個資法教戰守則 您不可不知的內稽內控

1. 個資法教戰守則您不可不知的內稽內控 TrustView產品經理 陳品翰

2. 課程大綱 • 公司簡介及成功案例介紹 • TrustViewCompliance with 個資法 • 法規面 • 個人資料生命週期 • 個人資料保護需求情境分析

3. TrustView簡介 • TrustView創立時間： • 2000年在台灣成立研發團隊 • 2007年1月於東京成立TrustView日本分公司 • 2009年7月於上海成立TrustView技術服務處 • TrustView專注在Enterprise-DRM領域的產品研發 • 已取得台灣、日本及中國9項DRM相關專利 • 美國專利目前正在申請中 • 同時取得3家國際原廠的產品研發Certified Partner Microsoft--Office PTC--Pro/E,Windchill Autodesk -- AutoCAD

4. 超過300家台灣及日本地區企業及政府機構使用TrustView DLP Solution 新竹科學園區參考客戶 聯發科 頎邦科技 南茂科技 智微科技 聯詠科技 采鈺科技 鈺創科技 凌通科技 世界先進 瑞昱半導體 友達光電 華邦電子

5. 超過300家台灣及日本地區企業及政府機構使用TrustView DLP Solution 台灣地區企業參考客戶 統一超商 三陽／現代汽車 華碩電腦 奇美電子 偉創立 宏達國際電子 台達電子 裕隆日產汽車 日月光 中華三菱汽車 台灣日立 台灣新力 新安東京海上 永信藥品 遠東紡織 永豐餘 德勝安聯

6. 政府機構使用TrustView DLP Solution

7. TrustView 進入日本市場 日本地區TrustView經銷通路 日本地區企業客戶採用TrustView進行情報漏洩管理

8. 課程大綱 • 公司簡介及成功案例介紹 • TrustViewCompliance with 個資法 • 法規面 • 個人資料生命週期 • 個人資料保護需求情境分析

9. 何謂個人資料保護法 民國84年 公告 電腦處理個人資料保護法 民國99年4月27日三讀通過個人資料保護法 目的： 為規範個人資料之蒐集、處理及利用，以避免人格權受侵害，並促進個人資料之合理利用，特制定本法。

10. 法規面(一) 第二十七條　非公務機關保有個人資料檔案者，應採行適當之安全措施，防止個人資料被竊取、竄改、毀損、滅失或洩漏。

11. 法規面(二) 第二十八條 公務機關違反本法規定，致個人資料遭不法蒐集、處理、利用或其他侵害當事人權利者，負損害賠償責任。但損害因天災、事變或其他不可抗力所致者，不在此限。

12. 法規面(三) 第二十九條 非公務機關違反本法規定，致個人資料遭不法蒐集、處理、利用或其他侵害當事人權利者，負損害賠償責任。但能證明其無故意或過失者，不在此限。

13. 個人資料保護生命週期（草案） PLAN 蒐集 刪除 銷燬 個人資料 記錄 輸入 編輯 更正 檢索 輸出 連結 複製 識別與鑑別 稽核 PKI ACTION 國際 傳輸 處理 DO 系統及通信保護 存取控制 個人資料 檔案 傳送 （流通） 儲存 doc Tape DB 利用 CHECK 資料來源：瑞百通首席顧問：鍾榮翰

14. 個人資料生命週期

15. 法規面及個資生命週期保護需求 技術面 防竊取 防竄改 防內文刪除 防洩漏 防檔案刪除 檔案銷毀機制 稽核

16. 現行機制不足之處 AP Server 無權限人員 合法權限人員

18. TrustView DRM 提供的保護 功能面 防竊取 (加密 + ACL) 防竄改 (DRM權限管控) 防內文刪除 (DRM權限管控) 防洩漏 (DRM權限管控) 防檔案刪除 (Backup) 檔案銷毀機制 (動態回收文件權限、有效時間) 稽核 (人、事、時、地、物)

19. TrustView 系統架構及運作流程 Database Client Agent Client Agent 文件管理者/政策制定者 -編輯文件 -制定文件 -加密 Account system 閱讀者 -文件解密 1.身份確認 2.下載金鑰(權限) 3.事件記錄 上傳使用政策 TrustView Server 儲存文件使用政策 文件可儲存在網站伺服器、檔案伺服器 、光碟、磁片，或者以e-mail方式傳送

20. 機密文件彈性權限的保護

21. 個資文件管控示意 企劃部門檔 企劃同仁 企劃部門人員 可修改 可列印 其他部門人員 唯讀 理專部門檔 理專同仁 可編輯 可列印 人事財務部門檔 如財報、薪資表 非人事財務部門人員 皆不可閱讀 Confidential Confidential 理財專員阿美(sa01) Confidential

22. DEMO

23. 我要如何知道使用者對這個文件做了哪些行為呢？我要如何知道使用者對這個文件做了哪些行為呢？

24. Auditing稽核 Access log 內容權限行為的log 管理行為的log

25. 個資保護需求情境分析 Internal Business Model User Process File (DRM Protect) Database to File (API) External Business Model Offline Process File (AAC and Offline Protect) File Exchange (File ExchangeProtect)

26. API整合 • 與個資處理系統緊密結合 • 使用TrustView API，達到加密、權限變更自動化 • 防護不間斷

27. 緊密結合 上傳 編輯 修正 公佈 修改 權限 加密 編輯 修正 上傳 公佈 加密 帳號整合 權限整合 流程整合

28. 緊密結合架構範例 Database AD 2.背景程式呼叫API對文件加密 TrustView Server 1.上傳機密文件 3.下載加密之機密文件，並受TrustView保護 APServer Author User

29. 個資保護需求情境分析 Internal Business Model User Process File (DRM Protect) Database to File (API) External Business Model Offline Process File (AAC and Offline Protect) File Exchange (File ExchangeProtect)

30. 理財專員因工作需求，須將客戶資料攜出公司，但又無法連線認證，這時要如何確保個資安全？理財專員因工作需求，須將客戶資料攜出公司，但又無法連線認證，這時要如何確保個資安全？

31. Offline Protect(借出)

32. (1) 鎖定特定電腦才能閱讀 Offline Protect (借出)

33. Offline Protect (借出) (2)強制設定有效閱讀期限 閱讀期限五天 借出第六天

34. Offline Protect (借出) 公司 複製………… 列印………… 修改………… 違規複製…… 複製………… 列印………… 修改………… 違規複製…… TrustView Server 離線

35. Author Auto Cipher選擇性作者自動加密 作者新檔創建 機密文件作者:自動加密 非機密文件作者:不自動加密 TrustView Server 理專人員 客戶資料處理 At same Time saving • 管理者設定加密保護功能，讓防制資料外洩機制延伸至個人電腦之端點防護

36. 個資保護需求情境分析 Internal Business Model User Process File (DRM Protect) Database to File (API) External Business Model Offline Process File (AAC and Offline Protect) File Exchange (File ExchangeProtect)

37. File Exchange Protect 帳號與硬體雙認證 ------ 確保機密文件不外洩。 延長離線授權 離線式安全防護 ------ 真正適用於網路實體隔絕的環境。 列印浮水印------ 保護文件紙本。 七道鎖防護加倍 ------ 鎖修改、鎖複製、鎖時間、鎖列印、鎖次數、鎖時段、鎖抓圖

38. 離線外發 – 權限設定

39. 離線外發 – 延展離線授權

40. 個人資料的防護機制-3A • 認證Authentication (Access Control) • 採用業界公認標準 RSA 256bit AES 加密保護文件 • 可結合 Microsoft AD、PKI、指紋辨識..等系統加強認證 • 授權Authorization • 複製、列印、修改 • 閱讀有效期間 • 防PrtScr、ScreenCapture • 鎖定在特定電腦才能閱讀 • 稽核Auditing • 從管理者到使用者、從連線到離線… 無一幸免均被log起來

41. TrustView 系統架構圖

42. Questions And Feedback

43. 謝謝指教