《一般資料保護規則 (GDPR)》與網路安全：資料保護在實務上如何運作

許多組織仍主要將 GDPR 視為法律或法規遵循要求，但它已發展成為實務上最具影響力的網路安全框架之一。它如今影響企業如何保護個人資料、管理網路風險，以及在整體技術環境中建立營運韌性。

組織現今面臨日益複雜的網路威脅，包括勒索軟體、網路釣魚、憑證竊取、內部威脅以及供應鏈攻擊。隨著監管機構加強對金融、醫療保健、零售、製造及能源等產業的執法力度，企業面臨的壓力與日俱增，需要展現其具備強而有力的網路安全治理和資料保護實務。

GDPR 要求組織實行適當的技術和組織措施來保護個人資料。在實務上，這包括加密、存取控制、監控、韌性管理、測試、安全儲存、事件應變規劃，以及持續風險評估等措施。這些措施已不再被視為可選用的 IT 最佳實務，而是監管機關的基本要求。

本文將說明 GDPR 的關鍵安全要求：

• GDPR 對網路安全團隊的意義是什麼
• 第 32 條對日常安全營運會有怎樣的影響
• 企業如何強化網路韌性並降低法規風險

什麼是 GDPR？它涵蓋哪些內容？

《一般資料保護規範 (GDPR)》是歐盟保護個人資料的框架。無論組織位於何處，只要處理歐盟或英國居民的個人資料，就必須遵循 GDPR；此外，該規範也已納入英國法律，稱為《UK GDPR》。

個人資料的範圍遠不止包括姓名和電子郵件地址。根據 GDPR 第 4 條，IP 位址、裝置識別碼、員工人資記錄、財務資訊、健康資料、位置資料、瀏覽行為和生物辨識資訊等，只要能與可識別個人連結，均可能被視為個人資料。

根據第 9 條，某些類別的資料被視為特別敏感的資料，需要加強保護。這包括健康資訊、用於身分識別的生物識別資料、政治和宗教觀點，以及其他形式的敏感個人資訊。GDPR 規範個人資料的蒐集、儲存、使用、共享與刪除方式。它也賦予個人對其資料的特定權利，包括存取、更正與刪除資料的權利 (通常稱為「被遺忘權」)，以及資料可攜權與限制處理權等其他權利。

對於網路安全 IT 和安全團隊來說，GDPR 的重要性在於它直接將資料保護與營運安全連結在一起。組織必須能夠證明個人資料受到保護，免於：

• 未獲授權的接近使用
• 意外揭露
• 遭竊
• 資料竄改
• 破壞
• 可用性喪失

這使網路安全從單純的技術議題轉變為董事會層級的企業風險，其中部分原因在於可能面臨高額罰款及聲譽損害。

GDPR 和其他歐盟網路安全法規

GDPR 並不取代各產業專屬的網路安全法規，而是作為更廣泛的監管架構中的一部分，與其並行運作。其他框架，例如《NIS2 指令》和《數位營運韌性法案 (DORA)》，則著重於不同層面的網路風險，包括關鍵服務保護及特定產業的營運韌性。

這些法規在不同層面共同運作，其中 GDPR 專注於個人資料保護，而其他法規則著重於系統韌性、基礎設施安全及特定產業風險。對許多組織來說，這代表必須將資料保護與更廣泛的網路安全及監管要求整合，而非將法規遵循視為獨立工作。

GDPR 第 32 條：處理安全性的說明

第 32 條是 GDPR 中最核心的網路安全要求。該條文要求組織實行「適當的技術與組織措施」，以確保符合風險程度的安全水準。

第 32 條的核心在於建立以風險為基礎的安全管理方法。它並未規定一套固定的控制措施清單，而是要求組織評估其處理資料的敏感程度、營運範圍，以及資料侵害對個人可能造成的影響。接著，安全措施必須依據這些風險來設計與維護。

這表示 GDPR 並未提供固定的法規遵循檢查清單。一家處理敏感病患病歷的全球醫療機構，預期必須維持比僅處理基本聯絡資訊的小型組織更嚴格的控制措施，這反映了資料性質及資料侵害可能造成的後果差異。

「適當的技術和組織措施」是什麼意思

在實務上，「適當」措施包括技術控制與組織流程的結合，例如加密、多因素身分驗證、存取管理、備份與復原、弱點管理、安全監控、事件應變、韌性規劃以及員工資安意識訓練，並且必須依照組織特定的風險狀況來實行。

這反映出 GDPR 已從一次性的法規遵循，轉向持續性的責任管理，組織不僅必須證明安全措施存在，還必須證明這些措施持續受到維護與改善。然而，關鍵要求不只是部署控制措施，更必須能夠證明這些控制措施有效、符合比例原則，且持續一致地執行。

組織應進行風險評估、記錄其決策，並定期檢視控制措施，以確保其能持續因應不斷演變的威脅。網路安全要求並非一成不變，幾年前被認為足夠的控制措施，如今可能已無法滿足監管要求，因為監管機關越來越強調需要持續改善與責任承擔，而非一次性的法規遵循作業。

機密性、完整性和可用性

GDPR 的安全義務建立在三個核心原則：機密性、完整性和可用性。這三項原則共同定義了個人資料在實務上應如何受到保護。

機密性確保個人資料只能由獲授權的人員存取。組織通常透過多因素身分驗證、角色式存取控制、加密、網路分段，以及最小權限原則存取與安全設定實務來達成此目標。

完整性著重於防止資料遭到未經授權的更改或損毀。這通常涉及稽核日誌、變更管理流程、檔案完整性監控，以及防止資料被意外修改的控制措施。

可用性確保資料和系統在需要時仍可存取。這需要具備韌性的基礎設施、備份策略、災難復原規劃，以及有效的災難復原流程。

在這三項原則中，可用性往往最容易被低估。根據 GDPR，即便沒有資料遭竊，只要勒索軟體攻擊導致個人資料無法使用，仍可能構成需通報的個人資料侵害事件，因為依據第 4 條第 12 款，單純喪失可用性本身就可能構成資料侵害。

加密、假名化和資料保護

第 32 條特別提到加密，因為它是降低未經授權存取風險最有效的方法之一。在網路中傳輸的資料應透過現代加密協定加以保護，而儲存在電腦、筆記型電腦、可攜式儲存裝置、伺服器、備份系統及雲端環境中的資料，也應使用如硬體型加密裝置等強健的加密方案來進行保護，以確保保護措施真正有效。

這對遠距與行動工作者尤其重要，因為裝置遺失或遭竊仍是資料外洩的常見原因。隨著組織在混合式與雲端環境中運作的情況越來越多，GDPR 法規遵循也要求保護遠端端點、協作平台、雲端儲存環境及第三方 SaaS 應用程式，並使用硬體型加密來降低資料在企業安全網路之外處理時所帶來的風險。

硬體加密儲存裝置可為企業邊界之外使用的敏感資料提供額外保護，尤其適用於遠距工作者、外勤團隊，以及在分散式環境中處理受監管資訊的組織，因為實體裝置安全仍是重要風險因素。

然而，單靠加密並不足夠。GDPR 的法規遵循性建立在分層式安全防護之上。組織還需要健全的存取管理、監控能力、事件應變能力、員工訓練，以及持續測試流程，以確保控制措施能持續有效對抗不斷演變的威脅。

假名化是另一項重要技術。其作法是替換、移除或轉換可識別資訊，使個人資料在沒有額外資訊的情況下無法與特定個人連結。這些額外資訊需分開保存，並透過適當的技術與組織措施加以保護。

測試、監控和持續評估

第 32 條要求組織定期測試與評估其安全措施，以驗證資料被蒐集、保護及儲存的方式。在實務上，這包括漏洞掃描、滲透測試、持續監控、安全稽核、事件應變演練以及備份還原測試；其目的皆在於驗證控制措施能否隨時間持續保持有效。

這一點非常重要，若組織無法偵測事件，就無法通報或控制事件。效的監控與可見性對於及早發現可疑活動、降低營運中斷，以及履行監管通報義務十分重要，尤其是在必須快速通報資料外洩事件的情況下。

許多組織如今會將其 GDPR 計畫與公認框架接軌，例如 ISO/IEC 27001、ISO/IEC 27701、NIST 網路安全框架或 Cyber Essentials。這些框架可協助組織建立結構化且可重複執行的安全治理流程，但仍必須依據組織特定的 GDPR 風險概況進行調整。

GDPR 如何影響網路安全策略

GDPR 從根本上改變了組織處理網路安全的方式，其中最大的改變之一就是責任歸屬。組織現在必須能夠證明其符合規範，而不只是口頭宣稱已遵循法規。這包括維護風險評估、安全文件、資料處理紀錄、事件應變程序及供應商監督流程，並保留清楚證據說明安全決策如何制定與審查的方式。

GDPR 也進一步強調以風險為基礎的安全管理的重要性。安全投資應反映組織所面臨的威脅、弱點，以及其處理資料的敏感程度，以確保控制措施與已識別的風險相稱。

第三方風險管理亦變得同樣重要。如果供應商或服務提供者代表您的組織處理個人資料，您的組織仍有責任確保已部署適當的保護措施。因此，供應商盡職調查與合約監督已成為許多 GDPR 法規遵循計畫的核心部分，並搭配持續監控資料處理者的績效與安全狀態。