資料外洩嚴重性指數

資料外洩嚴重性指數（Data Breach Severity Index, DBSI）是一個結構化的評分機制，旨在量化評估個資外洩事件對個人權益與企業營運的衝擊程度。此概念雖源於學術研究，但其精神已是法規遵循的核心。其核心是依據預設的參數，對已發生的外洩事件進行評分，參數通常包括：(1)外洩資料的類型與敏感度（如財務、醫療健康資訊）；(2)受影響的資料主體數量；(3)資料是否加密或匿名化；(4)對個人可能造成的損害（如身份盜用、財務損失）。在風險管理體系中，DBSI是事件應變（Incident Response）的關鍵工具，直接影響後續決策。例如，歐盟GDPR第33條要求，除非事件「不可能對自然人之權利與自由造成風險」，否則應在72小時內通報主管機關。DBSI提供了判斷此風險等級的客觀依據，與事前預測風險的「風險評鑑（Risk Assessment）」不同，DBSI專注於評估已發生事件的實際衝擊。

企業應用資料外洩嚴重性指數（DBSI）可將事件應變流程標準化，確保決策一致性與合規性。導入步驟如下：第一步「框架建立」：依據GDPR、台灣個資法及NIST SP 800-61等指引，定義企業專屬的嚴重性評分標準。例如，將外洩資料分為四級（公開、內部、機密、極機密），並為影響人數設定不同級距的權重，最終產出分級（如：低、中、高、嚴重）對應的應變行動劇本。第二步「事件評分」：當資安事件觸發時，事件應變小組（CSIRT）立即使用此框架進行評分，將事件的客觀事實（如外洩筆數、資料類型）輸入評分卡，迅速產出嚴重性等級。第三步「分級應變」：「嚴重」等級事件可能自動觸發72小時內通報主管機關、通知所有受害者、啟動公關危機處理等最高級別應變程序；而「低」等級事件則可能僅需內部記錄與技術補強。透過此機制，某跨國電商能將判斷通報義務的時間從數小時縮短至30分鐘內，確保每次決策都有跡可循，大幅提升對GDPR的合規率與審計通過率。

台灣企業導入DBSI主要面臨三大挑戰。首先，「法規指引模糊」：相較於GDPR對風險等級有較多詮釋，台灣《個人資料保護法》第12條僅要求「查明後通知當事人」，缺乏具體嚴重性標尺，使企業難以建立具法律防禦性的判斷標準。對策是參考歐盟ENISA的嚴重性評估方法學，將其在地化並建立內部文件化的決策流程，以證明已盡善良管理人注意義務。其次，「資料盤點與分類不實」：許多企業未落實資料資產盤點與分類，無法在事件發生時快速判斷外洩資料的敏感度與價值，導致評分失準。解決方案是導入資料治理框架，從關鍵業務系統著手，優先完成核心個資的分類與標記，此為ISO/IEC 27701隱私資訊管理系統的基礎。最後，「跨部門協作困難」：DBSI的評估需結合法務、IT、公關與業務單位，但部門間常有溝通壁壘。對策是成立跨功能的事件應變委員會，定期舉辦桌面演練，模擬不同嚴重等級的事件，藉此磨合協作默契與流程。建議企業以90天為期，優先針對最關鍵的個資處理活動導入DBSI試行。