【私隱專員公署警示】八宗資料外洩事故：企業如何建立三層防線保障私隱資料？

三大核心問題 — 你準備好應對嗎？

最近公布的香港八宗資料外泄事故，其實揭示了企業最常忽略的三個關鍵問題，簡單來說，就是 "設計錯"、"執行差"、"技術疏"。

問題一：設計有漏洞

很多公司在設計系統或流程時，沒有考慮到資料會被誰看到、應該怎樣保護，結果在一開始就埋下風險。

1. 化驗中心例子：  醫生檢查後沒有登出系統，病人獨自在房內時可以看到其他人的姓名和病歷，這就是設計時沒考慮"最少資料原則"。
2. 網上表格例子：表格預設可以查看其他人填的資料，填表人無意間就能看到姓名、電話、電郵，因為功能設計沒有"安全優先"。

總結：一開始就沒有想清楚怎樣防止資料外泄，屬於"源頭有錯"。

问题 2：執行做得差

有些公司有規定、有流程，但員工沒跟足做，或根本沒有好好培訓和恆常監督，結果制度淪為擺設。

1. 零售商例子：  員工發送電郵時，把所有會員電郵地址放在「收件人」欄，變相公開了大家的電郵。
2. 保安員例子： 在處理投訴時，把住戶電話給了其他人，沒有經過批准，直接違反私隱。
3. 政府部門例子： 摺信方法錯誤，身份證號碼剛好露出信封窗口，變成公開資料。

總結： 有規矩但沒落實，或者培訓和監管不到位，結果還是出錯。

問題三：技術把關不足

很多公司以為技術最安全，但其實沒有用"攻擊者"角度測試，就會有盲點。

1. 航空公司例子：  系統更新時，程式處理錯誤，會員登入時誤進入其他人帳戶，看得到完整資料。

總結： 技術上對程式沒有進行全面測試或更新時沒仔細檢測，就可能會留下漏洞。

缺乏流程与管理制度的代价

根據《個人資料（私隱）條例》，如機構未有采取一切切實可行的步驟保障個人資料，將會違反第4(1)原則，可被罰款最高港幣 100 萬，並可能需向受影響人士支付賠償。若企業涉及跨境業務，更可能因違反 GDPR 而面臨全球營收 4% 的巨額罰款。

這八宗事故中，幾乎每宗都源於流程或管理漏洞：

從醫生未註銷而泄露患者記錄，到信件折疊不當而泄露身份證號碼，再到零售商濫用電子郵件字段而泄露成千上萬封客戶郵件。

這些表面看似"小錯誤"，但最終可能導致極為嚴重的後果：

1. 高額罰款及法律風險 — 不僅涉及金額，還會影響供應鏈資格、保險承保及未來合作機會。
2. 品牌信任瞬間崩潰 — 一次事故足以摧毀多年積累的品牌聲譽。
3. 客戶及合作夥伴流失 — 越來越多國際供應鏈對合規要求嚴格，數據事故會直接導致合作中斷。
4. 隱性成本更龐大 — 包括緊急公關處理、法律顧問費用、客戶賠償、IT 系統重建等，通常比預防成本高出數十倍。

流程與製度的投入，實際上是一種"風險保險"。事故發生後的真實代價，遠比事前防護投入貴上百倍。

"技術是最後一道鎖，流程與製度就是那把關鍵的鑰匙。"。

三層防線，全面守住信任

【第一層防線】：私隱影響評估 (PIA)

大部分數據外泄事故並非黑客攻擊，而是源於流程設計中的盲點，例如錯誤的權限設置或資料共享方式不當。

私隱影響評估 就像"預防性手術"，在產品、服務或流程更新前，從資料收集、存儲、傳輸到刪除等各個環節，全面找出潛在風險。

1. 提前提出針對性改善方案
2. 減少因流程疏忽引發的法律及品牌風險
3. 確保全流程符合監管及最佳實踐要求

PIA 這不是一次性的檢查，而是企業在法律、運營及信任層面的"基礎保險"。

【第二層防線】：ISO 27001 — 從製度到習慣的安全文化

很多公司都有安全政策或守則，但真正的挑戰是：員工會否自發執行？

ISO 27001 不只是製定一份文件，而是要求建立持續改進（PDCA 循環）及風險導向的管理體系，讓「安全」真正變成員工每天自覺遵循的習慣。

舉例說明：

1. 中央式部署屏幕鎖定策略；
2. 在系統設計中，在向大眾收件人發送電子郵件之前，強製批準電子郵件；
3. 定期進行內部合規監控和審核；
4. 事件響應程序；
5. 定期的意識培訓；
6. 定期評估資訊安全管理系統的有效性。

當安全成為一種“文化習慣”時，才能真正防止因因人為錯誤或疏忽而導致的數據事故。

這也是品牌聲譽、供應鏈信任及合規審核的基礎。

【第三層防線】：渗透测试（Pen Test）

滲透測試 是用“攻擊者視角”模擬真實入侵，主動尋找系統和應用程序中的潛在漏洞。

1. 識別授權缺陷、加密薄弱、驗證不當等問題；
2. 提供包含風險點和具體修復步驟的詳細報告；
3. 在實際攻擊發生之前，幫助修復 "隱形 "技術弱點；
4. 新應用程序的源代碼審查。

這道技術防線完善了安全循環，對於整體數據保護戰略至關重要。

結語

數據安全不僅僅是合規要求，更是企業對客戶、合作夥伴及社會的一份長期承諾。

DQS HK 的相关服务

• 隐私影响评估 (PIA)
• ISO 27001 认证
• 渗透测试
• 資訊安全事故响应
• 安全意识培训