在稽核前應內部溝通，確認相關要求是否已納入資訊安全措施，進行個資外稽時，稽核團隊會前往確認所涉及之控制項個資保護實作指引是否落實．

GDPR對台灣有可能造成之影響：(https://www.eyjapan.jp/library/issue/info-sensor/2017-02-05.html)
歐盟自2018年5月25日起已施行新的資料保護規則，其對台灣是否造成衝擊，對和人將造成影響將自GDPR之簡介起分述如下：

一、簡介

1.什麼是GDPR?

歐盟一般資料保護規則(General Data Protection Regulation：以下簡稱GDPR)為歐洲聯盟自2018年5月25日起施行之新版資料保護規則，其保護對象為包含EU加盟國及EEA(歐洲經濟領域)加盟國的三國所有的一般消費者、企業員工、企業經營者的個人資料。
哪些是個資？
員工姓名(包括員工名冊，人事管理系統、組織聯絡表)信箱

2. 受影響對象:

GDPR是規範歐洲地區的資料管理規則，但是其影響對象並不僅限於歐洲企業，符合以下三點任一之對象亦須注意GDPR之適用：

1.在歐洲地區有分店、支部、營業所之企業。
2.從台灣對於歐洲地區提供商品或服務之企業。
3.收受來自歐洲地區之委託，進行個人資料處理之企業。

須注意一點是，以上三點判斷規則皆以地區為主，非以服務對象之國籍為準。

3.GDPR的規定內容

a.個資的處理
對於個人資料的處理、保管以及運用必須採取適當之安全措施。
不得保有超過利用目的之必要保管期限。
發生個人資料侵害事故時(例如個資外洩)，必須將其要旨於72小時內通知主管機關。
定期處理大規模個人資料之企業必須設有個資保護官(DPO Data Protection Officer)

b.個資的傳輸
歐洲經濟領域內的個人資料原則上禁止移轉至境外，除非是經過歐洲委員會認可有適當個人資料保護制度之國家，並且企業有訂有相當程度之個資保護規範、個資作業守則等。



c.基本權利的保護
個人資料的權利主體及資料所有本人為權利主體，要取得本人之資料前必須遵守特定規則。
企業或管理者必須詳述資料管理人之聯絡方式、資料利用目的、有無提供給第三人，保管期限，資料本人所有權利，且以上內容必須簡單易懂。
本人撤回同意必須與表示同意時同樣簡單容易行使

基本上就以上三點來說，一般教育機構不受GDPR拘束，但是仍應遵循台灣個資法！！特別是台灣個資法之規定並不比GDPR還要寬鬆，應檢視現行組織運作規定及執行狀況是否符合台灣之個資法。

柒、四、(四)文件化資訊 

1.管理制度文件應包括本規範要求之文件化資訊，及施行機關(構)或學校要求管理制度為達成其有效性之文件化資訊與作業紀錄。
其文件化資訊至少應包含：

(1)決議事項確認其關注方(利害相關團體)與要求事項
說明：受稽單位較易忽略關注方之討論議題，以學校單位來說，關注方來元相對單純，可參考如學生、家長、教師、董事會或外部單位(如教育部、國科會)對於學校之資安議題的要求內容，並將討論內容透過管理審查程序進行，且留存紀錄以供稽核佐證。

(2)管理政策
說明：資安政策之訂定應有相關核准及發佈程序，並注意版本控制與文件修訂審查。

(3)管理目標
說明：可透過有效性量測表之內容明確訂定管理目標，以利後續追蹤及審查依據。

(4)人員勝任之證據
說明：對於人員管理與評估可提出相關教育訓練內容、證照內容、是否違反單位內部相關條款等。

(5)管理制度執行證據
說明：以每一年對於整個資安管理系統之PDCA循環，應包含必要之管理作業，以供外部稽核查檢佐證。
　P：管理審查會議、有效性量測目標
　D：資產盤點、風險評鑑、帳號清查、BCP 演練、教育訓練
　C：內部稽核、資安事件通報
　A：矯正處理、持續改善

(6)風險處理計畫與風險處理結果
說明：受稽單位應由資產盤點、風險評鑑、風險處理計畫、風險在評鑑等流程完整留下紀錄

(7)有效性評估證據
說明：有效性量測表為單位以執行ISMS所應達成之控制目標自行定義相關指標，所訂定指標應符合單位資源與特性，並無絕對標準，但個指標必須要有符合與不符合之明確計算標準。

(8)管理審查執行之證據
說明：管理審查會議應留下會議紀錄並包含所討論之議題及會議成員，相關會議記錄與決議應由管理階層審查。

(9)不符合項目及矯正措施
說明：受稽單位對於ISMS日常維運所發生之異常及事件、內部稽核及外部稽核結果均應有相對應之矯正措施執行，以利相關人員執行管理措施。

A.9.2.4（2007版11.1.3）使用者的機密授權資訊之管理

說明：應以正式之管理過程控制秘密鑑別資訊的配置。

名詞說明： 

使用者，指的是：系統授權使用的人，包含師生、同仁、協力廠商與Guest。
秘密鑑別資訊，指的是：可用來驗證使用者身分的資訊，最常見的像是密碼、憑證、加密金鑰和智慧卡等。

那該如何進行秘密鑑別資訊的控管呢?

(1)進行通知或交付秘密鑑別資訊(如：通行碼)給使用者時，應使用較安全地管道進行通知或交付；使用者收到秘密鑑別資訊後，單位宜建立確認收到通知之機制，以避免資訊外流至他方。(如：限制5分鐘內登入使用之臨時性通行碼)
(2)單位應要求使用者善盡保護個人秘密鑑別資訊之責任(如：通行碼)，如：以簽訂書面約定、教育訓練宣導或其他方式。
(3)使用者第一次登入應用系統，則該應用系統即須要求使用者變更密碼，否則不能登入使用該應用系統。
(4)使用者遺失或忘記秘密鑑別資訊(如：通行碼)時，系統需安全地提供臨時性的通行碼管道(如：簡訊、email…等)，以利系統識別使用者，並於系統登入後即要求變更通行碼。
(5)應用系統如經單位評估須建立更高等級的安全控管機制，則可使用電子數位簽章等或安全等級更高的存取控制技術。

受稽單位容易發生不符合事項的狀況：

(1)單位未制定驗證使用者身分的秘密鑑別資訊的管理制度（如：通行碼、加密金鑰或憑證資訊等）。
(2)協力廠商連線至應用系統進行維護或變更設定時，單位未有相關要求與規範，以約定協力廠商應注意與配合事項(如：善盡保護個人秘密鑑別資訊之責任)，以符合校園資訊安全要求。
(3)使用者第一次登入應用系統時，應用系統沒有立即要求使用者進行密碼的變更。
(4)使用者離職後，應用系統未移除該離職者的相關秘密鑑別資訊(如：門禁卡、智慧卡)。
(5)交付或傳送秘密鑑別資訊給使用者時，單位沒有將使用者資料或敏感資料進行加密。
(6)單位使用電子郵件傳送秘密鑑別資訊時，沒有進行相關管控?(如：加密處理)
(7)單位使用失效的或憑證位元數較低的安全性憑證。

有哪些注意事項可以避免被開立該款缺失?

(1)單位應制定驗證使用者身分的秘密鑑別資訊的管理制度與管理。
(2)單位與協力廠商簽署相關協議，以約定協力廠商應遵循之資安要求與準則(如：通行碼之保管、連線時間之管制….等)。
(3)單位進行秘密鑑別資訊傳輸時，應注意是否有進行管控(如：加密處理)。
(4)單位應制定與落實應用系統於第一次登入或使用者取得臨時通行碼時，應即變更通行碼資訊。系統需安全地提供臨時性的通行碼管道。
(5)單位應定期審視有無非授權或失效的秘密鑑別資訊留存於應用系統。
(6)單位應以安全有效之使用者帳號管理系統，鑑別使用者身分。
安全有效之使用者帳號管理系統，應至少考量事項如下：
　(a)要求必須使用通行碼，以明定系統之使用責任。
　(b)應允許使用者自行選擇及更改通行碼；系統應具備資料輸入錯誤的更正功能。
　(c)要求使用者必須使用至少8碼以上之通行碼。
　(d)要求使用者定期更改通行碼。
　(e)以更頻繁之次數定期更新系統存取特別權限之通行碼。
　(f)在登入系統程序中，系統不應顯示使用者之帳號與密碼相關資料。
　(g)在軟體完成安裝作業後，應立即更改廠商預設的密碼。
(7)部分單位(如：醫療機構)針對密碼的使用和變更要求，實務方面可能難以實施，因此也可考慮實施通行碼以外的其他身分驗證機制(如：個人生物特徵)。

A.9.2.5施行單位應定期審查使用者存取權限

帳號存取權限審查大概可分為校務行政系統、主機作業系統、網路設備及實體安全四大類：

一、校務行政系統

此類帳號審查除了一般使用者外，另應審查應用系統管理帳號及資料庫帳號，且遵守相關帳號密碼管理政策。

二、主機作業系統

1.此類會被遺漏的情況通常是單位只審查應用系統的帳號，而未對主機內的作業系統管理帳號進行審查。

2.主機加入網域管理(AD)或LDAP帳密管理時，除了審查或修改AD或LDAP上的帳號及密碼外，也應確認本機帳號的審查與定期修改密碼的情況，如無相關審查紀錄時，仍須進一步確認本機帳號是否停用，如未停用的話單位應定期審查及修改密碼，並遵守相關帳號密碼管理政策。

三、網路設備

1.此類帳號審查通常會與維護廠商有關，因此除了審查單位內部人員使用的帳號存取權限外，對於外部人員也應被審查，並遵守相關帳號密碼管理政策。

2.曾經遇到單位防火牆的管理者及相關代理人員各自建立獨立帳號並定期審查存取權限，但設備有預設的最高管理權限帳號卻未有相關審查紀錄，預設帳號通常具有最高權限及預設密碼的風險，因此除了內部人員與外部人員外更可注意相關設備預設帳號的管理與審查作業。

四、實體安全

此類是機房或辦公區域的進出權限管理，對於短期人員(如工讀生、駐點人員等)或清潔人員應加以管控與審查。

學校不准使用Google表單收集個資？？
淺談個資法第18條、第27條，何謂適當之安全措施及實行方法？

今年上半年台南市教育局因應補教狼師事件進行名單清查，台南市教育局認為必須盡速清查是否有不適任教師，使用Google表單要求所管補習班業者回報教師姓名、聯絡方式等相關個資，有補教業者擔心使用Google表單蒐集個資會造成個資外洩，不願意填寫。

以前述新聞事件之疑慮為例，是否可以Google表單蒐集個資，還是必須檢視我國個資法之規定，要蒐集個資除本人同意以外，還必須採取適當安全措施。

所謂適當安全維護措施，請參考個資法施行細則第12條，其中跟本篇有關的如下表所列左欄的第三款、第五款、第八款和第十款，而這幾款應注意的重點若以此事件所關注的Google雲端服務來說，則如右欄所列：

相關條款	應注意的重點
設備安全管理1	Google的伺服器及傳輸安全以及我自己的電腦夠安全嗎？
使用紀錄、軌跡資料及證據保存2	我有沒有忘記我的Google表單？我的Google表單現在是什麼狀態？誰來提醒我？
個人資料蒐集、處理及利用之內部管理程序3	我今天使用雲端服務蒐集個資時有沒有設定錯誤、開放使用權給不特定的所有人？
個人資料之風險評估及管理機制4	我今天收集的個資適合使用雲端服務嗎？

註1：個資施行法細則第12條第2項第8款
註2：個資施行法細則第12條第2項第10款
註3：個資施行法細則第12條第2項第5款
註4：個資施行法細則第12條第2項第3款

設備安全管理

以Google表單來蒐集個資，本質上就是以前端網頁程式蒐集個資，並將資料傳輸到後端伺服器儲存，應考慮前端傳輸至後端之安全性，及後端伺服器安全與否。

以本次新聞事件為例，如果您今天打算自行開發一個系統來蒐集個資，一方面您要評估您的系統安全是不是更勝Google，另一方面如果Google的安全性真的堪慮，也不能以時間、人員有限為理由選擇Google。我們在此不從技術面去探討Google的安全程度，但我們在Google的服務條款和隱私權政策中可以看到：Google有承諾維護設備安全、並使用進行加密，並且也聲明保密義務，若是Google有遵照它的承諾，其提供的服務可能會比您在有限的經費下所架設的伺服器還要更安全。
 
使用Google表單蒐集個資時，您可以注意到在網址列呈現其通訊協定是採用HTTPS，表示它所有的資料都是經過加密再進行傳輸的。但若是自行架設伺服器，以網頁程式蒐集個資，您的開發人員真的懂如何在伺服器端安裝憑證，並啟動HTTPS通訊協定，達到同樣程度的加密傳輸嗎？

個人資料蒐集、處理及利用之內部管理程序

您用Google表單蒐集的資料會保存在Google的雲端硬碟上，雲端硬碟上的檔案跟資料夾預設僅限特定使用者存取，若無進行任何與他人共用之設定，就只有您自己可以存取。

所以當您需要跟人共同作業，有必要共用檔案時，您可以邀請特定對象、列為共同使用者。絕對不要公開共用檔案，此設定將使網路上任何人皆可以搜尋到您的檔案。


當您謹慎的管理您的檔案存取權限，並落實不任意分享檔案連結，即為符合內部管理程序上應維持之適當安全維護義務。

使用紀錄、軌跡資料及證據保存

Google表單不是您自己所有的伺服器，一般使用上您無法直接從伺服器中提取出使用紀錄，難以保存使用證據、軌跡資料等。但是我們在另一篇文章有提出一個解決方案，就是利用程式每天自動檢查您的google表單狀況並寄發信件給您，將信件保留起來當作紀錄。您可以看到您的表單狀態是限制存取或是公開，有無其他共用者。

如果您是屬於公務機關，單位有設立個資窗口，在採用我們提供的解決方案時，建議您應設定將每日的定期提醒記錄信件同時傳送給您的個資窗口。(這部分之考量係基於個資法施行細則第25條，公務機關相較於非公務機關需指派專人負責個資的維護及管理，該員需有管理及維護個人資料檔案之能力。)

公務機關若將蒐集個資的業務委託給外包廠商，也應要求外包廠商每天自動寄送記錄信件給單位之個資窗口。(這部分係根據個資法第四條，若是有委託廠商蒐集、處理或利用個資者，視同委託單位，也就是公務機關的外包廠商需同負相當於公務機關之保護責任。)

個人資料之風險評估及管理機制

依據個資施行法細則第12條第2項第3款，您必須對您蒐集處理利用之個資進行風險評估，若您今天選擇的蒐集工具為Google雲端服務，自須審慎評估個人資料的風險。儘管Google服務相對上有其安全性，但畢竟Google表單非您自己可以管理之伺服器，如果需要利用Google蒐集個資，最好是蒐集敏感性較低，以達成進行個資風險評估之義務。比如說一般報名時常見需填寫手機號碼，但是如果您可以用Email聯絡的話，並無必要填寫手機號碼，會額外增加您保管的風險

結語

最後必須提醒您，個資法並不是禁止蒐集使用個資，無論您今天選擇使用什麼工具，重點都是注意您蒐集之個資是否是必要、敏感性、工具平台之安全性、有盡到應盡注意義務。前面的文章當中我們分析了如何達成適當安全維護措施之應盡義務，除了解釋Google已有的措施以外，我們也提供另一個可以達成記錄要求的解決方案。

個資法第一條開頭就說明：為規範個人資料之蒐集、處理及利用，以避免人格權受侵害，並促進個人資料之合理利用，特制定本法。只要遵守個資法上的要求，您還是可以在合理範圍內蒐集、運用個資。