個人資料與設備之安全管理除了仰賴各種軟硬體工具協助外，最重要的是人員的安全管理。所謂『人員安全管理』是要求人員該如何合法合理接觸個人資料檔案，因為個人資料檔案安全的最大威脅如同機關之各種機敏性資料，『人』才是會讓個人資料檔案陷於危險之最關鍵因素。
此處所提及之人員區分為：
1 組織員工
8 聘僱前：相關背景查核
8 聘僱中
8 解除聘僱關係或職務異動
2 非組織員工
聘僱中人員安全管理
1 員工報到時簽署個人資料相關保密協定：
1.1 員工報到時，需簽署『公司業務暨個人資料保密協定』。需保密者如下：
1.1.1所接觸之個人資料內容
1.1.2所接觸與個人資料相關資訊系統之存取帳號以及通行證件
1.1.3相關個人資料保護機制之資訊或實體架構
2 員工職務說明書：
2.1 組織需以書面方式明定個人資料管理制度之相關人員之職務、職掌、選任方式、責任層級及權限內容，並向組織內部公開周知
3 各類個資相關之宣導與教育訓練（應視職務內容而有所需別）：
3.1 定期/不定期對組織內部員工進行個人資料保護之宣導與教育訓練
3.2 禁止員工在公開媒體洩露公司之個人資料
3.3 一般同仁離開位置：
3.3.1需將桌面上之機敏性紙本資料上鎖
3.3.2需將電腦關機或登出
4 權限管制：
4.1 對所有保管個人資料、管理個人資料儲存媒體、以及可以存取個人資料之人員進行必要之權限管理
4.2 針對這些相關之人員設定權限控管，依照其職務的角色、內容等，來設定系統存取權限，並且簽署保密協定，以確實擔負起保密義務
4.3 對於個人資料之存取活動需有記錄以及需指定人員進行稽核
4.4 所有可接觸機敏性個人資料之人員，外寄電子郵件需經過部級以上主管簽核
4.5 資訊單位建立電子郵件關鍵字過濾機制，以攔截可能之資料外洩
4.6 人員接觸個人資料時：
4.6.1進出儲存個資之實體空間時，需有門禁管制
4.6.2人員進出管制區域時，需確實進行身份驗證，不可尾隨其他人進出
4.6.3人員進出管制區域時，需確實留下進出記錄
4.6.4存取資訊系統上之個資時，需有存取軌跡可供事後稽核
4.7 負有管理個人資料之人員或能接觸個人資料相關資訊系統或儲存媒體者，需配置一員以上，以確保人員異動時，原保護機制能持續運作。
4.8 對於管理資訊系統且有機會接觸到個人資料者，需建置監控工具，記錄所有存取個人資料之活動軌跡，包括直接存取資料庫
4.9 對於保存個人資料之實體環境應設置監視系統，記錄所有人員之進出以及活動情況
4.10 員工需確實保管公司所提供之資訊系統帳號與密碼、各類通行證件，嚴禁借用予他人
4.11 各類權限之授予以最小且滿足業務所需為限
4.12 禁止開放公用帳號以及公用通行證件
4.13 人員進出管制區域之控管機制：以職務所需之最小權限為原則
4.14 禁止使用電腦畫面擷取程式
4.15 管制具攝影或照相功能之設備攜入辦公室，尤其是業務內中可以接觸機敏性個人資料者
4.16 存有機敏性個人資料之資訊系統需啟用存取記錄功能，對各類管理帳號之存取尤需記錄，並禁止任何之修改與刪除舉動
5 各類可透過人員使用而外洩之資訊管道與工具之管制（IM, E-Mail, …）：
5.1 在公司內部禁用IM工具
5.2 在公司內部禁用外部E-Mail
5.3 在公司內部禁用網路網路所提供之網路硬碟
6 其他員工必須遵守之規範：
6.1 所有人員需配帶可識別身份之證件，如為外來人員，需配帶訪客證
6.2 有接觸機敏性資料者，需小心因社交工程之不慎而洩露機密
6.3 不隨意開啟或執行來歷不明之網站或電腦程式
6.4 妥善保管組織所配予之資訊設備
解除聘僱關係或職務異動後之人員安全管理
1 人員職務異動時，關閉原先所有該人員使用之各類權限以及通行證件
2 人員離職時，需關閉其所有資訊系統或接觸個人資料媒體之權限
3 處理個人資料檔案之人員職務異動或離職時，需依規定列冊移交相關儲存媒體及資料
4 處理個人資料檔案之人員職務異動或離職時，接替人員需於相關系統重置通行碼，並視需要更換使用者識別帳號
5 在人員提出辭呈至離職這段時間之管控機制
6 人員異動或離職前之職務內容交接
7 人員異動或離職前之帳號密碼重新設定
8 在人員提出辭呈至離職這段時間之行為查核
9 負責個資檔案員工離職時，應稽核並確認其是否有異常之個資接觸記錄（資料安全稽核機制、稽核記錄設備、資料庫、防火牆）。
留言列表
