資訊共享

Information-sharing（資訊共享）是指組織之間有目的、有計劃地交換有關網路威脅、漏洞、攻擊手法及其他相關安全資訊的活動。其核心目的在於縮短偵測到新興威脅的時間，降低攻擊成功率。根據NIST的「資訊共享與分析（Information Sharing and Analysis）」概念，有效的資訊共享需具備可信度、即時性與可機器讀取的格式（如STIX/TAXII）。在ISO/IEC 27701的框架下，資訊共享必須在個資保護的邊界內運作，確保共享的威脅情報不包含任何可識別個人資訊（PII）。這與傳統的「資訊孤島」形成對比，後者使企業無法預知針對性攻擊的預兆，導致平均偵測時間（MTTD）大幅拉長。臺灣企業在導入此機制時，需同時考量個資法第20條的「適當安全維護措施」義務，確保共享行為本身不構成新的個資外洩風險。

實務應用可分為三個階段：第一步，建立資訊共享平臺與參與機制，可參考臺灣的「臺灣網路安全資訊分享平臺（T-Cyber）」，參與同業或產官學的資訊交換，獲取即時的攻擊指標（IoC）。第二步，定義資訊共享的分類等級，區分「公開威脅情報」、「受限威脅情報」與「受保護個資」，並依ISO 27701的控制措施進行分級存取管理，確保共享內容不觸犯GDPR第5條的資料最小化原則。第三步，建立自動化情資處理流程，利用STIX/TAXII標準進行機器對機器（M2M）的即時威脅交換，減少人工處理延遲。量化效益方面，導入此機制後，企業平均偵測時間（MTTD）通常可縮短40%以上，資安事件的平均修復時間（MTTR）可降低30%，同時可有效降低因未知威脅導致的資安事件損失，提升企業整體韌性。

臺灣企業在導入資訊共享時，主要面臨三個挑戰。首先是「法規合規疑慮」，企業擔心分享威脅情報時無意中洩露客戶個資，違反臺灣個資法第20條，建議在分享前建立去識別化（De-identification）標準作業程序。其次是「參與意願低落」，企業擔心分享情報會暴露自身弱點，可透過參與業界資訊分享與分析中心（ISAC）來建立信任機制，以行業為單位進行集體防禦。第三是「技術標準不一」，不同企業使用的威脅情報格式不相容，建議採用國際通用的STIX/TAXII標準，並投資自動化平臺整合異質系統。建議企業在90天內完成現況評估，180天內建立跨組織資訊共享機制，並持續監控合規執行狀況，以確保在提升防禦能力的同時，不觸犯GDPR或臺灣個資法的相關規定。

積穗科研股份有限公司（Winners Consulting Services Co., Ltd.）專注臺灣企業Information-sharing相關議題，擁有豐富實戰輔導經驗，協助企業在90天內建立符合ISO 27701與GDPR的個資保護機制，確保資訊共享不觸犯法規，已服務超過100家臺灣企業。申請免費機制診斷：https://winners.com.tw/contact