金融電子商務系統個資保護探討 Part 3

 

Q1：防止外部網路入侵對策該如何做？

A ：需針對外部攻擊，提供有效的網路安全並具備主動防禦入侵和網路可視性的能力，同時能辨識網路潛在漏洞，並確保我們的最敏感的個資受到安全保護。

 

Q2：非法或異常使用行為之監控與因應機制做法為何？

A ：防制非法或異常使用行為，在消極面應作完整作好所有使用行為的記錄，在積極面則應詳加規範各使用所能執行的命令範疇並強制執行。企業網路元件如伺服器、交換器、路由器及資安設備等皆有其存取密碼，造成使用者需同時記憶多個獨立密碼去存取不同設備，造成相當大的不便，且此一現象隨著設備數量的成長將更加日益惡化，所以許多企業已往單一帳號認證，一個帳號即可存取所管轄的網路元件，在方便存取的同時，對其操作過程皆應留下記錄以供日後存查。

 

Q3：如何定期演練及檢討改善？

A ：任何的資安措施皆需要隨時間作定期演練，因為資安威脅不斷推陳出新，今日的安全並不意味著明日的安全，唯有即時更新新的系統弱點特徵碼，並進行掃描，再以滲透測試的方式確認該弱點是否會造成危害，最後要將掃描的結果根據其輕重緩急讓客戶有條理地執行改善的工作。Rapid7可提供客戶弱掃管理與滲透測試之全方位資安健檢及改善依據。

金融電子商務系統個資保護探討

對於金融電子商務產業該如何因應個資法的要求,讓Richman來幫您一一解答:

[緣由]
主管機關:金融監督管理委員會
發布機關:金融監督管理委員會
發布日期:102.11.08
發布字號:金管法字第10200704150號 令
異動性質:訂定
施行狀態:自公（發）布日或溯及施行（實施）
主    旨:訂定「金融監督管理委員會指定非公務機關個人資料檔案安全維護辦法」。
法規名稱:金融監督管理委員會指定非公務機關個人資料檔案安全維護辦法 

[規範對象]
一、金融控股公司。
二、銀行業。
三、證券業。
四、期貨業。
五、保險業。
六、電子票證業。
七、其他經金融監督管理委員會（以下簡稱本會）公告之金融服務業。
八、本會主管之財團法人。

[第十條]
非公務機關提供電子商務服務系統，應採取下列資訊安全措施:
一、使用者身分確認及保護機制。
二、個人資料顯示之隱碼機制。
三、網際網路傳輸之安全加密機制。
四、應用系統於開發、上線、維護等各階段軟體驗證與確認程序。
五、個人資料檔案及資料庫之存取控制與保護監控措施。
六、防止外部網路入侵對策。
七、非法或異常使用行為之監控與因應機制。
前項所稱電子商務，係指透過網際網路進行有關商品或服務之廣告、行銷
、供應、訂購或遞送等各項商業交易活動。
第一項第六款、第七款所定措施，應定期演練及檢討改善。

Q1:關於使用者身分確認及保護機制該如何做呢?
A:企業員工在公司上班存取各項實體及虛擬設備有不同的識別方式，如AD帳號，Email帳號、門禁卡等等，要作好使用者身份確認需將以上各式識別資料作一關連，並記錄其所有操作過程，一旦建立此關連也可確保了識別資料組的完整及正確性，若日後有任何違反情事時，可立即告警。HP ArcSight IdentityView則是最佳的識別及記錄管理工具。

Q2:個人資料顯示之隱碼機制的解決方案為何?
A:個資的隱碼機制並不僅限於網站拜訪者，企業「DBA」與「AP 委外廠商/開發同仁」其實也是不需要看到「完整個資」就可完成其工作的，因此企業需要一個彈性的機制只讓該看的人看到完整資料，其它人員(即使是DBA)也不可以看見完整資料。可利用Informatica DDM來完成此一任務。

 

Q3:如何解決網際網路傳輸之安全加密機制?
A:為了解決網站HTTP 的網路安全，發展出許多加密、認證的機制。其中最常見的就是使用金鑰加密法的HTTP over SSL (Secure Socket Layer)，即為HTTPS，市場上的應用程式伺服系統大都內建此一功能。但對於企業員工在外(如在家)欲存取公司資源或是
分公司間則應使用SSL VPN機制，示意圖如下所示:

但VPN Server的解決方案，通常需要對網路規劃配置作一個新的調整。若要在不變更既有系統的情況下，則可使用以下Riverbed Steelhead方式解決。

 

新版個資法施行細則第十二條必要措施問題探討之二

Q1：如何作好資料安全管理及人員管理?

A：

(1) 資料定期備份

(2) 終端及伺服電腦皆需安裝防毒防駭軟體 – McAfee Total Protection for Endpoint

(3) 自動防止資料外洩機制 – McAfee Host/Network DLP

(4) 終端存取網路之管理 – ARPScanner

(5) 

• 實體機房存取控管
• 機房實體監錄
• 機房門禁
• 中央監控中心

(6) 檔案與硬碟加密 – McAfee Endpoint Encryption

(7) 

• 人員管理
• 單一識別碼
• 各項存取權限控管
• 實體通行證配發
• 桌面虛擬化(VDI)
• 螢幕保護程式
• 人不在座位桌面清空, 抽屜上鎖
• 所有電腦未使用之檔案一定要加密
• 針對上述部分定期抽檢
• 碎紙機與水消

Q2：如何作好認知宣導及教育訓練?

A：

定期舉辦個資法的認知宣導與教育訓練，同時需要留下會議及參與人員簽到記錄。

 

Q3：如何作好設備安全管理?

A：

應將機房環境盡其良善，建議以下各方面考量

•  門禁
•  機櫃上鎖
•  不斷電穩壓穩流
•  恆温恆溼
•  預防液體撥入
•  防火防震

Q4：如何作好資料安全稽核機制?

A：

(a) 權責分工：應將程式開發人員與系統維護人員分開以及資料庫與作業系統管理人員分開，各司所責，避免球員兼裁判。

(b) 作業系統存取稽核：建議可使用BeyondTrust Powerbroker Server進行作業系統特權的監視、稽核與控制。

(c) 資料庫存取稽核：建議可使用Chalet ADS/CSI進行作業資料庫存取的監視、稽核。

(d) 主機網路弱點稽核管理: 建議可使用McAfee Vulnerability Management進行稽核管理，並可檢視目前是否符合國際資安標準。

 

Q5：如何作好必要之使用紀錄、軌跡資料及證據之保存?

A：

(a) IP使用軌跡：建議可使用ARPScanner進行IP-MAC管理，同時可最全面的上線歷程資訊，包含

•  IP
•  MAC
•  電腦名稱
•  AD帳號
•  Switch Port
•  上線時間
•  離線時間
•  AD帳號整合資訊

(b) 資料庫使用軌跡：建議可使用Chalet ADS/CSI進行資料庫使用軌跡的記錄。

(c) 上網使用軌跡：建議可使用McAfee Web Gateway記錄上網使用的軌跡，同時也能避免上網時的各項安全危險。

(d) Mail使用軌跡：建議可使用McAfee eMail Gateway記錄Mail使用的軌跡，同時也能防止垃圾郵件的侵襲及機密資料經由mail外洩。

(e) 網路資安設備整合記錄：建議可使用Sawmill記錄各項網路資安設備的軌跡日誌檔，可讓管理者輕輕鬆鬆藉由一個終端就能掌握全貌。

 

Q6：如何作好個人資料安全維護之整體持續改善?

A：

(a) 建議遵循專案管理PDCA的原則持續進行

 

 

 

(b) 建議可使用McAfee Vulnerability Management以客觀自動的方式對系統弱點作定期的掃描及持續的追踪。

 

[結語]

•  個資保護工作進行需持續非一時
•  個資保護的達成是相對而非絶對
•  没有百分百的資訊安全
•  唯有貫徹個資保護政策的執行與稽核
•  Proactive & Reactive同樣重要

 

新版個資法施行細則第十二條必要措施問題探討

Q1：如何配置管理之人員及相當資源?

A：

可依所須支出之費用與所欲達成之個人資料保護目的符合適當例者為考量，建議架構如下:

Q2：如何界定個人資料之範圍?

A：

除了公司以會議檢核個人資料所保存地點與設備外，建議可使用McAfee DLP-Discovery自動化方式自動搜尋整個網路各主機(File Server / Database / Desktop / Storage / Mail Archive)是否仍有漏網之魚，以確保個資盤點之完整性。

Q3：如何作好個人資料之風險評估及管理機制?

A：

應先進行目前公司既有IT作業流程與因應個資法之保護政策作一差異化比較, 如下圖所示:

建議同時可利用客觀自動化工具McAfee Vulnerability Management協助自動找出網路及系統是否仍存有弱點待補強。

Q4：如何作好事故之預防、通報及應變機制?

A：

(a) 預防

建議可考量以下的資安設備作自動降低個資被竊之危險

1) 資料防止外洩- McAfee Host/Network DLP

2) 終端全方位防護 – McAfee Total Protection for Endpoint

3) 弱點管理系統 – McAfee Vulnerability Management

4) 統一日誌管埋系統 – Sawmill

5) 上網側錄系統 – AboCom Content Recorder

6) 統一型威脅防護 – Fortinet Fortigate

7) 入侵防禦 – McAfee IPS(NSP)

8) 網頁應用程式防火牆 – TrustWave WAF

9) 資料庫存取稽核管理 – Chalet ADS/CSI

10) IP-MAC管理系統 - ARPScanner

11) 作業系統特權稽核管理 – BeyondTrust Powerbroker Server

12) 行動裝置資安管理 – McAfee Enterprise Mobility Management

(b) 通報

對於個資外洩事故的客戶通報，可以用書面、電話、傳真、電子文件或其他適當方式為之，但建議對系統本身的重要資安事件應用自動化方式以email/簡訊/電話主動告知。

(c) 應變

屬企業自行規劃範圍，從個資外洩事件發生後的應變到最後通報當事人的流程，都必須清楚規定。同時建議應該要定期演練及作好如何備妥進行數位證據鑑識相闗程序。

Q5：如何作好個人資料蒐集、處理及利用之內部管理程序?

A：

公司應進行相關程序書的撰寫，建議以以下原則為基礎:

•  公平及合法的處理
•  個資的具體用途
•  確保個資的正確性
•  確保個資完整性準確性
•  當事者的權利

產出的對應的文件類別建議如下:

•  控制措施
•  儲存與處理程序
•  個資傳輸處理程序
•  存取控制程序
•  建立安全評估程序
•  營運相關
•  個資保護事件管理
•  矯正方案程序
•  預防方案程序
•  其它
•  稽核計劃程序
•  文件控制程序
•  記錄控制程序
•  程序和技術的維護