台灣24萬名公務員的個人資料值不值錢

前一陣子的新聞,這一兩天有更多的細節和後續被不同的媒體所揭露(來源一來源二來源三)。這些被公開洩漏而且可供辨識個人的資料,到底值多少錢呢?根據媒體的報導,大約是八到十塊歐元可以取得,這大約是兩杯星巴克咖啡的價格。根據報載,這次還多虧「五眼聯盟」的通報,否則在明年選舉之後才知道,情況會更為嚴峻。五眼聯盟過去本來和台灣政府就互有「合作」的關係,只是這關係比較不那麼密切。(編按:政府官員表示,情報來自其他管道

資料本身值不值錢,看來單純從資料的供應和需求面來判斷,大概是不怎麼值錢。但台灣公務員24萬人的資料,到底有沒有價值?這就很難說了。對你我而言,幾乎是沒有價值,就算看到了欄位的資料,價值幾乎是零。

  • CNO_CODE
  • ID_NO 身分證字號
  • USER_NAME 姓名
  • ORG_CODE 服務機關
  • PRE_ORG_CODE 機關代碼
  • JOB_NO 職務編號
  • JOB_NAME 職務名稱
  • CRT_USER
  • CRT_DATA
  • CRT_TIME

不過有沒有價值要看從什麼觀點來切入。比如說從台灣媒體所強調的「國家安全」視角來看,某些機關人員編制的人事資料,當然非常有價值,但有些機關並沒有這麼高。所以一筆資料的價值,單從資料本身是很難判斷的。比如說,要看資料所能「連結」和「關聯」的人、事、時、地、物是什麼。以國家安全單位而言,根據媒體報導來推論,要從這份資料來判斷人、時、地等,是很簡單的事情。「人」就是姓名,「時」則是在職期間,地則是所屬單位的駐在地。國家安全的人員,當然不是每一個都是神秘高深不能為外界所知,但透過這幾個能夠互相關聯的資料欄位,我們要拼湊起一個人,一個團隊或是一個單位的「動態」,銓敘部所洩漏的這些資料,是非常有「幫助」的。

這些資料的變動程度,和社交媒體上的資料不同。這些人事資料的變動頻率極低,再加上例如身分證號碼這個可以做為一位個人的唯一識別碼。這些資料相當有助於把各種 (a) 網路行為資料 (b) 個人跨境移動資料 (c) 個人金融和簽帳資料,更進一步的「定位」到某個個人,一個具體的自然人,一個很難「隱藏」和「轉換身份」的自然人。這種資料的價值,和單純在社交媒體平台上,使用者願意大量和不知情所貢獻的個人資料,是非常不同的。

這次銓敘部的資料洩漏事件,當然很嚴重,嚴重程度大概可和《美國聯邦人事管理局資料外洩案》作為比較(後簡稱 OPM breach)。OPM breach 後來在美國眾議院監督委員會 (House Oversight Committee) 的調查之下,出了一份兩百多頁檢討報告,目前已經無法在原始網站取得,但在公開網路取得不難。報告內的13點建議:

  • Recommendation 1 – Ensure Agency CIOs are Empowered, Accountable, and Competent
  • Recommendation 2 – Reprioritize Federal Information Security Efforts Toward a Zero Trust Model
  • Recommendation 3 – Reduce of SSNs by Federal Agencies
  • Recommendation 4 – Require Timely Justifications for Lapsed Authorities to Operate
  • Recommendation 5 – Ensure Accountability and Empower DOD IT Officials Implementing Necessary Security Improvements for NBIB
  • Recommendation 6 – Eliminate Information Security Roadblocks Faced by Agencies
  • Recommendation 7 – Strengthen Security of Federal Websites and Breach Notifications
  • Recommendation 8 – Financial Education and Counseling Services Through Employee Assistance Program
  • Recommendation 9 – Establish Government-wide Contracting Vehicle for Cyber Incident Response Services
  • Recommendation 10 – Improve and Update Cybersecurity Requirements for Federal Acquisitions
  • Recommendation 11 – Modernize Existing Legacy Federal Information Technology Assets
  • Recommendation 12 – Agencies Should Consider Using Critical Pay for IT Security Specialists
  • Recommendation 13 – Improve Federal Recruitment, Training and Retention of Cyber Security Specialists

簡單來說,這次的人事資料洩漏案,可以具體給台灣政府一個警惕,例如說在推動和資料相關的政策之前,要知道風險是什麼,而不是一昧求產業發展。想想如果你單位手上有的資料被以此種方式公開洩漏之時,單位的緊急應變和風險管理機制是什麼,或是死了人誰要負責等。如果這麼重要的人事資料都可以如此輕忽十數年,那麼這一次剛好暴露出了更多不方便的事實,例如對實務理解的單純,在執行面的輕忽,以及對數位世界認知的落後。相關研究的投資,更屬嚴重不足。

後記:GAO 在2017年有一份針對 OPM 的40多頁報告

發表迴響

在下方填入你的資料或按右方圖示以社群網站登入:

WordPress.com 標誌

您的留言將使用 WordPress.com 帳號。 登出 /  變更 )

Google photo

您的留言將使用 Google 帳號。 登出 /  變更 )

Twitter picture

您的留言將使用 Twitter 帳號。 登出 /  變更 )

Facebook照片

您的留言將使用 Facebook 帳號。 登出 /  變更 )

連結到 %s

This site uses Akismet to reduce spam. Learn how your comment data is processed.

%d 位部落客按了讚:
search previous next tag category expand menu location phone mail time cart zoom edit close