資料外洩已成為主流資安事件，每次新出現的外洩事件似乎都比之前更嚴重。近期外洩事件的嚴重程度，讓資料保護成為近年來立法領域討論最多的話題，促成了各國的嚴格立法，例如歐盟的一般資料保護規則 ( General Data Protection Regulation ( GDPR) 以及世界各地，包括英國、美國、澳洲及中國。
這些事件的詳細資訊，向大眾展示了他們的個人資訊遭到使用或濫用的各種方式 – 用於分析、精準行銷、公然盜用身分等等。而大眾開始更加關注企業如何收集與保護他們的個人資料。光是去年一年，我們已經看到企業如何儲存資料儲存失當、缺乏適當更新的安全性，並且輕率處理存取權限，導致第三方得以不當使用資料。這個情況顯示，雖然大多數企業已經制訂並改善了資料收集與使用政策，但並未將資安納入考量。
企業資料安全狀況
越來越多的大規模隱私暴露事件以及後續引發的結果，促使企業增加了資安解決方案的開支。根據 Gartner的資料顯示，今年全球資安支出將達到 960 億美元；到了 2020 年，超過 60% 的企業將投資多種資料安全解決方案。調查受訪者表示，這些支出決策背後的主要推動力是資料外洩的風險。
但是部署尖端資安技術，只是周全有效的資料保護計畫中的一小部分。另一個重要部分是改變保障隱私做法的實際方法。涉及個人資料的任何計畫或專案，一開始就必須將隱私納入首要考量，而非將其視為附加功能。企業應該儘早在所有技術、流程及系統的設計階段納入隱私原則，這是一種主動而非被動的避險方法。
企業要如何進行改善？
組織需要採納隱私始於設計 (Privacy by Design) 的架構，在最初階段就對隱私及資料保護問題進行預測及因應。世界各地的主管機關已經體認到這種方法的優點，由近期如 GDPR 等法規的制訂可見一斑。遵循法規是朝著正確方向邁出的一步。遵循 GDPR 不僅是處理歐洲公民資料的必要要求，而遵守規則也為任何收集及處理個人資料的組織樹立了良好的典範。企業若希望將隱私全面整合至其基礎架構中，還應該注意由 GDPR 推動的重要資料隱私原則：資料最少化 (data minimization) 及匿名化 (pseudonymization)。
資料隱私從明確定義兩件事開始：要收集的個人資料類型，以及收集資料的用途。一些組織正在收集超出其真正需要的資料，並用於未明確告知使用者的用途。一種避免這種情況的方式，是資料最少化：僅向客戶收集需要的資料，用於使用者同意的用途，並遵循適當的資料保留政策，或在達成預期目的後刪除資料。
另一方面，匿名化資料能夠讓個人資料無法直接識別出特定人士。要將個人資料連結到特定某人的唯一方法，是將它與分開儲存及保護的其他資料組合在一起。這表示組織仍然可以處理個人資料並繼續為客戶提供服務，同時保護他們的隱私權。
這兩個原則都可以做為資料隱私措施實施，並在整個設計生命週期中指引決策。
貫徹「隱私始於設計」
為充分貫徹隱私始於設計的理念，首先企業應對他們正在收集的資料進行分類並繪製流程圖。這將有助於釐清脈絡，以便設計需要在組織內部建立的特定資安解決方案。企業在瞭解資料之後，應該在基礎架構的各層嵌入隱私控制，延伸到企業所使用的應用程式。
以下是維持組織及客戶資料安全的一些設計準則：
- 企業應對裝置及應用程式實施嚴格的身分驗證及授權機制，以驗證哪些人可以存取資料。這些領域的缺陷時常遭到駭客利用來竊取資料，甚至是存取應用程式的功能 (以繞過 PIN 碼、注入惡意程式碼及進行其他攻擊)。企業還應該實施嚴格的存取政策。例如，設定藉由虛擬私人網路 (VPN) 進行遠端存取、建立防火牆，並確保連接到應用程式的任何程式庫或資料庫安全無虞。
- 企業研發或開發營運 (DevOps) 團隊應該在其應用程式中建立分層隱私保護。各團隊應該改善加密機制，並保護應用程式的網路連線。部分應用程式還可藉由應用程式容器化而獲益，亦即在容器環境 (例如虛擬機器) 中開發應用程式。
[請參見：行動裝置應用程式安全性：開發人員須知]
- 隱私保護也應整合至雲端基礎架構中。根據 2017 年 LogicMonitor 調查顯示，到了 2020 年，83% 的企業工作負載將雲端化作業。對於企業轉換至雲端作業時建立實施新的隱私政策，這是一個很好的機會。正確設置伺服器將是第一步，因為許多資料外洩事件肇因於伺服器設置不當。限制存取權限並安裝適當的解決方案也很重要。企業應該擁有可保護其雲端服務的跨世代威脅防禦技術組合。分層安全應能防範網路及應用程式威脅、偵測惡意活動以及保護連網系統。
- 企業還應對其資料處理及收集進行隱私影響評估 (PIA)，評估可能有的隱私風險。評估潛在風險將有助於企業在發生資安事件之前制訂及設計相應的資安因應策略。
諸如雲端轉換計畫等新專案，為企業提供了利用正確工具將隱私、安全及自動化功能納入系統的機會。但企業中的每個人，從打造應用程式的開發營運團隊，到使用應用程式的行銷團隊，都應該留意並貫徹「隱私始於設計」的理念。投資於員工的教育及提高意識計畫，對組織至關重要。員工越能瞭解隱私的重要性，就越容易將其整合至自己的工作中。
當然，在實施新的資料隱私及保護政策時，每個組織都可能有一段初始調整期。必須升級裝置、安裝新軟體及採用安全流程等，所有重要及必要的步驟。大多數企業不僅需要進行這些改善以遵循 GDPR，也需要這些改善以保持領先地位，並為使用者提供他們期望及需要的隱私及安全。
瞭解趨勢科技如何幫助您實現更好的資料安全及遵循 GDPR。瞭解如何採取措施並確保您的端點、網路及雲端環境安全無虞。