個資法一二事

分享一下昨日參加個資法研討會的聽到的重點，提供給各位參考。

1. 大法官釋憲第603號，個資為個人權利的一部分，故需加以保障。
2. 個資事務不應該放在IT單位，新法談到的是個資整個流程，包括「蒐集」、「處理」、「利用」等各個階段，IT通常僅為處理個資的單位。（share by新北市張檢察官）
3. 非公務機關在看個資法時，可先從最重要的條文開始看起，例如第19、20、41條。
4. 根據個資法，在蒐集個資時，取得同意方式非僅限「書面」，例如網站會員加入，可顯示隱私權政策，並取得同意即可。
5. 人肉搜索行為可能觸法。
6. 個資法不是無限上岡的限制使用，在不符合原有目的移作他用時，在某些條件（免除當事人之生命、身體、自由或財產上之危險）是允許的，否則「務必」需取得同意。
7. 違反個資是有刑事責任，例如無正當理由蒐集、意圖營利等（非僅指賣名單，行銷廣告推銷亦可歸類意圖營利，除非發的是公益廣告）。
8. 再次強調，目的外（其他利用目的）需再取得書面同意。
9. 直接蒐集資料時，務必完整告知要求的六大事項。（個資法第8條）。
10.  施行細則裡第12條的11個「執行項目」，是舉證公司是否已盡善良管理責任的重要原則。
11. 舉證免責的三大面向：資安管理（ISMS，ISO 27001）、個資管理（PIMS，BS10012:2009、JISQ15001:2006）以及個資法遵循。

另外，還有一些有趣的產品技術：

l   個資法解決方案評分表 http://www.phitech.com.tw/score2.html （隨便填資料就可以測試）

l   智慧型系統監控側錄 http://www.observeit-sys.com/

l   個資盤點工具 http://www.p-marker.com.tw/

談個資法與電信法對電信業在資安上的新挑戰

隨著新版個人資料保護法的通過，企業對於客戶資料的保護，已不再侷限於特定產業，而是全面性的要求。其中電信業由於特殊的中介服務性質，掌握許許多多用戶的個人資料，自然成為個資法適用的主要目標。另一方面，電信業的主管機關NCC也積極推動業者強化資訊安全管理，在「電信事業資訊通訊安全管理作業要點」中希望各電信業者導入資安管理體系（ISMS），取得相關認證。未來並規劃於電信法修正條文中，將此作業要點的位階拉高，賦予對應罰則，以加強對業者的要求。因此電信業者除了要針對個資法的要求做因應外，也應把ISMS納入企業流程的一環，做好法規遵循的準備。

新版個資法與電信法修訂這兩項遵法議題有一定的相關度，但其目標是完全不同的。業者在面對這兩項議題時，可以先單獨思考個別的要求，對企業現有服務與流程做差異分析。但在進行風險改善或處理計畫時，為了避免資源重複投入的浪費，宜將兩邊的需求加以整合。

例如：個資法第二十七條中，針對個人資料檔案安全維護計畫及業務終止處理方法，要求「非公務機關保有個人資料檔案者，應採行適當之安全措施，防止個人資料被竊取、竄改、毀損、滅失或洩漏。」這部份其實與許多ISO 27001附錄A的控制項有許多關聯。而且施行ISMS後，許多政策或程序都會被要求增加執行的紀錄或做有效性評估，這部份對於企業來說，在處理未來與客戶個資相關爭議時，可以藉由ISMS施行的相關紀錄，作為法律上責任歸屬的依據。

但是個資法與電信法也有許多不同的要求，例如個資法對於資料的生命週期與相關權利義務有非常詳細的陳述，企業必須認真檢視現行客戶與行銷名單的來源、內容與處理流程，在企業流程上做適當的因應。亦即為了保有行銷名單，可能要做好付出成本的準備。而電信法若修正後，可能會要求現有業者，需完成ISO 27001甚至是ISO 27011的國際管理標準驗證。其施行範圍，也可能擴大至「交換機房、交換中心匯集處」等，影響層面與範圍都可能加大許多，規模較大的電信業者必須及早做好準備。

K大俠在此要強調，針對個資保護或資安管理作業，要作到滴水不漏同時要兼顧業務進行順暢是絕對不可能的。然而企業必須體認到投資在資訊安全上的成本，隨著法令上責任的變更與罰則的加強，已不再是過往聊備一格的選擇。電信業除了面臨個資法外，未來還有新版電信法的挑戰，因此增加資安上的投資，或許也是提昇企業未來競爭力的一個重要方式。

【心得】兩次ISO 27001:2005資安管理認證

這幾年來K大俠前後在兩家公司，都負責協助執行ISO 27001的認證專案，也不辱使命的完成驗證，讓這兩家公司通過BSi英國標準協會的檢驗，取得資安管理的證書。

回顧這兩次的驗證活動，實在有非常大的差異可以聊。舉例而言，前公司（以下簡稱F銀行）的屬性是金融業者，現任的公司（以下簡稱S網路）則是ISP網路服務供應商，公司業務與服務內容就完全不一樣。在參與的人數與單位上也不同，F銀行當時負責的是信用卡單位所有部門，包括管理、風控、業務、行銷、客服、作業、技術等將近1000人的組織; 而S網路則以系統服務為主軸，以IT部門42人作為驗證的範圍。

而在資源的運用上，F銀行找來顧問公司作為輔導，當時一起共事推動ISMS的夥伴有2位，所以是3個人。而在S網路則是完全自行建立體系，由2人組成的資安部門一手完成所有驗證的準備事項。

正由於驗證規模與公司性質的不同，F銀行前後花了兩年以上的時間才完成ISO 27001:2005的驗證，而S網路公司在專案提出後，大約七八個月就完成準備，如果不是剛好遇上機房搬遷，應該還可以更快完成。

如果有人問K大俠，建立內部ISMS，並通過驗證的關鍵在哪裡，我想我一致的答案都是：溝通與妥協。

什麼？溝通可以理解，資安還可以妥協喔？沒錯，資安是需要妥協的，但我這邊指的是，使用者、管理者與技術支援三方的相互妥協而達成共識，這樣的過程，需要良好、誠意的溝通。

另外，在S網路公司這邊，其實學到不少觀念，遠多於先前從F銀行請的顧問身上得到的，一方面是因為在這裡所有一切都得自己PDCA（Plan->Do->Check->Action），另一方面則是因為現在共事的主管，人雖然感覺不怎麼好相處，但是在判斷與資源的運用上有其獨到的想法，讓K大俠受教不少。至於有哪些細節，恐怕不是三言兩語可以說清楚的。

最後誠摯的感謝過去與現在合作過的夥伴們，因為你們的努力，讓客戶與公司的資訊資產，得到更好的保護，願神賜福給各位！

相關新聞連結：

超頻者天堂的報導

RUN!PC的報導

iThome的報導