正新電腦 - 軟體加密、身分認證、HSM硬體加密模組、SSL憑證提供

再者，所謂的數位證據，並非垂手可得，它是需要經過一定的保存與累積過程，而且必須具有絕對正確性與公信力；資訊人員在辛苦布建IT系統之際，可曾針對這些課題深思熟慮？

如果把可被具像化的資安系統或技術，形容為「硬功夫」，那麼接下來的篇幅，便將以「軟實力」為主軸，鋪陳個資防護的若干關鍵要領；唯有軟硬兼施，才是企業賴以安身立命之道。

企業高階主管　必須扮演領頭羊

根據新版個資法第27條，「非公務機關保有個人資料檔案者，應採行適當之『安全措施』，防止個人資料被竊取、竄改、毀損、滅失或洩漏」，由此可見安全措施的重要，因此可以考慮在公司內部，設立個資保護工作小組、或治理委員會等必要組織，並應該清清楚楚地界定個人資料範圍，發布具體的資安政策與管控原則，據此嚴格規範個資蒐集、處理或利用之程序。

除此之外，舉凡當事人行使權利之處理程序、資料稽核規則制定、人員管理及教育訓練，乃至於緊急應變措施及通報，其間所有的SOP與教戰守則，都應當準備就緒；唯有如此，員工才能知所遵循，並深刻體認公司確實是「玩真的」，從而自我約束、自我惕厲，莫要把此事當作兒戲。

然而要想推動這些事項，相關的令旗或權柄，肯定不在IT部門的手上，值此時刻，高階主管能否身先士卒，展現百分之百的高度支持，無疑顯得十分重要。

有了企業高階主管的力挺，不僅可將政令宣導的力量，徹底落實到組織內部的每1位成員，且可透過周而復始的反覆教育訓練，針對全員進行「洗腦」，使得個資防護觀念深植人心，成為理所當然的反射動作。

即使有了工具　還是需要人為管理

要知道，個資防護成效，絕對不是一蹴可幾的，必須反覆歷經P(規畫)、D(執行)、C(稽核)、A(改善)的正向循環，方能一步步趨於良善之境。

如果以為有了資安防禦工具或技術，就可將人為管理的投入，降至微乎其微的低限度，肯定失之偏頗。IT系統雖然有其重要性，但只適合作為輔助人為管理的配套工具，充其量僅是配角，不應本末倒置躍居主角，因為它們沒有自主的靈魂，更無力觸發PCDA流程。

在此情況下，那怕企業部署了多麼高明先進的防禦系統，還是得切切實實地指派專責人力，就近看管這些系統，一方面可針對相關的Log與報表，進行深度分析，二方面則可全盤掌握個資變動狀況，繼而進行完善而細膩的稽核。伴隨人為管理的介入，原本缺乏靈魂的資安防禦系統，就彷彿被注入了豐富的生命力，終至發揮最大功效。

管理人員長期沈浸在這個情境，視野與見識隨之增加，即能深刻體會到，當前的個資防護措施，究竟有哪些值得加強或調整之處，發揮持續改進的力量。

妥善保管Log　並確保不被竄改

持平而論，個資法是1種很弔詭的法令，因為它完全顛覆了多數法律所訴諸的無罪推定原則，企業必須提出舉證，以證明自己盡到良善管理義務，已經傾全力防止個人資料被竊取、竄改、毀損、滅失或洩漏。

正因如此，舉凡IT設備或紙本資料的個資存取控制記錄、日誌(Log)，以往可能被視為無足輕重，但如今都必須被完整保存，以便作為日後提出反證之用。

只不過，此事看似簡單，但其實有不小的執行難度。以存取控制記錄或Log等數位證據而論，其實都存在著複製、刪除或修改的可能，有一定程度的脆弱性，導致可作為呈堂證供的證據力大打折扣，不見得能在必要時刻發揮助力，使企業遠離法律究責陰影。

如何證明自己提出的Log，都確實是獨一無二、完全未遭受任何Log竄改？便需要在Log蒐集的過程中，適時搭配完善的儲存加密或存取控制等技術，藉此證明其舉證之有效性。

若不想這麼麻煩的話，其實還有1個做法，即是在部署IT系統時，就必須考慮該系統是否符合某些國際標準或法規，一旦符合，其Log便與生俱來擁有不可竄改的證據力，繼而成為強而有力的呈堂證供。然而時光不能倒流，有些未必符合這個條件的系統，早已為企業所引進，而且很難被替換，若是如此的話，只好再借助SOC或SIEM的日誌正規化力道，設法讓它鹹魚翻生取得足夠公信力。