資料安全議題

A.12,A.13 A.14,A.18

細§12

實作指引

一、安全控管措施（B.10.1）

（一）安全機制/對策（B.10.1.1）（建議）

處理個人資料之應用系統應考量現有技術、實行成本與處 理的性質、範圍、內容與目的，規範適切的安全機制，如採去 識別化或資料加密等原則的安全控管方向。

（二）個人資料安全控管措施(B.10.1.2)

個人資料的蒐集、處理、儲存、傳輸與存取監控，應明確 設定安全控制措施或科技，並考量：

1.個人資料數量、類別、型態及外洩時對當事人造成的損失或 困擾之風險。

2.安全控制措施應與個人資料風險等級相當，如基於正當理由 降低，應採取補償性控制措施。

3.持續維護安全控制技術之正確性及功能適切性。

4.個人資料對內及對外傳輸，應選用預先核准且符合個人資料 風險等級的保全方式或科技，以防護傳送中的資料。

個人資料安全管控措施應包括下列事項：

1.安全設備或防護措施

應依據「附錄 A 資訊安全管理規範」中下列控制領域 或目標之控制項要求進行，其適用之控制項請參閱各控制項 中個資適用條款編號：

(1)A.8 資產管理：個人資料處理、儲存與傳輸與其載體(如 紙本、儲存媒體)之安全管理。

(2)A.11 實體及環境安全：個人資料處理、儲存與傳輸設備

置放環境與維護管理。

(3)A.12 運作安全：個人資料處理設備日常管理、惡意軟體 防治、備份、軌跡紀錄等管理。

(4)A.13 通訊安全：個人資料傳送政策與書面協議，以及傳 送安全管理。

(5)A.14 系統獲取、開發及維護：涉及個人資料處理之資訊 系統安全規格建立，測試要求，以及測試資料處理管 理。

2.人員安全措施：

應依據「附錄 A 資訊安全管理規範」中下列控制領域 或目標之控制項要求進行，其適用之控制項請參閱各控制項 中個資適用條款編號：

(1)A.6 資訊安全之組織：配合現有資訊安全管理組織，建 立個人資料相關人員之角色與責任。

(2)A.7 人力資源安全：個人資料流程相關人員之管理，確 保個人資料處理人員的責任、認知訓練，以及責任終止 後的義務。

3.業務終止後個人資料處理措施：

應配合「附錄 A 資訊安全管理規範」中 A.8 資產管理 與 A.11 實體及環境安全中對於個人資料媒體與設備之汰除 與處理要求執行，並確保建立：

(1)銷毀：銷毀之方法、時間、地點及證明銷毀之方式。

(2)移轉：移轉之原因、對象、方法、時間、地點及受移轉 對象得保有該項個人資料之合法依據。

(3)刪除、停止處理或利用個人資料：刪除、停止處理或利 用之方法、時間或地點。

4.安全維護各項程序及措施執行紀錄，應包含：

(1)個人資料之交付及傳輸。

(2)個人資料之維護、修正、刪除、銷毀及轉移。

(3)提供當事人行使之權利。

(4)存取個人資料系統之紀錄。

(5)備份及還原之測試。

(6)所屬人員權限之異動。

(7)所屬人員違反權限之行為。

(8)因應事故發生所採取之措施。

(9)定期檢查處理個人資料之資訊系統。

(10)教育訓練。

(11)安全維護計畫稽核及改善措施之執行。

(12)業務終止後處理紀錄。

（三）存取權限管理程序(B.10.1.3)

施行單位應依據個人資料盤點與風險評鑑結果，訂定個人 資料處理權限，個人資料之存取權限控制措施，應符合其風險 等級，尤其是特種個人資料；所有個人資料的存取作業皆受到 監控。

應依「附錄 A 資訊安全管理規範」中下列控制領域或目 標之控制項要求進行，其適用之控制項請參閱各控制項中個資 適用條款編號：

1.A.8 資產管理：個人資料處理、儲存與傳輸與其載體(如紙 本、儲存媒體)存取權限管理。

2.A.9 存取控制：個人資料處理系統與設備之存取權限管理。

3.A.10 密碼學(加密控制)：個人資料處理、儲存與傳輸的加 密措施。

（四）安全控制措施審查(B.10.1.4)

應訂定個人資料檔案安全稽核機制，或配合資訊安全管理 系統稽核機制，每年或於重大變更後檢查個人資料安全控管措 施是否落實執行。

並配合風險評鑑進行評估現行安全控制措施，確保：

1.使用合適的流程、方法、科技與設備，並於必要時提供改善 建議。

2.已考量當安全事故發生時，對當事人造成損失及困擾的風 險。

二、安全事故管理（B.10.2）

（一）安全事故管理程序與紀錄(B.10.2.1)

施行單位應設置個資保護聯絡人員及重大個資事件單一通 報與聯繫管道，將個資保護聯絡方式（如：電話、email）置 於單位網站，以便利個資當事人提出申訴與救濟。

應依據「附錄 A 資訊安全管理規範」中 A.16 資訊安全事 故管理各控制項要求建立個人資料安全事故管理與應變機制，

在發生個人資料被竊取、洩露、竄改或其他侵害事故時，迅速 處理以保護當事人之權益，並同時包含於查明事故發生原因及 損害狀況後，以適當方式通知當事人。

發生安全事故時，宜依據「政府機關（構）資安事件數位 證據保全標準作業程序」或相關證據保全作業規範，進行數位 證據之蒐集與保存。