動作

PerInfoSecurity

出自 Itsmw

大成國小103學年度資安研習講義

http://myip.tw/itsmw/images/8/83/Dces-infocomm-security.pdf

個資法VS資安-前言

 本文除了簡介一般人日常生活中容易遇到的資通訊風險暨及預防策略外,也對101年10月1日實施的個資法對教學行政上衝擊做一些簡單的分析與淺要介紹,希望對大家有所幫助。

 在現在這個雲端的時代,人手一機已是常態,而豐富的資訊,也經由通訊科技,讓我們隨手可得。但在這「方便」的面貌之下,到底伴隨了那些風險,「個人資訊的安全」是否獲得了保障?這是本文想到探討的問題之一。另外,在個資法的強烈要求下,我們在執行教學或行政工作時,有那些事情,是格外要去注意與小心。



機關內部資安通報流程圖

學校資安通報流程.png



個資保護法

 個人資料保護法,已於 2012 年 10 月 1 日公告實施,簡單來說它是指任何個人或團體不得任意外洩「可識別出他人的任何資料給其他第三者」的一個法律條文。在此法的規範之下,除了平時要注意不要隨意吐露別人個資外,在處理公務時,也要多一分注意,以避免因不小心外洩而受罰。



概要

法律簡介

 簡單講,任何機關個人不可以有意或無意的公佈或外洩他人姓名、地址...等資料。若有了此類行為,造成別人權益受損,會被求償。公務機關先依國賠法賠償受害者的損失,然後再向失職的公務人員求償。公務機關故意行為者必加重其型,無故意行為者,須舉證已善盡管理之責,否則亦須負賠償之責。


問心無愧即可 ← 之前  個資法101/10/01實施  之後 → 不小心就可能被告



個資法條文



什麼是「個資」

  • 廣義:得以直接或間接方式識別該個人之資料,例如:姓名、生日、身份證號等,無論是紙本或電腦處理皆算。
  • 個資分類:
    • 一般個資:指自然人之姓名、出生年月日、國民身分證統一編號、護照號碼、特徵、指紋、婚姻、家庭、教育、職業、病歷、聯絡方式、財務情況、社會活動。
    • 特殊個資:醫療、基因、性生活、健康檢查及犯罪前科。
    • 其他:其他得以直接或間接方式識別該個人之資料。


PInfo Define.png
註:自然人是指目前還活著的人



個資生命歷程

 個資法條文幾十條,綜合起來說,就是在規範個資的「蒐集、處理、利用、傳輸、保存及期限後的銷毀,以避免自然人的人格權受到侵害。另外,也提到「若不小心外洩時」要有那些積極作為。

Pinfo lifecycle.png




公務機構在個資生命歷程各階段應負責任

蒐集注意事項

 依下面第16及第6條等規定,學校若因辦理全市性或社區活動等,而必須收集非本校合法擁有之個資時,蒐集個資的網頁或紙本, 一定要告知「公務機關名稱」、「用途」及「使用地區及期限」(第8條),在經「當事人同意後」或「因執行法定職務必要範圍」的情況下,始得收集(第15條)。若無法源證明機構可以永久保留個資的話,應訂定保留期限,並於事後把銷毀過存證。
 在行政實務上:大型活動的簡章、報名表或保密協定之類文件,就算符合教育目的具合法性,但最好還是載明上文所述的幾項要求,並加註本活動將會公開的個資項目。例如:「基於鼓勵原則,本比賽獲佳作以上的學生,將會在 XXX 網頁公告校名及學生姓名」。

  • 第16條
    公務機關對個人資料之利用,除第六條第一項所規定資料外,應於執行法定職務必要範圍內為之,並與蒐集之特定目的相符。但有下列情形之一者,得為特定目的外之利用:
    一、法律明文規定。
    二、為維護國家安全或增進公共利益。
    三、為免除當事人之生命、身體、自由或財產上之危險。
    四、為防止他人權益之重大危害。
    五、公務機關或學術研究機構基於公共利益為統計或學術研究而有必要,且資料經過提供者處理後或蒐集者依其揭露方式無從識別特定之當事人。
    六、有利於當事人權益。
    七、經當事人書面同意。
  • 第 6 條
    有關醫療、基因、性生活、健康檢查及犯罪前科之個人資料,不得蒐集、處理或利用。但有下列情形之一者,不在此限:
    一、法律明文規定。
    二、公務機關執行法定職務或非公務機關履行法定義務所必要,且有適當安全維護措施。
    三、當事人自行公開或其他已合法公開之個人資料。
    四、公務機關或學術研究機構基於醫療、衛生或犯罪預防之目的,為統計或學術研究而有必要,且經一定程序所為蒐集、處理或利用之個人資料。
    前項第四款個人資料蒐集、處理或利用之範圍、程序及其他應遵行事項之辦法,由中央目的事業主管機關會同法務部定之。
  • 施行細則第4條,部份內容
    本法第二條第一款所稱性生活之個人資料,指性取向或性慣行之個人資料。



處理、利用時須注意的地方

行政作業上應注意事項

 除了上面所述,以下幾點也是學校機構必須依法執行的項目:

  1. 請學校行政人員,就各自業務進行全面性,含電腦處理暨紙本的個資清查,並建立個資保護區(第17條)
    公務機關必須將個人資料檔案名稱、保有機關名稱及聯絡方式、個資保有依據、特定目的及其類別公佈在電腦網站。
    • 紙本可能有:臨時員工報名資料、畢業紀念冊、過期紙本公文、學生各項紙本資料、各活動報名資料、學生健康資料及保險名冊等。
    • 電腦處理可能有:教職員工人事薪資等線上系統、學生學籍/成績處理、學生疾病通報、公文處理...等。
  2. 責成個資保護人員(第18條)
    學校必須找一位具相關專業知識的人員,辦理安全維護事項。
  3. 公務機關保有個人資料檔案者,應訂定個人資料安全維護規定。(細則第24條)
    把清查出後需保留(永久或仍在保留期限內)的個資,請各主官管擬定保護方式,最後在學校資安會議檢討做成學校資安管理文件。無法源依據,要立即銷毀,並拍照或錄影存證。不清楚是否可以永久保留的項目,可以向教育局各相關主管機構詢問,由教育局做成統一解釋再予以後續處理。
  4. 非相關人士,不得給予個資存取權限。
    例:沒兼相關行政職的同事,就沒權力瀏覽全校學生健康或學藉資料。
  5. 個資調閱申請單
    其他行政機構在合法要求下,向學校徵求學生個資時,必須填具相關申請表單。



資訊處理作業時應注意事項

  • 妥善管理各系統之帳號密碼,注意社交工程手法,當有人問密碼,必須確認當事者之身份是否正確無誤。
  • 學校含敏感性資訊的伺服器,要有 log 各項存取記錄的功能。
  • 除非是當事人同意,自行寫上,不然不可把個人資料(電話地址),直接放在桌面、牆面、門口、黑板上等明顯處
  • 密碼不可在便利貼在附近。
  • 人離開電腦要鎖定螢幕或登出。
  • 人離開桌面,敏感性紙本要先收好,不可隨便置於桌面。
  • 密碼不可太過簡單,最好有多組輪流定期更換。
  • 公務電腦一定要有資安防護軟體。
  • 含個資的系統,不要有共用帳號的情況,不然到底是誰出包的,說也說不清。
  • 不要在公務電腦安裝非法軟體,以造成系統漏洞。
  • 含個資文件需「傳輸」或「交換」時最好可以彌封,不然至少放在公文夾內
  • 紙本敏感性資料,繕打錯誤或不用時一定要碎掉,不可變成資源回收品。
  • 含個資之電腦,出問題需維修時,業務人員必須在旁陪同,以避免資料流出。
  • 含個資之電腦,移轉或報廢時,必須徹底清空儲存媒體。



過期銷毀



公務機關的罰則

  • 適用國賠法:每人每一事件 500 元以上,二萬元以下,意思是指文件被一個人看過500元;二個人看過1000元...直至 20000元滿;整個事件以二億為限(28條)。但若受害金額大於於二億,以受害金額為準。
  • 公務員故意行為者,加重其刑二分之一(44條)。
  • 必須由被告(公部門)舉證已善盡管理責任,否則會敗訴。
  • 第34條,團體訴訟
    對於同一原因事實造成多數當事人權利受侵害之事件,財團法人或公益社團法人經受有損害之當事人二十人以上以書面授與訴訟實施權者,得以自己之名義,提起損害賠償訴訟。當事人得於言詞辯論終結前以書面撤回訴訟實施權之授與,並通知法院。



個資疑難雜症

FAQ

  • 只是公佈「姓名」而已,有觸犯法條了嗎?
    YES!,因為校名+姓名足以達成識別個人的要件。
  • 榮譽榜也要 OOXX 了嗎?
    原則上沒問題,詳細說明請見法務部個資FAQ上的解釋。
  • 學校同事要「了解」其他班級學生的成績、電話、健康資料...等,可以嗎?
    若無符合「教育特定目的」,就算是學校同事也不可以給。例如:因科展需要原始資料以利統計,或其他教學活動需求。
  • 旅遊拍照,拍到了路人怎麼辦?
    • 第51條規定
      有下列情形之一者,不適用本法規定:
      一、自然人為單純個人或家庭活動之目的,而蒐集、處理或利用個人資料。
      二、於公開場所或公開活動中所蒐集、處理或利用之未與其他個人資料結合之影音資料。
    • 簡單講,我們不是狗仔,所以沒差啦
  • 只限電腦處理嗎? 紙本算不算?
    本法已從原名:「電腦處理個人資料保護法」改為「個人資料保護法」,意思就很明顯了。
  • 朋友聚會,其中一人沒經他人同意把團體照貼上,觸法了嗎?
    若有把姓名 tag 上去,就會違反個資法,純團體照是OK的,只是這種行為還會有民法上的隱私權問題。
  • 學校還可張貼學園團體生活照嗎?
    只要不指名道姓就OK。
  • 國中小幫學生集體報名私立中學的「暑假營隊」(其實是入學考試),有無違反法律。
    若是學生家長個人行為,當然沒問題。若是學校統一報名,又沒家長同意書,那事情就大條了。
  • 私立中學會希望各國中小導師交出各班成績優異的學生名單,可以給嗎?
    不行
  • 學校自辦校內比賽活動,運用學生個資報名,還得要學生家長簽同意書嗎?
    不必,任何型式的教學活動均符合教育特定目的,不必再交同意書。
  • 教育局委托學校辦全市性的活動,主辦學校因業務需而需蒐集他校學生的個資要如何處理!
  • 教育局辦理代課、正式教師甄試或其他活動,所蒐集而來的個資要如何處理!
    上面兩題,請參考本文「蒐集注意事項」章節的說明來處理。
  • 校外教學、畢業旅行、自強活動的學校主動把個資交給保險公司,是否合法?這要分成兩種情況解釋:
    • 校外教學是教學活動,學生保險是必要的業務,因此合法。
    • 畢旅與自強活動不算教學活動,因此必須給每個人簽名認可後,才可以送件。
    • 無論符不符合,學校都仍必須擔負起監督保險公司是否把個資移做他用之責。
  • 學校可不可以公佈教師姓名、學歷、照片、公務連絡電話及公務 e-mail 位址。
    因此行為符合教育行政目的,所以沒問題,但教師手機、家裡地址等其他個資不得顯露。
  • 網管人員可否在未經當事人的同意下或法院搜索票,交出學校同仁在校的「網路行為記錄」給其他人或單位?



不可以做的壞事

  • 洩漏學生個資給補習班、安親班
  • 在缺乏法源、正式公文下就把學生姓名成績等資料交給私校
  • 非本人要求也沒有法院搜索票下,就任意把個資外流給公司或其他政府機關(檢調單位...etc)。



用公有雲存機要公文

  • 公有雲:google drive, dropbox, skydrive...
  • 就好像把私密照放在「無名小站」一樣,安全嗎?



個資外洩

重要案例


自己的個資是否外洩

  • 利用 Google 查一下自己的個資,看看搜尋結果:說不定會有意外收穫
  • Whoscall APP:本來是用來過濾電話的,但因為它的資料庫也是來自「網路」,因為也可以用來查查自己是不是也是「榜上有名」。



學校網頁外洩個資之處理

  1. 校內網頁移除含個資之相關資料
  2. 到 google、yahoo/bing 移除網頁快取
  3. 去信 whoscall 請求移除 cache 頁
    • 必須先確認校內網頁、Google Cache 皆已找不到
    • 把 whoscall 畫面複製下來,寫信至 service@gogolook.com.tw 請求移除



Line, FB 密碼被盜之詐騙行為

Message fraud.jpg
  • 親朋好友密碼被盜
    • 「我的手機送修,麻煩替我收個簡訊好嗎?」
    • 「您的快遞簽收通知單,收件電子憑證 http://goo.gl/xxxxxx」
    • 你爸、媽、兒子、女兒,在線上問「敏感個資」
    • 代收「認證碼」、還提供身份證號...
    • 借錢
    • 傳送含惡意程式之多媒體簡訊(Line/FB/手機簡訊)
    • 送你小程式、APP、圖片,沒事不要點選
  • 搞笑篇:
    Line被盜--爆笑神回覆惡搞詐騙集團|



Line , FB 被盜自救

以下是網路上別人提供的方法,筆者也沒試過,請自行參考看看。



資通安全

 在上文中,我們已大約知道個資法帶來的嚴重性,接著下文要來談談,除了行政紙本該注意的事項外,其實電腦/平板/智慧型手機等資訊設備,也是資料外洩的一大主因。尤其它們會外洩的不只是公務資料,自己的各種個資:比如姓名、帳號、密碼等都是駭客極力想竊取的東西,值得我們要去重視與預防。



資訊與通訊安全簡介

 資通安全,指的是資訊通訊安全。早期資訊的流通,可能要透過人、紙筆與交通工具才行,自從「網際網路」這東西發明,資訊就可透過「電纜線」來通訊傳播。僅僅這樣改變,就已使「惡意程式」攻擊模式,從早期的磁碟片、硬碟(開機型、檔案型、Office巨集)轉成了「郵件帶毒」、「網頁含毒」等方式來入侵電腦。而且,它們會在感染後,占用大量的電腦資源,透過網路大量掃描攻擊、感染隨身碟等,以攻擊其他資訊設備。這時,使用者會覺得電腦變慢,可能還會伴隨無法上網等其他問題。

 到了現代,下列幾種科技的日漸發達,除了影響你我的生活外,也使得惡意程式攻擊模式,發生了改變:

  1. 第一是雲端科技的成熟,把分散在各地的個人資訊有了整合的契機,例如:Dropbox的儲存空間;Google的行事曆,都可以讓我們用電腦、平板或手機,存取到相同資訊。
  2. 第二是行動通訊頻寬的加大,加上四處可用的 WiFi 無線網路,加上大面版手機及平板的流行,使得個人資訊可以帶著走。
  3. 手持式裝置與電子錢包(小額付款)的結合與推廣應用,使得資訊設備儲存的不只是「資訊」,還有「小額存款」,如中華電信推出的手機NFC悠遊卡。

 由於這些科技的發展,使得「個人資料」變得更值錢,因此漸漸的,惡意程式的攻擊行為,也從會導致電腦無法使用的「大肆攻擊」,轉變為無感而靜悄悄在背景運作,以期更竊取更多的個人資料,例如:各平台帳號密碼、身份證號、信用卡號等,再把這些獲取的密碼做更進一步的利用,例如:網拍、電子相簿解鎖、詐騙等。而他們在發起攻擊時,也會儘量使用 IP 假造(Address-Fabricated)的手段,以避免追查。



資通安全風險

 由於近年來雲端及行動上網裝置的普及,使得「資訊隨手得」這個理想,已在你我的生活中漸漸普及。但仔細想想看,即然資訊可以透過通訊科技隨傳隨到,那麼「危險」是不是也如影隨形而來呢。簡單的說,在我們上網取用「資訊」的時候,其實就已暴露在 Internet 之下,而惡意程式早就在那邊等著攻擊。

個人資訊設備風險

底下,筆者以一張圖表來表達日常生活中,資訊設備會有那些風險:

電腦網路風險


電腦中毒後症狀



無線網路安全風險

無線網路風險

Wifi-risk.jpg


各位還認為「不鎖密碼」是做功德嗎?
(當然若真的好心,也是有可增強安全性的方案可用,例:多組不同權的SSID)


無線網路密碼破解工具

  • kismet
  • NetStumbler
  • WireShark
  • CoWPAtty
  • wifi-hack
  • AirSnort
  • Vistumbler
  • Aircrack-ng
  • WiFish Finder(假裝自己是AP)
  • Jasager(假裝自己是AP)
  • ......還有很多



安全預防

安全口訣

 「防毒、防火與更新」,「防毒、防火」只要買資安軟體便可解決,「更新」是指隨時要讓各種使用中的軟體,維持在最新版的狀態。

  • 資安軟體選購
    1. 一定要包含「防火牆」、「防毒」及「網頁防護」三項,一般會取名叫「Internet Security」版,如果有在使用手機或平板,最好可以再加買行動裝置版本。
    2. 一次買一年份即可:由於惡意程式的攻擊手法日異,不是每家資安軟體都可以一直維持在極高的阻絕力,因此建議每次只要買一年份,隔年再依評比網站的報告,重新挑選。下面是筆者建議的兩家國外評比網站:
      http://www.virusbtn.com
      http://www.av-comparatives.org/
      重灌狂人依 av-comparatives 網站幫大家整理出的報告書(2012-10;有中文):http://briian.com/?p=5501
      註:若兩家都說好,臺灣也買得到,大概就是我們所需的了。
  • 更新
    無論是 Windows 系統更新,或自行下載的免費工具,若有空,就要去檢查版本,必須使其維持在最新版。舉例而言,有些網路上的影片,經 Cracker 改造後,會造成某些播放軟體當掉(crash),並在此時釋放病毒。但各播放軟體的開發人員也不是省油的燈,會在第一時間就推出修正版(通常是小改版),若使用者懶得更新,那麼所嚗露出的風險就變得很大。



密碼怎麼設

  • 先看一下這篇新聞:破解密碼只要1小時半! 專家:密碼最好在11字元以上
    http://www.nownews.com/2013/05/29/339-2944766.htm
  • 好記還是好猜
    只要伺服器在網路上提供服務,那就避免不了各種網路攻擊程式,以「密碼字典」手法「猜測」各位的帳號密碼。所以,我們的 yahoo帳號、 pchome 購物帳號、Facebook、xxx@tn.edu.tw 等各大網站的密碼,無時無刻都一直處被「猜」的命運之中。因此密碼要「好記」,還是「好猜」,就必須好好的思考一下了。
  • 密碼如何好記又難猜
    • 英數字混雜
    • 中文輸入法變成英文
    • 不要用生日、紀念日、電話、車牌及普通常用的英文單字,因為除了「密碼字典」,還有「社交工程」。
  • 無線分享/任何網路服務密碼會不會被破解?
    • 八碼:不到 20 分就被破,親身經驗,手機分享設個簡單的八碼不到十分就被「免費使用」了。
    • 十一碼:過了半小時還沒被破...



不要亂下載

 我想,景氣這麼不好,如果可以省錢就能取得一些資源,也是人之常情。但是,為什麼會有人把東西免費做好,還花錢買伺服器及網路頻寬給我們下載。每個人都那麼善良嗎,這其中有沒有詐!以下這幾句話,請思考一下:

  • 「影片、音樂又不是執行檔,不會中毒的啦!」
  • 「下載破解版回來安裝就好,幹麻還要花錢買!」
  • 「我用 foxy 、風行網、快播就可以找到一大堆流行音樂及影片,好爽!」
  • 「網路上有好多免費的遊戲可以下載,玩一下又不會死!」
  • 「我在網路找到一個人家介紹,非常強力的又免費的掃毒軟體,掃一下,看電腦會不會變快。」


以下幾個管道,是筆者認為比較沒有資安危險的免費資源:



P2P

  • 軟體列表:迅雷、Foxy、快播、風行網、暴風影音...
  • P2P 到底是 point to point 還是 person to prison?
  • 它本來只是一種網路技術,讓每個下載者也身兼上傳者,擴大檔案上傳的資源。但因為對大檔案的分享有重大貢獻,所以影片音樂侵權應用反而是最大得利者。
  • 最可怕的軟體 Foxy :一安裝就等著把所有硬碟資料公開
  • 其他可能的危險:有些影片/音樂已被駭客改造過,會造成播放軟體當掉(crash),進而放出惡意程式。




勤作備份

 天有不測風雲,人有旦夕禍福,就算資安防護做得再好,也可能會有硬體故障的發生,因此平常一定要有備份的習慣。備份的方式很簡單,學校工作主機一份;網路硬碟一份;或者隨身碟也來一份,都是很不錯的。若願意接受新科技,一些免費的雲端磁碟,如 dropbox, google drive等,也是個不錯的選擇。



中毒了

疑似中毒

症狀

  • 變慢
  • 沒上網,網路燈號一直狂閃
  • Line, Facebook 密碼反覆被盜用


安全模式下用防毒軟體掃描

在安全模式下,大多數的病毒不會發作,此時可以用防毒軟體掃一次看看,說不定有機會清除乾淨。

異常連線檢查(TCPView)


  • 用 TCPView 抓取問題連線簡述
    • 判斷原則:
      原則上就看 process 中有沒有不認識的程式,一直在對外連線(白色),若出現此現象,可以先到 google 查一下這個 process 的底細;接著到各大 whois 網站(用 google 輸入 whois 關鍵字,就可找出一堆 whois 網站),查一下 rmote address 是來自那個國家或公司,若是中國、中南美洲或一些不知名的小國,通常問題就會比較大。
    • 名詞定義:
      1. 一直對外連線:白色;有rmote ip, remote port , sent , receive 的封包值
      2. 紅色:連線關閉
      3. 線色:建立連線
      4. 黃色:連線狀態改變
    • Process 名稱判讀
      畫面中常出現的 Process 名稱,可分成兩類
      1. 應用程式:IE, firefox 等常用的網路工具
      2. 系統程式:如 System, alg, lsass, spoolsv svchost 等,這些系統程式的 Remote address 及 Remote Port 應不是「0.0.0.0」 就是「*」,若出現了 IP 位址,也可能是被感染,最好轉到安全模式掃一下毒。


  • 最簡單的確認方法:請高手出招。



確定中毒

 沒裝資安軟體,一定會中毒,只是早和晚的問題而已。但若裝了防毒軟體又中毒,也不要生氣,市面上是找不到 100% 防禦力的資安軟體,只能認命,接受電腦重灌的命運。



本文小檔案

題名: Title::資通安全與個資保護淺談
作者: Creator::itsmw作者群
主題/關鍵詞: Subject::資通安全,個資保護,Infomation Security
簡述: Description::淡談個人資通安全,以及與在個資法下,執行公務時之應注意事項。
出版者: Publisher::MyIP itsmw 計畫
其他參與者: Contributor::itsmw作者群
日期: Date::2014-04-09
文件類型: Type::09資訊安全
資料格式: Format::text/html
文件識別代號: Identifier::http://myip.tw/itsmw/index.php?title=PerInfoSecurity
資料來源: Source::http://www.nii.org.tw/
Source::http://pipa.moj.gov.tw/lp.asp?ctNode=408&ctUnit=115&baseDSD=7&mp=1
Source::http://myip.tw/itsmw/index.php?title=Winxp_security
語言: Language::zh-TW
相關資源: Relation::https://isafe.moe.edu.tw/
Relation::http://www.icst.org.tw/
文件涵蓋範圍: Coverage::與平台無關
版權規範: Rights::GNU Free Documentation License 1.2