IT業界社群及資訊平台

【企管必學】企業級私隱管理標準秘策

2019 年,擁有 W、St. Regis、Westin、Sheraton 等貴價酒店的 Starwood Hotel and Resorts,主動自首承認由 2014 年至 2018 年間,外洩 500 萬住客資料,當中涉及姓名、電郵地址、手機號碼、住址、護照號碼、酒店會藉詳情、出生日期、姓別、入住退房資料(即行蹤)、預約日期等,付款資料其實都有外洩,不過有 AES-128 加密。呢單嘢極度震撼,因為 Starwood 沒有交代外洩原因,好難令人唔懷疑同管理失誤有關。而呢件事入面,最無辜(亦係最 Juicy)可能係 2015 年拍板收購 Starwood Hotel and Resort 嘅 Marriott,相信佢做呢個 Deal 時並不知情,但要承擔結果;英國 Information Commissioner’s Office 以違反 General Data Protection Regulation(GDPR)為由,狠罰 Marriott 9.9 千萬英鎊,破咗 Google 因「收集及使用用戶個人資訊透明度不足」而被判罰 5 千萬歐元的紀錄。GDPR 係歐盟保障個人私隱的法律,法例係 2016 年通過 2018 年實施,要企業尊重個人資料,最高懲罰係企業全年收入 4%。至於美國,屬性相近的法例有 California Consumer Privacy Act(CCPA),今年 7 月開始實行,刻意違反每宗個案罰 7,500 美元,換句話講 Marriott 單嘢最盡罰 375 億美元,傳聞執法單位已經熱身完畢,準備攞 Zoom 黎殺一儆百。

兩條法例好辣,因為數碼身份越黎越普及,用途廣泛,違反守則,其實等同背叛大眾的信任。2020 研究報告指出,97% 企業將會撥更多資源以遵守私隱守則,而國際認證機構 ISO 最近亦都推出咗 ISO 27701 Privacy Information Management System(PIMS), 它的前身是 ISO 27001 Information Security Management System(ISMS),為社會提供資訊管理黃金標準及指引。ISO 2700 家族,與 ISO 9001 Quality Management 與 ISO 14000 Environmental Management 並列為最受重視的 3 大 ISO,任何大企業生存必備。ISO 27701 主要分資訊收集者和資訊管理者兩類,均需學習風險管理、保密協議、私隱權益保障、收集私隱透明度等,坊間亦有相關認證課程供大家報讀,考取資格。

企業要得到 ISO 27701 ,首先要知自己係 Data Controller 定 Data Processor(或兩者皆是),如果已經有 ISO 27001,就只需要加強私隱控制範疇。如果由零開始,咁可以大陣仗少少,將 ISO 27701 的審計與企業其他審計程序融合,按中央化、標準化和綜合化三方面整合成盤生意,提升企業效益,慳錢慳時間。ISO 27701 係信任嘅象徵,亦係當今企業責任,君可見唔遵守 GDPR 與 CCPA 法規,隨時一鋪清袋。

 

資料參考:https://bit.ly/2FaYyJRhttps://bit.ly/3i9RjA8

唔想錯過熱門網絡保安消息,請即訂閱 wepro180 電子周報:https://bit.ly/2ZcCi9J