦(tablet PC)及智慧型手機(smart phone)，合稱行動裝置(mobile devices)的資安監控系統為研發對象，專注於防止行動裝置系統資安防護，以前瞻性的核心技術，開發行動裝置的監控系統，以保持在DLP產品監控的領先地位。

手機資安防護功能與PC大不同精品設計各種的DLP產品，是國內資安產品的領導者，特別針對Android系統上的資安防護功能，結合以XML描述語法的資安政策運作，以達到Android手機上的防止資料外洩，主要分為以下四大類控管：

Android本機系統控管

•  本機硬體裝置控管
  (1) 禁用手機上的硬體裝置：例如WiFi無線網路、藍芽裝置、手機熱點(Hot Spot)…等的禁止使用。
  (2)SIM卡的限制使用：根據SIM卡的識別ID，只有被授權使用SIM卡與對應的手機裝置，才可使用；必要時，可設定在SIM卡任意更換時，即鎖定手機系統，以達到控管機制。
  (3)SD卡的管制使用：由政策指定手機的SD卡在啟動控管時，即被限定，不可自行更換；若任意更換，將以簡訊警示管理者或禁用SD裝置。
  (4) WiFi連線基地台(Access Point, AP)控管：所有連線過的基地台SSID皆被記錄，亦可依指定白名單才可連線使用的控制。
• 記錄電話及簡訊通聯記錄，簡訊內容，無論收發皆可選擇是否要記錄；且所有通訊的地點，皆可以GPS位置資訊作關聯整合。
• 系統遠端管理與控制
  (1) 簡訊警示主管：透過電信系統既有的簡訊(SMS)發送，當使用者操作被監控的行為，如文件開啟、軟體執行...等，立即以警示簡訊發出，回報公司管理者並記錄。
  (2)遠端更新資安政策：此Android資安控管軟體，讓管理者針對手機控管政策的內容，以發送簡訊到遠端，更新手機上的政策；透過簡訊發送特定的資訊到手機，在手機上收到簡訊內容，即更換手機控管的政策機制，以達到遠端控管手機的效果。
  (3)SD卡的管制使用：由政策指定手機的SD卡在啟動控管時，即被限定，不可自行更換；若任意更換，將以簡訊警示管理者或禁用SD裝置。
  (4)手機遺失鎖定：當手機遺失或必須限定特定手機恢復使用，可利用如上述的簡訊遠端控管，下達鎖定系統的政策，使用者即無法繼續使用手機，即時防止洩密的危機。

Android軟體安全控管

•  軟體自我保護機制： 此A n d r o i d 資安Agent，擁有防止被使用者移除(或停用)的保護機制，確保監控系統的功能持續運作；唯有管理者通過指定密碼的認證過程，才能將資安軟體反安裝。
•  禁用軟體：記錄所有或特定Android軟體(即APK)執行或安裝；除記錄外，更可配合軟體黑名單控管機制，禁用特定軟體的執行。
•  檔案操作記錄：監控SD卡上的檔案操作，並記錄包含讀取、更名、刪除、複製等的文件使用的行為；可針對逾期或對指定的機密文件檔案作即時的遠端刪除。
•  網頁瀏覽記錄：可利用網頁URL網址的黑名單，執行禁用特定網頁的控管。

Android軟硬資產資訊

• 取得手機系統的資訊，如Android版本號碼，以作管理。
• 對手機內Android軟體(APK)安裝資訊，作記錄並監控；軟體安裝時，也會有異動的警示，確保使用者未安裝禁用軟體。
• 硬體裝置及資源使用資訊，例如定時取得SD、電池、ROM、 RAM等的容量使用情況記錄，並作警示的功能。

Android追蹤記錄監控

所有記錄皆可透過GPS或AGPS取得當下位置資訊，配合Google地圖顯示，可作全球性的位置記錄。記錄說明如下:

• 管理者可設定定時追蹤位置以作記錄，可達到行動軌跡的追蹤效果。
• 電話通聯位置的追蹤記錄。
• 簡訊內容的收發記錄。
• 開關手機系統的追蹤記錄。
• 使用網頁的瀏覽記錄。
• 追蹤WiFi 無線AP 連線及位置記錄。
• 文件檔案開啟位置的追蹤記錄。

精品Android資安防護系統，上市在即精品規劃的Android資安防護系統，將涵蓋目前Android市場主流的機種及版本，包含Android 2.2、2.3、3.x及4.x的版本。
A n d r o i d 手機控管模組， 將搭配X-FORT新版本，預計於2012年9月底盛大上市。

文 ／ 精品科技 法務 邱芷葳

近年來，利用個人資料進行犯罪的事件層出不窮，造成大量的個人資料四處流竄，對個人權益已然造成嚴重損害，早年保障個人資料的法律－《電腦處理個人資料保護法》

《電腦處理個人資料保護法》隨其適用對象卻僅侷限於政府機構與徵信、醫院、學校、電信、金融業、證券、保險及大眾傳播等八大行業，且受保護的範圍也只有電腦處理的個人資料而已，紙本資料根本不在此範圍內，實在沒辦法有效涵蓋所有的個資犯罪型態，為了完整保障個人權益，於是制定了新版的《個人資料法保護法》。新版的個人資料保護法不僅將以往的適用範圍，擴大到所有保有個人資料的自然人、企業、公務機關或其他團體，並且除一般性的個人資料外，也增加了基因、醫療、性生活、健康檢查與犯罪前科等五項敏感性資料有限度的蒐集、處理及利用規範，也就是說除非有:
1.法律規定
2.履行法定職務或法定義務，且有適當安全維護措施
3.當事人自行公開或已合法公開
4.公務機關或學術研究機構基於醫療、衛生或犯罪預防之目的，為統計或學術研究而有必要，且經一定程序所為蒐集、處理或利用之個人資料等四種法定情形，否則不得任意蒐集、處理及利用敏感性資料。

而因企業及公務機關往往保有大量的個人資料，因此，新版個人資料保護法實施後，企業及公務機關所需負擔的個人資料安全維護責任也更被加重。舉例來說，國內以往有許多知名企業都曾經發生過大規模的個人資料外洩事件，但受害者往往卻因不知情，而導致其權益受損卻無法主張。因此，新版個人資料保護法特別規定，當企業或公務機關所蒐集、處理及利用之個人資料遭到竊取、洩漏、竄改等情況時，企業或公務機關有義務即時以適當的方式（例如電話、信函等）通知當事人。如有違反規定，主管機關可令其限期改正，並可按次處以二萬至二十萬元不等的罰鍰，如因此造成當事人的損害，賠償上限甚至可高達二億元，由此可見，新版個人資料保護法對個人權益保障之重視程度。

在個人資料保護法實施後，個人應該如何保障自身權益？

個人資料保護法實施後， 每個人都將有權對於保有自身個人資料的企業或公務機關，提出查詢、閱覽或提供複本的請求，以確認企業或公務機關所保存個人資料的正確性。如果核對後發現有錯誤或遺漏，也可以請求企業或公務機關更正或補充。此外，個人可以隨時提出停止蒐集、處理或利用之請求，讓企業或公務機關不得繼續使用自己的個人資料，尤其是現在的企業經常使用電話行銷來銷售自家的產品，如果不願成為電話行銷的對象，隨時都可以提出停止使用自己個人資料的請求，甚至要求直接刪除所保有的個人資料，以杜絕後患。企業或公務機關對於上述請求，也都必須在30天內作出准駁的決定。

再者，企業對個人資料的蒐集、處理或利用，除應有特定目的外，且蒐集或處理個人資料時，另需有法律明文規定、或有契約關係、或經當事人書面同意等，才可合法進行。

企業或公務機關如違反個人資料保護法的上述規定， 導致個人資料遭不法蒐集、處理、利用或其他侵害當事人權利，個人有權利於知道損害發生及賠償義務人時起二年內，向企業或公務機關請求損害賠償。如因同一原因事實造成多數當事人權利受到侵害， 聯合受有損害的當事人二十人以上，即得委託財團法人或公益社團法人提起團體訴訟。

團體訴訟應如何發動？

然而，什麼是團體訴訟呢?所謂團體訴訟，係指同一個原因事實的發生，可能同時使多數的當事人受到損害，此時各個當事人依民法及民事訴訟法的規定，原本各自得以自己名義提起損害賠償訴訟，於訴訟中成為當事人而受判決，但各個當事人卻不以自己的名義對引起損害之人提起訴訟之方式，反而將此項訴訟權利藉由某種方式讓與給特定資格的團體集結眾人之力，由此類團體代替他們向加害人請求賠償。

例如：信用卡發卡銀行因持卡人長期交易所蒐集、累積的眾多個人資料，如果因為員工盜拷後販售給詐騙集團，導致銀行違反個人資料保護法第27條之安全措施責任，只要集結其中二十個人以上的受害人，就可以將這些受害人的訴訟實施權用書面授權給具備個人資料保護法所限定資格的財團法人或公益社團法人，如此一來，該法人即可以自己的名義自行或委任律師向違反個人資料保護法的組織或個人提起團體訴訟，若無法證明損害數額時，則可依法請求每人每一事件五百元以上二萬元以下的損害賠償，賠償總額最高可達二億元。

目前因新版個人資料保護法尚未正式施行，因此，國內還未有個資外洩的團體訴訟案例，但國外已有類似的案例發生，並且已向加害人發動求償訴訟。2011年04月，南韓的一位使用者指控iPhone不當擷取個人位置資訊，導致其憲法保障的個人生活受到侵害，於是委請律師向南韓法院起訴蘋果，經南韓法院正式判定蘋果南韓分公司應支付該使用者約韓幣一百萬元（約台幣兩萬七千元）的相關精神賠償。判例一出，短短半個月的時間，就有兩萬七千八百萬個受害者紛紛求助打贏這場官司的律師，要向蘋果提出集體訴訟。比照每人韓幣一百萬的求償金額，蘋果的賠償規模可望達到兩百七十億韓元（約台幣七億兩千九百萬元）。

另外，Sony 於去年四月也曾發佈消息說，Sony集團內以美國為中心發展電影與遊戲網路配信服務「Play Stat ionNetwork」與「Qriocity」，遭到駭客入侵，造成了至少7500萬人會員顧客的資料外洩。外洩的資料中，包括會員的名字、地址、電子信箱、生日、ID與密碼等，因此，Sony用戶也已經向加州法院提出集體訴訟，控告Sony未能妥善保存使用者的個資。若以過去日本針對個資賠償的判例一人賠償三萬日圓的金額計算，Sony在這次被稱為「史上最嚴重個資外洩」事件中，賠償總金額恐將超過二兆日圓。

結語

綜合前述可知，個人資料如遭人不當利用，被害人可以依據個人資料保護法加以主張，除此之外，也仍有其他法律上的權利可以主張。例如：如果被害人與加害人有進一步的契約關係時，則可視契約對不當利用資料的行為，有沒有約定違約賠償責任。如果沒有契約關係，被害人可以考慮用隱私權等人格權被侵害為理由，依照民法之侵權行為規定，向加害人請求財產上及非財產上損害賠償，如果同時還有名譽被侵害的情形，則可以另外請求回復名譽的適當處分。此外，刑事部分，被害人亦可依具體情況，依刑法第三百十六條、第三百十八條之一等「妨害秘密」規定，對加害人提出刑事告訴。因此，個人資料保護法案公布施行後，個人更應注意個人資料被蒐集、處理及利用之合法性，不要讓自己的權益睡著了。

文 ／ 精品科技 稽核副理 許樹龍

99年4月《個人資料保護法》在立法院三讀通過，對於個人資料的保護管理，從此跳脫出原本舊法規設定的電腦框架，也向世人昭告 個人資料是重要的、有價的，是必須受到保護的 ，再也不是幾句人人呼喊的口號，而是即將成為所有組織必須採取的行動！

保護行動即將展開

在法規通過後，經過一年多的時間；終於在去年的第四季，個人資料保護法的施行細則已進行預告，這一個動作象徵著《個人資料保護法》的實施已迫在眉睫，所有組織不分大小即將
進入這場跨越民國百年的個人資料保護大戰。—是的，所有組織，只要握有個人資料都在《個人資料保護法》規範的範圍之中，所以若是還沒進行應有之作為，就必須加快腳步了。

如何進行個資保護

在個資保護管理實務層面上，建議大家參考戴明循環P(Plan)→D(Do)→C(Check)→A(Act)｣持續改善的循環方式，進行個資保護管理系統的建置。然而在進行系統建置之前，另外有一
件重要的事大家必須要了解—個資保護並非只是為了遵循法令的要求｣。換句話說，當他人基於信任交付我們一個重要的東西時，我們應該要給予某種程度的尊重，如何表現出我們的
尊重呢？就是對這個重要的東西進行適當地保護，這是人與人之間相處的基本行為；也就是說，保護個人資料本來就是擁有個資的人或團體應該做的事。當大家都具備此基本共識前提
下，建置出的系統應該會是在所能承受的風險內，最適合大家的系統。

系統建置的參考步驟

重要的第一步：

建立共識、形成目標、給予承諾《個人資料保護法》正式公告實施後，將直接衝擊許多企業或組織，造成實質的影響；企業或組織內部必須建立相同的個人資料保護共識，進行形成正式的目標以及基礎的政策，乃是跨出因應個人資料保護最重要的第一步。

隨即應檢視公司內部組織架構，定義各個部門在個資保護管理之權責，並成立個資保護的管理組織。公開承諾給予必要之資源，授予負責人員執行相關業務的職權，展現進行個資保護的決心。

第二步：教育訓練

古語有云: 知己知彼，百戰百勝 。雖說個資保護本來就是應該要做的事，但是，既然已經有法令要求，在規劃的過程之中，就不可不了解法令規範，因此適時的教育訓練是絕對有必要的，方可在開始就規避可能的問題，畢竟 預防勝於治療 ，好的開始就等於成功了一半。除了開始建置統前的教育訓練，開始執行相關個資保護措施後，持續的教育訓練也是必要的考量項目，而針對不同權責的人員，也應規劃不同程度的教育訓練。

第三步：個資盤點

從上一個步驟延續下來， 內部應該已經做過初步的訓練，明確知道什麼是個人資料，現在接下來就要進行個資盤點，確定要被保護的資料到底散落在哪裡？
進行盤點前，公司或組織應該先確定盤點清冊的項目，也就是要點出與該項個人資料有關的項目是哪些？
例如下圖的參考項目：

圖一：個資盤點清冊的項目

當初步確定盤點清冊項目後，就可以請各個相關部門進行個資盤點。對大多數的企業或組織而言，個人資料盤點是最耗費人力及時間的步驟，但是若是缺少了這一步，就很難有效地進行個人資料的保護與管理，因此就算困難也要堅持下去；不過，千萬也別為了要確認內部所有的個人資料都有盤點到，而一直耗在這裡而裹足不前。別忘了這一個持續改善的制度，沒有人一開始就做到100分，也沒有人敢說他執行的制度就是100分的制度。

第四步：建立管理制度

在完成內部第一份正式的個資清冊後，接下來就要進行保護管理相關措施的建立。首先，先就個資清冊之各項個資，建立個資流向(流程)圖，進行個資流程診斷。了解個人資料是如何取得、內部是如何處理、誰會用到這些資料、誰會保存這些資料、這些資料又是以何種形式被保存、誰可以修改這些資料、刪除、銷毀…等。

在完成個資流程診斷後，首先會知道是不是有些個資在其他部門有保存未被列入盤點清冊，重新更新正確的盤點清冊。接下來，可以利用初步的流程概念，規劃各個管制點的控制措施，進行資料管理控制、安全控制、環境控制、設備控制、人員控制、記錄控制、教育訓練管理、委外廠商的管理、風險管理、稽核機制、持續改善機制…等各項控制流程的建置，建立
起初步的個人資料保護管理系統。控制流程的建置，建立起初步的個人資料保護管理系統。

第五步：風險管理

在完成初步的管理系統建置，企業或組織應依據所選擇的風險評估方法， 進行首次的風險評估， 其考量內容可能包含：法規符合性評估、隱私權衝擊評估、資料敏感性評估、重大性評估、資料流向評估、資料生命週期…等，最後找出超過企業或組織風險胃納的項目，進行風險改善。或是結合營運衝擊分析，進行風險改善，之後再進行風險再評估，確定改善成效。利用此風險管理方法可以針對風險控管不當的項目，進行再次修改或調整。

第六步：持續改善

在運作個人資料保護管理系統的同時，應依據設定的稽核機制，進行系統運作的稽核作業，以合理確保系統有效率及有效果地運作。並依據查核的缺失、發生的事件/事故…等進行矯正預防作業，持續調整系統的運作。最後，定期的執行個人資料保護管理系統的審查機制，確認系統符合法令法規的要求以及企業或組織的政策，達到持續改善的目的。

輔助工具的選擇

在預告的個人資料保護法施行細則第九條明確說明「適當的安全維護措施包含組織上及技術上之必要措施」，在前段所敘述的幾乎都是組織上所採行的措施，對於要採行那些技術上的措施，幾乎毫無著墨，大家應該都很想知道到底要使用那些技術才能稱得上是適當的安全維護措施。但是很抱歉，這裡並沒有一個絕對的答案，因為我們不了解每個組織的規模以及所有擁有個人資料的內容，所以沒有辦法給一個絕對的答案。其實更重要的一個重點是，我們並不是法官。

然而在這個資訊技術發達的時代， 傳統的防火牆、病毒防護、以及簡單的網路保護…等，對於大多數的公司及組織來說是絕對不夠的，況且大多數的資訊安全事件、個資外洩事件都是由內部人所造成的，若是根據品管手法的80/20法則，是否該建立一些內部防護機制的資安軟體，答案已經非常明顯了。其中資安軟體簡易分類介紹如下：

1.防資料外洩系統(DLP)：
可以防止公司內部人員，利用電腦週邊的管道，大量的將資料從公司內部帶走。功能強大的軟體，更可以記錄寫出的資料，以及限制開啟的環境…等。

2.文件控管軟體(DRM)：
可將重要資料檔案， 進行加密與控管的軟體，讓無權限的使用者無法開啟檔案。設計優良的軟體，甚至可以限制檔案使用次數、使用時間及記錄使用者編輯、刪除、複製檔案的相關資訊。針對配合廠商也有唯讀或限制存取次數的設計。

3.監視軟體(Monitor)：
如名稱所述，其主要功能就是記錄。記錄電腦行為的資訊，或者是如同一般的行車記錄器，記錄電腦執行的畫面。

不過，在評估上述相關資訊安全產品時， 該如何選擇呢？ 我個人給的答案是「預防勝於治療」，建議優先選擇防護類型的產品。另外個人資料保護法施行細則也特別提到相關的使用記錄、軌跡資料及證據保存，因此資訊安全防護軟體的記錄能力也是重要一個重要的評選項目，記錄不只是保存數位化Log而已，而是中間很多的記錄軌跡都要能夠保留下來，重點在
於要能夠證明採用資訊安全防護的記錄軌跡，以及「還原」事件原本的面貌。

結語

目前國際上有ISO 27001（資訊安全管理系統）、英國的 BS 10012（英國個人資料保護標準），以及我國也有經濟部委託由資策會科法所擬定的 TPIPAS （台灣個人資料保護與管理制度），皆可做為大家建置個人資料保護管理系統的參考。然而，保護個人資料本來就是應該做的事。只要大家秉持著這樣的信念，絕對可以建置符合每個公司或組織的適當的安全維護措施。