本月焦點

運用 PKI 打造符合個資法的資訊系統

個資法已於十月一日正式施行,無論公務機關及非公務機關,只要保有個人資料,為防止個人資料被竊取、竄改、毀損、滅失或洩漏,必須採取技術上及組織上之措施。為了方便資訊系統使用、交換與儲存,個人資料多已數位化,因此如何打造符合個資法要求的資訊系統,是企業面臨的重要課題。

個資法施行細則第十二條列舉了十一項措施,從其中二項可以歸納出符合個資法的資訊系統需求:

資料安全管理及人員管理

企業必須將資料分類與分級,依員工職權賦予不同的存取權限;此外資料的傳輸與儲存也必須採取保密與防護措施,例如加密、備份、網路防火牆等等。

使用記錄、軌跡資料及證據保存

任何個人資料的使用,應留下使用記錄,包括使用人、使用時間與用途等資訊,都必須妥善保存,以利日後舉證使用。

綜合以上二項措施,大至可歸納出「確認存取資料者的身分」、「確保資料儲存與傳輸的安全」、「確認資料的完整性與正確性(未被竄改)」、「確認資料來源(不可否認性)」與「資料存取記錄」等五項資訊系統需求。

PKI 的應用

PKI(Public Key Infrastructure,公鑰基礎設施)是一種以非對稱式金鑰(公鑰、私鑰)為基礎,以經過權威、公正、可信賴的第三方認證機構所認證的金鑰,透過「加密/解密」與「簽章/驗章」方式,讓我們在不安全的開放環境中,可以安全的交換資料。其中私鑰為個人所有而不公開,公鑰憑證則對外公開,方便他人取得。

加密/解密

資料傳送前先以接收者公鑰憑證內的公鑰將資料加密,接收者收到後以自己的私鑰將資料解密。因為經公鑰加密過的資料只有與公鑰成對的私鑰可解開,因此可確保資料儲存與傳輸的安全性。

簽章/驗章

傳送者以自己的私鑰對資料進行簽章,接收者則以傳送者公鑰憑證內的公鑰進行驗章,以確認簽章者的身分,並檢驗資料是否完整未被竄改,同時達到確認資料來源(不可否認性)與資料完整性與正確性(未被竄改)。

此外應用 PKI 的簽章與驗章,在資料使用者存取資料前可先確認存取資料者的身分,以確認使用者是否具備使用資料的權限,並於使用過程中留下使用記錄,以保留證據,方便日後舉證之用。

本期我們將特別介紹 ARES Crypto Server 與 DRM 產品。告訴你資料庫加密如何快速又安全保護您的重要資產不外洩,以及保護企業機敏文件的權限控管、稽核紀錄設定。內容相當精彩豐富,千萬別錯過!

閱讀更多