Skip to content

關於我們

天遠律師事務所

這是一間深研科技與商務的事務所,我們精通產業生態及法律實務,承辦過的案件亦常受社會矚目。

我們小而精,所以慎選客戶。

擁有20多年執業經驗、同時投資管理多家科技公司的主持律師,始終逐一把關每個委任案件,團隊亦時時設身處地,協助客戶以最經濟的手段達成商務目標。 天遠深信,空談法律規定毫無意義!

電腦被竊、個資外洩!作好防護,是不能也,或不為也?

2012 年 12 月 16 日

2012.12.16

是不是很難想像,連NASA(美國航太總署)這種機關,都會爆發如此白痴的事件?不過一台員工的筆電被偷,就有上萬筆個資、連同其他NASA之重要機密外洩?

其實一點都不奇怪。依我國個資法第18條「公務機關保有個人資料檔案者,應指定專人辦理安全維護事項,防止個人資料被竊取、竄改、毀損、滅失或洩漏」,這明明就是強制性義務,但在前一陣子我們試探性地詢問了許多公務機關,請教他們是否已經依法「指定專人辦理個資安全維護事項」,居然赫然發現在許多機關裡,根本沒人知道我們問的問題是什麼!企劃室丟給總務處,總務處踢給資訊處,資訊處叫我們問文書科,文書科說應該找人事室…(政府單位一推256的功力可見一般,反正就算有個資外洩,先想辦法掩蓋;掩蓋不了,縱然依個資法第28條去賠錢也輪不到自己掏腰包…)

對民間單位,個資法也有類似的規定,第27條第1項「非公務機關保有個人資料檔案者,應採行適當之安全措施,防止個人資料被竊取、竄改、毀損、滅失或洩漏」;而如果不依這條的規定採行適當安全措施者,依第48條政府可以命限期改正,屆期未改正者,處新臺幣20,000元以上200,000元以下罰鍰。

就這樣的事情,單位的長官,能不能只是口頭交代底下的員工「把個資管好、不管在什麼情形下都不准外流」?想也知道,這樣講了不等於沒講。哪個員工(惡意竊取的在此不論)會想要讓自己手上的個資外流?這種慘案發生,9成9都是不小心所導致的;那麼很自然的,大家就會問「有沒有辦法在電腦被竊的這種情形下,防止個資外洩」?

畢竟,這種事情一旦發生,光看個資法第28條第1項「公務機關違反本法規定,致個人資料遭不法蒐集、處理、利用或其他侵害當事人權利者,負損害賠償責任。但損害因天災、事變或其他不可抗力所致者,不在此限」;同條第3項「…如被害人不易或不能證明其實際損害額時,得請求法院依侵害情節,以每人每一事件新臺幣500元以上20,000元以下計算」;第29條第1項「非公務機關違反本法規定,致個人資料遭不法蒐集、處理、利用或其他侵害當事人權利者,負損害賠償責任。但能證明其無故意或過失者,不在此限」,而同條第2項則規定一體適用第28條之法院核定賠償標準…也知道事態嚴重。

那麼,市面上究竟有沒有合適的資安解決方案,讓機關的電腦就算被竊,裡面的資料外人也拿不走、讀不到?當然有。這種東西,有的廠商管它叫DRM,有的叫DLP。DRM是Digital Rights Management(數位權利管理)、DLP則是Data Loss Prevention(資料外洩防制)。實際的作法各有巧妙,但它只須具備一項功能,就能讓個資外洩的風險大幅降低:「把電腦裡的個資加密、沒有金鑰就解不開」!就以NASA的例子來觀察,倘若那台被偷走的筆電,裡面的個資全都放在它硬碟的特定資料夾(比方說,D:DataPersonal Information)內、而該資料夾原本就被設定自動以DRM加密,那麼,除非小偷還拿到了擁有閱覽那些個資文件權限的金鑰(這種金鑰多半以複雜的演算法去產生,一般軟體試帳密的作法幾乎不可能打得開),否則就算破解了Windows的登入(大部分的使用者都是以簡單的密碼作設定,破解難度極低),這些含個資的文件仍然是受到充分保護的。

當然,只要講到IT解決方案,各家廠商向無例外,永遠都是老王賣瓜、自賣自誇。各個機關仍應就其預算以及運用上的廣度和深度,去仔細評估,挑出性價比、以及操作容易度最高的solution,再進行導入;我們日後將再一一深度評析每家解決方案的作法、價格、以及優缺點。

但不論是哪家的產品,只要考慮導入,就得先花力氣再花銀子,所以不導入行不行?

(如果政府關於個資法只是玩假的喊喊罷了,您不導入,當然行…………)

 

NASA又傳員工筆電遭竊  至少萬筆個資外洩

資安人【2012-11-26】

http://www.informationsecurity.com.tw/article/article_detail.aspx?aid=7226

日前美國NASA(美國國家航空暨太空總署)因為一名員工未加密的筆電遭竊,導致至少一萬筆個資外洩,為了避免類似情況再度發生,NASA下令內部所有筆電都必須加密,否則不准帶出NASA。

該起事件發生於10/31,NASA某位員工將筆電放在車內,雖然車子上了鎖,但依舊被偷走,該筆電硬碟中包含NASA員工、承包商等個人資料,雖然電腦使用了開機密碼鎖的保護機制,但是硬碟並沒有加密,電腦中某些特定檔案也未遵循NASA規範進行加密,另外,還有一些放在車上的NASA內部文件也同時被偷走。

NASA副署長Richard Keegan Jr.透過電子郵件向員工說明該起事件,並呼籲所有員工引以為誡,根據NASA現階段評估,至少有1萬人受到影響,但實際受影響人數應該更高。NASA說明,由於外洩的資料必須同時進行電子和人工的驗證分析,預估要60天左右才能確認所有受影響的人數。

為了防止被竊的資料遭惡意使用,NASA提醒所有員工特別留意可能會收到造假的訊息、電話、email。舉例來說,對方可能會宣稱自己是來自NASA或其他官方單位的人員,要求提供個人資訊或進行資料核對。

另一方面,為了避免資料外洩事件再度發生,NASA下令要求所有員工的筆電必須在12/21之前完成加密保護,其中,需要在家工作的員工必須率先執行,否則不能將電腦帶離NASA。另外,也要求員工不能將機密檔案存在手機、平板和其他個人行動裝置上。

除此之外,所有員工也被要求重新檢視電腦中的檔案,以確認涉及特定主題的資訊是否確實做好加密,並清除那些不需要的機密檔案。受管制的檔案包括,所有與個人識別資訊(Personally Identifiable Information,PII)有關的資料、國際武器貿易條例(International Traffic in Arms Regulations,ITAR)、美國出口管理條例(Export Administration Regulations)、採購和人力資源資訊,以及其他敏感而非機密(Sensitive but unclassified,SBU)的資料。另一方面,Keegan表示,資訊長也正在評估是否需要在政策和流程上進行任何調整和改變。

Gartner分析師John Pescatore表示,NASA會發生這樣的事情一點都不令人意外,在過去幾年,NASA就發生過數起類似案件,報告顯示,在2009年4月到2011年4月的兩年期間,該組織中遺失或被竊取的行動運算裝置,數量竟高達48台。今年三月時,NASA也發生一起因筆電遺失而導致的資料外洩事件。

此外,在所有聯邦政府單位的筆電中,83%已經使用了加密工具,而NASA行動裝置的加密比例卻是其中最低的,根據白宮管理及預算辦公室(White House Office of Management and Budget)在今年三月公布的一份報告顯示,NASA的行動裝置只有41%符合聯邦資訊安全管理法(Federal Information Security Management Act,FISMA)的加密要求。

Pescatore進一步分析,NASA組織分布較為分散,每個實驗室都有獨立的IT運作和標準,因此加深了企業安全方案推動的難度,而這可能就是NASA在安全措施上落後其他單位的主要原因。 

NASA的經驗或許可以做為台灣企業的參考,在思考如何應用行動裝置提昇作業效率、甚至擁抱BYOD浪潮的現今,確保資訊安全顯然是第一件要做的功課。

 

 

你或許想看 

美.中.港

因為工作的關係,從97回歸前我就常往返香港台北。在那裡,也有一些好朋友,常保持連繫。 香港會走向何處,一直都是我30年來研究美中並密集造訪之際,不時會跳出來的一個邊陲課題。近幾年來,這座驕傲的城市因為…

搞定個資法不難,重點在「安管措施」!

2012.9.11 陳明堂(法務部次長)講了,今年10月1日個人資料保護法正式施行,除了要對全部政府機關及民間組織一體適用之外,同時還不給任何的寬限期,因為這已經是二年多前通過的法律;通過之後遲遲不施…

阿里雲複製中國成功經驗?

阿里攻美國電商 鎩羽而歸         「阿里巴巴集團將出售美國子公司11 Main(https://11main.com/)給美國電商OpenSky,這意味著阿里巴巴進軍美國電商市場鎩羽而歸,在這…

商務律師 (i):菜英文篇

2012.11.14 前陣子,就業情報網刊出一篇探討流浪律師的文章,引起法界迴響。大意是,現在每年律師錄取一千名,即使法律系學生在畢業之後用了二、三年光陰投下十幾萬元去補習,歷盡千辛萬苦考上律師,也可…