最近，香港個人資料私隱專員公署公布多宗個人資料外洩事故，再次為我們敲響警鐘。這些個案來自不同類型的機構，包括政府部門、醫療服務、旅遊、保險及零售業等，無一例外都暴露了機構在資料保安上的漏洞，最終導致個人私隱被洩漏。
這些事件提醒我們，私隱與資料安全並非兩件獨立的事，而是密不可分的整體。
私隱與資料安全的關係
私隱主要關乎個人資料被如何收集、使用及披露；
資料安全則著重於保護資料免受未經授權的存取、竄改、刪除或外洩。
換言之，沒有良好的資料安全，就無法保障私隱。只要一個技術或流程上的疏忽，就可能直接演變為私隱洩漏事故。
八宗事故看出什麼問題？
從私隱專員公署公布的 8 宗案例，可以看到各種資料安全不足所引發的私隱問題，包括：
- 未登出系統：醫生完成檢查後未登出，下一位病人就能看到其他病人的病歷和身份證號碼。
- 團體機票：旅行社把含有30多名旅客姓名、出生日期的電子機票，發給所有團員，讓所有人都看見彼此資料。
- 不當披露：停車場保安把投訴人的電話直接提供給另一名租戶。
- 網上登記漏洞：網站未妥善設定，讓填表人可以查閱超過100位其他人的姓名、電話、電郵。
- 郵件包裝疏忽：信件透過信封窗口直接顯示身份證號碼。
- 環保紙重用不當：保險公司用印有他人身份證副本的廢紙重新列印文件，誤發到其他公司。
- 電郵群發錯誤：將千名會員電郵放在「收件人」欄，令會員互相看見對方電郵。
- 網站程式錯誤：航空公司會員登入時，被錯誤導引到另一人的帳戶。
私隱事故，其實就是資料安全事故
如果仔細分析，會發現這些都不是「駭客入侵」這麼高難度的問題，而是日常操作、設定或管理不當導致的資料安全漏洞，例如：
- 沒有設定自動登出機制。
- 沒有使用電郵群發保護（如 Bcc）。
- 系統或網站沒有進行嚴謹的權限檢查。
- 缺乏對員工的私隱及資料保安培訓。
- 沒有流程檢核，使用錯誤的紙張或錯誤摺疊信件。
所以，想保障客戶及員工的私隱，最重要的第一步，就是提升資料安全水平。
私隱管理政策再完善，若缺乏嚴格的技術與操作保安措施，仍然無法真正保護私隱。
如何鞏固資料安全，守護私隱？
任何企業若要真正保障私隱，必須在以下三方面同步著力：
人員安排與責任分工
- 指定專責主管（或資料保安主任）統籌私隱及資料保安事宜，確保有人對政策及日常執行情況負責。
- 透過清楚的職責界定與授權管理，減少資料可隨意存取、複製或外洩的風險。
制定與持續優化政策流程
- 建立完善的資料保安及私隱管理政策，包括文件加密、電郵使用（例如強制 Bcc）、自動登出、郵件封裝檢核等具體操作規範。
- 設計易執行的檢查清單與流程圖，協助員工依循正確程序。
- 定期檢視並改善政策，例如收集員工與用戶的意見，持續修訂以應對新風險。
- 同時備有事故應變計劃，讓組織在發生資料外洩時可迅速止損與通知。
建立長期安全意識與專題訓練
- 透過定期專題培訓（如模擬釣魚電郵演練、社交工程情境教學），強化前線與後台員工的風險辨識與正確反應能力。
- 不只傳授政策內容，更要營造「資料保安是每個人責任」的文化，讓員工主動察覺可疑情況並舉報。
- 定期舉辦私隱與資料安全分享會，讓真實案例成為警惕與學習。
為什麼要進行安全意識專題培訓？
在眾多資料外洩事故中，很多看似是系統漏洞或技術失誤，實際根源往往來自「人」。
一個簡單的誤點連結、錯發電郵、或輕易相信陌生來電，都足以讓資料外洩、防線失守。
這也是為什麼安全意識專題培訓如此重要。它的目的並不僅是教員工讀政策文件或簽署聲明，而是要：
- 建立風險意識
讓每位員工都能意識到，他們每天處理的電郵、文件、系統存取，其實都是保護私隱的第一道防線。 - 訓練辨識能力
例如透過模擬釣魚電郵演練、社交工程電話測試，幫助員工在實際情境中學會分辨可疑訊息。 - 強化正確反應行為
教導員工發現可疑或可能外洩情況時，應立即停手並通報，而非自行處理或忽視。 - 培養資料保安文化
把「安全」從 IT 部門的責任，擴展為全公司每個人的日常自覺。
很多機構投入大量資金購買防火牆、入侵監測系統，卻忽略了最脆弱的一環——人。
只要一個員工輕率點開惡意連結或將客戶資料誤發錯人，再強大的技術也無法補救。 因此，定期且有互動、實戰元素的安全意識專題培訓，對防範資料外洩與守護私隱而言，絕對是不可或缺的一環。
沒有資料安全，就沒有私隱
在這個一切講求數碼化的年代，個人資料就是企業的信任資本。
無論是中小企業還是大型機構，都必須認真看待資料安全，才能真正保護私隱，維繫客戶與公眾對品牌的信任。
下一次當你聽到「資料安全」的時候，請記住，它不只是防駭技術，而是守護每一個人的私隱權利。
與我們聯繫以了解更多：
電話：2168 0388
Whatsapp: 9828 3401
電郵：[email protected]
