Equifax資料外洩事件的聯想:企業的資料保護政策與觀念

YZ
YZ,參與過 Open Data 倡議社群,從開放(政府)資料、智慧城市、物聯網應用相關議題的收集,最近沉迷在網路治理與區塊鏈議題上。

如果台灣的聯合信用卡處理中心被攻擊、或是資料被竊取,全台灣的金融交易和刷卡服務可能會崩盤,影響比先前的大停電還大;而今天就讀到了Equifax資料被駭的訊息。

根據維基百科的資料,美國信用監測機構Equifax在7月29日時就發現資料被竊取,9月7日爆發了資料外洩事件;除了1.43億美國居民的資料外洩外,還有一些加拿大人、以及4400萬名英國居民的資料也遭到竊取。

被駭走的1.43億美國人民資料,包括姓名、出生日期、社會安全號碼等資訊;這些資料相當於一個人的「身份」被竊取,可以在被重組之後偽造。 巧合的是,在7月底、8月初訊息尚未爆發時,該公司的三位主管出售了手上的股份。

公司文化與治理

在本文最後的「參考閱讀」部分,筆者列出了一些相關報導;其中的第一則報導,就討論了公司治理的重要議題;在國內則有另一則報導,是關於員工個人行為導致企業聲譽受損:

黃男原與妻子任職GOMAJI夠麻吉,2014年9月跳槽康太。2015年7月,黃利用妻子的帳號密碼,數度登入夠麻吉後台系統進行網頁瀏覽。同月16日中午,黃 2 度下載夠麻吉「46699_LB銷售附件」及「46699_LB分店表」等電磁紀錄。

──〈竊對手營業祕密?團購網營運長遭訴

在筆者後續整理的一些資料裡,有許多「資料外洩」的事件都是個人行為導致,例如出於好奇心(醫院職員探究住院病人的資料)、警察藉由自己的職務之便替人查詢個人資料或通訊資料、公務人員藉由自己的職務之便查詢其他人的個人資料等等。

有朋友創立了一家公司、手上有一些客戶資料;或許是「私下共享文化」的關係,即使已經有「個人資料保護法」的規範,仍然會有人要求朋友私底下分享客戶名冊,以方便自己推廣業務。

這種行為令人搖頭。雖然有一部分基本資料是「公示資料」,但做生意還是得自己去努力取得名冊;至少向工會取得相關的公示資料,應該是沒問題的。但如果連這一點時間成本都不願意付出,就是一種莫名奇妙的行為。

保護資料,就是保護自己

朋友比較擔心的,是職員藉由其他管道出售名單。筆者只能請他加強員工這方面觀念的教育訓練;除了以技術方法避免員工出售客戶資料外,員工訓練和資料保護政策也都是必要的。先做好基礎訓練,讓員工知道洩漏資料會有什麼嚴重的後果,總比之後出事來得好。對於企業主來說,這也是保護自己的手段之一。

以一個網站或應用程式使用者的角度看資料保護政策(也是以往撰寫相關資料保護政策的經驗),最好能包括以下幾個方面:

撰寫資料保護政策的方向。

  1. 保護的目的?
  2. 收集哪些資料?
  3. 資料的用途是做什麼?
  4. 資料保存期間有多久?
  5. 是否分享給其他第三方公司分析?如果現階段沒有,未來若提供給其他公司運用時,會不會通知使用者?
  6. 網站或應用程式的開發公司和維護單位,會使用哪種方式來保護我們的資料?在資料傳輸時怎麼加密?透過第三方還是其他方式?
  7. 公司除了技術方面的資料保護,還會對內部員工提供教育訓練之類的內容嗎?
  8. 如果網站或應用程式被攻擊時,要如何處理?受害者可以透過什麼途徑尋求協助?
  9. 使用者自己要負的責任與義務,例如個人帳號與密碼不外借等等。

當然確切的內容還是要由法務人員審閱定義,才不會讓公司權益遭受到嚴重損害;規範寫得愈清楚,愈能提高使用者對該服務的信心,當然也是保護公司的方法之一。

在資料外洩訊息被揭露之後,Equifax提供了一個叫做「網路安全事件與重要消費者資訊」(Cybersecurity Incident & Important Consumer Information)的網站,讓使用者檢查自己的資料是否已經被公開。

然而,該公司並沒有在第一時間(7月29日)就揭露訊息、其間該公司的主管又出售股份,而且這個網站本身安全性也不足;最離譜的是,要使用這個查詢網站還得先放棄對Equifax的訴訟權利:

Customers wanting to use the Equifax website to find if their data had been compromised at first had to agree to waive their rights to sue the company.

(希望使用Equifax網站來查詢自己資料是否外洩的顧客,首先必須放棄對該公司提起訴訟的權利。)

由於Equifax僅發佈了一份公開聲明稿、以及一個安全性不足的查詢網站,結果除了股價一直下滑之外,也面臨了嚴重的公關與信用危機。

為了比較,筆者再次閱讀了台灣聯合信用卡處理中心針對旗下網站所設置的「隱私權與資訊安全宣告」;其中寫道:

本網站的伺服器設有「防火牆」作保護,防止非法入侵、破壞或竊取資料,且本中心不斷監督本身的系統,以防遭任何人士未經授權的進入。

我們都知道聯合信用卡處理中心所持有的大眾個人資料一定不少,重點也不會只有這麼簡單的兩句話就帶過;然而以前面的9點原則來看,也無法得知該中心如何取得和保護公開資料,只能期待該中心的保護做得夠嚴格。

結語

在接下來的時代裡,透過網路進行攻擊、竊取客戶資料的案件只會愈來愈多,技術會愈來愈難以預防或防禦;所以,與個資相關的企業有義務提供詳盡的「隱私與資料保護政策」。

雖然不是每個人都有耐心讀完那些條文,但企業提供得愈清楚,就愈能提高消費者對公司或品牌的信心。除此之外,公關的應變能力、公司對外的態度和對內的政策,也都需要嚴謹面對;包括員工的資訊安全教育、以及資料保護政策與原則,都必須讓公司的員工對於「資料保護」有一定的概念。

雖然也不需要草木皆兵,但基本的公司管理後台網址、入口、個人帳號與密碼等資料,必須嚴防外洩是基本認知;最重要的是,保護資料不僅是保護顧客,也是企業和員工保護自己最好的方式。

參考閱讀


喜歡我們的文章嗎?按讚立即加入粉絲團 :)

推薦您也參考

獎勵作者

歡迎您以點數獎勵作者:

關於點數的獲得與使用方式,請參閱說明