從BS7799到ISO27001，我們看到了什么？信息安全管理系統(tǒng)涵蓋的范圍愈來(lái)愈全面，企業(yè)從風(fēng)險(xiǎn)評(píng)鑒的過程當(dāng)中看到了資安危機(jī)，所以這些年來(lái)，幾乎是全員皆動(dòng)，資安政策的不適應(yīng)也變成自然遵守，靠的就是員工使用習(xí)慣的改善。

而計(jì)算機(jī)處理個(gè)人資料保護(hù)法到個(gè)人資料保護(hù)法，我們又看到了什么？原來(lái)個(gè)人資料這么值錢!!這是很多客戶看到個(gè)人信息法的罰則后第一個(gè)提到的問題，而且已不再是純計(jì)算機(jī)里的個(gè)人資料，舉凡電子及實(shí)體記錄的個(gè)人資料皆在本法保護(hù)范圍內(nèi)，但企業(yè)最擔(dān)心的還是電子數(shù)據(jù)的個(gè)人信息在哪？該如何保護(hù)？該如何確保已盡善良管理人責(zé)任？企業(yè)即將面臨的種種挑戰(zhàn)，我們首先想到的解決方案，就是目前最熱門的DLP (Data Loss Prevention)。

重點(diǎn)1：資料外泄問題的三個(gè)面向

然在導(dǎo)入DLP解決方案前，必須了解一個(gè)觀念：DLP不是個(gè)人信息保護(hù)的唯一工具，也不是一勞永逸的工具，雖然，DLP的確是一套管理外泄風(fēng)險(xiǎn)的有效工具，但我們所面臨的外泄問題，必須從以下三個(gè)面向來(lái)探討：

1、管理風(fēng)險(xiǎn)與確保政府法規(guī)遵循：

在布滿個(gè)人信息的企業(yè)環(huán)境里，必須先要了解這些個(gè)人信息所存在的風(fēng)險(xiǎn)因素，因?yàn)槊糠輦€(gè)人信息都有其價(jià)值性，依據(jù)每種價(jià)值度的高低，及外泄后對(duì)企業(yè)的影響力，訂定風(fēng)險(xiǎn)值，再者，對(duì)于個(gè)人信息法的相關(guān)要求（例如：利用、傳輸），是否有相關(guān)記錄進(jìn)行存查，以確保外泄事件發(fā)生后能提供完善保護(hù)責(zé)任之證據(jù)。

2、數(shù)據(jù)在哪里？

電子數(shù)據(jù)無(wú)時(shí)無(wú)刻都在流動(dòng)，不管這些個(gè)人信息目前存在主機(jī)、數(shù)據(jù)庫(kù)、個(gè)人計(jì)算機(jī)上、甚至是儲(chǔ)存媒體內(nèi)，都必須進(jìn)行清查作業(yè)，以避免是否有個(gè)人信息曝露在高風(fēng)險(xiǎn)的設(shè)備上。

3、審視作業(yè)流程：

企業(yè)對(duì)于個(gè)人信息存取流程是否有誤，這在DLP導(dǎo)入時(shí)是很重要的一個(gè)環(huán)節(jié)，否則員工都可以存取個(gè)人信息（員工、客戶、廠商），那就不知誰(shuí)才是屬于違法存取的員工了。

重點(diǎn)2：個(gè)人信息法要求 組織應(yīng)正視數(shù)據(jù)防護(hù)的問題

個(gè)人信息無(wú)所不在，然最重要卻不是一套最完善的DLP，而是人，個(gè)人信息防護(hù)最重要的不是導(dǎo)入一個(gè)多嚴(yán)密的防護(hù)系統(tǒng)，而是避免人為操作失當(dāng)、疏忽、惡意所造成的外泄風(fēng)險(xiǎn)，當(dāng)然組織也不能因?yàn)閭€(gè)人信息法的緣故，讓員工恢復(fù)以前的紙本作業(yè)，這就等于為了節(jié)能都不準(zhǔn)用電的意思一樣，所以除了透過科技手法外，也要使用獎(jiǎng)懲方式來(lái)規(guī)范員工行為。

當(dāng)然，在導(dǎo)入DLP前，企業(yè)需先思考，外泄管道為何？如果企業(yè)的對(duì)外網(wǎng)絡(luò)服務(wù)皆為自建自管(Web、Mail、DNS……等)，就要考慮外部防護(hù)解決方案(Web AP Firewall、 IPS……等)，如果為員工外泄就必須要限制使用者行為。

問題在于管理使用者是一門大學(xué)問，處理的好相安無(wú)事，處理不好，造成對(duì)公司反感，甚至故意破壞及盜取數(shù)據(jù)，所以，針對(duì)用戶就要試想哪種管理方式比較好，如：封鎖使用設(shè)備或網(wǎng)絡(luò)服務(wù)(USB/Web/FTP/IM)，還是監(jiān)控網(wǎng)絡(luò)使用內(nèi)容。

重點(diǎn)3：我該如何選擇DLP？

市場(chǎng)上已有很多廠商提供了很好的DLP解決方案，組織該如何選擇，并沒有對(duì)或錯(cuò)，但在功能選擇上還是可以多加留意，包括了：

1、軟/硬件的差別：

目前市面上大部份的DLP解決方案都是以軟件為主，但開始有廠商提供了專屬設(shè)備，主要是因?yàn)镈LP需要監(jiān)控網(wǎng)絡(luò)封包，這時(shí)硬件的效能就很重要了，所以專屬設(shè)備對(duì)于軟件優(yōu)化來(lái)說(shuō)就非常好，但如遇到組織成員擴(kuò)增時(shí)，專屬設(shè)備就顯得沒有彈性了，而軟件沒有專屬設(shè)備，所以可以依據(jù)組織成員規(guī)模布署適合的設(shè)備，當(dāng)然也可以預(yù)留升級(jí)的空間，但因不是專屬設(shè)備，所以并未對(duì)軟件進(jìn)行優(yōu)化，所以設(shè)備效能各方面都必須考慮(CPU、RAM、I/O、Network)。

2、保護(hù)標(biāo)的物：

舉凡存放個(gè)人信息的所有主機(jī)與數(shù)據(jù)庫(kù)，或是用戶的個(gè)人計(jì)算機(jī)與移動(dòng)設(shè)備，甚至儲(chǔ)存媒體與組織對(duì)外的所有網(wǎng)絡(luò)服務(wù)，都應(yīng)納入保護(hù)的重要標(biāo)的物，當(dāng)然DLP并非一勞永逸的工具，所以搭配防火墻進(jìn)行對(duì)外網(wǎng)絡(luò)服務(wù)的封鎖，是比較適當(dāng)?shù)淖鞣?。以下為企業(yè)可以監(jiān)看的檔案類形：

A、于網(wǎng)絡(luò)端可以監(jiān)控的類型：像是HTTP(S)、WebMail、社群、Web HD、FTP、IM及組織使用之郵件系統(tǒng)等

B、于使用者端可以監(jiān)控的類型：像是個(gè)人信息檔案移動(dòng)、檔案內(nèi)容拷貝、媒體復(fù)制、打印機(jī)、上網(wǎng)行為甚至透過SmartPhone同步數(shù)據(jù)。

3、內(nèi)建范本：

從BS10012、PCI、HIPPA、或是各國(guó)個(gè)人信息法令要求規(guī)范，這些都是與我國(guó)個(gè)人信息法都有涵蓋的范圍，所以為了有效設(shè)定正確的DLP防范政策，這些都是可以參考調(diào)整的政策模板，當(dāng)然有些業(yè)者甚至還有提供我國(guó)個(gè)人信息法的政策范本，值得讓需要導(dǎo)入的讀者參考，最后要提的是，評(píng)估政策模板不在于數(shù)量多寡，而是能否自行調(diào)整政策，讓我們?cè)O(shè)計(jì)與組織最適合的政策并符合個(gè)人信息法，這才是我們所需要的。

4、用戶許可證與整合性：

臺(tái)灣很多都是中小企業(yè)起家，甚至網(wǎng)絡(luò)商店業(yè)者，但員工數(shù)量卻是屈指可數(shù)，幾乎很多都是微型企業(yè)，不過這些企業(yè)手上都擁有大量可觀的個(gè)人資料，但在導(dǎo)入DLP的第一步，可能就會(huì)遇到用戶許可證的難題，有些業(yè)者的DLP最少是50或100人為一個(gè)基數(shù)，但網(wǎng)絡(luò)商店業(yè)者的員工人數(shù)可能只有5人，卻要買100人授權(quán)，這個(gè)問題就需要業(yè)者思考對(duì)于基數(shù)的調(diào)整了。#p#

另外就是整合性的問題，無(wú)論保護(hù)標(biāo)的物是主機(jī)或是個(gè)人端設(shè)備，一定都已安裝防病毒軟件，也已行之有年了，若能讓Endpoint端監(jiān)控程序與防病毒軟件整合在一起，除了管理容易外，對(duì)于端點(diǎn)設(shè)備的資源負(fù)載也減輕不少。

重點(diǎn)4：為何導(dǎo)入DLP會(huì)失?。?/strong>