歡迎來到保密性與私隱領域！

歡迎各位未來的會計師！你現在已經來到 資訊系統與控制 (ISC) 考試中一個至關重要的環節。雖然「安全性 (Security)」通常是指拒絕外來者的入侵，但保密性 (Confidentiality) 和私隱 (Privacy) 則是關於我們如何處理手中已有的敏感資料。你可以將其理解為鎖好大門（安全性）與確保你不向鄰居洩漏摯友秘密（保密性/私隱）之間的差別。

在本章中，我們將探討為什麼這些概念是商業信任的基石，以及企業如何從收集資料那一刻起直到刪除資料為止來保護數據。如果剛開始覺得這些術語看起來很像，不用擔心——我們會一步步為你拆解！

1. 保密性 vs. 私隱：有什麼不同？

許多學生會混淆這兩個術語，因為它們確實有重疊之處。以下是區分它們最簡單的方法：

保密性 (Confidentiality) 是關於保護組織的秘密。這包括商業秘密、合併計劃、財務預測或知識產權。如果資料屬於公司，且其洩漏會對業務造成損害，這就是一個保密性問題。

私隱 (Privacy) 是關於保護個人資訊。這涉及「有血有肉的人」。如果資料描述的是客戶、員工或病人（例如他們的社會安全號碼或病歷），這就是一個私隱問題。

類比： 想像一家科技公司。該公司未發佈的新型智能手機設計藍圖屬於保密 (Confidential) 資訊。而購買該手機的客戶的住址和信用卡號碼則屬於私隱 (Private) 資訊。

重點複習：
  • 保密性： 焦點在於「組織」。
  • 私隱： 焦點在於「個人」。

關鍵要點： 雖然保護它們所使用的工具通常相同（如密碼和加密），但我們保護它們的原因卻取決於這些資訊的擁有者是誰。

2. 保護保密性

為了確保公司的秘密安全，我們需要特定的控制措施。以下是你在 ISC 考試中最常見的幾種：

加密 (Encryption)

加密是將資料「亂碼化」的過程，這樣只有擁有「密鑰」的人才能閱讀。對於考試，請記住資料的這兩種狀態：

  • 靜態資料 (Data at Rest)： 這是存放在硬碟或伺服器上的資料。我們使用磁碟加密來保護它。
  • 傳輸中資料 (Data in Transit)： 這是透過互聯網或網絡傳輸的資料。我們使用如 SSL/TLS（你在瀏覽器看到的 "https"）等協定來保護它。

存取控制 (Access Controls)

公司內並非每個人都需要看到所有東西。我們使用最小權限原則 (Principle of Least Privilege)，這意味著只賦予員工完成工作所需的存取權限——不多也不少。

培訓與政策

通常，「人」是最脆弱的環節。保密協議 (NDA) 是防止員工或合作夥伴洩漏秘密的法律合同。培訓則有助於員工識別社交工程 (Social Engineering)（例如假電話），這類手法通常旨在誘騙他們洩露機密資訊。

你知道嗎？ 許多資料洩露並非因為黑客天才，而是因為有人把機密報告留在打印機上，或者使用了「Password123」作為登入密碼！

3. 私隱：保護個人資訊

由於涉及法律風險，私隱對於會計師來說是一件大事。要了解私隱，我們首先需要識別我們在保護什麼：

PII 與 PHI

  • PII (個人身份識別資訊)： 任何可用於識別特定個人的資料。例子：姓名、社會安全號碼 (SSN)、駕駛執照號碼，甚至是 IP 位址。
  • PHI (受保護健康資訊)： PII 的子集，專門涉及個人的身體或心理健康、醫療服務提供或醫療費用支付。

10 項私隱原則 (GAPP)

美國會計師公會 (AICPA) 和加拿大特許會計師協會 (CICA) 制定了一般公認私隱原則 (GAPP)。你不必背誦每一個細節，但你需要了解這 10 個領域背後的意圖：

  1. 管理 (Management)： 公司擁有清晰的私隱政策及負責人。
  2. 通知 (Notice)： 公司告知你他們收集了什麼以及為什麼收集。
  3. 選擇與同意 (Choice and Consent)： 你有權對你的資料被使用說「是」或「否」。
  4. 收集 (Collection)： 公司只收集他們真正需要的資料。
  5. 使用、保留與銷毀 (Use, Retention, and Disposal)： 公司僅將資料用於既定目的，並在不再需要時將其刪除。
  6. 存取 (Access)： 你有權查看你的資料並更正其中的錯誤。
  7. 向第三方披露 (Disclosure to Third Parties)： 公司僅在第三方遵守相同規則的情況下才會與其共享你的資訊。
  8. 安全性 (Security for Privacy)： 公司使用鎖和加密來保護你的個人資訊。
  9. 質量 (Quality)： 公司確保所擁有的關於你的資料是準確的。
  10. 監控與執行 (Monitoring and Enforcement)： 公司進行自我檢查，確保確實遵守這些規則。

記憶法： 想想「通知 (Notice)、選擇 (Choice)、存取 (Access)」。這是客戶最關心的三個核心重點。「告訴我你要做什麼（通知），讓我做決定（選擇），並讓我看看資料（存取）。」

4. 資料生命週期

資料不會靜止不動；它會經歷一個「生命」。理解這個週期有助於你識別在哪裡需要控制措施。

步驟 1：收集 (Collection) – 收集資料。（是否有必要？我們是否提供了通知？）

步驟 2：儲存 (Storage) – 確保資料安全。（是否對靜態資料進行了加密？）

步驟 3：使用 (Usage) – 將資料用於商業用途。（我們是否僅將其用於告知客戶的用途？）

步驟 4：共享 (Sharing) – 將資料提供給合作夥伴。（他們是否有合同來保障安全？）

步驟 5：保留 (Retention) – 保存資料。（我們保留的時間是否超過法律要求？）

步驟 6：銷毀 (Destruction) – 處理資料。（我們是否正確地碎紙或抹除硬碟？）

應避免的常見錯誤： 許多學生認為「刪除」檔案就足夠了。對於高安全性資料，媒體必須經過抹除 (Wiped)（多次覆寫）或物理銷毀 (Physically destroyed)（碎紙或熔化），以確保資料無法被恢復。

關鍵要點： 私隱和保密性必須在生命週期的每一個階段進行管理，而不僅僅是在開始時。

5. 總結與快速複習

別讓技術術語嚇倒你。這章的核心其實就是信任。作為一名會計師，你要確保組織守住秘密，並尊重客戶的個人生活。

快速複習框：
  • 保密性 = 商業秘密。
  • 私隱 = 個人資訊 (PII/PHI)。
  • 加密 = 將資料亂碼化（靜態 vs. 傳輸中）。
  • GAPP = 私隱的 10 項「交通規則」。
  • 保留 = 不要永遠保留資料；它會變成負債！

最後鼓勵： 你做得很好！ISC 考試的這一部分一旦你明白它都是關於將風險最小化，就會變得非常有邏輯。繼續練習這些定義，它們將成為你的本能！