個人資料風險管理
1.概述
「風險」指會對目標產生不確定影響的因素，組織經營為達成一定的目標，在執行或規劃營運活動、政策、方案、製造或服務流程時，都會面臨各式各樣的「風險」，這些不確定性的因素可能變好，也有可能變壞，故組織應去思考如何管理並控制「風險」。
組織所面臨的風險，反映在不同面向，例如，社會情境、環境考量、資訊安全因素和保全等級等方面，當然，個人資料之使用亦有可能產生風險，故組織為管理個人資料風險，應建置系統化的風險評估方法，能幫助組織鑑別個人資料使用流程中的風險及危險性，採取適當且正確的防護措施，降低個人資料風險，達成法規範或國際標準之要求，並透過嚴謹且系統化的決策及規劃，對避免個人資料風險作有效的資源分配及運用，順利達成組織之經營目標。
例如，組織設定客戶資料不外洩為目標，從客戶加入會員填寫資料表，建置客戶資料庫到資料使用，於一連串行為中利用系統化風險評估方法判別可能存在之風險，風險如：駭客入侵、非權限人員存取客戶資料盜賣給他人…等，當判別出風險，應於必要時採取防護措施，例如，資料庫防入侵系統建置、人員權限管控及使用記錄保存等，能有效降低風險，達成客戶資料零外洩之目標。
 
2.參考標準
目前各管理系統以ISO 31000「風險管理原理及指導綱要(Risk management–principles and guidelines)」為基礎，對風險管理發展出系統的評估方法，描述了一致性的架構及過程之要求，以使風險評估在組織的各個階層可以有效的被應用及展開。
組織欲建置個人資料風險管理，可以參考三種目前在台灣常見的個人資料管理系統及法規中涉及個資風險之要求，摘錄如下：
2.1個人資訊管理系統（Data Protection-Specification for a Personal Information Management System, PIMS, BS 10012）的「4.4 風險評估」內容中提到：
『組織應實施一項流程以評估和處理個資相關人員的風險程度，這項評估也應包括委由其他組織所執行的個資處理，組織須管理由風險評估過程所識別出的任何風險，以降低不符合政策要求的可能。』
2.2臺灣個人資料保護與管理制度（Taiwan Personal Information Protection and Administration System, TPIPAS）的「4.4.3風險管控措施」內容中提到：
『事業應就納入管理範圍之個人資料，識別事業因蒐集、處理、利用個人資料可能面臨的風險，視需求訂定管控措施。』
2.3個人資料保護法：
個資法施行細則第12條安全維護措施第2項第3款提及，組織應採取『個人資料之風險評估及管理機制』，以防止個人資料被竊取、竄改、毀損、滅失或洩漏。
 
3.個人資料風險評估流程設計
個人資料風險評估流程設計的第一步是決定實施的「範圍」和採用的「工具」，藉由盤查個人資料檔案及審查相關的法規和其他要求、承諾、可使用的資源與技能，或是獲得外部專家的建議，例如，隱私權、法規和技術等方面，用以設計適合組織實際現狀的風險評估準則及執行方式。
                 圖八、個人資料風險評估流程設計
3.1了解個人資料檔案管理現況
組織首先要藉由「個人資料清查及盤點」確定現有之個人資料檔案之存在及使用現況，並確定風險評估實施之範圍。也可藉由建立「個人資料流向分析」，載明完整的個人資料輸入(來源)與輸出(產出)流程，檢視是否有遺漏。
 
3.1.1個人資料清查及盤點：
組織藉由〈個人資料清查〉了解個人資料防護管理現況，及藉由〈個人資料盤點〉蒐集個人資料檔案，評估組織目前所推動的個人資料保護管理系統運作及個人資料運用之情形。
由個人資料清查及盤點結果，界定個人資料防護範圍及個人資料檔案使用類別等，據以訂定組織之個人資料風險管理政策。
3.1.2個人資料流向分析：
組織可利用文件審查、同仁訪談或現場訪查之方法，進行分析並識別該單位與個人資料相關之活動、服務過程產生的個人資料檔案使用狀況，並新增或更新該單位之「個人資料流向分析表」。
風險評估依據「個人資料流向分析」，考量操作所產生之個人資料檔案使用狀況，包括相關流程中輸入(來源)與輸出(產出)之內容，以避免遺漏風險。
3.2個人資料風險評估準則建立
組織完成確定個人資料風險評估範圍後，就組織現況建立個人資料風險評估一致性準則，闡明組織欲達成之目標及風險管理承諾，內容應包含：
3.2.1個人資料風險管理基本原則；
3.2.2利害相關人關切之議題及其個人資料風險管理要求；
3.2.3個人資料風險管理的責任與義務；
3.2.4個人資料風險處理的方式；
3.2.5管理階層對個人資料風險處理提供必要資源之承諾；
3.2.6個人資料風險管理績效量測與監督的方式；
3.2.7適時審查並改善個人資料風險管理準則與框架之承諾；
3.2.8適當的內部溝通及外部傳達個人資料管理政策。
3.3權責確立與資源配置
3.3.1權責確立：
組織施行個人資料風險評估，為確保個人資料風險充分被揭露、能妥善控制個人資料風險及確保其管理成效，應於組織內部建立個人資料風險管理相關權責。
例如，個人資料檔案保有者〈風險擁有者〉的職責與管理義務、組織各層級對個人資料風險評估結果之辦理事項、建立風險評估績效指標及內/外部報告流程等。
3.3.2資源配置：
組織投入風險評估之資源是有限的，在配置資源時應審慎考量如何使資源發揮最大之效力，能使個人資料之風險被有效降低。
資源可能被用在組織人員之風險認知與其能力提升、系統化個人資料風險評估流程、建置資訊與知識管理系統等。
3.4建立與利害相關人溝通與報告之機制
3.4.1內部溝通與報告
為支持與鼓勵組織內部個人資料風險擁有者積極地揭露並處理個人資料風險，應建立適當之內部溝通與報告之機制，以確保個人資料風險評估有效資訊來源於各層級，並且讓組織各層級得以即時了解處理個人資料風險過程中相關的資訊，並使個人資料風險評估被及時維護。
3.4.2外部溝通與報告
組織並建立與外部利害相關人溝通的管道，以鼓勵外部利害相關人能夠參與個人資料風險管理的過程。例如：將適當之個人資料風險處理過程的相關資訊，提供事業主管機關作為組織個人資料防護安全維護措施合法之參考依據。
另外藉由提供溝通與協商的回饋機制，使發生緊急個人資料事故時，能確保與外部利害相關人的交流順暢。