香港私隱專員揭露8件重大資料外洩事件：企業如何建構強大的隱私防禦體系？

三大核心問題──你準備好了嗎？

香港最近發生的事件揭示了企業經常忽略的三個關鍵問題：設計缺陷、執行不力、技術保障措施薄弱。

問題一：系統設計缺陷

許多公司在設計系統或工作流程時，沒有考慮誰可以存取數據或如何保護數據，從一開始就埋下了風險。

1. 測試中心範例：一名醫生在使用系統後忘記關閉，導致房間裡的病人可以看到其他病人的姓名和醫療記錄——這明顯違反了「最小必要」資料原則。
2. 線上表單範例: 設計了一個表單，讓用戶可以看到其他人提交的數據，無意中洩露了姓名、電話號碼和電子郵件——因為「安全設計」從未被優先考慮。

概括如果從一開始就沒有嵌入隱私保護措施，安全漏洞就會在源頭產生。

問題二：執行不力

有些公司製定了政策和程序，但員工未能遵守，或訓練不足，導致安全措施淪為形式主義。

1. 零售商範例：一名員工發送了一封群發郵件，郵件「收件者」欄位中列出了所有收件者的地址，導致所有人都能看到這些地址。
2. 保全人員範例：未經授權將住戶的電話號碼分享給第三方，直接違反了隱私權規定。
3. 政府部門範例：一封信折疊錯誤，透過信封視窗可以看到上面的身分證號碼。

概括：政策若缺乏適當的執行或培訓，仍會導致嚴重的錯誤。

問題三：技術保障措施不足

許多公司認為科技本身是安全的。然而，如果不從攻擊者的角度進行測試，漏洞往往會被忽略。

1. 航空公司範例：系統更新錯誤導致部分成員意外登入其他使用者的帳戶並查看其個人資料。

概括：如果沒有徹底的測試和謹慎的更新，關鍵的技術漏洞仍然存在。

流程與控制缺失的代價

根據香港《個人資料（私隱）條例》，未能採取一切切實可行的措施保護個人資料，可能構成違反第4(1)條原則，最高可被處以100萬港元的罰款，並可能向受影響的個人支付賠償。

對於在國際上營運的公司而言，不遵守 GDPR 也可能引發嚴重的處罰——最高可達全球年收入的 4%。

在這八起案例中，幾乎每起違規事件都是由程序或管理上的疏忽造成的：

從醫生未登出導致病人記錄洩露，到信件折疊不當導致身份證號碼洩露，再到零售商濫用電子郵件字段導致數千名顧客的電子郵件洩露。

雖然這些看似是“小錯誤”，但後果可能是災難性的：

1. 巨額罰款和法律風險— 不僅會受到金錢處罰，還會影響供應鏈資格、保險範圍和未來的商業機會。
2. 品牌信任瞬間崩塌一次事件就可能毀掉多年的品牌建設。
3. 客戶和合作夥伴流失—日益嚴格的全球供應鏈合規要求意味著資料外洩可能直接導致合作關係終止。
4. 巨大的隱性成本— 包括危機公關、法律諮詢、客戶賠償和系統重建，這些費用往往比預防措施高出數倍。

投資於流程和系統本質上就是一種「風險保險」。資料外洩的實際成本遠遠超過主動預防措施的成本百倍。

“技術或許是最後的鎖，但流程和管理才是萬能鑰匙。”

守護信任的三道防線

第一道防線：隱私影響評估（PIA）

大多數資料外洩並非由駭客造成，而是由被忽視的流程設計缺陷造成的，例如不正確的權限設定或粗心的資料共享。

風險影響評估 (PIA) 就像“預防性手術”，在推出新產品、服務或工作流程之前，系統地識別每個階段（從資料收集到儲存、傳輸和刪除）的潛在風險。

1. 提前製定有針對性的改進計劃
2. 降低因流程監管不力而造成的法律和聲譽風險
3. 確保全面遵守法規和最佳實踐

PIA 不是一次性的勾選框操作，而是一項基礎性的“保險”，涵蓋法律、營運和信任方面。

第二排：ISO 27001－將安全融入文化

許多組織都有紙面上的安全策略，但真正的挑戰在於員工是否能將其內化並每天付諸行動。

ISO 27001 不僅僅是建立文件；它要求建立一個基於風險的管理體系，並不斷改進（PDCA 循環），將「安全」轉變為一種根深蒂固的習慣。

例如：

1. 螢幕鎖定策略的集中部署。
2. 系統設計中規定，向大量收件者發送電子郵件之前必須經過強制審批。
3. 定期進行內部合規性監控和稽核。
4. 事件響應程序。
5. 定期開展意識培訓。
6. 定期評估資訊安全管理系統的有效性。

當安全意識成為一種本能反應時，因人為錯誤或疏忽而導致的資料外洩風險將大大降低。這構成了品牌聲譽、供應鏈信任和合規準備的基石。

第三道防線：滲透測試（滲透測試）

滲透測試採用攻擊者的思維方式來模擬真實世界的攻擊，主動發現 IT 系統和應用程式中隱藏的漏洞。

1. 識別授權缺陷、加密強度不足、驗證不當等問題。
2. 提交包含風險點和具體補救措施的詳細報告。
3. 在實際攻擊發生之前，先幫助修復「隱形」的技術漏洞。
4. 對新應用程式進行原始程式碼審查。

這項技術防線完善了安全閉環，對於全面的資料保護策略至關重要。

結論

資料安全不僅僅是合規性檢查——它是對您的組織、客戶、合作夥伴和整個社會的長期承諾。

DQS HK 的關聯服務

• 隱私影響評估 (PIA)
• ISO 27001認證
• 滲透測試
• 安全事件回應 (IR)
• 安全意識培訓