個人資料外洩

「個人資料外洩」根據歐盟《一般資料保護規則》（GDPR）第4條第12款的定義，是指因違反安全規定，導致所傳輸、儲存或以其他方式處理的個人資料遭到意外或非法毀損、遺失、竄改、未經授權揭露或存取。此概念在隱私資訊管理系統（PIMS, ISO/IEC 27701）中是核心風險事件，與一般資訊安全事件的關鍵區別在於其標的為「個人資料」，一旦發生，即觸發特定的法律義務。例如，台灣《個人資料保護法》第12條即規定，公務或非公務機關發生個資外洩事故時，應於查明後以適當方式通知當事人。因此，有效的個資外洩應變計畫是企業法遵與風險控管的關鍵支柱，旨在最小化對個人權利與自由的衝擊。

企業應對個人資料外洩的實務應用，通常遵循NIST SP 800-61等國際框架，建立結構化的應變計畫。第一步為「準備與預防」，導入ISO/IEC 27701隱私資訊管理系統（PIMS），進行風險評鑑與衝擊分析（PIA），並部署加密與存取控制等技術措施。第二步為「偵測與通報」，建立內部通報機制並利用SIEM等工具監控異常活動，確保能在第一時間發現潛在外洩事件。第三步為「應變與復原」，啟動應變小組，執行遏制、調查、損害評估，並依據GDPR或台灣個資法要求，在規定時限內（如GDPR的72小時）通報主管機關與當事人。例如，某台灣金融科技公司透過此流程，成功將一次資料庫攻擊的影響範圍縮小80%，並因應變透明、迅速，將客戶流失率控制在5%以下，展現了量化的風險管理效益。

台灣企業在應對個資外洩時，主要面臨三大挑戰。第一，「法規認知模糊」，對《個資法》第12條的「適當方式通知」與GDPR的72小時通報規定理解不清。對策是委請專業顧問進行法規鑑別與教育訓練，並建立標準化的通報決策流程。第二，「資源與技術限制」，中小企業普遍缺乏專職資安人力與高階監控工具。可採用託管式偵測與應變（MDR）服務，將資安監控委外，以較低成本獲取專業能力。第三，「應變演練不足」，僅有紙本計畫而無實際演練。解決方案是每年至少舉辦兩次桌面演練（Tabletop Exercise），模擬真實攻擊情境。優先行動項目應為：30天內完成個資盤點、60天內評估MDR服務、90天內完成首次演練，逐步強化應變韌性。