善用資料遮罩方案　避免外包廠商洩露個資

基於業務發展需要，企業往往會將應用系統的開發及測試任務，委託給外部廠商來執行；然欲進行應用測試工作，必須借助相關資料的輔助，企業倘若一時不察，而不設防地將真實數據交給外包商，恐因而開啟1扇資料外洩的後門。DIGITIMES攝

伴隨個人資料保護法效應發酵，許多企業感受到「如臨大敵」的壓力，紛紛著手評估相關資訊安全解決方案，以期明哲保身；綜觀那些具備個資法概念的資安方案，其中較被企業關注者，無疑就是資料外洩防護(DLP)、以及入侵偵測／防禦系統(IDS/IPS)，然隨著各方專家的意見鋪陳，企業也開始意識到，光靠這兩項工具，或許還無法全然擺脫個資料法魔咒，於是再將目光移轉到日誌管理、資料庫安全稽核、身分識別與存取管理、端點安全防護等解決方案。

依大多數企業的想法，只要把前述一缸子解決方案悉數導入，便可望構築1個滴水不漏的堡壘，再無個人資料外洩的破口，但其實企業還忽略1件事，意即承做應用程式開發、測試等業務的外包廠商，也有可能成為竊盜個人資料、或其他機密資料的亂源；此話怎說？當企業因應業務發展需求，而需要委託外部業者代為開發特定應用系統，等到SA、SD、Coding…等什麼事情都做完後，為了證明該程式是否Work，總得歷經一番測試，論及測試一事，看似簡單、但實際上卻非如此，因為企業若不「餵」給應用程式一些相關聯的真實資料，是無法測出成效的，也因此埋下了資料外洩的伏筆。

如何化解這一疑慮？很顯然的，企業勢必得在提供資料予外包廠商之前，自己就做好加工處理，意即在維持既有資料邏輯之下，把原始數據予以亂碼化、遮罩化，只不過，如果企業傾向由內部DBA來執行這個任務，不僅有排擠其生產力之虞，且就一般情況而論，企業自行撰寫的加密程式，也比較容易遭到破解；因此意欲妥善滿足資料加工處理需求，最快且最好的方式，便是直接援引資料遮罩(Data Masking)解決方案。

譬如IBM在其Optim測試資料管理解決方案中，即蘊含了Masking技術，可針對原有資料，進行加密、轉換、或更改部分欄位內容的動作，另將對於關聯性的所有相關資料欄位，一併予以遮罩，如此一來，即可致使機密資料獲得保護，在此同時，亦不會影響資料實體存放的位置；倘若企業運用類似工具，即可在兼測應用程式測試功能性之下，防堵外包商窺探或盜取機密資料的空間，也因而減少了1項可能抵觸個資法的疑慮。

文章來源: http://www.digitimes.com.tw/tw/dt/n/shwnws.asp?id=226738

圖片來源: https://pixabay.com/