編者:Cho-Han Wu


 

圖一、 Share Point 2013  (來源)



前言:
依iThome進行的2013年CIO大調查,發現近六成台灣2000大企業的最高資訊主管,皆將個資法列為驅動資安投資的關鍵項目,但此事知易行難,普遍存在不知如何下手之嘆;當務之急,便是尋求一套有效方案,以嚴密保護機敏個資。

 


新版個人資料保護法,已於前年(2012)底正式上路;儘管該法施行迄今,尚未出現驚天動地的求償訴訟案件,但援引日本前例,求償事件係於個資施行2~3年後到達高峰,由此推論,民國103~104年才正要進入台灣個資損害求償的高峰期,企業不可掉以輕心。

 

「事實上,從近期若干金融機構遭到主管機關裁罰,即為個資損害求償效應發酵的前兆,」網路多媒體研究所資訊安全技術中心主任吳建興認為,展望今後,機敏個資之保護,勢將伴隨法規要求、以及市場需求的驅動,成為企業不容迴避的重要議題。

 

在此前提下,資策會結合台灣微軟、安資捷等業界夥伴,共同發展新一代個資保護解決方案,內容涵蓋用戶端電腦個資的全面清查與盤點、盤點完畢後的個資敏感度分類、乃至最終的個資集中管理與防護,再輔以由微軟合作夥伴提供的個資保護諮詢顧問服務,足以匯聚為完整力量,協助企業建構內部第一個個資防護平台,滿足大多數保護個資檔案之基本需求。

 

 

個資等同黃金鑽石 務求嚴加盤查看管

 

 

安資捷執行長陳勇君指出,企業因應個資法務必要做的11件事,都列在該法第12條,而綜觀這11件大事,箇中最重要的五項,即是第二項的「界定個人資料之範圍」、第四項的「事故之預防、通報及應變機制」、第八項的「設備安全管理」、第九項的「資料安全稽核機制」,以及第十項的「使用紀錄、軌跡資料及證據保存」。

 

著眼於此,不少企業主,或人事、法務等高階主管,都認為這五檔事與IT息息相關,故而要求IT部門扛起所有責任,其實並不正確。原因之一,這五件事項當中,僅第八到十項與IT直接相關,其餘皆需仰賴公司全員通力配合;原因之二,依單筆個資外洩的500~20,000元求償金額而論,個資對於企業的價值,應是「錢」而非「IT」,既然地位等同於黃金、鑽石,企業主豈可任由IT孤軍奮戰?

 

當然,要想知道黃金或鑽石之所在,首先便是界定個資範圍,因此企業主必須通盤掌握個資分佈狀況,因為沒有老闆願意將價值數百萬元、甚至上億元寶藏,散佈四處任由員工任意保管,而擁有個資的同仁,也絕對無意承擔如此大的保管責任;將這些資產收歸國有,無疑是一種可行做法。

 

但部分同仁基於業務職責,無可避免需要頻繁使用個資,此時又該如何是好?最佳解答就是「機敏不落地」,同仁可視實際需要存取或修改個資,但仍能確保個資不落在任何人的終端設備。

 

唯今之計,企業必須針對檔案型個資的生命週期,從創建編輯、動儲存、掃瞄盤點、盤後應變一路到委外監督,施以嚴密安全管理程序,舉凡權限管控、稽核軌跡記錄乃至異常應變,皆需予以落實;而其中最關鍵的起手式,即是用以判定個資價值與風險之「個資盤點」程序,而安資捷提供的Privacy ID檔案型個資盤點工具,結合資策會的中文語意分析技術(因中��為特殊語言,採用外來工具,不易精確掃瞄姓名、地址…等個資項目),便肩負此一重大使命。

 

唯今之計,企業必須針對檔案型個資的生命週期,從創建編輯、動儲存、掃瞄盤點、盤後應變一路到委外監督,施以嚴密安全管理程序,舉凡權限管控、稽核軌跡記錄乃至異常應變,皆需予以落實;而其中最關鍵的起手式,即是用以判定個資價值與風險之「個資盤點」程序,而安資捷提供的Privacy ID檔案型個資盤點工具,結合資策會的中文語意分析技術(因中文為特殊語言,採用外來工具,不易精確掃瞄姓名、地址…等個資項目),便肩負此一重大使命。

 

 

檔案存取異常分析 及早防堵個資外洩

 

 

所謂集中管理,旨在達到資訊不落地效果。此時可透過私有雲集中強化保護,以及遠端桌面、虛擬桌面或Office 365線上編輯,以實現「集中保護、線上編輯」;藉由定期掃瞄是否有個資不慎遺漏在Client端、落實集中保護政策,以實現「定期掃瞄、矯正預防」;再者可透過內容最小化/遮罩去識別化,配合DRM管控在外流通個資檔案,以實現「委外個資、監督稽核」。

 

針對一些基於業務推展需要,必須分散處理的個資,也務求做到資訊不外洩,相關手段包括建構DLP機敏指紋特徵庫、若遇符合外洩特徵便立即阻擋/通報/核示/稽核,以實現「機敏指紋、防止外洩」;定期掃瞄、持續建構與維護更新機敏指紋資料庫,以實現「定期掃瞄、矯正預防」;再者同樣藉由內容最小化/遮罩去識別化,配合DRM管控在外流通個資檔案,以實現「委外個資、監督稽核」。

 

有關盤後應變原則,陳勇君提出幾項實用建議。針對個人所掃瞄之個人檔案,如不再需要,便應進行個別或集體刪除;如屬於高風險/高價值,比方內含信用卡號、身分證字號超過500筆,即應進行集中搬移;如屬於高風險/高價值、但需隨身攜帶,即應進行本機加密。此外,針對同仁電腦定期進行個資掃瞄,協助檢測是否疏忽而不慎遺留在Client端、或並未加密保護。

 

而企業在善盡鑑價分級、資訊不落地(授權編輯),並啟動檔案存取稽核軌跡之餘,亦應建立檔案存取異常分析機制,譬如連續登入失敗、機敏檔案頻率異常(如1秒內抓取數百筆個資檔案)、非上班時間存取、特定擔憂對象存取(如即將離職的員工),一經察覺隨即發出告警,並詳實記載來源(From)、誰(Who)、動作(What)、時間(When)及目的端(Where)等軌跡,在外洩事發之前及時遏阻,好過事後的懊悔、追蹤或究責。

 

 

落實清查掃瞄 確保適法防護成效

 

 

來自安資捷的資安顧問江嘉帆,以Privacy ID解決方案為軸心,闡述落實檔案個資清查掃瞄、確保個資適法防護成效之道。他指出,個資盤點存在諸多現實挑戰,對於主管或稽核(風控),亟欲快速得知個資散佈情況、風險最高之所在、盤點前後改善狀況;對於管理者,期望僅需必要的管理介入、隨時掌握盤點執行狀況、系統具彈性可與內部現有IT系統配合不衝突、盤點功能齊全且系統維護方便;對於使用者,希冀盤點流程簡單方便又可保有適當隱私、盤點時對日常作業影響降至最低、此後可直接對盤點結果進行處理。

 

為此Privacy ID奉行「簡單、但又不簡單」原則,進行架構設計。所謂簡單,在於對盤點負責人而言,個資盤點流程即是「個資盤點任務設定」、「User下載Agent後執行自動盤點」、「User過濾清查結果與上傳至Server」、「盤點負責人執行分析與報表產出」等簡易步驟,且由系統自動進行內容解析、Pattern比對,得以最少人工或時間完成盤點任務;至於不簡單,意謂其具有層次性架構設計,可確保眾多個體彼此不干擾,因此企業不論走集中管理、分散處理模式,又或者同時間同步執行多項盤點任務,皆能有效支援。

 

為此Privacy ID奉行「簡單、但又不簡單」原則,進行架構設計。所謂簡單,在於對盤點負責人而言,個資盤點流程即是「個資盤點任務設定」、「User下載Agent後執行自動盤點」、「User過濾清查結果與上傳至Server」、「盤點負責人執行分析與報表產出」等簡易步驟,且由系統自動進行內容解析、Pattern比對,得以最少人工或時間完成盤點任務;至於不簡單,意謂其具有層次性架構設計,可確保眾多個體彼此不干擾,因此企業不論走集中管理、分散處理模式,又或者同時間同步執行多項盤點任務,皆能有效支援。

 

值得一提,Privacy ID提供ResultWizard盤後處理功能,可與微軟SharePoint無縫整合,可在盤後依風險將隱含個資的檔案,自動上傳至SharePoint伺服器,以落實資訊不落地原則,進一步針對檔案進行存取軌跡稽核。

 

針對管理者,Privacy ID Center提供一目瞭然的儀表板,方便隨時查看目前進行中的盤點任務、進行中任務的盤點進度(%)、已完成(已盤/應盤)的User,及未完成(未盤/應盤)等細部資訊;而盤點人員可自AD匯入,藉由系統參數動態調整,輕易設定新增盤點任務,至於盤點任務的設定上,則支援23種檔案格式、7種識別類個資(含中文姓名、信用卡號、電子郵件、地址、身分證號、電話號碼、護照號碼)、自定機敏關鍵字、比對規則、盤點結果遮罩等彈性選項。

 

 

個資之集中管控、稽核與防護

 

 

台灣微軟技術經理俞為鈞不諱言指出,就現實情況,企業普遍充斥四處散落的檔案,不僅造成使用不便、無法隨處可用、難以輕鬆分享,且因缺乏完善內容管理,不易遵循個資法第27條「非公務機關保有個人資料檔案者,應採行適當之安全措施,防止個人資料被竊取、竄改、毀損、滅失. 或洩漏」,亟待加以改善。

 

在上述情境下,一般檔案分享服務多面臨嚴峻挑戰,主要癥結未必是同仁蓄意外洩,而是因傳統存取權限管控不周延,未能對文件持續進行保護,導致在業務同仁分享檔案、或是因檔案太大被迫採用公有儲存服務之過程,無形中滋生漏洞。

 

在上述情境下,一般檔案分享服務多面臨嚴峻挑戰,主要癥結未必是同仁蓄意外洩,而是因傳統存取權限管控不周延,未能對文件持續進行保護,導致在業務同仁分享檔案、或是因檔案太大被迫採用公有儲存服務之過程,無形中滋生漏洞。

 

值此時刻,企業不妨藉由SharePoint作為雲端儲存的規範平台,一來藉由近乎檔案總管的熟悉界面,便於使用者拖曳上傳文件,輕易設置資料夾、進行文件分類與搜尋,二來使員工不受地點或裝置限制,便於存取權限授予的檔案。

 

再者,SharePoint具有一目瞭然的授權機制,可讓企業落實個資集中管控,又不因而喪失檔案分享之便利,可謂實踐「機敏個資不落地」的絕佳途徑。舉例來說,針對一份機密檔案,僅放置於唯讀資訊區,A同仁被賦予讀取權限,B、C等其餘同仁則否,而A便只能瀏覽該文件,無法進行下載、列印、螢幕擷取或轉寄,絕不可能像從前一般,衍生A傳B、B傳C、C再下載至個人裝置攜出…等交叉授權亂象。沿用上述情境,B、C等毫無存取、讀取或唯讀權限的同仁,即使以該檔案相關的關鍵字進行搜尋,在搜尋結果中,也不會呈現此檔案訊息。

 

更重要的,SharePoint不僅可完整記載上傳、下載或刪除機敏檔案的軌跡報告,且可一併作為SharePoint、Exchange或Lync的管控樞紐,將Exchange或Lync的通郵或交談所涉及之敏感資訊,予以在地保留,藉此滿足數位採證目的。

 

但不可諱言,機敏個資一旦處在SharePoint管區,自然受到完善的權限管控、稽核軌跡留存,但這些檔案若被攜出文管中心,如何保護?台灣微軟技術副理蔡宗佑表示,此時企業便可借助Active Directory的RMS功能,直接將權限綁定在文件之上,則該文件不論藉由任何方式、傳遞至任何地方,都必須接受驗證,唯有被授權者才能進行特定存取操作。

 

蔡宗佑並強調,文件擁有者欲對檔案執行加密保護,步驟很簡單,僅需開機登入、並由背景自動指向RMS伺服器索取識別憑證,接著透過逐筆手動勾選、直接套用範本,或與SharePoint、檔案伺服器進行整合,隨即完成授權發布,此後該文件便接受RMS保護並且加密;至於文件接收者,僅需朝向文件點擊右鍵兩次,便能輕易解密,依照既定權限來使用文件。

 

另值得一提,現今使用者只需免費下載RMS App,無論裝置、作業平台為何,則可輕鬆存取受到RMS保護的檔案資料,也照樣無法從事逾越權限的使用行為,確保「機敏資訊不落地」一事,全無任何破口或死角。