因應個資法系列(4) 個資盤點-東森掌握70%資料流 個資盤點由IT開始

在個資法公布之前，東森得易購就曾經做過個資盤點，當時為了徹底整頓資安，便請外部顧問公司協助，針對姓名、電話、住址、信用卡號、及身份證字號共5種個人資料進行盤點，前後花了將近2個月左右的時間。東森資訊部總監丁平碩表示，之所以盤點這5種個資，乃是逆向思考後所得出的結果，對消費者而言，個資外洩最有可能的損失就是詐騙錢財，而詐騙集團最需要的就是這5種個人資料，因此外洩風險最高，企業有必要掌握其流向與記錄。

當時的作法是以盤點標的為單位，從資料產生的階段開始、逐一討論各個業務流程，進而描繪出完整的資料流向。舉例來說，信用卡資料從客服中心進來，客服人員輸入至資料庫後，下一個狀態是什麼？哪個部門或哪個系統會使用？哪些外部單位可能會接觸這些資料？參與討論的人員包括IT部門與業務執行部門（即有權接觸資料的使用單位），惟有如此才能描繪出流程圖與系統圖的完整樣貌，掌握資料在企業內的流向及存放位置。

描繪出資料流向後，接下來就是調整業務流程，降低可能的個資外洩風險，假設與銀行間資料交換的方式是，業務承辦人只要按一個鍵，系統就可以匯出2天的交易資料，再將檔案寄給銀行，如今為了降低風險，可將作業流程改為與銀行系統對接、讓二個系統直接交換資料，如果不能對接就降低每一次的資料匯出筆數，並嚴格限制資料使用者的身份。

丁平碩指出，當時制訂的管控措施有：(1)禁止新增電話欄位、(2)信用卡欄位被限制只能放在一個Table，其他系統如果需要使用信用卡資料，都得來存取這份表格、(3) 禁止程式開發者或DBA隨意新增欄位，倘若要新增欄位，必須經過開發團隊、QA團隊、CIO層層核準才可以。

也因為設下嚴謹的管控措施，控制機密資料的成長幅度，再加上多為電子化作業，使得東森資訊部門可以掌握住70%的資料流向，這也讓第二次、因應新版個資法所做的個資盤點工作相對簡單許多，丁平碩表示，如今只是延伸之前的工作項目，惟一的差別是盤點的個資種類變多了。

在這次的盤點工作中，先由資安人員設計盤點表單，並列出新法所規定的個資類別，由IT部門開始做盤點，看看哪些系統或資料庫欄位含有新法所規範的個人資料，填寫者分別是系統管理者、資料庫管理者、及程式設計師，之後呈給主管審核，審核通過後再交由資安人員匯整分析，並剔除重複填寫的部份，因為這3種人員看資料的角度都不同，系統管理者多從檔案角度來看、資料庫管理者則是從DB角度來看、程式設計師可能只會看程式，但彼此可能會有重疊的部份，必須由資安人員匯整與分析。

接下來則是檢討資料存在的必要性，丁平碩表示，盤點出來的資料如果和使用者應用有關聯，就會和使用部門開會討論：

1.有沒有存在必要性：檢討資料存在必要性，並刪除這些多的、沒有使用的資料欄位，過往資料搜集者都會有的迷思，就是儘量把資料搜集進來，而不去管有沒有使用必要性，但是每多一筆資料就增加一分外洩風險，而個資盤點最主要的目的之一，就是刪除這些不必要的資料；

2.限縮使用權限：如果資料有存在的必要性，此時要做的就是縮小有權限接觸資料者的範圍，亦即檢視業務上是否需要使用這些資料，倘若用不到就關閉使用權限；

3.管理有權限的資料接觸者：制定必要的管理措施，管理這些接觸資料的人，例如：客服人員不準帶紙筆進入客服中心、傳真機使用的紙張必須要編號等。

由於東森之前的經驗，使得高層單位對資安相當重視，加上之前就已經有個資盤點的經驗，使用單位的配合度相對較高，但因為第二次盤點的個資種類比較多，少數沒有參與第一次盤點的使用單位，例如：業務部、商品部，也要配合盤點作業，這些部門不是直接接觸客戶資料的單位，比較不能理解為何需要做這些事情，這時只能透過教育宣導，使其瞭解新版個資法的重要性，以及進行個資盤點的原因，才能讓盤點工作順利完成。

 東森個資盤點經驗分享