資訊與通訊技術

Information and Communication Technology（ICT）是指處理、傳輸及儲存資訊的技術集合，涵蓋電腦硬體、軟體、網路通訊設備及相關服務。根據ISO/IEC 27701:2019（個人資料保護管理系統）的定義，ICT是實現隱私設計（Privacy by Design）的技術工具。相較於傳統IT（資訊技術），ICT更強調「通訊」的整合性，包括雲端運算、行動通訊及IoT設備。在GDPR第32條「處理安全性」的框架下，ICT技術是企業履行技術性與組織性安全措施（Technical and Organizational Measures）的具體手段，其設計的完整性直接決定個人資料處理的風險等級。台灣個資法第27條亦要求企業採取適當之安全維護措施，而ICT的選型與配置是達成此法規義務的技術基礎。因此，ICT不只是工具，更是企業資訊安全管理（ISCO）的底層架構。

ICT在企業風險管理（ERM）中的應用可分為三個具體階段：第一步是資產盤點與分類，企業需透過ICT資產管理工具（如CMDB）識別所有處理個人資料的設備與資料流向；第二步是技術控制的部署，包括加密傳輸（TLS/SSL）、存取控制（RBAC）、資料防洩漏（DLP）及端點防護（EDR）等ICT工具的配置；第三步是持續監控與應變，利用SIEM（安全資訊暨事件管理）系統即時偵測異常活動。以台灣某電商企業為例，導入統一的雲端ICT安全配置後，其資料外洩事件發生率降低45%，GDPR合規審計通過率提升至85%。量化指標上，企業可追蹤「平均偵測時間（MTTD）」與「平均回應時間（MTTR）」，目標通常設定為MTTD低於2小時，MTTR低於4小時，以符合GDPR第33條的72小時通報要求。

台灣企業導入ICT安全技術面臨三大挑戰：首先是「技術債與遺留系統（Legacy Systems）」，許多製造業仍使用無法更新加密協議的舊型設備，建議採取「微隔離（Micro-segmentation）」技術進行風險隔離。其次是「人才缺口」，ICT安全技術更新速度遠超人才培育速度，企業應建立「技術合作夥伴生態系」，與專業資安廠商建立長期服務關係，而非單純採購。第三是「法規多重性」，台灣企業同時面臨台灣個資法、GDPR及ISO 27701等多重規範，建議採用「單一控制框架（Unified Control Framework）」設計，以一次性滿足多重法規要求。建議企業在導入初期設定90天為技術驗證期（PoC），優先聚焦高風險資料處理場域，逐步擴展至全組織，以確保投資報酬率（ROI）可量化可見。