行政院於 2023 年 4 月 13 日正式通過「個人資料保護法」修正案，本次調整的重點內容除了設置「個人資料保護委員會」外，也調高個資外洩案件罰款，針對外洩情節重大案件最高將可開罰 1000 萬，而面對此修正法案，企業該如何補強才能預防發生個資外洩事件呢？
本文重點：
▌企業該如何補強才能預防發生個資外洩事件呢？
針對企業客戶個資保護部份，Cloudmax 匯智提供以下幾點建議，也能協助您規劃與落實個資防護計劃，一同為保護好您的客戶個資安全努力：
一、Web 應用程式防火牆：
Web 應用程式是個人資料外洩的主要途徑之一，攻擊者可以利用漏洞進行攻擊，以獲取用戶的機敏資訊，例如信用卡號、身份證字號、電子郵件地址、帳號密碼等，而 WAF (Web Application Firewall) 則是應用於 Web 應用程式上的防火牆，透過過濾 Http / Https 流量的方式來保護 Web 應用程式免於受到攻擊。
WAF 能防範的攻擊包含：SQL Injection、Brute Force（暴力破解）、XSS (Cross-site scripting) 等。
WAF 的導入相對簡單且使用不困難，基本上導入後就會開始自動監控及偵測問題，因此現在許多企業在強化資安策略時，都會優先考慮與評估 WAF。
- 了解匯智「M-WAF 管理型網站應用程式防火牆」服務：Link
二、主動與即時的 MDR 服務：
MDR (Managed Detection and Response) 是更進階的資訊安全服務，核心價值在於有專業的資安人員或團隊，能直接監控、分析、評估企業資安需求，同時管理並調整企業整體的資安佈署。
MDR 通常會搭配其他資訊安全解決方案，如 WAF、EDR 等，因為是由專業的資安人員或團隊負責企業的資安服務配置，可以大幅減少企業在強化或導入資安服務時內部缺乏資安專職人員的問題。提供 MDR 的廠商就等於是企業的資安部門，透過主動式監控、威脅情報分析、風險評估、快速偵測即時回應等，形成完整的資安防護體系，提供更全面的企業個資安全保障。
- 了解匯智「公司內控處理準則-資訊安全解決方案」：Link
三、網站必須安裝的 SSL 數位憑證：
當網站傳輸資料被第三方攔截或竊取時，資料已透過 SSL 數位憑證的驗證與加密，使用者輸入的個資如：帳號、密碼、信用卡號等敏感資料，就都已時被加密後再傳輸到網站伺服器的狀態了，能避免被竊取後偷看。因此，對於需要使用者輸入個資的網站，安裝 SSL 數位憑證仍是一項必要的措施。
- 了解匯智「SSL 數位憑證-GlobalSign、GeoTrust」：Link
▌「個人資料保護法」修正案詳細內容
本次，修正後條文如下：
- 第一條之一
| 條款內容 | 本法之主管機關為個人資料保護委員會。 自個人資料保護委員會成立之日起，本法所列屬中央目的事業主管機關、直轄市、縣(市)政府及第五十三條、第五十五條所列機關之權責事項，由該會管轄。 |
| 修正重點 | 配合未來獨立監督機關設置，明定主管機關為「個人資料保護委員會」。 移轉管轄：自個人資料保護委員會成立之日起，中央目的事業主管機關、地方政府、本法第53條及第55條所列權責事項，改由該會管轄。 |
- 第四十八條
| 條款內容 | 非公務機關有下列情事之一者，由中央目的事業主管機關或直轄市、縣（市）政府限期改正，屆期未改正者，按次處新臺幣二萬元以上二十萬元以下罰鍰： 一、違反第八條或第九條規定。 二、違反第十條、第十一條、第十二條或第十三條規定。 三、違反第二十條第二項或第三項規定。 非公務機關違反第二十七條第一項或未依第二項訂定個人資料檔案安全維護計畫或業務終止後個人資料處理方法者，由中央目的事業主管機關或直轄市、縣（市）政府處新臺幣二萬元以上二百萬元以下罰鍰，並令其限期改正，屆期未改正者，按次處新臺幣十萬元以上一千萬元以下罰鍰。 非公務機關違反第二十七條第一項或未依第二項訂定個人資料檔案安全維護計畫或業務終止後個人資料處理方法，其情節重大者，處新臺幣十萬元以上一千萬元以下罰鍰，並令其限期改正，屆期未改正者，按次處罰。 |
| 修正重點 | 調整處罰模式： 處 2 萬元以上、200 萬二以下罰鍰，並令限期改正。屆期未改正，按次處 10 萬元以上、1000 萬元以下罰鍰。 情節重大者： 處 10 萬元以上、1000 萬以下罰鍰，並令限期改正。屆期未改正，按次處罰。 |
新聞來源：https://www.ey.gov.tw/Page/9277F759E41CCD91/2d6bb590-fa47-435f-818e-c196c25733e0
▌個資法是什麼？「個人資料保護法」介紹及設立目的說明
個人資料保護法（簡稱個資法）是為規範個人資料之蒐集、處理及利用，以避免人格權受侵害，並促進個人資料之合理利用，所制定的法規。法案主要目標要達成對民眾與企業數位資料的「隱私的保障、流程的規範、權益的維護、安全及安全意識的提高」，以達到以下四項目的：
- 規範公、私部門在蒐集、處理、利用、傳輸、刪除等技術流程
- 以上技術流程中，須確實遵循定好的原則與標準
- 維護個人資料在技術方（企業方）使用過程中的個人權益
- 提高國人個人資料的安全與資料保護的意識
因此，企業取得客戶個資的同時，就應該要做到「妥善保護」及「合理運用」客戶的個資，並採用良好的方法、團隊及工具，來極力避免個資外洩的情況發生；若不幸發生個資外洩情況時，也應預先準備好能快速處理並解決的個資保護方案。
歡迎轉載！請見：轉載原則。
Photo by EKATERINA BOLOVTSOVA from pexels