什麼是跨境資料傳輸？ 跨境我們指的通常是跨境商務 (Cross-Border e-Commerce)；而跨境資料傳輸，大多指的是商務的資料、採用數位，透過網路的方式，跨國境互相交換傳輸 (Data Transmission)。 說到跨境資料傳輸，就想到企業在後疫情時代，在跨境商務的 BCP 策略思維層面，更需要被提醒與重視的是，能讓業務持續營運、不被外力影響而中斷的「備份備援」以及能符合 GDPR 的「安全防護」。
本篇著重在探討跨境資料傳輸的「安全防護應用」。對於資料傳輸的定義上一段提過，接下來我們要先定義有哪些類別的資料與傳輸活動、而這些資料該怎麼保存、對應個別的安全議題又該如何保護它？（對於 GDPR 有興趣的人可以另外參考：歐盟個資法 GDPR 實施重點及如何避免踩點）
在後新冠時代來臨前，企業雲端應用早已成為企業風險管理策略中考量的一環；將資料分開存放於地端及雲端，並且跨國存放，也是跨境商務遇到最實際卻也最困難的議題。我們來看看有哪四個定義幫助您搞定跨境資料的傳輸安全防護：
一、定義資料的類別
二、定義對應的存放方式
三、定義對應的傳輸安全議題
四、定義資料傳輸的安全防護
一、定義資料的類別
企業資料往往需要分成內部資料與外部資料，又分為交易資料及非交易資料。我們簡單且廣義的來說，重要機密資料一定要留在自己本國本地且可控的範圍內。
．重要機密的資料：需存放在可控範圍內
- 企業內部資料：財會資料、HR 資料、商業合作往來紀錄（包含合約或合作談判過程資料）、行銷資料與報表、公關資料、研發資料、網站原始碼。
- 企業外部資料：會員資料、交易資料。
．相對非重要機密資料：可以不用存放在可控範圍內，但仍需做好安全防護。
- 企業內部資料：作業流程表單、規範文件、對外公開的品牌公關文件、產品介紹文件。
- 企業外部資料：對外公開的網站內容、文案文件、新聞稿、圖片及影片。
上述資料在產生初期，很有可能是在國外產生、而後跨境傳輸回企業在地國內來存放及備份，除了必須遵循 GDPR 的規範以外，這些重要資料在遇到天災人禍或是不幸需要走訴訟流程時，都留在本國內，才能輕易的取用資料。
二、定義對應的存放方式
對應的存放方式其實與資料備份備援是類似的心法：
- 重要機密的資料需存放在可控範圍內，最好是廠商本國本地的伺服器內
- 重要機密以外的資料，可選擇非本國本地較便宜的空間，但仍須做好安全防護措施
- 無論重要機密或不重要非機密資料，皆應該在存放時，採取不同的資料庫資料交錯處理、資料系統交錯處理以及加密
- 內外部可連線的資料，更注意要區分組織、建立層級嚴密的帳密權限控管
- 加密備份則至少做到 256bit 加密備份
- 機密層級高的資料更應該做到四份以上的備份以及兩點以上的備援
- 定期演練已確定重啟及復原的有效性
關於備份備援的細節，可以參考另外一篇：四個重點讓您做到有效的資料備份備援與重啟演練 – 後疫情時代之 BCP 企業持續營運計劃策略思維 Part 5。 我們緊接著要來談跨境資料傳輸將對應的安全議題、以及針對該議題該如何防護。
三、定義對應的傳輸安全議題
寫到這裡，深怕越寫越艱深，我們回到白話文，就像上面所提到的資料的類別，都有個別會遇到的傳輸安全議題。
- 重要機密的資料：企業內部資料傳輸、會員交易資料傳輸、電子郵件 email 傳輸；對應到的是企業機密被竊取或會員資料外洩，面臨的不只是企業內部研發智慧財產或洩密的損失，更可能引發交易糾紛，賠上消費者的信任與一輩子的品牌商譽及收入。
- 相對非重要機密資料：企業對外公開資料、作業流程及品牌公關文件、產品介紹文件等，其實只要屬於企業相關的人事物，皆為企業資產，就算是一個不起眼的 SOP 作業流程，也都是企業經年累月的精華，屬於智慧資產的一環，而公關品牌及網站內容等…更會面臨冒用、著作權被侵犯等風險。
四、定義資料傳輸的安全防護
為了避免文章篇幅過長並過於艱深複雜，並且讓大家能輕鬆得到一個「確保 BCP 企業持續營運計劃策略能被實現的思維」，資料傳輸的安全防護細節如何制定，建議直接找專業的網路服務提供商或是直接參考我們的做法；本文最後則就跨境資料傳輸整體的安全防護應用，用幾個重點做一個總結：
- 區隔出各種資料傳輸需要開放的是內網？還是外網？做好嚴格的帳密分層分類控管。
- 電子郵件傳輸安全，最基礎可採用簽章認證，讓客戶清楚辨識並安心打開您的郵件。
- 資料分門別類存放及傳輸時，務必採適合您的 VPN 來保障傳輸通道的安全。（ 包含 IPsec VPN、SD-WAN、SSL VPN、點對點專線等方式 ）
- WFH 遠距辦公需要登入內網時，必須做好多因素驗證 。
- 網站務必使用有信用、可靠且有賠償制度的憑證頒發中心所核發之 SSL 憑證。
- 各條線路做好 IP 區隔及登入的權限控管。
- 地端與雲端之間的資料傳輸，採取例如 SD-WAN 的方式，快速建立各項必要的傳輸安全設定。
- 確保您的網路服務提供商提供您的線路為國際級電信線路，非私人自家線路。
- 確保您的網路服務提供商有本國在地及國際同時雙邊技術客服支援。
在 COVID-19 發生之後，企業風險管理策略在企業防疫持久戰當中扮演關鍵重要角色。如何再次振興經濟、預防下一次的天災人禍，讓業務持續營運不中斷，跨境資料傳輸的有效性及安全防護，絕對是首要考量之一；留得青山在不怕沒柴燒，資料傳輸得當並保管得宜，絕對能在企業遭受重擊時，扮演東山再起的重要角色。
【下載2021 中小企業持續營運計劃入門手冊】
本手冊由 Cloudmax 匯智資訊股份有限公司發佈，旨在幫助各類型企業在新冠肺炎疫情 (COVID-19) 爆發後，能順利跨出第一步啟動 BCP 計劃，強健體質以面對未知的災害，讓企業達成持續營運不中斷之目的。手冊集結國內外數位產業先驅的數據見解、專業知識與產業經驗，收錄目前的產業現況、問題及未來趨勢，分析歸納 BCP 企業持續營運計劃之規劃方向及實行重點，使任何企業皆能獲得可依循之持續營運方針。立即下載手冊：https://www.cloudmax.com.tw/whitepaper/bcp-white-paper。
歡迎轉載！請見：轉載原則。
Photo by israel palacio on Unsplash