個人資料保護法通過立法後，個人資料保護的責任由「道義」責任提升成為「法定」責任及義務，擁有個人資料愈多的企業或機關其保護個人資料的責任與面臨的風險就愈高。然而，現今大部份企業或機關的個人資料以各種型態(如：檔案、資料庫、表單、報表等)散落在各個作業流程、電腦設備、資訊系統、儲存媒體、文件櫃或檔案室中。企業或機關該如何在千頭萬緒的個資防護要求下，著手規劃可以符合個資法要求也能強化個資保護的行動方案？
服務說明
本項服務就是對企業或機關內擁有的個資進行完整詳細的清查，讓個資在組織內的實際運用現況透過「個資流程圖」全盤呈現出來。接續運用風險評鑑技術，量化個資的詳細風險現況，提交「個資風險評鑑報告」，以利企業或機關依據個資風險大小與風險所在，提出有效的個資風險處理方案，並依風險大小排定風險處理的優先次序。企業或機關後續可考量進一步導入符合BS 10012標準要求的【個人資訊管理系統(PIMS)】，以持續的監控及改善組織對個人資料的保護，善盡保護及管理的個資法定責任。
作業流程與個資清查
個人資料的「蒐集」、「處理」、「利用」及「國際傳輸」與企業或機關之【作業流程】息息相關，透過作業流程的分析，將可清查出下列與個資相關之資訊，詳見圖1所示：
- 處理個資的相關人員、資訊系統與儲存所
- 個資呈現的方式(表單、報表、螢幕、資料庫、磁帶等)
- 個資流動之關聯及儲存的內容
- 個資蒐集與國際傳輸的位置
- 內部處理與外部處理之邊界(信任邊界)
 |
| 圖1 個資流程圖(範例) |
個資清查作業可透過【現有資料蒐集、表單問卷填寫及人員訪談】等方式，依個資處理相關作業流程逐步進行個資清查。
服務流程
本公司所進行之「個資清查暨風險評鑑服務」，將依據ISO/IEC 27005:2008之風險管理程序來進行，整體服務進行的步驟及相關產出文件，詳如圖2所示，並針對每個程序步驟重點說明如下。
 |
| 圖2 個資清查暨風險評鑑服務服務流程圖 |
- 建立全景
【建立全景】的目的是要為後續個資之清查與風險評鑑，建立一個基礎的框架與一致性的認知。其中包含的工作有：界定清查與風險評鑑之範圍、建立風險評鑑所需的【基本準則】(例如：個人資料資產價值分級準則)及組成風險評鑑組織等。 - 個資清查
【個資清查】是本服務中最繁雜細微的工作項目，可能需要動用較多人員，並且極需要個資清查對象/部門的全力配合，方能將個資於單位中的現況完整呈現出來。本公司將依「個資相關作業流程」，「個別清查」出個資所在的位置、相關經手人員及個資呈現的樣態等。清查之方法與手段將包含：【現有資料蒐集、問卷填寫及實地訪談】等。本項工作的產出文件包含：
– 個資流程圖：依據作業流程個別繪製其【個資流程圖】，其範例如圖1所示
– 個資檔案清冊：【個資檔案清冊】依個資法要求至少包含之相關資訊有：個人資料檔案名稱、個人資料檔案保有之依據及特定目的、個人資料之類別及保有機關名稱及聯絡方式等。 - 個資風險評鑑
個資風險評鑑將由專業資安顧問，依個資清查之結果，進一步識別個資之威脅、脆弱性，並依建立全景階段所定義之風險評鑑相關基本準則，進行【風險估計(Risk Estimation)】與【風險評估(Risk Evaluation)】，進而產出「個資風險評鑑報告」。 - 風險處理建議
依據「個資風險評鑑報告」由專業資安顧問提供改善建議，並藉由下列三個面向個別提出改善建議：
– 「個人資料保護法」遵循：依據個資法之相關要求，提出單位「必須」改善之項目。
– 「個人資訊管理系統BS 10012標準」遵循：依據BS 10012標準之各項要求，提出單位在個人資訊管理系統(PIMS)現況與BS 10012標準之差異，以利於單位評估導入BS 10012標準的難易度。
– 「個人資料善良保護責任」：依據個資風險評鑑報告之風險等級，排除建立全景階段所定義的可接受風險等級，由高風險至低風險提出相對應的改善建議措施。
預期效益
完成個資清查與風險評鑑後預期可以獲得下列效益：
- 全盤瞭解單位個資現況
透過【個資流程圖】可以讓負責管理個資之相關人員全盤掌握個資在單位中的儲存位置、處理人員與系統、個資蒐集來源、傳送與交換的目的、個資的數量。
- 提出符合單位需求的改善建議
鑑於個資的清查與風險評鑑都是依據單位的現況來進行分析與評估，因此本專案依據目前單位所面臨的真實風險所相對提供的改善建議，乃依據風險大小之等級相互呼應，助於確保提出的改善建議最能符合單位需求。
- 運用外部顧問專業技能與經驗降低人員訓練成本與提高專案品質
本項服務中的相關工作需要高度的資安專業能力與豐富經驗，並對於個人資料保護法與BS 10012相關要求與其實作方法要相當瞭解及熟悉。因此單位可運用外部顧問之專業技能與經驗，以最有效率與品質水準的要求下，提出單位因應個資法實施後所應改善及調整的工作計畫，助於降低內部人員之訓練成本並確保專案成效與品質。
其他參考資料
- Privacy ID 自動化個資盤點系統(檔案)
- Privacy ID 自動化個資盤點系統(資料庫)