個資法上路後，造成壽險業、銀行業等等電話行銷諸多挑戰，上週南山人壽決定將電話行銷部關門大吉，真的是因為個資法難管理，又或者如金管會所說:「南山人壽是基於通路策略考量暫停電話行銷業務，與個人資料保護法施行無關，還不致有其他業者跟進放棄?」
前幾年某知名銀行發生大量個資外洩事件，不是駭客，不是失誤，而是內部人員刻意將公司個資販賣給其他企業謀取獲利。由此眾多個資外洩事件來看，其實個資法對電話行銷或是各大銀行、壽險業並不是最大的阻因，個資若沒有妥善的處理，經營者或是負責人員都可能必須負起民事、刑事和行政責任，罰鍰也不再是輕如鴻毛，因此不論你企業內主管還是員工，都不能忽視「個資法」所帶來的影響。
學習定期「個資盤點與稽核紀錄」、「紙本文件與個資保護」，是自保也幫企業打劑強心針。
個資防護第一部：落實 PDCA**，完善稽核機制
**個資的防護非一蹴可成，必須要經過一連串的規劃並執行以後，才能確保在個資的防護上到達一定的水準。因此，便有品管機構建立了 PDCA 機制，即規劃 (Plan)、執行 (Do)、查核 (Check)、行動及改進 (Action)。
**為什麼需要查核紀錄？
**在從前可能許多人都認為留存稽核紀錄是非常浪費空間的事情，只有銀行、政府等對資料異動比較敏感的機構才需要存這些稽核紀錄。但在個資法上路以後，當面臨個資疑慮時，企業必須要有辦法舉出各種的證據來替自己「解圍」，因此若平日就保有這些資料，在發生事情的時候，就可以透過這些資料來幫助企業處理問題。
對於大企業來說，由於經費相對充裕，因此在面臨個資問題的時候，可以很容易的透過外部廠商所提供的解決方案 (產品) 來解決問題。但是對於資源相對比較緊繃的中小企業來說，諮詢、顧問再加上內部相關人員的配合，其實也可以達到相當程度的保護。
**稽核紀錄的種類
**因為資訊系統的設備非常多，稽核紀錄的種類也不勝枚舉，因此我們就以資料庫型的系統作為範例，若要達到基本的保護等級，這些種類的稽核紀錄都是必須要的。
**1.****資料異動紀錄
**資料異動記錄主要的目的就是保留所有資料的修改異動軌跡，記錄的資料包含了 WHO (異動者)、WHEN (異動時間)、WHAT (做了什麼異動) 以及該列資料的完整紀錄。這種類型的稽核紀錄可以完整的紀錄資料所有的異動軌跡以及作為問題查詢用途，除此之外，當資料發生錯亂的時候也可透過此種稽核紀錄來追蹤並還原資料。
**2.****查詢紀錄
**由於企業內部的系統非常多，操作的人也很多，為了防止公司內部的資料遭到居心不良的人員外洩而導致公司損失，企業除了需要嚴格限制人員在不同的系統所擁有的操作權限以外，當人員查詢資料時，也必須要將查詢的行為予以紀錄，以達到監視的效果。未來若有需要，可以透過各種設定的條件進行紀錄的查詢，對特定的事件進行稽核及調查。
**3.****操作行為紀錄
**除了前一點所提到的查詢紀錄以外，針對有敏感性的系統，系統也必須要同時記錄使用者的操作行為，這種紀錄除了可以用於追蹤及釐清問題外，甚至可以透過一些分析方式，及時發現特定事件並且早期發出警報進行處理，以防止問題擴大。
**個資防護第二部：紙本變電子檔，將機密文件本身加密
**完成了上述步驟，大家一定會想，若這些個資皆為紙本文件，我們該花多大的力氣來整理、歸類、建檔，還要指配一個信的過的管理者來監控這所有的文件。我們又如何能確保整頓好的個資不會被有心人偷走??
其實方法很簡單，將整理好，擁有個資的紙本文件、傳真全部掃瞄轉成電子檔(PDF)，加上公司浮水印，並將資料夾分級、分類並設金鑰密碼來管理。再將原有的紙本文件消毀，既可安全的存留這些個資文件，有不會暫用過多空間。
資安公司優碩科技表示:「輕量化的DRM(數位權利管理)搭配DLP（資料外洩防制)系統，能將電腦裡的個資資料以金鑰加密，能保護資料夾不被複製、修改，就算被駭客竊取。企業內部個資與機密檔案都需要先被盤點，確認範圍，才能對症下藥。可說是中小企業面對個資法的一帖良方。」
部份資料來源:
硬是要學:http://www.soft4fun.net/system-security/pdca-privacy-law.htm
