Phitech

目前位置: 新聞總覽 -> Rich Man 專欄 -> 新版個資法施行細則第十二條必要措施問題探討之二

2012年11月01日

新版個資法施行細則第十二條必要措施問題探討之二

Q1：如何作好資料安全管理及人員管理?
A：
(1) 資料定期備份
(2) 終端及伺服電腦皆需安裝防毒防駭軟體 – McAfee Total Protection for Endpoint
(3) 自動防止資料外洩機制 – McAfee Host/Network DLP
(4) 終端存取網路之管理 – ARPScanner
(5) 
  • 實體機房存取控管
  • 機房實體監錄
  • 機房門禁
  • 中央監控中心
(6) 檔案與硬碟加密 – McAfee Endpoint Encryption
(7) 
  • 人員管理
  • 單一識別碼
  • 各項存取權限控管
  • 實體通行證配發
  • 桌面虛擬化(VDI)
  • 螢幕保護程式
  • 人不在座位桌面清空, 抽屜上鎖
  • 所有電腦未使用之檔案一定要加密
  • 針對上述部分定期抽檢
  • 碎紙機與水消

Q2：如何作好認知宣導及教育訓練?
A：
定期舉辦個資法的認知宣導與教育訓練，同時需要留下會議及參與人員簽到記錄。
 
Q3：如何作好設備安全管理?
A：
應將機房環境盡其良善，建議以下各方面考量
  •  門禁
  •  機櫃上鎖
  •  不斷電穩壓穩流
  •  恆温恆溼
  •  預防液體撥入
  •  防火防震
Q4：如何作好資料安全稽核機制?
A：
(a) 權責分工：應將程式開發人員與系統維護人員分開以及資料庫與作業系統管理人員分開，各司所責，避免球員兼裁判。
(b) 作業系統存取稽核：建議可使用BeyondTrust Powerbroker Server進行作業系統特權的監視、稽核與控制。
(c) 資料庫存取稽核：建議可使用Chalet ADS/CSI進行作業資料庫存取的監視、稽核。
(d) 主機網路弱點稽核管理: 建議可使用McAfee Vulnerability Management進行稽核管理，並可檢視目前是否符合國際資安標準。
 
Q5：如何作好必要之使用紀錄、軌跡資料及證據之保存?
A：
(a) IP使用軌跡：建議可使用ARPScanner進行IP-MAC管理，同時可最全面的上線歷程資訊，包含
  •  IP
  •  MAC
  •  電腦名稱
  •  AD帳號
  •  Switch Port
  •  上線時間
  •  離線時間
  •  AD帳號整合資訊
(b) 資料庫使用軌跡：建議可使用Chalet ADS/CSI進行資料庫使用軌跡的記錄。
(c) 上網使用軌跡：建議可使用McAfee Web Gateway記錄上網使用的軌跡，同時也能避免上網時的各項安全危險。
(d) Mail使用軌跡：建議可使用McAfee eMail Gateway記錄Mail使用的軌跡，同時也能防止垃圾郵件的侵襲及機密資料經由mail外洩。
(e) 網路資安設備整合記錄：建議可使用Sawmill記錄各項網路資安設備的軌跡日誌檔，可讓管理者輕輕鬆鬆藉由一個終端就能掌握全貌。
 
Q6：如何作好個人資料安全維護之整體持續改善?
A：
(a) 建議遵循專案管理PDCA的原則持續進行
 
 
 
(b) 建議可使用McAfee Vulnerability Management以客觀自動的方式對系統弱點作定期的掃描及持續的追踪。
 
[結語]
  •  個資保護工作進行需持續非一時
  •  個資保護的達成是相對而非絶對
  •  没有百分百的資訊安全
  •  唯有貫徹個資保護政策的執行與稽核
  •  Proactive & Reactive同樣重要
 
標籤 : phitech, 個資