Transcript 2010個資法教戰守則
個資法教戰守則 您不可不知的內稽內控 TrustView 產品經理 陳品翰 課程大綱 • 公司簡介及成功案例介紹 • TrustView Compliance with 個資法 – 法規面 – 個人資料生命週期 – 個人資料保護需求情境分析 TrustView簡介 • TrustView創立時間： – 2000年在台灣成立研發團隊 – 2007年1月於東京成立TrustView日本分公司 – 2009年7月於上海成立TrustView技術服務處 • TrustView專注在Enterprise-DRM領域的產品研發 – 已取得台灣、日本及中國9項DRM相關專利 – 美國專利目前正在申請中 • 同時取得3家國際原廠的產品研發Certified Partner Microsoft-- Office PTC-- Pro/E, Windchill Autodesk -- AutoCAD 超過300家台灣及日本地區企業及政府機構 使用TrustView DLP Solution 新竹科學園區參考客戶 聯發科 聯詠科技 世界先進 頎邦科技 采鈺科技 友達光電 南茂科技 鈺創科技 華邦電子 智微科技 凌通科技 瑞昱半導體 超過300家台灣及日本地區企業及政府機構 使用TrustView DLP Solution 台灣地區企業參考客戶 奇美電子 日月光 華碩電腦 中華三菱汽車 德勝安聯 偉創立 裕隆日產汽車 新安東京海上 宏達國際電子 統一超商 台達電子 三陽／現代汽車 台灣日立 永信藥品 遠東紡織 台灣新力 永豐餘 政府機構 使用TrustView DLP Solution 總統府、國安局、經濟部… 軍情局、電展室、陸軍總部、調查局、中科院系、 新聞局、高鐵局、健保局、國家研究院、工業局、 退輔會、工研院、陸軍教準部、海巡署… 南資中心、 金融研訓院、食品研究所、農委會、 藥物毒物試驗所、生物技術開發中心、資策會、 財團法人醫藥品查驗中心、金屬工業研究中心… TrustView 進入日本市場 日本地區TrustView經銷通路 日本地區企業客戶採用TrustView進行情報漏洩管理 課程大綱 • 公司簡介及成功案例介紹 • TrustView Compliance with 個資法 – 法規面 – 個人資料生命週期 – 個人資料保護需求情境分析 何謂個人資料保護法 • 民國84年 公告 電腦處理個人資料保護法 • 民國99年4月27日三讀通過 個人資料保護法 • 目的： – 為規範個人資料之蒐集、處理及利用，以避免人格 權受侵害，並促進個人資料之合理利用，特制定本 法。 法規面(一) • 第二十七條 非公務機關保有個人資料檔 案者，應採行適當之安全措施，防止個人 資料被竊取、竄改、毀損、滅失或洩漏。 法規面(二) • 第二十八條 公務機關違反本法規定，致個 人資料遭不法蒐集、處理、利用或其他侵 害當事人權利者，負損害賠償責任。但損 害因天災、事變或其他不可抗力所致者， 不在此限。 法規面(三) • 第二十九條 非公務機關違反本法規定，致 個人資料遭不法蒐集、處理、利用或其他 侵害當事人權利者，負損害賠償責任。但 能證明其無故意或過失者，不在此限。 個人資料保護生命週期（草案） PLAN 蒐集 刪除 銷燬 ACTION 國際 傳輸 個人 資料 處理 PKI 個人資料 檔案 傳送 （流通） 儲存 利用 資料來源：瑞百通首席顧問：鍾榮翰 記錄 輸入 編輯 更正 檢索 輸出 連結 複製 CHECK DB doc Tape DO 個人資料生命週期 蒐集 處理 利用 傳遞 銷毀 • 依法進行告知義務 • 取得書面同意 • 採取適當的保護措施，避免個人資料被竊取、竄改或毀損 • 應於蒐集之特定目的內使用 • 特定目的外之使用應另外取得書面同意 • 傳遞及交換分享中採取適當的保護措施，避免個人資料被竊取、竄改或毀損 • 特定目的消失 • 期限屆滿 • 當事人要求 法規面及個資生命週期保護需求 • 技術面 – 防竊取 – 防竄改 – 防內文刪除 – 防洩漏 – 防檔案刪除 – 檔案銷毀機制 – 稽核 現行機制不足之處 無權限人員 AP Server 合法權限人員 TrustView DRM 提供的保護 • 功能面 – 防竊取 (加密 + ACL) – 防竄改 (DRM權限管控) – 防內文刪除 (DRM權限管控) – 防洩漏 (DRM權限管控) – 防檔案刪除 (Backup) – 檔案銷毀機制 (動態回收文件權限、有效時間) – 稽核 (人、事、時、地、物) TrustView 系統架構及運作流程 文件管理者/政策制定者 -編輯文件 -制定文件 -加密 Account system Database 閱讀者 -文件解密 1.身份確認 Client Agent 上傳使用政策 TrustView Server 儲存文件使用政策 2.下載金鑰(權限) 3.事件記錄 文件可儲存在網站伺服器、檔案伺服器 、光碟、磁片，或者以e-mail方式傳送 Client Agent 機密文件彈性權限的保護 機密文件 給對的人 非正確人員無法開啟 在對的時間 連線 離線 閱讀期限 做正確的行為 讀 印 存 寫 個資文件管控示意 理專部門檔 理專同仁 可編輯 可列印 人事財務部門檔 如財報、薪資表 非人事財務部門人員 皆不可閱讀 企劃部門檔 企劃同仁 企劃部門人員 可修改 可列印 其他部門人員 唯讀 理財專員阿 美(sa01) 我要如何知道使用者 對這個文件做了哪些 行為呢？ Auditing稽核 Access log 內容權限行為的log 管理行為的log 個資保護需求情境分析 • Internal Business Model – User Process File (DRM Protect) – Database to File (API) • External Business Model – Offline Process File (AAC and Offline Protect) – File Exchange (File Exchange Protect) API整合 • 與個資處理系統緊密結合 – 使用TrustView API，達到加密、權限變 更自動化 – 防護不間斷 緊密結合 • 帳號整合 • 權限整合 • 流程整合 AD LDAP 3 (須驗證) WindChill Notes 緊密結合架構範例 AD Database 2.背景程式呼叫API對文件加密 AP Server 1.上傳機密文件 Author TrustView Server 3.下載加密之機密文件， 並受TrustView保護 User 個資保護需求情境分析 • Internal Business Model – User Process File (DRM Protect) – Database to File (API) • External Business Model – Offline Process File (AAC and Offline Protect) – File Exchange (File Exchange Protect) 理財專員因工作需求， 須將客戶資料攜出公 司，但又無法連線認 證，這時要如何確保 個資安全？ Offline Protect (借出) Offline Protect (借出) (1) 鎖定特定電腦才能閱讀 Offline Protect (借出) (2)強制設定有效閱讀期限 閱讀期限五天 借出第六天 Offline Protect (借出) 公司 複製………… 列印………… 修改………… 違規複製…… TrustView Server 複製………… 列印………… 修改………… 離線 違規複製…… Author Auto Cipher 選擇性作者自動加密 – 管理者設定加密保護功能，讓防制資料外洩機 制延伸至個人電腦之端點防護 機密文件作者:自動加密 非機密文件作者:不自動加密 理專人員 客戶資料處理 TrustView Server 作者新檔創建 At same Time saving 個資保護需求情境分析 • Internal Business Model – User Process File (DRM Protect) – Database to File (API) • External Business Model – Offline Process File (AAC and Offline Protect) – File Exchange (File Exchange Protect) File Exchange Protect • 帳號與硬體雙認證 ------ 確保機密文件不外 洩。 • 延長離線授權 • 離線式安全防護 ------ 真正適用於網路實體 隔絕的環境。 • 列印浮水印------ 保護文件紙本。 • 七道鎖防護加倍 ------ 鎖修改、鎖複製、鎖 時間、鎖列印、鎖次數、鎖時段、鎖抓圖 離線外發 – 權限設定 離線外發 – 延展離線授權 個人資料的防護機制-3A – 認證Authentication (Access Control) • 採用業界公認標準 RSA 256bit AES 加密保護文件 • 可結合 Microsoft AD、PKI、指紋辨識..等系統加強認證 – 授權Authorization • • • • 複製、列印、修改 閱讀有效期間 防PrtScr、ScreenCapture 鎖定在特定電腦才能閱讀 – 稽核Auditing • 從管理者到使用者、從連線到離線… 無一幸免均被log起來 TrustView 系統架構圖 Questions And Feedback 謝謝指教