旅遊業個資法衝擊：千頭萬緒 先從傳真刷卡控管

在旅行業有20多年資訊服務經驗的科威資訊董事長陳明熙說，其實，過去很少聽說因為個資外洩引發訴訟的事情，即使有金錢上的損失，也多半會由旅行社出面和解，陳明熙說，所以資訊保護的重點就會放在信用卡刷卡的流程。

刷卡交易為主要關注點

因為保險額度較高以及延後付款等便利性，使用現金的情形較少，有八、九成的客人多會使用信用卡付款。線上刷卡可以透過系統設定來控管，而且可以讓銀行來處理、控管金流，但是傳真刷卡就非得要人工去刷卡機按下資料，所以傳真刷卡的風險其實較線上刷卡來得高。

但一般人仍囿於對線上刷卡的成見。過去Travelport就曾經報導過，以亞洲來說，實體旅行社仍比線上旅行社來得多很多，傳真刷卡的比例仍然不低。
以實務上操作來說，旅行社接收到傳真刷卡單後，會需要執行後續程序才能完成作業，不論是否以FAX Server來接收，多半仍須要列印出來。重要步驟如下：
1. 利用刷卡機來刷卡（也就是在刷卡機上輸入卡片資料，不像一般的實體卡過卡）來取得消費授權碼。
2. 授權碼會記錄在該張傳真刷卡單上。
3. 由財會部門保存作為請款／收款／銷帳的會計憑證資料。

以下我們分別就傳真刷卡的兩種方式來討論後續資料的處理，一是具有傳真機實體，二是透過網路傳真將資料直接轉入到系統。

傳真機傳真  控管操作流程 

現在機票多改為電子機票，早期實體機票的年代，因為機票是空白的有價證券，根據嚴謹的國際規範，機票的存放有一定的規則，例如要放在僅有一個出口的封閉空間等。所以過去有票務公司經驗的旅行社，對於傳真刷卡機的保護及擺設也比較有概念。
陳明熙建議，如果上述作業均在財務室的環境範圍內，對內控上比較容易釐清責任，需要考慮的點像是，例如傳真是傳到那個部門？那個部門／人將它印出來？那個部門／人負責「刷卡」取得授權？授權成功及失敗的處理？之後文件的傳遞及保存等問題。 上述作業如果涉及多位人員或部門時，當資安事件發生時就不易究責。
由於很多旅行社的傳真機多放置於開放式的空間，甚至各部門都有自己的一台傳真機，這就比較容易造成漏洞。不過近幾年來經過宣導，已經有些改放到財務單位的房間裡面，封閉空間並統一由財務來收管。不過，陳明熙估計，大約還是有1/3比例的旅行社不太在意這個問題。
而他也認為，針對傳真刷卡這種流程控管，在實務上，中小旅行業只要有資安意識，反而還比較容易控管，只要窗口統一、設備隔離就好。可是在組織架構比較大的旅行業反而會遇到問題，因為利潤中心制，每個單位的營收都分開，不見得可以統籌由財務單位控管。



▲科威資訊董事長陳明熙認為，針對傳真刷卡這種流程控管，中小旅行業只要有資安意識，反而還比較容易控管，窗口統一、設備隔離就好，可是在組織架構比較大的旅行業反而會遇到問題。

網路傳真  限縮人員權限
略具規模或專營網路的旅行社，其傳真系統可能都已經電子化，變成「網路傳真」來收發的模式。不過相同的是，要關注探討的還是資料傳真進來之後如何處理，並且順利刷卡入帳、保存、銷毀的流程。

Ezfly易飛網網管資訊處協理曲振芳說，如果想要將傳真件分開至各業務端，有兩種解決方式，一是自己客製傳真系統，二是利用分機來分件到各個業務資料夾中。在旅行業中客製傳真系統並不多見，通常連設備（傳真卡）都必須要國外進口，再將系統與自己的ERP系統作介接，建置的人力、成本也不低，包括電路費等，客製化系統的費用並不便宜。

而亦有業者採取第二種方式，通常電信業者會提供API，是必須在傳真接通後，寄件者再按分機，才能分發傳真件。但實際的狀況是，消費者可能聽到傳真機接通，按下傳真鍵後就走了，傳真系統在無法分辨的狀況下，資料就會預設放到公共資料夾，這時候資料就等於人人可取得了。以目前電信業者提供的服務狀況來看，一家公司也只提供一組號碼，所以旅行業者只能透過分機的方式來劃分每個業務可收發客資的權限。 


▲Ezfly易飛網網管資訊處協理曲振芳說，代辦、代簽流程長，會經手許多人，若個資法實行後可能會造成極大風險，但帶來的利潤卻不是那麼多，再加上控管成本，他認為旅行業可能會寧可捨棄掉這塊吃力不討好的業務。

Ezfly目前就是採用自己客製的傳真系統，並且採一個業務、一條專線的作法，讓每個業務都只能接觸到自己客戶的資料，權限最多只到三人－本人、職務代理人、直屬主管。而權限也並非同時存在，當業務本人請假，職務代理人才有權限，連職務代理人都請假，最後才會開放到主管，此外，系統不僅會留下記錄，也不允許列印。而由於內部系統採thin client架構，業務可到刷卡機旁邊的電腦，登入自己的帳號、密碼，看到傳真資料之後，一邊將資料鍵入刷卡機完成交易，交易成功後業務才會取得一組授權碼，Ezfly目前的目標，就是希望可以做到當交易完成後，該筆傳真資料就會自動關閉，業務也不能再看，僅留授權碼給財務對帳。

Ezfly易飛網經驗分享
	1. 一個業務、一條專線，盡量限縮可接觸到刷卡資訊的人員。 2. 採用thin client架構集中管理資料，禁止列印資料。 3. 交易完成即關閉查詢功能，僅留授權碼供財務核對。 4. 保存信用卡號僅8碼，僅供辨識銀行別及卡別。 5. 增加其他認證、付款方式：OpenID機制、語音刷卡IVR。

資料不得不存 怎麼存？

談到個資法可能造成的風險因應原則，那就是不需要的資料盡量不要保存。然而儘管交易已完成，但通常資料仍會留存在系統內做為備查，這也增加了風險性。曲振芳解釋，業務上會面臨到的狀況很多，例如當一個客戶不小心重複刷卡，或是購買不同的旅遊組合商品，面對的就會是不同的業務，又或者是遲遲不能成團必須要刷退，也因為機票有比較長期的年票，消費者可能已經忘了自己當初是刷哪張卡，可能還要由業務這邊提供資訊。不過，信用卡號共16碼，可以僅保留8碼就好，前4碼來判定銀行別，後4碼判定卡別，再者就是交易成功後的授權碼。陳明熙也建議，若逼不得已要保存信用卡號，最好需要欄位加密，而且要看信用卡全碼時，需要經過層層授權並且留存有log。

針對未來個資法因應，陳明熙說，一般的旅行社在過去多半只是在「異動」的時候做log留存，並沒有特別針對「輸出」或是「查詢」的動作留存，他建議以後可以加強，不過「查詢」會造成流量會增加非常多，這也是一個成本上的考量。他也建議，旅行社可以針對資料庫中的重要欄位進行遮罩、儲存加密、線上傳輸交易時採用SSL，若可以的話機房亦可交給IDC，可將風險托管。

其他刷卡替代方案
另外，除了傳真、信用刷卡等，為了要加強服務及安全性，其實Ezfly也提出了其他的替代解決方案：

1. 單一登入方案，目前Google、Yahoo都在推OpenID機制，所以目前Ezfly也在「揪團自由行」這塊嘗試，系統已上線。消費者可能用Google、Yahoo帳號，甚至Facebook來登入消費，可能只是買機票或訂房，交易完就離開，資料會留在Google、Yahoo而不是Ezfly，這樣的狀況是資料擁有者變成提供單一登入機制的供應商，當然，消費者留在Google、Yahoo的也不見得都是真實資料。

2. 語音刷卡(IVR, Interactive Voice Response)系統，由於Ezfly過去曾有過銷售票務的背景，原本就有一套舊系統，因此再強化過後便可透過語音來刷卡，預計明年一月完成，屆時消費者可以自行透過電話產生訂單，也不用再透過業務人員，增加其安全性。曲振芳提到目前的挑戰是信用卡的3D密碼驗證，由於現在的信用卡都會預設打開這個功能，但這個部分IVR沒有辦法支援，所以建議消費者可以先打電話到銀行客服取消這個功能，等刷完卡後再打開。 



而除了從關鍵的信用卡刷卡來解決以外，以中小企業為大多數的旅行業，在觀念上還有賴教育及宣導。日前，由觀光局撥款與公會聯合舉辦全台巡迴的「觀光業個資法說明會」，也於全台展開了，共5個場次，針對全台2,200家旅行社舉辦個資法因應的說明。

旅行業主管機關及公會針對個資法因應
旅行公會全聯會執行秘書長向權宗表示，希望將來個資法正式上路的時候，可以有一個統一的制式書面規範，而不是讓業者各走各的路，避免在執行上會有偏差，包括像是同業之間對消費者資料的交換，或是取得消費者同意運用資料的申請書面格式，公會都將會延請業界的專家研擬一些制式的規格。著重在如何取得、收集消費者資料，取得同意，並且在發生外洩事件之後，如何善盡主動告知義務。

不過根據了解，參加的家數全省約只有500家左右，參與家數並不多，該說明會主要是與觀光旅館、遊樂區業者一起合辦，而觀光旅館指的是4星級以上旅館，其組織規模都很大，遊樂區也是，所以各個體的資訊化程度可能還比較沒問題或是家數比較少，但是旅行業的特色就是中小型旅行業多。向權宗認為，政府在個資法這方面的宣導還不夠，普遍都還不知道這項法對企業的影響，這些佔多數的中小旅行業又沒有危機意識，即使有也不知道怎麼做。


▲旅行公會全聯會執行秘書長向權宗建議，公司應該要加強內控，可以針對分層負責來規範，例如Sales、OP各自可以取得哪些資料？思考組織架構裡的權責劃分，才能有效防範有心人士的蓄意洩漏。

並且，考量到像是護照、身分證件資料如果盡量e化當然是可以集中資料的處理，不過如果用掃描圖檔的方式來處理，又要考慮到一些個問題，第１個，中小旅行社有沒有設備，是否負擔得起？第2，人員缺乏資安意識，掃描起來之後又要怎樣處理？第3，假設透過網路寄送資料，又可能因為頻寬不夠，或是圖檔太大又不能壓縮，導致資料被擋在Mail Server之外。以及傳統旅行業的習慣－喜歡影印。但是有時為了節省成本有時候又會拿回收紙去印，資料就可能無心洩漏出去。另外，他也建議公司應該要加強內控，可以針對分層負責來規範，例如Sales、OP各自可以取得哪些資料？思考組織架構裡的權責劃分，才能有效防範有心人士的蓄意洩漏。
以中小企業為大多數的旅行業，都在資源、技術或人員意識上面臨到不少問題。不過他認為，個資法引起的興訟問題，可能是真正實行一年後才會發生，因為很多消費者也還不知道自己的權利，等到消費者意識抬頭，對旅行業就會產生真正的衝擊。

旅行業中小企業多 多需仰賴資服業者
比起東南亞地區，台灣旅行業的資訊化程度算是高的，只是各家旅行社的科技差異化還是很大。除了像是雄獅、東南等大型旅行社有自己的IT人力，大部分的旅行社IT都是委外。此外，像是南北也有差異，旅行社產業百分之八十集中在北部，且比較會使用標準流程的軟、硬解決方案，而所以南部小的旅行社會著重在成本上的節約，在選擇使用資訊設備時，比較會便宜行事或自行建置，當然也就比較不一定安全。
他舉例去年達賴來台灣的時候，很多旅行業客戶的網站都被攻擊（當然這可能不只是旅行業而已），查出來發現有些可能是作業系統漏洞，或有些是過去寫的程式比較老舊，沒有考量到資安、有漏洞。他認為，由於資訊服務業者在這方面比較具有經驗，都比中小旅行業自行維護來得更有成效且系統化的維護。

產業特性：現金流大、人員門檻低
此外，旅行業的產業特性就是現金流大，但是利潤低。很多個體戶靠行就成了個人旅行社，進入門檻低，而且整個流程裡面有太多人，無可避免的會接觸到個資。包括像是領隊、送件公司等，每個大大小小的旅行社都會辦理護照證件等服務，有些可能會是自己公司的人送件，但很多時候是統一由送件公司（又稱綜合旅行社）來統收，也有專辦機場check in的送機公司。這些人都可能拿到紙本的「個資」，像是姓名、電話、證件。（更詳盡的內容可參見資安人73期 p.62「旅遊業個資- 不是自己人，誰理你？」）

委外送件、送機風險多 人工流程難控管
要保護好個資，在旅行業裡最重要的部份就是客戶資料。但其中，代辦實體護照證件的流程非常長，會經手許多人，若為了要作好控管，勢必要付出很大的成本，這目前來看幾乎都是無法可解。只要資料有人接觸的部份，風險都會變得相當高，非常難以控管。曲振芳認為，若以後個資法實行後，代辦、代簽證件可能會造成極大風險，但帶來的利潤卻不是那麼多，例如代辦一本護照收一千塊，但如果洩漏個資一筆就被罰兩千，再加上控管成本，以及台灣目前與越來越多國家之間的往來都是免簽證，旅行業或許寧可捨棄掉這塊吃力不討好的業務。
Ezfly目前自己有證照組跟外務，前者專辦護照證件，後者專門送件。業務會把資料交給特定搭配的證照人員，可能會給一列清單簽收，不過這種手寫的記錄自然也是難以控管的一塊。而導遊也有導遊協會，旅行社有時候自己出領隊，有時候也會委外，旅客資料難免還是要給領隊。
此外，有些客戶會打電話來跟業務／客服確認行程，順便也就留下資料請業務／客服代填。所以更具規模的旅行業，甚至就會分成CC(Call Center)跟SC(Service Center)，後者只單純提供諮詢服務，並不過問業務也不接觸客資。

結論
從資安的角度來看產業別，旅行業顯然不若金融、政府等具有經驗及資源，以中小企業為主的旅行業顯然也只能盡量因應，然而在眾多準備工作中，什麼又該先做才好？個資外洩雖然讓消費者不快，但至少財務資料更要抓緊控管。如果傳真刷卡資料還不能先做好，未來個資法通過後，旅行業可能就要面臨到嚴重的賠償問題。