betawing
@betawing
Thu, Aug 4, 2022 1:51 AM
76
62
趁這個時機再宣傳一下，為什麼國內有個資法，但台灣資安卻爛的跟屎一樣
台鐵小7螢幕遭駭 NCC：廣告系統使用中國軟體 - 政治 - 自由時報電子報
betawing
@betawing
Thu, Aug 4, 2022 1:52 AM
簡單來說，你要業者做好資安防護，只能從行政或司法下手給業者壓力，否則業者天天被駭，不但可以裝死，還可以哭喊政府不負責任幫他做好資安
betawing
@betawing
Thu, Aug 4, 2022 1:55 AM
當然防護駭客攻擊不可能做到100%，就像你裝了監視器跟保全不代表不會遭小偷，但遭小偷的時候，你會比較快找到問題來源並且比較快處理
betawing
@betawing
Thu, Aug 4, 2022 1:57 AM
而不是一邊哭哭自己是受害者，一邊大門開開的繼續夜夜讓小偷自由出入，然後兩手一攤說「現在小偷這麼多，防不勝防啦」
betawing
@betawing
Thu, Aug 4, 2022 1:58 AM
回到前面講的，從行政層面下手，就是政府有機關去監督業者資安，從主動的要求業者認證，或被動的在業者東窗事發以後，派專屬的機關調查、輔導或開罰
betawing
@betawing
Thu, Aug 4, 2022 2:04 AM
但個資法的行政管理部分，卡在政府用傳統的營業性質來分割責任給各機關；電商資安歸經濟部，餐廳資安歸衛福部，公家機關歸國發會的數位辦公室；各監督單位都被硬塞這個職而且嚴重缺乏資源、技術、人力。只有金融業所屬的金管會是真正要做到嚴格資安監督。
betawing
@betawing
Thu, Aug 4, 2022 2:08 AM
但也不要因此覺得至少國內金流很安全；金管會到目前為止，是拒絕管理電子支付這一塊的資安；所以例如小七的電子錢包有漏洞、food panda長期傳出信用卡被盜刷，就不關金管會的範圍，只能交給完全不知道怎麼辦的經濟部去關切
betawing
@betawing
Thu, Aug 4, 2022 2:10 AM
像噗頭這樣，多個部門大頭出來解釋，政府正式調查小七廣告商的結果，絕對是特殊情況才有這個機制，而不是長期就有一套SOP在處理
betawing
@betawing
Thu, Aug 4, 2022 2:13 AM
當然講到這邊，應該也有人看出來這塊給政府管的成本跟時間都很漫長，所以感覺就是不太可行，但這就講到另一套機制；個資法的司法管道，也就是交由受害者提告個資被侵害，法院判賠，進而提升全國業者主動去做資安的壓力
betawing
@betawing
Thu, Aug 4, 2022 2:20 AM
這部分會徹底失敗的問題在於，個資法只有在資安事實的認定上，嚴格的將舉證責任倒置給業者
(也就是說大量出事的業者，在個資法上就是可以同意受害者「懷疑」業者有嚴重資安疏失的指控，而需要自行舉證無疏失)
betawing
@betawing
Thu, Aug 4, 2022 2:23 AM
但在賠償受害者的責任歸屬上，卻沒有類似的嚴格判定條文在業者身上
(也就是說，即使法院認為業者資安根本爆炸了，也不認為業者應該對受害者的實質損害負責)
betawing
@betawing
Thu, Aug 4, 2022 2:27 AM
為什麼會有後者的結果？因為台灣的法官多半在賠償責任這塊，會回歸到傳統的因果關係上；舉例來說，業者的資安洩露一千筆，實質損害的受害人只有一百位，業者聘請的律師說「這証明了業者的資外洩跟受害者實質損害沒有因果關係」，法官就會同意這個想法，頂多容許被害者跟業者要非實質的精神損害
betawing
@betawing
Thu, Aug 4, 2022 2:28 AM
但個資法又把精神損害，訂了兩萬元這個天花板
betawing
@betawing
Thu, Aug 4, 2022 2:32 AM
理論上，台灣法官有很大的自由心證，可以讓受害者求償的投資報酬率沒有這麼慘，但實質上，所有的個資外洩求償案裡面，只有一件是正式判決，洩漏個資的業者被強制負擔受害者的實質賠償
betawing
@betawing
Thu, Aug 4, 2022 2:32 AM
其他法官頂多同意受害者的精神求償
betawing
@betawing
Thu, Aug 4, 2022 2:36 AM
我不知道有多少人看到這邊，有沒有看懂整個台灣資安機制的現況？
行政方面嚴重缺乏「有實質監督能力」的單位，司法部分則嚴重缺乏民眾去追討業者責任的誘因
betawing
@betawing
Thu, Aug 4, 2022 2:37 AM
以上
6_k 嘖
@6_k
Thu, Aug 4, 2022 2:42 AM
我了解的是, 政府最多只能要求公單位的資安系統等級, 民間企業政府要怎麼管?
6_k 嘖
@6_k
Thu, Aug 4, 2022 2:45 AM
講到個資法的問題, 平台或金流業者如果不是刻意販售資訊而是被盜取資料, 也沒辦法告它們不當使用個資
betawing
@betawing
Thu, Aug 4, 2022 2:55 AM
6_k 嘖
: 個資法有條文，經濟部其實也有出手過
betawing
@betawing
Thu, Aug 4, 2022 2:56 AM
但因為缺乏足夠的資源跟行政命令，所以也變成少數公務員好管閒事才出現的曇花一現
betawing
@betawing
Thu, Aug 4, 2022 2:58 AM
另外我其實也不太支持政府全面管制，所以我其實比較傾向修法，提高業者賠償的機會，靠民眾成功求償的案例，給業者主動提高資安的壓力
無道天下
@gate9576
Thu, Aug 4, 2022 3:02 AM
支持修法，不管是罰錢讓業者痛還是賠消費者讓業者痛(雖然是不太能指望會罰多少啦)
betawing
@betawing
Thu, Aug 4, 2022 4:26 AM
另外講一個八卦；金管會雖然全力拒絕接管電子支付，但是金管會現在卻全力推動電子支付，希望越多人民使用電子支付越好
betawing
@betawing
Thu, Aug 4, 2022 4:27 AM
就是這麼靠北
羅賓葱燒鷄
@weitsong0936
Thu, Aug 4, 2022 5:26 AM
小七民營企業沒法強制符合資安法，台鐵就說不過去了，因為要遵循資安法
存在的替代役
@giffenli
Thu, Aug 4, 2022 6:32 AM
個資法只是為了要保障某些人的財產不會曝光，才不是為了什麼隱私權呢！當年就會有連爺爺或宋爺爺的海外資產或什麼股票存款被查出來，現在都看不到了。
載入新的回覆
(也就是說大量出事的業者，在個資法上就是可以同意受害者「懷疑」業者有嚴重資安疏失的指控，而需要自行舉證無疏失)
(也就是說，即使法院認為業者資安根本爆炸了，也不認為業者應該對受害者的實質損害負責)
行政方面嚴重缺乏「有實質監督能力」的單位，司法部分則嚴重缺乏民眾去追討業者責任的誘因
個資法只是為了要保障某些人的財產不會曝光，才不是為了什麼隱私權呢！當年就會有連爺爺或宋爺爺的海外資產或什麼股票存款被查出來，現在都看不到了。