https://www.informationsecurity.com.tw/seminar/2024_Business/
https://www.informationsecurity.com.tw/seminar/2024_Business/

觀點

因應個資法系列(4) 個資盤點-東森掌握70%資料流 個資盤點由IT開始

2011 / 10 / 28
廖珮君
因應個資法系列(4) 個資盤點-東森掌握70%資料流  個資盤點由IT開始

在個資法公布之前,東森得易購就曾經做過個資盤點,當時為了徹底整頓資安,便請外部顧問公司協助,針對姓名、電話、住址、信用卡號、及身份證字號共5種個人資料進行盤點,前後花了將近2個月左右的時間。東森資訊部總監丁平碩表示,之所以盤點這5種個資,乃是逆向思考後所得出的結果,對消費者而言,個資外洩最有可能的損失就是詐騙錢財,而詐騙集團最需要的就是這5種個人資料,因此外洩風險最高,企業有必要掌握其流向與記錄。

 

當時的作法是以盤點標的為單位,從資料產生的階段開始、逐一討論各個業務流程,進而描繪出完整的資料流向。舉例來說,信用卡資料從客服中心進來,客服人員輸入至資料庫後,下一個狀態是什麼?哪個部門或哪個系統會使用?哪些外部單位可能會接觸這些資料?參與討論的人員包括IT部門與業務執行部門(即有權接觸資料的使用單位),惟有如此才能描繪出流程圖與系統圖的完整樣貌,掌握資料在企業內的流向及存放位置。

 

描繪出資料流向後,接下來就是調整業務流程,降低可能的個資外洩風險,假設與銀行間資料交換的方式是,業務承辦人只要按一個鍵,系統就可以匯出2天的交易資料,再將檔案寄給銀行,如今為了降低風險,可將作業流程改為與銀行系統對接、讓二個系統直接交換資料,如果不能對接就降低每一次的資料匯出筆數,並嚴格限制資料使用者的身份。

 

丁平碩指出,當時制訂的管控措施有:(1)禁止新增電話欄位、(2)信用卡欄位被限制只能放在一個Table,其他系統如果需要使用信用卡資料,都得來存取這份表格、(3) 禁止程式開發者或DBA隨意新增欄位,倘若要新增欄位,必須經過開發團隊、QA團隊、CIO層層核準才可以。

 

也因為設下嚴謹的管控措施,控制機密資料的成長幅度,再加上多為電子化作業,使得東森資訊部門可以掌握住70%的資料流向,這也讓第二次、因應新版個資法所做的個資盤點工作相對簡單許多,丁平碩表示,如今只是延伸之前的工作項目,惟一的差別是盤點的個資種類變多了。

 

在這次的盤點工作中,先由資安人員設計盤點表單,並列出新法所規定的個資類別,由IT部門開始做盤點,看看哪些系統或資料庫欄位含有新法所規範的個人資料,填寫者分別是系統管理者、資料庫管理者、及程式設計師,之後呈給主管審核,審核通過後再交由資安人員匯整分析,並剔除重複填寫的部份,因為這3種人員看資料的角度都不同,系統管理者多從檔案角度來看、資料庫管理者則是從DB角度來看、程式設計師可能只會看程式,但彼此可能會有重疊的部份,必須由資安人員匯整與分析。

 

接下來則是檢討資料存在的必要性,丁平碩表示,盤點出來的資料如果和使用者應用有關聯,就會和使用部門開會討論:

1.有沒有存在必要性:檢討資料存在必要性,並刪除這些多的、沒有使用的資料欄位,過往資料搜集者都會有的迷思,就是儘量把資料搜集進來,而不去管有沒有使用必要性,但是每多一筆資料就增加一分外洩風險,而個資盤點最主要的目的之一,就是刪除這些不必要的資料;

2.限縮使用權限:如果資料有存在的必要性,此時要做的就是縮小有權限接觸資料者的範圍,亦即檢視業務上是否需要使用這些資料,倘若用不到就關閉使用權限;

3.管理有權限的資料接觸者:制定必要的管理措施,管理這些接觸資料的人,例如:客服人員不準帶紙筆進入客服中心、傳真機使用的紙張必須要編號等。

 

由於東森之前的經驗,使得高層單位對資安相當重視,加上之前就已經有個資盤點的經驗,使用單位的配合度相對較高,但因為第二次盤點的個資種類比較多,少數沒有參與第一次盤點的使用單位,例如:業務部、商品部,也要配合盤點作業,這些部門不是直接接觸客戶資料的單位,比較不能理解為何需要做這些事情,這時只能透過教育宣導,使其瞭解新版個資法的重要性,以及進行個資盤點的原因,才能讓盤點工作順利完成。

 東森個資盤點經驗分享

主導單位 資訊部門
盤點方式 人工(自行設計個資盤點表)
盤點表的欄位 新版個資法第2條所規定的個資類別
盤點者 系統管理者、資料庫管理者、程式設計師
建議 個資盤點的目的,除了釐清資料流向外,更重要的是檢討資料存在必要性,及業務單位的使用權限,並制定相對應管控措施,管控有權接觸資料的人
製表:《資安人》整理,2011/9