攻城獅的手創日常

資料外洩的成本（2019年版）

根據波耐蒙研究所(Ponemon Institute) 和IBM Security今年發布的《2019年資料外洩損失報告》，在過去六年，全球資料外洩的平均損失增加了12％，在2019年總計每個資料外洩事件損失達到392萬美元。丟失業務是造成資料外洩損失最大成本，但企業發生資安事件後，若能警覺並妥善處理，客戶的營業額反而可增長至3.9％。

從在資料外洩的平均損失成本來看，美國的違規損失最高、為819萬美元；中東的平均最高外洩記錄數為38,800筆；而全球平均水平為25,575筆。從較低端的數據分析來看，印度的資料外洩平均損失為183萬美元。由部門別來分析，醫療行業的單筆外洩成本最高，為645萬美元，比資料外洩的平均損失高出65％。

從不同層面看資料外洩帶來的損失
資料外洩造成的損失可以是直接的、也可以是間接的。直接損失是指公司可能因違反資料防護法規而從國家監管單位罰款，但也包括後續處理機制的成本，例如在資料外洩的情況下必須啟動的稽核與通知、公告等流程。一旦發生資安事件，公司股價可能隨之下跌。

若尋求網絡安全諮詢公司提供專門協助，包含協助調查事件、法律諮詢服務…等，來應對資料外洩的後果（如訴訟案件），也被視為直接成本。根據違法的性質和法規條例，公司可能需實質的賠償客戶損失（賠錢）。

間接成本則是公司因於資料外洩而需面對的長期影響。如前所述，資料外洩會導致兩個問題，消費者信任度下降和提高資金周轉。資安事件也使投資者望而卻步，並影響公司成長與市值。隨著公司聲譽的下降，可能帶動重要員工離職，大多數員工喜歡在名譽好的公司上班。同時，相關的保險以及網絡安全…等軟硬體措施的支出會大幅提高。

法規罰款的增加
2018年《通用資料保護條例》（歐盟個資法GDPR）生效後，歐洲的資料保護機構立即決定為企業提供更多喘息的機會，以達到合法要求。但2019年起法案開始發威，陸續開出了多張天價罰單。

2019年7月，英國信息專員辦公室（ICO）對英航2.04億歐元（約70億台幣）罰款，原因是英航的安全漏洞導致約500,000名客戶的資料出問題，佔其年營業額的1.5％。僅僅一天后，萬豪國際集團就因類似的安全異常而再次被罰款約1.104億歐元（約38億台幣）。

與此同時，法國的CNIL追隨科技巨頭之一的Google，對這家美國巨人處以5000萬歐元的罰款（約17億），原因是他們的廣告缺乏同意。在德國，被處以754.9萬歐元的罰款。在波蘭，一家資訊經紀公司因未能通知其民眾正在處理個資，被罰款22萬歐元。

資料外洩的長期影響
資料外洩事件將困擾公司多年，事件中三分之一的損失會在發生後的一年才逐漸浮現。
《 2019年資料外洩損失報告》發現，資料外洩損失中有67％發生在第一年，第二年發生了22％，資料外洩發生後兩年多發生了11％。醫療保健和金融業…等這類受嚴格監管的行業，往往在事件發生後幾年才承擔更大的損失第一年佔成本的53％，第二年佔損失的32％，第三年佔損失的16％。

結論

隨著時間飛逝，有個趨勢逐漸明顯，那便是：資料外洩造成的損失正大幅增加。實施新的資安法規將有利於消費者的資料防護，並且讓資訊公司與不注重資料防護的公司保持警惕。而隨著《加州消費者隱私法案》（California Consumer Privacy Act）生效以及美國即將頒布《聯邦資料保護法》，這趨勢將在2020年越演越烈。

公司需要正視網絡安全和資料防護方面的投資，然後才能面對資料外洩所帶來的高額財務及名譽損失。資安事件已經發生時，制定適當的應變策略也很重要。《 2019年資料外洩損失報告》顯示，事先擬定資安應變計畫的公司，在發生事件後已經省下了超過120萬美元。

瞭解更多GDPR的資訊，同時支援Windows、MAC、Linux 的DLP系統
https://epptw.com/

銀行必須採取全面防護的方式來保護數據，以確保內部或外部不會產生安全漏洞。有哪些方式能幫金融業保護數據呢？

銀行保護數據的5種方式

銀行是個有歷史的行業，從金融專業領域來看，銀行業遠在幾個世紀之前就存在了。貨幣與銀行的發展歷史則是緊密地交織在一起。近代、銀行與金融交易的模式出現翻天覆地的變化，但基本的原則仍沒有多大變化。有非常多的銀行早在我們出生之前就已經存在了，這也是銀行客戶放心將資金、財務交給銀行保管的原因，因為、我們相信銀行能妥善保管客戶的錢與個人資料。

儘管銀行一直以來都存有大量的客戶個資與財物資訊，但直到近幾年，個資外洩與隱私權的問題才逐漸受到重視。只要你有權限，很容易就能取得銀行內部資訊是其主因。
過去的幾十年中，科技為金融發展帶來的諸多變革與創新，例如電匯、信用卡/簽帳卡、線上銀行與行動支付…等。銀行除了要跟上發展的腳步、升級系統來適應變化之外，還必須修改/更新作業流程來確保新技術的安全性。同時間、銀行相關的金融法規也因應需求而完善。銀行則負有法律責任，必須保證客戶資訊安全並防止其落入他人手中。以下、我們將看到一間現代化的銀行如何履行此職責。

為了確保資訊安全，銀行必須採取360度全方位無測漏的防護？以確保不會在內、外部發生安全漏洞。
這表示銀行既要保護客戶端的金融業務流程，又要針對員工、廠商、系統和內部作業流程做防護。

以下是針對金融資安的一些防護作業方案：

1. 身份驗證：
2. 稽核追查：
3. 安全的基礎架構
4. 強化流程安全性
5. 持續溝通與教育

如何防護資訊的傳遞？

隨著資料傳遞越來越方便，公司面臨的風險也越來越高。一不謹慎、隨時都有可能發生重大資安意外。
數位化的資料是公司最最重要資產之一，然而、遺失智慧財產權（IP）、客戶的個人資訊（PII）或財物資訊，都會對公司造成難以彌補的重大損失。

一份機要/敏感的資料在公司裡頭，可能會以三種模式存在：靜止、使用中和傳輸中。儘管保護所有模式的資料很重要，但以傳輸中的資料最容易出問題。
傳輸中的資料指的是「在電腦與電腦之間傳遞的數位資訊」。資料可以上傳到雲端、儲存到隨身碟或由其他軟體傳遞。一旦資料傳輸完成，則又變回靜止的模式。

我們針對資料傳輸做防護的原因不僅是因為法規要求（個資法、PCI DSS，GDPR，HIPAA或SOX...），更重要的是「避免機敏資料外洩造成公司損害」，這包含了財務與名譽上的雙重打擊。

近年來由於企業的E化和人員異動頻繁，資料傳遞越來越多。員工平時使用多種裝置來工作（筆電+桌機 / 桌機+手機...），或多人多工協作（如Slack或Mattermost等協作平台），都是稀鬆平常之事。這表示員工的工作不再受限於特定場所，但也表示「資料外洩的可能性非常高」。無論是以往的寄錯信，或者是任意備份檔案，都可導致資料外洩。

因此、面對資料傳遞，防護系統需要能應付各種可能的威脅。如人為疏失、網絡異常、文件共享、惡意行為...等。
對公司而言，需要的是提高生產力、可用性和靈活性所帶來的好處，要避免的則是傳輸與協作帶來的資安風險。

在下一篇，我們將仔細的介紹如何對傳輸的資料做好防護。

瞭解更多GDPR的資訊，同時支援Windows、MAC、Linux 的DLP系統
https://epptw.com/

什麼是GDPR，它將如何影響您的事業？

GDPR是由歐盟委員會、歐洲議會和歐盟部長理事會聯合發布的一項法規，旨在加強和統一對歐盟公民的資料保護。

這是過去20年來歐洲隱私權法規中最重要的變化，它對個人隱私資訊以及任何持有隱私的單位提出重要聲明，要求單位（公司/組織）妥善保存隱私資訊，並能及時修正、刪除。因此，GDPR意味著公司的重大變更，如果未能適當保護歐盟公民資訊，公司將受到嚴格的罰款。

適逢企業邁向數位化的時代，許多公司有網站或線上交易與線上產品，公司內部也收集了許多敏感的資料。即使公司主要的客戶對象並非歐洲，但資料庫或名單中仍可能會有受GDPR保護的資料。
值得注意的是，國際上開始重視個資，也將GDPR當作遵循的標準。這表示、即使不和歐盟做生意，客戶仍會希望公司符合GDPR；或者說、跨國的生意客戶開始排斥機敏防護不足的公司。

今年九月25日, 歐洲法院(歐洲法院)發表了兩項關於執行歐盟被遺忘的權利的裁決。

對台灣人來說，被遺忘權是個很陌生的名詞，但對老外公司來說，卻是一個很重要的概念。

被遺忘權（Right to be Forgotten）是一種在歐盟內部存在的人權概念。簡而言之，即人們有權利要求移除有關於自己的負面信息或過時的個人身分資訊搜尋結果；但因為產生了與言論自由間的衝突，與可能產生網際網路審查的疑慮，因此引發了爭議，且法律框架仍不明確，當前只有在歐盟實行。

雖然被遺忘權只有在歐盟執行，但對跟歐洲等地貿易的公司來說，卻是非常重要的項目。
如何找出公司內部散落的資料，並妥善處理？這是 IT 人員的新挑戰。

資料外洩 與 資安防護 一直被歸納在資安長 (CIO) 與 IT部門、MIS人員的身上。
不過、這幾年CEO和董事會已經意識到數據外洩對企業帶來的損害與災難，也主動參與網路安全與資料外洩防護（DLP）的決策。

傳統上，公司依靠CIO或IT部門就網路安全策略做出正確的選擇。他們的職責範圍從選擇網路安全產品到為員工教育訓練，藉此提高憂患意識與避免資受到不必要的損失。
但隨著資料外洩案件的節節攀升，全球都受到相當大的影響，從歐盟到中國大陸都在推動數據保護法規（個資法/GDPR）。CEO對於預防資料外洩，也開始感到壓力。

根據埃森哲（Accenture）2018年的網路彈性狀況報告：

• 66％的CEO在網路安全問題上擁有最終發言權
• 59％的網路安全預算是由董事會或CEO授權
• 這些數據較2017年增加了33％

隨著CEO和董事會在網路安全策略中扮演更加積極的角色，CIO和IT部門需要意識到他們的主要擔憂以及如何解決這些問題。以下是最突出的三個：

1. 公司同仁是否始終遵守規定？
2. 即使裝置沒有連線，也可以確保資料不外洩嗎？
3. 資安保護政策是否能減少對員工生產力的影響？

先聲明～本人對認真經營的傳直銷公司並不排斥，畢竟傳銷或直銷只是另一種銷售模式。但是用很鳥的方式銷售，就讓人受不了了...
最近遇到個自稱藥師的不斷騷擾，瘋狂的跳針，我講的是傳銷的食品，他硬是拿藥品的資料見證...
所以我特地整理了一篇傳銷鳥人常用話數來提供消費者分辨

1. 『隱晦的宣傳療效』
       最常見的就是拿「藥品」跟「食品」來比較，說詞不外乎某個N植物翠取的藥物具有神效，本公司的產品也是從N植物翠取而來...，魚目混珠、混淆視聽，接著再進入見證時間。
       「破解」
       八角翠取物可以治療SARS，有人聽過吃藥燉排骨治SARS？胃藥裡頭有高麗菜翠取物，所以狂吃高麗菜可以治療胃病？邏輯上就很有問題。
       除非提出藥品與食品成分比例...等均完全相同的依據，不然、只是在畫虎尾蘭～
2. 『見證好神奇』
       賣什麼產品都有人見證，有人找部落客、有人找網紅，但是找自己家人來見證最有說服力。而且「見證」不等於「療效」，所以不公開宣傳也不會出問題。但是、見證真的是人人有效嗎？
       「破解」
       先不提見證的真偽，假定今天看到的見證都是真的。問題在於，見證的效果可以複製嗎？就算產品對健康有幫助，一般人有財力吃到那個份量嗎？
       再說、藥品都經過翠取，成分是濃縮的。食品成分要達到那個劑量，可能得吃掉幾十公斤的產品...
       如果有個自稱專業人士的護航健康食品，但提不出食品的科學依據，丟出來的全是見證，你最好離這個團隊遠一點。
3. 『宣傳產品是保健食品、機能食品、營養食品...』