個資外洩事件應變說明簡報

先講清楚知道什麼、還不知道什麼。

每個時間點都要能對應到紀錄，事後主管機關可能查驗。

目標是防止擴大、保全證據。

• 阻斷：關閉受影響的 ○○ 系統對外連線，封堵漏洞
• 帳號：強制重設受影響帳號密碼，撤銷可疑存取權限
• 保全證據：保存系統日誌與相關紀錄，委託 ○○ 進行鑑識
• 監控：加強監控 ○○ 天，確認無再次入侵

個資法第 12 條與施行細則第 22 條（現行規定）。

• 何時要通知：個人資料被竊取、洩漏、竄改或其他侵害，應查明後通知當事人
• 通知方式：即時以言詞、書面、電話、簡訊、電子郵件、傳真或電子文件等方式
• 通知內容：必須包括被侵害的事實，以及已採取的因應措施
• 例外：需費過鉅時，得以網際網路、新聞媒體等適當公開方式為之

依所屬產業的個人資料檔案安全維護管理辦法，時限與格式請以本公司適用的辦法為準。

• 數位經濟相關產業：危及正常營運或大量當事人權益者，知悉後 72 小時內通報數位發展部
• 製造業及技術服務業：同樣為知悉後 72 小時內，依附表二格式通報經濟部
• 時限內資訊不齊：應檢附延遲理由，或分階段提供
• 本公司適用：○○ 辦法，通報窗口 ○○○

用當事人看得懂的話，不推卸、不淡化。

• 發生什麼事：20XX 年 ○ 月 ○ 日，本公司 ○○ 系統遭未經授權存取
• 影響哪些資料：您的姓名、電話與 ○○，不含 ○○
• 我們做了什麼：已封堵漏洞、通報主管機關並委託專業單位調查
• 您可以怎麼做：留意冒名來電與簡訊，本公司不會要求您操作 ATM 或提供密碼；專線 ○○-○○○○○○○○

非公務機關適用個資法第 29 條、第 48 條。

個資法 114 年 11 月 11 日修正公布，施行日期由行政院另定；使用本簡報前請至全國法規資料庫確認是否已施行。

• 通報義務入法：新第 12 條明定符合一定範圍者，非公務機關應向主管機關通報
• 應變與紀錄：須採取即時有效的應變措施，並記載事實、影響、因應措施與保存紀錄
• 安全維護：刪除第 27 條，改由新增條文規範安全維護義務與罰則
• 建議：現在就把通報流程、紀錄格式與負責人定好，施行後不必臨時調整

說明為什麼會發生、怎麼避免再發生。

• 根本原因：○○（例如：舊系統未更新修補、權限未定期檢視）
• 技術改善：○○ 系統更新、啟用多因素驗證、加密儲存個資
• 管理改善：每季檢視存取權限，離職人員帳號即時停用
• 教育訓練：全體員工於 ○ 月前完成個資保護課程

每一項都要有負責人與完成日期。

請於本次會議決定，以免延誤處理時效。

• 核准委外鑑識與法律顧問費用 ○○ 萬元
• 核准當事人補償方案：○○（例如：提供 ○ 個月身分盜用監控服務）
• 指定對外發言人：○○○
• 核准改善計畫預算 ○○ 萬元