個人資料侵害事故

「個人資料侵害事故」源自歐盟《一般資料保護規則》（GDPR）第4條第12款的明確定義，指「違反安全規定，導致傳輸、儲存或以其他方式處理之個人資料遭到意外或非法毀損、遺失、竄改、未經授權揭露或存取」。此定義不僅涵蓋資料外洩（機密性破壞），也包含資料毀損（完整性破壞）與無法存取（可用性破壞）。在風險管理體系中，它是一種具有高度法律意涵的資安事件。依據ISO/IEC 27701第6.13節要求，組織必須建立專門的管理流程來應對。相較於一般資安事件，個人資料侵害事故會直接觸發台灣《個人資料保護法》第12條的通知義務，以及GDPR第33條對監管機關與第34條對當事人的通報要求，法律後果更為嚴重。

企業應對個人資料侵害事故，需整合進整體風險管理框架，並依循NIST SP 800-61或ISO/IEC 27035的指導原則。實務導入步驟如下：第一步「準備與預防」，建立由法務、資安、公關組成的跨部門應變小組，並制定詳盡的應變計畫書，每年至少演練一次。第二步「偵測與通報」，部署入侵偵測系統（IDS）與安全資訊與事件管理（SIEM）平台，確保能在第一時間發現異常並依內部流程通報。第三步「圍堵與復原」，立即隔離受駭系統，清除威脅，並從備份中恢復資料與服務。第四步「事後分析與法定通報」，完成根本原因分析，並依GDPR規定於72小時內通報主管機關。台灣某大型電商平台曾因未落實此流程，導致客戶資料外洩而遭主管機關裁罰，凸顯了實踐此流程的重要性。有效執行可將監管罰款風險降低90%以上，並縮短事故應變時間。

台灣企業在應對個人資料侵害事故時，主要面臨三大挑戰。第一，「法規認知模糊」，對台灣《個資法》第12條「查明後通知」的時點判斷，以及GDPR的72小時通報義務常感困惑。第二，「中小企業資源有限」，缺乏專職資安團隊與導入SIEM等事件監控系統的預算。第三，「跨部門協作不彰」，IT、法務、公關各自為政，無法形成統一的應變指揮鏈。為克服這些挑戰，建議對策如下：針對法規模糊，應委請專業顧問建立內部通報決策樹，並對關鍵人員進行年度培訓。針對資源不足，可採用託管式安全服務（MSSP），將偵測與應變委外，以較低成本獲取專業能力。針對協作問題，應成立由副總級以上主管領導的「資料侵害應變委員會」，明確定義各部門職責，並透過年度桌面演練來磨合流程。優先行動項目為在三個月內完成委員會的建立與首次演練。